РЕШЕНИЕ НА КОМИСИЯТА
от 4 май 2010 година
относно плана за сигурност за централната ШИС II и комуникационната инфраструктура
(2010/261/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Регламент (ЕО) № 1987/2006 на Европейския парламент и на Съвета от 20 декември 2006 г. за създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II) (1), и по-специално член 16 от него,
като взе предвид Решение 2007/533/ПВР на Съвета от 12 юни 2007 г. относно създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II) (2), и по-специално член 16 от него,
като има предвид, че:
(1)
Член 16 от Регламент (ЕО) № 1987/2006 и член 16 от Решение 2007/533/ПВР предвиждат, че управителният орган, по отношение на централната ШИС II, и Комисията, по отношение на комуникационната инфраструктура, следва да предприемат необходимите мерки, включително план за сигурност.
(2)
Член 15, параграф 4 от Регламент (ЕО) № 1987/2006 и член 15, параграф 4 от Решение 2007/533/ПВР предвиждат, че през преходния период преди управителният орган да поеме своите задължения, Комисията следва да е отговорна за оперативното управление на централната ШИС II.
(3)
Тъй като управителният орган все още не е създаден, планът за сигурност, който трябва да бъде приет от Комисията, следва в преходния период да е приложим също и към централната ШИС II.
(4)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията, когато тя изпълнява задълженията си по оперативното управление на ШИС II.
(5)
Член 15, параграф 7 от Регламент (ЕО) № 1987/2006 и член 15, параграф 7 от Решение 2007/533/ПВР предвиждат, че когато Комисията делегира своите задължения по време на преходния период преди управителният орган да поеме своите задължения, тя гарантира, че това делегиране не влияе неблагоприятно върху ефективните контролни механизми съгласно правото на Съюза, независимо дали са на Съда, на Сметната палата или на Европейския надзорен орган по защита на данните.
(6)
Управителният орган следва да приеме свой собствен план за сигурност по отношение на централната ШИС II, веднага щом поеме своите задължения. Поради това настоящият план за сигурност следва да изтече, доколкото е свързан с централната ШИС II, когато управителният орган поеме своите задължения.
(7)
Член 4, параграф 3 от Регламент (ЕО) № 1987/2006 и член 4, параграф 3 от Решение 2007/533/ПВР предвиждат, че ЦС-ШИС, която изпълнява технически надзор и административни функции, е разположена в Страсбург (Франция), а резервната ЦС-ШИС, която в случай на повреда на основната ЦС-ШИС е способна да осигури всички нейни функционалности, е разположена в Санкт Йохан им Понгау (Австрия).
(8)
Планът за сигурност следва да предвиди един служител по сигурността на системата, който да изпълнява задачи, свързани със сигурността, както за централната ШИС II, така и за комуникационната инфраструктура и двама местни служители по сигурността, които да изпълняват задачи, свързани със сигурността, съответно за централната ШИС II и за комуникационната инфраструктура. Ролите на служителите по сигурността следва да са определени така, че да осигуряват ефективна и навременна реакция на инциденти по сигурността, както и тяхното докладване.
(9)
Следва да бъде определена политика за сигурност, която да описва всички технически и организационни детайли в съответствие с разпоредбите на настоящото решение.
(10)
Следва да бъдат дефинирани мерки, които да осигурят необходимото ниво на сигурност на работата на централната ШИС II и на комуникационната инфраструктура,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
1. Настоящото решение установява организацията и мерките за сигурност (план за сигурност) за защитата на централната ШИС II и на данните, обработвани в нея, срещу заплахи за тяхната наличност, цялост и поверителност по смисъла на член 16, параграф 1 от Регламент (ЕО) № 1987/2006 и член 16, параграф 1 от Решение 2007/533/ПВР относно създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II) през преходния период, докато управителният орган поеме своите задължения.
2. Настоящото решение установява организацията и мерките за сигурност (план за сигурност) за защитата на комуникационната инфраструктура срещу заплахи за нейната наличност, цялост и поверителност по смисъла на член 16 от Регламент (ЕО) № 1987/2006 и член 16 от Решение 2007/533/ПВР относно създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II).
ГЛАВА II
ОРГАНИЗАЦИЯ, ЗАДЪЛЖЕНИЯ И УПРАВЛЕНИЕ НА ИНЦИДЕНТИ
Член 2
Задачи на Комисията
1. Комисията прилага и наблюдава ефективността на мерките за сигурност за централната ШИС II, посочени в настоящото решение.
2. Комисията прилага и наблюдава ефективността на мерките за сигурност за комуникационната инфраструктура, посочени в настоящото решение.
3. Комисията определя служител по сигурност на системата от длъжностните си лица. Служителят по сигурността на системата се назначава от генералния директор на Генерална дирекция „Правосъдие, свобода и сигурност“ на Комисията. Задачите на служителя по сигурността на системата по-специално включват:
а)
изготвяне на политиката за сигурност, както е описано в член 7 от настоящото решение;
б)
наблюдаване на ефективността при изпълнението на процедурите за сигурност на централната ШИС II;
в)
наблюдаване на ефективността при изпълнението на процедурите за сигурност на комуникационната инфраструктура;
г)
принос в подготовката на докладването във връзка със сигурността, както е посочено в член 50 от Регламент (ЕО) № 1987/2006 и в член 66 от Решение 2007/533/ПВР;
д)
изпълнение на задачи по координиране и подпомагане при проверките и одитите, извършвани от Европейския надзорен орган по защита на данните, посочени в член 45 от Регламент (ЕО) № 1987/2006 и в член 61 от Решение 2007/533/ПВР, както и уведомяване на служителя на Комисията по защита на данните за инциденти по смисъла на член 5, параграф 2;
е)
наблюдение дали настоящото решение и политиката за сигурност се прилагат правилно и изцяло от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в управлението на централната ШИС II;
ж)
наблюдение дали настоящото решение и политиката за сигурност се прилагат правилно и изцяло от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в управлението на комуникационната инфраструктура;
з)
поддържане на списък от единични национални контактни точки за сигурността на ШИС II и предоставянето му на местния служител по сигурността за комуникационната инфраструктура;
и)
предоставяне на списъка, посочен в буква з), на местния служител по сигурността за централната ШИС II.
Член 3
Местен служител по сигурността за централната ШИС II
1. Без да се засяга член 8, Комисията определя местен служител по сигурността за централната ШИС II от длъжностните си лица. Конфликтите на интереси между задълженията на местния служител по сигурността и всяко друго официално задължение се предотвратяват. Местният служител по сигурността за централната ШИС II се назначава от генералния директор на Генерална дирекция „Правосъдие, свобода и сигурност“ на Комисията.
2. Местният служител по сигурността за централната ШИС II осигурява мерките по сигурността, посочени в настоящото решение, да бъдат изпълнявани и процедурите по сигурността да бъдат следвани в основната ЦС-ШИС. По отношение на резервната ЦС-ШИС местният служител по сигурността за централната ШИС II осигурява още мерките по сигурността, посочени в настоящото решение, с изключение на тези, посочени в член 9, да бъдат прилагани и процедурите по сигурността, свързани с нея, да бъдат изпълнявани.
3. Местният служител по сигурността за централната ШИС II може да прехвърли всяка от своите задачи на подчинени служители. Конфликтите на интереси между задължението за изпълнение на тези задачи и всяко друго официално задължение се предотвратяват. Единичен телефонен номер и адрес за връзка позволяват свързването с местния служител по сигурността или неговия или нейния подчинен на служба по всяко време.
