Source: https://www.admin.ch/opc/fr/classified-compilation/20132343/201401150000/comparison.html
Timestamp: 2019-04-24 23:11:50+00:00

Document:
Ordonnance de la ChF du 13 décembre 2013 sur le vote électronique (OVotE)
Ordinanza della CaF del 13 dicembre 2013 concernente il voto elettronico (OVE)
Federal Chancellery Ordinance of 13 December 2013 on Electronic Voting (VEleS)
Art. 1 Objet et définitions
Art. 2 Conditions générales régissant l'octroi de l'agrément...
Art. 3 Appréciation des risques
Art. 4 Exigences à remplir pour que plus de 30 % de l'électo...
Art. 5 Exigences à remplir pour que plus de 50 % de l'électo...
Art. 6 Mesures supplémentaires visant à réduire les risques
Art. 7 Exigences applicables au contrôle
Art. 7a Publication du code source
Art. 7b Modalités de la publication du code source
Art. 8 Pièces justificatives à l'appui des demandes
Art. 9 Autres dispositions
Exigences techniques et administratives applicables au vote ...
(OVotE)
du 13 décembre 2013 (Etat le 1er juillet 2018)
La Chancellerie fédérale suisse (ChF),
vu les art. 27c, al. 2, 27e, al. 1, 27f, al. 1, 27g, al. 2, 27i, al. 3, et 27l, al. 3, de l'ordonnance du 24 mai 1978 sur les droits politiques (ODP)1,
1 La présente ordonnance fixe les conditions régissant l'octroi de l'agrément pour le vote électronique.
2 Les définitions applicables sont celles qui figurent au ch. 1.3 de l'annexe.
Art. 2 Conditions générales régissant l'octroi de l'agrément pour chaque scrutin où l'on aura recours au vote électronique
L'agrément est accordé pour chaque scrutin où l'on aura recours au vote électronique si les conditions suivantes sont remplies:
le système de vote électronique (système) est conçu et exploité de telle sorte qu'il garantit la sûreté et la fiabilité du vote (annexe, ch. 2 et 3);
le système est facile à utiliser pour les électeurs. Les besoins particuliers de tous les électeurs, si possible, sont pris en compte;
le système et les opérations d'exploitation sont décrits dans une documentation de manière à ce qu'il soit possible de comprendre en détail toutes les opérations techniques et organisationnelles qui sont pertinentes du point de vue de la sécurité.
1 Le canton doit effectuer une appréciation des risques visant à établir par écrit, de manière détaillée et compréhensible, que tous les risques pour la sécurité se situent à un niveau suffisamment bas. L'appréciation doit être effectuée en fonction des objectifs de sécurité suivants:
garantir l'exactitude des résultats;
protéger le secret du vote et faire en sorte qu'il soit impossible d'établir des résultats partiels de manière anticipée;
assurer la disponibilité des fonctionnalités;
protéger les informations personnelles concernant les électeurs;
protéger contre les manipulations les informations destinées aux électeurs;
faire en sorte qu'il soit impossible d'établir des preuves relatives au comportement de vote.
2 Chaque risque doit être identifié et décrit clairement en fonction des objectifs de sécurité, des éventuelles données liées à ces objectifs, des menaces, des vulnérabilités et de la documentation relative au système et à son exploitation. Sur cette base, le canton indique les raisons pour lesquelles il évalue les risques comme étant suffisamment faibles.
3 La réduction des risques ne doit pas reposer sur le fait que l'on garde secrètes des informations sur le système et son exploitation qui sont pertinentes du point de vue de la sécurité.
Art. 4 Exigences à remplir pour que plus de 30 % de l'électorat cantonal puisse voter par voie électronique
1 Pour qu'un système permettant à plus de 30 % de l'électorat cantonal de voter par voie électronique soit agréé, les votants doivent avoir la possibilité de déterminer si le suffrage qu'ils ont exprimé a été manipulé ou intercepté sur la plate-forme utilisateur ou pendant la transmission (vérifiabilité individuelle; annexe, ch. 4.1 et 4.2).
2 Pour qu'il y ait vérification individuelle, le votant doit recevoir la preuve que la partie serveur du système a enregistré le suffrage tel que le votant l'a exprimé sur la plate-forme utilisateur, conformément à la procédure prévue par le système. La preuve doit attester, pour chaque suffrage partiel, que l'enregistrement a été effectué correctement.
3 Si les données d'authentification client sont envoyées par voie électronique, les électeurs qui n'ont pas voté par voie électronique doivent pouvoir demander, après la fermeture du canal permettant de voter par voie électronique, durant les délais de recours légaux, la preuve que le système n'a enregistré aucun suffrage exprimé moyennant l'utilisation de leurs données d'authentification client.
