Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="en" value="Federal Chancellery Ordinance of 25 May 2022 on Electronic Voting (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="de" value="Verordnung der BK vom 25. Mai 2022 über die elektronische Stimmabgabe (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="fr" value="Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE)" shortForm="OVotE"/><FRBRname xml:lang="it" value="Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE)" shortForm="OVE"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr/xml"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Chancellerie fédérale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/FRA" showAs="fr"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>161.116 </docNumber></p><p><docTitle>Ordonnance de la ChF<br/>sur le vote électronique</docTitle></p><p>(OVotE)</p><p>du 25 mai 2022 (État le 1<sup>er</sup> juillet 2022)</p></preface><preamble><p>La Chancellerie fédérale suisse (ChF),</p><p>vu les art. 27<i>e</i>, al. 1<sup>bis</sup>, 27<i>g</i>, al. 2, 27<i>i</i>, al. 3, et 27<i>l</i>, al. 3 et 4,<br/>de l’ordonnance du 24 mai 1978 sur les droits politiques (ODP)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1978/712_712_712" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>161.11</b></ref></p></authorialNote>,</p><p>arrête:</p></preamble><body><article eId="art_1"><num><b>Art. 1</b></num><heading>Objet</heading><paragraph eId="art_1/para"><content><p>La présente ordonnance fixe les conditions régissant l’octroi de l’agrément pour les essais de vote électronique.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Définitions</heading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> On entend par:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>s<i>ystème:</i> terme générique qui recouvre le logiciel et les infrastructures utilisés pour réaliser un scrutin électronique; </p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>s<i>ystème en ligne:</i> partie du système qui est utilisée pour vérifier le droit de vote, pour envoyer le suffrage chiffré et pour conserver le suffrage chiffré; </p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p><i>partie fiable du système:</i> partie du système comprenant un ou plusieurs groupes de composants de contrôle; la fiabilité de cette partie du système résulte de ce qu’il est possible de détecter les abus même si un seul des composants de contrôle d’un groupe fonctionne correctement; </p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p><i>composants de contrôle:</i> composants du système indépendants qui diffèrent les uns des autres dans leur conception, sont exploités par des personnes différentes et sont sécurisés par des mesures spécifiques; </p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p><i>exploitant du système:</i> autorité ou entreprise privée qui, agissant sur instructions du canton, exploite le système en ligne lors de la tenue d’un scrutin et assure sa maintenance;</p></item><item eId="art_2/para_1/lbl_f"><num>f. </num><p><i>exploitation:</i> toutes actions à caractère technique, administratif ou juridique ainsi que les activités dirigeantes menées par un canton, un exploitant du système ou une imprimerie qui sont nécessaires pour la réalisation d’un scrutin électronique, y compris la maintenance; </p></item><item eId="art_2/para_1/lbl_g"><num>g. </num><p><i>unités d’exploitation:</i> unités responsables de l’exploitation, comme une chancellerie d’État, un exploitant d’un système ou une imprimerie;</p></item><item eId="art_2/para_1/lbl_h"><num>h. </num><p><i>vérificateurs:</i> personnes qui, sur mandat du canton, s’assurent du bon déroulement du scrutin;</p></item><item eId="art_2/para_1/lbl_i"><num>i. </num><p><i>infrastructure:</i> matériel informatique, logiciels de composants tiers au sens de l’art. 11, al. 2, let. a, éléments de réseau, locaux, services et moyens d’exploitation de toute nature des unités d’exploitation, qui sont nécessaires à une exploitation sûre du vote électronique; </p></item><item eId="art_2/para_1/lbl_j"><num>j. </num><p><i>logiciel:</i> pleine implémentation à partir du protocole cryptographique nécessaire à la vérifiabilité complète du processus de vote électronique telle qu’elle a été mise en œuvre par le développeur du système;</p></item><item eId="art_2/para_1/lbl_k"><num>k. </num><p><i>protocole cryptographique:</i> protocole doté de fonctions de sécurité cryptographiques destiné à assurer la conformité aux exigences visées à l’annexe, ch. 2; le protocole cryptographique est implanté au niveau du modèle et ne contient donc pas d’instructions d’implémentation directes, mais uniquement des fonctions de sécurité abstraites;</p></item><item eId="art_2/para_1/lbl_l"><num>l. </num><p><i>plate-forme utilisateur:</i> appareil multifonctionnel programmable relié à Internet et qui permet de voter, tel qu’un ordinateur standard, un ordiphone ou une tablette tactile;</p></item><item eId="art_2/para_1/lbl_m"><num>m. </num><p><i>suffrage enregistré:</i> suffrage dont la partie fiable du système a reçu confirmation de son caractère définitif;</p></item><item eId="art_2/para_1/lbl_n"><num>n. </num><blockList><listIntroduction eId="art_2/para_1/lbl_n/listintro"><i>suffrage partiel:</i> </listIntroduction><item eId="art_2/para_1/lbl_n/lbl_1"><num>1. </num><p>dans le cadre d’une votation: suffrage émis relativement à un projet, à un contre-projet ou à une question subsidiaire,</p></item><item eId="art_2/para_1/lbl_n/lbl_2"><num>2. </num><p>dans le cadre d’une élection: suffrage émis en faveur d’une liste ou d’un candidat;</p></item></blockList></item><item eId="art_2/para_1/lbl_o"><num>o. </num><blockList><listIntroduction eId="art_2/para_1/lbl_o/listintro"><i>suffrage émis conformément à la procédure prévue par le système:</i> suffrage qui répond aux quatre conditions suivantes:</listIntroduction><item eId="art_2/para_1/lbl_o/lbl_1"><num>1. </num><p>il est conforme aux règles applicables au remplissage d’un bulletin de vote,</p></item><item eId="art_2/para_1/lbl_o/lbl_2"><num>2. </num><p>il a été émis de manière définitive,</p></item><item eId="art_2/para_1/lbl_o/lbl_3"><num>3.  </num><p>les données pertinentes d’authentification client et le message d’authentification qui en résulte correspondent aux données d’authentification serveur qui ont été définies et envoyées à l’électeur en amont du scrutin, </p></item><item eId="art_2/para_1/lbl_o/lbl_4"><num>4.  </num><p>il a été émis au moyen de données d’authentification client qui n’ont pas déjà été utilisées pour émettre un suffrage que la partie fiable du système en ligne aurait enregistré précédemment;</p></item></blockList></item><item eId="art_2/para_1/lbl_p"><num>p. </num><p><i>donnée d’authentification client:</i> information mise à la disposition de l’électeur, comme un NIP, et dont celui-ci, le cas échéant conjointement avec d’autres données d’authentification client, a besoin pour voter;</p></item><item eId="art_2/para_1/lbl_q"><num>q. </num><p><i>donnée d’authentification serveur:</i> information qui, le cas échéant conjointement avec d’autres données d’authentification serveur, est nécessaire pour authentifier l’émetteur d’un suffrage en sa qualité d’électeur au moyen de messages d’authentification;</p></item><item eId="art_2/para_1/lbl_r"><num>r. </num><p><i>messages</i> <i>d’authentification:</i> ensemble des informations qu’une plate-forme utilisateur envoie au système en ligne après introduction des données d’authentification client pour que l’infrastructure authentifie l’émetteur d’un suffrage en sa qualité d’électeur;</p></item><item eId="art_2/para_1/lbl_s"><num>s. </num><p><i>certificat:</i> document qui atteste qu’un élément contrôlé est conforme à un cadre de référence ou à une norme;</p></item><item eId="art_2/para_1/lbl_t"><num>t. </num><p><i>certificat électronique:</i> ensemble de données qui atteste de certaines caractéristiques de personnes ou d’objets et dont l’authenticité et l’intégrité peuvent être vérifiées par des procédés cryptographiques; le certificat électronique est principalement utilisé pour identifier et authentifier le titulaire et pour chiffrer les transmissions;</p></item><item eId="art_2/para_1/lbl_u"><num>u. </num><p><i>actions et opérations critiques:</i> activités au cours desquelles des données critiques sont traitées;</p></item><item eId="art_2/para_1/lbl_v"><num>v. </num><p><i>données critiques:</i> données dont l’intégrité ou la confidentialité sont déterminantes pour le respect des exigences du protocole cryptographique.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><p> Sont applicables au surplus les définitions qui figurent au ch. 1 de l’annexe.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Conditions à remplir pour obtenir l’agrément en vue de la tenue d’un scrutin électronique</heading><paragraph eId="art_3/para"><content><blockList><listIntroduction eId="art_3/para/listintro">L’agrément doit être demandé pour chaque scrutin électronique; il est accordé si les conditions suivantes sont remplies: </listIntroduction><item eId="art_3/para/lbl_a"><num>a. </num><p>le système est conçu et exploité de façon à garantir un scrutin électronique vérifiable, sûr et fiable;</p></item><item eId="art_3/para/lbl_b"><num>b. </num><p>le système est facile à utiliser par les électeurs; il tient compte autant que possible des besoins particuliers de chacun;</p></item><item eId="art_3/para/lbl_c"><num>c. </num><p>le système et les processus d’exploitation sont conçus et documentés de façon à ce qu’il soit possible de vérifier et de comprendre dans le détail leurs aspects techniques et organisationnels;</p></item><item eId="art_3/para/lbl_d"><num>d. </num><p>le public a accès à des informations adaptées sur le fonctionnement du système et sur ses processus d’exploitation, et des mesures sont prises pour inciter les personnes disposant des connaissances nécessaires à participer à l’amélioration du système.</p></item></blockList></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Appréciation des risques</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> Le canton démontre au moyen d’une appréciation des risques que les risques pour la sécurité sont suffisamment faibles dans le domaine qui relève de sa compétence. Il tient compte de la confiance et de l’acceptation du public à l’égard du vote électronique.</p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Il examine s’il lui est possible d’apprécier les risques dans les domaines qui relèvent de ses prestataires ou si ceux-ci doivent le faire eux-mêmes. Le cas échéant, il leur demande de procéder à une telle appréciation et de la lui remettre.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><blockList><listIntroduction eId="art_4/para_3/listintro"> Les risques sont appréciés sous l’angle des objectifs de sécurité suivants:</listIntroduction><item eId="art_4/para_3/lbl_a"><num>a. </num><p>l’exactitude des résultats est garantie;</p></item><item eId="art_4/para_3/lbl_b"><num>b. </num><p>le secret du vote est garanti et il est impossible d’établir des résultats partiels anticipés;</p></item><item eId="art_4/para_3/lbl_c"><num>c. </num><p>le vote électronique est accessible et opérationnel;</p></item><item eId="art_4/para_3/lbl_d"><num>d. </num><p>les informations personnelles des électeurs sont protégées;</p></item><item eId="art_4/para_3/lbl_e"><num>e. </num><p>les informations destinées aux électeurs sont protégées contre les manipulations;</p></item><item eId="art_4/para_3/lbl_f"><num>f. </num><p>il est impossible de faire un usage abusif des preuves relatives au comportement de vote.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_4"><num>4</num><content><blockList><listIntroduction eId="art_4/para_4/listintro"> Chaque risque doit être identifié et décrit clairement au moyen de la documentation du système et de son exploitation, sous l’angle des aspects suivants:</listIntroduction><item eId="art_4/para_4/lbl_a"><num>a. </num><p>objectifs de sécurité;</p></item><item eId="art_4/para_4/lbl_b"><num>b. </num><p>données éventuellement liées aux objectifs de sécurité;</p></item><item eId="art_4/para_4/lbl_c"><num>c. </num><p>menaces;</p></item><item eId="art_4/para_4/lbl_d"><num>d. </num><p>vulnérabilités.</p></item></blockList></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Exigences applicables à la vérifiabilité complète</heading><paragraph eId="art_5/para_1"><num>1</num><content><p> Toute manipulation de nature à fausser les résultats doit pouvoir être détectée sans qu’il soit porté atteinte au secret du vote (vérifiabilité complète). Tel est réputé être le cas lorsque sont remplies les exigences applicables et à la vérifiabilité individuelle et à la vérifiabilité universelle.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><blockList><listIntroduction eId="art_5/para_2/listintro"> La vérifiabilité individuelle est soumise aux exigences suivantes:</listIntroduction><item eId="art_5/para_2/lbl_a"><num>a. </num><p>tout votant dispose de la possibilité de détecter si le suffrage qu’il a émis, tel qu’il l’a saisi sur la plate-forme utilisateur, a été manipulé ou intercepté sur la plate-forme utilisateur ou pendant la transmission; tout votant reçoit à cet effet la preuve que la partie fiable du système (art. 8) a enregistré son suffrage tel qu’il l’a saisi sur la plate-forme utilisateur, et que ce suffrage a été émis conformément à la procédure prévue par le système; la preuve atteste, pour chaque suffrage partiel, que l’enregistrement a été effectué correctement;</p></item><item eId="art_5/para_2/lbl_b"><num>b. </num><p>tout électeur qui n’a pas voté par voie électronique peut demander, une fois fermé le canal de vote électronique et avant l’échéance des délais de recours légaux, la preuve que la partie fiable du système n’a pas enregistré de suffrage émis au moyen de ses propres données d’authentification client.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><blockList><listIntroduction eId="art_5/para_3/listintro"> La vérifiabilité universelle est soumise aux exigences suivantes:</listIntroduction><item eId="art_5/para_3/lbl_a"><num>a. </num><blockList><listIntroduction eId="art_5/para_3/lbl_a/listintro">les vérificateurs reçoivent la preuve que les résultats ont été établis correctement; cette preuve atteste que ceux-ci ont été établis en prenant en compte:</listIntroduction><item eId="art_5/para_3/lbl_a/lbl_1"><num>1. </num><p>tous les suffrages qui ont été émis conformément à la procédure prévue par le système et qui ont été enregistrés par la partie fiable du système,</p></item><item eId="art_5/para_3/lbl_a/lbl_2"><num>2. </num><p>uniquement les suffrages qui ont été émis conformément à la procédure prévue par le système,</p></item><item eId="art_5/para_3/lbl_a/lbl_3"><num>3. </num><p>tous les suffrages partiels correspondant à la preuve générée dans le cadre de la vérifiabilité individuelle;</p></item></blockList></item><item eId="art_5/para_3/lbl_b"><num>b. </num><p>les vérificateurs doivent évaluer cette preuve au cours d’un processus observable; ils mettent en œuvre à cet effet des dispositifs techniques indépendants et séparés du reste du système.</p></item></blockList></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Caractère concluant des preuves</heading><paragraph eId="art_6/para"><content><blockList><listIntroduction eId="art_6/para/listintro">Le caractère concluant des preuves visées à l’art. 5 dépend de la fiabilité:</listIntroduction><item eId="art_6/para/lbl_a"><num>a. </num><p>de la partie fiable du système, pour les preuves visées à l’art. 5, al. 2 et 3;</p></item><item eId="art_6/para/lbl_b"><num>b. </num><p>de la procédure utilisée pour générer et imprimer le matériel de vote, pour les preuves visées à l’art. 5, al. 2, et</p></item><item eId="art_6/para/lbl_c"><num>c. </num><p>des dispositifs techniques que les vérificateurs mettent en œuvre aux fins de contrôle, pour les preuves visées à l’art. 5, al. 3.</p></item></blockList></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</heading><paragraph eId="art_7/para"><content><blockList><listIntroduction eId="art_7/para/listintro">Sont déterminantes pour garantir le secret du vote et l’impossibilité d’établir des résultats partiels anticipés au sein de l’infrastructure:</listIntroduction><item eId="art_7/para/lbl_a"><num>a. </num><p>la fiabilité de la partie fiable du système;</p></item><item eId="art_7/para/lbl_b"><num>b. </num><p>la fiabilité de la procédure utilisée pour générer et imprimer le matériel de vote.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Exigences applicables à la partie fiable du système</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> La partie fiable du système comprend un ou plusieurs groupes de composants de contrôle.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Les preuves sont concluantes (art. 6) et le secret du vote est garanti (art. 7) même si, dans chaque groupe, il n’y a qu’un seul composant de contrôle à fonctionner correctement.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> Pour que la fiabilité de la partie fiable du système soit garantie, il faut que les composants de contrôle diffèrent les uns des autres dans leur conception et que leur exploitation et leur surveillance soient indépendantes.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Mesures supplémentaires visant à réduire les risques</heading><paragraph eId="art_9/para"><content><p>Si les risques ne sont pas suffisamment faibles malgré les mesures prises, il convient de prendre des mesures supplémentaires afin de les réduire. Cette règle s’applique même lorsque toutes les exigences prévues dans l’annexe ont déjà été mises en œuvre.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Exigences applicables au contrôle</heading><paragraph eId="art_10/para_1"><num>1</num><content><blockList><listIntroduction eId="art_10/para_1/listintro"> Des organes indépendants mandatés par la ChF vérifient la conformité:</listIntroduction><item eId="art_10/para_1/lbl_a"><num>a. </num><p>du protocole cryptographique (annexe, ch. 26.1);</p></item><item eId="art_10/para_1/lbl_b"><num>b. </num><p>du logiciel du système (annexe, ch. 26.2);</p></item><item eId="art_10/para_1/lbl_c"><num>c. </num><p>de la sécurité de l’infrastructure et de l’exploitation (annexe, ch. 26.3);</p></item><item eId="art_10/para_1/lbl_d"><num>d. </num><p>de la protection contre les tentatives d’intrusion dans l’infrastructure (annexe, ch. 26.4).</p></item></blockList></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Le canton s’assure que l’exploitant du système dispose d’un système de management de la sécurité de l’information (SMSI) et que celui-ci est audité par des organes indépendants (annexe, ch. 26.5). Le SMSI porte au moins sur les processus et les éléments de l’infrastructure de l’exploitant du système qui sont pertinents pour atteindre les objectifs de sécurité.</p></content></paragraph><paragraph eId="art_10/para_3"><num>3</num><content><p> Le canton s’assure que la ChF et les organes indépendants qu’elle a mandatés ont accès au système et à tous les documents nécessaires de façon à pouvoir procéder aux contrôles visés à l’al. 1.</p></content></paragraph><paragraph eId="art_10/para_4"><num>4</num><content><p> Les autorités responsables des contrôles en vertu des al. 1 et 2 publient les pièces justificatives et les certificats. Ils publient en outre tous documents pertinents pour la compréhension de ces derniers. Ne doivent pas obligatoirement être publiés les documents ou parties de documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Publication du code source et de la documentation du système et de son exploitation</heading><paragraph eId="art_11/para_1"><num>1</num><content><blockList><listIntroduction eId="art_11/para_1/listintro"> Le canton veille à ce que soient publiés les éléments suivants:</listIntroduction><item eId="art_11/para_1/lbl_a"><num>a. </num><p>le code source du logiciel du système, y compris les fichiers contenant les paramètres pertinents;</p></item><item eId="art_11/para_1/lbl_b"><num>b. </num><p>une pièce justificative attestant que les programmes lisibles par machine ont été créés au moyen du code source du logiciel tel qu’il a été publié;</p></item><item eId="art_11/para_1/lbl_c"><num>c. </num><p>la documentation du logiciel;</p></item><item eId="art_11/para_1/lbl_d"><num>d. </num><p>la documentation du processus de développement;</p></item><item eId="art_11/para_1/lbl_e"><num>e. </num><p>les guides et autres documentations complémentaires, afin que les personnes disposant des connaissances nécessaires puissent compiler, faire fonctionner et analyser le système dans leur propre infrastructure au moyen du code source;</p></item><item eId="art_11/para_1/lbl_f"><num>f. </num><p>les spécifications techniques des principaux composants du système;</p></item><item eId="art_11/para_1/lbl_g"><num>g. </num><p>la documentation des processus d’exploitation, de maintenance et de sécurité du système;</p></item><item eId="art_11/para_1/lbl_h"><num>h. </num><p>les informations et descriptifs concernant les failles identifiées.