РЕШЕНИЕ НА КОМИСИЯТА
от 4 май 2010 година
относно плана за сигурност за централната ШИС II и комуникационната инфраструктура
(2010/261/ЕС)
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Регламент (ЕО) № 1987/2006 на Европейския парламент и на Съвета от 20 декември 2006 г. за създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II) (1), и по-специално член 16 от него,
като взе предвид Решение 2007/533/ПВР на Съвета от 12 юни 2007 г. относно създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II) (2), и по-специално член 16 от него,
като има предвид, че:
(1)
Член 16 от Регламент (ЕО) № 1987/2006 и член 16 от Решение 2007/533/ПВР предвиждат, че управителният орган, по отношение на централната ШИС II, и Комисията, по отношение на комуникационната инфраструктура, следва да предприемат необходимите мерки, включително план за сигурност.
(2)
Член 15, параграф 4 от Регламент (ЕО) № 1987/2006 и член 15, параграф 4 от Решение 2007/533/ПВР предвиждат, че през преходния период преди управителният орган да поеме своите задължения, Комисията следва да е отговорна за оперативното управление на централната ШИС II.
(3)
Тъй като управителният орган все още не е създаден, планът за сигурност, който трябва да бъде приет от Комисията, следва в преходния период да е приложим също и към централната ШИС II.
(4)
Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (3) се прилага към обработването на лични данни от Комисията, когато тя изпълнява задълженията си по оперативното управление на ШИС II.
(5)
Член 15, параграф 7 от Регламент (ЕО) № 1987/2006 и член 15, параграф 7 от Решение 2007/533/ПВР предвиждат, че когато Комисията делегира своите задължения по време на преходния период преди управителният орган да поеме своите задължения, тя гарантира, че това делегиране не влияе неблагоприятно върху ефективните контролни механизми съгласно правото на Съюза, независимо дали са на Съда, на Сметната палата или на Европейския надзорен орган по защита на данните.
(6)
Управителният орган следва да приеме свой собствен план за сигурност по отношение на централната ШИС II, веднага щом поеме своите задължения. Поради това настоящият план за сигурност следва да изтече, доколкото е свързан с централната ШИС II, когато управителният орган поеме своите задължения.
(7)
Член 4, параграф 3 от Регламент (ЕО) № 1987/2006 и член 4, параграф 3 от Решение 2007/533/ПВР предвиждат, че ЦС-ШИС, която изпълнява технически надзор и административни функции, е разположена в Страсбург (Франция), а резервната ЦС-ШИС, която в случай на повреда на основната ЦС-ШИС е способна да осигури всички нейни функционалности, е разположена в Санкт Йохан им Понгау (Австрия).
(8)
Планът за сигурност следва да предвиди един служител по сигурността на системата, който да изпълнява задачи, свързани със сигурността, както за централната ШИС II, така и за комуникационната инфраструктура и двама местни служители по сигурността, които да изпълняват задачи, свързани със сигурността, съответно за централната ШИС II и за комуникационната инфраструктура. Ролите на служителите по сигурността следва да са определени така, че да осигуряват ефективна и навременна реакция на инциденти по сигурността, както и тяхното докладване.
(9)
Следва да бъде определена политика за сигурност, която да описва всички технически и организационни детайли в съответствие с разпоредбите на настоящото решение.
(10)
Следва да бъдат дефинирани мерки, които да осигурят необходимото ниво на сигурност на работата на централната ШИС II и на комуникационната инфраструктура,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет
1. Настоящото решение установява организацията и мерките за сигурност (план за сигурност) за защитата на централната ШИС II и на данните, обработвани в нея, срещу заплахи за тяхната наличност, цялост и поверителност по смисъла на член 16, параграф 1 от Регламент (ЕО) № 1987/2006 и член 16, параграф 1 от Решение 2007/533/ПВР относно създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II) през преходния период, докато управителният орган поеме своите задължения.
2. Настоящото решение установява организацията и мерките за сигурност (план за сигурност) за защитата на комуникационната инфраструктура срещу заплахи за нейната наличност, цялост и поверителност по смисъла на член 16 от Регламент (ЕО) № 1987/2006 и член 16 от Решение 2007/533/ПВР относно създаването, функционирането и използването на Шенгенска информационна система от второ поколение (ШИС II).
ГЛАВА II
ОРГАНИЗАЦИЯ, ЗАДЪЛЖЕНИЯ И УПРАВЛЕНИЕ НА ИНЦИДЕНТИ
Член 2
Задачи на Комисията
1. Комисията прилага и наблюдава ефективността на мерките за сигурност за централната ШИС II, посочени в настоящото решение.
2. Комисията прилага и наблюдава ефективността на мерките за сигурност за комуникационната инфраструктура, посочени в настоящото решение.
3. Комисията определя служител по сигурност на системата от длъжностните си лица. Служителят по сигурността на системата се назначава от генералния директор на Генерална дирекция „Правосъдие, свобода и сигурност“ на Комисията. Задачите на служителя по сигурността на системата по-специално включват:
а)
изготвяне на политиката за сигурност, както е описано в член 7 от настоящото решение;
б)
наблюдаване на ефективността при изпълнението на процедурите за сигурност на централната ШИС II;
в)
наблюдаване на ефективността при изпълнението на процедурите за сигурност на комуникационната инфраструктура;
г)
принос в подготовката на докладването във връзка със сигурността, както е посочено в член 50 от Регламент (ЕО) № 1987/2006 и в член 66 от Решение 2007/533/ПВР;
д)
изпълнение на задачи по координиране и подпомагане при проверките и одитите, извършвани от Европейския надзорен орган по защита на данните, посочени в член 45 от Регламент (ЕО) № 1987/2006 и в член 61 от Решение 2007/533/ПВР, както и уведомяване на служителя на Комисията по защита на данните за инциденти по смисъла на член 5, параграф 2;
е)
наблюдение дали настоящото решение и политиката за сигурност се прилагат правилно и изцяло от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в управлението на централната ШИС II;
ж)
наблюдение дали настоящото решение и политиката за сигурност се прилагат правилно и изцяло от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в управлението на комуникационната инфраструктура;
з)
поддържане на списък от единични национални контактни точки за сигурността на ШИС II и предоставянето му на местния служител по сигурността за комуникационната инфраструктура;
и)
предоставяне на списъка, посочен в буква з), на местния служител по сигурността за централната ШИС II.
Член 3
Местен служител по сигурността за централната ШИС II
1. Без да се засяга член 8, Комисията определя местен служител по сигурността за централната ШИС II от длъжностните си лица. Конфликтите на интереси между задълженията на местния служител по сигурността и всяко друго официално задължение се предотвратяват. Местният служител по сигурността за централната ШИС II се назначава от генералния директор на Генерална дирекция „Правосъдие, свобода и сигурност“ на Комисията.
2. Местният служител по сигурността за централната ШИС II осигурява мерките по сигурността, посочени в настоящото решение, да бъдат изпълнявани и процедурите по сигурността да бъдат следвани в основната ЦС-ШИС. По отношение на резервната ЦС-ШИС местният служител по сигурността за централната ШИС II осигурява още мерките по сигурността, посочени в настоящото решение, с изключение на тези, посочени в член 9, да бъдат прилагани и процедурите по сигурността, свързани с нея, да бъдат изпълнявани.
3. Местният служител по сигурността за централната ШИС II може да прехвърли всяка от своите задачи на подчинени служители. Конфликтите на интереси между задължението за изпълнение на тези задачи и всяко друго официално задължение се предотвратяват. Единичен телефонен номер и адрес за връзка позволяват свързването с местния служител по сигурността или неговия или нейния подчинен на служба по всяко време.
