§ 390 SGB V: Wie weisen Praxen die Schulungspflicht nach?
Kurz gesagt
Mit einer Dokumentation je Person. Die KBV-Richtlinie nach § 390 SGB V verlangt, dass Mitarbeitende regelmäßig geschult und im sicheren Umgang mit der IT eingewiesen werden. Das Problem ist meist die Logistik: Der Empfang kann nicht schließen. Ein Online-Kurs, den jede Person in Etappen bearbeitet, endet mit einem Teilnahmezertifikat für Ihre Unterlagen.
Die meisten Praxen kennen die Pflicht. Den Nachweis hat fast niemand.
Was verlangt § 390 SGB V?
§ 390 SGB V beauftragt die Kassenärztlichen Bundesvereinigungen, die Anforderungen an die IT-Sicherheit in einer Richtlinie festzulegen. Das Gesetz nennt dabei ausdrücklich Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern zur Informationssicherheit. Die Richtlinie ist für alle Praxen in der vertragsärztlichen Versorgung verbindlich.
Die IT-Sicherheitsrichtlinie der KBV setzt das in Anlage 1 um, die für jede Praxis gilt:
- Mitarbeitende müssen regelmäßig geschult beziehungsweise weitergebildet werden, insbesondere zur eingesetzten Technik und IT.
- Alle Mitarbeitenden und externen Benutzenden müssen in den sicheren Umgang mit IT-Komponenten eingewiesen und sensibilisiert werden, soweit das für ihre Arbeit relevant ist.
- Die Praxisleitung muss selbst für Sicherheitsfragen sensibilisiert sein und Schulungsmaßnahmen unterstützen.
Diese Anforderungen gehören zu denen, die mit der überarbeiteten Richtlinie neu hinzugekommen sind. Sie gelten seit dem 1. Oktober 2025. Großpraxen mit mehr als 20 ständig mit der Datenverarbeitung betrauten Personen sollen zusätzlich den Lernerfolg messen und auswerten.
Gilt das für jede Praxisgröße?
Ja, die Schulungsanforderungen stehen in Anlage 1, und die gilt für alle. Die Richtlinie unterscheidet drei Größen nach der Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind: Praxen mit bis zu fünf Personen setzen Anlage 1 und 5 um, mittlere Praxen mit 6 bis 20 Personen zusätzlich Anlage 2, Großpraxen mit mehr als 20 Personen zusätzlich Anlage 3. Kleine Praxen sind also nicht ausgenommen. Gerade dort fällt die Schulung am leichtesten hinten herunter, weil jede Person am Empfang fehlt, sobald sie im Kurs sitzt.
Warum ist der Nachweis das eigentliche Thema?
Verantwortlich für die Einhaltung der Richtlinie ist der Praxisinhaber. Eine bestimmte Form des Nachweises schreibt die Richtlinie nicht vor. Wer aber belegen will, dass geschult wurde, braucht etwas in der Akte: wer, wann, was. Ohne diese Unterlage ist eine durchgeführte Schulung im Zweifel nicht von einer ausgefallenen zu unterscheiden.
Woran scheitert die Schulung?
Das Problem ist kein Unwille, es ist Logistik. Der Empfang kann nicht zumachen, und es gibt keinen Termin, an dem das ganze Team gleichzeitig Zeit hat. Also verschiebt sich die Schulung, und irgendwann ist aus einem Pflichtpunkt ein offenes Risiko geworden, das in keiner Akte steht.
Wie geht es ohne Praxisschließung?
- Die Awareness-Schulung läuft als Online-Kurs.
- Jede Person bekommt einen eigenen Zugang und bearbeitet den Kurs, wann es passt, auch in Etappen.
- Buchbar ab einer Person.
- Am Ende steht ein Teilnahmezertifikat je Person für Ihre Dokumentation.
Wie bauen Sie die Dokumentation auf?
- Liste aller Personen. Alle Mitarbeitenden und alle externen Benutzenden, die mit der Praxis-IT arbeiten.
