Ordinanza della CaF
concernente il voto elettronico
(OVE)

¹ La pre­sen­te or­di­nan­za fis­sa le con­di­zio­ni per l’am­mis­sio­ne del vo­to elet­tro­ni­co.

² So­no ap­pli­ca­bi­li le de­fi­ni­zio­ni di cui all’al­le­ga­to nu­me­ro 1.3.

L’am­mis­sio­ne al vo­to elet­tro­ni­co per scru­ti­nio è ri­la­scia­ta se so­no adem­piu­te le se­guen­ti con­di­zio­ni:

a.

la con­fi­gu­ra­zio­ne e l’eser­ci­zio del si­ste­ma di vo­to elet­tro­ni­co (si­ste­ma) ga­ran­ti­sco­no un vo­to elet­tro­ni­co si­cu­ro e af­fi­da­bi­le (al­le­ga­to n. 2 e 3);

b.

il si­ste­ma è fa­ci­le da uti­liz­za­re per gli aven­ti di­rit­to di vo­to. Per quan­to pos­si­bi­le so­no con­si­de­ra­te le esi­gen­ze di tut­ti gli aven­ti di­rit­to;

c.

il si­ste­ma e i pro­ces­si ope­ra­ti­vi so­no do­cu­men­ta­ti nel­la mi­su­ra in cui tut­ti i pro­ces­si or­ga­niz­za­ti­vi e tec­ni­ci ri­le­van­ti per la si­cu­rez­za pos­sa­no es­se­re se­gui­ti nei det­ta­gli.

¹ Me­dian­te un’ana­li­si dei ri­schi il Can­to­ne de­ve do­cu­men­ta­re in ma­nie­ra esau­rien­te e com­pren­si­bi­le che even­tua­li ri­schi per la si­cu­rez­za so­no da con­si­de­rar­si suf­fi­cien­te­men­te bas­si. L’ana­li­si si ri­fe­ri­sce ai se­guen­ti obiet­ti­vi di si­cu­rez­za:

a.

ga­ran­ti­re la cor­ret­tez­za del ri­sul­ta­to;

b.

tu­te­la­re la se­gre­tez­za del vo­to ed esclu­de­re la pos­si­bi­li­tà di sta­bi­li­re in an­ti­ci­po ri­sul­ta­ti par­zia­li;

c.

as­si­cu­ra­re la di­spo­ni­bi­li­tà del­la fun­zio­na­li­tà del vo­to elet­tro­ni­co;

d.

pro­teg­ge­re le in­for­ma­zio­ni per­so­na­li su­gli aven­ti di­rit­to di vo­to;

e.

pro­teg­ge­re le in­for­ma­zio­ni per gli aven­ti di­rit­to di vo­to da even­tua­li ma­ni­po­la­zio­ni;

f.

esclu­de­re la pos­si­bi­li­tà di ot­te­ne­re ri­scon­tri sul com­por­ta­men­to di vo­to.

² Ogni ri­schio dev’es­se­re iden­ti­fi­ca­to e de­scrit­to chia­ra­men­te te­nen­do con­to de­gli obiet­ti­vi di si­cu­rez­za, di even­tua­li se­rie di da­ti ad es­si con­nes­si, mi­nac­ce, pun­ti de­bo­li e del­la do­cu­men­ta­zio­ne re­la­ti­va al si­ste­ma e al suo eser­ci­zio. Il Can­to­ne de­ve mo­ti­va­re su que­sta ba­se per­ché va­lu­ta i ri­schi co­me suf­fi­cien­te­men­te ri­dot­ti.

³ Per mi­ni­miz­za­re i ri­schi non si pos­so­no oc­cul­ta­re le in­for­ma­zio­ni re­la­ti­ve al­la si­cu­rez­za del si­ste­ma e del suo eser­ci­zio.