4 Le caractère concluant d'une preuve ne doit pas dépendre de la fiabilité de la plate-forme utilisateur ou du canal de transmission.
5 Il peut se fonder sur les éléments suivants:
la fiabilité de la partie serveur du système;
la fiabilité des dispositifs techniques particuliers des votants; ces dispositifs doivent répondre à des exigences de sécurité particulièrement élevées;
la confidentialité des données envoyées sur support papier; la confidentialité de ces données doit être garantie par des mesures particulières en dehors du cadre de l'infrastructure.
Art. 5 Exigences à remplir pour que plus de 50 % de l'électorat cantonal puisse voter par voie électronique
1 Pour qu'un système permettant à plus de 50 % de l'électorat cantonal de voter par voie électronique soit agréé, les votants ou les vérificateurs doivent avoir la possibilité, dans le respect du secret du vote, d'identifier toute manipulation aboutissant à une falsification des résultats (vérifiabilité complète; annexe, ch. 4.3 et 4.4).
2 Il y a vérifiabilité complète quand les exigences étendues applicables à la vérifiabilité individuelle (al. 3) et les exigences applicables à la vérifiabilité universelle (al. 4 à 6) sont remplies.
3 Pour qu'il y ait vérification individuelle, les exigences suivantes doivent être remplies en plus des exigences fixées à l'art. 4:
la preuve doit en outre permettre aux votants de constater que les données pertinentes pour la vérification universelle sont parvenues dans la partie fiable du système (al. 6);
après la fermeture du canal permettant de voter par voie électronique, le votant doit pouvoir demander la preuve que la partie fiable du système n'a pas déjà enregistré un suffrage exprimé moyennant l'utilisation de ses données d'authentification client;
le caractère concluant d'une preuve ne doit pas dépendre de la fiabilité de l'ensemble de la partie serveur du système. Il peut toutefois se fonder sur la fiabilité de la partie fiable du système.
4 Pour qu'il y ait vérification universelle, les vérificateurs doivent recevoir la preuve attestant que les résultats ont été établis correctement. Ils doivent évaluer cette preuve au cours d'un processus observable. Pour ce faire, ils doivent utiliser des dispositifs techniques indépendants et séparés du reste du système. La preuve doit attester que l'établissement des résultats a pris en compte:
tous les suffrages qui ont été exprimés conformément à la procédure prévue par le système et qui ont été enregistrés par la partie fiable du système;
uniquement les suffrages qui ont été exprimés conformément à la procédure prévue par le système;
tous les suffrages partiels conformément à la preuve générée dans le cadre de la vérification individuelle.
5 Le caractère concluant de la preuve ne peut dépendre que de la fiabilité de la partie fiable du système et du dispositif technique utilisé pour le contrôle. Par ailleurs, la garantie du secret du vote et le fait qu'il ne doit pas être possible d'établir des résultats partiels de manière anticipée au sein de l'infrastructure ne peuvent dépendre que de la fiabilité de la partie fiable du système.
6 La partie fiable du système comprend soit un groupe soit quelques groupes de composants indépendants sécurisés par des mesures particulières (composants de contrôle). L'utilisation de ces composants doit permettre d'identifier n'importe quel abus même si, dans chaque groupe, il n'y a qu'un composant de contrôle qui fonctionne correctement et qui, en particulier, n'est pas manipulé sans qu'on s'en aperçoive. Pour que la fiabilité de la partie fiable du système soit garantie, il faut que les composants de contrôle diffèrent les uns des autres de par leur conception, mais aussi que leur exploitation et leur surveillance soient indépendantes.
Si les risques ne sont pas suffisamment faibles malgré les mesures prises, il convient de prendre des mesures supplémentaires afin de réduire les risques. Cette règle s'applique notamment dans les cas où toutes les exigences fixées aux ch. 2 à 4 de l'annexe ont déjà été mises en oeuvre.
1 Les cantons veillent à ce que des services indépendants contrôlent le respect des conditions fixées. Le contrôle a lieu notamment si le système ou son exploitation a subi une modification qui pourrait remettre en question le respect des conditions ayant abouti à l'octroi de l'agrément.
