Bundeskanzlei BK Sektion Politische Rechte
29.05.2013
Anhörung zum Technischen Reglement Vote électronique der Bundeskanzlei Erläuternder Bericht
Inhalt 1. Ausgangslage ................................................................................................... 3 2. Ziele und Grundzüge ........................................................................................ 3 3. Erläuterung der einzelnen Bestimmungen ........................................................ 4 3.1 Allgemeine Voraussetzungen für die Zulassung ........................................ 4 3.2 Risikoanalyse ............................................................................................. 5
3.3 Anforderungen an die Zulassung von 50 Prozent des kantonalen
Elektorats (Individuelle Verifizierbarkeit)..................................................... 5
3.4 Zulassung des gesamten kantonalen Elektorats (Vollständige
Verifizierbarkeit).......................................................................................... 5 3.5 Belege zu den Gesuchen ........................................................................... 5
2/5
1. Ausgangslage
Im Juni 2013 wird der Bundesrat voraussichtlich den dritten Bericht zu Vote électro- nique verabschieden. Der Bericht wertet die Versuche mit der elektronischen Stimm- abgabe zwischen 2006 und 2012 aus. Ausserdem legt er die Grundlagen zur Weiter- entwicklung von Vote électronique fest und sieht in diesem Zusammenhang u.a. vor, die Rechtsgrundlagen zu überarbeiten.
Die elektronische Stimmabgabe ist derzeit im Bundesgesetz vom 17. Dezember
1976 über die politischen Rechte (BPR, SR 161.1) und in der Verordnung vom
24. Mai 1978 über die politischen Rechte (VPR, SR 161.11) geregelt. Die Bestim- mungen in der Verordnung sollen überarbeitet werden. Ein entsprechender Entwurf (E-VPR) ist seit dem 22. April 2013 in der Anhörung. Das vorliegende technische Reglement (TR VE) soll die Bestimmungen in der VPR wie im 3. Bericht vorgesehen ergänzen und Einzelheiten für die elektronische Stimmabgabe regeln. Die E-VPR enthält die entsprechenden Delegationsnormen.
Das TR VE konkretisiert die im E-VPR festgehaltenen Grundsätze und bricht diese auf Anforderungen an die Kantone und die eingesetzten Systeme bzw. deren Betrieb herunter. Durch die zusätzliche Regelungsstufe können die grösstenteils technischen Bestimmungen stufengerecht geregelt und rascher angepasst werden, wenn dies neue technologische Entwicklungen erfordern. Bei Anpassungen des Reglements werden die Kantone als Systemeigentümer und -betreiber eng einbezogen und deren Bedürfnisse berücksichtigt.
Im Rahmen der Überarbeitung der Rechtsgrundlagen (E-VPR und TR VE) wird an der bewährten schrittweisen Ausdehnung der elektronischen Stimmabgabe fest- gehalten. Damit zusätzliches Elektorat zur elektronischen Stimmabgabe zugelassen werden kann (höhere Limiten), müssen die im TR VE festgelegten neuen Anforde- rungen erfüllt sein. Das Reglement erlaubt eine etappierte Umsetzung dieser Anfor- derungen.
2. Ziele und Grundzüge
Gemäss Entwurf der revidierten Verordnung vom 24. Mai 1978 über die politischen Rechte (E-VPR) wird der Bundesrat Kantonen, welche Versuche mit der elektroni- schen Stimmabgabe durchführen wollen, künftig eine Grundbewilligung (Art. 27a E- VPR) erteilen. Pro Urnengang benötigt ein System bzw. ein Kanton zusätzlich eine Zulassung durch die Bundeskanzlei (Art. 27e E-VPR).
Das Ziel des technischen Reglements liegt darin, die Kriterien für die Zulassung ei- nes Kantons und seines verwendeten Systems festzulegen. Die Kriterien sind als Anforderungen formuliert. Ihre Auswahl zielt darauf ab, Risiken für Vote électronique hinreichend zu minimieren. Die Erhöhung der Limiten des zugelassenen Elektorats ist an die Erfüllung jener Anforderungen geknüpft, so dass Risiken, die durch die Zu- lassung von mehr Stimmberechtigten entstehen, auf ein ausreichend tiefes Mass reduziert werden.
3/5
Die Anforderungen lassen sich unterteilen in sicherheitsrelevante Anforderungen an die Kantone bzw. an die eingesetzten Systeme und deren Betrieb, sowie anderseits in Anforderungen zur Überprüfung deren Einhaltung. Manche der Anforderungen an die Kantone bzw. an die eingesetzten Systeme und deren Betrieb sind aus dem Er- fahrungsschatz der Kantone abgeleitet. Hinzu kommen Anforderungen aus gelten- den Sicherheitsstandards (ISO/IEC 27001:2005 und Common Criteria Schutzprofil für Basissatz von Sicherheitsanforderungen an Online-Wahlprodukte) und die Verifi- zierbarkeit.
Die Verifizierbarkeit bildet eine spürbare Neuerung. Sie stellt sicher, dass systemati- sche Fehlfunktionen im Wahl- bzw. Abstimmungsablauf infolge von Softwarefehlern, menschlichen Fehlleistungen oder vorsätzlichen Manipulationsversuchen unter Wah- rung des Stimmgeheimnisses erkannt werden. Dazu gehört auch, dass Stimmende einen Beweis erhalten, dass ihre Stimme das System unverändert erreicht hat und nicht – beispielsweise durch ein Schadprogramm auf dem verwendeten Computer – manipuliert wurde. Dank ihrer wissenschaftlichen Abstützung und dadurch, dass sich die Verifizierbarkeit eines Systems für Vote électronique mittels Analogien mit den konventionellen Stimmkanälen einem breiten Publikum erklären lässt, bildet sie ein starkes Instrument, um den korrekten Ablauf eines Urnengangs nachzuvollziehen und damit Vertrauen zu bilden. Die Verifizierbarkeit hat sich in der technischen Lite- ratur in den letzten Jahren etabliert.
