DECISIONE DELLA COMMISSIONE

del 16 marzo 2007

che stabilisce i requisiti di rete per il sistema d’informazione Schengen II (terzo pilastro)

(2007/171/CE)

LA COMMISSIONE DELLE COMUNITÀ EUROPEE,

visto il trattato sull’Unione europea,

vista la decisione 2001/886/GAI del Consiglio, del 6 dicembre 2001, sullo sviluppo del sistema d’informazione Schengen di seconda generazione (SIS II) (1), in particolare l’articolo 4, lettera a),

considerando quanto segue:

Per sviluppare il SIS II è necessario stabilire specifiche tecniche per la rete di comunicazione e i suoi componenti, e specifici requisiti di rete.

Disciplinano lo sviluppo del SIS II il regolamento (CE) n. 2424/2001 del Consiglio (2) e la decisione 2001/886/GAI. Affinché l’intero SIS II si sviluppi secondo un unico processo di attuazione, è opportuno che le disposizioni della presente decisione corrispondano a quelle della decisione della Commissione che stabilisce i requisiti di rete per il SIS II in applicazione del regolamento (CE) n. 2424/2001.

Per quanto riguarda la Svizzera, la presente decisione costituisce uno sviluppo dell’acquis di Schengen ai sensi dell’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione di quest’ultima all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen, che rientra nell’ambito contemplato all’articolo 1, lettera G, della decisione 1999/437/CE, in combinato disposto con l’articolo 4, paragrafo 1, della decisione 2004/849/CE del Consiglio (6) relativa alla firma, a nome dell’Unione europea, nonché all’applicazione provvisoria di alcune disposizioni di quell’accordo.

DECIDE:

Articolo 1

Le specifiche tecniche connesse alla progettazione dell’architettura fisica dell’infrastruttura di comunicazione del SIS II figurano in allegato.

(1) GU L 328 del 13.12.2001, pag. 1.

(2) GU L 328 del 13.12.2001, pag. 4. Regolamento modificato dal regolamento (CE) n. 1988/2006 (GU L 411 del 30.12.2006, pag. 1).

(3) GU L 131 dell’1.6.2000, pag. 43. Decisione modificata dalla decisione 2004/926/CE (GU L 395 del 31.12.2004, pag. 70).

(4) GU L 64 del 7.3.2002, pag. 20.

(5) GU L 176 del 10.7.1999, pag. 31.

(6) GU L 368 del 15.12.2004, pag. 26.

ALLEGATO

INDICE

1. Introduzione …

1.1. Acronimi e abbreviazioni …

2. Quadro generale …

3. Copertura geografica …

4. Servizi di rete …

4.1. Architettura di rete …

4.2. Tipo di connessione CS-SIS principale — CS-SIS di riserva …

4.3. Larghezza di banda …

4.4. Classi di servizio …

4.5. Protocolli supportati …

4.6. Specifiche techniche …

4.6.1. Indirizzi IP …

4.6.2. Supporto per IPv6 …

4.6.3. Route statiche …

4.6.4. Flusso sostenuto …

4.6.5. Altre specifiche …

4.7. Resilienza …

5. Monitoraggio …

6. Servizi generici …

7. Disponibilità …

8. Servizi di sicurezza …

8.1. Crittazione della rete …

8.2. Altri requisiti di sicurezza …

9. Helpdesk e stuttura di assistenza …

10. Interazione con altri sistemi …

1. Introduzione

Il presente documento descrive l’architettura della rete di comunicazione, i suoi componenti e gli specifici requisiti di rete.

1.1. Acronimi e abbreviazioni

La presente sezione spiega gli acronimi usati nel documento.

