IT-Sicherheit

• Das Praxispersonal muss in den sicheren Umgang mit der Praxis-IT eingewiesen und sensibilisiert werden, soweit dies für die Arbeit relevant ist (Anlage 1 Nummer 9 der Richtlinie).
• Das Praxispersonal muss regelmäßig geschult werden, insbesondere zur eingesetzten Technik / IT (Anlage 1 Nummer 6).
• Das Praxispersonal sollte entsprechend seiner Aufgaben und Verantwortlichkeiten zu Informationssicherheitsthemen geschult werden (Anlage 1 Nummer 10).
• Neue Mitarbeiterinnen und Mitarbeiter müssen in die Praxis-IT eingearbeitet werden (Anlage 1 Nummer 1). Tipp: Hierfür gibt es ein Musterdokument im Hub zur IT-Sicherheitsrichtlinie.
• Bei Beendigung des Beschäftigungsverhältnisses muss die Praxisleitung der Person bekannte oder von ihr verwendete Passwörter und Zugangsdaten ändern oder vernichten (Anlage 1 Nummer 2). Auch hierfür gibt es ein Musterdokument im Hub.
• Externes Personal, etwa von einem IT-Dienstleister zur Installation, Prüfung oder Reparatur von Technik, muss verpflichtet werden, Gesetze, Vorschriften und interne Regelungen einzuhalten. Bei kurzfristigem oder einmaligem Einsatz muss es beaufsichtigt werden (Anlage 1 Nummer 3).
• In der Praxis ist der Umgang mit Spam bei E-Mails geregelt. Grundsätzlich sollten alle, die in der Praxis mit E-Mails arbeiten, Spam ignorieren und löschen (Anlage 1 Nummer 41).

• In der Praxis werden aktuelle Virenschutzprogramme eingesetzt (Anlage 1 Nummer 20).
• Apps werden nur aus den offiziellen App-Stores heruntergeladen und restlos gelöscht, wenn sie nicht mehr benötigt werden (Anlage 1 Nummer 42).
• Es werden keine vertraulichen Daten über Apps versendet (Anlage 1 Nummer 44).
• Smartphones und Tablets sind mit einem komplexen Gerätesperrcode geschützt (Anlage 1 Nummer 32).
• Nach der Nutzung eines Gerätes meldet sich die Person ab (Anlage 1 Nummer 19).
• Das interne Netzwerk ist anhand eines Netzplanes dokumentiert (Anlage 1 Nummer 12). Hierfür gibt es ein Musterdokument im Hub zur IT-Sicherheitsrichtlinie.
• Bei der Bereitstellung und dem Betreiben von Internet-Anwendungen wie Praxis-Homepage oder Online-Terminkalender wird eine Web Application Firewall eingesetzt (Anlage 1 Nummer 47).
• Bei der Bereitstellung und dem Betreiben von Internet-Anwendungen wie Praxis-Homepage oder Online-Terminkalender werden keine automatisierten Zugriffe bzw. Aufrufe auf Webanwendungen eingerichtet oder zugelassen (Anlage 1 Nummer 48).
• Auf Endgeräten, zum Beispiel einem Praxisrechner, erfolgt eine regelmäßige Datensicherung, wobei in einem Plan festgelegt ist, welche Daten wie oft gesichert werden sollen (Anlage 1 Nummer 21).
• Bei Verlust eines Diensthandys muss die darin verwendete SIM-Karte zeitnah gesperrt werden (Anlage 1 Nummer 34).
• Wechseldatenträger müssen bei jeder Verwendung mit einem aktuellen Schutzprogramm auf Schadsoftware überprüft werden (Anlage 1 Nummer 36).
• Es werden nur Apps genutzt, die Dokumente verschlüsselt und lokal abspeichern (Anlage 1 Nummer 43).
• Für die dezentralen Komponenten der Telematikinfrastruktur werden Updates zeitnah installiert (Anlage 5 Nummer 8).
• Für die dezentralen Komponenten der Telematikinfrastruktur werden die Administrationsdaten sicher aufbewahrt (Anlage 5 Nummer 9).

Dort sind sämtliche Anforderungen an die IT-Sicherheit übersichtlich dargestellt und und es werden weitere Umsetzungshinweise bereitgestellt.

Auch gibt es Musterdokumente zum praxisindividuellen Anpassen, beispielsweise eine Verschwiegenheitserklärung für Angestellte oder ein Eintrittsformular für den Beschäftigungsbeginn.

Außerdem bietet der Hub Informationen zu Schulungen für Praxisangestellte. Praxisinhaber können diese nutzen, um ihr Personal zu sensibilisieren und fortzubilden. Dazu müssen Ärzte und Psychotherapeuten zunächst mit ihrem Account im Fortbildungsportal der KBV Zugänge für ihre Angestellten generieren. Diese Zugänge können die Angestellten dann im „Fortbildungsportal der KBV für Medizinische Fachangestellte“ nutzen und sich dort eigenständig anmelden, um die Fortbildungen zu absolvieren.

Das Serviceheft unterstützt Praxisinhaberinnen und Praxisinhaber bei der Umsetzung der Richtlinie und soll den Einstieg erleichtern. Es umfasst 16 Seiten und ist anschaulich gestaltet. Die KBV stellt darin ausgewählte Anforderungen vor, bietet eine Checkliste, Praxis-Tipps und Beispiele sowie weiterführende Informationen. Das Heft ergänzt den Hub.

Die KBV bietet eine Online-Fortbildung zur IT-Sicherheit an (2 CME-Punkte). Sie steht im Fortbildungsportal bereit (Login erforderlich). Die Fortbildung richtet sich an Vertragsärzte und Vertragspsychotherapeuten.

Um ihr Praxispersonal zu sensibilisieren und zu schulen, gibt es Schulungen im Fortbildungsportal der KBV für Medizinische Fachangestellte. Eine Anleitung, wie sie diese MFA-Schulungen nutzen können, finden Ärzte und Psychotherapeuten im Hub.