Directive de sécurité informatique selon le § 390 SGB V
La sécurité informatique au cabinet,telle que la directive l'exige.
Chaque cabinet conventionné doit mettre en œuvre la directive de sécurité informatique de l'Association fédérale des médecins conventionnés (KBV). Son contenu exact dépend de la taille de votre cabinet. Nous déterminons les exigences qui vous concernent, les mettons en œuvre et consignons la manière dont chacune est remplie.
Ce qu'est la directive et à qui elle s'applique
En vertu du § 390 SGB V (Code de la sécurité sociale allemand, livre V), l'Association fédérale des médecins conventionnés et l'Association fédérale des chirurgiens-dentistes conventionnés (KZBV) fixent, en accord avec l'Office fédéral de la sécurité de l'information (BSI), la manière dont les cabinets doivent sécuriser leur IT. La directive s'applique aux cabinets médicaux, dentaires et de psychothérapie conventionnés ainsi qu'aux centres de soins médicaux (MVZ).
Elle décrit des exigences minimales pour les appareils, les logiciels, le réseau et l'usage de l'IT par l'équipe du cabinet. La KBV l'adapte régulièrement à l'état de la technique et l'a révisée pour la dernière fois en 2025. Elle ne s'applique pas aux hôpitaux, pour lesquels la sécurité informatique est régie par le § 391 SGB V.
Les exigences applicables à votre cabinet
La directive est structurée en annexes. Celles que vous devez respecter dépendent du nombre de personnes chargées en permanence du traitement des données et de votre équipement.
| Cabinet · jusqu'à 5 personnes | Exigences de base de l'annexe 1. Elles s'appliquent à tous les cabinets, y compris aux cabinets individuels. |
| Cabinet moyen · 6 à 20 personnes | En plus, les exigences de l'annexe 2. |
| Grand cabinet · plus de 20 personnes | En plus, les exigences de l'annexe 3. Sont également concernées les structures qui traitent des données à grande échelle, par exemple les grands MVZ ou les laboratoires. |
| Gros équipements médicaux | Pour des appareils comme le scanner ou l'IRM, des exigences supplémentaires de l'annexe 4 s'appliquent. |
| Infrastructure télématique | Pour les composants de l'infrastructure télématique (TI) du cabinet, la directive pose ses propres exigences d'installation et de maintenance sécurisées. |
Sont comptées toutes les personnes qui travaillent régulièrement sur ordinateur avec des données de patients, y compris les assistantes médicales à l'accueil, les apprentis et le personnel chargé de la facturation.
Ce que nous mettons en œuvre dans votre cabinet
La plupart des exigences concernent des éléments qui font de toute façon partie d'une IT de cabinet bien gérée. Nous les mettons en œuvre de manière à ce que vous puissiez prouver chacune d'elles.
- Protection antivirus et mises à jour de sécurité rapides sur tous les ordinateurs et serveurs
- Authentification sécurisée sur tous les appareils et comptes utilisateurs bien organisés
- Sauvegarde régulière des données avec restauration testée
- Pare-feu et réseaux séparés, par exemple pour le Wi-Fi des patients, les appareils médicaux et la gestion du cabinet
- Protection et chiffrement des ordinateurs portables, tablettes et smartphones
- Installation et maintenance sécurisées du connecteur ou de la passerelle TI, des terminaux de lecture de cartes et de KIM
- Effacement sécurisé et élimination des anciens appareils et supports de données
- Courte formation de l'équipe du cabinet sur le phishing et la manipulation sécurisée des données de patients
- Une vue d'ensemble indiquant comment chaque exigence de la directive est remplie
Notre démarche
- 01
Classement
Nous déterminons combien de personnes de votre cabinet travaillent avec le traitement des données et quelles annexes de la directive s'appliquent donc à vous.
- 02
État des lieux
Nous vérifions votre IT au regard de chaque exigence et vous montrons ce qui est rempli et où se trouvent les écarts.
- 03
Mise en œuvre
Nous comblons les écarts et plaçons en dehors des heures de consultation les travaux qui perturberaient le fonctionnement du cabinet.
- 04
Suivi continu
Lorsque la KBV modifie la directive, nous examinons ce que cela implique pour votre cabinet et adaptons la mise en œuvre.
Devez-vous faire appel à un prestataire certifié ?
Non. En vertu du § 390, al. 7 SGB V, la KBV certifie sur demande des prestataires qui accompagnent les cabinets dans la mise en œuvre. Il n'existe toutefois aucune obligation de faire appel à un prestataire certifié. La mise en œuvre reste sous la responsabilité du cabinet, et nous fournissons les preuves correspondantes.
Ce que coûte la mise en œuvre
| Bilan du cabinet selon la directive avec rapport écrit, cabinet jusqu'à 5 personnes | 690 € |
| Bilan du cabinet, cabinet moyen jusqu'à 20 personnes | 1 190 € |
| Bilan du cabinet, grand cabinet ou MVZ | à partir de 1 990 € |
| Mise en œuvre de mesures ponctuelles | 140 € / h |
| Infogérance continue avec mises à jour, sauvegarde et gestion des appareils | à partir de 69 € par utilisateur / mois |
Le bilan du cabinet vous indique pour chaque exigence de la directive si elle est remplie, et ce que coûte la mise en œuvre des points restants. Tous les prix sont HT, TVA légale en sus.
Mise à jour :
FAQ
Questions fréquentes
La directive de sécurité informatique s'applique-t-elle aussi aux petits cabinets ?
Oui. Les exigences de base de l'annexe 1 s'appliquent à tout cabinet conventionné, y compris au cabinet individuel. D'autres exigences s'ajoutent avec la taille.
La directive s'applique-t-elle aussi aux cabinets dentaires et de psychothérapie ?
Oui. Pour les cabinets dentaires, elle est publiée par l'Association fédérale des chirurgiens-dentistes conventionnés, avec une structure largement identique. Les cabinets de psychothérapie conventionnés sont également concernés.
Comment compter les personnes pour le classement ?
Sont prises en compte toutes les personnes chargées en permanence du traitement des données. Outre les médecins, cela inclut les assistantes médicales, les apprentis et le personnel de facturation qui travaillent régulièrement sur l'ordinateur du cabinet.
La directive s'applique-t-elle aussi aux hôpitaux ?
Non. Les hôpitaux relèvent du § 391 SGB V. Ils doivent prendre des mesures appropriées conformes à l'état de la technique, et les grands établissements peuvent en outre relever de KRITIS ou de NIS2.
Notre prestataire informatique doit-il être certifié par la KBV ?
Non, aucune obligation n'existe en ce sens. La KBV certifie sur demande des prestataires qui accompagnent les cabinets dans la mise en œuvre, mais le choix du prestataire vous appartient.
À quelle fréquence la directive change-t-elle ?
La KBV l'adapte régulièrement à l'état de la technique, pour la dernière fois en 2025. La mise en œuvre n'est donc pas une tâche ponctuelle. Dans le cadre de l'infogérance, nous examinons les modifications pour vous.
Combien coûte la mise en œuvre dans notre cabinet ?
Le point de départ est le bilan du cabinet à prix forfaitaire : 690 € pour les cabinets jusqu'à 5 personnes, 1 190 € jusqu'à 20 personnes et à partir de 1 990 € pour les grands cabinets et les MVZ. Vous saurez ensuite ce qui manque et ce que coûte la mise en œuvre.
Directive de sécurité informatique pour cabinets (KBV)
Où en est votre cabinet ?
En 20 minutes, nous déterminons les exigences applicables à votre cabinet et où vous en êtes aujourd'hui.