Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="en" value="Federal Chancellery Ordinance of 25 May 2022 on Electronic Voting (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="de" value="Verordnung der BK vom 25. Mai 2022 über die elektronische Stimmabgabe (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="fr" value="Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE)" shortForm="OVotE"/><FRBRname xml:lang="it" value="Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE)" shortForm="OVE"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it/xml"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Cancelleria federale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/ITA" showAs="it"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>161.116 </docNumber></p><p><docTitle>Ordinanza della CaF<br/>concernente il voto elettronico</docTitle></p><p>(OVE)</p><p>del 25 maggio 2022 (Stato 1° luglio 2022)</p></preface><preamble><p>La Cancelleria federale svizzera (CaF),</p><p>visti gli articoli 27<i>e</i> capoverso 1<sup>bis</sup>, 27<i>g</i> capoverso 2, 27<i>i</i> capoverso 3<br/>e 27<i>l</i> capoversi 3 e 4 dell’ordinanza del 24 maggio 1978<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1978/712_712_712" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>161.11</b></ref></p></authorialNote> sui diritti politici (ODP),</p><p>ordina:</p></preamble><body><article eId="art_1"><num><b>Art. 1</b></num><heading>Oggetto </heading><paragraph eId="art_1/para"><content><p>La presente ordinanza disciplina le condizioni per la concessione del nulla osta per prove con il voto elettronico.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Definizioni </heading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> Si intende per:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p><i>sistema:</i> l’insieme del software e delle infrastrutture utilizzati per lo svolgimento di scrutini per via elettronica; </p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p><i>sistema online:</i> la parte del sistema utilizzata per la verifica del diritto di voto, l’espressione del voto crittato e la conservazione del voto crittato; </p></item><item eId="art_2/para_1/lbl_c"><num>c.  </num><p><i>parte affidabile del sistema:</i> parte del sistema che comprende uno o più gruppi di componenti di controllo; l’affidabilità di questa parte del sistema è data dal fatto che possono essere scoperti abusi anche se funziona correttamente soltanto una delle componenti di controllo di un gruppo; </p></item><item eId="art_2/para_1/lbl_d"><num>d.  </num><p><i>componenti di controllo:</i> le componenti indipendenti del sistema strutturate in modo differente, gestite da diverse persone e garantite da particolari misure; </p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p><i>gestore del sistema:</i> l’autorità o l’impresa privata che in occasione di uno scrutinio gestisce su istruzioni del Cantone il sistema online e provvede alla sua manutenzione;</p></item><item eId="art_2/para_1/lbl_f"><num>f. </num><p><i>esercizio:</i> tutti gli atti di rilevanza tecnica, amministrativa o giuridica e le relative attività direttive di un Cantone, di un gestore del sistema o di una tipografia che sono necessari per lo svolgimento di scrutini per via elettronica, inclusa la manutenzione; </p></item><item eId="art_2/para_1/lbl_g"><num>g. </num><p><i>organi preposti all’esercizio:</i> le organizzazioni o unità organizzative addette all’esercizio, quali una cancelleria di Stato, un gestore del sistema o una tipografia; </p></item><item eId="art_2/para_1/lbl_h"><num>h. </num><p><i>verificatori:</i> le persone che verificano il corretto svolgimento dello scrutinio su mandato del Cantone;</p></item><item eId="art_2/para_1/lbl_i"><num>i. </num><p><i>infrastruttura:</i> l’hardware, il software di componenti terzi secondo l’articolo 11 capoverso 2 lettera a, gli elementi di rete, i locali, i servizi e gli strumenti di ogni genere presso tutti gli organi preposti all’esercizio necessari all’esercizio sicuro del voto elettronico; </p></item><item eId="art_2/para_1/lbl_j"><num>j. </num><p><i>software:</i> l’intera implementazione a partire dal protocollo crittografico, effettuata dallo sviluppatore del software per il voto elettronico, ai fini della verificabilità completa; </p></item><item eId="art_2/para_1/lbl_k"><num>k. </num><p><i>protocollo crittografico:</i> un protocollo con funzioni di sicurezza crittografiche volte ad adempiere i requisiti di cui al numero 2 dell’allegato; situandosi al livello del modello, non contiene istruzioni dirette per l’implementazione ma funzioni di sicurezza astratte;</p></item><item eId="art_2/para_1/lbl_l"><num>l. </num><p><i>piattaforma utente:</i> un apparecchio multifunzionale programmabile collegato a Internet e utilizzato per esprimere il voto, quali un computer standard, uno smartphone o un tablet;</p></item><item eId="art_2/para_1/lbl_m"><num>m. </num><p><i>voto registrato:</i> il voto della cui espressione definitiva la parte affidabile del sistema ha preso atto;</p></item><item eId="art_2/para_1/lbl_n"><num>n. </num><blockList><listIntroduction eId="art_2/para_1/lbl_n/listintro"><i>voto parziale:</i></listIntroduction><item eId="art_2/para_1/lbl_n/lbl_1"><num>1. </num><p>nelle votazioni: il voto espresso in merito a un progetto, un controprogetto o una domanda risolutiva,</p></item><item eId="art_2/para_1/lbl_n/lbl_2"><num>2. </num><p>nelle elezioni: il voto espresso a favore di una lista o di un candidato;</p></item></blockList></item><item eId="art_2/para_1/lbl_o"><num>o. </num><blockList><listIntroduction eId="art_2/para_1/lbl_o/listintro"><i>voto espresso conformemente al sistema</i>: un voto che adempie le seguenti condizioni<i>:</i></listIntroduction><item eId="art_2/para_1/lbl_o/lbl_1"><num>1. </num><p>il voto è stato espresso conformemente a uno dei modi previsti per compilare una scheda, </p></item><item eId="art_2/para_1/lbl_o/lbl_2"><num>2. </num><p>un mittente ha espresso il voto in modo definitivo, </p></item><item eId="art_2/para_1/lbl_o/lbl_3"><num>3. </num><p>i dati di autenticazione client utilizzati e i messaggi di autenticazione che ne risultano corrispondono ai dati di autenticazione server definiti nella fase di preparazione dello scrutinio e attribuiti a un avente diritto di voto, e</p></item><item eId="art_2/para_1/lbl_o/lbl_4"><num>4. </num><p>il voto è stato espresso utilizzando dati di autenticazione che non sono già stati utilizzati per un altro voto espresso già registrato dalla parte affidabile del sistema online;</p></item></blockList></item><item eId="art_2/para_1/lbl_p"><num>p. </num><p><i>dato di autenticazione client:</i> l’informazione messa a disposizione individualmente agli aventi diritto di voto, come un PIN, di cui questi hanno bisogno – eventualmente assieme ad altri dati di autenticazione client – per poter esprimere un voto; </p></item><item eId="art_2/para_1/lbl_q"><num>q. </num><p><i>dato di autenticazione server:</i> l’informazione necessaria – eventualmente assieme ad altri dati di autenticazione server – per autenticare il mittente di un voto, per mezzo di messaggi di autenticazione, come avente diritto di voto; </p></item><item eId="art_2/para_1/lbl_r"><num>r. </num><p><i>messaggi di autenticazione:</i> le informazioni che una piattaforma utente trasmette al sistema online dopo l’immissione del dato di autenticazione client affinché il mittente di un voto venga autenticato dal sistema online come avente diritto di voto;</p></item><item eId="art_2/para_1/lbl_s"><num>s. </num><p><i>certificato:</i> documento che conferma che un oggetto controllato è conforme a un quadro di riferimento o a uno standard;</p></item><item eId="art_2/para_1/lbl_t"><num>t. </num><p><i>certificato elettronico:</i> serie di dati che conferma determinate caratteristiche di persone o oggetti e la cui autenticità e integrità possono essere esaminate mediante procedimenti crittografici; il certificato elettronico è utilizzato principalmente per identificare e autenticare il proprietario e per crittografare i messaggi;</p></item><item eId="art_2/para_1/lbl_u"><num>u. </num><p><i>atti e operazioni critici:</i> processi in cui si elaborano dati critici;</p></item><item eId="art_2/para_1/lbl_v"><num>v. </num><p><i>dati critici:</i> dati la cui integrità o confidenzialità è determinante per l’adempimento dei requisiti posti al protocollo crittografico.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><p> Per il rimanente si applicano le definizioni del numero 1 dell’allegato. </p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Condizioni di base per la concessione del nulla osta per il voto elettronico per ogni singolo scrutinio</heading><paragraph eId="art_3/para"><content><blockList><listIntroduction eId="art_3/para/listintro">Il nulla osta per il voto elettronico è concesso per ogni singolo scrutinio; devono essere adempiute le seguenti condizioni: </listIntroduction><item eId="art_3/para/lbl_a"><num>a. </num><p>la strutturazione e l’esercizio del sistema garantiscono un voto elettronico verificabile, sicuro e affidabile;</p></item><item eId="art_3/para/lbl_b"><num>b. </num><p>il sistema è facile da utilizzare per gli aventi diritto di voto; per quanto possibile sono considerate le esigenze di tutti gli aventi diritto di voto;</p></item><item eId="art_3/para/lbl_c"><num>c. </num><p>il sistema e i processi operativi sono configurati e muniti di documentazione in modo tale che i processi tecnici e organizzativi possano essere verificati e compresi nei dettagli;</p></item><item eId="art_3/para/lbl_d"><num>d. </num><p>il pubblico ha accesso a informazioni adeguate ai destinatari in merito al funzionamento del sistema e ai processi operativi, e sono previsti incentivi per la partecipazione di persone con conoscenze specialistiche.</p></item></blockList></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Analisi dei rischi</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> Il Cantone effettua un’analisi dei rischi con la quale dimostra, specificando le ragioni, che nel suo ambito di responsabilità i rischi di sicurezza sono sufficientemente bassi. A tal fine tiene conto anche del grado di fiducia nel voto elettronico e della sua accettazione da parte del pubblico.</p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Il Cantone valuta se può analizzare da sé i rischi connessi ai compiti dei suoi fornitori di servizi e se sono necessarie analisi dei rischi separate da parte di questi ultimi. Se del caso, chiede loro di eseguire tali analisi dei rischi separate e di inviargliele. </p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><blockList><listIntroduction eId="art_4/para_3/listintro"> Le analisi dei rischi si riferiscono ai seguenti obiettivi di sicurezza:</listIntroduction><item eId="art_4/para_3/lbl_a"><num>a. </num><p>garantire la correttezza del risultato;</p></item><item eId="art_4/para_3/lbl_b"><num>b. </num><p>tutelare il segreto del voto ed escludere risultati parziali anticipati;</p></item><item eId="art_4/para_3/lbl_c"><num>c. </num><p>assicurare la raggiungibilità e la funzionalità del voto elettronico;</p></item><item eId="art_4/para_3/lbl_d"><num>d. </num><p>proteggere le informazioni personali sugli aventi diritto di voto;</p></item><item eId="art_4/para_3/lbl_e"><num>e. </num><p>proteggere da manipolazioni le informazioni destinate agli aventi diritto di voto;</p></item><item eId="art_4/para_3/lbl_f"><num>f. </num><p>escludere l’utilizzo abusivo di riscontri sul comportamento di voto.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_4"><num>4</num><content><blockList><listIntroduction eId="art_4/para_4/listintro"> Ogni rischio viene identificato e descritto chiaramente, mediante la documentazione relativa al sistema e al suo esercizio, per quanto concerne le seguenti caratteristiche:</listIntroduction><item eId="art_4/para_4/lbl_a"><num>a. </num><p>gli obiettivi di sicurezza;</p></item><item eId="art_4/para_4/lbl_b"><num>b. </num><p>eventuali serie di dati connesse agli obiettivi di sicurezza;</p></item><item eId="art_4/para_4/lbl_c"><num>c. </num><p>le minacce; </p></item><item eId="art_4/para_4/lbl_d"><num>d. </num><p>i punti deboli.</p></item></blockList></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Requisiti posti alla verificabilità completa</heading><paragraph eId="art_5/para_1"><num>1</num><content><p> È garantito che ogni manipolazione che causa una falsificazione del risultato possa essere constatata tutelando il segreto del voto (verificabilità completa). Tale garanzia è ritenuta data se i requisiti posti alla verificabilità individuale e alla verificabilità universale sono adempiuti.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><blockList><listIntroduction eId="art_5/para_2/listintro"> Sono posti alla verificabilità individuale i seguenti requisiti:</listIntroduction><item eId="art_5/para_2/lbl_a"><num>a. </num><p>ai votanti è data la possibilità di constatare se il loro voto, così come lo hanno immesso nella piattaforma utente, è stato manipolato sulla piattaforma utente o intercettato sulla via di trasmissione; a tal fine i votanti ricevono una nota di conferma secondo cui la parte affidabile del sistema (art. 8) ha registrato il voto, così come essi lo hanno immesso nella piattaforma utente, quale voto espresso conformemente al sistema; tale nota conferma per ogni voto parziale la corretta registrazione; </p></item><item eId="art_5/para_2/lbl_b"><num>b. </num><p>dopo la chiusura del canale di voto elettronico gli aventi diritto di voto che non hanno votato elettronicamente possono richiedere, nei termini legali di ricorso, una nota di conferma secondo cui la parte affidabile del sistema non ha registrato alcun voto che sia stato espresso utilizzando i dati di autenticazione client dell’avente diritto di voto.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><blockList><listIntroduction eId="art_5/para_3/listintro"> Sono posti alla verificabilità universale i seguenti requisiti:</listIntroduction><item eId="art_5/para_3/lbl_a"><num>a. </num><blockList><listIntroduction eId="art_5/para_3/lbl_a/listintro">ai fini della verifica universale i verificatori ricevono una nota di conferma del corretto accertamento del risultato; la nota conferma che il risultato accertato considera i seguenti voti:</listIntroduction><item eId="art_5/para_3/lbl_a/lbl_1"><num>1. </num><p>tutti i voti espressi conformemente al sistema e registrati dalla parte affidabile del sistema,</p></item><item eId="art_5/para_3/lbl_a/lbl_2"><num>2. </num><p>soltanto i voti espressi conformemente al sistema,</p></item><item eId="art_5/para_3/lbl_a/lbl_3"><num>3. </num><p>tutti i voti parziali secondo la nota di conferma generata nell’ambito della verifica individuale;</p></item></blockList></item><item eId="art_5/para_3/lbl_b"><num>b. </num><p>i verificatori valutano la nota di conferma in un processo osservabile; a questo scopo devono avvalersi di ausili tecnici indipendenti e isolati dal resto del sistema.</p></item></blockList></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Validità delle note di conferma</heading><paragraph eId="art_6/para"><content><blockList><listIntroduction eId="art_6/para/listintro">Per la validità delle note di conferma di cui all’articolo 5 è determinante l’affidabilità:</listIntroduction><item eId="art_6/para/lbl_a"><num>a. </num><p>della parte affidabile del sistema, per le note di conferma di cui all’articolo 5 capoversi 2 e 3;</p></item><item eId="art_6/para/lbl_b"><num>b. </num><p>della procedura di produzione e stampa del materiale di voto, per le note di conferma di cui all’articolo 5 capoverso 2; e</p></item><item eId="art_6/para/lbl_c"><num>c. </num><p>dell’ausilio tecnico impiegato dai verificatori per la verifica, per le note di conferma di cui all’articolo 5 capoverso 3.</p></item></blockList></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</heading><paragraph eId="art_7/para"><content><blockList><listIntroduction eId="art_7/para/listintro">Per la tutela del segreto del voto e l’esclusione di risultati parziali anticipati all’interno dell’infrastruttura sono determinanti:</listIntroduction><item eId="art_7/para/lbl_a"><num>a. </num><p>l’affidabilità della parte affidabile del sistema;</p></item><item eId="art_7/para/lbl_b"><num>b. </num><p>l’affidabilità della procedura di produzione e stampa del materiale di voto.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Requisiti posti alla parte affidabile del sistema</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> La parte affidabile del sistema comprende uno o più gruppi di componenti di controllo. </p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Le note di conferma sono valide (art. 6) e il segreto del voto è tutelato (art. 7) anche qualora per ogni gruppo solo una delle componenti di controllo funzioni correttamente.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> L’affidabilità della parte affidabile del sistema è garantita grazie alla diversa configurazione delle componenti di controllo e all’indipendenza del loro esercizio e della loro sorveglianza.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Misure supplementari per ridurre i rischi</heading><paragraph eId="art_9/para"><content><p>Qualora, nonostante le misure prese, i rischi non risultino sufficientemente bassi, occorre adottare misure supplementari per ridurli. Ciò vale in particolare anche quando tutti i requisiti dell’allegato sono già adempiuti.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Requisiti posti alla verifica</heading><paragraph eId="art_10/para_1"><num>1</num><content><blockList><listIntroduction eId="art_10/para_1/listintro"> Enti indipendenti verificano su incarico della Cancelleria federale:</listIntroduction><item eId="art_10/para_1/lbl_a"><num>a. </num><p>il protocollo crittografico (n. 26.1 dell’allegato);</p></item><item eId="art_10/para_1/lbl_b"><num>b. </num><p>il software del sistema (n. 26.2 dell’allegato);</p></item><item eId="art_10/para_1/lbl_c"><num>c. </num><p>la sicurezza dell’infrastruttura e dell’esercizio (n. 26.3 dell’allegato);</p></item><item eId="art_10/para_1/lbl_d"><num>d. </num><p>la protezione da tentativi di introdursi nell’infrastruttura (n. 26.4 dell’allegato).</p></item></blockList></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Il Cantone garantisce che il gestore del sistema disponga di un sistema di gestione di sicurezza dell’informazione (ISMS) e che questo venga verificato da enti indipendenti (n. 26.5 dell’allegato). L’ISMS comprende almeno i processi e l’infrastruttura del gestore del sistema rilevanti per raggiungere gli obiettivi di sicurezza.</p></content></paragraph><paragraph eId="art_10/para_3"><num>3</num><content><p> Il Cantone garantisce che la Cancelleria federale e gli enti indipendenti da essa incaricati dello svolgimento delle verifiche di cui al capoverso 1 abbiano accesso al sistema e ai documenti necessari.</p></content></paragraph><paragraph eId="art_10/para_4"><num>4</num><content><p> Le autorità competenti per le verifiche secondo i capoversi 1 e 2 pubblicano gli attestati e i certificati. Se rilevanti per la comprensibilità, vanno pubblicati anche altri documenti. Non devono necessariamente essere pubblicati documenti o parti di documenti se sussistono motivi per una deroga, fondata in particolare sul diritto in materia di trasparenza o di protezione dei dati.