Ergebnisbericht

administrativem Weg gelöst werden. Die Beschränkung der Administratorenrechte sei in einer Weisung aufzunehmen. Ähnlich schreibt das KSSG, dass Protokolldaten bis zu deren Archivierung immer manipulierbar seien, weswegen die Regelung nur eingeschränkt umsetzbar sei. Ziffer 2.10.3.4 sei dementsprechend zu streichen oder anzupassen. SCH bemängelt ebenfalls die technische Umsetzbarkeit und schlägt folgende, alternative Ziffer 2.10.3.4 vor: „Systemlogs müssen revisionssicher aufbewahrt werden“. Die BFH ist der Meinung, dass die Systemadministratoren auch keine anderen Aktivitäten löschen oder deaktivieren können sollten und fordern folgende Anpassung von Ziffer 2.10.3.4: „[…] die Protokollierung von Aktivitäten zu löschen oder zu deaktivieren“.

2.10.4: Die Integic macht geltend, dass die unter Ziffer 2.10.4 aufgeführten Protokolleinträge ein Eingriff in die Privatsphäre der Bürgerinnen / Bürger darstellen, soweit sie die Einsichtnahme in die eigenen Daten betreffen. Die Patientin / der Patient müsse diesbezüglich entscheiden können. Ähnlich schreibt die SUVA, dass mit dieser Vorgabe die Privatsphäre der Patientin / des Patienten verletzt werde. Es müsse ihr / ihm freistehen, wann und wie sie / er auf ihre / seine Daten zugreife, ohne dass dies von einer Gesundheitsfachperson eingesehen werden kann. Hier müsse wohl im Einklang mit dem DSG eine andere Lösung gefunden werden. 6 Kantone¹⁰¹ bemängeln die französische Übersetzung von Ziffer 2.10.4.1.3 und schlagen folgenden Wortlaut vor: „configuration des autorisations ou gestion des autorisations“.

Die Post und die IG eHealth fragen bezüglich Ziffer 2.10.4.2, ob es sinnvoll sei, den Patientinnen / Patienten auch abgewiesene Zugriffsversuche im Log anzuzeigen. Sie bezweifelt, dass es wirklich nötig sei, jede Suche mit den entsprechenden Suchkriterien im Log anzuzeigen, da dies verwirrend sein könne, vor allem wenn nichts gefunden oder geliefert worden sei. Sie bitten um eine Präzisierung. Zu Ziffer 2.10.4.2.1 schreiben sie zudem, dass die Liste unter dem Fokus "Einsichtnahme durch Patient" stehe. Sie fragen, ob es korrekt sei, dass eine Patientin / ein Patient bei wahllosen Gesundheitsfachpersonen nachschauen könne, wann diese eingeloggt und ausgeloggt sind oder ob der Login/Logout der Patientin / des Patienten gemeint sei. Die Formulierung "Fokus" sei zu prüfen, die Protokollierung sei grundsätzlich sinnvoll. Sie schlagen zudem folgenden Zusatz vor: „die eigene Authentifizierung […]“. Die Post bemängelt betreffend Ziffer 2.10.4.2.3, dass es sehr viele Einträge geben könne, vor allem da die Ärztinnen / Ärzte häufig unspezifisch suchen. Die Beschränkung der Anzahl Resultate in IHE-Profilen sei optional und es fehle eine Vorschrift, die dies zur MUSS-Anforderung mache. Die Informationsflut leiste keinen Beitrag zur Sicherheit. Die Formulierung der Ziffer sollte komplettiert und konsistent gemacht werden“. Für medshare ist diese Ziffer unverständlich. Sie schreibt, dass nach Dokumenten, aber nicht nach dem elektronischen Patientendossier gesucht werden könne. Es solle präzisiert werden, was gemeint sei. Zu Ziffer 2.10.4.2.5 schreibt die medshare zudem, dass eine Präzisierung resp. Begründung zu erfolgen habe. Der KSSG weist darauf hin, dass die für die Patientin / den Patienten einsehbaren Logdaten durch das IHE ATNA Profil generiert werden. Ihrer Ansicht nach unterstütze das IHE ATNA Profil diese Anforderung nicht. Die Ziffer 2.10.4.2.7 sei zu streichen. Die Protokollierung eines neuen IDM könne in Systemlogs gefordert werden, jedoch nicht im ATNA. Somit sei es auch nicht für die Patientin / den Patienten einsehbar. SCH schreibt bezüglich Ziffer 2.10.4.2.7, dass die Registrierung eines neuen IDM ein Prozess sei, der isoliert im Identity Provider ablaufe. Der Identity Provider sei aber nicht zwingend eine IT-Komponente der Gemeinschaft, sondern könne an Dritte ausgelagert werden. Das SAML-Protokoll, welches für die Kommunikation der Portale mit den Identity Providern vorgeschrieben sei, sehe keinen Austausch von Protokoll-Daten zwischen dem Identity Provider und den Portalen vor. Die Information der Registrierung neuer IDM sei damit i.A. in der Gemeinschaft nicht verfügbar und könne dementsprechend auch nicht in den Protokollen registriert werden.

2.10.5: 6 Kantone¹⁰² weisen darauf hin, dass solange sich das Resultat der Suche nicht nur auf eine einzige Patientin / einen einzigen Patienten beziehe, die Suche keine Historisierung brauche. Es sei zudem technisch unmöglich, einen Ausdruck zu tracken, oder einen Screenshot zu verhindern. Die Ziffern 2.10.5.1 bis 2.10.5.3 seien zu streichen. Die Integic wiederholt ihre Stellungnahme von Ziffer 2.10.4. Die SUVA macht darauf aufmerksam, dass ihre Bemerkungen unter 2.10.4 auch hier gelten, sofern es