CELEX: 32010D0260
Language: hr
Date: 2010-05-04 00:00:00
Title: 2010/260/EU: Odluka Komisije od 4. svibnja 2010. o sigurnosnom planu za rad viznog informacijskog sustava

224                    HR                                Službeni list Europske unije                                                19/Sv. 16
32010D0260
5.5.2010.                                            SLUŽBENI LIST EUROPSKE UNIJE                                                   L 112/25
                                                            ODLUKA KOMISIJE
                                                             od 4. svibnja 2010.
                                     o sigurnosnom planu za rad viznog informacijskog sustava
                                                               (2010/260/EU)
EUROPSKA KOMISIJA,                                                                 VIS-a i nacionalnih sučelja za razvojnu fazu (3) opisane su
                                                                                   potrebne sigurnosne službe primjenjive na mrežu za VIS.
uzimajući u obzir Ugovor o funkcioniranju Europske zajednice,
                                                                           (7)     Člankom 27. Uredbe (EZ) br. 767/2008 predviđa se da se
uzimajući u obzir Uredbu (EZ) br. 767/2008 Europskog parla­                        glavni središnji VIS, koji obavlja tehnički nadzor i admi­
menta i Vijeća od 9. srpnja 2008. o viznom informacijskom                          nistrativne poslove, nalazi u Strasbourgu (Francuska), a
sustavu (VIS) i razmjeni podataka među državama članicama o                        sigurnosna kopija središnjeg VIS-a, koji može jamčiti sve
vizama za kratkotrajni boravak (Uredba o VIS-u) (1), a posebno                     funkcije glavnog središnjeg VIS-a u slučaju pada sustava,
njezin članak 32.,                                                                 nalazi se u mjestu Sankt Johann im Pongau (Austrija).
budući da:                                                                 (8)     S ciljem osiguravanja učinkovitog i pravodobnog odgo­
                                                                                   vora na sigurnosne incidente te izvješćivanja o njima
                                                                                   trebalo bi odrediti uloge službenika za sigurnost.
(1)     Člankom 32. stavkom 3. Uredbe (EZ) br. 767/2008 pred­
        viđa se da upravno tijelo poduzima potrebne mjere radi
        postizanja ciljeva na području sigurnosti utvrđenih u              (9)     Trebalo bi oblikovati sigurnosnu politiku u kojoj su
        članku 32. stavku 2., a koji se tiču rada VIS-a, uključujući               opisane sve tehničke i organizacijske podrobnosti u
        i donošenje sigurnosnog plana.                                             skladu s odredbama ove Odluke.
(2)     Člankom 26. stavkom 4. Uredbe (EZ) br. 767/2008 pred­              (10)    Trebalo bi definirati mjere kojima bi se osigurala odgo­
        viđa se da je tijekom prijelaznog razdoblja prije nego što                 varajuća razina sigurnosti u radu VIS-a,
        upravno tijelo preuzme svoje odgovornosti Komisija
        odgovorna za operativno upravljanje VIS-om.
                                                                           DONIJELA JE OVU ODLUKU:
(3)     Uredba (EZ) br. 45/2001 Europskog parlamenta i Vije­
        ća (2) primjenjuje se na obradu osobnih podataka od                                             POGLAVLJE I.
        strane Komisije prilikom izvršenja svojih odgovornosti
                                                                                                     OPĆE ODREDBE
        za operativno upravljanje VIS-om.
                                                                                                          Članak 1.
(4)     Člankom 26. stavkom 7. Uredbe (EZ) br. 767/2008 pred­
        viđa se da Komisija, prilikom delegiranja svojih odgovor­                                         Predmet
        nosti tijekom prijelaznog razdoblja prije nego što                 Ova Odluka predstavlja sigurnosnu organizaciju i sigurnosne
        upravno tijelo preuzme svoje odgovornosti, osigurava               mjere (sigurnosni plan) u smislu članka 32. stavka 3. Uredbe
        da se tim delegiranjem ne šteti nijednom važećem                   (EZ) br. 767/2008.
        nadzornom mehanizmu u okviru zakonodavstva Unije,
        bilo da se radi o Sudu, Revizorskom sudu ili europskom
        nadzorniku za zaštitu podataka.                                                                POGLAVLJE II.
