Ergebnisbericht

welcher Basis/Vorgabe eine WAF zu betreiben / dokumentieren sei und welche Aspekte der technischen Implementierung einer WAF zu beachten seien. Eine WAF gebe es als Hardware-Appliance, Software-Plug-In auf einem Webserver oder auch als Addon für Netzwerkfirewalls oder Loadbalancer. Die Dokumentationsanforderung an die HW/SW-Infrastruktur des Zugangsportals sollte generischer formuliert werden. Die Ziffer sei dementsprechend zu ergänzen resp. umzuformulieren.

4.21 Ablauf von Netzwerk-Sitzungen („Session Timeout“)

Die privatim wünschen aus Gründen der Klarheit eine Umformulierung der Bestimmungen. Zudem sei zu überprüfen, ob 2 Stunden Inaktivitätszeit für Gesundheitsfachpersonen nicht zu lange ist: „Netzwerksitzungen, die während einer definierten Zeitperiode inaktiv sind (nicht bedient werden), sind vom System automatisch zu beenden. Die Inaktivitätsperiode beträgt bei Patienten 20 Minuten und bei Gesundheitsfachpersonen 1 Stunde“. Der VGIch wiederholt seine Stellungnahme von Ziffer 4.9.3. Die Insel schreibt, dass eine so kurze Sessions-Dauer für Patientinnen / Patienten als erhebliche Einschränkung der Benutzbarkeit wahrgenommen werde und schlägt vor, die Bestimmungen an Online-Banking-Lösungen zu orientieren. Die Patientin / der Patient könne selber time-out-Einstellung wählen und ihr / sein Risiko persönlich tragen. Gemäss der K3, dem VZK, dem ZAD und dem Kanton ZH erscheine es als wenig sinnvoll, absolute Zahlen für ein automatisches Logout vorzugeben. Eine generell-abstrakte Regelung dürfte genügen. Ziffer 4.21 sei daher zu streichen und durch eine Regelung in der EPDV(-EDI) zu ersetzen. Für die SQS ist die Festhaltung der Dauer von Sessiontimeouts wenig sinnvoll. Zudem sei es bedenklich, dass ein Intervall von 2 Stunden bei Gesundheitsfachpersonen vorgegeben werde. Die Zeitangaben seien zu streichen, oder eine maximale Dauer anzugeben. Ein Timeout nach max. 20 Minuten solle für alle gelten. Die FMH, die SGMI und die STSAG bezeichnen die Definition von Session Timeouts in einer Verordnung als unverhältnismässig und fordern dementsprechend die Streichung von Ziffer 4.21. Bleuer macht bezüglich den Bestimmungen unter Ziffer 4.21 auf die Gefahr aufmerksam, dass die Dokumente unvollständig abgerufen werden und daher eine Streichung erfolgen solle resp. zumindest längere Zeiten zu definieren seien. Die BINT fordert bezüglich Ziffer 4.21 die Streichung, da unvollständige Daten zur Patientin / zum Patienten die Folge sein können. Bei den eigenen Daten stelle dies einen Eingriff in die Privatsphäre dar. Es stelle sich die Frage, warum das auf Verordnungsebene geregelt wird und weshalb die Zeit für die Patientin / den Patienten kürzer ist. Gemäss der ISSS sei es zwar richtig, dass ein Ablauf der Sitzung stattfinden soll, allerdings wäre dieser sinnvollerweise anderswo zu definieren und hier darauf zu verweisen. Es sollte nicht der ganze Anhang angepasst werden müssen, wenn eine Anpassung der Ablaufzeit stattfindet. Ausserdem wäre es womöglich passender, generell von Sitzungen zu sprechen (und nicht von Netzwerk-Sitzungen), da die gleichen Grundsätze auch für offline-Arbeitsplätze gelten können. Sie macht folgenden Formulierungsvorschlag für Ziffer 4.21.1: „[…] definierten Inaktivitätsperiode automatisch beendet werden“ und den folgenden für Ziffer 4.21.2: „[…], wenn während der Inaktivitätsperiode keine Interaktion des Benutzers mit dem elektronischen Patientendossier stattfand“. SCH weist darauf hin, dass die Erfahrungen aus dem Swisscom Gesundheitsportal zeigen, dass eine kurze Session-Dauer als erhebliche Einschränkung der Benutzbarkeit wahrgenommen werde, insbesondere wenn nach Ablauf der Session jeweils eine erneute 2- Faktor-Authentifizierung zwingend ist. Die Limitierung der Session-Dauer sei eine heute übliche Massnahme zur Verhinderung des Session Hijacking. Da der massenhafte Download von Dokumenten des elektronischen Patientendossiers gemäss Verordnung bereits ausgeschlossen ist, sei der erwartete Schaden im Eintrittsfall auf eine einzelne Patientin / einen einzelnen Patienten und auf eine beschränkte Zahl von Dokumenten eingeschränkt. Es sei nicht ausgeschlossen, dass innovative IT-Betreiber andere Verfahren zur Verhinderung von Session Hijacking entwickeln, um damit dem Wunsch nach besserer Benutzbarkeit nachzukommen. Die SCH schlägt vor, dass der Betreiber der Gemeinschaften angemessene Massnahmen zur Verhinderung des Session Hijacking nach aktuellem Stand der Technik nachweisen. 6 Kantone¹³⁶ geben bezüglich Ziffer 4.21.1 zu bedenken, dass 2 Stunden für eine Gesundheitsfachperson zu kurz seien und 4 Stunden resp. ein halber Tag besser geeignet sei. Es sollte vermieden werden, dass sich eine Ärztin / ein Arzt zu oft neu anmelden muss. Sie fordern konkret, dass die Zeitdauer abgeändert wird und die Klärung des Begriffes „les sessions dans le réseau“. Für die SUVA ist nicht nachvollziehbar, weshalb inaktive Netzwerk-Sitzungen nach einer definierten Inaktivitätsperiode