Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE) - Objet (VELES)

La présente ordonnance fixe les conditions régissant l’octroi de l’agrément pour les essais de vote électronique.

Diese Verordnung regelt die Voraussetzungen für die Erteilung der Zulassung von Versuchen mit der elektronischen Stimmabgabe.

Die folgenden Ausdrücke bedeuten: a. System: Gesamtheit der Software und der Infrastrukturen, die für die Durchführung von elektronischen Urnengängen verwendet werden; b. Online-System: Teil des Systems, der zur Stimmrechtsprüfung, zur Abgabe der verschlüsselten Stimme und zur Aufbewahrung der verschlüsselten Stimme verwendet wird; c. vertrauenswürdiger Systemteil: Teil des Systems, der eine oder mehrere Gruppen von Kontrollkomponenten umfasst; die Vertrauenswürdigkeit dieses Systemteils ergibt sich dadurch, dass Missbräuche auch dann aufgedeckt werden können, wenn nur eine der Kontrollkomponenten einer Gruppe korrekt funktioniert; d. Kontrollkomponenten: unabhängige Komponenten des Systems, die unterschiedlich ausgestaltet sind, von unterschiedlichen Personen betrieben werden und durch besondere Massnahmen gesichert sind; e. Systembetreiber: Behörden oder Privatunternehmen, die auf Weisung des Kantons bei einem Urnengang das Online-System betreiben und dieses warten; f. Betrieb: alle Handlungen mit technischem, administrativem oder rechtlichem Bezug sowie die entsprechenden Führungstätigkeiten eines Kantons, eines Systembetreibers oder einer Druckerei, die für die Durchführung von elektronischen Urnengängen erforderlich sind, einschliesslich der Wartung; g. Betriebsstellen: die für den Betrieb zuständigen Organisationen oder Organisationseinheiten, wie eine Staatskanzlei, ein Systembetreiber oder eine Druckerei; h. Prüferinnen und Prüfer: Personen, die im Auftrag des Kantons den korrekten Ablauf des Urnengangs prüfen; i. Infrastruktur: Hardware, Software von Drittkomponenten nach Artikel 11 Absatz 2 Buchstabe a, Netzwerkelemente, Räumlichkeiten, Services und Betriebsmittel jeglicher Art bei allen Betriebsstellen, die zum sicheren Betrieb der elektronischen Stimmabgabe erforderlich sind; j. Software: gesamte Implementierung ausgehend vom kryptografischen Protokoll für die vollständige Verifizierbarkeit, die durch die Softwareentwicklerin oder den Softwareentwickler für die elektronische Stimmabgabe vorgenommen wurde; k. kryptografisches Protokoll: Protokoll mit kryptografischen Sicherheitsfunktionen zur Erreichung der Anforderungen im Anhang Ziffer 2; das kryptografische Protokoll ist in der Modellebene angesiedelt und enthält somit keine direkten Anweisungen für die Implementierung, sondern abstrakte Sicherheitsfunktionen; l. Benutzerplattform: multifunktionales, programmierbares Gerät, das mit dem Internet verbunden ist und zur Stimmabgabe verwendet wird, wie ein handelsüblicher Computer, ein Smartphone oder ein Tablet; m. registrierte Stimme: Stimme, die vom vertrauenswürdigen Systemteil als endgültig abgegebene Stimme zur Kenntnis genommen worden ist; n. Teilstimme: 1. bei Abstimmungen: Stimme für eine Vorlage, einen Gegenvorschlag oder eine Stichfrage, 2. bei Wahlen: die Wahl einer Liste oder einer kandidierenden Person; o. systemkonform abgegebene Stimme: Stimme: 1. die einer vorgesehenen Art entspricht, einen Stimm- oder Wahlzettel auszufüllen, 2. die eine Absenderin oder ein Absender endgültig abgegeben hat, 3. deren verwendeten clientseitigen Authentisierungsmerkmale beziehungsweise deren daraus resultierenden Authentisierungsnachrichten den serverseitigen Authentisierungsmerkmalen entsprechen, die in der Vorbereitungsphase des Urnengangs festgelegt und einer stimmberechtigten Person zugewiesen wurden, und 4. die unter Verwendung von Authentisierungsmerkmalen abgegeben wird, die nicht bereits für eine andere abgegebene Stimme verwendet wurden, die der vertrauenswürdige Systemteil des Online-Systems bereits registriert hat; p. c lientseitiges Authentisierungsmerkmal: für die einzelnen stimmberechtigten Personen individuell bereitgestellte Information, wie ein PIN, die diese Personen – allenfalls zusammen mit weiteren clientseitigen Authentisierungsmerkmalen – brauchen, um eine Stimme abgeben zu können; q. serverseitiges Authentisierungsmerkmal: Information, die es – allenfalls zusammen mit weiteren serverseitigen Authentisierungsmerkmalen – braucht, um mithilfe von Authentisierungsnachrichten die Absenderin oder den Absender einer Stimme als stimmberechtigte Person zu authentisieren; r. Authentisierungsnachrichten: Informationen, die eine Benutzerplattform nach der Eingabe des clientseitigen Authentisierungsmerkmals an das Online-System übermittelt, damit dieses die Absenderin oder den Absender einer Stimme als stimmberechtigte Person authentisiert; s. Zertifikat: Dokument, das bestätigt, dass ein Prüfobjekt mit einem Referenzrahmen oder einem Standard konform ist; t. elektronisches Zertifikat: Datensatz, der bestimmte Merkmale von Personen oder Objekten bestätigt, und dessen Authentizität und Integrität durch kryptografische Verfahren geprüft werden können; das elektronische Zertifikat wird hauptsächlich zur Identifizierung und Authentifizierung der Inhaberin oder des Inhabers und zur Verschlüsselung von Nachrichten verwendet; u. kritische Handlungen und Operationen: Vorgänge, bei denen kritische Daten bearbeitet werden; v. kritische Daten: Daten, deren Integrität oder Vertraulichkeit für die Erfüllung der Anforderungen an das kryptografische Protokoll massgeblich ist.

