Ergebnisbericht

unverhältnismässiger Aufwand entstehe. Die SGMI kritisiert, dass die weit gefasste Form der Datenlieferung eine Hintertür zur indirekten Kontrolle der Leistungserbringer und zur übermassigen Datensammlung öffne. Die Datenlieferung sei auf ein striktes Minimum im Sinne der anonymen Nutzungsstatistik zu reduzieren. Absatz 2 dürfe nicht zu einem Freipass fürs EDI verkommen. Die STSAG bezeichnet Artikel 21 als Blanko-Check und fordern die Verwerfung in dieser Form. Es sei sicherzustellen, dass die Anforderungen nicht beliebig erweitert werden können im EPDV-EDI. Der VAKA, die K3 und der VZK weisen darauf hin, dass der Aufbau einer Stammgemeinschaft bereits aufgrund der hohen Anforderungen zur Zertifizierung aufwändig und teuer sei. Mit Artikel 21 würden Stammgemeinschaften weiter finanziell unter Druck gesetzt und hätten keinerlei Nutzen. Der VAKA schreibt zudem, dass die Evaluierung des EPDG zwar unbestritten, die Tiefe der Daten und die Ausgabeart jedoch nicht unterstützenswert seien. Deshalb werde die ersatzlose Streichung gefordert. Die K3 und der VZK wünschen eine restriktive Handhabung der Datenanforderungen. Die SWOR, der SBK und der SVBG erachten die vorgesehene Evaluation als besonders wichtig. Sie werde wichtige Anhaltspunkte liefern, um den Verlauf des elektronischen Patientendossiers zu beurteilen und notwenigen Handlungsbedarf aufzuzeigen.

3.1.4 4. Kapitel: Identifikationsmittel

Art. 22 Anforderungen an das Identifikationsmittel

Das Identifikationsmittel muss:

a. der Vertrauensstufe 3 der Norm ISO/IEC 29115:2013(E) entsprechen;

b. so aufgebaut sein, dass es nur von der berechtigten Person verwendet werden kann;

c. ein Authentifizierungsverfahren nach dem aktuellen Stand der Technik mit mindestens zwei Authentifizierungsfaktoren verwenden; und

d. eine Gültigkeitsdauer von höchstens zehn Jahren aufweisen.

10 Stellungnehmende⁵⁹ bezeichnen die Anforderungen an das IDM als sehr hoch. Das Ausführungsrecht solle heute in den Spitälern verwendete IDM zulassen, sofern sie bestimmten Kriterien entsprechen würden. Eine Gesundheitsfachperson in einem Spital sollte nicht mehrere Logins und Zugangssysteme verwalten müssen. Die Anforderungen an das IDM für Gesundheitsfachpersonen in Spitälern seien zu überprüfen. Die Post wünscht, dass dort wo Spitalpersonal nach kantonalem Recht gültige IDM einsetze, diese auch für das elektronische Patientendossier verwendet werden sollen. Der VAKA verweist ebenfalls auf bereits bestehende IDM-Lösungen und verlangt die Klärung, wo und nach welchen Kriterien diese auch für den Zugriff auf EPDG-Daten verwendet werden können. Ähnlich schreibt der Kanton LU, dass das Personal mit neuen, teuren IDM für den Zugriff auf das elektronische Patientendossier ausgerüstet werden müsste, weswegen eine Überarbeitung nötig sei. Die Medgate bezeichnet die Anforderungen an die Identitätsbestätigung und das IDM als in vielen Fällen zu hoch und damit zu wenig praktikabel, weshalb vereinfachte Verfahren nötig seien und die SGMI schreibt, dass der Einsatz bestehender, bereits weit verbreiteter IDM wünschenswert sei. Die PKS weisen darauf hin, dass die Regelungen zu den IDM nicht den im Spital praktizierten Abläufen der Personalabteilung beim Ein- und Austritt von Gesundheitsfachpersonen entsprechen würden. Im Alltag solle auf das vorhandene Authentisierungsverfahren vertraut werden und der Einsatz bestehender, bereits weit verbreiteter IDM sei wünschenswert. Die IG eHealth, PH CH und economiesuisse fordern, dass Artikel 22 mit einer Übergangsbestimmung ergänzt oder wie folgt angepasst werde: „In all jenen stationären Einrichtungen, in welchen die Gesundheitsfachpersonen ein nach kantonalem Recht gültiges IDM für den Zugriff auf Patientendaten einsetzen, kann dieses IDM auch für den Zugriff auf das elektronische Patientendossier verwendet werden“. Der HÄ CH und die ÄTG plädieren für eine pragmatische und vor allem alltagstaugliche Lösung, was insbesondere hinsichtlich Zeitaufwand und Kosten wichtig sei. Eine einfache Rechtevergabe und Regelung für Praxispersonal sei nötig, damit nicht Sekretariatsaufgaben aufgrund Zugriffsberechtigungen an eine Ärztin / einen Arzt delegiert werden müssten. Gemäss der K3 und dem VZK müsse es möglich sein, dass das System „elektronisches Patientendossier“ dem Spital „vertraue“. Für die Spitäler sei es im Alltag wichtig, dass sie für den Zugriff auf das elektronische Patientendossier nicht wieder auf andere Authentifizierungsverfahren abstützen müssen, sondern das intern verwendete Verfahren nur noch „ergänzt“ werden könne. Dazu müsste das interne Verfahren gewisse Anforderungen erfüllen (z.B. Passwortlänge) und dann beim Zugriff auf das elektronische Patientendossier nur noch mit einem dritten