Wortlaut

Chiedo al Consiglio federale di rispondere alle seguenti domande:

1. Nel messaggio concernente la legge federale sulla cartella informatizzata del paziente (LCIP) i costi di certificazione di una comunità di riferimento sono stimati a 100 000 franchi svizzeri. È corretto affermare che i costi effettivi raggiungono un milione di franchi?

2. Perché le condizioni tecniche e organizzative di certificazione e altre norme di certificazione sono state adeguate nel corso delle procedure di certificazione? È vero che l'UFSP, il servizio d'accreditamento e gli organismi di certificazione hanno continuato a condurre, oltre il 15 aprile 2020, colloqui sulla logica dei controlli e sulla loro profondità? Quando saranno disponibili norme vincolanti?

3. È vero che gli organismi di certificazione devono sottoporre a ulteriori controlli di sicurezza tecnici le infrastrutture dei fornitori di tecnologia (provider), già controllate professionalmente?

4 Secondo il Consiglio federale, quando la prima comunità di riferimento e l'ultima comunità di riferimento avranno concluso la certificazione?

5. A quanto ammonta, secondo le conoscenze attuali, l'onere finanziario per la costituzione, la certificazione e l'esercizio di una comunità di riferimento? Quali conseguenze avrà l'aumento dei costi della certificazione per il finanziamento delle comunità di riferimento?

6. I costi di costituzione di una comunità di riferimento sono notevolmente aumentati a causa dell'estensione delle condizioni di certificazione. Che cosa prevede di fare il Consiglio federale per tutelare gli investimenti iniziali e impedire che le comunità di riferimento debbano sospendere l'esercizio? In caso di sospensione dell'esercizio o di fusione con un'altra comunità di riferimento i mezzi del finanziamento iniziale vanno rimborsati?

7. Le identità elettroniche certificate per la cartella informatizzata del paziente sono disponibili e quanto costano? Tutte le comunità di riferimento dispongono di identità elettroniche certificate per i pazienti e i professionisti della salute?

8. Come valuta il Consiglio federale l'idea che basterebbe, per ragioni di sicurezza, certificare unicamente il gestore della piattaforma?

Begründung

Secondo la legge federale sulla cartella informatizzata del paziente (LCIP) tutti gli ospedali per le cure acute, le cliniche di riabilitazione e le cliniche che dispensano trattamenti psichiatrici stazionari dovrebbero affiliarsi a una comunità di riferimento certificata entro il 15 aprile 2020. Questa scadenza ha dovuto essere posticipata, poiché la certificazione non ha ancora potuto essere conclusa. Circa un mese prima del termine d'inizio del 15 aprile 2020, il DFI ha pubblicato l'ultimo aggiornamento delle condizioni tecniche e organizzative di certificazione delle comunità e delle comunità di riferimento.

Stellungnahme des Bundesrates

La legge federale sulla cartella informatizzata del paziente (LCIP; RS 816.1) richiede la certificazione di comunità di riferimento e comunità per garantire, da un lato, la protezione e la sicurezza dei dati, dall'altro, l'interoperabilità tecnica e semantica. In Svizzera una certificazione così complessa di organizzazioni, nuove applicazioni software e infrastrutture informatiche non si era mai vista. Mancavano pertanto le esperienze che avrebbero permesso di definirne o prevederne con esattezza le dimensioni temporali e finanziarie nel pertinente messaggio (FF 2015 4559). Gli ultimi anni dall'approvazione e dall'entrata in vigore della LCIP hanno mostrato che questa complessità è stata sottovalutata da tutte le parti interessate. È vero che per questo motivo l'UFSP ha dovuto apportare alcune piccole modifiche alle prescrizioni di certificazione, ma queste non sono mai state sostanziali. Inoltre, tutti gli attori coinvolti - in particolare gli organismi di certificazione e le comunità di riferimento - sono stati sempre informati in modo trasparente e coinvolti nelle discussioni e nelle decisioni.

1. I costi di certificazione sono stati inizialmente sottostimati da tutti gli interessati. L'ufficio federale della sanità pubblica (UFSP) non è attualmente a conoscenza dei costi concretamente accumulati. Verosimilmente, in singoli casi i 100 000 franchi a suo tempo stimati sono stati chiaramente superati.

2. Tutte le basi legali rilevanti per la certificazione sono a disposizione e note già da tempo. L'ultima revisione degli allegati dell'ordinanza del DFI del 22 marzo 2020 sulla cartella informatizzata del paziente (OCIP-DFI; RS 816.111), risalente al 15 aprile 2020, precisava punti non chiari risultanti dalle procedure di certificazione e andava quindi a beneficio delle comunità di riferimento.

3. Il controllo delle infrastrutture avviene nell'ambito del campo di applicazione rilevante per la LCIP. La decisione circa il controllo di "infrastrutture già controllate" dipende da dove si situano gli elementi dell'infrastruttura, se all'interno o al di fuori del campo di applicazione.

4. Secondo l'attuale pianificazione, la prima certificazione avrà luogo nell'autunno del 2020. Entro la fine del 2020 seguiranno ulteriori comunità di riferimento. L'ultima certificazione dovrebbe concludersi a metà del 2021.

5. La pianificazione dei costi è di responsabilità delle comunità di riferimento e raggiungerà ordini di grandezza differenti a seconda della struttura e del grado di maturità delle comunità di riferimento stesse. Al momento non si dispone di dati attendibili per poter rispondere a questa domanda.

6. L'UFSP accompagna e sostiene le comunità di riferimento dall'inizio dei lavori preliminari. Per i primi tre anni dall'entrata in vigore, il finanziamento iniziale è stato disciplinato nella LCIP stessa (art. 20-23). In caso di fusione con un'altra comunità di riferimento i fondi del finanziamento iniziale non devono essere rimborsati. In caso di cessazione dell'attività aziendale si dovrà verificare se si configura la fattispecie dell'inadempienza contrattuale.

7. Attualmente due emittenti di strumenti d'identificazione sono certificati secondo la LCIP. I costi sono parte integrante degli accordi individuali tra gli emittenti e le comunità di riferimento e non sono pertanto pubblici. L'acquisto di strumenti d'identificazione è di responsabilità delle comunità di riferimento. A nostra conoscenza, all'avvio ogni comunità certificata avrà stipulato i necessari contratti.

8. In quanto fornitori della cartella informatizzata del paziente (CIP), le comunità di riferimento sono responsabili dell'attuazione delle prescrizioni, in particolare anche della sicurezza/protezione dei dati ai sensi della LCIP. I gestori della piattaforma sono incaricati dalle comunità di riferimento di fornire determinati servizi di gestione. La verifica dell'attuazione di tutte le prescrizioni secondo la LCIP richiede pertanto imperativamente la verifica e la certificazione della comunità di riferimento. In linea di principio sarebbe possibile discutere di una certificazione della piattaforma, ma questo richiederebbe una revisione della LCIP.

Risposta del Consiglio federale.