Erläuternder Bericht

Art. 25 Erneuerung der Gültigkeitsdauer des Identifikationsmittels

Nach Ablauf der Gültigkeit des Identifikationsmittels von höchstens 10 Jahren (vgl. Art. 22 Bst. d) muss dieses neu beantragt werden. Absatz 2 statuiert, dass abweichend von der Norm ISO/IEC 29115:2013 für die Erneuerung des Identifikationsmittels eine Identitätsprüfung gemäss dem Vertrauensniveau der Stufe 3 durchgeführt werden muss (vgl. Art. 23).

Art. 26 Sperrung des Identifikationsmittels

Das Identifikationsmittel kann durch die beantragte Person jederzeit für den Zugriff auf das elektronische Patientendossier gesperrt werden. Der Herausgeber des Identifikationsmittels muss sich vergewissern, dass die Person, welche Sperrung beantragt, dazu berechtigt ist und er muss Vorkehrungen treffen, um eine unbefugte Sperrung zu verhindern. Einmal gesperrte Identifikationsmittel können nicht erneuert oder verlängert werden. Eine vorläufige Aussetzung des Identifikationsmittels ist nicht vorgesehen. Herausgeber von Identifikationsmittel müssen Vorkehrungen treffen, um die Authentifizierung nach einer Sperrung unverzüglich zu verhindern (z. B. durch Zertifikatssperrlisten oder andere Verfahren zur Validierung der gültigen Authentifizierungsantwort).

5. Kapitel: Akkreditierung

Art. 27 Anforderungen

Nach Absatz 1 ergeben sich die Voraussetzungen, welche die Zertifizierungsstellen zu erfüllen haben, grundsätzlich aus der Norm ISO/IEC 17021:2015 für die Akkreditierung zur Zertifizierung von Managementsystemen, deren Anwendbarkeit in Artikel 7 Absatz 1 und Anhang 2 der Akkreditierungs- und Bezeichnungsverordnung (AkkBV; SR 946.512) geregelt ist. Dort wird namentlich das Unabhängigkeitserfordernis festgelegt und das Zertifizierungs- bzw. Produkteprüfungsverfahren geregelt. Eine zusätzliche Regelung in dieser Verordnung erübrigt sich. Die Zertifizierung darf nach Artikel 13 Absatz 1 Buchstabe a EPDG ausschliesslich durch akkreditierte Stellen durchgeführt werden.

Da sich die Zertifizierung von Gemeinschaften und Stammgemeinschaften auf ausgesuchte Elemente aus dem Rahmenwerk ISO/IEC 27001:2013 stützt, ist ISO/IEC 27006:2015:2013 eine zusätzliche Grundlage zur Akkreditierung.

Die Zertifizierung von Herausgebern von Identifikationsmitteln ist nach Artikel 22 Buchstabe a EPDV an die Vorgaben von ISO/IEC 29115:2013 gebunden, im Rahmen der Akkreditierung von Zertifizierungsorganisationen, welche Zertifizierungen für Herausgeber von Identifikationsmitteln anbieten, ist dieser Standard daher zusätzlich massgebend.

Gemeinschaften, Stammgemeinschaften sowie Herausgeber von Identifikationsmitteln haben spezifische Aufgaben, daher werden jeweils spezifische Inhalte im Rahmen der Zertifizierung geprüft. Deshalb werden an die Akkreditierung der jeweiligen Zertifizierungsstellen unterschiedliche Anforderungen gestellt (Abs. 2).

Absatz 3 konkretisiert den Begriff des Kontrollverfahrens. Dieses Kontrollverfahren umfasst einerseits die Begutachtungs- und Prüfkriterien, die inhaltlich vorgeben, wie die Einhaltung der Zertifizierungsvoraussetzungen zu überprüfen ist (Bst. a) sowie Angaben zum Ablauf des Zertifizierungsverfahrens (einschliesslich der Überwachung und der Re-Zertifizierung; Bst. b). Buchstabe c gibt zudem vor, dass das vom BAG zur Verfügung gestellte Zertifizierungssystem zur Überprüfung der Einhaltung der Vorgaben in Bezug auf die Datenübertragung von Gemeinschaften und Stammgemeinschaften (Interoperabilität) zu verwenden ist. Mit der Hilfe dieses Zertifizierungssystems kann überprüft werden, ob eine zu zertifizierende Gemeinschaft oder Stammgemeinschaft in der Praxis korrekt mit anderen zertifizierten Gemeinschaften und Stammgemeinschaften kommunizieren kann.

Nach Absatz 4 konkretisiert das EDI die Anforderungen an die Qualifikation des Personals, welches die