2 Dans les cas où il s'agit de permettre à plus de 30 % de l'électoral cantonal de participer à un essai (art. 4 et 5), le système et son exploitation doivent être soumis à un contrôle particulièrement approfondi sur la base des critères suivants:
le protocole cryptographique (annexe, ch. 5.1);
les fonctionnalités (annexe, ch. 5.2);
la sécurité de l'infrastructure et de l'exploitation (annexe, ch. 5.3);
la protection contre les tentatives d'intrusion dans l'infrastructure (annexe, ch. 5.5);
les exigences applicables aux imprimeries (annexe, ch. 5.6);
en cas d'utilisation d'un système ayant les propriétés de la vérifiabilité complète définie à l'art. 5: les composants de contrôle (annexe, ch. 5.4).
3 Dans les cas où il s'agit de permettre à 30 % au maximum de l'électorat cantonal de participer à un essai et où le système a les propriétés de la vérifiabilité complète définie à l'art. 5, le système et son exploitation doivent être soumis à un contrôle particulièrement approfondi sur la base des critères suivants:
les fonctionnalités (annexe, ch. 5.2); le contrôle ne doit pas obligatoirement porter sur les logiciels de portails de cyberadministration qui sont reliés à un système;
la sécurité de l'infrastructure et de l'exploitation (annexe, ch. 5.3); à cet égard, le contrôle peut porter uniquement sur l'infrastructure qui enregistre le suffrage et qui établit à l'intention du votant la preuve visée à l'art. 4, al. 2;
les composants de contrôle (annexe, ch. 5.4).2
1 Nouvelle teneur selon le ch. I de l'O de la ChF du 30 mai 2018, en vigueur depuis le 1er juil. 2018 (RO 2018 2279).
2 Introduit par le ch. I de l'O de la ChF du 30 mai 2018, en vigueur depuis le 1er juil. 2018 (RO 2018 2279).
Art. 7a1Publication du code source
1 Le code source du logiciel du système doit être publié.
2 La publication a lieu, quand le système a les propriétés de la vérifiabilité complète définie à l'art. 5 et:
après le contrôle visé à l'art. 7, al. 2, dans les cas où il s'agit de permettre à plus de 30 % de l'électorat cantonal de participer à un essai;
après le contrôle visé à l'art. 7, al. 3, dans les cas où il s'agit de permettre à 30 % au maximum de l'électorat cantonal de participer à un essai.
3 Ne doit pas obligatoirement être publié le code source:
de composants tiers tels que des systèmes d'exploitation, des bases de données, des serveurs web et des serveurs d'application, des systèmes de gestion des droits, des pare-feu et des routeurs, pour autant que ces composants soient utilisés à grande échelle et qu'ils soient mis à jour en permanence;
de portails de cyberadministration qui sont reliés à un système.
1 Introduit par le ch. I de l'O de la ChF du 30 mai 2018, en vigueur depuis le 1er juil. 2018 (RO 2018 2279).
Art. 7b1Modalités de la publication du code source
1 Le code source doit être préparé et documenté conformément aux bonnes pratiques.
2 L'accès au code source par Internet doit être simple et gratuit.
3 Une documentation portant sur le système et son exploitation doit indiquer en quoi les différentes parties du code source sont pertinentes pour la sécurité du vote électronique. Elle doit être publiée avec le code source.
4 Toute personne a le droit non seulement d'examiner, de modifier, de compiler et d'exécuter le code source à des fins idéales, mais aussi de rédiger des études en la matière et de les publier. Le propriétaire du code source peut autoriser l'utilisation de ce dernier à d'autres fins.
1 Doivent être joints aux demandes présentées en vertu des art. 27c et 27e, al. 1, ODP:
les pièces justificatives ou les certificats attestant que le système et son exploitation ont été contrôlés sur la base des exigences fixées et qu'ils remplissent efficacement toutes les exigences (annexe, ch. 6.1 à 6.3);
les pièces justificatives attestant que l'appréciation des risques a été menée avant un scrutin; elles doivent indiquer les raisons pour lesquelles les risques ont été évalués comme étant suffisamment faibles (annexe, ch. 6.4).
2 Il est possible de faire valoir des pièces justificatives que la Chancellerie fédérale a déjà reçues et qui sont encore valables.
1 Les exigences techniques et administratives détaillées qu'il faut remplir pour obtenir l'agrément pour le vote électronique figurent dans l'annexe.
2 D'ici au 30 juin 2015, un canton peut être dispensé, à titre exceptionnel, de remplir certaines exigences figurant aux ch. 2 et 3 de l'annexe:
s'il n'est pas prévu que plus de 30 % de l'électorat cantonal puisse voter par voie électronique;
si les exigences qui ne devront pas être remplies sont indiquées dans la demande; et
si le canton décrit les mesures de remplacement qui seront prises et indique, à propos de l'appréciation des risques, les raisons pour lesquelles il évalue les risques comme étant suffisamment faibles.
La présente ordonnance entre en vigueur le 15 janvier 2014.
Exigences techniques et administratives applicables au vote électronique1
1 Le texte de l'annexe de la présente ordonnance n'est pas publié au RO (RO 2018 2279). Il peut être consulté gratuitement à l'adresse www.chf.admin.ch > Droits politiques > Vote électronique > Exigences du droit fédéral, ou obtenu gratuitement à la Chancellerie fédérale, Section des droits politiques, Palais fédéral Ouest, 3003 Berne.
RO 2013 5371
1 RS 161.11
Falls die Risiken trotz der ergriffenen Massnahmen nicht hinreichend klein sind, so müssen zur Risikominimierung zusätzliche Massnahmen ergriffen werden. Dies gilt insbesondere auch dann, wenn sämtliche Anforderungen nach Anhang Ziffer 2-4 bereits umgesetzt sind.
Belege oder Zertifikate, dass das System und dessen Betrieb hinsichtlich der gestellten Anforderungen geprüft worden sind und sämtliche Anforderungen wirksam erfüllen (Anhang Ziff. 6.1-6.3);
del 13 dicembre 2013 (Stato 1° luglio 2018)
La Cancelleria federale svizzera (CaF),
visti gli articoli 27c capoverso 2, 27e capoverso 1, 27f capoverso 1, 27g capoverso 2, 27i capoverso 3 e 27l capoverso 3 dell'ordinanza del 24 maggio 19781 sui diritti politici (ODP),
1 La presente ordinanza fissa le condizioni per l'ammissione del voto elettronico.
2 Sono applicabili le definizioni di cui all'allegato numero 1.3.
Art. 2 Condizioni generali per l'ammissione al voto elettronico per scrutinio
L'ammissione al voto elettronico per scrutinio è rilasciata se sono adempiute le seguenti condizioni:
la configurazione e l'esercizio del sistema di voto elettronico (sistema) garantiscono un voto elettronico sicuro e affidabile (allegato n. 2 e 3);
il sistema è facile da utilizzare per gli aventi diritto di voto. Per quanto possibile sono considerate le esigenze di tutti gli aventi diritto;
il sistema e i processi operativi sono documentati nella misura in cui tutti i processi organizzativi e tecnici rilevanti per la sicurezza possano essere seguiti nei dettagli.
Art. 3 Analisi dei rischi
1 Mediante un'analisi dei rischi il Cantone deve documentare in maniera esauriente e comprensibile che eventuali rischi per la sicurezza sono da considerarsi sufficientemente bassi. L'analisi si riferisce ai seguenti obiettivi di sicurezza:
garantire la correttezza del risultato;
tutelare la segretezza del voto ed escludere la possibilità di stabilire in anticipo risultati parziali;
assicurare la disponibilità della funzionalità del voto elettronico;
proteggere le informazioni personali sugli aventi diritto di voto;
proteggere le informazioni per gli aventi diritto di voto da eventuali manipolazioni;
escludere la possibilità di ottenere riscontri sul comportamento di voto.
2 Ogni rischio dev'essere identificato e descritto chiaramente tenendo conto degli obiettivi di sicurezza, di eventuali serie di dati ad essi connessi, minacce, punti deboli e della documentazione relativa al sistema e al suo esercizio. Il Cantone deve motivare su questa base perché valuta i rischi come sufficientemente ridotti.
3 Per minimizzare i rischi non si possono occultare le informazioni relative alla sicurezza del sistema e del suo esercizio.
Art. 4 Requisiti per l'ammissione di più del 30 per cento dell'elettorato cantonale
1 Qualora un sistema sia ammesso per più del 30 per cento dell'elettorato cantonale, gli elettori devono avere la possibilità di constatare se il loro voto è stato manipolato sulla piattaforma utente o intercettato sulla via di trasmissione (verificabilità individuale, allegato n. 4.1 e 4.2)
2 Ai fini della verifica individuale l'elettore deve ricevere una nota di conferma secondo cui il sistema lato server ha registrato il voto, come egli lo ha immesso nella piattaforma utente, quale voto espresso conformemente al sistema. Tale nota deve confermare per ogni singolo voto la corretta registrazione.
