# Schengener Informationssystem

Das Schengener Informationssystem (SIS) ist ein Informationssystem für die Sicherheitsbehörden der Schengen-Länder. Es dient der automatisierten Personen- und Sachfahndung in der Europäischen Union (EU). Es besteht aus nichtöffentlichen Datenbanken, in der unter anderem im Schengen-Raum unerwünschte, vermisste und zur Fahndung ausgeschriebene Personen gespeichert werden. Darüber hinaus werden zu überwachende Kraftfahrzeuge, Banknoten, gestohlene Ausweisdokumente und Schusswaffen erfasst. Zugriffsberechtigt auf die mehr als 89,999 Millionen Datensätze (Stand: 31. Dezember 2021) sind Sicherheitsbehörden, Einwanderungsbehörden und andere Behörden mit Aufgaben im Bereich der öffentlichen Sicherheit und Ordnung in Schengen-Ländern sowie die drei europäischen Behörden Europol, Eurojust und Frontex. Rechtsgrundlage sind das Schengener Übereinkommen und die zugehörigen Durchführungsvereinbarungen sowie Verordnungen der Europäischen Union.
Die berechtigten Stellen können im SIS Informationen über Personen oder Gegenstände anfragen oder registrieren.

## Struktur

Formaler Träger des Schengener Informationssystems ist seit 2012 die Europäische Agentur für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (EU-LISA) mit Sitz in Tallinn, Estland.
Technisch besteht das System aus je einem nationalen System N.SIS (National Schengen Information System) in jedem Mitgliedsstaat und einer Zentralstelle namens C.SIS (Central Schengen Information System), die im französischen Straßburg angesiedelt ist. In jedem Mitgliedsstaat wurde unter dem Namen SIRENE ein Knoten eingerichtet, über den die einzelnen Polizeibehörden auf die Zentrale zugreifen können. Es gibt keinen Zugriff einer Polizei auf Daten, die eine andere Polizei in ihrem nationalen System vorhält. Ein erweitertes Informationssystem (SIS II) mit der Möglichkeit, auch biometrische Daten verarbeiten zu können, ging am 9. April 2013 in Betrieb. Aufgrund der Verzögerungen in der Entwicklung von SIS II war zwischenzeitlich das bestehende System angepasst worden (SISone4all).

## Geschichtliche Entwicklung und beteiligte Staaten

Bereits der Vertrag von Rom vom 25. März 1957 und der Benelux-Vertrag vom 3. Februar 1958 sah Freizügigkeit für Personen, Waren und Dienstleistungen vor. Dabei haben die Benelux-Staaten die Grenzkontrollen früher abgeschafft als die übrigen Staaten der Europäischen Gemeinschaft. Der Wegfall der Personenkontrollen zwischen Frankreich und Deutschland begann am 13. Juli 1984 mit dem Abkommen von Saarbrücken.
Nach diesem Vorbild unterzeichneten knapp ein Jahr später die 5 Länder Deutschland, Frankreich sowie die Benelux-Staaten Belgien, die Niederlande und Luxemburg das Schengener Übereinkommen von 1985, das die Abschaffung der Personenkontrollen an den gemeinsamen Grenzen dieser Staaten einleiten sollte.
Erst am 19. Juni 1990 wurde von den genannten Ländern das Schengener Durchführungsübereinkommen (SDÜ) unterzeichnet. Dieses regelt die konkrete Umsetzung der genannten Übereinkunft. Länder, die diesem Übereinkommen beitreten möchten, müssen zuerst die technischen und rechtlichen Voraussetzungen schaffen und zum Beispiel die Anbindung an das SIS sowie die Einrichtung einer entsprechenden Datenschutzbehörde sicherstellen. Die praktische Umsetzung der einzelnen Bestimmungen folgte erst nach deren Inkraftsetzung am 26. März 1995. Das SIS wurde am selben Tag in Betrieb genommen.
Für 24 weitere Länder sind die Schengen-Regelungen entweder über erfolgte Beitritte zu den Abkommen oder – seit 1. Mai 1999 – über den Schengen-Besitzstand der Europäischen Union bindend geworden (in Klammern: Datum des Wegfalls der Grenzkontrollen): Spanien, Portugal, Italien, Griechenland, Österreich (1997), die Nordländer Finnland, Schweden, Island, Norwegen sowie Dänemark (2000), Estland, Tschechische Republik, Ungarn, Lettland, Litauen, Malta, Polen, die Slowakei, Slowenien (2007), die Schweiz (2008/2009), Liechtenstein (2011), Kroatien (2023), Bulgarien und Rumänien (2024). Die Republik Zypern wartet noch auf die Aufnahme in den Schengen-Raum. Neue Mitgliedstaaten müssen den Schengen-Besitzstand und seine Weiterentwicklung übernehmen.
Auf die SIS-Infrastruktur setzt das seit 2011 operative Visa-Informationssystem (VIS) auf, in dem Informationen über Kurzzeitvisa zwischen den Mitgliedsstaaten zunächst für Visumanträge aus Nordafrika ausgetauscht werden. Eine weiter gehende Zusammenarbeit der Staaten findet über den Prümer Vertrag von 2005 statt, bei dem teilnehmende Behörden unter der nicht ganz korrekten Bezeichnung Schengen III direkt auf Datenbestände anderer Staaten zugreifen können. Er wurde zunächst außerhalb der EU-Verträge geschlossen und ab 2007 in den Rechtsrahmen der EU überführt. Wegen rechtlichen Bedenken kann er aber bislang nur zwischen den Unterzeichnerstaaten im vollen Umfang angewendet werden.
Zurzeit (Stand: April 2024) wird das SIS von 29 Schengen-Ländern, Zypern und Irland sowie Europol und Eurojust benutzt. Von diesen Ländern sind Island, Norwegen, die Schweiz und Liechtenstein nicht Mitglieder der Europäischen Union.
Irland kann gemäß dem Vertrag von Amsterdam optional an der Schengen-Zusammenarbeit teilnehmen und dabei die Teilbereiche auswählen, die es tatsächlich anwenden will. Der Staat nutzt das SIS zum Zweck der Strafverfolgung, allerdings hat er keinen Zugriff auf Daten nach dem Artikel 96 SDÜ (Fahndungen nach Drittausländern, die zur Einreiseverweigerung bzw. Ausweisung/Abschiebung bei Antreffen im Schengen-Raum ausgeschrieben sind).