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Pubblicazione del codice sorgente e della documentazione relativa al sistema e al suo esercizio</heading><paragraph eId="art_11/para_1"><num>1</num><content><blockList><listIntroduction eId="art_11/para_1/listintro"> Il Cantone provvede affinché i seguenti documenti siano pubblicati:</listIntroduction><item eId="art_11/para_1/lbl_a"><num>a. </num><p>il codice sorgente del software del sistema, inclusi i file contenenti parametri rilevanti;</p></item><item eId="art_11/para_1/lbl_b"><num>b. </num><p>una prova che i programmi leggibili da una macchina siano stati elaborati a partire dal codice sorgente del software pubblicato;</p></item><item eId="art_11/para_1/lbl_c"><num>c. </num><p>la documentazione del software;</p></item><item eId="art_11/para_1/lbl_d"><num>d. </num><p>la documentazione del processo di sviluppo;</p></item><item eId="art_11/para_1/lbl_e"><num>e. </num><p>guide e documentazioni complementari di cui le persone con conoscenze specialistiche necessitano per poter compilare, far funzionare e analizzare il sistema nella propria infrastruttura a partire dal codice sorgente;</p></item><item eId="art_11/para_1/lbl_f"><num>f. </num><p>le specifiche tecniche delle principali componenti del sistema;</p></item><item eId="art_11/para_1/lbl_g"><num>g. </num><p>la documentazione dei processi per l’esercizio, la manutenzione e la sicurezza del sistema;</p></item><item eId="art_11/para_1/lbl_h"><num>h. </num><p>informazioni e descrizioni relative alle lacune conosciute.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><blockList><listIntroduction eId="art_11/para_2/listintro"> Non devono necessariamente essere pubblicati:</listIntroduction><item eId="art_11/para_2/lbl_a"><num>a. </num><p>il codice sorgente di componenti terzi quali sistemi operativi, banche dati, server web e server di applicazioni, sistemi di gestione dei diritti, firewall e router, per quanto tali componenti siano ampiamente diffuse e siano costantemente aggiornate;</p></item><item eId="art_11/para_2/lbl_b"><num>b. </num><p>il codice sorgente di portali di autorità vincolati al sistema;</p></item><item eId="art_11/para_2/lbl_c"><num>c. </num><p>documenti o parti di documenti per i quali sussistono motivi per una deroga all’obbligo di pubblicazione, fondata in particolare sul diritto in materia di trasparenza o di protezione dei dati. </p></item></blockList></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Modalità di pubblicazione</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> I documenti da pubblicare secondo l’articolo 11 devono essere preparati e muniti di documentazione in modo tale che possano essere letti e analizzati nella maniera più semplice possibile.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><blockList><listIntroduction eId="art_12/para_2/listintro"> Per consentire una verifica da parte del pubblico, tali documenti devono essere: </listIntroduction><item eId="art_12/para_2/lbl_a"><num>a. </num><p>ottenibili via Internet in modo semplice, gratuito e senza registrazione; e</p></item><item eId="art_12/para_2/lbl_b"><num>b. </num><p>disponibili tempestivamente prima dell’impiego previsto del sistema.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Chiunque può esaminare, modificare, compilare ed eseguire il codice sorgente a scopi ideali nonché redigere studi in proposito. Può pubblicare studi e conoscenze sulle lacune. Può in particolare consultarsi con altre persone ai fini della ricerca di lacune e in tale contesto citare le informazioni pubblicate.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><blockList><listIntroduction eId="art_12/para_4/listintro"> Il proprietario del codice sorgente può:</listIntroduction><item eId="art_12/para_4/lbl_a"><num>a. </num><p>autorizzare l’utilizzo del codice per altri fini;</p></item><item eId="art_12/para_4/lbl_b"><num>b. </num><p>stabilire condizioni specifiche per la trasmissione di segnalazioni volte a migliorare il sistema; in tale contesto può intimare di segnalare immediatamente le lacune e di rispettare un dato termine prima di pubblicare presunte lacune.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_5"><num>5</num><content><p> Se stabilisce condizioni di utilizzo per il codice sorgente e la documentazione oppure condizioni di cui al capoverso 4 lettera b, il proprietario può perseguire le violazioni delle stesse civilmente o penalmente soltanto se qualcuno utilizza il codice sorgente o parti di esso per scopi commerciali o di produzione. Le condizioni di utilizzo e le condizioni di cui al capoverso 4 indicano questo aspetto.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Coinvolgimento del pubblico </heading><paragraph eId="art_13/para_1"><num>1</num><content><blockList><listIntroduction eId="art_13/para_1/listintro"> Il Cantone designa un organo al quale le persone interessate possano trasmettere segnalazioni volte a migliorare il sistema, tra cui:</listIntroduction><item eId="art_13/para_1/lbl_a"><num>a. </num><p>segnalazioni di lacune nei documenti pubblicati secondo l’articolo 11; </p></item><item eId="art_13/para_1/lbl_b"><num>b. </num><p>segnalazioni sulla base di prove d’intrusione nel sistema online effettuate nel quadro di test pubblici.</p></item></blockList></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p> L’organo di cui al capoverso 1 valuta le segnalazioni e informa i segnalatori circa la propria valutazione ed eventuali misure adottate sulla base delle segnalazioni. Queste informazioni sono pubblicate.</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p> Il Cantone provvede affinché le segnalazioni che si riferiscono alla sicurezza e contribuiscono a migliorare il sistema siano remunerate adeguatamente.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Responsabilità e competenze per il corretto svolgimento degli scrutini per via elettronica</heading><paragraph eId="art_14/para_1"><num>1</num><content><p> Il Cantone si assume la responsabilità globale per il corretto svolgimento degli scrutini per via elettronica. </p></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p> Deve eseguire da sé compiti importanti. Può delegare a organizzazioni esterne lo sviluppo del software impiegato, compiti legati all’esercizio e la comunicazione per le questioni legate al funzionamento.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><blockList><listIntroduction eId="art_14/para_3/listintro"> Designa un organo a livello cantonale che si assume la responsabilità globale e che esegue in particolare i seguenti compiti:</listIntroduction><item eId="art_14/para_3/lbl_a"><num>a. </num><p>definire una direttiva sovraordinata in materia di sicurezza dell’informazione;</p></item><item eId="art_14/para_3/lbl_b"><num>b. </num><p>definire una direttiva in materia di classificazione ed elaborazione delle informazioni per le risorse informative identificate; </p></item><item eId="art_14/para_3/lbl_c"><num>c. </num><p>definire una direttiva in materia di gestione dei rischi;</p></item><item eId="art_14/para_3/lbl_d"><num>d. </num><p>definire e attuare misure per il rispetto delle direttive di cui alle lettere a–c;</p></item><item eId="art_14/para_3/lbl_e"><num>e. </num><p>incaricare un gestore del sistema e definire i requisiti posti alla sua sorveglianza e verifica; </p></item><item eId="art_14/para_3/lbl_f"><num>f. </num><p>definire scadenze per l’esecuzione di atti e operazioni critici; </p></item><item eId="art_14/para_3/lbl_g"><num>g. </num><p>sorvegliare e verificare i lavori del gestore del sistema;</p></item><item eId="art_14/para_3/lbl_h"><num>h. </num><p>accompagnare e istruire i verificatori; </p></item><item eId="art_14/para_3/lbl_i"><num>i. </num><p>valutare e comunicare la correttezza del risultato dello scrutinio sulla base delle note di conferma di cui all’articolo 5 e di altri indicatori.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_4"><num>4</num><content><p> Gli organi preposti all’esercizio si assumono nei confronti del Cantone la responsabilità per l’approntamento e la gestione degli aspetti tecnici legati agli scrutini per via elettronica.</p></content></paragraph><paragraph eId="art_14/para_5"><num>5</num><content><p> I verificatori competenti secondo il diritto cantonale si assumono la responsabilità per l’esercizio dei loro ausili tecnici.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Documenti relativi alle domande</heading><paragraph eId="art_15/para_1"><num>1</num><content><blockList><listIntroduction eId="art_15/para_1/listintro"> Alle domande di cui all’articolo 27<i>e</i> ODP vanno allegati informazioni sugli impieghi previsti del voto elettronico e documenti sull’adempimento dei requisiti legali. Tra questi rientrano in particolare:</listIntroduction><item eId="art_15/para_1/lbl_a"><num>a. </num><p>analisi attuali dei rischi secondo l’articolo 4, incluse le indicazioni necessarie per la comprensibilità;</p></item><item eId="art_15/para_1/lbl_b"><num>b. </num><p>certificati e relativi allegati che sono stati realizzati nel quadro delle verifiche di cui all’articolo 10 capoverso 2 e informazioni concernenti la loro pubblicazione secondo l’articolo 10 capoverso 4;</p></item><item eId="art_15/para_1/lbl_c"><num>c. </num><p>informazioni concernenti la pubblicazione di documenti secondo l’articolo 11 e le segnalazioni da parte del pubblico secondo l’articolo 13;</p></item><item eId="art_15/para_1/lbl_d"><num>d. </num><p>verbali relativi a test svolti dal Cantone e segnalazioni di lacune esistenti nel sistema;</p></item><item eId="art_15/para_1/lbl_e"><num>e. </num><p>la motivazione ed eventuali misure per le deroghe secondo l’articolo 16 capoverso 2.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Nel caso dei documenti di cui al capoverso 1 che la Cancelleria federale ha già ricevuto e che sono ancora validi, è possibile limitarsi a un rimando.</p></content></paragraph></article><article eId="art_16"><num><b>Art. 16</b></num><heading>Ulteriori disposizioni</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> I requisiti dettagliati di natura tecnica e amministrativa posti al voto elettronico sono disciplinati nell’allegato.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><blockList><listIntroduction eId="art_16/para_2/listintro"> In casi eccezionali la Cancelleria federale può esonerare un Cantone dall’adempimento di singoli requisiti, sempre che:</listIntroduction><item eId="art_16/para_2/lbl_a"><num>a. </num><p>i requisiti non adempiuti siano indicati nella domanda;</p></item><item eId="art_16/para_2/lbl_b"><num>b. </num><p>l’eccezione sia motivata in modo comprensibile; e</p></item><item eId="art_16/para_2/lbl_c"><num>c. </num><p>il Cantone descriva eventuali misure alternative e, per quanto riguarda l’analisi dei rischi, indichi i motivi per cui valuta tali rischi come sufficientemente bassi.</p></item></blockList></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Abrogazione di un altro atto normativo </heading><paragraph eId="art_17/para"><content><p>L’ordinanza della CaF del 13 dicembre 2013<authorialNote><p> [<ref href="https://fedlex.data.admin.ch/eli/oc/2013/859" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2013</b> 5371</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2018/321" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2018</b> 2279</ref>]</p></authorialNote> concernente il voto elettronico è abrogata. </p></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Entrata in vigore</heading><paragraph eId="art_18/para"><content><p>La presente ordinanza entra in vigore il 1° luglio 2022.</p></content></paragraph></article></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="en" value="Federal Chancellery Ordinance of 25 May 2022 on Electronic Voting (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="de" value="Verordnung der BK vom 25. Mai 2022 über die elektronische Stimmabgabe (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="fr" value="Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE)" shortForm="OVotE"/><FRBRname xml:lang="it" value="Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE)" shortForm="OVE"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/it/xml"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Allegato</block></container></preface><mainBody><p>(art. 2 cpv. 1 lett. k e 2, 9, 10 cpv. 1 e 2 nonché 16 cpv. 1)</p><level eId="annex_u1/lvl_u1"><heading>Requisiti tecnici e amministrativi <br/>posti al voto elettronico</heading><level eId="annex_u1/lvl_u1/lvl_1"><num>1.</num><heading>Definizioni</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/listintro">Oltre alle definizioni di cui all’articolo 2, si intende per:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1"><num>1.1. </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/listintro"><i>tutela del segreto del voto:</i> situazione in cui nessuna persona o componente dispone dei seguenti dati:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_1"><num>1.1.1 </num><p>voti espressi o dati che permettono di risalire al contenuto dei voti espressi,</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_2"><num>1.1.2 </num><p>dati che permettono di identificare i votanti (dati sugli aventi diritto di voto), e</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_3"><num>1.1.3 </num><p>dati che permettono di associare i dati sugli aventi diritto di voto ai voti espressi;</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_2"><num>1.2 </num><p><i>esclusione di risultati parziali anticipati:</i> situazione in cui nessuna persona o componente dispone in anticipo dei voti espressi o di dati che permettono di risalire ai voti espressi;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_3"><num>1.3 </num><p><i>riferimento di verifica:</i> un documento, inviato assieme al materiale di voto, che permette agli aventi diritto di voto di verificare, secondo l’articolo 5 capoverso 2 in combinato disposto con il numero 2.5 dell’allegato, se il loro voto è stato espresso correttamente (p. es. un elenco in cui a ogni possibilità di risposta è associato un codice); </p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_4"><num>1.4 </num><p><i>aggressore esterno:</i> una persona o un gruppo di persone che non si occupa dello sviluppo e dell’esercizio del sistema, che dispone di risorse e conoscenze specialistiche medie e da cui parte un’aggressione; le sue motivazioni possono comprendere l’attivismo e il profitto finanziario; </p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_5"><num>1.5 </num><p><i>aggressore interno:</i> una persona o un gruppo di persone che partecipa allo sviluppo o all’esercizio del sistema e da cui parte un’aggressione; le sue motivazioni possono comprendere l’attivismo, il profitto finanziario e l’intenzione di danneggiare il proprio datore di lavoro; </p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_6"><num>1.6 </num><p><i>organizzazione nemica: </i>un gruppo di persone che dispone di ampie risorse e di conoscenze specialistiche al di sopra della media e da cui parte un’aggressione; può anche essere sostenuta da uno Stato; tra le sue motivazioni possono esservi l’ottenimento di dati per la profilazione e l’intenzione di disturbare uno scrutinio o di influenzarne i risultati;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_7"><num>1.7 </num><p><i>aggressore:</i> una persona, un gruppo di persone o un’organizzazione di cui ai numeri 1.4–1.6; </p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_8"><num>1.8 </num><p><i>urna elettronica: </i>un’area dati in cui i voti espressi possono essere memorizzati fino alla decrittazione e allo spoglio;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_9"><num>1.9 </num><p><i>protocollo del sistema:</i> protocollo realizzato dagli elementi dell’infrastruttura per sorvegliare l’esercizio del sistema e indagare sugli incidenti.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_2"><num>2.</num><heading>Requisiti posti al protocollo crittografico per la verificabilità completa (art. 5)</heading><content><blockList eId="annex_u1/lvl_u1/lvl_2/list_u1"><item eId="annex_u1/lvl_u1/lvl_2/list_u1/lbl_2_1"><num>2.1 </num><p>Partecipanti al sistema</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u2"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u2/listintro">Il protocollo crittografico disciplina i compiti dei seguenti partecipanti astratti al sistema:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u1"><num>− </num><p>avente diritto di voto / votante</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u2"><num>− </num><p>piattaforma utente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u3"><num>− </num><p>componente di setup</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u4"><num>− </num><p>sistema non affidabile (qualsiasi componente diversa dalle componenti elencate in questo numero; sistema NA)</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u5"><num>− </num><p>componente di stampa</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u6"><num>− </num><p>uno o più gruppi di componenti di controllo</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u7"><num>− </num><p>verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u8"><num>− </num><p>ausilio tecnico dei verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/lbl_2_2"><num>2.2 </num><p>Canali di comunicazione</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u3"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/listintro">Il protocollo crittografico può prevedere i seguenti canali di comunicazione per lo scambio di messaggi tra i partecipanti al sistema:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u1"><num>− </num><p>avente diritto di voto / votante ↔ piattaforma utente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u2"><num>− </num><p>piattaforma utente ↔ sistema NA</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u3"><num>− </num><p>componente di setup ↔ sistema NA</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u4"><num>− </num><p>componente di controllo ↔ sistema NA</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u5"><num>− </num><p>sistema NA → componente di stampa</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u6"><num>− </num><p>sistema NA → ausilio tecnico dei verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u7"><num>− </num><p>componente di stampa → avente diritto di voto / votante</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u8"><num>− </num><p>componente di setup → ausilio tecnico dei verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u9"><num>− </num><p>verificatori ↔ ausilio tecnico dei verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u10"><num>− </num><p>canali bidirezionali per la comunicazione tra le componenti di controllo</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3"><num>2.3 </num><p>Aggressore </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_1"><num>2.3.1 </num><p>Il protocollo crittografico deve proteggere da un aggressore che tenti di influenzare abusivamente i voti e il risultato, di violare il segreto del voto o di rilevare anticipatamente risultati parziali (n. 2.5–2.8). </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2"><num>2.3.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/listintro">Occorre presumere che un aggressore disponga delle seguenti capacità:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/bull_u1"><num>− </num><p>è in grado di controllare tutti i partecipanti non affidabili al sistema (cfr. n. 2.4) in modo tale che condividano con esso tutti i dati segreti e agiscano illimitatamente secondo le sue istruzioni; </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/bull_u2"><num>− </num><p>è in grado di leggere e sopprimere tutti i messaggi scambiati mediante canali non affidabili e di inserirvi a sua volta messaggi a piacere.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4"><num>2.4 </num><p>Partecipanti al sistema e canali di comunicazione affidabili e non affidabili</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_1"><num>2.4.1 </num><p>I partecipanti al sistema e i canali di comunicazione sono considerati «affidabili» o «non affidabili». Le ipotesi di affidabilità ammesse per i singoli partecipanti al sistema sono disciplinate al numero 2.9.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2"><num>2.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/listintro">I partecipanti al sistema e i canali di comunicazione affidabili sono considerati protetti contro gli aggressori. Per il protocollo crittografico si possono assumere segnatamente le seguenti ipotesi:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/bull_u1"><num>− </num><p>I partecipanti al sistema affidabili tengono sotto chiave i dati confidenziali e svolgono esclusivamente le operazioni prescritte dal protocollo crittografico.