IT-Sicherheit in der Zahnarztpraxis – Teil 5: Rechtliche Pflichten und persönliche Verantwortung

Herzlich willkommen zu dieser Fortbildung. Mein Name ist Nils Hondong, und ich begleite Sie durch die nächsten Minuten. Unser Thema ist die IT-Sicherheit in Ihrer Zahnarztpraxis, diesmal aus rechtlicher Sicht: Welche Pflichten treffen die Praxis als Ganzes, und welche treffen jede und jeden Einzelnen von Ihnen persönlich? In den vier Modulen zuvor ging es um die Bedrohungslage, um Angriffswege, um Passwörter und E-Mails und um den Umgang mit einem Vorfall im Praxisalltag. Heute ordnen wir das ein. Wir beginnen mit den Pflichten nach dem Sozialgesetzbuch Fünf, also mit der IT-Sicherheitsrichtlinie, die für jede vertragszahnärztliche Praxis gilt. Danach sehen wir uns die Datenschutz-Grundverordnung und die Schweigepflicht an. Zum Schluss geht es darum, welche Folgen Verstöße haben und warum wir diese Fortbildung dokumentieren. Eines vorweg: Es geht nicht darum, Ihnen Angst zu machen. Recht wirkt oft abstrakt und weit weg vom Behandlungsstuhl. Deshalb erkläre ich jede Vorschrift entlang der Frage, was sie ganz konkret für Ihre Arbeit bedeutet, am Stuhl, an der Rezeption und im Backoffice?

Vielleicht fragen Sie sich, warum das Recht erst im fünften Modul kommt. Das ist Absicht. Hätten wir mit Paragrafen angefangen, wäre dieses Thema für viele eine Pflichtübung geblieben. Jetzt ist die Ausgangslage eine andere: Sie wissen, wie ein Angriff auf eine Praxis abläuft, wie schnell eine unauffällige E-Mail zum Einfallstor wird und was passiert, wenn die Praxisverwaltungssoftware an einem Montagmorgen nicht mehr startet. Mit diesem Wissen lässt sich Recht ganz anders lesen. Die Vorschriften, die wir jetzt durchgehen, sind die Antwort auf genau solche Vorfälle. Hinter jeder Anforderung steht die Frage: Was hätte diesen Schaden verhindert? Deshalb gehen wir nicht Paragraf für Paragraf vor, sondern Situation für Situation, und ich sage Ihnen jeweils dazu, wer eine Regel erfüllen muss und was sie für Ihren Arbeitstag bedeutet. Beginnen wir mit der wichtigsten Vorschrift für die IT-Sicherheit Ihrer Praxis.

Diese Vorschrift ist die IT-Sicherheitsrichtlinie nach Paragraf dreihundertneunzig Sozialgesetzbuch Fünf. Erstellt wird sie von der Kassenzahnärztlichen Bundesvereinigung, im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik. Das ist wichtig: Hier schreibt nicht eine Behörde von außen etwas vor. Die zahnärztliche Selbstverwaltung legt gemeinsam mit den Fachleuten für IT-Sicherheit fest, was in einer Praxis gelten soll. Neu ist diese Richtlinie nicht. Eine erste Fassung gilt bereits seit zweitausendeinundzwanzig. Die überarbeitete Fassung ist am zweiten Juli zweitausendfünfundzwanzig in Kraft getreten, und seit dem zweiten Januar zweitausendsechsundzwanzig sind auch alle neuen Anforderungen verbindlich. Wir sprechen also nicht über etwas, das irgendwann kommt, sondern über geltendes Recht. Zwei Neuerungen stechen heraus: Erstens rückt das Praxisteam selbst in den Mittelpunkt, mit Schulung und strukturierter Einweisung. Zweitens ist erstmals geregelt, unter welchen Bedingungen Cloud-Dienste genutzt werden dürfen. Beides sehen wir uns jetzt an.