¹ Qua­lo­ra un si­ste­ma sia am­mes­so per più del 30 per cen­to dell’elet­to­ra­to can­to­na­le, gli elet­to­ri de­vo­no ave­re la pos­si­bi­li­tà di con­sta­ta­re se il lo­ro vo­to è sta­to ma­ni­po­la­to sul­la piat­ta­for­ma uten­te o in­ter­cet­ta­to sul­la via di tra­smis­sio­ne (ve­ri­fi­ca­bi­li­tà in­di­vi­dua­le, al­le­ga­to n. 4.1 e 4.2)

² Ai fi­ni del­la ve­ri­fi­ca in­di­vi­dua­le l’elet­to­re de­ve ri­ce­ve­re una no­ta di con­fer­ma se­con­do cui il si­ste­ma la­to ser­ver ha re­gi­stra­to il vo­to, co­me egli lo ha im­mes­so nel­la piat­ta­for­ma uten­te, qua­le vo­to espres­so con­for­me­men­te al si­ste­ma. Ta­le no­ta de­ve con­fer­ma­re per ogni sin­go­lo vo­to la cor­ret­ta re­gi­stra­zio­ne.

³ Qua­lo­ra i da­ti di au­ten­ti­ca­zio­ne client sia­no in­via­ti elet­tro­ni­ca­men­te, do­po la chiu­su­ra del ca­na­le di vo­to elet­tro­ni­co gli aven­ti di­rit­to di vo­to che non han­no vo­ta­to elet­tro­ni­ca­men­te de­vo­no po­ter ri­chie­de­re, nei ter­mi­ni le­ga­li di ri­cor­so, una no­ta di con­fer­ma se­con­do cui il si­ste­ma non ha re­gi­stra­to al­cun vo­to che sia sta­to espres­so uti­liz­zan­do i lo­ro da­ti di au­ten­ti­ca­zio­ne client.

⁴ La va­li­di­tà di una no­ta di con­fer­ma non de­ve di­pen­de­re dall’af­fi­da­bi­li­tà del­la piat­ta­for­ma uten­te o dal ca­na­le di tra­smis­sio­ne.

⁵ La va­li­di­tà di una no­ta di con­fer­ma può ba­sar­si sui se­guen­ti ele­men­ti:

a.

af­fi­da­bi­li­tà del si­ste­ma la­to ser­ver;

b.

af­fi­da­bi­li­tà di par­ti­co­la­ri au­si­lii tec­ni­ci de­gli elet­to­ri che de­vo­no adem­pie­re re­qui­si­ti di si­cu­rez­za par­ti­co­lar­men­te ele­va­ti;

c.

con­fi­den­zia­li­tà di da­ti in­via­ti su sup­por­to car­ta­ceo; la con­fi­den­zia­li­tà di que­sti da­ti dev’es­se­re ga­ran­ti­ta al di fuo­ri dell’in­fra­strut­tu­ra del vo­to elet­tro­ni­co me­dian­te par­ti­co­la­ri prov­ve­di­men­ti.

¹ Qua­lo­ra un si­ste­ma sia am­mes­so per più del 50 per cen­to dell’elet­to­ra­to can­to­na­le, oc­cor­re ga­ran­ti­re agli elet­to­ri o ai ve­ri­fi­ca­to­ri la pos­si­bi­li­tà di ri­co­no­sce­re, nel ri­spet­to del­la se­gre­tez­za del vo­to, qual­sia­si ma­ni­po­la­zio­ne che com­por­ti una fal­si­fi­ca­zio­ne del ri­sul­ta­to (ve­ri­fi­ca­bi­li­tà com­ple­ta, al­le­ga­to n. 4.3 e 4.4).

² La ve­ri­fi­ca­bi­li­tà com­ple­ta è da­ta se so­no adem­piu­ti re­qui­si­ti este­si in ma­te­ria di ve­ri­fi­ca­bi­li­tà in­di­vi­dua­le (cpv. 3) e re­qui­si­ti in ma­te­ria di ve­ri­fi­ca­bi­li­tà uni­ver­sa­le (cpv. 4–6).

³ Ol­tre ai re­qui­si­ti fis­sa­ti nell’ar­ti­co­lo 4, la ve­ri­fi­ca in­di­vi­dua­le de­ve adem­pie­re i se­guen­ti re­qui­si­ti:

a.

la no­ta di con­fer­ma de­ve ser­vi­re agli elet­to­ri qua­le ul­te­rio­re con­fer­ma che i da­ti ri­le­van­ti per la ve­ri­fi­ca­bi­li­tà uni­ver­sa­le han­no rag­giun­to la par­te af­fi­da­bi­le del si­ste­ma (cpv. 6);

b.

do­po la chiu­su­ra del ca­na­le di vo­to elet­tro­ni­co, gli elet­to­ri de­vo­no po­ter ri­chie­de­re una no­ta di con­fer­ma se­con­do cui la par­te af­fi­da­bi­le del si­ste­ma non ha an­co­ra re­gi­stra­to il lo­ro vo­to che è sta­to espres­so uti­liz­zan­do i lo­ro da­ti di au­ten­ti­ca­zio­ne client;

c.

la va­li­di­tà di una no­ta di con­fer­ma non de­ve di­pen­de­re dall’af­fi­da­bi­li­tà dell’in­te­ro si­ste­ma la­to ser­ver. Es­sa può pe­rò ba­sar­si sull’af­fi­da­bi­li­tà del­la par­te af­fi­da­bi­le del si­ste­ma.