## Rechtliche Aspekte

Seit dem 25. März 2001 setzen fünfzehn Staaten das SDÜ um und haben damit die Routinekontrollen der Polizei an ihren Binnengrenzen abgeschafft. Die Hauptmaßnahme und das Rückgrat des SDÜ ist ein Informationssystem zur Unterstützung der polizeilichen Fahndung nach Personen und Sachen, für das die relevanten Behörden aller Unterzeichnerstaaten Informationen liefern und zu dem sie gemeinsam Zugang haben: das Schengener Informationssystem (SIS). Dieses System unterscheidet sich hinsichtlich polizeilicher Zusammenarbeit sowohl auf rechtlicher als auch technischer Ebene von den bisherigen Verfahrensweisen:
* zunächst durch die rechtlichen Anerkennung der Personenbeschreibungen des SIS, insbesondere auch derjenigen Beschreibungen, welche von den Partnerländern in das System eingegeben wurden. Dies beinhaltet auch die Verpflichtung der Polizei jedes Staates, die in der Personenbeschreibung möglicherweise von anderen Staaten vorgeschriebenen polizeilichen Maßnahmen anzuwenden, unter Beachtung der individuellen Freiheiten und des Datenschutzes der namentlichen Daten.
* Technik auch durch die Schaffung ex nihilo eines Informatiksystems, das ständig an sehr unterschiedliche nationale Datenbanken angeschlossen wurde, die die Aktualisierung in Echtzeit der nationalen Grundlagen gewährleisten muss.
Die Freigabe persönlicher Angaben bei gleichzeitigen Delegation der Macht über die Anwendung der zu treffenden Maßnahmen konnte nur bei gegenseitigem, auf der Transparenz des Verfahrens beruhenden Vertrauen erfolgen. Um dies zu gewährleisten, haben sich diese Staaten durch Unterzeichnung des Übereinkommens verpflichtet, sich von der Genauigkeit, von der Aktualität und von Legalität der integrierten Daten zu vergewissern und diese Angaben nur zu den Zwecken zu benutzen, die durch die sachdienlichen Artikel des Übereinkommens nur genannt wurden. Diese Verpflichtungen werden durch Konsultationsverfahren zwischen den Staaten vervollständigt, insbesondere wenn aus Gründen des innerstaatlichen Rechts oder der Gelegenheit eine zu ergreifende Maßnahme auf einem Staatsgebiet nicht ausgeführt werden kann. Diese Konsultation erlaubt den nationalen Instanzen, die Gründe des Rechts oder der Tatsache einer hervorgebrachten Personeneinschreibung anzuführen und umgekehrt einen Übertragungsstaat über eine Personeneinschreibung der Gründe zu informieren, aus denen die zu haltende Maßnahme nicht angewendet werden kann. Dieses Verfahren findet insbesondere für Ausländereinschreibungen Anwendung, die durch ein Land als unerwünscht eingestuft werden, aber Inhaber einer Aufenthaltserlaubnis sind, die durch ein anderes Land ausgestellt wurde, internationale Haftbefehle oder noch für Angelegenheiten ausgestellt wurde, die die Staatssicherheit in Frage stellen.
Da es sich um ein Informatiksystem mit persönlichen Daten handelt, wird die Sorge um Schutz des privaten Lebens, die in den Gründerländern besteht, in diesem Bereich natürlich im Text des Übereinkommens umgesetzt. Das Übereinkommen fordert, dass die Existenz eines Gesetzes über den Schutz der Daten ein vorheriges an der Umsetzung des Übereinkommens in den Ländern sei. Somit wird jede nationale Regierung (für Frankreich die Nationale Kommission der Informatik und der Freiheit oder „CNIL“), mit der Kontrolle ihres nationalen Teiles von SIS beauftragt. Da das zentrale System, von Natur aus international, nicht ohne Kontrolle bleiben konnte. Das Übereinkommen hat also eine von den Staaten unabhängige gemeinsame Kontrollinstanz gegründet, die sich aus Vertretern der nationalen Instanzen zusammensetzt. Sie wird beauftragt, auf die strikte Anwendung der Bestimmungen zum Schutz der persönlichen Daten zu achten.