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><blockList><listIntroduction eId="art_11/para_2/listintro"> Ne doivent pas obligatoirement être publiés:</listIntroduction><item eId="art_11/para_2/lbl_a"><num>a. </num><p>le code source de composants tiers tels que des systèmes d’exploitation, des bases de données, des serveurs web et des serveurs d’application, des systèmes de gestion des droits, des pare-feu et des routeurs, pour autant que ces composants soient utilisés à grande échelle et qu’ils soient mis à jour en permanence;</p></item><item eId="art_11/para_2/lbl_b"><num>b. </num><p>le code source des portails de cyberadministration qui sont reliés au système;</p></item><item eId="art_11/para_2/lbl_c"><num>c. </num><p>les documents ou parties de documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.</p></item></blockList></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Modalités de publication</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> Les éléments à publier conformément à l’art. 11 doivent être préparés et documentés de façon à faciliter autant que possible leur lecture et leur analyse.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><blockList><listIntroduction eId="art_12/para_2/listintro"> Pour permettre au public d’apprécier les éléments à publier, il est fait en sorte que ceux-ci:</listIntroduction><item eId="art_12/para_2/lbl_a"><num>a. </num><p>soient accessibles en ligne facilement, gratuitement et sans obligation d’enregistrement, et</p></item><item eId="art_12/para_2/lbl_b"><num>b. </num><p>soient disponibles suffisamment longtemps avant l’utilisation prévue du système.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Toute personne a le droit d’examiner, de modifier, de compiler et d’exécuter le code source à des fins idéales et de lui consacrer des études. Elle peut publier des études et des constatations sur les failles. Elle a également le droit d’échanger avec d’autres personnes pour rechercher des failles et de citer tout ou partie des informations publiées.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><blockList><listIntroduction eId="art_12/para_4/listintro"> Le propriétaire du code source peut:</listIntroduction><item eId="art_12/para_4/lbl_a"><num>a. </num><p>autoriser l’utilisation du code source à d’autres fins;</p></item><item eId="art_12/para_4/lbl_b"><num>b. </num><p>soumettre à des conditions particulières la fourniture d’indications sur les moyens d’améliorer le système; il peut ainsi inviter à signaler toute faille au plus vite et à observer un certain délai pour les publications consacrées à des failles supposées.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_5"><num>5</num><content><p> S’il soumet le code source et la documentation à des conditions d’utilisation ou s’il prévoit des conditions au sens de l’al. 4, let. b, il ne peut poursuivre leur violation civilement ou pénalement que si le code source est utilisé en tout ou partie à des fins commerciales ou productives. Les conditions précitées doivent préciser ce point.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Participation du public</heading><paragraph eId="art_13/para_1"><num>1</num><content><blockList><listIntroduction eId="art_13/para_1/listintro"> Le canton désigne un service auquel le public peut fournir des indications sur les moyens d’améliorer le système, notamment:</listIntroduction><item eId="art_13/para_1/lbl_a"><num>a. </num><p>des indications concernant des erreurs dans les éléments qui doivent être publiés en vertu de l’art. 11;</p></item><item eId="art_13/para_1/lbl_b"><num>b. </num><p>des indications reposant sur des tentatives d’intrusion dans le système en ligne effectuées dans le cadre de tests publics.</p></item></blockList></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p> Le service visé à l’al. 1 évalue les indications reçues et informe les personnes qui les ont fournies des conclusions qu’il en a tirées et des mesures qui pourront être prises à partir de ces indications. Ces informations sont publiées.</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p> Le canton veille à ce que les indications qui touchent à la sécurité et qui permettent d’améliorer le système soient rémunérées de manière équitable.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Responsabilité et compétences à l’égard du bon déroulement du scrutin électronique</heading><paragraph eId="art_14/para_1"><num>1</num><content><p> Le canton assume la responsabilité générale du bon déroulement du scrutin électronique.</p></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p> Il exécute lui-même les tâches principales. Il peut déléguer à des entités extérieures le développement du logiciel utilisé, les tâches liées à l’exploitation et la communication sur le fonctionnement du système.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><blockList><listIntroduction eId="art_14/para_3/listintro"> Il désigne un service compétent au niveau cantonal qui assume la responsabilité générale du scrutin et veille notamment à la bonne exécution des tâches suivantes:</listIntroduction><item eId="art_14/para_3/lbl_a"><num>a. </num><p>établir une directive globale sur la sécurité de l’information;</p></item><item eId="art_14/para_3/lbl_b"><num>b. </num><p>établir une directive sur la classification et le traitement de l’information pour les ressources informationnelles identifiées; </p></item><item eId="art_14/para_3/lbl_c"><num>c. </num><p>établir une directive sur la gestion du risque;</p></item><item eId="art_14/para_3/lbl_d"><num>d. </num><p>définir et mettre en œuvre les mesures permettant d’assurer la conformité aux directives visées aux let. a à c;</p></item><item eId="art_14/para_3/lbl_e"><num>e. </num><p>mandater l’exploitant d’un système et définir les exigences applicables à sa surveillance et à son contrôle;</p></item><item eId="art_14/para_3/lbl_f"><num>f. </num><p>fixer les délais applicables à l’exécution d’actions et d’opérations critiques; </p></item><item eId="art_14/para_3/lbl_g"><num>g. </num><p>surveiller et vérifier les travaux effectués par l’exploitant du système; </p></item><item eId="art_14/para_3/lbl_h"><num>h. </num><p>accompagner et instruire les vérificateurs;</p></item><item eId="art_14/para_3/lbl_i"><num>i. </num><p>évaluer et communiquer l’exactitude des résultats du scrutin sur la base des preuves visées à l’art. 5 et d’autres indicateurs.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_4"><num>4</num><content><p> Pendant la tenue d’un scrutin, les unités d’exploitation répondent devant le canton du bon fonctionnement du vote électronique et de la bonne gestion de ses aspects techniques.</p></content></paragraph><paragraph eId="art_14/para_5"><num>5</num><content><p> Les vérificateurs compétents selon le droit cantonal répondent du bon fonctionnement de leurs dispositifs techniques.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Documents à joindre aux demandes</heading><paragraph eId="art_15/para_1"><num>1</num><content><blockList><listIntroduction eId="art_15/para_1/listintro"> Aux demandes présentées en vertu de l’art. 27<i>e</i> ODP devront être joints les informations concernant l’utilisation prévue du système de vote électronique et les documents qui attestent que les exigences légales sont remplies. Il s’agit notamment des documents suivants:</listIntroduction><item eId="art_15/para_1/lbl_a"><num>a. </num><p>les appréciations des risques les plus récentes au sens de l’art. 4, y compris les éléments nécessaires à leur compréhension;</p></item><item eId="art_15/para_1/lbl_b"><num>b. </num><p>les certificats, y compris leurs annexes, qui ont été établis dans le cadre de l’art. 10, al. 2, et les informations attestant de leur publication conformément à l’art. 10, al. 4;</p></item><item eId="art_15/para_1/lbl_c"><num>c. </num><p>les informations concernant la publication des éléments visés à l’art. 11 et les indications fournies par le public en vertu de l’art. 13;</p></item><item eId="art_15/para_1/lbl_d"><num>d. </num><p>les protocoles des tests qui ont été effectués par le canton, et les indications suggérant l’existence de failles affectant le système;</p></item><item eId="art_15/para_1/lbl_e"><num>e. </num><p>les raisons pour lesquelles certaines exigences n’ont pas été remplies et les mesures de remplacement prévues, conformément à l’art. 16, al. 2.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Lorsque la ChF a déjà en sa possession les documents visés à l’al. 1 et qu’ils sont encore valides, il pourra suffire d’y renvoyer.</p></content></paragraph></article><article eId="art_16"><num><b>Art. 16</b></num><heading>Autres dispositions</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Les exigences techniques et administratives à remplir pour organiser un scrutin électronique sont détaillées dans l’annexe.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><blockList><listIntroduction eId="art_16/para_2/listintro"> La ChF peut exceptionnellement dispenser un canton de remplir certaines exigences s’il respecte les trois conditions suivantes:</listIntroduction><item eId="art_16/para_2/lbl_a"><num>a. </num><p>il signale comme telles dans la demande les exigences qu’il n’a pas remplies;</p></item><item eId="art_16/para_2/lbl_b"><num>b. </num><p>il expose de manière plausible les raisons pour lesquelles il n’a pas rempli ces exigences;</p></item><item eId="art_16/para_2/lbl_c"><num>c. </num><p>il décrit les mesures de remplacement qu’il prendra et, s’agissant de l’appréciation des risques, indique les raisons pour lesquelles il considère que ceux-ci sont suffisamment faibles.</p></item></blockList></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Abrogation d’un autre acte</heading><paragraph eId="art_17/para"><content><p>L’ordonnance de la ChF du 13 décembre 2013 sur le vote électronique<authorialNote><p> [<ref href="https://fedlex.data.admin.ch/eli/oc/2013/859" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO<b> 2013</b> 5371</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2018/321" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2018 </b>2279</ref>]</p></authorialNote> est abrogée. </p></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Entrée en vigueur</heading><paragraph eId="art_18/para"><content><p>La présente ordonnance entre en vigueur le 1<sup>er</sup> juillet 2022.</p></content></paragraph></article></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="en" value="Federal Chancellery Ordinance of 25 May 2022 on Electronic Voting (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="de" value="Verordnung der BK vom 25. Mai 2022 über die elektronische Stimmabgabe (VEleS)" shortForm="VEleS"/><FRBRname xml:lang="fr" value="Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE)" shortForm="OVotE"/><FRBRname xml:lang="it" value="Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE)" shortForm="OVE"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/336/20220701/fr/xml"/><FRBRdate date="2022-07-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-05-25" name="jolux:dateDocument"/><FRBRdate date="2022-07-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Annexe</block></container></preface><mainBody><p>(art. 2, al. 1, let. k, et 2, 9, 10, al. 1 et 2, et 16, al. 1)</p><level eId="annex_u1/lvl_u1"><heading>Exigences techniques et administratives applicables <br/>au vote électronique</heading><level eId="annex_u1/lvl_u1/lvl_1"><num>1.</num><heading>Définitions</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/listintro">En complément de l’art. 2, on entend par:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1"><num>1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/listintro"><i>garantie du secret du vote:</i> situation qui prévaut lorsque aucune personne et aucun composant n’a accès aux données suivantes:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_1"><num>1.1.1. </num><p>suffrages émis ou données permettant de déduire le contenu de suffrages émis,</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_2"><num>1.1.2. </num><p>données permettant d’identifier le votant (données concernant les électeurs), et</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_1/lbl_1_1_3"><num>1.1.3. </num><p>données permettant d’attribuer les données concernant les électeurs aux suffrages émis;</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_2"><num>1.2 </num><p><i>impossibilité d’établir des résultats partiels anticipés:</i> situation qui prévaut lorsque aucune personne et aucun composant n’a accès de manière anticipée aux suffrages émis ou à des données permettant de déduire les suffrages émis;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_3"><num>1.3 </num><p><i>référence de vérification:</i> informations fournies avec le matériel de vote qui doivent permettre aux électeurs de vérifier conformément à l’art. 5, al. 2, en rel. avec le ch. 2.5 de l’annexe, que leur suffrage a été émis correctement (par ex. une liste contenant un code pour chaque réponse possible);</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_4"><num>1.4 </num><p><i>attaquant externe:</i> personne ou groupe de personnes externe à la conception et à l’exploitation du système et disposant de ressources et de compétences techniques moyennes et qui mène une attaque; ses motivations peuvent comprendre l’activisme ou l’appât du gain;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_5"><num>1.5 </num><p><i>attaquant interne:</i> personne ou groupe de personnes impliqués dans la conception ou l’exploitation du système et qui mène une attaque; ses motivations peuvent comprendre l’activisme, l’appât du gain ou la volonté de nuire à son employeur;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_6"><num>1.6 </num><p><i>organisation hostile:</i> groupe de personnes disposant de moyens étendus et menant une attaque, qu’il soit soutenu par un État ou non; ses compétences, ou du moins celles de ses membres, sont élevées; elle peut avoir pour motivations la collecte de données à des fins de profilage, la perturbation d’un scrutin ou l’altération de ses résultats;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_7"><num>1.7 </num><p><i>attaquant:</i> personne, groupe de personnes ou organisation au sens des ch. 1.4 à 1.6;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_8"><num>1.8 </num><p><i>urne électronique:</i> zone de stockage dans laquelle les suffrages émis sont conservés jusqu’au déchiffrement et au dépouillement;</p></item><item eId="annex_u1/lvl_u1/lvl_1/lbl_1_9"><num>1.9 </num><p><i>journal système:</i> journal créé par les éléments de l’infrastructure et destiné à permettre la surveillance du fonctionnement du système et l’analyse des incidents.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_2"><num>2.</num><heading>Exigences applicables au protocole cryptographique pour la vérifiabilité complète (art. 5)</heading><content><blockList eId="annex_u1/lvl_u1/lvl_2/list_u1"><item eId="annex_u1/lvl_u1/lvl_2/list_u1/lbl_2_1"><num>2.1 </num><p>Participants du système</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u2"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u2/listintro">Le protocole cryptographique doit régler les tâches des participants abstraits suivants:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u1"><num>− </num><p>électeur / votant</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u2"><num>− </num><p>plate-forme utilisateur</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u3"><num>− </num><p>composant de configuration</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u4"><num>− </num><p>système non fiable (composants quelconques, à l’exclusion des autres composants énumérés sous le présent chiffre; système NF)</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u5"><num>− </num><p>composant d’impression</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u6"><num>− </num><p>un ou plusieurs groupes de composants de contrôle</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u7"><num>− </num><p>vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/bull_u8"><num>− </num><p>dispositif technique des vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u2/lbl_2_2"><num>2.2 </num><p>Canaux de communication</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u3"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/listintro">Le protocole cryptographique peut prévoir les canaux de communication suivants pour l’échange de messages entre les participants du système:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u1"><num>− </num><p>électeur / votant ↔ plate-forme utilisateur</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u2"><num>− </num><p>plate-forme utilisateur ↔ système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u3"><num>− </num><p>composant de configuration ↔ système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u4"><num>− </num><p>composant de contrôle ↔ système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u5"><num>− </num><p>système NF → composant d’impression</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u6"><num>− </num><p>système NF → dispositif technique des vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u7"><num>− </num><p>composant d’impression → électeur / votant</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u8"><num>− </num><p>composant de configuration → dispositif technique des vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u9"><num>− </num><p>vérificateurs ↔ dispositif technique des vérificateurs </p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/bull_u10"><num>− </num><p>canaux bidirectionnels pour la communication entre les composants de contrôle</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3"><num>2.3 </num><p>Attaquant</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_1"><num>2.3.1 </num><p>Le protocole cryptographique doit protéger contre un attaquant qui tente d’influer abusivement sur les suffrages et sur le résultat, de compromettre le secret du vote ou d’établir des résultats partiels de manière anticipée (ch. 2.5 à 2.8).</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2"><num>2.3.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/listintro">Il doit reposer sur l’hypothèse qu’un attaquant possède les capacités suivantes:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/bull_u1"><num>− </num><p>Il peut prendre sous son contrôle tous les participants non fiables du système (voir ch. 2.4) de façon à les amener à partager avec lui toutes les données secrètes et à agir selon toutes ses instructions.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_3_2/bull_u2"><num>− </num><p>Il peut lire ou supprimer tous les messages qui sont échangés sur des canaux non fiables et envoyer des messages à loisir.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4"><num>2.4 </num><p>Participants du système et canaux de communication fiables et non fiables</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_1"><num>2.4.1 </num><p>Les participants du système et les canaux de communication sont considérés soit comme «fiables» soit comme «non fiables». Les hypothèses de confiance licites pour les différents participants du système sont réglées au ch. 2.9.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2"><num>2.