CELEX: 32007D0170
Language: pt
Date: 2007-03-16 00:00:00
Title: 2007/170/CE: Decisão da Comissão, de 16 de Março de 2007 , que estabelece os requisitos de rede do Sistema de Informação de Schengen II (1. o pilar) [notificada com o número C(2007) 845]

20.3.2007   
            
            
               PT
            
            
               Jornal Oficial da União Europeia
            
            
               L 79/20
            
         
      DECISÃO DA COMISSÃO
   
   de 16 de Março de 2007
   que estabelece os requisitos de rede do Sistema de Informação de Schengen II (1.o pilar)
   [notificada com o número C(2007) 845]
   (Apenas fazem fé os textos nas línguas alemã, búlgara, checa, eslovaca, eslovena, espanhola, estónia, finlandesa, francesa, grega, húngara, italiana, letã, lituana, maltesa, neerlandesa, polaca, portuguesa, romena e sueca)
   (2007/170/CE)
   A COMISSÃO DAS COMUNIDADES EUROPEIAS,
   Tendo em conta o Tratado que institui a Comunidade Europeia,
   Tendo em conta o Regulamento (CE) n.o 2424/2001 do Conselho, de 6 de Dezembro de 2001, relativo ao desenvolvimento da segunda geração do Sistema de Informação de Schengen (SIS II) (1), nomeadamente a alínea a) do artigo 4.o,
   Considerando o seguinte:
   
               (1)
            
            
               Para desenvolver o SIS II é necessário estabelecer especificações técnicas em relação à rede de comunicações, aos seus componentes e aos requisitos específicos da rede.
            
         
               (2)
            
            
               A Comissão e os Estados-Membros devem estabelecer disposições adequadas, em particular no que respeita aos elementos da interface nacional uniforme situada nos Estados-Membros.
            
         
               (3)
            
            
               A presente decisão não prejudica a adopção futura de outras decisões da Comissão ligadas ao desenvolvimento do SIS II, designadamente relativas à definição dos requisitos de segurança.
            
         
               (4)
            
            
               O desenvolvimento do SIS II rege-se pelo Regulamento (CE) n.o 2424/2001 e pela Decisão 2001/886/JAI do Conselho (2). Para assegurar que o desenvolvimento do SIS II no seu todo seja objecto de um só processo de execução, as disposições da presente decisão devem corresponder às da decisão da Comissão que estabelece os requisitos de rede do SIS II a adoptar em aplicação da Decisão 2001/886/JAI.
            
         
               (5)
            
            
               Nos termos da Decisão 2000/365/CE do Conselho, de 29 de Maio de 2000, sobre o pedido do Reino Unido da Grã-Bretanha e da Irlanda do Norte para participar em algumas das disposições do acervo de Schengen (3), o Reino Unido não participou na adopção do Regulamento (CE) n.o 2424/2001 e não está por ele vinculado nem sujeito à sua aplicação, uma vez que constitui um desenvolvimento das disposições do acervo de Schengen. O Reino Unido não é, por conseguinte, destinatário da presente decisão da Comissão.
            
         
               (6)
            
            
               Nos termos da Decisão 2002/192/CE do Conselho, de 28 de Fevereiro de 2002, sobre o pedido da Irlanda para participar em algumas das disposições do acervo de Schengen (4), a Irlanda não participou na adopção do Regulamento (CE) n.o 2424/2001 e não está por ele vinculada nem sujeita à sua aplicação, uma vez que constitui um desenvolvimento das disposições do acervo de Schengen. A Irlanda não é, por conseguinte, destinatária da presente decisão da Comissão.
            
         
               (7)
            
            
               Nos termos do disposto no artigo 5.o do Protocolo relativo à posição da Dinamarca, anexo ao Tratado da União Europeia e ao Tratado que institui a Comunidade Europeia, a Dinamarca decidiu integrar o Regulamento (CE) n.o 2424/2001 no direito dinamarquês. Por conseguinte, o Regulamento (CE) n.o 2424/2001 vincula a Dinamarca nos termos do direito internacional.
            
