ROZHODNUTÍ KOMISE

ze dne 4. května 2010

o bezpečnostním plánu pro provoz Vízového informačního systému

(2010/260/EU)

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na nařízení Evropského parlamentu a Rady (ES) č. 767/2008 ze dne 9. července 2008 o Vízovém informačním systému (VIS) a o výměně údajů o krátkodobých vízech mezi členskými státy (nařízení o VIS) (1), a zejména na článek 32 tohoto nařízení,

vzhledem k těmto důvodům:

PŘIJALA TOTO ROZHODNUTÍ:

KAPITOLA I

OBECNÁ USTANOVENÍ

Článek 1

Předmět

Toto rozhodnutí upravuje organizaci bezpečnosti a bezpečnostní opatření (bezpečnostní plán) ve smyslu čl. 32 odst. 3 nařízení (ES) č. 767/2008.

KAPITOLA II

ORGANIZACE, POVINNOSTI A ŘEŠENÍ INCIDENTŮ

Článek 2

Úkoly Komise

1.   Komise zavede bezpečnostní opatření pro Ústřední VIS a komunikační infrastrukturu a sleduje jejich účinnost, jak je uvedeno v tomto rozhodnutí.

2.   Komise určí z řad svých úředníků úředníka pro bezpečnost systému. Úředník pro bezpečnost systému je jmenován generálním ředitelem generálního ředitelství Komise pro spravedlnost, svobodu a bezpečnost. K úkolům úředníka pro bezpečnost systému patří zejména:

Článek 3

Místní bezpečnostní úředník pro Ústřední VIS

1.   Aniž je dotčen článek 8, Komise určí z řad svých úředníků místního bezpečnostního úředníka pro Ústřední VIS. Je nutno zamezit střetu zájmů mezi funkcí místního bezpečnostního úředníka a jakoukoliv jinou úřední povinností. Místní bezpečnostní úředník pro Ústřední VIS je jmenován generálním ředitelem generálního ředitelství Komise pro spravedlnost, svobodu a bezpečnost.

2.   Místní bezpečnostní úředník pro Ústřední VIS zajišťuje, aby v hlavním Ústředním VIS byla prováděna bezpečnostní opatření uvedená v tomto rozhodnutí a byly dodržovány bezpečnostní postupy. Co se týká záložního Ústředního VIS, místní bezpečnostní úředník pro Ústřední VIS zajistí, aby byla prováděna bezpečnostní opatření uvedená v tomto rozhodnutí s výjimkou opatření stanovených v článku 10 a aby byly dodržovány související bezpečnostní postupy.

3.   Místní bezpečnostní úředník pro Ústřední VIS může kterýkoliv ze svých úkolů přidělit podřízeným pracovníkům. Je nutno zamezit střetu zájmů mezi povinností plnit tyto úkoly a jakoukoli jinou úřední povinností. Místního bezpečnostního úředníka nebo jeho podřízeného pracovníka ve službě je možno kdykoli zastihnout na jednom kontaktním telefonním čísle a adrese.

4.   Místní bezpečnostní úředník pro Ústřední VIS vykonává úkoly vyplývající z bezpečnostních opatření, jež mají být přijata v místech, v nichž se nachází hlavní a záložní Ústřední VIS, a to v mezích uvedených v odstavci 1, včetně zejména:

Článek 4

Místní bezpečnostní úředník pro komunikační infrastrukturu

1.   Aniž je dotčen článek 8, Komise určí z řad svých úředníků místního bezpečnostního úředníka pro komunikační infrastrukturu. Je nutno zamezit střetu zájmů mezi funkcí místního bezpečnostního úředníka a jakoukoliv jinou úřední povinností. Místní bezpečnostní úředník pro komunikační infrastrukturu je jmenován generálním ředitelem generálního ředitelství Komise pro spravedlnost, svobodu a bezpečnost.

2.   Místní bezpečnostní úředník pro komunikační infrastrukturu sleduje fungování komunikační infrastruktury a zajišťuje, aby byla prováděna bezpečnostní opatření a byly dodržovány bezpečnostní postupy.

