Ordonnance de la ChF du 25 mai 2022 sur le vote électronique (OVotE)

La présente ordonnance fixe les conditions régissant l’octroi de l’agrément pour les essais de vote électronique.

 On entend par:

1. a.

   système: terme générique qui recouvre le logiciel et les infrastructures utilisés pour réaliser un scrutin électronique;

2. b.

   système en ligne: partie du système qui est utilisée pour vérifier le droit de vote, pour envoyer le suffrage chiffré et pour conserver le suffrage chiffré;

3. c.

   partie fiable du système: partie du système comprenant un ou plusieurs groupes de composants de contrôle; la fiabilité de cette partie du système résulte de ce qu’il est possible de détecter les abus même si un seul des composants de contrôle d’un groupe fonctionne correctement;

4. d.

   composants de contrôle: composants du système indépendants qui diffèrent les uns des autres dans leur conception, sont exploités par des personnes différentes et sont sécurisés par des mesures spécifiques;

5. e.

   exploitant du système: autorité ou entreprise privée qui, agissant sur instructions du canton, exploite le système en ligne lors de la tenue d’un scrutin et assure sa maintenance;

6. f.

   exploitation: toutes actions à caractère technique, administratif ou juridique ainsi que les activités dirigeantes menées par un canton, un exploitant du système ou une imprimerie qui sont nécessaires pour la réalisation d’un scrutin électronique, y compris la maintenance;

7. g.

   unités d’exploitation: unités responsables de l’exploitation, comme une chancellerie d’État, un exploitant d’un système ou une imprimerie;

8. h.

   vérificateurs: personnes qui, sur mandat du canton, s’assurent du bon déroulement du scrutin;

9. i.

   infrastructure: matériel informatique, logiciels de composants tiers au sens de l’art. 11, al. 2, let. a, éléments de réseau, locaux, services et moyens d’exploitation de toute nature des unités d’exploitation, qui sont nécessaires à une exploitation sûre du vote électronique;

10. j.

    logiciel: pleine implémentation à partir du protocole cryptographique nécessaire à la vérifiabilité complète du processus de vote électronique telle qu’elle a été mise en œuvre par le développeur du système;

11. k.

    protocole cryptographique: protocole doté de fonctions de sécurité cryptographiques destiné à assurer la conformité aux exigences visées à l’annexe, ch. 2; le protocole cryptographique est implanté au niveau du modèle et ne contient donc pas d’instructions d’implémentation directes, mais uniquement des fonctions de sécurité abstraites;

12. l.

    plate-forme utilisateur: appareil multifonctionnel programmable relié à Internet et qui permet de voter, tel qu’un ordinateur standard, un ordiphone ou une tablette tactile;

13. m.

    suffrage enregistré: suffrage dont la partie fiable du système a reçu confirmation de son caractère définitif;

14. n.

    suffrage partiel:

    1. 1.

       dans le cadre d’une votation: suffrage émis relativement à un projet, à un contre-projet ou à une question subsidiaire,

    2. 2.

       dans le cadre d’une élection: suffrage émis en faveur d’une liste ou d’un candidat;

15. o.

    suffrage émis conformément à la procédure prévue par le système: suffrage qui répond aux quatre conditions suivantes:

    1. 1.

       il est conforme aux règles applicables au remplissage d’un bulletin de vote,

    2. 2.

       il a été émis de manière définitive,

    3. 3.

       les données pertinentes d’authentification client et le message d’authentification qui en résulte correspondent aux données d’authentification serveur qui ont été définies et envoyées à l’électeur en amont du scrutin,

16. 4.

    il a été émis au moyen de données d’authentification client qui n’ont pas déjà été utilisées pour émettre un suffrage que la partie fiable du système en ligne aurait enregistré précédemment;

17. p.

    donnée d’authentification client: information mise à la disposition de l’électeur, comme un NIP, et dont celui-ci, le cas échéant conjointement avec d’autres données d’authentification client, a besoin pour voter;

18. q.

    donnée d’authentification serveur: information qui, le cas échéant conjointement avec d’autres données d’authentification serveur, est nécessaire pour authentifier l’émetteur d’un suffrage en sa qualité d’électeur au moyen de messages d’authentification;

19. r.

    messages d’authentification: ensemble des informations qu’une plate-forme utilisateur envoie au système en ligne après introduction des données d’authentification client pour que l’infrastructure authentifie l’émetteur d’un suffrage en sa qualité d’électeur;

20. s.

    certificat: document qui atteste qu’un élément contrôlé est conforme à un cadre de référence ou à une norme;

21. t.

    certificat électronique: ensemble de données qui atteste de certaines caractéristiques de personnes ou d’objets et dont l’authenticité et l’intégrité peuvent être vérifiées par des procédés cryptographiques; le certificat électronique est principalement utilisé pour identifier et authentifier le titulaire et pour chiffrer les transmissions;

u. actions et opérations critiques: activités au cours desquelles des données critiques sont traitées;

1. v.

   données critiques: données dont l’intégrité ou la confidentialité sont déterminantes pour le respect des exigences du protocole cryptographique.

