Verordnung der BK vom 25. Mai 2022 über die elektronische Stimmabgabe (VEleS) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="en" value="Federal Chancellery Ordinance of 25 May 2022 on Electronic Voting (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="de" value="Verordnung der BK vom 25. Mai 2022 über die elektronische Stimmabgabe (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="fr" value="Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE)" shortForm="OVotE"/><FRBRname xml:lang="it" value="Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE)" shortForm="OVE"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de/xml"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Bundeskanzlei"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/DEU" showAs="de"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>161.116</docNumber></p><p><docTitle>Verordnung der BK <br/>über die elektronische Stimmabgabe</docTitle></p><p>(VEleS)</p><p>vom 25. Mai 2022 (Stand am 1. Juli 2022)</p></preface><preamble><p>Die Schweizerische Bundeskanzlei (BK),</p><p>gestützt auf die Artikel 27<i>e</i> Absatz 1<sup>bis</sup>, 27<i>g</i> Absatz 2, 27<i>i</i> Absatz 3 <br/>und 27<i>l</i> Absätze 3 und 4 der Verordnung vom 24. Mai 1978<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1978/712_712_712" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>161.11</b></ref></p></authorialNote> <br/>über die politischen Rechte (VPR),</p><p>verordnet:</p></preamble><body><article eId="art_1"><num><b>Art. 1</b></num><heading>Gegenstand</heading><paragraph eId="art_1/para"><content><p>Diese Verordnung regelt die Voraussetzungen für die Erteilung der Zulassung von Versuchen mit der elektronischen Stimmabgabe.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Begriffe</heading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> Die folgenden Ausdrücke bedeuten:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p><i>System:</i> Gesamtheit der Software und der Infrastrukturen, die für die Durchführung von elektronischen Urnengängen verwendet werden;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p><i>Online-System:</i> Teil des Systems, der zur Stimmrechtsprüfung, zur Abgabe der verschlüsselten Stimme und zur Aufbewahrung der verschlüsselten Stimme verwendet wird;</p></item><item eId="art_2/para_1/lbl_c"><num>c.  </num><p><i>vertrauenswürdiger Systemteil:</i> Teil des Systems, der eine oder mehrere Gruppen von Kontrollkomponenten umfasst; die Vertrauenswürdigkeit dieses Systemteils ergibt sich dadurch, dass Missbräuche auch dann aufgedeckt werden können, wenn nur eine der Kontrollkomponenten einer Gruppe korrekt funktioniert;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p><i>Kontrollkomponenten:</i> unabhängige Komponenten des Systems, die unterschiedlich ausgestaltet sind, von unterschiedlichen Personen betrieben werden und durch besondere Massnahmen gesichert sind;</p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p><i>Systembetreiber:</i> Behörden oder Privatunternehmen, die auf Weisung des Kantons bei einem Urnengang das Online-System betreiben und dieses warten;</p></item><item eId="art_2/para_1/lbl_f"><num>f. </num><p><i>Betrieb:</i> alle Handlungen mit technischem, administrativem oder rechtlichem Bezug sowie die entsprechenden Führungstätigkeiten eines Kantons, eines Systembetreibers oder einer Druckerei, die für die Durchführung von elektronischen Urnengängen erforderlich sind, einschliesslich der Wartung;</p></item><item eId="art_2/para_1/lbl_g"><num>g. </num><p><i>Betriebsstellen:</i> die für den Betrieb zuständigen Organisationen oder Organisationseinheiten, wie eine Staatskanzlei, ein Systembetreiber oder eine Druckerei;</p></item><item eId="art_2/para_1/lbl_h"><num>h. </num><p><i>Prüferinnen und Prüfer:</i> Personen, die im Auftrag des Kantons den korrekten Ablauf des Urnengangs prüfen;</p></item><item eId="art_2/para_1/lbl_i"><num>i. </num><p><i>Infrastruktur:</i> Hardware, Software von Drittkomponenten nach Artikel 11 Absatz 2 Buchstabe a, Netzwerkelemente, Räumlichkeiten, Services und Betriebsmittel jeglicher Art bei allen Betriebsstellen, die zum sicheren Betrieb der elektronischen Stimmabgabe erforderlich sind;</p></item><item eId="art_2/para_1/lbl_j"><num>j. </num><p><i>Software:</i> gesamte Implementierung ausgehend vom kryptografischen Protokoll für die vollständige Verifizierbarkeit, die durch die Softwareentwicklerin oder den Softwareentwickler für die elektronische Stimmabgabe vorgenommen wurde;</p></item><item eId="art_2/para_1/lbl_k"><num>k. </num><p><i>kryptografisches Protokoll:</i> Protokoll mit kryptografischen Sicherheitsfunktionen zur Erreichung der Anforderungen im Anhang Ziffer 2; das kryptografische Protokoll ist in der Modellebene angesiedelt und enthält somit keine direkten Anweisungen für die Implementierung, sondern abstrakte Sicherheitsfunktionen;</p></item><item eId="art_2/para_1/lbl_l"><num>l. </num><p><i>Benutzerplattform:</i> multifunktionales, programmierbares Gerät, das mit dem Internet verbunden ist und zur Stimmabgabe verwendet wird, wie ein handelsüblicher Computer, ein Smartphone oder ein Tablet;</p></item><item eId="art_2/para_1/lbl_m"><num>m. </num><p><i>registrierte Stimme:</i> Stimme, die vom vertrauenswürdigen Systemteil als endgültig abgegebene Stimme zur Kenntnis genommen worden ist;</p></item><item eId="art_2/para_1/lbl_n"><num>n. </num><blockList><listIntroduction eId="art_2/para_1/lbl_n/listintro"><i>Teilstimme:</i></listIntroduction><item eId="art_2/para_1/lbl_n/lbl_1"><num>1. </num><p>bei Abstimmungen: Stimme für eine Vorlage, einen Gegenvorschlag <br/></p><p>oder eine Stichfrage,</p></item><item eId="art_2/para_1/lbl_n/lbl_2"><num>2. </num><p>bei Wahlen: die Wahl einer Liste oder einer kandidierenden Person;</p></item></blockList></item><item eId="art_2/para_1/lbl_o"><num>o. </num><blockList><listIntroduction eId="art_2/para_1/lbl_o/listintro"><i>systemkonform abgegebene Stimme: </i>Stimme:</listIntroduction><item eId="art_2/para_1/lbl_o/lbl_1"><num>1. </num><p>die einer vorgesehenen Art entspricht, einen Stimm- oder Wahlzettel auszufüllen,</p></item><item eId="art_2/para_1/lbl_o/lbl_2"><num>2. </num><p>die eine Absenderin oder ein Absender endgültig abgegeben hat,</p></item><item eId="art_2/para_1/lbl_o/lbl_3"><num>3. </num><p>deren verwendeten clientseitigen Authentisierungsmerkmale beziehungsweise deren daraus resultierenden Authentisierungsnachrichten den serverseitigen Authentisierungsmerkmalen entsprechen, die in der Vorbereitungsphase des Urnengangs festgelegt und einer stimmberechtigten Person zugewiesen wurden, und</p></item><item eId="art_2/para_1/lbl_o/lbl_4"><num>4. </num><p>die unter Verwendung von Authentisierungsmerkmalen abgegeben wird, die nicht bereits für eine andere abgegebene Stimme verwendet wurden, die der vertrauenswürdige Systemteil des Online-Systems bereits registriert hat;</p></item></blockList></item><item eId="art_2/para_1/lbl_p"><num>p. </num><p>c<i>lientseitiges Authentisierungsmerkmal:</i> für die einzelnen stimmberechtigten Personen individuell bereitgestellte Information, wie ein PIN, die diese Personen – allenfalls zusammen mit weiteren clientseitigen Authentisierungsmerkmalen – brauchen, um eine Stimme abgeben zu können;</p></item><item eId="art_2/para_1/lbl_q"><num>q. </num><p><i>serverseitiges Authentisierungsmerkmal:</i> Information, die es – allenfalls zusammen mit weiteren serverseitigen Authentisierungsmerkmalen – braucht, um mithilfe von Authentisierungsnachrichten die Absenderin oder den Absender einer Stimme als stimmberechtigte Person zu authentisieren;</p></item><item eId="art_2/para_1/lbl_r"><num>r. </num><p><i>Authentisierungsnachrichten:</i> Informationen, die eine Benutzerplattform nach der Eingabe des clientseitigen Authentisierungsmerkmals an das Online-System übermittelt, damit dieses die Absenderin oder den Absender einer Stimme als stimmberechtigte Person authentisiert;</p></item><item eId="art_2/para_1/lbl_s"><num>s. </num><p><i>Zertifikat:</i> Dokument, das bestätigt, dass ein Prüfobjekt mit einem Referenzrahmen oder einem Standard konform ist;</p></item><item eId="art_2/para_1/lbl_t"><num>t. </num><p><i>elektronisches Zertifikat:</i> Datensatz, der bestimmte Merkmale von Personen oder Objekten bestätigt, und dessen Authentizität und Integrität durch kryptografische Verfahren geprüft werden können; das elektronische Zertifikat wird hauptsächlich zur Identifizierung und Authentifizierung der Inhaberin oder des Inhabers und zur Verschlüsselung von Nachrichten verwendet;</p></item><item eId="art_2/para_1/lbl_u"><num>u. </num><p><i>kritische Handlungen und Operationen:</i> Vorgänge, bei denen kritische Daten bearbeitet werden;</p></item><item eId="art_2/para_1/lbl_v"><num>v. </num><p><i>kritische Daten:</i> Daten, deren Integrität oder Vertraulichkeit für die Erfüllung der Anforderungen an das kryptografische Protokoll massgeblich ist.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><p> Im Übrigen gelten die Begriffe im Anhang Ziffer 1.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Grundvoraussetzungen für die Zulassung der elektronischen Stimmabgabe pro Urnengang</heading><paragraph eId="art_3/para"><content><blockList><listIntroduction eId="art_3/para/listintro">Die Zulassung der elektronischen Stimmabgabe erfolgt pro Urnengang; sie wird erteilt, wenn folgende Voraussetzungen erfüllt sind:</listIntroduction><item eId="art_3/para/lbl_a"><num>a. </num><p>Das System ist so ausgestaltet und wird so betrieben, dass eine verifizierbare, sichere und vertrauenswürdige elektronische Stimmabgabe gewährleistet ist.</p></item><item eId="art_3/para/lbl_b"><num>b. </num><p>Das System ist für die stimmberechtigten Personen einfach zu handhaben; die besonderen Bedürfnisse möglichst aller stimmberechtigten Personen sind berücksichtigt.</p></item><item eId="art_3/para/lbl_c"><num>c. </num><p>Das System und die betrieblichen Abläufe sind so ausgestaltet und dokumentiert, dass die technischen und organisatorischen Abläufe im Detail überprüft und nachvollzogen werden können.</p></item><item eId="art_3/para/lbl_d"><num>d. </num><p>Der Öffentlichkeit werden adressatengerechte Informationen zur Funktionsweise des Systems und zu den betrieblichen Abläufen zugänglich gemacht und Anreize zur Mitwirkung von fachkundigen Personen aus der Öffentlichkeit sind vorhanden.</p></item></blockList></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Risikobeurteilung</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> Der Kanton führt eine Risikobeurteilung durch, mit der er nachweist und begründet, dass die Sicherheitsrisiken in seinem Verantwortungsbereich hinreichend gering sind. Dabei sind auch das Vertrauen und die Akzeptanz der Öffentlichkeit in die elektronische Stimmabgabe zu berücksichtigen.</p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Er prüft, ob er Risiken im Aufgabenbereich seiner Dienstleister selber beurteilen kann und inwiefern separate Risikobeurteilungen durch diese nötig sind. Gegebenenfalls fordert er diese separaten Risikobeurteilungen ein.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><blockList><listIntroduction eId="art_4/para_3/listintro"> Die Risikobeurteilungen beziehen sich auf folgende Sicherheitsziele:</listIntroduction><item eId="art_4/para_3/lbl_a"><num>a. </num><p>Korrektheit des Ergebnisses;</p></item><item eId="art_4/para_3/lbl_b"><num>b. </num><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen;</p></item><item eId="art_4/para_3/lbl_c"><num>c. </num><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals;</p></item><item eId="art_4/para_3/lbl_d"><num>d. </num><p>Schutz der persönlichen Informationen über die stimmberechtigten Personen;</p></item><item eId="art_4/para_3/lbl_e"><num>e. </num><p>Schutz der für die stimmberechtigten Personen bestimmten Informationen vor Manipulationen;</p></item><item eId="art_4/para_3/lbl_f"><num>f. </num><p>keine missbräuchliche Verwendung von Beweisen zum Stimmverhalten.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_4"><num>4</num><content><blockList><listIntroduction eId="art_4/para_4/listintro"> Jedes Risiko wird mit Bezug auf die folgenden Eigenschaften anhand der Dokumentation zum System und zu dessen Betrieb identifiziert und klar beschrieben:</listIntroduction><item eId="art_4/para_4/lbl_a"><num>a.  </num><p>Sicherheitsziele;</p></item><item eId="art_4/para_4/lbl_b"><num>b. </num><p>allfällige mit den Sicherheitszielen verbundenen Datensätze;</p></item><item eId="art_4/para_4/lbl_c"><num>c. </num><p>Bedrohungen;</p></item><item eId="art_4/para_4/lbl_d"><num>d. </num><p>Schwachstellen.</p></item></blockList></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Anforderungen an die vollständige Verifizierbarkeit</heading><paragraph eId="art_5/para_1"><num>1</num><content><p> Es ist sichergestellt, dass jede Manipulation, die zu einer Verfälschung des Ergebnisses führt, unter Wahrung des Stimmgeheimnisses erkannt werden kann (vollständige Verifizierbarkeit). Dies gilt als gegeben, wenn die Anforderungen an die individuelle und an die universelle Verifizierbarkeit erfüllt sind.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><blockList><listIntroduction eId="art_5/para_2/listintro"> Es bestehen die folgenden Anforderungen an die individuelle Verifizierbarkeit:</listIntroduction><item eId="art_5/para_2/lbl_a"><num>a. </num><p>Der stimmenden Person wird die Möglichkeit gegeben zu erkennen, ob ihre Stimme, wie sie sie in die Benutzerplattform eingegeben hat,auf der Benutzerplattform oder auf dem Übertragungsweg manipuliert oder abgefangen worden ist; dazu erhält die stimmende Person einen Beweis, dass der vertrauenswürdige Systemteil (Art. 8) die Stimme so, wie sie die stimmende Person in die Benutzerplattform eingegeben hat, als systemkonform abgegeben registriert hat; der Beweis bestätigt für jede Teilstimme die korrekte Registrierung.</p></item><item eId="art_5/para_2/lbl_b"><num>b. </num><p>Eine stimmberechtigte Person, die ihre Stimme nicht elektronisch abgegeben hat, kann nach der Schliessung des elektronischen Stimmkanals innert der gesetzlichen Beschwerdefristen einen Beweis anfordern, dass der vertrauenswürdige Systemteil keine Stimme registriert hat, die unter Verwendung des clientseitigen Authentisierungsmerkmals der stimmberechtigten Person abgegeben wurde.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><blockList><listIntroduction eId="art_5/para_3/listintro"> Es bestehen die folgenden Anforderungen an die universelle Verifizierbarkeit:</listIntroduction><item eId="art_5/para_3/lbl_a"><num>a. </num><blockList><listIntroduction eId="art_5/para_3/lbl_a/listintro">Zur universellen Verifizierung erhalten die Prüferinnen und Prüfer einen Beweis der korrekten Ergebnisermittlung; der Beweis bestätigt, dass das ermittelte Ergebnis folgende Stimmen berücksichtigt:</listIntroduction><item eId="art_5/para_3/lbl_a/lbl_1"><num>1. </num><p>alle systemkonform abgegebenen Stimmen, die durch den vertrauenswürdigen Systemteil registriert wurden;</p></item><item eId="art_5/para_3/lbl_a/lbl_2"><num>2. </num><p>ausschliesslich systemkonform abgegebene Stimmen;</p></item><item eId="art_5/para_3/lbl_a/lbl_3"><num>3. </num><p>alle Teilstimmen gemäss des im Rahmen der individuellen Verifizierung generierten Beweises.</p></item></blockList></item><item eId="art_5/para_3/lbl_b"><num>b. </num><p>Die Prüferinnen und Prüfer werten den Beweis in einem beobachtbaren Prozess aus; dazu müssen sie technische Hilfsmittel verwenden, die vom Rest des Systems unabhängig und isoliert sind.</p></item></blockList></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Stichhaltigkeit der Beweise</heading><paragraph eId="art_6/para"><content><blockList><listIntroduction eId="art_6/para/listintro">Für die Stichhaltigkeit der Beweise nach Artikel 5 massgebend ist die Vertrauenswürdigkeit:</listIntroduction><item eId="art_6/para/lbl_a"><num>a. </num><p>des vertrauenswürdigen Systemteils für Beweise nach Artikel 5 Absätze 2 und 3;</p></item><item eId="art_6/para/lbl_b"><num>b. </num><p>des Verfahrens bei der Generierung und beim Druck des Stimmmaterials für Beweise nach Artikel 5 Absatz 2; und</p></item><item eId="art_6/para/lbl_c"><num>c. </num><p>des technischen Hilfsmittels, das von den Prüferinnen und Prüfern zur Überprüfung eingesetzt wird, für Beweise nach Artikel 5 Absatz 3.</p></item></blockList></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</heading><paragraph eId="art_7/para"><content><blockList><listIntroduction eId="art_7/para/listintro">Für die Wahrung des Stimmgeheimnisses und den Ausschluss von vorzeitigen Teilergebnissen innerhalb der Infrastruktur massgebend ist die Vertrauenswürdigkeit:</listIntroduction><item eId="art_7/para/lbl_a"><num>a. </num><p>des vertrauenswürdigen Systemteils;</p></item><item eId="art_7/para/lbl_b"><num>b. </num><p>des Verfahrens bei der Generierung und beim Druck des Stimmmaterials.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Anforderungen an den vertrauenswürdigen Systemteil</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Der vertrauenswürdige Systemteil umfasst eine oder mehrere Gruppen von Kontrollkomponenten.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> <span>Beweise sind auch dann stichhaltig (Art. 6) und das Stimmgeheimnis ist auch dann gewahrt (Art. 7)</span>, wenn pro Gruppe nur eine der Kontrollkomponenten korrekt funktioniert.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> Die Vertrauenswürdigkeit des vertrauenswürdigen Systemteils wird über die unterschiedliche Ausgestaltung der Kontrollkomponenten sowie die Unabhängigkeit von deren Betrieb und deren Überwachung sichergestellt.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Zusätzliche Massnahmen zur Risikominimierung</heading><paragraph eId="art_9/para"><content><p>Sind die Risiken trotz der ergriffenen Massnahmen nicht hinreichend gering, so müssen zusätzliche Massnahmen zur Risikominimierung ergriffen werden. Dies gilt insbesondere auch dann, wenn sämtliche Anforderungen des Anhangs bereits umgesetzt sind.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Anforderungen an die Überprüfung</heading><paragraph eId="art_10/para_1"><num>1</num><content><blockList><listIntroduction eId="art_10/para_1/listintro"> Unabhängige Stellen prüfen im Auftrag der Bundeskanzlei:</listIntroduction><item eId="art_10/para_1/lbl_a"><num>a. </num><p>das kryptografische Protokoll (Anhang Ziff. 26.1);</p></item><item eId="art_10/para_1/lbl_b"><num>b. </num><p>die Software des Systems (Anhang Ziff. 26.2);</p></item><item eId="art_10/para_1/lbl_c"><num>c. </num><p>die Sicherheit von Infrastruktur und Betrieb (Anhang Ziff. 26.3);</p></item><item eId="art_10/para_1/lbl_d"><num>d. </num><p>den Schutz gegen Versuche, in die Infrastruktur einzudringen (Anhang Ziff. 26.4).</p></item></blockList></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Der Kanton stellt sicher, dass der Systembetreiber über ein Informationssicherheitsmanagement-System (ISMS) verfügt und dieses von unabhängigen Stellen geprüft wird (Anhang Ziff. 26.5). Das ISMS umfasst mindestens die Prozesse und die Infrastruktur des Systembetreibers, die für die Erreichung der Sicherheitsziele relevant sind.</p></content></paragraph><paragraph eId="art_10/para_3"><num>3</num><content><p> Der Kanton stellt sicher, dass die Bundeskanzlei und die von ihr beauftragten unabhängigen Stellen für die Durchführung der Prüfungen nach Absatz 1 Zugang zum System und den notwendigen Unterlagen erhalten.</p></content></paragraph><paragraph eId="art_10/para_4"><num>4</num><content><p> Die nach den Absätzen 1 und 2 für die Prüfungen zuständigen Behörden publizieren die Belege und die Zertifikate. Zusätzlich sind weitere Unterlagen zu publizieren, sofern sie für die Nachvollziehbarkeit relevant sind. Nicht publiziert werden müssen Dokumente oder Teile von Dokumenten, für die eine begründete Ausnahme insbesondere gestützt auf das Öffentlichkeits- oder das Datenschutzrecht vorliegt.