3.   Místní bezpečnostní úředník pro komunikační infrastrukturu může kterýkoliv ze svých úkolů přidělit podřízeným pracovníkům. Je nutno zamezit střetu zájmů mezi povinností plnit tyto úkoly a jakoukoli jinou úřední povinností. Místního bezpečnostního úředníka nebo jeho podřízeného pracovníka ve službě je možno kdykoli zastihnout na jednom kontaktním telefonním čísle a adrese.

4.   Místní bezpečnostní úředník pro komunikační infrastrukturu vykonává úkoly vyplývající z bezpečnostních opatření souvisejících s komunikační infrastrukturou, včetně zejména:

Článek 5

Bezpečnostní incidenty

1.   Každou událost, která má nebo může mít dopad na bezpečnost provozu VIS a může VIS způsobit škodu nebo újmu, je nutno považovat za bezpečnostní incident, zejména v případě, mohlo-li dojít k přístupu k údajům nebo pokud byla či mohla být ohrožena dostupnost, integrita a důvěrnost údajů.

2.   Bezpečnostní politika stanoví postupy pro překonání účinků takovéhoto incidentu. Bezpečnostní incidenty jsou řešeny tak, aby byla zajištěna rychlá, účinná a náležitá odezva v souladu s bezpečnostní politikou.

3.   Informace o bezpečnostním incidentu, který má nebo může mít dopad na provoz VIS v některém z členských států nebo na dostupnost, integritu a důvěrnost údajů VIS zadaných některým členským státem, jsou poskytnuty dotčenému členskému státu. Bezpečnostní incidenty jsou oznámeny inspektorovi ochrany údajů v Komisi.

Článek 6

Řešení incidentů

1.   Všichni zaměstnanci a smluvní dodavatelé podílející se na vývoji, řízení nebo provozu VIS musí zaznamenávat jakékoli zjištěné nebo domnělé bezpečnostní nedostatky v provozu VIS a nahlásit je úředníkovi pro bezpečnost systému nebo místnímu bezpečnostnímu úředníkovi pro Ústřední VIS nebo popřípadě místnímu bezpečnostnímu pracovníkovi pro komunikační infrastrukturu.

2.   Je-li zjištěn incident, který má nebo může mít dopad na bezpečnost provozu VIS, informuje místní bezpečnostní úředník pro Ústřední VIS nebo místní bezpečnostní úředník pro komunikační infrastrukturu co nejrychleji úředníka pro bezpečnost systému a popřípadě vnitrostátní jednotné kontaktní místo pro bezpečnost VIS, pokud v dotyčném členském státě takovéto kontaktní místo existuje, a to písemně nebo v případě mimořádně naléhavé situace prostřednictvím jiných komunikačních kanálů. Zpráva obsahuje popis bezpečnostního incidentu, úroveň rizika, možné důsledky a opatření, která byla nebo by měla být přijata k zmírnění rizika.

3.   Místní bezpečnostní úředník pro Ústřední VIS nebo popřípadě místní bezpečnostní úředník pro komunikační infrastrukturu neprodleně zajistí veškeré důkazy v souvislosti s bezpečnostním incidentem. Tyto důkazy jsou na žádost poskytnuty úředníkovi pro bezpečnost systému, a to v rozsahu, v jakém platné předpisy o ochraně údajů poskytnutí těchto údajů umožňují.

4.   Jsou zavedeny postupy pro poskytování zpětné vazby s cílem zajistit, aby byly předávány informace o výsledcích, jakmile byl incident vyřešen a ukončen.

KAPITOLA III

BEZPEČNOSTNÍ OPATŘENÍ

Článek 7

Bezpečnostní politika

1.   Generální ředitel generálního ředitelství pro spravedlnost, svobodu a bezpečnost v souladu s tímto rozhodnutím vypracuje, aktualizuje a pravidelně přezkoumává závaznou bezpečnostní politiku. Bezpečnostní politika stanoví podrobné postupy a opatření na ochranu před ohrožením dostupnosti, integrity a důvěrnosti údajů VIS, včetně plánování mimořádných opatření, s cílem zajistit náležitou úroveň bezpečnosti, jak je stanoveno tímto rozhodnutím. Bezpečnostní politika je v souladu s tímto rozhodnutím.