 Sont applicables au surplus les définitions qui figurent au ch. 1 de l’annexe.

L’agrément doit être demandé pour chaque scrutin électronique; il est accordé si les conditions suivantes sont remplies:

1. a.

   le système est conçu et exploité de façon à garantir un scrutin électronique vérifiable, sûr et fiable;

2. b.

   le système est facile à utiliser par les électeurs; il tient compte autant que possible des besoins particuliers de chacun;

3. c.

   le système et les processus d’exploitation sont conçus et documentés de façon à ce qu’il soit possible de vérifier et de comprendre dans le détail leurs aspects techniques et organisationnels;

4. d.

   le public a accès à des informations adaptées sur le fonctionnement du système et sur ses processus d’exploitation, et des mesures sont prises pour inciter les personnes disposant des connaissances nécessaires à participer à l’amélioration du système.

 Le canton démontre au moyen d’une appréciation des risques que les risques pour la sécurité sont suffisamment faibles dans le domaine qui relève de sa compétence. Il tient compte de la confiance et de l’acceptation du public à l’égard du vote électronique.

 Il examine s’il lui est possible d’apprécier les risques dans les domaines qui relèvent de ses prestataires ou si ceux-ci doivent le faire eux-mêmes. Le cas échéant, il leur demande de procéder à une telle appréciation et de la lui remettre.

 Les risques sont appréciés sous l’angle des objectifs de sécurité suivants:

1. a.

   l’exactitude des résultats est garantie;

2. b.

   le secret du vote est garanti et il est impossible d’établir des résultats partiels anticipés;

3. c.

   le vote électronique est accessible et opérationnel;

4. d.

   les informations personnelles des électeurs sont protégées;

5. e.

   les informations destinées aux électeurs sont protégées contre les manipulations;

6. f.

   il est impossible de faire un usage abusif des preuves relatives au comportement de vote.

 Chaque risque doit être identifié et décrit clairement au moyen de la documentation du système et de son exploitation, sous l’angle des aspects suivants:

1. a.

   objectifs de sécurité;

2. b.

   données éventuellement liées aux objectifs de sécurité;

3. c.

   menaces;

4. d.

   vulnérabilités.

 Toute manipulation de nature à fausser les résultats doit pouvoir être détectée sans qu’il soit porté atteinte au secret du vote (vérifiabilité complète). Tel est réputé être le cas lorsque sont remplies les exigences applicables et à la vérifiabilité individuelle et à la vérifiabilité universelle.

 La vérifiabilité individuelle est soumise aux exigences suivantes:

1. a.

   tout votant dispose de la possibilité de détecter si le suffrage qu’il a émis, tel qu’il l’a saisi sur la plate-forme utilisateur, a été manipulé ou intercepté sur la plate-forme utilisateur ou pendant la transmission; tout votant reçoit à cet effet la preuve que la partie fiable du système (art. 8) a enregistré son suffrage tel qu’il l’a saisi sur la plate-forme utilisateur, et que ce suffrage a été émis conformément à la procédure prévue par le système; la preuve atteste, pour chaque suffrage partiel, que l’enregistrement a été effectué correctement;

2. b.

   tout électeur qui n’a pas voté par voie électronique peut demander, une fois fermé le canal de vote électronique et avant l’échéance des délais de recours légaux, la preuve que la partie fiable du système n’a pas enregistré de suffrage émis au moyen de ses propres données d’authentification client.

 La vérifiabilité universelle est soumise aux exigences suivantes:

1. a.

   les vérificateurs reçoivent la preuve que les résultats ont été établis correctement; cette preuve atteste que ceux-ci ont été établis en prenant en compte:

2. 1.

   tous les suffrages qui ont été émis conformément à la procédure prévue par le système et qui ont été enregistrés par la partie fiable du système,

3. 2.

   uniquement les suffrages qui ont été émis conformément à la procédure prévue par le système,

4. 3.

   tous les suffrages partiels correspondant à la preuve générée dans le cadre de la vérifiabilité individuelle;

5. b.

   les vérificateurs doivent évaluer cette preuve au cours d’un processus observable; ils mettent en œuvre à cet effet des dispositifs techniques indépendants et séparés du reste du système.

