Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

6. Einzureichende Belege zur Zulassung

E7.10 Der Gesuch stellende Kanton reicht die Belege zu den Überprüfungen ein (vgl. Art. 1

Abs. 2 und 3), die er von den zuständigen Institutionen erhalten hat. Beim Beleg zur Prüfung gemäss Abschnitt 5.3 muss es sich um ein gültiges Zertifikat nach ISO/IEC 27001:2005 handeln.

E7.20 Der Kanton kann über mehrere Urnengänge hinaus die Gültigkeit eines Belegs geltend

machen. In diesem Fall begründet der Kanton, weshalb er hinsichtlich des aktuellen Urnengangs keine Wiederholung der entsprechenden Prüfung vorgenommen hat.

Dazu gibt er sämtliche vorgenommenen und geplanten Änderungen am VE-System bis zum Zeitpunkt des Urnengangs an. Er zeigt dadurch auf, dass es sich um geringfügige Anpassungen handelt, die keinen negativen Einfluss auf die Risikobeurteilung haben.

E7.30 Der Kanton reicht sämtliche Testprotokolle, die aus der Umsetzung des Testkonzepts

(Ziff. B5.10) resultieren, ein. Er verpflichtet sich, weitere Testprotokolle nachzureichen, falls ein Test erst kurz vor dem Urnengang durchgeführt wird.

E7.40 Der Kanton reicht seine aktuelle Risikobeurteilung ein und verpflichtet sich, auf

Veränderungen in der Einschätzung von Risiken umgehend hinzuweisen.

Sämtliche Risiken, die sich für die Erfüllung der Sicherheitsziele ergeben, müssen über eine Risikobeurteilung bestimmt werden. Ferner müssen auch Risiken beurteilt

werden, die das Umfeld von Vote électronique in Administration und Öffentlichkeit betreffen. Die Beurteilung muss gemäss einer Methodik erfolgen, die die Einhaltung folgender Tätigkeiten vorsieht:

-- Risiken identifizieren

-- Risiken analysieren

-- Risiken bewerten

Die Details der verwendeten Methodik sowie die vom Kanton vorgegebenen

Risikoakzeptanzkriterien müssen dokumentiert werden.

Für Risiken, die sich aus dem Betrieb des VE-Systems ergeben, müssen bei der Risikoidentifikation im Fall von individuell und vollständig verifizierbaren Systemen die methodischen Anforderungen von ISO/IEC 27001:2005 vollumfänglich eingehalten werden.