## Polizeiliche Zusammenarbeit und Rechtshilfe

Neben dem SIS und den SIRENE-Büros, deren Intervention dort direkt verbunden ist, hat das Abkommen von Schengen eine polizeiliche Zusammenarbeit und eine Rechtshilfe eingeführt, die nützlicherweise diese operationelle Zusammenarbeit vervollständigen. Die polizeiliche Zusammenarbeit umfasst insbesondere:
* die Unterstützung zu Zwecken von Prävention und von Fahndung strafbarer Tatsachen (Artikel 39);
* das Recht grenzüberschreitender Beobachtung, das die Fortsetzung einer Überwachung oder einer Observation in einem anderen Schengen-Land erlaubt (Artikel 40);
* das Recht grenzüberschreitender Verfolgung, das vermeidet, dass eine verdächtige Person mit dem Übertritt einer (nicht mehr kontrollierten) Landesgrenze entkommen kann (Artikel 41);
* schließlich die Mitteilung für die Verfolgung oder die Verhütung von Straftaten oder von Bedrohungen für die öffentliche Ordnung und Sicherheit wichtiger Informationen (Artikel 46).
Die Rechtshilfe sieht insbesondere die Möglichkeit vor, einige amtliche Schriftstücke den Personen direkt per Postweg zu übermitteln, die sich auf dem Territorium anderer Staaten befinden sowie die Anträge von Rechtshilfe zwischen gerichtlichen Behörden direkt zu übermitteln und schließlich die Ausführung von Vollstrecker-Urteilen grenzüberschreitend durchzusetzen. Außerdem gleicht das Übereinkommen die Einschreibung eines Haftbefehls an SIS auf einen provisorischen Verhaftungsantrag zur Auslieferung ab, was bewirkt, dass auch kürzlich begangene Straftaten geahndet werden können.

## Technische Infrastruktur

Im technischen Bereich fiel die Wahl der Unterzeichnerländer auf eine sternförmige Informatikarchitektur. Diese besteht aus einem zentralen Standort mit der Referenz-Datenbank inklusive einer einheitlichen nationalen Schnittstelle (N.COM). Diese Kombination trägt den Namen C.SIS. Sie untersteht gemäß dem SDÜ der Verantwortung der französischen Republik mit Standort in Straßburg. Ein Backup-System in St. Johann im Pongau, Österreich, hält eine Kopie der Datenbank vor. Pro Teilnehmerland wurde ein nationaler Standort errichtet (N.SIS). Das jeweilige N.SIS besteht aus den nationalen Datensystemen, welche mit dem C.SIS kommunizieren. Diese verschiedenen Datenbanken müssen ständig identisch sein. Die Gesamtheit aus C.SIS/N.SIS bildet das SIS.$^{:19}$
Die nationalen Knoten unterscheiden sich teilweise in der verwendeten Prozessor-Architektur und dem eingesetzten Betriebssystem. So setzt der deutsche SIS-Adapter auf einem „PA-RISC-System unter HP-UX“ auf, „das nicht mehr weiterentwickelt wird. Das Gros der EU-Staaten setzt auf Red Hat Linux.“