Acronimi e abbreviazioni Spiegazione BLNI Backup Local National Interface, interfaccia nazionale locale di riserva CEP Central End Point CNI Central National Interface, interfaccia nazionale centrale CS Sistema centrale CS-SIS Unità di supporto tecnico contenente la banca dati del SIS II DNS Domain Name Server, server di nome di dominio FCIP Fibre Channel su IP FTP File Transport Protocol, protocollo di trasferimento file in Internet HTTP Hyper Text Transfer Protocol, protocollo per il trasferimento di pagine ipertestuali IP Protocollo Internet LAN Local Area Network, rete locale LNI Local National Interface, interfaccia nazionale locale Mbps Megabits per second MDC Main Developer Contractor N.SIS II Sezione nazionale in ciascuno Stato membro NI-SIS Interfaccia nazionale uniforme NTP Network Time Protocol SAN Storage Area Network SDH Synchronous Digital Hierarchy, gerarchia digitale sincrona SIS II Sistema d’informazione Schengen di seconda generazione SMTP Simple Mail Transport Protocol, protocollo Internet standard per l’invio di messaggi di posta elettronica SNMP Simple Network Management Protocol, protocollo per i servizi di gestione di reti Internet s-TESTA Rete di servizi transeuropei sicuri per la comunicazione telematica tra amministrazioni, iniziativa del programma IDABC (erogazione interoperabile di servizi paneuropei di governo elettronico alle amministrazioni pubbliche, alle imprese e ai cittadini. Decisione 2004/387/CE del Parlamento europeo e del Consiglio, del 21 aprile 2004) TCP Transmission Control Protocol VIS Visa Information System, sistema d’informazione visti VPN Virtual Private Network, rete virtuale privata WAN Wide Area Network, rete geografica

2. Quadro generale

Il SIS II consta:

— di un sistema centrale (di seguito «SIS II centrale») costituito da: — un’unità di supporto tecnico (di seguito «CS-SIS») contenente la banca dati del SIS II. Il CS-SIS principale svolge funzioni di controllo e gestione tecnici mentre il CS-SIS di riserva è in grado di assicurare tutte le funzioni del CS-SIS principale in caso di guasto di tale sistema, — un’interfaccia nazionale uniforme (di seguito «NI-SIS»),

— di una sezione nazionale (di seguito «N.SIS II») in ciascuno Stato membro, costituita dai sistemi di dati nazionali connessi con il SIS II centrale. Un N.SIS II può contenere un archivio di dati (di seguito «copia nazionale»), costituito da una copia completa o parziale della banca dati del SIS II,

— di un’infrastruttura di comunicazione fra il CS-SIS e il NI-SIS (di seguito «infrastruttura di comunicazione») che è dotata di una rete virtuale cifrata dedicata ai dati SIS II e provvede allo scambio di informazioni tra uffici SIRENE.

Il NI-SIS consta:

— di un’interfaccia nazionale locale (di seguito «LNI») in ciascuno Stato membro che connette fisicamente lo Stato membro con la rete di comunicazione sicura e contiene i dispositivi crittografici dedicati al traffico del SIS II e della rete SIRENE. L’LNI è situato nello Stato membro,

— di un’interfaccia nazionale locale di riserva facoltativa (di seguito «BLNI»), con contenuti e funzioni identici all’LNI.

L’LNI e il BLNI sono a uso esclusivo del SIS II e della rete SIRENE. La specifica configurazione dell’LNI e del BLNI sarà stabilita e concordata con i singoli Stati membri per tener conto dei requisiti di sicurezza, della collocazione fisica e delle condizioni di installazione, compresi i servizi prestati dall’operatore di rete, in modo che la connessione fisica s-TESTA possa contenere più tunnel VPN per altri sistemi, per esempio il VIS e Eurodac,

— di un’interfaccia nazionale centrale (di seguito «CNI»), di un’applicazione cioè che permette l’accesso sicuro al CS-SIS. Ciascuno Stato membro dispone di punti di accesso logico distinti al CNI attraverso un firewall centrale.

L’infrastruttura di comunicazione fra il CS-SIS e l’NI-SIS consiste.

— nella rete di servizi transeuropei sicuri per la comunicazione telematica tra amministrazioni (di seguito «s-TESTA») che è una rete privata virtuale e cifrata, dedicata ai dati SIS II e al traffico SIRENE.

3. Copertura geografica

L’infrastruttura di comunicazione deve essere in grado di coprire e fornire a tutti gli Stati membri i servizi richiesti.

Sono interessati tutti gli Stati membri dell’UE (Belgio, Francia, Germania, Lussemburgo, Paesi Bassi, Italia, Portogallo, Spagna, Grecia, Austria, Danimarca, Finlandia, Svezia, Cipro, Repubblica ceca, Estonia, Ungheria, Lettonia, Lituania, Malta, Polonia, Slovacchia, Slovenia, Regno Unito e Irlanda), nonché Norvegia, Islanda, Svizzera.

