Ergebnisbericht

³Das BAG passt die Zertifizierungsvoraussetzungen dem Stand der Technik an.

⁴Für den Erlass der Einzelheiten nach Absatz 2 und für die Anpassungen nach Absatz 3 werden die interessierten Kreise angehört.

Der VAKA wiederholt an dieser Stelle den Kommentar zu Artikel 18. Die IG eHealth, PH CH und die Post weisen darauf hin, dass das EPDG ein starres System beschreibe. Viele technische Vorgaben würden durch das EDI vorgegeben. Der vorliegende Erlassenstext beschreibe allerdings nirgends wie Anpassungsprozesse vorgenommen und garantiert werden. Während die IG eHealth und PH CH vorschlagen, den Erlassenstext durch einen neuen Abschnitt „Systemanpassungen“ zu ergänzen, spricht sich die Post für die Aufnahme eines neuen Artikels „Anpassungsklausel“ aus. Die Post fügt an, dass ein Organ zu definieren sei, das Anpassungen vornimmt. Zudem müsse ein Prozess beschrieben werden, wie Änderungen unter welchen Fristen auf- und angenommen sowie umgesetzt werden. Die Gemeinschaften und die Industrie seien im Prozess zu beteiligen. Für die FMH sind die Zertifizierungsvoraussetzungen zu hoch.

Absatz 3: CURAVIVA und der Insos kritisieren, dass die Delegation von Kompetenzen mit ebenso vagem Inhalt im Hinblick auf die Erfordernisse des Legalitätsprinzips unannehmbar sei. Ähnlich schreibt der Kanton TG, dass die Delegation der Anpassungen der Zertifizierungsvoraussetzungen an das BAG zu umfassend und zu vage sei. Gemäss dem Kanton ZH und des ZAD sei es problematisch, dass das EDI gemäss Absatz 3 die Vorgaben festlege, das BAG jedoch diese dem Stand der Technik anpassen könne. Sachgerecht wäre, dass das EDI auch die Bestimmungen anpasse. Nach Artikel 12 Absatz 2 EPDG sei eine Ermächtigung des BAG zulässig. Nach dem Grundsatz „a maiore minus“ müsse auch eine Ermächtigung des EDI zulässig sein. Während der Kanton AG die Kompetenzdelegation an das BAG zur Anpassung der Zertifizierungsanpassungen an den Stand der Technik begrüsst, fordert die FMH die Ersetzung dieser Delegation durch eine generelle, funktionale Anforderungsbeschreibung auf Ebene Bundesratsverordnung. Die Voraussetzungen seien zudem auf das erforderliche Mindestmass für die Bildung eines Vertrauenraums zu beschränken.

Art. 30 Herausgeber von Identifikationsmitteln

¹Die Herausgeber von Identifikationsmitteln müssen:

a. in der Lage sein, Identifikationsmittel gemäss den Anforderungen nach den Artikeln 22–26 herauszugeben und zu verwalten;

b. sicherstellen, dass das Personal über die erforderlichen Fachkenntnisse, Erfahrungen und Qualifikationen verfügt;

c. Informatiksysteme und -produkte verwenden, die vertrauenswürdig sind und zuverlässig betrieben werden;

d. Datenschutz und Datensicherheit mit geeigneten organisatorischen und technischen Massnahmen gewährleisten und die entsprechenden Kontrollen sicherstellen.

²Das EDI erlässt Vorgaben für den Schutz der Identifikationsmittel und für das Verfahren zu deren Authentifizierung. Sie richten sich nach ISO/IEC 15408:200911 und entsprechen der Evaluierungsstufe 2.

³Das EDI regelt die Einzelheiten der Zertifizierungsvoraussetzungen. Das BAG kann dazu Empfehlungen erlassen.

⁴Das BAG passt die Zertifizierungsvoraussetzungen dem Stand der Technik an.

⁵Für den Erlass der Einzelheiten nach Absatz 3 und für die Anpassungen nach Absatz 4 werden die interessierten Kreise angehört.

Die BRH wiederholt an dieser Stelle ihren Kommentar zu Artikel 22 Buchstabe a und Artikel 27 Absatz 1, die Post ihre Stellungnahme von Artikel 22 Buchstabe c. HIN macht geltend, dass die Rolle des Herausgebers des Identifikationsmittels zu ungenau sei. Im IHE-Kontext spreche man im Thema Authentisierung und Zugriffsregelung vom IDP, ATP und dem STS. In der aktuellen Ausführung sei nicht klar, ob im Herausgeber alle drei Rollen integriert seien oder nicht. Das für jede Transaktion notwendige XUA-Token beinhalte Daten, welche von allen drei Rollen beigesteuert werden: Authentisierungsinformationen (IDP), Attribut Gesundheitsfachperson (ATP) und die restlichen Angaben für das Token (IDs, Rolle etc.), welche vom STS kämen. Würden diese drei Rollen unterschieden und würde unter dem Herausgeber des IDM nur der IDP gesehen, ergäbe das eine sicherheitstechnische Lücke, denn der STS und ATP würden nicht zertifiziert und geprüft, steuern jedoch sicherheitsrelevante Daten bei. HIN schlägt vor, in Artikel 30 die Rolle des Herausgebers der ID zu ergänzen: „Ein Herausgeber des IDM muss alle notwendigen Aktoren (IDP, ATP und STS) zur Verfügung stellen, die nötig sind, eine gültige