                                                                           ORGANIZACIJA,           ODGOVORNOSTI           I     UPRAVLJANJE
(5)     Kada upravno tijelo jednom preuzme svoje odgovornosti,                                        INCIDENTIMA
        ono bi trebalo odrediti vlastiti sigurnosni plan u vezi s
        VIS-om.                                                                                           Članak 2.
                                                                                                    Zadaće Komisije
(6)     U Odluci Komisije 2008/602/EZ od 17. lipnja 2008. o
        utvrđivanju fizičke arhitekture te zahtjevi nacionalnih            1.     Komisija provodi sigurnosne mjere za središnji VIS i
        sučelja i komunikacijske infrastrukture između centralnog          komunikacijsku infrastrukturu iz ove Odluke te prati njihovu
                                                                           učinkovitost.
(1) SL L 218, 13.8.2008., str. 60.
(2) SL L 8, 12.1.2001., str. 1.                                            (3) SL L 194, 23.7.2008., str. 3.
 ---pagebreak--- 19/Sv. 16             HR                                Službeni list Europske unije                                                       225
2.    Komisija između svojih službenika imenuje službenika za             koje druge službene dužnosti. Do lokalnog službenika za sigur­
sigurnost sustava. Službenika za sigurnost sustava imenuje                nost ili do njegovog ili njezinog dežurnog podređenog moguće
glavni direktor Glavne uprave Komisije za pravdu, slobodu i               je u svako doba doći putem jedinstvenog kontaktnog telefon­
sigurnost. Zadaće službenika za sigurnost sustava posebno                 skog broja i adrese.
uključuju:
                                                                          4.     Lokalni službenik za sigurnost središnjeg VIS-a obavlja
(a) pripremanje, ažuriranje i preispitivanje sigurnosne politike          zadaće koje su posljedica sigurnosnih mjera koje treba poduzeti
    kako je opisana u članku 7. ove Odluke;                               na mjestima glavnog središnjeg VIS-a i sigurnosne kopije središ­
                                                                          njeg VIS-a, u okviru ograničenja iz stavka 1., a posebno uklju­
                                                                          čujući:
(b) praćenje učinkovitosti provedbe sigurnosnih postupaka
    središnjeg VIS-a i komunikacijske infrastrukture;                     (a) lokalne operativne sigurnosne zadaće, uključujući reviziju
                                                                               vatrozida, redovito testiranje i reviziju sigurnosti te izvješći­
                                                                               vanje o njoj;
(c) doprinošenje pripremanju izvješća o sigurnosti iz članka 50.
    stavaka 3. i 4. Uredbe (EZ) br. 767/2008;
                                                                          (b) praćenje učinkovitosti plana neprekidnog djelovanja i osigu­
                                                                               ravanje redovitog izvođenja vježbi;
(d) usklađivanje i pomaganje u provjerama i revizijama koje
    provodi europski nadzornik za zaštitu podataka iz članka
                                                                          (c) osiguravanje dokaza o svim incidentima koji bi mogli utje­
    42. Uredbe (EZ) br. 767/2008;
                                                                               cati na sigurnost središnjeg VIS-a ili komunikacijske infra­
                                                                               strukture te izvješćivanje službeniku za sigurnost sustava o
                                                                               takvim incidentima;
(e) nadziranje da svi ugovaratelji i podugovaratelji koji su na
    bilo koji način uključeni u upravljanje i rad VIS-a ispravno i
    u cijelosti primjenjuju ovu Odluku i sigurnosnu politiku;             (d) obavješćivanje službenika za sigurnost sustava o mogućoj
                                                                               potrebi za mijenjanjem sigurnosne politike;
(f) vođenje popisa jedinstvenih nacionalnih kontaktnih točaka
    za sigurnost VIS-a i stavljanje na raspolaganje tog popisa            (e) nadziranje da svi ugovaratelji i podugovaratelji koji su na
    lokalnim službenicima za sigurnost središnjeg VIS-a i komu­                bilo koji način uključeni u upravljanje i rad središnjeg VIS-a
    nikacijske infrastrukture.                                                 ispravno i u cijelosti primjenjuju ovu Odluku i sigurnosnu
                                                                               politiku;
                             Članak 3.                                    (f) osiguravanje da je osoblje svjesno svojih obveza i praćenje
                                                                               primjene sigurnosne politike;
       Lokalni službenik za sigurnost središnjeg VIS-a
1.    Ne dovodeći u pitanje članak 8., Komisija između svojih
službenika imenuje lokalnog službenika za sigurnost središnjeg            (g) praćenje razvoja sigurnosti informacijskog sustava i osigura­
VIS-a. Sprečavaju se sukobi interesa između dužnosti lokalnog                  vanje odgovarajućeg osposobljavanja osoblja;
službenika za sigurnost i bilo koje druge službene dužnosti.