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/bull_u2"><num>− </num><p>I canali di comunicazione affidabilitengono sotto chiave i messaggi trasmessi e li proteggono da manipolazioni. </p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_5"><num>2.5 </num><p>Requisiti posti al protocollo crittografico: verificabilità individuale</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u4"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u4/listintro">Gli aventi diritto di voto ricevono note di conferma secondo l’articolo 5 capoverso 2 in combinato disposto con l’articolo 6 lettere a e b che confermano che un aggressore:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u4/bull_u1"><num>− </num><p>prima della registrazione come voto espresso conformemente al sistema, non ha modificato o sottratto alcun voto parziale dell’avente diritto di voto; </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u4/bull_u2"><num>− </num><p>non ha espresso abusivamente a nome dell’avente diritto alcun voto successivamente registrato e conteggiato quale voto espresso conformemente al sistema.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u4/lbl_2_6"><num>2.6 </num><p>Requisiti posti al protocollo crittografico: verificabilità universale</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u5"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u5/listintro">I verificatori ricevono note di conferma secondo l’articolo 5 capoverso 3 lettera a in combinato disposto con l’articolo 6 lettere a e c che confermano che un aggressore:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u5/bull_u1"><num>− </num><p>dopo che i voti sono stati registrati quali voti espressi conformemente al sistema, non ha modificato o sottratto alcun voto parziale fino al calcolo del risultato;</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/bull_u2"><num>− </num><p>non ha inserito alcun voto o voto parziale non espresso conformemente al sistema che sia stato considerato nel calcolare il risultato. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7"><num>2.7 </num><p>Requisiti posti al protocollo crittografico: tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_1"><num>2.7.1 </num><p>Deve essere garantito che un aggressore non possa né violare il segreto del voto né rilevare anticipatamente risultati parziali senza porre inoltre sotto il proprio controllo gli aventi diritto di voto o le loro piattaforme utente. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_2"><num>2.7.2 </num><p>Non vi è alcun obbligo di impedire aggressioni mediante le quali il numero dei voti conteggiati è limitato in modo tale che tutti i voti parziali per un oggetto in votazione, una lista o un candidato siano dello stesso tenore.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_3"><num>2.7.3 </num><p>Deve essere garantito che un aggressore non possa porre di nascosto sotto il proprio controllo le piattaforme utente manipolando sul server il software per le piattaforme utente. I votanti devono avere la possibilità di verificare se la loro piattaforma utente ha ricevuto dal server il software corretto con i parametri corretti, in particolare con la chiave pubblica per crittare il voto. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_8"><num>2.8 </num><p>Requisiti posti al protocollo crittografico: autenticazione efficace</p></item></blockList><p>Deve essere garantito che un aggressore non possaesprimere un voto conformemente al sistema senza porre sotto il proprio controllo i corrispondenti aventi diritto di voto.</p><blockList eId="annex_u1/lvl_u1/lvl_2/list_u6"><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9"><num>2.9 </num><p>Elenco dei partecipanti al sistema affidabili e non affidabili</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1"><num>2.9.1 </num><p>Per la validità delle note di conferma secondo il numero 2.5</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1"><num>2.9.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/listintro">I seguenti partecipanti al sistema sono considerati non affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u1"><num>− </num><p>piattaforma utente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u2"><num>− </num><p>sistema NA </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u3"><num>− </num><p>tre delle quattro componenti di controllo per ciascun gruppo, fermo restando che le tre componenti non vanno designate</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u4"><num>− </num><p>una quota significativa di aventi diritto di voto</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u5"><num>− </num><p>verificatori </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u6"><num>− </num><p>ausili tecnici dei verificatori</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2"><num>2.9.1.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/listintro">I seguenti partecipanti al sistema possono essere considerati affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u1"><num>− </num><p>componente di setup</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u2"><num>− </num><p>componente di stampa</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u3"><num>− </num><p>una delle quattro componenti di controllo per ciascun gruppo, fermo restando che la componente non va designata</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2"><num>2.9.2 </num><p>Per la validità delle note di conferma secondo il numero 2.6</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1"><num>2.9.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/listintro">I seguenti partecipanti al sistema sono considerati non affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u1"><num>− </num><p>piattaforma utente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u2"><num>− </num><p>sistema NA </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u3"><num>− </num><p>tre delle quattro componenti di controllo per ciascun gruppo, fermo restando che le tre componenti non vanno designate</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u4"><num>− </num><p>una quota significativa di aventi diritto di voto</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u5"><num>− </num><p>componente di setup</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u6"><num>− </num><p>componente di stampa</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2"><num>2.9.2.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/listintro">I seguenti partecipanti al sistema possono essere considerati affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u1"><num>− </num><p>una delle quattro componenti di controllo per ciascun gruppo, fermo restando che la componente non va designata</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u2"><num>− </num><p>un verificatore di un gruppo, fermo restando che il verificatore non va designato</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u3"><num>− </num><p>un ausilio tecnico di un verificatore affidabile, fermo restando che l’ausilio tecnico non va designato</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3"><num>2.9.3 </num><p>Per la tutela del segreto del voto e l’esclusione di risultati parziali anticipati secondo il numero 2.7</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1"><num>2.9.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/listintro">I seguenti partecipanti al sistema sono considerati non affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u1"><num>− </num><p>sistema NA </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u2"><num>− </num><p>tre delle quattro componenti di controllo per ciascun gruppo, fermo restando che le tre componenti non vanno designate</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u3"><num>− </num><p>una quota significativa di aventi diritto di voto</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u4"><num>− </num><p>verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u5"><num>− </num><p>ausili tecnici dei verificatori</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2"><num>2.9.3.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/listintro">I seguenti partecipanti al sistema possono essere considerati affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u1"><num>− </num><p>componente di setup</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u2"><num>− </num><p>componente di stampa</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u3"><num>− </num><p>piattaforma utente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u4"><num>− </num><p>una delle quattro componenti di controllo per ciascun gruppo, fermo restando che la componente non va designata </p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_3"><num>2.9.3.3 </num><p>Se un gruppo completo di componenti di controllo viene impiegato presso un gestore privato del sistema, nessuna di tali componenti di controllo è considerata affidabile. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4"><num>2.9.4 </num><p>Per l’efficacia dell’autenticazione secondo il numero 2.8</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1"><num>2.9.4.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/listintro">I seguenti partecipanti al sistema sono considerati non affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u1"><num>− </num><p>sistema NA </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u2"><num>− </num><p>tre delle quattro componenti di controllo per ciascun gruppo, fermo restando che le tre componenti non vanno designate</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u3"><num>− </num><p>una quota significativa di aventi diritto di voto</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u4"><num>− </num><p>verificatori </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u5"><num>− </num><p>ausili tecnici dei verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u6"><num>− </num><p>piattaforma utente</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2"><num>2.9.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/listintro">I seguenti partecipanti al sistema possono essere considerati affidabili:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u1"><num>− </num><p>componente di setup</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u2"><num>− </num><p>componente di stampa</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u3"><num>− </num><p>una delle quattro componenti di controllo per ciascun gruppo, fermo restando che la componente non va designata</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10"><num>2.10 </num><p>Elenco dei canali di comunicazione affidabili e non affidabili</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1"><num>2.10.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/listintro">I seguenti canali di comunicazione sono considerati non affidabili: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u1"><num>− </num><p>piattaforma utente ↔ sistema NA</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u2"><num>− </num><p>componente di setup ↔ sistema NA</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u3"><num>− </num><p>componente di controllo ↔ sistema NA </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u4"><num>− </num><p>sistema NA → componente di stampa</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u5"><num>− </num><p>sistema NA → ausilio tecnico dei verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u6"><num>− </num><p>canali bidirezionali per la comunicazione tra le componenti di controllo</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2"><num>2.10.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/listintro">I seguenti canali di comunicazione possono essere considerati affidabili: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u1"><num>− </num><p>avente diritto di voto / votante ↔ piattaforma utente</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u2"><num>− </num><p>ausilio tecnico dei verificatori ↔ verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u3"><num>− </num><p>componente di setup → ausilio tecnico dei verificatori</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u4"><num>− </num><p>componente di stampa → avente diritto di voto / votante</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11"><num>2.11 </num><p>Requisiti supplementari posti alla validità delle note di conferma</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_1"><num>2.11.1 </num><p>La probabilità che un aggressore possa falsificare una nota di conferma secondo il numero 2.5 quando modifica un voto parziale, sottrae un voto parziale o esprime un voto a nome d’altri può essere al massimo dello 0,1 per cento.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_2"><num>2.11.2 </num><p>La probabilità che un aggressore possa falsificare una nota di conferma secondo il numero 2.6 quando fa in modo, modificando e sottraendo voti espressi conformemente al sistema e inserendo voti non espressi conformemente al sistema, che il risultato calcolato diverga dello 0,1 per cento dal risultato corretto può essere al massimo dell’1 per cento per ogni oggetto in votazione, elezione di lista o elezione di candidati.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_3"><num>2.11.3 </num><p>Se la probabilità che un aggressore possa falsificare una nota di conferma secondo il numero 2.6 non è trascurabile in senso crittografico<authorialNote><p> Corrisponde più o meno alla probabilità di decrittare, senza conoscerne la chiave,  un valore che è stato crittato con un algoritmo ritenuto sicuro e usando i corrispondenti parametri.</p></authorialNote>, la probabilità di successo deve poter essere ridotta a piacere mediante uno spoglio ripetuto e facendo in modo che i verificatori ricevano per ogni spoglio una nota di conferma secondo il numero 2.6 supplementare e indipendente.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12"><num>2.12 </num><p>Requisiti funzionali posti al processo dell’espressione del voto con ripercussioni sul protocollo crittografico</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_1"><num>2.12.1 </num><p>Con le caratteristiche di autenticazione attribuite a un avente diritto di voto può essere espresso un solo voto.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_2"><num>2.12.2 </num><p>Il votante immette il proprio voto nella piattaforma utente.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_3"><num>2.12.3 </num><p>Fino al momento in cui dichiara la volontà di esprimere il proprio voto, il votante può modificarlo e verificarlo mediante una panoramica.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_4"><num>2.12.4 </num><p>Dopo aver avuto la possibilità di verificare il voto mediante la panoramica, il votante dichiara sulla piattaforma utente di voler esprimere il voto nella forma immessa.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_5"><num>2.12.5 </num><p>Le note di conferma per la corretta espressione del voto secondo il numero 2.5 devono essere strutturate in almeno due note di conferma parziali e sequenziali. Ogni visualizzazione rappresentata quale nota di conferma parziale deve rappresentare un autentico contributo alla validità della nota di conferma secondo il numero 2.5. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_6"><num>2.12.6 </num><p>La piattaforma utente visualizza al votante la prima nota di conferma parziale dopo che esso ha dichiarato sulla piattaforma utente di voler esprimere il voto. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_7"><num>2.12.7 </num><p>La piattaforma utente visualizza al votante la successiva nota di conferma parziale soltanto dopo che esso ha confermato, mediante una dichiarazione sulla piattaforma utente, la correttezza della nota di conferma parziale precedente.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_8"><num>2.12.8 </num><p>Confermando la correttezza della penultima nota di conferma parziale, il votante dichiara la volontà di esprimere il voto definitivamente. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_9"><num>2.12.9 </num><p>Il gruppo di componenti di controllo registra il voto come espresso conformemente al sistema se ha ricevuto la conferma che il votante vuole esprimere il voto definitivamente. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_10"><num>2.12.10 </num><p>Se il votante ha verificato l’ultima nota di conferma parziale con esito positivo, l’espressione del voto è conclusa. L’ultima nota di conferma parziale deve poter essere verificata in modo particolarmente facile limitando possibilmente la verifica alla corretta visualizzazione di un unico codice o a un’altra visualizzazione semplice.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_11"><num>2.12.11 </num><p>A partire dal momento in cui si importano dati sul voto, una componente di setup o una componente di stampa non è più considerata affidabile.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13"><num>2.13 </num><p>Requisiti posti alla definizione e alla descrizione del protocollo crittografico</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_1"><num>2.13.1 </num><p>Se possibile si usano elementi crittografici diffusi a livello mondiale e verificati approfonditamente da persone competenti. A titolo di orientamento si può ricorrere a standard, progetti di riferimento e pubblicazioni scientifiche. Le deroghe e i casi dubbi vanno trattati separatamente nel quadro dell’analisi dei rischi di cui all’articolo 4.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_2"><num>2.13.2 </num><p>Le istruzioni operative devono essere sufficientemente specificate: le singole istruzioni operative devono limitare le possibilità attuative in misura tale che ogni attuazione consentita dall’istruzione sia pure conforme all’adempimento dei requisiti posti al protocollo crittografico.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_3"><num>2.13.3 </num><p>I canali affidabili possono essere utilizzati per la distribuzione di certificati elettronici tra i partecipanti al sistema. Si applica il numero 3.8.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14"><num>2.14 </num><p>Note di conformità sull’adempimento dei requisiti posti al protocollo crittografico</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_1"><num>2.14.1 </num><p>Una nota di conformità simbolica e una nota di conformità crittografica devono attestare che il protocollo crittografico adempie i requisiti di cui ai numeri 2.1–2.12.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_2"><num>2.14.2 </num><p>Le note di conformità devono riferirsi direttamente alla descrizione del protocollo che serve da base per lo sviluppo del sistema. </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_3"><num>2.14.3 </num><p>Riguardo alle componenti di base crittografiche, le note di conformità possono essere designate quali ipotesi e costruzioni di sicurezza generalmente riconosciute (p. es. «random oracle model», «decisional Diffie-Hellman assumption», «Fiat-Shamir heuristic»). </p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_3"><num>3.</num><heading>Requisiti posti alle componenti affidabili secondo il numero 2 <br/>e al loro esercizio</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_1"><num>3.1 </num><p>L’esercizio della componente di setup e di almeno una componente di controllo del gruppo che comprende una parte della chiave per la decrittazione dei voti rientra nella competenza diretta del Cantone e deve svolgersi nella sua infrastruttura. Lo scorporo a un gestore privato del sistema non è ammesso.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_2"><num>3.2 </num><p>Per la scelta di valori aleatori segnatamente per le componenti di setup e le componenti di controllo deve essere garantito l’impiego di una sufficiente entropia. </p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_3"><num>3.3 </num><p>I verificatori devono verificare almeno una volta le note di conferma secondo il numero 2.6 e utilizzare a tale scopo un ausilio tecnico secondo il numero 2.