ROZHODNUTÍ KOMISE
ze dne 4. května 2010
o bezpečnostním plánu pro centrální SIS II a komunikační infrastrukturu
(2010/261/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na nařízení Evropského parlamentu a Rady (ES) č. 1987/2006 ze dne 20. prosince 2006 o zřízení, provozu a využívání Schengenského informačního systému druhé generace (SIS II) (1), a zejména na článek 16 tohoto nařízení,
s ohledem na rozhodnutí Rady 2007/533/SVV ze dne 12. června 2007 o zřízení, provozování a využívání Schengenského informačního systému druhé generace (SIS II) (2), a zejména na článek 16 tohoto rozhodnutí,
vzhledem k těmto důvodům:
(1)
Článek 16 nařízení (ES) č. 1987/2006 a článek 16 rozhodnutí 2007/533/SVV stanoví, že řídící orgán ve vztahu k centrálnímu SIS II a Komise ve vztahu ke komunikační infrastruktuře přijme nezbytná opatření, včetně bezpečnostního plánu.
(2)
Podle čl. 15 odst. 4 nařízení (ES) č. 1987/2006 a čl. 15 odst. 4 rozhodnutí 2007/533/SVV je během přechodného období, než se řídící orgán ujme svých povinností, za provozní řízení centrálního SIS II odpovědná Komise.
(3)
Jelikož řídící orgán nebyl dosud zřízen, měl by se bezpečnostní plán, který přijme Komise, během přechodného období vztahovat rovněž na centrální SIS II.
(4)
Na zpracovávání osobních údajů Komisí při plnění jejích povinností v oblasti provozního řízení SIS II se vztahuje nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (3).
(5)
V čl. 15 odst. 7 nařízení (ES) č. 1987/2006 a čl. 15 odst. 7 rozhodnutí 2007/533/SVV se stanoví, že v případě, že Komise během přechodného období, než se řídící orgán ujme svých povinností, pověří některý subjekt plněním svých povinností, zajistí, aby toto pověření nepříznivým způsobem neovlivnilo případný účinný kontrolní mechanismus podle práva Evropské unie, ať se jedná o Soudní dvůr, Účetní dvůr nebo evropského inspektora ochrany údajů.
(6)
Jakmile se řídící orgán ujme svých povinností, měl by přijmout vlastní bezpečnostní plán pro centrální SIS II. Platnost tohoto bezpečnostního plánu by proto s ohledem na centrální SIS II měla skončit, jakmile se řídící orgán ujme svých povinností.
(7)
V čl. 4 odst. 3 nařízení (ES) č. 1987/2006 a čl. 4 odst. 3 rozhodnutí 2007/533/SVV se stanoví, že technická podpůrná funkce (CS-SIS), jež vykonává technický dohled a správu, se nachází ve Štrasburku (Francie) a záložní CS-SIS, jež je schopna zajistit všechny funkce hlavní CS-SIS v případě její poruchy, se nachází v Sankt Johann im Pongau (Rakousko).
(8)
Bezpečnostní plán by měl počítat s jedním pracovníkem pro bezpečnost systému, který plní úkoly související s bezpečností ve vztahu k centrálnímu SIS II i komunikační infrastruktuře, a se dvěma místními bezpečnostními pracovníky, kteří plní úkoly související s bezpečností ve vztahu k centrálnímu SIS II a komunikační infrastruktuře. Úloha bezpečnostních úředníků by měla být vymezena s cílem zajistit účinnou a okamžitou reakci na bezpečnostní incidenty a jejich oznamování.
(9)
Je třeba vypracovat bezpečnostní politiku, která popisuje veškeré technické a organizační podrobnosti v souladu s ustanoveními tohoto rozhodnutí.
(10)
Je nutno stanovit opatření s cílem zajistit náležitou úroveň bezpečnosti provozu centrálního SIS II a komunikační infrastruktury,
PŘIJALA TOTO ROZHODNUTÍ:
KAPITOLA I
OBECNÁ USTANOVENÍ
Článek 1
Předmět
1. Toto rozhodnutí stanoví organizaci bezpečnosti a bezpečnostní opatření (bezpečnostní plán) k ochraně centrálního SIS II a údajů zpracovávaných v rámci tohoto systému před ohrožením jejich dostupnosti, neporušenosti a důvěrnosti ve smyslu čl. 16 odst. 1 nařízení (ES) č. 1987/2006 a čl. 16 odst. 1 rozhodnutí 2007/533/SVV o zřízení, provozování a využívání Schengenského informačního systému druhé generace (SIS II) během přechodného období, dokud se řídící orgán neujme svých povinností.
2. Toto rozhodnutí stanoví organizaci bezpečnosti a bezpečnostní opatření (bezpečnostní plán) k ochraně komunikační infrastruktury před ohrožením dostupnosti, neporušenosti a důvěrnosti údajů ve smyslu článku 16 nařízení (ES) č. 1987/2006 a článku 16 rozhodnutí 2007/533/SVV o zřízení, provozování a využívání Schengenského informačního systému druhé generace (SIS II).
KAPITOLA II
ORGANIZACE, POVINNOSTI A ZVLÁDÁNÍ INCIDENTŮ
Článek 2
Úkoly Komise
1. Komise zavede bezpečnostní opatření pro centrální SIS II a sleduje jejich účinnost, jak je uvedeno v tomto rozhodnutí.
2. Komise zavede bezpečnostní opatření pro komunikační infrastrukturu a sleduje jejich účinnost, jak je uvedeno v tomto rozhodnutí.
3. Komise ze svých úředníků určí pracovníka pro bezpečnost systému. Pracovník pro bezpečnost systému je jmenován generálním ředitelem generálního ředitelství Komise pro spravedlnost, svobodu a bezpečnost. K úkolům pracovníka pro bezpečnost systému patří zejména:
a)
vypracování bezpečnostní politiky, jak je popsáno v článku 7 tohoto rozhodnutí;
b)
sledování účinnosti provádění bezpečnostních postupů centrálního SIS II;
c)
sledování účinnosti provádění bezpečnostních postupů komunikační infrastruktury;
d)
přispění k vypracování zpráv o bezpečnosti, jak je stanoveno v článku 50 nařízení (ES) č. 1987/2006 a v článku 66 rozhodnutí 2007/533/SVV;
e)
plnění úkolů v oblasti koordinace a poskytování pomoci při kontrolách a auditech prováděných evropským inspektorem ochrany údajů podle článku 45 nařízení (ES) č. 1987/2006 a článku 61 rozhodnutí 2007/533/SVV, jakož i oznamování incidentů ve smyslu čl. 5 odst. 2 inspektorovi ochrany údajů v Komisi;
f)
kontrola, zda jsou toto rozhodnutí a bezpečnostní politika náležitě a plně uplatňovány všemi smluvními dodavateli, včetně subdodavatelů, kteří se jakýmkoli způsobem podílejí na řízení centrálního SIS II;
g)
kontrola, zda jsou toto rozhodnutí a bezpečnostní politika náležitě a plně uplatňovány všemi smluvními dodavateli, včetně subdodavatelů, kteří se jakýmkoli způsobem podílejí na řízení komunikační infrastruktury;
h)
vedení seznamu vnitrostátních jednotných kontaktních míst pro bezpečnost SIS II a společné používání tohoto seznamu s místním bezpečnostním pracovníkem pro komunikační infrastrukturu;
i)
společné používání seznamu uvedeného v písmenu h) s místním bezpečnostním úředníkem pro centrální SIS II.