Lokalnog službenika za sigurnost središnjeg VIS-a imenuje
glavni direktor Glavne uprave Komisije za pravdu, slobodu i
sigurnost.                                                                (h) pripremanje osnovnih informacija i mogućnosti za uspo­
                                                                               stavljanje, ažuriranje i preispitivanje sigurnosne politike u
                                                                               skladu s člankom 7.
2.    Lokalni službenik za sigurnost središnjeg VIS-a osigurava
provedbu sigurnosnih mjera iz ove Odluke i poštovanje sigur­                                            Članak 4.
nosnih postupaka u okviru glavnog središnjeg VIS-a. U vezi sa
sigurnosnom kopijom središnjeg VIS-a, lokalni službenik za                Lokalni        službenik     za     sigurnost       komunikacijske
sigurnost središnjeg VIS-a osigurava provedbu sigurnosnih                                            infrastrukture
mjera iz ove Odluke, osim onih iz članka 10., i poštovanje
povezanih sigurnosnih postupaka.                                          1.     Ne dovodeći u pitanje članak 8., Komisija između svojih
                                                                          službenika imenuje lokalnog službenika za sigurnost komunika­
                                                                          cijske infrastrukture. Sprečavaju se sukobi interesa između
                                                                          dužnosti lokalnog službenika za sigurnost i bilo koje druge
3.    Lokalni službenik za sigurnost središnjeg VIS-a može bilo           službene dužnosti. Lokalnog službenika za sigurnost komunika­
koju svoju zadaću dodijeliti podređenom osoblju. Sprečavaju se            cijske infrastrukture imenuje glavni direktor Glavne uprave
sukobi interesa između dužnosti obavljanja ovih zadaća i bilo             Komisije za pravdu, slobodu i sigurnost.
 ---pagebreak--- 226                   HR                                 Službeni list Europske unije                                               19/Sv. 16
2.    Lokalni službenik za sigurnost komunikacijske infrastruk­                                         Članak 5.
ture nadzire funkcioniranje komunikacijske infrastrukture te
osigurava provedbu sigurnosnih mjera i poštovanje sigurnosnih                                     Sigurnosni incidenti
postupaka.                                                                 1.    Sigurnosnim incidentom smatra se svaki događaj koji
                                                                           utječe ili može utjecati na sigurnost rada VIS-a i koji mu
                                                                           može prouzročiti štetu ili gubitak, posebno u slučaju mogućeg
                                                                           pristupa podacima ili ugroženosti ili potencijalne ugroženosti
3.    Lokalni službenik za sigurnost komunikacijske infrastruk­            dostupnosti, cjelovitosti i povjerljivosti podataka.
ture može bilo koju od svojih zadaća dodijeliti podređenom
osoblju. Sprečavaju se sukobi interesa između dužnosti izvrša­
vanja tih zadaća i bilo koje druge službene dužnosti. Do
lokalnog službenika za sigurnost ili do njegovog ili njezinog
                                                                           2.    U okviru sigurnosne politike uspostavljaju se postupci za
dežurnog podređenog moguće je u svako doba doći putem
                                                                           oporavak od incidenta. Sigurnosnim incidentima upravlja se
jedinstvenog kontaktnog telefonskog broja i adrese.