3 Qualora i dati di autenticazione client siano inviati elettronicamente, dopo la chiusura del canale di voto elettronico gli aventi diritto di voto che non hanno votato elettronicamente devono poter richiedere, nei termini legali di ricorso, una nota di conferma secondo cui il sistema non ha registrato alcun voto che sia stato espresso utilizzando i loro dati di autenticazione client.
4 La validità di una nota di conferma non deve dipendere dall'affidabilità della piattaforma utente o dal canale di trasmissione.
5 La validità di una nota di conferma può basarsi sui seguenti elementi:
affidabilità del sistema lato server;
affidabilità di particolari ausilii tecnici degli elettori che devono adempiere requisiti di sicurezza particolarmente elevati;
confidenzialità di dati inviati su supporto cartaceo; la confidenzialità di questi dati dev'essere garantita al di fuori dell'infrastruttura del voto elettronico mediante particolari provvedimenti.
Art. 5 Requisiti per l'ammissione di più del 50 per cento dell'elettorato cantonale
1 Qualora un sistema sia ammesso per più del 50 per cento dell'elettorato cantonale, occorre garantire agli elettori o ai verificatori la possibilità di riconoscere, nel rispetto della segretezza del voto, qualsiasi manipolazione che comporti una falsificazione del risultato (verificabilità completa, allegato n. 4.3 e 4.4).
2 La verificabilità completa è data se sono adempiuti requisiti estesi in materia di verificabilità individuale (cpv. 3) e requisiti in materia di verificabilità universale (cpv. 4-6).
3 Oltre ai requisiti fissati nell'articolo 4, la verifica individuale deve adempiere i seguenti requisiti:
la nota di conferma deve servire agli elettori quale ulteriore conferma che i dati rilevanti per la verificabilità universale hanno raggiunto la parte affidabile del sistema (cpv. 6);
dopo la chiusura del canale di voto elettronico, gli elettori devono poter richiedere una nota di conferma secondo cui la parte affidabile del sistema non ha ancora registrato il loro voto che è stato espresso utilizzando i loro dati di autenticazione client;
la validità di una nota di conferma non deve dipendere dall'affidabilità dell'intero sistema lato server. Essa può però basarsi sull'affidabilità della parte affidabile del sistema.
4 Ai fini della verifica universale i verificatori ricevono una nota di conferma del corretto accertamento del risultato. Essi sono tenuti a valutare tale nota in un processo osservabile. A questo scopo devono avvalersi di ausilii tecnici indipendenti e isolati dal resto del sistema. La nota deve confermare che il risultato accertato considera:
tutti i voti espressi conformemente al sistema, registrati dalla parte affidabile del sistema;
solo i voti espressi conformemente al sistema;
tutti i voti parziali secondo la nota di conferma generata nell'ambito della verifica individuale.
5 La validità della nota di conferma può dipendere soltanto dall'affidabilità della parte affidabile del sistema e dall'ausilio tecnico impiegato per la verifica. Nel contempo la garanzia della segretezza del voto e l'esclusione di risultati parziali anticipati all'interno dell'infrastruttura del voto elettronico possono dipendere solo dall'affidabilità della parte affidabile del sistema.
6 La parte affidabile del sistema comprende un gruppo o pochi gruppi di componenti indipendenti garantite da particolari provvedimenti (componenti di controllo). Il loro impiego deve rendere riconoscibile qualsiasi abuso, qualora per ogni gruppo solo una delle componenti di controllo funzioni correttamente e in particolare sia manipolata senza che nessuno se ne accorga. Ai fini dell'affidabilità della parte affidabile del sistema la diversa configurazione delle componenti di controllo nonché l'indipendenza del loro esercizio e della loro sorveglianza è determinante.
Art. 6 Misure supplementari per minimizzare i rischi
Qualora, nonostante le misure prese, i rischi non risultino sufficientemente ridotti, occorre adottare misure supplementari per minimizzarli. Ciò vale in particolare quando tutti i requisiti previsti nell'allegato numeri 2-4 sono già stati attuati.
Art. 7 Requisiti posti alla verifica
1 I Cantoni si adoperano affinché l'adempimento delle condizioni sia verificato da organi indipendenti. La verifica ha luogo in particolare quando il sistema o il suo esercizio sono stati modificati in un modo che l'adempimento delle condizioni poste per l'ammissione potrebbe essere messo in dubbio.
2 Nel caso in cui oltre il 30 per cento dell'elettorato cantonale sia ammesso a una prova di voto (art. 4 e 5), il sistema e il suo esercizio devono essere verificati in modo particolarmente approfondito riguardo ai seguenti criteri:
protocollo crittografico (allegato n. 5.1);
funzionalità (allegato n. 5.2);
sicurezza dell'infrastruttura e dell'esercizio (allegato n. 5.3);
tutela da tentativi di introdursi nell'infrastruttura (allegato n. 5.5);
requisiti posti alle tipografie (allegato n. 5.6);
impiego di un sistema che presenta la caratteristica della verificabilità completa di cui all'articolo 5: componenti di controllo (allegato n. 5.4).
3 Nel caso in cui al massimo il 30 per cento dell'elettorato cantonale sia ammesso a una prova di voto e il sistema presenta la caratteristica della verificabilità completa di cui all'articolo 5, il sistema e il suo esercizio devono essere verificati in modo particolarmente approfondito riguardo ai seguenti criteri:
funzionalità (allegato n. 5.2); la verifica può escludere i software dei portali di autorità che sono vincolati a un sistema;
sicurezza dell'infrastruttura e dell'esercizio (allegato n. 5.3); la verifica può vertere unicamente sull'infrastruttura che registra il voto e fornisce all'elettore la nota di conferma di cui all'articolo 4 capoverso 2;
componenti di controllo (allegato n. 5.4).2
1 Nuovo testo giusta il n. I dell'O della CaF del 30 mag. 2018, in vigore dal 1° lug. 2018 (RU 2018 2279).
2 Introdotto dal n. I dell'O della CaF del 30 mag. 2018, in vigore dal 1° lug. 2018 (RU 2018 2279).
Art. 7a1Pubblicazione del codice sorgente
1 Il codice sorgente del software del sistema deve essere pubblicato.
2 La pubblicazione avviene se il sistema presenta la caratteristica della verificabilità completa di cui all'articolo 5 dopo la verifica di cui:
all'articolo 7 capoverso 2, nel caso in cui oltre il 30 per cento dell'elettorato cantonale sia ammesso a una prova di voto;
all'articolo 7 capoverso 3, nel caso in cui al massimo il 30 per cento dell'elettorato cantonale sia ammesso a una prova di voto.
3 Non vi è l'obbligo di pubblicare il codice sorgente di:
componenti terzi quali sistemi operativi, banche dati, server web e server di applicazioni, sistemi di gestione dei diritti, firewall e router, per quanto tali componenti siano ampiamente diffusi e siano costantemente aggiornati;
portali di autorità che sono vincolati a un sistema.
1 Introdotto dal n. I dell'O della CaF del 30 mag. 2018, in vigore dal 1° lug. 2018 (RU 2018 2279).
Art. 7b1Modalità della pubblicazione del codice sorgente
1 Il codice sorgente deve essere preparato e documentato conformemente alle migliori prassi.
2 L'accesso via Internet al codice sorgente deve essere semplice e gratuito.
3 Una documentazione relativa al sistema e al suo esercizio deve indicare la rilevanza delle singole parti del codice sorgente per la sicurezza del voto elettronico. Tale documentazione deve essere pubblicata insieme al codice sorgente.
4 Chiunque può esaminare, modificare, compilare ed eseguire il codice sorgente a scopi ideali nonché redigere studi in proposito e pubblicarli. Il proprietario del codice sorgente può autorizzarne l'utilizzazione ad altri fini.
Art. 8 Attestati relativi alle domande
1 Alle domande inoltrate conformemente agli articoli 27c e 27e capoverso 1 ODP vanno allegati:
attestati o certificati secondo cui il sistema e il suo esercizio sono stati verificati per quanto riguarda i requisiti posti ed essi li adempiono tutti efficacemente (allegato n. 6.1-6.3);
attestati secondo cui, nell'imminenza di uno scrutinio, è stata effettuata un'analisi dei rischi. Detti attestati devono motivare perché i rischi valutati si muovono entro limiti sufficientemente bassi (allegato n. 6.4).
2 È possibile rinviare ad attestati che la Cancelleria federale ha già ricevuto e che sono ancora validi.
1 I requisiti dettagliati di natura tecnica e amministrativa posti al voto elettronico sono disciplinati nell'allegato.
2 Sino al 30 giugno 2015 un Cantone può, in casi eccezionali, essere esonerato dall'attuazione di singoli requisiti di cui all'allegato numeri 2 e 3, sempre che:
l'elettorato cantonale ammesso non superi il 30 per cento;
i requisiti non attuati siano indicati nella domanda; e
il Cantone descriva le misure alternative e, per quanto riguarda l'analisi dei rischi, motivi perché esso valuta tali rischi come sufficientemente ridotti.
La presente ordinanza entra in vigore il 15 gennaio 2014.
Requisiti tecnici e amministrativi relativi al voto elettronico1