Im Übrigen gelten die Begriffe im Anhang Ziffer 1.

On entend par: a. s ystème: terme générique qui recouvre le logiciel et les infrastructures utilisés pour réaliser un scrutin électronique; b. s ystème en ligne: partie du système qui est utilisée pour vérifier le droit de vote, pour envoyer le suffrage chiffré et pour conserver le suffrage chiffré; c. partie fiable du système: partie du système comprenant un ou plusieurs groupes de composants de contrôle; la fiabilité de cette partie du système résulte de ce qu’il est possible de détecter les abus même si un seul des composants de contrôle d’un groupe fonctionne correctement; d. composants de contrôle: composants du système indépendants qui diffèrent les uns des autres dans leur conception, sont exploités par des personnes différentes et sont sécurisés par des mesures spécifiques; e. exploitant du système: autorité ou entreprise privée qui, agissant sur instructions du canton, exploite le système en ligne lors de la tenue d’un scrutin et assure sa maintenance; f. exploitation: toutes actions à caractère technique, administratif ou juridique ainsi que les activités dirigeantes menées par un canton, un exploitant du système ou une imprimerie qui sont nécessaires pour la réalisation d’un scrutin électronique, y compris la maintenance; g. unités d’exploitation: unités responsables de l’exploitation, comme une chancellerie d’État, un exploitant d’un système ou une imprimerie; h. vérificateurs: personnes qui, sur mandat du canton, s’assurent du bon déroulement du scrutin; i. infrastructure: matériel informatique, logiciels de composants tiers au sens de l’art. 11, al. 2, let. a, éléments de réseau, locaux, services et moyens d’exploitation de toute nature des unités d’exploitation, qui sont nécessaires à une exploitation sûre du vote électronique; j. logiciel: pleine implémentation à partir du protocole cryptographique nécessaire à la vérifiabilité complète du processus de vote électronique telle qu’elle a été mise en œuvre par le développeur du système; k. protocole cryptographique: protocole doté de fonctions de sécurité cryptographiques destiné à assurer la conformité aux exigences visées à l’annexe, ch. 2; le protocole cryptographique est implanté au niveau du modèle et ne contient donc pas d’instructions d’implémentation directes, mais uniquement des fonctions de sécurité abstraites; l. plate-forme utilisateur: appareil multifonctionnel programmable relié à Internet et qui permet de voter, tel qu’un ordinateur standard, un ordiphone ou une tablette tactile; m. suffrage enregistré: suffrage dont la partie fiable du système a reçu confirmation de son caractère définitif; n. suffrage partiel: 1. dans le cadre d’une votation: suffrage émis relativement à un projet, à un contre-projet ou à une question subsidiaire, 2. dans le cadre d’une élection: suffrage émis en faveur d’une liste ou d’un candidat; o. suffrage émis conformément à la procédure prévue par le système: suffrage qui répond aux quatre conditions suivantes: 1. il est conforme aux règles applicables au remplissage d’un bulletin de vote, 2. il a été émis de manière définitive, 3. les données pertinentes d’authentification client et le message d’authentification qui en résulte correspondent aux données d’authentification serveur qui ont été définies et envoyées à l’électeur en amont du scrutin, 4. il a été émis au moyen de données d’authentification client qui n’ont pas déjà été utilisées pour émettre un suffrage que la partie fiable du système en ligne aurait enregistré précédemment; p. donnée d’authentification client: information mise à la disposition de l’électeur, comme un NIP, et dont celui-ci, le cas échéant conjointement avec d’autres données d’authentification client, a besoin pour voter; q. donnée d’authentification serveur: information qui, le cas échéant conjointement avec d’autres données d’authentification serveur, est nécessaire pour authentifier l’émetteur d’un suffrage en sa qualité d’électeur au moyen de messages d’authentification; r. messages d’authentification: ensemble des informations qu’une plate-forme utilisateur envoie au système en ligne après introduction des données d’authentification client pour que l’infrastructure authentifie l’émetteur d’un suffrage en sa qualité d’électeur; s. certificat: document qui atteste qu’un élément contrôlé est conforme à un cadre de référence ou à une norme; t. certificat électronique: ensemble de données qui atteste de certaines caractéristiques de personnes ou d’objets et dont l’authenticité et l’intégrité peuvent être vérifiées par des procédés cryptographiques; le certificat électronique est principalement utilisé pour identifier et authentifier le titulaire et pour chiffrer les transmissions; u. actions et opérations critiques: activités au cours desquelles des données critiques sont traitées; v. données critiques: données dont l’intégrité ou la confidentialité sont déterminantes pour le respect des exigences du protocole cryptographique.

Sont applicables au surplus les définitions qui figurent au ch. 1 de l’annexe.

L’agrément doit être demandé pour chaque scrutin électronique; il est accordé si les conditions suivantes sont remplies: a. le système est conçu et exploité de façon à garantir un scrutin électronique vérifiable, sûr et fiable; b. le système est facile à utiliser par les électeurs; il tient compte autant que possible des besoins particuliers de chacun; c. le système et les processus d’exploitation sont conçus et documentés de façon à ce qu’il soit possible de vérifier et de comprendre dans le détail leurs aspects techniques et organisationnels; d. le public a accès à des informations adaptées sur le fonctionnement du système et sur ses processus d’exploitation, et des mesures sont prises pour inciter les personnes disposant des connaissances nécessaires à participer à l’amélioration du système.

Die Zulassung der elektronischen Stimmabgabe erfolgt pro Urnengang; sie wird erteilt, wenn folgende Voraussetzungen erfüllt sind: a. Das System ist so ausgestaltet und wird so betrieben, dass eine verifizierbare, sichere und vertrauenswürdige elektronische Stimmabgabe gewährleistet ist. b. Das System ist für die stimmberechtigten Personen einfach zu handhaben; die besonderen Bedürfnisse möglichst aller stimmberechtigten Personen sind berücksichtigt. c. Das System und die betrieblichen Abläufe sind so ausgestaltet und dokumentiert, dass die technischen und organisatorischen Abläufe im Detail überprüft und nachvollzogen werden können. d. Der Öffentlichkeit werden adressatengerechte Informationen zur Funktionsweise des Systems und zu den betrieblichen Abläufen zugänglich gemacht und Anreize zur Mitwirkung von fachkundigen Personen aus der Öffentlichkeit sind vorhanden.

Der Kanton führt eine Risikobeurteilung durch, mit der er nachweist und begründet, dass die Sicherheitsrisiken in seinem Verantwortungsbereich hinreichend gering sind. Dabei sind auch das Vertrauen und die Akzeptanz der Öffentlichkeit in die elektronische Stimmabgabe zu berücksichtigen.

Er prüft, ob er Risiken im Aufgabenbereich seiner Dienstleister selber beurteilen kann und inwiefern separate Risikobeurteilungen durch diese nötig sind. Gegebenenfalls fordert er diese separaten Risikobeurteilungen ein.

Die Risikobeurteilungen beziehen sich auf folgende Sicherheitsziele: a. Korrektheit des Ergebnisses; b. Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen; c. Erreichbarkeit und Funktionsfähigkeit des Stimmkanals; d. Schutz der persönlichen Informationen über die stimmberechtigten Personen; e. Schutz der für die stimmberechtigten Personen bestimmten Informationen vor Manipulationen; f. keine missbräuchliche Verwendung von Beweisen zum Stimmverhalten.

Jedes Risiko wird mit Bezug auf die folgenden Eigenschaften anhand der Dokumentation zum System und zu dessen Betrieb identifiziert und klar beschrieben: a. Sicherheitsziele; b. allfällige mit den Sicherheitszielen verbundenen Datensätze; c. Bedrohungen; d. Schwachstellen.

Le canton démontre au moyen d’une appréciation des risques que les risques pour la sécurité sont suffisamment faibles dans le domaine qui relève de sa compétence. Il tient compte de la confiance et de l’acceptation du public à l’égard du vote électronique.

Il examine s’il lui est possible d’apprécier les risques dans les domaines qui relèvent de ses prestataires ou si ceux-ci doivent le faire eux-mêmes. Le cas échéant, il leur demande de procéder à une telle appréciation et de la lui remettre.

Les risques sont appréciés sous l’angle des objectifs de sécurité suivants: a. l’exactitude des résultats est garantie; b. le secret du vote est garanti et il est impossible d’établir des résultats partiels anticipés; c. le vote électronique est accessible et opérationnel; d. les informations personnelles des électeurs sont protégées; e. les informations destinées aux électeurs sont protégées contre les manipulations; f. il est impossible de faire un usage abusif des preuves relatives au comportement de vote.