                                                                           tako da se osigura brz, učinkovit i odgovarajući odgovor u
                                                                           skladu sa sigurnosnom politikom.
4.    Lokalni službenik za sigurnost komunikacijske infrastruk­
ture obavlja zadaće koje su posljedica sigurnosnih mjera u vezi s
                                                                           3.    Informacije o sigurnosnom incidentu koji utječe ili bi
komunikacijskom infrastrukturom, a posebno uključujući:
                                                                           mogao utjecati na rad VIS-a u državi članici ili na dostupnost,
                                                                           cjelovitost i povjerljivost podataka VIS-a koje je unijela država
                                                                           članica dostavljaju se dotičnoj državi članici. Sigurnosni inci­
                                                                           denti priopćavaju se službeniku za zaštitu podataka Komisije.
(a) sve operativne zadaće u vezi s komunikacijskom infrastruk­
    turom, kao što su revizija vatrozida, redovito testiranje i
    revizija sigurnosti te izvješćivanje o njoj;
                                                                                                        Članak 6.
                                                                                               Upravljanje incidentima
(b) praćenje učinkovitosti plana neprekidnog djelovanja i osigu­
    ravanje redovitog izvođenja vježbi;                                    1.    Ako osoblje ili ugovaratelji uključeni u razvijanje, uprav­
                                                                           ljanje ili rad VIS-a zamijete bilo kakve sigurnosne slabosti u
                                                                           radu VIS-a ili sumnjaju u njihovo postojanje, od njih se zahti­
                                                                           jeva da te slabosti evidentiraju i o njima izvijeste službenika za
(c) osiguravanje dokaza o svim incidentima koji bi mogli utje­             sigurnost sustava ili lokalnog službenika za sigurnost središnjeg
    cati na sigurnost komunikacijske infrastrukture ili središnjeg         VIS-a ili lokalnog službenika za sigurnost komunikacijske infra­
    VIS-a ili na nacionalne sustave te izvješćivanje službeniku za         strukture, prema potrebi.
    sigurnost sustava o takvim incidentima;
                                                                           2.    Ako se otkrije bilo kakav incident koji utječe ili bi mogao
(d) obavješćivanje službenika za sigurnost sustava o mogućoj               utjecati na sigurnost rada VIS-a, lokalni službenik za sigurnost
    potrebi za mijenjanjem sigurnosne politike;                            središnjeg VIS-a ili lokalni službenik za sigurnost komunika­
                                                                           cijske infrastrukture, ovisno o slučaju, u najkraćem mogućem
                                                                           roku u pisanom obliku ili, ako je slučaj iznimno hitan, drugim
                                                                           komunikacijskim kanalima, o tome obavješćuje službenika za
(e) nadziranje da svi ugovaratelji i podugovaratelji koji su na            sigurnost sustava i, prema potrebi, jedinstvenu nacionalnu
    bilo koji način uključeni u upravljanje komunikacijskom                kontaktnu točku za sigurnost VIS-a ako u dotičnoj državi
    infrastrukturom primjenjuju ovu Odluku i sigurnosnu poli­              članici takva kontaktna točka postoji. Izvješće sadrži opis sigur­
    tiku;                                                                  nosnog incidenta, razinu rizika, moguće posljedice i mjere koje
                                                                           su poduzete ili koje bi trebalo poduzeti radi ublažavanje rizika.
(f) osiguravanje da je osoblje svjesno svojih obveza i praćenje
    primjene sigurnosne politike;                                          3.    Lokalni službenik za sigurnost središnjeg VIS-a ili lokalni
                                                                           službenik za sigurnost komunikacijske infrastrukture, ovisno o
                                                                           slučaju, odmah osigurava sve dokaze o sigurnosnom incidentu.