### Daten des SIS (Version I)

Das SIS wird in die jeweiligen nationalen Gesetze der teilnehmenden Länder übernommen. Die Datenbankeinträge enthalten die folgenden Informationen:
Es wurde vereinbart, die unter die folgenden Kriterien fallenden Personen mit ihrer Personenbeschreibung im SIS zu speichern:
* gesucht zwecks Festnahme und anschließender Ausweisung (Artikel 95 SDÜ)
* Staatsangehörige eines Nicht-Schengen-Staates, welchen der Zutritt verweigert werden soll (Artikel 96 SDÜ)
* Minderjährige, oder in Gefahr Verschwundene oder geistig gestörte Patienten mit dem Ziel, deren Schutz zu gewährleisten (Artikel 97 SDÜ)
* gesucht als Angeklagter oder Zeuge in einem Gerichtsfahren bzw. das Erscheinen zur Urteilsbekanntgabe ist notwendig (Artikel 98 SDÜ)
* die überwacht oder kontrolliert werden müssen, weil es mutmaßliche Gründe gibt, dass diese Personen zukünftige Straftaten begehen könnten (Artikel 99 SDÜ).
Zur Personenbeschreibung werden konkret folgende Angaben gespeichert:
* Name und Vorname, wobei mögliche Aliasnamen getrennt eingetragen werden
* mögliche objektive und ständige physische Besonderheiten
* erster Buchstabe des zweiten Vornamens
* Geburtsdatum und Geburtsort
* Geschlecht
* Nationalität
* ob die betreffende Person bewaffnet ist
* ob die betreffende Person gewalttätig ist
* Grund des Eintrags
* zu ergreifende Maßnahme
Ebenso gespeichert werden Gegenstände (Artikel 100 SDÜ), im Einzelnen die verlorenen, gestohlenen oder bei Straftaten eingesetzten
* Waffen
* ausgestellten Personaldokumente
* jungfräulichen Personaldokumente
* Kraftfahrzeuge
* Banknoten.
Durch das Zurverfügungstellen dieser Angaben versetzt jeder Mitgliedsstaat seine Partner in die Lage, auf eigene Rechnung und auf Grund seiner eigenen Auskünfte, den Sicherheitsteil zu versichern, den er ihnen delegiert.
Angesichts der Tatsache, dass ein System nur durch seine Nutzung einen Wert gewinnt, hat Frankreich sich für die Speicherung seiner Daten in SIS für ein anhand großer nationaler Dateien weitestgehend automatisiertes Datenspeichersystem entschieden. Diese Automatisierung erlaubt eine Reduzierung menschlicher Eingriffe, die ein Risiko für Zeitverlust und Fehler bilden.
Die Länder sind verpflichtet, die in SIS vorgegebenen Maßnahmen anzuwenden, auch wenn die Maßnahmen von einem anderen Teilnehmerstaat erfasst wurden. Die Zusammenarbeit zwischen den Ländern geschieht über sogenannte nationale SIRENE-Büros (engl. Supplementary Information Request at the National Entry, franz. Supplément d’Information Requis pour l’Entrée NationalE).
In der erweiterten Version des SIS-Systems (SIS II) werden weitere Angaben erfasst werden können.