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Offenlegung des Quellcodes und der Dokumentation zum System und dessen Betrieb</heading><paragraph eId="art_11/para_1"><num>1</num><content><blockList><listIntroduction eId="art_11/para_1/listintro"> Der Kanton sorgt dafür, dass folgende Unterlagen offengelegt werden:</listIntroduction><item eId="art_11/para_1/lbl_a"><num>a. </num><p>der Quellcode der Software des Systems einschliesslich der Dateien mit relevanten Parametern;</p></item><item eId="art_11/para_1/lbl_b"><num>b. </num><p>ein Nachweis, dass die maschinenlesbaren Programme aus dem publizierten Quellcode der Software erstellt worden sind;</p></item><item eId="art_11/para_1/lbl_c"><num>c. </num><p>die Dokumentation der Software;</p></item><item eId="art_11/para_1/lbl_d"><num>d. </num><p>die Dokumentation des Entwicklungsprozesses;</p></item><item eId="art_11/para_1/lbl_e"><num>e. </num><p>Anleitungen und ergänzende Dokumentationen, die fachkundige Personen benötigen, um das System ausgehend vom Quellcode in der eigenen Infrastruktur kompilieren, in Betrieb nehmen und analysieren zu können;</p></item><item eId="art_11/para_1/lbl_f"><num>f. </num><p>die technischen Spezifikationen der wichtigen Komponenten des Systems;</p></item><item eId="art_11/para_1/lbl_g"><num>g. </num><p>die Dokumentation der Prozesse für den Betrieb, die Wartung und die Sicherung des Systems;</p></item><item eId="art_11/para_1/lbl_h"><num>h. </num><p>Informationen und Beschreibungen zu bekannten Mängeln.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><blockList><listIntroduction eId="art_11/para_2/listintro"> Nicht offengelegt werden müssen:</listIntroduction><item eId="art_11/para_2/lbl_a"><num>a. </num><p>der Quellcode von Drittkomponenten wie Betriebssystemen, Datenbanken, Web- und Applikationsservern, Rechteverwaltungssystemen, Firewalls oder Routern, sofern diese weit verbreitet sind und laufend aktualisiert werden;</p></item><item eId="art_11/para_2/lbl_b"><num>b. </num><p>der Quellcode von Behördenportalen, die mit dem System verbunden sind;</p></item><item eId="art_11/para_2/lbl_c"><num>c. </num><p>Dokumente oder Teile von Dokumenten, für die eine begründete Ausnahme von einer Publikation insbesondere gestützt auf das Öffentlichkeits- oder das Datenschutzrecht vorliegt.</p></item></blockList></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Modalitäten der Offenlegung</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> Die nach Artikel 11 offenzulegenden Unterlagen müssen so aufbereitet und dokumentiert sein, dass sich das Lesen und Analysieren möglichst einfach gestaltet.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><blockList><listIntroduction eId="art_12/para_2/listintro"> Um eine Überprüfung durch die Öffentlichkeit zu ermöglichen, müssen die Unterlagen:</listIntroduction><item eId="art_12/para_2/lbl_a"><num>a. </num><p>einfach, unentgeltlich und ohne Registrierung über das Internet beziehbar sein; und</p></item><item eId="art_12/para_2/lbl_b"><num>b. </num><p>rechtzeitig vor dem geplanten Einsatz des Systems verfügbar sein.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Jede Person darf den Quellcode zu ideellen Zwecken untersuchen, verändern, kompilieren und ausführen sowie Studien dazu verfassen. Sie darf Studien und Erkenntnisse zu Mängeln publizieren. Sie darf sich insbesondere für die Fehlersuche mit weiteren Personen austauschen und dabei aus den offengelegten Informationen zitieren.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><blockList><listIntroduction eId="art_12/para_4/listintro"> Die Inhaberin oder der Inhaber des Quellcodes kann:</listIntroduction><item eId="art_12/para_4/lbl_a"><num>a. </num><p>die Nutzung des Quellcodes zu anderen Zwecken erlauben;</p></item><item eId="art_12/para_4/lbl_b"><num>b. </num><p>für die Einreichung von Hinweisen zur Verbesserung des Systems spezifische Bedingungen festlegen; dabei kann sie oder er dazu auffordern, Mängel umgehend zu melden und für Publikationen zu vermuteten Mängeln eine bestimmte Frist einzuhalten.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_5"><num>5</num><content><p> Stellt sie oder er Nutzungsbedingungen für den Quellcode und die Dokumentation oder Bedingungen nach Absatz 4 Buchstabe b auf, so darf sie oder er Verstösse dagegen nur dann zivil- oder strafrechtlich verfolgen, wenn eine Person den Quellcode oder Teile davon kommerziell verwendet oder produktiv einsetzt. In den Nutzungsbedingungen und den Bedingungen ist darauf hinzuweisen.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Einbezug der Öffentlichkeit</heading><paragraph eId="art_13/para_1"><num>1</num><content><blockList><listIntroduction eId="art_13/para_1/listintro"> Der Kanton bezeichnet eine Stelle, bei der interessierte Personen Hinweise zur Verbesserung des Systems einreichen können, darunter:</listIntroduction><item eId="art_13/para_1/lbl_a"><num>a. </num><p>Hinweise zu Mängeln in den offengelegten Unterlagen nach Artikel 11;</p></item><item eId="art_13/para_1/lbl_b"><num>b. </num><p>Hinweise auf der Grundlage von Versuchen zum Eindringen in das Online-System im Rahmen von öffentlichen Tests.</p></item></blockList></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p> Die Stelle nach Absatz 1 wertet die Hinweise aus und informiert die hinweisgebende Person über ihre Einschätzung und allfällige Massnahmen, die gestützt auf den Hinweis getroffen werden. Diese Informationen werden publiziert.</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p> Der Kanton sorgt dafür, dass Hinweise, die einen Bezug zur Sicherheit haben und die zu Verbesserungen des Systems beitragen, angemessen finanziell vergütet werden.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Verantwortung und Zuständigkeiten für den korrekten Ablauf des Urnengangs mit der elektronischen Stimmabgabe</heading><paragraph eId="art_14/para_1"><num>1</num><content><p> Der Kanton trägt die Gesamtverantwortung für den korrekten Ablauf des Urnengangs mit der elektronischen Stimmabgabe.</p></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p> Er muss wichtige Aufgaben selbst ausführen. Er kann die Entwicklung der eingesetzten Software, Aufgaben des Betriebs und die Kommunikation zu Fragen der Funktionsweise an externe Organisationen delegieren.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><blockList><listIntroduction eId="art_14/para_3/listintro"> Er bestimmt eine auf kantonaler Ebene verantwortliche Stelle, die die Gesamtverantwortung trägt und insbesondere die folgenden Aufgaben wahrnimmt:</listIntroduction><item eId="art_14/para_3/lbl_a"><num>a. </num><p>Festlegung einer übergeordneten Informationssicherheitsrichtlinie;</p></item><item eId="art_14/para_3/lbl_b"><num>b. </num><p>Festlegung einer Informationsklassifizierungs- und Verarbeitungsrichtlinie für die identifizierten Informationsbestände;</p></item><item eId="art_14/para_3/lbl_c"><num>c. </num><p>Festlegung einer Risikomanagementrichtlinie;</p></item><item eId="art_14/para_3/lbl_d"><num>d. </num><p>Definition und Umsetzung von Massnahmen zur Einhaltung der Richtlinien nach den Buchstaben a–c;</p></item><item eId="art_14/para_3/lbl_e"><num>e. </num><p>Beauftragung eines Systembetreibers und Festlegung der Anforderungen an dessen Überwachung und Überprüfung;</p></item><item eId="art_14/para_3/lbl_f"><num>f. </num><p>Festlegung von Fristen für die Durchführung von kritischen Handlungen und Operationen;</p></item><item eId="art_14/para_3/lbl_g"><num>g. </num><p>Überwachung und Überprüfung der Arbeiten des Systembetreibers;</p></item><item eId="art_14/para_3/lbl_h"><num>h. </num><p>Begleitung und Instruktion der Prüferinnen und Prüfer;</p></item><item eId="art_14/para_3/lbl_i"><num>i. </num><p>Beurteilung und Kommunikation der Korrektheit des Ergebnisses des Urnengangs gestützt auf die Beweise nach Artikel 5 und weitere Indikatoren.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_4"><num>4</num><content><p> Bei einem Urnengang tragen die Betriebsstellen für die Bereitstellung und die Handhabung der technischen Aspekte der elektronischen Stimmabgabe die Verantwortung gegenüber dem Kanton.</p></content></paragraph><paragraph eId="art_14/para_5"><num>5</num><content><p> Die nach kantonalem Recht zuständigen Prüferinnen und Prüfer übernehmen die Verantwortung für den Betrieb ihrer technischen Hilfsmittel.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Unterlagen zu den Gesuchen</heading><paragraph eId="art_15/para_1"><num>1</num><content><blockList><listIntroduction eId="art_15/para_1/listintro"> Den Gesuchen nach Artikel 27<i>e</i> VPR sind Informationen zum geplanten Einsatz der elektronischen Stimmabgabe und Unterlagen darüber, wie die rechtlichen Anforderungen erfüllt werden, beizulegen. Dazu gehören insbesondere:</listIntroduction><item eId="art_15/para_1/lbl_a"><num>a. </num><p>aktuelle Risikobeurteilungen nach Artikel 4 einschliesslich der Grundlagen, die für die Nachvollziehbarkeit notwendig sind;</p></item><item eId="art_15/para_1/lbl_b"><num>b.  </num><p>Zertifikate und deren Anhänge, die im Rahmen von Prüfungen nach Artikel 10 Absatz 2 erstellt wurden und Informationen zu deren Offenlegung nach Artikel 10 Absatz 4;</p></item><item eId="art_15/para_1/lbl_c"><num>c. </num><p>Informationen zur Offenlegung der Unterlagen nach Artikel 11 und zu Hinweisen aus der Öffentlichkeit nach Artikel 13;</p></item><item eId="art_15/para_1/lbl_d"><num>d. </num><p>Protokolle von Tests, die der Kanton durchgeführt hat, und Hinweise auf bestehende Mängel im System;</p></item><item eId="art_15/para_1/lbl_e"><num>e. </num><p>die Begründung und allfällige Massnahmen für Ausnahmen nach Artikel 16 Absatz 2.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Auf Unterlagen nach Absatz 1, die die Bundeskanzlei bereits erhalten hat und die noch gültig sind, kann verwiesen werden.</p></content></paragraph></article><article eId="art_16"><num><b>Art. 16</b></num><heading>Weitere Bestimmungen</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Die detaillierten technischen und administrativen Anforderungen an die elektronische Stimmabgabe sind im Anhang geregelt.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><blockList><listIntroduction eId="art_16/para_2/listintro"> Die Bundeskanzlei kann in Ausnahmefällen einen Kanton von der Erfüllung einzelner Anforderungen befreien, sofern:</listIntroduction><item eId="art_16/para_2/lbl_a"><num>a. </num><p>die nicht erfüllten Anforderungen im Gesuch bezeichnet sind;</p></item><item eId="art_16/para_2/lbl_b"><num>b. </num><p>eine nachvollziehbare Begründung für den Ausnahmefall vorliegt; und</p></item><item eId="art_16/para_2/lbl_c"><num>c. </num><p>der Kanton allfällige alternative Massnahmen beschreibt und mit Bezug auf die Risikobeurteilung begründet, weshalb er die Risiken als hinreichend gering einschätzt.</p></item></blockList></content></paragraph></article><article eId="art_17"><num><b>Art. 17 </b></num><heading>Aufhebung eines anderen Erlasses</heading><paragraph eId="art_17/para"><content><p>Die Verordnung der BK vom 13. Dezember 2013<authorialNote><p> [<ref href="https://fedlex.data.admin.ch/eli/oc/2013/859" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2013</b> 5371</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2018/321" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2018</b> 2279</ref>]</p></authorialNote> über die elektronische Stimmabgabe wird aufgehoben.</p></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Inkrafttreten</heading><paragraph eId="art_18/para"><content><p>Diese Verordnung tritt am 1. Juli 2022 in Kraft.</p></content></paragraph></article></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="en" value="Federal Chancellery Ordinance of 25 May 2022 on Electronic Voting (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="de" value="Verordnung der BK vom 25. Mai 2022 über die elektronische Stimmabgabe (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="fr" value="Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE)" shortForm="OVotE"/><FRBRname xml:lang="it" value="Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE)" shortForm="OVE"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/de/xml"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Anhang</block></container></preface><mainBody><p>(Art. 2 Abs. 1 Bst. k und 2, 9, 10 Abs. 1 und 2 sowie 16 Abs. 1)</p><level eId="annex_u1/lvl_u1"><heading>Technische und administrative Anforderungen <br/>an die elektronische Stimmabgabe</heading><level eId="annex_u1/lvl_u1/lvl_1"><num>1.</num><heading>Begriffsbestimmungen</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/listintro">Zusätzlich zu Artikel 2 bedeuten die folgenden Ausdrücke:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1"><num>1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/listintro"><i>Wahrung </i>des<i> Stimmgeheimnisses:</i> Situation, wenn keiner Person oder Komponente folgende Daten vorliegen:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_1"><num>1.1.1 </num><p>abgegebene Stimmen oder Daten, die auf den Inhalt abgegebener Stimmen schliessen lassen,</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_2"><num>1.1.2 </num><p>Daten, die es erlauben, die stimmenden Personen zu identifizieren (Daten über die stimmberechtigten Personen), und</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_3"><num>1.1.3 </num><p>Daten, die es erlauben, die Daten über die stimmberechtigten Personen den abgegebenen Stimmen zuzuordnen;</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_2"><num>1.2 </num><p><i>Ausschluss </i><i>von vorzeitigen</i><i> Teilergebnissen:</i> Situation, wenn keiner Person oder Komponente die abgegebenen Stimmen oder Daten, die auf die abgegebenen Stimmen schliessen lassen, vorzeitig vorliegen;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_3"><num>1.3 </num><p><i>Verifizierungsreferenz:</i> eine mit dem Stimmmaterial zugestellte Grundlage, damit die stimmberechtigten Personen nach Artikel 5 Absatz 2 in Verbindung mit Ziffer 2.5 des Anhangs prüfen können, ob ihre Stimme korrekt abgegeben wurde (z. B. eine Liste, auf der für jede Antwortmöglichkeit ein Code aufgeführt ist);</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_4"><num>1.4 </num><p><i>externer Angreifer:</i> Person oder Gruppe von Personen, die nicht mit der Entwicklung und dem Betrieb des Systems vertraut ist, die über durchschnittliche Ressourcen und Fachkenntnisse verfügt und von der ein Angriff ausgeht; ihre Beweggründe können Aktivismus oder finanziellen Gewinn umfassen;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_5"><num>1.5 </num><p><i>interner Angreifer:</i> Person oder Gruppe von Personen, die an der Entwicklung oder am Betrieb des Systems beteiligt ist und von der ein Angriff ausgeht; ihre Beweggründe können Aktivismus, finanziellen Gewinn oder die Absicht, ihrem Arbeitgeber zu schaden, umfassen;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_6"><num>1.6 </num><p><i>feindliche Organisation: </i>Gruppe von Personen, die über umfangreiche Ressourcen und überdurchschnittliche Fachkenntnisse verfügt und von der ein Angriff ausgeht; sie kann dabei auch von einem Staat unterstützt werden; ihre Beweggründe können das Erlangen von Daten zu Profiling-Zwecken, die Störung eines Urnengangs oder die Beeinflussung der Ergebnisse des Urnengangs sein;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_7"><num>1.7 </num><p><i>Angreifer: </i>eine Person, Gruppe von Personen oder Organisation nach den Ziffern 1.4–1.6;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_8"><num>1.8 </num><p><i>elektronische Urne: </i>ein Speicherbereich, in dem die abgegebenen Stimmen bis zur Entschlüsselung und Auszählung gespeichert werden können;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_9"><num>1.9 </num><p><i>Systemprotokoll</i>: Protokoll, das von den Bestandteilen der Infrastruktur erstellt wird, um den Betrieb des Systems zu überwachen und Vorfälle zu untersuchen.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_2"><num>2</num><heading>Anforderungen an das kryptografische Protokoll für die vollständige Verifizierbarkeit (Art. 5)</heading><content><blockList eId="annex_u1/lvl_u1/lvl_2/list_u1"><item eId="annex_u1/lvl_u1/lvl_2/list_u1/lbl_2_1"><num>2.1 </num><p>Systemteilnehmende</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u2"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u2/listintro">Das kryptografische Protokoll regelt die Aufgaben der folgenden abstrakten Systemteilnehmenden:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u1"><num>– </num><p>stimmberechtigte / stimmende Person</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u2"><num>– </num><p>Benutzerplattform</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u3"><num>– </num><p>Setup-Komponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u4"><num>– </num><p>nicht vertrauenswürdiges System (beliebige Komponenten unter Ausschluss der übrigen in dieser Ziffer aufgelisteten Komponenten; NV-System)</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u5"><num>– </num><p>Druckkomponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u6"><num>– </num><p>eine oder mehrere Gruppen von Kontrollkomponenten</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u7"><num>– </num><p>Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u8"><num>– </num><p>technisches Hilfsmittel der Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/lbl_2_2"><num>2.2 </num><p>Kommunikationskanäle</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u3"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/listintro">Das kryptografische Protokoll kann die folgenden Kommunikationskanäle zum Austausch von Nachrichten zwischen den Systemteilnehmenden vorsehen:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u1"><num>– </num><p>stimmberechtigte / stimmende Person ↔ Benutzerplattform</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u2"><num>– </num><p>Benutzerplattform ↔ NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u3"><num>– </num><p>Setup-Komponente ↔ NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u4"><num>– </num><p>Kontrollkomponente ↔ NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u5"><num>– </num><p>NV-System → Druckkomponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u6"><num>– </num><p>NV-System → technisches Hilfsmittel der Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u7"><num>– </num><p>Druckkomponente → stimmberechtigte / stimmende Person</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u8"><num>– </num><p>Setup-Komponente → technisches Hilfsmittel der Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u9"><num>– </num><p>Prüferinnen und Prüfer ↔ technisches Hilfsmittel der Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u10"><num>– </num><p>bidirektionale Kanäle für die Kommunikation zwischen den Kontrollkomponenten</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3"><num>2.3 </num><p>Angreifer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_1"><num>2.3.1 </num><p>Das kryptografische Protokoll muss vor einem Angreifer Schutz bieten, der versucht, missbräuchlich auf die Stimmen und das Ergebnis einzuwirken, das Stimmgeheimnis zu brechen oder Teilergebnisse vorzeitig zu erheben (Ziff. 2.5–2.8).</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2"><num>2.3.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/listintro">Es muss die Annahme getroffen werden, dass ein Angreifer über folgende Fähigkeiten verfügt:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/bull_u1"><num>– </num><p>Er kann sämtliche nicht vertrauenswürdigen Systemteilnehmenden (vgl. Ziff. 2.4) unter seine Kontrolle bringen, so dass sie alle geheimen Daten mit ihm teilen und uneingeschränkt nach seinen Anweisungen handeln.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/bull_u2"><num>– </num><p>Er kann sämtliche Nachrichten, die auf nicht vertrauenswürdigen Kanälen ausgetauscht werden, mitlesen und unterdrücken sowie selbst beliebige Nachrichten einspeisen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4"><num>2.4 </num><p>Vertrauenswürdige und nicht vertrauenswürdige Systemteilnehmende und Kommunikationskanäle</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_1"><num>2.4.1 </num><p>Systemteilnehmende und Kommunikationskanäle gelten entweder als «vertrauenswürdig» oder als «nicht vertrauenswürdig». Die zulässigen Vertrauensannahmen für die einzelnen Systemteilnehmenden sind in Ziffer 2.9 geregelt.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2"><num>2.