4. Местният служител по сигурността за централната ШИС II изпълнява задачите, произтичащи от мерките за сигурност, които трябва да бъдат взети в помещенията, в които са разположени основната ЦС-ШИС и резервната ЦС-ШИС, в рамките на параграф 1, които по-специално включват:
а)
задачи по местната оперативна сигурност, включващи одит на „защитната стена“, редовни изпитвания на сигурността, одитиране и докладване;
б)
наблюдение на ефективността на плана за непрекъснатост на работата и осигуряване на редовното провеждане на учения;
в)
събиране на доказателства и докладване на служителя по сигурността на системата за всеки инцидент в централната ШИС II, който може да повлияе на сигурността на централната ШИС II или на комуникационната инфраструктура;
г)
информиране на служителя по сигурността на системата, ако политиката за сигурност се нуждае от изменение;
д)
наблюдение дали настоящото решение и политиката за сигурност се прилагат от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в оперативното управление на централната ШИС II;
е)
осигуряване на това, че персоналът осъзнава своите задължения и наблюдаване на прилагането на политиката за сигурност;
ж)
наблюдаване на развитието в сферата на сигурността на ИТ и осигуряване на това, че персоналът е съответно обучен;
з)
подготвяне на необходимата информация и варианти за създаването, актуализирането и прегледа на политиката за сигурност в съответствие с член 7.
Член 4
Местен служител по сигурността за комуникационната инфраструктура
1. Без да се засяга член 8, Комисията определя местен служител по сигурността за комуникационната инфраструктура от своите длъжностни лица. Конфликтите на интереси между задълженията на местния служител по сигурността и всяко друго официално задължение се предотвратяват. Местният служител по сигурността за комуникационната инфраструктура се назначава от генералния директор на Генерална дирекция „Правосъдие, свобода и сигурност“ на Комисията.
2. Местният служител по сигурността за комуникационната инфраструктура наблюдава функционирането на комуникационната инфраструктура и осигурява това, че мерките по сигурността се прилагат, както и това, че процедурите по сигурността се изпълняват.
3. Местният служител по сигурността за комуникационната инфраструктура може да прехвърли всяка от своите задачи на подчинени служители. Конфликтите на интереси между задължението за изпълнение на тези задачи и всяко друго официално задължение се предотвратяват. Единичен телефонен номер и адрес за връзка позволяват свързването с местния служител по сигурността или неговия или нейния подчинен на служба по всяко време.
4. Местният служител по сигурността за комуникационната инфраструктура изпълнява задачите, произтичащи от мерките за сигурност, които трябва да бъдат взети по комуникационната инфраструктура и които по-специално включват:
а)
всички задачи по оперативната сигурност, свързани с комуникационната инфраструктура, включващи одит на „защитната стена“, редовни изпитвания на сигурността, одитиране и докладване;
б)
наблюдение на ефективността на плана за непрекъснатост на работата и осигуряване на редовното провеждане на учения;
в)
събиране на доказателства и докладване на служителя по сигурността на системата за всеки инцидент, настъпил в комуникационната инфраструктура, който може да повлияе на сигурността на централната ШИС II или на комуникационната инфраструктура;
г)
информиране на служителя по сигурността на системата, ако политиката за сигурност се нуждае от изменение;
д)
наблюдение дали настоящото решение и политиката за сигурност се прилагат от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в управлението на комуникационната инфраструктура;
е)
осигуряване на това, че персоналът осъзнава своите задължения, както и наблюдаване на прилагането на политиката за сигурност;
ж)
наблюдаване на развитието в сферата на сигурността на ИТ и осигуряване на това, че персоналът е съответно обучен;
з)
подготвяне на необходимата информация и варианти за създаването, актуализирането и прегледа на политиката за сигурност в съответствие с член 7.
Член 5
Инциденти по сигурността
1. Всяко събитие, което има или може да има въздействие върху сигурността на ШИС II и може да предизвика щети или загуба на ШИС II, се разглежда като инцидент по сигурността, особено когато може да е бил осъществен достъп до данни или когато наличността, целостта и поверителността на данните са били или е могло да бъдат компрометирани.
2. Инцидентите по сигурността се управляват така, че да се осигури бърза, ефективна и правилна реакция в съответствие с политиката за сигурност. Създават се процедури за възстановяване след инцидент.
3. На засегнатата държава-членка се предоставя информация по отношение на инцидент по сигурността, който има или може да има въздействие върху работата на ШИС II в държавата-членка или върху наличността, целостта и поверителността на данните, въведени или изпратени от държавата-членка. Служителят по защита на данните на Комисията се уведомява за инцидентите по сигурността.
Член 6
Управление на инциденти
1. От всички служители и изпълнители на договори в разработването, управлението или експлоатацията на ШИС II се изисква да отбелязват и докладват на служителя по сигурността на системата или на местния служител по сигурността за комуникационната инфраструктура всички наблюдавани или подозирани слабости в сигурността на комуникационната инфраструктура.
2. В случай на установяване на инцидент, който има или може да има въздействие върху сигурността на ШИС II, местният служител по сигурността за комуникационната инфраструктура информира възможно най-бързо служителя по сигурността на системата и когато е необходимо, единичната национална контактна точка за сигурността на ШИС II, ако във въпросната държава-членка съществува такава контактна точка, писмено, или в случай на изключителна спешност, посредством други комуникационни канали. Докладът съдържа описанието на инцидента по сигурността, степента на риск, възможните последици и мерките, които са били или следва да бъдат предприети, за да се смекчи рискът.
3. Всички доказателства във връзка с инцидент по сигурността се запазват незабавно от местния служител по сигурността за комуникационната инфраструктура. В степента, в която позволяват приложимите разпоредби за защита на данните, такива доказателства се предоставят на служителя по сигурността на системата при поискване от негова страна.
4. В политиката за сигурност се дефинират процеси за обратна връзка, за да се гарантира, че информацията за типа, третирането и резултата от инцидент по сигурността се съобщава на служителя по сигурността на системата и на местния служител по сигурността за комуникационната инфраструктура, веднага след като инцидентът е отработен и повече не е в развитие.
5. Параграфи от 1 до 4 се прилагат mutatis mutandis към инциденти в централната ШИС II. В този смисъл всяко позоваване на местния служител по сигурността за комуникационната инфраструктура в параграфи от 1 до 4 се чете като позоваване на местния служител по сигурността за централната ШИС II.
ГЛАВА III
МЕРКИ ЗА СИГУРНОСТ
Член 7
Политика за сигурност
1. Генералният директор на Генерална дирекция „Правосъдие, свобода и сигурност“ установява, актуализира и редовно преглежда обвързваща политика за сигурност в съответствие с настоящото решение. Политиката за сигурност предоставя подробните процедури и мерки за защита срещу заплахи за наличността, целостта и поверителността на комуникационната инфраструктура, включително планиране за извънредни ситуации с цел да се осигури необходимото ниво на сигурност, както е предписано от настоящото решение. Политиката за сигурност е в съответствие с настоящото решение.
2. Политиката за сигурност се базира на оценка на риска. Мерките, описани от политиката за сигурност, са пропорционални на идентифицираните рискове.
