Ergebnisbericht

in der EPDV spezifisch geregelt werden. Die beiden Verfahren im Zusammenhang mit Sistierung und Entzug von Zertifizierungen, einerseits nach öffentlichem Recht bezüglich der Zulassungsbedingungen des KVG, andrerseits nach den Regelungen der Zertifizierung gemäss ISO-Normen würden sich in keiner Art und Weise bezüglich Fristen und Rechtsweg entsprechen. Ausgehend davon sei eine Regelung der Fristen im Rahmen der Zertifizierungsbedingungen im 2. Abschnitt EPDV von zentraler Bedeutung und müsse verhältnismässig sein.

Variante a bedinge folgenden, zusätzlichen Absatz in Artikel 31: „Das Zertifizierungsverfahren von Stammgemeinschaften und Gemeinschaften richtet sich nach der Verordnung über die Datenschutzzertifizierungen (VDSZ) vom 28. September 2007, soweit die vorliegende Verordnung keine abweichenden Vorschriften enthält“. Bei der Variante b ginge es darum, im Rahmen des zweiten Abschnittes „Zertifizierungsverfahren“ von Kapitel 6 EDPV, Bestimmungen bezüglich Fristen für die Behebung von Hauptabweichungen sowie Sistierung und Entzug einzufügen. Die OFAC weist darauf hin, dass sie bereits seit 2009 Erfahrung in der ISO 27001-Zertifzierung sowie der VDSZ habe. Die Überlagerung der ISO 29115-Normen, der Anforderungen, die spezifisch für die eID der Leistungserbringer im Gesundheitsbereich gelten, sowie die Konformität der Profilschutz der eID, bedeuten ein normatives (Volumen) und ein Zertifizierungsvolumen (in Audittagen), welches über die Zeit und mit einer zu definierenden Zeitdauer verteilt werden müsse. Es bedürfe an Übergangsbestimmungen in diesem Bereich.

Art. 32 Meldung an das BAG

¹Die Zertifizierungsstelle teilt dem BAG jedes erteilte und erneuerte Zertifikat sowie Sistierungen oder Entzüge von Zertifikaten innert angemessener Frist mit und stellt die für den Eintrag in den Abfragedienst für die zertifizierten Gemeinschaften und Stammgemeinschaften nach Artikel 39 notwendigen Daten zur Verfügung.

²Das BAG veröffentlicht ein Verzeichnis der erteilten Zertifikate.

CURAVIVA, der Insos und der Kanton TG wiederholen ihre Stellungnahmen von Artikel 20 Absatz 2 Buchstabe a. Die Post bezeichnet Artikel 32 als sinnvoll.

Art. 33 Überwachung

¹Die Zertifizierungsstelle hat jährlich zu überprüfen, ob die Zertifizierungsvoraussetzungen weiterhin erfüllt sind.

²Stellt die Zertifizierungsstelle im Rahmen ihrer Überwachungstätigkeit wesentliche Abweichungen von den Zertifizierungsvoraussetzungen fest, beispielsweise betreffend die Erfüllung von Bedingungen oder Auflagen, so informiert sie das BAG.

Die GDK, der ZAD sowie 11 Kantone⁶⁶ weisen darauf hin, dass die Zertifizierungsstelle jährlich für alle Gemeinschaften überprüfe, ob deren Zertifizierungsvoraussetzungen noch erfüllt seien. Dies sei zu aufwändig, zumal die Zertifikate gemäss Artikel 34 3 Jahre gültig sein sollen. Diese Überprüfungen sollen während der dreijährigen Geltungsdauer der Zertifikate nicht generell jährlich, sondern nur stichprobenweise erfolgen. Den gleichen Vorschlag machen auch die K3 und der VZK. Der Kanton ZG fügt dazu, dass Überprüfungen auch bei Verdacht oder Hinweisen vorgenommen werden sollten. Ähnlich schlägt der Kanton AI folgenden Wortlaut für Absatz 1 vor: „Die Zertifizierungsstelle hat stichprobenweise oder bei Verdacht zu überprüfen, ob die Zertifizierungsvoraussetzungen weiterhin erfüllt sind“ und die Insel plädiert für folgenden Text: „Bei begründetem Verdacht, dass die Zertifizierungsvoraussetzungen nicht mehr eingehalten werden, kann das BAG eine Überprüfung durch die Zertifizierungsstelle anordnen“. Die FMH sieht in der jährlichen Überprüfung einen zu hohen Aufwand resp. zu hohe Kosten und schlägt eine mindestens dreijährige Frist vor. Aus Sicht der Post sollte zudem eine Überprüfung alle 2 Jahre genügen. Für die Zertifizierung der IDM mache jährlich Sinn. Die BFH fragt, wieso bei einer jährlichen Überprüfung das Zertifikat nicht jeweils um 1 Jahr verlängert werde. Es mache auch keinen Sinn, im dritten Jahr eine Überprüfung durchzuführen, wenn das Zertifikat ablaufe und ohnehin eine Rezertifizierung vorgenommen werden müsse. Gemäss dem Kanton AG seien die jährliche Überwachung und die dreijährige Rezertifizierung in den Erläuterungen besser voneinander abzugrenzen. Es seien auch die Begriffe „Überwachung“, „Zertifizierung“ und „Rezertifizierung“ zu präzisieren und besser abzugrenzen. Das LUKS und die SGMI betrachten eine jährliche Überprüfung bei einem nur 3 Jahre gültigen Zertifikat als unverhältnismässig und fordern die Streichung von Absatz 1. Der DSBAG und die privatim schreiben wiederum, dass die jährliche Überprüfung aus datenschutzrechtlicher Sicht sehr zu begrüssen sei.