Ordinanza della CaF del 25 maggio 2022 concernente il voto elettronico (OVE)

La presente ordinanza disciplina le condizioni per la concessione del nulla osta per prove con il voto elettronico.

 Si intende per:

1. a.

   sistema: l’insieme del software e delle infrastrutture utilizzati per lo svolgimento di scrutini per via elettronica;

2. b.

   sistema online: la parte del sistema utilizzata per la verifica del diritto di voto, l’espressione del voto crittato e la conservazione del voto crittato;

3. c.

   parte affidabile del sistema: parte del sistema che comprende uno o più gruppi di componenti di controllo; l’affidabilità di questa parte del sistema è data dal fatto che possono essere scoperti abusi anche se funziona correttamente soltanto una delle componenti di controllo di un gruppo;

4. d.

   componenti di controllo: le componenti indipendenti del sistema strutturate in modo differente, gestite da diverse persone e garantite da particolari misure;

5. e.

   gestore del sistema: l’autorità o l’impresa privata che in occasione di uno scrutinio gestisce su istruzioni del Cantone il sistema online e provvede alla sua manutenzione;

6. f.

   esercizio: tutti gli atti di rilevanza tecnica, amministrativa o giuridica e le relative attività direttive di un Cantone, di un gestore del sistema o di una tipografia che sono necessari per lo svolgimento di scrutini per via elettronica, inclusa la manutenzione;

7. g.

   organi preposti all’esercizio: le organizzazioni o unità organizzative addette all’esercizio, quali una cancelleria di Stato, un gestore del sistema o una tipografia;

8. h.

   verificatori: le persone che verificano il corretto svolgimento dello scrutinio su mandato del Cantone;

9. i.

   infrastruttura: l’hardware, il software di componenti terzi secondo l’articolo 11 capoverso 2 lettera a, gli elementi di rete, i locali, i servizi e gli strumenti di ogni genere presso tutti gli organi preposti all’esercizio necessari all’esercizio sicuro del voto elettronico;

10. j.

    software: l’intera implementazione a partire dal protocollo crittografico, effettuata dallo sviluppatore del software per il voto elettronico, ai fini della verificabilità completa;

11. k.

    protocollo crittografico: un protocollo con funzioni di sicurezza crittografiche volte ad adempiere i requisiti di cui al numero 2 dell’allegato; situandosi al livello del modello, non contiene istruzioni dirette per l’implementazione ma funzioni di sicurezza astratte;

12. l.

    piattaforma utente: un apparecchio multifunzionale programmabile collegato a Internet e utilizzato per esprimere il voto, quali un computer standard, uno smartphone o un tablet;

13. m.

    voto registrato: il voto della cui espressione definitiva la parte affidabile del sistema ha preso atto;

14. n.

    voto parziale:

    1. 1.

       nelle votazioni: il voto espresso in merito a un progetto, un controprogetto o una domanda risolutiva,

    2. 2.

       nelle elezioni: il voto espresso a favore di una lista o di un candidato;

15. o.

    voto espresso conformemente al sistema: un voto che adempie le seguenti condizioni:

    1. 1.

       il voto è stato espresso conformemente a uno dei modi previsti per compilare una scheda,

    2. 2.

       un mittente ha espresso il voto in modo definitivo,

    3. 3.

       i dati di autenticazione client utilizzati e i messaggi di autenticazione che ne risultano corrispondono ai dati di autenticazione server definiti nella fase di preparazione dello scrutinio e attribuiti a un avente diritto di voto, e

    4. 4.

       il voto è stato espresso utilizzando dati di autenticazione che non sono già stati utilizzati per un altro voto espresso già registrato dalla parte affidabile del sistema online;

16. p.

    dato di autenticazione client: l’informazione messa a disposizione individualmente agli aventi diritto di voto, come un PIN, di cui questi hanno bisogno – eventualmente assieme ad altri dati di autenticazione client – per poter esprimere un voto;

17. q.

    dato di autenticazione server: l’informazione necessaria – eventualmente assieme ad altri dati di autenticazione server – per autenticare il mittente di un voto, per mezzo di messaggi di autenticazione, come avente diritto di voto;

18. r.

    messaggi di autenticazione: le informazioni che una piattaforma utente trasmette al sistema online dopo l’immissione del dato di autenticazione client affinché il mittente di un voto venga autenticato dal sistema online come avente diritto di voto;

19. s.

    certificato: documento che conferma che un oggetto controllato è conforme a un quadro di riferimento o a uno standard;

20. t.

    certificato elettronico: serie di dati che conferma determinate caratteristiche di persone o oggetti e la cui autenticità e integrità possono essere esaminate mediante procedimenti crittografici; il certificato elettronico è utilizzato principalmente per identificare e autenticare il proprietario e per crittografare i messaggi;

21. u.

    atti e operazioni critici: processi in cui si elaborano dati critici;

22. v.

    dati critici: dati la cui integrità o confidenzialità è determinante per l’adempimento dei requisiti posti al protocollo crittografico.

