1Des organes indépendants mandatés par la ChF vérifient la conformité:
- a.
- du protocole cryptographique (annexe, ch. 26.1);
- b.
- du logiciel du système (annexe, ch. 26.2);
- c.
- de la sécurité de l’infrastructure et de l’exploitation (annexe, ch. 26.3);
- d.
- de la protection contre les tentatives d’intrusion dans l’infrastructure (annexe, ch. 26.4).
2Le canton s’assure que l’exploitant du système dispose d’un système de management de la sécurité de l’information (SMSI) et que celui-ci est audité par des organes indépendants (annexe, ch. 26.5). Le SMSI porte au moins sur les processus et les éléments de l’infrastructure de l’exploitant du système qui sont pertinents pour atteindre les objectifs de sécurité.
3Le canton s’assure que la ChF et les organes indépendants qu’elle a mandatés ont accès au système et à tous les documents nécessaires de façon à pouvoir procéder aux contrôles visés à l’al. 1.
4Les autorités responsables des contrôles en vertu des al. 1 et 2 publient les pièces justificatives et les certificats. Ils publient en outre tous documents pertinents pour la compréhension de ces derniers. Ne doivent pas obligatoirement être publiés les documents ou parties de documents qui échappent à l’obligation de publication parce que des motifs particuliers le justifient, notamment tirés de la législation sur la protection des données ou de la législation sur la transparence.