IT-Sicherheitsrichtlinie für die Zahnarztpraxis: Was ist Pflicht?
Seit dem 2. Januar 2026 gilt die überarbeitete IT-Sicherheitsrichtlinie der KZBV verbindlich für alle Zahnarztpraxen, ohne weitere Übergangsfrist. Viele Praxisinhaber gehen davon aus, dass sich ihr IT-Dienstleister darum kümmert. Das stimmt oft nur zur Hälfte: Die Verantwortung bleibt bei der Praxisleitung.
In diesem Beitrag erfahren Sie, was die IT-Sicherheitsrichtlinie von Ihrer Zahnarztpraxis verlangt, welche Anforderungen für Ihre Praxisgröße gelten und wo in der Praxis die häufigsten Lücken liegen. Am Ende finden Sie eine kurze Checkliste für den Einstieg.
Was ist die IT-Sicherheitsrichtlinie für die Zahnarztpraxis?
Der Gesetzgeber verpflichtet die Kassenzahnärztliche Bundesvereinigung (KZBV), verbindliche Mindestanforderungen an die IT-Sicherheit in Zahnarztpraxen festzulegen. Das geschieht im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Rechtsgrundlage war früher § 75b SGB V, heute ist es § 390 SGB V. An der Pflicht selbst hat sich dadurch nichts geändert.
Die erste Fassung gilt seit 2021. Die aktuelle Fassung wurde am 1. Juli 2025 veröffentlicht, neue und geänderte Anforderungen sind seit dem 2. Januar 2026 verbindlich. Die Richtlinie wird jährlich geprüft und spätestens alle zwei Jahre an den Stand der Technik angepasst. Wer einmal sauber dokumentiert, ist bei der nächsten Fassung schnell auf Stand.
Eigene Bußgelder sieht § 390 SGB V derzeit nicht vor. Unverbindlich ist die Richtlinie trotzdem nicht: Nach einem Datenvorfall prüft die Datenschutzaufsicht, ob die Praxis angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen hat. Für Zahnarztpraxen ist die KZBV-Richtlinie genau dieser Maßstab. Auch Cyberversicherer fragen bei Vertragsabschluss häufig dieselben Punkte ab.
Was ist konkret Pflicht?
Welche Anforderungen für Ihre Praxis gelten, hängt von der Zahl der Personen ab, die ständig mit der Datenverarbeitung betraut sind. Entscheidend sind also nicht die Rechner, sondern die Menschen: Wer täglich Termine, Patientenakten oder Abrechnungen am PC bearbeitet, zählt mit.
Praxistyp | Personen mit Datenverarbeitung | Was gilt |
Praxis | bis 5 | Basisanforderungen (Anlage 1) + Telematikinfrastruktur (Anlage 5) |
Mittlere Praxis | 6 bis 20 | zusätzlich erweiterte Anforderungen (Anlage 2), z. B. Alarmierung und Protokollierung |
Großpraxis | über 20 | zusätzlich Anforderungen für große Strukturen (Anlage 3) |
Eine Praxis mit Behandler, drei ZFA am Stuhl und zwei Kolleginnen am Empfang liegt damit schon bei der mittleren Praxis.
Inhaltlich überrascht die Richtlinie wenig. Im Kern geht es um:
aktuelle Betriebssysteme, Praxissoftware und Virenschutz
verschlüsselte Geräte und eine Firewall
regelmäßige Datensicherungen, die auch tatsächlich zurückgespielt werden können
klar geregelte Zugriffsrechte
eine Notfallplanung
geschulte Mitarbeitende: Seit der Neufassung müssen Praxisinhaber ihr Team für IT-Sicherheit sensibilisieren und neue Mitarbeitende in die Praxis-IT einarbeiten
schriftliche Vertraulichkeitsvereinbarungen mit externen Dienstleistern, bevor diese Zugriff bekommen
Die häufigsten Lücken: umgesetzt, aber nicht belegt
In vielen Praxen ist technisch einiges eingerichtet. Das Problem zeigt sich, wenn jemand nachfragt: Belegen lässt sich oft wenig.
Backup ohne Test: Die Sicherung läuft jede Nacht, aber niemand hat je ausprobiert, ob sie sich zurückspielen lässt.
Firewall als Blackbox: Die Regeln kennt nur der Dienstleister, dokumentiert ist nichts.
Schulung ohne Nachweis: Das Team wurde informiert, eine Teilnehmerliste gibt es nicht.
Notfallplan nur digital: Werden die Systeme verschlüsselt, liegt auch der Notfallplan verschlüsselt auf dem Server.
Belege beim Dienstleister: Die Dokumentation liegt im Ticketsystem des IT-Partners statt in der Praxis. Bei einem Wechsel ist sie weg.
Wichtig auch: Eine Zertifizierung des IT-Dienstleisters entlastet die Praxis nicht. KZBV und KBV können Dienstleister zwar auf Antrag zertifizieren. Die Verantwortung für die Praxis-IT bleibt aber bei der Praxisleitung.
Checkliste: So starten Sie
Sie müssen nicht alles auf einmal lösen. Diese fünf Schritte bringen Sie in wenigen Wochen auf einen soliden Stand:
Praxistyp bestimmen: Zählen Sie, wie viele Personen ständig mit der Praxis-IT arbeiten. Daraus ergibt sich, welche Anlagen für Sie gelten.
Bestandsliste anlegen: Alle Rechner, Drucker, Router, Mobilgeräte und medizinischen Geräte mit Netzwerkanschluss, jeweils mit Stand von Betriebssystem und Software.
Backup testen: Lassen Sie einmal eine Wiederherstellung durchspielen und halten Sie das Ergebnis mit Datum fest.
Notfallplan ausdrucken: Eine Seite mit den wichtigsten Telefonnummern (IT-Dienstleister, Praxissoftware-Hotline, TI-Dienstleister, Internetanbieter), gut sichtbar am Empfang.
Nachweisordner anlegen: Ein Ordner pro Themenblock. Darin jeweils: Was ist umgesetzt, wer hat es umgesetzt, wann, und wo liegt der Beleg.
Einmal im Jahr lohnt sich ein kurzer Durchgang durch die Ordner, etwa zusammen mit der Arbeitsschutzbegehung.
Fazit
Die IT-Sicherheitsrichtlinie verlangt nichts Unmögliches. Die meisten Anforderungen sind gute IT-Praxis, die viele Praxen schon teilweise umgesetzt haben. Was fast überall fehlt, ist der Nachweis. Genau der zählt, wenn nach einem Vorfall jemand fragt.
KlarSchild für Praxen – aktuell in der Pilotphase
Mit KlarSchild baut KlarCloudIT gerade ein Betreuungsangebot speziell für Zahnarzt- und Arztpraxen in Hanau und dem Main-Kinzig-Kreis auf. In der Pilotphase nehmen wir eine begrenzte Zahl an Praxen auf. Wenn Sie wissen möchten, wo Ihre Praxis steht, melden Sie sich gern über das Kontaktformular.