Erläuternder Bericht

internen Zugangsportale von Gemeinschaften bzw. Stammgemeinschaften unterliegen definierten Sicherheitsanforderungen. Bezüglich des Authentifizierungsverfahrens wird in der Norm ISO/IEC 29115:2013 eine nicht abschliessende Liste von Bedrohungen aufgeführt. Für alle der genannten Bedrohungen legt die Norm Sicherheitsanforderungen fest, ohne eine Aussage darüber zu treffen, welche Anforderungen wie, wann und in welcher Kombination zu erfüllen sind.

Für die Konkretisierung der Umsetzung dieser Sicherheitsanforderungen in Bezug auf die Dienste, Anwendungen, Identifikationsmittel und Einrichtungen der Herausgeber erlässt das EDI nach Absatz 2 ein Schutzprofil (funktionale Sicherheitsanforderungen) gemäss der Normen ISO/IEC 15408-1:2009, 15408-2:2008 und 15408-3:2008 (vgl. Anhang 8 der EPDV-EDI). Dieses hat der Evaluierungsstufe 2 zu entsprechen (vgl. unten).

Das Schutzprofil dient der Formulierung von Sicherheitsbedürfnissen an eine Produktklasse (u. a. im Software- oder im Hardwarebereich) und im speziellen nach dieser Verordnung an die Klasse aller der für das elektronische Patientendossier zulässigen Identifikationsmitteln. Im Gegensatz zu den produkt- und herstellerspezifischen Sicherheitsanforderungen dient es als Lastenheft die für Sicherheitsprodukte in dem jeweiligen Einsatzumfeld zu geltenden Anforderungen und definiert die Prüftiefe zur Sicherstellung von deren Umsetzung.

Der Evaluationsgegenstand (EVG) des Schutzprofils umfasst das Identifikationsmittel selbst (Berechtigungsnachweise und Identifizierungsmerkmale, welche auf Geräten unterschiedlicher Ausprägung enthalten sind) den Identitätsdienstleister (Identity Provider) für die Identifikation und Authentifizierung sowie die notwendigen technischen Schnittstellen und die sicheren Kommunikationskanäle für die Authentifizierung am internen Zugangsportal der Gemeinschaften bzw. Stammgemeinschaften. Zu den durch die Sicherheitsfunktionen des EVG unterstützten Teilen können auch aufzubauende Kanäle zu externen Komponenten ausserhalb des EVG gehören, sowie Kanäle zwischen den Komponenten des EVG. Wichtig für die Sicherheitsbetrachtung des EVG ist auch die geplante Einsatzumgebung, an welche verschiedene Annahmen zu stellen sind für einen sicheren Betrieb. Dies impliziert Anforderungen an den sicheren Betrieb des Identitätsdienstleister gemäss der Norm ISO/IEC 27001:2013.

Die Prüftiefe zur Sicherstellung der Umsetzung der Sicherheitsanforderungen werden in der Norm ISO/IEC 15408-3:2008 durch sogenannte Assurance Packages, namentlich EAL-Stufen, festgelegt. Diese Evaluierungsstufen umfassen unter anderem die Bereiche Development, Life-Cycle Support, Security Target Evaluation oder Vulnerability Assessment. Für eine Prüfung des EVG sind die Anweisungen für die verschiedenen Assurance Klassen durchzuführen unter Sicherstellung der für die Umgebung des EVG definierten Anforderungen. Dazu werden im Zertifizierungsverfahren die entsprechenden Nachweise erhoben und geprüft.

3. Abschnitt: Zertifizierungsverfahren

Art. 31 Ablauf

Der in Artikel 31 geregelte Ablauf des Zertifizierungsverfahrens orientiert sich an den Begriffen der Norm ISO/IEC 17021:2015 und hält in chronologischer Reihenfolge die Etappen des Zertifizierungsverfahrens fest.

Das Voraudit nach Absatz 1 ermöglicht der Zertifizierungsstelle anhand einer Prüfung der eingereichten Dokumente einzuschätzen, ob die Gemeinschaft, die Stammgemeinschaft oder der Herausgeber von Identifikationsmitteln ausreichend für das Zertifizierungsaudit vorbereitet ist. Dies hilft, unnötige Kosten zu vermeiden und die Chance auf Absolvierung eines erfolgreichen Zertifizierungsaudits zu erhöhen.

Im Rahmen des Zertifizierungsaudits nach Absatz 2 wird durch die Zertifizierungsstelle auch vor Ort geprüft, ob die Vorgaben nach dieser Verordnung eingehalten werden.

Kommt die Zertifizierungsstelle nach der Dokumentenprüfung und dem Zertifizierungsaudit zum