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/listintro">Vertrauenswürdige Systemteilnehmende und Kommunikationskanäle werden als gegen Angreifer geschützt betrachtet. Für das kryptografische Protokoll darf namentlich von folgenden Annahmen ausgegangen werden:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/bull_u1"><num>– </num><p>Vertrauenswürdige Systemteilnehmende halten vertrauliche Daten unter Verschluss und führen ausschliesslich jene Operationen durch, die durch das kryptografische Protokoll vorgegeben sind.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/bull_u2"><num>– </num><p>Vertrauenswürdige Kommunikationskanäle halten die übertragenen Nachrichten unter Verschluss und schützen sie vor Manipulation.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_5"><num>2.5 </num><p>Anforderung an das kryptografische Protokoll: individuelle Verifizierbarkeit</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u4"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u4/listintro">Die stimmberechtigte Person erhält Beweise nach Artikel 5 Absatz 2 in Verbindung mit Artikel 6 Buchstaben a und b zur Bestätigung, dass ein Angreifer:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u4/bull_u1"><num>– </num><p>bis zur Registrierung als eine systemkonform abgegebene Stimme keine Teilstimme der stimmberechtigten Person verändert oder unterschlagen hat;</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u4/bull_u2"><num>– </num><p>nicht im Namen der stimmberechtigten Person missbräuchlich eine Stimme abgegeben hat, die in der Folge als systemkonform abgegebene Stimme registriert und gezählt worden ist.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u4/lbl_2_6"><num>2.6 </num><p>Anforderung an das kryptografische Protokoll: universelle Verifizierbarkeit</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u5"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u5/listintro">Die Prüferinnen und Prüfer erhalten Beweise nach Artikel 5 Absatz 3 Buchstabe a in Verbindung mit Artikel 6 Buchstaben a und c zur Bestätigung, dass ein Angreifer:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u5/bull_u1"><num>– </num><p>nachdem die Stimmen als systemkonform abgegeben registriert worden sind, bis zur Berechnung des Ergebnisses keine Teilstimmen verändert oder unterschlagen hat;</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/bull_u2"><num>– </num><p>keine nicht systemkonform abgegebenen Stimmen oder Teilstimmen eingefügt hat, die bei der Berechnung des Ergebnisses berücksichtigt wurden.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7"><num>2.7 </num><p>Anforderungen an das kryptografische Protokoll: Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_1"><num>2.7.1 </num><p>Es muss sichergestellt sein, dass ein Angreifer weder das Stimmgeheimnis brechen noch Teilergebnisse vorzeitig erheben kann, ohne zusätzlich die stimmberechtigten Personen oder deren Benutzerplattformen unter seine Kontrolle zu bringen.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_2"><num>2.7.2 </num><p>Es besteht keine Pflicht, Angriffe zu verhindern, durch die die Anzahl der ausgezählten Stimmen so beschränkt wird, dass alle Teilstimmen für eine Abstimmungsfrage, Liste oder kandidierende Person gleich lauten.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_3"><num>2.7.3 </num><p>Es muss sichergestellt sein, dass ein Angreifer die Benutzerplattformen nicht unbemerkt unter seine Kontrolle bringen kann, indem er die Software für die Benutzerplattformen auf dem Server manipuliert. Die stimmende Person muss die Möglichkeit haben zu prüfen, ob ihre Benutzerplattform vom Server die korrekte Software mit den korrekten Parametern, insbesondere dem öffentlichen Schlüssel zur Verschlüsselung der Stimme, erhalten hat.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_8"><num>2.8 </num><p>Anforderung an das kryptografische Protokoll: wirksame Authentisierung</p></item></blockList><p>Es muss sichergestellt sein, dass ein Angreifer keine Stimme systemkonform abgeben kann, ohne die entsprechenden stimmberechtigten Personen unter seine Kontrolle zu bringen.</p><blockList eId="annex_u1/lvl_u1/lvl_2/list_u6"><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9"><num>2.9 </num><p>Aufzählung der vertrauenswürdigen und nicht vertrauenswürdigen Systemteilnehmenden</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1"><num>2.9.1 </num><p>Für die Stichhaltigkeit der Beweise nach Ziffer 2.5</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1"><num>2.9.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/listintro">Die folgenden Systemteilnehmenden gelten als nicht vertrauenswürdig:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u1"><num>– </num><p>Benutzerplattform</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u2"><num>– </num><p>NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u3"><num>– </num><p>drei von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche drei es sich handelt</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u4"><num>– </num><p>ein signifikanter Anteil der stimmberechtigten Personen</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u5"><num>– </num><p>Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u6"><num>– </num><p>technische Hilfsmittel der Prüferinnen und Prüfer</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2"><num>2.9.1.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/listintro">Die folgenden Systemteilnehmenden dürfen als vertrauenswürdig gelten:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u1"><num>– </num><p>Setup-Komponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u2"><num>– </num><p>Druckkomponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u3"><num>– </num><p>eine von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche es sich dabei handelt</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2"><num>2.9.2 </num><p>Für die Stichhaltigkeit der Beweise nach Ziffer 2.6</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1"><num>2.9.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/listintro">Die folgenden Systemteilnehmenden gelten als nicht vertrauenswürdig:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u1"><num>– </num><p>Benutzerplattform</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u2"><num>– </num><p>NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u3"><num>– </num><p>drei von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche drei es sich handelt</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u4"><num>– </num><p>ein signifikanter Anteil der stimmberechtigten Personen</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u5"><num>– </num><p>Setup-Komponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u6"><num>– </num><p>Druckkomponente</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2"><num>2.9.2.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/listintro">Die folgenden Systemteilnehmenden dürfen als vertrauenswürdig gelten:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u1"><num>– </num><p>eine von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche es sich dabei handelt</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u2"><num>– </num><p>eine Prüferin oder ein Prüfer einer Gruppe, wobei offengelassen werden muss, um welche oder welchen es sich dabei handelt</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u3"><num>– </num><p>ein technisches Hilfsmittel einer vertrauenswürdigen Prüferin oder eines vertrauenswürdigen Prüfers, wobei offengelassen werden muss, um welches es sich dabei handelt</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3"><num>2.9.3 </num><p>Für die Wahrung des Stimmgeheimnisses und den Ausschluss von vorzeitigen Teilergebnissen nach Ziffer 2.7</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1"><num>2.9.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/listintro">Die folgenden Systemteilnehmenden gelten als nicht vertrauenswürdig:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u1"><num><b>–</b></num><p>NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u2"><num><b>–</b></num><p>drei von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche drei es sich handelt</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u3"><num><b>–</b></num><p>ein signifikanter Anteil der stimmberechtigten Personen</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u4"><num><b>–</b></num><p>Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u5"><num><b>–</b></num><p>technische Hilfsmittel der Prüferinnen und Prüfer</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2"><num>2.9.3.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/listintro">Die folgenden Systemteilnehmenden dürfen als vertrauenswürdig gelten:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u1"><num><b>–</b></num><p>Setup-Komponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u2"><num><b>–</b></num><p>Druckkomponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u3"><num><b>–</b></num><p>Benutzerplattform</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u4"><num><b>–</b></num><p>eine von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche es sich dabei handelt</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_3"><num>2.9.3.3 </num><p>Wird eine gesamte Gruppe von Kontrollkomponenten bei einem privaten Systembetreiber eingesetzt, so gilt keine dieser Kontrollkomponenten als vertrauenswürdig.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4"><num>2.9.4 </num><p>Für die Wirksamkeit der Authentisierung nach Ziffer 2.8</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1"><num>2.9.4.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/listintro">Die folgenden Systemteilnehmenden gelten als nicht vertrauenswürdig:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u1"><num>– </num><p>NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u2"><num>– </num><p>drei von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche drei es sich handelt</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u3"><num>– </num><p>ein signifikanter Anteil der stimmberechtigten Personen</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u4"><num>– </num><p>Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u5"><num>– </num><p>technische Hilfsmittel der Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u6"><num>– </num><p>Benutzerplattform</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2"><num>2.9.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/listintro">Die folgenden Systemteilnehmenden dürfen als vertrauenswürdig gelten:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u1"><num>– </num><p>Setup-Komponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u2"><num>– </num><p>Druckkomponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u3"><num>– </num><p>eine von vier Kontrollkomponenten pro Gruppe, wobei offengelassen werden muss, um welche es sich dabei handelt</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10"><num>2.10 </num><p>Aufzählung der vertrauenswürdigen und nicht vertrauenswürdigen Kommunikationskanäle</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1"><num>2.10.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/listintro">Die folgenden Kommunikationskanäle gelten als nicht vertrauenswürdig:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u1"><num>– </num><p>Benutzerplattform ↔ NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u2"><num>– </num><p>Setup-Komponente ↔ NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u3"><num>– </num><p>Kontrollkomponente ↔ NV-System</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u4"><num>– </num><p>NV-System → Druckkomponente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u5"><num>– </num><p>NV-System → technisches Hilfsmittel der Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u6"><num>– </num><p>bidirektionale Kanäle für die Kommunikation zwischen den Kontrollkomponenten</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2"><num>2.10.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/listintro">Die folgenden Kommunikationskanäle dürfen als vertrauenswürdig gelten:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u1"><num>– </num><p>stimmberechtigte / stimmende Person ↔ Benutzerplattform</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u2"><num>– </num><p>technisches Hilfsmittel der Prüferinnen und Prüfer ↔ Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u3"><num>– </num><p>Setup-Komponente → technisches Hilfsmittel der Prüferinnen und Prüfer</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u4"><num>– </num><p>Druckkomponente → stimmberechtigte / stimmende Person</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11"><num>2.11 </num><p>Zusätzliche Anforderungen an die Stichhaltigkeit der Beweise</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_1"><num>2.11.1 </num><p>Die Wahrscheinlichkeit für einen Angreifer, einen Beweis nach Ziffer 2.5 fälschen zu können, wenn er eine Teilstimme verändert, eine Teilstimme unterschlägt oder in fremdem Namen eine Stimme abgibt, darf höchstens 0.1 Prozent betragen.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_2"><num>2.11.2 </num><p>Die Wahrscheinlichkeit für einen Angreifer, einen Beweis nach Ziffer 2.6 fälschen zu können, wenn er durch Verändern und Unterschlagen von systemkonform abgegebenen Stimmen sowie durch Einfügen von nicht systemkonform abgegebenen Stimmen bewirkt, dass das berechnete Ergebnis um 0.1 Prozent vom korrekten Ergebnis abweicht, darf pro Vorlage, Listenwahl oder Kandidatenwahl höchstens 1 Prozent betragen.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_3"><num>2.11.3 </num><p>Ist die Wahrscheinlichkeit für einen Angreifer einen Beweis nach Ziffer 2.6 fälschen zu können, nicht im kryptografischen Sinn vernachlässigbar<authorialNote><p> Dies entspricht etwa der Wahrscheinlichkeit, einen verschlüsselten Wert, der mit einem als sicher geltenden Algorithmus und entsprechender Parametrisierung verschlüsselt wurde, ohne Kenntnis des Schlüssels entschlüsseln zu können.</p></authorialNote>, so muss die Erfolgswahrscheinlichkeit durch mehrmaliges Auszählen beliebig reduziert werden können, indem die Prüferinnen und Prüfer zu jeder Auszählung einen zusätzlichen, unabhängigen Beweis nach Ziffer 2.6 erhalten.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12"><num>2.12 </num><p>Funktionale Anforderungen an den Prozess der Stimmabgabe mit Auswirkungen auf das kryptografische Protokoll</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_1"><num>2.12.1 </num><p>Mit den Authentisierungsmerkmalen, die einer stimmberechtigten Person zugewiesen sind, kann nur eine Stimme abgegeben werden.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_2"><num>2.12.2 </num><p>Die stimmende Person gibt ihre Stimme in die Benutzerplattform ein.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_3"><num>2.12.3 </num><p>Die stimmende Person kann die Stimme bis zur Willensbekundung, sie abgeben zu wollen, verändern und anhand einer Übersicht prüfen.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_4"><num>2.12.4 </num><p>Nachdem die stimmende Person die Möglichkeit hatte, die Stimme anhand der Übersicht zu prüfen, gibt sie in die Benutzerplattform ein, dass sie die Stimme in der eingegebenen Form abgeben will.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_5"><num>2.12.5 </num><p>Die Beweise für die korrekte Stimmabgabe nach Ziffer 2.5 müssen sich in mindestens zwei sequenzielle Teilbeweise gliedern. Jede als Teilbeweis dargestellte Anzeige muss einen echten Beitrag an die Stichhaltigkeit des Beweises nach Ziffer 2.5 bilden.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_6"><num>2.12.6 </num><p>Die Benutzerplattform zeigt der stimmenden Person den ersten Teilbeweis an, nachdem diese in die Benutzerplattform eingegeben hat, dass sie die Stimme abgeben will.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_7"><num>2.12.7 </num><p>Die Benutzerplattform zeigt der stimmenden Person den nachfolgenden Teilbeweis erst dann an, wenn diese die Korrektheit des vorherigen Teilbeweises durch eine Eingabe in die Benutzerplattform bestätigt hat.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_8"><num>2.12.8 </num><p>Indem die stimmende Person die Korrektheit des vorletzten Teilbeweises bestätigt, bekundet sie den Willen, die Stimme definitiv abgeben zu wollen.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_9"><num>2.12.9 </num><p>Die Gruppe von Kontrollkomponenten registriert die Stimme als systemkonform abgegeben, wenn sie die Bestätigung, die Stimme definitiv abgeben zu wollen, erhalten hat.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_10"><num>2.12.10 </num><p>Hat die stimmende Person den letzten Teilbeweis mit positivem Ergebnis geprüft, so ist die Stimmabgabe abgeschlossen. Der letzte Teilbeweis soll besonders leicht zu prüfen sein, indem sich die Prüfung möglichst auf die korrekte Anzeige eines einzigen Codes oder einer anderen einfachen Anzeige beschränkt.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_11"><num>2.12.11 </num><p>Werden Stimmdaten importiert, so ist eine Setup-Komponente oder eine Druckkomponente ab jenem Zeitpunkt nicht mehr als vertrauenswürdig zu betrachten.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13"><num>2.13 </num><p>Anforderungen an die Definition und die Beschreibung des kryptografischen Protokolls</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_1"><num>2.13.1 </num><p>Wo möglich werden Bausteine verwendet, die weltweit verbreitet sind und vertieft durch kompetente Personen geprüft wurden. Als Massgabe können Standards, Referenzprojekte sowie wissenschaftliche Publikationen beigezogen werden. Abweichungen und Zweifelsfälle müssen im Rahmen der Risikobeurteilung nach Artikel 4 gesondert behandelt werden.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_2"><num>2.13.2 </num><p>Handlungsanweisungen dürfen nicht unterspezifiziert sein. Die einzelnen Handlungsanweisungen müssen die Umsetzungsmöglichkeiten so weit eingrenzen, dass jede Umsetzung, die die Anweisung zulässt, auch mit der Erfüllung der Anforderungen an das kryptografische Protokoll konform ist.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_3"><num>2.13.3 </num><p>Für die Verteilung von elektronischen Zertifikaten unter den Systemteilnehmenden dürfen vertrauenswürdige Kanäle angenommen werden. Es gilt Ziffer 3.8.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14"><num>2.14 </num><p>Konformitätsbeweise über die Erfüllung der Anforderungen an das kryptografische Protokoll</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_1"><num>2.14.1 </num><p>Ein symbolischer und ein kryptografischer Konformitätsbeweis müssen belegen, dass das kryptografische Protokoll die Anforderungen in Ziffern 2.1–2.12 erfüllt.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_2"><num>2.14.2 </num><p>Die Konformitätsbeweise müssen direkt auf die Protokollbeschreibung Bezug nehmen, die als Grundlage für die Systementwicklung dient.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_3"><num>2.14.3 </num><p>Die Konformitätsbeweise dürfen bezüglich kryptografischer Grundkomponenten unter allgemein akzeptierten Sicherheitsannahmen und -konstruktionen geführt werden (beispielsweise «random oracle model», «decisional Diffie-Hellman assumption», «Fiat-Shamir heuristic»).</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_3"><num>3.</num><heading>Anforderungen an vertrauenswürdige Komponenten nach Ziffer 2 und an deren Betrieb</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_1"><num>3.1 </num><p>Der Betrieb der Setup-Komponente und mindestens einer Kontrollkomponente der Gruppe, die einen Teil des Schlüssels zur Entschlüsselung der Stimmen enthält, gehört in die direkte Zuständigkeit des Kantons und muss in dessen Infrastruktur erfolgen. Die Auslagerung an einen privaten Systembetreiber ist unzulässig.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_2"><num>3.2 </num><p>Für die Wahl von Zufallswerten namentlich für Setup-Komponenten und Kontrollkomponenten ist die Verwendung von genügend Entropie sicherzustellen.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_3"><num>3.3 </num><p>Prüferinnen und Prüfer müssen die Beweise nach Ziffer 2.6 mindestens einmal prüfen und dazu ein technisches Hilfsmittel nach Ziffer 2 einsetzen.