CELEX: 32007D0171
Language: it
Date: 2007-03-16 00:00:00
Title: 2007/171/CE: Decisione della Commissione, del 16 marzo 2007 , che stabilisce i requisiti di rete per il sistema d’informazione Schengen II (terzo pilastro)

20.3.2007   
            
            
               IT
            
            
               Gazzetta ufficiale dell'Unione europea
            
            
               L 79/29
            
         
      DECISIONE DELLA COMMISSIONE
   
   del 16 marzo 2007
   che stabilisce i requisiti di rete per il sistema d’informazione Schengen II (terzo pilastro)
   (2007/171/CE)
   LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
   visto il trattato sull’Unione europea,
   vista la decisione 2001/886/GAI del Consiglio, del 6 dicembre 2001, sullo sviluppo del sistema d’informazione Schengen di seconda generazione (SIS II) (1), in particolare l’articolo 4, lettera a),
   considerando quanto segue:
   
               (1)
            
            
               Per sviluppare il SIS II è necessario stabilire specifiche tecniche per la rete di comunicazione e i suoi componenti, e specifici requisiti di rete.
            
         
               (2)
            
            
               Occorre attuare disposizioni pratiche fra la Commissione e gli Stati membri, specie per quanto riguarda gli elementi dell’interfaccia nazionale uniforme situata negli Stati membri.
            
         
               (3)
            
            
               La presente decisione fa salva l’adozione futura di altre decisioni della Commissione riguardanti lo sviluppo del SIS II e dei suoi requisiti di sicurezza in particolare.
            
         
               (4)
            
            
               Disciplinano lo sviluppo del SIS II il regolamento (CE) n. 2424/2001 del Consiglio (2) e la decisione 2001/886/GAI. Affinché l’intero SIS II si sviluppi secondo un unico processo di attuazione, è opportuno che le disposizioni della presente decisione corrispondano a quelle della decisione della Commissione che stabilisce i requisiti di rete per il SIS II in applicazione del regolamento (CE) n. 2424/2001.
            
         
               (5)
            
            
               Il Regno Unito partecipa alla presente decisione ai sensi dell’articolo 5 del protocollo sull’integrazione dell’acquis di Schengen nell’ambito dell’Unione europea allegato al trattato sull’Unione europea e al trattato che istituisce la Comunità europea, e dell’articolo 8, paragrafo 2, della decisione 2000/365/CE del Consiglio, del 29 maggio 2000, riguardante la richiesta del Regno Unito di Gran Bretagna e Irlanda del Nord di partecipare ad alcune disposizioni dell’acquis di Schengen (3).
            
         
               (6)
            
            
               L’Irlanda partecipa alla presente decisione ai sensi dell’articolo 5 del protocollo sull’integrazione dell’acquis di Schengen nell’ambito dell’Unione europea allegato al trattato sull’Unione europea e al trattato che istituisce la Comunità europea, e dell’articolo 6, paragrafo 2, della decisione 2002/192/CE del Consiglio, del 28 febbraio 2002, riguardante la richiesta dell’Irlanda di partecipare ad alcune disposizioni dell’acquis di Schengen (4).
            
         
               (7)
            
            
               Per quanto riguarda l’Islanda e la Norvegia, la presente decisione costitusce uno sviluppo dell’acquis di Schengen ai sensi dell’accordo concluso dal Consiglio dell’Unione europea con la Repubblica d’Islanda e il Regno di Norvegia sull’associazione di questi due Stati all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen, che ricade nell’ambito di cui all’articolo 1, lettera G, della decisione 1999/437/CE del Consiglio (5) relativa a talune modalità di applicazione di quell’accordo.
            