2.   Bezpečnostní politika je založena na posouzení rizik. Opatření popsaná v bezpečnostní politice jsou přiměřená zjištěným rizikům.

3.   Je-li to nezbytné v důsledku technologických změn, zjištění nových hrozeb či jakýchkoli jiných okolností, jsou posouzení rizik a bezpečnostní politika aktualizovány. Bezpečnostní politika je každopádně jednou ročně přezkoumávána s cílem zajistit, aby nadále náležitě reagovala na nejnovější posouzení rizik nebo nově zjištěnou technologickou změnu, hrozbu či jinou důležitou okolnost.

4.   Bezpečnostní politiku vypracuje úředník pro bezpečnost systému v součinnosti s místním bezpečnostním úředníkem pro VIS a místním bezpečnostním úředníkem pro komunikační infrastrukturu.

Článek 8

Provádění bezpečnostních opatření

1.   Provádění úkolů a plnění požadavků stanovených v tomto rozhodnutí a v bezpečnostní politice, včetně úkolu týkajícího se určení místního bezpečnostního úředníka, je možno zajistit smluvně nebo svěřit soukromým či veřejným subjektům.

2.   V tomto případě Komise prostřednictvím právně závazné smlouvy zajistí, aby byly v plném rozsahu splněny požadavky stanovené v tomto rozhodnutí a v bezpečnostní politice. V případě svěření nebo smluvního zajištění úkolu týkajícího se určení místního bezpečnostního úředníka Komise prostřednictvím právně závazné smlouvy zajistí, aby byla konzultována ohledně osoby, která má být místním bezpečnostním úředníkem jmenována.

Článek 9

Kontrola přístupu k zařízení

1.   K ochraně oblastí, v nichž jsou umístěna zařízení pro zpracování údajů, se využívají bezpečnostní zóny s náležitými překážkami a kontrolami vstupu.

2.   V rámci bezpečnostních zón jsou vymezeny bezpečné oblasti za účelem ochrany fyzických součástí (aktiv), včetně technického vybavení, nosičů údajů a ovládacích panelů, plánů a jiných dokumentů týkajících se VIS, jakož i kanceláří a ostatních pracovišť zaměstnanců zajišťujících provoz VIS. Tyto bezpečné oblasti jsou chráněny prostřednictvím odpovídajících kontrol vstupu s cílem zajistit, aby do nich byl povolen přístup pouze oprávněným pracovníkům. Práce v bezpečných oblastech podléhá podrobným bezpečnostním pravidlům stanoveným v bezpečnostní politice.

3.   Je naplánována a zajištěna fyzická bezpečnost kanceláří, prostor a zařízení. Přístupové body, například zóny pro zásobování a nakládku a jiná místa, jimiž mohou do prostor vstoupit neoprávněné osoby, jsou kontrolovány, a je-li to možné, jsou odděleny od zařízení pro zpracovávání údajů s cílem zamezit neoprávněnému přístupu.

4.   Je navržena a úměrně riziku uplatňována fyzická ochrana bezpečnostních zón před škodami vzniklými v důsledku přírodních nebo člověkem způsobených pohrom.

5.   Vybavení je chráněno před fyzickými nebo ekologickými hrozbami a před možností neoprávněného přístupu.

6.   Má-li Komise k dispozici takovéto informace, připojí na seznam uvedený v čl. 2 odst. 2) písm. f) jednotné kontaktní místo pro kontrolu provádění ustanovení tohoto článku v prostorách, v nichž se nachází záložní Ústřední VIS.

Článek 10

Kontrola nosičů údajů a aktiv

1.   Výměnné nosiče obsahující údaje jsou chráněny před neoprávněným přístupem, zneužitím nebo poškozením a během celé doby používání údajů je zajištěna jejich čitelnost.

2.   Nosiče jsou bezpečně odstraněny, jakmile již nejsou zapotřebí, a to v souladu s podrobnými postupy, jež jsou stanoveny v bezpečnostní politice.