                                                                           Takvi se dokazi stavljaju na raspolaganje službeniku za sigur­
(g) praćenje razvoja sigurnosti informacijske tehnologije i osigu­         nost sustava na njegov zahtjev, u mjeri u kojoj je to moguće na
    ravanje odgovarajućeg osposobljavanja osoblja;                         temelju važećih odredbi o zaštiti podataka.
(h) pripremanje osnovnih informacija i mogućnosti za uspo­                 4.    Provode se postupci za dobivanje povratnih informacija,
    stavljanje, ažuriranje i preispitivanje sigurnosne politike u          kako bi se osiguralo priopćavanje informacija o rezultatima,
    skladu s člankom 7.                                                    nakon što se incidentom ovlada tako da se više ne razvija.
 ---pagebreak--- 19/Sv. 16              HR                                Službeni list Europske unije                                                    227
                            POGLAVLJE III.                                 2.    Unutar sigurnosnih područja određuju se sigurna područja
                                                                           radi zaštite fizičkih komponenti (sredstava), uključujući hardver,
                       SIGURNOSNE MJERE                                    nosače podataka i konzole, planove i drugu dokumentaciju o
                                                                           VIS-u te urede i druga radna mjesta osoblja koje je uključeno u
                              Članak 7.                                    rad VIS-a. Ta sigurna područja štite se odgovarajućim kontro­
                        Sigurnosna politika                                lama ulaza kako bi se osiguralo da je pristup omogućen samo
                                                                           ovlaštenomu osoblju. Rad u sigurnim područjima podliježe
1.     Glavni direktor Glavne uprave za pravdu, slobodu i sigur­           podrobnim sigurnosnim pravilima koja su određena u sigurno­
nost uspostavlja, ažurira i redovito preispituje obvezujuću sigur­         snoj politici.
nosnu politiku u skladu s ovom Odlukom. U sigurnosnoj poli­
tici predviđaju se podrobni postupci i mjere za zaštitu VIS-a od
svega što prijeti njegovoj dostupnosti, cjelovitosti i povjerljivosti,
uključujući planiranje postupanja u izvanrednim okolnostima,               3.    Za urede, sobe i opremu predviđa se i ugrađuje fizičko
kako bi se osigurala odgovarajuća razina sigurnosti kako je                osiguranje. Pristupne točke kao što su područja za dostavu i
propisana ovom Odlukom. Sigurnosna politika usklađena je s                 istovar te druge točke gdje bi neovlašteno osoblje moglo ući
ovom Odlukom.                                                              u prostorije nadziru se i, ako je to moguće, izoliraju od opreme
                                                                           za obradu podataka kako bi se izbjegao neovlašten pristup.
2.     Sigurnosna politika temelji se na procjeni rizika. Mjere
opisane u sigurnosnoj politici razmjerne su prepoznatim rizi­              4.    Oblikuje se i primjenjuje fizička zaštita sigurnosnih
cima.                                                                      područja od prirodnih nesreća ili nesreća koje prouzroči
                                                                           čovjek, koja je razmjerna riziku.
3.     Procjena rizika i sigurnosna politika ažuriraju se ako je to
potrebno zbog tehnoloških promjena, otkrića novih prijetnji ili            5.    Oprema se štiti od fizičkih i ekoloških opasnosti te od
bilo kojih drugih okolnosti. Sigurnosna se politika u svakom               mogućnosti za neovlašten pristup.
slučaju preispituje jednom godišnje kako bi se osiguralo da još
uvijek odgovara najnovijoj procjeni rizika ili bilo kojoj drugoj
novo otkrivenoj tehnološkoj promjeni, prijetnji ili drugim
važnim okolnostima.                                                        6.    Ako su Komisiji dostupne takve informacije, na popis iz
                                                                           članka 2. stavka 2. točke (f) dodaje se jedinstvena kontaktna
                                                                           točka za nadziranje provedbe odredaba ovog članka u prosto­
                                                                           rijama u kojima se nalazi sigurnosna kopija VIS-a.
