Vorlage

⁴ Allenfalls sind zur Risikominimierung zusätzliche Sicherheitsmassnahmen zu ergreifen, die sich nicht direkt aus den Sicherheitsanforderungen (Anhang Kapitel 2) ableiten lassen.

Art. 2 Risikoanalyse

¹ Mit einer Risikoanalyse ist ausführlich und verständlich zu dokumentieren, dass sich jegliche Sicherheitsrisiken in einem ausreichend tiefen Rahmen bewegen. Die Analyse bezieht sich auf folgende Sicherheitsziele:

a. Korrektheit des Ergebnisses;

b. Schutz des Stimmgeheimnisses und Ausschluss vorzeitiger Teilergebnisse;

c. Verfügbarkeit der Vote-électronique-Funktionalität;

d. Schutz der persönlichen Informationen über die Stimmberechtigen;

e. Schutz der Informationen für die Stimmberechtigten;

f. Ausschluss von Beweisen zum Stimmverhalten.

² Jedes Restrisiko muss mit Bezug auf die Sicherheitsziele, allfällige mit ihnen verbundene Datensätze, Bedrohungen, Schwachstellen und die Systemdokumentation zu Vote-électronique-Infrastruktur, Vote-électronique-Betrieb und Vote-électronique-Funktionalität klar identifiziert werden. Der Kanton begründet, weshalb er die Restrisiken als hinreichend gering einschätzt.

³ In keinem Fall darf das Ziel darin liegen, die Sicherheit dadurch zu gewährleisten, dass Informationen zum System geheim gehalten werden.

Art. 3 Anforderungen an die Zulassung für 50 Prozent des kantonalen Elektorats

(individuelle Verifizierbarkeit)

¹Soll ein Vote-électronique-System für den Einbezug von 50 Prozent des kantonalen Elektorats zugelassen werden, so müssen die Stimmenden die Möglichkeit haben, zu erkennen, ob ihre Stimme auf der Benutzerplattform oder auf dem Übertragungsweg manipuliert oder abgefangen worden ist. Dazu müssen die Stimmenden einen Beweis zur Bestätigung erhalten, dass das serverseitige System die Stimme im Sinn ihrer Erfassung als systemkonform abgegebene Stimme registriert hat. Der Beweis muss zu jeder einzelnen Teilstimme die korrekte Registrierung der gewählten Antwort bestätigen.

² Wird das clientseitige Authentisierungsmerkmal elektronisch zugestellt, müssen die Stimmenden nach der Schliessung des elektronischen Stimmkanals einen Beweis zur Bestätigung anfordern können, dass das System keine Stimme registriert hat, die unter Verwendung ihres clientseitigen Authentisierungsmerkmals abgegeben wurde.

³ Die Stichhaltigkeit eines Beweises darf nicht von der Vertrauenswürdigkeit der Benutzerplattform oder des Übertragungswegs abhängen.