4. Местният служител по сигурността за централната ШИС II изпълнява задачите, произтичащи от мерките за сигурност, които трябва да бъдат взети в помещенията, в които са разположени основната ЦС-ШИС и резервната ЦС-ШИС, в рамките на параграф 1, които по-специално включват:
а)
задачи по местната оперативна сигурност, включващи одит на „защитната стена“, редовни изпитвания на сигурността, одитиране и докладване;
б)
наблюдение на ефективността на плана за непрекъснатост на работата и осигуряване на редовното провеждане на учения;
в)
събиране на доказателства и докладване на служителя по сигурността на системата за всеки инцидент в централната ШИС II, който може да повлияе на сигурността на централната ШИС II или на комуникационната инфраструктура;
г)
информиране на служителя по сигурността на системата, ако политиката за сигурност се нуждае от изменение;
д)
наблюдение дали настоящото решение и политиката за сигурност се прилагат от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в оперативното управление на централната ШИС II;
е)
осигуряване на това, че персоналът осъзнава своите задължения и наблюдаване на прилагането на политиката за сигурност;
ж)
наблюдаване на развитието в сферата на сигурността на ИТ и осигуряване на това, че персоналът е съответно обучен;
з)
подготвяне на необходимата информация и варианти за създаването, актуализирането и прегледа на политиката за сигурност в съответствие с член 7.
Член 4
Местен служител по сигурността за комуникационната инфраструктура
1. Без да се засяга член 8, Комисията определя местен служител по сигурността за комуникационната инфраструктура от своите длъжностни лица. Конфликтите на интереси между задълженията на местния служител по сигурността и всяко друго официално задължение се предотвратяват. Местният служител по сигурността за комуникационната инфраструктура се назначава от генералния директор на Генерална дирекция „Правосъдие, свобода и сигурност“ на Комисията.
2. Местният служител по сигурността за комуникационната инфраструктура наблюдава функционирането на комуникационната инфраструктура и осигурява това, че мерките по сигурността се прилагат, както и това, че процедурите по сигурността се изпълняват.
3. Местният служител по сигурността за комуникационната инфраструктура може да прехвърли всяка от своите задачи на подчинени служители. Конфликтите на интереси между задължението за изпълнение на тези задачи и всяко друго официално задължение се предотвратяват. Единичен телефонен номер и адрес за връзка позволяват свързването с местния служител по сигурността или неговия или нейния подчинен на служба по всяко време.
4. Местният служител по сигурността за комуникационната инфраструктура изпълнява задачите, произтичащи от мерките за сигурност, които трябва да бъдат взети по комуникационната инфраструктура и които по-специално включват:
а)
всички задачи по оперативната сигурност, свързани с комуникационната инфраструктура, включващи одит на „защитната стена“, редовни изпитвания на сигурността, одитиране и докладване;
б)
наблюдение на ефективността на плана за непрекъснатост на работата и осигуряване на редовното провеждане на учения;
в)
събиране на доказателства и докладване на служителя по сигурността на системата за всеки инцидент, настъпил в комуникационната инфраструктура, който може да повлияе на сигурността на централната ШИС II или на комуникационната инфраструктура;
г)
информиране на служителя по сигурността на системата, ако политиката за сигурност се нуждае от изменение;
д)
наблюдение дали настоящото решение и политиката за сигурност се прилагат от всички изпълнители или подизпълнители на договори, които участват по някакъв начин в управлението на комуникационната инфраструктура;
е)
осигуряване на това, че персоналът осъзнава своите задължения, както и наблюдаване на прилагането на политиката за сигурност;
ж)
наблюдаване на развитието в сферата на сигурността на ИТ и осигуряване на това, че персоналът е съответно обучен;
з)
подготвяне на необходимата информация и варианти за създаването, актуализирането и прегледа на политиката за сигурност в съответствие с член 7.
Член 5
Инциденти по сигурността
1. Всяко събитие, което има или може да има въздействие върху сигурността на ШИС II и може да предизвика щети или загуба на ШИС II, се разглежда като инцидент по сигурността, особено когато може да е бил осъществен достъп до данни или когато наличността, целостта и поверителността на данните са били или е могло да бъдат компрометирани.
2. Инцидентите по сигурността се управляват така, че да се осигури бърза, ефективна и правилна реакция в съответствие с политиката за сигурност. Създават се процедури за възстановяване след инцидент.
3. На засегнатата държава-членка се предоставя информация по отношение на инцидент по сигурността, който има или може да има въздействие върху работата на ШИС II в държавата-членка или върху наличността, целостта и поверителността на данните, въведени или изпратени от държавата-членка. Служителят по защита на данните на Комисията се уведомява за инцидентите по сигурността.
Член 6
Управление на инциденти
1. От всички служители и изпълнители на договори в разработването, управлението или експлоатацията на ШИС II се изисква да отбелязват и докладват на служителя по сигурността на системата или на местния служител по сигурността за комуникационната инфраструктура всички наблюдавани или подозирани слабости в сигурността на комуникационната инфраструктура.
2. В случай на установяване на инцидент, който има или може да има въздействие върху сигурността на ШИС II, местният служител по сигурността за комуникационната инфраструктура информира възможно най-бързо служителя по сигурността на системата и когато е необходимо, единичната национална контактна точка за сигурността на ШИС II, ако във въпросната държава-членка съществува такава контактна точка, писмено, или в случай на изключителна спешност, посредством други комуникационни канали. Докладът съдържа описанието на инцидента по сигурността, степента на риск, възможните последици и мерките, които са били или следва да бъдат предприети, за да се смекчи рискът.
3. Всички доказателства във връзка с инцидент по сигурността се запазват незабавно от местния служител по сигурността за комуникационната инфраструктура. В степента, в която позволяват приложимите разпоредби за защита на данните, такива доказателства се предоставят на служителя по сигурността на системата при поискване от негова страна.
4. В политиката за сигурност се дефинират процеси за обратна връзка, за да се гарантира, че информацията за типа, третирането и резултата от инцидент по сигурността се съобщава на служителя по сигурността на системата и на местния служител по сигурността за комуникационната инфраструктура, веднага след като инцидентът е отработен и повече не е в развитие.
5. Параграфи от 1 до 4 се прилагат mutatis mutandis към инциденти в централната ШИС II. В този смисъл всяко позоваване на местния служител по сигурността за комуникационната инфраструктура в параграфи от 1 до 4 се чете като позоваване на местния служител по сигурността за централната ШИС II.
ГЛАВА III
МЕРКИ ЗА СИГУРНОСТ
Член 7
Политика за сигурност
1. Генералният директор на Генерална дирекция „Правосъдие, свобода и сигурност“ установява, актуализира и редовно преглежда обвързваща политика за сигурност в съответствие с настоящото решение. Политиката за сигурност предоставя подробните процедури и мерки за защита срещу заплахи за наличността, целостта и поверителността на комуникационната инфраструктура, включително планиране за извънредни ситуации с цел да се осигури необходимото ниво на сигурност, както е предписано от настоящото решение. Политиката за сигурност е в съответствие с настоящото решение.
2. Политиката за сигурност се базира на оценка на риска. Мерките, описани от политиката за сигурност, са пропорционални на идентифицираните рискове.
3. Оценката на риска и политиката за сигурност се актуализират, ако технологичните промени, идентифицирането на нови заплахи или някакви други обстоятелства правят това необходимо. Във всички случаи на политиката за сигурност се прави преглед ежегодно, за да се гарантира, че все още осигурява подходящ отговор на последната оценка на риска или на всяка друга новоидентифицирана технологична промяна, заплаха или друго подобно обстоятелство.
4. Политиката за сигурност се изготвя от служителя по сигурността на системата при координиране с местния служител по сигурността за централната ШИС II и местния служител по сигурността за комуникационната инфраструктура.
