Ergebnisbericht

Das LUKS betrachtet die Anforderungen an Zertifizierungsstellen als zu hoch und fordert deren Reduktion auf ein praktikables Minimum. Gleiches wünschen die PKS, die SGMI und die FMH. Sie schreiben, dass die hohen Anforderungen zu überhöhten Kosten der Akkreditierung führen würden, ohne die Sicherheit des Gesamtgebildes wesentlich zu verbessern. Die STSAG plädiert dafür, dass die Anforderungen der Gemeinschaften über die Stammgemeinschaften definiert und geprüft und nicht über eine Akkreditierungsgesellschaft gelöst werden sollten. Für Stammgemeinschaften sollte eine Akkreditierung, für Gemeinschaften nur eine Zertifizierung vorgesehen werden.

Die BRH, CURAVIVA, der Insos sowie der Kanton TG wiederholen bezüglich Artikel 27 Absatz 1 ihre Stellungnahmen von Artikel 22 Buchstabe a und der senesuisse seinen von Artikel 22 Buchstabe b. Die SQS weist darauf hin, dass Datenschutz und Datensicherheit für das elektronische Patientendossier von zentraler Bedeutung seien. Gemäss dem erläuternden Bericht zum EPDG solle die Einhaltung durch ein Zertifizierungsverfahren sichergestellt werden. Dabei sei vor allem auch an das Zertifizierungsverfahren nach Artikel 11 DSG zu denken. Gerade in diesem Bereich sei für eine zielführende Umsetzung wichtig, dass international anerkannte Grundsätze und Verfahren zur Anwendung kämen. Die Zertifizierung VDSZ erfülle diesen Anspruch, indem die international anerkannte ISO/IEC 27001 in weiten Teilen bezüglich der Aspekte der Informations-/Datensicherheit gemäss Ziffer 3 der Richtlinien über die Zertifizierung von Organisationen und Verfahren enthalten sei und die Anforderungen des Datenschutzes/Datenschutzmanagementsystems Teil dieses spezifischen Zertifikats seien. Die Akkreditierung der Zertifizierungsstellen sei in der VDSZ geregelt, ebenso die Anforderungen an das Personal. Des Weiteren habe sich die VDSZ-Zertifizierung in den vergangen Jahren im Rahmen der gesetzlich zwingenden Zertifizierungen der Datenannahmestellen der sozialen Krankenversicherungen bewährt. Die SQS fordert folgende Änderung von Artikel 27 Absatz 1: „[…] sowie nach der Verordnung für Datenschutzzertifizierungen (VDSZ) vom 28. September 2007, soweit […]“.

Im Rahmen von Absatz 3 schreibt die SQS, dass zusätzlich zur Anwendung der Akkreditierung- und Bezeichnungsverordnung (AkkBV) auch die Anwendung ISO/IEC 27006:2015 gefordert werde. Hier seien die Forderungen redundant und der Artikel sollte von unnötigen Anforderungen befreit werden. Die ISO/IEC 27006 sei nur relevant, wenn nach ISO/IEC 27001 zertifiziert werden müsse. Artikel 27 Absatz 3 Buchstaben a und b seien ersatzlos zu streichen. Bezüglich des Absatzes 4 weist die SQS darauf hin, dass auch die Anforderungen an die Qualifikation durch die Akkreditierung gegeben seien. Die in Anhang 7 geregelten technischen und organisatorischen Voraussetzungen resp. Anforderungen für Stammgemeinschaften und Gemeinschaften würden keine Inhalte aufweisen, welche den Anforderungen nach ISO/IEC 27001:2013 oder den Anforderungen einer Zertifizierung nach Artikel 11 DSG abweichen und spezifische Kenntnisse in Medizininformatik bedingen würden, um eine regelkonforme Überprüfung im Rahmen der Zertifizierung zu garantieren. Absatz 4 sei deshalb ebenfalls ersatzlos zu streichen.

Art. 28 Akkreditierungsverfahren

Die Schweizerische Akkreditierungsstelle zieht für das Akkreditierungsverfahren und die Nachkontrolle sowie für die Sistierung oder den Entzug einer Akkreditierung das BAG bei.

Gemäss der FMH dürfe es nicht sein, dass für die Akkreditierungsverfahren viel Zeit und Geld aufgewendet werden müsse, gerade wenn man möchte, dass unabhängige Ärztegesellschaften Gemeinschaften bilden.

3.1.6 6. Kapitel: Zertifizierung

1. Abschnitt: Zertifizierungsvoraussetzungen