Rapport sur les résultats

4.4.12 Anhang 2: Minimale Sicherheitsvorgaben für den Betrieb von Informatikmitteln und

Datenspeichern, die bei der systematischen Verwendung der Versichertennummern

eingesetzt werden /

Annexe 2: Prescriptions minimales de sécurité à respecter dans l’exploitation de ressources informatiques et de supports de données employés en lien avec l’utilisation systématique du numéro d’assuré /

Allegato 2: Prescrizioni minime di sicurezza per l’impiego di mezzi informatici e supporti di memoria nell’utilizzazione sistematica del numero d’assicurato.

OW Wir empfehlen, auf diesen Anhang zu verzichten, da mit dem Datenschutzgesetz und den

damit verbundenen Klassifizierungen schon entsprechende Massnahmen definiert sind.

Ziff. 1 und 2 / Ch. 1 et 2 / N. 1 e 2

Es wurden keine Bemerkungen vorgebracht.

Aucune remarque n’a été formulée.

Nessuna osservazione.

Ziff. 3 / Ch. 3 / N. 3

VD Les contraintes relatives au mot de passe sont très contraignantes et nécessiteront de

nombreuses adaptations. Plutôt que d'imposer de telles exigences, nous estimons qu'il serait préférable de faire référence à des normes de sécurité établies.

Ziff. 4 / Ch. 4 / N. 4

AR Die zeitnahe Nachrüstung von System- und Anwendungssoftware mit

Fehlerbehebungsupdates wird zumindest vom Informatikamt in Appenzell Ausserrhoden nicht in jedem Fall praktiziert. Die Nachrüstung hat sehr häufig zur Folge, dass

verschiedene Anwendungen nach der Aufrüstung nicht mehr oder nicht mehr richtig funktionieren. Eine fallweise Abklärung und Aufspielung solcher Fehlerbehebungsupdates dürfte in der Praxis verbreitet sein. Die Formulierung in Pt.4 lässt hier aber offenbar den nötigen Spielraum zu.

Ziff. 5 / Ch. 5 / N. 5

H+ Die Protokollierung der Verwendung der Nummer ist mit zusätzlichen

Entwicklungsaufwand und damit Kosten verbunden. Ein Nutzen wird nicht

gesehen. Die Ziffer ist zu streichen.

Ziff. 6 / Ch. 6 / N. 6

ZH ....Ziffer 6 von Anhang 2, wonach die Rekonstruktion und Wiederverwendbarkeit von

Daten nach einem möglichen Datenverlust in einem Datensicherungskonzept

beschrieben und regelmässig geübt werden muss, schiesst mit Bezug auf die KVG-Leistungserbringer weit über das Ziel hinaus. Es ist auch nicht ersichtlich, wie die

Einhaltung dieser Pflicht überprüft werden können soll. Sollten die KVG-

Leistungserbringer nicht allgemein vom Anwendungsbereich der

Departementsverordnung ausgenommen werden können, müsste unseres Erachtens zumindest klargestellt werden, dass Art. 4 und Ziffer 6 von Anhang 2 der

Departementsverordnung für diese nicht gilt.

Ziffer 6 von Anhang 2 der Departementsverordnung sollte nach unserem Dafürhalten überhaupt nur für die Zentrale Ausgleichsstelle gelten, weil alle anderen Stellen im Notfall ja wieder auf deren Daten zurückgreifen können.