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/listintro">Les participants du système et les canaux de communication fiables sont considérés comme protégés contre un attaquant. Les hypothèses suivantes, notamment, peuvent s’appliquer au protocole cryptographique:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/bull_u1"><num>− </num><p>Les participants fiables du système conservent de façon sécurisée les données confidentielles et n’effectuent que les opérations prescrites dans le protocole cryptographique.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_4_2/bull_u2"><num>− </num><p>Les canaux de communication fiables conservent de façon sécurisée les messages transmis et les protègent contre toute manipulation.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u3/lbl_2_5"><num>2.5</num><p>Exigence applicable au protocole cryptographique: vérifiabilité individuelle</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u4"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u4/listintro">L’électeur reçoit des preuves au sens de l’art. 5, al. 2, en rel. avec l’art. 6, let. a et b, qui attestent qu’un attaquant:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u4/bull_u1"><num>− </num><p>n’a modifié ou fait disparaître aucun suffrage partiel de l’électeur jusqu’à son enregistrement en tant que suffrage émis conformément à la procédure prévue par le système;</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u4/bull_u2"><num>− </num><p>n’a pas abusivement émis au nom de l’électeur de suffrage ayant ensuite été enregistré et comptabilisé en tant que suffrage émis conformément à la procédure prévue par le système.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u4/lbl_2_6"><num>2.6</num><p>Exigence applicable au protocole cryptographique: vérifiabilité universelle</p></item></blockList><blockList eId="annex_u1/lvl_u1/lvl_2/list_u5"><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u5/listintro">Les vérificateurs reçoivent des preuves au sens de l’art. 5, al. 3, let. a, en rel. avec l’art. 6, let. a et c, qui attestent qu’un attaquant:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u5/bull_u1"><num>− </num><p>n’a modifié ou fait disparaître aucun suffrage partiel jusqu’au calcul des résultats, après que les suffrages correspondants ont été enregistrés comme ayant été émis conformément à la procédure prévue par le système;</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/bull_u2"><num>− </num><p>n’a ajouté ni suffrage ni suffrage partiel non émis conformément à la procédure prévue par le système, qui ont été pris en compte dans le calcul des résultats.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7"><num>2.7</num><p>Exigences applicables au protocole cryptographique: secret du vote et impossibilité d’établir des résultats partiels anticipés</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_1"><num>2.7.1 </num><p>Un attaquant ne doit pouvoir ni compromettre le secret du vote ni établir des résultats partiels de manière anticipée sans devoir en plus prendre sous son contrôle les électeurs ou leurs plates-formes utilisateur.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_2"><num>2.7.2 </num><p>Il n’est pas obligatoire d’empêcher les attaques qui limitent le nombre des suffrages dépouillés de telle manière que tous les suffrages partiels soient les mêmes pour une question soumise au vote, une liste ou un candidat.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_7_3"><num>2.7.3 </num><p>Un attaquant ne doit pas pouvoir prendre sous son contrôle de manière inaperçue les plates-formes utilisateur en manipulant sur le serveur le logiciel pour les plates-formes utilisateur. Le votant doit à cet égard avoir la possibilité de vérifier si sa plate-forme utilisateur a reçu du serveur le logiciel correct avec les paramètres corrects, notamment la clef publique destiné à chiffrer le suffrage.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u5/lbl_2_8"><num>2.8</num><p>Exigence applicable au protocole cryptographique: authentification efficace</p></item></blockList><p>Un attaquant ne doit pouvoir émettre de suffrage conformément à la procédure prévue par le système sans prendre sous son contrôle les électeurs correspondants.</p><blockList eId="annex_u1/lvl_u1/lvl_2/list_u6"><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9"><num>2.9</num><p>Liste des participants fiables et non fiables du système</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1"><num>2.9.1 </num><p>Concernant le caractère concluant des preuves au sens du ch. 2.5</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1"><num>2.9.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/listintro">Les participants du système suivants sont considérés comme non fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u1"><num>− </num><p>plate-forme utilisateur</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u2"><num>− </num><p>système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u3"><num>− </num><p>trois des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lesquels</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u4"><num>− </num><p>un pourcentage significatif des électeurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u5"><num>− </num><p>les vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_1/bull_u6"><num>− </num><p>les dispositifs techniques des vérificateurs</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2"><num>2.9.1.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/listintro">Les participants du système suivants peuvent être considérés comme fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u1"><num>− </num><p>composant de configuration</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u2"><num>− </num><p>composant d’impression</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_1_2/bull_u3"><num>− </num><p>un des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lequel</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2"><num>2.9.2 </num><p>Concernant le caractère concluant des preuves au sens du ch. 2.6</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1"><num>2.9.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/listintro">Les participants du système suivants sont considérés comme non fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u1"><num>− </num><p>plate-forme utilisateur</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u2"><num>− </num><p>système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u3"><num>− </num><p>trois des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lesquels</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u4"><num>− </num><p>un pourcentage significatif des électeurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u5"><num>− </num><p>composant de configuration</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_1/bull_u6"><num>− </num><p>composant d’impression</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2"><num>2.9.2.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/listintro">Les participants du système suivants peuvent être considérés comme fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u1"><num>− </num><p>un des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lequel</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u2"><num>− </num><p>un vérificateur d’un groupe, sans qu’il soit nécessaire de déterminer lequel</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_2_2/bull_u3"><num>− </num><p>un dispositif technique d’un vérificateur fiable, sans qu’il soit nécessaire de déterminer lequel</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3"><num>2.9.3 </num><p>Concernant le secret du vote et l’impossibilité d’établir des résultats partiels anticipés au sens du ch. 2.7</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1"><num>2.9.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/listintro">Les participants du système suivants sont considérés comme non fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u1"><num>− </num><p>système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u2"><num>− </num><p>trois des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lesquels</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u3"><num>− </num><p>un pourcentage significatif des électeurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u4"><num>− </num><p>les vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_1/bull_u5"><num>− </num><p>les dispositifs techniques des vérificateurs</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2"><num>2.9.3.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/listintro">Les participants du système suivants peuvent être considérés comme fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u1"><num>− </num><p>composant de configuration</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u2"><num>− </num><p>composant d’impression</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u3"><num>− </num><p>plate-forme utilisateur</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_2/bull_u4"><num>− </num><p>un des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lequel</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_3_3"><num>2.9.3.3 </num><p>Si un groupe entier de composants de contrôle est mis en œuvre par un exploitant du système privé, aucun de ces composants ne peut être considéré comme fiable.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4"><num>2.9.4. </num><p>Concernant l’efficacité de l’authentification au sens du ch. 2.8</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1"><num>2.9.4.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/listintro">Les participants du système suivants sont considérés comme non fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u1"><num>− </num><p>système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u2"><num>− </num><p>trois des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lesquels</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u3"><num>− </num><p>un pourcentage significatif des électeurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u4"><num>− </num><p>les vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u5"><num>− </num><p>les dispositifs techniques des vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_1/bull_u6"><num>− </num><p>plate-forme utilisateur</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2"><num>2.9.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/listintro">Les participants du système suivants peuvent être considérés comme fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u1"><num>− </num><p>composant de configuration</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u2"><num>− </num><p>composant d’impression</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_9_4_2/bull_u3"><num>− </num><p>un des quatre composants de contrôle par groupe, sans qu’il soit nécessaire de déterminer lequel</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10"><num>2.10 </num><p>Liste des canaux de communication fiables et non fiables</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1"><num>2.10.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/listintro">Les canaux de communication suivants sont considérés comme non fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u1"><num>− </num><p>plate-forme utilisateur ↔ système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u2"><num>− </num><p>composant de configuration ↔ système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u3"><num>− </num><p>composant de contrôle ↔ système NF</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u4"><num>− </num><p>système NF → composant d’impression</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u5"><num>− </num><p>système NF → dispositif technique des vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_1/bull_u6"><num>− </num><p>canaux bidirectionnels pour la communication entre les composants de contrôle</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2"><num>2.10.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/listintro">Les canaux de communication suivants peuvent être considérés comme fiables:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u1"><num>− </num><p>électeur / votant ↔ plate-forme utilisateur</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u2"><num>− </num><p>dispositif technique des vérificateurs ↔ vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u3"><num>− </num><p>composant de configuration → dispositif technique des vérificateurs</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_10_2/bull_u4"><num>− </num><p>composant d’impression → électeur / votant</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11"><num>2.11</num><p>Exigences supplémentaires applicables au caractère concluant des preuves</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_1"><num>2.11.1 </num><p>La probabilité qu’un attaquant puisse falsifier une preuve au sens du ch. 2.5 en modifiant un suffrage partiel, en faisant disparaître un suffrage partiel ou en émettant un suffrage au nom d’un tiers, ne peut dépasser 0,1 %.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_2"><num>2.11.2 </num><p>La probabilité qu’un attaquant puisse falsifier une preuve au sens du ch. 2.6 en modifiant ou en faisant disparaître un suffrage émis conformément à la procédure prévue par le système ou en ajoutant un suffrage non émis conformément à cette procédure de façon que le résultat établi s’écarte de 0,1 % du résultat correct ne peut dépasser 1 % par projet, choix de liste ou choix d’un candidat sur une liste.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_11_3"><num>2.11.3 </num><p>Si la probabilité qu’un attaquant puisse falsifier une preuve au sens du ch. 2.6 n’est pas négligeable au sens cryptographique<authorialNote><p> Correspond à peu près à la probabilité de décrypter, sans connaître la clef, une valeur ayant été chiffrée avec un algorithme réputé sûr et un paramétrage correspondant.</p></authorialNote>, la probabilité qu’il réussisse doit pouvoir être réduite à loisir au moyen de plusieurs décomptes, les vérificateurs devant recevoir pour chaque décompte une preuve supplémentaire et indépendante au sens du ch. 2.6.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12"><num>2.12 </num><p>Exigences fonctionnelles applicables au processus de vote ayant des incidences sur le protocole cryptographique</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_1"><num>2.12.1 </num><p>Les données d’authentification qui sont attribuées à un électeur ne permettent d’émettre qu’un seul suffrage.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_2"><num>2.12.2 </num><p>Le votant saisit son suffrage dans la plate-forme utilisateur.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_3"><num>2.12.3 </num><p>Le votant peut modifier et vérifier au moyen d’une vue d’ensemble son suffrage jusqu’à ce qu’il décide de l’émettre.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_4"><num>2.12.4 </num><p>Une fois que le votant a eu la possibilité de vérifier son suffrage au moyen de la vue d’ensemble, il indique dans la plate-forme utilisateur qu’il souhaite émettre son suffrage tel qu’il l’a saisi.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_5"><num>2.12.5 </num><p>Les preuves que le suffrage a été correctement émis au sens du ch. 2.5 doivent se structurer en au moins deux preuves partielles séquentielles. Chacune des indications présentées comme une preuve partielle doit constituer une véritable contribution au caractère concluant des preuves au sens du ch. 2.5.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_6"><num>2.12.6 </num><p>La plate-forme utilisateur indique au votant la première preuve partielle après que celui-ci a saisi dans la plate-forme utilisateur son intention d’émettre son suffrage.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_7"><num>2.12.7 </num><p>La plate-forme utilisateur n’indique au votant la seconde preuve partielle qu’une fois que celui-ci a confirmé au moyen d’une saisie dans la plate-forme utilisateur que la preuve partielle précédente était correcte.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_8"><num>2.12.8 </num><p>En confirmant que l’avant-dernière preuve partielle était correcte, le votant déclare vouloir émettre son suffrage de manière définitive.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_9"><num>2.12.9 </num><p>Dès qu’il a reçu confirmation que le votant veut émettre son suffrage de manière définitive, le groupe de composants de contrôle enregistre le suffrage comme ayant été émis conformément à la procédure prévue par le système.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_10"><num>2.12.10 </num><p>Lorsque le votant a vérifié la dernière preuve partielle et si le résultat est positif, l’opération de vote est terminée. La dernière preuve partielle doit être particulièrement facile à vérifier, cette vérification consistant autant que possible dans l’affichage correct d’un code unique ou de toute autre indication simple.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_12_11"><num>2.12.11 </num><p>Si des données de vote sont importées, un composant de configuration ou un composant d’impression ne peut plus à partir de ce moment être considéré comme fiable.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13"><num>2.13 </num><p>Exigences applicables à la définition et à la description du protocole cryptographique</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_1"><num>2.13.1 </num><p>On utilisera lorsque cela sera possible des éléments qui sont largement utilisés dans le monde et qui ont été vérifiés de manière approfondie par des personnes compétentes. De même, on pourra faire appel à titre de comparaison à des standards, des projets de référence et des publications scientifiques. Tout écart par rapport à la norme ou toute incertitude seront traités à part dans le cadre de l’appréciation des risques visés à l’art. 4.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_2"><num>2.13.2 </num><p>Les instructions doivent être suffisamment précises: chacune d’elles devra limiter les possibilités de mise en œuvre de telle sorte que chaque mise en œuvre autorisée par l’instruction correspondante soit également conforme aux exigences applicables au protocole cryptographique.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_13_3"><num>2.13.3 </num><p>Les canaux fiables peuvent être utilisés pour la distribution de certificats électroniques entre les participants au système. Le ch. 3.8 s’applique.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14"><num>2.14 </num><p>Preuves de conformité aux exigences applicables au protocole cryptographique</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_1"><num>2.14.1 </num><p>Une preuve de conformité symbolique et une preuve de conformité cryptographique doivent attester que le protocole cryptographique respecte les exigences visées aux ch. 2.1 à 2.12.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_2"><num>2.14.2 </num><p>Ces preuves de conformité doivent se référer directement à la description du protocole qui sert de base pour le développement du système.</p></item><item eId="annex_u1/lvl_u1/lvl_2/list_u6/lbl_2_14_3"><num>2.14.3 </num><p>En ce qui concerne les éléments de base cryptographiques, les preuves de conformité peuvent être administrées dans le cadre d’hypothèses et de constructions de sécurité généralement admises (comme le modèle de l’oracle aléatoire, l’hypothèse décisionnelle de Diffie-Hellman ou l’heuristique de Fiat-Shamir).</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_3"><num>3.</num><heading>Exigences applicables aux composants fiables au sens du ch. 2 et à leur exploitation</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_1"><num>3.1 </num><p>L’exploitation du composant de configuration et d’au moins un composant de contrôle du groupe contenant une partie de la clef destinée à déchiffrer les suffrages doit relever directement du canton et intervenir dans son infrastructure. Toute sous-traitance à l’exploitant d’un système privé est interdite.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_2"><num>3.2 </num><p>On veillera à utiliser une entropie suffisante pour le choix de valeurs aléatoires concernant, notamment, les composants de configuration et les composants de contrôle.