### Anzahl der Datensätze des SIS

Bei der Erstinbetriebnahme enthielt das SIS 2.926.345 Datensätze. Davon wurden über zwei Millionen (2.092.463) Datensätze von Deutschland eingegeben. Frankreich kam auf 766.534 Einträge, während die Niederlande aufgrund ihrer Größe nur 23.380 Einträge beisteuerte. Die restlichen 43.968 Datensätzen wurden von anderen SIS-Staaten eingegeben.$^{:102–103}$
* Datensätze werden zur Suche nach Fahndungsobjekten angelegt und werden als „alert“ bezeichnet.
* Jeder Sucherfolg/-treffer wird als „hit“ bezeichnet.$^{:68}$
Zum 1. Januar 2013 waren insgesamt 46.518.578 Datensätze („valid records (not expired)“) gespeichert. Davon machten verlorene oder gestohlene Dokumente („IDs“) mit 38.901.431 Einträgen und gestohlene Fahrzeuge („VEs“) mit 5.071.806 Einträgen rund 94,52 % der gespeicherten Datensätze aus.
| Datum | Anzahl der SIS-Staaten + GB und IRL ohne Europol und Eurojust | Datensätze (gesamt) in Mio. | Datensätze nach Kategorien (neueingegebene „alerts“) $^{:66–68}$ | Datensätze nach Kategorien (neueingegebene „alerts“) $^{:66–68}$ | Datensätze nach Kategorien (neueingegebene „alerts“) $^{:66–68}$ | Datensätze nach Kategorien (neueingegebene „alerts“) $^{:66–68}$ | Datensätze nach Kategorien (neueingegebene „alerts“) $^{:66–68}$ | Datensätze nach Kategorien (neueingegebene „alerts“) $^{:66–68}$ | Zugangsknoten |
| Datum | Anzahl der SIS-Staaten + GB und IRL ohne Europol und Eurojust | Datensätze (gesamt) in Mio. | Artikel 95 | Artikel 96 | Artikel 97 | Artikel 98 | Artikel 99 | Artikel 100 | Zugangsknoten |
| Juni 1995 | 5 | 2,9 | ??? | ??? | ??? | ??? | ??? | ??? | 30.000 |
| März 1996 | 5 | 3,9 | ??? | ??? | ??? | ??? | ??? | ??? | 48.700 |
| 1997 | 10 | 5,6 | ??? | ??? | ??? | ??? | ??? | ??? | ??? |
| 1998 | 10 | 8,8 | ??? | ??? | ??? | ??? | ??? | ??? | ??? |
| 1999 | 10 | ??? | 10.491 | 764.851 | 27.436 | 35.806 | 17.365 | ??? | ??? |
| 2000 | 15 + 2 | 9,5 | 10.914 | 750.347 | 28.362 | 35.297 | 17.335 | ??? | ??? |
| 31. Dez. 2001 | 15 + 2 | 10,5 | 11.628 | 709.763 | 29.132 | 30.763 | 21.874 | ??? | ??? |
| 2003 | 15 + 2 | ??? | 14.023 | 780.992 | 32.211 | 34.413 | 16.016 | ??? | 125.000$^{:66}$ |
| 2004 | 15 + 2 | ??? | 14.902 | 785.631 | 34.400 | 32.696 | 15.882 | ??? | ??? |
| 1. Jan. 2005 | 15 + 2 | 13,1 | 15.012 | 714.078 | 36.235 | 35.317 | 18.031 | ??? | ??? |
| 1. Jan. 2006 | 15 + 2 | 15,0 | 15.460 | 751.954 | 39.011 | 45.189 | 31.013 | ??? | ??? |
| 1. Jan. 2007 | 24 + 2 | 17,6 | 16.047 | 752.338 | 42.500 | 50.616 | 33.275 | ??? | ??? |
| 1. Jan. 2008 | 25 + 2 | 22,9 | 19.119 | 696.419 | 47.501 | 64.684 | 31.577 | ??? | ??? |
| 1. Jan. 2009 | 25 + 2 | 27,9 | 24.560 | 746.994 | 48.559 | 72.958 | 34.247 | ??? | ??? |
| 1. Jan. 2010 | 25 + 2 | 31,6 | 28.666 | 736.868 | 52.319 | 78.869 | 32.824 | ??? | ??? |
| 1. Jan. 2011 | 26 + 2 | 35,6 | 31.535 | 716.797 | 50.773 | 82.676 | 36.478 | ??? | ??? |
| 1. Jan. 2012 | 26 + 2 | 42,0 | 34.754 | 692.226 | 53.526 | 85.971 | 37.878 | ??? | ??? |
| 1. Jan. 2013 | 26 + 2 | 46,5 | 35.919 | 659.347 | 57.302 | 94.292 | 38.942 | ??? | ??? |
| Bemerkungen: Offizielle Ratsdokumente zur SIS Datenbankstatistik finden sich im Öffentlichen Register des Rats der Europäischen Union ||||||||||
Mit der Einführung des SIS II zum 9. April 2013 änderte sich auch die Rechtsgrundlage. Die Art. 24, 26, 32, 34, 36 der SIS II Deklaration betreffen Personen, alle Sachfahndungen unterliegen Art. 38 SIS II Deklaration. Unter den Sachfahndungen machen verlorene, gestohlene und für ungültig erklärte Dokumente den weitaus größten Anteil aus. Während Personen nur 1,7 % der Einträge im SIS II betreffen, lösen sie jedoch über 50 % aller Treffer aus.
| Datum | Anzahl der SIS-II-Staaten + GB, IRL, CRO ohne Europol und Eurojust | Datensätze (gesamt) | Datensätze nach Kategorien („alerts“) | Datensätze nach Kategorien („alerts“) | Datensätze nach Kategorien („alerts“) | Datensätze nach Kategorien („alerts“) | Datensätze nach Kategorien („alerts“) | Datensätze nach Kategorien („alerts“) | Zugangsknoten |
| Datum | Anzahl der SIS-II-Staaten + GB, IRL, CRO ohne Europol und Eurojust | Datensätze (gesamt) | Art 26 | Art 32 | Art 36 | Art 34 | Art 24 | Art 38 | Zugangsknoten |
| 31. Dez. 2013 | 25 + 4 | 50.279.389 | 34.263 | 60.820 | 41.097 | 102,517 | 623.203 | 49.417.489 | ??? |
Die Zahl der SIS-II-Staaten änderte sich, weil Kroatien zunächst nicht auf das SIS-II-System zugreifen konnte und daher zusammen mit UK und Irland als im Prozess des Anschlusses geführt wird. Außerdem sind jetzt Island, Norwegen, die Schweiz und Liechtenstein als assoziierte Staaten ohne Mitgliedschaft an das System angeschlossen.

