Rapport explicatif

que la personne ou l’institution qui l’a fournie soit d’accord), évaluation faite par le service responsable du programme de bug bounty et informations sur les mesures éventuellement prises sur la base de l’indication.

Al. 3 : Les indications qui ont un rapport direct, mais aussi celles qui ont un rapport indirect, avec la sécurité doivent être rétribuées, à condition qu’elles contribuent à l’amélioration du système. Les indications ayant un lien indirect avec la sécurité sont, par exemple, celles qui améliorent la qualité du code source. La qualité du code source, en effet, est notamment déterminante pour la lisibilité et donc aussi pour la probabilité de pouvoir trouver des erreurs. Le montant de la rétribution est à fixer en fonction de l’importance de la faille, et devra être suffisamment incitatif pour encourager réellement le public disposant des connaissances nécessaires à participer.

Les bases juridiques de la ChF définissent simplement le cadre du programme de bug bounty. Les modalités précises du programme, par exemple la définition de catégories permettant d’évaluer le caractère de gravité des failles ou encore la détermination du montant de la rétribution financière, relèvent de la compétence des cantons ou de l’exploitant du système. La Confédération vérifie dans le cadre de la procédure d’autorisation dans quelle mesure la procédure choisie par les cantons et le service compétent en vertu de l’al. 2 a permis d’atteindre les objectifs du programme de bug bounty.

Art. 14 Principes régissant la répartition des tâches et des compétences

Les tâches et les compétences étaient précédemment définies dans l’annexe. Leur répartition est désormais réglée dans la partie principale de l’OVotE.

Al. 1 : Les tâches principales à accomplir par le canton sont définies dans l’annexe. Il s’agit, par exemple, de la conception du matériel de vote et de la communication avec les électeurs sur des questions concrètes liées au vote.

Al. 2 : Le canton peut déléguer les tâches précitées à des entités extérieures, même s’il continue d’en assumer la responsabilité générale au sens de l’al. 1. Ainsi, il assume par exemple intégralement les risques liés à l’exécution d’une tâche, même si celle-ci a donné lieu à délégation. Par dérogation à l’al. 1, la communication sur les questions relatives au fonctionnement du système peut faire l’objet d’une délégation s’il s’agit de questions de nature particulièrement technique qui nécessitent des connaissances très spécialisées.

Al. 3 : Les unités d’exploitation agissent sur instruction du canton et répondent devant celui-ci des compétences qu’elles assument.

Al. 4 : L’organisation et la forme concrètes du recours aux vérificateurs sont régies par le droit cantonal.

Art. 15 Tâches du service compétent au niveau cantonal

Les tâches du service compétent au niveau cantonal étaient précédemment définies dans l’annexe. Elles sont désormais réglées dans la partie principale de l’OVotE.

Let. a : La directive globale sur la sécurité de l’information définit les objectifs, le cadre et les responsabilités en matière de sécurité de l’information. Elle comporte également un catalogue de directives pour la sécurité de l’information de niveau inférieur et précise les modalités de sa gestion. Elle est communiquée à tous les collaborateurs et doit être revue et adaptée à intervalles planifiés.

Let. b : La directive sur la classification et le traitement de l’information définit un cadre de sécurité contraignant pour l’exploitation du système dans son ensemble. Elle est communiquée aux collaborateurs concernés et doit être revue et adaptée à intervalles planifiés.

Let. c : La directive sur la gestion du risque définit notamment le champ d’application et les limites de la gestion des risques liés à la sécurité de l’information, l’organisation de la gestion des risques, les critères d’acceptation des risques et la méthode à appliquer pour effectuer l’appréciation des risques. Elle doit être revue et adaptée à intervalles planifiés.