Occorre inoltre provvedere alla copertura dei paesi di recente adesione, la Romania e la Bulgaria.

Da ultimo, l’infrastruttura di comunicazione deve poter essere estesa a qualunque altro paese o organo che abbia accesso al SIS II centrale (ad esempio Europol, Eurojust).

4. Servizi di rete

Ogni qualvolta si citi un protocollo o un’architettura, si intendono ugualmente accettabili le tecnologie, i protocolli o le architetture equivalenti future.

4.1. Architettura di rete

L’architettura del SIS II si avvale di servizi centralizzati accessibili dai diversi Stati membri. Per ragioni di resilienza, i servizi centralizzati sono duplicati in due sedi distinte: Strasburgo, Francia, e Sankt Johann im Pongau, Austria, dove si trovano rispettivamente il CS-SIS principale (CU) e il CS-SIS di riserva (BCU).

Le unità centrali — principale e di riserva — devono essere accessibili dai diversi Stati membri. I paesi partecipanti possono avere punti d’accesso multipli (un LNI e un BLNI) per interconnettere il rispettivo sistema nazionale ai servizi centrali.

Oltre alla funzione principale di collegamento ai servizi centrali, l’infrastruttura di comunicazione deve assicurare lo scambio bilaterale di informazioni supplementari fra gli uffici SIRENE dei diversi Stati membri.

4.2. Tipo di connessione CS-SIS principale-CS-SIS di riserva

Il tipo di connessione richiesta per l’interconnettività CS-SIS principale-CS-SIS di riserva deve definirsi in un anello SDH o equivalente, in modo che la connessione sia possibile in futuro anche con nuove architetture e tecnologie. Si userà l’infrastruttura SDH per ampliare le reti locali di entrambe le unità centrali e creare un’unica LAN senza interruzioni, che servirà in seguito per la sincronizzazione continua fra il CU e il BCU.

4.3. Larghezza di banda

Requisito critico dell’infrastruttura di comunicazione è la larghezza di banda che può mettere a disposizione dei diversi siti interconnessi, e la capacità di supportare tale quantità lungo la dorsale di rete.

La larghezza di banda necessaria per l’LNI e il BLNI facoltativo varierà da uno Stato membro all’altro, principalmente in funzione della scelta che intende operare: consultazione di copie nazionali, ricerca centrale e scambio di dati biometrici.

La quantità di banda effettiva che l’infrastruttura di comunicazione deciderà di offrire è irrilevante fintanto che risponde alle esigenze minime di ciascuno Stato membro.

Ognuno dei tipi di sito citati potrà trasferire grossi pacchetti di dati (alfanumerici, biometrici e documenti completi) in entrambe le direzioni. Di conseguenza, l’infrastruttura di comunicazione deve offrire e garantire, per ciascuna connessione, velocità minime di caricamento e scaricamento sufficienti.

L’infrastruttura di comunicazione deve assicurare una portata di connessione compresa tra i 2 e 155 Mbps, o superiore. La rete deve offrire e garantire velocità minime di caricamento e scaricamento sufficienti per ciascuna connessione, e deve essere in grado di supportare la dimensione di banda totale dei punti di accesso alla rete.

4.4. Classi di servizio

Il SIS II centrale sarà in grado di trattare, per ordine di priorità, le interrogazioni e le segnalazioni. Come requisito derivato, l’infrastruttura di comunicazione dovrà anche prioritarizzare il traffico.

A fissare i parametri di prioritarizzazione sarà presumibilmente il SIS II centrale per tutti i pacchetti che lo richiedano. Sarà scelto il WFQ (weighted fair queuing) come disciplina di coda. Ne consegue che l’infrastruttura di comunicazione deve essere in grado di recepire l’ordine di priorità assegnato ai pacchetti sulla LAN di origine, e di trattarli di conseguenza all’interno della sua dorsale. Inoltre, deve consegnare al sito remoto i pacchetti iniziali contenenti lo stesso ordine di priorità fissato nella LAN di origine.

