Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

6. Pièces justificatives à l’appui des demandes d’octroi

E7.10 Le canton requérant envoie les pièces justificatives relatives aux vérifications (cf. art. 1,

al. 2 et 3) qu’il a obtenues des institutions compétentes. La pièce justificative relative à la vérification visée au sous-chapitre 5.3 doit être un certificat valable au sens de la norme ISO/IEC 27001:2005.

E7.20 Le canton peut faire valoir la validité d’une pièce justificative sur plusieurs scrutins. Dans

ce cas, il explique pourquoi il n’a pas procédé, s’agissant du scrutin actuel, à une

répétition de la vérification correspondante. Il indique toutes les modifications apportées au système de VE, de même que les modifications prévues, jusqu’au moment du scrutin. Il montre ainsi qu’il s’agit de modifications mineures qui n’ont pas d’impact négatif sur l’évaluation des risques.

E7.30 Le canton remet tous les protocoles des tests qui ont résulté de la mise en œuvre du

schéma de test (ch. B5.10). Il s’engage à remettre des protocoles de tests

supplémentaires au cas où un test serait mené peu avant le scrutin.

E7.40 Le canton remet son actuelle évaluation des risques et s’engage à informer

immédiatement qui de droit de tout changement dans l’estimation des risques.

Tous les risques qui menacent la réalisation des objectifs de sécurité doivent être identifiés moyennant une évaluation des risques. Il faut de plus évaluer les risques qui concernent l’environnement du VE au sein de l’administration et dans le public.

L’évaluation doit être menée selon une méthode comprenant les activités suivantes:

− identification des risques;

− analyse des risques;

− évaluation des risques.

Les détails de la méthode utilisée et les critères de tolérance de risques imposés par le canton doivent être documentés.

Pour les risques qui découlent de l’exploitation du système de VE, il faut, lors

l’identification des risques pour des systèmes vérifiables individuellement ou

complètement, respecter en tous points les exigences méthodiques de la norme

ISO/IEC 27001:2005.