Ergebnisbericht

Absatz 1 Buchstaben b und c: Die ISSS macht für den Buchstaben b folgenden, präzisierten Formulierungsvorschlag: „b. Ein System zur proaktiven Erkennung von und zum Umgang mit Vorfällen im Bereich Angriffssicherheit und Betriebsausfallsicherheit“ und der Buchstabe c solle künftig folgendermassen lauten: „c. ein Verzeichnis der Datenablagen, Berechtigungen und Prozesse zur Datensicherung und sicheren Aufbewahrung“.

Absatz 1 Buchstabe d: Der KDSBSON und der DSBAG weisen darauf hin, dass in der Ausarbeitung der Gesetzgebung zum elektronischen Patientendossier nie die Rede davon gewesen sei, dass die Primärsysteme direkt an das elektronische Patientendossier angeschlossen würden. Vielmehr sei ein entsprechender Anschluss der Sekundärsysteme vorgesehen gewesen, was auch dem Kanton FR auffiel. Sie wünschen die Prüfung, ob wirklich ein Anschluss der Primärsysteme stattfinden solle, was aus datenschutzrechtlicher Sicht problematisch und nicht empfehlenswert erscheine. Würde tatsächlich ein Anschluss der Primärsysteme angestrebt, müssten diese die datenschutz- und informationssicherheitsrechtlichen Vorgaben der Gesetzgebung zum elektronischen Patientendossier erfüllen. Die privatim verweisen auf ihre Ausführungen dazu unter den allgemeinen Bemerkungen. Die SQS macht darauf aufmerksam, dass das Datenschutzmanagementsystem nach VDSZ als auch das Managementsystem nach ISO 9001 und das Informationssicherheits-Managementsystem ISO/IEC 27001 jegliche Systeme und nicht nur angeschlossene Primärsysteme umfassen würden. Auf eine explizite Nennung als Anforderung könne folglich verzichtet werden, wenn eine dieser Zertifizierungsnormen als Zertifizierungsnorm für die Gemeinschaften und Stammgemeinschaften gewählt würde. Dementsprechend werde die Streichung von Buchstabe d empfohlen. Gemäss dem Kanton BE suggeriere die Formulierung, dass die Primärsysteme „direkt“ an das elektronischen Patientendossier angeschlossen seien. Tatsächlich seien sie über die Dokumentenablage (synchronisierte Kopie) nur indirekt mit dem elektronischen Patientendossier verbunden. Folgende Formulierung sei dementsprechend geeigneter für Buchstabe d: „d. ein Verzeichnis der abgebildeten Primärsysteme“. Die FMH fragt, was Buchstabe d bedeute und ob dies realistisch und zumutbar sei. Buchstabe d sei zu streichen resp. durch ein Verzeichnis der Sekundärablagen zu ersetzen. Ähnlich sehen 6 Kantone⁴⁸ den Verordnungstext von Buchstabe d ebenfalls als unklar an. Die Daten, welche im Verzeichnis enthalten sein müssen, seien zu präzisieren, bspw. im erläuternden Bericht. Es sei nicht möglich, eine Liste von Computern und verwendeter Software von tausenden Gesundheitsfachpersonen zur Verfügung zu stellen. Buchstabe d sei dementsprechend zu streichen. Der Kanton NE fügt an, dass zumindest Details zu den Daten, die das Verzeichnis der Primärsysteme enthalten solle, im Verordnungstext oder dem erläuternden Bericht, aufzunehmen seien. Die ISSS macht für den Buchstaben d folgenden, präzisierten Formulierungsvorschlag: „[…] Primärsysteme, welche direkten oder indirekten Zugang zu den Daten / Kommunikation haben oder erlangen können“. Lovis wünscht die Klärung, ob das Verzeichnis der angeschlossenen Primärsysteme Organisationen oder Systeme beinhaltet.

Absatz 1 Buchstaben e und f: Für CURAVIVA, den Insos und den Kanton TG sei diese (Unter-) Delegationsnorm zu vage. Sie sollte den Inhalt oder zumindest die grundlegenden Elemente der Datenschutz- und Datensicherheitsvorgaben für die angeschlossenen Gesundheitseinrichtungen und deren Gesundheitsfachpersonen sowie für das Personal und Dritte angeben. Es gehe dabei um die Lesbarkeit des Gesetzes, die richtige Anwendung durch die Betroffenen Akteure und im Endeffekt um die Rechtssicherheit. Der senesuisse erachtet die Regelung in den Buchstaben e und f als ungenügend. Gegenüber den Gemeinschaften müsse klarer bestimmt sein, welche Anforderungen sie von den Gesundheitsbetrieben und Gesundheitsfachpersonen sowie dem Personal und Dritten verlangen müssen. Entweder müsse der Text der Verordnung ergänzt werden oder eine Vollzugshilfe mit geeignetem Inhalt vorformuliert werden.

Absatz 2: Die HL7 und IHE sprechen sich für die Festlegung einer Frist zwischen Eintreten und Meldung von solchen Vorfällen aus. Ähnlich bittet die medshare diesbezüglich um die Bestimmung einer Periodizität. Die Post fragt, welche Anforderungen an die Notifikation gestellt werden und empfiehlt, dass diese Vorschrift an die neue EU-Datenschutzrichtlinie angepasst sein solle. Für die SPO ist nicht klar, ob diese Meldepflicht verbindlich festgehalten sei und ob als sicherheitsrelevant eingestufte Vorfälle