DECISIÓN DE LA COMISIÓN

de 4 de mayo de 2010

relativa al plan de seguridad para el funcionamiento del Sistema de Información de Visados

(2010/260/UE)

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (CE) no 767/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, sobre el Sistema de Información de Visados (VIS) y el intercambio de datos sobre visados de corta duración entre los Estados miembros (Reglamento VIS) (1), y, en particular, su artículo 32,

Considerando lo siguiente:

HA ADOPTADO LA PRESENTE DECISIÓN:

CAPÍTULO I

DISPOSICIONES GENERALES

Artículo 1

Objeto

La presente Decisión establece las medidas y organización de seguridad (plan de seguridad) en el sentido del artículo 32, apartado 3, del Reglamento (CE) no 767/2008.

CAPÍTULO II

ORGANIZACIÓN, RESPONSABILIDADES Y GESTIÓN DE INCIDENTES

Artículo 2

Funciones de la Comisión

1.   La Comisión ejecutará y controlará la eficacia de las medidas de seguridad del VIS central y de la infraestructura de comunicación a las que hace referencia la presente Decisión.

2.   La Comisión deberá designar un responsable de seguridad del sistema de entre sus funcionarios. El responsable de seguridad del sistema deberá ser nombrado por el director general de la Dirección General de Justicia, Libertad y Seguridad de la Comisión. Sus cometidos incluirán, en particular:

Artículo 3

Responsable local de la seguridad para el VIS central

1.   Sin perjuicio de lo dispuesto en el artículo 8, la Comisión nombrará un responsable local de la seguridad para el VIS central de entre sus funcionarios. Se deberán evitar los conflictos de intereses entre las obligaciones como responsable local de la seguridad y cualquier otra obligación oficial. El responsable local de la seguridad para el VIS central será nombrado por el director general de la Dirección General de Justicia, Libertad y Seguridad de la Comisión.

2.   El responsable local de la seguridad del VIS central velará por la aplicación de las medidas de seguridad contempladas en la presente Decisión y por el respeto de los procedimientos de seguridad en el VIS central principal. Por lo que se refiere a la copia de seguridad del VIS central principal, el responsable local de la seguridad para el VIS central garantizará la aplicación de las medidas de seguridad a las que se refiere la presente Decisión, excepto las recogidas en el artículo 10, y el respeto de los procedimientos de seguridad correspondientes.

3.   El responsable local de seguridad para el VIS central podrá asignar algunas de sus funciones al personal subordinado. Se deberán evitar los conflictos de intereses entre la obligación de ejecutar dichas funciones y cualquier otra obligación oficial. El responsable local de la seguridad o su subordinado en servicio deberán estar disponibles a cualquier hora a través de un número de contacto único y una dirección única.

4.   El responsable local de la seguridad para el VIS central ejercerá las funciones derivadas de las medidas de seguridad a adoptar en la sede del VIS central principal y en la sede de la copia de seguridad del VIS central, dentro de los límites del apartado 1, y en particular:

Artículo 4

Responsable local de seguridad de la infraestructura de comunicación

1.   Sin perjuicio de lo dispuesto en el artículo 8, la Comisión designará a un responsable local de seguridad para la infraestructura de comunicación entre sus funcionarios. Se evitarán los conflictos de intereses entre las funciones del responsable local de seguridad y cualquier otra función oficial. El responsable local de seguridad para la infraestructura de comunicación será designado por el director general de la Dirección General de Justicia, Libertad y Seguridad de la Comisión.

2.   El responsable local de seguridad para la infraestructura de comunicación supervisará el funcionamiento de la infraestructura de comunicación y se asegurará de que se ejecuten las medidas de seguridad y se apliquen los procedimientos de seguridad.

3.   El responsable local de seguridad para la infraestructura de comunicación podrá confiar cualquiera de sus funciones al personal subordinado. Se evitarán los conflictos de intereses entre la obligación de ejercer estas funciones y cualquier otra obligación oficial. Un número de teléfono único y una dirección única permitirán ponerse en contacto en todo momento con el responsable local de seguridad o con su subordinado que esté de servicio.

4.   El funcionario local de seguridad para la infraestructura de comunicación ejercerá las funciones derivadas de las medidas de seguridad que deban adoptarse en la infraestructura de la comunicación, funciones entre las que se incluyen, en particular:

Artículo 5

Incidentes de seguridad

1.   Todo acontecimiento que repercuta o pueda repercutir en la seguridad del VIS y pueda causar un daño o una pérdida al VIS será considerado un incidente de seguridad, especialmente cuando se haya podido acceder a los datos o cuando se haya puesto en peligro o se haya podido poner en peligro la disponibilidad, integridad y confidencialidad de estos.

