Die IT-Sicherheitsrichtlinie enthält fünf Anlagen mit unterschiedlichen Anforderungen je nach Praxisgröße und Ausstattung. Anlage 1 gilt für alle Praxistypen. Anlage 2 und 3 enthalten zusätzliche Vorgaben für mittlere bzw. große Praxen. Anlage 4 regelt Anforderungen für medizinische Großgeräte, und Anlage 5 die IT-Sicherheit für dezentrale Komponenten der Telematikinfrastruktur.