Ergebnisbericht

Anhang 5c

1 Introduction

Das KSSG fragt betreffend dem Einsatz von XDS-I, ob der DICOM WADO Service ebenfalls Bestandteil der Zertifizierung sei. Dieser wäre Bestandteil der Primärsysteme wenn im XDS Repository nur das KOF registriert werde. Weiter interessiert, ob die Patientenzugangsportale einen entsprechenden DI-COM Viewer, der mit WADO (Akteur Imaging Document Consumer) umgehen kann, unterstützen müssen und ob dies zertifizierungsrelevant sei. Der ganze Bereich XDS-I für den Austausch von Bilddaten sei in den TOZ nicht berücksichtigt worden, weswegen die EPDV und die TOZ gemäss der Anforderung aus IHE XDS-I zu überprüfen seien. Die Post und die IG eHealth schreiben bezüglich des Textteiles “It has been specified for the Document Registries to act as Policy Enforcing Service Providers in terms of a XACML PEP” folgendes: Where has this been specified? How do we deal with the situation that someone, who knows all the identifiers relevant to a document can retrieve this document with the REG PEP intercepting this transaction? Example: A primary system that was authorized in the past, stored this information. It can access the document even after the authorization expired.

Sie sind zudem der Meinung, dass diese Art der Vorgaben es sehr schwierig machen, dass verschiedene Anbieter eigene Lösungen umsetzen können. Die IG eHealth beantragt folgendes: Do not specify HOW something must be implemented. Specify the desired result instead.

2 Volume 1 – Integration Profiles

Die IG eHealth und die Post schreiben bezüglich Ziffer 2.2 folgendes:

- Signature: An X.509 signature by a trusted entity (XUA Assertion Provider) to guaranty the confidentiality of the claims being made and unaltered content of the assertion.” A digital signature does not provide confidentiality. implying wrong expectation must be avoided. Antrag: Remove “confidentiality of the claims being made and”.

- Subject: The custodian attribute has to be present in addition to the GLN/ electronic patient dossier-ID. Authorization decisions can only be made for GLN/ electronic patient dossier-IDs because those are the entities that are being authorized by patients. The custodian acts in the name of either one of those entities. In other words, the custodian has an existence dependency to a GLN or electronic patient dossier-ID. Antrag: Be more specific about which attributes co-exist on a subject.

- Attribute Statement: organization & organization-id: Carrying organization text and ID attributes for patients makes little sense. Resource-id = electronic patient dossier-PID: This assumes that there will never be any cross-patient use cases. This appears to be not very future proof. Antrag: Do not require org text and org ID attributes for patients. Drop electronic patient dossier-PID as resource attribute.

Für die Integic scheint eine Gültigkeitsdauer von 10 Minuten für die Praxis als zu kurz gewählt. Die Wartezeit sei auf 30 bis 60 Minuten zu verlängern. Betreffend Ziffer 2.3.2 weisen die Post und die IG eHealth auf folgendes hin: XACML 3.0 was published in Jan. 2013. is there a reason to use an outdated version? It should keep up with current standards.

3 Volume 2 – Transactions

Die IG eHealth und die Post schreiben bezüglich Ziffer 3.1.10 folgendes: „urn:e-health-suisse:2015:error:not-holder-of-patient-policies” is to be set as the result of an “Indeterminate” PDP response. But the PDP will also return this decision value if there was an error during rule evaluation. The two cannot be distinguished based on the XACML response unless one has control over the PDP’s workings. Which one normally does not have as it is part of a XACML library. Das habe direkte Auswirkungen auf die Implementierung und die Performance. Antrag: Drop the attribute. Zudem geben sie folgende Stellungnahme für Ziffer 3.1.5: The list should include document access via the repository. Repository access is mentioned towards the end of the document, but really should be mentioned as an event that requires authorization in its own right. Das habe ebenfalls direkte Auswirkungen auf die Implementierung und die Performance. Antrag: Add trigger event “RetrieveDocumentSetRequest”. Die Integic macht darauf be-