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_4"><num>3.4 </num><p>I requisiti d’esercizio posti alle componenti di setup secondo il numero 3 valgono anche per gli ausili tecnici dei verificatori. Nei limiti della loro responsabilità, stabilita dal diritto cantonale, i verificatori possono prevedere deroghe.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_5"><num>3.5 </num><p>Eccezion fatta per le componenti menzionate ai numeri 3.1 e 3.3, il Cantone può delegare l’esercizio di qualsiasi parte del sistema, comprese le componenti di controllo e la componente di stampa, a fornitori di servizi privati. Un gestore privato della componente di stampa può svolgere esclusivamente compiti d’esercizio che costituiscono una premessa per la preparazione, l’imballaggio e l’invio. </p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_6"><num>3.6 </num><p>Le componenti affidabili (componenti di setup, componenti di stampa, ausili tecnici dei verificatori e componenti di controllo) vanno realizzate, aggiornate, configurate e assicurate in un processo osservabile.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_7"><num>3.7 </num><p>Prima dell’installazione di un software occorre verificare per tutti i programmi, mediante una base ufficiale affidabile, se i file corrispondono alla versione corretta e autentica.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_8"><num>3.8 </num><p>Nell’installazione di certificati elettronici di altri partecipanti al sistema l’autenticità deve essere garantita. A tal proposito occorre predisporre un processo manuale secondo cui le persone portano i certificati elettronici da una macchina all’altra mediante un supporto di dati fisico secondo il numero 3.13.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_9"><num>3.9 </num><p>Il momento dell’aggiornamento di tutto il software delle componenti affidabili va scelto in modo tale che i vantaggi attesi dall’aggiornamento prevalgano sui possibili pericoli.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_10"><num>3.10 </num><p>Le componenti di setup, le componenti di stampa e gli ausili tecnici dei verificatori che, in qualsivoglia forma, partecipano al trattamento di dati critici devono essere sorvegliati fisicamente, secondo il principio del doppio controllo, durante l’intero periodo di calcolo e fino alla cancellazione di eventuali dati critici o alla conservazione sicura. Possono essere collegati tra di loro tutt’al più mediante cavi fisici, affinché, per quanto possibile, sia evidente che nessun altro macchinario possa accedervi fino alla distruzione dei dati confidenziali.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_11"><num>3.11 </num><p>Per l’installazione o l’aggiornamento del software le componenti affidabili non devono essere collegate a Internet.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_12"><num>3.12 </num><p>In linea di principio i dati critici devono essere distrutti dopo il loro utilizzo. In alternativa, se vi sono motivi validi, è ammessa una conservazione sicura del supporto di dati.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_13"><num>3.13 </num><p>I supporti di dati per lo scambio o la conservazione dei dati, ad esempio le chiavette USB, devono essere rimossi dopo il caricamento dei dati nella componente affidabile e possono essere riutilizzati prima della distruzione dei dati soltanto se prima del caricamento dei dati non si trovavano dati critici sulla componente affidabile. </p></item><item eId="annex_u1/lvl_u1/lvl_3/bull_u14"><num/><p>Prima del loro utilizzo, i supporti di dati per lo scambio dei dati devono essere riformattati con l’aiuto di una componente gestita conformemente ai requisiti posti alle componenti affidabili; eventuali dati presenti sul supporto devono essere distrutti.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_14"><num>3.14 </num><p>Non deve essere possibile alcun accesso logico o fisico a componenti affidabili o a supporti di dati contenenti dati critici senza che un’altra persona se ne accorga; ad esempio, un’altra persona deve partecipare alla concessione dell’accesso (applicazione rigorosa del principio del doppio controllo). </p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15"><num>3.15 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/listintro">Un accesso non autorizzato ma andato a buon fine a una componente di controllo non deve possibilmente procurare alcun vantaggio nel tentativo di accedere di nascosto a un’altra componente di controllo. Oltre agli altri requisiti di cui al numero 3, vanno adempiuti a tale scopo i seguenti requisiti:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u1"><num>− </num><p>una persona che ha un accesso fisico o logico a una componente di controllo non deve avere accesso a un’altra componente di controllo; </p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u2"><num>− </num><p>l’hardware, i sistemi operativi e i sistemi di sorveglianza delle componenti di controllo devono per quanto possibile differenziarsi; </p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u3"><num>− </num><p>le componenti di controllo devono essere collegate a reti locali differenti; </p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u4"><num>− </num><p>una componente di controllo deve essere realizzata mediate un apparecchio fisico. Non è ammessa la virtualizzazione mediante più apparecchi fisici. </p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_16"><num>3.16 </num><p>Le componenti di controllo devono essere tali da riconoscere gli accessi non autorizzati e allarmare le persone responsabili. Queste ultime devono prevedere misure di sorveglianza esterne quali la sorveglianza e un protocollo resistente alle manipolazioni del traffico di rete o la sorveglianza fisica con telecamere sottoposte al loro controllo. Le persone responsabili devono essere considerate particolarmente affidabili e degne di fiducia.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_17"><num>3.17 </num><p>Le componenti affidabili possono eseguire esclusivamente le operazioni previste. </p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_18"><num>3.18 </num><p>Il software dell’ausilio tecnico dei verificatori deve essere acquistato presso uno sviluppatore di sistema diverso da quello che ha sviluppato la maggior parte del software degli altri elementi del sistema. La pubblicazione del software dell’ausilio tecnico al beneficio di una licenza che adempie i criteri applicabili ai programmi Open Source<authorialNote><p> Cfr. in merito la definizione nella «Guida pratica: programmi Open Source nell’Amministrazione federale» (disponibile in tedesco), versione 1.0 del 19.12.2019, cap. 1; ottenibile presso: Cancelleria federale svizzera, CH–3003 Berna; www.bk.admin &gt; Trasformazione digitale e governance delle TIC &gt; Architettura della Confederazione &gt; Open Source Software (OSS).</p></authorialNote> può motivare un’eccezione. Se i verificatori impiegano più ausili tecnici, la presente disposizione si applica ad almeno uno degli ausili tecnici.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_19"><num>3.19 </num><p>Per tutti i processi legati all’utilizzazione di componenti affidabili deve essere elaborata una documentazione scritta e facilmente comprensibile per le persone interessate.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_20"><num>3.20 </num><p>Di ogni accesso e utilizzazione di una componente affidabile o di un supporto di dati contenente dati critici deve essere realizzato un protocollo.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_4"><num>4.</num><heading>Procedura di voto</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_1"><num>4.1 </num><p>I votanti dichiarano di aver preso atto delle regole del voto elettronico e della propria responsabilità. </p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_2"><num>4.2 </num><p>Prima di esprimere il voto i votanti sono resi attenti sul fatto che, trasmettendo i loro voti elettronici, partecipano allo scrutinio come se esprimessero il voto per corrispondenza o di persona all’urna. I votanti possono esprimere il proprio voto soltanto dopo aver confermato che hanno preso atto di quanto precede.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_3"><num>4.3 </num><p>Al momento di esprimere il voto i votanti sono invitati a verificare le note di conferma secondo il numero 2.5 mediante il riferimento di autenticazione e di segnalare al Cantone eventuali dubbi sulla loro correttezza.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_4"><num>4.4 </num><p>Prima dell’espressione definitiva del voto elettronico gli aventi diritto possono ancora esprimere il proprio voto attraverso un canale di voto convenzionale. </p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_5"><num>4.5 </num><p>Il sistema client quale si presenta ai votanti non influenza le loro scelte. </p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_6"><num>4.6 </num><p>Le istruzioni fornite agli utenti non inducono a votare in modo precipitoso o senza riflettere. </p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_7"><num>4.7 </num><p>Il sistema non offre ai votanti alcuna funzione che permetta di stampare o memorizzare il proprio voto. </p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_8"><num>4.8 </num><p>Dopo l’espressione del voto, ai votanti non è visualizzata alcuna informazione sul voto crittato da loro espresso.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_9"><num>4.9 </num><p>Nel caso degli aventi diritto di voto che non possono esprimere un voto perché terzi lo esprimono utilizzando abusivamente il loro materiale di voto, i Cantoni possono ancora permettere l’espressione del voto dichiarando nullo il voto espresso abusivamente. La tutela del voto secondo il numero 2.7 va tutelata.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_10"><num>4.10 </num><p>Si possono prevedere agevolazioni per permettere agli aventi diritto di voto disabili di verificare la nota di conferma. Soltanto in un simile caso è possibile derogare ai requisiti di cui al numero 2.9.1. </p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_11"><num>4.11 </num><p>Fintanto che il sistema non ha registrato alcuna conferma dell’espressione definitiva del voto elettronico, gli aventi diritto possono ancora esprimere il proprio voto attraverso un canale di voto convenzionale.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_12"><num>4.12 </num><p>È permesso utilizzare un mezzo di autenticazione indipendente dal voto elettronico. Nell’ambito dell’analisi dei rischi occorre valutare approfonditamente le ripercussioni sull’integrità della verifica del diritto di voto e la tutela del segreto del voto.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_5"><num>5.</num><heading>Preparazione dello scrutinio</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_5/lbl_5_1"><num>5.1 </num><p>Se dati riguardanti il catalogo elettorale vengono importati da un sistema terzo che non è sotto il controllo del Cantone, i dati devono essere crittati e firmati. La firma deve essere verificata al momento del ricevimento di tali dati. Per l’invio alla tipografia prevalgono le disposizioni di cui al numero 7.</p></item><item eId="annex_u1/lvl_u1/lvl_5/lbl_5_2"><num>5.2 </num><p>I dati necessari per la verifica delle note di conferma secondo il numero 2.6 vengono consegnati ai verificatori.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_6"><num>6.</num><heading>Requisiti posti alle carte di legittimazione di voto</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_1"><num>6.1 </num><p>Le carte di legittimazione di voto devono per quanto possibile essere concepite in modo tale da garantire agli aventi diritto di voto disabili un accesso senza barriere al voto elettronico.</p></item><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_2"><num>6.2 </num><p>Gli elementi di sicurezza presenti sulla carta di legittimazione di voto (p. es. campo con patina da grattare) possono essere utilizzati soltanto se è dimostrato che l’informazione coperta è ben protetta contro la lettura non autorizzata.</p></item><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_3"><num>6.3 </num><p>Se si rinuncia all’utilizzazione di elementi di sicurezza volti a proteggere le informazioni confidenziali presenti sulla carta di legittimazione di voto, devono essere disponibili processi organizzativi che garantiscano la sicurezza.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_7"><num>7.</num><heading>Requisiti posti alle tipografie</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_1"><num>7.1 </num><p>I dati di stampa per la produzione delle carte di legittimazione di voto sono inviati in forma crittata e con la firma. In alternativa è anche possibile consegnare personalmente un supporto dati contenente i dati di stampa. In tal caso il supporto dati è trasportato e consegnato alla tipografia da due persone che assieme lo sorvegliano (principio del doppio controllo). </p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_2"><num>7.2 </num><p>Il crittaggio deve soddisfare i requisiti dello standard eCH-0014<authorialNote><p> eCH-0014: Normes et architectures pour les applications de cyberadministration en Suisse (SAGA.ch), versione 9.0 del 09.12.2019 (in franc. e ted.); lo standard è ottenibile e scaricabile gratuitamente presso: Verein eCH, Mainaustrasse 30, Postfach, 8034 Zürich, www.ech.ch.</p></authorialNote>, capitolo 7.5. In caso di crittografia simmetrica l’elemento segreto necessario per la decrittazione viene inviato ai responsabili della tipografia usando una via parallela sicura. </p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_3"><num>7.3 </num><p>I responsabili della tipografia che prendono in consegna il supporto di dati firmano una ricevuta.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_4"><num>7.4 </num><p>Ai supporti di dati contenenti i dati di stampa, alle componenti su cui vengono decrittati i dati critici e a tutte le componenti che trattano i dati critici si applicano le disposizioni di cui al numero 3 concernenti la componente di stampa. </p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_5"><num>7.5 </num><p>I responsabili della tipografia eseguono un controllo delle quantità di materiale.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_6"><num>7.6 </num><p>Dopo la stampa delle carte di legittimazione di voto la tipografia distrugge i dati ricevuti. </p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_7"><num>7.7 </num><p>Se la tipografia si occupa anche dell’imballaggio e dell’invio delle carte di legittimazione di voto, queste ultime vanno imballate assieme al materiale di voto immediatamente dopo la stampa. </p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_8"><num>7.8 </num><p>Il canale tra la tipografia e gli aventi diritto di voto può essere considerato affidabile soltanto se gli organi competenti secondo il diritto cantonale inviano per corrispondenza il materiale di voto imballato agli aventi diritto di voto oppure se assicurano la consegna di persona.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_8"><num>8.</num><heading>Informazioni e istruzioni</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_1"><num>8.1 </num><p>L’organo responsabile a livello cantonale elabora un piano per informare i cittadini sul voto elettronico.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_2"><num>8.2 </num><p>Il piano garantisce che le informazioni siano autorizzate dagli organi competenti.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_3"><num>8.3 </num><p>Su Internet sono disponibili consigli e istruzioni sull’espressione del voto e informazioni riguardanti la responsabilità degli aventi diritto di voto. Si evita così che essi agiscano in modo precipitoso o senza riflettere.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_4"><num>8.4 </num><p>Agli aventi diritto di voto sono illustrate in maniera accessibile la verificabilità, altre misure di sicurezza e il modo di procedere previsto in caso di anomalie.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_5"><num>8.5 </num><p>Agli aventi diritto di voto vengono illustrati gli aspetti a cui devono prestare attenzione affinché possano esprimere il loro voto in tutta sicurezza.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_6"><num>8.6 </num><p>Agli aventi diritto di voto viene spiegato in che modo si può cancellare il voto, una volta espresso, da tutte le memorie della piattaforma utente che essi hanno utilizzato per votare.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_7"><num>8.7 </num><p>In caso di domande sul voto elettronico gli aventi diritto di voto possono chiedere assistenza.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_8"><num>8.8 </num><p>Gli aventi diritto di voto sono invitati a segnalare all’organo responsabile a livello cantonale le note di conferma secondo il numero 2.5 visualizzate in modo errato, come il codice di verifica, e altre verifiche dall’esito negativo. Questo invito è diffuso anche contestualmente all’invio del materiale di voto.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_9"><num>8.9 </num><p>Gli aventi diritto di voto sono invitati a tenere sotto chiave il materiale di voto con gli elementi di sicurezza forniti in adempimento del numero 2.5 fino all’espressione definitiva del voto o alla conclusione dello scrutinio.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_10"><num>8.10 </num><p>Gli aventi diritto di voto ricevono le indicazioni necessarie per controllare l’autenticità del sito Internet utilizzato per esprimere il voto, del server e del software. L’attendibilità di un controllo efficace deve essere supportata dall’impiego di mezzi crittografici in conformità con le migliori prassi.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_11"><num>8.11 </num><p>Le informazioni essenziali per l’espressione sicura del voto vengono inviate assieme al materiale di voto. Agli aventi diritto di voto viene spiegato che in caso di dubbio devono attenersi alle informazioni contenute nel materiale di voto e non alle informazioni visualizzate sulla piattaforma utente.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_12"><num>8.12 </num><p>Agli aventi diritto di voto viene spiegato con quali provvedimenti è garantita la tutela del segreto del voto. </p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_13"><num>8.13 </num><p>Le lacune note e la relativa necessità di agire vengono comunicate in modo trasparente.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_14"><num>8.14 </num><p>I verificatori vengono informati e istruiti adeguatamente riguardo ai processi cui sono soggetti la correttezza del risultato, la tutela del segreto del voto e l’esclusione di risultati parziali anticipati (p. es. generazione di chiavi, stampa del materiale di voto, decrittazione e spoglio). Essi sono in grado di capire i punti centrali dei processi e il loro significato.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_9"><num>9.</num><heading>Apertura e chiusura del canale di voto elettronico </heading><content><p>Il canale di voto elettronico è a disposizione soltanto nel periodo ammesso.</p></content></level><level eId="annex_u1/lvl_u1/lvl_10"><num>10.</num><heading>Controllo della conformità e deposito di voti espressi in modo definitivo</heading><content><p>Un voto espresso in modo non conforme al sistema non è depositato nell’urna elettronica.</p></content></level><level eId="annex_u1/lvl_u1/lvl_11"><num>11.</num><heading>Spoglio dei voti depositati nell’urna elettronica</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_1"><num>11.1 </num><p>La decrittazione dei voti e il loro spoglio possono avere inizio al più presto la domenica della votazione o dell’elezione. </p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_2"><num>11.2 </num><p>Il Cantone esegue la decrittazione e lo spoglio nella propria infrastruttura.