Die Kassenärztliche Bundesvereinigung (KBV) und die Kassenzahnärztliche Bundesvereinigung (KZBV) sitzen an einer Aktualisierung der IT-Sicherheitsrichtlinie. Der Bundesverband Gesundheits-IT (bvitg) hat in den Entwurf geschaut. Sein Fazit: Für Arzt- und Zahnarztpraxen werde vieles nicht klarer, da die Selbstverwaltung sich scheue, einheitliche Standards festzulegen.
Der Entwurf, schreibt der bvitg in einer am Dienstag veröffentlichten Stellungnahme, bleibe „deutlich“ hinter den Anforderungen an eine „moderne, praxistaugliche und branchenspezifisch fundierte Richtlinie zurück“. „Bedauerlicherweise wird mit der aktuellen Anpassung der IT-Sicherheitsrichtlinie die Chance versäumt, eine einheitliche Festlegung auf bestehende Standards wie den BSI-Grundschutz zu treffen“, heißt es.
Anforderungen sind nicht klar zu erkennen
Für Praxen werde dies erhebliche Folgen haben. Die fehlende Festschreibung anerkannter Standards führe „zu uneindeutigen Anforderungen an die IT-Sicherheit innerhalb der Praxen“. Der bvitg weiter: „Dies stellt Praxen vor erhebliche Herausforderungen, da sie weder über die notwendigen Ressourcen noch über verbindliche und zielführende Handlungsempfehlungen verfügen.“
Das heißt wohl: Die Richtlinie wird für Ärzte, Zahnärzte und Psychotherapeuten ein Buch mit sieben Siegeln bleiben und bei der Einrichtung eines IT-Schutzschirms wenig helfen. Sogar die Akzeptanz von IT-Lösungen insgesamt sieht der bvitg auf dem Spiel stehen.
Nicht nachvollziehbar ist dem Verband, warum in dem Entwurf „IT-Sicherheit in Abhängigkeit von der Praxisgröße definiert“ wird. Sensible Gesundheitsdaten in kleineren Praxen seien schließlich nicht weniger schützenswert als in großen Praxen.
Größe darf keine Rolle spielen
Der bvitg fordert in seiner Stellungnahme unter anderem, den Entwurf für die überarbeitete Richtlinie dahingehend zu ändern, dass branchenspezifische Standards auf Basis des BSI-Grundschutzes verbindlich verankert werden. Zudem sollten die Sicherheitsanforderungen für alle Praxen gelten und nicht von der Größe abhängig sein.
Die IT-Sicherheitsrichtlinie ist 2021 in Kraft getreten. Sie wird derzeit überarbeitet, da neue Themen in die Rechtsgrundlage eingefügt wurden, die zu berücksichtigen sind. So soll die Richtlinie nun auch Maßnahmen in Bezug auf die so genannte Security-Awareness bei Mitarbeitern enthalten.
Freier Zugriff