4.5. Protocolli supportati

Il SIS II centrale farà uso di diversi protocolli di rete e l’infrastruttura di comunicazione dovrà essere in grado di supportarne un’ampia gamma, in particolare i protocolli standard http, FTP, NTP, SMTP, SNMP e DNS.

Oltre ai protocolli standard, l’infrastruttura di comunicazione deve poter gestire diversi protocolli di tunneling, protocolli di replicazione SAN e i protocolli proprietari di connessione Java-to-Java di BEA WebLogic. I protocolli di tunneling — ad esempio IPsec in modalità tunnel — saranno usati per il trasferimento di messaggi cifrati a destinazione.

4.6. Specifiche tecniche

4.6.1. Indirizzi IP

L’infrastruttura di comunicazione deve disporre di una gamma di indirizzi IP riservati utilizzabili esclusivamente dentro la rete. All’interno di questa gamma IP riservata, il SIS II centrale userà una serie dedicata di indirizzi IP che non saranno utilizzati altrove.

4.6.2. Supporto per IPv6

Si può presumere che il protocollo usato nelle reti locali degli Stati membri sarà il TCP/IP. Alcuni siti saranno tuttavia basati sulla versione 4, altri sulla versione 6. I punti d’accesso alla rete devono poter fungere da gateway ed essere in grado di operare indipendentemente dai protocolli di rete usati nel SIS II centrale e nell’N.SIS II.

4.6.3. Route statiche

Il CU e il BCU possono usare un unico e stesso indirizzo IP per le comunicazioni destinate agli Stati membri. L’infrastruttura di comunicazione deve quindi supportare route statiche.

4.6.4. Flusso sostenuto

Fintanto che il CU o il BCU hanno un tasso di carico inferiore a 90 %, un dato Stato membro deve essere in grado di mantenere di continuo il 100 % della sua quantità di banda.

4.6.5. Altre specifiche

Per supportare il CS-SIS, l’infrastruttura di comunicazione deve soddisfare una serie di specifiche tecniche minime.

Il ritardo di transito (ore piene comprese) deve essere inferiore o pari a 150 ms per il 95 % dei pacchetti, e inferiore a 200 ms per il 100 % dei pacchetti.

La probabilità di perdita (ore piene comprese) deve essere inferiore o pari a 10–4 per il 95 % dei pacchetti, e inferiore a 10–3 per il 100 % dei pacchetti.

Le specifiche tecniche citate si applicano a ciascun punto di accesso separatamente.

La connessione fra CU e BCU deve avere tempi di attraversamento andata-ritorno (round trip delay) inferiori o pari a 60 ms.

4.7. Resilienza

Il CS-SIS è concepito per soddisfare requisiti di elevata disponibilità, per questo offre una resilienza integrata al disfunzionamento dei suoi costituenti duplicando l’intera apparecchiatura.

I componenti dell’infrastruttura di comunicazione devono anch’essi sopperire a eventuali guasti di altri componenti. In altri termini, devono essere ridondati i seguenti elementi:

— dorsale di rete,

— dispositivi di istradamento (router),

— punti di presenza (POP),

— connessioni del local loop (compresi i cavi fisicamente ridondanti),

— dispositivi di sicurezza (crittografici, firewall, ecc.),

— tutti i servizi generici (DNS, NTP, ecc.),

— LNI/BLNI.

I meccanismi di failover dovranno attivarsi, per l’intera attrezzatura della rete, senza intervento manuale.

5. Monitoraggio

Per agevolare il monitoraggio, gli strumenti di monitoring dell’infrastruttura di comunicazione devono potersi integrare nelle funzionalità di monitoring dell’organizzazione responsabile della gestione operativa del SIS II centrale.

6. Servizi generici

Oltre alla rete dedicata e ai servizi di sicurezza, l’infrastruttura di comunicazione deve offrire servizi generici.

I servizi dedicati devono essere implementati in entrambe le unità centrali, per ragioni di ridondanza.

L’infrastruttura di comunicazione deve offrire i seguenti servizi generici facoltativi:

Servizio Informazioni aggiuntive DNS Attualmente la procedura di failover per commutare dal CU al BCU in caso di guasto della rete è basata sul cambiamento di indirizzo IP nell’ambito del server DNS generico Mail relay Usare un mail relay generico può aiutare a standardizzare la configurazione mail dei diversi Stati membri e, diversamente da un server dedicato, non comporta uso di risorse di rete dal CU/BCU. Le mail che passano per un mail relay generico devono comunque conformarsi al rispettivo template di sicurezza NTP Questo servizio può essere usato per sincronizzare gli orologi delle apparecchiature di rete

7. Disponibilità

Il CS-SIS, l’LNI e il BLNI devono garantire una disponibilità del 99,99 % su un periodo continuo di 28 giorni, indipendentemente dalla disponibilità della rete.

La disponibilità dell’infrastruttura di comunicazione deve essere del 99,99 %.

8. Servizi di sicurezza

8.1. Crittazione della rete

Il SIS II centrale non autorizza il trasferimento in chiaro al di fuori della LAN di dati soggetti a requisiti di alta o altissima protezione. Deve essere garantito con ogni mezzo che l’operatore di rete non avrà accesso ai dati operativi del SIS II né ai connessi scambi SIRENE.

Per mantenere un alto livello di sicurezza, l’infrastruttura di comunicazione deve permettere la gestione di certificati/chiavi. Deve essere possibile gestire e monitorare a distanza i dispositivi crittografici. Gli algoritmi crittografici devono quanto meno rispettare i seguenti requisiti

— Algoritmi simmetrici: — 3-DES (128 bit) o superiore, — la generazione di chiavi deve dipendere da un valore casuale che non permetta la riduzione del keyspace in caso di attacco, — le chiavi o le informazioni crittografiche utilizzabili per derivare le chiavi sono sempre protette durante lo stoccaggio.

— Algoritmi asimmetrici: — RSA (modulo di 1 024 bit) o superiore, — la generazione di chiavi deve dipendere da un valore casuale che non permetta la riduzione del keyspace in caso di attacco.

Sarà usato il protocollo Encapsulated Security Payload (ESP, RFC2406) implementato in Tunnel Mode. Il carico utile (payload) e l’header IP originale devono essere cifrati.

Per lo scambio di chiavi di sessione va usato il protocollo IKE (Internet Key Exchange).

La durata delle chiavi IKE non deve superare 1 giorno.

La durata delle chiavi di sessione non deve superare l’ora.

8.2. Altri requisiti di sicurezza

Oltre ai punti di accesso al SIS II, l’infrastruttura di comunicazione deve proteggere i servizi generici facoltativi. Questi devono comportare misure di protezione comparabili a quelle del CS-SIS. Tutti i servizi generici devono pertanto, come minimo, essere protetti da un firewall, un antivirus e un sistema anti-intrusione. Inoltre, i dispositivi dei servizi generici e le relative misure di protezione devono essere tenuti perennemente sotto controllo (logging e follow-up).

Per mantenere un alto livello di sicurezza, l’organizzazione responsabile della gestione operativa del SIS II centrale deve essere informata di tutti gli incidenti di sicurezza riguardanti l’infrastruttura di comunicazione. L’infrastruttura di comunicazione deve pertanto permettere che gli incidenti di sicurezza siano riferiti senza indugio all’organizzazione responsabile della gestione operativa del SIS II centrale. Tutti gli incidenti di sicurezza devono essere riferiti con regolarità, per esempio una volta al mese e su base puntuale.

9. Helpdesk e stuttura di assistenza

Il fornitore dell’infrastruttura di comunicazione deve prevedere un servizio di helpdesk che interagisca con l’organizzazione responsabile della gestione operativa del SIS II centrale.

10. Interazione con altri sistemi

L’infrastruttura di comunicazione deve fare in modo che le informazioni non fuoriescano dai canali dedicati. Ai fini dell’applicazione tecnica, ciò comporta che:

— sia strettamente vietato l’acceso, non autorizzato e/o non controllato, ad altre reti, compresa l’interconnettività a Internet,

— non si verifichino perdite di dati verso altri sistemi in rete, vietando per esempio l’interconnessione di reti private virtuali diverse.

Oltre a comportare queste restrizioni tecniche, l’interazione con altri sistemi ha un impatto anche sull’helpdesk. Questo infatti può non divulgare informazioni riguardanti il SIS II centrale a terzi diversi dall’organizzazione responsabile della sua gestione operativa.