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_3"><num>11.3 </num><p>Il Cantone provvede alla stesura di un protocollo sulla procedura di decrittazione dei voti e sul loro spoglio. L’organo responsabile a livello cantonale approva il protocollo.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_4"><num>11.4 </num><p>Dalla decrittazione dei voti fino alla trasmissione del risultato dello scrutinio ogni accesso al sistema o a una delle sue componenti è effettuato da almeno due persone congiuntamente; esso è registrato per scritto e deve poter essere controllato dai verificatori.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_5"><num>11.5 </num><p>Se i dati riguardanti il risultato vengono trasmessi a un sistema terzo che non è sotto il controllo del Cantone, i dati vengono crittati e firmati. </p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_6"><num>11.6 </num><p>Il sistema permette di constatare, per mezzo della carta di legittimazione di voto, se qualcuno ha espresso un voto elettronico. </p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_7"><num>11.7 </num><p>La decrittazione e lo spoglio dei voti si svolgono in presenza di verificatori. I Cantoni possono in aggiunta consentire lavori di verifica da remoto.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_8"><num>11.8 </num><p>Alle componenti utilizzate per lo spoglio dei voti che non sono affidabili secondo il numero 2.4 sono posti gli stessi requisiti validi per le componenti di setup secondo il numero 3.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_9"><num>11.9 </num><p>Nel verificare le note di conferma secondo il numero 2.6 i verificatori si assumono la loro responsabilità definita dal diritto cantonale.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_10"><num>11.10 </num><p>L’organo responsabile a livello cantonale sottopone ai verificatori tutti gli indicatori rilevanti per la correttezza del risultato. Oltre alle note di conferma secondo il numero 2.6, vi figurano in particolare il numero e il tipo di anomalie che gli aventi diritto di voto hanno segnalato al Cantone.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_11"><num>11.11 </num><p>Il Cantone anticipa eventuali anomalie e a tale scopo elabora, d’intesa con gli organi interessati, un piano d’emergenza che stabilisce il modo di procedere nei casi specifici. Garantisce la trasparenza nei confronti del pubblico. </p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_12"><num>11.12 </num><p>Se sono disponibili e sempre che la base di dati lo consenta, per accertare la plausibilità del risultato vanno impiegati metodi statistici.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_12"><num>12.</num><heading>Dati confidenziali</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_1"><num>12.1 </num><p>Occorre assicurare che né collaboratori né persone esterne conoscano dati che permettono di stabilire un legame fra l’identità di un votante e il voto che ha espresso.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_2"><num>12.2 </num><p>Occorre assicurare che prima della decrittazione dei voti né collaboratori né persone esterne conoscano dati che permettono di rilevare anticipatamente risultati parziali.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_3"><num>12.3 </num><p>Il Cantone non deve inoltrare a imprese private la sua parte della chiave per la decrittazione dei voti di cui dispone, secondo il numero 3.1, sulla componente di controllo da esso gestita.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_4"><num>12.4 </num><p>Il Cantone tratta in modo confidenziale i risultati dello scrutinio fra il momento della decrittazione dei voti e il momento della loro pubblicazione.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_5"><num>12.5 </num><p>Il Cantone provvede affinché i dati che permettono di constatare che gli aventi diritto di voto hanno votato per via elettronica siano trattati in modo confidenziale.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_6"><num>12.6 </num><p>Il Cantone tratta in modo confidenziale i singoli voti dopo lo spoglio.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_7"><num>12.7 </num><p>Il Cantone provvede affinché i risultati della votazione o dell’elezione di circondari elettorali più piccoli siano trattati in modo confidenziale.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_8"><num>12.8 </num><p>Dopo l’omologazione vengono distrutti, secondo una procedura prestabilita e documentata, tutti i dati creati nell’ambito dello scrutinio elettronico, relazionati con i singoli voti immessi e classificati come confidenziali.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_13"><num>13.</num><heading>Minacce</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_1"><num>13.1 </num><p>Le minacce elencate ai numeri 13.3–13.40 sono di natura generale e costituiscono una base da integrare. Esse si riferiscono agli obiettivi di sicurezza e vanno considerate nell’ambito dell’identificazione dei rischi. A seconda dei punti deboli accertati nel sistema, nelle analisi dei rischi dei diversi organi l’elenco va concretizzato e integrato in funzione della costellazione concreta e a dipendenza della minaccia specifica. </p></item><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2"><num>13.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/listintro">Sono considerate possibili minacce:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/bull_u1"><num>− </num><p>le minacce, provocate inavvertitamente o intenzionalmente, che partono da attori interni o esterni che impiegano mezzi elettronici o fisici;</p></item><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/bull_u2"><num>− </num><p>le minacce riconducibili a una disfunzione del sistema o degli elementi che lo supportano.</p></item></blockList></item></blockList><table border="1"><tr><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"/><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><p>Descrizione</p></th><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><p>Obiettivo di sicurezza interessato <br/>(secondo l’art. 4 cpv. 3)</p></th></tr><tr><td><p>13.3</p></td><td><p>Un software nocivo modifica il voto sulla piattaforma utente. </p></td><td><p>Correttezza del risultato </p></td></tr><tr><td><p>13.4</p></td><td><p>Un aggressore esterno devia il voto mediante Domain Name Server Spoofing (DNS-Spoofing<authorialNote><p> Noto anche come DNS-Poisoning (avvelenamento della cache DNS). Designa un attacco per mezzo del quale si riesce a falsificare l’associazione fra il nome del nodo ospite (host) e l’indirizzo IP corrispondente.</p></authorialNote>).</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.5</p></td><td><p>Un aggressore esterno modifica il voto mediante una tecnica Man In The Middle (tecnica MITM<authorialNote><p> Designa l’aggressore che conduce un attacco Man in the middle (MITM). Si tratta di una forma di attacco utilizzata nelle reti di computer. L’aggressore si intromette fisicamente o logicamente fra due parti in comunicazione fra loro, con il suo sistema esercita un controllo totale sui dati scambiati fra due o più partecipanti della rete e può in tal modo leggere le informazioni e addirittura manipolarle a suo piacimento.</p></authorialNote>).</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.6</p></td><td><p>Un aggressore esterno invia mediante la tecnica MITM dati modificati in mala fede che sono necessari per l’espressione del voto e che provengono dal sistema online (p. es. file JavaScript).</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.7</p></td><td><p>Un aggressore interno manipola il software e questo non memorizza i voti. </p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.8</p></td><td><p>Un aggressore interno modifica, cancella o moltiplica i voti. </p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.9</p></td><td><p>Un aggressore interno aggiunge voti. </p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.10</p></td><td><p>Un’organizzazione nemica si introduce nel sistema allo scopo di falsificare il risultato.</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.11</p></td><td><p>Un aggressore interno copia il materiale di voto e lo utilizza.</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.12</p></td><td><p>Un aggressore esterno utilizza metodi d’ingegneria sociale per deviare l’attenzione del votante dai provvedimenti di sicurezza (verificabilità individuale).</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.13</p></td><td><p>Un aggressore esterno si introduce elettronicamente, fisicamente o mediante ingegneria sociale nell’infrastruttura del Cantone e manipola le componenti di setup o sottrae dati rilevanti per la sicurezza.</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.14</p></td><td><p>Un aggressore esterno si introduce elettronicamente, fisicamente o mediante ingegneria sociale nell’infrastruttura della tipografia e preleva i codici delle carte di legittimazione di voto.</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.15</p></td><td><p>Un aggressore esterno si introduce elettronicamente, fisicamente o mediante ingegneria sociale nell’infrastruttura della Posta e sottrae carte di legittimazione di voto.</p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.16</p></td><td><p>Nella verificabilità individuale si manifesta un errore. </p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.17</p></td><td><p>Nella verificabilità universale si manifesta un errore. </p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.18</p></td><td><p>Un ausilio tecnico dei verificatori presenta un errore. </p></td><td><p>Correttezza del risultato</p></td></tr><tr><td><p>13.19</p></td><td><p>Una backdoor<authorialNote><p> Il termine «backdoor» (porta posteriore) designa una parte del software che consente agli utenti di accedere al computer eludendo le normali protezioni di accesso oppure un’altra funzione altrimenti protetta di un programma per computer.</p></authorialNote> è inserita nel sistema mediante una dipendenza da software e viene sfruttata da un aggressore esterno per accedere al sistema.</p></td><td><p>Correttezza del risultato, tutela del segreto del voto ed esclusione di risultati parziali anticipati, raggiungibilità e funzionalità del canale di voto, protezione contro le manipolazioni delle informazioni destinate agli aventi diritto di voto, esclusione dell’utilizzo abusivo di riscontri sul comportamento di voto</p></td></tr><tr><td><p>13.20</p></td><td><p>Un software nocivo sulla piattaforma utente invia il voto a un’organizzazione nemica.</p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati </p></td></tr><tr><td><p>13.21</p></td><td><p>Il voto è deviato mediante DNS-Spoofing.</p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.22</p></td><td><p>Un aggressore esterno legge il voto mediante MITM. </p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.23</p></td><td><p>Un aggressore interno utilizza la chiave e decritta voti non anonimi. </p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.24</p></td><td><p>Nel verificare la correttezza del trattamento e dello spoglio viene violato il segreto del voto. </p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.25</p></td><td><p>Un aggressore interno legge in anticipo i voti senza doverli decrittare.</p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.26</p></td><td><p>Un’organizzazione nemica si introduce nel sistema allo scopo di violare il segreto del voto o rilevare anticipatamente risultati parziali. </p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.27</p></td><td><p>Un errore verificatosi nel processo di crittaggio ne annulla la funzionalità o ne riduce l’efficacia.</p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.28</p></td><td><p>Un aggressore interno manipola il software e quest’ultimo rende pubblici i voti.</p></td><td><p>Tutela del segreto del voto ed esclusione di risultati parziali anticipati</p></td></tr><tr><td><p>13.29</p></td><td><p>Un software nocivo presente sulla piattaforma utente rende impossibile l’espressione del voto.</p></td><td><p>Raggiungibilità e funzionalità del canale di voto</p></td></tr><tr><td><p>13.30</p></td><td><p>Un’organizzazione nemica compie un’aggressione in forma di «negazione del servizio»<authorialNote><p> Dall’inglese «Denial Of Service»: nel trattamento digitale di dati designa l’impossibilità di accedere a un servizio che in linea di principio dovrebbe essere disponibile.</p></authorialNote> (aggressione DOS). </p></td><td><p>Raggiungibilità e funzionalità del canale di voto</p></td></tr><tr><td><p>13.31</p></td><td><p>Un aggressore interno esegue una configurazione errata; non si arriva allo spoglio.</p></td><td><p>Raggiungibilità e funzionalità del canale di voto</p></td></tr><tr><td><p>13.32</p></td><td><p>Un aggressore interno falsifica le note di conferma crittografiche della verificabilità universale.</p></td><td><p>Raggiungibilità e funzionalità del canale di voto</p></td></tr><tr><td><p>13.33</p></td><td><p>Un errore tecnico del sistema fa sì che il sistema non sia disponibile al momento dello spoglio.</p></td><td><p>Raggiungibilità e funzionalità del canale di voto</p></td></tr><tr><td><p>13.34</p></td><td><p>Un ausilio tecnico dei verificatori non funziona al momento dello spoglio.</p></td><td><p>Raggiungibilità e funzionalità del canale di voto</p></td></tr><tr><td><p>13.35</p></td><td><p>Un’organizzazione nemica si introduce nel sistema allo scopo di perturbarne l’esercizio, manipolare le informazioni destinate agli aventi diritto di voto o sottrarre riscontri sul comportamento di voto dei votanti.</p></td><td><p>Raggiungibilità e funzionalità del canale di voto, protezione contro le manipolazioni delle informazioni destinate agli aventi diritto di voto, esclusione dell’utilizzo abusivo di riscontri sul comportamento di voto</p></td></tr><tr><td><p>13.36</p></td><td><p>Un aggressore interno sottrae dati inerenti agli indirizzi degli aventi diritto di voto.</p></td><td><p>Protezione delle informazioni personali sugli aventi diritto di voto</p></td></tr><tr><td><p>13.37</p></td><td><p>Un software nocivo influenza gli aventi diritto di voto nella formazione delle loro opinioni. </p></td><td><p>Protezione contro le manipolazioni delle informazioni destinate agli aventi diritto di voto</p></td></tr><tr><td><p>13.38</p></td><td><p>Un aggressore interno manipola il sito web d’informazione o il portale delle votazioni, ingannando gli aventi diritto di voto.</p></td><td><p>Protezione contro le manipolazioni delle informazioni destinate agli aventi diritto di voto</p></td></tr><tr><td><p>13.39</p></td><td><p>Un aggressore interno prescrive agli aventi diritto di voto se e come debbano votare o eleggere. Dopo la decrittazione trova nell’infrastruttura riscontri del fatto che gli aventi diritto di voto si sono attenuti alle istruzioni.</p></td><td><p>Esclusione dell’utilizzo abusivo di riscontri sul comportamento di voto</p></td></tr><tr><td><p>13.40</p></td><td><p>Un aggressore esterno prescrive agli aventi diritto di voto se e come debbano votare o eleggere e richiede loro un riscontro del fatto che si sono attenuti alle istruzioni.</p></td><td><p>Esclusione dell’utilizzo abusivo di riscontri sul comportamento di voto</p></td></tr></table></content></level><level eId="annex_u1/lvl_u1/lvl_14"><num>14.</num><heading>Constatazione e notifica di eventi e debolezze inerenti alla sicurezza; gestione di eventi e miglioramenti inerenti alla sicurezza</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_1"><num>14.1 </num><p>Un sistema di monitoraggio dell’infrastruttura riconosce gli incidenti che potrebbero mettere in pericolo la sicurezza, inclusa la disponibilità, del sistema e allarma il personale preposto, che li gestisce in conformità con procedure predefinite. Scenari di crisi e piani di salvataggio servono da linea direttrice (ivi compreso un piano che garantisca lo svolgimento delle attività relative agli scrutini) e si applicano in caso di necessità. </p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u2"><num/><p>Errori nella registrazione del voto nelle componenti di controllo e nell’urna devono essere riconosciuti. Ulteriori informazioni relative all’errore devono essere disponibili, in modo da riconoscere ed eliminare la causa. Gli incidenti constatati devono essere notificati all’organo responsabile a livello cantonale.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_2"><num>14.2 </num><p>Sull’infrastruttura sono redatti protocolli la cui raccolta, trasmissione e memorizzazione sono resistenti alle manipolazioni (protocolli del sistema). I protocolli sono coerenti fra loro e permettono il tracciamento degli eventi pertinenti nell’ambito dell’investigazione di presunte manipolazioni o di errori. Essi servono da attestati per la presa in considerazione completa, non falsificata ed esclusiva di voti espressi conformemente al sistema, nonché per la tutela del segreto del voto e l’esclusione di risultati parziali anticipati.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_14/bull_u4/listintro">Il contenuto dei protocolli comprende almeno gli eventi seguenti:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u1"><num>− </num><p>avvio e conclusione dei processi di audit, di identificazione e di autenticazione</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u2"><num>− </num><p>avvio, riavvio e conclusione della fase di voto o elezione</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u3"><num>− </num><p>avvio dello spoglio con accertamento del risultato</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u4"><num>− </num><p>esecuzione e risultati di eventuali autotest</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u5"><num>− </num><p>disfunzioni constatate negli elementi dell’infrastruttura informatica che compromettono la capacità operativa</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u5"><num/><p>Di ogni evento viene documentata la data e l’ora, il tipo di evento, il possibile autore e il risultato, in termini di successo o di insuccesso.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u6"><num/><p>I protocolli del sistema vengono messi a disposizione dell’organo responsabile a livello cantonale in una forma che gli permetta di interpretarne le informazioni.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_3"><num>14.3 </num><p>Il monitoraggio e la redazione dei protocolli del sistema sottostanno a un continuo processo di miglioramento. Tale processo comprende un dialogo aperto fra gli attori coinvolti nonché una valutazione obiettiva periodica dell’efficacia degli strumenti e dei processi adottati. I risultati di queste valutazioni sono tenuti in considerazione.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_4"><num>14.4</num><p>Il monitoraggio e la redazione dei protocolli del sistema non compromettono in alcun modo l’efficacia delle misure adottate per tutelare il segreto del voto.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_5"><num>14.5 </num><p>È garantito che, in caso di guasto, i voti e i dati a comprova di un funzionamento ineccepibile della procedura di spoglio dei voti vengono memorizzati in modo integro sull’infrastruttura.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_6"><num>14.6 </num><p>Dopo un guasto al sistema o un’interruzione dei supporti di comunicazione o di memorizzazione, il sistema è posto in una modalità di manutenzione in cui esiste la possibilità di ritornare a uno stato sicuro. Le procedure di voto già avviate vengono interrotte. Il votante può riprendere a votare soltanto quando il sistema è tornato a uno stato sicuro. </p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_7"><num>14.7 </num><p>Con l’ausilio di caratteristiche di autenticazione è possibile esprimere voti di controllo non attribuiti ad alcun avente diritto di voto. Il contenuto di questi voti di controllo è iscritto in un protocollo. Il conteggio dei voti di controllo viene confrontato con i protocolli. </p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u12"><num> </num><p>È garantito che i voti di controllo sono trattati quanto più possibile alla stregua di voti espressi conformemente al sistema; nel contempo è garantito che non vengono conteggiati. </p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_8"><num>14.8 </num><p>La disponibilità dell’infrastruttura viene verificata e iscritta in un protocollo a intervalli di tempo prestabiliti.