Ergebnisbericht

werden könne. 6 Stellungnehmende¹¹⁴ fordern explizit die Streichung von Ziffer 4.3.

Gemäss dem Kanton SZ sei es bezüglich Ziffer 4.3.1.1 nicht sinnvoll zu verlangen, dass die Datenschutzverantwortlichen ihre Funktion unabhängig ausüben können. Analog der K3, dem VZK, dem Kanton ZG und dem ZAD fragt der Kanton SZ zudem, was genau damit gemeint sei. Für die privatim wäre es wünschenswert, wenn unter der Ziffer 4.3.1 ein weiterer Punkt festgehalten würde, welcher besagt, dass der Datenschutzbeauftragte über die für die Aufgabe erforderlichen Fachkenntnisse verfügen muss. Zudem sei bei Ziffer 4.3.1.2 mit Blick auf die Ressourcen zu präzisieren, dass sowohl die zeitlichen als auch die finanziellen Ressourcen gemeint sind. Der VGIch bezeichnet Ziffer 4.3.1.2 als zu unspezifisch und fordert eine Präzisierung mittels klaren Kriterien. Des Weiteren wünscht die medshare folgenden Zusatz zu der Ziffer: „[…] erforderlichen Ressourcen und Entscheidungskompetenzen verfügt“ und der Kanton BS würde folgende Formulierung bevorzugen: „[…] erforderlichen Kompetenzen und Ressourcen verfügt“.

4.4 Erkennen von Sicherheitsvorfällen (SIEM) (Abs. 1 Bst. b)

Das KSSG gibt zu bedenken, dass der Aufbau von einem SIEM sehr aufwändig sei und sich kaum innerhalb der Übergangsfrist von 3 Jahren implementieren lasse. Ziffer 4.4 sei zu lockern oder die Fristen für deren Umsetzung zu verlängern. Gemäss dem VGIch darf sich das SIEM nur auf die technischen und organisatorischen Teile der Gemeinschaftsinfrastruktur beschränken, welche der Bereitstellung des elektronischen Patientendossiers dienen, nicht aber auf (logisch getrennte) Erweiterungen zur Bereitstellung gerichteter Kommunikation und nicht auf die Infrastruktur und Organisation der angeschlossenen Institutionen angewendet werden. 6 Kantone¹¹⁵ schreiben, dass ein SIEM nicht auf Primärsysteme der Gesundheitsfachpersonen angewendet werden könne und wünschen dementsprechend folgenden Zusatz zu Ziffer 4.4.1.1: „[…] de la communauté à l’exclusion des système primaires, qui détecte […]“. Gemäss der ISSS sei im Hinblick auf die praktische Umsetzung vorzusehen, dass die beauftragten Personen eine Schulung, Kurs oder Attest absolvieren müssten. Ziffer 4.4.1.3 sei deshalb folgendermassen zu ergänzen: „[…] adressiert werden. Speziell sind mittels Sensibilisierungsmassnahmen, Schulungen oder Erfahrungsaustausch mit anderen Verantwortlichen die beauftragten Personen innerhalb der Gemeinschaft angemessen und wiederkehrend zu unterstützen“.

Die Post kritisiert, dass Ziffer 4.4.2.2 schwammig formuliert sei. Die Beurteilung, was unüblich sei und wie unüblich erkannt werden könne, sei sowohl für die Gemeinschaft wie auch für den Auditor schwierig umzusetzen. Des Weiteren sei unklar, was eine kritische Mutation nach Ziffer 4.4.2.3 sei. Die beiden Ziffern seien zu konkretisieren.

4.5 Umgang mit Sicherheitsvorfällen (SIEM) (Abs. 1 Bst. b)

Der VAKA, die K3 und der VZK fragen, was ein formales von einem normalen Verfahren unterscheidet. Die medshare ist der Meinung, dass bei Ziffer 4.5.1.1 der Dokumentverweis zur EPDV fehle, was zu ergänzen sei. Die FMH und die SGMI sprechen sich für eine Präzisierung von Ziffer 4.5.1.1 aus. Es mache kaum Sinn alles zu melden. Die Post vermisst an dieser Stelle eine klare Umschreibung des Scopes, was zu beheben sei. Die ISSS fordert folgende Umformulierung von Ziffer 4.5.1.1 aufgrund der Konformität zur EU-Datenschutzgrundverordnung (EU-DSGVO): „formale Verfahren für das Melden von Datenschutz- und Datensicherheitsereignissen an die betroffenen Patientinnen / Patienten gemäss Ziffer 4.13 definiert haben“. Die SQS macht geltend, dass es nicht Funktion und Aufgabe einer Zertifizierungsstelle sei, Meldungen von Datenschutz- und Datensicherheitsereignisse zu empfangen und die Behebung zu kontrollieren. Die Zertifizierungsstelle als Eskalationsstelle sei aus Ziffer 4.5.1.1 zu streichen. Die medshare wünscht, dass Ziffer 4.5.2.2.1 folgendermassen präzisiert wird: „[…] Sperren des Zugangspunktes und Zugangsportals der Gemeinschaft […]“.