⁴ Ai fi­ni del­la ve­ri­fi­ca uni­ver­sa­le i ve­ri­fi­ca­to­ri ri­ce­vo­no una no­ta di con­fer­ma del cor­ret­to ac­cer­ta­men­to del ri­sul­ta­to. Es­si so­no te­nu­ti a va­lu­ta­re ta­le no­ta in un pro­ces­so os­ser­va­bi­le. A que­sto sco­po de­vo­no av­va­ler­si di au­si­lii tec­ni­ci in­di­pen­den­ti e iso­la­ti dal re­sto del si­ste­ma. La no­ta de­ve con­fer­ma­re che il ri­sul­ta­to ac­cer­ta­to con­si­de­ra:

a.

tut­ti i vo­ti espres­si con­for­me­men­te al si­ste­ma, re­gi­stra­ti dal­la par­te af­fi­da­bi­le del si­ste­ma;

b.

so­lo i vo­ti espres­si con­for­me­men­te al si­ste­ma;

c.

tut­ti i vo­ti par­zia­li se­con­do la no­ta di con­fer­ma ge­ne­ra­ta nell’am­bi­to del­la ve­ri­fi­ca in­di­vi­dua­le.

⁵ La va­li­di­tà del­la no­ta di con­fer­ma può di­pen­de­re sol­tan­to dall’af­fi­da­bi­li­tà del­la par­te af­fi­da­bi­le del si­ste­ma e dall’au­si­lio tec­ni­co im­pie­ga­to per la ve­ri­fi­ca. Nel con­tem­po la ga­ran­zia del­la se­gre­tez­za del vo­to e l’esclu­sio­ne di ri­sul­ta­ti par­zia­li an­ti­ci­pa­ti all’in­ter­no dell’in­fra­strut­tu­ra del vo­to elet­tro­ni­co pos­so­no di­pen­de­re so­lo dall’af­fi­da­bi­li­tà del­la par­te af­fi­da­bi­le del si­ste­ma.

⁶ La par­te af­fi­da­bi­le del si­ste­ma com­pren­de un grup­po o po­chi grup­pi di com­po­nen­ti in­di­pen­den­ti ga­ran­ti­te da par­ti­co­la­ri prov­ve­di­men­ti (com­po­nen­ti di con­trol­lo). Il lo­ro im­pie­go de­ve ren­de­re ri­co­no­sci­bi­le qual­sia­si abu­so, qua­lo­ra per ogni grup­po so­lo una del­le com­po­nen­ti di con­trol­lo fun­zio­ni cor­ret­ta­men­te e in par­ti­co­la­re sia ma­ni­po­la­ta sen­za che nes­su­no se ne ac­cor­ga. Ai fi­ni dell’af­fi­da­bi­li­tà del­la par­te af­fi­da­bi­le del si­ste­ma la di­ver­sa con­fi­gu­ra­zio­ne del­le com­po­nen­ti di con­trol­lo non­ché l’in­di­pen­den­za del lo­ro eser­ci­zio e del­la lo­ro sor­ve­glian­za è de­ter­mi­nan­te.

Qua­lo­ra, no­no­stan­te le mi­su­re pre­se, i ri­schi non ri­sul­ti­no suf­fi­cien­te­men­te ri­dot­ti, oc­cor­re adot­ta­re mi­su­re sup­ple­men­ta­ri per mi­ni­miz­zar­li. Ciò va­le in par­ti­co­la­re quan­do tut­ti i re­qui­si­ti pre­vi­sti nell’al­le­ga­to nu­me­ri 2–4 so­no già sta­ti at­tua­ti.