5. Параграфи от 1 до 4 се прилагат mutatis mutandis към инциденти в централната ШИС II. В този смисъл всяко позоваване на местния служител по сигурността за комуникационната инфраструктура в параграфи от 1 до 4 се чете като позоваване на местния служител по сигурността за централната ШИС II.
Член 8
Изпълнение на мерките за сигурност
1. Изпълнението на задачите и изискванията, установени в настоящото решение и в политиката за сигурност, включително задачата за определяне на местен служител по сигурността, може да бъде възложено с договор или поверено на частни или публични образувания.
2. В този случай Комисията осигурява посредством правнообвързващо споразумение, че изискванията, установени в настоящото решение и в политиката за сигурност, са спазени напълно. В случай на делегиране или възлагане с договор на задачата за определяне на местен служител по сигурността Комисията осигурява посредством правнообвързващо споразумение, че ще бъде потърсено становището ѝ относно лицето, което ще бъде определено за местен служител по сигурността.
Член 9
Контрол на достъпа до съоръженията
1. За защита на районите, в които са разположени съоръжения за обработка на данни, се използват периметри за сигурност с подходящите бариери и контрол на входовете.
2. В периметрите за сигурност се дефинират обезопасени зони за защита на физически компоненти (активи), включващи хардуер, носители и конзоли за данни, планове и други документи за ШИС II, както и офиси и други работни места за персонала, участващ в експлоатацията на ШИС II. Тези обезопасени зони се защитават с подходящ контрол на входовете, за да се гарантира, че достъп се позволява само на персонал, който е упълномощен. Работата в обезопасените зони е предмет на подробни правила за сигурност, определени в политиката за сигурност.
3. Предвижда се и се монтира физическа сигурност за офиси, стаи и съоръжения. Точките за достъп, като зоните за доставка и товаро-разтоварни дейности, и други точки, през които неупълномощени лица могат да влязат в помещенията, се контролират и ако е възможно, се изолират от съоръженията за обработка на данни, за да се избегне неразрешеният достъп.
4. Проектира се и се прилага пропорционално на риска физическа защита на периметрите за сигурност срещу повреда от природни или предизвикани от човека бедствия.
5. Оборудването се защитава от физически и екологични заплахи и от възможности за неразрешен достъп.
6. Ако Комисията притежава такава информация, тя добавя към списъка, посочен в член 2, параграф 3, буква з), единична контактна точка за наблюдението и изпълнението на разпоредбите на настоящия член в помещенията, в които е разположена резервната ЦС-ШИС.
Член 10
Контрол на носителите на данни и на активите
1. Сменяем носител, който съдържа данни, се защитава срещу неразрешен достъп, неправилна употреба или повреда, а разчитането му се осигурява за целия живот на данните.
2. Освобождаването от носителите, когато повече не са необходими, се извършва по сигурен и безопасен начин в съответствие с подробните процедури, които ще бъдат определени в политиката за сигурност.
3. Инвентарни списъци осигуряват наличието на информация за мястото на съхранение, приложимия срок на запазване и разрешенията за достъп.
4. Определят се всички важни активи на комуникационната инфраструктура, така че да могат да бъдат защитени в съответствие с важността им. Води се актуален регистър на съответното ИТ оборудване.
5. Осигурява се актуална документация на комуникационната инфраструктура. Такава документация трябва да е защитена срещу неразрешен достъп.
6. Параграфи от 1 до 5 се прилагат mutatis mutandis към инциденти в централната ШИС II. В този смисъл всяко позоваване на комуникационната инфраструктура се чете като позоваване на централната ШИС II.
Член 11
Контрол върху съхранението
1. Вземат се подходящи мерки за осигуряване на правилно съхранение на данните и предотвратяване на неразрешения достъп до тях.
2. Всички елементи на оборудването, съдържащи носители за съхранение на данни, се проверяват, за да се гарантира, че чувствителните данни са били премахнати или напълно заличени преди освобождаването от тях, или се унищожават по сигурен начин.
Член 12
Контрол на пароли
1. Всички пароли се пазят в безопасност и се третират с поверителност. В случай на подозрение, че дадена парола е била разкрита, паролата се сменя незабавно или съответният потребителски достъп се прекратява. Използват се уникални и индивидуални идентификации за потребителите.
2. В политиката за сигурност се дефинират процедури за вход и изход, за да се предотврати неразрешен достъп.
Член 13
Контрол на достъпа
1. За целите на оперативното управление политиката за сигурност установява официална процедура за регистриране и прекратяване на регистрацията на персонала за даване и отнемане на достъп до хардуера и софтуера на ШИС II. Определянето и използването на подходящи атрибути за достъп (пароли или други подходящи средства) се контролира посредством официален управленски процес, както е определен в политиката за сигурност.
2. Достъпът до хардуера и софтуера на ШИС II в ЦС-ШИС:
i)
се ограничава до упълномощените лица;
ii)
се ограничава до случаите, в които е налице легитимна цел в съответствие с член 45 от Регламент (ЕО) № 1987/2006 и член 61 от Решение 2007/533/ПВР или с член 50, параграф 2 от Регламент (ЕО) № 1987/2006 и член 66, параграф 2 от Решение 2007/533/ПВР;
iii)
се ограничава до продължителността и обхвата, необходими за целта на достъпа; и
iv)
се осъществява само в съответствие с политика за контрол на достъпа, която се определя в политиката за сигурност.
3. В ЦС-ШИС се използват само конзолите и софтуерът, разрешени от местния служител по сигурността за централната ШИС II. Използването на системни възможности, които може да са способни да заобиколят контролите на системата и на приложенията, се ограничава и контролира. Въвеждат се процедури за контрол на инсталирането на софтуер.
Член 14
Контрол на комуникациите
Комуникационната инфраструктура се наблюдава с цел осигуряване на наличност, цялост и поверителност на обмена на информация. Използват се средства за криптиране, за да се защитят данните, предавани по комуникационната инфраструктура.
Член 15
Контрол на въвеждането
Правата на достъп на лица, упълномощени за достъп до софтуера на ШИС II от ЦС-ШИС II, се наблюдават от местния служител по сигурността за централната ШИС II. Регистрира се използването на тези права на достъп, което включва времето и самоличността на потребителя.
Член 16
Контрол на транспорта
1. В политиката за сигурност се определят подходящи мерки за предотвратяване на неразрешено четене, копиране, промяна или заличаване на лични данни по време на предаване към или от ШИС II или по време на транспортирането на носители на данни. В политиката за сигурност се установяват разпоредби по отношение на допустимите типове изпращане или транспорт, както и по отношение на процедурите за отчетност за транспортирането на предмети и пристигането им в тяхното местоназначение. Носителят на данни не съдържа никакви други данни, освен данните, които трябва да бъдат изпратени.
2. Услугите, предоставени от трети страни, които включват оценка, обработване, комуникации или управление на съоръжения за обработка на данни или добавянето на продукти или услуги към съоръженията за обработка на данни, имат подходящи интегрирани контроли за сигурност.
Член 17
Сигурност на комуникационната инфраструктура
1. Комуникационната инфраструктура се управлява и контролира по подходящ начин с цел да бъде защитена от заплахи и да се осигури сигурността както на самата комуникационна инфраструктура, така и на централната ШИС II, включително на данните, обменяни през нея.
2. Характеристиките на сигурността, нивата на обслужване и управленските изисквания на всички мрежови услуги се идентифицират в мрежово споразумение за обслужване с доставчика на услуги.
3. Освен защитата на точките на достъп на ШИС II се защитават и всички допълнителни услуги, използвани от комуникационната инфраструктура. В политиката за сигурност се дефинират подходящите мерки.
