Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

5.3. Prüfung der VE-Infrastruktur und des Betriebs

E3.10 Prüfkriterien: Das VE-System und sein Betrieb müssen die in Kapiteln 2, 3 und 4

aufgeführten Anforderungen erfüllen, beziehungsweise die vorgegebenen Zielsetzungen adäquat unterstützen. Die Informationssicherheit des VE-Systems und seines Betriebs müssen durch Einrichtung, Implementierung, Betrieb, Überwachung, Überprüfung, Pflege und Verbesserung eines Informationssicherheitsmanagement-Systems (ISMS) nach ISO/IEC 27001:2005 (Information technology – Security techniques – Information security management systems – Requirements) gewährleistet sein. Der Geltungsbereich des ISMS muss alle diejenigen Organisationseinheiten des Betreibers umfassen, die rechtlich, administrativ und betrieblich für das Vote électronique-System verantwortlich sind.

E3.20 Zuständigkeiten: Die Wirksamkeit und Angemessenheit des ISMS muss durch die Vorlage

des durch eine Zertifizierungsstelle ausgestellten Zertifikats, das die Zertifizierung des ISMS nach ISO/IEC 27001:2005 bescheinigt, nachgewiesen werden. Zusätzlich muss die Zertifizierungsstelle bescheinigen, dass die in Kapiteln 2, 3 und 4 beschriebenen Anforderungen erfüllt werden, soweit diese nicht bereits durch den Audit nach ISO/IEC 27001:2005 abgedeckt werden. Die Zertifizierungsstelle muss durch die Schweizerische Akkreditierungsstelle (SAS) für die Durchführung von ISO/IEC 27001:2005 Audits akkreditiert sein.

E3.30 Dauer der Gültigkeit eines Belegs: Wiederholungsaudits müssen in den durch ISO 27001

festgelegten Abständen durchgeführt werden. Ein gültiges Zertifikat muss bei jedem Einsatz vorliegen. Infolge eines Entscheids auf eine Überwachungsmassnahme, welche dem sicheren und unabhängigen Einsatz von Kontrollkomponenten dient, zu verzichten oder sie signifikant anzupassen, ist ebenfalls ein Wiederholungsaudit vorzunehmen. Wird eine neue Version des Standards ISO/IEC 27001:2005 publiziert, muss spätestens nach Ablauf der Übergangsfrist eine gültige Zertifizierung des ISMS nach der neuen Version nachgewiesen werden. Der Geltungsbereich des ISMS darf dabei nicht reduziert werden.

5.4. Prüfung der Kontrollkomponenten

E4.10 Prüfkriterien: Die Kontrollkomponenten müssen die in Kapitel 4 festgehaltenen

Anforderungen erfüllen, beziehungsweise die vorgegebenen Zielsetzungen adäquat

unterstützen. Funktionen, deren Vertrauenswürdigkeit für die Stichhaltigkeit der im

Rahmen der Verifizierbarkeit vorgesehenen Beweise massgeblich ist, sind anhand des Quellcodes und des kryptographischen Protokolls eingehend zu prüfen. Es soll

sichergestellt sein, dass die im Protection Profile (PP) des deutschen Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufgeführten Security Functional

Requirements (SFR) oder gleichwertige Mittel als Sicherheitsmassnahmen umgesetzt sind. Die VE-Funktionalität ist in Anlehnung an den Formalismus der Common Criteria (CC) nach den EAL4 Hauptkriterien zu prüfen. Basiskomponenten, wie beispielsweise Software, die dem sicheren und unabhängigen Einsatz von Kontrollkomponenten dient,

die eingesetzten Betriebssysteme oder die eingesetzten Server müssen

erwiesenermassen besten Standards entsprechen.

E4.20 Zuständigkeiten: Die Prüfung erfolgt durch eine von der SAS akkreditierte Institution.

E4.30 Dauer der Gültigkeit eines Belegs: Kontrollkomponenten sind in den folgenden Fällen neu

zu prüfen:

− Bei jeder Änderung am Quellcode der Funktionen, deren Vertrauenswürdigkeit für die Stichhaltigkeit der im Rahmen der Verifizierbarkeit vorgesehenen Beweise massgeblich sind; und

− Beim Verzicht oder signifikanten Anpassungen an Mechanismen, die dem sicheren und unabhängigen Einsatz von Kontrollkomponenten dienen; und

− Im Fall einer HSM muss das Aufspielen der Funktionen, deren Vertrauenswürdigkeit für die Stichhaltigkeit der im Rahmen der Verifizierbarkeit vorgesehenen Beweise massgeblich sind, in jedem Fall im Rahmen einer Prüfung stattfinden.

Werden neue Versionen von Basiskomponenten eingesetzt (neue Server, Patches zu Betriebssystem oder Software, die dem sicheren und unabhängigen Einsatz von Kontrollkomponenten dient) eingesetzt, muss keine neue Kontrolle erfolgen, sofern die Basiskomponenten weiterhin erwiesenermassen besten Standards entsprechen.