Ergebnisbericht

die Übersicht und die Kontrolle gestalten. Die Regelung solle dahingehend umformuliert werden, dass Untervertragsverhältnisse nur im Ausnahmefall und nur mit dem Einverständnis der Gemeinschaft (im konkreten Fall – keine Generalzustimmung) zulässig seien.

4.12 Überwachung und Überprüfung von Dienstleistungen (Abs. 1 Bst. f)

Die K3, der VZK, der ZAD und der Kanton ZH wiederholen ihre Stellungnahme von Ziffer 4.11. Die SQS wiederholt ihre Bemerkung von Artikel 11 Absatz 2 EPDV und bezüglich Ziffer 4.12.1 und schlägt vor, die Zertifizierungsstelle als Meldestelle für als sicherheitsrelevant eingestufte Vorfälle zu streichen.

4.13 Meldepflicht für Sicherheitsvorfälle (Abs. 2)

Die K3, der VZK, der ZAD und der Kanton ZH wiederholen ihre Stellungnahme von Ziffer 4.11 sowie 4.12 und die FMH wiederholt ihren Kommentar von Ziffer 4.5.1.1. Die SQS plädiert dafür, dass Zertifizierungsstellen nicht als Meldestelle für Sicherheitsvorfälle vorzusehen seien. Insofern sei an dieser Stelle auch kein Meldeverfahren durch die Gemeinschaften zu definieren. Sie schlägt vor, die Zertifizierungsstelle als Meldestelle resp. den Textteil „die Zertifizierungsstelle und“ aus Ziffer 4.13.1 zu streichen. Die ISSS weist darauf hin, dass entsprechend den Vorgaben in anderen Zusammenhängen, z.B. der EU DSGVO, die Information über sicherheitsrelevante Vorgänge auch gegenüber den betroffenen Patientinnen / Patienten zu erfolgen habe, wenn für diese voraussichtlich ein hohe Risiko bestehe. Die Ziffer 4.13.1 sei um den folgenden Satz zu ergänzen: „[…] Zudem müssen Gemeinschaften formale Verfahren für das unverzügliche Melden von Vorfällen an die betroffenen Patienten, durch welche die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten dieser Patienten zur Folge hat, definiert haben“.

4.14 Betriebssicherheit (Abs. 3)

4.14.1: HIN bemerkt zu Ziffer 4.14.1.1.1, dass es sich um eine starke 2-Faktor-Authentisierung handle, was zu begrüssen sei. Die SQS stellt zur selben Ziffer die Frage, ab wann eine 2-Faktor-Authentifizierung als stark bezeichnet werden könne und bittet um eine Präzisierung. Das KSSG schreibt bezüglich Ziffer 4.14.1.1, dass die Umsetzung einer 2-Faktor-Authentifizierung bei den Betriebssystemen, vor allem aber den Datenbanken und anderen technischen Komponenten als unverhältnismässig und nur schwierig umsetzbar angesehen werden. Das würde bedeuten, dass für alle Benutzer im Active Directory für jeden Zweck (auch ausserhalb des elektronischen Patientendossiers) eine 2-Faktor-Authentifizierung eingesetzt werden müsste was extrem teuer und vor allem nicht mehr praktikabel im Betrieb wäre. Eine 2-Faktor-Authentifizierung auf Datenbanken sei je nach Datenbank gar nicht umsetzbar. Die Ziffer 4.14.1.1 sei dementsprechend zu streichen. Die STSAG befürchtet, dass im Zuge der Ziffern 4.14.1.1 sowie 4.14.1.3 – 4.14.1.10 ein inadäquater Aufwand entstehe und spricht sich für die ersatzlose Streichung dieser Bestimmungen aus. 10 Stellungnehmende¹²⁹ machen darauf aufmerksam, dass bei Ziffer 4.14.1.1.2 der Satz unvollständig ist und mindestens ein Wort fehle. Der Text sei folglich zu vervollständigen. HIN schlägt konkret vor, das Wort „System“ an dieser Stelle einzufügen. Gemäss 6 Kantonen¹³⁰ erscheine es schwierig sicherzustellen, dass das System keinen Export von Patientendaten ermöglicht, wenn der privilegierte Zugriff den Zugriff auf Patientendaten zulässt. Dieser privilegierte Zugriff beruht auf dem Berufsgeheimnis. Die erwähnten Kantone fordern die Streichung der Ziffer 4.14.1.1.3. Die ISSS bezeichnet Ziffer 4.14.1.2.3 als praxisfern. Wenn der Lieferant die Infrastruktur und somit auch deren fortlaufenden Betrieb sicherstellen müsse, dann könnten Zugriffe nicht erst "bei Bedarf" aktiviert werden. SLAs könnten so nicht eingehalten werden (vgl. 4.23.1.2). Die Ziffer sei zu streichen. Weiter macht die ISSS folgenden Präzisierungsvorschlag für 4.14.1.4: „[…] diese verschlüsselt, örtlich getrennt und sicher aufbewahrt sind“. Bezüglich Ziffer 4.14.1.5 kritisiert sie, dass unklar sei, was mit dieser Regelung bzw. dem 4-Augen-Prinzip gemeint ist. Vermutlich dürfe das Passwort nicht nur einer Person bekannt sein. Aber wie dies technisch aussehen soll, müsse unbedingt erläutert und an-