         
               (8)
            
            
               No que diz respeito à Islândia e à Noruega, o Regulamento (CE) n.o 2424/2001 e a Decisão 2001/886/JAI constituem um desenvolvimento das disposições do acervo de Schengen na acepção do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação dos dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (5), que se integra no âmbito do domínio referido no artigo 1.o, ponto B, da Decisão 1999/437/CE do Conselho, de 17 de Maio de 1999, relativa a determinadas regras de aplicação do Acordo celebrado pelo Conselho da União Europeia com a República da Islândia e o Reino da Noruega relativo à associação dos dois Estados à execução, à aplicação e ao desenvolvimento do acervo de Schengen (6).
            
         
               (9)
            
            
               No que diz respeito à Suíça, o Regulamento (CE) n.o 2424/2001 e a Decisão 2001/886/JAI constituem um desenvolvimento das disposições do acervo de Schengen na acepção do Acordo assinado entre a União Europeia, a Comunidade Europeia e a Confederação Suíça relativo à associação deste Estado à execução, à aplicação e ao desenvolvimento do acervo de Schengen, que se integra no âmbito do domínio referido no n.o 1 do artigo 4.o da Decisão do Conselho respeitante à assinatura, em nome da Comunidade Europeia, e à aplicação provisória de determinadas disposições do mesmo acordo.
            
         
               (10)
            
            
               A presente decisão constitui um acto baseado no acervo de Schengen ou de algum modo com ele relacionado, na acepção do n.o 1 do artigo 3.o do Acto de Adesão.
            
         
               (11)
            
            
               As medidas previstas na presente decisão estão em conformidade com o parecer do Comité instituído pelo n.o 1 do artigo 6.o do Regulamento (CE) n.o 2424/2001,
            
         ADOPTOU A PRESENTE DECISÃO:
   Artigo 1.o
   
   As especificações técnicas ligadas à concepção da arquitectura física da infra-estrutura de comunicação do SIS II são as estabelecidas no anexo.
   Artigo 2.o
   
   Os destinatários da presente decisão são o Reino da Bélgica, a República da Bulgária, a República Checa, a República Federal da Alemanha, a República da Estónia, a República Helénica, o Reino de Espanha, a República Francesa, a República Italiana, a República de Chipre, a República da Letónia, a República da Lituânia, o Grão-Ducado do Luxemburgo, a República da Hungria, a República de Malta, o Reino dos Países Baixos, a República da Áustria, a República da Polónia, a República Portuguesa, a Roménia, a República da Eslovénia, a República Eslovaca, a República da Finlândia e o Reino da Suécia.
   
      Feito em Bruxelas, em 16 de Março de 2007.
      
         
            Pela Comissão
         
         Franco FRATTINI
         
         
            Vice-Presidente
         
      
   
   
      (1)  JO L 328 de 13.12.2001, p. 4. Regulamento alterado pelo Regulamento (CE) n.o 1988/2006 (JO L 411 de 30.12.2006, p. 1).
   
      (2)  JO L 328 de 13.12.2001, p. 1.
   
      (3)  JO L 131 de 1.6.2000, p. 43. Decisão alterada pela Decisão 2004/926/CE (JO L 395 de 31.12.2004, p. 70).
   
      (4)  JO L 64 de 7.3.2002, p. 20.
   
      (5)  JO L 176 de 10.7.1999, p. 36.
   
      (6)  JO L 176 de 10.7.1999, p. 31.
   
      ANEXO
      ÍNDICE
      
                  1.
               
               Introdução …
            
                  1.1.
               
               Acrónimos e abreviaturas …
            
                  2.
               
               Apresentação geral …
            
                  3.
               
               Cobertura geográfica …
            
                  4.
               
               Serviços da rede …
            
                  4.1.
               
               Arquitectura da rede …
            
                  4.2.
               
               Tipo de ligação entre a CS-SIS principal e a CS-SIS auxiliar …
            
                  4.3.
               
               Largura de banda …
            
                  4.4.
               
               Classes de serviço …
            
                  4.5.
               
               Protocolos suportados …
            
                  4.6.
               
               Especificações técnicas …
            
                  4.6.1.
               
               Endereçamento IP …
            
                  4.6.2.
               
               Suporte IPv6 …
            
                  4.6.3.
               
               Injecção estática de rotas …
            
                  4.6.4.
               
               Débito constante …
            
                  4.6.5.
               