## Politische Bilanz

Das System ist für eine größere Anzahl von Institutionen zugänglich, zum Beispiel die Justizbehörden, Europol und die Sicherheitsdienste. Die Daten von Personen können auf einem tragbaren Gerät in ganz Europa durch die verschiedenen Polizei- und Zolldienste, zum Beispiel während der Passkontrolle, gelesen werden. Einige Mitgliedstaaten möchten von diesen technischen Änderungen profitieren, um daraus weitergehende nationale Fahndungssysteme zu entwickeln, die zum Beispiel mit weiteren nationalen Informationssystemen verbunden werden können. Die Mehrheit der Mitgliedstaaten ist jedoch bestrebt, dass dieses System allein auf europäischer Ebene unter der Leitung von Europol weiterentwickelt wird. Wie öfters bei der Entwicklung europäischer Projekte, muss hier eine Entscheidung getroffen werden, die zwischen den Vorteilen einer national unterschiedlichen und für manche Staaten schnelleren Entwicklung einerseits und den Vorteilen einer gemeinsamen und eng koordinierten, aber langsameren europäischen Zusammenarbeit abwägt.
Nach mehr als zehn Jahren Existenz des Systems, das ab dem 26. März 1995 für die Endbenutzer verfügbar ist, hat sich diese rechtliche und technische Herausforderung anscheinend bewährt. Das SIS ist heute das System einer leistungsstarken Polizeizusammenarbeit, verwirklicht durch seine einfache Benutzbarkeit und extrem kurze Aktualisierungszeit. Zuerst wurden hauptsächlich Daten über unerwünschte Ausländer eingetragen, aber nun ist eine Zunahme der Personeneinschreibungen für Auslieferung, Verhaftung sowie ein Anstieg der Gegenstandseinschreibungen festzustellen.

## Technische und politische Entwicklung
### SIS II und SISone4all
#### Wandel vom Fahndungs- zum Recherchesystem

Unter der Verantwortung der Europäischen Kommission wurde eine erweiterte Version des SIS (SIS II) entwickelt, es kann auch biometrische Daten verarbeiten. Damit wird das Fahndungssystem zum Recherchesystem erweitert, so dass Informationen einer auffälligen Person (das Auftreten eines „Alerts“) mit Informationen von anderen Personen oder Objekten verlinkt werden können. Das ermöglicht es beispielsweise, einen Elternteil, welchem der Eintritt in den Schengenraum verweigert würde, mit einem vermissten Kind in Verbindung zu bringen. Ebenso könnten Familienmitglieder untereinander verknüpft werden. Das bisherige Fahndungssystem hatte nur die Möglichkeit, Auffälligkeiten anzuzeigen („Alert hit/no hit database“).$^{:104–106}$
Die Verbesserung des SIS ergänzt auch den Zugriff auf Daten von allen Diensten, die sich mit der öffentlichen und inneren Sicherheit (Raum der Freiheit, der Sicherheit und des Rechts) befassen. Diese Zugriffe hängen für die Mehrheit nicht vom System selbst, sondern von der Verwaltung der Zugänge in den teilnehmenden Ländern ab (SIRENE-Büros).

#### Zwischenlösung SISone4all

Da eine Inbetriebnahme des SIS II aufgrund von technischen aber auch politischen Problemen zum ursprünglich vorgesehenen Zeitpunkt 2007/2008 nicht möglich war, wurde als Zwischenlösung eine erweiterte Version des SIS I – das sogenannte SISone4all, später SIS 1+ – parallel zu den Arbeiten am SIS II entwickelt und mit September 2007 in Betrieb genommen. Diese Übergangslösung ermöglicht es nunmehr den neuen EU-Mitgliedsstaaten (ausgenommen Zypern, das so wie das Vereinigte Königreich und Irland die Inbetriebnahme des SIS II abwartet) sowie der Schweiz ebenfalls am Schengener Fahndungsverbund teilzunehmen und stellte dies auch eine Grundvoraussetzung für den im Dezember 2007 erfolgten Wegfall der Grenzkontrollen zwischen den teilnehmenden Staaten dar.