 Per il rimanente si applicano le definizioni del numero 1 dell’allegato.

Il nulla osta per il voto elettronico è concesso per ogni singolo scrutinio; devono essere adempiute le seguenti condizioni:

1. a.

   la strutturazione e l’esercizio del sistema garantiscono un voto elettronico verificabile, sicuro e affidabile;

2. b.

   il sistema è facile da utilizzare per gli aventi diritto di voto; per quanto possibile sono considerate le esigenze di tutti gli aventi diritto di voto;

3. c.

   il sistema e i processi operativi sono configurati e muniti di documentazione in modo tale che i processi tecnici e organizzativi possano essere verificati e compresi nei dettagli;

4. d.

   il pubblico ha accesso a informazioni adeguate ai destinatari in merito al funzionamento del sistema e ai processi operativi, e sono previsti incentivi per la partecipazione di persone con conoscenze specialistiche.

 Il Cantone effettua un’analisi dei rischi con la quale dimostra, specificando le ragioni, che nel suo ambito di responsabilità i rischi di sicurezza sono sufficientemente bassi. A tal fine tiene conto anche del grado di fiducia nel voto elettronico e della sua accettazione da parte del pubblico.

 Il Cantone valuta se può analizzare da sé i rischi connessi ai compiti dei suoi fornitori di servizi e se sono necessarie analisi dei rischi separate da parte di questi ultimi. Se del caso, chiede loro di eseguire tali analisi dei rischi separate e di inviargliele.

 Le analisi dei rischi si riferiscono ai seguenti obiettivi di sicurezza:

1. a.

   garantire la correttezza del risultato;

2. b.

   tutelare il segreto del voto ed escludere risultati parziali anticipati;

3. c.

   assicurare la raggiungibilità e la funzionalità del voto elettronico;

4. d.

   proteggere le informazioni personali sugli aventi diritto di voto;

5. e.

   proteggere da manipolazioni le informazioni destinate agli aventi diritto di voto;

6. f.

   escludere l’utilizzo abusivo di riscontri sul comportamento di voto.

 Ogni rischio viene identificato e descritto chiaramente, mediante la documentazione relativa al sistema e al suo esercizio, per quanto concerne le seguenti caratteristiche:

1. a.

   gli obiettivi di sicurezza;

2. b.

   eventuali serie di dati connesse agli obiettivi di sicurezza;

3. c.

   le minacce;

4. d.

   i punti deboli.

 È garantito che ogni manipolazione che causa una falsificazione del risultato possa essere constatata tutelando il segreto del voto (verificabilità completa). Tale garanzia è ritenuta data se i requisiti posti alla verificabilità individuale e alla verificabilità universale sono adempiuti.

 Sono posti alla verificabilità individuale i seguenti requisiti:

1. a.

   ai votanti è data la possibilità di constatare se il loro voto, così come lo hanno immesso nella piattaforma utente, è stato manipolato sulla piattaforma utente o intercettato sulla via di trasmissione; a tal fine i votanti ricevono una nota di conferma secondo cui la parte affidabile del sistema (art. 8) ha registrato il voto, così come essi lo hanno immesso nella piattaforma utente, quale voto espresso conformemente al sistema; tale nota conferma per ogni voto parziale la corretta registrazione;

2. b.

   dopo la chiusura del canale di voto elettronico gli aventi diritto di voto che non hanno votato elettronicamente possono richiedere, nei termini legali di ricorso, una nota di conferma secondo cui la parte affidabile del sistema non ha registrato alcun voto che sia stato espresso utilizzando i dati di autenticazione client dell’avente diritto di voto.

 Sono posti alla verificabilità universale i seguenti requisiti:

1. a.

   ai fini della verifica universale i verificatori ricevono una nota di conferma del corretto accertamento del risultato; la nota conferma che il risultato accertato considera i seguenti voti:

   1. 1.

      tutti i voti espressi conformemente al sistema e registrati dalla parte affidabile del sistema,

   2. 2.

      soltanto i voti espressi conformemente al sistema,

   3. 3.

      tutti i voti parziali secondo la nota di conferma generata nell’ambito della verifica individuale;

2. b.

   i verificatori valutano la nota di conferma in un processo osservabile; a questo scopo devono avvalersi di ausili tecnici indipendenti e isolati dal resto del sistema.

Per la validità delle note di conferma di cui all’articolo 5 è determinante l’affidabilità:

1. a.

   della parte affidabile del sistema, per le note di conferma di cui all’articolo 5 capoversi 2 e 3;

2. b.

   della procedura di produzione e stampa del materiale di voto, per le note di conferma di cui all’articolo 5 capoverso 2; e

3. c.

   dell’ausilio tecnico impiegato dai verificatori per la verifica, per le note di conferma di cui all’articolo 5 capoverso 3.

