Erläuternder Bericht

4.4 Steuerung von und Aufsicht über Informationssysteme

– Der Bundesrat erhält die Kompetenz, den Datenaustausch zwischen den Durchführungsstellen und Dritten zu regeln.

– Die Finanzierung der Entwicklung und des Betriebs von standardisierten Informationssystemen durch Mittel der Versicherung wird gesetzlich verankert.

– Die Durchführungsstellen werden verpflichtet, sich an Mindeststandards, insbesondere zur Entwicklung und zum Betrieb von gesamtschweizerisch anwendbaren Informationssystemen, zu halten.

– Die Beauftragung Dritter mit bestimmten Aufgaben und die Auslagerung der Informationssysteme wird gesetzlich geregelt.

4.4.1 Elektronischer Datenaustausch

Zur besseren Koordination von übergreifenden (E-Government-)Projekten haben sich die Durchführungsstellen im Verein eAHV/IV zusammengeschlossen. Der Verein hat erfolgreich erste Standardisierungen im elektronischen Austausch von Daten (auch mit Dritten) eingeführt. Da die Durchführungsstellen diese Standardisierungen jedoch auf freiwilliger Basis und grösstenteils unabhängig vom BSV abgewickelt haben, sind die für die Standardisierung und die Finanzierung notwendigen gesetzlichen Grundlagen heute lückenhaft, obwohl der Austausch über den Fonds finanziert wird.

Für einen effizienten, sicheren, wirtschaftlichen und von den beteiligten Parteien akzeptierten elektronischen Datenaustausch braucht es eine entsprechende Regelung und Aufsicht. Zu klären ist insbesondere, wie und unter welchen Bedingungen der Austausch stattfindet. Der Austausch selber ist vorgängig in einer gesetzlichen Grundlage festzuhalten, die auch den Nutzen bestimmt. Ausserdem muss der Tatsache Rechnung getragen werden, dass sich der Austausch nicht nur auf die Durchführungsstellen der Sozialversicherungen der 1. Säule beschränkt, sondern auch Dritten offensteht. Das ist beispielsweise bei Durchführungsstellen anderer Sozialversicherungen sowie bei Bundes- oder Kantonsstellen der Fall, wenn ein Bundesgesetz den Datenaustausch mit diesen vorsieht.

4.4.2 IT-Anwendungen

Aktuell wird vom BSV nicht geprüft, ob die Mindeststandards zur Gewährleistung der Informationssicherheit und des Datenschutzes eingehalten werden. Die Mindeststandards regeln die Organisation und die Sicherheitsverfahren und definieren die minimalen Sicherheitsanforderungen zum Schutz der Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit von Informationen und Daten.