Beginnen wir mit dem Team. Die Richtlinie verlangt, dass Beschäftigte regelmäßig zu Fragen der Informationssicherheit geschult und sensibilisiert werden, passend zu ihren Aufgaben und zu der Technik, mit der sie tatsächlich arbeiten. Genau das tun wir gerade. Diese Fortbildung ist also nicht nur gut gemeint, sie erfüllt eine konkrete Anforderung. Zweitens gibt es eine ausdrückliche Regel für neue Mitarbeitende: Sie müssen strukturiert in die Praxis-IT eingearbeitet und über die geltenden Regeln informiert werden. Und wer die Praxis verlässt, dessen Zugangsdaten werden geändert oder gelöscht. Stellen Sie sich vor, eine neue Kollegin fängt an einem Montag an. Sie bekommt einen Kittel, einen Spind und den Satz: Melde dich einfach mit dem Rechnerpasswort an, das steht vorne am Tresen. Damit fehlt die Einweisung, und statt eines persönlichen Zugangs teilt sie ein Passwort, das jeder kennt, vielleicht auch die Kollegin, die vor drei Monaten gegangen ist. Eine strukturierte Einweisung muss kein Tagesworkshop sein. Es genügt eine feste Liste: Welche Zugänge bekommt die neue Kollegin, welche Regeln gelten für E-Mails und USB-Sticks, und wem meldet sie einen Verdacht? Einmal sauber aufgeschrieben, lässt sich diese Liste bei jeder Einstellung wieder nutzen, und beim Ausscheiden genauso, nur rückwärts.

Eine Einzelpraxis kann nicht dasselbe leisten wie ein MVZ mit fünfzig Beschäftigten. Deshalb sind die Anforderungen nach Praxisgröße gestaffelt. Maßstab ist nicht der Umsatz und nicht die Zahl der Behandlungsstühle, sondern die Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind. Bis zu fünf Personen gilt die Praxis als klein, bei sechs bis zwanzig als mittel, darüber als Großpraxis. Als Großpraxis gilt außerdem, wer Daten in erheblichem Umfang verarbeitet, etwa ein großes MVZ. Je größer die Praxis, desto mehr Anforderungen kommen hinzu. Der Grundstock aber gilt für alle. Ein ganz anderes Thema ist neu geregelt: die Cloud. Nach Paragraf dreihundertdreiundneunzig Sozialgesetzbuch Fünf dürfen Gesundheitsdaten in der Cloud verarbeitet werden, aber nur in Deutschland, in der Europäischen Union oder in gleichgestellten Staaten, nur nach dem Stand der Technik und nur bei Anbietern mit einem aktuellen C-fünf-Testat des Bundesamts für Sicherheit in der Informationstechnik. Welche Anbieter das erfüllen, prüft die Praxisleitung. Für Sie im Team zählt etwas anderes: Cloud ist nicht nur die Praxissoftware. Auch der private Online-Speicher, das Mail-Postfach zu Hause oder ein Messenger auf dem eigenen Handy sind Cloud-Dienste. Patientendaten haben dort nichts verloren, auch nicht kurz und nicht ausnahmsweise.

Bleibt die Frage, wer für all das geradesteht. Die Antwort ist eindeutig: Verantwortlich für die Umsetzung ist stets die Praxisinhaberin oder der Praxisinhaber. Diese Verantwortung lässt sich nicht an den IT-Dienstleister abgeben und auch nicht an die Kollegin, die sich mit Computern gut auskennt. Aufgaben darf man verteilen, die Verantwortung bleibt oben. Für Sie im Team ist das eine Entlastung: Sie müssen die Richtlinie nicht auswendig kennen. Sie müssen die Regeln kennen, die diese Praxis daraus abgeleitet hat, und sich daran halten. Und noch etwas sollten Sie wissen: Die Richtlinie ist kein Dokument, das man einmal abheftet. Sie wird jährlich überprüft und spätestens alle zwei Jahre an den Stand der Technik angepasst. Für die Praxis heißt das: ein fester Termin im Jahr, an dem eine benannte Person nachsieht, ob sich etwas geändert hat, und die Praxisregeln bei Bedarf nachzieht. Damit haben wir das Fundament nach Sozialgesetzbuch Fünf. Als Nächstes geht es um die Datenschutz-Grundverordnung und um eine Pflicht, die jede und jeden von Ihnen ganz persönlich betrifft.