Ergebnisbericht

Ergebnisbericht der Vernehmlassung zur Revision EPDG (umfassende Revision)

wird, zum Vorteil der Digitalisierung des Gesundheitswesens in der Schweiz erschlossen werden, es (2) können einheitlich hohe Anforderungen an den Datenschutz und die Informationssicherheit in transparenter Weise erfüllt werden und es (3) wird allen Akteuren eine direkte Teilnahme ermöglicht. Daher stellt BSV AG folgenden Änderungsantrag zu Absatz 2:

«Er kann Zertifizierungsverfahren für einzelne Elemente der Informatikinfrastruktur vorsehen, die für den Aufbau von Gemeinschaften oder Stammgemeinschaften oder für die technische Implementierung von Schnittstellen für Gesundheitsanwendungen notwendig sind.»

Gleichzeitig beantragt BSV AG einen zusätzlichen Absatz 3 wie folgt:

«Zertifizierungsverfahren müssen auf internationalen technischen Standards basieren und nach deren Regeln objektiv auditierbar sein.»

Im Sinne der Qualitätsentwicklung und -sicherung erachtet es der EVS als wichtig, dass die Anbieter der EPDs regelmässig rezertifiziert werden müssen.

Absatz 2 soll gemäss GdS wie folgt zu vereinfachen: «Er kann Zertifizierungsverfahren für einzelne Elemente der Informatikinfrastruktur vorsehen.»

Die Zertifizierungsvoraussetzungen für Gemeinschaften und Stammgemeinschaften sowie die Herausgeber von Identifikationsmitteln von Patientendossiers sollen gemäss HIN wie folgt geändert werden: (1) Der Bundesrat legt die Anforderungen an die Sicherheit («Was») und die Governance der Zertifizierungsvoraussetzungen fest. (2) Er delegiert die Auswahl bestehender und gegebenenfalls Entwicklung von Zertfizierungsstandards («Wie») an eine externe, unabhängige und etablierte Standardisierungsorganisation. Dabei sind die Zertifizierungsvorgaben nach festgelegten und bewährten Prozessen von öffentlichen und privaten Partnern gemeinsam zu entwickeln, zu referenzieren und zu verabschieden. (3) Zu zertifizieren sind die Identifikationsmittel, Stammgemeinschaften/Gemeinschaften und Service- Provider. Die Leistungserbringer und deren Organisationen sind nicht durch externe Zertifizierungsstellen zu zertifizieren. Sie sollen in Stichproben durch deren (Stamm-) Gemeinschaft intern auditiert werden (Ausnahme: Der Scope wird vom gewählten Standard wie z. B. BSI, ETSI, NIST; ISO vorgegeben). Der Bund stellt sicher, dass Identifikationsmittel für Patientinnen und Patienten sowie Gesundheitspersonal den gleichen Sicherheitsstandards unterstehen.

Die ISSS geht davon aus, dass das bisher durch Artikel 11 ff. EPDG und Artikel 30 ff. EPDV ausführlich geregelte Zertifizierungsverfahren auch bei der Totalrevision des EPDG erhalten bleibt.

it-rm kritisiert den Begriff «kann» und fordert, dass die Zertifizierung gestützt auf Artikel 164 BV im Gesetz geregelt werden muss. Er macht dazu diverse Vorschläge, u.a. dass auch die Voraussetzungen für den Erhalt der Zertifizierung zu regeln sind.

Die Anforderungen an die Zertifizierung sollen aufgrund der besonders sensiblen Daten weiterhin hochgehalten werden. Allerdings zeigten sich gemäss Post und Sanela in der Umsetzung des Akkreditierungs- und Zertifizierungsverfahren prozessuale Schwierigkeiten. Anstatt einheitlich und gradlinig, verlaufen sie derzeit iterativ, ungeplant und unberechenbar. Damit sind sie unzumutbar aufwändig und kostspielig für alle Beteiligten. Die Rollen und Verantwortungen von Stammgemeinschaft, Technologieprovider, Zertifizierer und Akkreditierer für die Verfahren sind nicht klar voneinander abgegrenzt und es besteht zu viel Interpretationsraum, was die Anforderungen betrifft. Rechts- und Planungsunsicherheit sowie ineffiziente Prozesse sind die Folge.

Die Post und Sanela schlagen konkret vor, auf Stufe Verordnung, auf die jährlichen Wiederholungsaudits zu verzichten. Dies trägt aus ihrer Sicht bereits wesentlich zu einer Vereinfachung bei, ohne aber die Anforderungen zu tangieren. Weiter sind Post und Sanela der Ansicht, dass die Wiederholungsaudits sich einzig auf Änderungen der Infrastruktur / Software beziehen sollen. Es sollte möglich sein, Audits zu vereinfachen, wenn neue Software, Infrastruktur und/oder Prozesse ganz oder teilweise aus bereits geprüften Komponenten bestehen. Dies würde die Einführung von Systemen fördern, die konsequenter auf die Normen abgestimmt sind, die Lieferzyklen verkürzen und eine schnellere Entwicklung von Lösungen ermöglichen.