1 Il testo dell'all. alla presente O non è pubblicato nella RU (RU 2018 2279). Può essere scaricato gratuitamente all'indirizzo www.bk.admin.ch > Temi > Diritti politici > Voto elettronico > Esigenze del diritto federale oppure ottenuto gratuitamente presso la Cancelleria federale, Sezione Diritti politici, Palazzo federale ovest, 3003 Berna.
RU 2013 5371
of 13 December 2013 (Status as of 1 July 2018)
The Swiss Federal Chancellery (FCh),
based on the Article 27c paragraph 2, 27e paragraph 1, 27f paragraph 1, 27g paragraph 2, 27i paragraph 3 and 27l paragraph 3 of the Ordinance from 24 May 19781 on Political Rights (PoRO),
Art. 1 Subject matter and definitions
1 This Ordinance specifies the requirements for authorising electronic voting.
2 The definitions in Annex number 1.3 apply.
Art. 2 General requirements for the authorisation of electronic voting per ballot
The authorisation for electronic voting in any individual ballot shall be granted provided the following requirements are met:
The system must be easy to use for the voters. Account must be taken of the special needs of all voters wherever possible.
The system and the operational procedures shall be documented so as to enable the details of all security-relevant technical and organisational procedures to be understood.
Art. 3 Risk assessment
1 By the means of a risk assessment, the canton must document in detailed and understandable terms that any security risks are within adequate limits. The assessment covers the following security objectives:
2 Each risk must be identified and clearly described in the context of the security objectives, any related data records, threats, weaknesses and the documentation on the system and its operation. The canton must on this basis justify why it considers the risks to be sufficiently low.
3 Minimising risks must not be dependent on keeping security-relevant information on the system and its operation secret.
Art. 4 Requirements for authorisation for more than 30 per cent of the cantonal electorate
1 If a system is to be authorised to cover more than 30 per cent of the cantonal electorate, the voters must be able to ascertain whether their vote has been manipulated or intercepted on the user platform or during transmission (individual verifiability, Annex No 4.1 and 4.2).
2 For the purpose of individual verification, voters must receive proof that the server system has registered the vote as it was entered by the voter on the user platform as being in conformity with the system. Proof of correct registration must be provided for each partial vote.
3 If the client-sided authentication measure is sent electronically, voters who have not cast their vote electronically must be able to request proof after the electronic voting system is closed and within the statutory appeal deadlines that the system has not registered any vote cast using their client-sided authentication measure.
4 The substantiveness of the proof must not depend on the trustworthiness of the user platform or transmission channel.
5 It may be based on the following elements:
a. the trustworthiness of the server system;
b. the trustworthiness of the special technical aids for voters; these must meet particularly high security standards;
c. the confidentiality of data provided in paper form; the confidentiality of these data outside the infrastructure must be guaranteed through special measures.
Art. 5 Requirements for authorisation for more than 50 per cent of the cantonal electorate
1 If a system is to be authorised to cover more than 50 per cent of the cantonal electorate, it must be ensured that voters or the auditors are able, subject to compliance with voting secrecy, to identify any manipulation that leads to falsification of the result (complete verifiability, Annex No 4.3 and 4.4).
2 Complete verifiability is achieved if additional requirements for individual verifiability (para. 3) and requirements for universal verifiability (para. 4‒6) are met.
3 For individual verification the following requirements must be met in addition to those in Article 4:
a. The proof must also confirm to the voters that the data relevant to universal verification has reached the trustworthy part of the system (para. 6).
b. Voters must be able to request proof after the electronic voting system is closed that the trustworthy part of the system has not already registered a vote cast using their client-sided authentication measure.
c. The substantiveness of the proof must not depend on the trustworthiness of the entire server system. It may however be based on the trustworthiness of the trustworthy part of the system.