Член 18
Наблюдение
1. Регистрите, записващи информацията, посочена в член 18, параграф 1 от Регламент (ЕО) № 1987/2006 и член 18, параграф 1 от Решение 2007/533/ПВР по отношение на всеки достъп и всеки обмен на лични данни с ЦС-ШИС II, се съхраняват по сигурен начин и са достъпни от помещенията, в които са разположени основната ЦС-ШИС и резервната ЦС-ШИС за максималния срок, посочен в член 18, параграф 3 от Регламент (ЕО) № 1987/2006 и член 18, параграф 3 от Решение 2007/533/ПВР.
2. В политиката за сигурност се създават процедури за наблюдение на използването или на грешки в съоръженията за обработка на данни и резултатите от дейностите по наблюдение се преглеждат редовно. Ако е необходимо, се предприемат подходящи действия.
3. Устройствата за водене на регистри и регистрите се защитават срещу злонамерена намеса и неразрешен достъп с цел да се изпълнят изискванията за събиране и запазване на доказателства за срока на запазване.
Член 19
Мерки за криптиране
За защитата на информацията, когато е необходимо, се прилагат мерки за криптиране. Тяхното използване, заедно с целите и условията, трябва да бъде одобрено предварително от служителя по сигурността на системата.
ГЛАВА IV
СИГУРНОСТ НА ЧОВЕШКИТЕ РЕСУРСИ
Член 20
Профили на персонала
1. Политиката за сигурност дефинира функциите и отговорностите на лицата, които имат разрешен достъп до централната ШИС II.
2. Политиката за сигурност дефинира функциите и отговорностите на лицата, които имат разрешен достъп до комуникационната инфраструктура.
3. Свързаните със сигурността роли и отговорности на персонала на Комисията, изпълнителите на договори и персонала, участващ в оперативното управление, се дефинират, документират и съобщават на засегнатите лица. В описанието на длъжността и в целите се посочват ролите и отговорностите на персонала на Комисията; в договорите или в споразуменията за нивото на обслужване се посочват тези за изпълнителните на договори.
4. Споразуменията за поверителност и служебна тайна се сключват с всички лица, към които не се прилага служебен правилник на Европейския съюз или на публична служба на държава-членка. Персоналът, който трябва да работи с ШИС II, преминава през необходимата проверка за сигурност или процедура на сертифициране в съответствие с подробните процедури, определени в политиката за сигурност.
Член 21
Информиране на персонала
1. Целият персонал и всички изпълнители на договори получават подходящо обучение за рисковете за сигурността, правните изисквания, политиките и процедурите в степента, изисквана от техните задължения.
2. При приключване на трудовите взаимоотношения или договора отговорностите на персонала и изпълнителите на договори, свързани с промяна на работата или приключване на трудовите взаимоотношения, се определят в политиката за сигурност и се създават процедури в политиката за сигурност за връщане на активите и за прекратяване на правата за достъп.
ГЛАВА V
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 22
Приложимост
1. Настоящото решение влиза в сила на датата, определена от Съвета в съответствие с член 55, параграф 2 от Регламент (ЕО) № 1987/2006 и член 71, параграф 2 от Решение 2007/533/ПВР.
2. Член 1, параграф 1, член 2, параграф 1, член 2, параграф 3, букви б), г), е) и и), член 3, член 6, параграф 5, член 7, параграф 5, член 9, параграф 6, член 10, параграф 6, член 13, параграфи 2 и 3, член 15, член 18 и член 20, параграф 1 изтичат, когато управителният орган поеме своите задължения.
Съставено в Брюксел на 4 май 2010 година.
DECYZJA KOMISJI
z dnia 4 maja 2010 r.
w sprawie planu bezpieczeństwa dla centralnego systemu SIS II i infrastruktury łączności
(2010/261/UE)
KOMISJA EUROPEJSKA,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,
uwzględniając rozporządzenie (WE) nr 1987/2006 Parlamentu Europejskiego i Rady z dnia 20 grudnia 2006 r. w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen drugiej generacji (SIS II) (1), w szczególności jego art. 16,
uwzględniając decyzję Rady 2007/533/WSiSW z dnia 12 czerwca 2007 r. w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen drugiej generacji (SIS II) (2), w szczególności jej art. 16,
a także mając na uwadze, co następuje:
(1)
Zgodnie z art. 16 rozporządzenia (WE) nr 1987/2006 i art. 16 decyzji 2007/533/WSiSW organ zarządzający w odniesieniu do centralnego SIS II, a Komisja w odniesieniu do infrastruktury łączności, powinny przyjąć niezbędne środki, obejmujące plan bezpieczeństwa.
(2)
Zgodnie z art. 15 ust. 4 rozporządzenia (WE) nr 1987/2006 i art. 15 ust. 4 decyzji 2007/533/WSiSW w okresie przejściowym, do czasu podjęcia obowiązków przez organ zarządzający za zarządzanie operacyjne centralnym SIS II odpowiedzialna jest Komisja.
(3)
Ponieważ nie powołano jeszcze organu zarządzającego, plan bezpieczeństwa, który ma przyjąć Komisja, w okresie przejściowym powinien mieć zastosowanie również do centralnego SIS II.
(4)
Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady (3) ma zastosowanie do przetwarzania danych osobowych przez Komisję w trakcie pełnienia przez nią obowiązków w zakresie zarządzania operacyjnego SIS II.
(5)
Zgodnie z art. 15 ust. 7 rozporządzenia (WE) nr 1987/2006 i art. 15 ust. 7 decyzji 2007/533/WSiSW, jeżeli w okresie przejściowym Komisja deleguje swoje obowiązki, zanim obowiązki podejmie organ zarządzający, Komisja dokłada wszelkich starań, aby delegowanie tych zadań nie wpłynęło niekorzystnie na jakikolwiek ustanowiony prawem Unii Europejskiej system skutecznej kontroli sprawowanej przez Trybunał Sprawiedliwości, Trybunał Obrachunkowy lub Europejskiego Inspektora Ochrony Danych.
(6)
Po podjęciu obowiązków organ zarządzający powinien przyjąć własny plan bezpieczeństwa w odniesieniu do centralnego SIS II. Niniejszy plan bezpieczeństwa powinien zatem przestać obowiązywać w odniesieniu do centralnego SIS II w momencie podjęcia obowiązków przez organ zarządzający.
(7)
Zgodnie z art. 4 ust. 3 rozporządzenia (WE) nr 1987/2006 i art. 4 ust. 3 decyzji 2007/533/WSiSW CS-SIS, wykonujący funkcje nadzorcze i administracyjne, mieści się w Strasburgu, we Francji, natomiast rezerwowy CS-SIS, zdolny do zapewnienia wszystkich funkcji głównego CS-SIS w przypadku jego awarii, mieści się w Sankt Johann im Pongau, w Austrii.
(8)
W planie bezpieczeństwa należy przewidzieć jednego urzędnika ds. bezpieczeństwa systemu, wykonującego zadania związane z bezpieczeństwem w odniesieniu do centralnego SIS II i infrastruktury łączności, oraz dwóch lokalnych urzędników ds. bezpieczeństwa, wykonujących zadania związane z bezpieczeństwem odpowiednio w odniesieniu do centralnego SIS II i infrastruktury łączności. Należy określić funkcje urzędników ds. bezpieczeństwa w celu zapewnienia skutecznego i szybkiego reagowania na zdarzenia zagrażające bezpieczeństwu oraz ich zgłaszania.
(9)
Należy ustanowić politykę bezpieczeństwa określającą wszystkie szczegółowe informacje techniczne i organizacyjne zgodnie z przepisami niniejszej decyzji.
(10)
Należy określić środki zapewniające odpowiedni poziom bezpieczeństwa odnośnie do działania centralnego SIS II i infrastruktury łączności,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
ROZDZIAŁ I
PRZEPISY OGÓLNE
Artykuł 1
Przedmiot
1. Niniejsza decyzja ustanawia organizację i środki bezpieczeństwa (plan bezpieczeństwa) w celu ochrony centralnego SIS II i przetwarzanych w nim danych przed zagrożeniami dla ich dostępności, integralności i poufności w rozumieniu art. 16 ust. 1 rozporządzenia (WE) nr 1987/2006 i art. 16 ust. 1 decyzji 2007/533/WSiSW w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen drugiej generacji (SIS II) w okresie przejściowym, do czasu podjęcia obowiązków przez organ zarządzający.
2. Niniejsza decyzja ustanawia organizację i środki bezpieczeństwa (plan bezpieczeństwa) w celu ochrony infrastruktury łączności przed zagrożeniami dla jej dostępności, integralności i poufności w rozumieniu art. 16 rozporządzenia (WE) nr 1987/2006 i art. 16 decyzji 2007/533/WSiSW w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen drugiej generacji (SIS II) .
ROZDZIAŁ II
ORGANIZACJA, OBOWIĄZKI I ZARZĄDZANIE ZDARZENIAMI
Artykuł 2
Zadania Komisji
1. Komisja wdraża środki bezpieczeństwa w odniesieniu do centralnego SIS II, o których mowa w niniejszej decyzji, i monitoruje ich skuteczność.
2. Komisja wdraża środki bezpieczeństwa w odniesieniu do infrastruktury łączności, o których mowa w niniejszej decyzji, i monitoruje ich skuteczność.
3. Komisja wyznacza spośród swoich urzędników urzędnika ds. bezpieczeństwa systemu. Urzędnika ds. bezpieczeństwa systemu mianuje dyrektor generalny Dyrekcji Generalnej Komisji ds. Sprawiedliwości, Wolności i Bezpieczeństwa. Zadania urzędnika ds. bezpieczeństwa systemu obejmują w szczególności:
a)
przygotowanie polityki bezpieczeństwa, o której mowa w art. 7 niniejszej decyzji;
b)
monitorowanie skuteczności wdrażania procedur bezpieczeństwa odnośnie do centralnego SIS II;
c)
monitorowanie skuteczności wdrażania procedur bezpieczeństwa odnośnie do infrastruktury łączności;
d)
udział w przygotowywaniu sprawozdań dotyczących bezpieczeństwa, o których mowa w art. 50 rozporządzenia (WE) nr 1987/2006 i w art. 66 decyzji 2007/533/WSiSW;
e)
koordynację i pomoc w zakresie kontroli i audytów przeprowadzanych przez Europejskiego Inspektora Ochrony Danych, o których mowa w art. 45 rozporządzenia (WE) nr 1987/2006 i w art. 61 decyzji 2007/533/WSiSW, a także zgłaszanie inspektorowi ochrony danych Komisji zdarzeń w rozumieniu art. 5 ust. 2;
f)
monitorowanie, czy niniejsza decyzja i polityka bezpieczeństwa są odpowiednio i w pełni stosowane przez wszystkich wykonawców, w tym wykonawców zaangażowanych w jakikolwiek sposób w zarządzanie centralnym SIS II;
g)
monitorowanie, czy niniejsza decyzja i polityka bezpieczeństwa są odpowiednio i w pełni stosowane przez wszystkich wykonawców, w tym wykonawców zaangażowanych w jakikolwiek sposób w zarządzanie infrastrukturą łączności;
h)
prowadzenie wykazu pojedynczych krajowych punktów kontaktowych odnośnie do bezpieczeństwa SIS II i udostępnianie go lokalnemu urzędnikowi ds. bezpieczeństwa infrastruktury łączności;
i)
udostępnianie wykazu, o którym mowa w lit. h), lokalnemu urzędnikowi ds. bezpieczeństwa centralnego SIS II.
Artykuł 3
Lokalny urzędnik ds. bezpieczeństwa centralnego SIS II
1. Nie naruszając art. 8, Komisja wyznacza spośród swoich urzędników lokalnego urzędnika ds. bezpieczeństwa centralnego SIS II. Zapobiega się powstawaniu konfliktów interesów między obowiązkami lokalnego urzędnika ds. bezpieczeństwa a wszelkimi innymi obowiązkami służbowymi. Lokalnego urzędnika ds. bezpieczeństwa centralnego SIS II mianuje dyrektor generalny Dyrekcji Generalnej Komisji ds. Sprawiedliwości, Wolności i Bezpieczeństwa.
2. Lokalny urzędnik ds. bezpieczeństwa centralnego SIS II zapewnia wdrażanie środków bezpieczeństwa, o których mowa w niniejszej decyzji, i przestrzeganie procedur bezpieczeństwa w głównym CS-SIS. W odniesieniu do rezerwowego CS-SIS lokalny urzędnik ds. bezpieczeństwa centralnego SIS II zapewnia ponadto wdrażanie środków bezpieczeństwa, o których mowa w niniejszej decyzji, z wyjątkiem środków, o których mowa w art. 9, oraz przestrzeganie związanych z nimi procedur bezpieczeństwa.
3. Lokalny urzędnik ds. bezpieczeństwa centralnego SIS II może przekazać każde ze swoich zadań podlegającym mu pracownikom. Zapobiega się powstawaniu konfliktów interesów między obowiązkami związanymi z wykonywaniem takich zadań a innymi obowiązkami służbowymi. Jeden numer telefonu i adres umożliwiają skontaktowanie się w każdym momencie z lokalnym urzędnikiem ds. bezpieczeństwa lub z podlegającym mu pracownikiem pełniącym dyżur.
4. Lokalny urzędnik ds. bezpieczeństwa centralnego SIS II wykonuje zadania wynikające ze środków bezpieczeństwa, które mają zostać podjęte w miejscach, w których znajdują się główny CS-SIS i rezerwowy CS-SIS, w granicach określonych w ust. 1. Zadania te obejmują w szczególności:
a)
lokalne zadania operacyjne w zakresie bezpieczeństwa obejmujące kontrole zapór sieciowych, systematyczne testy bezpieczeństwa, przeprowadzanie audytu i sprawozdawczość;
b)
monitorowanie skuteczności planu ciągłości działania oraz zapewnianie przeprowadzania systematycznych ćwiczeń;
c)
zabezpieczanie dowodów dotyczących wszelkich zdarzeń w ramach centralnego SIS II, które mogą mieć wpływ na bezpieczeństwo centralnego SIS II lub infrastruktury łączności, oraz zgłaszanie takich zdarzeń urzędnikowi ds. bezpieczeństwa systemu;
d)
informowanie urzędnika ds. bezpieczeństwa systemu o potrzebie zmiany polityki bezpieczeństwa;
e)
monitorowanie stosowania niniejszej decyzji i polityki bezpieczeństwa przez każdego z wykonawców, w tym wykonawców, zaangażowanych w jakikolwiek sposób w zarządzanie operacyjne centralnym SIS II;
f)
dopilnowanie, by pracownicy zapoznali się ze swoimi obowiązkami, i monitorowanie stosowania polityki bezpieczeństwa;
g)
monitorowanie zmian w technologii informacyjnej związanych z bezpieczeństwem oraz zapewnianie odpowiedniego przeszkolenia pracowników;
h)
przygotowywanie podstawowych informacji i opcji dotyczących ustanawiania, aktualizacji i przeglądu polityki bezpieczeństwa zgodnie z art. 7.
Artykuł 4
Lokalny urzędnik ds. bezpieczeństwa infrastruktury łączności
1. Nie naruszając art. 8, Komisja wyznaczy spośród swoich urzędników lokalnego urzędnika ds. bezpieczeństwa infrastruktury łączności. Zapobiega się powstawaniu konfliktów interesów między obowiązkami lokalnego urzędnika ds. bezpieczeństwa a wszelkimi innymi obowiązkami służbowymi. Lokalnego urzędnika ds. bezpieczeństwa infrastruktury łączności mianuje dyrektor generalny Dyrekcji Generalnej Komisji ds. Sprawiedliwości, Wolności i Bezpieczeństwa.
2. Lokalny urzędnik ds. bezpieczeństwa infrastruktury łączności monitoruje funkcjonowanie infrastruktury łączności oraz zapewnia wdrażanie środków bezpieczeństwa i przestrzeganie procedur bezpieczeństwa.
3. Lokalny urzędnik ds. bezpieczeństwa infrastruktury łączności może przekazać każde ze swoich zadań podlegającym mu pracownikom. Zapobiega się powstawaniu konfliktów interesów między obowiązkami związanymi z wykonywaniem takich zadań a innymi obowiązkami służbowymi. Jeden numer telefonu i adres umożliwiają skontaktowanie się w każdym momencie z lokalnym urzędnikiem ds. bezpieczeństwa lub z podlegającym mu pracownikiem pełniącym dyżur.
4. Lokalny urzędnik ds. bezpieczeństwa infrastruktury łączności wykonuje zadania związane ze środkami bezpieczeństwa, które mają zostać podjęte w ramach infrastruktury łączności, obejmujące w szczególności:
a)
wszelkie zadania operacyjne w zakresie bezpieczeństwa związane z infrastrukturą łączności, obejmujące kontrolę zapór sieciowych, systematyczne testy bezpieczeństwa, przeprowadzanie audytu i sprawozdawczość;
b)
monitorowanie efektywności planu ciągłości działania oraz zapewnianie przeprowadzania systematycznych ćwiczeń;
c)
zabezpieczanie dowodów dotyczących wszelkich zdarzeń, które wystąpiły w ramach infrastruktury łączności i które mogą mieć wpływ na bezpieczeństwo centralnego SIS II lub infrastruktury łączności, oraz zgłaszanie takich zdarzeń urzędnikowi ds. bezpieczeństwa systemu;
d)
informowanie urzędnika ds. bezpieczeństwa systemu o potrzebie zmiany polityki bezpieczeństwa;
e)
monitorowanie stosowania niniejszej decyzji i polityki bezpieczeństwa przez każdego z wykonawców, w tym wykonawców zaangażowanych we wszelkie działania w zakresie zarządzania infrastrukturą łączności;
f)
dopilnowanie, by pracownicy zapoznali się ze swoimi obowiązkami, i monitorowanie stosowania polityki bezpieczeństwa;
g)
monitorowanie zmian w technologii informacyjnej związanych z bezpieczeństwem oraz zapewnianie odpowiedniego przeszkolenia pracowników;
h)
przygotowywanie podstawowych informacji i opcji dotyczących ustanawiania, aktualizacji i przeglądu polityki bezpieczeństwa zgodnie z art. 7.
Artykuł 5
Zdarzenia zagrażające bezpieczeństwu
1. Wszelkie wydarzenia, które mają lub mogą mieć wpływ na bezpieczeństwo SIS II oraz mogą spowodować szkody lub straty w tym systemie, uznaje się za zdarzenia zagrażające bezpieczeństwu, w szczególności jeżeli mogło dojść do uzyskania dostępu do danych lub jeżeli została lub mogła zostać naruszona dostępność, integralność lub poufność przedmiotowych danych.
2. Zdarzeniami zagrażającymi bezpieczeństwu zarządza się w taki sposób, aby zapewnić szybkie, skuteczne i właściwe reagowanie zgodnie z polityką bezpieczeństwa. Ustanawia się procedury dotyczące przeprowadzania działań naprawczych po zdarzeniu zagrażającym bezpieczeństwu.
3. Informacje na temat zdarzeń zagrażających bezpieczeństwu, które mają lub mogą mieć wpływ na funkcjonowanie SIS II w państwie członkowskim lub na dostępność, integralność i poufność wprowadzonych lub przekazanych przez państwo członkowskie danych, przekazuje się temu państwu członkowskiemu. Zdarzenia zagrażające bezpieczeństwu zgłasza się inspektorowi ochrony danych Komisji.
Artykuł 6
Zarządzanie zdarzeniami
1. Wszyscy pracownicy i wykonawcy zaangażowani w rozwijanie i obsługę SIS II oraz zarządzanie nim mają obowiązek odnotowywania i zgłaszania urzędnikowi ds. bezpieczeństwa systemu lub lokalnemu urzędnikowi ds. bezpieczeństwa infrastruktury łączności wszelkich zaobserwowanych lub podejrzewanych niedociągnięć w zakresie bezpieczeństwa w infrastrukturze łączności.
2. W przypadku wykrycia jakichkolwiek zdarzeń, które mają lub mogą mieć wpływ na bezpieczeństwo systemu SIS II, lokalny urzędnik ds. bezpieczeństwa infrastruktury łączności bezzwłocznie informuje o tym urzędnika ds. bezpieczeństwa systemu oraz, w stosownych przypadkach, pojedynczy krajowy punkt kontaktowy ds. bezpieczeństwa SIS II, jeżeli taki punkt istnieje w powyższym państwie członkowskim, w formie pisemnej, a w wyjątkowo pilnych przypadkach za pośrednictwem innych dróg komunikacji. Zgłoszenie obejmuje opis zdarzenia zagrażającego bezpieczeństwu, poziom ryzyka, możliwe konsekwencje oraz środki, które podjęto lub które należy podjąć w celu zmniejszenia ryzyka.
3. Lokalny urzędnik ds. bezpieczeństwa infrastruktury łączności bezzwłocznie zabezpiecza wszelkie dowody związane ze zdarzeniem zagrażającym bezpieczeństwu. W zakresie przewidzianym w obowiązujących przepisach dotyczących ochrony danych dowody te udostępnia się urzędnikowi ds. bezpieczeństwa systemu na jego wniosek.
4. W ramach polityki bezpieczeństwa określa się procedury przekazywania informacji zwrotnych w celu zapewnienia, że urzędnikowi ds. bezpieczeństwa systemu i lokalnemu urzędnikowi ds. bezpieczeństwa infrastruktury łączności dostarcza się informacje na temat rodzaju zdarzenia zagrażającego bezpieczeństwu, sposobu zarządzania nim oraz jego rezultatu, po podjęciu odpowiednich działań w związku z takim zdarzeniem i po ustaniu jego trwania.
5. Ustępy 1-4 stosuje się odpowiednio do zdarzeń w centralnym SIS II. W tym zakresie wszelkie odniesienia do lokalnego urzędnika ds. bezpieczeństwa infrastruktury łączności zawarte w ust. 1-4 uznaje się za odniesienia do lokalnego urzędnika ds. bezpieczeństwa centralnego SIS II.
ROZDZIAŁ II
ŚRODKI BEZPIECZEŃSTWA
Artykuł 7
Polityka bezpieczeństwa
1. Dyrektor generalny Dyrekcji Generalnej ds. Sprawiedliwości, Wolności i Bezpieczeństwa ustanawia i aktualizuje wiążącą politykę bezpieczeństwa oraz dokonuje jej regularnego przeglądu zgodnie z niniejszą decyzją. W ramach polityki bezpieczeństwa ustanawia się szczegółowe procedury i środki do celów ochrony przed zagrożeniami dla dostępności, integralności i poufności infrastruktury łączności, w tym planowanie na wypadek sytuacji awaryjnych, aby zapewnić odpowiedni poziom bezpieczeństwa określony niniejszą decyzją. Polityka bezpieczeństwa jest zgodna z niniejszą decyzją.