4.     Sigurnosnu politiku priprema službenik za sigurnost
sustava u koordinaciji s lokalnim službenikom za sigurnost
središnjeg VIS-a i lokalnim službenikom za sigurnost komuni­
kacijske infrastrukture.                                                                               Članak 10.
                                                                                         Nadzor nosača podataka i sredstava
                              Članak 8.                                    1.    Odvojivi mediji koji sadrže podatke zaštićuju se od neov­
                                                                           laštenoga pristupa, zlouporabe ili oštećivanja, a njihova se čitlji­
                   Provedba sigurnosnih mjera                              vost osigurava tijekom cijelog životnog vijeka podataka.
1.     Provedba zadaća i zahtjeva utvrđenih u ovoj Odluci i u
sigurnosnoj politici, uključujući zadaću imenovanja lokalnog
službenika za sigurnost, može se ugovoriti s vanjskim izvođa­              2.    Kada više ne postoji potreba za njima, nosači podataka
čima ili povjeriti privatnim ili javnim tijelima.                          zbrinjavaju se na siguran način u skladu s podrobnim postup­
                                                                           cima utvrđenim u sigurnosnoj politici.
2.     U tom slučaju Komisija pravno obvezujućim sporazumom
osigurava da se zahtjevi utvrđeni u ovoj Odluci i u sigurnosnoj
                                                                           3.    Registrima se osigurava dostupnost informacija o lokaci­
politici u cijelosti poštuju. Ako se zadaća imenovanja lokalnog
                                                                           jama čuvanja podataka, važećim razdobljima čuvanja i ovlašte­
sigurnosnog službenika delegira ili se njezino izvođenje povjeri
                                                                           njima za pristup.
vanjskom izvođaču, Komisija pravno obvezujućim sporazumom
osigurava da će se izvođač zadaće savjetovati s Komisijom u
vezi s osobom koju treba imenovati za lokalnog službenika za
sigurnost.                                                                 4.    Utvrđuju se sva važna sredstva središnjeg VIS-a i komuni­
                                                                           kacijske infrastrukture kako bi ih se moglo zaštititi u skladu s
                                                                           njihovom važnošću. Vodi se registar odgovarajuće opreme
                              Članak 9.                                    informacijske tehnologije, koji se stalno ažurira.
                     Nadzor pristupa opremi
1.     Za zaštitu područja u kojima se nalazi oprema za obradu             5.    Na raspolaganju je dokumentacija o središnjem VIS-u i
podataka koriste se sigurnosna područja s odgovarajućim                    komunikacijskoj infrastrukturi, koja se stalno ažurira. Takva
preprekama i kontrolama ulaza.                                             dokumentacija mora biti zaštićena od neovlaštenog pristupa.
 ---pagebreak--- 228                   HR                                Službeni list Europske unije                                               19/Sv. 16
                            Članak 11.                                    Uporaba sistemskih pomagala koja bi mogla zaobići sistemski i
                                                                          programski nadzor ograničava se i nadzire. Uvode se postupci
                          Nadzor čuvanja                                  za nadzor instalacije softvera.
1.     Poduzimaju se odgovarajuće mjere kako bi se osiguralo
ispravno čuvanje podataka i sprečavanje neovlaštenog pristupa
podacima.                                                                                              Članak 14.
                                                                                                  Nadzor priopćavanja
2.     Svi elementi opreme koji sadrže nosače za čuvanje poda­            Komunikacijska infrastruktura nadzire se kako bi se osigurala
taka na siguran se način uništavaju ili se prije odlaganja provje­        raspoloživost, cjelovitost i povjerljivost razmjene informacija. Za
ravaju kako bi se osiguralo da su osjetljivi podaci uklonjeni ili         zaštitu podataka koji se prenose putem komunikacijske infra­
da su preko njih u cijelosti zapisani drugi podaci.                       strukture koriste se šifrirana sredstva.
                            Članak 12.                                                                 Članak 15.