3. Оценката на риска и политиката за сигурност се актуализират, ако технологичните промени, идентифицирането на нови заплахи или някакви други обстоятелства правят това необходимо. Във всички случаи на политиката за сигурност се прави преглед ежегодно, за да се гарантира, че все още осигурява подходящ отговор на последната оценка на риска или на всяка друга новоидентифицирана технологична промяна, заплаха или друго подобно обстоятелство.
4. Политиката за сигурност се изготвя от служителя по сигурността на системата при координиране с местния служител по сигурността за централната ШИС II и местния служител по сигурността за комуникационната инфраструктура.
5. Параграфи от 1 до 4 се прилагат mutatis mutandis към инциденти в централната ШИС II. В този смисъл всяко позоваване на местния служител по сигурността за комуникационната инфраструктура в параграфи от 1 до 4 се чете като позоваване на местния служител по сигурността за централната ШИС II.
Член 8
Изпълнение на мерките за сигурност
1. Изпълнението на задачите и изискванията, установени в настоящото решение и в политиката за сигурност, включително задачата за определяне на местен служител по сигурността, може да бъде възложено с договор или поверено на частни или публични образувания.
2. В този случай Комисията осигурява посредством правнообвързващо споразумение, че изискванията, установени в настоящото решение и в политиката за сигурност, са спазени напълно. В случай на делегиране или възлагане с договор на задачата за определяне на местен служител по сигурността Комисията осигурява посредством правнообвързващо споразумение, че ще бъде потърсено становището ѝ относно лицето, което ще бъде определено за местен служител по сигурността.
Член 9
Контрол на достъпа до съоръженията
1. За защита на районите, в които са разположени съоръжения за обработка на данни, се използват периметри за сигурност с подходящите бариери и контрол на входовете.
2. В периметрите за сигурност се дефинират обезопасени зони за защита на физически компоненти (активи), включващи хардуер, носители и конзоли за данни, планове и други документи за ШИС II, както и офиси и други работни места за персонала, участващ в експлоатацията на ШИС II. Тези обезопасени зони се защитават с подходящ контрол на входовете, за да се гарантира, че достъп се позволява само на персонал, който е упълномощен. Работата в обезопасените зони е предмет на подробни правила за сигурност, определени в политиката за сигурност.
3. Предвижда се и се монтира физическа сигурност за офиси, стаи и съоръжения. Точките за достъп, като зоните за доставка и товаро-разтоварни дейности, и други точки, през които неупълномощени лица могат да влязат в помещенията, се контролират и ако е възможно, се изолират от съоръженията за обработка на данни, за да се избегне неразрешеният достъп.
4. Проектира се и се прилага пропорционално на риска физическа защита на периметрите за сигурност срещу повреда от природни или предизвикани от човека бедствия.
5. Оборудването се защитава от физически и екологични заплахи и от възможности за неразрешен достъп.
6. Ако Комисията притежава такава информация, тя добавя към списъка, посочен в член 2, параграф 3, буква з), единична контактна точка за наблюдението и изпълнението на разпоредбите на настоящия член в помещенията, в които е разположена резервната ЦС-ШИС.
Член 10
Контрол на носителите на данни и на активите
1. Сменяем носител, който съдържа данни, се защитава срещу неразрешен достъп, неправилна употреба или повреда, а разчитането му се осигурява за целия живот на данните.
2. Освобождаването от носителите, когато повече не са необходими, се извършва по сигурен и безопасен начин в съответствие с подробните процедури, които ще бъдат определени в политиката за сигурност.
3. Инвентарни списъци осигуряват наличието на информация за мястото на съхранение, приложимия срок на запазване и разрешенията за достъп.
4. Определят се всички важни активи на комуникационната инфраструктура, така че да могат да бъдат защитени в съответствие с важността им. Води се актуален регистър на съответното ИТ оборудване.
5. Осигурява се актуална документация на комуникационната инфраструктура. Такава документация трябва да е защитена срещу неразрешен достъп.
6. Параграфи от 1 до 5 се прилагат mutatis mutandis към инциденти в централната ШИС II. В този смисъл всяко позоваване на комуникационната инфраструктура се чете като позоваване на централната ШИС II.
Член 11
Контрол върху съхранението
1. Вземат се подходящи мерки за осигуряване на правилно съхранение на данните и предотвратяване на неразрешения достъп до тях.
2. Всички елементи на оборудването, съдържащи носители за съхранение на данни, се проверяват, за да се гарантира, че чувствителните данни са били премахнати или напълно заличени преди освобождаването от тях, или се унищожават по сигурен начин.
Член 12
Контрол на пароли
1. Всички пароли се пазят в безопасност и се третират с поверителност. В случай на подозрение, че дадена парола е била разкрита, паролата се сменя незабавно или съответният потребителски достъп се прекратява. Използват се уникални и индивидуални идентификации за потребителите.
2. В политиката за сигурност се дефинират процедури за вход и изход, за да се предотврати неразрешен достъп.
Член 13
Контрол на достъпа
1. За целите на оперативното управление политиката за сигурност установява официална процедура за регистриране и прекратяване на регистрацията на персонала за даване и отнемане на достъп до хардуера и софтуера на ШИС II. Определянето и използването на подходящи атрибути за достъп (пароли или други подходящи средства) се контролира посредством официален управленски процес, както е определен в политиката за сигурност.
2. Достъпът до хардуера и софтуера на ШИС II в ЦС-ШИС:
i)
се ограничава до упълномощените лица;
ii)
се ограничава до случаите, в които е налице легитимна цел в съответствие с член 45 от Регламент (ЕО) № 1987/2006 и член 61 от Решение 2007/533/ПВР или с член 50, параграф 2 от Регламент (ЕО) № 1987/2006 и член 66, параграф 2 от Решение 2007/533/ПВР;
iii)
се ограничава до продължителността и обхвата, необходими за целта на достъпа; и
iv)
се осъществява само в съответствие с политика за контрол на достъпа, която се определя в политиката за сигурност.
3. В ЦС-ШИС се използват само конзолите и софтуерът, разрешени от местния служител по сигурността за централната ШИС II. Използването на системни възможности, които може да са способни да заобиколят контролите на системата и на приложенията, се ограничава и контролира. Въвеждат се процедури за контрол на инсталирането на софтуер.
Член 14
Контрол на комуникациите
Комуникационната инфраструктура се наблюдава с цел осигуряване на наличност, цялост и поверителност на обмена на информация. Използват се средства за криптиране, за да се защитят данните, предавани по комуникационната инфраструктура.
Член 15
Контрол на въвеждането
Правата на достъп на лица, упълномощени за достъп до софтуера на ШИС II от ЦС-ШИС II, се наблюдават от местния служител по сигурността за централната ШИС II. Регистрира се използването на тези права на достъп, което включва времето и самоличността на потребителя.
Член 16
Контрол на транспорта
1. В политиката за сигурност се определят подходящи мерки за предотвратяване на неразрешено четене, копиране, промяна или заличаване на лични данни по време на предаване към или от ШИС II или по време на транспортирането на носители на данни. В политиката за сигурност се установяват разпоредби по отношение на допустимите типове изпращане или транспорт, както и по отношение на процедурите за отчетност за транспортирането на предмети и пристигането им в тяхното местоназначение. Носителят на данни не съдържа никакви други данни, освен данните, които трябва да бъдат изпратени.
2. Услугите, предоставени от трети страни, които включват оценка, обработване, комуникации или управление на съоръжения за обработка на данни или добавянето на продукти или услуги към съоръженията за обработка на данни, имат подходящи интегрирани контроли за сигурност.
