Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

5.5. Prüfung des Schutzes gegen Versuche in die VE-Infrastruktur einzudringen

E5.10 Prüfkriterien: Kompetente Angreifer aus dem Internet sollen nicht in die VE-Infrastruktur

eindringen können, um sich Zugang zu wichtigen Daten zu verschaffen oder um die Kontrolle über wichtige Funktionen zu übernehmen. Dazu versucht eine spezialisierte Institution im Rahmen eines Penetrationstests, ob sie auf der Grundlage der

Systemdokumentation in die VE-Infrastruktur eindringen kann, indem sie bekannte Schwachstellen der eingesetzten Technologien ausnutzt. Als Systemdokumentation müssen der Institution mindestens Dokumente zur Architektur, zum Datenfluss und zu den eingesetzten Technologien vorliegen. Sie prüft im Mindesten Schwachstellen, die im Open Web Application Security Project (OWASP) dokumentiert sind.

E5.20 Zuständigkeiten: Die Prüfung erfolgt durch eine von der SAS akkreditierte Institution.

E5.30 Dauer der Gültigkeit eines Belegs: Nach drei Jahren muss eine neue Prüfung erfolgen.

5.6. Prüfung einer Druckerei

E6.10 Prüfkriterien: Eine Druckerei muss zusätzlich zu den im Anforderungskatalog an

Druckereien aufgeführten Bestimmungen die Anforderung gemäss Ziffer D2.20

umsetzen.

E6.20 Zuständigkeiten: Die Prüfung erfolgt durch eine von der SAS akkreditierte Institution.

E6.30 Dauer der Gültigkeit eines Belegs: Nach zwei Jahren muss eine neue Prüfung erfolgen.

Infolge eines Entscheids auf eine Massnahme zu verzichten oder sie signifikant anzupassen, ist ebenfalls eine Wiederholung der Prüfung vorzunehmen.