Quelle: https://www.kbv.de/html/it-sicherheit.php
kbv.de – Kassenärztliche Bundesvereinigung IT-Systeme und sensible Daten in den Praxen noch besser schützen: Das ist eines der Ziele der IT-Sicherheitsrichtlinie.
IT-Sicherheitsrichtlinie der Kassenärztliche Bundesvereinigung
Den sicheren Umgang mit personenbezogen Daten regelt die DSGVO, kurz für Datenschutz-Grundverordnung. Europaweit, seit 2018.
Für die Praxen allerdings teils zu ungenau, oder nicht passend.
Daher hat der Gesetzgeber die KBV damit beauftragt, diese Regelungen für Praxen zu übersetzen, zu vereinheitlichen und verbindlich zu regeln: im Einvernehmen mit dem BSI, dem Bundesamt für Sicherheit in der Informationstechnik – in der so genannten IT-Sicherheitsrichtlinie.
„Ich halte sie für einen guten Kompromiss zwischen den hohen Anforderungen, die das BSI ursprünglich hatte und der Umsetzungsfähigkeit, die Praxen. Denn wir dürfen nicht vergessen, dass es in jedem Fall um sensible Daten in der Praxis geht und dass der Arzt unabhängig von dieser Richtlinie jede Praxis einem gewissen Haftungsrisiko ausgesetzt ist. Jeder Arzt möchte, dass er die Daten, die ihm anvertraut werden, sicher verwahrt.
Die Betriebssicherheit muss gewährleistet sein und da war bisher keine klare Richtlinie für da. Jeder Arzt hat das gemacht, sicherlich auch sehr gut, aber ich sehe da einen festen Handlungsrahmen. Insofern begrüße ich diese Festlegung.
Und im Gesetz steht auch drin, dass diese Richtlinie immer wieder angepasst werden muss. Angepasst werden muss auf mögliche andere technische Möglichkeiten, aber auch neue Bedrohungsszenarien.
Insofern hat die Ärzteschaft damit einen festen Rahmen, mit dem sie umgehen kann. Und wir glauben, sie sind auch praktikabel. Wir werden immer darauf achten, dass auch bei den Anpassungen immer die Praktikabilität im Vordergrund stehen muss.“
Wieviel Sicherheit nötig ist, richtet sich nach zwei Punkten: der Anzahl derjenigen, die ständig mit der Datenverarbeitung betraut sind und dem Umfang der Datenverarbeitung.
Obendrauf kommen zusätzliche Anforderungen für Praxen die mit medizinischen Großgeräten arbeiten. Aber auch für die dezentralen Komponenten der Telematik Infrastruktur, wie zum Beispiel dem Konnektor.
Um es den Praxen zu erleichtern, ist die Einführung in mehrere Etappen aufgeteilt.
„Wir gehen davon aus, dass es in den wenigsten Praxen einen sehr hohen Aufwand bedeuten wird, weil viele Praxen haben sich schon selbst drum gekümmert. Allerdings der Aufwand wird sein, dass jede Praxis gut beraten ist, wenn sie sich einmal die Richtlinie durchliest, evtl., wenn sie unsicher ist, auch mit ihrem Berater, sofern sie einen hat, durchspricht und sagt, habe ich Anpassungsbedarf.“
Wer auf Nummer Sicher gehen möchte, sollte einen Dienstleister beauftragen und noch sicherer: ein entsprechend zertifizierter Dienstleister.
„Der Gesetzgeber hat uns zwei Richtlinien aufgegeben einmal die Sicherheitsrichtlinien für die Arztpraxis und eine zweite Richtlinie für die Zertifizierung von Dienstleistern. Und nach dieser zweiten Richtlinie hat die KBV den Auftrag, Dienstleister, die sich zertifizieren lassen wollen, auch zu zertifizieren. Und über ein erfolgreichstes Zertifikat wird die KBV dann auf ihrer Internetseite auch Informationen geben, sodass der Arzt sich dahin wenden kann. Dann weiß er, wo er einen zertifizierten Dienstleister finden kann.“
Im Internet stellt die KBV ein ganzes Infopaket für Praxen zu der IT-Sicherheitsrichtlinie bereit.
„Wir halten es für notwendig, dass wir die Richtlinien auch handhabbar machen. Wir wollen Anwendungshinweise dazu geben. Wir halten die Richtlinien per se für auch in sich lesbar. Aber nicht jeder Arzt ist ein EDV Experte. Deshalb ist es uns notwendig, dass wir als KBV, aber auch gemeinsam mit den KVen natürlich Anwendungshinweise geben.
So vereinfachen beispielsweise bereitgestellte Musterdokumente das schnelle umsetzen einzelner Vorgaben.
Die Richtlinie sieht vor, dass man für den Einsatz von mobilen Geräten eine Richtlinie der Praxis haben soll, wenn beispielsweise eine Mitarbeiterin ein Diensthandy bekommt, vielleicht zum Patienten geht, da muss geregelt sein was darf mit diesem Handy gemacht werden und darf eine Richtlinie zu schreiben, da wird mancher Arzt oder Praxis sagen – Oh, wie soll ich das machen?
Dazu haben wir beispielsweise Mustertexte vorbereitet, die können heruntergeladen werden und die können dann vom Arzt auf die Praxis Bedingungen adaptiert werden. So stellen wir uns das vor. Es wird auch Erklärvideos geben und natürlich auch einzelne Anfragen werden beantwortet.“
Ausführliche Informationen finden Sie auf der Online-Plattform hub.kbv.de