               Outras especificações …
            
                  4.7.
               
               Robustez …
            
                  5.
               
               Controlo …
            
                  6.
               
               Serviços genéricos …
            
                  7.
               
               Disponibilidade …
            
                  8.
               
               Serviços de segurança …
            
                  8.1.
               
               Cifragem da rede …
            
                  8.2.
               
               Outras características de segurança …
            
                  9.
               
               Serviço de assistência e estrutura de apoio …
            
                  10.
               
               Interacção com outros sistemas …
            1.   Introdução
      O presente documento descreve a concepção da rede de comunicações, os seus componentes e os requisitos específicos da rede.
      1.1.   Acrónimos e abreviaturas
      A presente secção descreve os acrónimos utilizados no documento.
      
                  Acrónimos e abreviaturas
               
               
                  Descrição
               
            
                  BLNI
               
               
                  Interface nacional local auxiliar (Backup Local National Interface)
               
            
                  CEP
               
               
                  Ponto terminal central (Central End Point)
               
            
                  CNI
               
               
                  Interface nacional central (Central National Interface)
               
            
                  CS
               
               
                  Sistema central (Central System)
               
            
                  CS-SIS
               
               
                  Função de apoio técnico que abrange a base de dados SIS II
               
            
                  DNS
               
               
                  Servidor de nome de domínio (Domain Name Server)
               
            
                  FCIP
               
               
                  Canal de fibra sobre IP (Fibre Channel over IP)
               
            
                  FTP
               
               
                  Protocolo de Transferência de Ficheiros (File Transport Protocol)
               
            
                  HTTP
               
               
                  Protocolo de Transferência de Hipertexto (Hyper Text Transfer Protocol)
               
            
                  IP
               
               
                  Protocolo Internet (Internet Protocol)
               
            
                  LAN
               
               
                  Rede de área local (Local Area Network)
               
            
                  LNI
               
               
                  Interface nacional local (Local National Interface)
               
            
                  Mbps
               
               
                  Megabits por segundo
               
            
                  MDC
               
               
                  Principal contratante responsável pelo desenvolvimento (Main Developer Contractor)
               
            
                  N.SIS II
               
               
                  Secção nacional em cada Estado-Membro
               
            
                  NI-SIS
               
               
                  Interface nacional uniforme
               
            
                  NTP
               
               
                  Protocolo de Sincronização de Tempo (Network Time Protocol)
                  
               
            
                  SAN
               
               
                  Rede de armazenamento (Storage Area Network)
               
            
                  SDH
               
               
                  Hierarquia digital síncrona (Synchronous Digital Hierarchy)
               
            
                  SIS II
               
               
                  Sistema de Informação de Schengen, segunda geração
               
            
                  SMTP
               
               
                  Protocolo de Transferência de Correio Simples (Simple Mail Transport Protocol)
               
            
                  SNMP
               
               
                  Protocolo de Gestão de Rede Simples (Simple Network Management Protocol)
               
            
                  s-TESTA
               
               
                  Serviços Seguros Transeuropeus de Telemática entre as Administrações (Secure Trans-European Services for Telematics between Administrations), uma medida do programa IDABC (prestação interoperável de serviços pan-europeus de administração em linha a administrações públicas, empresas e cidadãos. Decisão 2004/387/CE do Parlamento Europeu e do Conselho de 21.4.2004).
               
            
                  TCP
               
               
                  Protocolo de Controlo de Transmissão (Transmission Control Protocol)
               
            
                  VIS
               
               
                  Sistema de informação sobre vistos (Visa Information System)
               
            
                  VPN
               
               
                  Rede privada virtual (Virtual Private Network)
               
            
                  WAN
               
               
                  Rede de área alargada (Wide Area Network)
               
            2.   Apresentação geral
      O SIS II integra os seguintes elementos:
      
                  —
               
               
                  O sistema central (a seguir denominado «SIS II Central») que comporta:
                  
                              —
                           
                           
                              uma função de apoio técnico (a seguir denominada «CS-SIS») que abrange a base de dados SIS II. A CS-SIS principal assegura a supervisão e a administração técnica e a CS-SIS auxiliar pode assegurar todas as funcionalidades da CS-SIS principal em caso de avaria deste sistema;
                           
