Erläuternder Bericht

Art. 11 Datenschutz und Datensicherheit

Nach Absatz 1 müssen Gemeinschaften ein Datenschutz- und Datensicherheitsmanagementsystem, betreiben, wie in der Norm ISO/IEC 27001:2013 beschrieben. Es muss die Komplexität und Grösse der Gemeinschaft, sowie den Umfang der in der Gemeinschaft erfassten Daten und Dokumente des elektronischen Patientendossiers berücksichtigen (vgl. Ziff. 4.2 der TOZ). Ein Datenschutz- und Datensicherheitsmanagementsystem nach ISO/IEC 27001:2013 verfolgt eine ganzheitliche, koordinierte Betrachtung der Datenschutz- und Datensicherheitsrisiken der Gemeinschaft, um ein umfassendes Paket von geeigneten Sicherheitsmassnahmen (z. B. Richtlinien, Prozesse, Verfahren, Organisationsstrukturen sowie Software- und Hardwarefunktionen) im Rahmen eines einheitlichen Managementsystems planen, einführen, überprüfen und verbessern («plan, do, check, act»; vgl. Kapitel 4 – 10 der ISO/IEC 27001:2013) zu können.

Das durch eine Gemeinschaft zu führende Datenschutz- und Datensicherheitsmanagementsystem muss zusätzlich zu den in den Buchstaben a–f aufgeführten Anforderungen unter anderem einen Risikokatalog und einen Risikobehandlungsplan sowie ein Inventar relevanter Betriebsmittel (Hardware, Software, Datenbestände, Aufbauorganisation, Prozesse, etc.) umfassen (vgl. Ziff. 4.2.2 der TOZ). Zudem sind alle sicherheitsrelevanten Veränderungen an den Betriebsmitteln zu beurteilen und zu dokumentieren.

Nach Buchstabe a muss eine Gemeinschaft eine fachlich und organisatorisch unabhängige Person benennen, die für den Datenschutz und die Datensicherheit zuständig ist. Sie muss über die für die Aufgabenerfüllung erforderlichen Kompetenzen und Ressourcen verfügen und ist für die Entwicklung, Umsetzung und Überwachung von Massnahmen zur Sicherstellung von Datenschutz und Informationssicherheit, sowie für die Anwendung korrigierender Massnahmen verantwortlich (vgl. Ziff. 4.3 der TOZ).

Nach Buchstabe b ist ein System zur Erkennung von und zum Umgang mit Sicherheitsvorfällen einzurichten (vgl. Ziff. 4.4 der TOZ). Da eine a priori Sicherheit nie vollständig erzielt werden kann, ist es umso wichtiger, allfällige Sicherheitsvorfälle zumindest a posteriori rasch zu erkennen und mit definierten Massnahmen, Prozessen und klaren Verantwortlichkeiten darauf reagieren zu können. Gemeinschaften müssen dazu ein so genanntes Security Information and Event Management System (SIEM) einrichten, dass Anomalien im System und in den Bearbeitungsmustern erkennen kann und sicherstellt, dass diese angemessen organisatorisch und technisch adressiert werden. Das SIEM wird gemeinschaftsspezifisch aufgebaut, es erkennt und adressiert mindestens Angriffe aus dem Internet, unübliche Häufung von schreibenden oder lesenden Zugriffen auf die Dokumentenablagen, das Dokumentenregister oder den Patientenindex, welche auf eine missbräuchliche Nutzung oder automatisierte Attacke hinweisen. Weiter müssen ungewöhnliche und kritische Mutationen von Zugriffsrechten in der Berechtigungssteuerung oder dem Identitäts- und Zugangsmanagementsystem (IAM) erkannt und behandelt werden. Weitere Vorgaben in den TOZ betreffen beispielsweise den Schutz vor Schadcode und die Erkennung und den Umgang mit Sicherheitsschwachstellen(vgl. Ziff. 4.6 und 4.7 der TOZ).

Für den Umgang mit erkannten Sicherheitsvorfällen konkretisiert die TOZ in Ziffer 4.5 zudem Vorgaben an die Verfahren zur Meldung und Behandlung von Datenschutz- und Datensicherheitsereignissen. So müssen beispielsweise Anlaufstellen für die Meldung von Datenschutz- und Datensicherheitsereignissen sowohl innerhalb der Gemeinschaft selbst, als auch bei den Betriebsorganisationen bezeichnet werden und Notfallprozesse definiert werden, die geeignet sind, unter definierten Bedingungen, Systeme vom Gesamtsystem isolieren zu können («Containment»-Strategie). Dies um das potentielle Schadensausmass begrenzen zu können oder um andere vulnerable Systemteile nicht ebenfalls zu gefährden. Zur Erfüllung von Artikel 11 Absatz 2 müssen Gemeinschaften zudem formale Verfahren für die Eskalation von besonders kritischen Datenschutz- oder Datensicherheitsereignissen durch Meldung an das BAG und die Zertifizierungsstelle definiert haben sowie deren Einhaltung einfordern und kontrollieren (vgl. Ziff. 4.13 der TOZ).