2.   La política de seguridad deberá establecer los procedimientos para subsanar los incidentes. Los incidentes de seguridad se gestionarán para garantizar una respuesta rápida, efectiva y adecuada de conformidad con la política de seguridad.

3.   La información relativa a un incidente de seguridad que repercuta o pueda repercutir en el funcionamiento del VIS en un Estado miembro o en la disponibilidad, integridad y confidencialidad de los datos del VIS introducidos por un Estado miembro, se facilitará al Estado miembro afectado. Los incidentes de la seguridad se notificarán al responsable de la protección de datos de la Comisión.

Artículo 6

Gestión de incidentes

1.   El personal y los contratistas que se ocupen del desarrollo, la gestión o el funcionamiento del VIS deberán señalar y comunicar cualquier deficiencia de seguridad que observen o sospechen en el funcionamiento del VIS al responsable de seguridad del sistema o al responsable local de seguridad para la infraestructura de comunicación, según proceda.

2.   En caso de que se detecte un incidente que afecte o pueda afectar a la seguridad del funcionamiento del VIS, el responsable local de seguridad para el VIS central o el responsable local de seguridad para la infraestructura de comunicación informará lo antes posible al responsable de seguridad del sistema y, en su caso, al punto de contacto nacional único para la seguridad del VIS, cuando dicho punto de contacto exista en el Estado miembro de que se trate, por escrito o, en caso de extrema urgencia, por otros canales de comunicación. El informe contendrá la descripción del incidente de seguridad, el nivel de riesgo, las posibles consecuencias y las medidas adoptadas o que deberán adoptarse para mitigar el riesgo.

3.   El responsable local de seguridad para el VIS central o el responsable local de la seguridad para la infraestructura de comunicación, según proceda, recopilará inmediatamente cualquier indicio relacionado con el incidente de seguridad. En la medida que lo permitan las disposiciones aplicables en materia de protección de datos, dichos indicios se pondrán a disposición del responsable de seguridad del sistema a petición de este último.

4.   Se definirán mecanismos de respuesta para garantizar que la información sobre los resultados se comunique, una vez que el incidente haya sido resuelto y cerrado.

CAPÍTULO III

MEDIDAS DE SEGURIDAD

Artículo 7

Política de seguridad

1.   El director general de la Dirección General de Justicia, Libertad y Seguridad establecerá, actualizará y revisará regularmente la política de seguridad obligatoria de conformidad con la presente Decisión. La política de seguridad preverá medidas y procedimientos detallados de protección contra las amenazas que afectan a la disponibilidad, integridad y confidencialidad del VIS, incluida la planificación de emergencia, a fin de garantizar un nivel de seguridad adecuado con arreglo a lo prescrito en la presente Decisión. La política de seguridad cumplirá lo dispuesto en la presente Decisión.

2.   La política de seguridad se basará en una evaluación de riesgos. Las medidas descritas en la política de seguridad serán proporcionadas a los riesgos señalados.

3.   La evaluación de riesgos y la política de seguridad se actualizarán cuando los cambios tecnológicos, la identificación de nuevas amenazas u otras circunstancias lo exijan. La política de seguridad se revisará en todo caso anualmente para garantizar que siga siendo una respuesta adecuada y conforme a la última evaluación de riesgos o a cualquier otro cambio tecnológico, amenaza o circunstancia pertinente recientemente señalados.

4.   La política de seguridad será elaborada por el responsable de seguridad del sistema, en coordinación con el responsable local de seguridad para el VIS central y el responsable local de seguridad para la infraestructura de comunicación.

Artículo 8

Ejecución de las medidas de seguridad

1.   La ejecución de las funciones y los requisitos establecidos en la presente Decisión y en la política de seguridad, incluida la función de designación del responsable local de seguridad, podrá subcontratarse o confiarse a organismos públicos o privados.

2.   En tal caso, la Comisión, mediante un acuerdo jurídicamente vinculante, se asegurará de que se cumplan plenamente los requisitos establecidos en la presente Decisión y en la política de seguridad. En caso de delegación o subcontratación de la función de designación del responsable local de seguridad, la Comisión, mediante un acuerdo jurídicamente vinculante, se asegurará de que se le consulte sobre la persona que deba designarse como responsable local de seguridad.

Artículo 9

Control del acceso a las instalaciones

1.   Se utilizarán perímetros de seguridad con barreras y controles de entrada adecuados para proteger las zonas en las que se encuentren las instalaciones de tratamiento de datos.

