EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32007D0171
2007/171/EC: Commission Decision of 16 March 2007 laying down the network requirements for the Schengen Information System II (3rd pillar)
2007/171/CE: Decisão da Comissão, de 16 de Março de 2007 , que estabelece os requisitos de rede do Sistema de Informação de Schengen II (3. o pilar)
2007/171/CE: Decisão da Comissão, de 16 de Março de 2007 , que estabelece os requisitos de rede do Sistema de Informação de Schengen II (3. o pilar)
OJ L 79, 20.3.2007, p. 29–37
(BG, ES, CS, DA, DE, ET, EL, EN, FR, IT, LV, LT, HU, NL, PL, PT, RO, SK, SL, FI, SV)
OJ L 219M, 24.8.2007, p. 358–366
(MT)
Special edition in Croatian: Chapter 19 Volume 015 P. 39 - 47
In force
|
20.3.2007 |
PT |
Jornal Oficial da União Europeia |
L 79/29 |
DECISÃO DA COMISSÃO
de 16 de Março de 2007
que estabelece os requisitos de rede do Sistema de Informação de Schengen II (3.o pilar)
(2007/171/CE)
A COMISSÃO DAS COMUNIDADES EUROPEIAS,
Tendo em conta o Tratado da União Europeia,
Tendo em conta a Decisão 2001/886/JAI do Conselho, de 6 de Dezembro de 2001, relativa ao desenvolvimento da segunda geração do Sistema de Informação de Schengen (SIS II) (1), nomeadamente a alínea a) do artigo 4.o,
Considerando o seguinte:
|
(1) |
Para desenvolver o SIS II, é necessário estabelecer especificações técnicas em relação à rede de comunicações, aos seus componentes e aos requisitos específicos da rede. |
|
(2) |
A Comissão e os Estados-Membros devem estabelecer disposições adequadas, em particular no que respeita aos elementos da interface nacional uniforme situada nos Estados-Membros. |
|
(3) |
A presente decisão não prejudica a adopção futura de outras decisões da Comissão ligadas ao desenvolvimento do SIS II, designadamente relativas à definição dos requisitos de segurança. |
|
(4) |
O desenvolvimento do SIS II rege-se pelo Regulamento (CE) n.o 2424/2001 do Conselho (2) e pela Decisão 2001/886/JAI. Para assegurar que o desenvolvimento do SIS II no seu todo será objecto de um só processo de execução, as disposições da presente decisão devem corresponder às da Decisão da Comissão que estabelece os requisitos de rede do SIS II a adoptar em aplicação do Regulamento (CE) n.o 2424/2001. |
|
(5) |
O Reino Unido participa na presente decisão, nos termos do artigo 5.o do Protocolo que integra o acervo de Schengen no âmbito da União Europeia, anexo ao Tratado UE e ao Tratado CE, e do n.o 2 do artigo 8.o da Decisão 2000/365/CE do Conselho, de 29 de Maio de 2000, sobre o pedido do Reino Unido da Grã-Bretanha e da Irlanda do Norte para participar em algumas das disposições do acervo de Schengen (3). |
|
(6) |
A Irlanda participa na presente decisão, nos termos do artigo 5.o do Protocolo que integra o acervo de Schengen no âmbito da União Europeia, anexo ao Tratado UE e ao Tratado CE, e do n.o 1 do artigo 5.o e n.o 2 do artigo 6.o da Decisão 2002/192/CE do Conselho, de 28 de Fevereiro de 2002, sobre o pedido da Irlanda para participar em algumas das disposições do acervo de Schengen (4). |
|
(7) |
No que diz respeito à Islândia e à Noruega, a presente decisão constitui um desenvolvimento do acervo de Schengen na acepção do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação dos dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen, sendo abrangida pelo domínio referido no ponto G do artigo 1.o da Decisão 1999/437/CE do Conselho (5) relativa a determinadas regras de aplicação desse acordo. |
|
(8) |
No que diz respeito à Suíça, a presente decisão constitui um desenvolvimento do acervo de Schengen na acepção do Acordo assinado entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação da Confederação Suíça à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que é abrangido pelo domínio referido no ponto G do artigo 1.o da Decisão 1999/437/CE do Conselho, conjugado com o n.o 1 do artigo 4.o da Decisão 2004/849/CE do Conselho respeitante à assinatura, em nome da União Europeia, e à aplicação provisória de certas disposições desse acordo (6). |
|
(9) |
A presente decisão constitui um acto baseado no acervo de Schengen ou de algum modo com ele relacionado, na acepção do n.o 1 do artigo 3.o do Acto de Adesão. |
|
(10) |
As medidas previstas na presente decisão estão em conformidade com o parecer do Comité instituído pelo n.o 1 do artigo 5.o da Decisão 2001/886/JAI, |
DECIDE:
Artigo único
As especificações técnicas ligadas à concepção da arquitectura física da Infra-Estrutura de Comunicação do SIS II são as estabelecidas no anexo.