2. Polityka bezpieczeństwa opiera się na ocenie ryzyka. Środki określone w ramach polityki bezpieczeństwa są proporcjonalne do zidentyfikowanych zagrożeń.
3. Aktualizacji oceny ryzyka i polityki bezpieczeństwa dokonuje się, jeżeli jest to niezbędne w wyniku zmian technologicznych, określenia nowych zagrożeń lub jakichkolwiek innych okoliczności. Niezależnie od powyższych czynników dokonuje się rocznego przeglądu polityki bezpieczeństwa w celu zapewnienia jej dostosowania do najnowszej oceny ryzyka lub innych nowo określonych zmian technologicznych, zagrożeń lub innych istotnych okoliczności.
4. Urzędnik ds. bezpieczeństwa systemu przygotowuje politykę bezpieczeństwa w koordynacji z lokalnym urzędnikiem ds. bezpieczeństwa centralnego SIS II i lokalnym urzędnikiem ds. bezpieczeństwa infrastruktury łączności.
5. Ustępy 1-4 stosuje się z uwzględnieniem niezbędnych zmian do polityki bezpieczeństwa dotyczącej centralnego SIS II. W tym zakresie wszelkie odniesienia do lokalnego urzędnika ds. bezpieczeństwa infrastruktury łączności zawarte w ust. 1-4 uznaje się za odniesienia do lokalnego urzędnika ds. bezpieczeństwa centralnego SIS II.
Artykuł 8
Wdrażanie środków bezpieczeństwa
1. Realizację zadań i wymogów określonych w niniejszej decyzji oraz w polityce bezpieczeństwa, w tym zadanie wyznaczenia lokalnego urzędnika ds. bezpieczeństwa, można zlecić lub powierzyć organom prywatnym bądź publicznym.
2. W takim przypadku Komisja w ramach wiążącej prawnie umowy zapewnia całkowitą zgodność z wymogami określonymi w niniejszej decyzji i w polityce bezpieczeństwa. W przypadku gdy zadanie wyznaczenia lokalnego urzędnika ds. bezpieczeństwa zostanie delegowane lub zlecone na zewnątrz, Komisja w ramach wiążącej prawnie umowy gwarantuje, że zostaną z nią przeprowadzone konsultacje dotyczące osoby, która ma być wyznaczona na stanowisko lokalnego urzędnika ds. bezpieczeństwa.
Artykuł 9
Kontrola dostępu do infrastruktury
1. W celu ochrony obszarów, na których znajduje się infrastruktura przetwarzania danych, stosuje się obwody bezpieczeństwa obejmujące odpowiednie bariery i kontrole dostępu.
2. W ramach powyższych obwodów określa się strefy bezpieczeństwa w celu ochrony elementów fizycznych (aktywów), w tym sprzętu komputerowego, nośników danych i wyposażenia do zarządzania danymi, planów i innych dokumentów dotyczących SIS II oraz biur i innych miejsc pracy pracowników zajmujących się obsługą SIS II. Strefy bezpieczeństwa są chronione za pośrednictwem odpowiednich kontroli dostępu w celu zapewnienia wstępu na dany obszar jedynie upoważnionym pracownikom. Pracę w strefach bezpieczeństwa regulują szczegółowe przepisy dotyczące bezpieczeństwa określone w polityce bezpieczeństwa.
3. Zapewnia się fizyczne zabezpieczenia biur, sal i infrastruktury oraz ich instalację. Punkty dostępu, takie jak miejsca dostaw i załadunku, oraz inne punkty, przez które osoby nieupoważnione mogą wejść na dany teren, są kontrolowane i, jeżeli jest to możliwe, oddzielone od infrastruktury przetwarzania danych w celu uniknięcia nieupoważnionego dostępu.
4. Opracowuje się system ochrony fizycznej obwodów bezpieczeństwa przed zniszczeniami wynikającymi z klęsk żywiołowych lub katastrof spowodowanych przez człowieka oraz stosuje się go w sposób proporcjonalny do zagrożenia.
5. Wyposażenie chroni się przed zagrożeniami o charakterze fizycznym i środowiskowym oraz przed możliwościami nieupoważnionego dostępu.
6. Jeżeli Komisja ma dostęp do powyższych informacji, do wykazu, o którym mowa w art. 2 ust. 3 lit. h), dołączy ona pojedynczy punkt kontaktowy do celów monitorowania wdrażania przepisów zawartych w niniejszym artykule na terenie, na którym znajduje się rezerwowy CS-SIS.
Artykuł 10
Kontrola nośników danych i aktywów
1. Nośniki wymienne zawierające dane są chronione przed nieupoważnionym dostępem, niewłaściwym wykorzystaniem lub uszkodzeniem, a ich czytelność jest zapewniana przez cały okres istnienia danych.
2. Nośniki, gdy nie są już potrzebne, są w sposób bezpieczny unieszkodliwiane zgodnie ze szczegółowymi procedurami określonymi w polityce bezpieczeństwa.
3. Dzięki inwentaryzacjom zapewnia się dostępność informacji dotyczących miejsca przechowywania, właściwego okresu przechowywania oraz upoważnień do dostępu.
4. Określa się wszystkie istotne aktywa infrastruktury łączności, aby można je było chronić zgodnie z ich znaczeniem. Prowadzony jest aktualny rejestr właściwego wyposażenia IT.
5. Dostępna jest aktualna dokumentacja infrastruktury łączności. Powyższą dokumentację chroni się przed nieupoważnionym dostępem.
6. Ustępy 1-5 stosuje się z uwzględnieniem niezbędnych zmian do centralnego SIS II. W tym zakresie wszelkie odniesienia do infrastruktury łączności uznaje się za odniesienia do centralnego SIS II.
Artykuł 11
Kontrola przechowywania
1. Podejmuje się odpowiednie środki w celu zapewnienia właściwego przechowywania danych oraz zapobiegania nieupoważnionemu dostępowi do nich.
2. Wszystkie elementy wyposażenia zawierające nośniki do przechowywania danych są poddawane kontroli przed ich unieszkodliwieniem w celu upewnienia się, że dane szczególnie chronione zostały z nich w całości usunięte lub nadpisane, lub są one w bezpieczny sposób niszczone.
Artykuł 12
Kontrola hasła
1. Wszystkie hasła są przechowywane w bezpieczny sposób i traktowane jako poufne. Jeśli istnieje podejrzenie ujawnienia hasła, należy je bezzwłocznie zmienić lub zablokować odpowiednie konto. Stosuje się osobiste i niepowtarzalne identyfikatory użytkowników.
2. W polityce bezpieczeństwa określone są procedury logowania i wylogowania mające na celu zapobieganie nieupoważnionemu dostępowi.
Artykuł 13
Kontrola dostępu
1. W polityce bezpieczeństwa określa się formalną procedurę rejestracji pracowników i wykreślania ich z rejestru, która służy do przyznawania lub unieważniania dostępu do sprzętu komputerowego i oprogramowania SIS II do celów zarządzania operacyjnego. Przydział i wykorzystanie odpowiednich danych uwierzytelniających dostęp (haseł oraz innych właściwych środków) kontroluje się za pomocą formalnego procesu zarządzania określonego w polityce bezpieczeństwa.
