Rapport explicatif

permettant de vérifier la signature), l’infrastructure authentifie l’émetteur d’un vote en tant que personne autorisée à voter. Les données d’authentification client doivent être difficiles à deviner.

Let. s : Il doit être impossible en pratique de générer un message d’authentification valide sans avoir connaissance des données d’authentification client.

Art. 3 Conditions à remplir pour obtenir l’agrément en vue de la tenue d’un scrutin électronique

Phrase introductive, let. a et c : Les dispositions ont été revues sous l’angle rédactionnel. À la let. a a en outre été ajoutée la vérifiabilité, désormais exigée aux termes de l’art. 27i, al. 2, P-ODP pour toute utilisation d’un système de vote électronique.

Let. a : Concerne notamment les exigences fixées aux art. 4 à 9 P-OVotE.

Let. c : Concerne notamment les exigences fixées aux art. 10 à 12 P-OVotE.

Let. d : La disposition actuelle a été complétée par l’obligation de donner accès au public à des informations adaptées et sur la participation du public (en vertu notamment des art. 27m P-ODP et 13 P-OVotE). Cet ajout souligne l’importance de la transparence et de la participation du public aux travaux qui concernent le vote électronique. Les informations à fournir et leur forme sont fonction des groupes cibles visés, soit notamment le grand public et les milieux spécialisés.

Art. 4 Appréciation des risques

Al. 1 : Pour obtenir un agrément, les cantons doivent, comme précédemment, procéder à des appréciations des risques dans le domaine qui relève de leurs compétences. Tous les risques qui menacent la réalisation des objectifs de sécurité doivent être identifiés au moyen d’une appréciation des risques. Il faut par ailleurs apprécier les risques qui concernent l’environnement du vote électronique au sein de l’administration et dans le public.

L’appréciation des risques doit également tenir compte de la confiance et de l’acceptation du public à l’égard du vote électronique. Cette visée générale doit être intégrée de manière transversale dans tous les objectifs et risques de sécurité. Exemples d’application :

- Exemple 1 : pour prévenir autant que possible les doutes qui pourraient peser sur l’exactitude des

résultats, le processus qui définit comment procéder au cas où la vérification de l’exactitude du résultat serait négative est exposé en détail et communiqué.

- Exemple 2 : pour faire face au risque d’une perte de confiance en réalité non fondée qui pourrait

résulter de la découverte d’une faille peu importante dans le système, il est fait appel à des experts indépendants pour l’appréciation et la communication.

L’appréciation doit être menée selon une méthode comprenant les activités suivantes : identifier les risques ; analyser les risques ; estimer les risques. Les détails de la méthode utilisée et les critères de tolérance des risques imposés par le canton doivent être documentés. Les appréciations des risques doivent être revues au moins une fois par an et à chaque fois que le système fait l’objet d’une modification majeure. Il faut également s’assurer avant chaque scrutin si des nouveaux risques existent ou si des risques déjà existants se sont accrus.

Dans le cadre de l’évaluation qu’elle fait de la situation, la ChF peut établir sa propre appréciation des risques pour son domaine de compétences. Si une appréciation des risques effectuée par la ChF n’implique nullement la délivrance d’un agrément aux cantons, elle peut toutefois être prise en compte dans la décision d'accorder ou non cet agrément. Elle est envoyée aux cantons pour information afin qu’ils puissent en tenir compte. La ChF consulte les appréciations effectuées par les cantons pour établir sa propre appréciation des risques.

La ChF fournit aux cantons un guide qui indique comment effectuer les appréciations des risques. Toutes les appréciations des risques doivent refléter la situation du moment, et les derniers développements et connaissances en date doivent y être intégrés en continu.

Al. 2 : L’exploitant ou le fabricant du système doit désormais préparer sa propre appréciation des risques, notamment lorsqu’il a recours à un système externe. Pour les autres prestataires dont les services sont