Feito em Bruxelas, em 16 de Março de 2007.
Pela Comissão
Franco FRATTINI
Vice-Presidente
(1) JO L 328 de 13.12.2001, p. 1.
(2) JO L 328 de 13.12.2001, p. 4. Regulamento alterado pelo Regulamento (CE) n.o 1988/2006 (JO L 411 de 30.12.2006, p. 1).
(3) JO L 131 de 1.6.2000, p. 43. Decisão alterada pela Decisão 2004/926/CE (JO L 395 de 31.12.2004, p. 70).
(4) JO L 64 de 7.3.2002, p. 20.
(5) JO L 176 de 10.7.1999, p. 31.
(6) JO L 368 de 15.12.2004, p. 26.
ANEXO
ÍNDICE
|
1. |
Introdução … |
|
1.1. |
Acrónimos e abreviaturas … |
|
2. |
Apresentação geral … |
|
3. |
Cobertura geográfica … |
|
4. |
Serviços da rede … |
|
4.1. |
Arquitectura da rede … |
|
4.2. |
Tipo de ligação entre a CS-SIS principal e a CS-SIS auxiliar … |
|
4.3. |
Largura de banda … |
|
4.4. |
Classes de serviço … |
|
4.5. |
Protocolos suportados … |
|
4.6. |
Especificações técnicas … |
|
4.6.1. |
Endereçamento IP … |
|
4.6.2. |
Suporte IPv6 … |
|
4.6.3. |
Injecção estática de rotas … |
|
4.6.4. |
Débito constante … |
|
4.6.5. |
Outras especificações … |
|
4.7. |
Robustez … |
|
5. |
Controlo … |
|
6. |
Serviços genéricos … |
|
7. |
Disponibilidade … |
|
8. |
Serviços de segurança … |
|
8.1. |
Cifragem da rede … |
|
8.2. |
Outras características de segurança … |
|
9. |
Serviço de assistência e estrutura de apoio … |
|
10. |
Interacção com outros sistemas … |
1. Introdução
O presente documento descreve a concepção da rede de comunicações, os seus componentes e os requisitos específicos da rede.
1.1. Acrónimos e abreviaturas
A presente secção descreve os acrónimos utilizados no documento.