Článek 3
Místní bezpečnostní pracovník pro centrální SIS II
1. Aniž je dotčen článek 8, Komise ze svých úředníků určí místního bezpečnostního pracovníka pro centrální SIS II. Je nutno zamezit střetu zájmů mezi funkcí místního bezpečnostního pracovníka a jakoukoliv jinou úřední povinností. Místní bezpečnostní pracovník pro centrální SIS II je jmenován generálním ředitelem generálního ředitelství Komise pro spravedlnost, svobodu a bezpečnost.
2. Místní bezpečnostní pracovník pro centrální SIS II zajistí provádění bezpečnostních opatření uvedených v tomto rozhodnutí a dodržování bezpečnostních postupů v hlavní CS-SIS. Co se týká záložní CS-SIS, místní bezpečnostní pracovník pro centrální SIS II zajistí, aby byla prováděna bezpečnostní opatření uvedená v tomto rozhodnutí s výjimkou opatření stanovených v článku 9 a aby byly dodržovány související bezpečnostní postupy.
3. Místní bezpečnostní pracovník pro centrální SIS II může kterýkoliv ze svých úkolů přidělit podřízeným pracovníkům. Je nutno zamezit střetu zájmů mezi povinností plnit tyto úkoly a jakoukoli jinou úřední povinností. Místního bezpečnostního pracovníka nebo jeho podřízeného pracovníka ve službě je možno kdykoli zastihnout na jednom kontaktním telefonním čísle a adrese.
4. Místní bezpečnostní pracovník pro centrální SIS II vykonává úkoly vyplývající z bezpečnostních opatření, jež mají být přijata v místech, v nichž se nachází hlavní CS-SIS a záložní CS-SIS, a to v mezích uvedených v odstavci 1, včetně zejména:
a)
místních operativních bezpečnostních úkolů, včetně kontroly ochranných prostředků, pravidelného ověřování bezpečnosti, provádění auditů a podávání zpráv;
b)
sledování účinnosti plánu zachování provozu a pořádání pravidelných cvičení;
c)
zajištění důkazů o jakémkoli incidentu v centrálním SIS II, který by mohl mít dopad na bezpečnost centrálního SIS II nebo komunikační infrastruktury, a podávání zpráv o těchto incidentech pracovníkovi pro bezpečnost systému;
d)
informování pracovníka pro bezpečnost systému, pokud je nutno pozměnit bezpečnostní politiku;
e)
kontroly, zda jsou toto rozhodnutí a bezpečnostní politika uplatňovány všemi smluvními dodavateli, včetně subdodavatelů, kteří se jakýmkoli způsobem podílejí na provozním řízení centrálního SIS II;
f)
zajištění, aby byli pracovníci informováni o svých povinnostech, a sledování uplatňování bezpečnostní politiky;
g)
sledování vývoje v oblasti bezpečnosti IT a zajištění pravidelného školení pracovníků v souladu s tímto vývojem;
h)
vypracování podkladových informací a alternativ pro vytvoření, aktualizaci a přezkum bezpečnostní politiky v souladu s článkem 7.
Článek 4
Místní bezpečnostní pracovník pro komunikační infrastrukturu
1. Aniž je dotčen článek 8, Komise ze svých úředníků určí místního bezpečnostního pracovníka pro komunikační infrastrukturu. Je nutno zamezit střetu zájmů mezi funkcí místního bezpečnostního pracovníka a jakoukoliv jinou úřední povinností. Místní bezpečnostní pracovník pro komunikační infrastrukturu je jmenován generálním ředitelem generálního ředitelství Komise pro spravedlnost, svobodu a bezpečnost.
2. Místní bezpečnostní pracovník pro komunikační infrastrukturu sleduje fungování komunikační infrastruktury a zajišťuje provádění bezpečnostních opatření a dodržování bezpečnostních postupů.
3. Místní bezpečnostní pracovník pro komunikační infrastrukturu může kterýkoliv ze svých úkolů přidělit podřízeným pracovníkům. Je nutno zamezit střetu zájmů mezi povinností plnit tyto úkoly a jakoukoli jinou úřední povinností. Místního bezpečnostního pracovníka nebo jeho podřízeného pracovníka ve službě je možno kdykoli zastihnout na jednom kontaktním telefonním čísle a adrese.
4. Místní bezpečnostní pracovník pro komunikační infrastrukturu vykonává úkoly vyplývající z bezpečnostních opatření souvisejících s komunikační infrastrukturou, včetně zejména:
a)
místních operativních bezpečnostních úkolů souvisejících s komunikační infrastrukturou, včetně kontroly ochranných prostředků, pravidelného ověřování bezpečnosti, provádění auditů a podávání zpráv;
b)
sledování účinnosti plánu zachování provozu a pořádání pravidelných cvičení;
c)
zajištění důkazů o jakémkoli incidentu v komunikační infrastruktuře, který by mohl mít dopad na bezpečnost centrálního SIS II nebo komunikační infrastruktury, a podávání zpráv o těchto incidentech pracovníkovi pro bezpečnost systému;
d)
informování pracovníka pro bezpečnost systému, pokud je nutno pozměnit bezpečnostní politiku;
e)
kontroly, zda jsou toto rozhodnutí a bezpečnostní politika uplatňovány všemi smluvními dodavateli, včetně subdodavatelů, kteří se jakýmkoli způsobem podílejí na řízení komunikační infrastruktury;
f)
zajištění, aby byli pracovníci informováni o svých povinnostech, a sledování uplatňování bezpečnostní politiky;
g)
sledování vývoje v oblasti bezpečnosti IT a zajištění pravidelného školení pracovníků v souladu s tímto vývojem;
h)
vypracování podkladových informací a alternativ pro vytvoření, aktualizaci a přezkum bezpečnostní politiky v souladu s článkem 7.
Článek 5
Bezpečnostní incidenty
1. Každou událost, která má nebo může mít dopad na bezpečnost SIS II a může SIS II způsobit škodu nebo újmu, je nutno považovat za bezpečnostní incident, zejména v případě, mohlo-li dojít k přístupu k údajům nebo pokud byla či mohla být ohrožena dostupnost, neporušenost a důvěrnost údajů.
2. Bezpečnostní incidenty jsou zvládány tak, aby byla zajištěna rychlá, účinná a náležitá odezva v souladu s bezpečnostní politikou. Jsou stanoveny postupy pro překonání účinků takovéhoto incidentu.
3. Informace o bezpečnostním incidentu, který má nebo může mít dopad na provoz SIS II v některém z členských států nebo na dostupnost, neporušenost a důvěrnost údajů vložených či zaslaných některým členským státem, se poskytují dotčenému členskému státu. Bezpečnostní incidenty se oznamují inspektorovi ochrany údajů v Komisi.
Článek 6
Zvládání incidentů
1. Všichni zaměstnanci a smluvní dodavatelé podílející se na vývoji, řízení nebo provozu SIS II musí zaznamenávat jakékoli zjištěné nebo domnělé bezpečnostní nedostatky v komunikační infrastruktuře a nahlásit je pracovníkovi pro bezpečnost systému nebo místnímu bezpečnostnímu pracovníkovi pro komunikační infrastrukturu.
2. Je-li zjištěn incident, který má nebo může mít dopad na bezpečnost SIS II, informuje místní bezpečnostní pracovník pro komunikační infrastrukturu co nejrychleji pracovníka pro bezpečnost systému a popřípadě vnitrostátní jednotné kontaktní místo pro bezpečnost SIS II, pokud v dotyčném členském státě takovéto kontaktní místo existuje, a to písemně nebo v případě mimořádně naléhavé situace prostřednictvím jiných komunikačních kanálů. Zpráva obsahuje popis bezpečnostního incidentu, úroveň rizika, možné důsledky a opatření, která byla nebo by měla být přijata k zmírnění rizika.
3. Místní bezpečnostní pracovník pro komunikační infrastrukturu neprodleně zajistí veškeré důkazy v souvislosti s bezpečnostním incidentem. Tyto důkazy jsou v možném rozsahu podle platných předpisů o ochraně údajů na žádost poskytnuty pracovníkovi pro bezpečnost systému.
4. V bezpečnostní politice jsou stanoveny postupy pro poskytování zpětné vazby s cílem zajistit, aby byly úředníkovi pro bezpečnost systému a místnímu bezpečnostnímu pracovníkovi pro komunikační infrastrukturu předávány informace o druhu, řešení a výsledku bezpečnostního incidentu, jakmile byl incident vyřešen a nadále již netrvá.
5. Odstavce 1 až 4 se použijí obdobně na incidenty v centrálním SIS II. Odkazy na místního bezpečnostního pracovníka pro komunikační infrastrukturu v odstavcích 1 až 4 je v tomto případě nutno považovat za odkazy na místního bezpečnostního pracovníka pro centrální SIS II.
KAPITOLA III
BEZPEČNOSTNÍ OPATŘENÍ
Článek 7
Bezpečnostní politika
1. Generální ředitel generálního ředitelství pro spravedlnost, svobodu a bezpečnost v souladu s tímto rozhodnutím vypracuje, aktualizuje a pravidelně přezkoumává závaznou bezpečnostní politiku. Bezpečnostní politika stanoví podrobné postupy a opatření na ochranu před ohrožením dostupnosti, neporušenosti a důvěrnosti komunikační infrastruktury, včetně plánování mimořádných opatření, s cílem zajistit náležitou úroveň bezpečnosti, jak je stanoveno tímto rozhodnutím. Bezpečnostní politika je v souladu s tímto rozhodnutím.
2. Bezpečnostní politika je založena na posouzení rizik. Opatření popsaná v bezpečnostní politice jsou přiměřená zjištěným rizikům.
3. Je-li to nezbytné v důsledku technologických změn, zjištění nových hrozeb či jakýchkoli jiných okolností, jsou posouzení rizik a bezpečnostní politika aktualizovány. Bezpečnostní politika je každopádně jednou ročně přezkoumávána s cílem zajistit, aby nadále náležitě reagovala na nejnovější posouzení rizik nebo nově zjištěnou technologickou změnu, hrozbu či jinou důležitou okolnost.
4. Bezpečnostní politiku vypracuje pracovník pro bezpečnost systému v koordinaci s místním bezpečnostním pracovníkem pro centrální SIS II a místním bezpečnostním pracovníkem pro komunikační infrastrukturu.
5. Odstavce 1 až 4 se použijí obdobně na bezpečnostní politiku pro centrální SIS II. Odkazy na místního bezpečnostního pracovníka pro komunikační infrastrukturu v odstavcích 1 až 4 je v tomto případě nutno považovat za odkazy na místního bezpečnostního pracovníka pro centrální SIS II.
Článek 8
Provádění bezpečnostních opatření
1. Provádění úkolů a plnění požadavků stanovených v tomto rozhodnutí a v bezpečnostní politice, včetně úkolu týkajícího se určení místního bezpečnostního pracovníka, je možno zajistit smluvně nebo svěřit soukromým či veřejným subjektům.
2. V tomto případě Komise prostřednictvím právně závazné smlouvy zajistí, že jsou zcela splněny požadavky stanovené v tomto rozhodnutí a v bezpečnostní politice. V případě delegace úlohy jmenovat místního bezpečnostního pracovníka nebo jejího smluvního zajištění Komise prostřednictvím právně závazné smlouvy zajistí, aby byla konzultována ohledně osoby, která má být jmenována místním bezpečnostním pracovníkem.
Článek 9
Kontrola přístupu k zařízení
1. K ochraně oblastí, které obsahují zařízení pro zpracování údajů, se využívají bezpečnostní zóny s náležitými překážkami a kontrolami vstupu.
2. V rámci bezpečnostních zón jsou vymezeny bezpečné oblasti za účelem ochrany fyzických součástí (majetku), včetně technického vybavení, nosičů údajů a ovládacích panelů, plánů a jiných dokumentů týkajících se SIS II, jakož i kanceláří a ostatních pracovišť zaměstnanců zajišťujících provoz SIS II. Tyto bezpečné oblasti jsou chráněny prostřednictvím odpovídajících kontrol vstupu s cílem zajistit, aby do nich byl povolen přístup pouze oprávněným pracovníkům. Práce v bezpečných oblastech podléhá podrobným bezpečnostním pravidlům stanoveným v bezpečnostní politice.
3. Je naplánována a zajištěna fyzická bezpečnost kanceláří, prostor a zařízení. Přístupové body, například zásobovací a nakládací zóny a jiná místa, jimiž mohou do prostor vstoupit neoprávněné osoby, jsou kontrolovány, a je-li to možné, jsou odděleny od zařízení pro zpracovávání údajů s cílem zamezit neoprávněnému přístupu.
4. Je navržena a úměrně riziku uplatňována fyzická ochrana bezpečnostních zón před škodami vzniklými v důsledku přírodních nebo člověkem způsobených pohrom.
5. Vybavení je chráněno před fyzickými nebo přírodními hrozbami a před možností neoprávněného přístupu.
6. Má-li Komise k dispozici takovéto informace, připojí na seznam uvedený v čl. 2 odst. 3 písm. h) jednotné kontaktní místo pro kontrolu provádění ustanovení tohoto článku v prostorách, v nichž se nachází záložní CS-SIS.
Článek 10
Kontrola nosičů údajů a majetku
1. Výměnné nosiče obsahující údaje jsou chráněny před neoprávněným přístupem, zneužitím nebo poškozením a během celé doby používání údajů je zajištěna jejich čitelnost.
2. Nosiče jsou bezpečně zneškodněny, jakmile již nejsou zapotřebí, a to v souladu s podrobnými postupy, jež jsou stanoveny v bezpečnostní politice.
3. Prostřednictvím soupisů je zajištěno, že jsou k dispozici informace o místu uložení, příslušné době uchovávání a oprávněních k přístupu.
4. Je vymezen veškerý důležitý majetek komunikační infrastruktury, takže jej lze chránit v souladu s jeho významem. Je veden aktualizovaný rejstřík příslušného vybavení IT.
5. Je k dispozici aktualizovaná dokumentace komunikační infrastruktury. Tuto dokumentaci je nutno chránit před neoprávněným přístupem.
6. Odstavce 1 až 5 se použijí obdobně na centrální SIS II. Odkazy na komunikační infrastrukturu je v tomto případě nutno považovat za odkazy na centrální SIS II.
Článek 11
Kontrola uchovávání
1. Je nutno přijmout vhodná opatření k zajištění náležitého uchovávání údajů a zamezení neoprávněnému přístupu k těmto údajům.
2. Veškeré položky vybavení, které obsahují nosiče údajů, jsou zkontrolovány s cílem zajistit výmaz citlivých údajů či jejich úplné přepsání před jejich odstraněním nebo jsou bezpečně zlikvidovány.
Článek 12
Kontrola hesel
1. Všechna hesla jsou bezpečně uchovávána a je s nimi nakládáno jako s důvěrnými údaji. V případě podezření, že heslo mohlo být vyzrazeno, je nutno heslo neprodleně změnit nebo zablokovat uživatelský účet. Používají se jedinečné a individuální totožnosti uživatelů.
2. V bezpečnostní politice jsou stanoveny postupy pro přihlášení a odhlášení s cílem zamezit neoprávněnému přístupu.
Článek 13
Kontrola přístupu
1. Bezpečnostní politika stanoví oficiální postup pro registraci a zrušení registrace zaměstnanců, který se použije pro udělování a rušení přístupu k technickému a programovému vybavení SIS II pro potřeby provozního řízení. Přidělování a používání odpovídajících údajů zadávaných při přístupu (hesla nebo jiné vhodné prostředky) je kontrolováno prostřednictvím formálního řídícího procesu, jak je stanoveno v bezpečnostní politice.
2. Přístup k technickému a programovému vybavení SIS II v místě CS-SIS:
i)
je omezen na oprávněné osoby,
ii)
je omezen na případy, kdy lze určit legitimní účel v souladu s článkem 45 nařízení (ES) č. 1987/2006 a článkem 61 rozhodnutí 2007/533/SVV nebo s čl. 50 odst. 2 nařízení (ES) č. 1987/2006 a čl. 66 odst. 2 rozhodnutí 2007/533/SVV,
iii)
nepřesáhne dobu a rozsah, které jsou nezbytné pro daný účel přístupu, a
iv)
uskutečňuje se pouze v souladu s politikou kontroly přístupu, která je stanovena v bezpečnostní politice.
3. V místě CS-SIS se používají pouze ovládací panely a programové vybavení schválené místním bezpečnostním pracovníkem pro centrální SIS II. Je omezeno a kontrolováno používání systémových nástrojů, které mohou být schopny přepsat systém a kontrolovat aplikace. Jsou zavedeny postupy pro kontrolu instalace programového vybavení.
Článek 14
Kontrola komunikace
Komunikační infrastruktura je sledována, aby byla u výměn informací zajištěna dostupnost, neporušenost a důvěrnost údajů. K ochraně údajů předávaných prostřednictvím komunikační infrastruktury se používají šifrovací prostředky.
Článek 15
Kontrola vstupů
Místní bezpečnostní pracovník pro centrální SIS II sleduje účty osob s oprávněným přístupem k programovému vybavení SIS II z CS-SIS. Je evidováno používání těchto účtů, včetně času přístupu a totožnosti uživatelů.
Článek 16
Kontrola přepravy
1. V bezpečnostní politice jsou stanovena vhodná opatření s cílem zamezit neoprávněnému čtení, kopírování, změně nebo výmazu osobních údajů během předávání do a z SIS II nebo během přepravy nosičů údajů. Bezpečnostní politika obsahuje ustanovení o přípustných druzích odesílání nebo přepravy a rovněž o postupech pro stanovení odpovědnosti za přepravu jednotlivých položek a jejich dopravení na místo určení. Nosič údajů nesmí obsahovat jiné údaje než údaje, jež mají být zaslány.
2. Služby poskytované třetími stranami, které zahrnují přístup k údajům, jejich zpracovávání a předávání nebo správu zařízení pro zpracování údajů či přidávání produktů nebo služeb k zařízením pro zpracování údajů, mají odpovídající integrované bezpečnostní kontroly.
Článek 17
Bezpečnost komunikační infrastruktury
1. Komunikační infrastruktura je přiměřeně spravována a kontrolována s cílem chránit ji před hrozbami a zajistit bezpečnost samotné komunikační infrastruktury a centrálního SIS II, včetně údajů, jež jsou jejím prostřednictvím vyměňovány.
2. Bezpečnostní prvky, úrovně služeb a požadavky na řízení veškerých služeb sítě jsou stanoveny ve smlouvě o poskytování síťových služeb uzavřené s poskytovatelem služeb.
3. Kromě ochrany přístupových bodů SIS II jsou chráněny rovněž veškeré další služby, které komunikační infrastruktura používá. Vhodná opatření jsou stanovena v bezpečnostní politice.
Článek 18
Monitorování
1. Protokoly zaznamenávající informace uvedené v čl. 18 odst. 1 nařízení (ES) č. 1987/2006 a čl. 18 odst. 1 rozhodnutí 2007/533/SVV týkající se každého přístupu a veškerých výměn osobních údajů v rámci CS-SIS jsou uchovávány bezpečně v prostorách, v nichž se nachází hlavní CS-SIS a záložní CS-SIS, a jsou dostupné z těchto prostor, a to po maximální dobu uvedenou v čl. 18 odst. 3 nařízení (ES) č. 1987/2006 a čl. 18 odst. 3 rozhodnutí 2007/533/SVV.
2. V bezpečnostní politice jsou stanoveny postupy, jak sledovat používání nebo poruchy zařízení pro zpracování informací, a jsou pravidelně přezkoumávány výsledky kontrolních činností. V případě potřeby jsou přijata vhodná opatření.
3. Zařízení pro protokolování a protokoly jsou chráněny před nedovolenou manipulací a neoprávněným přístupem za účelem splnění požadavků na shromažďování a uchovávání důkazů po stanovenou dobu.
Článek 19
Šifrovací opatření
K ochraně informací se případně používají šifrovací opatření. Jejich používání spolu s jejich účelem a podmínkami musí předem schválit pracovník pro bezpečnost systému.
KAPITOLA IV
BEZPEČNOST LIDSKÝCH ZDROJŮ
Článek 20
Profily pracovníků
1. Bezpečnostní politika stanoví funkce a povinnosti osob s oprávněným přístupem k centrálnímu SIS II.
2. Bezpečnostní politika stanoví funkce a povinnosti osob s oprávněným přístupem ke komunikační infrastruktuře.
3. Jsou stanoveny a zdokumentovány úlohy a povinnosti zaměstnanců Komise, smluvních dodavatelů a pracovníků podílejících se na provozním řízení v oblasti bezpečnosti a sděleny dotčeným osobám. Tyto úlohy a povinnosti jsou v případě zaměstnanců Komise stanoveny v popisu pracovní náplně a cílů; u smluvních dodavatelů jsou stanoveny ve smlouvách nebo dohodách o úrovni služeb.
4. S osobami, na něž se nevztahují pravidla Evropské unie nebo členských států týkající se veřejné služby, jsou uzavřeny smlouvy o zachování důvěrnosti údajů a mlčenlivosti. Zaměstnanci, kteří pracují s údaji SIS II, mají potřebnou bezpečnostní prověrku nebo osvědčení v souladu s podrobnými postupy, jež budou stanoveny v bezpečnostní politice.
Článek 21
Informování pracovníků
1. Všichni zaměstnanci a smluvní dodavatelé jsou náležitě vyškoleni v oblasti bezpečnosti, právních požadavků, politik a postupů v rozsahu, v jakém to vyžadují jejich povinnosti.
2. Pro případ ukončení pracovního poměru nebo smlouvy jsou v bezpečnostní politice stanoveny povinnosti pracovníků a smluvních dodavatelů související se změnou pracovního místa nebo ukončením pracovního poměru a bezpečnostní politika stanoví rovněž postupy, jimiž se řídí vrácení majetku a zrušení přístupových práv.
KAPITOLA V
ZÁVĚREČNÁ USTANOVENÍ
Článek 22
Použitelnost
1. Toto nařízení je použitelné ode dne, který stanoví Rada v souladu s čl. 55 odst. 2 nařízení (ES) č. 1987/2006 a čl. 71 odst. 2 rozhodnutí 2007/533/SVV.
2. Ustanovení čl. 1 odst. 1, čl. 2 odst. 1, čl. 2 odst. 3 písm. b), d), f) a i), článku 3, čl. 6 odst. 5, čl. 7 odst. 5, čl. 9 odst. 6, čl. 10 odst. 6, čl. 13 odst. 2 a 3, článků 15 a 18 a čl. 20 odst. 1 pozbudou platnosti, jakmile se řídící orgán ujme svých povinností.
V Bruselu dne 4. května 2010.
DECISIÓN DE LA COMISIÓN
de 4 de mayo de 2010
relativa al plan de seguridad para el SIS II Central y la infraestructura de comunicación
(2010/261/UE)
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (CE) no 1987/2006 del Parlamento Europeo y del Consejo, de 20 de diciembre de 2006, relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen de segunda generación (SIS II) (1), y, en particular, su artículo 16,
Vista la Decisión 2007/533/JAI del Consejo, de 12 de junio de 2007, relativa al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen de segunda generación (SIS II) (2), y, en particular, su artículo 16,
Considerando lo siguiente:
(1)
El artículo 16 del Reglamento (CE) no 1987/2006 y el artículo 16 de la Decisión 2007/533/JAI establecen que la Autoridad de Gestión, en lo referente al SIS II Central, y la Comisión, en lo referente a la infraestructura de comunicación, adoptarán las medidas adecuadas, incluido un plan de seguridad.
(2)
El artículo 15, apartado 4, del Reglamento (CE) no 1987/2006 y el artículo 15, apartado 4, de la Decisión 2007/533/JAI establecen que durante un período transitorio que concluirá cuando asuma sus responsabilidades la Autoridad de Gestión, la Comisión se encargará de la gestión operativa del SIS II Central.
(3)
Al no haberse establecido aún la Autoridad de Gestión, el plan de seguridad que debe adoptar la Comisión también será aplicable al SIS II Central durante un período transitorio.
(4)
El Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo (3) se aplica al tratamiento de datos personales por la Comisión en el ejercicio de sus responsabilidades en cuanto a la gestión operativa del SIS II.
(5)
El artículo 15, apartado 7, del Reglamento (CE) no 1987/2006 y el artículo 15, apartado 7, de la Decisión 2007/533/JAI, establecen que, en caso de que durante el período transitorio la Comisión delegase sus responsabilidades antes de que la Autoridad de Gestión asuma las suyas, se asegurará de que dicha delegación no afecte negativamente a ningún mecanismo de control efectivo previsto en el Derecho de la Unión, corresponda este al Tribunal de Justicia, al Tribunal de Cuentas o al Supervisor Europeo de Protección de Datos.
(6)
La Autoridad de Gestión debe adoptar su propio plan de seguridad en relación con SIS II Central una vez haya asumido sus responsabilidades. En consecuencia, el presente plan de seguridad expirará, en lo que respecta al SIS II Central, cuando la Autoridad de Gestión asuma sus responsabilidades.
(7)
El artículo 4, apartado 3, del Reglamento (CE) no 1987/2006 y el artículo 4, apartado 3, de la Decisión 2007/533/JAI establecen que la CS-SIS, encargada de la supervisión técnica y de la administración, estará situada en Estrasburgo (Francia), y habrá una copia de seguridad de la CS-SIS, capaz de realizar todas las funciones de la CS-SIS principal en caso de fallo del sistema, en Sankt Johann im Pongau (Austria).
(8)
El plan de seguridad debe prever que un responsable de seguridad del sistema asuma las funciones de seguridad tanto con respecto al SIS II Central como a la infraestructura de comunicación, y que dos responsables locales de seguridad asuman las funciones de seguridad con respecto al SIS II Central y a la infraestructura de comunicación, respectivamente. Las tareas de los responsables de seguridad deben definirse a fin de asegurar una respuesta rápida y eficaz a los incidentes de seguridad y la presentación de informes al respecto.
(9)
Debe establecerse una política de seguridad mediante la descripción de todos los detalles técnicos y organizativos, en consonancia con las disposiciones de la presente Decisión.
(10)
Deben definirse las medidas que garanticen el nivel adecuado de seguridad del funcionamiento del SIS II Central y de la infraestructura de comunicación.
DECIDE:
CAPÍTULO I
DISPOSICIONES GENERALES
Artículo 1
Objeto
1. La presente Decisión establece la organización y las medidas de seguridad (plan de seguridad) para la protección del SIS II Central y de los datos tratados en él contra las amenazas que afecten a su disponibilidad, integridad y confidencialidad, con arreglo al artículo 16, apartado 1, del Reglamento (CE) no 1987/2006 y al artículo 16, apartado 1, de la Decisión 2007/533/JAI relativa al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen de segunda generación (SIS II) durante un período transitorio, hasta que la Autoridad de Gestión asuma sus responsabilidades.
2. La presente Decisión establece la organización y las medidas de seguridad (plan de seguridad) para la protección de la infraestructura de comunicación contra las amenazas que afectan a su disponibilidad, integridad y confidencialidad, con arreglo al artículo 16 del Reglamento (CE) no 1987/2006 y al artículo 16 de la Decisión 2007/533/JAI relativa al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen de segunda generación (SIS II) .
CAPÍTULO II
ORGANIZACIÓN, RESPONSABILIDADES Y GESTIÓN DE INCIDENTES
Artículo 2
Funciones de la Comisión
1. La Comisión ejecutará y controlará la eficacia de las medidas de seguridad relativas al SIS II Central mencionadas en la presente Decisión.
2. La Comisión ejecutará y controlará la eficacia de las medidas de seguridad relativas a la infraestructura de comunicación mencionadas en la presente Decisión.
3. La Comisión designará a un responsable de seguridad del sistema entre sus funcionarios. El funcionario responsable de seguridad del sistema será designado por el Director General de la Dirección General de Justicia, Libertad y Seguridad de la Comisión. Las funciones del funcionario responsable de seguridad del sistema incluirán, en particular:
a)
la elaboración de la política de seguridad tal como se describe en el artículo 7 de la presente Decisión;
b)
el control de la eficacia de la aplicación de los procedimientos de seguridad del SIS II Central;
c)
el control de la eficacia de la aplicación de los procedimientos de seguridad de la infraestructura de comunicación;
d)
contribuir a elaborar los informes relacionados con la seguridad previstos en el artículo 50 del Reglamento (CE) no 1987/2006 y el artículo 66 de la Decisión 2007/533/JAI;
e)
funciones de coordinación y asistencia en el marco de los controles y auditorías realizados por el Supervisor Europeo de Protección de Datos previstos en el artículo 45 del Reglamento (CE) no 1987/2006 y en el artículo 61 de la Decisión 2007/533/JAI, así como la notificación de incidentes con arreglo al artículo 5, apartado 2, al responsable de la protección de datos de la Comisión;
f)
el control de la aplicación adecuada e íntegra de la presente Decisión y de la política de seguridad por todo contratista, incluidos los subcontratistas, que intervenga de alguna manera en la gestión de SIS II Central;
g)
el control de la aplicación adecuada e íntegra de la presente Decisión y de la política de seguridad por todo contratista, incluidos los subcontratistas, que intervenga de alguna manera en la gestión de la infraestructura de comunicación;
h)
el mantenimiento de una lista de puntos de contacto nacionales únicos para la seguridad del SIS II que se utilizará conjuntamente con el responsable local de seguridad para la infraestructura de comunicación;
i)
la utilización conjunta de la lista mencionada en la letra h) con el responsable local de seguridad para el SIS II Central.
Artículo 3
Responsable local de seguridad del SIS II Central
1. Sin perjuicio de lo dispuesto en el artículo 8, la Comisión designará a un responsable local de seguridad para el SIS II Central entre sus funcionarios. Se prevendrán los conflictos de intereses entre las obligaciones del responsable local de seguridad y cualquier otra obligación oficial. El responsable local de seguridad para el SIS II Central será designado por el Director General de la Dirección General de Justicia, Libertad y Seguridad de la Comisión.
2. El responsable local de seguridad para el SIS II Central se asegurará de que se ejecuten las medidas de seguridad mencionadas en la presente Decisión y se apliquen los procedimientos de seguridad en la CS-SIS principal. En lo que respecta a la copia de seguridad de la CS-SIS, el responsable local de seguridad para el SIS II Central se asegurará también de que se ejecuten las medidas de seguridad mencionadas en la presente Decisión, a excepción de las mencionadas en el artículo 9, y de que se apliquen los procedimientos de seguridad correspondientes.
3. El responsable local de seguridad para el SIS II Central podrá confiar cualquiera de sus funciones al personal subordinado. Se prevendrán los conflictos de intereses entre la obligación de ejercer estas funciones y cualquier otra obligación oficial. Un número de teléfono único y una dirección única permitirán ponerse en contacto en todo momento con el responsable local de seguridad o con su subordinado que esté de servicio.
4. El responsable local de seguridad para el SIS II Central ejercerá las funciones derivadas de las medidas de seguridad que se adopten en los locales en que se encuentren la CS-SIS principal y la copia de seguridad de la CS-SIS, dentro de los límites del apartado 1, funciones entre las que se incluyen, en particular:
a)
las funciones de seguridad operativa local, incluida la auditoría de cortafuegos (firewall), los controles regulares de seguridad y la elaboración de auditorías e informes;
b)
controlar la eficacia del plan de continuidad de la actividad y asegurarse de que se realicen ejercicios regulares;
c)
asegurarse de los indicios en relación con cualquier incidente que se produzca en el SIS II Central que pueda repercutir en la seguridad del SIS II Central o la infraestructura de comunicación, y presentar informes al respecto al responsable de seguridad del sistema;
d)
informar al responsable de seguridad del sistema sobre la necesidad de modificar la política de seguridad;
e)
controlar la aplicación de la presente Decisión y de la política de seguridad por todo contratista, incluidos los subcontratistas, que intervenga de alguna manera en la gestión operativa del SIS II Central;
f)
garantizar que el personal conozca sus obligaciones y controlar la aplicación de la política de seguridad;
g)
seguir los avances en materia de seguridad informática y garantizar la formación adecuada del personal;
h)
preparar la información necesaria y las opciones para el establecimiento, la actualización y la revisión de la política de seguridad de conformidad con el artículo 7.
Artículo 4
Responsable local de seguridad de la infraestructura de comunicación
1. Sin perjuicio de lo dispuesto en el artículo 8, la Comisión designará a un responsable local de seguridad para la infraestructura de comunicación entre sus funcionarios. Se evitarán los conflictos de intereses entre las funciones del responsable local de seguridad y cualquier otra función oficial. El responsable local de seguridad para la infraestructura de comunicación será designado por el Director General de la Dirección General de Justicia, Libertad y Seguridad de la Comisión.
2. El responsable local de seguridad para la infraestructura de comunicación supervisará el funcionamiento de la infraestructura de comunicación y se asegurará de que se ejecuten las medidas de seguridad y se apliquen los procedimientos de seguridad.
3. El responsable local de seguridad para la infraestructura de comunicación podrá confiar cualquiera de sus funciones al personal subordinado. Se prevendrán los conflictos de intereses entre la obligación de ejercer estas funciones y cualquier otra obligación oficial. Un número de teléfono único y una dirección única permitirán ponerse en contacto en todo momento con el responsable local de seguridad o con su subordinado que esté de servicio.
4. El funcionario local de seguridad para la infraestructura de comunicación ejercerá las funciones derivadas de las medidas de seguridad que deban adoptarse en la infraestructura de la comunicación, funciones entre las que se incluyen, en particular:
a)
las funciones de seguridad operativa relacionadas con la infraestructura de comunicación, incluida la auditoría de sistemas firewall, los controles regulares de seguridad y la elaboración de auditorías e informes;
b)
controlar la eficacia del plan de continuidad de la actividad y asegurarse de que se realicen ejercicios regulares;
c)
asegurarse de los indicios en relación con cualquier incidente que se produzca en la infraestructura de comunicación que pueda repercutir en la seguridad del SIS II Central o en la estructura de comunicación, y presentar informes al respecto al responsable de seguridad del sistema;
d)
informar al responsable de seguridad del sistema de la necesidad de modificar la política de seguridad;
e)
controlar la aplicación de la presente Decisión y de la política de seguridad por todo contratista, incluidos los subcontratistas, que intervenga de alguna manera en la gestión de la infraestructura de comunicación;
f)
garantizar que el personal conozca sus obligaciones y controlar la aplicación de la política de seguridad;
g)
seguir los avances en materia de seguridad informática y garantizar la formación adecuada del personal;
h)
preparar la información necesaria y las opciones para el establecimiento, la actualización y la revisión de la política de seguridad de conformidad con el artículo 7.
Artículo 5
Incidentes de seguridad
1. Todo acontecimiento que repercuta o pueda repercutir en la seguridad del SIS II y pueda causar un daño o una pérdida al SIS II será considerado un incidente de seguridad, especialmente cuando se haya podido acceder a los datos o cuando se haya puesto en peligro o se haya podido poner en peligro la disponibilidad, integridad y confidencialidad de estos.
2. Los incidentes de seguridad se gestionarán para garantizar una respuesta rápida, efectiva y adecuada de conformidad con la política de seguridad. Se adoptarán procedimientos para subsanar incidentes.
3. La información relativa a un incidente de seguridad que repercuta o pueda repercutir en el funcionamiento del SIS II en un Estado miembro o en la disponibilidad, integridad y confidencialidad de los datos introducidos o enviados por un Estado miembro, se facilitará al Estado miembro afectado. Los incidentes de la seguridad se notificarán al responsable de la protección de datos de la Comisión.
Artículo 6
Gestión de incidentes
1. El personal y los contratistas que se ocupen del desarrollo, la gestión o el funcionamiento del SIS II deberán señalar y comunicar cualquier deficiencia de seguridad que observen o sospechen en la infraestructura de comunicación al responsable de seguridad del sistema o al responsable local de seguridad para la infraestructura de comunicación.
2. En caso de que se detecte un incidente que afecte o pueda afectar a la seguridad del SIS II, el responsable local de seguridad para la infraestructura de comunicación informará lo antes posible al responsable de seguridad del sistema y, en su caso, al punto de contacto nacional único para la seguridad del SIS II, cuando dicho punto de contacto exista en el Estado miembro de que se trate, por escrito o, en caso de extrema urgencia, por otros medios de comunicación. El informe contendrá la descripción del incidente de seguridad, el nivel de riesgo, las posibles consecuencias y las medidas adoptadas o que deberán adoptarse para mitigar el riesgo.
3. El responsable local de seguridad para la infraestructura de comunicación recopilará inmediatamente cualquier indicio relacionado con el incidente de seguridad. En la medida que lo permitan las disposiciones aplicables en materia de protección de datos, dichos indicios se pondrán a disposición del responsable de seguridad del sistema a petición de este último.
4. En el marco de la política de seguridad, se definirán mecanismos de respuesta para garantizar que la información sobre la naturaleza, la gestión y el resultado del incidente de seguridad se comunique al responsable de seguridad del sistema y al responsable local de la seguridad para la infraestructura de la comunicación, una vez que el incidente haya sido resuelto y cerrado.
5. Los apartados 1 a 4 se aplicarán, mutatis mutandis, a los incidentes en el SIS II Central. A este respecto, las referencias al responsable local de la seguridad para la infraestructura de comunicación en los apartados 1 a 4 deberán entenderse como referencias al responsable local de seguridad para el SIS II Central.
CAPÍTULO III
MEDIDAS DE SEGURIDAD
Artículo 7
Política de seguridad
1. El Director General de la Dirección General de Justicia, Libertad y Seguridad establecerá, actualizará y revisará regularmente la política de seguridad obligatoria de conformidad con la presente Decisión. La política de seguridad preverá medidas y procedimientos detallados de protección contra las amenazas que afectan a la disponibilidad, integridad y confidencialidad de la infraestructura de comunicación, incluida la planificación de emergencia, a fin de garantizar un nivel de seguridad adecuado con arreglo a lo prescrito en la presente Decisión. La política de seguridad cumplirá lo dispuesto en la presente Decisión.
2. La política de seguridad se basará en una evaluación de riesgos. Las medidas descritas en la política de seguridad serán proporcionadas a los riesgos señalados.
3. La evaluación de riesgos y la política de seguridad se actualizarán cuando los cambios tecnológicos, la identificación de nuevas amenazas u otras circunstancias lo exijan. La política de seguridad se revisará en todo caso anualmente para garantizar que siga siendo una respuesta adecuada y conforme a la última evaluación de riesgos o a cualquier otro cambio tecnológico, amenaza o circunstancia pertinente recientemente señalados.
4. La política de seguridad será elaborada por el responsable de seguridad del sistema, en coordinación con el funcionario local de seguridad para el SIS II Central y el responsable local de seguridad para la infraestructura de comunicación.
5. Los apartados 1 a 4 se aplicarán, mutatis mutandis, a la política de seguridad para el SIS II Central. A este respecto, las referencias al responsable local de seguridad para la infraestructura de comunicación en los apartados 1 a 4 deberán entenderse como referencias al responsable local de seguridad para el SIS II Central.
Artículo 8
Ejecución de las medidas de seguridad
1. La ejecución de las funciones y los requisitos establecidos en la presente Decisión y en la política de seguridad, incluida la función de designación del responsable local de seguridad, podrá subcontratarse o confiarse a organismos públicos o privados.
2. En tal caso, la Comisión, mediante un acuerdo jurídicamente vinculante, se asegurará de que se cumplan plenamente los requisitos establecidos en la presente Decisión y en la política de seguridad. En caso de delegación o subcontratación de la función de designación del responsable local de seguridad, la Comisión, mediante un acuerdo jurídicamente vinculante, se asegurará de que se le consulte sobre la persona que deba designarse como responsable local de seguridad.
Artículo 9
Control de acceso a las instalaciones
1. Se utilizarán perímetros de seguridad con barreras y controles de entrada adecuados para proteger las zonas en las que se encuentren las instalaciones de tratamiento de datos.
2. Dentro de los perímetros de seguridad, se definirán zonas seguras para proteger los elementos físicos (activos), incluidos los equipos informáticos, los soportes de datos y las consolas, los planes y otros documentos sobre SIS II, así como las oficinas y demás lugares de trabajo del personal encargado del funcionamiento del SIS II. Estas zonas seguras se protegerán mediante controles de entrada adecuados que garantizarán el acceso únicamente al personal autorizado. El trabajo en las zonas seguras estará sujeto a las normas de seguridad detalladas establecidas en la política de seguridad.
3. Se preverán e instalarán dispositivos de seguridad física de las oficinas, salas e instalaciones. Se controlarán los puntos de acceso como las zonas de entrega y de carga y otros puntos por los que personas no autorizadas puedan entrar en los locales y, cuando sea posible, dichos puntos se aislarán de las instalaciones de tratamiento de datos para evitar el acceso no autorizado.
4. La protección física de los perímetros de seguridad contra daños causados por catástrofes naturales o de origen humano se concebirá y aplicará de forma proporcional al riesgo.
5. Los equipos se protegerán contra las amenazas físicas y medioambientales, así como contra cualquier posibilidad de acceso no autorizado.
6. Cuando la Comisión disponga de la información pertinente, añadirá a la lista mencionada en el artículo 2, apartado 3, letra h), un punto de contacto único para supervisar la aplicación de lo dispuesto en el presente artículo en los locales en los que se encuentre la copia de seguridad de la CS-SIS.
Artículo 10
Soportes de datos y control de activos
1. Los soportes extraíbles que contengan datos se protegerán contra el acceso no autorizado, el uso indebido y los daños, y se garantizará su legibilidad durante el tiempo de vida completo de los datos.
2. Cuando ya no se necesiten, los soportes se eliminarán por medios seguros y protegidos, de conformidad con los procedimientos detallados que se establezcan en la política de seguridad
3. Los inventarios garantizarán la disponibilidad de información sobre el lugar de almacenamiento, el período de retención aplicable y las autorizaciones de acceso.
4. Se identificarán todos los activos importantes de la infraestructura de comunicación, a fin de protegerlos según su importancia. Se mantendrá un registro actualizado de los equipos informáticos pertinentes.
5. La documentación actualizada sobre la infraestructura de comunicación deberá estar disponible. Esta documentación deberá protegerse contra el acceso no autorizado.
6. Los apartados 1 a 5 se aplicarán, mutatis mutandis, al SIS II Central. A este respecto, las referencias a la infraestructura de comunicación se entenderán como referencias al SIS II Central.
Artículo 11
Control de almacenamiento
1. Se adoptarán las medidas necesarias para garantizar el almacenamiento adecuado de los datos y evitar el acceso no autorizado a estos.
2. Los elementos de los equipos que contengan soportes de almacenamiento serán sometidos a una verificación que garantice la retirada o sobreescritura completa de los datos sensibles antes de su eliminación, o serán destruidos por medios seguros.
Artículo 12
Control de contraseña
1. Las contraseñas se conservarán con seguridad y se tratarán de forma confidencial. Cuando se sospeche que ha sido revelada, la contraseña deberá cambiarse inmediatamente o bien se desactivará la cuenta de que se trate. Se utilizarán identidades de usuario individuales y únicas.
2. En el marco de la política de seguridad se definirán los procedimientos para iniciar y cerrar la sesión, así como para prevenir el acceso no autorizado.