3.   Prostřednictvím soupisů je zajištěno, aby byly k dispozici informace o místu uložení, platné době uchovávání a oprávněních k přístupu.

4.   Jsou určena veškerá důležitá aktiva Ústředního VIS a komunikační infrastruktury, takže je lze chránit v souladu s jejich významem. Je veden aktualizovaný rejstřík příslušného vybavení IT.

5.   Je k dispozici aktualizovaná dokumentace Ústředního VIS a komunikační infrastruktury. Tuto dokumentaci je nutno chránit před neoprávněným přístupem.

Článek 11

Kontrola uchovávání

1.   Je nutno přijmout vhodná opatření k zajištění náležitého uchovávání informací a zamezení neoprávněnému přístupu k těmto informacím.

2.   Veškeré položky vybavení, které obsahují paměťová média, jsou zkontrolovány s cílem zajistit výmaz citlivých údajů či jejich úplné přepsání před jejich odstraněním nebo jsou bezpečně zlikvidovány.

Článek 12

Kontrola hesel

1.   Všechna hesla jsou bezpečně uchovávána a je s nimi nakládáno jako s důvěrnými údaji. V případě podezření, že heslo mohlo být vyzrazeno, je nutno heslo neprodleně změnit nebo zablokovat uživatelský účet. Používají se jedinečné a individuální totožnosti uživatelů.

2.   Bezpečnostní politika stanoví postupy pro přihlášení a odhlášení s cílem zamezit neoprávněnému přístupu.

Článek 13

Kontrola přístupu

1.   Bezpečnostní politika stanoví oficiální postup registrace a zrušení registrace zaměstnanců k udělení a zrušení přístupu k technickému a programovému vybavení VIS v místě Ústředního VIS za účelem provozního řízení. Přidělování a používání odpovídajících přístupových údajů (hesla nebo jiné vhodné prostředky) je kontrolováno prostřednictvím formálního řídícího procesu, který stanoví bezpečnostní politika.

2.   Přístup k technickému a programovému vybavení VIS v místě Ústředního VIS

3.   V místě Ústředního VIS se používají pouze ovládací panely a programové vybavení schválené místním bezpečnostním úředníkem pro Ústřední VIS. Je omezeno a kontrolováno používání systémových utilit, které mohou být schopny přepsat nastavení systému a aplikací. Jsou zavedeny postupy pro kontrolu instalace programového vybavení.

Článek 14

Kontrola komunikace

Komunikační infrastruktura je sledována, aby byla u výměn informací zajištěna dostupnost, integrita a důvěrnost údajů. K ochraně údajů předávaných prostřednictvím komunikační infrastruktury se používají kryptografické prostředky.

Článek 15

Kontrola zaznamenávání údajů

Místní bezpečnostní úředník pro Ústřední VIS sleduje účty osob s oprávněným přístupem k programovému vybavení VIS z Ústředního VIS. Je evidováno používání těchto účtů, včetně času a totožnosti uživatelů.

Článek 16

Kontrola přepravy

1.   Bezpečnostní politika stanoví vhodná opatření s cílem zamezit neoprávněnému čtení, kopírování, změně nebo výmazu osobních údajů během předávání do a z VIS nebo během přepravy nosičů údajů. Bezpečnostní politika upraví přípustné druhy odesílání nebo přepravy a rovněž odpovědnost v případě přepravy jednotlivých položek a jejich příchod na místo určení. Nosič údajů nesmí obsahovat jiné údaje než údaje, jež mají být zaslány.

2.   Služby poskytované třetími osobami, jejichž součástí je přístup k údajům, jejich zpracovávání a předávání nebo správa zařízení pro zpracování údajů či přidávání produktů nebo služeb k zařízením pro zpracování údajů, musí obsahovat odpovídající integrované bezpečnostní kontroly.

Článek 17

Bezpečnost komunikační infrastruktury

1.   Komunikační infrastruktura je náležitě spravována a kontrolována s cílem chránit ji před hrozbami a zajistit bezpečnost samotné komunikační infrastruktury a Ústředního VIS, včetně údajů, jež jsou jejím prostřednictvím vyměňovány.