|
Acrónimos e abreviaturas |
Descrição |
|
BLNI |
Interface nacional local auxiliar (Backup Local National Interface) |
|
CEP |
Ponto terminal central (Central End Point) |
|
CNI |
Interface nacional central (Central National Interface) |
|
CS |
Sistema central (Central System) |
|
CS-SIS |
Função de apoio técnico que abrange a base de dados SIS II |
|
DNS |
Servidor de nome de domínio (Domain Name Server) |
|
FCIP |
Canal de fibra sobre IP (Fibre Channel over IP) |
|
FTP |
Protocolo de Transferência de Ficheiros (File Transport Protocol) |
|
HTTP |
Protocolo de Transferência de Hipertexto (Hyper Text Transfer Protocol) |
|
IP |
Protocolo Internet (Internet Protocol) |
|
LAN |
Rede de área local (Local Area Network) |
|
LNI |
Interface nacional local (Local National Interface) |
|
Mbps |
Megabits por segundo |
|
MDC |
Principal contratante responsável pelo desenvolvimento (Main Developer Contractor) |
|
N.SIS II |
Secção nacional em cada Estado-Membro |
|
NI-SIS |
Interface nacional uniforme |
|
NTP |
Protocolo de Sincronização de Tempo (Network Time Protocol) |
|
SAN |
Rede de armazenamento (Storage Area Network) |
|
SDH |
Hierarquia digital síncrona (Synchronous Digital Hierarchy) |
|
SIS II |
Sistema de Informação de Schengen, segunda geração |
|
SMTP |
Protocolo de Transferência de Correio Simples (Simple Mail Transport Protocol) |
|
SNMP |
Protocolo de Gestão de Rede Simples (Simple Network Management Protocol) |
|
s-TESTA |
Serviços Seguros Transeuropeus de Telemática entre as Administrações (Secure Trans-European Services for Telematics between Administrations), uma medida do programa IDABC (prestação interoperável de serviços pan-europeus de administração em linha a administrações públicas, empresas e cidadãos. Decisão 2004/387/CE do Parlamento Europeu e do Conselho de 21.4.2004). |
|
TCP |
Protocolo de Controlo de Transmissão (Transmission Control Protocol) |
|
VIS |
Sistema de informação sobre vistos (Visa Information System) |
|
VPN |
Rede privada virtual (Virtual Private Network) |
|
WAN |
Rede de área alargada (Wide Area Network) |
2. Apresentação geral
O SIS II integra os seguintes elementos:
|
— |
O sistema central (a seguir denominado «SIS II Central») que comporta:
|
|
— |
Uma secção nacional (a seguir denominada «N.SIS II») em cada um dos Estados-Membros, que integra os sistemas de dados nacionais que comunicam com o SIS II Central. Um N.SIS II pode conter um ficheiro de dados (a seguir denominado «cópia nacional») que contém uma cópia total ou parcial da base de dados SIS II; |
|
— |
Uma Infra-Estrutura de Comunicação entre a CS-SIS e a NI-SIS (a seguir denominada «Infra-Estrutura de Comunicação») que disponibiliza uma rede virtual cifrada dedicada aos dados do SIS II e ao intercâmbio de dados entre os gabinetes SIRENE. |
A NI-SIS, que envolve:
|
— |
Uma Interface Nacional Local (a seguir denominada «LNI») em cada Estado-Membro, ou seja, uma interface que ligue fisicamente o Estado-Membro à rede de comunicação segura e disponha dos dispositivos de cifragem afectados ao tráfego SIS II e SIRENE. A LNI está situada no Estado-Membro; |
|
— |
Uma Interface Nacional Local Auxiliar facultativa (a seguir denominada «BLNI») que tem exactamente o mesmo conteúdo e função que a LNI. |
A LNI e a BLNI devem ser utilizadas exclusivamente pelo sistema SIS II e para o intercâmbio SIRENE. A configuração específica da LNI e da BLNI será especificada e aprovada em colaboração com cada Estado-Membro a fim de atender aos requisitos de segurança, à localização física e às condições de instalação, incluindo a prestação de serviços pelo fornecedor da rede, o que significa que a ligação física s-TESTA pode abranger vários túneis VPN para outros sistemas, como o VIS e o Eurodac.
|
— |
Uma Interface Nacional Central (a seguir denominada «CNI») que é uma aplicação que garante a segurança do acesso à CS-SIS. Cada Estado-Membro tem pontos de acesso lógicos distintos à CNI através de uma firewall central. |
A Infra-Estrutura de Comunicação entre a CS-SIS e a NI-SIS comporta:
|
— |
A rede dos Serviços Seguros Transeuropeus de Telemática entre as Administrações (a seguir denominada «s-TESTA»), que disponibiliza uma rede privada virtual cifrada dedicada aos dados SIS II e ao tráfego SIRENE. |
3. Cobertura geográfica
A Infra-Estrutura de Comunicação deve poder cobrir e prestar os serviços necessários a todos os Estados-Membros:
Todos os Estados-Membros da UE (Bélgica, França, Alemanha, Luxemburgo, Países Baixos, Itália, Portugal, Espanha, Grécia, Áustria, Dinamarca, Finlândia, Suécia, Chipre, República Checa, Estónia, Hungria, Letónia, Lituânia, Malta, Polónia, Eslováquia, Eslovénia, Reino Unido e Irlanda) e ainda a Noruega, a Islândia e a Suíça.