Chaque risque doit être identifié et décrit clairement au moyen de la documentation du système et de son exploitation, sous l’angle des aspects suivants: a. objectifs de sécurité; b. données éventuellement liées aux objectifs de sécurité; c. menaces; d. vulnérabilités.

Es ist sichergestellt, dass jede Manipulation, die zu einer Verfälschung des Ergebnisses führt, unter Wahrung des Stimmgeheimnisses erkannt werden kann (vollständige Verifizierbarkeit). Dies gilt als gegeben, wenn die Anforderungen an die individuelle und an die universelle Verifizierbarkeit erfüllt sind.

Es bestehen die folgenden Anforderungen an die individuelle Verifizierbarkeit: a. Der stimmenden Person wird die Möglichkeit gegeben zu erkennen, ob ihre Stimme, wie sie sie in die Benutzerplattform eingegeben hat,auf der Benutzerplattform oder auf dem Übertragungsweg manipuliert oder abgefangen worden ist; dazu erhält die stimmende Person einen Beweis, dass der vertrauenswürdige Systemteil (Art. 8) die Stimme so, wie sie die stimmende Person in die Benutzerplattform eingegeben hat, als systemkonform abgegeben registriert hat; der Beweis bestätigt für jede Teilstimme die korrekte Registrierung. b. Eine stimmberechtigte Person, die ihre Stimme nicht elektronisch abgegeben hat, kann nach der Schliessung des elektronischen Stimmkanals innert der gesetzlichen Beschwerdefristen einen Beweis anfordern, dass der vertrauenswürdige Systemteil keine Stimme registriert hat, die unter Verwendung des clientseitigen Authentisierungsmerkmals der stimmberechtigten Person abgegeben wurde.

Es bestehen die folgenden Anforderungen an die universelle Verifizierbarkeit: a. Zur universellen Verifizierung erhalten die Prüferinnen und Prüfer einen Beweis der korrekten Ergebnisermittlung; der Beweis bestätigt, dass das ermittelte Ergebnis folgende Stimmen berücksichtigt: 1. alle systemkonform abgegebenen Stimmen, die durch den vertrauenswürdigen Systemteil registriert wurden; 2. ausschliesslich systemkonform abgegebene Stimmen; 3. alle Teilstimmen gemäss des im Rahmen der individuellen Verifizierung generierten Beweises. b. Die Prüferinnen und Prüfer werten den Beweis in einem beobachtbaren Prozess aus; dazu müssen sie technische Hilfsmittel verwenden, die vom Rest des Systems unabhängig und isoliert sind.

Toute manipulation de nature à fausser les résultats doit pouvoir être détectée sans qu’il soit porté atteinte au secret du vote (vérifiabilité complète). Tel est réputé être le cas lorsque sont remplies les exigences applicables et à la vérifiabilité individuelle et à la vérifiabilité universelle.

La vérifiabilité individuelle est soumise aux exigences suivantes: a. tout votant dispose de la possibilité de détecter si le suffrage qu’il a émis, tel qu’il l’a saisi sur la plate-forme utilisateur, a été manipulé ou intercepté sur la plate-forme utilisateur ou pendant la transmission; tout votant reçoit à cet effet la preuve que la partie fiable du système (art. 8) a enregistré son suffrage tel qu’il l’a saisi sur la plate-forme utilisateur, et que ce suffrage a été émis conformément à la procédure prévue par le système; la preuve atteste, pour chaque suffrage partiel, que l’enregistrement a été effectué correctement; b. tout électeur qui n’a pas voté par voie électronique peut demander, une fois fermé le canal de vote électronique et avant l’échéance des délais de recours légaux, la preuve que la partie fiable du système n’a pas enregistré de suffrage émis au moyen de ses propres données d’authentification client.

La vérifiabilité universelle est soumise aux exigences suivantes: a. les vérificateurs reçoivent la preuve que les résultats ont été établis correctement; cette preuve atteste que ceux-ci ont été établis en prenant en compte: 1. tous les suffrages qui ont été émis conformément à la procédure prévue par le système et qui ont été enregistrés par la partie fiable du système, 2. uniquement les suffrages qui ont été émis conformément à la procédure prévue par le système, 3. tous les suffrages partiels correspondant à la preuve générée dans le cadre de la vérifiabilité individuelle; b. les vérificateurs doivent évaluer cette preuve au cours d’un processus observable; ils mettent en œuvre à cet effet des dispositifs techniques indépendants et séparés du reste du système.

Für die Stichhaltigkeit der Beweise nach Artikel 5 massgebend ist die Vertrauenswürdigkeit: a. des vertrauenswürdigen Systemteils für Beweise nach Artikel 5 Absätze 2 und 3; b. des Verfahrens bei der Generierung und beim Druck des Stimmmaterials für Beweise nach Artikel 5 Absatz 2; und c. des technischen Hilfsmittels, das von den Prüferinnen und Prüfern zur Überprüfung eingesetzt wird, für Beweise nach Artikel 5 Absatz 3.