4 For universal verification, the auditors receive proof that the result has been ascertained correctly. They must evaluate the proof in an observable procedure. To do this, they must use technical aids that are independent of and isolated from the rest of the system. The proof must confirm that the result ascertained:
a. takes account of all votes cast in conformity with the system that were registered by the trustworthy part of the system;
b. takes account only of votes cast in conformity with the system;
c. takes account of all partial votes in accordance with the proof generated in the course of the individual verification.
5 The substantiveness of the proof must depend solely on the trustworthiness of the trustworthy part of the system and the technical aids used for verification. Equally, the guarantee of voting secrecy and the non-disclosure of early provisional results within the infrastructure must depend solely on the trustworthiness of the trustworthy part of the system.
6 The trustworthy part of the system includes either one or a small number of groups of independent components secured by special measures (control components). Their use must also make any abuse recognisable if per group only one of the control components works correctly and in particular is not manipulated unnoticed. For the trustworthiness of the trustworthy part of the system, the diverse organisation of the control components and the independence of their operation and supervision are decisive.
Art. 6 Additional measures for minimising risks
If the risks are not sufficiently small despite the measures taken, additional measures must be taken to minimise risks. This applies in particular even if all requirements under Annex Nos 2 to 4 have already been implemented.
2 If more than 30 per cent of the cantonal electorate are to be authorised to participate in a trial (Art. 4 and 5), the system and its operation must be examined in particular detail with regard to the following criteria:
3 If no more than 30 per cent of the cantonal electorate are to be authorised to participate in a trial and the system has the property of complete verifiability in terms of Article 5, the system and its operation must be examined in particular detail with regard to the following criteria:
1 Amended by No I of the FCh O of 30 May 2018, in force since 1 July 2018 (AS 2018 2279).
2 Inserted by No I of the FCh O of 30 May 2018, in force since 1 July 2018 (AS 2018 2279).
Art. 8 Supporting documents for applications
1 Applications submitted under Articles 27c and 27e para. 1 PoRO must be accompanied by:
documentary evidence or certificates confirming that the system and its operation have been tested for compliance with requirements and meet all requirements effectively (Annex No 6.1 to 6.3);
documentary evidence confirming that the risk assessment was conducted in advance of a ballot. It must be shown why the assessed risks fall within sufficiently narrow limits (Annex No 6.4).
2 Reference may be made to documentary evidence that the Federal Chancellery has already received and which is still valid.
Art. 9 Further provisions
1 The detailed technical and administrative requirements for electronic voting are regulated in the Annex.
2 Until 30 June 2015, a canton may in exceptional cases be exempted from implementing individual requirements in Annex Nos 2 and 3 provided:
no more than 30 per cent of the cantonal electorate are to be authorised to participate;
the requirements not implemented are indicated in the application; and
the canton describes the alternative measures and justifies in reference to the risk assessment why it regards the risks as sufficiently low.
This Ordinance comes into force on 15 January 2014.
Technical and administrative requirements for electronic vote casting1
1 The text of the Annex to this O is not published in the AS (AS 2018 2279). It may be access free of charge on www.bk.admin.ch > Politische Rechte > E-Voting > Bundesrechtliche Anforderungen or obtained free of charge from the Bundeskanzlei, Sektion Politische Rechte, Bundeshaus West, 3003 Bern.

References: Art. 1

Art. 2

Art. 3

Art. 4

Art. 5

Art. 6

Art. 7

Art. 7

Art. 7

Art. 8

Art. 9
 art. 27

Art. 2

Art. 4

Art. 5

Art. 7

Art. 7
 art. 27

Art. 2

Art. 3

Art. 4

Art. 5

Art. 6

Art. 7

Art. 7

Art. 7

Art. 8

Art. 1

Art. 2

Art. 3

Art. 4

Art. 5

Art. 6

Art. 8

Art. 9