2.   Dentro de los perímetros de seguridad, se definirán zonas seguras para proteger los elementos físicos (activos), incluidos los equipos informáticos, los soportes de datos y las consolas, los planes y otros documentos sobre el VIS, así como las oficinas y demás lugares de trabajo del personal encargado del funcionamiento del VIS. Estas zonas seguras se protegerán mediante controles de entrada adecuados que garantizarán el acceso únicamente al personal autorizado. El trabajo en las zonas seguras estará sujeto a las normas de seguridad detalladas establecidas en la política de seguridad.

3.   Se preverán e instalarán dispositivos de seguridad física de las oficinas, salas e instalaciones. Se controlarán los puntos de acceso como las zonas de entrega y de carga y otros puntos por los que personas no autorizadas puedan entrar en los locales y, cuando sea posible, dichos puntos se aislarán de las instalaciones de tratamiento de datos para evitar el acceso no autorizado.

4.   La protección física de los perímetros de seguridad contra daños causados por catástrofes naturales o de origen humano se concebirá y aplicará de forma proporcional al riesgo.

5.   Los equipos se protegerán contra las amenazas físicas y medioambientales, así como contra cualquier posibilidad de acceso no autorizado.

6.   Cuando la Comisión disponga de la información pertinente, añadirá a la lista mencionada en el artículo 2, apartado 2, letra f), un punto de contacto único para supervisar la aplicación de lo dispuesto en el presente artículo en los locales en los que se encuentre la copia de seguridad del VIS.

Artículo 10

Soportes de datos y control de activos

1.   Los soportes extraíbles que contengan datos se protegerán contra el acceso no autorizado, el uso indebido y los daños, y se garantizará su legibilidad durante el tiempo de vida completo de los datos.

2.   Cuando ya no se necesiten, los soportes se eliminarán por medios seguros y protegidos, de conformidad con los procedimientos detallados que se establezcan en la política de seguridad.

3.   Los inventarios garantizarán la disponibilidad de información sobre el lugar de almacenamiento, el período de retención aplicable y las autorizaciones de acceso.

4.   Se identificarán todos los activos importantes de la infraestructura de comunicación, a fin de protegerlos según su importancia. Se mantendrá un registro actualizado de los equipos informáticos pertinentes.

5.   La documentación actualizada sobre el VIS y sobre la infraestructura de comunicación deberá estar disponible. Esta documentación deberá protegerse contra el acceso no autorizado.

Artículo 11

Control de almacenamiento

1.   Se adoptarán las medidas necesarias para garantizar el almacenamiento adecuado de los datos y evitar el acceso no autorizado a estos.

2.   Los elementos de los equipos que contengan soportes de almacenamiento serán sometidos a una verificación que garantice la retirada o sobreescritura completa de los datos sensibles antes de su eliminación, o serán destruidos por medios seguros.

Artículo 12

Control de contraseña

1.   Las contraseñas se conservarán con seguridad y se tratarán de forma confidencial. Cuando se sospeche que ha sido revelada, la contraseña deberá cambiarse inmediatamente o bien se desactivará la cuenta de que se trate. Se utilizarán identidades de usuario individuales y únicas.

2.   En el marco de la política de seguridad se definirán los procedimientos para iniciar y cerrar la sesión, así como para prevenir el acceso no autorizado.

Artículo 13

Control de acceso

1.   La política de seguridad establecerá un procedimiento formal de registro y de anulación del registro del personal por el que se concederá y retirará el acceso a los equipos físicos y los programas informáticos del VIS en el VIS central, a efectos de la gestión operativa. La atribución y la utilización de credenciales de acceso adecuadas (contraseñas u otros medios adecuados) se controlarán mediante un proceso de gestión formal establecido en el marco de la política de seguridad.

2.   El acceso a los equipos físicos y a los programas informáticos del VIS:

3.   En el VIS solo se utilizarán las consolas y los programas informáticos autorizados por el responsable local de seguridad para el VIS central. Se limitará y controlará el uso de utilidades del sistema que puedan reemplazar a los controles de aplicación y del sistema. Se aplicarán procedimientos para controlar la instalación de programas informáticos.

Artículo 14

Control de comunicación

La infraestructura de comunicación se controlará para facilitar la disponibilidad, integridad y confidencialidad necesarias para los intercambios de información. Se utilizarán medios criptográficos para proteger los datos transmitidos en la infraestructura de comunicación.

Artículo 15

Control de entrada

Las cuentas de las personas autorizadas para acceder a los programas informáticos del VIS a partir del VIS central serán controladas por el responsable local de seguridad para el VIS central. Se registrará la utilización de dichas cuentas, incluidas la fecha, la hora y la identidad del usuario.

