Ergebnisbericht

che. Die Tessaris fordert folgende Anpassungen für Ziffer 1.4.2: „Gemeinschaften und Gesundheitseinrichtungen müssen sicherstellen, dass die eindeutigen Parameter der IDM von Gesundheitsfachpersonen und Hilfspersonen zuverlässig mit der registrierten Identität der jeweiligen Person in der Gemeinschaft bzw. der Gesundheitseinrichtung verbunden wird“. Gemäss der FMH bestehen bezüglich Ziffer 1.4.2 Redundanzen. Sie schlagen eine klare Regelung auf Ebene EPDV vor.

1.4.3: Die privatim verweisen bezüglich Ziffer 1.4.3 auf ihre Ausführungen unter den allgemeinen Bemerkungen bei der EPDV. HIN begrüsst die verlangte, starke 2-Faktor-Authentisierung ausdrücklich. Gemäss der STSAG seien die Voraussetzungen an die Primärsysteme nicht akzeptabel in einer Verordnung über das elektronische Patientendossier, da die Institutionen hier schon kantonale Regeln befolgen müssen. Ziffer 1.4.3 sei wegen Eingriff in die Datenhoheit und –sicherheit der Primärsysteme ersatzlos zu streichen. Die K3 und der VZK weisen darauf hin, dass die angeschlossenen Primärsysteme voraussichtlich zentrale und sehr häufig genutzte Systeme (KIS) seien, deren Zugang im normalen Gebrauch sehr rasch möglich sein müsse. Die Ziffer 1.4.3 sei so einzuschränken, dass sie nur für den Zugriff auf das elektronische Patientendossier aus einem Primärsystem gelte. Die SGMI und die FMH stellen fest, dass in Ziffer 1.4.3 / 1.4.3.1 Auflagen an die Primärsysteme gemacht werden. Sie fordern, dass keine Vorschriften für die Authentifizierung von Primärsystemen gemacht werden. Die OFAC macht geltend, dass die Gemeinschaften nichts bezüglich den Primärsystemen sicherstellen können, da sie weder deren Besitzer, noch dafür verantwortlich seien und sie sollen auch nicht die Verantwortung der Gemeinschaften werden.

Die BFH würde aufgrund Ziffer 1.4.3.1 folgern, dass die Zugriffsrechte von hochgeladenen Dokumenten, die also aus der eHealth-Plattform ins Primärsystem übernommen werden, folgen müssen. Es stelle sich die Frage, ob gemeint sei, dass ein „elektronisches Patientendossier-Fenster“ im Primärsystem integriert ist, also gar nicht mehr im Primärsystem gearbeitet werde, sondern lediglich einen Browser-Inhalt zum elektronischen Patientendossier dargestellt werde. Der Unterschied wäre gross und hätte auf die Zugriffsrechte unmittelbare Konsequenzen, wie sie in der EPDV (Art. 8, Bst. e) bereits kommentiert wurden. In der Praxis seien entsprechende Authentisierungsverfahren in Primärsystemen jedenfalls kaum im Einsatz. Zudem arbeiten viele zusätzliche Personen – die nicht im HPI erfasst seien, weil sie keinen Zugriff auf das elektronische Patientendossier benötigen, mit dem Primärsystem und könnten dann Zugriff auf die hochgeladenen Dokumente haben. Das ginge dann am elektronischen Patientendossier vorbei. Das KSSG schreibt, dass Ziffer 1.4.3.1 die Auswirkung hätte, dass sich die Benutzer an jeder Applikation, die mit dem elektronischen Patientendossier in irgendeiner Art kommuniziert, sei dies als Dokumentenquelle oder als Dokumentenkonsument, mit einer 2-Faktor-Authenthifizierung anmelden müssten. Gemeinschaften müssen sicherstellen, dass alle technischen Systeme, wie z.B. Primärsysteme, beim Zugriff auf das elektronische Patientendossier (als Akteur IHE Document Consumer) ein starkes Authentifizierungsverfahren verwenden. Die Post und die IG eHealth weisen darauf hin, dass Ziffer 1.4.3.1 die Ziffer 1.4.1 aufweiche. Es sei Konsistenz in der TOZ herzustellen. Die Post fügt an, dass es nicht sein könne, dass einerseits die Verwendung von IDM zertifizierter Herausgeber gefordert werde und andererseits beliebige Verfahren akzeptiert werden nur, weil ein anderes Stück Software für den Zugriff genutzt wird. Ebenfalls bezüglich Ziffer 1.4.3.1 wünschen die IG eHealth und die Post, dass der Begriff „Bearbeitung“ definiert wird. Gemäss dem VGIch stehe Ziffer 1.4.3.1 bezüglich angeschlossener Primärsystemen im Widerspruch zu Artikel 8 Buchstabe d EPDV und den entsprechenden Erläuterungen. Artikel 8 Buchstabe d und die Erläuterungen seien diesbezüglich anzupassen.

Der VAKA bezeichnet die in Ziffer 1.4.3.2 formulierte Forderung als nicht klar und es sei erstaunlich, dass in diesem Kontext die Primärsysteme explizit genannt seien. Je nach Forderung habe dies enorme Auswirkungen auf die Leistungserbringer. Die Forderung sei klarer zu formulieren. 6 Kantone⁸⁷ schreiben, dass die Gemeinschaften nicht sicherstellen („garantir“) können, dass tausende verwendete Endpunkte vertrauenswürdig seien. Die Gemeinschaft könne nur die Gesundheitsfachpersonen informieren, weshalb Ziffer 1.4.3.2 zu streichen sei. Die Post und die IG eHealth fragen, ob die Forderung in Ziffer 1.4.3.2 bedeute, dass alle Gesundheitseinrichtungen, welche ein Primärsystem am elektronischen Pa-