#### SIS II: Zeitplan und Kosten

SIS II sollte ursprünglich 2007 in Betrieb gehen, dann 2010. Schließlich wurde der 9. April 2013 festgelegt. Ähnlich wie die Inbetriebnahme entwickelten sich auch die Kosten, welche von ursprünglich geplanten 15 Millionen Euro auf derzeit erwartete 167,78 Millionen Euro gestiegen sind. Als Gründe für die Verzögerungen und die Kostenexplosion werden im Laufe der Beschaffung geänderte Anforderungen (u. a. durch Beitritt weiterer Staaten), schlecht formulierte Verträge und mangelhafte Koordination der einzelnen Nutzer genannt. Im Oktober 2010 sperrte das Europäische Parlament den Etatansatz für SIS II von 30 Millionen Euro im Haushalt 2011, bis ein realistischer und überprüfbarer Zeitplan für die weitere Entwicklung und Fertigstellung des Projektes vorgelegt wird. Daraufhin erarbeitete die EU-Kommission einen Projektplan, dessen erster Teil mit Testläufen im Jahr 2011 umgesetzt wurde. Bei einem Meilenstein-Test fiel 2012 das nationale System Finnlands durch, so dass die Datenmigration in das neue System nicht wie geplant begonnen werden konnte. Der Rat der Europäischen Union beschloss den 9. April 2013 als Starttermin, obwohl wesentliche Anforderungen nicht erfüllt waren und insbesondere nicht sichergestellt werden kann, dass Eilmeldungen tatsächlich innerhalb der vorgegebenen Frist von vier Minuten im gesamten System zur Verfügung stehen. Auch gab es beim Einspielen der Daten aus SIS über 10.000 Fehler durch inkonsistente Hashwerte, und es gibt keinen Notfallplan bei Systemversagen. Für die Überführung der Daten des bestehenden SIS 1+ in das SIS II wurde ein Migrationstool entwickelt, welches die Synchronisation und Konvertierung der Daten zwischen dem alten C.SIS und dem neuen Central SIS II ermöglicht. Das Central SIS II besteht ähnlich wie das C.SIS aus einer zentralen Referenz-Datenbank und einer einheitlichen Schnittstelle (NI-SIS) zu den nationalen Systemen.$^{:19–21}$ Die Umstellung erfolgte ohne erkennbare Probleme.
Der Europäische Rechnungshof legte Mitte 2014 einen Sonderbericht zum SIS II vor und kommt darin zu dem Schluss, dass zwei Faktoren für die Kostenüberschreitung ursächlich waren: Zum einen seien die Anforderungen während der langen Projektzeit mehrmals verändert worden. Beispielsweise sei bei der Planung von einem maximalen Datenbestand von 15 Millionen Datensätzen ausgegangen worden, diese Zahl sei aber später auf 75 Millionen erhöht worden, und inzwischen werde als Anforderung von 100 Millionen Datensätzen ausgegangen. Der zweite Faktor waren Probleme in den beteiligten Staaten. So habe eine als „Amnestie“ bezeichnete, dreijährige Übergangsphase eingeführt werden müssen, bis alle Staaten die neuen, erhöhten Datenschutzbestimmungen einhalten konnten.

### Zentralisierung: Europäische Agentur für große IT-Systeme

Nach jahrelangen Bestrebungen stimmte die EU im September 2011 für die Gründung einer zentralen „Agentur für große IT-Systeme“ (englisch Agency for large-scale IT systems). Die Agentur namens Eu-LISA hat ihren Sitz in Tallinn, der Hauptstadt Estlands und nahm ihren Betrieb am 1. Dezember 2012 auf. Die Agentur startete mit der Verwaltung des Visa-Informationssystems (VIS) und der Fingerabdruck-Datenbank EURODAC. Das SIS ging im April 2013 nach Umstellung auf SIS II auf die Eu-LISA über.
Im Juli 2014 berichtete heise online über neue Vorschläge der EU-Kommission. Diese sehen die Datenverwaltung „des geplanten Ein-/Ausreisesystems (EES) und des Registrierungsprogramms (RTP)“ durch Eu-LISA vor. In Planung befindet sich auch das Erfassen von Flugpassagierdaten in einer zentralen EU-Datenbank. Die Mitgliedsstaaten sind allerdings gegen eine Verwaltung von Flugpassagierdaten durch Eu-LISA. Im Zuge der NSA-Affäre ging die Betreuung des europäischen Verwaltungsnetzwerks sTESTA von Orange Business Services und Hewlett-Packard auf T-Systems über. Über das Netzwerk tauschen die Schengen-Mitgliedsstaaten die Daten von SIS II, VIS und EURODAC untereinander aus.