         
               (8)
            
            
               Per quanto riguarda la Svizzera, la presente decisione costituisce uno sviluppo dell’acquis di Schengen ai sensi dell’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione di quest’ultima all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen, che rientra nell’ambito contemplato all’articolo 1, lettera G, della decisione 1999/437/CE, in combinato disposto con l’articolo 4, paragrafo 1, della decisione 2004/849/CE del Consiglio (6) relativa alla firma, a nome dell’Unione europea, nonché all’applicazione provvisoria di alcune disposizioni di quell’accordo.
            
         
               (9)
            
            
               La presente decisione è un atto basato sull’acquis di Schengen o altrimenti ad esso correlato ai sensi dell’articolo 3, paragrafo 1, dell’atto di adesione.
            
         
               (10)
            
            
               Le misure di cui alla presente decisione sono conformi al parere del comitato istituito a norma dell’articolo 5, paragrafo 1, della decisione 2001/886/GAI,
            
         DECIDE:
   Articolo 1
   Le specifiche tecniche connesse alla progettazione dell’architettura fisica dell’infrastruttura di comunicazione del SIS II figurano in allegato.
   
      Fatto a Bruxelles, il 16 marzo 2007.
      
         
            Per la Commissione
         
         Franco FRATTINI
         
         
            Vicepresidente
         
      
   
   
      (1)  GU L 328 del 13.12.2001, pag. 1.
   
      (2)  GU L 328 del 13.12.2001, pag. 4. Regolamento modificato dal regolamento (CE) n. 1988/2006 (GU L 411 del 30.12.2006, pag. 1).
   
      (3)  GU L 131 dell’1.6.2000, pag. 43. Decisione modificata dalla decisione 2004/926/CE (GU L 395 del 31.12.2004, pag. 70).
   
      (4)  GU L 64 del 7.3.2002, pag. 20.
   
      (5)  GU L 176 del 10.7.1999, pag. 31.
   
      (6)  GU L 368 del 15.12.2004, pag. 26.
   
      ALLEGATO
      INDICE
      
                  1.
               
               Introduzione …
            
                  1.1.
               
               Acronimi e abbreviazioni …
            
                  2.
               
               Quadro generale …
            
                  3.
               
               Copertura geografica …
            
                  4.
               
               Servizi di rete …
            
                  4.1.
               
               Architettura di rete …
            
                  4.2.
               
               Tipo di connessione CS-SIS principale — CS-SIS di riserva …
            
                  4.3.
               
               Larghezza di banda …
            
                  4.4.
               
               Classi di servizio …
            
                  4.5.
               
               Protocolli supportati …
            
                  4.6.
               
               Specifiche techniche …
            
                  4.6.1.
               
               Indirizzi IP …
            
                  4.6.2.
               
               Supporto per IPv6 …
            
                  4.6.3.
               
               Route statiche …
            
                  4.6.4.
               
               Flusso sostenuto …
            
                  4.6.5.
               
               Altre specifiche …
            
                  4.7.
               
               Resilienza …
            
                  5.
               
               Monitoraggio …
            
                  6.
               
               Servizi generici …
            
                  7.
               
               Disponibilità …
            
                  8.
               
               Servizi di sicurezza …
            
                  8.1.
               
               Crittazione della rete …
            
                  8.2.
               
               Altri requisiti di sicurezza …
            
                  9.
               
               Helpdesk e stuttura di assistenza …
            
                  10.
               
               Interazione con altri sistemi …
            1.   Introduzione
      Il presente documento descrive l’architettura della rete di comunicazione, i suoi componenti e gli specifici requisiti di rete.
      1.1.   Acronimi e abbreviazioni
      La presente sezione spiega gli acronimi usati nel documento.
      