Artículo 13
Control de acceso
1. La política de seguridad establecerá un procedimiento formal de registro y de anulación del registro del personal por el que se concederá y retirará el acceso a los equipos físicos y los programas informáticos del SIS II, a efectos de la gestión operativa. La atribución y la utilización de credenciales de acceso adecuadas (contraseñas u otros medios adecuados) se controlarán mediante un proceso de gestión formal establecido en el marco de la política de seguridad.
2. El acceso a los equipos físicos y a los programas informáticos del SIS II en la CS-SIS:
i)
se limitará a las personas autorizadas,
ii)
se limitará a los casos en los que pueda observarse un objetivo legítimo con arreglo al artículo 45 del Reglamento (CE) no 1987/2006 y el artículo 61 de la Decisión 2007/533/JAI, o al artículo 50, apartado 2, del Reglamento (CE) no 1987/2006 y el artículo 66, apartado 2, de la Decisión 2007/533/JAI,
iii)
no superará la duración ni el alcance necesarios para los fines de acceso, y
iv)
únicamente tendrá lugar con arreglo a la política de control de acceso que deberá definirse en el marco de la política de seguridad.
3. En la CS-SIS solo se utilizarán las consolas y los programas informáticos autorizados por el responsable local de seguridad para el SIS II Central. Se limitará y controlará el uso de utilidades del sistema que puedan reemplazar a los controles de aplicación y del sistema. Se aplicarán procedimientos para controlar la instalación de programas informáticos.
Artículo 14
Control de comunicación
La infraestructura de comunicación se controlará para facilitar la disponibilidad, integridad y confidencialidad necesarias para los intercambios de información. Se utilizarán medios criptográficos para proteger los datos transmitidos en la infraestructura de comunicación.
Artículo 15
Control de entrada
Las cuentas de las personas autorizadas para acceder a los programas informáticos del SIS II a partir de la CS-SIS serán controladas por el responsable local de seguridad para el SIS II Central. Se registrará la utilización de dichas cuentas, incluidas la fecha, la hora y la identidad del usuario.
Artículo 16
Control de transporte
1. En el marco de la política de seguridad, se definirán las medidas adecuadas para evitar la lectura, copia, modificación o supresión no autorizadas de datos personales en la transmisión al o desde SIS II o durante el transporte de soportes de datos. Se adoptarán disposiciones, en el marco de la política de seguridad, con respecto a los tipos de envío o transporte admisibles, así como respecto de los procedimientos de responsabilidad aplicables al transporte de elementos y su llegada al lugar de destino. El soporte de datos no contendrá ningún dato distinto de los datos que deban enviarse.
2. Los servicios prestados por terceros que impliquen el acceso, el tratamiento, la comunicación o la gestión de instalaciones de tratamiento de datos o la adición de productos o servicios a las instalaciones de tratamiento de datos, serán objeto de controles de seguridad integrados y adecuados.
Artículo 17
Seguridad de la infraestructura de comunicación
1. La infraestructura de comunicación será gestionada y controlada convenientemente a fin de protegerla contra las amenazas y garantizar su propia seguridad y la del SIS II Central, incluidos los datos intercambiados a través de ella.
2. Las especificaciones de seguridad, los niveles de servicio y los requisitos de gestión de todos los servicios de red se definirán en el acuerdo de servicio de red con el proveedor del servicio.
3. Además de proteger los puntos de acceso del SIS II, se protegerá también cualquier otro servicio adicional utilizado por la infraestructura de comunicación. Las medidas adecuadas se definirán en el marco de la política de seguridad.
Artículo 18
Supervisión
1. Los registros que contengan la información a que se refiere el artículo 18, apartado 1, del Reglamento (CE) no 1987/2006 y el artículo 18, apartado 1, de la Decisión 2007/533/JAI, en relación con cada acceso a datos personales y cualquier intercambio de datos personales en la CS-SIS, se conservarán de forma segura y serán accesibles desde los locales donde se encuentren la CS-SIS principal y la copia de seguridad de la CS-SIS durante el período máximo mencionado en el artículo 18, apartado 3, del Reglamento (CE) no 1987/2006 y el artículo 18, apartado 3, de la Decisión 2007/533/JAI.
2. En el marco de la política de seguridad, se establecerán los procedimientos de seguimiento de la utilización o de los fallos de las instalaciones de tratamiento de datos, y los resultados de las actividades de seguimiento se revisarán regularmente. En caso necesario, se adoptarán las medidas oportunas.
3. Los dispositivos de registro y los registros se protegerán contra las alteraciones y el acceso no autorizado a fin de cumplir los requisitos de recogida y retención de indicios para el período de retención de los datos.
Artículo 19
Métodos criptográficos
Se aplicarán, en su caso, métodos criptográficos para proteger la información. Su utilización, así como sus finalidades y condiciones, deberán ser aprobadas previamente por el responsable de seguridad del sistema.
CAPÍTULO IV
SEGURIDAD DE LOS RECURSOS HUMANOS
Artículo 20
Perfiles de los miembros del personal
1. La política de seguridad definirá las funciones y responsabilidades de las personas autorizadas para acceder al SIS II Central.
2. La política de seguridad definirá las funciones y responsabilidades de las personas autorizadas para acceder a la infraestructura de comunicación.
3. Las funciones y responsabilidades de seguridad del personal de la Comisión, los contratistas y el personal que interviene en la gestión operativa se definirán, documentarán y comunicarán a las personas interesadas. En la descripción del puesto de trabajo y los objetivos se definirán las funciones y responsabilidades del personal de la Comisión; en los contratos o los acuerdos de nivel de servicios se definirán las de los contratistas.
4. Se celebrarán acuerdos de confidencialidad y secreto profesional con las personas que no estén sujetas a las normas de la función pública de la Unión Europea o de un Estado miembro. El personal que deba trabajar con datos del SIS II dispondrá de la autorización o certificación necesaria, de conformidad con los procedimientos detallados que se adoptarán en el marco de la política de seguridad.
Artículo 21
Información del personal
1. El personal y los contratistas recibirán una formación adecuada en el ámbito de la sensibilización respecto de la seguridad, los requisitos jurídicos, las políticas y los procedimientos, en la medida necesaria para el ejercicio de sus funciones.
2. Al término de la actividad o del contrato, la política de seguridad definirá las responsabilidades relacionadas con el cambio de empleo o la terminación de la actividad que incumban al personal o los contratistas; la política de seguridad también establecerá los procedimientos de devolución de activos y retirada de derechos de acceso.
CAPÍTULO V
DISPOSICIÓN FINAL
Artículo 22
Aplicabilidad
1. La presente Decisión será aplicable en la fecha fijada por el Consejo de conformidad con el artículo 55, apartado 2, del Reglamento (CE) no 1987/2006, y el artículo 71, apartado 2, de la Decisión 2007/533/JAI.
2. El artículo 1, apartado 1, el artículo 2, apartado 1, el artículo 2, apartado 3, letras b), d), f) e i), el artículo 3, el artículo 6, apartado 5, el artículo 7, apartado 5, el artículo 9, apartado 6, el artículo 10, apartado 6, el artículo 13, apartados 2 y 3, el artículo 15, el artículo 18 y el artículo 20, apartado 1, expirarán en el momento en que la Autoridad de Gestión asuma sus responsabilidades.
Hecho en Bruselas, el 4 de mayo de 2010.