Die Umsetzung der Verifizierbarkeit bildet eine der Voraussetzungen dafür, dass zu- sätzliches Elektorat zur elektronischen Stimmabgabe zugelassen werden kann. Die VPR und das TR VE sehen eine etappierte Umsetzung vor. Hinsichtlich der ersten Entwicklungsetappe für ein System (50 Prozent des kantonalen Elektorats) wird eine reduzierte Form der Verifizierbarkeit vorgeschlagen. Um das gesamte kantonale Elektorat einzubeziehen, muss das System vollständig verifizierbar sein.
Die Einhaltung der Sicherheitsanforderungen soll bei verifizierbaren Systemen durch spezialisierte, externe Stellen geprüft und durch verschiedene Kontrollberichte (Zerti- fikate) bestätigt werden. Die Prüfstellen müssen vom Bund akkreditiert sein. Auf der Grundlage der Zertifikate erteilt die Bundeskanzlei die Zulassung. Sie ist an den Kon- trollen selbst aber nicht beteiligt.
3. Erläuterung der einzelnen Bestimmungen
3.1 Allgemeine Voraussetzungen für die Zulassung
Artikel 1 legt fest, dass die Sicherheit und die Benutzbarkeit die primären Vorausset- zungen für die Zulassung bilden (Absatz 1). Entsprechende Anforderungen an die Kantone bzw. an Systeme für Vote électronique und deren Betrieb sind im Anhang wiedergegeben (Kapitel 2: Anforderungen zur Ausgestaltung elementarer Abläufe; Kapitel 3: Sicherheitsanforderungen; Kapitel 4: Verifizierbarkeit). Die Erfüllung der Voraussetzungen muss hinsichtlich der hinreichenden Minimierung von Risiken überprüft werden (Absatz 2).
4/5
Individuell und vollständig verifizierbare Systeme erlauben eine Erhöhung bezie- hungsweise Aufhebung der geltenden Limiten. Zusätzlich zu den Anforderungen zur Verifizierbarkeit gelten auch enger gefasste Kriterien für die Überprüfung (Absatz 3 und Kapitel 5 des Anhangs). Falls die Risiken nicht als hinreichend tief eingeschätzt werden können, sind zusätzliche Sicherheitsmassnahmen zu ergreifen. Dies gilt auch dann, wenn sämtliche Anforderungen an Systeme für Vote électronique und deren Betrieb bereits berücksichtigt sind (Absatz 4).
3.2 Risikoanalyse
Artikel 2 legt fest, dass aus der Risikoanalyse klar hervorgehen soll, dass sich jegli- che Sicherheitsrisiken in einem ausreichend tiefen Rahmen bewegen (Absatz 1). Zu- sätzlich wird festgelegt auf welche Sicherheitsziele sich die Risikoanalyse im Mindes- ten beziehen soll (Bst. a - e). Sie soll hinreichend detailliert sein und dem Kanton als Basis dienen zur Argumentation, weshalb er die Restrisiken als hinreichend gering einschätzt (Absatz 2). Der Detaillierungsgrad darf von der Grösse des zugelassenen Elektorats abhängen. Die Geheimhaltung von Details zur Funktionsweise des Sys- tems, die nicht zuletzt für die Risikoanalyse massgebend sind, darf nicht als Sicher- heitsmassnahme eingesetzt werden (Absatz 3).
3.3 Anforderungen an die Zulassung von 50 Prozent des
kantonalen Elektorats (Individuelle Verifizierbarkeit) Artikel 3 legt fest, welche zusätzlichen Anforderungen an System und Betrieb für in- dividuell verifizierbare Systeme gelten (zusätzlich zu jenen unter Kapitel 2 und 3 des Anhangs). Weitere Details sind unter Verwendung eines abstrakten Modells im An- hang wiedergegeben (Abschnitte 4.1 und 4.2 des Anhangs).
3.4 Zulassung des gesamten kantonalen Elektorats (Voll-
ständige Verifizierbarkeit) Artikel 4 legt fest, welche zusätzlichen Anforderungen an System und Betrieb für vollständig verifizierbare Systeme gelten (zusätzlich zu jenen unter Kapitel 2 und 3 des Anhangs). Weitere Details sind unter Verwendung eines abstrakten Modells im Anhang wiedergegeben (Abschnitte 4.3 und 4.4 des Anhangs).
3.5 Belege zu den Gesuchen
Artikel 5 legt fest, dass die Kantone ihren Gesuchen Belege zu den Prüfungen beile- gen müssen (Absatz 1 und Kapitel 6 des Anhangs). Sie dienen zur Bestätigung, dass das zu verwendende System und sein Betrieb geprüft worden sind. Sie beziehen sich auf die Prüfungen gemäss Artikel 1 Absatz 2, beziehungsweise Artikel 1 Ab- satz 3 für individuell und vollständig verifizierbare Systeme. Zusätzliche Belege müs- sen bestätigen, dass sich die Einschätzung der Risiken im Vorfeld eines Urnengangs in einem ausreichend tiefen Rahmen bewegt (Absatz 2 und Kapitel 6 des Anhangs).
5/5