                  Acronimi e abbreviazioni
               
               
                  Spiegazione
               
            
                  BLNI
               
               
                  Backup Local National Interface, interfaccia nazionale locale di riserva
               
            
                  CEP
               
               
                  Central End Point
               
            
                  CNI
               
               
                  Central National Interface, interfaccia nazionale centrale
               
            
                  CS
               
               
                  Sistema centrale
               
            
                  CS-SIS
               
               
                  Unità di supporto tecnico contenente la banca dati del SIS II
               
            
                  DNS
               
               
                  Domain Name Server, server di nome di dominio
               
            
                  FCIP
               
               
                  Fibre Channel su IP
               
            
                  FTP
               
               
                  File Transport Protocol, protocollo di trasferimento file in Internet
               
            
                  HTTP
               
               
                  Hyper Text Transfer Protocol, protocollo per il trasferimento di pagine ipertestuali
               
            
                  IP
               
               
                  Protocollo Internet
               
            
                  LAN
               
               
                  Local Area Network, rete locale
               
            
                  LNI
               
               
                  Local National Interface, interfaccia nazionale locale
               
            
                  Mbps
               
               
                  Megabits per second
               
            
                  MDC
               
               
                  Main Developer Contractor
               
            
                  N.SIS II
               
               
                  Sezione nazionale in ciascuno Stato membro
               
            
                  NI-SIS
               
               
                  Interfaccia nazionale uniforme
               
            
                  NTP
               
               
                  Network Time Protocol
               
            
                  SAN
               
               
                  Storage Area Network
               
            
                  SDH
               
               
                  Synchronous Digital Hierarchy, gerarchia digitale sincrona
               
            
                  SIS II
               
               
                  Sistema d’informazione Schengen di seconda generazione
               
            
                  SMTP
               
               
                  Simple Mail Transport Protocol, protocollo Internet standard per l’invio di messaggi di posta elettronica
               
            
                  SNMP
               
               
                  Simple Network Management Protocol, protocollo per i servizi di gestione di reti Internet
               
            
                  s-TESTA
               
               
                  Rete di servizi transeuropei sicuri per la comunicazione telematica tra amministrazioni, iniziativa del programma IDABC (erogazione interoperabile di servizi paneuropei di governo elettronico alle amministrazioni pubbliche, alle imprese e ai cittadini. Decisione 2004/387/CE del Parlamento europeo e del Consiglio, del 21 aprile 2004)
               
            
                  TCP
               
               
                  Transmission Control Protocol
               
            
                  VIS
               
               
                  Visa Information System, sistema d’informazione visti
               
            
                  VPN
               
               
                  Virtual Private Network, rete virtuale privata
               
            
                  WAN
               
               
                  Wide Area Network, rete geografica
               
            2.   Quadro generale
      Il SIS II consta:
      
                  —
               
               
                  di un sistema centrale (di seguito «SIS II centrale») costituito da:
                  
                              —
                           
                           
                              un’unità di supporto tecnico (di seguito «CS-SIS») contenente la banca dati del SIS II. Il CS-SIS principale svolge funzioni di controllo e gestione tecnici mentre il CS-SIS di riserva è in grado di assicurare tutte le funzioni del CS-SIS principale in caso di guasto di tale sistema,
                           
                        
                              —
                           
                           
                              un’interfaccia nazionale uniforme (di seguito «NI-SIS»),
                           
                        
            
                  —
               
               
                  di una sezione nazionale (di seguito «N.SIS II») in ciascuno Stato membro, costituita dai sistemi di dati nazionali connessi con il SIS II centrale. Un N.SIS II può contenere un archivio di dati (di seguito «copia nazionale»), costituito da una copia completa o parziale della banca dati del SIS II,
               
            
                  —
               
               
                  di un’infrastruttura di comunicazione fra il CS-SIS e il NI-SIS (di seguito «infrastruttura di comunicazione») che è dotata di una rete virtuale cifrata dedicata ai dati SIS II e provvede allo scambio di informazioni tra uffici SIRENE.
               
