Rapporto sui risultati

b. sicherstellen, dass das Personal über die erforderlichen Fachkenntnisse, Erfahrungen und Qualifikationen verfügt;

c. Informatiksysteme und -produkte verwenden, die vertrauenswürdig sind und zuverlässig betrieben werden;

d. Datenschutz und Datensicherheit mit geeigneten organisatorischen und technischen Massnahmen gewährleisten und die entsprechenden Kontrollen sicherstellen.

²Das EDI erlässt Vorgaben für den Schutz der Identifikationsmittel und für das Verfahren zu deren Authentifizierung. Sie richten sich nach ISO/IEC 15408:200911 und entsprechen der Evaluierungsstufe 2.

³Das EDI regelt die Einzelheiten der Zertifizierungsvoraussetzungen. Das BAG kann dazu Empfehlungen erlassen.

⁴Das BAG passt die Zertifizierungsvoraussetzungen dem Stand der Technik an.

⁵Für den Erlass der Einzelheiten nach Absatz 3 und für die Anpassungen nach Absatz 4 werden die interessierten Kreise angehört.

BRH ripete a questo proposito il suo commento sull’articolo 22 lettera a e sull’articolo 27 capoverso 1, mentre Posta reitera il parere espresso sull’articolo 22 lettera c. HIN obietta che il ruolo dell’emittente dello strumento d’identificazione è troppo vago. In ambito IHE, nel contesto dell’autenticazione e della regolamentazione degli accessi si parla di IDP, ATP e STS. Nella versione attuale non è invece chiaro se questi tre ruoli siano tutti integrati nella figura dell’emittente. Il XUA-token necessario per ogni transazione contiene dei dati che sono forniti da tutti e tre i ruoli: informazioni sull’autenticazione (IDP), attributo del professionista della salute (ATP) e le altre indicazioni necessarie per il token come ID, ruolo, ecc. (STS). Se questi tre ruoli venissero separati e l’emittente del SID fosse solo l’IDP, ne risulterebbe una lacuna di sicurezza, perché STS e ATP non sarebbero certificati e controllati sebbene forniscano dei dati rilevanti per la sicurezza. HIN propone di completare il ruolo dell’emittente di SID nell’articolo 30: «Ein Herausgeber des IDM muss alle notwendigen Aktoren (IDP, ATP und STS) zur Verfügung stellen, die nötig sind, eine gültige Authentisierung zu ermöglichen».

Capoverso 1: Posta approva espressamente il capoverso 1. Il Cantone NW scrive che l’organismo di certificazione verifica ogni anno per tutte le comunità se sono soddisfatte le condizioni di certificazione. Questo processo è troppo oneroso, tanto più che secondo l’articolo 34 i certificati rimangono validi per 3 anni. In questo periodo di validità triennale, si dovrebbe rinunciare a verifiche regolari una volta all’anno e sostituirle con dei controlli a campione. ISSS propone la seguente precisazione per la lettera b: «[…] Qualifikationen und anerkannte Zertifizierungen verfügt». La lettera c dovrebbe essere inoltre adeguata a complemento dell’articolo 11 come segue: «[…] zuverlässig in der Schweiz betrieben werden».

Capoverso 2: Senesuisse ripete il suo commento sull’articolo 22 lettera b e l’articolo 27 capoverso 1. Posta e CURAVIVA reiterano le loro posizioni sull’articolo 22 lettera a e l’articolo 27 capoverso 1. Posta aggiunge che l’interpretazione di questo capoverso non è chiara, perché fa riferimento all’autenticazione dei SID. Per migliorare la leggibilità dell’ordinanza, sarebbe preferibile raccogliere tutti i requisiti posti al SID in un unico articolo. Ammesso che abbia senso disciplinarlo a livello di ordinanza, Posta raccomanda di spostare il capoverso dopo l’articolo 22. FMH fa notare che le prescrizioni sulla protezione del SID sono già definite nell’articolo 22 lettera a con la norma ISO/IEC 29115:2013(E). Il capoverso 2 deve essere stralciato perché non è necessaria un’ulteriore tutela.

Capoversi 3 - 5: Secondo Posta non è chiaro se nel capoverso 3 i requisiti di certificazione si riferiscono all’emittente o all’organismo di certificazione. I requisiti menzionati nell’allegato 7 (art. 7) OCIP-DFI, nel capitolo 2, potrebbero essere citati direttamente qui, il che permetterebbe di stralciare i capoversi da 3 a 5. FMH è del parere che il DFI potrebbe disciplinare i dettagli della certificazione, ma solo in base alla norma ISO di cui all’articolo 22 lettera a e senza oltrepassare i requisiti di tale norma. Il capoverso 3 dovrebbe essere modificato come segue: «[…] Zertifizierungsvoraussetzungen gemäss Artikel 22 Buchstabe a». CURAVIVA e il Cantone TG ripetono a proposito del capoverso 4 la posizione già espressa sull’articolo 29 capoverso 3.