Artículo 16

Control de transporte

1.   En el marco de la política de seguridad, se definirán las medidas adecuadas para evitar la lectura, copia, modificación o supresión no autorizadas de datos personales en la transmisión al o desde VIS o durante el transporte de soportes de datos. Se adoptarán disposiciones, en el marco de la política de seguridad, con respecto a los tipos de envío o transporte admisibles, así como respecto de los procedimientos de responsabilidad aplicables al transporte de elementos y su llegada al lugar de destino. El soporte de datos no contendrá ningún dato distinto de los datos que deban enviarse.

2.   Los servicios prestados por terceros que impliquen el acceso, el tratamiento, la comunicación o la gestión de instalaciones de tratamiento de datos o la adición de productos o servicios a las instalaciones de tratamiento de datos, serán objeto de controles de seguridad integrados y adecuados.

Artículo 17

Seguridad de la infraestructura de comunicación

1.   La infraestructura de comunicación será gestionada y controlada convenientemente a fin de protegerla contra las amenazas y garantizar su propia seguridad y la del VIS central, incluidos los datos intercambiados a través de ella.

2.   Las especificaciones de seguridad, los niveles de servicio y los requisitos de gestión de todos los servicios de red se definirán en el acuerdo de servicio de red con el proveedor del servicio.

3.   Además de proteger los puntos de acceso del VIS, se protegerá también cualquier otro servicio adicional utilizado por la infraestructura de comunicación. Las medidas adecuadas se definirán en el marco de la política de seguridad.

Artículo 18

Supervisión

1.   Los registros que contengan la información a que se refiere el artículo 34, apartado 1, del Reglamento (CE) no 767/2008 en relación con cada acceso a los datos y con todas las operaciones de tratamiento de datos en el VIS central, se conservarán de forma segura y serán accesibles desde los locales donde se encuentren el VIS principal y la copia de seguridad del VIS central durante el período mencionado en el artículo 34, apartado 2, del Reglamento (CE) no 767/2008.

2.   En el marco de la política de seguridad, se establecerán los procedimientos de seguimiento de la utilización o de los fallos de las instalaciones de tratamiento de datos, y los resultados de las actividades de seguimiento se revisarán regularmente. En caso necesario, se adoptarán las medidas oportunas.

3.   Los dispositivos de registro y los registros se protegerán contra las alteraciones y el acceso no autorizado a fin de cumplir los requisitos de recogida y retención de indicios para el período de retención de los datos.

Artículo 19

Métodos criptográficos

Se aplicarán, en su caso, métodos criptográficos para proteger la información. Su utilización, así como sus finalidades y condiciones, deberán ser aprobadas previamente por el responsable de seguridad del sistema.

CAPÍTULO IV

SEGURIDAD DE LOS RECURSOS HUMANOS

Artículo 20

Perfiles de los miembros del personal

1.   La política de seguridad definirá las funciones y responsabilidades de las personas autorizadas para acceder al VIS, incluida la infraestructura de comunicación.

2.   Las funciones y responsabilidades de seguridad del personal de la Comisión, los contratistas y el personal que interviene en la gestión operativa se definirán, documentarán y comunicarán a las personas interesadas. En la descripción del puesto de trabajo y los objetivos se definirán las funciones y responsabilidades del personal de la Comisión; en los contratos o los acuerdos de nivel de servicios se definirán las de los contratistas.

3.   Se celebrarán acuerdos de confidencialidad y secreto profesional con las personas que no estén sujetas a las normas de la función pública de la Unión Europea o de un Estado miembro. El personal que deba trabajar con datos del VIS dispondrá de la autorización o certificación necesaria, de conformidad con los procedimientos detallados que se adoptarán en el marco de la política de seguridad.

Artículo 21

Información del personal

1.   El personal y los contratistas recibirán una formación adecuada en el ámbito de la sensibilización respecto de la seguridad, los requisitos jurídicos, las políticas y los procedimientos, en la medida necesaria para el ejercicio de sus funciones.

2.   Al término de la actividad o del contrato, la política de seguridad definirá las responsabilidades relacionadas con el cambio de empleo o la terminación de la actividad que incumban al personal o los contratistas; la política de seguridad también establecerá los procedimientos de devolución de activos y retirada de derechos de acceso.

CAPÍTULO V

DISPOSICIÓN FINAL

Artículo 22

Aplicabilidad

1.   La presente Decisión será aplicable en la fecha fijada por la Comisión de conformidad con el artículo 48, apartado 1, del Reglamento (CE) no 767/2008.

2.   La presente Decisión expirará en el momento en que la autoridad de gestión asuma sus responsabilidades.

(1)  DO L 218 de 13.8.2008, p. 60.

(2)  DO L 8 de 12.1.2001, p. 1.

(3)  DO L 194 de 23.7.2008, p. 3.