Per la tutela del segreto del voto e l’esclusione di risultati parziali anticipati all’interno dell’infrastruttura sono determinanti:

1. a.

   l’affidabilità della parte affidabile del sistema;

2. b.

   l’affidabilità della procedura di produzione e stampa del materiale di voto.

 La parte affidabile del sistema comprende uno o più gruppi di componenti di controllo.

 Le note di conferma sono valide (art. 6) e il segreto del voto è tutelato (art. 7) anche qualora per ogni gruppo solo una delle componenti di controllo funzioni correttamente.

 L’affidabilità della parte affidabile del sistema è garantita grazie alla diversa configurazione delle componenti di controllo e all’indipendenza del loro esercizio e della loro sorveglianza.

Qualora, nonostante le misure prese, i rischi non risultino sufficientemente bassi, occorre adottare misure supplementari per ridurli. Ciò vale in particolare anche quando tutti i requisiti dell’allegato sono già adempiuti.

 Enti indipendenti verificano su incarico della Cancelleria federale:

1. a.

   il protocollo crittografico (n. 26.1 dell’allegato);

2. b.

   il software del sistema (n. 26.2 dell’allegato);

3. c.

   la sicurezza dell’infrastruttura e dell’esercizio (n. 26.3 dell’allegato);

4. d.

   la protezione da tentativi di introdursi nell’infrastruttura (n. 26.4 dell’allegato).

 Il Cantone garantisce che il gestore del sistema disponga di un sistema di gestione di sicurezza dell’informazione (ISMS) e che questo venga verificato da enti indipendenti (n. 26.5 dell’allegato). L’ISMS comprende almeno i processi e l’infrastruttura del gestore del sistema rilevanti per raggiungere gli obiettivi di sicurezza.

 Il Cantone garantisce che la Cancelleria federale e gli enti indipendenti da essa incaricati dello svolgimento delle verifiche di cui al capoverso 1 abbiano accesso al sistema e ai documenti necessari.

 Le autorità competenti per le verifiche secondo i capoversi 1 e 2 pubblicano gli attestati e i certificati. Se rilevanti per la comprensibilità, vanno pubblicati anche altri documenti. Non devono necessariamente essere pubblicati documenti o parti di documenti se sussistono motivi per una deroga, fondata in particolare sul diritto in materia di trasparenza o di protezione dei dati.

 Il Cantone provvede affinché i seguenti documenti siano pubblicati:

1. a.

   il codice sorgente del software del sistema, inclusi i file contenenti parametri rilevanti;

2. b.

   una prova che i programmi leggibili da una macchina siano stati elaborati a partire dal codice sorgente del software pubblicato;

3. c.

   la documentazione del software;

4. d.

   la documentazione del processo di sviluppo;

5. e.

   guide e documentazioni complementari di cui le persone con conoscenze specialistiche necessitano per poter compilare, far funzionare e analizzare il sistema nella propria infrastruttura a partire dal codice sorgente;

6. f.

   le specifiche tecniche delle principali componenti del sistema;

7. g.

   la documentazione dei processi per l’esercizio, la manutenzione e la sicurezza del sistema;

8. h.

   informazioni e descrizioni relative alle lacune conosciute.

 Non devono necessariamente essere pubblicati:

1. a.

   il codice sorgente di componenti terzi quali sistemi operativi, banche dati, server web e server di applicazioni, sistemi di gestione dei diritti, firewall e router, per quanto tali componenti siano ampiamente diffuse e siano costantemente aggiornate;

2. b.

   il codice sorgente di portali di autorità vincolati al sistema;

3. c.

   documenti o parti di documenti per i quali sussistono motivi per una deroga all’obbligo di pubblicazione, fondata in particolare sul diritto in materia di trasparenza o di protezione dei dati.

 I documenti da pubblicare secondo l’articolo 11 devono essere preparati e muniti di documentazione in modo tale che possano essere letti e analizzati nella maniera più semplice possibile.

 Per consentire una verifica da parte del pubblico, tali documenti devono essere:

1. a.

   ottenibili via Internet in modo semplice, gratuito e senza registrazione; e

2. b.

   disponibili tempestivamente prima dell’impiego previsto del sistema.

 Chiunque può esaminare, modificare, compilare ed eseguire il codice sorgente a scopi ideali nonché redigere studi in proposito. Può pubblicare studi e conoscenze sulle lacune. Può in particolare consultarsi con altre persone ai fini della ricerca di lacune e in tale contesto citare le informazioni pubblicate.