Le caractère concluant des preuves visées à l’art. 5 dépend de la fiabilité: a. de la partie fiable du système, pour les preuves visées à l’art. 5, al. 2 et 3; b. de la procédure utilisée pour générer et imprimer le matériel de vote, pour les preuves visées à l’art. 5, al. 2, et c. des dispositifs techniques que les vérificateurs mettent en œuvre aux fins de contrôle, pour les preuves visées à l’art. 5, al. 3.

Für die Wahrung des Stimmgeheimnisses und den Ausschluss von vorzeitigen Teilergebnissen innerhalb der Infrastruktur massgebend ist die Vertrauenswürdigkeit: a. des vertrauenswürdigen Systemteils; b. des Verfahrens bei der Generierung und beim Druck des Stimmmaterials.

Sont déterminantes pour garantir le secret du vote et l’impossibilité d’établir des résultats partiels anticipés au sein de l’infrastructure: a. la fiabilité de la partie fiable du système; b. la fiabilité de la procédure utilisée pour générer et imprimer le matériel de vote.

Der vertrauenswürdige Systemteil umfasst eine oder mehrere Gruppen von Kontrollkomponenten.

Beweise sind auch dann stichhaltig (Art. 6) und das Stimmgeheimnis ist auch dann gewahrt (Art. 7), wenn pro Gruppe nur eine der Kontrollkomponenten korrekt funktioniert.

Die Vertrauenswürdigkeit des vertrauenswürdigen Systemteils wird über die unterschiedliche Ausgestaltung der Kontrollkomponenten sowie die Unabhängigkeit von deren Betrieb und deren Überwachung sichergestellt.

La partie fiable du système comprend un ou plusieurs groupes de composants de contrôle.

Les preuves sont concluantes (art. 6) et le secret du vote est garanti (art. 7) même si, dans chaque groupe, il n’y a qu’un seul composant de contrôle à fonctionner correctement.

Pour que la fiabilité de la partie fiable du système soit garantie, il faut que les composants de contrôle diffèrent les uns des autres dans leur conception et que leur exploitation et leur surveillance soient indépendantes.

Si les risques ne sont pas suffisamment faibles malgré les mesures prises, il convient de prendre des mesures supplémentaires afin de les réduire. Cette règle s’applique même lorsque toutes les exigences prévues dans l’annexe ont déjà été mises en œuvre.

Sind die Risiken trotz der ergriffenen Massnahmen nicht hinreichend gering, so müssen zusätzliche Massnahmen zur Risikominimierung ergriffen werden. Dies gilt insbesondere auch dann, wenn sämtliche Anforderungen des Anhangs bereits umgesetzt sind.

Des organes indépendants mandatés par la ChF vérifient la conformité: a. du protocole cryptographique (annexe, ch. 26.1); b. du logiciel du système (annexe, ch. 26.2); c. de la sécurité de l’infrastructure et de l’exploitation (annexe, ch. 26.3); d. de la protection contre les tentatives d’intrusion dans l’infrastructure (annexe, ch. 26.4).

Le canton s’assure que l’exploitant du système dispose d’un système de management de la sécurité de l’information (SMSI) et que celui-ci est audité par des organes indépendants (annexe, ch. 26.5). Le SMSI porte au moins sur les processus et les éléments de l’infrastructure de l’exploitant du système qui sont pertinents pour atteindre les objectifs de sécurité.

Le canton s’assure que la ChF et les organes indépendants qu’elle a mandatés ont accès au système et à tous les documents nécessaires de façon à pouvoir procéder aux contrôles visés à l’al. 1.

Les autorités responsables des contrôles en vertu des al. 1 et 2 publient les pièces justificatives et les certificats. Ils publient en outre tous documents pertinents pour la compréhension de ces derniers. Ne doivent pas obligatoirement être publiés les documents ou parties de documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.

Unabhängige Stellen prüfen im Auftrag der Bundeskanzlei: a. das kryptografische Protokoll (Anhang Ziff. 26.1); b. die Software des Systems (Anhang Ziff. 26.2); c. die Sicherheit von Infrastruktur und Betrieb (Anhang Ziff. 26.3); d. den Schutz gegen Versuche, in die Infrastruktur einzudringen (Anhang Ziff. 26.4).

Der Kanton stellt sicher, dass der Systembetreiber über ein Informationssicherheitsmanagement-System (ISMS) verfügt und dieses von unabhängigen Stellen geprüft wird (Anhang Ziff. 26.5). Das ISMS umfasst mindestens die Prozesse und die Infrastruktur des Systembetreibers, die für die Erreichung der Sicherheitsziele relevant sind.

Der Kanton stellt sicher, dass die Bundeskanzlei und die von ihr beauftragten unabhängigen Stellen für die Durchführung der Prüfungen nach Absatz 1 Zugang zum System und den notwendigen Unterlagen erhalten.

Die nach den Absätzen 1 und 2 für die Prüfungen zuständigen Behörden publizieren die Belege und die Zertifikate. Zusätzlich sind weitere Unterlagen zu publizieren, sofern sie für die Nachvollziehbarkeit relevant sind. Nicht publiziert werden müssen Dokumente oder Teile von Dokumenten, für die eine begründete Ausnahme insbesondere gestützt auf das Öffentlichkeits- oder das Datenschutzrecht vorliegt.

Le canton veille à ce que soient publiés les éléments suivants: a. le code source du logiciel du système, y compris les fichiers contenant les paramètres pertinents; b. une pièce justificative attestant que les programmes lisibles par machine ont été créés au moyen du code source du logiciel tel qu’il a été publié; c. la documentation du logiciel; d. la documentation du processus de développement; e. les guides et autres documentations complémentaires, afin que les personnes disposant des connaissances nécessaires puissent compiler, faire fonctionner et analyser le système dans leur propre infrastructure au moyen du code source; f. les spécifications techniques des principaux composants du système; g. la documentation des processus d’exploitation, de maintenance et de sécurité du système; h. les informations et descriptifs concernant les failles identifiées.

Ne doivent pas obligatoirement être publiés: a. le code source de composants tiers tels que des systèmes d’exploitation, des bases de données, des serveurs web et des serveurs d’application, des systèmes de gestion des droits, des pare-feu et des routeurs, pour autant que ces composants soient utilisés à grande échelle et qu’ils soient mis à jour en permanence; b. le code source des portails de cyberadministration qui sont reliés au système; c. les documents ou parties de documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.

Der Kanton sorgt dafür, dass folgende Unterlagen offengelegt werden: a. der Quellcode der Software des Systems einschliesslich der Dateien mit relevanten Parametern; b. ein Nachweis, dass die maschinenlesbaren Programme aus dem publizierten Quellcode der Software erstellt worden sind; c. die Dokumentation der Software; d. die Dokumentation des Entwicklungsprozesses; e. Anleitungen und ergänzende Dokumentationen, die fachkundige Personen benötigen, um das System ausgehend vom Quellcode in der eigenen Infrastruktur kompilieren, in Betrieb nehmen und analysieren zu können; f. die technischen Spezifikationen der wichtigen Komponenten des Systems; g. die Dokumentation der Prozesse für den Betrieb, die Wartung und die Sicherung des Systems; h. Informationen und Beschreibungen zu bekannten Mängeln.

Nicht offengelegt werden müssen: a. der Quellcode von Drittkomponenten wie Betriebssystemen, Datenbanken, Web- und Applikationsservern, Rechteverwaltungssystemen, Firewalls oder Routern, sofern diese weit verbreitet sind und laufend aktualisiert werden; b. der Quellcode von Behördenportalen, die mit dem System verbunden sind; c. Dokumente oder Teile von Dokumenten, für die eine begründete Ausnahme von einer Publikation insbesondere gestützt auf das Öffentlichkeits- oder das Datenschutzrecht vorliegt.

Les éléments à publier conformément à l’art. 11 doivent être préparés et documentés de façon à faciliter autant que possible leur lecture et leur analyse.

Pour permettre au public d’apprécier les éléments à publier, il est fait en sorte que ceux-ci: a. soient accessibles en ligne facilement, gratuitement et sans obligation d’enregistrement, et b. soient disponibles suffisamment longtemps avant l’utilisation prévue du système.

Toute personne a le droit d’examiner, de modifier, de compiler et d’exécuter le code source à des fins idéales et de lui consacrer des études. Elle peut publier des études et des constatations sur les failles. Elle a également le droit d’échanger avec d’autres personnes pour rechercher des failles et de citer tout ou partie des informations publiées.

Le propriétaire du code source peut: a. autoriser l’utilisation du code source à d’autres fins; b. soumettre à des conditions particulières la fourniture d’indications sur les moyens d’améliorer le système; il peut ainsi inviter à signaler toute faille au plus vite et à observer un certain délai pour les publications consacrées à des failles supposées.

S’il soumet le code source et la documentation à des conditions d’utilisation ou s’il prévoit des conditions au sens de l’al. 4, let. b, il ne peut poursuivre leur violation civilement ou pénalement que si le code source est utilisé en tout ou partie à des fins commerciales ou productives. Les conditions précitées doivent préciser ce point.

Die nach Artikel 11 offenzulegenden Unterlagen müssen so aufbereitet und dokumentiert sein, dass sich das Lesen und Analysieren möglichst einfach gestaltet.

Um eine Überprüfung durch die Öffentlichkeit zu ermöglichen, müssen die Unterlagen: a. einfach, unentgeltlich und ohne Registrierung über das Internet beziehbar sein; und b. rechtzeitig vor dem geplanten Einsatz des Systems verfügbar sein.

