Der Bundesrat wird gebeten, folgende Fragen zu beantworten:
1. Sind die gem\u00e4ss dem Bundesgesetz \u00fcber das elektronische Patientendossier (EPDG) im elektronischen Patientendossier abgespeicherten Patientendaten vor einem missbr\u00e4uchlichen Zugriff sicher, sodass ein zweiter Fall Wallis verhindert werden kann?
2. Sind Patientendaten in elektronisch gef\u00fchrten Krankengeschichten bei ambulanten und station\u00e4ren Leistungserbringern vor missbr\u00e4uchlichen Zugriffen ausreichend gesch\u00fctzt, dass Hackerangriffe in Zukunft keinen Erfolg haben?
3. Braucht es zus\u00e4tzliche Rechtsgrundlagen f\u00fcr die Sicherheit der Daten auf nationaler oder kantonaler Ebene f\u00fcr elektronische Patientendossiers und elektronische Krankengeschichten?
4. Kann der Bund gem\u00e4ss EPDG nationale Hackerangriffe simulieren? Oder f\u00e4llt die Durchf\u00fchrung von Hackerangriffen in die Kompetenz der Kantone, und braucht es dazu eine explizite Rechtsgrundlage?
","ReasonText":"Die obligatorische Einf\u00fchrung des elektronischen Patientendossiers f\u00fcr den station\u00e4ren Sektor r\u00fcckt n\u00e4her. Das EPDG und die entsprechenden Verordnungen sollen im ersten Quartal 2017 in Kraft treten. Im Vorfeld der Einf\u00fchrung sind folgende Probleme aufgetreten:
1. Der Kanton Wallis hat das elektronische Patientendossier nicht wie geplant im September 2015 eingef\u00fchrt. Dies aufgrund von Sicherheitsbedenken des kantonalen Datensch\u00fctzers. Es wurden schwerwiegende Sicherheitsprobleme in der Verschl\u00fcsselung der Webseiten festgestellt.
2. Cyberkriminelle griffen Arztpraxen an. Die Hacker verschl\u00fcsseln elektronische Patientendaten, um diese unbrauchbar zu machen. Gegen Geld entschl\u00fcsseln die Hacker die Patientendaten wieder.
Den gr\u00f6ssten Nutzen wird das elektronische Patientendossier dann entfalten, wenn Gesundheitsfachpersonen und Patienten dieses benutzen, die Dossiers mit behandlungsrelevanten Daten gef\u00fcllt werden. Wesentliche Voraussetzung hierf\u00fcr ist das Vertrauen der Beteiligten ins System. Gem\u00e4ss einer Umfrage des \"Tages-Anzeigers\" vom 28. Mai 2016 sind mehr als 90 Prozent der Teilnehmer der Auffassung, dass ihre Patientendaten von ihrem Arzt nicht gen\u00fcgend gesch\u00fctzt werden. Der elektronische Austausch von Patientendaten wird nur ein Erfolg, wenn sowohl Gesundheitsfachpersonen als auch Patienten respektive die Bev\u00f6lkerung \u00fcberzeugt sind, dass dieser Austausch so sicher wie m\u00f6glich abl\u00e4uft. Die Zeit bis zum Inkrafttreten des EPDG sollte genutzt werden, um Sicherheitsbedenken auszur\u00e4umen.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Die Patientendaten in den von ambulanten und station\u00e4ren Leistungserbringern elektronisch gef\u00fchrten Krankengeschichten (sogenannte Prim\u00e4rsysteme der Spit\u00e4ler und Arztpraxen) sind bez\u00fcglich Datenschutz von denjenigen im elektronischen Patientendossier (sogenanntes Sekund\u00e4rsystem) zu unterscheiden. Erstere unterliegen den Bestimmungen des Bundesgesetzes vom 19. Juni 1992 \u00fcber den Datenschutz (DSG; SR 235.1) oder bei Einrichtungen mit \u00f6ffentlichem Leistungsauftrag den jeweiligen kantonalen Datenschutzgesetzen (vgl. Antwort 3). Das Bundesgesetz vom 19. Juni 2015 \u00fcber das elektronische Patientendossier (EPDG; SR 816.11) regelt die Voraussetzungen f\u00fcr die Bearbeitung der Daten des elektronischen Patientendossiers, welche \u00fcber eine separate technische Infrastruktur erfolgt. Erg\u00e4nzend hat der Eidgen\u00f6ssische Datenschutz- und \u00d6ffentlichkeitsbeauftragte (Ed\u00f6b) Leitf\u00e4den ver\u00f6ffentlicht, beispielsweise den Leitfaden f\u00fcr die Bearbeitung von Personendaten im medizinischen Bereich (Juli 2002) und den Leitfaden zu den technischen und organisatorischen Massnahmen des Datenschutzes (August 2015), welche sich auf das DSG und die entsprechende Verordnung beziehen.