- Schulung je Person. Jede Person schließt den Kurs ab, das Zertifikat kommt in die Unterlagen.
- Neue Mitarbeitende. Die Richtlinie verlangt eine geregelte Einarbeitung. Der Kurs gehört in diese Einarbeitung, nicht in die nächste Sammelrunde.
- Wiederholung. „Regelmäßig“ heißt: Legen Sie einen festen Rhythmus fest und schreiben Sie ihn auf.
Wo liegt die Grenze?
Ein Online-Kurs vermittelt den sicheren Umgang mit IT allgemein. Er ersetzt nicht die Einweisung in Ihre eigenen Abläufe: wer in Ihrer Praxis Updates einspielt, wie Ihre Datensicherung funktioniert, wen das Team bei einer verdächtigen E-Mail anruft. Die Richtlinie verlangt auch, dass festgelegt ist, wer die Updates installiert, und dass diese Person geschult ist. Das bleibt Aufgabe der Praxis. Und ein Zertifikat belegt die Teilnahme, nicht das Verhalten im Alltag. Wer die Schulung bereits anderweitig durchgeführt hat, braucht keinen zweiten Kurs, sondern nur die fehlenden Nachweise.
Auch die übrigen Anforderungen der Richtlinie erledigt ein Kurs nicht. Die Datensicherung etwa soll getestet werden, und das ist eine technische Aufgabe, keine Schulungsfrage. Mehr dazu im Beitrag Warum ist ein Backup ohne Rücksicherungstest keine Sicherung?. Wer eine Praxis übernimmt, prüft den Schulungsstand am besten gleich mit, siehe Praxisübernahme: Was sollten Sie vorher über die IT wissen?.
Wie Sie den Kurs für Ihr Team buchen, steht auf unserer Seite IT für Arztpraxen.
Häufige Fragen
Seit wann gilt die Schulungspflicht?
Die Anforderungen zur Sensibilisierung und Schulung gehören zu den Punkten, die mit der überarbeiteten IT-Sicherheitsrichtlinie der KBV neu hinzugekommen sind. Sie gelten seit dem 1. Oktober 2025. Grundlage ist § 390 SGB V, der ausdrücklich Maßnahmen zur Sensibilisierung von Mitarbeiterinnen und Mitarbeitern zur Informationssicherheit verlangt.
Wer muss geschult werden?
Nach der Richtlinie müssen Mitarbeitende regelmäßig geschult werden, und alle Mitarbeitenden und externen Benutzenden müssen in den sicheren Umgang mit IT-Komponenten eingewiesen werden, soweit das für ihre Arbeit relevant ist. Auch die Praxisleitung muss für Sicherheitsfragen sensibilisiert sein. Neue Mitarbeitende gehören in die geregelte Einarbeitung.
Welche Form muss der Nachweis haben?
Eine bestimmte Form schreibt die Richtlinie nicht vor. Verantwortlich für die Einhaltung ist aber der Praxisinhaber, und belegen lässt sich nur, was dokumentiert ist: wer wann woran teilgenommen hat. Ein Teilnahmezertifikat je Person ist dafür eine einfache und vollständige Grundlage.
Wie oft muss geschult werden?
Die Richtlinie verlangt eine regelmäßige Schulung, nennt aber keinen festen Abstand. Legen Sie deshalb selbst einen Rhythmus fest und halten Sie ihn schriftlich fest. Wichtig ist, dass neue Mitarbeitende nicht auf die nächste Sammelrunde warten, sondern den Kurs in der Einarbeitung abschließen.
Passend für Ihr Umfeld
Was heißt das für Ihre Geräte?
Im Erstgespräch sehen wir uns an, was dieser Beitrag für Ihre Macs, iPhones und iPads konkret bedeutet. Sie bekommen eine klare Einschätzung, ohne dass Sie etwas bestellen müssen.
Erstgespräch vereinbaren
