Rapporto sui risultati

Articolo 22 lettera a: BRH fa notare che il controllo delle norme ISO non è garantito tramite l’UFSP. Oltre a fornire indicazioni trasparenti sulle norme citate, si dovrebbe garantire un accesso semplice e una descrizione dei processi e delle istanze di controllo di tali norme. CURAVIVA, Insos e senesuisse criticano il rimando a una norma ISO/IEC perché viola il principio di legalità; anche il Cantone TG si chiede se il rinvio a una norma ISO/IEC sia legale in un’ordinanza. I suddetti partecipanti sono comunque del parere che questo rimando viola il principio della trasparenza dei testi di legge, tanto più che il contenuto di queste norme è difficilmente accessibile. Secondo il Cantone TG, il grado di riservatezza 3 dovrebbe soddisfare altre caratteristiche di qualità, che l’OCIP prevede espressamente. Lo stesso vale anche per l’accreditamento, la protezione dei SID e la procedura di autenticazione. Anche Posta è del parere che non si dovrebbe prescrivere una norma specifica a livello di ordinanza. Basterebbe determinare dei requisiti solidi nell’ordinanza e affidare a un ufficio federale a indirizzo tecnico la competenza di definire i requisiti nel dettaglio. Chiede pertanto di stralciare la lettera a e di armonizzare la disposizione con la legge federale sulla firma elettronica (FiEle). Secondo ISSS bisognerebbe assicurare che gli emittenti mettano a disposizione i SID elettronici a tempo debito, nella qualità e quantità richieste. Ciò è però possibile solo se vengono impiegati i SID già riconosciuti e certificati oggi, senza chiedere nuovi SID basati su standard diversi. Nel suo parere ISSS attira altresì l’attenzione sugli strumenti già disponibili in Svizzera e in Europa per un’autenticazione sicura. Questi strumenti non si basano necessariamente sulla norma ISO/IEC29115. Auspica l’applicazione dei SID elettronici già definiti e ricorda che per la definizione di ulteriori SID dovrebbe essere determinante lo standard eCH. La lettera a dovrebbe quindi leggere: «a. einer der folgenden Normen oder Vorschriften entsprechen: - Qualitätsstufe 3 der eCH- 0170 Norm; - geregeltes Zertifikat gemäss ZertES; - Suisse ID Authentisierungs-Zertifikat gemäss eCH- 0113 Spezifikation; - eIDAS». Analogamente, SQS chiede di sostituire ISO/IEC29115 con la firma elettronica secondo FiEle.

Articolo 22 lettera c: Posta chiede una precisazione nell’ordinanza, per specificare che mTAN è un possibile SID. SPO è favorevole a una procedura di autenticazione secondo l’attuale stato della tecnica con almeno due fattori di autenticazione. La sicurezza dell’accesso ai dati sensibili dovrebbe essere almeno equivalente a quella delle banche. HIN apprezza il livello di sicurezza adeguato alla situazione e il vincolo di un’autenticazione a due fattori. Anche in ambito stazionario si dovrebbero applicare requisiti di sicurezza analoghi a quelli dei SID ampiamente diffusi fra i professionisti della salute che lavorano in campo ambulatoriale e come liberi professionisti. In qualità di IPD, HIN dichiara di disporre di soluzioni ed esperienza nell’impiego in grandi istituti stazionari. SSIM chiede di rinunciare a un’autenticazione a due livelli.

Articolo 22 lettera d: 6 partecipanti⁶¹ fanno notare che una validità massima di 10 anni è molto lunga considerati i rapidi progressi della tecnica e lamentano la mancanza di considerazioni approfondite su questo punto nel rapporto esplicativo. Chiedono di riconsiderare il termine massimo di 10 anni. DSBAG propone concretamente un termine massimo di due anni, il Cantone BE di 5 anni. VAKA e Posta auspicano la soppressione di questa norma. Se comunque si dovesse ritenere necessaria un’indicazione temporale, secondo Posta questa dovrebbe essere disciplinata nell’articolo 25 e armonizzata con altre leggi.