Член 17
Сигурност на комуникационната инфраструктура
1. Комуникационната инфраструктура се управлява и контролира по подходящ начин с цел да бъде защитена от заплахи и да се осигури сигурността както на самата комуникационна инфраструктура, така и на централната ШИС II, включително на данните, обменяни през нея.
2. Характеристиките на сигурността, нивата на обслужване и управленските изисквания на всички мрежови услуги се идентифицират в мрежово споразумение за обслужване с доставчика на услуги.
3. Освен защитата на точките на достъп на ШИС II се защитават и всички допълнителни услуги, използвани от комуникационната инфраструктура. В политиката за сигурност се дефинират подходящите мерки.
Член 18
Наблюдение
1. Регистрите, записващи информацията, посочена в член 18, параграф 1 от Регламент (ЕО) № 1987/2006 и член 18, параграф 1 от Решение 2007/533/ПВР по отношение на всеки достъп и всеки обмен на лични данни с ЦС-ШИС II, се съхраняват по сигурен начин и са достъпни от помещенията, в които са разположени основната ЦС-ШИС и резервната ЦС-ШИС за максималния срок, посочен в член 18, параграф 3 от Регламент (ЕО) № 1987/2006 и член 18, параграф 3 от Решение 2007/533/ПВР.
2. В политиката за сигурност се създават процедури за наблюдение на използването или на грешки в съоръженията за обработка на данни и резултатите от дейностите по наблюдение се преглеждат редовно. Ако е необходимо, се предприемат подходящи действия.
3. Устройствата за водене на регистри и регистрите се защитават срещу злонамерена намеса и неразрешен достъп с цел да се изпълнят изискванията за събиране и запазване на доказателства за срока на запазване.
Член 19
Мерки за криптиране
За защитата на информацията, когато е необходимо, се прилагат мерки за криптиране. Тяхното използване, заедно с целите и условията, трябва да бъде одобрено предварително от служителя по сигурността на системата.
ГЛАВА IV
СИГУРНОСТ НА ЧОВЕШКИТЕ РЕСУРСИ
Член 20
Профили на персонала
1. Политиката за сигурност дефинира функциите и отговорностите на лицата, които имат разрешен достъп до централната ШИС II.
2. Политиката за сигурност дефинира функциите и отговорностите на лицата, които имат разрешен достъп до комуникационната инфраструктура.
3. Свързаните със сигурността роли и отговорности на персонала на Комисията, изпълнителите на договори и персонала, участващ в оперативното управление, се дефинират, документират и съобщават на засегнатите лица. В описанието на длъжността и в целите се посочват ролите и отговорностите на персонала на Комисията; в договорите или в споразуменията за нивото на обслужване се посочват тези за изпълнителните на договори.
4. Споразуменията за поверителност и служебна тайна се сключват с всички лица, към които не се прилага служебен правилник на Европейския съюз или на публична служба на държава-членка. Персоналът, който трябва да работи с ШИС II, преминава през необходимата проверка за сигурност или процедура на сертифициране в съответствие с подробните процедури, определени в политиката за сигурност.
Член 21
Информиране на персонала
1. Целият персонал и всички изпълнители на договори получават подходящо обучение за рисковете за сигурността, правните изисквания, политиките и процедурите в степента, изисквана от техните задължения.
2. При приключване на трудовите взаимоотношения или договора отговорностите на персонала и изпълнителите на договори, свързани с промяна на работата или приключване на трудовите взаимоотношения, се определят в политиката за сигурност и се създават процедури в политиката за сигурност за връщане на активите и за прекратяване на правата за достъп.
ГЛАВА V
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 22
Приложимост
1. Настоящото решение влиза в сила на датата, определена от Съвета в съответствие с член 55, параграф 2 от Регламент (ЕО) № 1987/2006 и член 71, параграф 2 от Решение 2007/533/ПВР.
2. Член 1, параграф 1, член 2, параграф 1, член 2, параграф 3, букви б), г), е) и и), член 3, член 6, параграф 5, член 7, параграф 5, член 9, параграф 6, член 10, параграф 6, член 13, параграфи 2 и 3, член 15, член 18 и член 20, параграф 1 изтичат, когато управителният орган поеме своите задължения.
Съставено в Брюксел на 4 май 2010 година.
KOMISIJOS SPRENDIMAS
2010 m. gegužės 4 d.
dėl Centrinės SIS II ir Ryšių infrastruktūros saugumo plano
(2010/261/ES)
EUROPOS KOMISIJA,
atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,
atsižvelgdama į 2006 m. gruodžio 20 d. Europos Parlamento ir Tarybos reglamentą (EB) Nr. 1987/2006 dėl antrosios kartos Šengeno informacinės sistemos (SIS II) sukūrimo, veikimo ir naudojimo (1), ypač į jo 16 straipsnį,
atsižvelgdama į 2007 m. birželio 12 d. Tarybos sprendimą 2007/533/TVR dėl antrosios kartos Šengeno informacinės sistemos (SIS II) sukūrimo, veikimo ir naudojimo (2), ypač į jo 16 straipsnį,
kadangi:
(1)
Reglamento (EB) Nr. 1987/2006 16 straipsnyje ir Sprendimo 2007/533/TVR 16 straipsnyje numatyta, kad Valdymo institucija Centrinės SIS II atžvilgiu ir Komisija Ryšių infrastruktūros atžvilgiu turėtų imtis reikiamų priemonių, įskaitant saugumo planą.
(2)
Reglamento (EB) Nr. 1987/2006 15 straipsnio 4 dalyje ir Sprendimo 2007/533/TVR 15 straipsnio 4 dalyje numatyta, kad pereinamuoju laikotarpiu, kol Valdymo institucija pradės vykdyti savo įsipareigojimus, už Centrinės SIS II operacijų valdymą turėtų būti atsakinga Komisija.
(3)
Kadangi Valdymo institucija dar neįsteigta, saugumo planas, kurį turi priimti Komisija, pereinamuoju laikotarpiu taip pat turėtų būti taikomas Centrinei SIS II.
(4)
Komisijos tvarkomiems asmens duomenims, kai ji atlieka SIS II operacijų valdymo užduotis, taikomas Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 (3).
(5)
Reglamento (EB) Nr. 1987/2006 15 straipsnio 7 dalyje ir Sprendimo 2007/533/TVR 15 straipsnio 7 dalyje numatyta, kad tais atvejais, kai Komisija pereinamuoju laikotarpiu, kol Valdymo institucija pradės vykdyti savo įsipareigojimus, perduoda savo pareigas, ji užtikrina, kad šis perdavimas neturėtų neigiamos įtakos jokiam pagal Sąjungos teisę Teisingumo Teismo, Audito Rūmų ar Europos duomenų apsaugos priežiūros pareigūno vykdomos veiksmingos kontrolės mechanizmui.
(6)
Pradėjusi vykdyti savo įsipareigojimus, Valdymo institucija Centrinės SIS II atžvilgiu turėtų priimti savo saugumo planą. Todėl šis saugumo planas Centrinės SIS II atžvilgiu galios tol, kol Valdymo institucija pradės vykdyti savo įsipareigojimus.