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_9"><num>14.9 </num><p>Mediante un processo predefinito e documentato, tutte le parti del sistema vengono regolarmente aggiornate, in modo da eliminare punti deboli di cui si è venuti a conoscenza. </p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_10"><num>14.10 </num><p>Le misure di monitoraggio e di protocollo relative all’utilizzo del sistema, alle attività degli amministratori e ai guasti vengono descritte in dettaglio, attuate, sorvegliate e verificate.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_15"><num>15.</num><heading>Utilizzo di misure crittografiche e amministrazione delle chiavi </heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_1"><num>15.1 </num><p>I certificati elettronici sono amministrati secondo le migliori prassi.</p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_2"><num>15.2 </num><p>Per assicurare l’integrità delle serie di dati su cui si basano la correttezza del risultato nonché la segretezza di dati critici, inclusi i dati di identificazione e di autenticazione delle autorità, sono impiegate misure crittografiche efficaci, conformi allo stato della tecnica. </p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_3"><num>15.3 </num><p>Per assicurare la segretezza di dati critici sono impiegate nell’infrastruttura misure crittografiche efficaci, conformi allo stato della tecnica. Questi dati vengono sempre memorizzati sui supporti di dati in modo crittato.</p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_4"><num>15.4 </num><p>Le componenti di base crittografiche vengono utilizzate solamente se le lunghezze delle chiavi e gli algoritmi sono conformi agli standard correnti (p. es. NIST, ECRYPT, FiEle). La firma elettronica soddisfa i requisiti posti a una firma elettronica avanzata ai sensi della legge del 18 marzo 2016<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2016/752" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>943.03</b></ref></p></authorialNote> sulla firma elettronica (FiEle). La verifica della firma avviene mediante un certificato elettronico rilasciato da un prestatore di servizi di certificazione riconosciuto ai sensi della FiEle.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_16"><num>16.</num><heading>Scambio di informazioni fisico ed elettronico sicuro</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_16/lbl_16_1"><num>16.1 </num><p>Tutte le componenti dell’infrastruttura sono gestite in una zona di rete separata. La zona viene protetta mediante un adeguato controllo dell’instradamento.</p></item><item eId="annex_u1/lvl_u1/lvl_16/lbl_16_2"><num>16.2 </num><p>Il voto elettronico è di principio chiaramente separato da tutte le altre applicazioni.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_17"><num>17.</num><heading>Test del sistema</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_1"><num>17.1 </num><p>Le funzioni rilevanti per la sicurezza del sistema (funzioni di sicurezza) vengono testate. I test vengono documentati con piani di test e con i risultati attesi dai test e i risultati effettivi.</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u2"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/bull_u2/listintro">Il piano di test:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/bull_u2/bull_u1"><num>− </num><p>stabilisce quali sono i test da eseguire;</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u2/bull_u2"><num>− </num><p>descrive gli scenari di ciascun test, comprese eventuali dipendenze dai risultati di altri test.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u3"><num/><p>I risultati attesi devono indicare i risultati che ci si attende da una esecuzione riuscita dei test. </p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u4"><num/><p>I risultati effettivi devono essere coerenti con i risultati attesi.</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2"><num>17.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/listintro">Viene eseguita un’analisi della copertura dei test. Essa comprende la prova che:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/bull_u1"><num>− </num><p>i test definiti nella documentazione di test sono coerenti con le specifiche funzionali delle interfacce;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/bull_u2"><num>− </num><p>tutte le interfacce sono state completamente testate.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3"><num>17.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/listintro">Viene eseguita un’analisi della profondità dei test. Essa comprende la prova che:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u1"><num>− </num><p>i test definiti nella documentazione di test sono coerenti con i sottosistemi relativi alle funzioni di sicurezza e ai moduli che hanno un ruolo nel garantire la sicurezza;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u2"><num>− </num><p>tutti i sottosistemi relativi alle funzioni di sicurezza identificate nelle specifiche sono stati testati;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u3"><num>− </num><p>tutti moduli che hanno un ruolo nel garantire la sicurezza sono stati testati.</p></item></blockList></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_18"><num>18.</num><heading>Organizzazione della sicurezza dell’informazione</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_1"><num>18.1 </num><p>Tutti i ruoli e tutte le responsabilità per l’esercizio del sistema sono definiti con precisione, attribuiti e comunicati.</p></item><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_2"><num>18.2 </num><p>La configurazione iniziale dell’infrastruttura, per quanto riguarda l’hardware, il software e i diritti d’accesso, e ogni modifica devono essere autorizzate.</p></item><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_3"><num>18.3</num><p>I rischi connessi con terzi (mandatari come fornitori e prestatori di servizi) sono identificati e ridotti nella misura del necessario per il tramite di adeguati accordi contrattuali. Il rispetto degli accordi viene sorvegliato e verificato adeguatamente durante la loro validità.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_19"><num>19.</num><heading>Amministrazione delle risorse immateriali e materiali</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_1"><num>19.1 </num><p>Tutte le risorse immateriali e materiali ai sensi della nozione di asset contenuta nella norma ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements<authorialNote><p> La norma può essere consultata o ottenuta dietro pagamento presso la Segreteria centrale dell’Organizzazione internazionale di normazione (ISO), Chemin de Blandonnet 8, CP 401, 1214 Vernier, www.iso.org.</p></authorialNote>, rilevanti per il voto elettronico (organizzazione globale, in particolare i processi organizzativi e le informazioni in quanto tali che vi sono trattate, i supporti di dati, le installazioni per il trattamento delle informazioni dell’infrastruttura e i locali dell’infrastruttura) vengono rilevati in un inventario. È allestito un elenco del personale. L’inventario e l’elenco del personale devono essere tenuti aggiornati. Ad ogni risorsa immateriale e materiale è attribuita una persona che ne assume la responsabilità.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_2"><num>19.2 </num><p>Viene definito l’uso ammesso di risorse immateriali e materiali.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_3"><num>19.3 </num><p>Per le informazioni sono emanate e comunicate linee direttrici in materia di classificazione.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_4"><num>19.4 </num><p>Per la caratterizzazione e l’utilizzazione di informazioni sono approntate delle procedure.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_20"><num>20.</num><heading>Affidabilità del personale</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_1"><num>20.1 </num><p>Per garantire l’affidabilità del personale prima, durante e dopo la sua assunzione o in caso di cambiamenti di ruolo sono approntate e comunicate direttive e procedure adeguate.</p></item><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_2"><num>20.2 </num><p>I responsabili del personale si assumono la piena responsabilità delle misure volte a garantire l’affidabilità del personale.</p></item><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_3"><num>20.3</num><p>Il personale dispone di una spiccata sensibilità in materia di sicurezza dell’informazione. A questo scopo è approntato e gestito un programma di formazione e di esercitazione conforme ai compiti da svolgere.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_21"><num>21.</num><heading>Sicurezza fisica e riferita all’ubicazione</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_1"><num>21.1 </num><p>I perimetri di sicurezza dei diversi locali dell’infrastruttura sono definiti in modo chiaro.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_2"><num>21.2 </num><p>Per l’accesso fisico ai diversi locali dell’infrastruttura le autorizzazioni d’accesso sono definite, introdotte e controllate adeguatamente.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_3"><num>21.3 </num><p>Per garantire la sicurezza degli apparecchi dentro e fuori i locali dell’infrastruttura sono definite direttive e procedure adeguate, di cui viene sorvegliato e verificato il rispetto.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_4"><num>21.4</num><p>Tutti i dati sono trattati, e in particolare conservati, esclusivamente in Svizzera.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_22"><num>22.</num><heading>Gestione della comunicazione e dell’esercizio</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_1"><num>22.1 </num><p>Gli obblighi e gli ambiti di responsabilità sono suddivisi in modo tale che i rischi imputabili alle persone correlati con l’esercizio e la comunicazione siano ridotti a rischi residui compatibili con i criteri di accettazione del rischio.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_2"><num>22.2 </num><p>Per proteggersi da software nocivi vengono adottate misure adeguate.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_3"><num>22.3 </num><p>È allestito e attuato un piano dettagliato per la sicurezza dei dati. Il corretto funzionamento della sicurezza dei dati è verificato periodicamente.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_4"><num>22.4 </num><p>Sono definite e attuate misure adeguate per la protezione della rete da minacce evidenziate dall’analisi dei rischi secondo l’articolo 4 in combinato disposto con il numero 13 e per la sicurezza dei servizi di rete.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_5"><num>22.5</num><p>Le procedure per gestire i supporti amovibili di dati e per smaltire i supporti di dati sono disciplinate in modo dettagliato.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_23"><num>23.</num><heading>Assegnazione, amministrazione e revoca dei diritti di accesso e d’intervento</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_1"><num>23.1 </num><p>È garantito che durante lo scrutinio ogni modifica successiva dei diritti di accesso e d’intervento avvenga esclusivamente con il consenso dell’organo responsabile a livello cantonale.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_2"><num>23.2 </num><p>L’accesso all’infrastruttura e al software e ogni intervento sugli stessi sono disciplinati e documentati in dettaglio in base a un’analisi dei rischi. Nei settori ad alto rischio e per tutte le operazioni manuali relative alle urne elettroniche (p. es. apertura del canale di voto, chiusura del canale di voto, avvio dello spoglio) si applica il principio del doppio controllo.</p></item><item eId="annex_u1/lvl_u1/lvl_23/bull_u3"><num/><p>Le operazioni manuali relative alle urne elettroniche (p. es. apertura del canale di voto, chiusura del canale di voto, avvio dello spoglio) sono autenticate in modo esplicito.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_3"><num>23.3 </num><p>È garantito che non si possano modificare senza autorizzazione informazioni sul sito del voto elettronico né le pagine informative sul voto elettronico.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_4"><num>23.4 </num><p>Durante lo scrutinio è escluso qualsivoglia intervento sull’infrastruttura che non riguardi il voto elettronico.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_5"><num>23.5</num><p>È assicurato che nessuno degli elementi dei dati di autenticazione client possa essere sistematicamente intercettato, modificato o deviato. Per l’autenticazione sono attuate misure e impiegate tecnologie che riducano sufficientemente al minimo il rischio di abuso sistematico da parte di terzi.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_24"><num>24.</num><heading>Sviluppo e manutenzione di sistemi d’informazione</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1"><num>24.1 </num><p>Sviluppo</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1"><num>24.1.1</num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/listintro">Viene definito un modello di ciclo di vita. Tale modello:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u1"><num>− </num><p>viene utilizzato per lo sviluppo e la manutenzione del software; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u2"><num>− </num><p>prevede i controlli necessari nello sviluppo e nella manutenzione del software; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u3"><num>− </num><p>viene documentato.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_2"><num>24.1.2 </num><p>Viene allestito un elenco degli strumenti di sviluppo utilizzati e delle opzioni di configurazione selezionate per l’impiego dei singoli strumenti di sviluppo.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3"><num>24.1.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/listintro">La documentazione degli strumenti di sviluppo comprende:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u1"><num>− </num><p>una definizione di ciascuno strumento di sviluppo;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u2"><num>− </num><p>una descrizione di tutte le convenzioni e direttive utilizzate nell’implementazione dello strumento di sviluppo;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u3"><num>− </num><p>una descrizione univoca del significato di tutte le opzioni di configurazione utilizzate per l’applicazione dello strumento di sviluppo.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_4"><num>24.1.4 </num><p>Si stabilisce quali sono gli standard di implementazione applicati.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_5"><num>24.1.5 </num><p>Il software è specificato e implementato in modo tale che le funzioni di sicurezza non possano essere aggirate. </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_6"><num>24.1.6</num><p>Le funzioni di sicurezza sono specificate e implementate in modo tale che siano protette dalle manipolazioni.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7"><num>24.1.7 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/listintro">L’architettura di sicurezza del software è documentata. La documentazione:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u1"><num>– </num><p>attesta un grado di dettaglio corrispondente alla descrizione delle funzioni di sicurezza;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u2"><num>– </num><p>descrive i settori della sicurezza cui si indirizzano le funzioni di sicurezza; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u3"><num>– </num><p>descrive in che modo i processi di inizializzazione vengono garantiti; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u4"><num>– </num><p>comprova l’adempimento dei requisiti di cui a numeri 24.1.5 e 24.1.6.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8"><num>24.1.8 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/listintro">Le specifiche funzionali sono documentate. La documentazione:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u1"><num>– </num><p>rappresenta l’intero software; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u2"><num>– </num><p>descrive lo scopo e l’utilizzo di tutte le interfacce;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u3"><num>– </num><p>identifica e descrive tutti i parametri associati alle interfacce;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u4"><num>– </num><p>descrive tutte le azioni associate alle interfacce; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u5"><num>– </num><p>descrive tutti i messaggi di errore diretti che potrebbero risultare dal richiamo delle singole interfacce.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_9"><num>24.1.9 </num><p>La tracciabilità fra le specifiche funzionali e i requisiti di sicurezza è garantita fino al livello delle interfacce.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_10"><num>24.1.10 </num><p>Tutte le funzioni di sicurezza sono implementate nel codice sorgente.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_11"><num>24.1.11 </num><p>La tracciabilità fra l’intero codice sorgente e le specifiche delle funzioni di sicurezza è garantita e la loro corrispondenza è evidente.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12"><num>24.1.12 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/listintro">Le funzioni di sicurezza sono concepite e implementate in modo che siano ben strutturate. La struttura interna viene descritta e comprende una motivazione che:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/bull_u1"><num>– </num><p>indica le caratteristiche che sono state utilizzate per valutare le nozioni di «ben strutturato» e di «complesso»; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/bull_u2"><num>– </num><p>indica che tutte le funzioni di sicurezza sono ben strutturate e non sono troppo complesse.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13"><num>24.1.13 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/listintro">Le specifiche comprendono i seguenti elementi:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u1"><num>– </num><p>una descrizione della struttura del software nella forma di sottosistemi;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u2"><num>– </num><p>una descrizione delle funzioni di sicurezza nella loro qualità di moduli e, per ogni modulo, il rispettivo obiettivo e una descrizione di come esso sia in relazione con gli altri moduli; la descrizione dei moduli rilevanti per la sicurezza comprende anche le interfacce disponibili, i valori restituiti di queste interfacce e le interfacce degli altri moduli utilizzate per interagire con esse;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u3"><num>– </num><p>una descrizione di tutti i sottosistemi in relazione alle funzioni di sicurezza, comprese le possibili reciproche interazioni;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u4"><num>– </num><p>un’illustrazione chiara dei sottosistemi connessi alle funzioni di sicurezza che comprova che tutte le interfacce corrispondono al comportamento descritto nella specifica; l’illustrazione deve presentare un grado di dettaglio che si estende almeno fino ai moduli.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_14"><num>24.1.14 </num><p>Il software è provvisto di una caratterizzazione univoca.