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_4"><num>3.4 </num><p>Die betrieblichen Anforderungen für Setup-Komponenten nach Ziffer 3 gelten auch für technische Hilfsmittel der Prüferinnen und Prüfer. Die Prüferinnen und Prüfer können im Rahmen ihrer Verantwortung, die durch das kantonale Recht festgelegt wird, Abweichungen vorsehen.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_5"><num>3.5 </num><p>Der Kanton kann mit Ausnahme der unter den Ziffern 3.1 und 3.3 genannten Komponenten den Betrieb beliebiger Teile des Systems, einschliesslich der Kontrollkomponenten sowie der Druckkomponente, an private Dienstleister delegieren. Ein privater Betreiber der Druckkomponente darf ausschliesslich betriebliche Aufgaben wahrnehmen, die für die Aufbereitung, Verpackung und Zustellung eine Voraussetzung bilden.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_6"><num>3.6 </num><p>Vertrauenswürdige Komponenten (Setup-Komponenten, Druckkomponenten, technische Hilfsmittel der Prüferinnen und Prüfer sowie Kontrollkomponenten) müssen in einem beobachtbaren Prozess aufgesetzt, aktualisiert, konfiguriert und abgesichert werden.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_7"><num>3.7 </num><p>Vor der Installation einer Software ist für sämtliche Programme anhand einer offiziellen vertrauenswürdigen Grundlage zu prüfen, ob es sich bei den Dateien um die korrekte und unverfälschte Version handelt.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_8"><num>3.8 </num><p>Bei der Installation elektronischer Zertifikate anderer Systemteilnehmender muss die Authentizität gewährleistet sein. Dazu ist ein manueller Prozess vorzusehen, bei dem Personen die elektronischen Zertifikate via einen physischen Datenträger nach Ziffer 3.13 von einer Maschine zur anderen bringen.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_9"><num>3.9 </num><p>Der Zeitpunkt für die Aktualisierung der gesamten Software von vertrauenswürdigen Komponenten ist so zu wählen, dass die dadurch erwarteten Vorteile gegenüber den möglichen Gefahren überwiegen.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_10"><num>3.10 </num><p>Setup-Komponenten, Druckkomponenten und technische Hilfsmittel der Prüferinnen und Prüfer, die in irgendeiner Form an der Bearbeitung von kritischen Daten beteiligt sind, müssen während der gesamten Rechenzeit und bis zur Löschung allfälliger kritischer Daten oder bis zur sicheren Aufbewahrung im Vieraugenprinzip physisch überwacht werden. Sie dürfen höchstens über sichtbare physische Kabel untereinander verbunden sein, damit bis zur Vernichtung der vertraulichen Daten möglichst ersichtlich ist, dass keine weiteren Maschinen auf sie zugreifen können.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_11"><num>3.11 </num><p>Für die Installation oder die Aktualisierung von Software dürfen vertrauenswürdige Komponenten nicht mit dem Internet verbunden werden.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_12"><num>3.12 </num><p>Im Grundsatz müssen kritische Daten nach ihrer Verwendung vernichtet werden. Beim Vorliegen guter Gründe ist als Alternative auch eine sichere Aufbewahrung des Datenträgers erlaubt.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_13"><num>3.13 </num><p>Datenträger für den Datenaustausch oder die Aufbewahrung von Daten, wie USB-Sticks, müssen nach dem Aufspielen der Daten in die vertrauenswürdige Komponente entfernt werden und dürfen vor der Vernichtung der Daten nur dann wiederverwendet werden, wenn sich auf der vertrauenswürdigen Komponente vor dem Aufspielen der Daten keine kritischen Daten befunden haben.</p></item><item eId="annex_u1/lvl_u1/lvl_3/bull_u14"><num/><p>Datenträger für den Datenaustausch müssen vor der Verwendung mithilfe einer Komponente, die entsprechend den Anforderungen an vertrauenswürdige Komponenten betrieben wird, neu formatiert und allfällige Daten darauf müssen vernichtet werden.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_14"><num>3.14 </num><p>Es darf kein logischer Zugriff auf oder physischer Zugang zu vertrauenswürdigen Komponenten oder Datenträgern mit kritischen Daten möglich sein, ohne dass eine andere Person dies bemerkt, beispielsweise indem sie für die Gewährung des Zugriffs mitwirken muss (strenges Vieraugenprinzip).</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15"><num>3.15 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/listintro">Ein geglückter unerlaubter Zugriff auf eine Kontrollkomponente soll möglichst keinen Vorteil beim Versuch verschaffen, auf eine weitere Kontrollkomponente unbemerkt zuzugreifen. Zusätzlich zu den übrigen Anforderungen nach Ziffer 3 gelten dahingehend die folgenden Anforderungen:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u1"><num>− </num><p>Hat eine Person einen physischen oder logischen Zugriff auf eine Kontrollkomponente, so darf sie keinen Zugriff auf eine andere Kontrollkomponente haben.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u2"><num>− </num><p>Die Hardware, die Betriebssysteme und die Überwachungssysteme der Kontrollkomponenten sollen sich möglichst unterscheiden.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u3"><num>− </num><p>Die Kontrollkomponenten sollen an unterschiedliche lokale Netzwerke angeschlossen sein.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u4"><num>− </num><p>Eine Kontrollkomponente muss durch ein physisches Gerät realisiert werden. Die Virtualisierung über mehrere physische Geräte ist nicht zulässig.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_16"><num>3.16 </num><p>Kontrollkomponenten müssen darauf ausgerichtet sein, unerlaubte Zugriffe zu erkennen und die verantwortlichen Personen zu alarmieren. Die verantwortlichen Personen sollen externe Überwachungsmassnahmen vorsehen, wie beispielsweise die Überwachung und die manipulationsresistente Protokollierung des Netzverkehrs oder die physische Überwachung mit Kameras, die ihrer Kontrolle unterliegen. Die verantwortlichen Personen müssen als besonders vertrauenswürdig und zuverlässig gelten.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_17"><num>3.17 </num><p>Vertrauenswürdige Komponenten dürfen ausschliesslich die vorgesehenen Operationen durchführen.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_18"><num>3.18 </num><p>Die Software des technischen Hilfsmittels der Prüferinnen und Prüfer muss von einem anderen Systementwickler bezogen werden als jenem, der den grössten Teil der Software der übrigen Systembestandteile entwickelt hat. Die Publikation der Software des technischen Hilfsmittels unter einer Lizenz, die die Kriterien nach Open Source Software<authorialNote><p> vgl. dazu die Definition im Praxis-Leitfaden Open Source Software in der Bundesverwaltung, Version 1.0 vom 19.12.2019, Kap. 1; beziehbar bei: Schweizerische Bundeskanzlei, CH-3003 Bern; www.bk.admin.ch &gt; Digitale Transformation und IKT Lenkung &gt; Bundesarchitektur &gt; Open Source Software (OSS).</p></authorialNote> erfüllt, kann eine Ausnahme begründen. Bringen Prüferinnen und Prüfer mehrere technische Hilfsmittel zum Einsatz, so gilt diese Bestimmung für mindestens eines der Hilfsmittel.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_19"><num>3.19 </num><p>Alle Abläufe im Umgang mit vertrauenswürdigen Komponenten müssen schriftlich und für die betroffenen Personen leicht verständlich dokumentiert sein.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_20"><num>3.20 </num><p>Jeder Zugriff und jede Verwendung einer vertrauenswürdigen Komponente oder eines Datenträgers mit kritischen Daten müssen protokolliert werden.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_4"><num>4.</num><heading>Stimmvorgang</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_1"><num>4.1 </num><p>Die stimmende Person erklärt, dass sie die Regeln der elektronischen Stimmabgabe und ihre Verantwortlichkeit zur Kenntnis genommen hat.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_2"><num>4.2 </num><p>Die stimmende Person wird, bevor sie ihre Stimme abgibt, darauf aufmerksam gemacht, dass sie damit am Urnengang teilnimmt, wie wenn sie brieflich oder persönlich an der Urne abstimmen würde. Die stimmende Person kann ihre Stimme erst abgeben, nachdem sie bestätigt hat, dies zur Kenntnis genommen zu haben.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_3"><num>4.3 </num><p>Die stimmende Person wird bei der Stimmabgabe aufgefordert, die Beweise nach Ziffer 2.5 anhand der Verifizierungsreferenz zu prüfen und allfällige Zweifel an deren Korrektheit beim Kanton zu melden.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_4"><num>4.4 </num><p>Vor der definitiven elektronischen Stimmabgabe kann die stimmberechtigte Person ihre Stimme weiterhin über einen konventionellen Stimmkanal abgeben.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_5"><num>4.5 </num><p>Das clientseitige System, wie es sich der stimmenden Person präsentiert, beeinflusst diese nicht in ihrer Entscheidungsfindung.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_6"><num>4.6 </num><p>Die Benutzerführung verleitet nicht zu einer übereilten oder unüberlegten Stimmabgabe.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_7"><num>4.7 </num><p>Das System bietet der stimmenden Person keine Funktion zum Ausdrucken oder Abspeichern der Stimme.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_8"><num>4.8 </num><p>Der stimmenden Person wird nach Abschluss der Stimmabgabe keinerlei Information zum Inhalt der abgegebenen verschlüsselten Stimme angezeigt.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_9"><num>4.9 </num><p>Einer stimmberechtigten Person, die keine Stimme abgeben kann, weil Drittpersonen unter missbräuchlicher Verwendung ihres Stimmmaterials eine Stimme abgegeben haben, kann der Kanton die Stimmabgabe weiterhin ermöglichen, indem er die missbräuchlich abgegebene Stimme für nichtig erklärt. Das Stimmgeheimnis nach Ziffer 2.7 ist zu wahren.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_10"><num>4.10 </num><p>Für eine stimmberechtigte Person mit einer Behinderung dürfen Erleichterungen zur Überprüfung der Beweise vorgesehen werden. Ausschliesslich in einem solchen Fall darf von den Anforderungen nach Ziffer 2.9.1 abgewichen werden.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_11"><num>4.11 </num><p>Solange das System keine Bestätigung der definitiven elektronischen Stimmabgabe registriert hat, kann eine stimmberechtigte Person ihre Stimme weiterhin über einen konventionellen Stimmkanal abgeben.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_12"><num>4.12 </num><p>Die Verwendung eines von der elektronischen Stimmabgabe unabhängigen Authentisierungsmittels ist erlaubt. Auswirkungen auf die Integrität der Stimmrechtsprüfung sowie die Wahrung des Stimmgeheimnisses sind im Rahmen der Risikobeurteilung vertieft zu prüfen.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_5"><num>5.</num><heading>Vorbereitung des Urnengangs</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_5/lbl_5_1"><num>5.1 </num><p>Werden die Stimmregisterdaten aus einem Drittsystem importiert, das sich ausserhalb der Kontrolle des Kantons befindet, so müssen die Daten verschlüsselt und signiert werden. Die Signatur muss bei Erhalt solcher Daten überprüft werden. Für die Zustellung an die Druckerei gehen die Bestimmungen nach Ziffer 7 vor.</p></item><item eId="annex_u1/lvl_u1/lvl_5/lbl_5_2"><num>5.2 </num><p>Die Daten, die für die Prüfung der Beweise nach Ziffer 2.6 notwendig sind, werden an die Prüferinnen und Prüfer übergeben.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_6"><num>6.</num><heading>Anforderungen an die Stimmrechtsausweise</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_1"><num>6.1 </num><p>Die Stimmrechtsausweise sind nach Möglichkeit so auszugestalten, dass sie Stimmberechtigten mit einer Behinderung einen barrierefreien Zugang zur elektronischen Stimmabgabe erlauben.</p></item><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_2"><num>6.2 </num><p>Sicherheitselemente auf dem Stimmrechtsausweis (z. B. Rubbelfelder) dürfen nur verwendet werden, wenn ein Nachweis vorliegt, dass die verdeckte Information gut vor unerlaubtem Lesen geschützt ist.</p></item><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_3"><num>6.3 </num><p>Wird auf die Verwendung von Sicherheitselementen zum Schutz vertraulicher Informationen auf dem Stimmrechtausweis verzichtet, so müssen Organisationsabläufe zur Gewährleistung der Sicherheit vorhanden sein.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_7"><num>7.</num><heading>Anforderungen an Druckereien</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_1"><num>7.1 </num><p>Die Druckdaten zur Produktion der Stimmrechtsausweise werden verschlüsselt und signiert zugestellt. Alternativ kann auch ein Datenträger mit den entsprechenden Daten persönlich überbracht werden. In diesem Fall erfolgt die Übergabe des Datenträgers an die Druckerei, einschliesslich des Transports, durch zwei Personen und wird von diesen gemeinsam überwacht (Vieraugenprinzip).</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_2"><num>7.2 </num><p>Die Verschlüsselung muss den Anforderungen aus dem eCH-Standard 0014<authorialNote><p> eCH-0014: Standards und Architekturen für eGovernment Anwendungen Schweiz (SAGA.ch), Version 9.0 vom 09.12.2019; der Standard kann kostenlos bezogen und  eingesehen werden beim Verein eCH, Mainaustrasse 30, Postfach, 8034 Zürich, www.ech.ch.</p></authorialNote>, Kapitel 7.5 genügen. Bei symmetrischer Verschlüsselung wird das Geheimelement zur Entschlüsselung den Verantwortlichen der Druckerei auf einem sicheren Zweitweg zugestellt.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_3"><num>7.3 </num><p>Die Verantwortlichen der Druckerei, die den Datenträger entgegennehmen, unterschreiben eine Empfangsbestätigung.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_4"><num>7.4 </num><p>Für den Datenträger mit den Druckdaten, die Komponente, auf der die kritischen Daten entschlüsselt werden, sowie alle Komponenten, die die kritischen Daten verarbeiten, gelten die Bestimmungen nach Ziffer 3 an die Druckkomponente.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_5"><num>7.5 </num><p>Die Verantwortlichen der Druckerei nehmen eine Materialmengenkontrolle vor.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_6"><num>7.6 </num><p>Nach dem Drucken der Stimmrechtsausweise vernichtet die Druckerei die erhaltenen Daten.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_7"><num>7.7 </num><p>Nimmt die Druckerei auch die Verpackung und den Versand der Stimmrechtsausweise vor, so sind diese unverzüglich nach dem Druck zusammen mit dem Stimmmaterial zu verpacken.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_8"><num>7.8 </num><p>Die Vertrauenswürdigkeit des Kanals zwischen der Druckerei und den stimmberechtigten Personen darf nur dann als gegeben erachtet werden, wenn die nach kantonalem Recht zuständigen Stellen das verpackte Stimmmaterial den stimmberechtigten Personen brieflich zustellen oder die persönliche Übergabe sicherstellen.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_8"><num>8.</num><heading>Informationen und Anleitungen</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_1"><num>8.1 </num><p>Die auf kantonaler Ebene verantwortliche Stelle erstellt ein Konzept zur Information der Bürgerinnen und Bürger über die elektronische Stimmabgabe.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_2"><num>8.2 </num><p>Das Konzept gewährleistet, dass die Informationen von den zuständigen Gremien autorisiert werden.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_3"><num>8.3 </num><p>Auf dem Internet finden sich Ratschläge und Anleitungen zur Stimmabgabe sowie Informationen zur Verantwortlichkeit der stimmberechtigten Personen. Diese wirken einer überstürzten oder unüberlegten Handlungsweise entgegen.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_4"><num>8.4 </num><p>Den stimmberechtigten Personen werden die Verifizierbarkeit, weitere Sicherheitsmassnahmen sowie das Vorgehen bei Anomalien auf zugängliche Weise erklärt.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_5"><num>8.5 </num><p>Den stimmberechtigten Personen wird erklärt, worauf sie achten müssen, damit sie ihre Stimme sicher abgeben können.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_6"><num>8.6 </num><p>Den stimmberechtigten Personen wird erklärt, wie die Stimme in der zur Stimmeingabe verwendeten Benutzerplattform nach der Stimmabgabe auf allen Speichern gelöscht werden kann.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_7"><num>8.7 </num><p>Die stimmberechtigten Personen können bei Fragen zur elektronischen Stimmabgabe Unterstützung anfordern.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_8"><num>8.8 </num><p>Die stimmberechtigten Personen werden aufgerufen, falsch angezeigte Beweise nach Ziffer 2.5, wie Prüfcodes, oder weitere Prüfungen mit negativem Ergebnis bei der auf kantonaler Ebene verantwortlichen Stelle zu melden. Dieser Aufruf wird auch mit dem Stimmmaterial verbreitet.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_9"><num>8.9 </num><p>Die stimmberechtigten Personen werden aufgerufen, das Stimmmaterial mit den Sicherheitselementen, die in Erfüllung von Ziffer 2.5 stehen, bis zur definitiven Stimmabgabe oder bis zum Abschluss des Urnengangs unter Verschluss zu halten.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_10"><num>8.10 </num><p>Die stimmberechtigten Personen erhalten die nötigen Angaben, um die Authentizität der zur Stimmabgabe benutzten Internetseite, des Servers und der Software zu kontrollieren. Die Aussagekraft einer erfolgreichen Kontrolle muss durch den Einsatz kryptografischer Mittel gemäss besten Praktiken unterstützt werden.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_11"><num>8.11 </num><p>Die für die sichere Stimmabgabe wesentlichen Informationen werden mit dem Stimmmaterial verschickt. Den stimmberechtigten Personen wird erklärt, dass sie sich im Zweifelsfall an die Informationen des Stimmmaterials halten sollen und nicht an die Informationen, die auf der Benutzerplattform angezeigt werden.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_12"><num>8.12 </num><p>Den stimmberechtigten Personen wird erklärt, durch welche Vorkehrungen die Wahrung des Stimmgeheimnisses sichergestellt ist.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_13"><num>8.13 </num><p>Bekannte Mängel und der mit ihnen verbundene Handlungsbedarf werden transparent kommuniziert.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_14"><num>8.14 </num><p>Die Prüferinnen und Prüfer werden zu Prozessen, denen die Korrektheit des Ergebnisses, die Wahrung des Stimmgeheimnisses und den Ausschluss von vorzeitigen Teilergebnissen unterliegen (beispielsweise Schlüsselgenerierung, Druck des Stimmmaterials, Entschlüsselung und Auszählung), angemessen informiert und geschult. Sie sind in der Lage, die Vorgänge und ihre Bedeutung in den Kernpunkten zu verstehen.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_9"><num>9.</num><heading>Öffnen und Schliessen des elektronischen Stimmkanals</heading><content><p>Der elektronische Stimmkanal steht nur im erlaubten Zeitraum zur Verfügung.</p></content></level><level eId="annex_u1/lvl_u1/lvl_10"><num>10.</num><heading>Konformitätskontrolle und Ablage endgültig abgegebener Stimmen</heading><content><p>Eine nicht systemkonform abgegebene Stimme wird nicht in der elektronischen Urne abgelegt.</p></content></level><level eId="annex_u1/lvl_u1/lvl_11"><num>11.</num><heading>Auszählung der elektronischen Urne</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_1"><num>11.1 </num><p>Die Entschlüsselung der Stimmen und deren Auszählung dürfen frühestens am Abstimmungs- oder Wahlsonntag beginnen.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_2"><num>11.2 </num><p>Der Kanton führt die Entschlüsselung und die Auszählung in der eigenen Infrastruktur durch.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_3"><num>11.3 </num><p>Der Kanton sorgt für die Protokollierung der Entschlüsselung der Stimmen und deren Auszählung. Die Freigabe des Protokolls erfolgt durch die auf kantonaler Ebene verantwortliche Stelle.