Além disso, é necessário assegurar a cobertura dos países aderentes (Roménia e Bulgária).
Por último, a Infra-Estrutura de Comunicação deve poder ser alargada a qualquer outro país ou entidade com acesso ao SIS II Central (como a Europol e a Eurojust).
4. Serviços da rede
Sempre que seja mencionado um protocolo ou uma arquitectura, pressupõe-se que são igualmente aceitáveis tecnologias, arquitecturas e protocolos futuros idênticos.
4.1. Arquitectura da rede
A arquitectura do SIS II envolve serviços centralizados, acessíveis a partir dos vários Estados-Membros. Para efeitos de robustez, estes serviços centralizados são duplicados em dois locais diferentes, ou seja, em Estrasburgo, França, e em St. Johann im Pongau, Áustria, que acolhem, respectivamente, a CS-SIS principal (CU) e a CS-SIS auxiliar (BCU).
As unidades centrais, principal e auxiliar, devem ser acessíveis a partir dos vários Estados-Membros. Os países participantes podem ter múltiplos pontos de acesso à rede, uma LNI e uma BLNI, para ligar os respectivos sistemas nacionais aos serviços centrais.
Para além da ligação principal aos serviços centrais, a Infra-Estrutura de Comunicação deve também possibilitar o intercâmbio bilateral de informações complementares entre os gabinetes SIRENE dos vários Estados-Membros.
4.2. Tipo de ligação entre a CS-SIS principal e a CS-SIS auxiliar
O tipo de ligação necessária para a interligação entre a CS-SIS principal e a CS-SIS auxiliar deve ser um anel SDH ou equivalente, o que significa que deve estar igualmente aberta a novas arquitecturas e a tecnologias futuras. A infra-estrutura SDH será utilizada para alargar as redes locais de ambas as unidades centrais a fim de criar uma única LAN homogénea. Esta LAN será então utilizada para a sincronização contínua entre a CU e a BCU.
4.3. Largura de banda
Um requisito essencial da Infra-Estrutura de Comunicação é a largura de banda que pode facultar aos vários sítios interligados e a sua capacidade de suportar esta largura de banda dentro da sua própria rede de base.
A largura de banda necessária para a LNI e a BLNI facultativa variará consoante os Estados-Membros, sobretudo em função do recurso ou não a cópias nacionais, à pesquisa central e ao intercâmbio de dados biométricos.
As larguras de banda reais que a Infra-Estrutura de Comunicação decidir proporcionar são irrelevantes desde que satisfaçam as necessidades mínimas de cada Estado-Membro.
Cada um dos tipos de sítio acima referidos pode transferir grandes blocos de dados (alfanuméricos e biométricos, assim como documentos inteiros) em qualquer sentido. Por conseguinte, a Infra-Estrutura de Comunicação deve suportar uma velocidade mínima garantida de carregamento e descarregamento suficiente para cada ligação.
A Infra-Estrutura de Comunicação deve proporcionar larguras de banda entre 2 Mbps e 155 Mbps ou superiores. A rede deve proporcionar velocidades garantidas mínimas suficientes de carregamento e descarregamento relativamente a cada ligação e deve ser dimensionada de forma a suportar a largura de banda total dos pontos de acesso da rede.
4.4. Classes de serviço
O SIS II Central permitirá tratar pesquisas/alertas por ordem de prioridade. Por conseguinte, a Infra-Estrutura de Comunicação permitirá igualmente estabelecer prioridades para o tráfego.
Pressupõe-se que os parâmetros das prioridades da rede sejam fixados pelo SIS II Central em relação a todos os pacotes que dela necessitem. Recorrer-se-á ao Weighted Fair Queuing, o que implica que a Infra-Estrutura de Comunicação deve poder assumir a ordem de prioridade atribuída aos pacotes de dados na LAN de origem e tratar em conformidade os pacotes na sua própria rede de base. Além disso, no sítio remoto, a Infra-Estrutura de Comunicação deve enviar os pacotes iniciais segundo a prioridade fixada na LAN de origem.
4.5. Protocolos suportados
O SIS II Central utilizará vários protocolos de comunicação em rede. A Infra-Estrutura de Comunicação deve suportar um vasto leque de protocolos de comunicação em rede. Os protocolos normalizados a suportar são os seguintes: HTTP, FTP, NTP, SMTP, SNMP e DNS.