2. Dostęp do sprzętu komputerowego i oprogramowania SIS II w CS-SIS:
(i)
jest ograniczony do upoważnionych osób;
(ii)
jest ograniczony do przypadków, w których można określić cel zgodny z prawem zgodnie z art. 45 rozporządzenia (WE) nr 1987/2006 i art. 61 decyzji 2007/533/WSiSW lub z art. 50 ust. 2 rozporządzenia (WE) nr 1987/2006 i art. 66 ust. 2 decyzji 2007/533/WSiSW;
(iii)
nie trwa dłużej, niż jest to niezbędne do celów dostępu, i nie wykracza poza zakres tego celu; oraz
(iv)
odbywa się wyłącznie zgodnie z polityką kontroli dostępu, która zostanie określona w ramach polityki bezpieczeństwa.
3. W CS-SIS wykorzystuje się wyłącznie wyposażenie i oprogramowanie zaakceptowane przez lokalnego urzędnika ds. bezpieczeństwa centralnego SIS II. Korzystanie z narzędzi systemowych, które może doprowadzić do przeciążenia systemu oraz aplikacji, jest ograniczone i podlega kontroli. Należy ustanowić procedury dotyczące kontroli instalacji oprogramowania.
Artykuł 14
Kontrola łączności
Infrastruktura łączności jest monitorowana w celu zapewnienia dostępności, integralności i poufności w zakresie wymiany informacji. Dane przesyłane w ramach infrastruktury łączności chronione są za pomocą środków kryptograficznych.
Artykuł 15
Kontrola wprowadzania danych
Konta osób upoważnionych do dostępu do oprogramowania SIS II z CS-SIS monitoruje lokalny urzędnik ds. bezpieczeństwa centralnego SIS II. Korzystanie z tych kont, w tym czas i identyfikator użytkownika, jest rejestrowane.
Artykuł 16
Kontrola transportu
1. W ramach polityki bezpieczeństwa określa się odpowiednie środki, aby zapobiec nieupoważnionemu odczytywaniu, kopiowaniu, zmienianiu lub usuwaniu danych osobowych podczas przesyłania danych z lub do SIS II i podczas przemieszczania nośników danych. W ramach polityki bezpieczeństwa określa się przepisy dotyczące dopuszczalnych metod wysyłki lub transportu oraz procedur odpowiedzialności za transport elementów i ich dotarcie do miejsca przeznaczenia. Na nośniku danych nie znajdują się żadne inne dane poza tymi, które mają być przesłane.
2. W odniesieniu do usług świadczonych przez osoby trzecie, obejmujących przetwarzanie, łączność, zapewnienie dostępu do infrastruktury przetwarzania danych lub zarządzanie nią bądź dodawanie produktów lub usług do infrastruktury przetwarzania danych, stosuje się odpowiednie zintegrowane kontrole bezpieczeństwa.
Artykuł 17
Bezpieczeństwo infrastruktury łączności
1. Infrastruktura łączności jest odpowiednio zarządzana i kontrolowana, tak aby chronić ją przed zagrożeniami oraz zapewnić bezpieczeństwo samej infrastruktury łączności i centralnego SIS II, w tym danych wymienianych za jego pośrednictwem.
2. Charakterystyka zabezpieczeń, poziomy usług oraz wymogi dotyczące zarządzania w odniesieniu do wszystkich usług sieciowych są określane w umowie o świadczenie usług sieciowych zawieranej z usługodawcą.
3. Oprócz punktów dostępowych SIS II ochronie podlegają również dodatkowe usługi wykorzystywane w ramach infrastruktury łączności. Odpowiednie środki są określone w polityce bezpieczeństwa.
Artykuł 18
Monitorowanie
1. Dzienniki rejestrujące informacje, o których mowa w art. 18 ust. 1 rozporządzenia (WE) nr 1987/2006 i art. 18 ust. 1 decyzji 2007/533/WSiSW, dotyczące wszystkich przypadków, w których uzyskano dostęp do danych osobowych w CS-SIS lub dokonano wymiany takich danych, są bezpiecznie przechowywane i dostępne w miejscu, w którym zlokalizowany jest również główny CS-SIS i rezerwowy CS-SIS, przez okres nie dłuższy niż określono w art. 18 ust. 3 rozporządzenia (WE) nr 1987/2006 i art. 18 ust. 3 decyzji 2007/533/WSiSW.
2. Procedury dotyczące monitorowania funkcjonowania lub błędów infrastruktury przetwarzania danych są określone w polityce bezpieczeństwa, a wyniki monitorowania poddawane są regularnemu przeglądowi. W stosownych przypadkach podejmuje się odpowiednie działania.
3. Infrastruktura rejestrowania oraz dzienniki są chronione przed ingerencją lub nieupoważnionym dostępem w celu spełnienia wymogów dotyczących gromadzenia i przechowywania dowodów w trakcie okresu przechowywania.
Artykuł 19
Środki kryptograficzne
W stosownych przypadkach w celu ochrony informacji stosuje się środki kryptograficzne. Ich zastosowanie wraz z celem i warunkami ich zastosowania muszą zostać uprzednio zatwierdzone przez urzędnika ds. bezpieczeństwa systemu.
RODZIAŁ IV
BEZPIECZEŃSTWO ZASOBÓW LUDZKICH
Artykuł 20
Profile personelu
1. Funkcje i zadania osób upoważnionych do dostępu do centralnego SIS II są określone w polityce bezpieczeństwa.
2. Funkcje i zadania osób upoważnionych do dostępu do infrastruktury łączności są określone w polityce bezpieczeństwa.
3. Funkcje i zadania dotyczące bezpieczeństwa, wchodzące w zakres obowiązków pracowników Komisji, wykonawców oraz pracowników biorących udział w zarządzaniu operacyjnym, są określane, dokumentowane i przekazywane osobom, których to dotyczy. Wyżej wymienione funkcje i zadania są określone dla pracowników Komisji w opisie stanowiska pracy oraz jego celach, natomiast dla wykonawców są określone w umowach lub porozumieniach o poziomie usług.
4. Porozumienia o poufności i tajemnicy zawierane są ze wszystkimi osobami, do których nie mają zastosowania przepisy Unii Europejskiej lub państw członkowskich dotyczące usług publicznych. Pracownicy, którzy muszą pracować z danymi SIS II, otrzymują odpowiednie zezwolenie lub poświadczenie zgodnie ze szczegółowymi procedurami, które zostaną określone w polityce bezpieczeństwa.
Artykuł 21
Informowanie pracowników
1. Wszyscy pracownicy i wykonawcy przechodzą odpowiednie szkolenie w zakresie wiedzy na temat bezpieczeństwa, wymogów prawnych oraz zasad i procedur w zakresie wymaganym w ramach wykonywanych przez nich zadań.
2. W odniesieniu do zakończenia zatrudnienia lub wygaśnięcia umowy w polityce bezpieczeństwa określono wymogi dotyczące zmiany stanowiska lub zakończenia zatrudnienia dla pracowników i wykonawców, tak aby zapewnić zarządzanie zwrotem aktywów i odbieraniem praw dostępu.
ROZDZIAŁ V
PRZEPIS KOŃCOWY
Artykuł 22
Stosowanie
1. Niniejsza decyzja zaczyna obowiązywać z dniem ustalonym przez Radę zgodnie z art. 55 ust. 2 rozporządzenia (WE) nr 1987/2006 i art. 71 ust. 2 decyzji 2007/533/WSiSW.
2. Artykuł 1 ust. 1, art. 2 ust. 1, art. 2 ust. 3 lit. b), d), f) i i), art. 3, art. 6 ust. 5, art. 7 ust. 5, art. 9 ust. 6, art. 10 ust. 6, art. 13 ust. 2 i 3, art. 15, 18 i art. 20 ust. 1 tracą moc z chwilą podjęcia obowiązków przez organ zarządzający.
Sporządzono w Brukseli dnia 4 maja 2010 r.