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_3"><num>3.3 </num><p>Les vérificateurs doivent contrôler au moins une fois les preuves au sens du ch. 2.6 et utiliser à cet effet un dispositif technique au sens du ch. 2.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_4"><num>3.4 </num><p>Les exigences d’exploitation pour les composants de configuration visés au ch. 3 s’appliquent également aux dispositifs techniques des vérificateurs. Ceux-ci peuvent prévoir des dérogations dans le cadre de leurs compétences telles qu’elles sont définies par le droit cantonal.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_5"><num>3.5 </num><p>À l’exception des composants mentionnés aux ch. 3.1 et 3.3, le canton peut déléguer l’exploitation de n’importe quelle partie du système, y compris les composants de contrôle et le composant d’impression, à des prestataires de services privés. Un exploitant privé du composant d’impression ne peut effectuer que les tâches opérationnelles qui constituent une condition préalable à la préparation, au conditionnement et à la livraison.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_6"><num>3.6 </num><p>Les composants fiables (composants de configuration, composants d’impression, dispositifs techniques des vérificateurs et composants de contrôle) doivent être mis en place, mis à jour, configurés et sécurisés dans un processus observable.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_7"><num>3.7 </num><p>Avant d’installer un logiciel, il faut vérifier pour tous les programmes au moyen d’une source fiable officielle si la version des fichiers est bien la version correcte et non modifiée.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_8"><num>3.8 </num><p>Lorsque sont installés des certificats électroniques provenant d’autres participants au système, l’authenticité doit être garantie. Il y a lieu à cet effet de prévoir un processus manuel, avec des personnes qui transfèrent les certificats électroniques d’une machine à l’autre via un support de données physique au sens du ch. 3.13.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_9"><num>3.9 </num><p>La date de mise à jour de l’ensemble des logiciels des composants fiables doit être choisie de manière que les avantages attendus l’emportent sur les risques potentiels.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_10"><num>3.10 </num><p>Les composants de configuration, les composants d’impression et les dispositifs techniques des vérificateurs qui sont impliqués d’une manière ou d’une autre dans le traitement des données critiques doivent être surveillés physiquement selon le principe du double contrôle pendant toute la durée du calcul et jusqu’à la suppression de toute donnée critique ou jusqu’au stockage sécurisé de ces composants et dispositifs. Ils peuvent être interconnectés tout au plus par des câbles physiques visibles, afin qu’il soit autant que possible visible jusqu’à la destruction des données confidentielles qu’aucune autre machine ne peut y accéder.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_11"><num>3.11 </num><p>Les composants fiables ne doivent pas être connectés à Internet pour installer ou mettre à jour des logiciels.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_12"><num>3.12 </num><p>En principe, les données critiques doivent être détruites après usage. S’il existe de bonnes raisons à cela, un stockage sécurisé du support de données est également autorisé comme solution alternative.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_13"><num>3.13 </num><p>Les supports destinés à l’échange ou à la conservation de données, tels que les clefs USB, doivent être retirés après le téléchargement des données vers le composant fiable et ne peuvent être réutilisés avant la destruction des données que si le composant fiable était vierge de données critiques avant le téléchargement.</p></item><item eId="annex_u1/lvl_u1/lvl_3/bull_u14"><num/><p>Avant toute utilisation, les supports d’échange de données doivent être reformatés, et toutes les données détruites, au moyen d’un composant exploité conformément aux exigences applicables aux composants fiables.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_14"><num>3.14 </num><p>Aucun accès logique ou physique à des composants fiables ou à des supports contenant des données critiques ne doit être possible sans qu’une autre personne en soit informée, par ex. en prévoyant que cet accès ne soit possible qu’avec son concours (double contrôle strict).</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15"><num>3.15 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/listintro">Un accès non autorisé réussi à un composant de contrôle ne doit pas, autant que possible, conférer un avantage dans la tentative d’accéder discrètement à un autre composant de contrôle. En plus des autres exigences prévues au ch. 3, on appliquera les exigences suivantes:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u1"><num>− </num><p>Si une personne dispose d’un accès physique ou logique à un composant de contrôle, elle ne doit avoir accès à aucun autre composant de contrôle.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u2"><num>− </num><p>Le matériel, les systèmes d’exploitation et les systèmes de surveillance des composants de contrôle doivent autant que possible être différents.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u3"><num>− </num><p>Les composants de contrôle doivent être connectés à plusieurs réseaux locaux différents.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_15/bull_u4"><num>− </num><p>Un composant de contrôle doit être matérialisé par un appareil physique. Une virtualisation réalisée au moyen de plusieurs appareils physiques n’est pas admise.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_16"><num>3.16 </num><p>Les composants de contrôle doivent être conçus pour détecter les accès non autorisés et alerter les personnes responsables. Les personnes responsables doivent prévoir des mesures de surveillance externe, telles que la surveillance et l’enregistrement inviolable du trafic réseau ou la surveillance physique au moyen de caméras placées sous leur contrôle. Les personnes responsables doivent être considérées comme particulièrement loyales et dignes de confiance.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_17"><num>3.17 </num><p>Les composants fiables ne doivent effectuer que les opérations prévues.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_18"><num>3.18 </num><p>Le logiciel du dispositif technique des vérificateurs doit provenir d’un autre développeur de système que celui qui a développé la plupart des logiciels des autres composants du système. La publication du logiciel du dispositif technique sous une licence répondant aux critères des logiciels libres<authorialNote><p> Voir la définition dans le guide intitulé «Praxis-Leitfaden Open Source Software in der Bundesverwaltung» (en langue allemande), version 1.0 du 19.12.2019, chap. 1;  disponible auprès de: Chancellerie fédérale suisse, CH-3003 Berne; www.bk.admin.ch &gt; Transformation numérique et gouvernance de l’informatique &gt; Architecture de  la Confédération &gt; Open Source Software (OSS).</p></authorialNote> peut justifier une exception. Si les vérificateurs utilisent plusieurs dispositifs techniques, cette disposition vaut pour au moins l’un des dispositifs.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_19"><num>3.19 </num><p>Toutes les procédures impliquant des composants fiables doivent être documentées par écrit et d’une manière facile à comprendre pour les personnes concernées.</p></item><item eId="annex_u1/lvl_u1/lvl_3/lbl_3_20"><num>3.20 </num><p>Tout accès et toute utilisation d’un composant fiable ou d’un support de données contenant des données critiques doivent être consignés.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_4"><num>4.</num><heading>Procédure de vote</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_1"><num>4.1 </num><p>Le votant déclare avoir pris connaissance des règles du vote électronique et de la responsabilité qui lui incombe.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_2"><num>4.2 </num><p>Avant de voter, le votant est informé qu’il prend part au scrutin de la même manière que s’il votait par correspondance ou à l’urne. Le votant ne peut émettre son suffrage qu’une fois qu’il a confirmé qu’il en a été informé.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_3"><num>4.3 </num><p>Lors du vote, le votant est prié de vérifier les preuves au sens du ch. 2.5 au moyen de la référence de vérification et de signaler au canton tout doute qu’il pourrait avoir sur leur exactitude.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_4"><num>4.4 </num><p>Tant qu’il n’a pas émis définitivement son suffrage par la voie électronique, l’électeur peut voter via un canal de vote classique.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_5"><num>4.5 </num><p>Le système client tel qu’il se présente à l’électeur n’influence pas la prise de décision de ce dernier.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_6"><num>4.6 </num><p>La navigation n’encourage pas un vote hâtif ou irréfléchi.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_7"><num>4.7 </num><p>Le système ne propose pas au votant une fonction lui permettant d’imprimer ou de sauvegarder son suffrage.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_8"><num>4.8 </num><p>Une fois le vote terminé, le votant ne reçoit aucune information sur le contenu du suffrage chiffré qu’il a émis.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_9"><num>4.9 </num><p>En ce qui concerne les électeurs qui ne sont pas en mesure de voter parce que des tiers ont utilisé indûment leur matériel de vote pour émettre un suffrage, les cantons peuvent les autoriser à voter malgré tout en déclarant nul le suffrage indûment émis. Le secret du vote au sens du ch. 2.7 doit être garanti.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_10"><num>4.10 </num><p>En ce qui concerne les électeurs souffrant d’un handicap, il peut être prévu des facilités pour la vérification des preuves. Dans ce cas uniquement, il peut être dérogé aux exigences prévues au ch. 2.9.1.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_11"><num>4.11 </num><p>Tant que le système n’a pas enregistré de confirmation du vote définitif, un électeur peut voter au moyen d’un canal de vote classique.</p></item><item eId="annex_u1/lvl_u1/lvl_4/lbl_4_12"><num>4.12 </num><p>L’utilisation d’une méthode d’authentification indépendante du vote électronique est autorisée. Les effets sur l’intégrité de la vérification de la qualité d’électeur et la garantie du secret du vote doivent être examinés en détail dans le cadre de l’appréciation des risques.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_5"><num>5.</num><heading>Préparation du scrutin</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_5/lbl_5_1"><num>5.1 </num><p>Si les données du registre des électeurs sont importées depuis un système tiers qui n’est pas sous le contrôle du canton, les données doivent être chiffrées et signées. La signature doit être vérifiée à leur réception. Pour la livraison à l’imprimeur, les dispositions du ch. 7 priment.</p></item><item eId="annex_u1/lvl_u1/lvl_5/lbl_5_2"><num>5.2 </num><p>Les données nécessaires à la vérification des preuves conformément au ch. 2.6 sont remises aux vérificateurs.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_6"><num>6.</num><heading>Exigences applicables aux cartes de légitimation</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_1"><num>6.1 </num><p>Les cartes de légitimation doivent être conçues dans la mesure du possible de manière à permettre aux électeurs handicapés d’utiliser facilement le vote électronique.</p></item><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_2"><num>6.2 </num><p>Il n’est possible d’utiliser des éléments de sécurité sur la carte de légitimation (par ex. un champ à gratter) que s’il a été attesté que les informations dissimulées sont bien protégées contre toute lecture non autorisée.</p></item><item eId="annex_u1/lvl_u1/lvl_6/lbl_6_3"><num>6.3 </num><p>S’il n’est pas utilisé d’éléments de sécurité pour protéger les informations confidentielles sur la carte de légitimation, il faut mettre en place des processus organisationnels pour en garantir la sécurité.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_7"><num>7.</num><heading>Exigences applicables aux imprimeries</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_1"><num>7.1 </num><p>Les fichiers d’impression destinés à la production des cartes de légitimation sont envoyés sous forme chiffrée et signée. Il est également possible de remettre personnellement à l’imprimeur un support de données contenant ces fichiers. En ce cas, le support de données est remis à l’imprimeur par deux personnes qui l’ont surveillé ensemble pendant le transport et jusqu’à la remise (double contrôle).</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_2"><num>7.2 </num><p>Le chiffrement doit répondre aux exigences de la norme eCH 0014<authorialNote><p> eCH-0014: «Normes et architectures pour les applications de cyberadministration en Suisse (SAGA.ch) », version 9.0 du 09.12.2019; disponible gratuitement auprès de: Association eCH, Mainaustrasse 30, Postfach, 8034 Zürich, www.ech.ch.</p></authorialNote>, chap. 7.5. En cas de chiffrement symétrique, l’élément secret permettant le déchiffrement est envoyé aux responsables de l’imprimerie via un canal secondaire sécurisé. </p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_3"><num>7.3 </num><p>Les responsables de l’imprimerie qui reçoivent le support de données signent un accusé de réception.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_4"><num>7.4 </num><p>Le support de données contenant les données d’impression, le composant sur lequel les données critiques sont déchiffrées et tous les composants qui traitent les données critiques sont soumis aux dispositions du ch. 3 relatives au composant d’impression.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_5"><num>7.5 </num><p>Les responsables de l’imprimerie effectuent un contrôle de la quantité de matériel.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_6"><num>7.6 </num><p>Après avoir imprimé les cartes de légitimation, l’imprimerie détruit les données reçues.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_7"><num>7.7 </num><p>Si l’imprimerie se charge également de la mise sous pli et de l’expédition des cartes de légitimation, celles-ci doivent être mises sous pli avec le matériel de vote immédiatement après l’impression.</p></item><item eId="annex_u1/lvl_u1/lvl_7/lbl_7_8"><num>7.8 </num><p>Le canal entre les imprimeries et les électeurs ne peut être considéré comme fiable que si les organes compétents en vertu du droit cantonal remettent le matériel de vote sous pli aux électeurs par voie postale ou s’assurent qu’il soit remis en mains propres.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_8"><num>8.</num><heading>Information et assistance</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_1"><num>8.1 </num><p>Le service compétent au niveau cantonal élabore une stratégie pour informer les citoyens sur le vote électronique.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_2"><num>8.2 </num><p>Cette stratégie garantit que les informations sont autorisées par les organes compétents.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_3"><num>8.3 </num><p>Sont publiés sur Internet des conseils et des guides sur la manière de voter, ainsi que des informations sur les responsabilités qui incombent aux électeurs. Ils préviennent tout vote hâtif ou irréfléchi.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_4"><num>8.4 </num><p>La vérifiabilité, les autres mesures de sécurité et les procédures à suivre en cas d’anomalie sont expliquées aux électeurs de manière aisément compréhensible.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_5"><num>8.5 </num><p>Les électeurs sont informés de ce à quoi ils doivent faire attention pour pouvoir voter en toute sécurité.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_6"><num>8.6 </num><p>Il est expliqué aux électeurs comment supprimer après le vote leur suffrage dans tous les espaces mémoire de la plate-forme utilisateur sur laquelle ils ont saisi leur vote.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_7"><num>8.7 </num><p>Les électeurs peuvent demander une assistance en matière de vote électronique.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_8"><num>8.8 </num><p>Les électeurs sont invités à signaler au service compétent au niveau cantonal les preuves au sens du ch. 2.5, comme les codes de vérification, qui sont affichées de manière incorrecte, ou les autres vérifications dont les résultats sont négatifs. Cette invitation est également diffusée avec le matériel de vote.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_9"><num>8.9 </num><p>Les électeurs sont invités à conserver de façon sécurisée le matériel de vote contenant les éléments de sécurité visés au sens du ch. 2.5, jusqu’à ce qu’ils aient émis leur vote de manière définitive ou que le scrutin soit clos.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_10"><num>8.10 </num><p>Les électeurs reçoivent les informations nécessaires pour vérifier l’authenticité du site Internet utilisé pour voter, du serveur ainsi que du logiciel. La pertinence d’une vérification réussie doit être étayée par l’utilisation de moyens cryptographiques conformes aux meilleures pratiques.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_11"><num>8.11 </num><p>Les informations essentielles pour garantir un vote sécurisé sont envoyées avec le matériel de vote. Il est expliqué aux électeurs qu’en cas de doute, ils doivent se référer aux informations qui sont fournies avec le matériel de vote et non à celles qui s’affichent sur la plate-forme utilisateur.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_12"><num>8.12 </num><p>Il est expliqué aux électeurs par quels moyens le secret du vote est assuré.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_13"><num>8.13 </num><p>Toute faille identifiée et les mesures qu’elle appelle sont communiquées de manière transparente.</p></item><item eId="annex_u1/lvl_u1/lvl_8/lbl_8_14"><num>8.14 </num><p>Les vérificateurs doivent être informés et formés de manière adéquate sur les processus dont dépendent l’exactitude du résultat, la garantie du secret du vote et l’impossibilité d’établir des résultats partiels anticipés (par ex. la génération des clefs, l’impression du matériel de vote, le déchiffrement et le dépouillement). Ils sont capables de comprendre les points essentiels des processus et leur signification.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_9"><num>9.</num><heading>Ouverture et fermeture du canal de vote électronique</heading><content><p>Le canal de vote électronique n’est disponible que pendant la période autorisée.</p></content></level><level eId="annex_u1/lvl_u1/lvl_10"><num>10.</num><heading>Contrôle de conformité et enregistrement des suffrages définitifs</heading><content><p>Un suffrage qui n’a pas été émis conformément à la procédure prévue par le système n’est pas enregistré dans l’urne électronique.</p></content></level><level eId="annex_u1/lvl_u1/lvl_11"><num>11.</num><heading>Dépouillement de l’urne électronique</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_1"><num>11.1 </num><p>Le déchiffrement et le dépouillement des suffrages ne peuvent commencer avant le dimanche de l’élection ou de la votation.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_2"><num>11.2 </num><p>Le canton effectue le déchiffrement et le dépouillement dans sa propre infrastructure.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_3"><num>11.3 </num><p>Le canton veille à ce que le déchiffrement et le dépouillement des suffrages donnent lieu à procès-verbal. Le service compétent au niveau cantonal approuve ce procès-verbal.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_4"><num>11.4 </num><p>Depuis le déchiffrement des suffrages jusqu’à la transmission du résultat du scrutin, tout accès au système ou à l’un de ses composants est effectué par au moins deux personnes; il est consigné par écrit et doit pouvoir être contrôlé par les vérificateurs.