Erläuternder Bericht

Nach Buchstabe c ist ein Verzeichnis aller in der Gemeinschaft für das elektronische Patientendossier verwendeten Elemente der Informatikinfrastruktur vorzusehen (vgl. Ziff. 4.8.3 der TOZ). Das Verzeichnis aller angeschlossenen Primärsysteme nach Buchstabe d dient dazu, eine Übersicht über alle Primärsysteme zu haben, welche Daten mit dem elektronischen Patientendossier austauschen (vgl. Ziff. 4.8.3.8 der TOZ).

Nach Buchstabe e müssen Gemeinschaften über das Datenschutz- und Datensicherheitsmanagmentsystem spezifische Datenschutz- und Datensicherheitsvorgaben für die angeschlossenen Gesundheitseinrichtungen, sowie indirekt auch für deren Gesundheitsfachpersonen und allfällige weitere Mitarbeitende wie z.B. Mitarbeitende der Spitalinformatik festlegen (vgl. Ziff. 4.9 der TOZ). Dazu gehört beispielsweise die Vorgabe, dass Gemeinschaften die ihnen angeschlossenen Gesundheitseinrichtungen dazu verpflichten müssen, ihre auf das elektronische Patientendossier zugreifenden Gesundheitsfachpersonen über die Aufgaben, Rechte und Pflichten im Zusammenhang mit der Bearbeitung von Daten des elektronischen Patientendossiers sowie Risiken und Massnahmen bezüglich Datenschutz und Datensicherheit zu hinzuweisen. Gesundheitseinrichtungen müssen von den Gemeinschaften ebenfalls dazu verpflichtet werden, eine sichere Konfiguration (beispielsweise durch Programme zum Schutz vor Schad-Software und netzwerktechnische Schutzmassnahmen) derjenigen Endgeräte sicherzustellen, die von den Gesundheitsfachpersonen für den Zugriff auf das elektronische Patientendossier genutzt werden (vgl. Ziff. 4.9.3 der TOZ). Gesundheitseinrichtungen wiederum müssen ihre Gesundheitsfachpersonen zur Einhaltung der geforderten Massnahmen verpflichten.

Die Gemeinschaft kann den Datenschutz und die Datensicherheit nicht ohne die Mitwirkung der angeschlossenen Gesundheitseinrichtungen und allfälligen Lieferanten und Dienstleistungserbringern gewährleisten. Daher müssen neben den Mitarbeitenden der Gemeinschaft (z. B. Personal der Kontaktstelle für Gesundheitsfachpersonen) auch allfällig beigezogene Dritte (z. B. Betreiber der gemeinschaftsinternen Informatikinfrastruktur) nach Buchstabe f die spezifischen Datenschutz- und Datensicherheitsanforderungen der Gemeinschaft einhalten. Bezüglich Personal legen die TOZ dazu insbesondere Anforderungen an die Verwaltung von Personen und deren Zugänge und Benutzerrechte fest (vgl. Ziff. 4.10 der TOZ). Darüber hinaus gelten gemäss den TOZ für Gemeinschaften weitergehende Regelungen zum Lieferantenmanagement, mit dem Ziel, dass ein durchgehend hohes Sicherheitsniveau für alle beteiligten Akteure (Gemeinschaften, Einrichtungen, Lieferanten und Unterlieferanten) unabhängig von der Organisations-Struktur aufrecht erhalten werden kann (vgl. Ziff. 4.11 und 4.12 der TOZ). Beispielsweise besteht die Verpflichtung für Gemeinschaften, die Einhaltung der Datenschutz- und Datensicherheitsanforderungen innerhalb der gesamten Lieferkette weiter zu verpflichten, für den Fall, dass die Lieferanten selbst wieder Unterlieferanten beauftragen (vgl. Ziff. 4.11.5.5 der TOZ).

Die Meldepflicht für sicherheitsrelevant eingestufte Vorfälle an die Zertifizierungsstelle und das BAG nach Absatz 2 soll die notwendigen Informationen über gefundene oder ausgenützte Schwachstellen in der Organisation oder der Informatikinfrastruktur einer Gemeinschaft liefern, um nach Analyse und Beurteilung allenfalls Massnahmen zur Verhinderung weiterer Vorfälle einzuleiten. Im Vordergrund steht dabei vor allem der Erkenntnis- und Erfahrungsgewinn für Gemeinschaften und Stammgemeinschaften, aber auch für die Zertifizierungsstellen und nicht zuletzt auch das BAG als regulierende Behörde im Bereich des Datenschutzes und der Datensicherheit. So können durch regelmässige Auswertungen dieser Ereignisse allfällige Trends in der Bedrohungslandschaft aufgezeigt werden, die es Gemeinschaften erlauben rechtzeitig entsprechenden Gegenmassnahmen vorzusehen. Liegt eine schwerwiegende Gefährdung des Schutzes oder der Sicherheit der Daten des elektronischen Patientendossiers vor, so kann das BAG nach Artikel 36 entsprechende Massnahmen anordnen. Gemeinschaften und Stammgemeinschaften, sowie deren Betriebsorganisationen können darüber hinaus auch von den freiwilligen Beratungs- und Informationsleistungen der Melde- und Analysestelle Informationssicherung des Bundes «MELANI» profitieren, welche ihren Kundenkreisen wertvolle Informationen über aktuelle Gefahren und geeignete Massnahmen bereitstellen kann sowie den Informationsaustausch auch zwischen den Betreibern von gefährdeten oder kritischen Infrastrukturen fördert.

Nach Absatz 3 legt das EDI in den Ziffern 4.13 bis 4.23 der TOZ, ergänzend zu den Vorgaben von