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_4"><num>11.4 </num><p>Von der Entschlüsselung der Stimmen bis zur Übermittlung des Ergebnisses des Urnengangs erfolgt jeder Zugriff auf das System oder auf eine seiner Komponenten durch mindestens zwei Personen gemeinsam; er wird schriftlich aufgezeichnet und muss von den Prüferinnen und Prüfern kontrolliert werden können.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_5"><num>11.5 </num><p>Werden die Ergebnisdaten an ein Drittsystem übermittelt, das sich ausserhalb der Kontrolle des Kantons befindet, werden die Daten verschlüsselt und signiert.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_6"><num>11.6</num><p>Das System ermöglicht es, dass anhand des Stimmrechtsausweises festgestellt werden kann, ob jemand eine elektronische Stimme abgegeben hat.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_7"><num>11.7</num><p>Bei der Entschlüsselung und Auszählung sind Prüferinnen und Prüfer anwesend. Die Kantone können zusätzlich Prüfarbeiten aus der Ferne ermöglichen.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_8"><num>11.8 </num><p>Sind Komponenten, die zur Auszählung der Stimmen verwendet werden, nach Ziffer 2.4 nicht vertrauenswürdig, so gelten für diese dieselben Anforderungen wie für Setup-Komponenten nach Ziffer 3.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_9"><num>11.9 </num><p>Die Prüferinnen und Prüfer nehmen bei der Prüfung der Beweise nach Ziffer 2.6 ihre Verantwortung nach Massgabe des kantonalen Rechts wahr.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_10"><num>11.10 </num><p>Die auf kantonaler Ebene verantwortliche Stelle unterbreitet den Prüferinnen und Prüfern sämtliche relevanten Indikatoren für die Korrektheit des Ergebnisses. Dazu gehören nebst den Beweisen nach Ziffer 2.6 insbesondere auch die Zahl und die Art von Anomalien, die durch stimmberechtigte Personen beim Kanton gemeldet wurden.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_11"><num>11.11 </num><p>Der Kanton antizipiert allfällige Anomalien und erstellt dahingehend in Absprache mit den betroffenen Stellen einen Notfallplan, der das jeweilige Vorgehen festlegt. Er schafft Transparenz gegenüber der Öffentlichkeit.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_12"><num>11.12 </num><p>Zur Plausibilisierung des Ergebnisses sollen statistische Methoden eingesetzt werden, soweit sie verfügbar sind und soweit die Datenbasis dies erlaubt.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_12"><num>12.</num><heading>Vertrauliche Daten</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_1"><num>12.1 </num><p>Es ist sichergestellt, dass weder Mitarbeitende noch externe Personen Daten kennen, die einen Bezug zwischen der Identität der stimmenden Person und ihrer Stimme zulassen.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_2"><num>12.2 </num><p>Es ist sichergestellt, dass weder Mitarbeitende noch externe Personen vor dem Zeitpunkt der Entschlüsselung der Stimmen Daten kennen, die die vorzeitige Erhebung von Teilergebnissen erlauben.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_3"><num>12.3 </num><p>Der Kanton darf seinen Teil des Schlüssels zur Entschlüsselung der Stimmen, der ihm nach Ziffer 3.1 auf der von ihm betriebenen Kontrollkomponente vorliegt, nicht an private Unternehmen weiterleiten.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_4"><num>12.4 </num><p>Der Kanton behandelt die Ergebnisse des Urnengangs zwischen dem Zeitpunkt der Entschlüsselung der Stimmen und dem Zeitpunkt der Publikation vertraulich.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_5"><num>12.5 </num><p>Der Kanton sorgt dafür, dass Daten vertraulich behandelt werden, die es erlauben festzustellen, ob eine stimmberechtigte Person auf dem elektronischen Weg eine Stimme abgegeben hat.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_6"><num>12.6 </num><p>Der Kanton behandelt die einzelnen Stimmen nach der Auszählung vertraulich.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_7"><num>12.7 </num><p>Der Kanton sorgt dafür, dass Abstimmungs- und Wahlergebnisse kleiner Wahlkreise vertraulich behandelt werden.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_8"><num>12.8 </num><p>Nach der Erwahrung werden gemäss einem vorgegebenen und dokumentierten Prozess sämtliche Daten vernichtet, die im Rahmen des elektronischen Urnengangs angefallen sind, in Bezug zu den einzelnen eingegangenen Stimmen stehen und als vertraulich klassifiziert sind.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_13"><num>13.</num><heading>Bedrohungen</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_1"><num>13.1 </num><p>Die in den Ziffern 13.3–13.40 aufgelisteten Bedrohungen sind allgemeiner Art und bilden eine Grundlage, die zu ergänzen ist. Sie beziehen sich auf die Sicherheitsziele und sind bei der Identifizierung von Risiken zu berücksichtigen. In Abhängigkeit der identifizierten Schwachstellen des Systems und bei der Risikobeurteilung der verschiedenen Stellen ist die Liste entsprechend der konkreten Konstellation und in Abhängigkeit der spezifischen Bedrohung zu konkretisieren und zu ergänzen.</p></item><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2"><num>13.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/listintro">Als mögliche Bedrohung gelten:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/bull_u1"><num>– </num><p>versehentlich oder absichtlich verursachte Bedrohungen, die von internen oder externen Akteurinnen und Akteuren ausgehen, die elektronische oder physische Mittel einsetzen;</p></item><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/bull_u2"><num>– </num><p>Bedrohungen, die auf eine Fehlfunktion des Systems oder der systemunterstützenden Elemente zurückzuführen sind.</p></item></blockList></item></blockList><table border="1"><tr><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"/><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><p>Beschreibung</p></th><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><p>Betroffenes Sicherheitsziel (nach Art. 4 Abs. 3)</p></th></tr><tr><td><p>13.3</p></td><td><p>Malware verändert die Stimme auf der Benutzerplattform. </p></td><td><p>Korrektheit des Ergebnisses </p></td></tr><tr><td><p>13.4</p></td><td><p>Ein externer Angreifer leitet die Stimme mittels Domain-Name-Server-Spoofing (DNS-Spoofing)<authorialNote><p> Auch DNS-Poisoning genannt. Bezeichnet einen Angriff, bei dem es gelingt, die Zuordnung zwischen einem Hostnamen und der zugehörigen IP-Adresse zu fälschen.</p></authorialNote> um. </p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td/><td/><td/></tr><tr><td><p>13.5</p></td><td><p>Ein externer Angreifer verändert die Stimme mit einer Man-in-the-<br/>middle-Technik (MITM<authorialNote><p> Bezeichnet den Angreifer in einem Man-in-the-middle-Angriff. Es handelt sich dabei um eine Angriffsform, die in Rechnernetzen ihre Anwendung findet. Der Angreifer steht dabei entweder physisch oder logisch zwischen den beiden Kommunikationspartnern, hat dabei mit seinem System vollständige Kontrolle über den Datenverkehr zwischen zwei oder mehreren Netzwerkteilnehmerinnen und -teilnehmern und kann die Informationen nach Belieben einsehen und sogar manipulieren.</p></authorialNote>-Technik). </p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.6</p></td><td><p>Ein externer Angreifer schickt mittels MITM bösartig veränderte Daten, die für die Stimmabgabe notwendig sind und aus dem Online-System stammen (z. B. Javascript-Datei).</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.7</p></td><td><p>Ein interner Angreifer manipuliert die Software, diese speichert die Stimmen nicht.</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.8</p></td><td><p>Ein interner Angreifer verändert, löscht oder vervielfacht die Stimmen.</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.9</p></td><td><p>Ein interner Angreifer fügt Stimmen ein.</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.10</p></td><td><p>Eine feindliche Organisation dringt in das System ein mit dem Ziel, das <br/>Ergebnis zu fälschen.</p></td><td><p>Korrektheit des Ergebnisses </p></td></tr><tr><td><p>13.11</p></td><td><p>Ein interner Angreifer kopiert Stimmunterlagen und benutzt sie.</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.12</p></td><td><p>Ein externer Angreifer nutzt Social-Engineering-Methoden, um die Aufmerksamkeit der stimmenden Person an den Sicherheitsvorkehrungen vorbeizulenken (individuelle Verifizierbarkeit).</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.13</p></td><td><p>Ein externer Angreifer dringt elektronisch, physisch oder mittels Social Engineering in die Infrastruktur des Kantons ein und manipuliert die Setup-Komponente oder entwendet sicherheitsrelevante Daten.</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.14</p></td><td><p>Ein externer Angreifer dringt elektronisch, physisch oder mittels Social Engineering in die Infrastruktur der Druckerei ein und entnimmt die Codes der Stimmrechtsausweise.</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.15</p></td><td><p>Ein externer Angreifer dringt elektronisch, physisch oder mittels Social Engineering in die Infrastruktur der Post ein und entwendet Stimmrechtsausweise.</p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.16</p></td><td><p>In der individuellen Verifizierbarkeit tritt ein Fehler auf. </p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.17</p></td><td><p>In der universellen Verifizierbarkeit tritt ein Fehler auf. </p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.18</p></td><td><p>Ein technisches Hilfsmittel der Prüferinnen und Prüfer weist einen Fehler auf. </p></td><td><p>Korrektheit des Ergebnisses</p></td></tr><tr><td><p>13.19</p></td><td><p>Eine Backdoor<authorialNote><p> Backdoor bezeichnet einen Teil einer Software, der es ermöglicht, unter Umgehung der normalen Zugriffssicherung Zugang zum Computer oder einer sonst geschützten Funktion eines Computerprogramms zu erlangen.</p></authorialNote> wird über eine Softwareabhängigkeit in das System eingeführt und von einem externen Angreifer ausgenutzt, um auf das System zuzugreifen.</p></td><td><p>Korrektheit des Ergebnisses, Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen, Erreichbarkeit und Funktionsfähigkeit des Stimmkanals, Schutz der für die stimmberechtigten Personen bestimmten Informationen vor Manipulationen, keine missbräuchliche Verwendung von Beweisen zum Stimmverhalten</p></td></tr><tr><td><p>13.20</p></td><td><p>Malware auf der Benutzerplattform schickt die Stimme an eine feindliche Organisation.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen </p></td></tr><tr><td><p>13.21</p></td><td><p>Die Stimme wird mittels DNS-Spoofing umgeleitet.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.22</p></td><td><p>Ein externer Angreifer liest die Stimme mittels MITM. </p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.23</p></td><td><p>Ein interner Angreifer benutzt den Schlüssel und entschlüsselt nicht-anonyme Stimmen.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.24</p></td><td><p>Bei der Prüfung auf Korrektheit der Verarbeitung und der Auszählung wird das Stimmgeheimnis gebrochen.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.25</p></td><td><p>Ein interner Angreifer liest die Stimmen vorzeitig, ohne die Stimmen entschlüsseln zu müssen.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.26</p></td><td><p>Eine feindliche Organisation dringt ins System ein mit dem Ziel, das Stimmgeheimnis zu brechen oder Teilergebnisse vorzeitig zu erheben.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.27</p></td><td><p>Ein Fehler im Verschlüsselungsprozess macht diesen funktionsunfähig oder reduziert seine Wirksamkeit.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.28</p></td><td><p>Ein interner Angreifer manipuliert die Software und diese legt die Stimmen offen.</p></td><td><p>Wahrung des Stimmgeheimnisses und Ausschluss von vorzeitigen Teilergebnissen</p></td></tr><tr><td><p>13.29</p></td><td><p>Malware auf der Benutzerplattform macht die Stimmabgabe unmöglich.</p></td><td><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals</p></td></tr><tr><td><p>13.30</p></td><td><p>Eine feindliche Organisation führt einen Denial-of-Service-Angriff (DOS-Angriff)<authorialNote><p> Englisch für Dienstverweigerung. Bezeichnet in der digitalen Datenverarbeitung die Nichtverfügbarkeit eines Dienstes, der eigentlich verfügbar sein sollte.</p></authorialNote> durch.</p></td><td><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals</p></td></tr><tr><td><p>13.31</p></td><td><p>Ein interner Angreifer nimmt eine fehlerhafte Konfiguration vor; es kommt nicht bis zur Auszählung.</p></td><td><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals</p></td></tr><tr><td><p>13.32</p></td><td><p>Ein interner Angreifer fälscht die kryptografischen Beweise der universellen Verifizierbarkeit.</p></td><td><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals</p></td></tr><tr><td><p>13.33</p></td><td><p>Ein technischer Fehler des Systems führt dazu, dass das System zum Zeitpunkt der Auszählung nicht verfügbar ist.</p></td><td><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals</p></td></tr><tr><td><p>13.34</p></td><td><p>Ein technisches Hilfsmittel der Prüferinnen und Prüfer funktioniert zum Zeitpunkt der Auszählung nicht.</p></td><td><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals</p></td></tr><tr><td><p>13.35</p></td><td><p>Eine feindliche Organisation dringt ins System ein mit dem Ziel, den Betrieb zu stören, die Informationen für die stimmberechtigten Personen zu manipulieren oder Beweise zum Stimmverhalten der stimmenden Personen zu stehlen.</p></td><td><p>Erreichbarkeit und Funktionsfähigkeit des Stimmkanals, Schutz der für die stimmberechtigten Personen bestimmten Informationen vor Manipulationen, keine missbräuchliche Verwendung von Beweisen zum Stimmverhalten </p></td></tr><tr><td><p>13.36</p></td><td><p>Ein interner Angreifer stiehlt Adressdaten der stimmberechtigten Personen.</p></td><td><p>Schutz der persönlichen Informationen über die Stimmberechtigen</p></td></tr><tr><td><p>13.37</p></td><td><p>Malware beeinflusst stimmberechtigte Personen bei der Meinungsbildung.</p></td><td><p>Schutz der für die stimmberechtigten Personen bestimmten Informationen vor Manipulationen</p></td></tr><tr><td><p>13.38</p></td><td><p>Ein interner Angreifer manipuliert die Informationswebsite bzw. das Abstimmungsportal und täuscht so die stimmberechtigten Personen.</p></td><td><p>Schutz der für die stimmberechtigten Personen bestimmten Informationen vor Manipulationen</p></td></tr><tr><td><p>13.39</p></td><td><p>Ein interner Angreifer schreibt stimmberechtigten Personen vor, ob und wie sie abzustimmen oder zu wählen haben. Nach der Entschlüsselung findet er in der Infrastruktur Belege, dass sich die stimmberechtigten Personen an die Instruktionen gehalten haben.</p></td><td><p>Keine missbräuchliche Verwendung von Beweisen zum Stimmverhalten </p></td></tr><tr><td><p>13.40</p></td><td><p>Ein externer Angreifer schreibt stimmberechtigten Personen vor, ob und wie sie abzustimmen oder zu wählen haben und verlangt von ihnen einen Beleg, dass sie sich an die Instruktionen gehalten haben.</p></td><td><p>Keine missbräuchliche Verwendung von Beweisen zum Stimmverhalten</p></td></tr></table></content></level><level eId="annex_u1/lvl_u1/lvl_14"><num>14.</num><heading>Feststellung und Meldung von Sicherheitsereignissen und <br/>-schwächen; Handhabung von Sicherheitsereignissen und <br/>-verbesserungen</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_1"><num>14.1 </num><p>Ein Monitoringsystem der Infrastruktur erkennt die Zwischenfälle, die die Sicherheit, einschliesslich der Verfügbarkeit, des Systems gefährden könnten, und alarmiert das zuständige Personal. Das Personal behandelt Zwischenfälle gemäss vordefinierten Verfahren. Krisenszenarien und Rettungspläne dienen als Leitlinie (darin inbegriffen ist ein Plan, der gewährleistet, dass die auf den Urnengang bezogenen Aktivitäten weitergeführt werden können) und kommen bei Bedarf zur Anwendung.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u2"><num/><p>Fehler bei der Registrierung der Stimme in den Kontrollkomponenten und in der Urne müssen erkannt werden. Dabei müssen weitere Informationen im Zusammenhang mit dem Fehler verfügbar sein, um die Ursache zu erkennen und zu beheben. Festgestellte Vorfälle sind der auf kantonaler Ebene verantwortlichen Stelle zu melden.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_2"><num>14.2 </num><p>Auf der Infrastruktur werden Protokolle erstellt, deren Erfassung, Übertragung und Speicherung gegen Manipulationen resistent sind (Systemprotokolle). Die Protokolle sind untereinander konsistent und ermöglichen bei der Untersuchung von vermuteten Manipulationen oder Fehlern die Rückverfolgung der relevanten Ereignisse. Sie dienen als Belege für die vollständige, unverfälschte und ausschliessliche Berücksichtigung systemkonform abgegebener Stimmen sowie für die Wahrung des Stimmgeheimnisses und den Ausschluss von vorzeitigen Teilergebnissen.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_14/bull_u4/listintro">Der Inhalt der Protokolle umfasst mindestens die folgenden Ereignisse:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u1"><num>– </num><p>Start und Ende der Audit-, Identifizierungs- und Authentisierungsprozesse</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u2"><num>– </num><p>Start, Neustart und Ende der Abstimmungs- oder Wahlphase</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u3"><num>– </num><p>Start der Auszählung mit der Ergebnisermittlung</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u4"><num>– </num><p>Durchführung und Ergebnisse allfälliger Selbsttests</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u5"><num>– </num><p>festgestellte Störungen in den Elementen der IT-Infrastruktur, die die Betriebsfähigkeit beeinträchtigen</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u5"><num/><p>Von jedem Ereignis werden das Datum und die Uhrzeit, die Art des Ereignisses, der mögliche Verursacher und das Ergebnis im Sinne von Misserfolg oder Erfolg dokumentiert.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u6"><num/><p>Die Systemprotokolle werden der auf kantonaler Ebene verantwortlichen Stelle so zur Verfügung gestellt, dass diese die Informationen interpretieren kann.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_3"><num>14.3 </num><p>Das Monitoring und die Erfassung von Systemprotokollen unterliegen einem ständigen Verbesserungsprozess. Der Verbesserungsprozess beinhaltet einen offenen Dialog zwischen den beteiligten Akteurinnen und Akteuren sowie eine regelmässige und objektive Beurteilung der Wirksamkeit der eingesetzten Instrumente und Prozesse. Die Ergebnisse dieser Evaluationen werden dabei berücksichtigt.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_4"><num>14.4 </num><p>Das Monitoring und die Erfassung von Systemprotokollen beeinträchtigen die Wirksamkeit der Massnahmen zur Wahrung des Stimmgeheimnisses in keiner Weise.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_5"><num>14.5 </num><p>Es ist gewährleistet, dass im Falle einer Panne die Stimmen und die Daten, die ein reibungsloses Funktionieren des Verfahrens bei der Auszählung der Stimmen belegen, unversehrt auf der Infrastruktur gespeichert werden.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_6"><num>14.6 </num><p>Nach einer Panne des Systems oder einem Ausfall von Kommunikations- oder Speichermedien geht das System in einen Wartungsmodus über, in dem die Möglichkeit besteht, in einen sicheren Zustand zurückzukehren. Begonnene Stimmvorgänge werden unterbrochen. Die stimmende Person kann die Stimmabgabe erst dann wieder aufnehmen, wenn sich das System wieder in einem sicheren Zustand befindet.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_7"><num>14.7 </num><p>Es ist möglich, mit Hilfe von Authentisierungsmerkmalen Kontrollstimmen abzugeben, die keiner stimmberechtigten Person zugewiesen sind. Der Inhalt dieser Kontrollstimmen wird protokolliert. Die Auszählung der Kontrollstimmen wird mit den Protokollen verglichen.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u12"><num/><p>Es ist sichergestellt, dass die Kontrollstimmen möglichstähnlich gehandhabt werden wie systemkonform abgegebene Stimmen, gleichzeitig ist sichergestellt, dass sie nicht gezählt werden.