2.   Bezpečnostní prvky, úrovně služeb a požadavky na řízení veškerých síťových služeb jsou stanoveny ve smlouvě o síťových službách uzavřené s poskytovatelem služeb.

3.   Kromě přístupových bodů VIS jsou chráněny rovněž veškeré další služby, které komunikační infrastruktura používá. Bezpečnostní politika stanoví vhodná opatření.

Článek 18

Sledování

1.   Protokoly zaznamenávající informace uvedené v čl. 34 odst. 1 nařízení (ES) č. 767/2008 týkající se každého přístupu a veškerých operací zpracování údajů v Ústředním VIS jsou uchovávány bezpečně v prostorách, v nichž se nachází hlavní a záložní Ústřední VIS, a jsou dostupné z těchto prostor, a to po dobu uvedenou v čl. 34 odst. 2 nařízení (ES) č. 767/2008.

2.   Bezpečnostní politika stanoví postupy ke sledování používání nebo poruch zařízení pro zpracování informací a výsledky tohoto sledování jsou pravidelně přezkoumávány. V případě potřeby jsou přijata vhodná opatření.

3.   Zařízení pro protokolování a protokoly jsou chráněny před nedovolenou manipulací a neoprávněným přístupem za účelem splnění požadavků na shromažďování a uchovávání důkazů po stanovenou dobu.

Článek 19

Kryptografická opatření

K ochraně informací se případně používají kryptografická opatření. Jejich používání spolu s jejich účelem a podmínkami musí předem schválit úředník pro bezpečnost systému.

KAPITOLA IV

BEZPEČNOST LIDSKÝCH ZDROJŮ

Článek 20

Profily pracovníků

1.   Bezpečnostní politika stanoví funkce a povinnosti osob s oprávněným přístupem k VIS, včetně komunikační infrastruktury.

2.   Jsou stanoveny a zdokumentovány úlohy a povinnosti zaměstnanců Komise, smluvních dodavatelů a pracovníků podílejících se na provozním řízení v oblasti bezpečnosti a sděleny dotčeným osobám. Tyto úlohy a povinnosti jsou v případě zaměstnanců Komise stanoveny v popisu pracovní náplně a cílů; u smluvních dodavatelů jsou stanoveny ve smlouvách nebo dohodách o úrovni služeb.

3.   S osobami, na něž se nevztahují pravidla Evropské unie nebo členských států týkající se veřejné služby, jsou uzavřeny smlouvy o zachování důvěrnosti údajů a mlčenlivosti. Zaměstnanci, kteří pracují s údaji VIS, mají potřebnou bezpečnostní prověrku nebo osvědčení v souladu s podrobnými postupy, jež budou stanoveny v bezpečnostní politice.

Článek 21

Informování pracovníků

1.   Všichni zaměstnanci a v případě potřeby smluvní dodavatelé jsou náležitě vyškoleni s ohledem na informovanost o bezpečnosti, právní požadavky, politiky a postupy v rozsahu, v jakém to vyžadují jejich povinnosti.

2.   Pro případ ukončení pracovního poměru nebo smlouvy jsou v bezpečnostní politice stanoveny povinnosti pracovníků a smluvních dodavatelů související se změnou pracovního místa nebo ukončením pracovního poměru a bezpečnostní politika stanoví rovněž postupy, jimiž se řídí vrácení aktiv a zrušení přístupových práv.

KAPITOLA V

ZÁVĚREČNÁ USTANOVENÍ

Článek 22

Použitelnost

1.   Toto rozhodnutí se použije ode dne, který stanoví Komise v souladu s čl. 48 odst. 1 nařízení (ES) č. 767/2008.

2.   Použitelnost tohoto rozhodnutí končí, jakmile se řídící orgán ujme svých povinností.

(1)  Úř. věst. L 218, 13.8.2008, s. 60.

(2)  Úř. věst. L 8, 12.1.2001, s. 1.

(3)  Úř. věst. L 194, 23.7.2008, s. 3.