1. Missbr\u00e4uchliche Zugriffe auf elektronische Datenverarbeitungssysteme k\u00f6nnen nie mit hundertprozentiger Sicherheit ausgeschlossen werden. Dies gilt auch f\u00fcr die Daten des elektronischen Patientendossiers. Die Entw\u00fcrfe der Ausf\u00fchrungsbestimmungen zum EPDG, zu denen das Eidgen\u00f6ssische Departement des Innern (EDI) vom 22. M\u00e4rz 2016 bis zum 29. Juni 2016 die Anh\u00f6rung (verf\u00fcgbar unter www.admin.ch > Bundesrecht > Vernehmlassungen > Abgeschlossene Vernehmlassungen und Anh\u00f6rungen > 2016 > EDI) durchgef\u00fchrt hat, enthalten technische und organisatorische Vorgaben (auf Art. 12 Abs. 1 Bst. b EPDG basierende Zertifizierungsvoraussetzungen), um die prim\u00e4ren Schutzziele (Vertraulichkeit, Integrit\u00e4t, Verf\u00fcgbarkeit und Authentizit\u00e4t der Daten) zu erreichen. Die Vorgaben fordern von den zu zertifizierenden Gemeinschaften und Stammgemeinschaften insbesondere Massnahmen zur Pr\u00e4vention und Detektion von und zur Reaktion auf Sicherheitsereignisse. Darunter sind Massnahmen wie beispielsweise die regelm\u00e4ssige \u00dcberpr\u00fcfung von Sicherheitsschwachstellen oder Massnahmen zur Erkennung von Angriffen zu verstehen. Auch die im Fall Wallis erkannten Risiken und Bedrohungen wurden ber\u00fccksichtigt. Die Umsetzung und Einhaltung der Zertifizierungsvoraussetzungen durch die Gemeinschaften und Stammgemeinschaften sowie auch durch die Herausgeber von Identifikationsmitteln wird durch akkreditierte Zertifizierungsstellen \u00fcberpr\u00fcft werden. Zus\u00e4tzlich wird E-Health Suisse, das Koordinationsorgan von Bund und Kantonen, Empfehlungen f\u00fcr die EPDG-konforme Umsetzung von Datenschutz und Datensicherheit zuhanden der betroffenen Akteure erarbeiten.
2./3. Elektronische Krankengeschichten (Prim\u00e4rsysteme) unterliegen den einschl\u00e4gigen eidgen\u00f6ssischen oder kantonalen datenschutzrechtlichen Bestimmungen. Gem\u00e4ss aktuellem Kenntnisstand des Bundesrates entspricht das allgemeine Sicherheitsniveau im Gesundheitswesen leider noch nicht demjenigen anderer Branchen (z. B. Finanzen, Versicherungen, Verwaltung). Der Bundesrat sieht hier Handlungsbedarf.