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_5"><num>11.5 </num><p>Si les données de résultats sont envoyées à un système tiers qui n’est pas sous le contrôle du canton, ces données sont chiffrées et signées.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_6"><num>11.6 </num><p>Le système permet d’utiliser la carte de légitimation pour déterminer si une personne a émis un suffrage par voie électronique.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_7"><num>11.7 </num><p>Les vérificateurs sont présents pendant le déchiffrement et le dépouillement. Les cantons peuvent permettre des travaux de contrôle à distance.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_8"><num>11.8 </num><p>Les composants utilisés pour le dépouillement des suffrages sont soumis aux mêmes exigences que celles qui s’appliquent aux composants de configuration au sens du ch. 3 s’ils ne sont pas fiables au sens du ch. 2.4.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_9"><num>11.9 </num><p>Les vérificateurs exercent leurs responsabilités conformément au droit cantonal lorsqu’ils procèdent à la vérification des preuves au sens du ch. 2.6.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_10"><num>11.10 </num><p>Le service compétent au niveau cantonal soumet aux vérificateurs tous les indicateurs pertinents pour l’exactitude du résultat. Outre les preuves au sens du ch. 2.6, il s’agit notamment du nombre et du type d’anomalies signalées au canton par les électeurs.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_11"><num>11.11 </num><p>Le canton anticipe les anomalies éventuelles et élabore, en concertation avec les acteurs concernés, un plan d’urgence précisant la conduite à tenir. Il veille à la transparence vis-à-vis du public.</p></item><item eId="annex_u1/lvl_u1/lvl_11/lbl_11_12"><num>11.12 </num><p>Dans la mesure où elles sont disponibles et où la base de données le permet, des méthodes statistiques seront utilisées pour établir la plausibilité des résultats.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_12"><num>12.</num><heading>Données confidentielles</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_1"><num>12.1 </num><p>Il est fait en sorte que ni les collaborateurs ni les personnes extérieures n’aient connaissance de données permettant d’établir un lien entre l’identité du votant et le suffrage qu’il a émis.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_2"><num>12.2 </num><p>Il est fait en sorte que ni les collaborateurs ni les personnes extérieures n’aient connaissance avant le déchiffrement des suffrages de données permettant d’établir des résultats partiels de manière anticipée.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_3"><num>12.3 </num><p>Le canton ne peut pas transmettre à des entreprises privées la part de la clef de déchiffrement des suffrages qu’il détient en vertu du ch. 3.1 sur le composant de contrôle qu’il exploite.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_4"><num>12.4 </num><p>Le canton traite les résultats du scrutin de manière confidentielle depuis le moment où les suffrages sont déchiffrés jusqu’à celui de la publication.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_5"><num>12.5 </num><p>Le canton fait en sorte que soient traitées de manière confidentielle les données qui permettent de déterminer si un électeur a voté par voie électronique.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_6"><num>12.6 </num><p>Le canton traite les différents suffrages de manière confidentielle après le dépouillement.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_7"><num>12.7 </num><p>Le canton veille à ce que les résultats des votations et des élections organisées dans les circonscriptions de petite taille soient traités de manière confidentielle.</p></item><item eId="annex_u1/lvl_u1/lvl_12/lbl_12_8"><num>12.8 </num><p>Après la validation sont détruites selon un processus préétabli et documenté, toutes les données qui ont été créées au cours du scrutin électronique, qui concernent les différents suffrages enregistrés et qui sont classées comme confidentielles.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_13"><num>13.</num><heading>Menaces</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_1"><num>13.1 </num><p>Les menaces énumérées aux ch. 13.3 à 13.40 sont des menaces d’ordre général et constituent un socle qu’il y a lieu de compléter. Elles se rapportent aux objectifs de sécurité et doivent être prises en compte dans le cadre de l’identification des risques. Selon les vulnérabilités du système qui seront détectées et compte tenu des appréciations des risques des différents services, il y aura lieu de préciser et de compléter cette liste au vu de la constellation en présence et des menaces effectives.</p></item><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2"><num>13.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/listintro">Sont réputées menaces potentielles:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/bull_u1"><num>– </num><p>les menaces accidentelles ou délibérées émanant d’acteurs humains internes ou externes utilisant des moyens électroniques ou physiques;</p></item><item eId="annex_u1/lvl_u1/lvl_13/lbl_13_2/bull_u2"><num>– </num><p>les menaces résultant d’un dysfonctionnement du système ou des éléments de support du système.</p></item></blockList></item></blockList><table border="1"><tr><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"/><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><p>Description</p></th><th xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><p>Objectif de sécurité concerné<br/>(au sens de l’art. 4, al. 3)</p></th></tr><tr><td><p>13.3</p></td><td><p>Un logiciel malveillant modifie le suffrage sur la plate-forme de l’utilisateur.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.4</p></td><td><p>Un attaquant externe détourne le suffrage au moyen d’un empoisonnement du cache DNS<authorialNote><p> L’«empoisonnement du cache DNS » (Domain name server spoofing) est une attaque au cours de laquelle le lien entre un nom d’hôte et l’adresse IP correspondante est faussé.</p></authorialNote>.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.5</p></td><td><p>Un attaquant externe modifie le suffrage au moyen de la technique de «l’homme du milieu», ou «MITM»<authorialNote><p> L’«homme du milieu » désigne l’attaquant dans une attaque de type man in the middle (MITM). L’attaque MITM est une forme d’attaque qui trouve son application dans les réseaux informatiques. L’attaquant s’immisce physiquement ou logiquement entre les deux partenaires d’une communication et prend totalement le contrôle du trafic de données entre eux ou entre plusieurs périphériques réseau. Il peut consulter les informations à loisir et même les manipuler.</p></authorialNote>.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.6</p></td><td><p>Un attaquant externe envoie au moyen d’une attaque MITM des données corrompues qui sont nécessaires pour émettre le suffrage et qui proviennent du système en ligne (par ex. un fichier Javascript).</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.7</p></td><td><p>Un attaquant interne manipule le logiciel, qui n’enregistre alors plus les suffrages.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.8</p></td><td><p>Un attaquant interne modifie, supprime ou multiplie les suffrages.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.9</p></td><td><p>Un attaquant interne ajoute des suffrages dans l’urne électronique.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.10</p></td><td><p>Une organisation hostile pénètre dans le système pour fausser le résultat.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.11</p></td><td><p>Un attaquant interne copie du matériel de vote et l’utilise.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.12</p></td><td><p>Un attaquant externe utilise des méthodes relevant de l’ingénierie sociale pour détourner l’attention du votant des mesures de sécurité (vérifiabilité individuelle).</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.13</p></td><td><p>Un attaquant externe pénètre électroniquement, physiquement ou au moyen de procédés d’ingénierie sociale dans l’infrastructure du canton et manipule les composants de configuration ou s’empare de données de sécurité.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.14</p></td><td><p>Un attaquant externe pénètre électroniquement, physiquement ou au moyen de procédés d’ingénierie sociale dans l’infrastructure de l’imprimerie et s’empare des codes des cartes de légitimation.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.15</p></td><td><p>Un attaquant externe pénètre électroniquement, physiquement ou au moyen de procédés d’ingénierie sociale dans l’infrastructure de La Poste et s’empare de cartes de légitimation.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.16</p></td><td><p>Une erreur se produit dans la vérifiabilité individuelle.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.17</p></td><td><p>Une erreur se produit dans la vérifiabilité universelle.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.18</p></td><td><p>Un dispositif technique des vérificateurs comporte une erreur.</p></td><td><p>Exactitude des résultats</p></td></tr><tr><td><p>13.19</p></td><td><p>Une «porte dérobée»<authorialNote><p> Dans un logiciel, une «porte dérobée » (backdoor) est une fonctionnalité inconnue de l’utilisateur légitime, qui donne un accès secret au logiciel.</p></authorialNote> est introduite dans le système via une dépendance logicielle et est mise à profit par un attaquant externe pour accéder au système.</p></td><td><p>Exactitude des résultats, garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés, accessibilité et capacité opérationnelle du vote électronique, protection contre les manipulations des informations destinées aux électeurs, pas d’usage abusif des preuves relatives au comportement de vote</p></td></tr><tr><td><p>13.20</p></td><td><p>Un logiciel malveillant installé sur la plate-forme utilisateur envoie le suffrage à une organisation hostile.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.21</p></td><td><p>Le suffrage est détourné au moyen d’un empoisonnement du cache DNS.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.22</p></td><td><p>Un attaquant externe lit le suffrage au moyen d’une attaque MITM.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.23</p></td><td><p>Un attaquant interne utilise la clef et déchiffre des suffrages non anonymisés.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.24</p></td><td><p>Le secret du vote est violé lors de la vérification de l’exactitude du traitement et du dépouillement.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.25</p></td><td><p>Un attaquant interne lit des suffrages de manière anticipée sans devoir les déchiffrer.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.26</p></td><td><p>Une organisation hostile pénètre dans le système pour violer le secret du vote ou pour établir des résultats partiels de manière anticipée.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.27</p></td><td><p>Une erreur dans le processus de chiffrement rend celui-ci inopérant ou réduit son efficacité.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.28</p></td><td><p>Un attaquant interne manipule le logiciel et celui-ci divulgue les suffrages.</p></td><td><p>Garantie du secret du vote et impossibilité d’établir des résultats partiels anticipés</p></td></tr><tr><td><p>13.29</p></td><td><p>Un logiciel malveillant installé sur l’ordinateur de l’électeur empêche ce dernier de voter.</p></td><td><p>Accessibilité et capacité opérationnelle du canal de vote</p></td></tr><tr><td><p>13.30</p></td><td><p>Une organisation hostile mène une attaque du type «déni de service» (DOS)<authorialNote><p> Un «déni de service» (denial of service, DOS) correspond à l’impossibilité d’accéder,  lors d’un traitement numérique de données, à un service qui devrait en principe être  disponible.</p></authorialNote>.</p></td><td><p>Accessibilité et capacité opérationnelle du canal de vote</p></td></tr><tr><td><p>13.31</p></td><td><p>Un attaquant interne configure mal le système; le dépouillement ne peut pas se faire.</p></td><td><p>Accessibilité et capacité opérationnelle du canal de vote</p></td></tr><tr><td><p>13.32</p></td><td><p>Un attaquant interne falsifie les preuves cryptographiques de la vérifiabilité universelle.</p></td><td><p>Accessibilité et capacité opérationnelle du canal de vote</p></td></tr><tr><td><p>13.33</p></td><td><p>Une défaillance technique du système fait que le système n’est pas disponible au moment du dépouillement.</p></td><td><p>Accessibilité et capacité opérationnelle du canal de vote</p></td></tr><tr><td><p>13.34</p></td><td><p>Un dispositif technique des vérificateurs ne fonctionne pas au moment du dépouillement.</p></td><td><p>Accessibilité et capacité opérationnelle du canal de vote</p></td></tr><tr><td><p>13.35</p></td><td><p>Une organisation hostile pénètre dans le système pour en perturber l’exploitation, pour manipuler les informations destinées aux électeurs ou pour obtenir des preuves relatives au comportement de vote des électeurs.</p></td><td><p>Accessibilité et capacité opérationnelle du canal de vote, protection contre les manipulations des informations destinées aux électeurs, pas d’usage abusif des preuves relatives au comportement de vote</p></td></tr><tr><td><p>13.36</p></td><td><p>Un attaquant interne vole les données concernant les adresses des électeurs.</p></td><td><p>Protection des informations personnelles concernant les électeurs</p></td></tr><tr><td><p>13.37</p></td><td><p>Un logiciel malveillant influence des électeurs pendant qu’ils se forgent une opinion.</p></td><td><p>Protection contre les manipulations des informations destinées aux électeurs</p></td></tr><tr><td><p>13.38</p></td><td><p>Un attaquant interne manipule le site Internet d’information ou le portail de vote et sème la confusion dans l’esprit des électeurs.</p></td><td><p>Protection contre les manipulations des informations destinées aux électeurs</p></td></tr><tr><td><p>13.39</p></td><td><p>Un attaquant interne prescrit à des électeurs si et comment ils doivent voter. Après le déchiffrement, il trouve dans l’infrastructure des pièces justificatives prouvant que les électeurs se sont tenus aux instructions.</p></td><td><p>Pas d’usage abusif des preuves relatives au comportement de vote</p></td></tr><tr><td><p>13.40</p></td><td><p>Un attaquant externe prescrit à des électeurs si et comment ils doivent voter et leur demande une pièce justificative prouvant qu’ils se sont tenus aux instructions.</p></td><td><p>Pas d’usage abusif des preuves relatives au comportement de vote</p></td></tr></table></content></level><level eId="annex_u1/lvl_u1/lvl_14"><num>14.</num><heading>Détection et annonce d’incidents et de vulnérabilités en matière de sécurité; gestion des incidents en matière de sécurité et des améliorations</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_1"><num>14.1 </num><p>Un système de monitoring de l’infrastructure détecte les incidents qui pourraient menacer la sécurité du système, y compris sa disponibilité, et alerte le personnel compétent. Le personnel en question gère les incidents selon des procédures prédéfinies. Des scénarios de crise et des plans de sauvetage servent de directives (ils comprennent un plan qui garantit que les activités en rapport avec le scrutin peuvent être poursuivies) et sont utilisés au besoin. </p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u2"><num/><p>Les erreurs d’écriture lors de l’enregistrement d’un suffrage dans les composants de contrôle et dans l’urne sont détectées. Des informations supplémentaires en rapport avec l’erreur doivent être disponibles afin de permettre de détecter et de corriger l’erreur. Les incidents constatés doivent être signalés au service compétent au niveau cantonal.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_2"><num>14.2 </num><p>Des procès-verbaux dont la collecte, la transmission et le stockage résistent aux manipulations sont établis dans l’infrastructure (journaux système). Ils sont cohérents entre eux et permettent de retracer les événements pertinents dans le cadre de l’examen de manipulations ou d’erreurs supposées. Ils servent à cet égard de preuve de la prise en compte complète, non falsifiée et exclusive de l’intégralité des suffrages émis conformément à la procédure prévue par le système ainsi que de preuve de la garantie du secret du vote et de l’impossibilité d’établir des résultats partiels anticipés.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_14/bull_u4/listintro">Le contenu des procès-verbaux couvre au moins les événements suivants:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u1"><num>− </num><p>démarrage et arrêt des processus de journalisation, d’identification et d’authentification</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u2"><num>− </num><p>démarrage, redémarrage et fin de la phase de vote</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u3"><num>− </num><p>démarrage du dépouillement comprenant l’établissement des résultats</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u4"><num>− </num><p>réalisation d’éventuels autotests et résultats de ces derniers</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u4/bull_u5"><num>− </num><p>dysfonctionnements qui ont été identifiés dans les éléments de l’infrastructure informatique et qui compromettent la capacité opérationnelle</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u5"><num/><p>Il documente par ailleurs la date et l’heure, le type d’événement, l’auteur potentiel et le résultat, en termes d’échec ou de réussite.</p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u6"><num/><p>Les journaux système sont mis à la disposition du service compétent au niveau cantonal sous une forme qui lui permette d’en interpréter les informations.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_3"><num>14.3 </num><p>Le monitoring et l’établissement des procès-verbaux sont soumis à un processus d’amélioration continue. Ce processus inclut un dialogue ouvert entre les parties prenantes et une évaluation objective régulière de l’efficacité des instruments et des processus mis en œuvre. Les résultats des évaluations sont pris en compte dans ce cadre.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_4"><num>14.4 </num><p>Le monitoring et la collecte des journaux système ne compromettent en aucun cas l’efficacité des mesures destinées à garantir le secret du vote.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_5"><num>14.5 </num><p>Il est garanti que les suffrages et les données qui prouvent le bon fonctionnement de la procédure de dépouillement des suffrages sont, en cas de panne, enregistrés dans l’infrastructure sans subir d’altérations.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_6"><num>14.6 </num><p>Après une panne du système ou une défaillance des moyens de communication ou d’enregistrement, le système passe dans un mode «reprise sur panne» qui donne la possibilité de retourner à un mode de fonctionnement sûr. En particulier, les procédures de vote qui ont débuté sont interrompues. Le votant ne peut reprendre la procédure de vote que lorsque le système est de nouveau dans un mode de fonctionnement sûr. </p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_7"><num>14.7 </num><p>Il est possible, au moyen de données d’authentification, d’envoyer des suffrages de contrôle qui ne sont attribués à aucun électeur. Le contenu de ces suffrages de contrôle est consigné dans un procès-verbal. Les suffrages de contrôle dépouillés sont comparés avec ceux qui sont consignés dans les procès-verbaux. </p></item><item eId="annex_u1/lvl_u1/lvl_14/bull_u12"><num/><p>Il est garanti non seulement que les suffrages de contrôle seront traités dans toute la mesure du possible de manière similaire aux suffrages émis conformément à la procédure prévue par le système, mais aussi qu’ils ne seront pas comptabilisés.