(7)
Reglamento (EB) Nr. 1987/2006 4 straipsnio 3 dalyje ir Sprendimo 2007/533/TVR 4 straipsnio 3 dalyje numatyta, kad CS-SIS, kuri atlieka techninės priežiūros ir administravimo funkcijas, yra Strasbūre (Prancūzija), o atsarginė CS-SIS, sugedus pagrindinei CS-SIS galinti užtikrinti visų jos funkcijų vykdymą, yra Sankt Johann im Pongau (Austrija).
(8)
Pagal saugumo planą turėtų būti numatyta įsteigti vieną sistemos saugumo pareigūno, atliekančio tiek Centrinės SIS II, tiek Ryšių infrastruktūros saugumo užtikrinimo užduotis, pareigybę ir dvi vietos saugumo pareigūnų, atitinkamai atliekančių Centrinės SIS II ir Ryšių infrastruktūros saugumo užtikrinimo užduotis, pareigybes. Saugumo pareigūnų užduotys turėtų būti apibrėžtos, siekiant užtikrinti, kad bus veiksmingai ir nedelsiant reaguojama į saugumo incidentus ir apie juos pranešta.
(9)
Saugumo politika turėtų būti apibrėžta išsamiai nurodant visus techninius ir organizacinius duomenis, kaip numatyta šio sprendimo nuostatose.
(10)
Turėtų būti apibrėžtos priemonės, užtikrinančios tinkamą Centrinės SIS II ir Ryšių infrastruktūros veikimo saugumą,
PRIĖMĖ ŠĮ SPRENDIMĄ:
I. SKYRIUS
BENDROSIOS NUOSTATOS
1 straipsnis
Dalykas
1. Šiuo sprendimu nustatoma saugumo organizavimo tvarka ir priemonės (saugumo planas), kuriomis pereinamuoju laikotarpiu, kol Valdymo institucija pradės vykdyti savo įsipareigojimus, siekiama Centrinę SIS II ir joje tvarkomus duomenis apsaugoti nuo grėsmės jų prieinamumui, vientisumui ir konfidencialumui, kaip apibrėžta Reglamento (EB) Nr. 1987/2006 16 straipsnio 1 dalyje ir Sprendimo 2007/533/TVR dėl antrosios kartos Šengeno informacinės sistemos (SIS II) sukūrimo, veikimo ir naudojimo 16 straipsnio 1 dalyje.
2. Šiuo sprendimu nustatoma saugumo organizavimo tvarka ir priemonės (saugumo planas), kuriomis siekiama Ryšių infrastruktūrą apsaugoti nuo grėsmės jos prieinamumui, vientisumui ir konfidencialumui, kaip apibrėžta Reglamento (EB) Nr. 1987/2006 16 straipsnyje ir Sprendimo 2007/533/TVR dėl antrosios kartos Šengeno informacinės sistemos (SIS II) sukūrimo, veikimo ir naudojimo 16 straipsnyje.
II. SKYRIUS
ORGANIZAVIMAS, ĮSIPAREIGOJIMAI IR INCIDENTŲ VALDYMAS
2 straipsnis
Komisijos užduotys
1. Komisija įgyvendina šiame sprendime nurodytas Centrinės SIS II saugumo priemones ir stebi jų veiksmingumą.
2. Komisija įgyvendina šiame sprendime nurodytas Ryšių infrastruktūros saugumo priemones ir stebi jų veiksmingumą.
3. Komisija iš savo tarnautojų paskiria sistemos saugumo pareigūną. Sistemos saugumo pareigūną skiria Komisijos Teisingumo, laisvės ir saugumo generalinio direktorato generalinis direktorius. Sistemos saugumo pareigūno užduotys visų pirma:
a)
rengti saugumo politiką, kaip aprašyta šio sprendimo 7 straipsnyje;
b)
stebėti, kaip veiksmingai taikomos Centrinės SIS II saugumo procedūros;
c)
stebėti, kaip veiksmingai taikomos Ryšių infrastruktūros saugumo procedūros;
d)
padėti rengti ataskaitas saugumo klausimais, kaip nurodyta Reglamento (EB) Nr. 1987/2006 50 straipsnyje ir Sprendimo 2007/533/TVR 66 straipsnyje;
e)
koordinuoti ir padėti Europos duomenų apsaugos priežiūros pareigūnui atlikti tikrinimus ir auditą, nurodytus Reglamento (EB) Nr. 1987/2006 45 straipsnyje ir Sprendimo 2007/533/TVR 61 straipsnyje, ir pranešti Komisijos duomenų apsaugos pareigūnui apie incidentus, kaip nurodyta šio sprendimo 5 straipsnio 2 dalyje;
f)
stebėti, kad visi rangovai, įskaitant subrangovus, kokiu nors būdu įtraukti į Centrinės SIS II valdymą, tinkamai ir visapusiškai vadovautųsi šiuo sprendimu ir saugumo politika;
g)
stebėti, kad visi rangovai, įskaitant subrangovus, kokiu nors būdu įtraukti į Ryšių infrastruktūros valdymą, tinkamai ir visapusiškai vadovautųsi šiuo sprendimu ir saugumo politika;
h)
tvarkyti nacionalinių ryšių palaikymo institucijų SIS II saugumo klausimais sąrašą ir perduoti jį Ryšių infrastruktūros vietos saugumo pareigūnui;
i)
perduoti h punkte nurodytą sąrašą Centrinės SIS II vietos saugumo pareigūnui.
3 straipsnis
Centrinės SIS II vietos saugumo pareigūnas
1. Nepažeisdama 8 straipsnio nuostatų, Komisija iš savo tarnautojų paskiria Centrinės SIS II vietos saugumo pareigūną. Turi būti vengiama interesų konfliktų einant vietos saugumo pareigūno ir kitas oficialias pareigas. Centrinės SIS II vietos saugumo pareigūną skiria Komisijos Teisingumo, laisvės ir saugumo generalinio direktorato generalinis direktorius.
2. Centrinės SIS II vietos saugumo pareigūnas užtikrina, kad pagrindinėje CS-SIS būtų įgyvendintos šiame sprendime nurodytos saugumo priemonės ir būtų laikomasi saugumo procedūrų. Kiek tai susiję su atsargine CS-SIS, Centrinės SIS II vietos saugumo pareigūnas taip pat užtikrina, kad būtų įgyvendintos šiame sprendime nurodytos saugumo priemonės, išskyrus nurodytas 9 straipsnyje, ir būtų laikomasi su jomis susijusių saugumo procedūrų.
3. Centrinės SIS II vietos saugumo pareigūnas gali pavesti savo užduotis pavaldiems darbuotojams. Turi būti vengiama interesų konfliktų atliekant šias užduotis ir einant kitas oficialias pareigas. Nurodomas telefono numeris ir adresas, kad bet kuriuo metu būtų galima susisiekti su vietos saugumo pareigūnu arba jį pavaduojančiu darbuotoju.