Para além dos protocolos normalizados, a Infra-Estrutura de Comunicação deve poder igualmente suportar vários protocolos de encapsulamento, protocolos de replicação SAN e os protocolos de ligação protegidos «Java a Java» da BEA WebLogic. Os protocolos de encapsulamento, como o IPsec em modo túnel, serão utilizados para transferir o tráfego cifrado para o seu destino.
4.6. Especificações técnicas
4.6.1. Endereçamento IP
A Infra-Estrutura de Comunicação deve dispor de uma gama de endereços IP reservados que apenas possam ser utilizados nessa rede. Na gama IP reservada, o SIS II Central utilizará um grupo dedicado de endereços IP que não será utilizado em qualquer outro local.
4.6.2. Suporte IPv6
Pode pressupor-se que o protocolo utilizado nas redes locais dos Estados-Membros será o TCP/IP. No entanto, alguns sítios basear-se-ão na versão 4 e outros na versão 6. Os pontos de acesso da rede devem poder actuar como portas de ligação e poder funcionar independentemente dos protocolos de rede utilizados no SIS II Central e na N.SIS II.
4.6.3. Injecção estática de rotas
A CU e a BCU podem utilizar um só endereço IP para comunicar com os Estados-Membros. Por conseguinte, a Infra-Estrutura de Comunicação deve poder suportar a injecção estática de rotas.
4.6.4. Débito constante
Desde que a ligação CU ou BCU tenha uma taxa de utilização inferior a 90 %, um dado Estado-Membro deve poder manter continuamente 100 % da sua largura de banda especificada.
4.6.5. Outras especificações
Para suportar a CS-SIS, a Infra-Estrutura de Comunicação deve pelo menos obedecer a um conjunto mínimo de especificações técnicas:
O tempo de espera do tráfego deve ser (incluindo durante as horas de ponta) inferior ou igual a 150 ms para 95 % dos pacotes e inferior a 200 ms para a totalidade dos pacotes.
A sua probabilidade de perda de pacotes deve ser (incluindo durante as horas de ponta) inferior ou igual a 10-4 para 95 % dos pacotes e inferior a 10-3 para a totalidade dos pacotes.
As especificações acima referidas devem ser analisadas para cada um dos pontos de acesso.
A ligação entre a CU e a BCU deve ter um tempo de ida e volta inferior ou igual a 60 ms.
4.7. Robustez
A CS-SIS foi concebida por forma a satisfazer uma exigência de disponibilidade elevada. Por este motivo, o sistema integra mecanismos de robustez em relação a disfuncionamentos dos componentes, graças à duplicação de todo o equipamento.
Os componentes da Infra-Estrutura de Comunicação devem ser igualmente à prova de avarias de componentes. No que respeita à Infra-Estrutura de Comunicação, isso significa que os componentes que se seguem devem obedecer ao critério de robustez:
|
— |
Rede de base |
|
— |
Dispositivos de encaminhamento |
|
— |
Pontos de presença |
|
— |
Ligações de lacete local (incluindo a cablagem fisicamente redundante) |
|
— |
Dispositivos de segurança (dispositivos de cifragem, firewalls, etc.) |
|
— |
Todos os serviços genéricos (DNS, NTP, etc.) |
|
— |
LNI/BLNI. |
Os mecanismos de failover de todo o equipamento da rede devem funcionar sem qualquer intervenção manual.
5. Controlo
Para facilitar o controlo, as ferramentas de controlo da Infra-Estrutura de Comunicação devem poder ser integradas com as das instalações de controlo da organização responsável pela gestão operacional do SIS II Central.
6. Serviços genéricos
Para além dos serviços de rede e de segurança dedicados, a Infra-Estrutura de Comunicação deve igualmente proporcionar serviços genéricos.
Os serviços dedicados devem ser implementados em ambas as unidades centrais, para efeitos de redundância.
