Ergebnisbericht

HIN macht darauf aufmerksam, dass die umfangreiche Menge von Zertifizierungsanforderungen (Messpunkte) nur mit sehr grossem Aufwand geprüft werden könne. Entsprechend werde vorgeschlagen, die verschiedenen Kriterien nach MUSS und SOLL/KANN einzuteilen. Absatz 2 sei folgendermassen anzupassen: „Das BAG erstellt eine Liste aller Anforderungen und klassifiziert diese nach MUSS und SOLL-Kriterien. Wesentliche Abweichungen betreffen MUSS-Kriterien“. Die SQS schreibt, dass das Register über die zertifizierten Stammgemeinschaften und Gemeinschaften durch das BAG geführt werde. Das BAG könne nach Artikel 36 Massnahmen ergreifen, wenn eine schwerwiegende Gefährdung des Schutzes oder der Sicherheit der Daten des elektronischen Patientendossiers vorliegen würden. Ein zusätzlicher Absatz sei zu Artikel 33 hinzuzufügen: „ Das BAG kann von der Zertifizierungsstelle oder von der Gemeinschaft sowie der Stammgemeinschaft jederzeit die für die Zertifizierung oder Rezertifizierung relevanten Dokumente einfordern“.

Art. 34 Geltungsdauer

Das Zertifikat wird für jeweils drei Jahre ausgestellt.

Die BFH und der Kanton AG wiederholen ihre Stellungnahmen von Artikel 33 Absatz 1 und die FMH ihren Kommentar von Artikel 28. Der VAKA schreibt, dass ihn das Misstrauen erstaune, welches den kommenden Gemeinschaften und Stammgemeinschaften entgegengebracht werde. Es sei vehement zu betonen, dass der Aufwand, alle 3 Jahre eine Zertifizierung anstehend zu haben definitiv nicht tragbar sei. Die K3 und der VZK bezeichnen eine Rezertifizierung alle 3 Jahre ebenfalls als sehr aufwändig. Für die Post wäre eine Geltungsdauer von 5 Jahren adäquat, was Gemeinschaften betreffe. 3 Jahre würden für die IDM Sinn machen. Ähnlich wünschen 6 Kantone⁶⁷ folgende Umformulierung von Artikel 34: „[…] une durée de cinq ans“. Insgesamt fordern 10 Stellungnehmende⁶⁸ die Ausstellung des Zertifikats für 5 Jahre.

Art. 35 Meldung wesentlicher technischer oder organisatorischer Anpassungen

¹Gemeinschaften, Stammgemeinschaften und Herausgeber von Identifikationsmitteln müssen der Zertifizierungsstelle wesentliche technische oder organisatorische Anpassungen melden.

²Die Zertifizierungsstelle entscheidet, ob diese Anpassung durch eine Überwachung, eine Rezertifizierung oder eine ausserordentliche Rezertifizierung geprüft wird.

Der VAKA und die Post bitten um die Präzisierung des Begriffes „wesentlich“. Der VAKA wünscht zudem die Nennung von Beispielen. HIN und die BINT weisen darauf hin, dass die Schwelle, was als „wesentlich“ zu betrachten sei, recht hoch zu liegen habe, da die Zertifizierer ansonsten mit Meldungen überhäuft würden und verweisen auf den Hinweis von HIN zu Artikel 33. Der Kanton AG macht darauf aufmerksam, dass Anpassungen an IT-Infrastrukturen rasch zu aufwändigen Überprüfungen oder Rezertifizierungen führen können. Hier sei dem Prinzip der Verhältnismässigkeit Rechnung zu tragen.

Art. 36 Schutzklausel

Liegt eine schwerwiegende Gefährdung des Schutzes oder der Sicherheit der Daten des elektronischen Patientendossiers vor, so kann das BAG:

a. Gemeinschaften und Stammgemeinschaften vorübergehend den Zugang zum elektronischen Patientendossier verweigern;

b. den Gebrauch bestimmter elektronischer Identifikationsmittel verbieten;

c. eine ausserordentliche Rezertifizierung anordnen.

Die K3 und der VZK weisen darauf hin, dass aufgrund der unabsehbaren Folgen eines Ausschlusses einer Stammgemeinschaft oder einer Gemeinschaft, diese Möglichkeit nicht bestehen könne resp. dürfe. Wenn es möglich sei, eine Gemeinschaft auch nur vorübergehend vom elektronischen Patientendossier auszuschliessen, werde die Bedeutung, welche das elektronische Patientendossier gewinnen würde, völlig verkannt. Es müssten andere Mittel und Wege gefunden werden, um die Anforderungen an den Betrieb eines elektronischen Patientendossiers durchzusetzen. Es könne nicht sein, dass