Decisione della Commissione del 4 maggio 2010 relativa al piano di sicurezza per il funzionamento del sistema di informazione visti (2010/260/UE)

1. La Commissione attua le misure di sicurezza per il VIS centrale e l’infrastruttura di comunicazione di cui alla presente decisione, e ne controlla l’efficacia.

2. La Commissione designa tra i suoi funzionari un responsabile della sicurezza del sistema. Il responsabile della sicurezza del sistema è nominato dal direttore generale della direzione generale «Giustizia, libertà e sicurezza» della Commissione, ed esegue in particolare i seguenti compiti:

1. a) elabora, aggiorna e rivede la politica di sicurezza di cui all’articolo 7 della presente decisione;

2. b) controlla l’efficacia dell’attuazione delle procedure di sicurezza per il VIS centrale e l’infrastruttura di comunicazione;

3. c) contribuisce all’elaborazione delle relazioni in materia di sicurezza previste dall’articolo 50, paragrafi 3 e 4, del regolamento (CE) n. 767/2008;

4. d) svolge compiti di coordinamento e presta assistenza nell’ambito dei controlli effettuati dal garante europeo della protezione dei dati ai sensi dell’articolo 42 del regolamento (CE) n. 767/2008;

5. e) controlla che tutti gli appaltatori e subappaltatori comunque associati alla gestione e al funzionamento del VIS applichino correttamente e integralmente la presente decisione e la politica di sicurezza;

6. f) f) tiene un elenco dei punti di contatto nazionali unici per la sicurezza del VIS e lo trasmette ai responsabili locali della sicurezza del VIS centrale e dell’infrastruttura di comunicazione.

1. Fatto salvo l’articolo 8, la Commissione designa tra i suoi funzionari un responsabile locale della sicurezza del VIS centrale. Vanno evitati i conflitti d’interesse tra l’incarico di responsabile locale della sicurezza e altro incarico ufficiale. Nomina il responsabile locale della sicurezza del VIS centrale il direttore generale della direzione generale «Giustizia, libertà e sicurezza» della Commissione.

2. Il responsabile locale della sicurezza del VIS centrale garantisce l’attuazione delle misure di sicurezza di cui alla presente decisione e l’osservanza delle procedure di sicurezza nel VIS centrale principale. Per quanto riguarda il VIS centrale di riserva, il responsabile locale della sicurezza del VIS centrale garantisce l’attuazione delle misure di sicurezza di cui alla presente decisione, escluse quelle previste dall’articolo 10, e l’osservanza delle procedure di sicurezza connesse.

3. Il responsabile locale della sicurezza del VIS centrale può delegare a personale subalterno i compiti assegnatigli. Vanno evitati i conflitti d’interesse tra l’incarico di eseguire tali compiti e altro incarico ufficiale. Un numero telefonico unico e un indirizzo unico permettono di raggiungere in qualsiasi momento il responsabile locale della sicurezza o il suo subalterno.

4. Nei limiti di cui al paragrafo 1, il responsabile locale della sicurezza del VIS centrale esegue i compiti derivanti dalle misure di sicurezza da prendere locali in cui sono ubicati il VIS centrale principale e il VIS centrale di riserva, e in particolare:

1. a) svolge compiti di sicurezza operativa locale comprendenti il controllo dei firewall, test periodici di sicurezza, controlli e rapporti;

2. b) controlla l’efficacia del piano di continuità operativa e garantisce lo svolgimento di esercitazioni periodiche;

3. c) raccoglie prove sugli incidenti che possono avere ripercussioni sulla sicurezza del VIS centrale o dell’infrastruttura di comunicazione, e ne riferisce al responsabile della sicurezza del sistema;

4. d) informa il responsabile della sicurezza del sistema quando occorre modificare la politica di sicurezza;

5. e) controlla che tutti gli appaltatori e subappaltatori comunque associati alla gestione e al funzionamento del VIS applichino la presente decisione e la politica di sicurezza;

6. f) garantisce che i membri del personale siano a conoscenza dei loro obblighi e controlla l’applicazione della politica di sicurezza;

7. g) controlla gli sviluppi in materia di sicurezza informatica e provvede affinché i membri del personale ricevano una formazione adeguata;

8. h) prepara le informazioni di base e le opzioni necessarie per elaborare, aggiornare e rivedere la politica di sicurezza in conformità dell’articolo 7.

1. Fatto salvo l’articolo 8, la Commissione designa tra i suoi funzionari un responsabile locale della sicurezza dell’infrastruttura di comunicazione. Vanno evitati i conflitti d’interesse tra l’incarico di responsabile locale della sicurezza e altro incarico ufficiale. Nomina il responsabile locale della sicurezza dell’infrastruttura di comunicazione il direttore generale della direzione generale «Giustizia, libertà e sicurezza» della Commissione.

2. Il responsabile locale della sicurezza dell’infrastruttura di comunicazione controlla il funzionamento dell’infrastruttura di comunicazione e garantisce l’attuazione delle misure di sicurezza e l’osservanza delle procedure di sicurezza.

3. Il responsabile locale della sicurezza dell’infrastruttura di comunicazione può delegare a personale subalterno i compiti assegnatigli. Vanno evitati i conflitti d’interesse tra l’incarico di eseguire tali compiti e altro incarico ufficiale. Un numero telefonico unico e un indirizzo unico permettono di raggiungere in qualsiasi momento il responsabile locale della sicurezza o il suo subalterno.

4. Il responsabile locale della sicurezza dell’infrastruttura di comunicazione esegue i compiti derivanti dalle misure di sicurezza relative all’infrastruttura di comunicazione, e in particolare:

1. a) svolge tutti i compiti di sicurezza operativa connessi all’infrastruttura di comunicazione comprendenti il controllo dei firewall, test periodici di sicurezza, controlli e rapporti;

2. b) controlla l’efficacia del piano di continuità operativa e garantisce lo svolgimento di esercitazioni periodiche;

3. c) raccoglie prove sugli incidenti che possono avere ripercussioni sulla sicurezza dell’infrastruttura di comunicazione o del VIS centrale o sui sistemi nazionali, e ne riferisce al responsabile della sicurezza del sistema;

4. d) informa il responsabile della sicurezza del sistema quando occorre modificare la politica di sicurezza;

5. e) controlla che tutti gli appaltatori e subappaltatori comunque associati alla gestione dell’infrastruttura di comunicazione applichino la presente decisione e la politica di sicurezza;

6. f) garantisce che i membri del personale siano a conoscenza dei loro obblighi e controlla l’applicazione della politica di sicurezza;

7. g) controlla gli sviluppi in materia di sicurezza informatica e provvede affinché i membri del personale ricevano una formazione adeguata;

8. h) prepara le informazioni di base e le opzioni necessarie per elaborare, aggiornare e rivedere la politica di sicurezza in conformità dell’articolo 7.

1. È considerato incidente di sicurezza qualunque evento che ha o può avere ripercussioni sulla sicurezza del funzionamento del VIS e può causare danni o perdite al VIS, in particolare quando possono essere stati consultati dati senza autorizzazione o quando sono state o possono essere state compromesse la disponibilità, l’integrità e la riservatezza dei di dati.

2. La politica di sicurezza stabilisce procedure di ripristino in caso di incidente. Gli incidenti di sicurezza sono gestiti in modo da garantire una risposta rapida, efficace e corretta conformemente alla politica di sicurezza.

3. Le informazioni relative a un incidente di sicurezza che ha o può avere ripercussioni sul funzionamento del VIS in uno Stato membro o sulla disponibilità, sull’integrità e sulla riservatezza dei dati VIS inseriti da uno Stato membro sono trasmesse allo Stato membro interessato. Gli incidenti di sicurezza sono notificati al responsabile della protezione dei dati della Commissione.

1. Tutti i membri del personale e gli appaltatori associati allo sviluppo, alla gestione o al funzionamento del VIS sono tenuti a prendere nota di qualunque carenza di sicurezza, rilevata o presunta, nel funzionamento del VIS e a riferirne al responsabile della sicurezza del sistema o al responsabile locale della sicurezza del VIS centrale ovvero al responsabile locale della sicurezza dell’infrastruttura di comunicazione, a seconda dei casi.

2. Qualora sia individuato un incidente che ha o può avere ripercussioni sulla sicurezza del funzionamento del VIS, il responsabile locale della sicurezza del VIS centrale o il responsabile locale della sicurezza dell’infrastruttura di comunicazione ne informa il più rapidamente possibile il responsabile della sicurezza del sistema e, se del caso, il punto di contatto nazionale unico per la sicurezza del VIS eventualmente esistente nello Stato membro in questione, per iscritto o, in caso di estrema urgenza, con altro mezzo di comunicazione. Nel rapporto è descritto l’incidente di sicurezza e sono indicati il livello di rischio, le possibili conseguenze e le misure prese o da prendere per attenuare il rischio.

3. Il responsabile locale della sicurezza del VIS centrale o, a seconda dei casi, il responsabile locale della sicurezza dell’infrastruttura di comunicazione raccolgono immediatamente tutte le prove relative all’incidente di sicurezza. Nei limiti delle disposizioni applicabili in materia di protezione dei dati, tali prove sono messe a disposizione del responsabile della sicurezza del sistema, su sua istanza.

4. Sono messe in atto procedure di feedback per assicurare che, una volta affrontato e risolto l’incidente di sicurezza, ne siano notificati i risultati.

1. Il direttore generale della direzione generale «Giustizia, libertà e sicurezza» elabora, aggiorna e rivede periodicamente una politica di sicurezza vincolante in conformità della presente decisione. La politica di sicurezza precisa le procedure e le misure di protezione dalle minacce dirette alla disponibilità, all’integrità e alla riservatezza del VIS, compreso un piano di emergenza, al fine di garantire il livello di sicurezza adeguato previsto dalla presente decisione. La politica di sicurezza è conforme alla presente decisione.

2. La politica di sicurezza si basa su una valutazione dei rischi. Le misure descritte dalla politica di sicurezza sono proporzionate ai rischi individuati.

3. La valutazione dei rischi e la politica di sicurezza sono aggiornate se innovazioni tecnologiche, l’individuazione di nuove minacce o altre circostanze lo rendono necessario. In ogni caso la politica di sicurezza è rivista annualmente per garantirne la continua rispondenza all’ultima valutazione dei rischi o ad altre eventuali innovazioni tecnologiche, minacce o circostanze pertinenti.

4. La politica di sicurezza è elaborata dal responsabile della sicurezza del sistema in collaborazione con il responsabile locale della sicurezza del VIS e il responsabile locale della sicurezza dell’infrastruttura di comunicazione.

1. È possibile affidare a enti pubblici o privati l’esecuzione dei compiti e l’attuazione dei requisiti previsti dalla presente decisione e dalla politica di sicurezza, compreso il compito di designare il responsabile locale della sicurezza.

2. In tal caso la Commissione provvede con un accordo giuridicamente vincolante affinché sia garantito il pieno rispetto dei requisiti previsti dalla presente decisione e dalla politica di sicurezza. Qualora sia delegata o data in appalto la designazione del responsabile locale della sicurezza, la Commissione si assicura con un accordo giuridicamente vincolante di essere consultata sulla persona da designare per tale incarico.

1. Al fine di proteggere le zone che ospitano strutture di elaborazione dati sono usati perimetri di sicurezza muniti di adeguate barriere e di controlli alle entrate.

2. All’interno dei perimetri di sicurezza sono create zone sicure per proteggere i componenti fisici (attivi), compresi hardware, supporti di dati e console, piani e altri documenti sul VIS, gli uffici e le altre postazioni di lavoro del personale associato al funzionamento del VIS. Le zone sicure sono protette da adeguati controlli alle entrate per garantire l’accesso esclusivamente al personale autorizzato. Nelle zone sicure, il lavoro è soggetto alle dettagliate norme di sicurezza previste dalla politica di sicurezza.

3. Sono predisposti e installati dispositivi per garantire la sicurezza fisica degli uffici, dei locali e delle installazioni. Per evitare l’accesso non autorizzato, sono controllati e se possibile isolati dalle installazioni informatiche i punti d’accesso come le zone di consegna e di carico e altri punti da cui potrebbero entrare nei locali persone non autorizzate.

4. È messa a punto una protezione fisica del perimetro di sicurezza contro i danni da calamità naturali o provocate dall’uomo, da applicarsi in proporzione al rischio.

5. Le apparecchiature sono protette dalle minacce fisiche e ambientali e dal rischio di accesso non autorizzato.

6. Se dispone dell’informazione, la Commissione aggiunge all’elenco di cui all’articolo 2, paragrafo 2, lettera f), un punto di contatto unico per il controllo dell’attuazione delle disposizioni del presente articolo nei locali in cui è ubicato il VIS centrale di riserva.

1. I supporti rimovibili contenenti i dati sono protetti dall’accesso non autorizzato, dall’uso improprio o dalla corruzione, e la loro leggibilità è assicurata per tutto il ciclo di vita dei dati.

2. Quando non sono più utili i supporti vengono gettati in modo sicuro secondo le dettagliate procedure di sicurezza previste dalla politica di sicurezza.

3. Sono creati inventari per garantire la disponibilità di informazioni sui luoghi di conservazione, sul periodo di conservazione applicabile e sulle autorizzazioni di accesso.

4. Tutti gli attivi importanti del VIS centrale e dell’infrastruttura di comunicazione sono identificati in modo da poterli proteggere a seconda della loro rilevanza. È tenuto un inventario aggiornato delle apparecchiature TI pertinenti.

5. È messa a disposizione una documentazione aggiornata sul VIS centrale e sull’infrastruttura di comunicazione. Tale documentazione deve essere protetta dall’accesso non autorizzato.

1. Sono prese misure adeguate per garantire la corretta conservazione dei dati e la loro protezione dall’accesso non autorizzato.

2. Tutte le apparecchiature contenenti supporti di conservazione sono controllate prima di essere gettate per garantire che i dati sensibili siano stati rimossi o integralmente sovrascritti, oppure sono distrutte in modo sicuro.