Vorlage

Verordnung der BK über die elektronische Stimmabgabe AS …

 den Nachweis, dass die in der Produktionsumgebung eingesetzte Software tatsächlich diejenige ist, die im zuverlässigen und überprüfbaren Kompilierungsverfahren erstellt wurde;

 den Nachweis, dass die allenfalls eingeführten Parameter das System nicht angreifbar machen.

24.3.5 Die Qualität der Nachweise der zuverlässigen und überprüfbaren Kompilie-

rung und des zuverlässigen und überprüfbaren Deployments wird durch die Anwesenheit von mindestens zwei Zeuginnen oder Zeugen verschiedener Institutionen oder durch technische Verfahren zur Feststellung des Wahrheitsgehalts nach dem Stand der wissenschaftlichen Erkenntnisse und Erfahrungen bestätigt.

24.3.6 Die Nachweiskette der zuverlässigen und überprüfbaren Kompilierung und

des zuverlässigen und überprüfbaren Deployments wird öffentlich zugänglich gemacht.

24.4 Systematische Behebung von Mängeln

24.4.1 Es werden Prozesse zur Behebung von Mängeln definiert. Die Prozesse

umfassen:

 eine Dokumentation dieser Prozesse, insbesondere im Hinblick auf die Rückverfolgbarkeit von Mängeln für alle Versionen der Software sowie der Methoden, die verwendet werden, damit die Systembenutzerinnen und -benutzer über die Informationen über die Mängel, die Korrekturen und zu möglichen Korrekturmassnahmen verfügen;

 die Pflicht, die Art und die Auswirkungen aller Sicherheitsmängel, Informationen zum Stand der Arbeiten zur Lösungsfindung sowie die beschlossenen Korrekturmassnahmen zu beschreiben;

 eine Beschreibung der Instrumente, mit denen die Systembenutzerinnen und -benutzer die Möglichkeit erhalten, den Softwareentwicklerinnen und -entwicklern Berichte und Anfragen zu vermuteten Mängeln in der Software bekanntmachen zu können;

 ein Verfahren, das eine zeitnahe Reaktion und ein automatischer Versand von Berichten über Sicherheitsmängel und entsprechenden Korrekturen an registrierte Systembenutzerinnen und -benutzer, die vom Mangel betroffen sein könnten, erfordert.

24.4.2 Es wird ein Prozess für die Behandlung der gemeldeten Mängel definiert.

Dieser Prozess stellt sicher, dass alle gemeldeten und bestätigten Mängel behoben werden und dass die Prozesse zur Behebung den Systembenutzerinnen und -benutzern mitgeteilt werden.

Er sieht Vorkehrungen vor, die sicherstellen, dass eine Behebung von Sicherheitsmängeln keine neuen Sicherheitsmängel nach sich zieht.

24.4.3 Es werden Richtlinien für die Einreichung und die Behebung von Mängeln

definiert. Diese umfassen: