Ergebnisbericht

4.6 Schutz vor Schadcode (Abs. 1 Bst. b)

Der ZAD sowie die Kantone NW, TI und ZH kritisieren, dass die Regelung gemäss Ziffer 4.6 zu detailliert sei. Sie sei zu streichen und es wäre zielführender, dazu generell-abstrakte Grundsätze in der EPDV aufzustellen. Die Post wiederholt bezüglich Ziffer 4.6.1.1 ihre Forderung von Ziffer 4.5.1.1.

4.7 Umgang mit Sicherheitsschwachstellen (Abs. 1 Bst. b)

Die Kantone NW und ZH sowie der ZAD wiederholen ihre Stellungnahme von Ziffer 4.6. Der ZAD schlägt im Gegensatz zu seinem Kommentar von Ziffer 4.6 anstelle der Streichung eine Vereinfachung vor. Neben den Kantonen NW und ZH fordern auch die K3 und der VZK die Streichung von Ziffer 4.7. Sie schreiben, dass die Regelung im Grundsatz richtig sei, jedoch zu detailliert ausfalle. Die ISSS fordert zusätzliche Ziffern mit folgendem Wortlaut: „4.7.4 Gemeinschaften müssen zur Unterstützung des Sicherheitsschwachstellenmanagements mindestens vierteljährlich automatisierte Schwachstellen-Scans durchführen“ und „4.7.5 Gemeinschaften müssen zur Unterstützung des Sicherheitsschwachstellenmanagements mindestens jährlich einen Penetration-Test durch einen unabhängigen Anbieter durchführen lassen“. Der VAKA begrüsst grundsätzlich den Vorschlag gemäss Ziffer 4.7, sieht es aber als relativ grossen Aufwand an, sämtliche Software jederzeit auf alle Schwachstellen geprüft zu haben. Zudem handle es sich häufig um closed source Software, sodass eine Sicherheitslücke im Regelfall sowieso unbekannt sei.

4.8 Verwaltung schützenswerter Daten und Systeme (Art. 1 Bst. c und d)

Die K3, der VZK, der ZAD sowie die Kantone NW und ZH erachten die Regelung als zu detailliert. Der Praxisnutzen schätzen sie als klein ein und wünschen eine Vereinfachung von Ziffer 4.8.

4.8.1: 6 Kantone¹¹⁶ weisen darauf hin, dass dies Teil der Sorgfaltspflicht sei, welche die Gesundheitsfachpersonen, wie bereits in der heutigen Praxis, einhalten müssten. Bleuer macht geltend, dass die Behandlungsrelevanz nicht a priori definiert werden könne. Der VAKA schreibt, dass die Entscheidung gemäss Ziffer 4.8.1 durch die Gesundheitsfachpersonen getroffen werde und im Einzelfall zu beurteilen sei. Das KSSG fragt, wie diese Vorgaben erfüllt werden sollen, wenn es keine Richtlinie gebe, welche Daten behandlungsrelevant sind. Ähnlich fragen die BINT und die Integic, wie „behandlungsrelevant“ in diesem Zusammenhang zu verstehen sei und geben zu bedenken, dass das Verständnis dazu einem erheblichen Wandel unterworfen sein dürfte. Die SGMI bezeichnet die Definition „behandlungsrelevant“ ebenfalls als zu wenig genau und wünscht, wie dies bereits in der Stellungnahme zum Gesetzesentwurf von 2011 der Fall gewesen sei, eine Konkretisierung. Des Weiteren kritisiert auch der VGIch, dass es unklar sei, welche Daten / Dokumente als behandlungsrelevant gelten. Während insgesamt 9 Stellungnehmende¹¹⁷ die alternativlose Streichung von Ziffer 4.8.1 fordern, wäre für die Integic und den KSSG auch eine Präzisierung denkbar. Der VGIch schlägt seinerseits vor, dass das BAG ein unverbindliches Template für einen Best Practice der Dokumentenbereitstellung durch die Spitäler liefern solle. Die OFAC fragt, wie die Gemeinschaft irgendetwas betreffend den angeschlossenen Gesundheitseinrichtungen gewährleisten könne. Wer würde wie und nach welchem Recht die Kontrolle über die Zeit sicherstellen? Die Aufgaben der Gemeinschaften seien umfassend in Artikel 10 EPDG beschrieben. Die angeschlossenen Gesundheitseinrichtungen seien, unabhängig von ihrer Mitgliedschaft, dem Schweizerischen Datenschutzrecht unterworfen. Dazu müsse noch erwähnt werden, dass es auch von der Rechtsform abhänge, welchem Recht die Einrichtungen unterworfen sind.

4.8.2 – 4.8.4: Die Post wiederholt ihre Stellungnahme von Ziffer 4.5 in Bezug auf Ziffer 4.8.2. 6 Kantone¹¹⁸ machen darauf aufmerksam, dass der in der französischen Version verwendete Begriff „sensible“ bei Ziffer 4.8.2 nicht den gleichen Sinn habe wie in den Artikeln 1 und 2 EPDV oder in dem EPDG, was eine Klärung nötig mache. Die KKA, der BüAeV, die GAeSO und die KAeG SG weisen darauf hin,