F\u00fcr das elektronische Patientendossier (Sekund\u00e4rsystem) werden die Vorgaben zu Datenschutz und Datensicherheit auf nationaler Ebene in den Bestimmungen des EPDG und im noch zu erlassenden Ausf\u00fchrungsrecht geregelt (vgl. Antwort 1). Die Einhaltung dieser und anderer Vorgaben wird in Zukunft regelm\u00e4ssig \u00fcber die obligatorische Zertifizierung der Akteure (Gemeinschaften, Stammgemeinschaften, Herausgeber von Identifikationsmitteln) \u00fcberpr\u00fcft werden (vgl. Antwort 1). Weiterhin gelten, soweit anwendbar, die Bestimmungen des DSG. Am 15. Mai 2013 hat der Bundesrat zudem den Umsetzungsplan f\u00fcr die Nationale Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) verabschiedet. Es wurde gepr\u00fcft, ob anwendbares Recht die n\u00f6tigen Grundlagen f\u00fcr den Schutz gegen Cyberrisiken enth\u00e4lt (Massnahme 16 des NCS). Die Massnahme wurde 2014 abgeschlossen und ergab keinen Bedarf nach koordinierenden Regelungen. Der Bundesrat erachtet zus\u00e4tzliche Rechtsgrundlagen als derzeit nicht notwendig.
Zu erw\u00e4hnen ist, dass der Bundesrat am 1. April 2015 das Eidgen\u00f6ssische Justiz- und Polizeidepartement (EJPD) beauftragt hat, ihm bis Ende August 2016 einen Vorentwurf f\u00fcr eine Revision des DSG zu unterbreiten, mit dem Ziel, die Hoheit von Personen \u00fcber ihre Daten allgemein zu st\u00e4rken sowie die Transparenz der Bearbeitung personenbezogener Daten zu erh\u00f6hen.
4. Das EPDG enth\u00e4lt keine Grundlage f\u00fcr Aktivit\u00e4ten des Bundes zur \u00dcberpr\u00fcfung von Datenschutz und Datensicherheit direkt bei den Akteuren und Systemen des elektronischen Patientendossiers. Im Rahmen des Zertifizierungsverfahrens (vgl. Antwort 1) kann die Zertifizierungsstelle sogenannte Penetrationstests zur aktiven Schwachstellensuche zur Anwendung bringen. Ausserhalb dieser Verfahren besteht f\u00fcr den Bund keine M\u00f6glichkeit, derartige Aktivit\u00e4ten durchzuf\u00fchren. Davon unbenommen kommt f\u00fcr die zivilrechtlich konstituierten Gemeinschaften und Stammgemeinschaften das DSG zur Anwendung. Der Ed\u00f6b als zust\u00e4ndige Aufsichtsbeh\u00f6rde besitzt im Rahmen des Geltungsbereiches des DSG die Kompetenz, Abkl\u00e4rungen durchzuf\u00fchren und Empfehlungen auszusprechen. Weiter gehende Entscheidkompetenzen f\u00fcr den Ed\u00f6b sind in der DSG-Revision vorgesehen. Kantonale Datenschutzgesetze kommen f\u00fcr die Datenbearbeitung im elektronischen Patientendossier folglich nicht zur Anwendung, und den kantonalen Datenschutzaufsichtsbeh\u00f6rden obliegt hier keine Aufsichtskompetenz.
Antwort des Bundesrates.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1472601600000)\/","SubmittedBy":"Graf-Litscher Edith","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1475193600000)\/","ResponsibleDepartment":4,"ResponsibleDepartmentName":"Departement des Innern","ResponsibleDepartmentAbbreviation":"EDI","IsLeadingDepartment":true,"Tags":"34|1236|2841","Category":null,"Modified":"\/Date(1690520686400)\/","SubmissionDate":"\/Date(1465948800000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":5004,"SubmissionLegislativePeriod":50,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Medien und Kommunikation|Menschenrechte|Gesundheit"}}