                          Nadzor lozinki                                                        Nadzor unosa podataka
1.     Sve se lozinke čuvaju na sigurnom i s njima se postupa             Račune osoba kojima je odobren pristup softveru VIS-a putem
povjerljivo. Ako se pojavi sumnja da je lozinka otkrivena, treba          središnjeg VIS-a nadzire lokalni službenik za sigurnost središ­
je odmah promijeniti ili onemogućiti korisnički račun. Koriste se         njeg VIS-a. Uporaba tih računa, uključujući vrijeme i korisnički
jedinstveni i individualni korisnički identiteti.                         identitet, registrira se.
2.     U sigurnosnoj politici određuju se postupci za prijavlji­                                       Članak 16.
vanje i odjavljivanje kako bi se spriječio svaki neovlašteni
pristup.                                                                                            Nadzor prijenosa
                                                                          1.     U okviru sigurnosne politike određuju se odgovarajuće
                                                                          mjere za sprečavanje neovlaštenog čitanja, kopiranja, mijenjanja
                            Članak 13.                                    ili brisanja osobnih podataka tijekom njihova prijenosa u VIS ili
                                                                          iz VIS-a ili tijekom prijenosa nosača podataka. U okviru sigur­
                         Nadzor pristupa                                  nosne politike utvrđuju se odredbe u pogledu dopuštenih oblika
                                                                          slanja ili prijenosa te u vezi s postupcima odgovornosti za
1.     U okviru sigurnosne politike uspostavlja se postupak za
                                                                          prijenos predmeta i njihovo stizanje na odredište. Nosač poda­
službenu registraciju i de-registraciju osoblja, kojim se za
                                                                          taka ne sadrži nikakve druge podatke, osim onih koje treba
potrebe operativnog upravljanja odobrava ili ukida pristup
                                                                          poslati.
hardveru i softveru središnjeg VIS-a. Dodjeljivanje i uporaba
odgovarajućih provjera za pristup (lozinke ili druga odgovara­
juća sredstva) nadziru se službenim upravljačkim postupkom
kako je određen u sigurnosnoj politici.                                   2.     Usluge koje pružaju treće stranke, a uključuju pristup,
                                                                          obradu i priopćavanje podataka ili upravljanje opremom za
                                                                          obradu podataka ili dodavanje proizvoda ili usluga opremi za
                                                                          obradu podataka, imaju odgovarajuće integrirane sigurnosne
2.     Pristup hardveru i softveru središnjeg VIS-a:
                                                                          kontrole.
  i. ograničen je na ovlaštene osobe;
                                                                                                       Članak 17.
                                                                                      Sigurnost komunikacijske infrastrukture
 ii. ograničen je na slučajeve u kojima je moguće utvrditi legi­
                                                                          1.     Komunikacijskom infrastrukturom na odgovarajući se
     timnu svrhu u skladu s člankom 42. i člankom 50. stavkom
                                                                          način upravlja i ona se nadzire kako bi se zaštitila od opasnosti
     2. Uredbe (EZ) br. 767/2008;
                                                                          i kako bi se osigurala sigurnost same komunikacijske infrastruk­
                                                                          ture i središnjeg VIS-a, uključujući podatke koji se putem njih
                                                                          razmjenjuju.
iii. ne traje dulje i nije opsežniji nego što je to potrebno za
     potrebe pristupa; i
                                                                          2.     Sigurnosna svojstva, razine usluga i zahtjevi upravljanja za
                                                                          sve mrežne usluge utvrđuju se u okviru sporazuma o osigura­
iv. događa se samo u skladu s politikom za nadzor pristupa,               vanju mrežnih usluga s pružateljem usluga.
     koja se određuje u okviru sigurnosne politike.
                                                                          3.     Osim pristupnih točaka VIS-u, zaštićuju se i sve dodatne
3.     U središnjem VIS-u koriste se samo konzole i softver koje          usluge koje koristi komunikacijska infrastruktura. U okviru
je odobrio lokalni službenik za sigurnost središnjeg VIS-a.               sigurnosne politike definiraju se odgovarajuće mjere.