### SIS 3.0

Unter dem Begriff SIS 3.0 wird das Schengener Informationssystem um weitere Aspekte erweitert. Rechtsgrundlage hierfür sind drei 2018 in Kraft getretene EU-Verordnungen (1860/2018, 1861/2018 und 1862/2018). Damit soll das SIS erneuert und insbesondere um neue Fahndungskategorien und Informationen zu rückkehrpflichtigen Drittstaatsangehörigen erweitert werden.
Folgende Möglichkeiten soll es dann geben:
* Ausschreibungen für Ermittlungsanfragen als Zwischenschritt zwischen verdeckten Kontrollen und gezielten Kontrollen
* Ausschreibungen zu unbekannten Tatverdächtigen oder gesuchten Personen, die es ermöglichen, in das SIS Finger oder Handballenabdrücke einzustellen, die an den Tatorten schwerer oder terroristischer Straftaten vorgefunden wurden und von denen angenommen wird, dass sie zu einem Täter gehören
* präventive Ausschreibungen von Kindern, die von Entführung durch einen Elternteil bedroht sind, sowie von Kindern und schutzbedürftigen Personen, die zu ihrem eigenen Schutz daran gehindert werden müssen zu reisen
* Ausschreibungen zu Rückführungszwecken, die die Einstellung einer Ausschreibung zu den Rückführungsentscheidungen gegen illegal aufhältige Drittstaatsangehörige erfordern
In Deutschland stieß die Umsetzung der SIS-Richtlinien auf Kritik, weil im Entwurf des Umsetzungsgesetzes der Kreis der Zugriffsberechtigten auf die Schengen-Datenbank um über 2000 deutsche Behörden erweitert werden soll. Darunter sind einerseits Behörden, die mit dem Vollzug des Aufenthaltsgesetzes befasst sind, die Kfz-Zulassungsstellen, Waffenbehörden, Wasserstraßen- und Schifffahrtsämter und weitere, sowie andererseits erstmals auch die Nachrichtendienste des Bundes und der Länder. Dass letztere verdeckt über das Bundeskriminalamt Fahndungen nach Sachen und Menschen einstellen dürfen, bricht mit dem deutschen Trennungsprinzip zwischen Polizei und Nachrichtendiensten. Die Vielzahl der künftig angeschlossenen Behörden lässt auch das Missbrauchspotential steigen. Zudem war das deutsche N.SIS bisher eng mit der polizeilichen INPOL-Datenbank verknüpft. Weil künftig auch Behörden außerhalb des dafür berechtigten Kreises Zugriff auf N.SIS bekommen sollen, müssen die Datenbanken mit hohem technischem und finanziellem Aufwand entflochten werden.
Der Geschäftsführungs-Ausschuss von eu-LISA hat am 13. Januar 2023 beschlossen, dass die Systemänderungen am 7. März 2023, SIS Recast genannt, operativ wirksam werden sollen. Nach Angaben des deutschen BKAs sind die Erweiterungen am 8. März 2023 wirksam geworden.

### Kritik und Missbrauch

Bürgerrechtler sehen in dieser Informationskonzentration durch die Regierungen eine Bedrohung der Privatsphäre. Das SIS war Ziel zahlreicher Proteste, insbesondere vom 18. Juli bis 28. Juli 2002, als 2000 Aktivisten des No Border Network in Straßburg protestierten, wo die C.SIS (Zentrale des Informationssystems) angesiedelt ist. Viele befürchten, dass die zweite Version von SIS Lichtbilder, Finger- und DNA-Abdrücke umfasst, die für Behörden und Organisationen zugänglich werden könnten, für die diese Informationen zum Zeitpunkt der Erfassung nicht bestimmt waren. Allerdings sind DNA-Profile nicht vorgesehen.
Es gab eine „Schengener Datenklau-Affäre“, als ein belgischer Beamter aus einem SIS-Computer Daten stahl und an die organisierte Kriminalität verkaufte. Bei europaweit vernetzten Systemen wie dem SIS sieht der Bonner Datenschützer Werner Schmidt das größte Problem bei den „Innentätern“.
Am 6. März 2013 wurde das schweizerische Bundesamt für Polizei (Fedpol) über einen Hacker-Angriff auf dänische SIS-Rechnersysteme informiert. Dies berichtete das SRF (Schweizer Radio und Fernsehen) am 24. Dezember 2013 mit dem Hinweis, dass „es sich nicht um ein internes Datenleck handelt, sondern dass der Angriff auf das SIS von aussen durchgeführt wurde.“ Noch immer wisse Fedpol nicht, ob die entwendeten Daten kopiert und weiterverbreitet worden seien.
Nach den Terroranschlägen in Paris vom November 2015 und denen in Brüssel vom März 2016 zeigte sich, dass Behörden bei Sicherheitskontrollen an Flughäfen nur etwa eine aus hundert Personen, die bei innereuropäischen Flügen die Kontrollen passierten, auch anhand der SIS Datenbank überprüfen. Bei Reisenden, die von außerhalb der EU kamen, waren es 10 bis 20 von 100. Es oblag demnach den Sicherheitsbehörden der EU-Staaten, wie sie kontrollieren, wobei die EU Richtlinien erlassen hat, nach denen die eigenen Bürger nur einer minimalen Überprüfung unterzogen werden sollen. Des Weiteren hatten es belgische Behörden schlicht versäumt, zeitnah Sperrvermerke in der SIS-Datenbank zu erfassen, so dass sich die betreffenden Personen frei in Europa bewegen konnten.
Am 28. Mai 2018 meldete das Online-Magazin EU Observer, Großbritannien habe illegal im großen Stil persönliche Informationen aus dem SIS kopiert, auf das es eingeschränkt Zugriff hat. Laut einem internen EU-Dokument teilten sie diese Daten sogar mit Dienstleistern aus Drittstaaten wie den USA. Im Juli 2019 bestätigte Julian King, EU-Kommissar für die Sicherheitsunion, einen Bericht, wonach es mit der Handhabe des SIS in einzelnen Mitgliedsstaaten massive Probleme gibt. Man habe „praktische Schritte“ unternommen, um dem entgegenzuwirken, und führe „vertrauliche Gespräche“ mit diesen EU-Ländern.