            Il NI-SIS consta:
      
                  —
               
               
                  di un’interfaccia nazionale locale (di seguito «LNI») in ciascuno Stato membro che connette fisicamente lo Stato membro con la rete di comunicazione sicura e contiene i dispositivi crittografici dedicati al traffico del SIS II e della rete SIRENE. L’LNI è situato nello Stato membro,
               
            
                  —
               
               
                  di un’interfaccia nazionale locale di riserva facoltativa (di seguito «BLNI»), con contenuti e funzioni identici all’LNI.
               
            L’LNI e il BLNI sono a uso esclusivo del SIS II e della rete SIRENE. La specifica configurazione dell’LNI e del BLNI sarà stabilita e concordata con i singoli Stati membri per tener conto dei requisiti di sicurezza, della collocazione fisica e delle condizioni di installazione, compresi i servizi prestati dall’operatore di rete, in modo che la connessione fisica s-TESTA possa contenere più tunnel VPN per altri sistemi, per esempio il VIS e Eurodac,
      
                  —
               
               
                  di un’interfaccia nazionale centrale (di seguito «CNI»), di un’applicazione cioè che permette l’accesso sicuro al CS-SIS. Ciascuno Stato membro dispone di punti di accesso logico distinti al CNI attraverso un firewall centrale.
               
            L’infrastruttura di comunicazione fra il CS-SIS e l’NI-SIS consiste.
      
                  —
               
               
                  nella rete di servizi transeuropei sicuri per la comunicazione telematica tra amministrazioni (di seguito «s-TESTA») che è una rete privata virtuale e cifrata, dedicata ai dati SIS II e al traffico SIRENE.
               