Jede Person darf den Quellcode zu ideellen Zwecken untersuchen, verändern, kompilieren und ausführen sowie Studien dazu verfassen. Sie darf Studien und Erkenntnisse zu Mängeln publizieren. Sie darf sich insbesondere für die Fehlersuche mit weiteren Personen austauschen und dabei aus den offengelegten Informationen zitieren.

Die Inhaberin oder der Inhaber des Quellcodes kann: a. die Nutzung des Quellcodes zu anderen Zwecken erlauben; b. für die Einreichung von Hinweisen zur Verbesserung des Systems spezifische Bedingungen festlegen; dabei kann sie oder er dazu auffordern, Mängel umgehend zu melden und für Publikationen zu vermuteten Mängeln eine bestimmte Frist einzuhalten.

Stellt sie oder er Nutzungsbedingungen für den Quellcode und die Dokumentation oder Bedingungen nach Absatz 4 Buchstabe b auf, so darf sie oder er Verstösse dagegen nur dann zivil- oder strafrechtlich verfolgen, wenn eine Person den Quellcode oder Teile davon kommerziell verwendet oder produktiv einsetzt. In den Nutzungsbedingungen und den Bedingungen ist darauf hinzuweisen.

Der Kanton bezeichnet eine Stelle, bei der interessierte Personen Hinweise zur Verbesserung des Systems einreichen können, darunter: a. Hinweise zu Mängeln in den offengelegten Unterlagen nach Artikel 11; b. Hinweise auf der Grundlage von Versuchen zum Eindringen in das Online-System im Rahmen von öffentlichen Tests.

Die Stelle nach Absatz 1 wertet die Hinweise aus und informiert die hinweisgebende Person über ihre Einschätzung und allfällige Massnahmen, die gestützt auf den Hinweis getroffen werden. Diese Informationen werden publiziert.

Der Kanton sorgt dafür, dass Hinweise, die einen Bezug zur Sicherheit haben und die zu Verbesserungen des Systems beitragen, angemessen finanziell vergütet werden.

Le canton désigne un service auquel le public peut fournir des indications sur les moyens d’améliorer le système, notamment: a. des indications concernant des erreurs dans les éléments qui doivent être publiés en vertu de l’art. 11; b. des indications reposant sur des tentatives d’intrusion dans le système en ligne effectuées dans le cadre de tests publics.

Le service visé à l’al. 1 évalue les indications reçues et informe les personnes qui les ont fournies des conclusions qu’il en a tirées et des mesures qui pourront être prises à partir de ces indications. Ces informations sont publiées.

Le canton veille à ce que les indications qui touchent à la sécurité et qui permettent d’améliorer le système soient rémunérées de manière équitable.

Der Kanton trägt die Gesamtverantwortung für den korrekten Ablauf des Urnengangs mit der elektronischen Stimmabgabe.

Er muss wichtige Aufgaben selbst ausführen. Er kann die Entwicklung der eingesetzten Software, Aufgaben des Betriebs und die Kommunikation zu Fragen der Funktionsweise an externe Organisationen delegieren.

Er bestimmt eine auf kantonaler Ebene verantwortliche Stelle, die die Gesamtverantwortung trägt und insbesondere die folgenden Aufgaben wahrnimmt: a. Festlegung einer übergeordneten Informationssicherheitsrichtlinie; b. Festlegung einer Informationsklassifizierungs- und Verarbeitungsrichtlinie für die identifizierten Informationsbestände; c. Festlegung einer Risikomanagementrichtlinie; d. Definition und Umsetzung von Massnahmen zur Einhaltung der Richtlinien nach den Buchstaben a–c; e. Beauftragung eines Systembetreibers und Festlegung der Anforderungen an dessen Überwachung und Überprüfung; f. Festlegung von Fristen für die Durchführung von kritischen Handlungen und Operationen; g. Überwachung und Überprüfung der Arbeiten des Systembetreibers; h. Begleitung und Instruktion der Prüferinnen und Prüfer; i. Beurteilung und Kommunikation der Korrektheit des Ergebnisses des Urnengangs gestützt auf die Beweise nach Artikel 5 und weitere Indikatoren.

Bei einem Urnengang tragen die Betriebsstellen für die Bereitstellung und die Handhabung der technischen Aspekte der elektronischen Stimmabgabe die Verantwortung gegenüber dem Kanton.

Die nach kantonalem Recht zuständigen Prüferinnen und Prüfer übernehmen die Verantwortung für den Betrieb ihrer technischen Hilfsmittel.

Le canton assume la responsabilité générale du bon déroulement du scrutin électronique.

Il exécute lui-même les tâches principales. Il peut déléguer à des entités extérieures le développement du logiciel utilisé, les tâches liées à l’exploitation et la communication sur le fonctionnement du système.

