Ergebnisbericht

Ergebnisbericht der Vernehmlassung zur Revision EPDG (umfassende Revision)

Jegliche Organisation, welche ein EPD betreibt oder auf ein solches zugreift, muss gemäss ISSS durch den Bund zertifiziert werden. Eine staatliche Anerkennung reicht nicht aus. Ausserdem soll die Zertifizierung regelmässig (z. B. alle drei Jahre) erneuert werden. Allerdings würden diese aus Gründen von Datenschutz und ICT-Sicherheit notwendige Anforderungen die Kosten des EPD nach dem Revisionsvorschlag vermehren.

Gemäss it-rm sind auch die zentralen Abfragedienste aufzunehmen.

Buchstabe c:

it-rm bemerkt, dass sich nach ZertES auch der Bund als Herausgeber eines Zertifikats zertifizieren lassen muss.

Buchstabe c:

Es irritiert die Post, dass die Nutzung von nicht zertifizierten und entsprechend von gegebenenfalls nicht angemessenen Identifikationsmitteln in Betracht gezogen wird, welche es erlauben würden auf sensible Gesundheitsdaten zuzugreifen.

Der zweite Satzteil von Buchstabe c ist zu streichen. Soweit Identifikationsmittel von Behörden eingesetzt werden, müssen insbesondere auch im Sinne einer Gleichbehandlung die gleichen Anforderungen an solche Identifikationsmittel gestellt werden, wie sie auch für Identifikationsmittel von Dritten gelten. Eine Ungleichbehandlung ist in jedem Fall zu vermeiden. Laut Post und Sanela ist daher in Buchstabe c der Zusatz «mit Ausnahme der Behörden des Bundes» zu streichen.

Buchstabe c:

Es irritiert die SwS, dass die Nutzung von nicht zertifizierten und entsprechend von gegebenenfalls nicht angemessenen Identifikationsmitteln in Betracht gezogen wird, welche es erlauben würden auf sensible Gesundheitsdaten zuzugreifen. SwS lehnt daher die Änderung in Buchstabe c ab.

4.1.20 Art. 13 Abs. 2

² Er kann Zertifizierungsverfahren für einzelne Elemente der Informatikinfrastruktur vorsehen, die für den Aufbau von Gemeinschaften oder Stammgemeinschaften notwendig sind.

Insbesondere werden gemäss dem Kanton SG systemrelevante zentrale Komponenten im Sinn von Art. 14 neu durch den Bund betrieben und auch nicht mehr zertifiziert. Damit schafft der Bund ein unausgewogenes System mit zertifizierten, von den Kantonen finanzierten Stammgemeinschaften und eigenen, nicht zertifizierten zentralen Datenablagen von Patientendaten. Entweder muss das gesamte System von einer einzigen, vom Bund zu bezeichnenden und durch ihn überprüften Organisation betrieben werden. Alternativ müssen alle beteiligten Systeme das gleiche Verfahren einer vereinfachten Konformitätsprüfung durch den Bund in seiner Funktion als «EPD Schema Owner» durchlaufen. Zudem wird kritisiert, dass keine Massnahmen vorgeschlagen werden, das Zertifizierungsverfahren zu vereinfachen?

Der Kanton VD möchte, dass ein Absatz hinzugefügt wird, der besagt, dass die Zertifizierung in allen Landessprachen möglich sein muss. Derzeit gibt es keine Garantie, dass die Gemeinschaften sich in ihrer Sprache zertifizieren lassen können, und es muss mit dem Zertifizierer verhandelt werden. Es handelt sich um eine Ungleichbehandlung im Hinblick auf Artikel 4 BV.

Derzeit gibt es gemäss dem Kanton VS und CARA keine Garantie dafür, dass Gemeinschaften sich in ihrer Sprache zertifizieren lassen können; dies muss mit dem Zertifizierer ausgehandelt werden. Dieser Umstand stellt eine Ungleichbehandlung im Hinblick auf Artikel 4 BV dar. Daher ist ein zusätzlicher Absatz 3 mit folgendem Wortlaut einzufügen: «Der Bundesrat stellt sicher, dass das Verfahren in den Landessprachen abgewickelt werden kann.»

Technische Zertifizierungsverfahren sollten gemäss BSV AG auf Basis international anerkannter und einschlägiger Technischer Normen nach objektiv auditierbaren Kriterien durchgeführt werden. Damit kann (1) das Know-how, das in diesen technischen Standards vorgehalten