4. Centrinės SIS II vietos saugumo pareigūnas, laikydamasis 1 dalies nuostatų, atlieka užduotis, susijusias su saugumo priemonėmis, kurios turi būti taikomos pagrindinės CS-SIS ir atsarginės CS-SIS patalpose, visų pirma:
a)
atlieka vietos operacijų saugumo užtikrinimo užduotis, įskaitant užkardų patikrą, reguliarų saugumo tikrinimą, auditą ir ataskaitų teikimą;
b)
stebi, kaip veiksmingai taikomas veiklos tęstinumo planas, ir užtikrina, kad reguliariai vyktų mokymai;
c)
užtikrina bet kokio Centrinės SIS II incidento, galinčio paveikti Centrinės SIS II arba Ryšių infrastruktūros saugumą, įrodymus ir apie tai praneša sistemos saugumo pareigūnui;
d)
informuoja sistemos saugumo pareigūną apie būtinybę keisti saugumo politiką;
e)
stebi, kad visi rangovai, įskaitant subrangovus, kokiu nors būdu įtraukti į Centrinės SIS II operacijų valdymą, vadovautųsi šiuo sprendimu ir saugumo politika;
f)
užtikrina, kad darbuotojai būtų supažindinti su savo pareigomis ir stebi, kaip vadovaujamasi saugumo politika;
g)
stebi IT saugumo naujoves ir užtikrina, kad darbuotojai būtų tinkamai parengti;
h)
rengia informaciją apie saugumo politikos kūrimą, atnaujinimą ir peržiūrą ir teikia atitinkamus pasiūlymo variantus, kaip numatyta 7 straipsnyje.
4 straipsnis
Ryšių infrastruktūros vietos saugumo pareigūnas
1. Nepažeisdama 8 straipsnio nuostatų, Komisija iš savo tarnautojų paskiria Ryšių infrastruktūros vietos saugumo pareigūną. Turi būti vengiama interesų konfliktų einant vietos saugumo pareigūno ir kitas oficialias pareigas. Ryšių infrastruktūros vietos saugumo pareigūną skiria Komisijos Teisingumo, laisvės ir saugumo generalinio direktorato generalinis direktorius.
2. Ryšių infrastruktūros vietos saugumo pareigūnas stebi, kaip veikia Ryšių infrastruktūra, ir užtikrina, kad būtų įgyvendintos saugumo priemonės ir laikomasi saugumo procedūrų.
3. Ryšių infrastruktūros vietos saugumo pareigūnas gali pavesti savo užduotis pavaldiems darbuotojams. Turi būti vengiama interesų konfliktų atliekant šias užduotis ir einant kitas oficialias pareigas. Nurodomas telefono numeris ir adresas, kad bet kuriuo metu būtų galima susisiekti su vietos saugumo pareigūnu arba jį pavaduojančiu darbuotoju.
4. Ryšių infrastruktūros vietos saugumo pareigūnas atlieka užduotis, susijusias su saugumo priemonėmis, kurios turi būti taikomos Ryšių infrastruktūrai, visų pirma:
a)
atlieka visas su Ryšių infrastruktūra susijusių operacijų saugumo užtikrinimo užduotis, įskaitant užkardų patikrą, reguliarų saugumo tikrinimą, auditą ir ataskaitų teikimą;
b)
stebi, kaip veiksmingai taikomas veiklos tęstinumo planas, ir užtikrina, kad reguliariai vyktų mokymai;
c)
užtikrina bet kokio Ryšių infrastruktūros incidento, galinčio paveikti Centrinės SIS II arba Ryšių infrastruktūros saugumą, įrodymus ir apie tai praneša sistemos saugumo pareigūnui;
d)
informuoja sistemos saugumo pareigūną apie būtinybę keisti saugumo politiką;
e)
stebi, kad visi rangovai, įskaitant subrangovus, kokiu nors būdu įtraukti į Ryšių infrastruktūros valdymą, vadovautųsi šiuo sprendimu ir saugumo politika;
f)
užtikrina, kad darbuotojai būti supažindinti su savo pareigomis ir stebi, kaip vadovaujamasi saugumo politika;
g)
stebi IT saugumo naujoves ir užtikrina, kad darbuotojai būti tinkamai parengti;
h)
rengia informaciją apie saugumo politikos kūrimą, atnaujinimą ir peržiūrą ir teikia atitinkamus pasiūlymo variantus, kaip numatyta 7 straipsnyje.
5 straipsnis
Saugumo incidentai
1. Bet koks įvykis, kuris paveikė arba galėjo paveikti SIS II saugumą ir gali padaryti SIS II žalos arba sukelti nuostolių, laikomas saugumo incidentu, ypač jei buvo pasinaudota prieiga prie duomenų arba kilo ar galėjo kilti pavojus duomenų prieinamumui, vientisumui ir konfidencialumui.
2. Saugumo incidentai valdomi taip, kad būtų greitai, veiksmingai ir tinkamai reaguojama laikantis saugumo politikos nuostatų. Turi būti nustatomos saugumo atkūrimo įvykus incidentui procedūros.
3. Valstybė narė informuojama apie saugumo incidentą, kuris paveikė arba galėjo paveikti SIS II veikimą toje valstybėje narėje ar jos įrašytų arba išsiųstų duomenų prieinamumą, vientisumą ir konfidencialumą. Apie saugumo incidentus pranešama Komisijos duomenų apsaugos pareigūnui.
6 straipsnis
Incidentų valdymas
1. Visi darbuotojai ir rangovai, dalyvaujantys tobulinant, valdant arba naudojant SIS II, privalo užfiksuoti bet kokias pastebėtas arba įtariamas Ryšių infrastruktūros saugumo spragas ir apie jas pranešti Ryšių infrastruktūros sistemos saugumo pareigūnui arba vietos saugumo pareigūnui.
2. Pastebėjęs bet kokį incidentą, kuris paveikė arba galėjo paveikti SIS II saugumą, Ryšių infrastruktūros vietos saugumo pareigūnas kuo skubiau apie tai raštu informuoja sistemos saugumo pareigūną ir prireikus nacionalinę ryšių palaikymo instituciją SIS II saugumo klausimais, jei konkrečioje valstybėje narėje tokia institucija yra, arba - ypatingos skubos atveju - kitomis ryšio priemonėmis. Pranešime aprašomas saugumo incidentas, pavojaus laipsnis, galimos pasekmės ir priemonės, kurių imtasi arba reikėtų imtis pavojui sumažinti.
3. Ryšių infrastruktūros vietos saugumo pareigūnas nedelsiant užtikrina visus su saugumo incidentu susijusius įrodymus. Kiek įmanoma pagal galiojančias duomenų apsaugos nuostatas, sistemos saugumo pareigūno prašymu jam pateikiami tokie įrodymai.
4. Saugumo politikos nuostatose apibrėžiamos grįžtamosios informacijos procedūros, suvaldžius ir pašalinus incidentą, siekiant užtikrinti, kad informacija apie saugumo incidento rūšį, valdymą ir baigtį būtų pranešama Ryšių infrastruktūros sistemos saugumo pareigūnui ir vietos saugumo pareigūnui.
5. Šio straipsnio 1-4 dalys mutatis mutandis taikomos Centrinės SIS II incidentams. Šiuo atžvilgiu visos 1-4 dalių nuorodos į Ryšių infrastruktūros vietos saugumo pareigūną reiškia nuorodą į Centrinės SIS II vietos saugumo pareigūną.
III. SKYRIUS
SAUGUMO PRIEMONĖS
7 straipsnis
Saugumo politika
1. Teisingumo, laisvės ir saugumo generalinio direktorato generalinis direktorius formuoja, atnaujina ir reguliariai peržiūri privalomą laikytis saugumo politiką, kaip numatyta šiame sprendime. Saugumo politikos nuostatose numatomos išsamios apsaugos nuo grėsmės Ryšių infrastruktūros prieinamumui, vientisumui ir konfidencialumui procedūros ir priemonės, įskaitant nepaprastosios padėties planą, kad būtų užtikrintas tinkamas šiuo sprendimu reikalaujamas saugumo lygis. Saugumo politika atitinka šio sprendimo nuostatas.