            3.   Copertura geografica
      L’infrastruttura di comunicazione deve essere in grado di coprire e fornire a tutti gli Stati membri i servizi richiesti.
      Sono interessati tutti gli Stati membri dell’UE (Belgio, Francia, Germania, Lussemburgo, Paesi Bassi, Italia, Portogallo, Spagna, Grecia, Austria, Danimarca, Finlandia, Svezia, Cipro, Repubblica ceca, Estonia, Ungheria, Lettonia, Lituania, Malta, Polonia, Slovacchia, Slovenia, Regno Unito e Irlanda), nonché Norvegia, Islanda, Svizzera.
      Occorre inoltre provvedere alla copertura dei paesi di recente adesione, la Romania e la Bulgaria.
      Da ultimo, l’infrastruttura di comunicazione deve poter essere estesa a qualunque altro paese o organo che abbia accesso al SIS II centrale (ad esempio Europol, Eurojust).
      4.   Servizi di rete
      Ogni qualvolta si citi un protocollo o un’architettura, si intendono ugualmente accettabili le tecnologie, i protocolli o le architetture equivalenti future.
      4.1.   Architettura di rete
      L’architettura del SIS II si avvale di servizi centralizzati accessibili dai diversi Stati membri. Per ragioni di resilienza, i servizi centralizzati sono duplicati in due sedi distinte: Strasburgo, Francia, e Sankt Johann im Pongau, Austria, dove si trovano rispettivamente il CS-SIS principale (CU) e il CS-SIS di riserva (BCU).
      Le unità centrali — principale e di riserva — devono essere accessibili dai diversi Stati membri. I paesi partecipanti possono avere punti d’accesso multipli (un LNI e un BLNI) per interconnettere il rispettivo sistema nazionale ai servizi centrali.
      Oltre alla funzione principale di collegamento ai servizi centrali, l’infrastruttura di comunicazione deve assicurare lo scambio bilaterale di informazioni supplementari fra gli uffici SIRENE dei diversi Stati membri.
      4.2.   Tipo di connessione CS-SIS principale-CS-SIS di riserva
      Il tipo di connessione richiesta per l’interconnettività CS-SIS principale-CS-SIS di riserva deve definirsi in un anello SDH o equivalente, in modo che la connessione sia possibile in futuro anche con nuove architetture e tecnologie. Si userà l’infrastruttura SDH per ampliare le reti locali di entrambe le unità centrali e creare un’unica LAN senza interruzioni, che servirà in seguito per la sincronizzazione continua fra il CU e il BCU.
      4.3.   Larghezza di banda
      Requisito critico dell’infrastruttura di comunicazione è la larghezza di banda che può mettere a disposizione dei diversi siti interconnessi, e la capacità di supportare tale quantità lungo la dorsale di rete.
      La larghezza di banda necessaria per l’LNI e il BLNI facoltativo varierà da uno Stato membro all’altro, principalmente in funzione della scelta che intende operare: consultazione di copie nazionali, ricerca centrale e scambio di dati biometrici.
      La quantità di banda effettiva che l’infrastruttura di comunicazione deciderà di offrire è irrilevante fintanto che risponde alle esigenze minime di ciascuno Stato membro.
      Ognuno dei tipi di sito citati potrà trasferire grossi pacchetti di dati (alfanumerici, biometrici e documenti completi) in entrambe le direzioni. Di conseguenza, l’infrastruttura di comunicazione deve offrire e garantire, per ciascuna connessione, velocità minime di caricamento e scaricamento sufficienti.
      L’infrastruttura di comunicazione deve assicurare una portata di connessione compresa tra i 2 e 155 Mbps, o superiore. La rete deve offrire e garantire velocità minime di caricamento e scaricamento sufficienti per ciascuna connessione, e deve essere in grado di supportare la dimensione di banda totale dei punti di accesso alla rete.
      4.4.   Classi di servizio
      Il SIS II centrale sarà in grado di trattare, per ordine di priorità, le interrogazioni e le segnalazioni. Come requisito derivato, l’infrastruttura di comunicazione dovrà anche prioritarizzare il traffico.
      A fissare i parametri di prioritarizzazione sarà presumibilmente il SIS II centrale per tutti i pacchetti che lo richiedano. Sarà scelto il WFQ (weighted fair queuing) come disciplina di coda. Ne consegue che l’infrastruttura di comunicazione deve essere in grado di recepire l’ordine di priorità assegnato ai pacchetti sulla LAN di origine, e di trattarli di conseguenza all’interno della sua dorsale. Inoltre, deve consegnare al sito remoto i pacchetti iniziali contenenti lo stesso ordine di priorità fissato nella LAN di origine.
      4.5.   Protocolli supportati
      Il SIS II centrale farà uso di diversi protocolli di rete e l’infrastruttura di comunicazione dovrà essere in grado di supportarne un’ampia gamma, in particolare i protocolli standard http, FTP, NTP, SMTP, SNMP e DNS.
      Oltre ai protocolli standard, l’infrastruttura di comunicazione deve poter gestire diversi protocolli di tunneling, protocolli di replicazione SAN e i protocolli proprietari di connessione Java-to-Java di BEA WebLogic. I protocolli di tunneling — ad esempio IPsec in modalità tunnel — saranno usati per il trasferimento di messaggi cifrati a destinazione.
      4.6.   Specifiche tecniche
      4.6.1.   Indirizzi IP
      L’infrastruttura di comunicazione deve disporre di una gamma di indirizzi IP riservati utilizzabili esclusivamente dentro la rete. All’interno di questa gamma IP riservata, il SIS II centrale userà una serie dedicata di indirizzi IP che non saranno utilizzati altrove.
      4.6.2.   Supporto per IPv6
      Si può presumere che il protocollo usato nelle reti locali degli Stati membri sarà il TCP/IP. Alcuni siti saranno tuttavia basati sulla versione 4, altri sulla versione 6. I punti d’accesso alla rete devono poter fungere da gateway ed essere in grado di operare indipendentemente dai protocolli di rete usati nel SIS II centrale e nell’N.SIS II.
      4.6.3.   Route statiche
      Il CU e il BCU possono usare un unico e stesso indirizzo IP per le comunicazioni destinate agli Stati membri. L’infrastruttura di comunicazione deve quindi supportare route statiche.
      4.6.4.   Flusso sostenuto
      Fintanto che il CU o il BCU hanno un tasso di carico inferiore a 90 %, un dato Stato membro deve essere in grado di mantenere di continuo il 100 % della sua quantità di banda.
      4.6.5.   Altre specifiche
      Per supportare il CS-SIS, l’infrastruttura di comunicazione deve soddisfare una serie di specifiche tecniche minime.
      Il ritardo di transito (ore piene comprese) deve essere inferiore o pari a 150 ms per il 95 % dei pacchetti, e inferiore a 200 ms per il 100 % dei pacchetti.
      La probabilità di perdita (ore piene comprese) deve essere inferiore o pari a 10–4 per il 95 % dei pacchetti, e inferiore a 10–3 per il 100 % dei pacchetti.
      Le specifiche tecniche citate si applicano a ciascun punto di accesso separatamente.
      La connessione fra CU e BCU deve avere tempi di attraversamento andata-ritorno (round trip delay) inferiori o pari a 60 ms.
      4.7.   Resilienza
      Il CS-SIS è concepito per soddisfare requisiti di elevata disponibilità, per questo offre una resilienza integrata al disfunzionamento dei suoi costituenti duplicando l’intera apparecchiatura.
      I componenti dell’infrastruttura di comunicazione devono anch’essi sopperire a eventuali guasti di altri componenti. In altri termini, devono essere ridondati i seguenti elementi:
      
