Vote par correspondance électronique
L’expertise indépendante d’un système de vote par internet
Tout système de vote par correspondance électronique doit être expertisé par un tiers indépendant avant sa première utilisation. La recommandation CNIL du 24 avril 2026 a redéfini les modalités. Cette page explique ce que couvre une expertise, comment elle se déroule, et surtout comment vérifier qu’un expert remplit les trois critères exigés.
- Réponse sous 24 à 48hPrise de contact rapide, urgences comprises
- Référencé Cybermalveillance.gouv.frPrestataire du dispositif national ACYMA
- 15+ ans d'expérienceCybersécurité et infrastructure IT
- Audit sans engagementPremier échange et cadrage gratuits
Qui est concerné
L’obligation pèse sur le responsable de traitement, c’est-à-dire l’organisateur du scrutin, que la solution soit développée en interne ou fournie par un prestataire. Sont donc concernés les entreprises qui organisent des élections professionnelles, les administrations et collectivités, les associations, fédérations, ordres professionnels et organisations syndicales, ainsi que les éditeurs qui font expertiser leur produit pour permettre à leurs clients de satisfaire l’obligation.
L’expertise n’est pas une formalité administrative. C’est la pièce que l’organisateur produira si le scrutin est contesté.
Le cadre applicable, en deux textes
La recommandation de la CNIL, adoptée par délibération n° 2026-045 du 19 mars 2026 et publiée au Journal officiel du 24 avril 2026, fixe les objectifs de sécurité à atteindre. Elle abroge les recommandations de 2010 et de 2019. Le guide ANSSI-PA-118, publié le même jour, apporte pour chaque objectif les recommandations techniques qui permettent d’y répondre. Les deux se lisent ensemble.
Les principes que le système doit garantir
Aucun lien possible entre l'identité du votant et le contenu de son bulletin.
Prévention de l'usurpation d'identité et de la délégation abusive.
Absence de pression, neutralité de l'organisateur, égalité entre candidats.
Seuls les électeurs inscrits votent, et le résultat reflète les suffrages exprimés.
Le choix ne peut être altéré entre son émission et le décompte.
Chaque électeur doit pouvoir exprimer son suffrage.
Contrôle régulier, indépendant et objectif des opérations.
En cas de contestation, les irrégularités doivent être détectables.
C’est au regard de ces principes, et non d’une liste de contrôles techniques, que les exigences de sécurité s’apprécient.
Le niveau de risque commande tout
La recommandation conserve trois niveaux, le niveau 3 étant le plus élevé. Ce sont les critères d’appréciation qui ont été révisés, et le questionnaire d’auto-évaluation est désormais intégré directement au texte. Les recommandations ANSSI de niveau 1 s’appliquent aux trois niveaux, celles de niveau 2 aux niveaux 2 et 3, celles de niveau 3 au seul niveau 3.
Le point le plus souvent manqué
Une organisation qui a déjà organisé des scrutins électroniques ne peut pas reprendre son niveau antérieur. Les critères ayant changé, le niveau se réévalue scrutin par scrutin. Un scrutin classé niveau 1 en 2023 ne l’est pas nécessairement aujourd’hui.
Un cas mérite d’être connu avant même de choisir une solution : lorsque les sources de menace cumulent des ressources importantes et une motivation forte, typiquement en présence d’un risque d’ingérence identifié, la recommandation déconseille le recours au vote électronique, les solutions disponibles ne permettant pas de couvrir ce niveau de risque.
Quand l’expertise est-elle exigée
- Avant toute première utilisation, quel que soit le niveau : un système jamais expertisé ne se met pas en service.
- Niveau 3 : une expertise est attendue à l’occasion de chaque élection.
- Niveaux 1 et 2 : l’organisateur peut s’appuyer sur une expertise préalable, sans en refaire une à chaque scrutin, et peut définir lui-même le périmètre.
L’assouplissement des niveaux 1 et 2 est réel, mais il suppose que l’expertise invoquée porte sur le système effectivement utilisé. Une expertise conduite sur une autre version du logiciel, une autre infrastructure ou des procédures modifiées ne couvre pas le scrutin en cours. En cas de contestation, c’est exactement ce point qui sera examiné.
Régime transitoire
Les scrutins déjà en préparation et prévus en 2026 peuvent continuer d’appliquer la version de 2019. La nouvelle recommandation s’applique à tout nouveau scrutin.
