Rapporto sui risultati

In riferimento al numero 4.3.1.1, il Cantone SZ considera inopportuno che i responsabili della protezione e della sicurezza dei dati debbano esercitare la loro funzione in modo indipendente. Alla stessa stregua di K3, VZK, del Cantone ZG e di ZAD, il Cantone SZ chiede inoltre che cosa s’intenda di preciso. Per privatim sarebbe auspicabile che al numero 4.3.1 si aggiungesse un altro punto che esiga per il responsabile della protezione e della sicurezza dei dati di disporre delle conoscenze tecniche necessarie. Al numero 4.3.1.2 si dovrebbe inoltre precisare che per risorse s’intendono sia quelle in termini di tempo che di finanze. VGIch considera il numero 4.3.1.2 troppo poco specifico e chiede una precisazione mediante criteri chiari. Medshare desidera completare il numero nel modo seguente: «[…] erforderlichen Ressourcen und Entscheidungskompetenzen verfügt», mentre il Cantone BS preferisce la seguente redazione: «[…] erforderlichen Kompetenzen und Ressourcen verfügt».

4.4 Monitoraggio di incidenti di sicurezza (cpv. 1 lett. b)

KSSG osserva che la creazione di un Security Information and Event Management System (SIEM) è molto onerosa e praticamente impossibile da realizzare entro i 3 anni di periodo di transizione. Il numero 4.4 deve essere reso più flessibile oppure si devono prolungare le scadenze. A parere di VGIch, il SIEM deve limitarsi a quelle parti tecniche e organizzative dell’infrastruttura di una comunità intese a mettere a disposizione la cartella informatizzata del paziente, e non deve essere applicato alle estensioni (separate logicamente) destinate a fornire una comunicazione orientata né all’infrastruttura e organizzazione delle strutture aderenti. 6 Cantoni¹¹⁶ dichiarano che un SIEM non può essere applicato ai sistemi primari dei professionisti della salute e desiderano dunque la seguente aggiunta al numero 4.4.1.1: «[…] de la communauté à l’exclusion des système primaires, qui détecte […]». Secondo ISSS si dovrebbe prevedere, ai fini dell’applicazione pratica, che le persone incaricate debbano assolvere una formazione, un corso o certificato. Il numero 4.4.1.3 deve pertanto essere completato come segue: «[…] adressiert werden. Speziell sind mittels Sensibilisierungsmassnahmen, Schulungen oder Erfahrungsaustausch mit anderen Verantwortlichen die beauftragten Personen innerhalb der Gemeinschaft angemessen und wiederkehrend zu unterstützen».

Posta critica che il numero 4.4.2.2 è formulato in modo molto vago. Per una comunità e anche per chi effettua un audit è infatti difficile valutare cosa sia inusuale o meno. Non è inoltre chiaro cosa sia una mutazione critica secondo il numero 4.4.2.3. Entrambi i numeri dovrebbero essere concretizzati.

4.5 Gestione degli incidenti di sicurezza (cpv. 1 lett. b)

VAKA, K3 e VZK chiedono quale sia la differenza fra una procedura formale e una normale. Medshare segnala che al numero 4.5.1.1 manca il rinvio all’OCIP e che bisogna quindi inserirlo. FMH e SSIM auspicano una precisazione del numero 4.5.1.1, perché non ha senso notificare tutto. In questo punto Posta lamenta la mancanza di una descrizione precisa del campo di applicazione e chiede di colmare questa lacuna. ISSS propone la seguente riformulazione del numero 4.5.1.1 per motivi di conformità con il Regolamento generale sulla protezione dei dati dell’UE (UE-RGPD): «formale Verfahren für das Melden von Datenschutz- und Datensicherheitsereignissen an die betroffenen Patientinnen / Patienten gemäss Ziffer 4.13 definiert haben». SQS considera che non sia competenza né compito di un servizio di certificazione, ricevere notifiche di eventi relativi alla protezione e sicurezza dei dati e controllarne la soluzione. Nel numero 4.5.1.1 si dovrebbe pertanto cancellare il servizio di certificazione come livello di escalation. Medshare desidera che il numero 4.5.2.2.1 venga precisato come segue: «[…] Sperren des Zugangspunktes und Zugangsportals der Gemeinschaft […]».

4.6 Protezione da software maligni (cpv. 1 lett. b)

ZAD e i Cantoni NW, TI e ZH criticano che la disposizione di cui al numero 4.6 è troppo dettagliata. Dovrebbe essere stralciata e sostituita da principi generali e astratti da inserire nell’OCIP. Sul numero 4.6.1.1 Posta ripete la richiesta avanzata al numero 4.5.1.1.