Le caractère concluant des preuves visées à l’art. 5 dépend de la fiabilité:

1. a.

   de la partie fiable du système, pour les preuves visées à l’art. 5, al. 2 et 3;

2. b.

   de la procédure utilisée pour générer et imprimer le matériel de vote, pour les preuves visées à l’art. 5, al. 2, et

3. c.

   des dispositifs techniques que les vérificateurs mettent en œuvre aux fins de contrôle, pour les preuves visées à l’art. 5, al. 3.

Sont déterminantes pour garantir le secret du vote et l’impossibilité d’établir des résultats partiels anticipés au sein de l’infrastructure:

1. a.

   la fiabilité de la partie fiable du système;

2. b.

   la fiabilité de la procédure utilisée pour générer et imprimer le matériel de vote.

 La partie fiable du système comprend un ou plusieurs groupes de composants de contrôle.

 Les preuves sont concluantes (art. 6) et le secret du vote est garanti (art. 7) même si, dans chaque groupe, il n’y a qu’un seul composant de contrôle à fonctionner correctement.

 Pour que la fiabilité de la partie fiable du système soit garantie, il faut que les composants de contrôle diffèrent les uns des autres dans leur conception et que leur exploitation et leur surveillance soient indépendantes.

Si les risques ne sont pas suffisamment faibles malgré les mesures prises, il convient de prendre des mesures supplémentaires afin de les réduire. Cette règle s’applique même lorsque toutes les exigences prévues dans l’annexe ont déjà été mises en œuvre.

 Des organes indépendants mandatés par la ChF vérifient la conformité:

1. a.

   du protocole cryptographique (annexe, ch. 26.1);

2. b.

   du logiciel du système (annexe, ch. 26.2);

3. c.

   de la sécurité de l’infrastructure et de l’exploitation (annexe, ch. 26.3);

4. d.

   de la protection contre les tentatives d’intrusion dans l’infrastructure (annexe, ch. 26.4).

 Le canton s’assure que l’exploitant du système dispose d’un système de management de la sécurité de l’information (SMSI) et que celui-ci est audité par des organes indépendants (annexe, ch. 26.5). Le SMSI porte au moins sur les processus et les éléments de l’infrastructure de l’exploitant du système qui sont pertinents pour atteindre les objectifs de sécurité.

 Le canton s’assure que la ChF et les organes indépendants qu’elle a mandatés ont accès au système et à tous les documents nécessaires de façon à pouvoir procéder aux contrôles visés à l’al. 1.

 Les autorités responsables des contrôles en vertu des al. 1 et 2 publient les pièces justificatives et les certificats. Ils publient en outre tous documents pertinents pour la compréhension de ces derniers. Ne doivent pas obligatoirement être publiés les documents ou parties de documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.

 Le canton veille à ce que soient publiés les éléments suivants:

1. a.

   le code source du logiciel du système, y compris les fichiers contenant les paramètres pertinents;

2. b.

   une pièce justificative attestant que les programmes lisibles par machine ont été créés au moyen du code source du logiciel tel qu’il a été publié;

3. c.

   la documentation du logiciel;

4. d.

   la documentation du processus de développement;

5. e.

   les guides et autres documentations complémentaires, afin que les personnes disposant des connaissances nécessaires puissent compiler, faire fonctionner et analyser le système dans leur propre infrastructure au moyen du code source;

6. f.

   les spécifications techniques des principaux composants du système;

7. g.

   la documentation des processus d’exploitation, de maintenance et de sécurité du système;

8. h.

   les informations et descriptifs concernant les failles identifiées.

 Ne doivent pas obligatoirement être publiés:

1. a.

   le code source de composants tiers tels que des systèmes d’exploitation, des bases de données, des serveurs web et des serveurs d’application, des systèmes de gestion des droits, des pare-feu et des routeurs, pour autant que ces composants soient utilisés à grande échelle et qu’ils soient mis à jour en permanence;

2. b.

   le code source des portails de cyberadministration qui sont reliés au système;

3. c.

   les documents ou parties de documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.

 Les éléments à publier conformément à l’art. 11 doivent être préparés et documentés de façon à faciliter autant que possible leur lecture et leur analyse.

 Pour permettre au public d’apprécier les éléments à publier, il est fait en sorte que ceux-ci:

1. a.

   soient accessibles en ligne facilement, gratuitement et sans obligation d’enregistrement, et

2. b.

   soient disponibles suffisamment longtemps avant l’utilisation prévue du système.

 Toute personne a le droit d’examiner, de modifier, de compiler et d’exécuter le code source à des fins idéales et de lui consacrer des études. Elle peut publier des études et des constatations sur les failles. Elle a également le droit d’échanger avec d’autres personnes pour rechercher des failles et de citer tout ou partie des informations publiées.

