Projet

Ordonnance de la ChF sur le vote électronique RO …

b. du logiciel du système (annexe, ch. 26.2);

c. de la sécurité de l’infrastructure et de l’exploitation (annexe, ch. 26.3);

d. de la protection contre les tentatives d’intrusion dans l’infrastructure (annexe, ch. 26.4).

²Le canton s’assure que l’exploitant du système dispose d’un système de management de la sécurité de l’information (SMSI) et que celui-ci est audité par des organes indépendants (annexe, ch. 26.5). Le SMSI porte au moins sur les processus et les éléments de l’infrastructure de l’exploitant du système qui sont pertinents pour atteindre les objectifs de sécurité.

³Le canton s’assure que la Chancellerie fédérale et les organes indépendants qu’elle a mandatés ont accès au système et à tous les documents nécessaires de façon à pouvoir procéder aux contrôles visés à l’al. 1.

⁴Les autorités responsables des contrôles en vertu des al. 1 et 2 publient les pièces justificatives et les certificats. Ils publient en outre tous documents pertinents pour la compréhension de ces derniers. Il pourra être dérogé à cette obligation de publication si des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.

Art. 11 Publication du code source et de la documentation relative au

système et à son exploitation

¹Le canton veille à ce que soient publiés les éléments suivants:

a. le code source du logiciel du système, y compris les fichiers contenant les paramètres pertinents;

b. la documentation relative au logiciel;

c. les guides et autres documentations complémentaires, afin que les personnes disposant des connaissances nécessaires puissent compiler, faire fonctionner et analyser le système dans leur propre infrastructure;

d. la documentation concernant les processus d’exploitation, de maintenance et de sécurité du système;

e. les informations et descriptifs concernant les failles identifiées.

²Ne doivent pas obligatoirement être publiés:

a. le code source de composants tiers tels que des systèmes d’exploitation, des bases de données, des serveurs web et des serveurs d’application, des systèmes de gestion des droits, des pare-feu et des routeurs, pour autant que ces composants soient utilisés à grande échelle et qu’ils soient mis à jour en permanence;

b. le code source de portails de cyberadministration qui sont reliés au système;

c. les documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.