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15"><num>24.1.15 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/listintro">La documentazione relativa alla gestione della configurazione comprende i seguenti elementi:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u1"><num>– </num><p>una descrizione del modo in cui gli elementi di configurazione sono identificati;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u2"><num>– </num><p>un piano di gestione della configurazione che descrive in che modo il sistema di gestione della configurazione è utilizzato nello sviluppo del software e quali sono le procedure applicate per l’accettazione di modifiche o di nuovi elementi;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u3"><num>– </num><p>la prova che le procedure di accettazione prevedono un’adeguata verifica delle modifiche per tutti gli elementi di configurazione.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16"><num>24.1.16 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/listintro">Il sistema di gestione della configurazione:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u1"><num>– </num><p>identifica in modo univoco tutti gli elementi di configurazione;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u2"><num>– </num><p>appronta misure automatizzate per fare in modo che agli elementi di configurazione vengano apportate soltanto modifiche autorizzate;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u3"><num>– </num><p>sostiene lo sviluppo del software attraverso procedure automatizzate;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u4"><num>– </num><p>garantisce che la persona che ha la responsabilità di accettare l’elemento di configurazione non è la stessa che lo ha sviluppato;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u5"><num>– </num><p>identifica gli elementi di configurazione di cui si compongono le funzioni di sicurezza;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u6"><num>– </num><p>sostiene con procedure automatizzate la verifica di tutte le modifiche apportate al software, compresi il protocollo dell’autore nonché la data e l’ora della modifica;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u7"><num>– </num><p>appronta una procedura automatizzata per l’identificazione di tutti gli elementi di configurazione interessati dalla modifica di uno specifico elemento di configurazione; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u8"><num>– </num><p>è in grado di identificare la versione del codice sorgente sulla base del quale è generato il software.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_17"><num>24.1.17 </num><p>Tutti gli elementi di configurazione sono inventariati nel sistema di gestione della configurazione.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_18"><num>24.1.18 </num><p>Il sistema di gestione della configurazione viene utilizzato in conformità con il piano di gestione della configurazione.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19"><num>24.1.19 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/listintro">È allestito un elenco di configurazione contenente i seguenti elementi:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u1"><num>– </num><p>il software;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u2"><num>– </num><p>le prove che i controlli richiesti per il rispetto della sicurezza sono stati eseguiti;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u3"><num>– </num><p>le parti di cui si compone il software;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u4"><num>– </num><p>il codice sorgente; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u5"><num>– </num><p>la commit history<authorialNote><p> La <i>commit history</i> consiste in un elenco ordinato di tutte le modifiche apportate a una <i>repository</i> con la motivazione di ciascuna modifica.</p></authorialNote>;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u6"><num>– </num><p>i rapporti sulle lacune nella sicurezza e sul loro stato di risoluzione.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u21"><num/><p>Per ogni elemento rilevante per le funzioni di sicurezza si menziona lo sviluppatore. Ciascun elemento è identificato in modo univoco.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20"><num>24.1.20 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/listintro">La documentazione concernente la sicurezza dello sviluppo del software comprende i seguenti aspetti:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/bull_u1"><num>– </num><p>la descrizione delle misure di sicurezza fisiche, procedurali, in materia di personale e altre che sono necessarie per la protezione e l’integrità della configurazione e dell’implementazione del software nel suo ambiente di sviluppo; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/bull_u2"><num>– </num><p>la prova che le misure di sicurezza offrono il livello di protezione necessario a garantire l’integrità del software.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2"><num>24.2 </num><p>Esercizio </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1"><num>24.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/listintro">È allestito un manuale d’esercizio. Per ogni ruolo utente, esso contiene i seguenti aspetti:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u1"><num>– </num><p>una descrizione delle funzioni accessibili all’utente e delle autorizzazioni che devono essere controllate in un ambiente sicuro, compresi i relativi avvertimenti;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u2"><num>– </num><p>una descrizione di come le interfacce disponibili possono essere utilizzate in modo sicuro;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u3"><num>– </num><p>una descrizione delle funzioni e delle interfacce disponibili, in particolare di tutti i parametri di sicurezza posti sotto il controllo dell’utente, con l’indicazione dei valori rilevanti per la sicurezza;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u4"><num>– </num><p>una presentazione accurata di tutti i tipi di eventi di sicurezza legati alle funzioni accessibili all’utente che devono essere eseguite, compresi gli adeguamenti delle caratteristiche di sicurezza apportati ad elementi posti sotto il controllo delle funzioni di sicurezza; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u5"><num>– </num><p>una descrizione delle misure di sicurezza che devono essere attuate per conseguire gli obiettivi di sicurezza d’esercizio.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_2"><num>24.2.2 </num><p>Il manuale d’esercizio indica tutti i possibili modi d’esercizio del software, comprese la ripresa dell’esercizio dopo la scoperta di errori nonché una descrizione delle conseguenze e delle implicazioni derivanti da tali errori per il mantenimento di un esercizio sicuro.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_3"><num>24.2.3 </num><p>Il manuale d’esercizio è preciso e adeguato allo scopo.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3"><num>24.3 </num><p>Compilazione e deployment affidabili e verificabili </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1"><num>24.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/listintro">Il processo di preparazione descrive tutti i passi necessari per:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u1"><num>– </num><p>un’accettazione sicura delle componenti del sistema conformemente alle procedure di fornitura;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u2"><num>– </num><p>una preparazione sicura dell’ambiente d’esercizio conformemente agli obiettivi di sicurezza d’esercizio; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u3"><num>– </num><p>un’istallazione sicura del software nell’ambiente d’esercizio.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_2"><num>24.3.2 </num><p>La fornitura del software o di parti del sistema è documentata e comprende tutti i processi necessari al mantenimento della sicurezza in occasione della fornitura del software.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3"><num>24.3.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/listintro">È eseguita una compilazione affidabile e verificabile con adeguate misure di sicurezza che garantisce che il codice eseguibile sia una rappresentazione verificabile e fedele del codice sorgente che è stato sottoposto a un controllo pubblico e a verifiche indipendenti. La compilazione permette di stabilire una catena di conferme per la verifica del software e comprende in particolare:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u1"><num>– </num><p>la prova che l’ambiente di compilazione è impostato come quello descritto sulla piattaforma pubblica (insieme degli strumenti con la loro rispettiva versione, sistema d’esercizio ed eventuali configurazioni); eventuali divergenze devono essere documentate e motivate;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u2"><num>– </num><p>la prova che il software è stato compilato conformemente alle istruzioni disponibili sulla piattaforma pubblica; se al momento della compilazione viene ravvisata una lacuna nelle istruzioni, essa va iscritta in un protocollo e la documentazione deve essere successivamente adeguata;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u3"><num>– </num><p>la prova che il codice sorgente sottoposto al controllo pubblico e verificato è effettivamente quello che è stato utilizzato per la compilazione;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u4"><num>– </num><p>la prova che non è stato introdotto alcun elemento diverso da quelli previsti nelle istruzioni; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u5"><num>– </num><p>la prova che tutte le firme crittografiche delle dipendenze sono state verificate rispetto a un riferimento comprovato, pubblico e affidabile;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u6"><num>– </num><p>la prova che è stata condotta un’analisi dei punti deboli delle dipendenze e, nel caso in cui esistano punti deboli rilevanti per il software, che esse non rendano il software vulnerabile agli attacchi;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u7"><num>– </num><p>la prova che gli eventuali parametri introdotti non rendono il sistema vulnerabile agli attacchi.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4"><num>24.3.4 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/listintro">È eseguito un <i>deployment</i> affidabile e verificabile con adeguate misure di sicurezza, in modo da garantire che:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/lbl_1"><num>1. </num><p>il codice utilizzato in produzione sia una rappresentazione verificabile e fedele del codice sorgente che è stato sottoposto a un controllo pubblico e a verifiche indipendenti; e </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/lbl_2"><num>2. </num><p>l’ambiente di produzione sia conforme con quello che è stato sottoposto a un controllo pubblico e a verifiche indipendenti. </p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/bull_u32/listintro">Il deployment permette di stabilire una catena di conferme per la verifica del software e comprende in particolare:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u1"><num>– </num><p>la prova che l’ambiente di produzione è conforme con quello che è stato sottoposto a un controllo pubblico e a verifiche indipendenti; eventuali divergenze (versione di firmware, file di configurazione, ecc.) devono essere documentate e motivate;</p></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u2"><num>– </num><p>la prova che il software utilizzato nell’ambiente di produzione è effettivamente quello che è stato allestito nella procedura di compilazione affidabile e verificabile;</p></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u3"><num>– </num><p>la prova che gli eventuali parametri introdotti non rendono il sistema più vulnerabile agli attacchi.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_5"><num>24.3.5 </num><p>La qualità delle prove della compilazione affidabile e verificabile e del deployment affidabile e verificabile è attestata dalla presenza di almeno due testimoni appartenenti a istituzioni diverse o attraverso procedure tecniche volte a stabilire la verità secondo lo stato delle conoscenze scientifiche e l’esperienza.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_6"><num>24.3.6</num><p>La catena di conferme della compilazione affidabile e verificabile e del deployment affidabile e verificabile è resa accessibile al pubblico.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4"><num>24.4 </num><p>Eliminazione sistematica delle lacune</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1"><num>24.4.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/listintro">Vengono definiti processi per l’eliminazione delle lacune. I processi comprendono:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u1"><num>– </num><p>una documentazione di questi processi, in particolare per quanto riguarda la tracciabilità delle lacune per ciascuna delle versioni del software, nonché dei metodi utilizzati affinché gli utenti del sistema dispongano delle informazioni concernenti le lacune, le correzioni e le possibili misure correttive;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u2"><num>– </num><p>l’obbligo di descrivere il genere e le conseguenze di tutte le lacune nella sicurezza, le informazioni sullo stato dei lavori volti a trovare una soluzione e le misure correttive decise;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u3"><num>– </num><p>una descrizione degli strumenti che permettono agli utenti del sistema di comunicare agli sviluppatori del software rapporti e richieste riguardanti presunte lacune nel software;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u4"><num>– </num><p>una procedura che esiga una reazione in tempi brevi e l’invio automatico di rapporti sulle lacune della sicurezza e i relativi correttivi agli utenti del sistema registrati che potrebbero essere toccati dalla lacuna.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2"><num>24.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/listintro">È definito un processo per il trattamento delle lacune segnalate:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/bull_u1"><num>– </num><p>questo processo garantisce che tutte le lacune notificate e confermate sono state eliminate e che le relative procedure sono state comunicate agli utenti del sistema;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/bull_u2"><num>– </num><p>esso prevede delle disposizioni che garantiscono che l’eliminazione di una lacuna nella sicurezza non introduce nuove lacune nella sicurezza.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3"><num>24.4.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/listintro">Vengono definite direttive per la segnalazione e l’eliminazione delle lacune. Esse comprendono:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u1"><num>– </num><p>una descrizione del modo in cui gli utenti del sistema possono segnalare allo sviluppatore presunte lacune nella sicurezza; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u2"><num>– </num><p>una descrizione del modo in cui gli utenti del sistema possono registrarsi presso lo sviluppatore, in modo da ricevere rapporti sulle lacune della sicurezza e sui relativi correttivi;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u3"><num>– </num><p>l’indicazione di specifici servizi di contatto per tutti i rapporti e le richieste di informazioni su questioni di sicurezza riguardanti il software.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_5"><num>24.5 </num><p>Garanzia della qualità</p></item></blockList><p>Periodicamente si verifica in modo obiettivo se i processi eseguiti e i prodotti di lavoro ad essi associati corrispondono alla descrizione dei processi, delle norme e delle procedure che devono essere applicati. Eventuali non conformità sono seguite fino a quando non sono state risolte.</p></content></level><level eId="annex_u1/lvl_u1/lvl_25"><num>25.</num><heading>Qualità del codice sorgente e della documentazione </heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_25/listintro">Il codice sorgente e la documentazione soddisfano almeno i seguenti criteri di qualità:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1"><num>25.1 </num><p>Comprensibilità</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_1"><num>25.1.1 </num><p>Per comprensibilità si intende il rigore logico che va dai requisiti all’implementazione.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_2"><num>25.1.2 </num><p>Tutti i requisiti posti al protocollo crittografico sono comprensibili per tutti i risultati di lavoro legati al processo di sviluppo del software.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_3"><num>25.1.3 </num><p>Il legame fra i requisiti legali e il protocollo crittografico, le specifiche e la documentazione dell’architettura è fatto oggetto di una descrizione.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2"><num>25.2 </num><p>Completezza</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_1"><num>25.2.1 </num><p>Per completezza si intende l’attuazione completa delle funzioni richieste.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_2"><num>25.2.2 </num><p>Il software non contiene indicazioni ambigue (input, funzione, output). A ciascun elemento si fa riferimento sempre con lo stesso nome.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_3"><num>25.2.3 </num><p>Tutti i dati referenziati e tutte le funzioni utilizzate sono definiti nelle specifiche.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_4"><num>25.2.4 </num><p>Sono utilizzate tutte le funzioni definite nelle specifiche.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_5"><num>25.2.5 </num><p>Per ogni punto oggetto di decisione (p. es. esecuzione condizionata), le possibili alternative sono definite nelle specifiche.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_6"><num>25.2.6 </num><p>Tutti i parametri sono definiti nelle specifiche e convalidati (nessuna attribuzione implicita di parametri).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_7"><num>25.2.7 </num><p>Tutti gli errori gravi che vengono segnalati sono eliminati prima di passare alla tappa successiva del ciclo di sviluppo.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_8"><num>25.2.8 </num><p>Il protocollo crittografico, la specifica, il design e il codice sorgente sono armonizzati fra loro.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3"><num>25.3 </num><p>Coerenza</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_1"><num>25.3.1 </num><p>Per coerenza si intende la proprietà del software di utilizzare procedure e notazioni uniformi nella concezione e nell’implementazione.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_2"><num>25.3.2 </num><p>Le rappresentazioni nella documentazione seguono una convenzione stabilita dallo sviluppatore del software.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_3"><num>25.3.3 </num><p>Le funzioni e le variabili seguono una convenzione d’attribuzione dei nomi stabilita dallo sviluppatore del software.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_4"><num>25.3.4 </num><p>Input e output di funzioni sono trattati in base a una convenzione stabilita dallo sviluppatore del software.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_5"><num>25.3.5 </num><p>Gli errori sono trattati in base a una convenzione stabilita dallo sviluppatore del software.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_6"><num>25.3.6 </num><p>I tipi di variabili utilizzati sono coerenti.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4"><num>25.4 </num><p>Uniformità della comunicazione</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_1"><num>25.4.1 </num><p>Per uniformità della comunicazione si intende l’utilizzazione di protocolli standardizzati e routine d’interfaccia.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_2"><num>25.4.2 </num><p>Sono definite regole per la comunicazione con altri sistemi.