¹ I Can­to­ni si ado­pe­ra­no af­fin­ché l’adem­pi­men­to del­le con­di­zio­ni sia ve­ri­fi­ca­to da or­ga­ni in­di­pen­den­ti. La ve­ri­fi­ca ha luo­go in par­ti­co­la­re quan­do il si­ste­ma o il suo eser­ci­zio so­no sta­ti mo­di­fi­ca­ti in un mo­do che l’adem­pi­men­to del­le con­di­zio­ni po­ste per l’am­mis­sio­ne po­treb­be es­se­re mes­so in dub­bio.

² Nel ca­so in cui ol­tre il 30 per cen­to dell’elet­to­ra­to can­to­na­le sia am­mes­so a una pro­va di vo­to (art. 4 e 5), il si­ste­ma e il suo eser­ci­zio de­vo­no es­se­re ve­ri­fi­ca­ti in mo­do par­ti­co­lar­men­te ap­pro­fon­di­to ri­guar­do ai se­guen­ti cri­te­ri:

a.

pro­to­col­lo crit­to­gra­fi­co (al­le­ga­to n. 5.1);

b.

fun­zio­na­li­tà (al­le­ga­to n. 5.2);

c.

si­cu­rez­za dell’in­fra­strut­tu­ra e dell’eser­ci­zio (al­le­ga­to n. 5.3);

d.

tu­te­la da ten­ta­ti­vi di in­tro­dur­si nell’in­fra­strut­tu­ra (al­le­ga­to n. 5.5);

e.

re­qui­si­ti po­sti al­le ti­po­gra­fie (al­le­ga­to n. 5.6);

f.²

im­pie­go di un si­ste­ma che pre­sen­ta la ca­rat­te­ri­sti­ca del­la ve­ri­fi­ca­bi­li­tà com­ple­ta di cui all’ar­ti­co­lo 5: com­po­nen­ti di con­trol­lo (al­le­ga­to n. 5.4).

³ Nel ca­so in cui al mas­si­mo il 30 per cen­to dell’elet­to­ra­to can­to­na­le sia am­mes­so a una pro­va di vo­to e il si­ste­ma pre­sen­ta la ca­rat­te­ri­sti­ca del­la ve­ri­fi­ca­bi­li­tà com­ple­ta di cui all’ar­ti­co­lo 5, il si­ste­ma e il suo eser­ci­zio de­vo­no es­se­re ve­ri­fi­ca­ti in mo­do par­ti­co­lar­men­te ap­pro­fon­di­to ri­guar­do ai se­guen­ti cri­te­ri:

a.

pro­to­col­lo crit­to­gra­fi­co (al­le­ga­to n. 5.1);

b.

fun­zio­na­li­tà (al­le­ga­to n. 5.2); la ve­ri­fi­ca può esclu­de­re i soft­ware dei por­ta­li di au­to­ri­tà che so­no vin­co­la­ti a un si­ste­ma;

c.

si­cu­rez­za dell’in­fra­strut­tu­ra e dell’eser­ci­zio (al­le­ga­to n. 5.3); la ve­ri­fi­ca può ver­te­re uni­ca­men­te sull’in­fra­strut­tu­ra che re­gi­stra il vo­to e for­ni­sce all’elet­to­re la no­ta di con­fer­ma di cui all’ar­ti­co­lo 4 ca­po­ver­so 2;

d.

tu­te­la da ten­ta­ti­vi di in­tro­dur­si nell’in­fra­strut­tu­ra (al­le­ga­to n. 5.5);

e.

com­po­nen­ti di con­trol­lo (al­le­ga­to n. 5.4).³

¹ Il co­di­ce sor­gen­te del soft­ware del si­ste­ma de­ve es­se­re pub­bli­ca­to.

² La pub­bli­ca­zio­ne av­vie­ne se il si­ste­ma pre­sen­ta la ca­rat­te­ri­sti­ca del­la ve­ri­fi­ca­bi­li­tà com­ple­ta di cui all’ar­ti­co­lo 5 do­po la ve­ri­fi­ca di cui:

a.

all’ar­ti­co­lo 7 ca­po­ver­so 2, nel ca­so in cui ol­tre il 30 per cen­to dell’elet­to­ra­to can­to­na­le sia am­mes­so a una pro­va di vo­to;

b.

all’ar­ti­co­lo 7 ca­po­ver­so 3, nel ca­so in cui al mas­si­mo il 30 per cen­to dell’elet­to­ra­to can­to­na­le sia am­mes­so a una pro­va di vo­to.