Comment choisir son expert
L’article 38 de la recommandation pose trois critères. Ils sont vérifiables, y compris chez nous, et nous répondons à chacun en face.
Le texte ne demande ni agrément, ni certification, ni inscription sur une liste : la CNIL ne tient aucun registre d'experts habilités. Ce qui compte est la spécialité réelle en sécurité des systèmes d'information.
Chez nous : Quinze ans en infrastructure et sécurité, activité de tests d'intrusion et d'audit, prestataire référencé Cybermalveillance.gouv.fr.
Ni avec l'organisateur du scrutin, ni avec le fournisseur du système de vote, ni avec les autres éléments du système d'information qui permettent le vote. C'est le critère le plus souvent contourné dans les faits : beaucoup d'intervenants du secteur ont un lien commercial avec un éditeur.
Chez nous : Nous n'éditons ni ne revendons aucune solution de vote, et n'avons aucun lien capitalistique ou commercial avec un éditeur du secteur. C'est vérifiable et c'est la condition de la valeur du rapport.
Le texte ajoute « si possible, en ayant expertisé les systèmes d'au moins deux prestataires différents ». Cette précision porte sur les deux prestataires, l'expérience elle-même reste le critère.
Chez nous : Nous le disons franchement : nous n'avons pas encore signé de rapport d'expertise de vote électronique. Notre première mission est prévue début 2027. Si ce critère est déterminant pour votre scrutin, en particulier au niveau 3, dites-le nous et nous vous le dirons avant que vous engagiez quoi que ce soit.
Ce que contient une expertise
Une expertise n’est ni un test d’intrusion ni un audit applicatif au sens large. C’est l’instruction documentée de la conformité du système aux objectifs applicables.
Détermination du niveau de risque avec le questionnaire intégré à la recommandation, identification des objectifs applicables, et délimitation précise du périmètre : quelle version du logiciel, quelle infrastructure, quelles procédures.
Chaque objectif est repris un par un. Pour chacun, l'état constaté et la preuve sur laquelle il repose. Une déclaration de l'éditeur n'est pas une preuve ; un fichier de configuration, un procès-verbal, une empreinte cryptographique en sont.
Contrôle d'intégrité du moteur de vote par rapport à sa distribution officielle, revue du code d'intégration développé spécifiquement, examen de la configuration des serveurs, du cloisonnement et des accès.
Procédures d'exploitation, gestion des accès, cérémonie des clés de dépouillement, séparation des rôles, journalisation et conservation des preuves.
Structuré objectif par objectif. Il distingue ce qui est conforme, ce qui présente un écart, ce qui est couvert par une mesure compensatoire, et ce qui se situe hors périmètre. Les réserves et les limites des constats y sont écrites.
Après correction des écarts, une passe complémentaire vérifie que les corrections répondent effectivement aux constats.
Ce qu’il faut préparer
Plus le dossier est complet en amont, plus l’expertise se concentre sur la vérification plutôt que sur la collecte. Les éléments habituellement attendus :
- ·le dossier d'architecture technique du système
- ·la matrice des objectifs applicables, pré-renseignée, avec pour chaque ligne la réponse apportée et la preuve associée
- ·les procédures d'exploitation, de scellement et de descellement
- ·la procédure de cérémonie des clés de dépouillement et sa répartition
- ·l'analyse d'impact relative à la protection des données, lorsqu'elle est requise
- ·la note d'information destinée aux électeurs sur le traitement de leurs données
- ·un accès en lecture au code d'intégration lorsqu'il a été développé spécifiquement
L’expertise se conduit avant la mise en service, et une revalidation peut être nécessaire si des écarts sont relevés. Elle se positionne donc dans le calendrier électoral en amont du scellement. Un dossier engagé trop tard place l’organisateur devant un choix inconfortable : reporter le scrutin, ou l’ouvrir avec des réserves non levées.
Notre position, dite clairement
Nous n’éditons ni ne commercialisons de solution de vote et n’avons aucun lien capitalistique ou commercial avec un prestataire du secteur. C’est le critère d’indépendance, et c’est celui que beaucoup d’intervenants ne remplissent pas.
