Ergebnisbericht

von 20 Minuten bei Patientinnen / Patienten und 2 Stunden bei den Gesundheitsfachpersonen beendet werden müssen. Dies sei ein schwerer Eingriff in die Privatsphäre der Patientin / des Patienten, zudem seien die unterschiedlichen Benutzungsdauern weder gesetzeskonform noch sei die Verhältnismässigkeit gewahrt. Ziffer 4.21.1 sei entweder zu streichen, oder eventualiter die gleiche Beschränkungsdauer abzugleichen.

4.22 Zwischenspeicher (Abs. 3)

Das KSSG schreibt, dass ein Coaching von solchen Daten möglich sein müsse, damit eine akzeptable Performance des elektronischen Patientendossiers ermöglicht werde bzw. bei einem Ausfall des zentralen Services CPI das elektronische Patientendossier weiter funktioniere.

4.23 Verfügbarkeit (Abs. 3)

Die ISSS kritisiert bezüglich Ziffer 4.23.1.2, dass eine „vertraglich vereinbarte Verfügbarkeit über die Zeit von mindestens 98%“ eine ungenügende Formulierung sei. Wird 1 Jahr als Massstab genommen, entspräche das 7 Tage Ausfall. Eine Formulierung über einen bestimmten Zeitraum und/oder mittels absolut definierter Ausfalldauer sei vorzuziehen, weshalb folgender Zusatz der Ziffer angefügt werden solle: „[…] Last aufweisen, wobei die maximale Ausfalldauer am Stück 48h nicht überschreiten darf“. Eine Präzisierung von Ziffer 4.23.1.2 fordert die Post. Sie fragt insbesondere, was „sowie unter Last“ bedeute. Zudem müssten diese Anforderungen auch für externe Systeme erfüllt werden, die für die Gemeinschaften relevant sind. Die Post beantragt daher, diese Verpflichtung für die ZAS und für Zentrale Dienste am richtigen Ort in den Verordnungen niederzuschreiben. HIN weist bezüglich Ziffer 4.23.1.3 darauf hin, dass es keinen vollständigen Schutz gegenüber DoS-Attacken ohne spezifische Endgeräte gebe. Es stelle sich zudem die Frage, wieso genau diese Bedrohung explizit erwähnt wird und andere Bedrohungen nicht. HIN geht davon aus, dass die verschiedenen Normen (ISO etc.) einen state-of-the-art Schutz der Internet-Ressourcen implizieren. Als Ersatz wird die Einführung von Service Level Agreements für Cross-Community Anfragen, Patienten / Gesundheitsfachpersonen-Portal, vorgeschlagen. Ziffer 4.23.1.3 sei zu streichen. Zur selben Ziffer schreibt die Tessaris, dass sich nach hier vertretener Auffassung ein absoluter Schutz gegen DDoS-Angriffe nicht realisieren lasse. Es sollten jedoch die nach dem Stand der Technik verfügbaren Mittel zur Abwehr solcher Angriffe eingesetzt werden. Es wird folgende Formulierung vorgeschlagen: „[…] des elektronischen Patientendossiers nach dem Stand der Technik gegen sog. DDoS Angriffe geschützt sind“. Die STSAG sieht in Ziffer 4.23.1.4 einen inadäquaten Aufwand, weswegen die Bestimmung zu streichen sei.

4.24 Datenspeicher unter Schweizer Rechtshoheit (Abs. 4)

Die privatim verweisen an dieser Stelle auf ihre Ausführungen zu Artikel 11 Absatz 4 EPDV. Der Kanton AR befürwortet die Speicherung der Daten unter Schweizer Hoheitsrecht. Die GDK sowie 8 Kantone¹³⁷ kritisieren, dass die Vorgaben zur Unterstellung des elektronischen Patientendossiers unter Schweizer Recht nicht überzeugend seien. Es sei zu befürchten, dass damit das Ziel nicht erreicht werden kann, womit Ziffer 4.24 vollständig zu überarbeiten sei. Eine vollständige Überarbeitung fordern auch der ZAD sowie die Kantone ZG und ZH. Sie schreiben, dass die Formulierung „juristische Personen, die unter Schweizer Recht sind“ nicht gebräuchlich sei und fragen, was damit gemeint ist. Das Gleiche gelte für die Formulierung: „für die Erbringung der Leistung ausschliesslich unter Schweizer Recht handeln." Diese Garantie dürfte ein Betrieb, der nicht nur in der Schweiz tätig ist, kaum erfüllen können. Es stelle sich die Frage, was diese Formulierung bezweckt. Auch die Formulierung „Leistung gesamtheitlich innerhalb der Schweizer Landesgrenzen erbringen“ sei nicht klar. Sie fragen, was mit einer Firma sei, deren Server in der Schweiz stehen und deren Verwaltung sich in der Schweiz befindet, die aber für einzelne Dienstleistungen auf Anbieter im Ausland zurückgreift (was für die meisten der grösseren Betriebe zutreffen dürfte). Gemäss der ZAD und dem Kanton ZH sei zudem zu prüfen, ob die Vorgabe, es müsse sich um einen Schweizer Betrieb handeln, mit den Bestimmungen des öffentlichen Beschaffungswesens (insbesondere: Einhaltung des GPA und der bilateralen Verträge) im Einklang steht.