Logo von Blue Panda
← Alle News
Regulatorik3 Min. Lesezeit

IT-Sicherheitsrichtlinie: Mit dem MVZ wachsen die Pflichten

Nach der IT-Sicherheitsrichtlinie der KZBV vom Juli 2025 gilt eine vertragszahnärztliche Praxis mit mehr als 20 ständig mit der Datenverarbeitung betrauten Personen als Großpraxis und muss zusätzliche Anforderungen umsetzen, etwa zur Planung des internen Netzes und zur Verwaltung mobiler Geräte. Gehören mehrere Standorte zur selben Praxis, erreicht ein MVZ nach Lesart der Redaktion die Schwelle schneller als eine Einzelpraxis, und die geänderten Anforderungen werden am 2. Januar 2026 verbindlich.

Die Zahlen

  • Die IT-Sicherheitsrichtlinie nach § 390 SGB V der KZBV (veröffentlicht am 1. Juli 2025) unterscheidet drei Größen: Praxis mit bis zu fünf, mittlere Praxis mit 6 bis 20 und Großpraxis mit über 20 ständig mit der Datenverarbeitung betrauten Personen.
  • Zu den 50 Anforderungen der Anlage 1 für alle Praxen kommen laut KZBV-Richtlinie 2025 für mittlere Praxen 10 weitere (Anlage 2) und für Großpraxen 17 weitere (Anlage 3) hinzu; die Anforderungen der Anlage 5 gelten für alle Praxen (eigene Auszählung der nummerierten Anforderungen).
  • Von 726 Meldungen aus Kritischen Infrastrukturen (nur zur Einordnung: Zahnarztpraxen zählen nicht dazu) kamen im Berichtszeitraum Juli 2023 bis Juni 2024 laut BSI-Lagebericht 2024 141 aus dem Sektor Gesundheit, nur der Sektor Transport und Verkehr meldete mehr.

Unsere Einordnung

Die Richtlinie misst nicht den Standort, sondern die vertragszahnärztliche Praxis und die Zahl der Menschen, die dort ständig mit Daten arbeiten, von der Behandlung bis zur Abrechnung. Das ist die Lesart der Redaktion: Ein Verbund aus mehreren MVZ mit eigener Zulassung besteht aus mehreren Praxen und wird je Praxis gezählt. Wer ein MVZ um einen weiteren Standort derselben Praxis erweitert, wechselt deshalb womöglich still die Kategorie: Bei mehr als 20 solchen Personen kommen Anforderungen wie die Planung des internen Netzes, ein Mobile-Device-Management und die Messung von Lernerfolgen in Schulungen hinzu, und als Großpraxis nennt die Richtlinie ausdrücklich auch Groß-MVZ mit krankenhausähnlichen Strukturen. Die Schwelle wird also nicht durch einen IT-Beschluss überschritten, sondern durch Personalentscheidungen, die an ganz anderer Stelle fallen. Hinzu kommt, dass die Richtlinie jährlich evaluiert wird und ihre geänderten Anforderungen erst am 2. Januar 2026 greifen. Für ein MVZ heißt das: Die Frage, in welcher Kategorie das Haus steht, ist keine einmalige Feststellung, sondern ändert sich mit jedem Wachstumsschritt.

Fragen an Ihr Haus

  • Wie viele Personen arbeiten in Ihrem MVZ heute ständig mit Patientendaten, einschließlich aller zugehörigen Standorte, und wie weit liegt diese Zahl von 20 entfernt?
  • Wer in Ihrem MVZ erfährt zuerst, wenn eine Neueinstellung die Praxis in eine andere Kategorie der Richtlinie hebt?

Quellen

Datenstand: IT-Sicherheitsrichtlinie der KZBV in der Fassung Version 1.1, veröffentlicht am 1. Juli 2025, geänderte Anforderungen verbindlich ab 2. Januar 2026; BSI-Lagebericht 2024 mit dem Berichtszeitraum 1. Juli 2023 bis 30. Juni 2024, veröffentlicht am 12. November 2024. Die Zahl der Anforderungen je Anlage ist eine eigene Auszählung der Redaktion.

Recherchiert mit KI-Unterstützung, geprüft und freigegeben von Johannes Beyer am 24. Oktober 2026. Fehler entdeckt? Schreiben Sie uns an info@blue-panda.de.

Weitere Beiträge