L’expertise indépendante est le contrôle, par un cabinet extérieur, de la conformité et de la sécurité d’un système de vote électronique : codes sources, scellement, chiffrement, échanges réseau. Prévue par les recommandations de la CNIL, elle donne aux organisateurs une garantie vérifiable sur la fiabilité de leur prestataire.
La CNIL recommande qu’une expertise indépendante soit réalisée sur toute solution de vote électronique avant son premier déploiement, que la solution soit développée par l’organisateur du scrutin ou fournie par un prestataire. Cette règle figure dans sa recommandation du 19 mars 2026 (nouvelle fenêtre) (délibération n° 2026-045), qui a remplacé celles de 2010 et de 2019. Certains organisateurs restent réticents à l’idée de confier leur scrutin à un prestataire privé : l’expertise indépendante leur apporte une garantie objective.
Les expertises indépendantes permettent de garantir la bonne conformité, la transparence et la neutralité des prestataires vis-à-vis des réglementations RGPD concernant l’utilisation et la conservation des données. Leurs évaluations sont basées sur différents critères et différents tests qui permettent de valider ou non la conformité du prestataire. Par ailleurs, il est important que le cabinet d’expertise en question soit indépendant financièrement, afin d’éviter tout risque de corruption.
Toujours pour garantir son indépendance, l’expert doit répondre aux critères fixés par la CNIL : être un informaticien spécialisé dans la sécurité, ne présenter aucun conflit d’intérêts avec l’organisateur du scrutin ni avec le fournisseur du système de vote, et posséder une expérience dans l’analyse des systèmes de vote, si possible auprès d’au moins deux prestataires différents. La CNIL invite aussi les experts à s’appuyer sur le guide de l’ANSSI consacré à la sécurité des systèmes de vote par correspondance électronique. Dans l’idéal, l’expertise doit être large et ne pas se contenter d’évaluer la solution de vote, mais aussi l’aspect organisationnel du scrutin.
La fréquence de l’expertise dépend du niveau de risque du scrutin. Pour un scrutin de niveau 3, le plus sensible, la CNIL recommande une expertise à chaque élection. Pour un scrutin de niveau 1 ou 2, l’organisateur décide de l’opportunité d’une expertise ; il peut reprendre les conclusions d’un rapport antérieur portant sur les briques logicielles de la solution, s’il date de moins de 24 mois (niveau 1) ou de 12 mois (niveau 2), si ces briques n’ont pas été modifiées depuis et si aucune vulnérabilité n’y a été révélée entre-temps. La réglementation propre à certains scrutins s’applique en plus : dans la fonction publique, les articles R. 211-518 à R. 211-521 du Code général de la fonction publique (nouvelle fenêtre) imposent une expertise avant la mise en place de la solution et après toute modification substantielle de sa conception.
Pour procéder à ces vérifications, l’expert doit avoir accès aux codes sources de chaque système de vote, aux mécanismes de scellement et de chiffrement ainsi qu’aux échanges réseaux. L’expert doit également avoir accès aux locaux du prestataire si besoin. De plus, l’architecture du site est aussi validée par le cabinet ainsi que la configuration des serveurs et le chiffrement des données.
Le cabinet d’expertise se charge d’analyser 4 types de menaces :
- Les attaques par déni de service visant à perturber le scrutin
- Les tentatives d’intrusion dans les systèmes pour modifier les résultats
- La manipulation des logiciels de vote ou de dépouillement
- Les risques de violation de l’anonymat des électeurs
Pour gagner la confiance des organisateurs, le prestataire de vote en ligne a la possibilité de publier le rapport des audits effectués en son sein. La publication de ces rapports permet aux organisateurs de s’assurer de la bonne conformité du prestataire, c’est un gage de transparence apprécié. De plus, certains prestataires proposent des démonstrations publiques de leur système de vote. Si un manque de transparence est constaté par la CNIL, les prestataires s’exposent à une amende pouvant aller jusqu’à 20 millions d’euros.
LegaVote, expertisé par 5 cabinets indépendants
Chez LegaVote, nous veillons à respecter scrupuleusement toutes les lois et réglementations en vigueur concernant le vote électronique. Notre objectif est de garantir une conformité totale au cadre juridique, assurant ainsi une solution sécurisée et fiable. Nous faisons ainsi régulièrement expertiser notre plateforme par des cabinets indépendants.
Les cabinets qui ont expertisé LegaVote
- Le Net Expert Informatique
- Demaeter
- Expertis Lab
- Orange Cyberdefense
- Itekia
Les tests comportent notamment des exercices d’intrusion pour identifier et corriger toutes vulnérabilités potentielles, garantissant ainsi la protection et la confidentialité des votes. Il existe deux types de tests : le premier représente une situation où les cybercriminels n’ont pas ou peu d’informations concernant les systèmes, le second correspond à une situation où les cybercriminels possèdent une grande partie des informations sur les systèmes du prestataire. On appelle donc ces tests respectivement “boîte noire” ou “boîte grise”. Enfin, dans le but de limiter les risques de recours et d’annulation des votes, les cabinets d’experts envisagent tous les scénarios possibles afin de prévenir d’éventuel problème pouvant survenir à la fois en amont des votes, mais également a posteriori.
Régulièrement, les clients appellent leur propre cabinet d’expertise pour s’assurer que notre solution convient à leurs exigences de sécurité. Nous répondons à ces demandes en offrant une transparence totale et en facilitant les audits approfondis. Ces audits nous permettent de garantir une traçabilité de chaque étape du processus électoral. Le rapport de ces cabinets est ainsi disponible à la fois pour le prestataire, mais également pour l’organisateur ayant fait appel.
Enfin, vous pouvez vous assurer de toutes les mesures mises en place par LegaVote en consultant notre page Sécurité et Conformité.