Überprüfung von Systemen

Die Beschaffung eines E-Voting-Systems ist Sache der Kantone und sie können ein eigenes System betreiben, das System eines anderen Kantons verwenden oder ein privates Unternehmen beiziehen (Art. 27k^bis Abs. 1 Bst. b VPR). Der Bund setzt den regulatorischen Rahmen und ist für die Bewilligungen zuständig.

Gemäss Bundesrecht werden nur vollständig verifizierbare E-Voting-Systeme zugelassen, die im Bereich der Überprüfung und Transparenz folgende Voraussetzungen erfüllen müssen:

Unabhängige Überprüfung im Auftrag des Bundes: E-Voting-Systeme und deren Betrieb werden einer unabhängigen Überprüfung im Auftrag des Bundes unterzogen (Art. 27l VPR und Art. 10 VEleS i.V.m. Ziff. 26 des Anhangs zur VEleS). Damit sollen eine wirksame Prüfung der Erfüllung der bundesrechtlichen Anforderungen und der Wirksamkeit von risikominimierenden Massnahmen sowie das Verbesserungspotential erörtert werden.
Offenlegung von Informationen zum System und dessen Betrieb: Die Kantone sorgen dafür, dass umfassende Informationen zum System und dessen Betrieb offengelegt werden; dazu gehören insbesondere der Quellcode und die Dokumentation (Art. 27l^bis VPR und Art. 11-12 VEleS).
Öffentliche Überprüfung: Die Öffentlichkeit und Fachkreise werden für die Verbesserung von E-Voting-Systemen einbezogen (Art. 27l^ter VPR). Insbesondere setzen die Kantone ein ständiges Bug-Bounty-Programm um (Art. 13 VEleS).

Überprüfung des vollständig verifizierbaren Post-Systems

Seit Juli 2021 gibt die Bundeskanzlei unabhängige Überprüfungen des vollständig verifizierbaren E-Voting-Systems der Schweizerischen Post und dessen Betriebs in Auftrag. Mit den Überprüfungen in den folgenden vier Bereichen werden Expertinnen und Experten aus Wissenschaft und Industrie beauftragt: das kryptografische Protokoll des Systems (Scope 1), die zum Einsatz gelangende Software (Scope 2), die Infrastruktur und den Betrieb bei der Post und den Kantonen (Scope 3) sowie einen Intrusionstest, dem das System ausgesetzt werden muss (Scope 4).