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_8"><num>14.8 </num><p>Die Verfügbarkeit der Infrastruktur wird in gewählten Zeitabständen überprüft und protokolliert.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_9"><num>14.9 </num><p>Durch einen vorgegebenen und dokumentierten Prozess werden alle Teile des Systems regelmässig aktualisiert, um bekanntgewordene Schwachstellen zu eliminieren.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_10"><num>14.10 </num><p>Die Massnahmen für das Monitoring und zur Protokollierung der Systembenutzung, der Tätigkeiten von Administratoren und zur Störungsprotokollierung werden detailliert beschrieben, umgesetzt, überwacht und überprüft.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_15"><num>15.</num><heading>Einsatz von kryptografischen Massnahmen und Schlüsselverwaltung</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_1"><num>15.1 </num><p>Elektronische Zertifikate werden nach besten Praktiken verwaltet.</p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_2"><num>15.2 </num><p>Zur Sicherstellung der Integrität von Datensätzen, der die Korrektheit des Ergebnisses sowie die Geheimhaltung kritischer Daten unterliegt, einschliesslich der Identifikations- und Authentifizierungsdaten der Behörden, kommen wirksame kryptografische Massnahmen zum Einsatz, die dem Stand der Technik entsprechen.</p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_3"><num>15.3 </num><p>Zur Sicherstellung der Geheimhaltung kritischer Daten kommen in der Infrastruktur wirksame kryptografische Massnahmen zum Einsatz, die dem Stand der Technik entsprechen. Solche Daten werden auf Datenträgern immer verschlüsselt abgespeichert.</p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_4"><num>15.4 </num><p>Kryptografische Grundkomponenten kommen nur dann zur Anwendung, wenn die Schlüssellängen und Algorithmen den gängigen Standards entsprechen (z. B. NIST, ECRYPT, ZertES). Die elektronische Signatur erfüllt die Anforderungen an eine fortgeschrittene elektronische Signatur nach dem Bundesgesetz vom 18. März 2016<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2016/752" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>943.03</b></ref></p></authorialNote> über die elektronische Signatur (ZertES). Die Verifikation der Signatur erfolgt mittels eines elektronischen Zertifikats, das von einem nach dem ZertES anerkannten Anbieter von Zertifizierungsdiensten ausgestellt wird.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_16"><num>16.</num><heading>Sicherer elektronischer und physischer Informationsaustausch</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_16/lbl_16_1"><num>16.1 </num><p>Sämtliche Komponenten der Infrastruktur werden in einer separaten Netzwerkzone betrieben. Diese Netzwerkzone wird durch eine angemessene Routingkontrolle gegenüber dem übrigen Netzwerk geschützt.</p></item><item eId="annex_u1/lvl_u1/lvl_16/lbl_16_2"><num>16.2 </num><p>Die elektronische Stimmabgabe ist von sämtlichen anderen Anwendungen grundsätzlich klar getrennt.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_17"><num>17.</num><heading>Tests des Systems</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_1"><num>17.1 </num><p>Die Funktionen, die für die Sicherheit des Systems relevant sind (Sicherheitsfunktionen), werden getestet. Die Tests werden mit Testplänen sowie mit erwarteten und tatsächlichen Testergebnissen dokumentiert.</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u2"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/bull_u2/listintro">Der Testplan:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/bull_u2/bull_u1"><num>– </num><p>legt die auszuführenden Tests fest;</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u2/bull_u2"><num>– </num><p>beschreibt die Szenarien für jeden Test, einschliesslich allfälliger Abhängigkeiten von den Ergebnissen anderer Tests.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u3"><num/><p>Die erwarteten Ergebnisse müssen die Ergebnisse aufzeigen, die bei erfolgreicher Testausführung erwartet werden.</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u4"><num/><p>Die tatsächlichen Ergebnisse müssen mit den erwarteten Ergebnissen übereinstimmen.</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2"><num>17.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/listintro">Es wird eine Analyse der Testabdeckung erstellt. Diese umfasst den Nachweis, dass:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/bull_u1"><num>– </num><p>die in der Testdokumentation definierten Tests und die funktionalen Spezifikationen der Schnittstellen übereinstimmen;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/bull_u2"><num>– </num><p>alle Schnittstellen vollständig getestet wurden.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3"><num>17.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/listintro">Es wird eine Analyse der Testtiefe durchgeführt. Diese umfasst den Nachweis, dass:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u1"><num>– </num><p>die in der Testdokumentation definierten Tests und die Teilsysteme, die sich auf Sicherheitsfunktionen und Module beziehen, die eine Rolle bei der Gewährleistung der Sicherheit spielen, übereinstimmen;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u2"><num>– </num><p>alle Teilsysteme, die mit den in den Spezifikationen genannten Sicherheitsfunktionen zusammenhängen, getestet wurden;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u3"><num>– </num><p>alle Module, die bei der Gewährleistung der Sicherheit eine Rolle spielen, getestet wurden.</p></item></blockList></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_18"><num>18.</num><heading>Organisation der Informationssicherheit</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_1"><num>18.1 </num><p>Alle Rollen und Verantwortlichkeiten für den Betrieb des Systems werden präzise definiert, zugeordnet und kommuniziert.</p></item><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_2"><num>18.2 </num><p>Die initiale Konfiguration der Infrastruktur, sei es in Bezug auf die Hardware, die Software oder die Zugriffsrechte, sowie jede Änderung müssen vorher genehmigt werden.</p></item><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_3"><num>18.3 </num><p>Die Risiken im Zusammenhang mit Dritten (Auftragnehmer wie Lieferanten und Dienstleister) werden identifiziert und über angemessene vertragliche Vereinbarungen soweit nötig reduziert. Die Einhaltung der Vereinbarungen wird während ihrer Laufzeit angemessen überwacht und überprüft.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_19"><num>19.</num><heading>Verwaltung der immateriellen und materiellen Ressourcen</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_1"><num>19.1 </num><p>Alle immateriellen und materiellen Ressourcen im Sinne des Begriffs Asset in der Norm ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements<authorialNote><p> Die Norm kann gegen Bezahlung eingesehen oder bezogen werden beim Zentralsekretariat der Internationalen Organisation für Normung (ISO), Chemin de Blandonnet 8, CP 401, 1214 Vernier, www.iso.org.</p></authorialNote>, die im Zusammenhang mit der elektronischen Stimmabgabe relevant sind (Organisation als Ganzes, insbesondere die Organisationsprozesse und die in diesen Prozessen bearbeiteten Informationen, Datenträger, Einrichtungen zur Informationsverarbeitung der Infrastruktur und Räumlichkeiten der Infrastruktur) werden in einem Inventar erfasst. Über das Personal wird eine Liste geführt. Das Inventar und die Personalliste sind aktuell zu halten. Jeder immateriellen und materiellen Ressource wird eine Person zugewiesen, die dafür die Verantwortung übernimmt.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_2"><num>19.2 </num><p>Der zulässige Gebrauch von immateriellen und materiellen Ressourcen wird definiert.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_3"><num>19.3 </num><p>Für Informationen werden Klassifizierungsleitlinien erlassen und kommuniziert.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_4"><num>19.4 </num><p>Für die Kennzeichnung und Handhabung von Informationen werden Verfahren eingerichtet.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_20"><num>20.</num><heading>Vertrauenswürdigkeit des Personals</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_1"><num>20.1 </num><p>Zur Gewährleistung der Vertrauenswürdigkeit des Personals vor, während und nach Beendigung der Anstellung oder bei Rollenwechseln werden angemessene Richtlinien und Verfahren eingerichtet und kommuniziert.</p></item><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_2"><num>20.2 </num><p>Für die Gewährleistung der Vertrauenswürdigkeit des Personals übernehmen die Personalverantwortlichen die volle Verantwortung.</p></item><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_3"><num>20.3 </num><p>Das gesamte Personal verfügt über ein ausgeprägtes Informationssicherheitsbewusstsein. Dazu wird ein aufgabengerechtes Ausbildungs- und Trainingsprogramm eingerichtet und betrieben.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_21"><num>21.</num><heading>Physische und umgebungsbezogene Sicherheit</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_1"><num>21.1 </num><p>Die Sicherheitsperimeter der verschiedenen Räumlichkeiten der Infrastruktur sind klar definiert.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_2"><num>21.2 </num><p>Für den physischen Zugang zu diesen verschiedenen Räumlichkeiten der Infrastruktur werden Zugangsberechtigungen definiert, eingerichtet und angemessen kontrolliert.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_3"><num>21.3 </num><p>Zur Gewährleistung der Sicherheit von Geräten innerhalb und ausserhalb der Räumlichkeiten der Infrastruktur werden angemessene Richtlinien und Verfahren definiert und deren Einhaltung überwacht und überprüft.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_4"><num>21.4 </num><p>Sämtliche Daten werden ausschliesslich in der Schweiz bearbeitet und insbesondere aufbewahrt.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_22"><num>22.</num><heading>Management der Kommunikation und des Betriebs</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_1"><num>22.1 </num><p>Pflichten und Verantwortlichkeitsbereiche werden so aufgeteilt, dass die mit dem Betrieb und der Kommunikation verbundenen Risiken personellen Ursprungs auf Restrisiken reduziert werden, die mit den Risikoakzeptanzkriterien kompatibel sind.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_2"><num>22.2 </num><p>Zum Schutz vor Schadsoftware werden angemessene Massnahmen getroffen.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_3"><num>22.3 </num><p>Es wird ein detaillierter Plan für die Datensicherung erstellt und umgesetzt. Die korrekte Funktion der Datensicherung wird regelmässig überprüft.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_4"><num>22.4 </num><p>Es werden angemessene Massnahmen zum Schutz des Netzwerks vor Bedrohungen, die in der Risikobeurteilung nach Artikel 4 in Verbindung mit Ziffer 13 ausgewiesen werden, und zur Sicherheit von Netzwerkservices definiert und umgesetzt.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_5"><num>22.5 </num><p>Die Verfahren zur Handhabung von Wechseldatenträgern und zur Entsorgung von Datenträgern werden detailliert geregelt.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_23"><num>23.</num><heading>Zuteilung, Verwaltung und Entzug von Zugangs- und Zugriffsrechten</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_1"><num>23.1 </num><p>Es ist gewährleistet, dass während des Urnengangs jede nachträgliche Änderung von Zugangs- und Zugriffsrechten nur mit der Zustimmung der auf kantonaler Ebene verantwortlichen Stelle erfolgt.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_2"><num>23.2 </num><p>Der Zugang zu und der Zugriff auf die Infrastruktur und die Software werden auf der Basis einer Risikobeurteilung detailliert geregelt und dokumentiert. In Hochrisikobereichen sowie für alle manuellen Operationen im Zusammenhang mit der elektronischen Urne (z. B. Öffnung des Stimmkanals, Schliessung des Stimmkanals, Start der Auszählung) gilt das Vieraugenprinzip.</p></item><item eId="annex_u1/lvl_u1/lvl_23/bull_u3"><num/><p>Manuelle Operationen im Zusammenhang mit der elektronischen Urne (z. B. Öffnung des Stimmkanals, Schliessung des Stimmkanals, Start der Auszählung) werden explizit authentifiziert.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_3"><num>23.3 </num><p>Es ist gewährleistet, dass Informationen auf der Website zur elektronischen Stimmabgabe und diesbezügliche Informationsseiten nicht ohne Berechtigung geändert werden können.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_4"><num>23.4 </num><p>Während des Urnengangs sind sachfremde Zugriffe jeglicher Art auf die Infrastruktur ausgeschlossen.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_5"><num>23.5 </num><p>Es ist sichergestellt, dass keines der Elemente der clientseitigen Authentisierungsmerkmale bei der Zustellung systematisch abgefangen, verändert oder umgeleitet werden kann. Zur Authentisierung kommen Massnahmen und Technologien zum Einsatz, die das Risiko des systematischen Missbrauchs durch Dritte hinreichend minimieren.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_24"><num>24.</num><heading>Entwicklung und Wartung von Informationssystemen</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1"><num>24.1 </num><p>Entwicklung</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1"><num>24.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/listintro">Es wird ein Lebenszyklusmodell definiert. Das Lebenszyklusmodell:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u1"><num>– </num><p>wird für die Entwicklung und Wartung der Software verwendet;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u2"><num>– </num><p>sieht die notwendigen Kontrollen bei der Entwicklung und Wartung der Software vor;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u3"><num>– </num><p>wird dokumentiert.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_2"><num>24.1.2 </num><p>Es wird eine Liste der eingesetzten Entwicklungswerkzeuge sowie der Konfigurationsoptionen, die für den Einsatz der einzelnen Entwicklungswerkzeuge gewählt wurden, erstellt.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3"><num>24.1.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/listintro">Die Dokumentation der Entwicklungswerkzeuge umfasst:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u1"><num>– </num><p>eine Definition des Entwicklungswerkzeugs;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u2"><num>– </num><p>eine Beschreibung aller Konventionen und Richtlinien, die bei der Implementierung des Entwicklungswerkzeugs verwendet werden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u3"><num>– </num><p>eine eindeutige Beschreibung der Bedeutung aller Konfigurationsoptionen für die Anwendung des Entwicklungswerkzeugs.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_4"><num>24.1.4 </num><p>Es wird festgelegt, welche Implementierungsstandards angewendet werden.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_5"><num>24.1.5 </num><p>Die Software wird so spezifiziert und implementiert, dass die Sicherheitsfunktionen nicht umgangen werden können.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_6"><num>24.1.6 </num><p>Die Sicherheitsfunktionen werden so spezifiziert und implementiert, dass sie vor Manipulation geschützt sind.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7"><num>24.1.7 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/listintro">Die Sicherheitsarchitektur der Software wird dokumentiert. Die Dokumentation:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u1"><num>– </num><p>weist einen Detaillierungsgrad auf, der der Beschreibung der Sicherheitsfunktionen entspricht;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u2"><num>– </num><p>beschreibt die Sicherheitsdomänen, auf die sich die Sicherheitsfunktionen richten;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u3"><num>– </num><p>beschreibt, wie die Initialisierungsprozesse gesichert werden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u4"><num>– </num><p>weist die Erfüllung der Ziffern 24.1.5 und 24.1.6 nach.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8"><num>24.1.8 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/listintro">Die funktionalen Spezifikationen werden dokumentiert. Die Dokumentation:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u1"><num>– </num><p>bildet die gesamte Software ab;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u2"><num>– </num><p>beschreibt den Zweck und die Anwendung aller Schnittstellen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u3"><num>– </num><p>identifiziert und beschreibt alle Parameter, die mit den Schnittstellen verbunden sind;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u4"><num>– </num><p>beschreibt alle Aktionen, die mit Schnittstellen verbunden sind;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u5"><num>– </num><p>beschreibt alle direkten Fehlermeldungen, die durch den Aufruf der einzelnen Schnittstellen entstehen können.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_9"><num>24.1.9 </num><p>Die Nachvollziehbarkeit zwischen funktionalen Spezifikationen und Sicherheitsanforderungen wird bis auf die Ebene der Schnittstellen sichergestellt.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_10"><num>24.1.10 </num><p>Alle Sicherheitsfunktionen sind im Quellcode implementiert.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_11"><num>24.1.11 </num><p>Die Nachvollziehbarkeit zwischen dem gesamten Quellcode und den Spezifikationen der Sicherheitsfunktionen ist sichergestellt und deren Übereinstimmung ist ersichtlich.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12"><num>24.1.12 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/listintro">Die Sicherheitsfunktionen werden so konzipiert und implementiert, dass sie gut strukturiert sind. Die interne Struktur wird beschrieben und enthält eine Begründung, die:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/bull_u1"><num>– </num><p>die Merkmale angibt, die zur Beurteilung von «gut strukturiert» und von «komplex» verwendet werden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/bull_u2"><num>– </num><p>aufzeigt, dass alle Sicherheitsfunktionen gut strukturiert und nicht zu komplex sind.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13"><num>24.1.13 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/listintro">Die Spezifikationen umfassen folgende Aspekte:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u1"><num>– </num><p>eine Beschreibung der Struktur der Software in Form von Teilsystemen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u2"><num>– </num><p>eine Beschreibung der Sicherheitsfunktionen als Module sowie für jedes Modul die Zielsetzung und eine Beschreibung, wie das Modul zu den anderen Modulen in Beziehung steht; die Beschreibung der sicherheitsrelevanten Module umfasst auch die verfügbaren Schnittstellen, die Rückgabewerte dieser Schnittstellen und die Schnittstellen der anderen Module, die sie zur Interaktion mit ihnen verwenden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u3"><num>– </num><p>eine Beschreibung aller Teilsysteme, die mit den Sicherheitsfunktionen zusammenhängen einschliesslich der möglichen Wechselwirkungen untereinander;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u4"><num>– </num><p>eine übersichtliche Darstellung der mit Sicherheitsfunktionen verbundenen Teilsysteme für den Nachweis, dass alle Schnittstellen dem in der Spezifikation beschriebenen Verhalten entsprechen; die Darstellung muss einen Detaillierungsgrad mindestens bis zu den Modulen aufweisen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_14"><num>24.1.14 </num><p>Die Software wird mit einer eindeutigen Kennzeichnung versehen.