 Le propriétaire du code source peut:

1. a.

   autoriser l’utilisation du code source à d’autres fins;

2. b.

   soumettre à des conditions particulières la fourniture d’indications sur les moyens d’améliorer le système; il peut ainsi inviter à signaler toute faille au plus vite et à observer un certain délai pour les publications consacrées à des failles supposées.

 S’il soumet le code source et la documentation à des conditions d’utilisation ou s’il prévoit des conditions au sens de l’al. 4, let. b, il ne peut poursuivre leur violation civilement ou pénalement que si le code source est utilisé en tout ou partie à des fins commerciales ou productives. Les conditions précitées doivent préciser ce point.

 Le canton désigne un service auquel le public peut fournir des indications sur les moyens d’améliorer le système, notamment:

1. a.

   des indications concernant des erreurs dans les éléments qui doivent être publiés en vertu de l’art. 11;

2. b.

   des indications reposant sur des tentatives d’intrusion dans le système en ligne effectuées dans le cadre de tests publics.

 Le service visé à l’al. 1 évalue les indications reçues et informe les personnes qui les ont fournies des conclusions qu’il en a tirées et des mesures qui pourront être prises à partir de ces indications. Ces informations sont publiées.

 Le canton veille à ce que les indications qui touchent à la sécurité et qui permettent d’améliorer le système soient rémunérées de manière équitable.

 Le canton assume la responsabilité générale du bon déroulement du scrutin électronique.

 Il exécute lui-même les tâches principales. Il peut déléguer à des entités extérieures le développement du logiciel utilisé, les tâches liées à l’exploitation et la communication sur le fonctionnement du système.

 Il désigne un service compétent au niveau cantonal qui assume la responsabilité générale du scrutin et veille notamment à la bonne exécution des tâches suivantes:

1. a.

   établir une directive globale sur la sécurité de l’information;

2. b.

   établir une directive sur la classification et le traitement de l’information pour les ressources informationnelles identifiées;

3. c.

   établir une directive sur la gestion du risque;

4. d.

   définir et mettre en œuvre les mesures permettant d’assurer la conformité aux directives visées aux let. a à c;

5. e.

   mandater l’exploitant d’un système et définir les exigences applicables à sa surveillance et à son contrôle;

6. f.

   fixer les délais applicables à l’exécution d’actions et d’opérations critiques;

7. g.

   surveiller et vérifier les travaux effectués par l’exploitant du système;

8. h.

   accompagner et instruire les vérificateurs;

9. i.

   évaluer et communiquer l’exactitude des résultats du scrutin sur la base des preuves visées à l’art. 5 et d’autres indicateurs.

 Pendant la tenue d’un scrutin, les unités d’exploitation répondent devant le canton du bon fonctionnement du vote électronique et de la bonne gestion de ses aspects techniques.

 Les vérificateurs compétents selon le droit cantonal répondent du bon fonctionnement de leurs dispositifs techniques.

 Aux demandes présentées en vertu de l’art. 27e ODP devront être joints les informations concernant l’utilisation prévue du système de vote électronique et les documents qui attestent que les exigences légales sont remplies. Il s’agit notamment des documents suivants:

1. a.

   les appréciations des risques les plus récentes au sens de l’art. 4, y compris les éléments nécessaires à leur compréhension;

2. b.

   les certificats, y compris leurs annexes, qui ont été établis dans le cadre de l’art. 10, al. 2, et les informations attestant de leur publication conformément à l’art. 10, al. 4;

   1. c.

      les informations concernant la publication des éléments visés à l’art. 11 et les indications fournies par le public en vertu de l’art. 13;

3. d.

   les protocoles des tests qui ont été effectués par le canton, et les indications suggérant l’existence de failles affectant le système;

4. e.

   les raisons pour lesquelles certaines exigences n’ont pas été remplies et les mesures de remplacement prévues, conformément à l’art. 16, al. 2.

 Lorsque la ChF a déjà en sa possession les documents visés à l’al. 1 et qu’ils sont encore valides, il pourra suffire d’y renvoyer.

 Les exigences techniques et administratives à remplir pour organiser un scrutin électronique sont détaillées dans l’annexe.

 La ChF peut exceptionnellement dispenser un canton de remplir certaines exigences s’il respecte les trois conditions suivantes:

1. a.

   il signale comme telles dans la demande les exigences qu’il n’a pas remplies;

2. b.

   il expose de manière plausible les raisons pour lesquelles il n’a pas rempli ces exigences;

3. c.

   il décrit les mesures de remplacement qu’il prendra et, s’agissant de l’appréciation des risques, indique les raisons pour lesquelles il considère que ceux-ci sont suffisamment faibles.

L’ordonnance de la ChF du 13 décembre 2013 sur le vote électronique est abrogée.

La présente ordonnance entre en vigueur le 1 juillet 2022.