Vorlage

Verordnung der BK über die elektronische Stimmabgabe AS …

26.3.2 Zuständigkeiten: Die Prüfung erfolgt durch Expertinnen und Experten aus

der Kryptografie und dem Betrieb von hochsicheren Systemen. Die Prüfung wird von der Bundeskanzlei in Auftrag gegeben.

26.3.3 Zeitpunkt der Prüfung:

 Eine komplette Überprüfung erfolgt vor der ersten Inbetriebnahme.

 Die Prüfung wird nach zwei bis drei Jahren erneut durchgeführt.

 Die Prüfung findet bei jeder wesentlichen Änderung neu statt, insbesondere:

- nach einer Änderung am kryptografischen Protokoll;

- beim Verzicht oder bei wesentlichen Anpassungen an Mechanismen, die dem sicheren Einsatz von vertrauenswürdigen Komponenten nach Ziffer 2 dienen;

- bei einer wesentlichen Änderung der Prozesse oder der Infrastruktur.

 Werden neue Versionen von Basiskomponenten eingesetzt (neue Server, Patches zu Betriebssystem oder Software, die dem sicheren und unabhängigen Einsatz von vertrauenswürdigen Komponenten nach Ziffer 2 dient), muss keine neue Kontrolle erfolgen, sofern die Basiskomponenten weiterhin erwiesenermassen besten Standards entsprechen.

26.4 Prüfung des Schutzes gegen Versuche, in die Infrastruktur einzudrin-

gen (Art. 10 Abs. 1 Bst. d)

26.4.1 Gegenstand: Es wird geprüft, ob es den Expertinnen und Experten im Auf-

trag der Bundeskanzlei gelingt, im Rahmen eines Tests die Infrastruktur des Online-Systems einzudringen und sich Zugang zu wichtigen Daten zu verschaffen oder die Kontrolle über wichtige Funktionen zu übernehmen.

Die Tests werden auf der Grundlage von potenziellen Schwachstellen durchgeführt, die nach einer methodischen Analyse der öffentlich zugänglichen Unterlagen, insbesondere nach Artikel 11, entdeckt wurden. Die Expertinnen und Experten prüfen im Mindesten Schwachstellen, die im Open-Web-Application Security-Project (OWASP) dokumentiert sind.

26.4.2 Zuständigkeiten: Die Prüfung erfolgt durch Sicherheitsexpertinnen und

-experten. Die Prüfung wird von der Bundeskanzlei in Auftrag gegeben.

26.4.3 Zeitpunkt der Prüfung:

 Eine komplette Überprüfung erfolgt vor der ersten Inbetriebnahme.

 Die Prüfung wird nach zwei bis drei Jahren erneut durchgeführt.

 Die Prüfung findet bei jeder wesentlichen Änderung der Infrastruktur neu statt.

 Die Prüfung findet bei relevanten neuen Erkenntnissen bezüglich der