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15"><num>24.1.15 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/listintro">Die Dokumentation des Konfigurationsmanagements enthält:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u1"><num>– </num><p>eine Beschreibung, wie Konfigurationselemente identifiziert werden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u2"><num>– </num><p>einen Konfigurationsmanagementplan, der beschreibt, wie das Konfigurationsmanagementsystem bei der Entwicklung der Software eingesetzt wird und welche Verfahren für die Übernahme von Änderungen oder neuen Elementen angewendet werden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u3"><num>– </num><p>einen Nachweis, dass die Verfahren für die Übernahme eine angemessene Prüfung der Änderungen für alle Konfigurationselemente vorsehen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16"><num>24.1.16 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/listintro">Das Konfigurationsmanagementsystem:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u1"><num>– </num><p>identifiziert alle Konfigurationselemente eindeutig;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u2"><num>– </num><p>stellt automatisierte Massnahmen bereit, damit nur autorisierte Änderungen an Konfigurationselementen vorgenommen werden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u3"><num>– </num><p>unterstützt die Entwicklung der Software durch automatisierte Verfahren;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u4"><num>– </num><p>stellt sicher, dass die Person, die für die Abnahme des Konfigurationselements verantwortlich ist, nicht dieselbe Person ist, die es entwickelt hat;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u5"><num>– </num><p>identifiziert die Konfigurationselemente, aus denen sich die Sicherheitsfunktionen zusammensetzen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u6"><num>– </num><p>unterstützt die Prüfung aller Änderungen an der Software mit automatisierten Verfahren, einschliesslich der Protokollierung des Verfassers sowie des Datums und der Uhrzeit der Änderung;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u7"><num>– </num><p>stellt ein automatisiertes Verfahren zur Identifizierung aller Konfigurationselemente bereit, die von einer Änderung an einem bestimmten Konfigurationselement betroffen sind;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u8"><num>– </num><p>kann die Version des Quellcodes identifizieren, auf dessen Basis die Software generiert wird.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_17"><num>24.1.17 </num><p>Alle Konfigurationselemente werden im Konfigurationsmanagementsystem inventarisiert.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_18"><num>24.1.18 </num><p>Das Konfigurationsmanagementsystem wird in Übereinstimmung mit dem Konfigurationsmanagementplan verwendet.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19"><num>24.1.19 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/listintro">Es wird eine Konfigurationsliste erstellt, die die folgenden Elemente enthält:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u1"><num>– </num><p>die Software;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u2"><num>– </num><p>Nachweise der erforderlichen Überprüfungen zur Einhaltung der Sicherheit;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u3"><num>– </num><p>die Teile, aus denen die Software besteht;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u4"><num>– </num><p>den Quellcode;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u5"><num>– </num><p>die Commit-History<authorialNote><p> Die Commit-History besteht aus einer geordneten Liste aller Änderungen an einem Repository sowie der Begründung für die Änderung.</p></authorialNote>;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u6"><num>– </num><p>Berichte über Sicherheitsmängel und über den Stand der Behebung.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u21"><num/><p>Für jedes Element, das für Sicherheitsfunktionen relevant ist, wird die Entwicklerin oder der Entwickler genannt. Jedes Element wird eindeutig identifiziert.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20"><num>24.1.20 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/listintro">Die Dokumentation zur Sicherheit der Softwareentwicklung umfasst:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/bull_u1"><num>– </num><p>die Beschreibung der physischen, verfahrenstechnischen, personellen und sonstigen Sicherheitsmassnahmen, die zum Schutz und zur Integrität der Ausgestaltung und der Implementierung der Software in ihrer Entwicklungsumgebung erforderlich sind;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/bull_u2"><num>– </num><p>den Nachweis, dass die Sicherheitsmassnahmen das erforderliche Schutzniveau bieten, um die Integrität der Software zu wahren.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2"><num>24.2 </num><p>Betrieb</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1"><num>24.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/listintro">Es wird ein Betriebshandbuch erstellt, das für jede Benutzerrolle folgende Aspekte enthält:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u1"><num>– </num><p>eine Beschreibung der Funktionen, auf die die Benutzerin oder der Benutzer zugreifen kann, und der Berechtigungen, die in einer sicheren Umgebung kontrolliert werden müssen, einschliesslich entsprechender Warnungen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u2"><num>– </num><p>eine Beschreibung, wie die verfügbaren Schnittstellen auf sichere Weise genutzt werden können;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u3"><num>– </num><p>eine Beschreibung der verfügbaren Funktionen und Schnittstellen, insbesondere aller Sicherheitsparameter, die unter der Kontrolle der Benutzerin oder des Benutzers stehen unter Hervorhebung der für die Sicherheit relevanten Werte;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u4"><num>– </num><p>eine präzise Darstellung aller Typen von Sicherheitsereignissen in Bezug auf die auszuführenden, für die Benutzerin oder den Benutzer zugänglichen Funktionen, einschliesslich der Anpassungen der Sicherheitseigenschaften von Elementen, die der Kontrolle der Sicherheitsfunktionen unterliegen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u5"><num>– </num><p>eine Beschreibung der Sicherheitsmassnahmen, die umzusetzen sind, um die betrieblichen Sicherheitsziele zu erreichen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_2"><num>24.2.2 </num><p>Das Betriebshandbuch zeigt alle möglichen Betriebsarten der Software auf, dies einschliesslich der Wiederaufnahme des Betriebs nach der Entdeckung von Fehlern sowie die Beschreibung der Folgen und Auswirkungen von Fehlern auf die Aufrechterhaltung des sicheren Betriebs.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_3"><num>24.2.3 </num><p>Das Betriebshandbuch ist präzise und zweckmässig.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3"><num>24.3 </num><p>Zuverlässige und nachvollziehbare Kompilierung und zuverlässiges und nachvollziehbares Deployment</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1"><num>24.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/listintro">Der Vorbereitungsprozess beschreibt alle Schritte, die notwendig sind für:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u1"><num>– </num><p>eine sichere Abnahme der Systembestandteile in Übereinstimmung mit dem Verfahren für die Bereitstellung;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u2"><num>– </num><p>eine sichere Aufbereitung der Betriebsumgebung in Übereinstimmung mit den betrieblichen Sicherheitszielen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u3"><num>– </num><p>eine sichere Installation der Software in der Betriebsumgebung.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_2"><num>24.3.2 </num><p>Die Bereitstellung der Software oder von Teilen des Systems wird dokumentiert und umfasst alle Prozesse, die zur Aufrechterhaltung der Sicherheit bei der Bereitstellung der Software erforderlich sind.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3"><num>24.3.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/listintro">Es wird eine zuverlässige und überprüfbare Kompilierung mit angemessenen Sicherheitsmassnahmen durchgeführt, die sicherstellt, dass der ausführbare Code eine überprüfbare und getreue Darstellung des Quellcodes ist, der einer öffentlichen Kontrolle und unabhängigen Überprüfungen unterzogen wurde. Die Kompilierung erlaubt es, eine Beweiskette für die Überprüfung der Software anzulegen, und umfasst insbesondere:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u1"><num>– </num><p>den Nachweis, dass die Kompilierumgebung so ausgestaltet ist, wie sie auf der öffentlichen Plattform beschrieben ist (Gesamtheit der Werkzeuge mit der jeweiligen Version, Betriebssystem und allfälligen Konfigurationen); allfällige Abweichungen sind zu dokumentieren und zu begründen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u2"><num>– </num><p>den Nachweis, dass die Software gemäss den auf der öffentlichen Plattform verfügbaren Anweisungen kompiliert wurde; wird bei der Kompilierung ein Mangel in den Instruktionen festgestellt, so ist dieser zu protokollieren und die Dokumentation anschliessend anzupassen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u3"><num>– </num><p>den Nachweis, dass der zur öffentlichen Kontrolle vorgelegte und geprüfte Quellcode tatsächlich derjenige ist, der zur Kompilierung verwendet wurde;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u4"><num>– </num><p>den Nachweis, dass keine anderen als die in den Instruktionen vorgesehenen Elemente eingeführt wurden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u5"><num>– </num><p>den Nachweis, dass alle kryptografischen Signaturen der Abhängigkeiten gegen eine bewährte, öffentliche und vertrauenswürdige Referenz verifiziert wurden;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u6"><num>– </num><p>den Nachweis, dass eine Analyse der Schwachstellen in Bezug auf Abhängigkeiten durchgeführt wurde und dass, sofern für die Software relevante Schwachstellen vorhanden sind, diese die Software nicht angreifbar machen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u7"><num>– </num><p>den Nachweis, dass die allenfalls eingeführten Parameter das System nicht angreifbar machen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4"><num>24.3.4 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/listintro">Es wird ein zuverlässiges und überprüfbares Deployment mit angemessenen Sicherheitsmassnahmen durchgeführt, das sicherstellt, dass:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/lbl_1"><num>1. </num><p>der produktiv eingesetzte Code eine überprüfbare und getreue Darstellung des Quellcodes ist, der einer öffentlichen Kontrolle und unabhängigen Überprüfungen unterzogen wurde; und</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/lbl_2"><num>2. </num><p>dass die Produktionsumgebung mit derjenigen übereinstimmt, die der öffentlichen Kontrolle und unabhängigen Überprüfungen unterzogen wurde.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/bull_u32/listintro">Das Deployment erlaubt es, eine Beweiskette für die Überprüfung der Software anzulegen, und umfasst insbesondere:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u1"><num>– </num><p>den Nachweis, dass die Produktionsumgebung mit derjenigen übereinstimmt, die der öffentlichen Kontrolle und unabhängigen Überprüfungen unterzogen wurde; allfällige Abweichungen (Firmware-Version, Konfigurationsdateien usw.) sind zu dokumentieren und zu begründen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u2"><num>– </num><p>den Nachweis, dass die in der Produktionsumgebung eingesetzte Software tatsächlich diejenige ist, die im zuverlässigen und überprüfbaren Kompilierungsverfahren erstellt wurde;</p></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u3"><num>– </num><p>den Nachweis, dass die allenfalls eingeführten Parameter das System nicht angreifbar machen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_5"><num>24.3.5 </num><p>Die Qualität der Nachweise der zuverlässigen und überprüfbaren Kompilierung und des zuverlässigen und überprüfbaren Deployments wird durch die Anwesenheit von mindestens zwei Zeuginnen oder Zeugen verschiedener Institutionen oder durch technische Verfahren zur Feststellung des Wahrheitsgehalts nach dem Stand der wissenschaftlichen Erkenntnisse und Erfahrungen bestätigt.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_6"><num>24.3.6 </num><p>Die Nachweiskette der zuverlässigen und überprüfbaren Kompilierung und des zuverlässigen und überprüfbaren Deployments wird öffentlich zugänglich gemacht.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4"><num>24.4 </num><p>Systematische Behebung von Mängeln</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1"><num>24.4.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/listintro">Es werden Prozesse zur Behebung von Mängeln definiert. Die Prozesse umfassen:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u1"><num>– </num><p>eine Dokumentation dieser Prozesse, insbesondere im Hinblick auf die Rückverfolgbarkeit von Mängeln für alle Versionen der Software sowie der Methoden, die verwendet werden, damit die Systembenutzerinnen und -benutzer über die Informationen über die Mängel, die Korrekturen und zu möglichen Korrekturmassnahmen verfügen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u2"><num>– </num><p>die Pflicht, die Art und die Auswirkungen aller Sicherheitsmängel, Informationen zum Stand der Arbeiten zur Lösungsfindung sowie die beschlossenen Korrekturmassnahmen zu beschreiben;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u3"><num>– </num><p>eine Beschreibung der Instrumente, mit denen die Systembenutzerinnen und -benutzer die Möglichkeit erhalten, den Softwareentwicklerinnen und -entwicklern Berichte und Anfragen zu vermuteten Mängeln in der Software bekanntzumachen;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u4"><num>– </num><p>ein Verfahren, das eine zeitnahe Reaktion und ein automatischer Versand von Berichten über Sicherheitsmängel und entsprechenden Korrekturen an registrierte Systembenutzerinnen und -benutzer, die vom Mangel betroffen sein könnten, erfordert.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2"><num>24.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/listintro">Es wird ein Prozess für die Behandlung der gemeldeten Mängel definiert:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/bull_u1"><num>– </num><p>Dieser Prozess stellt sicher, dass alle gemeldeten und bestätigten Mängel behoben werden und dass die Prozesse zur Behebung den Systembenutzerinnen und -benutzern mitgeteilt werden.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/bull_u2"><num>– </num><p>Er sieht Vorkehrungen vor, die sicherstellen, dass eine Behebung von Sicherheitsmängeln keine neuen Sicherheitsmängel nach sich zieht.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3"><num>24.4.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/listintro">Es werden Richtlinien für die Einreichung und die Behebung von Mängeln definiert. Diese umfassen:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u1"><num>– </num><p>eine Anleitung, wie Systembenutzerinnen und -benutzer vermutete Sicherheitsmängel an die Entwicklerin oder den Entwickler melden können;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u2"><num>– </num><p>eine Anleitung, wie sich Systembenutzerinnen und -benutzer bei der Entwicklerin oder beim Entwickler registrieren können, um Berichte über Sicherheitsmängel und die Behebungen zu erhalten;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u3"><num>– </num><p>die Angabe von spezifischen Kontaktstellen für alle Berichte und Anfragen zu Sicherheitsfragen, die die Software betreffen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_5"><num>24.5 </num><p>Qualitätssicherung</p></item></blockList><p>Es wird regelmässig und objektiv geprüft, ob die durchgeführten Abläufe und die dazugehörenden Arbeitsprodukte mit der Beschreibung der umzusetzenden Abläufe, Normen und Prozesse übereinstimmen. Abweichungen werden bis zu ihrer Behebung weiterverfolgt.</p></content></level><level eId="annex_u1/lvl_u1/lvl_25"><num>25</num><heading>Qualität Quellcode und Dokumentation</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_25/listintro">Der Quellcode und die Dokumentation erfüllen mindestens die folgenden Qualitätskriterien:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1"><num>25.1 </num><p>Nachvollziehbarkeit</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_1"><num>25.1.1 </num><p>Unter Nachvollziehbarkeit wird die Stringenz von den Anforderungen bis hin zur Implementierung verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_2"><num>25.1.2 </num><p>Alle Anforderungen an das kryptografische Protokoll sind über sämtliche Arbeitsergebnisse im Zusammenhang mit dem Softwareentwicklungsprozess hinweg nachvollziehbar.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_3"><num>25.1.3 </num><p>Für die Verbindung zwischen den rechtlichen Anforderungen und dem kryptografischen Protokoll, den Spezifikationen sowie der Dokumentation der Architektur gibt es eine Beschreibung.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2"><num>25.2 </num><p>Vollständigkeit</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_1"><num>25.2.1 </num><p>Unter Vollständigkeit wird die vollständige Umsetzung der geforderten Funktionen verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_2"><num>25.2.2 </num><p>Die Software enthält keine mehrdeutigen Verweise (Input, Funktion, Output). Wird dasselbe Element referenziert, wird dazu immer die gleiche Bezeichnung verwendet.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_3"><num>25.2.3 </num><p>Alle referenzierten Daten und alle verwendeten Funktionen sind in den Spezifikationen definiert.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_4"><num>25.2.4 </num><p>Es werden alle in den Spezifikationen definierten Funktionen verwendet.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_5"><num>25.2.5 </num><p>Für jeden Entscheidungspunkt (z. B. bedingte Ausführung) sind die möglichen Alternativen in den Spezifikationen definiert.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_6"><num>25.2.6 </num><p>Alle Parameter sind in den Spezifikationen definiert und validiert (keine implizite Parameterübergabe).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_7"><num>25.2.7 </num><p>Alle schwerwiegenden, gemeldeten Fehler werden behoben, bevor mit dem nächsten Schritt im Entwicklungszyklus fortgefahren wird.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_8"><num>25.2.8 </num><p>Das kryptografische Protokoll, die Spezifikation, das Design und der Quellcode sind aufeinander abgestimmt.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3"><num>25.3 </num><p>Kohärenz</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_1"><num>25.3.1 </num><p>Unter Kohärenz wird die Verwendung einheitlicher Verfahren und Notationen bei der Konzeption und der Implementierung verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_2"><num>25.3.2 </num><p>Die Darstellungen in der Dokumentation entsprechen einer Konvention, die die Softwareentwicklerin oder der Softwareentwickler erstellt hat.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_3"><num>25.3.3 </num><p>Die Funktionen und die Variablen entsprechen einer Namenskonvention, die die Softwareentwicklerin oder der Softwareentwickler erstellt hat.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_4"><num>25.3.4 </num><p>Input und Output von Funktionen werden nach einer Konvention behandelt, die die Softwareentwicklerin oder der Softwareentwickler erstellt hat.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_5"><num>25.3.5 </num><p>Fehler werden nach einer Konvention behandelt, die die Softwareentwicklerin oder der Softwareentwickler erstellt hat.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_6"><num>25.3.6 </num><p>Die verwendeten Variablentypen sind kohärent.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4"><num>25.4 </num><p>Einheitlichkeit der Kommunikation</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_1"><num>25.4.1 </num><p>Unter Einheitlichkeit der Kommunikation wird die Verwendung von standardisierten Protokollen und Schnittstellenroutinen verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_2"><num>25.4.2 </num><p>Die Regeln für die Kommunikation mit anderen Systemen sind definiert.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_3"><num>25.4.3 </num><p>Die Kommunikation basiert auf standardisierten Kommunikations-methoden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5"><num>25.5 </num><p>Einheitlichkeit der Daten</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_1"><num>25.5.1 </num><p>Unter Einheitlichkeit der Daten wird die Eigenschaft, die die Verwendung einer standardisierten Darstellung der Daten ermöglicht, verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_2"><num>25.5.2 </num><p>Die Standarddarstellung der Daten für die Kommunikation mit anderen Systemen wird formell festgelegt.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_3"><num>25.5.3 </num><p>Für Konvertierungen zwischen den verschiedenen Darstellungen werden Standards festgelegt.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_4"><num>25.5.4 </num><p>Die Konvertierungsfunktionen sollten in einem Modul zentralisiert werden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6"><num>25.6 </num><p>Erlernbarkeit</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_1"><num>25.6.1 </num><p>Unter Erlernbarkeit wird die Eigenschaft der Software, die es den Benutzerinnen und Benutzern ermöglicht, sich die Bedienung der Software leicht anzueignen, verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_2"><num>25.6.2 </num><p>Personen, die das System betreiben und anwenden, werden geschult und mit der notwendigen Dokumentation bedient.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_3"><num>25.6.3 </num><p>Die Schulung beinhaltet die Möglichkeit, an einem dafür vorgesehenen System zu trainieren.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_4"><num>25.6.4 </num><p>Hilfestellungen zur Bedienung sind leicht zugänglich.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7"><num>25.7 </num><p>Bedienbarkeit</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_1"><num>25.7.1 </num><p>Unter Bedienbarkeit wird die Nutzungsqualität bei der Interaktion mit dem System verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_2"><num>25.7.2 </num><p>Die Software ist benutzerfreundlich. Die Benutzerführung richtet sich nach allgemein bekannten Schemen.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_3"><num>25.7.3 </num><p>Das clientseitige System, wie es sich der stimmenden Person präsentiert, entspricht mit Ausnahme der Anforderungen an alternative Kommunikationsformen in Kapitel 2.4dem Accessibility Standard eCH-0059<authorialNote><p> eCH-0059: Accessibility Standard Version 3.0 vom 25.06.2020; der Standard kann kostenlos bezogen und eingesehen werden beim Verein eCH, Mainaustrasse 30, Postfach, 8034 Zürich, www.ech.ch.</p></authorialNote>. Die Kantone sorgen dafür, dass dies durch eine fachkompetente Stelle belegt wird.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8"><num>25.8 </num><p>Fehlertoleranz</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_1"><num>25.8.1 </num><p>Mit der Fehlertoleranz wird die Weiterführung des Betriebs unter Ausnahmebedingungen ermöglicht.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_2"><num>25.8.2 </num><p>Fehler werden erkannt und behandelt, damit das Programm ohne Unterbrechung weiterlaufen kann.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_3"><num>25.8.3 </num><p>Die Fehlerbehandlung, einschliesslich der Erfassung im Protokoll, erfolgt auf derjenigen Ebene, die für die Weiterführung des Betriebs am relevantesten ist. Ein Fehler, der in einer Ebene nicht bearbeitet werden kann, wird in die nächsthöhere Ebene übertragen.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_4"><num>25.8.4 </num><p>Für die Inputparameter werden Gültigkeitsbedingungen definiert.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_5"><num>25.8.5 </num><p>Alle Inputparameter werden vor Beginn der Ausführung überprüft.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9"><num>25.9 </num><p>Modularität</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_1"><num>25.9.1 </num><p>Unter Modularität wird die Eigenschaft der Software, die eine Struktur von hochgradig unabhängigen Modulen bietet, verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_2"><num>25.9.2 </num><p>Die Aufgabe der einzelnen Module wird klar definiert.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_3"><num>25.9.3 </num><p>Die Aufgabe der einzelnen Module sollte eng und fokussiert sein. Die Aufgaben zweier Module sollten sich nicht überschneiden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_4"><num>25.9.4 </num><p>Die Module teilen keine Daten über einen gemeinsamen volatilen Speicher (z. B. globale Variable).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10"><num>25.10 </num><p>Einfachheit</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_1"><num>25.10.1 </num><p>Unter Einfachheit wird die Implementierung der Funktionen auf die verständlichste Art verstanden. Im Allgemeinen bedeutet dies, dass Praktiken vermieden werden, die die Komplexität erhöhen.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_2"><num>25.10.2 </num><p>Im Design wird ein Top-Down-Ansatz (hierarchische Struktur) gewählt.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_3"><num>25.10.3 </num><p>Das Design sieht keine Verdoppelung von Funktionen zwischen den Modulen vor.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_4"><num>25.10.4 </num><p>Das Design sieht keine globalen Daten vor, d. h. keine Daten, die von allen verwendet werden können, ohne als Parameter übergeben zu werden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_5"><num>25.10.5 </num><p>Komplizierte boolesche Kombinationen im Quellcode werden so weit als möglich vermieden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_6"><num>25.10.6 </num><p>Im Quellcode werden keine Variablen für andere als die ursprünglich vorgesehenen Zwecke wiederverwendet.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_7"><num>25.10.7 </num><p>Im Quellcode wird die Anzahl von Verschachtelungen so weit wie möglich beschränkt.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_8"><num>25.10.8 </num><p>Die zyklomatische und kognitive Komplexität im Quellcode wird so weit wie möglich beschränkt.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11"><num>25.11 </num><p>Prägnanz</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_1"><num>25.11.1 </num><p>Unter Prägnanz wird die Implementierung der Funktionen mit einem Minimum an Instruktionen im Quellcode verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_2"><num>25.11.2 </num><p>Die Software enthält keine überflüssigen Abschnitte im Quellcode (sogenannter «Dead Code»).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_3"><num>25.11.3 </num><p>Der Quellcode enthält keine überflüssigen Variablen.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_4"><num>25.11.4 </num><p>Der Quellcode sollte keine Wiederholungen enthalten.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12"><num>25.12 </num><p>Verständlichkeit</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_1"><num>25.12.1 </num><p>Unter Verständlichkeit wird der Umstand verstanden, dass die Adressatinnen und Adressaten die Zielsetzung, die Annahmen, die Einschränkungen, den Input und Output, die Komponenten und den Status der Software erkennen können.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_2"><num>25.12.2 </num><p>Klassen, Funktionen und komplexe Verarbeitungsschritte werden im Quellcode nach einer von der Softwareentwicklerin oder dem Softwareentwickler festgelegten Konvention kommentiert.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_3"><num>25.12.3 </num><p>Variablen und Funktionen werden mit aussagekräftigen Namen bezeichnet.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_4"><num>25.12.4 </num><p>Eine Anweisung sollte nur eine einzige Zeile umfassen, sofern die Lesbarkeit nicht durch die Verteilung auf mehrere Zeilen erhöht wird. Mehrere Anweisungen pro Zeile sind zu vermeiden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13"><num>25.13 </num><p>Instrumentierung</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_1"><num>25.13.1 </num><p>Unter Instrumentierung wird eine Eigenschaft der Software, die es erlaubt, ihre Nutzung zu messen oder Fehler zu erkennen, verstanden.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_2"><num>25.13.2 </num><p>Die Unit-Tests<authorialNote><p> Bei einem Unit-Test testet die Entwicklerin oder der Entwickler ein Modul unabhängig vom Rest des Programms, um sicherzustellen, dass das Modul die funktionalen Spezifikationen erfüllt und unter allen Umständen korrekt funktioniert. Diese Überprüfung wird bei kritischen Anwendungen als unerlässlich angesehen.</p></authorialNote> decken alle möglichen Pfade und die Grenzen zwischen zulässigen und unzulässigen Werten der Inputparameter ab.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_3"><num>25.13.3 </num><p>Die Integrationstests decken alle Module ab.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_4"><num>25.13.4 </num><p>Die Softwaretestszenarien decken alle Module ab.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_5"><num>25.13.5 </num><p>Fehler und notwendige Informationen werden in Logs protokolliert.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_26"><num>26.</num><heading>Prüfkriterien für die Systeme und ihren Betrieb</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1"><num>26.1 </num><p>Prüfung des kryptografischen Protokolls (Art. 10 Abs. 1 Bst. a)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1"><num>26.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/listintro">Gegenstand: Es wird geprüft:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u1"><num>– </num><p>ob die Anforderungen in Artikel 5 in Verbindung mit den Artikeln 6–8 und Ziffer 2 des Anhangs erfüllt sind; diese Beurteilung erfolgt insbesondere anhand der kryptografischen und symbolischen Konformitätsbeweise;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u2"><num>– </num><p>ob und inwiefern sich das kryptografische Protokoll auf existierende und bewährte Protokolle und Bausteine abstützt;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u3"><num>– </num><p>welche Vertiefungen und Verbesserungen zu einer Stärkung der Sicherheit beitragen könnten.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_2"><num>26.1.2 </num><p>Zuständigkeiten: Die Prüfung erfolgt durch Expertinnen und Experten aus der Kryptografie. Die Bundeskanzlei gibt die Prüfung in Auftrag und kontrolliert die auftragsgemässe Erfüllung.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3"><num>26.1.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/listintro">Zeitpunkt der Prüfung:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u1"><num>– </num><p>Eine komplette Überprüfung erfolgt vor der ersten Inbetriebnahme.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u2"><num>– </num><p>Die Prüfung wird nach zwei bis drei Jahren erneut durchgeführt.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3/listintro">Die Prüfung findet erneut statt:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3/bull_u1"><num>– </num><p>bei jeder Änderung des kryptografischen Protokolls; und</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3/bull_u2"><num>– </num><p>bei relevanten neuen Erkenntnissen der Forschung bezüglich der Sicherheit von verwendeten kryptografischen Elementen und der Bedrohungslage.</p></item></blockList></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2"><num>26.2 </num><p>Prüfung der Software des Systems (Art. 10 Abs. 1 Bst. b)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1"><num>26.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/listintro">Gegenstand: Es wird geprüft:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u1"><num>– </num><p>ob das nach Ziffer 26.1 geprüfte kryptografische Protokoll umgesetzt ist; die korrekte Umsetzung von Funktionen vertrauenswürdiger Komponenten wird besonders eingehend geprüft;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u2"><num>– </num><p>ob die Software des Systems die Anforderungen dieser Verordnung erfüllt und die vorgegebenen Zielsetzungen adäquat unterstützt;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u3"><num>– </num><p>ob das clientseitige System, wie es sich der stimmenden Person präsentiert, gemäss Ziffer 25.7.3 mit dem Standard eCH-0059 konform ist; die Prüfung kann sich auf ein gültiges Zertifikat oder einen gültigen Prüfbericht stützen, das von einer von der Bundeskanzlei anerkannten Institution ausgestellt wurde und die Konformität mit dem Standard belegt.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_2"><num>26.2.2 </num><p>Zuständigkeiten: Die Prüfung erfolgt durch Expertinnen und Experten aus der Kryptografie und der Softwareentwicklung. Die Prüfung wird von der Bundeskanzlei in Auftrag gegeben.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3"><num>26.2.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/listintro">Zeitpunkt der Prüfung:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u1"><num>– </num><p>Eine komplette Überprüfung erfolgt vor der ersten Inbetriebnahme.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u2"><num>– </num><p>Die Prüfung wird nach zwei bis drei Jahren erneut durchgeführt.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/listintro">Die Prüfung findet bei jeder wesentlichen Änderung erneut statt, insbesondere:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u1"><num>– </num><p>nach jeder Änderung am kryptografischen Protokoll;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u2"><num>– </num><p>bei jeder Änderung am Quellcode der Funktionen, deren Vertrauenswürdigkeit für die Stichhaltigkeit der im Rahmen der Verifizierbarkeit vorgesehenen Beweise massgeblich sind;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u3"><num>– </num><p>bei relevanten neuen Erkenntnissen der Forschung bezüglich der Sicherheit von verwendeten kryptografischen Elementen und der Bedrohungslage;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u4"><num>– </num><p>beim Verzicht oder bei wesentlichen Anpassungen an Mechanismen, die dem sicheren Einsatz von vertrauenswürdigen Komponenten nach Ziffer 2 dienen.</p></item></blockList></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3"><num>26.3 </num><p>Prüfung der Sicherheit von Infrastruktur und Betrieb (Art. 10 Abs. 1 Bst. c)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1"><num>26.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/listintro">Gegenstand: Es wird geprüft, ob:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/bull_u1"><num>– </num><p>das System und sein Betrieb beim Kanton, beim Systembetreiber und bei der Druckerei die Anforderungen dieser Verordnung erfüllen und die vorgegebenen Zielsetzungen adäquat unterstützen;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/bull_u2"><num>– </num><p>die Basiskomponenten, wie die Software, die dem sicheren und unabhängigen Einsatz von Kontrollkomponenten dient, die eingesetzten Betriebssysteme oder die eingesetzten Server erwiesenermassen besten Standards entsprechen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_2"><num>26.3.2 </num><p>Zuständigkeiten: Die Prüfung erfolgt durch Expertinnen und Experten aus der Kryptografie und dem Betrieb von hochsicheren Systemen. Die Prüfung wird von der Bundeskanzlei in Auftrag gegeben.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3"><num>26.3.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/listintro">Zeitpunkt der Prüfung:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u1"><num>– </num><p>Eine komplette Überprüfung erfolgt vor der ersten Inbetriebnahme.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u2"><num>– </num><p>Die Prüfung wird nach zwei bis drei Jahren erneut durchgeführt.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/listintro">Die Prüfung findet bei jeder wesentlichen Änderung erneut statt, insbesondere:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u1"><num>– </num><p>nach einer Änderung am kryptografischen Protokoll;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u2"><num>– </num><p>beim Verzicht auf oder bei wesentlichen Anpassungen an Mechanismen, die dem sicheren Einsatz von vertrauenswürdigen Komponenten nach Ziffer 2 dienen;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u3"><num>– </num><p>bei einer wesentlichen Änderung der Prozesse oder der Infrastruktur.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u4"><num>– </num><p>Werden neue Versionen von Basiskomponenten eingesetzt (neue Server, Patches zum Betriebssystem oder zur Software, die dem sicheren und unabhängigen Einsatz von vertrauenswürdigen Komponenten nach Ziffer 2 dienen), muss keine neue Kontrolle erfolgen, sofern die Basiskomponenten weiterhin erwiesenermassen besten Standards entsprechen.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4"><num>26.4 </num><p>Prüfung des Schutzes gegen Versuche, in die Infrastruktur einzudringen (Art. 10 Abs. 1 Bst. d)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_1"><num>26.4.1 </num><p>Gegenstand: Es wird geprüft, ob es den Expertinnen und Experten im Auftrag der Bundeskanzlei gelingt, im Rahmen eines Tests in die Infrastruktur des Online-Systems einzudringen und sich Zugang zu wichtigen Daten zu verschaffen oder die Kontrolle über wichtige Funktionen zu übernehmen.</p></item><item eId="annex_u1/lvl_u1/lvl_26/bull_u15"><num/><p>Die Tests werden auf der Grundlage von potenziellen Schwachstellen durchgeführt, die nach einer methodischen Analyse der öffentlich zugänglichen Unterlagen, insbesondere nach Artikel 11, entdeckt wurden.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_2"><num>26.4.2 </num><p>Zuständigkeiten: Die Prüfung erfolgt durch Sicherheitsexpertinnen und <br/></p><p>-experten. Die Prüfung wird von der Bundeskanzlei in Auftrag gegeben.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3"><num>26.4.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/listintro">Zeitpunkt der Prüfung:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u1"><num>– </num><p>Eine komplette Überprüfung erfolgt vor der ersten Inbetriebnahme.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u2"><num>– </num><p>Die Prüfung wird nach zwei bis drei Jahren erneut durchgeführt.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u3"><num>– </num><p>Die Prüfung findet bei jeder wesentlichen Änderung der Infrastruktur erneut statt.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u4"><num>– </num><p>Die Prüfung findet bei relevanten neuen Erkenntnissen bezüglich der Sicherheit der eingesetzten Betriebsmittel und der Bedrohungslage statt.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5"><num>26.5 </num><p>Prüfung des Informationssicherheitsmanagement-Systems (Art. 10 Abs. 2)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_1"><num>26.5.1 </num><p>Gegenstand: Es wird geprüft, ob das ISMS des Systembetreibers mit der Norm ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements konform ist. Der Geltungsbereich des ISMS umfasst alle Organisationseinheiten des Systembetreibers, die rechtlich, administrativ und betrieblich für das System verantwortlich sind.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_2"><num>26.5.2 </num><p>Zuständigkeiten: Die Zertifizierungsstelle ist durch die Schweizerische Akkreditierungsstelle für die Durchführung von Audits nach der Norm ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements akkreditiert. Die Prüfung wird vom Kanton oder vom Systembetreiber in Auftrag gegeben; der Kanton sorgt für die Durchführung der Prüfung.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_3"><num>26.5.3 </num><p>Dauer der Gültigkeit eines Belegs: Wiederholungsaudits werden in den durch die Norm ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements festgelegten Abständen durchgeführt. Ein gültiges Zertifikat und die entsprechende «Statement of Applicability» liegt bei jedem Einsatz des Systems vor. Wird eine neue Version des Standards ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements publiziert, so ist spätestens nach Ablauf der Übergangsfrist der Nachweis einer gültigen Zertifizierung des ISMS nach der neuen Version zu erbringen. Der Geltungsbereich des ISMS darf dabei nicht reduziert werden.</p></item></blockList></content></level></level></mainBody></doc></component></components></act></akomaNtoso>