³ Non vi è l’ob­bli­go di pub­bli­ca­re il co­di­ce sor­gen­te di:

a.

com­po­nen­ti ter­zi qua­li si­ste­mi ope­ra­ti­vi, ban­che da­ti, ser­ver web e ser­ver di ap­pli­ca­zio­ni, si­ste­mi di ge­stio­ne dei di­rit­ti, fi­rewall e rou­ter, per quan­to ta­li com­po­nen­ti sia­no am­pia­men­te dif­fu­si e sia­no co­stan­te­men­te ag­gior­na­ti;

b.

por­ta­li di au­to­ri­tà che so­no vin­co­la­ti a un si­ste­ma.

¹ Il co­di­ce sor­gen­te de­ve es­se­re pre­pa­ra­to e do­cu­men­ta­to con­for­me­men­te al­le mi­glio­ri pras­si.

² L’ac­ces­so via In­ter­net al co­di­ce sor­gen­te de­ve es­se­re sem­pli­ce e gra­tui­to.

³ Una do­cu­men­ta­zio­ne re­la­ti­va al si­ste­ma e al suo eser­ci­zio de­ve in­di­ca­re la ri­le­van­za del­le sin­go­le par­ti del co­di­ce sor­gen­te per la si­cu­rez­za del vo­to elet­tro­ni­co. Ta­le do­cu­men­ta­zio­ne de­ve es­se­re pub­bli­ca­ta in­sie­me al co­di­ce sor­gen­te.

⁴ Chiun­que può esa­mi­na­re, mo­di­fi­ca­re, com­pi­la­re ed ese­gui­re il co­di­ce sor­gen­te a sco­pi idea­li non­ché re­di­ge­re stu­di in pro­po­si­to e pub­bli­car­li. Il pro­prie­ta­rio del co­di­ce sor­gen­te può au­to­riz­zar­ne l’uti­liz­za­zio­ne ad al­tri fi­ni.

¹ Al­le do­man­de inol­tra­te con­for­me­men­te agli ar­ti­co­li 27c e 27e ca­po­ver­so 1 ODP van­no al­le­ga­ti:

a.

at­te­sta­ti o cer­ti­fi­ca­ti se­con­do cui il si­ste­ma e il suo eser­ci­zio so­no sta­ti ve­ri­fi­ca­ti per quan­to ri­guar­da i re­qui­si­ti po­sti ed es­si li adem­pio­no tut­ti ef­fi­ca­ce­men­te (al­le­ga­to n. 6.1–6.3);

b.

at­te­sta­ti se­con­do cui, nell’im­mi­nen­za di uno scru­ti­nio, è sta­ta ef­fet­tua­ta un’ana­li­si dei ri­schi. Det­ti at­te­sta­ti de­vo­no mo­ti­va­re per­ché i ri­schi va­lu­ta­ti si muo­vo­no en­tro li­mi­ti suf­fi­cien­te­men­te bas­si (al­le­ga­to n. 6.4).

² È pos­si­bi­le rin­via­re ad at­te­sta­ti che la Can­cel­le­ria fe­de­ra­le ha già ri­ce­vu­to e che so­no an­co­ra va­li­di.

¹ I re­qui­si­ti det­ta­glia­ti di na­tu­ra tec­ni­ca e am­mi­ni­stra­ti­va po­sti al vo­to elet­tro­ni­co so­no di­sci­pli­na­ti nell’al­le­ga­to.

² Si­no al 30 giu­gno 2015 un Can­to­ne può, in ca­si ec­ce­zio­na­li, es­se­re eso­ne­ra­to dall’at­tua­zio­ne di sin­go­li re­qui­si­ti di cui all’al­le­ga­to nu­me­ri 2 e 3, sem­pre che:

a.

l’elet­to­ra­to can­to­na­le am­mes­so non su­pe­ri il 30 per cen­to;

b.

i re­qui­si­ti non at­tua­ti sia­no in­di­ca­ti nel­la do­man­da; e

c.

il Can­to­ne de­scri­va le mi­su­re al­ter­na­ti­ve e, per quan­to ri­guar­da l’ana­li­si dei ri­schi, mo­ti­vi per­ché es­so va­lu­ta ta­li ri­schi co­me suf­fi­cien­te­men­te ri­dot­ti.

La pre­sen­te or­di­nan­za en­tra in vi­go­re il 15 gen­na­io 2014.