Il désigne un service compétent au niveau cantonal qui assume la responsabilité générale du scrutin et veille notamment à la bonne exécution des tâches suivantes: a. établir une directive globale sur la sécurité de l’information; b. établir une directive sur la classification et le traitement de l’information pour les ressources informationnelles identifiées; c. établir une directive sur la gestion du risque; d. définir et mettre en œuvre les mesures permettant d’assurer la conformité aux directives visées aux let. a à c; e. mandater l’exploitant d’un système et définir les exigences applicables à sa surveillance et à son contrôle; f. fixer les délais applicables à l’exécution d’actions et d’opérations critiques; g. surveiller et vérifier les travaux effectués par l’exploitant du système; h. accompagner et instruire les vérificateurs; i. évaluer et communiquer l’exactitude des résultats du scrutin sur la base des preuves visées à l’art. 5 et d’autres indicateurs.

Pendant la tenue d’un scrutin, les unités d’exploitation répondent devant le canton du bon fonctionnement du vote électronique et de la bonne gestion de ses aspects techniques.

Les vérificateurs compétents selon le droit cantonal répondent du bon fonctionnement de leurs dispositifs techniques.

Den Gesuchen nach Artikel 27 e VPR sind Informationen zum geplanten Einsatz der elektronischen Stimmabgabe und Unterlagen darüber, wie die rechtlichen Anforderungen erfüllt werden, beizulegen. Dazu gehören insbesondere: a. aktuelle Risikobeurteilungen nach Artikel 4 einschliesslich der Grundlagen, die für die Nachvollziehbarkeit notwendig sind; b. Zertifikate und deren Anhänge, die im Rahmen von Prüfungen nach Artikel 10 Absatz 2 erstellt wurden und Informationen zu deren Offenlegung nach Artikel 10 Absatz 4; c. Informationen zur Offenlegung der Unterlagen nach Artikel 11 und zu Hinweisen aus der Öffentlichkeit nach Artikel 13; d. Protokolle von Tests, die der Kanton durchgeführt hat, und Hinweise auf bestehende Mängel im System; e. die Begründung und allfällige Massnahmen für Ausnahmen nach Artikel 16 Absatz 2.

Auf Unterlagen nach Absatz 1, die die Bundeskanzlei bereits erhalten hat und die noch gültig sind, kann verwiesen werden.

Aux demandes présentées en vertu de l’art. 27 e ODP devront être joints les informations concernant l’utilisation prévue du système de vote électronique et les documents qui attestent que les exigences légales sont remplies. Il s’agit notamment des documents suivants: a. les appréciations des risques les plus récentes au sens de l’art. 4, y compris les éléments nécessaires à leur compréhension; b. les certificats, y compris leurs annexes, qui ont été établis dans le cadre de l’art. 10, al. 2, et les informations attestant de leur publication conformément à l’art. 10, al. 4; c. les informations concernant la publication des éléments visés à l’art. 11 et les indications fournies par le public en vertu de l’art. 13; d. les protocoles des tests qui ont été effectués par le canton, et les indications suggérant l’existence de failles affectant le système; e. les raisons pour lesquelles certaines exigences n’ont pas été remplies et les mesures de remplacement prévues, conformément à l’art. 16, al. 2.

Lorsque la ChF a déjà en sa possession les documents visés à l’al. 1 et qu’ils sont encore valides, il pourra suffire d’y renvoyer.

Die detaillierten technischen und administrativen Anforderungen an die elektronische Stimmabgabe sind im Anhang geregelt.

Die Bundeskanzlei kann in Ausnahmefällen einen Kanton von der Erfüllung einzelner Anforderungen befreien, sofern: a. die nicht erfüllten Anforderungen im Gesuch bezeichnet sind; b. eine nachvollziehbare Begründung für den Ausnahmefall vorliegt; und c. der Kanton allfällige alternative Massnahmen beschreibt und mit Bezug auf die Risikobeurteilung begründet, weshalb er die Risiken als hinreichend gering einschätzt.

Les exigences techniques et administratives à remplir pour organiser un scrutin électronique sont détaillées dans l’annexe.

La ChF peut exceptionnellement dispenser un canton de remplir certaines exigences s’il respecte les trois conditions suivantes: a. il signale comme telles dans la demande les exigences qu’il n’a pas remplies; b. il expose de manière plausible les raisons pour lesquelles il n’a pas rempli ces exigences; c. il décrit les mesures de remplacement qu’il prendra et, s’agissant de l’appréciation des risques, indique les raisons pour lesquelles il considère que ceux-ci sont suffisamment faibles.

Die Verordnung der BK vom 13. Dezember 2013 über die elektronische Stimmabgabe wird aufgehoben.

L’ordonnance de la ChF du 13 décembre 2013 sur le vote électronique est abrogée.

Diese Verordnung tritt am 1. Juli 2022 in Kraft.

La présente ordonnance entre en vigueur le 1 er juillet 2022.