                  —
               
               
                  dorsale di rete,
               
            
                  —
               
               
                  dispositivi di istradamento (router),
               
            
                  —
               
               
                  punti di presenza (POP),
               
            
                  —
               
               
                  connessioni del local loop (compresi i cavi fisicamente ridondanti),
               
            
                  —
               
               
                  dispositivi di sicurezza (crittografici, firewall, ecc.),
               
            
                  —
               
               
                  tutti i servizi generici (DNS, NTP, ecc.),
               
            
                  —
               
               
                  LNI/BLNI.
               
            I meccanismi di failover dovranno attivarsi, per l’intera attrezzatura della rete, senza intervento manuale.
      5.   Monitoraggio
      Per agevolare il monitoraggio, gli strumenti di monitoring dell’infrastruttura di comunicazione devono potersi integrare nelle funzionalità di monitoring dell’organizzazione responsabile della gestione operativa del SIS II centrale.
      6.   Servizi generici
      Oltre alla rete dedicata e ai servizi di sicurezza, l’infrastruttura di comunicazione deve offrire servizi generici.
      I servizi dedicati devono essere implementati in entrambe le unità centrali, per ragioni di ridondanza.
      L’infrastruttura di comunicazione deve offrire i seguenti servizi generici facoltativi:
      
                  Servizio
               
               
                  Informazioni aggiuntive
               
            
                  DNS
               
               
                  Attualmente la procedura di failover per commutare dal CU al BCU in caso di guasto della rete è basata sul cambiamento di indirizzo IP nell’ambito del server DNS generico
               
            
                  Mail relay
               
               
                  Usare un mail relay generico può aiutare a standardizzare la configurazione mail dei diversi Stati membri e, diversamente da un server dedicato, non comporta uso di risorse di rete dal CU/BCU.
                  Le mail che passano per un mail relay generico devono comunque conformarsi al rispettivo template di sicurezza
               
            
                  NTP
               
               
                  Questo servizio può essere usato per sincronizzare gli orologi delle apparecchiature di rete
               