2. Saugumo politika grindžiama rizikos įvertinimu. Saugumo politikos priemonės turi būti proporcingos nustatytai rizikai.
3. Rizikos įvertinimas ir saugumo politika atnaujinama, jei tai būtina dėl technologinių pokyčių, nustačius naują grėsmę arba susiklosčius kitoms aplinkybėms. Saugumo politika bent kuriuo atveju peržiūrima kasmet, siekiant užtikrinti, kad ja vis dar tinkamai atsižvelgiama į naujausią rizikos įvertinimą arba bet kokius neseniai nustatytus technologinius pokyčius, grėsmę ar kitas reikšmingas aplinkybes.
4. Saugumo politiką rengia sistemos saugumo pareigūnas derindamas su Centrinės SIS II vietos saugumo pareigūnu ir Ryšių infrastruktūros vietos saugumo pareigūnu.
5. Šio straipsnio 1-4 dalys mutatis mutandis taikomos Centrinės SIS II saugumo politikai. Šiuo atžvilgiu visos 1-4 dalių nuorodos į Ryšių infrastruktūros vietos saugumo pareigūną reiškia nuorodą į Centrinės SIS II vietos saugumo pareigūną.
8 straipsnis
Saugumo priemonių įgyvendinimas
1. Šiame sprendime ir saugumo politikoje nustatytoms užduotims ir reikalavimams įgyvendinti, įskaitant vietos saugumo pareigūno paskyrimą, gali būti sudaromos rangos sutartys su privačiomis arba valstybinėmis įstaigomis arba šios užduotys gali būti joms pavedamos.
2. Tokiu atveju Komisija, sudarydama teisiškai privalomą susitarimą, užtikrina, kad būtų visapusiškai laikomasi šiame sprendime ir saugumo politikos nuostatose numatytų reikalavimų. Jei pavedama paskirti vietos saugumo pareigūną arba dėl jo paskyrimo sudaroma rangos sutartis, Komisija, sudarydama teisiškai privalomą susitarimą, užtikrina, kad su ja bus konsultuojamasi dėl vietos saugumo pareigūnu skiriamo asmens.
9 straipsnis
Patekimo į patalpas kontrolė
1. Teritorijų, kuriose yra duomenų tvarkymo patalpos, apsauga užtikrinama įrengiant saugumo zoną su tinkamomis užkardomis ir patekimo kontrole.
2. Saugumo zonoje nustatomos saugios patalpos fiziniams objektams (inventoriui), įskaitant aparatinę įrangą, duomenų laikmenas ir pultus, planus ir kitus SIS II dokumentus, taip pat kabinetams ir kitoms darbuotojų, eksploatuojančių SIS II, darbo vietoms apsaugoti. Šios saugios patalpos apsaugomos įvedant tinkamą patekimo kontrolę, kad patekti galėtų tik leidimus turintys darbuotojai. Darbas saugiose patalpose reglamentuojamas išsamiomis saugumo politikos nuostatose įtvirtintomis saugumo taisyklėmis.
3. Kabinetams, patalpoms ir įrangai numatomos ir instaliuojamos fizinės saugumo priemonės. Prieigos vietos, kaip antai tiekimo bei iškrovimo zonos, ir kitos vietos, kur į patalpas gali patekti leidimų neturintys asmenys, kontroliuojamos ir, jei įmanoma, izoliuojamos nuo duomenų tvarkymo patalpų, kad į jas nepatektų pašaliniai.
4. Fizinė saugumo zonos apsauga nuo gaivalinės arba žmogaus sukeltos nelaimės padarytos žalos numatoma ir taikoma proporcingai rizikos laipsniui.
5. Įranga apsaugoma nuo fizinių ir aplinkos pavojų ir nuo galimybių ja pasinaudoti pašaliniams.
6. Jei Komisijai tokia informacija žinoma, ji į 2 straipsnio 3 dalies h punkte nurodytą sąrašą įtraukia ryšių palaikymo instituciją, atsakingą už šio straipsnio nuostatų įgyvendinimo patalpose, kuriose yra atsarginė CS-SIS, stebėseną.
10 straipsnis
Duomenų laikmenų ir inventoriaus kontrolė
1. Keičiamosios laikmenos su duomenimis apsaugomos nuo neteisėtos prieigos, piktnaudžiavimo arba sugadinimo, o jų skaitomumas užtikrinamas visą duomenų gyvavimo laiką.
2. Nebereikalingos laikmenos šalinamos patikimai ir saugiai laikantis išsamių procedūrų, kurios turi būti apibrėžtos saugumo politikos nuostatose.
3. Sudarant inventoriaus aprašą, užtikrinama informacija apie laikymo vietą, numatytą saugojimo trukmę ir prieigos leidimus.
4. Visas svarbus Ryšių infrastruktūros inventorius identifikuojamas, kad jį būtų galima apsaugoti atsižvelgiant į jo svarbą. Vedamas nuolat atnaujinamas svarbios IT įrangos registras.
5. Ryšių infrastruktūros dokumentai nuolat atnaujinami. Šie dokumentai apsaugomi nuo galimybės neteisėtai su jais susipažinti.
6. Šio straipsnio 1-5 dalys mutatis mutandis taikomos Centrinei SIS II. Šiuo atžvilgiu visos nuorodos į Ryšių infrastruktūrą reiškia nuorodą į Centrinę SIS II.
11 straipsnis
Laikymo kontrolė
1. Tinkamų priemonių imamasi siekiant užtikrinti deramą duomenų laikymą ir užkirsti kelią neteisėtai prieigai prie jų.
2. Visi įrangos komponentai, kuriuose yra atminties laikmena, prieš juos šalinant patikrinami, siekiant užtikrinti, kad neskelbtini duomenys buvo ištrinti arba visiškai pakeisti, arba saugiai sunaikinami.
12 straipsnis
Slaptažodžio patikra
1. Visi slaptažodžiai laikomi saugiai ir naudojami konfidencialiai. Slaptažodis nedelsiant keičiamas arba atitinkama paskyra išjungiama įtarus, kad slaptažodis buvo atskleistas. Naudojama unikali ir individuali naudotojų tapatybė.
2. Siekiant užkirsti kelią neteisėtai prieigai, saugumo politikos nuostatose apibrėžiamos registravimosi ir išsiregistravimo procedūros.
13 straipsnis
Prieigos kontrolė
1. Saugumo politikoje nustatomos formalios darbuotojų registravimosi ir išsiregistravimo procedūros, kuriomis operacijų valdymo tikslais suteikiama arba panaikinama prieiga prie SIS II aparatinės ir programinės įrangos. Atitinkamų prieigos duomenų (slaptažodžių arba kitų tinkamų priemonių) suteikimas ir naudojimas kontroliuojamas pasitelkiant saugumo politikoje apibrėžtą formalią valdymo procedūrą.
2. Prieiga prie SIS II aparatinės ir programinės įrangos Centrinėje SIS:
i)
suteikiama tik leidimus turintiems asmenims;
ii)
suteikiama tik tais atvejais, kai siekiama teisėto tikslo pagal Reglamento (EB) Nr. 1987/2006 45 straipsnį ir Tarybos sprendimo 2007/533/TVR 61 straipsnį arba Reglamento (EB) Nr. 1987/2006 50 straipsnio 2 dalį ir Tarybos sprendimo 2007/533/TVR 66 straipsnio 2 dalį;
iii)
neviršija trukmės ir apimties, reikalingos prieigos tikslui pasiekti ir
iv)
ja naudojamasi tik laikantis saugumo politikoje apibrėžtinos prieigos kontrolės tvarkos.