 ---pagebreak--- 19/Sv. 16             HR                               Službeni list Europske unije                                                  229
                             Članak 18.                                  3.    Sa svim osobama na koje se ne primjenjuju pravila javnih
                                                                         službi Europske unije ili države članice sklapaju se sporazumi o
                              Praćenje                                   povjerljivosti i tajnosti. Osoblje koje mora raditi s podacima
1.     Evidencije s podacima iz članka 34. stavka 1. Uredbe (EZ)         VIS-a ima potrebnu dozvolu ili potvrdu u skladu s podrobnim
br. 767/2008 koje se odnose na svako pristupanje podacima i              postupcima koji se određuju u okviru sigurnosne politike.
svaki postupak njihove obrade u okviru središnjeg VIS-a se,
tijekom razdoblja iz članka 34. stavka 2. Uredbe (EZ)
767/2008, čuvaju na sigurnom u prostorijama, i iz njih su                                            Članak 21.
dostupne, u kojima su smješteni glavni središnji VIS i sigur­
nosna kopija središnjeg VIS-a.                                                                  Informacije osoblja
                                                                         1.    Svom osoblju i, prema potrebi, ugovarateljima osigurava
2.     U okviru sigurnosne politike određuju se postupci za              se odgovarajuće osposobljavanje o sigurnosnoj svijesti, pravnim
praćenje uporabe ili nedostataka opreme za obradu podataka,              zahtjevima, politikama i postupcima, u mjeri u kojoj je to
a rezultati praćenja redovito se preispituju. Prema potrebi se           potrebno za njihove dužnosti.
poduzimaju odgovarajuće mjere.
                                                                         2.    U okviru sigurnosne politike, za osoblje i ugovaratelje
3.     Sredstva za vođenje evidencije i same evidencije zaštićuju        kojima prestaje zaposlenje ili im istječe ugovor određuju se
se od nedopuštenog zahvata i od neovlaštenog pristupa kako bi            odgovornosti povezane s mijenjanjem ili prestankom zaposle­
se ispunili zahtjevi u vezi s prikupljanjem podataka i kako bi se        nja, kao i postupci za upravljanje povratom sredstava i oduzi­
sačuvali dokazi tijekom razdoblja čuvanja.                               manjem prava na pristup.
                             Članak 19.
                                                                                                    POGLAVLJE V.
                         Mjere šifriranja
                                                                                                ZAVRŠNE ODREDBE
Za zaštitu informacija koriste se, prema potrebi, mjere šifriranja.
Njihovu uporabu, svrhu i uvjete uporabe mora prethodno                                               Članak 22.
odobriti službenik za sigurnost sustava.
                                                                                                      Primjena
                           POGLAVLJE IV.                                 1.    Ova se Odluka primjenjuje od datuma koji odredi Komi­
                                                                         sija u skladu s člankom 48. stavkom 1. Uredbe (EZ)
                SIGURNOST LJUDSKIH RESURSA                               br. 767/2008.
                             Članak 20.
                          Profili osoblja                                2.    Ova Odluka prestaje važiti u trenutku kada upravno tijelo
                                                                         preuzme svoje odgovornosti.
1.     U okviru sigurnosne politike definiraju se zadaće i odgo­
vornosti osoba kojima je odobren pristup središnjem VIS-u,
uključujući i komunikacijskoj infrastrukturi.
                                                                         Sastavljeno u Bruxellesu 4. svibnja 2010.
2.     Sigurnosne uloge i odgovornosti osoblja Komisije, ugova­
ratelja i osoblja uključenog u operativno upravljanje definiraju
se, dokumentiraju i priopćavaju dotičnim osobama. Za osoblje                                                  Za Komisiju
Komisije te uloge i odgovornosti navedene su u opisu posla i
ciljeva; za ugovaratelje su te uloge i odgovornosti navedene u                                                 Predsjednik
ugovorima ili sporazumima o razini usluge.                                                               José Manuel BARROSO