Na Infra-Estrutura de Comunicação devem existir os serviços genéricos facultativos que se seguem:
|
Serviço |
Informações adicionais |
|
DNS |
Actualmente, o procedimento de failover para comutar da CU para a BCU em caso de avaria da rede consiste na alteração do endereço IP no servidor DNS genérico. |
|
E-mail relay |
O recurso a um relé genérico de correio electrónico pode ser útil para normalizar a estrutura do correio electrónico para os vários Estados-Membros e, contrariamente a um servidor dedicado, não utiliza quaisquer recursos de rede da CU/BCU. As mensagens de correio electrónico que utilizam o relé genérico de correio electrónico devem continuar a satisfazer o respectivo modelo de segurança. |
|
NTP |
Este serviço pode ser utilizado para sincronizar os relógios do equipamento de rede. |
7. Disponibilidade
A CS-SIS, a LNI e a BLNI devem ter uma disponibilidade de 99,99 % durante um período móvel de 28 dias, excepto no que respeita à disponibilidade da rede.
A disponibilidade da Infra-Estrutura de Comunicação deve ser de 99,99 %.
8. Serviços de segurança
8.1. Cifragem da rede
O SIS II Central não permite a transferência sem cifragem para fora da LAN de dados sujeitos a requisitos de protecção elevados ou muito elevados. Importa assegurar que o fornecedor de rede não tenha acesso algum aos dados operacionais SIS II, nem ao intercâmbio SIRENE conexo.
Para manter um nível elevado de segurança, a Infra-Estrutura de Comunicação deve possibilitar a gestão de certificados/chaves. Deve ser exequível a administração e controlo remoto das caixas de cifragem. Os algoritmos de cifragem devem, no mínimo, obedecer aos seguintes requisitos:
|
— |
Algoritmos de cifragem simétrica:
|
|
— |
Algoritmos de cifragem assimétrica:
|
Deve ser utilizado o Protocolo de Encapsulamento de Segurança de Carga Útil (ESP, RFC2406) em modo túnel. A carga útil e o cabeçalho IP original devem ser cifrados.
Para o intercâmbio de chaves de sessão, deve ser utilizado o protocolo de intercâmbio de chaves da Internet (IKE).
As chaves IKE não devem ser válidas por períodos superiores a 1 dia.
As chaves de sessão não devem ser válidas durante mais do que 1 hora.
8.2. Outras características de segurança
Para além de proteger os pontos de acesso SIS II, a Infra-Estrutura de Comunicação deve proteger igualmente os serviços genéricos facultativos. Estes serviços devem satisfazer medidas de protecção análogas às da CS-SIS. Todos os serviços genéricos devem portanto, no mínimo, estar protegidos por uma firewall, um antivírus e um sistema de detecção de intrusões. Além disso, os dispositivos de serviços genéricos e as respectivas medidas de protecção devem ser objecto de um controlo de segurança permanente (entrada e acompanhamento).
Para manter um elevado nível de segurança, a organização responsável pela gestão operacional do SIS II Central deve estar ao corrente de quaisquer incidentes de segurança que ocorram na Infra-Estrutura de Comunicação. Por conseguinte, a Infra-Estrutura de Comunicação deve possibilitar a notificação imediata de incidentes de segurança à organização responsável pela gestão operacional do SIS II Central. Todos os incidentes de segurança devem ser comunicados regularmente (por exemplo, em relatórios mensais ou numa base ad hoc).
9. Serviço de assistência e estrutura de apoio
O fornecedor da Infra-Estrutura de Comunicação deve providenciar um serviço de assistência que coopere com a organização responsável pela gestão operacional do SIS II Central.
10. Interacção com outros sistemas
A Infra-Estrutura de Comunicação deve assegurar que não haja fugas de informação dos canais de comunicação atribuídos. No que respeita à implementação técnica, isso implica que:
|
— |
É estritamente proibido qualquer acesso não autorizado e/ou não controlado a outras redes, o que abrange a interligação à internet. |
|
— |
Não pode haver nenhuma fuga de dados para outros sistemas da rede; não é, por exemplo, permitida a interligação de VPN IP diferentes. |
Para além das restrições técnicas acima referidas, tem igualmente repercussões no serviço de assistência da Infra-Estrutura de Comunicação. O serviço de assistência não pode divulgar quaisquer informações relativas ao SIS II Central a nenhuma parte que não a responsável pela gestão operacional do SIS II Central.