            7.   Disponibilità
      Il CS-SIS, l’LNI e il BLNI devono garantire una disponibilità del 99,99 % su un periodo continuo di 28 giorni, indipendentemente dalla disponibilità della rete.
      La disponibilità dell’infrastruttura di comunicazione deve essere del 99,99 %.
      8.   Servizi di sicurezza
      8.1.   Crittazione della rete
      Il SIS II centrale non autorizza il trasferimento in chiaro al di fuori della LAN di dati soggetti a requisiti di alta o altissima protezione. Deve essere garantito con ogni mezzo che l’operatore di rete non avrà accesso ai dati operativi del SIS II né ai connessi scambi SIRENE.
      Per mantenere un alto livello di sicurezza, l’infrastruttura di comunicazione deve permettere la gestione di certificati/chiavi. Deve essere possibile gestire e monitorare a distanza i dispositivi crittografici. Gli algoritmi crittografici devono quanto meno rispettare i seguenti requisiti
      
                  —
               
               
                  Algoritmi simmetrici:
                  
                              —
                           
                           
                              3-DES (128 bit) o superiore,
                           
                        
                              —
                           
                           
                              la generazione di chiavi deve dipendere da un valore casuale che non permetta la riduzione del keyspace in caso di attacco,
                           
                        
                              —
                           
                           
                              le chiavi o le informazioni crittografiche utilizzabili per derivare le chiavi sono sempre protette durante lo stoccaggio.
                           
                        
            
                  —
               
               
                  Algoritmi asimmetrici:
                  
                              —
                           
                           
                              RSA (modulo di 1 024 bit) o superiore,
                           
                        
                              —
                           
                           
                              la generazione di chiavi deve dipendere da un valore casuale che non permetta la riduzione del keyspace in caso di attacco.
                           
                        
            Sarà usato il protocollo Encapsulated Security Payload (ESP, RFC2406) implementato in Tunnel Mode. Il carico utile (payload) e l’header IP originale devono essere cifrati.
      Per lo scambio di chiavi di sessione va usato il protocollo IKE (Internet Key Exchange).
      La durata delle chiavi IKE non deve superare 1 giorno.
      La durata delle chiavi di sessione non deve superare l’ora.
      8.2.   Altri requisiti di sicurezza
      Oltre ai punti di accesso al SIS II, l’infrastruttura di comunicazione deve proteggere i servizi generici facoltativi. Questi devono comportare misure di protezione comparabili a quelle del CS-SIS. Tutti i servizi generici devono pertanto, come minimo, essere protetti da un firewall, un antivirus e un sistema anti-intrusione. Inoltre, i dispositivi dei servizi generici e le relative misure di protezione devono essere tenuti perennemente sotto controllo (logging e follow-up).
      Per mantenere un alto livello di sicurezza, l’organizzazione responsabile della gestione operativa del SIS II centrale deve essere informata di tutti gli incidenti di sicurezza riguardanti l’infrastruttura di comunicazione. L’infrastruttura di comunicazione deve pertanto permettere che gli incidenti di sicurezza siano riferiti senza indugio all’organizzazione responsabile della gestione operativa del SIS II centrale. Tutti gli incidenti di sicurezza devono essere riferiti con regolarità, per esempio una volta al mese e su base puntuale.
      9.   Helpdesk e stuttura di assistenza
      Il fornitore dell’infrastruttura di comunicazione deve prevedere un servizio di helpdesk che interagisca con l’organizzazione responsabile della gestione operativa del SIS II centrale.
      10.   Interazione con altri sistemi
      L’infrastruttura di comunicazione deve fare in modo che le informazioni non fuoriescano dai canali dedicati. Ai fini dell’applicazione tecnica, ciò comporta che:
      
                  —
               
               
                  sia strettamente vietato l’acceso, non autorizzato e/o non controllato, ad altre reti, compresa l’interconnettività a Internet,
               
            
                  —
               
               
                  non si verifichino perdite di dati verso altri sistemi in rete, vietando per esempio l’interconnessione di reti private virtuali diverse.
               
            Oltre a comportare queste restrizioni tecniche, l’interazione con altri sistemi ha un impatto anche sull’helpdesk. Questo infatti può non divulgare informazioni riguardanti il SIS II centrale a terzi diversi dall’organizzazione responsabile della sua gestione operativa.