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_3"><num>25.4.3 </num><p>La comunicazione si basa su metodi di comunicazione standardizzati.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5"><num>25.5 </num><p>Uniformità dei dati</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_1"><num>25.5.1 </num><p>Per uniformità dei dati si intende la proprietà del software di utilizzare una rappresentazione standardizzata dei dati.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_2"><num>25.5.2 </num><p>La rappresentazione standardizzata dei dati per la comunicazione con altri sistemi viene definita in modo formale.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_3"><num>25.5.3 </num><p>Per la conversione fra le diverse rappresentazioni vengono definiti degli standard.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_4"><num>25.5.4 </num><p>Le funzioni di conversione dovrebbero essere centralizzate in un unico modulo.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6"><num>25.6 </num><p>Apprendibilità</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_1"><num>25.6.1 </num><p>Per apprendibilità si intende la proprietà del software di permettere agli utenti di familiarizzarsi facilmente con il suo funzionamento.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_2"><num>25.6.2 </num><p>Le persone che gestiscono e utilizzano il sistema sono formate e ricevono la documentazione necessaria.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_3"><num>25.6.3 </num><p>La formazione comprende la possibilità di esercitarsi su un sistema previsto appositamente.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_4"><num>25.6.4 </num><p>Gli strumenti di aiuto sono facilmente accessibili.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7"><num>25.7 </num><p>Operabilità</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_1"><num>25.7.1 </num><p>Per operabilità si intende la proprietà del software di agevolare l’interazione con il sistema.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_2"><num>25.7.2 </num><p>Il software è di facile utilizzo. La navigazione si rifà agli schemi generalmente in uso.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_3"><num>25.7.3 </num><p>Il sistema client quale si presenta ai votanti è conforme, ad eccezione dei requisiti posti a forme di comunicazione alternative nel capitolo 2.4, alla norma di accessibilità eCH-0059<authorialNote><p> eCH-0059: Accessibility Standard Version 3.0 del 25.06.2020; la norma è ottenibile e scaricabile gratuitamente presso: Verein eCH, Mainaustrasse 30, Postfach, 8034 Zürich, www.ech.ch.</p></authorialNote>. I Cantoni provvedono affinché questo sia attestato da un servizio specializzato in materia.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8"><num>25.8 </num><p>Tolleranza agli errori</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_1"><num>25.8.1 </num><p>La tolleranza agli errori permette la prosecuzione dell’esercizio in condizioni eccezionali.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_2"><num>25.8.2 </num><p>Gli errori sono rilevati e trattati affinché il programma possa continuare a funzionare senza interruzioni.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_3"><num>25.8.3 </num><p>Il trattamento degli errori, inclusa la registrazione nel protocollo, avviene al livello più pertinente per la prosecuzione dell’esercizio. Un errore che non può essere trattato a un dato livello è trasferito al livello immediatamente superiore.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_4"><num>25.8.4 </num><p>Per i parametri di entrata sono definite condizioni di validità.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_5"><num>25.8.5 </num><p>Tutti i parametri di entrata sono verificati prima che inizi il trattamento.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9"><num>25.9 </num><p>Modularità</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_1"><num>25.9.1 </num><p>Per modularità si intende la proprietà del software di fornire una struttura di moduli altamente indipendenti.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_2"><num>25.9.2 </num><p>Il compito dei singoli moduli è definito in modo chiaro.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_3"><num>25.9.3 </num><p>Il compito dei singoli moduli dovrebbe essere ristretto e mirato. Gli obiettivi di due moduli non dovrebbero accavallarsi.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_4"><num>25.9.4 </num><p>I moduli non condividono dati attraverso una memoria volatile comune (p. es. variabile globale).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10"><num>25.10 </num><p>Semplicità</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_1"><num>25.10.1 </num><p>Per semplicità si intende l’implementazione delle funzioni nel modo più comprensibile possibile. In generale, si tratta di evitare le pratiche che aumentano la complessità.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_2"><num>25.10.2 </num><p>Nella concezione è applicato un approccio top-down (struttura gerarchica).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_3"><num>25.10.3 </num><p>La concezione non prevede alcuna duplicazione di funzioni fra i moduli.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_4"><num>25.10.4 </num><p>La concezione non prevede dati globali, ossia dati che possono essere utilizzati da tutti senza essere passati quali parametri.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_5"><num>25.10.5 </num><p>Nel codice sorgente sono evitate per quanto possibile complicate combinazioni booleane.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_6"><num>25.10.6 </num><p>Nel codice sorgente nessuna variabile viene riutilizzata per scopi diversi da quelli inizialmente previsti.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_7"><num>25.10.7 </num><p>Nel codice sorgente il numero di imbricazioni è il più possibile limitato.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_8"><num>25.10.8</num><p>La complessità ciclomatica e cognitiva nel codice sorgente è il più possibile limitata.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11"><num>25.11 </num><p>Concisione</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_1"><num>25.11.1 </num><p>Per concisione si intende la situazione in cui una funzione può essere implementata nel codice sorgente con un minimo di istruzioni.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_2"><num>25.11.2 </num><p>Il software non contiene alcun codice morto («dead code») nel codice sorgente.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_3"><num>25.11.3 </num><p>Il codice sorgente non contiene alcuna variabile inutile.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_4"><num>25.11.4 </num><p>Il codice sorgente non dovrebbe contenere alcuna ripetizione.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12"><num>25.12 </num><p>Intelligibilità</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_1"><num>25.12.1 </num><p>Per intelligibilità si intende la capacità del destinatario di riconoscere gli obiettivi, le ipotesi, le limitazioni, gli input e gli output, le componenti e lo stato del software.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_2"><num>25.12.2 </num><p>Nel codice sorgente le classi, le funzioni e i passi di elaborazione complessi vengono commentati secondo una convenzione stabilita dallo sviluppatore software.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_3"><num>25.12.3 </num><p>Le variabili e le funzioni sono designate con nomi significativi.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_4"><num>25.12.4 </num><p>Un’istruzione dovrebbe comprendere un’unica linea, a meno che la leggibilità sia migliore con la ripartizione su più linee. È da evitare la presenza di più istruzioni su una linea sola.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13"><num>25.13 </num><p>Strumentazione</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_1"><num>25.13.1 </num><p>Per strumentazione si intende la proprietà del software di permettere di misurare la sua utilizzazione o di identificare gli errori.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_2"><num>25.13.2 </num><p>I test unitari<authorialNote><p> In un test unitario, lo sviluppatore testa un modulo indipendentemente dal resto del programma per assicurarsi che il modulo soddisfi le specifiche funzionali e funzioni correttamente in tutte le circostanze. Questa verifica è considerata essenziale per le applicazioni critiche.</p></authorialNote> coprono tutti i percorsi possibili e i limiti tra valori ammessi e non ammessi dei parametri d’entrata.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_3"><num>25.13.3 </num><p>I test d’integrazione coprono tutti i moduli.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_4"><num>25.13.4 </num><p>Gli scenari di test del software coprono tutti i moduli. </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_5"><num>25.13.5 </num><p>Gli errori e le informazioni necessarie sono protocollati nei log.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_26"><num>26.</num><heading>Criteri di verifica dei sistemi e del loro esercizio</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1"><num>26.1 </num><p>Verifica del protocollo crittografico (art. 10 cpv. 1 lett. a)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1"><num>26.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/listintro">Oggetto: si verifica:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u1"><num>– </num><p>se i requisiti elencati nell’articolo 5 in combinato disposto con gli articoli 6–8 e il numero 2 dell’allegato sono adempiuti; questa valutazione avviene in particolare sulla base di note di conformità crittografiche e simboliche;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u2"><num>– </num><p>se e fino a che punto il protocollo crittografico si basa su protocolli ed elementi esistenti e comprovati;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u3"><num>– </num><p>quali approfondimenti e miglioramenti potrebbero contribuire a rafforzare la sicurezza.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_2"><num>26.1.2 </num><p>Competenze: la verifica viene svolta da esperti in crittografia. La Cancelleria federale commissiona la verifica e controlla che sia svolta conformemente al mandato. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3"><num>26.1.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/listintro">Momento della verifica: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u1"><num>– </num><p>una verifica completa avviene precedentemente alla prima messa in esercizio;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u2"><num>– </num><p>la verifica viene di nuovo eseguita dopo 2–3 anni;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3"><num>– </num><p>la verifica avviene di nuovo in occasione di ogni modifica del protocollo crittografico e in seguito all’acquisizione di nuove significative conoscenze della ricerca relative alla sicurezza degli elementi crittografici impiegati e alla situazione di minaccia. </p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2"><num>26.2 </num><p>Verifica del software del sistema (art. 10 cpv. 1 lett. b)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1"><num>26.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/listintro">Oggetto: si verifica: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u1"><num>– </num><p>se il protocollo crittografico verificato secondo il numero 26.1 è attuato; la corretta attuazione di funzioni di componenti affidabili è verificata in modo particolarmente accurato;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u2"><num>– </num><p>se il software del sistema adempie i requisiti della presente ordinanza, e sostiene adeguatamente gli obiettivi predefiniti; </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u3"><num>– </num><p>se il sistema client quale si presenta ai votanti è conforme alla norma eCH-0059 secondo il numero 25.7.3; la verifica può basarsi su un certificato valido emesso o un rapporto d’esame allestito da un’istituzione riconosciuta dalla Cancelleria federale che attesta la conformità con la norma.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_2"><num>26.2.2 </num><p>Competenze: la verifica viene svolta da esperti in crittografia e nello sviluppo di software. La verifica viene commissionata dalla Cancelleria federale. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3"><num>26.2.3</num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/listintro">Momento della verifica: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u1"><num>– </num><p>una verifica completa avviene precedentemente alla prima messa in esercizio;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u2"><num>– </num><p>la verifica viene di nuovo eseguita dopo 2–3 anni;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/listintro">la verifica avviene di nuovo in occasione di ogni modifica significativa, in particolare:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u1"><num>– </num><p>dopo ogni modifica del protocollo crittografico,</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u2"><num>– </num><p>a ogni modifica, apportata al codice sorgente, delle funzioni la cui affidabilità è determinante per la validità delle note di conferma previste nell’ambito della verificabilità,</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u3"><num>– </num><p>in caso di acquisizione di nuovi significativi dati della ricerca riguardanti la sicurezza degli elementi crittografici utilizzati e le situazioni di minaccia,</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u4"><num>– </num><p>in caso di rinuncia o di adeguamenti significativi a meccanismi che servono all’impiego sicuro di componenti affidabili secondo il numero 2.</p></item></blockList></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3"><num>26.3 </num><p>Verifica della sicurezza dell’infrastruttura e dell’esercizio (art. 10 cpv. 1 lett. c)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1"><num>26.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/listintro">Oggetto: si verifica se:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/bull_u1"><num>– </num><p>il sistema e il suo esercizio presso il Cantone, il gestore del sistema e la tipografia adempiono i requisiti della presente ordinanza e sostengono adeguatamente gli obiettivi predefiniti; </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/bull_u2"><num>– </num><p>le componenti di base, quali i software volti ad assicurare un impiego sicuro e indipendente di componenti di controllo, i sistemi operativi o i server impiegati dimostrano di soddisfare i migliori standard. </p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_2"><num>26.3.2 </num><p>Competenze: la verifica viene svolta da esperti in crittografia e nell’esercizio di sistemi altamente sicuri. La verifica viene commissionata dalla Cancelleria federale. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3"><num>26.3.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/listintro">Momento della verifica: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u1"><num>– </num><p>una verifica completa viene svolta precedentemente alla prima messa in esercizio;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u2"><num>– </num><p>la verifica viene di nuovo eseguita dopo 2–3 anni;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/listintro">la verifica viene eseguita di nuovo in caso di modifiche significative, in particolare:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u1"><num>– </num><p>dopo una modifica del protocollo crittografico,</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u2"><num>– </num><p>in caso di rinuncia o di adeguamenti significativi a meccanismi che servono all’impiego sicuro di componenti affidabili secondo il numero 2,</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u3"><num>– </num><p>in caso di un adeguamento significativo dei processi o dell’infrastruttura;</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u4"><num>– </num><p>se vengono impiegate nuove versioni di componenti di base (nuovi server, patch riguardanti il sistema operativo o software che servono all’impiego sicuro e indipendente di componenti secondo il numero 2), non deve esser svolto alcun nuovo controllo se è ancora possibile dimostrare che le componenti corrispondono ai migliori standard.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4"><num>26.4 </num><p>Verifica della protezione da tentativi di introdursi nell’infrastruttura (art. 10 cpv. 1 lett. d)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_1"><num>26.4.1 </num><p>Oggetto: si verifica se gli esperti incaricati dalla Cancelleria federale riescono, nell’ambito di un test, a introdursi nell’infrastruttura del sistema on line e ad avere accesso a dati importanti o ad assumere il controllo su funzioni importanti. </p></item><item eId="annex_u1/lvl_u1/lvl_26/bull_u15"><num/><p>I test sono effettuati sulla base delle potenziali vulnerabilità, individuate a seguito di un’analisi metodica della documentazione disponibile al pubblico, in particolare conformemente all’articolo 11.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_2"><num>26.4.2 </num><p>Competenze: la verifica viene svolta da esperti in sicurezza. Essa viene commissionata dalla Cancelleria federale. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3"><num>26.4.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/listintro"> Momento della verifica: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u1"><num>– </num><p>una verifica completa avviene precedentemente alla prima messa in esercizio;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u2"><num>– </num><p>la verifica viene di nuovo eseguita dopo 2–3 anni;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u3"><num>– </num><p>la verifica viene eseguita di nuovo in caso di ogni modifica significativa dell’infrastruttura.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u4"><num>– </num><p>la verifica ha luogo in caso di acquisizione di nuove significative informazioni riguardanti la sicurezza degli strumenti utilizzati e le situazioni di minaccia.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5"><num>26.5 </num><p>Verifica del sistema di gestione di sicurezza dell’informazione (art. 10 cpv. 2)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_1"><num>26.5.1 </num><p>Oggetto: si verifica se l’ISMS del gestore del sistema è conforme alla norma ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements. Il campo di applicazione dell’ISMS comprende tutte le unità organizzative del gestore del sistema responsabili sotto il profilo giuridico, amministrativo e operativo per il sistema.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_2"><num>26.5.2 </num><p>Competenze: l’organismo di certificazione è accreditato dal Servizio di accreditamento svizzero per eseguire audit ai sensi della norma ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements. La verifica è commissionata dal Cantone o dal gestore del sistema; il Cantone provvede allo svolgimento della verifica.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_3"><num>26.5.3</num><p>Durata di validità di un attestato: gli audit di ripetizione sono svolti negli intervalli stabiliti dalla norma ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements. A ogni impiego è presentato un certificato valido e il relativo «Statement of Applicability». Se viene pubblicata una nuova versione dello standard ISO/IEC 27001, 2013, Information technology – Security techniques – Information security management systems – Requirements, al più tardi dopo la scadenza del termine transitorio deve essere presentata la prova di una certificazione valida dell’ISMS secondo la nuova versione. Il campo di applicazione dell’ISMS non può essere ristretto a favore di questa nuova certificazione.</p></item></blockList></content></level></level></mainBody></doc></component></components></act></akomaNtoso>