3. Centrinėje CS-SIS naudojami tik Centrinės SIS II vietos saugumo pareigūno leisti pultai ir programinė įranga. Ribojamas ir kontroliuojamas sisteminių programų, kuriomis gali būti keičiama sistemų ir programų kontrolė, naudojimas. Numatomos programinės įrangos diegimo kontrolės procedūros.
14 straipsnis
Ryšių kontrolė
Ryšių infrastruktūra stebima siekiant užtikrinti informacijos mainų prieinamumą, vientisumą ir konfidencialumą. Per ryšių infrastruktūrą perduodamiems duomenims apsaugoti naudojamos kriptografinės priemonės.
15 straipsnis
Įvedinių kontrolė
Centrinės SIS II vietos saugumo pareigūnas stebi asmenų, turinčių teisę iš CS-SIS prieiti prie SIS II programinės įrangos, paskyras. Šių paskyrų naudojimas, taip pat trukmė ir naudotojo tapatybė registruojama.
16 straipsnis
Transporto kontrolė
1. Saugumo politikoje apibrėžiamos tinkamos priemonės, kuriomis užkertamas kelias neteisėtam asmens duomenų skaitymui, kopijavimui, keitimui arba trynimui juos perduodant į SIS II ar iš jos arba transportuojant duomenų laikmenas. Saugumo politikoje įtvirtinamos nuostatos, kuriomis numatoma, kokios siuntimo arba transportavimo rūšys tinkamos, ir nustatomos atskaitomybės už objektų transportavimą ir jų pristatymą į paskirties vietą procedūros. Duomenų laikmenose neturi būti jokių kitų duomenų, išskyrus siųstinus.
2. Trečiųjų asmenų teikiamoms paslaugoms, apimančioms duomenų prieigą, tvarkymą, perdavimą ar duomenų tvarkymo įrangos valdymą arba teikiančioms papildomus produktus ar paslaugas duomenų tvarkymo įrangai, taikoma tinkamai integruota saugumo kontrolė.
17 straipsnis
Ryšių infrastruktūros saugumas
1. Ryšių infrastruktūra tinkamai valdoma ir kontroliuojama siekiant ją apsaugoti nuo grėsmių ir užtikrinti jos pačios bei Centrinės SIS II, įskaitant per ją vykdomus duomenų mainus, saugumą.
2. Visų tinklo paslaugų saugumo savybės, teikiamos paslaugos ir valdymo reikalavimai nustatomi su paslaugų teikėju sudaromame tinklo aptarnavimo susitarime.
3. Apsaugomi ne tik SIS II prieigos taškai, bet ir visos galimos papildomos Ryšių infrastruktūros naudojamos paslaugos. Tinkamos priemonės apibrėžiamos saugumo politikos nuostatose.
18 straipsnis
Stebėsena
1. Prisijungimo įrašų duomenys, nurodyti Reglamento (EB) Nr. 1987/2006 18 straipsnio 1 dalyje ir Sprendimo 2007/533/TVR 18 straipsnio 1 dalyje, apie kiekvieną prieigą prie CS-SIS laikomų asmens duomenų ir visą keitimąsi jais saugiai laikomi ir turi būti prieinami iš pagrindinės CS-SIS ir atsarginės CS-SIS patalpų ne ilgesnį kaip Reglamento (EB) Nr. 1987/2006 18 straipsnio 3 dalyje ir Sprendimo 2007/533/TVR 18 straipsnio 3 dalyje nurodytą laikotarpį.
2. Saugumo politikos nuostatose apibrėžiamos duomenų tvarkymo įrangos stebėsenos ir galimų jos klaidų fiksavimo procedūros, o stebėsenos rezultatai reguliariai peržiūrimi. Prireikus imamasi tinkamų veiksmų.
3. Prisijungimo įrašymo įranga ir prisijungimo įrašai apsaugomi nuo klastojimo ir neteisėtos prieigos, siekiant atitikti duomenų rinkimo reikalavimus ir saugoti įrodymus duomenų laikymo laikotarpiu.
19 straipsnis
Kriptografinės priemonės
Kriptografinės priemonės naudojamos prireikus apsaugoti informaciją. Jų naudojimui, įskaitant tikslą ir sąlygas, turi iš anksto pritarti sistemos saugumo pareigūnas.
IV. SKYRIUS
ŽMOGIŠKŲJŲ IŠTEKLIŲ SAUGUMAS
20 straipsnis
Personalo aprašai
1. Saugumo politikos nuostatose apibrėžiamos asmenų, turinčių prieigos prie Centrinės SIS II teisę, funkcijos ir atsakomybė.
2. Saugumo politikos nuostatose apibrėžiamos asmenų, turinčių prieigos prie Ryšių infrastruktūros teisę, funkcijos ir atsakomybė.
3. Komisijos darbuotojų, rangovų ir darbuotojų, įtrauktų į operacijų valdymą, saugumo užduotys ir atsakomybė apibrėžiamos, įtvirtinamos dokumentuose ir pranešamos atitinkamiems asmenims. Komisijos darbuotojų užduotys ir atsakomybė nurodomos pareigybių aprašuose ir tiksluose, rangovų - sutartyse arba paslaugų teikimo susitarimuose.
4. Su visais asmenimis, kuriems netaikomos Europos Sąjungos ar valstybių narių valstybės tarnybos nuostatos, sudaromi konfidencialumo ir paslapčių neatskleidimo susitarimai. Darbuotojai, turintys dirbti su SIS II duomenimis, turi būti patikrinami saugumo požiūriu arba gauti pažymėjimą pagal išsamias saugumo politikos nuostatose įtvirtintas procedūras.
21 straipsnis
Personalo duomenys
1. Visi darbuotojai ir rangovai dalyvauja jų pareigas atitinkančiuose mokymuose saugumo sampratos, teisės reikalavimų, politikos gairių ir procedūrų klausimais.
2. Saugumo politikos nuostatose nustatomos darbuotojų ir rangovų pareigos, susijusios su darbo keitimu arba darbo santykių pasibaigimu, kai baigiasi darbo santykiai arba sutartis, ir inventoriaus grąžinimo bei prieigos teisių atšaukimo tvarka.
V. SKYRIUS
BAIGIAMOJI NUOSTATA
22 straipsnis
Taikymas
1. Šis sprendimas pradedamas taikyti nuo Tarybos, vadovaujantis Reglamento (EB) Nr. 1987/2006 55 straipsnio 2 dalimi ir Sprendimo 2007/533/TVR 71 straipsnio 2 dalimi nustatytos datos.
2. 1 straipsnio 1 dalis, 2 straipsnio 1 dalis, 2 straipsnio 3 dalies b, d, f ir i punktai, 3 straipsnis, 6 straipsnio 5 dalis, 7 straipsnio 5 dalis, 9 straipsnio 6 dalis, 10 straipsnio 6 dalis, 13 straipsnio 2 ir 3 dalys, 15 straipsnis, 18 straipsnis ir 20 straipsnio 1 dalis galioja tol, kol Valdymo institucija pradės vykdyti savo įsipareigojimus.
Priimta Briuselyje 2010 m. gegužės 4 d.