Ergebnisbericht

Faktor ergänzt werden können. Ähnlich macht die SVP geltend, dass eine Beschränkung auf einige wenige, konkrete IDM überflüssig sei. In den Einrichtungen bereits vorhandene Authentifizierungsmittel könnten auch für den Zugriff auf das elektronische Patientendossier verwendet werden. Der VAKA und der Kanton AG weisen darauf hin, dass keine persönliche Vorsprache bei der Registrierung des IDM erforderlich sein solle, da dieser Aufwand viele Patientinnen / Patienten und Gesundheitsfachpersonen abschrecken würde.

Artikel 22 Buchstabe a: Das BRH macht darauf aufmerksam, dass die Kontrolle der ISO-Normen über das BAG nicht gewährleistet sei. Daher seien transparente Angaben über die genannten Normen angebracht. Eine einfache Zugänglichkeit sei sicherzustellen und die Kontrollprozesse und –instanzen über diese Normen zu beschreiben. CURAVIVA, der Insos und der senesuisse kritisieren, dass der Verweis auf eine ISO/IEC-Norm unangemessen sei, zumal er das Legalitätsprinzip verletze und auch der Kanton TG fragt sich, ob der Verweis auf eine ISO/IEC-Norm auf Verordnungsstufe rechtmässig sei. Weiter schreiben sie, dass dieser Verweis eine Verletzung des Grundsatzes der Transparenz und der Öffentlichkeit der Gesetzestexte nach sich ziehe. Nicht zuletzt sei der Inhalt dieser Normen nur schwer zugänglich. Aus Sicht des Kantons TG sei es notwendig, dass die Vertrauensstufe 3 anderen Qualitätsmerkmalen entspreche, welche die EPDV ausdrücklich vorsehe. Dies gelte auch für die Akkreditierung sowie für den Schutz der IDM und für das Verfahren der Authentifizierung. Die Post ist ebenfalls der Ansicht, dass nicht eine spezifische Norm auf Stufe Verordnung festgeschrieben werden sollte. Es sollen lediglich die stabilen Anforderungen auf Stufe Verordnung festgelegt werden und einem technisch orientierten Bundesamt sei die entsprechende Kompetenz zu übertragen, um diese detaillierten Anforderungen zu pflegen. Buchstabe a soll gestrichen werden und eine Harmonisierung mit dem Bundesgesetz über die elektronische Signatur (ZertES) sei zu ermöglichen. Gemäss der ISSS müsse bei den elektronischen IDM gewährleistet sein, dass diese von den Herausgebern zeitgerecht und in der geforderten Qualität und Menge zur Verfügung gestellt werden können. Dies sei dann möglich, wenn bereits heute bestehende anerkannte und zertifizierte IDM eingesetzt und nicht nach einem anderen Standard neue IDM gefordert würden. Weiter weist die ISSS in seiner Stellungnahme auf in der Schweiz und Europa bestehende Mittel für eine sichere Authentisierung hin. Diese würden sich nicht oder nur bedingt nach der ISO/IEC29115 Norm richten. Es wird die Anwendung von bereits definierten elektronischen IDM gewünscht und darauf hingewiesen, dass der eCH-Standard für die Definition weiterer IDM massgeblich sein sollte. Buchstabe a soll neu folgendermassen lauten: „a. einer der folgenden Normen oder Vorschriften entsprechen: - Qualitätsstufe 3 der eCH-0170 Norm; - geregeltes Zertifikat gemäss ZertES; - Suisse ID Authentisierungs-Zertifikat gemäss eCH-0113 Spezifikation; - eIDAS“. Ähnlich fordert die SQS die Ersetzung von ISO/IEC29115 mit der elektronischen Signatur nach ZertES.

Artikel 22 Buchstabe c: Die Post beantragt eine Präzisierung in der Verordnung, damit hervorgehe, dass mTAN ein mögliches IDM sei. Die SPO begrüsst, dass ein Authentifizierungsverfahren nach dem aktuellen Stand der Technik mit mindestens 2 Authentifizierungsfaktoren verwendet werden müsse. Die Zugriffssicherheit auf sensible Daten solle mindestens derjenigen der Banken entsprechen. HIN begrüsst das dem Sachverhalt angepasste Sicherheitslevel und die strikte Forderung einer 2-Faktor-Authentisierung. Analog dem Niveau, der bei den ambulanten/niedergelassenen Gesundheitsfachpersonen weit verbreiteten IDM, sei die Sicherheitsanforderung auch im stationären Umfeld anzuwenden. Als IPD würden sie über entsprechende Lösungen und Erfahrungen für den Einsatz in grossen stationären Institutionen verfügen. Die SGMI plädiert wiederum dafür, dass von einer zweistufigen Authentifizierung abgesehen werde.

Artikel 22 Buchstabe d: 6 Stellungnehmende⁶⁰ machen geltend, dass eine Gültigkeit von höchstens 10 Jahren in Anbetracht der stets voranschreitenden Weiterentwicklung der Technik sehr lang erscheine. Den Erläuterungen würden sich zu diesem Punkt leider keine Hintergrundüberlegungen entnehmen lassen. Sie fordern die Überprüfung der Maximalfrist von 10 Jahren. Der DSBAG schlägt konkret eine Festlegung der Maximalfrist auf 2 Jahre vor, der Kanton BE eine auf deren 5. Der VAKA und die Post fordern die Streichung dieser Anforderung. Würde hingegen eine zeitliche Komponente als notwendig erachtet, so solle dies gemäss der Post in Artikel 25 geregelt und mit anderen Gesetzen vereinheitlicht