 Il proprietario del codice sorgente può:

1. a.

   autorizzare l’utilizzo del codice per altri fini;

2. b.

   stabilire condizioni specifiche per la trasmissione di segnalazioni volte a migliorare il sistema; in tale contesto può intimare di segnalare immediatamente le lacune e di rispettare un dato termine prima di pubblicare presunte lacune.

 Se stabilisce condizioni di utilizzo per il codice sorgente e la documentazione oppure condizioni di cui al capoverso 4 lettera b, il proprietario può perseguire le violazioni delle stesse civilmente o penalmente soltanto se qualcuno utilizza il codice sorgente o parti di esso per scopi commerciali o di produzione. Le condizioni di utilizzo e le condizioni di cui al capoverso 4 indicano questo aspetto.

 Il Cantone designa un organo al quale le persone interessate possano trasmettere segnalazioni volte a migliorare il sistema, tra cui:

1. a.

   segnalazioni di lacune nei documenti pubblicati secondo l’articolo 11;

2. b.

   segnalazioni sulla base di prove d’intrusione nel sistema online effettuate nel quadro di test pubblici.

 L’organo di cui al capoverso 1 valuta le segnalazioni e informa i segnalatori circa la propria valutazione ed eventuali misure adottate sulla base delle segnalazioni. Queste informazioni sono pubblicate.

 Il Cantone provvede affinché le segnalazioni che si riferiscono alla sicurezza e contribuiscono a migliorare il sistema siano remunerate adeguatamente.

 Il Cantone si assume la responsabilità globale per il corretto svolgimento degli scrutini per via elettronica.

 Deve eseguire da sé compiti importanti. Può delegare a organizzazioni esterne lo sviluppo del software impiegato, compiti legati all’esercizio e la comunicazione per le questioni legate al funzionamento.

 Designa un organo a livello cantonale che si assume la responsabilità globale e che esegue in particolare i seguenti compiti:

1. a.

   definire una direttiva sovraordinata in materia di sicurezza dell’informazione;

2. b.

   definire una direttiva in materia di classificazione ed elaborazione delle informazioni per le risorse informative identificate;

3. c.

   definire una direttiva in materia di gestione dei rischi;

4. d.

   definire e attuare misure per il rispetto delle direttive di cui alle lettere a–c;

5. e.

   incaricare un gestore del sistema e definire i requisiti posti alla sua sorveglianza e verifica;

6. f.

   definire scadenze per l’esecuzione di atti e operazioni critici;

7. g.

   sorvegliare e verificare i lavori del gestore del sistema;

8. h.

   accompagnare e istruire i verificatori;

9. i.

   valutare e comunicare la correttezza del risultato dello scrutinio sulla base delle note di conferma di cui all’articolo 5 e di altri indicatori.

 Gli organi preposti all’esercizio si assumono nei confronti del Cantone la responsabilità per l’approntamento e la gestione degli aspetti tecnici legati agli scrutini per via elettronica.

 I verificatori competenti secondo il diritto cantonale si assumono la responsabilità per l’esercizio dei loro ausili tecnici.

 Alle domande di cui all’articolo 27e ODP vanno allegati informazioni sugli impieghi previsti del voto elettronico e documenti sull’adempimento dei requisiti legali. Tra questi rientrano in particolare:

1. a.

   analisi attuali dei rischi secondo l’articolo 4, incluse le indicazioni necessarie per la comprensibilità;

2. b.

   certificati e relativi allegati che sono stati realizzati nel quadro delle verifiche di cui all’articolo 10 capoverso 2 e informazioni concernenti la loro pubblicazione secondo l’articolo 10 capoverso 4;

3. c.

   informazioni concernenti la pubblicazione di documenti secondo l’articolo 11 e le segnalazioni da parte del pubblico secondo l’articolo 13;

4. d.

   verbali relativi a test svolti dal Cantone e segnalazioni di lacune esistenti nel sistema;

5. e.

   la motivazione ed eventuali misure per le deroghe secondo l’articolo 16 capoverso 2.

 Nel caso dei documenti di cui al capoverso 1 che la Cancelleria federale ha già ricevuto e che sono ancora validi, è possibile limitarsi a un rimando.

 I requisiti dettagliati di natura tecnica e amministrativa posti al voto elettronico sono disciplinati nell’allegato.

 In casi eccezionali la Cancelleria federale può esonerare un Cantone dall’adempimento di singoli requisiti, sempre che:

1. a.

   i requisiti non adempiuti siano indicati nella domanda;

2. b.

   l’eccezione sia motivata in modo comprensibile; e

3. c.

   il Cantone descriva eventuali misure alternative e, per quanto riguarda l’analisi dei rischi, indichi i motivi per cui valuta tali rischi come sufficientemente bassi.

L’ordinanza della CaF del 13 dicembre 2013 concernente il voto elettronico è abrogata.

La presente ordinanza entra in vigore il 1° luglio 2022.