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_8"><num>14.8 </num><p>La disponibilité de l’infrastructure est contrôlée et consignée dans un procès-verbal à des intervalles déterminés.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_9"><num>14.9 </num><p>Toutes les parties du système de vote sont régulièrement mises à jour moyennant un processus préétabli et documenté afin que les vulnérabilités identifiées soient éliminées.</p></item><item eId="annex_u1/lvl_u1/lvl_14/lbl_14_10"><num>14.10 </num><p>Les mesures qui servent à la surveillance et à l’établissement des procès-verbaux de l’utilisation du système et des activités des administrateurs, ainsi qu’à l’établissement des procès-verbaux des dysfonctionnements, sont décrites de manière détaillée, mises en œuvre, suivies et vérifiées.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_15"><num>15.</num><heading>Utilisation de mesures cryptographiques et gestion des clefs</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_1"><num>15.1 </num><p>Les certificats électroniques sont gérés selon les meilleures pratiques.</p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_2"><num>15.2 </num><p>Des mesures cryptographiques efficaces correspondant à l’état de la technique garantissent l’intégrité des données sous-tendant l’exactitude des résultats et la confidentialité des données critiques, y compris des données d’identification et d’authentification concernant les autorités.</p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_3"><num>15.3 </num><p>Dans l’infrastructure, des mesures cryptographiques efficaces correspondant à l’état de la technique garantissent la confidentialité des données critiques. Ces données sont toujours enregistrées sur des supports sous une forme chiffrée. </p></item><item eId="annex_u1/lvl_u1/lvl_15/lbl_15_4"><num>15.4 </num><p>Des éléments de base cryptographiques sont utilisés uniquement quand la longueur des clefs et les algorithmes correspondent aux normes courantes (par ex. NIST, ECRYPT, SCSE). La signature électronique satisfait aux exigences d’une signature électronique avancée au sens de la loi du 18 mars 2016 sur la signature électronique (SCSE)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2016/752" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>943.03</b></ref></p></authorialNote>. La vérification de la signature se fait au moyen d’un certificat électronique délivré par un fournisseur de services de certification reconnu au sens de la SCSE.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_16"><num>16.</num><heading>Échange d’informations électronique et physique sûr</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_16/lbl_16_1"><num>16.1 </num><p>Tous les composants de l’infrastructure sont exploités dans une zone réseau séparée. Cette zone est protégée par rapport au reste du réseau au moyen d’un contrôle de routage adéquat.</p></item><item eId="annex_u1/lvl_u1/lvl_16/lbl_16_2"><num>16.2 </num><p>Le vote électronique est de manière générale clairement séparé de l’ensemble des autres applications.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_17"><num>17.</num><heading>Tests du système</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_1"><num>17.1 </num><p>Les fonctions pertinentes pour la sécurité du système (fonctions de sécurité) sont testées. Les tests sont documentés au moyen de plans de test et au moyen des résultats attendus et des résultats effectifs des tests.</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u2"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/bull_u2/listintro">Le plan de test:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/bull_u2/bull_u1"><num>− </num><p>détermine les tests qui doivent être exécutés;</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u2/bull_u2"><num>− </num><p>décrit les scénarios de chaque test, y compris les éventuelles dépendances par rapport aux résultats d’autres tests.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u3"><num/><p>Les résultats attendus doivent montrer les résultats escomptés d’une exécution réussie des tests.</p></item><item eId="annex_u1/lvl_u1/lvl_17/bull_u4"><num/><p>Les résultats effectifs doivent correspondre aux résultats attendus.</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2"><num>17.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/listintro">Une analyse de la couverture des tests est réalisée. Elle démontre:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/bull_u1"><num>− </num><p>que les tests définis dans la documentation de test et les spécifications fonctionnelles des interfaces correspondent;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_2/bull_u2"><num>− </num><p>que toutes les interfaces ont été complètement testées.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3"><num>17.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/listintro">Une analyse de la profondeur des tests est réalisée. Elle démontre:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u1"><num>− </num><p>que les tests définis dans la documentation de test et les sous-systèmes relatifs aux fonctions de sécurité et aux modules ayant un rôle dans la garantie de la sécurité correspondent;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u2"><num>− </num><p>que tous les sous-systèmes relatifs aux fonctions de sécurité figurant dans les spécifications ont été testés;</p></item><item eId="annex_u1/lvl_u1/lvl_17/lbl_17_3/bull_u3"><num>− </num><p>que tous les modules ayant un rôle dans la garantie de la sécurité ont été testés.</p></item></blockList></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_18"><num>18.</num><heading>Organisation de la sécurité des informations</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_1"><num>18.1 </num><p>Tous les rôles et toutes les responsabilités concernant l’exploitation du système sont précisément définis, attribués et communiqués.</p></item><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_2"><num>18.2 </num><p>La configuration initiale de l’infrastructure, qu’il s’agisse du matériel, du logiciel ou des droits d’accès, et toute modification doivent avoir été approuvées au préalable.</p></item><item eId="annex_u1/lvl_u1/lvl_18/lbl_18_3"><num>18.3 </num><p>Les risques liés à des tiers (mandataires tels que fournisseurs et prestataires) sont identifiés et réduits autant que nécessaire moyennant la conclusion de conventions contractuelles adéquates. Le respect de ces conventions est surveillé et vérifié de manière appropriée pendant leur durée de validité.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_19"><num>19.</num><heading>Gestion des ressources matérielles ou immatérielles</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_1"><num>19.1 </num><p>Toutes les ressources matérielles ou immatérielles qui correspondent à un actif au sens de la norme ISO/IEC 27001:2013, Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences<authorialNote><p> Le texte peut être consulté ou obtenu contre paiement auprès de: Secrétariat central de l’Organisation internationale de normalisation (ISO), Chemin de Blandonnet 8, CP 401, 1214 Vernier, www.iso.org.</p></authorialNote> et qui sont pertinentes pour le vote électronique (organisation dans son ensemble, en particulier les processus organisationnels et les informations traitées dans le cadre de ces processus; les supports de données; les installations de traitement des données de l’infrastructure; les locaux de l’infrastructure) sont répertoriées dans un inventaire. Une liste recensant le personnel doit être dressée. L’inventaire et la liste du personnel sont tenus à jour. Chaque ressource matérielle ou immatérielle est attribuée à une personne qui en prend la responsabilité.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_2"><num>19.2 </num><p>L’utilisation licite de ressources matérielles ou immatérielles est définie.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_3"><num>19.3 </num><p>Des directives régissant la classification des informations sont édictées et communiquées.</p></item><item eId="annex_u1/lvl_u1/lvl_19/lbl_19_4"><num>19.4 </num><p>Des procédures régissant le marquage et la gestion des informations sont définies.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_20"><num>20.</num><heading>Fiabilité du personnel</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_1"><num>20.1 </num><p>Pour garantir la fiabilité du personnel avant, pendant et après la période d’engagement ou en cas de changement de rôle, des directives et des procédures adéquates sont élaborées et diffusées.</p></item><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_2"><num>20.2 </num><p>Les décideurs du personnel assument l’entière responsabilité de la garantie de la fiabilité du personnel. </p></item><item eId="annex_u1/lvl_u1/lvl_20/lbl_20_3"><num>20.3 </num><p>L’ensemble du personnel possède une sensibilité marquée en matière de sécurité des informations. À cette fin est mis en place et lancé un programme de formation et d’entraînement qui soit adapté aux tâches.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_21"><num>21.</num><heading>Sécurité physique et sécurité liée à l’environnement</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_1"><num>21.1 </num><p>Les périmètres de sécurité des différents locaux de l’infrastructure sont clairement définis.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_2"><num>21.2 </num><p>Des autorisations d’accès sont définies, créées et contrôlées de manière adéquate pour l’accès physique aux différents locaux de l’infrastructure.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_3"><num>21.3 </num><p>Pour garantir la sécurité des appareils à l’intérieur et à l’extérieur des locaux de l’infrastructure, des directives et des procédures adéquates sont définies et leur respect est surveillé et vérifié.</p></item><item eId="annex_u1/lvl_u1/lvl_21/lbl_21_4"><num>21.4 </num><p>Toutes les données sont traitées, notamment conservées, exclusivement en Suisse.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_22"><num>22.</num><heading>Gestion de la communication et de l’exploitation</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_1"><num>22.1 </num><p>Les obligations et les domaines de responsabilité sont répartis de telle sorte que les risques émanant du personnel qui sont liés à l’exploitation et à la communication soient réduits de façon à ce qu’ils ne constituent plus que des risques résiduels compatibles avec les critères de tolérance aux risques.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_2"><num>22.2 </num><p>Des mesures de protection appropriées sont prises contre les logiciels malveillants.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_3"><num>22.3 </num><p>Un plan détaillé pour la sécurisation des données est établi et mis en œuvre. Le bon fonctionnement de la sécurisation des données est vérifié à intervalles réguliers.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_4"><num>22.4 </num><p>Des mesures adéquates sont définies et mises en œuvre pour assurer la protection du réseau contre les menaces qui ont été identifiées dans l’appréciation des risques visée à l’art. 4 en rel. avec le ch. 13, ainsi que la sécurité des services du réseau.</p></item><item eId="annex_u1/lvl_u1/lvl_22/lbl_22_5"><num>22.5 </num><p>Les procédures relatives à l’utilisation de supports de données amovibles et à l’élimination de supports de données sont réglées en détail.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_23"><num>23.</num><heading>Attribution, gestion et retrait des droits d’accès</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_1"><num>23.1 </num><p>Pendant le scrutin, il est garanti que toute modification des droits d’accès apportée ultérieurement ne pourra être effectuée qu’en accord avec le service compétent au niveau cantonal.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_2"><num>23.2 </num><p>L’accès à l’infrastructure et au logiciel est réglé et documenté en détail sur la base d’une appréciation des risques. Le principe du double contrôle s’applique dans les domaines présentant des risques élevés et pour toutes les opérations manuelles en rapport avec l’urne (par ex. ouverture du canal de vote, fermeture du canal de vote et début du dépouillement).</p></item><item eId="annex_u1/lvl_u1/lvl_23/bull_u3"><num/><p>Les opérations manuelles en rapport avec l’urne électronique (par ex. ouverture du canal de vote, fermeture du canal de vote et début du dépouillement) sont authentifiées explicitement.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_3"><num>23.3 </num><p>Il est impossible, à moins de disposer d’une autorisation en ce sens, de modifier des informations sur le portail du vote électronique ou sur des sites d’information concernant le vote électronique.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_4"><num>23.4 </num><p>Pendant le scrutin, aucune intervention étrangère ne peut avoir lieu dans l’infrastructure.</p></item><item eId="annex_u1/lvl_u1/lvl_23/lbl_23_5"><num>23.5 </num><p>Il est garanti qu’aucun des éléments des données d’authentification client ne pourra être systématiquement intercepté, modifié ou détourné au moment de la remise. L’authentification se fait au moyen de mesures et de technologies permettant de réduire suffisamment le risque d’abus systématique par des tiers.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_24"><num>24.</num><heading>Développement et maintenance de systèmes d’information</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1"><num>24.1 </num><p>Développement</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1"><num>24.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/listintro">Il est défini un modèle de cycle de vie. Celui-ci:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u1"><num>− </num><p>est utilisé pour le développement et la maintenance du logiciel;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u2"><num>− </num><p>prévoit les contrôles nécessaires dans le développement et la maintenance du logiciel;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_1/bull_u3"><num>− </num><p>est documenté.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_2"><num>24.1.2 </num><p>Une liste des outils de développement utilisés et de leurs options de configuration sélectionnées pour la mise en œuvre de chaque outil est établie.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3"><num>24.1.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/listintro">La documentation de chaque outil de développement:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u1"><num>− </num><p>contient une définition de l’outil; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u2"><num>− </num><p>définit toutes les conventions et directives utilisées dans la mise en œuvre de l’outil;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_3/bull_u3"><num>− </num><p>définit sans ambiguïté la signification de toutes les options de configuration pour l’utilisation de l’outil.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_4"><num>24.1.4 </num><p>Les standards d’implémentation sont définis et appliqués.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_5"><num>24.1.5 </num><p>Le logiciel est spécifié et implémenté de telle sorte que les fonctions de sécurité ne puissent pas être contournées.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_6"><num>24.1.6 </num><p>Les fonctions de sécurité sont spécifiées et implémentées de telle sorte qu’elles soient protégées contre les manipulations.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7"><num>24.1.7 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/listintro">L’architecture de sécurité du logiciel est documentée. La documentation:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u1"><num>− </num><p>possède un niveau de détail correspondant à la description des fonctions de sécurité;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u2"><num>− </num><p>décrit les domaines de sécurité qui reposent sur les fonctions de sécurité;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u3"><num>− </num><p>décrit la manière dont les procédures d’initialisation sont sécurisées;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_7/bull_u4"><num>− </num><p>démontre que les exigences fixées aux ch. 24.1.5 et 24.1.6 sont remplies.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8"><num>24.1.8 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/listintro">Les spécifications fonctionnelles sont documentées. La documentation:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u1"><num>− </num><p>représente l’entier du logiciel;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u2"><num>− </num><p>décrit l’objectif et le mode d’utilisation de toutes les interfaces;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u3"><num>− </num><p>identifie et décrit tous les paramètres associés aux interfaces;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u4"><num>− </num><p>décrit toutes les actions associées aux interfaces;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_8/bull_u5"><num>− </num><p>décrit tous les messages d’erreur directs pouvant résulter de l’appel de chaque interface.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_9"><num>24.1.9 </num><p>La traçabilité entre les spécifications fonctionnelles et les exigences de sécurité est garantie et va jusqu’au niveau des interfaces.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_10"><num>24.1.10 </num><p>Toutes les fonctions de sécurité sont implémentées dans le code source.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_11"><num>24.1.11 </num><p>La traçabilité entre l’entier du code source et les spécifications des fonctions de sécurité doit être garantie, et leur correspondance est manifeste.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12"><num>24.1.12 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/listintro">Les fonctions de sécurité sont conçues et implémentées de telle sorte qu’elles soient bien structurées. La structure interne est décrite et comprend une justification:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/bull_u1"><num>− </num><p>qui indique les caractéristiques utilisées pour évaluer les notions de «bien structuré» et de «complexe»;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_12/bull_u2"><num>− </num><p>qui démontre que toutes les fonctions de sécurité sont bien structurées et qu’elles ne sont pas trop complexes.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13"><num>24.1.13 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/listintro">Les spécifications:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u1"><num>− </num><p>décrivent la structure du logiciel en termes de sous-systèmes;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u2"><num>− </num><p>décrivent les fonctions de sécurité en tant que modules, l’objectif de chaque module et les relations que chaque module a avec les autres modules; la description des modules ayant un rôle dans le renforcement de la sécurité comprend en plus les interfaces disponibles, les valeurs de retour de ces interfaces et les interfaces des autres modules utilisés pour interagir avec eux;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u3"><num>− </num><p>décrivent tous les sous-systèmes relatifs aux fonctions de sécurité, y compris les interactions qu’ils peuvent avoir entre eux;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_13/bull_u4"><num>− </num><p>démontrent par une représentation claire des sous-systèmes associés aux fonctions de sécurité que toutes les interfaces sont conformes au comportement décrit dans la spécification; la représentation doit comporter un niveau de détail allant au moins jusqu’aux modules.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_14"><num>24.1.14 </num><p>Le logiciel est muni d’une référence univoque.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15"><num>24.1.15 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/listintro">La documentation de la gestion de la configuration:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u1"><num>− </num><p>décrit la manière dont les éléments de configuration sont identifiés;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u2"><num>− </num><p>contient un plan de gestion de la configuration qui décrit comment le système de gestion de la configuration est utilisé dans le cadre du développement du logiciel et quelles sont les procédures appliquées pour la reprise de modifications ou de nouveaux éléments;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_15/bull_u3"><num>− </num><p>démontre que les procédures de reprise des modifications dans un élément de configuration prévoient un contrôle adéquat de ces dernières pour tous les éléments de configuration.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16"><num>24.1.16 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/listintro">Le système de gestion de la configuration:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u1"><num>− </num><p>identifie chacun des éléments de configuration de manière univoque;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u2"><num>− </num><p>fournit des mesures automatisées de sorte que seules les modifications autorisées soient apportées aux éléments de configuration;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u3"><num>− </num><p>soutient le développement du logiciel par des procédures automatisées;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u4"><num>− </num><p>garantit que la personne chargée d’accepter l’élément de configuration n’est pas celle qui l’a développé;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u5"><num>− </num><p>identifie les éléments de configuration qui composent les fonctions de sécurité;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u6"><num>− </num><p>soutient par des moyens automatisés le contrôle de tous les changements apportés au logiciel, y compris en consignant le nom de l’auteur de la modification ainsi que la date et l’heure de cette dernière;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u7"><num>− </num><p>fournit une procédure automatisée pour l’identification de tous les éléments de configuration concernés par la modification d’un élément de configuration déterminé;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_16/bull_u8"><num>− </num><p>est capable d’identifier la version du code source sur la base de laquelle le logiciel est généré.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_17"><num>24.1.17 </num><p>Tous les éléments de configuration sont répertoriés dans le système de gestion de la configuration.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_18"><num>24.1.18 </num><p>Le système de gestion de la configuration est utilisé conformément au plan de gestion de la configuration.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19"><num>24.1.19 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/listintro">Il est établi une liste de configuration contenant les éléments ci-après:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u1"><num>− </num><p>le logiciel proprement dit;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u2"><num>− </num><p>les preuves des contrôles nécessaires au respect de la sécurité;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u3"><num>− </num><p>les parties qui composent le logiciel;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u4"><num>− </num><p>le code source;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u5"><num>− </num><p>l’historique des changements<authorialNote><p> L’historique des changements (Commit History) consiste en une liste ordonnée de toutes les modifications apportées à un référentiel, avec pour chaque modification le motif qui la justifie.</p></authorialNote>;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_19/bull_u6"><num>− </num><p>les rapports relatifs aux failles de sécurité et à l’état d’avancement des mesures prises pour y remédier.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u21"><num/><p>Le développeur de chaque élément pertinent pour les fonctions de sécurité est mentionné. Chaque élément est identifié de manière univoque.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20"><num>24.1.20 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/listintro">La documentation de la sécurité du développement du logiciel:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/bull_u1"><num>− </num><p>décrit les mesures de sécurité physiques, procédurales, relatives au personnel et autres qui sont nécessaires pour protéger le logiciel et l’intégrité de sa conception et de son implémentation dans leur environnement de développement; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_1_20/bull_u2"><num>− </num><p>démontre que les mesures de sécurité assurent le niveau de protection nécessaire au maintien de l’intégrité du logiciel.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2"><num>24.2 </num><p>Exploitation</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1"><num>24.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/listintro">Il est établi un guide opérationnel. Pour chaque rôle utilisateur, celui-ci:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u1"><num>− </num><p>décrit les fonctions auxquelles l’utilisateur a accès et les autorisations qui doivent être contrôlées dans un environnement sécurisé, y compris les avertissements en la matière;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u2"><num>− </num><p>décrit comment utiliser les interfaces disponibles de manière sécurisée;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u3"><num>− </num><p>décrit les fonctions et interfaces disponibles, en particulier tous les paramètres de sécurité qui se trouvent sous le contrôle de l’utilisateur, en indiquant les valeurs pertinentes pour la sécurité;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u4"><num>− </num><p>présente de façon précise chaque type d’événement de sécurité en rapport avec les fonctions accessibles à l’utilisateur qui doivent être exécutées, y compris les modifications des caractéristiques de sécurité des éléments sous le contrôle des fonctions de sécurité; </p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_1/bull_u5"><num>− </num><p>décrit les mesures de sécurité à mettre en œuvre pour atteindre les objectifs de sécurité opérationnels.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_2"><num>24.2.2 </num><p>Le guide opérationnel identifie tous les modes d’exploitation possibles du logiciel, y compris la reprise de l’exploitation après la découverte d’erreurs et la description des conséquences et implications de ces erreurs pour le maintien d’une exploitation sûre.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_2_3"><num>24.2.3 </num><p>Le guide opérationnel est précis et adéquat.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3"><num>24.3 </num><p>Compilation et déploiement fiables et vérifiables</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1"><num>24.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/listintro">La procédure de préparation décrit toutes les étapes nécessaires:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u1"><num>− </num><p>à une réception sûre des composants du système dans le respect de la procédure de livraison;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u2"><num>− </num><p>à une préparation sûre de l’environnement d’exploitation dans le respect des objectifs de sécurités opérationnels;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_1/bull_u3"><num>− </num><p>à une installation sûre du logiciel dans l’environnement d’exploitation.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_2"><num>24.3.2 </num><p>La livraison du logiciel ou de parties du système est documentée et comprend toutes les procédures qui sont nécessaires au maintien de la sécurité lors de la livraison du logiciel.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3"><num>24.3.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/listintro">Il est réalisé une compilation fiable et vérifiable au moyen de mesures de sécurité adéquates pour garantir que le code exécutable est une représentation vérifiable et fidèle du code source qui a été soumis à un contrôle public et à des audits indépendants. Cette compilation permet d’établir une chaîne de preuves pour la vérification du logiciel, et démontre en particulier:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u1"><num>− </num><p>que l’environnement de compilation est tel que décrit sur la plate-forme publique (ensemble des outils avec leur version, système d’exploitation et configurations éventuelles); les divergences qui pourraient exister sont documentées et justifiées;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u2"><num>− </num><p>que le logiciel a été compilé selon les instructions disponibles sur la plate-forme publique; si un défaut est détecté dans les instructions au moment de la compilation, il doit être consigné, et la documentation adaptée par la suite;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u3"><num>− </num><p>que le code source soumis au contrôle public et audité est bien celui utilisé pour la compilation;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u4"><num>− </num><p>qu’aucun autre élément que ceux prévus dans les instructions n’a été introduit;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u5"><num>− </num><p>que toutes les signatures cryptographiques des dépendances ont été vérifiées sur la base d’une référence établie, publique et fiable;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u6"><num>− </num><p>qu’une analyse des vulnérabilités concernant les dépendances a été conduite et, si des vulnérabilités pertinentes pour le logiciel existent, qu’elles ne le rendent pas vulnérable aux attaques;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_3/bull_u7"><num>− </num><p>que les éventuels paramètres qui ont été introduits ne rendent pas le système vulnérable.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4"><num>24.3.4 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/listintro">Il est réalisé un déploiement fiable et vérifiable au moyen de mesures de sécurité adéquates, qui garantit:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/lbl_1"><num>1. </num><p>que le code déployé en production soit une représentation vérifiable et fidèle du code source qui a été soumis à un contrôle public et à des audits indépendants, et</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_4/lbl_2"><num>2. </num><p>que l’environnement de production soit conforme à celui qui a été soumis au contrôle public et aux audits indépendants. </p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32"><num/><p/><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/bull_u32/listintro">Le déploiement permet d’établir une chaîne de preuves pour la vérification du logiciel. Il démontre en particulier:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u1"><num>− </num><p>que l’environnement de production est conforme à celui qui a été soumis au contrôle public et aux audits indépendants; les éventuelles divergences (version du <i>firmware</i>, fichiers de configuration, etc.) sont documentées et justifiées;</p></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u2"><num>− </num><p>que le logiciel déployé dans l’environnement de production est bien celui qui a été produit au cours de la procédure de compilation fiable et vérifiable;</p></item><item eId="annex_u1/lvl_u1/lvl_24/bull_u32/bull_u3"><num>− </num><p>que les éventuels paramètres qui ont été introduits ne rendent pas le système vulnérable.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_5"><num>24.3.5 </num><p>La qualité des preuves de la compilation fiable et vérifiable et du déploiement fiable et vérifiable doit être attestée par la présence d’au moins deux témoins issus d’organisations différentes ou par des procédés techniques propres à établir la vérité en fonction de l’état des connaissances scientifiques et de l’expériences acquise.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_3_6"><num>24.3.6 </num><p>La chaîne de preuves de la compilation fiable et vérifiable et du déploiement fiable et vérifiable est rendue publique.</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4"><num>24.4 </num><p>Correction systématique des failles</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1"><num>24.4.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/listintro">Il est défini des procédures de correction des failles. Ces procédures:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u1"><num>− </num><p>comprennent une documentation, en particulier en ce qui concerne la traçabilité des failles pour chaque version du logiciel et les méthodes utilisées pour fournir aux utilisateurs du système des informations sur les failles, les corrections et les mesures correctives possibles;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u2"><num>− </num><p>exigent une description de la nature et des effets de chaque faille de sécurité ainsi que des informations sur l’état des travaux visant à trouver un correctif et sur les mesures correctives qui ont été arrêtées;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u3"><num>− </num><p>décrivent les moyens par lesquels les utilisateurs du système peuvent porter à la connaissance du développeur du logiciel des rapports et des requêtes concernant des failles supposées affecter le logiciel;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_1/bull_u4"><num>− </num><p>comprennent une procédure exigeant une réponse rapide et l’envoi automatique de rapports sur les failles de sécurité et les correctifs en la matière aux utilisateurs du système enregistrés qui pourraient être affectés par la faille de sécurité.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2"><num>24.4.2 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/listintro">Il est défini une procédure de traitement des failles signalées. Cette procédure:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/bull_u1"><num>− </num><p>garantit que toute faille signalée et confirmée sera corrigée et que les procédures de correction seront communiquées aux utilisateurs du système;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_2/bull_u2"><num>− </num><p>prévoit des mesures garantissant que toute correction de failles de sécurité n’entraînera pas de nouvelles failles.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3"><num>24.4.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/listintro">Il est défini des directives régissant le signalement et le traitement des failles. Ces directives:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u1"><num>− </num><p>fournissent aux utilisateurs du système des instructions sur la manière de signaler au développeur toute faille de sécurité supposée;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u2"><num>− </num><p>fournissent aux utilisateurs du système des instructions sur la manière de s’enregistrer auprès du développeur pour recevoir les rapports sur les faille de sécurité et les correctifs;</p></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_4_3/bull_u3"><num>− </num><p>indiquent les services à contacter pour l’envoi des rapports et des demandes de renseignements sur les problèmes de sécurité concernant le logiciel.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_24/lbl_24_5"><num>24.5 </num><p>Assurance qualité</p></item></blockList><p>Il est vérifié régulièrement et objectivement que les processus exécutés et les produits associés correspondent à la description des processus, des normes et des procédures qui doivent être mis en œuvre. Les divergences font l’objet d’un suivi jusqu’à leur élimination.</p></content></level><level eId="annex_u1/lvl_u1/lvl_25"><num>25.</num><heading>Qualité du code source et de la documentation</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_25/listintro">Le code source et la documentation répondent au moins aux critères suivants:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1"><num>25.1 </num><p>Traçabilité</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_1"><num>25.1.1 </num><p>Définition: propriété du logiciel qui fournit un fil conducteur depuis les exigences jusqu’à la mise en œuvre.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_2"><num>25.1.2 </num><p>Toutes les exigences applicables au protocole cryptographique sont traçables pour l’ensemble des résultats des opérations de travail liés au processus de développement du logiciel.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_1_3"><num>25.1.3 </num><p>Le lien entre les exigences juridiques et le protocole cryptographique, les spécifications et la documentation de l’architecture est décrit.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2"><num>25.2 </num><p>Complétude</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_1"><num>25.2.1 </num><p>Définition: propriété du logiciel qui permet la mise en œuvre complète des fonctions requises.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_2"><num>25.2.2 </num><p>Le logiciel ne contient pas de références ambigües (entrée, fonction, sortie). Le même terme est utilisé partout où un même élément est référencé.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_3"><num>25.2.3 </num><p>Toutes les données référencées et toutes les fonctions utilisées sont définies dans les spécifications.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_4"><num>25.2.4 </num><p>Toutes les fonctions définies dans les spécifications sont utilisées.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_5"><num>25.2.5 </num><p>Toutes les variantes possibles sont définies dans les spécifications pour chaque élément de décision (par ex. exécution conditionnelle).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_6"><num>25.2.6 </num><p>Tous les paramètres sont définis dans les spécifications et validés (pas de passage implicite de paramètres).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_7"><num>25.2.7 </num><p>Toutes les erreurs graves qui ont été signalées sont corrigées avant le passage à l’étape suivante du cycle de développement. </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_2_8"><num>25.2.8 </num><p>Le protocole cryptographique, la spécification, l’architecture et le code source sont alignés.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3"><num>25.3 </num><p>Cohérence</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_1"><num>25.3.1 </num><p>Définition: propriété du logiciel qui fournit des techniques et une notation uniformes dans la conception et la mise en œuvre.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_2"><num>25.3.2 </num><p>Les représentations figurant dans la documentation suivent une convention établie par le développeur du logiciel.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_3"><num>25.3.3 </num><p>Les fonctions et les variables suivent une convention de nommage établie par le développeur du logiciel.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_4"><num>25.3.4 </num><p>Le traitement des entrées et des sorties des fonctions suit une convention établie par le développeur du logiciel. </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_5"><num>25.3.5 </num><p>Le traitement des erreurs suit une convention établie par le développeur du logiciel.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_3_6"><num>25.3.6 </num><p>Les types de variables utilisés sont cohérents. </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4"><num>25.4 </num><p>Uniformité de la communication</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_1"><num>25.4.1 </num><p>Définition: propriété du logiciel qui permet l’utilisation de protocoles et de routines d’interface standardisés.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_2"><num>25.4.2 </num><p>Les règles régissant la communication avec d’autres systèmes sont définies.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_4_3"><num>25.4.3 </num><p>La communication repose sur des méthodes standardisées. </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5"><num>25.5 </num><p>Uniformité des données</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_1"><num>25.5.1 </num><p>Définition: propriété du logiciel qui permet d’utiliser une représentation standardisée des données.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_2"><num>25.5.2 </num><p>La représentation standardisée des données pour la communication avec d’autres systèmes est définie de manière formelle.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_3"><num>25.5.3 </num><p>Des normes de conversion entre les différentes représentations sont définies.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_5_4"><num>25.5.4 </num><p>Les fonctions de conversion sont centralisées dans un seul module.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6"><num>25.6 </num><p>Facilité d’apprentissage</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_1"><num>25.6.1 </num><p>Définition: propriété du logiciel qui permet à l’utilisateur de se familiariser facilement avec son fonctionnement.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_2"><num>25.6.2 </num><p>Les personnes qui exploitent et utilisent le système sont formées et reçoivent la documentation nécessaire.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_3"><num>25.6.3 </num><p>La formation comprend la possibilité de s’entraîner sur un système prévu à cet effet.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_6_4"><num>25.6.4 </num><p>Des aides techniques sont facilement accessibles.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7"><num>25.7 </num><p>Opérabilité</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_1"><num>25.7.1 </num><p>Définition: propriété du logiciel qui facilite les interactions entre les utilisateurs et le système.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_2"><num>25.7.2 </num><p>Le logiciel est convivial. La navigation se fait selon des schémas connus.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_7_3"><num>25.7.3 </num><p>La partie client du système, telle qu’elle se présente à l’électeur, est conforme à la norme d’accessibilité eCH-0059<authorialNote><p> eCH-0059: Accessibility Standard, version 3.0 du 25.06.2020; disponible gratuitement auprès de: association eCH, Mainaustrasse 30, Postfach, 8034 Zürich, www.ech.ch.</p></authorialNote>, à l’exception des exigences de la norme relatives aux formes alternatives de communication prévues au chapitre 2.4. Les cantons veillent à ce que cela soit attesté par un service techniquement compétent.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8"><num>25.8 </num><p>Tolérance aux erreurs</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_1"><num>25.8.1 </num><p>Définition: propriété du logiciel qui permet la continuité des opérations dans des conditions exceptionnelles.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_2"><num>25.8.2 </num><p>Les erreurs sont détectées et traitées de sorte que le programme puisse continuer de fonctionner sans interruption.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_3"><num>25.8.3 </num><p>Le traitement des erreurs, y compris l’enregistrement dans le procès-verbal, est fait au niveau le plus pertinent pour la continuité des opérations. Une erreur qui ne peut être traitée à un niveau donné est transférée au niveau supérieur.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_4"><num>25.8.4 </num><p>Des conditions de validité sont définies pour les paramètres d’entrée.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_8_5"><num>25.8.5 </num><p>Tous les paramètres d’entrée sont vérifiés avant le début de l’exécution.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9"><num>25.9 </num><p>Modularité</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_1"><num>25.9.1 </num><p>Définition: propriété du logiciel qui fournit une structure comprenant des modules hautement indépendants.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_2"><num>25.9.2 </num><p>Chaque module possède une responsabilité bien définie. </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_3"><num>25.9.3 </num><p>La responsabilité d’un module doit être restreinte et ciblée. Les responsabilités de deux modules ne doivent pas se chevaucher. </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_9_4"><num>25.9.4 </num><p>Les modules ne partagent pas de données par le biais d’une mémoire volatile commune (par ex. variable globale).</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10"><num>25.10 </num><p>Simplicité</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_1"><num>25.10.1 </num><p>Définition: propriété du logiciel qui permet la mise en œuvre des fonctions de la manière la plus compréhensible possible. En général, il s’agit d’éviter les pratiques qui augmentent la complexité.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_2"><num>25.10.2 </num><p>Une approche top-down (structure hiérarchique) est adoptée dans la conception.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_3"><num>25.10.3 </num><p>La conception ne prévoit pas de fonction dupliquée entre les modules.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_4"><num>25.10.4 </num><p>La conception ne prévoit pas de données de portée globale, c.-à-d. de données pouvant être utilisées partout sans être passées en paramètres.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_5"><num>25.10.5 </num><p>Les combinaisons booléennes complexes sont évitées autant que possible dans le code source.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_6"><num>25.10.6 </num><p>Les variables ne sont pas réutilisées pour d’autres usages que ceux prévus initialement dans le code source.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_7"><num>25.10.7 </num><p>Le nombre d’imbrications est limité autant que possible dans le code source.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_10_8"><num>25.10.8 </num><p>La complexité cyclomatique et cognitive est limitée autant que possible dans le code source.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11"><num>25.11 </num><p>Concision</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_1"><num>25.11.1 </num><p>Définition: propriété du logiciel qui permet la mise en œuvre dans le code source d’une fonction avec le moins possible d’instructions.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_2"><num>25.11.2 </num><p>Le code source ne contient pas de code mort.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_3"><num>25.11.3 </num><p>Le code source ne contient pas de variables inutiles.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_11_4"><num>25.11.4 </num><p>Le code source ne devrait pas contenir de duplications.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12"><num>25.12 </num><p>Intelligibilité</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_1"><num>25.12.1 </num><p>Définition: propriété du logiciel qui permet aux destinataires d’en déterminer les objectifs, les hypothèses, les contraintes, les entrées, les sorties, les composants et le statut.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_2"><num>25.12.2 </num><p>Les classes, les fonctions et les étapes de traitement complexes sont commentées dans le code source selon une convention établie par le développeur du logiciel.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_3"><num>25.12.3 </num><p>Les variables et les fonctions ont des noms évocateurs.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_12_4"><num>25.12.4 </num><p>Le code source comprend une instruction par ligne, sauf si une répartition sur plusieurs lignes permet d’améliorer la lisibilité. On évitera de saisir plusieurs instructions sur une seule ligne.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13"><num>25.13 </num><p>Instrumentation </p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_1"><num>25.13.1 </num><p>Définition: propriété du logiciel qui permet d’en mesurer l’utilisation ou d’identifier des erreurs.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_2"><num>25.13.2 </num><p>Les tests unitaires<authorialNote><p> Un test unitaire consiste pour le programmeur à tester un module, indépendamment du reste du programme, afin de s’assurer qu’il répond aux spécifications fonctionnelles et qu’il fonctionne correctement en toutes circonstances. Cette vérification est considérée comme essentielle pour les applications critiques.</p></authorialNote> couvrent tous les chemins possibles et les limites entre valeurs autorisées et valeurs non autorisées des paramètres d’entrée.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_3"><num>25.13.3 </num><p>Les tests d’intégration couvrent tous les modules.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_4"><num>25.13.4 </num><p>Les scénarios de test système couvrent tous les modules.</p></item><item eId="annex_u1/lvl_u1/lvl_25/lbl_25_13_5"><num>25.13.5 </num><p>Les erreurs et les informations nécessaires sont consignées dans des fichiers journaux.</p></item></blockList></content></level><level eId="annex_u1/lvl_u1/lvl_26"><num>26.</num><heading>Critères de contrôle pour les systèmes et leur exploitation</heading><content><blockList><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1"><num>26.1 </num><p>Contrôle du protocole cryptographique (art. 10, al. 1, let. a)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1"><num>26.1.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/listintro">Objet: Il est examiné:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u1"><num>− </num><p>si les exigences figurant à l’art. 5 en rel. avec les art. 6 à 8 et avec le ch. 2 de l’annexe sont remplies; cette évaluation doit se faire notamment à l’aide des preuves de conformité cryptographiques et symboliques;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u2"><num>− </num><p>si le protocole cryptographique repose sur des protocoles et des éléments existants qui ont fait leurs preuves et dans quelle mesure;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_1/bull_u3"><num>− </num><p>si des approfondissements et des améliorations peuvent contribuer à renforcer la sécurité, et lesquels.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_2"><num>26.1.2 </num><p>Compétences: Le contrôle est effectué par des experts en cryptographie. Il est commandé par la ChF, qui vérifie qu’il est exécuté dans le respect du mandat. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3"><num>26.1.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/listintro">Date du contrôle:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u1"><num>− </num><p>Un contrôle complet est effectué avant la première mise en service.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u2"><num>− </num><p>Le contrôle est répété après deux ou trois ans.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3"><num>− </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3/listintro">Le protocole cryptographique est soumis à un nouveau contrôle:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3/bull_u1"><num>− </num><p>à chaque fois qu’il est modifié, ou</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_1_3/bull_u3/bull_u2"><num>− </num><p>lorsque la recherche fait émerger de nouvelles connaissances pertinentes relatives à la sécurité des éléments cryptographiques utilisés ou à la menace. </p></item></blockList></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2"><num>26.2 </num><p>Contrôle du logiciel du système (art. 10, al. 1, let. b)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1"><num>26.2.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/listintro">Objet: Il est examiné:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u1"><num>− </num><p>si le protocole cryptographique contrôlé en vertu du ch. 26.1 est mis en œuvre; la mise en œuvre correcte des fonctions des composants fiables sera soumise à un contrôle particulièrement approfondi;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u2"><num>− </num><p>si le logiciel du système remplit les exigences de la présente ordonnance et contribue à la réalisation des objectifs fixés;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_1/bull_u3"><num>− </num><p>si la partie du système, telle qu’elle se présente à l’électeur, est conforme à la norme eCH-0059 comme le prévoit le ch. 25.7.3; la vérification peut s’appuyer sur un certificat valide ou sur un rapport d’audit ayant été établi par une institution reconnue par la ChF et attestant de la conformité avec ladite norme.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_2"><num>26.2.2 </num><p>Compétences: Le contrôle doit être effectué par des experts en cryptographie et en développement de logiciels. Il est commandé par la ChF. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3"><num>26.2.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/listintro">Date du contrôle: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u1"><num>− </num><p>Un contrôle complet est effectué avant la première mise en service.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u2"><num>− </num><p>Le contrôle est répété après deux ou trois ans.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3"><num>− </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/listintro">Le logiciel du système est soumis à un nouveau contrôle à chaque modification majeure est opérée, notamment:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u1"><num>− </num><p>après toute modification du protocole cryptographique;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u2"><num>− </num><p>après toute modification, dans le code source, des fonctions dont la fiabilité est déterminante pour le caractère concluant des preuves prévues dans le cadre de la vérifiabilité;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u3"><num>− </num><p>lorsque la recherche fait émerger de nouvelles connaissances pertinentes relatives à la sécurité des éléments cryptographiques utilisés ou à la menace;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_2_3/bull_u3/bull_u4"><num>− </num><p>lorsqu’il est renoncé à recourir à des mécanismes garantissant le fonctionnement sûr de composants fiables au sens du ch. 2, ou que des modifications majeures sont apportées à ces mécanismes. </p></item></blockList></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3"><num>26.3 </num><p>Contrôle de la sécurité de l’infrastructure et de l’exploitation (art. 10, al. 1, let. c)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1"><num>26.3.1 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/listintro">Objet: Il est examiné:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/bull_u1"><num>− </num><p>si le système et son exploitation par le canton, par l’exploitant du système et par l’imprimerie répondent aux exigences de la présente ordonnance et contribuent de façon appropriée à la réalisation des objectifs fixés;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_1/bull_u2"><num>− </num><p>si les composants de base, comme le logiciel qui concourt à l’utilisation sûre et indépendante des composants de contrôle, les systèmes d’exploitation utilisés ou les serveurs utilisés correspondent aux meilleurs standards reconnus.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_2"><num>26.3.2 </num><p>Compétences: Le contrôle est effectué par des experts en cryptographie et en exploitation de systèmes hautement sécurisés. Il est commandé par la ChF. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3"><num>26.3.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/listintro">Date du contrôle: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u1"><num>– </num><p>Un contrôle complet est effectué avant la première mise en service.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u2"><num>– </num><p>Le contrôle est répété après deux ou trois ans.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/listintro">Un nouveau contrôle est effectué chaque fois qu’une modification majeure est opérée, notamment:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u1"><num>– </num><p>après une modification du protocole cryptographique;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u2"><num>– </num><p>lorsqu’il est renoncé à recourir à des mécanismes garantissant le fonctionnement sûr de composants fiables au sens du ch. 2, ou que des modifications majeures sont apportées à ces mécanismes;</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u3/bull_u3"><num>– </num><p>en cas de modification majeure des processus ou de l’infrastructure.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_3_3/bull_u4"><num>– </num><p>Si des nouvelles versions de composants de base sont utilisés (nouveau serveur, patchs pour le système d’exploitation ou pour le logiciel qui concourt à l’utilisation sûre et indépendante de composants fiables au sens du ch. 2), il n’est pas nécessaire d’effectuer un nouveau contrôle pour autant que les composants de base correspondent toujours aux meilleurs standards reconnus.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4"><num>26.4 </num><p>Contrôle de la protection contre les tentatives d’intrusion dans l’infrastructure (art. 10, al. 1, let. d)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_1"><num>26.4.1 </num><p>Objet: Il est examiné si des experts mandatés par la ChF parviennent dans le cadre de la participation à un test à pénétrer dans l’infrastructure du système en ligne et ainsi à se ménager l’accès à des données importantes ou à prendre le contrôle de fonctions importantes.</p></item><item eId="annex_u1/lvl_u1/lvl_26/bull_u15"><num/><p>Les tests sont réalisés sur la base de vulnérabilités potentielles découvertes à la suite d’une analyse méthodique des documents qui ont été publiés, en vertu notamment de l’art. 11.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_2"><num>26.4.2 </num><p>Compétences: Le contrôle est effectué par des experts en sécurité. Il est commandé par la ChF. </p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3"><num>26.4.3 </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/listintro"> Date du contrôle: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u1"><num>– </num><p>Un contrôle complet est effectué avant la première mise en service.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u2"><num>– </num><p>Le contrôle est répété après deux ou trois ans.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u3"><num>– </num><p>Le contrôle est effectué à chaque modification majeure de l’infrastructure.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_4_3/bull_u4"><num>– </num><p>Le contrôle est effectué en cas d’émergence de nouvelles connaissances pertinentes relatives à la sécurité des moyens d’exploitation utilisés ou à la menace.</p></item></blockList></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5"><num>26.5 </num><p>Contrôle du système de management de la sécurité de l’information (art. 10, al. 2)</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_1"><num>26.5.1 </num><p>Objet: Il est examiné si le SMSI de l’exploitant du système est conforme à la norme ISO/IEC 27001:2013, Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences. Le champ d’application du SMSI englobe toutes les unités organisationnelles de l’exploitant du système qui sont responsables du système sur les plans juridique, administratif et opérationnel.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_2"><num>26.5.2 </num><p>Compétences: L’organisme de certification est accrédité par le Service d’accréditation suisse (SAS) pour pouvoir effectuer des audits au sens de la norme ISO/IEC 27001:2013, Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences. Le contrôle est commandé par le canton ou par l’exploitant du système; le canton veille à ce qu’il soit effectué.</p></item><item eId="annex_u1/lvl_u1/lvl_26/lbl_26_5_3"><num>26.5.3 </num><p>Durée de validité d’une pièce justificative: Les audits de renouvellement sont effectués aux intervalles prescrits par la norme ISO/IEC 27001:2013, Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences. Un certificat valide et la déclaration d’applicabilité (<i>Statement of Applicability</i>) sont présentés à chaque utilisation. Si une nouvelle version de la norme ISO/IEC 27001:2013, Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences est publiée, la preuve que le SMSI dispose d’une certification valide conforme à la nouvelle version doit être apportée au plus tard à l’échéance du délai transitoire. Le champ d’application du SMSI ne peut être restreint à la faveur de cette nouvelle certification.</p></item></blockList></content></level></level></mainBody></doc></component></components></act></akomaNtoso>