Notre activité relève de la sécurité des systèmes d’information et du conseil en cybersécurité, couverte par une responsabilité civile professionnelle dont le périmètre a été confirmé par écrit pour ce type de mission. Attestation sur demande.
Et nous le disons plutôt que de le taire : nous n’avons pas encore signé de rapport d’expertise de vote électronique, notre première mission est prévue début 2027. Si l’antériorité est déterminante pour votre scrutin, en particulier au niveau 3, nous vous le dirons avant que vous n’engagiez quoi que ce soit.
Questions fréquentes
L’expertise est-elle obligatoire pour un scrutin associatif ?
L’exigence pèse sur le responsable de traitement qui met en œuvre le système de vote, quelle que soit sa forme juridique. Une association qui élit ses instances par voie électronique y est soumise. C’est le niveau de risque du scrutin, et non le statut de l’organisation, qui détermine ensuite l’étendue des objectifs applicables.
Notre prestataire dit que sa solution est déjà expertisée. Cela suffit-il ?
Cela peut suffire pour un scrutin de niveau 1 ou 2 : depuis avril 2026, l’organisateur peut s’appuyer sur une expertise préalable sans en refaire une à chaque scrutin. Deux réserves. L’expertise invoquée doit porter sur la version et la configuration réellement déployées, pas sur une autre. Et pour un scrutin de niveau 3, la CNIL recommande une expertise à l’occasion de chaque élection.
Quels sont les critères que doit remplir l’expert ?
L’article 38 de la recommandation en pose trois : être un informaticien spécialisé dans la sécurité, ne présenter aucun conflit d’intérêt avec l’organisateur ni avec le fournisseur du système, et posséder une expérience dans l’analyse des systèmes de vote, si possible en ayant expertisé les solutions d’au moins deux prestataires différents. Aucun agrément ni certification n’est exigé : la CNIL ne tient pas de liste d’experts habilités.
Faut-il avoir suivi une formation de la CNIL pour être expert ?
Non. Cette exigence circule encore dans plusieurs articles en ligne, mais elle ne figure pas dans la recommandation du 24 avril 2026. Les critères applicables sont ceux de l’article 38, et la formation n’en fait pas partie.
L’expertise remplace-t-elle un test d’intrusion ?
Non, ce sont deux exercices distincts. L’expertise instruit la conformité du système aux objectifs de sécurité, objectif par objectif, avec les preuves correspondantes. Un test d’intrusion cherche des vulnérabilités exploitables. Selon le niveau de risque, certains objectifs appellent des vérifications techniques qui peuvent être menées dans le cadre de l’expertise.
Combien de temps faut-il prévoir ?
Cela dépend du niveau de risque, de l’étendue du périmètre et surtout de l’état du dossier fourni. Un dossier déjà constitué, avec la matrice des objectifs pré-renseignée et les preuves associées, permet de se concentrer sur la vérification. Un dossier à construire allonge le délai de façon sensible, parce que la collecte se fait alors pendant l’expertise. Le calendrier se cale au cas par cas, en amont du scellement.
Que se passe-t-il si des écarts sont relevés ?
Ils figurent au rapport, avec ce qui les fonde. L’organisateur les corrige, puis une passe de revalidation vérifie que les corrections répondent bien aux constats. Un écart peut aussi être maintenu s’il est assumé et documenté : il apparaît alors au rapport, ce qui est très différent de ne pas l’avoir vu.
Le vote électronique est-il toujours envisageable ?
Pas dans toutes les situations. La recommandation déconseille explicitement d’y recourir lorsque les sources de menace cumulent des ressources importantes et une motivation forte, typiquement en présence d’un risque d’ingérence identifié : les solutions disponibles aujourd’hui ne permettent pas de couvrir ce niveau de risque. C’est un point à trancher avant de choisir une solution, pas après.
Sources. Délibération n° 2026-045 du 19 mars 2026 portant adoption d’une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, JORF n° 0097 du 24 avril 2026, NOR CNIS2610924X. ANSSI, Recommandations pour la mise en œuvre du vote par Internet pour les élections non politiques, ANSSI-PA-118, 24 avril 2026.
Parlons de votre scrutin
Le niveau de risque, l’état de l’expertise du système envisagé et votre calendrier : trois questions suffisent à savoir où vous en êtes. C’est sans engagement.
Pour comprendre ce que change le texte de 2026 : notre analyse de la recommandation