                        
                              —
                           
                           
                              uma interface nacional uniforme (a seguir denominada «NI-SIS»);
                           
                        
            
                  —
               
               
                  Uma secção nacional (a seguir denominada «N.SIS II») em cada um dos Estados-Membros, que integra os sistemas de dados nacionais que comunicam com o SIS II Central. Um N.SIS II pode conter um ficheiro de dados (a seguir denominado «cópia nacional») que contém uma cópia total ou parcial da base de dados SIS II;
               
            
                  —
               
               
                  Uma infra-estrutura de comunicação entre a CS-SIS e a NI-SIS (a seguir denominada «Infra-Estrutura de Comunicação») que disponibiliza uma rede virtual cifrada dedicada aos dados do SIS II e ao intercâmbio de dados entre os gabinetes Sirene.
               
            A NI-SIS inclui:
      
                  —
               
               
                  Uma Interface Nacional Local (a seguir denominada «LNI») em cada Estado-Membro, ou seja, uma interface que ligue fisicamente o Estado-Membro à rede de comunicação segura e disponha dos dispositivos de cifragem afectados ao tráfego SIS II e Sirene. A LNI está situada no Estado-Membro;
               
            
                  —
               
               
                  Uma Interface Nacional Local Auxiliar facultativa (a seguir denominada «BLNI») que tem exactamente o mesmo conteúdo e função que a LNI.
               
            A LNI e a BLNI devem ser utilizadas exclusivamente pelo sistema SIS II e para o intercâmbio Sirene. A configuração específica da LNI e da BLNI será especificada e aprovada em colaboração com cada Estado-Membro a fim de atender aos requisitos de segurança, à localização física e às condições de instalação, incluindo a prestação de serviços pelo fornecedor da rede, o que significa que a ligação física s-TESTA pode abranger vários túneis VPN para outros sistemas, como o VIS e o Eurodac.
      
                  —
               
               
                  Uma Interface Nacional Central (a seguir denominada «CNI»), uma aplicação que garante a segurança do acesso à CS-SIS. Cada Estado-Membro tem pontos de acesso lógicos distintos à CNI através de uma firewall central.
               
            A Infra-Estrutura de Comunicação entre a CS-SIS e a NI-SIS comporta:
      
                  —
               
               
                  A rede dos Serviços Seguros Transeuropeus de Telemática entre as Administrações (a seguir denominada «s-TESTA») que disponibiliza uma rede privada virtual cifrada dedicada aos dados SIS II e ao tráfego Sirene.
               
            3.   Cobertura geográfica
      A Infra-Estrutura de Comunicação deve poder cobrir e prestar os serviços necessários a todos os Estados-Membros.
      Todos os Estados-Membros da UE (Bélgica, França, Alemanha, Luxemburgo, Países Baixos, Itália, Portugal, Espanha, Grécia, Áustria, Dinamarca, Finlândia, Suécia, Chipre, República Checa, Estónia, Hungria, Letónia, Lituânia, Malta, Polónia, Eslováquia, Eslovénia, Reino Unido e Irlanda) e ainda a Noruega, a Islândia e a Suíça.
      Além disso, é necessário assegurar a cobertura dos países aderentes (Roménia e Bulgária).
      Por último, a Infra-Estrutura de Comunicação deve poder ser alargada a qualquer outro país ou entidade com acesso ao SIS II Central (como a Europol e a Eurojust).
      4.   Serviços da rede
      Sempre que seja mencionado um protocolo ou uma arquitectura, pressupõe-se que são igualmente aceitáveis tecnologias, arquitecturas e protocolos futuros idênticos.
      4.1.   Arquitectura da rede
      A arquitectura do SIS II envolve serviços centralizados, acessíveis a partir dos vários Estados-Membros. Para efeitos de robustez, estes serviços centralizados são duplicados em dois locais diferentes, ou seja, em Estrasburgo, França, e em St. Johann im Pongau, Áustria, que acolhem, respectivamente, a CS-SIS principal (CU) e a CS-SIS auxiliar (BCU).
      As unidades centrais, principal e auxiliar, devem ser acessíveis a partir dos vários Estados-Membros. Os países participantes podem ter múltiplos pontos de acesso à rede, uma LNI e uma BLNI, para ligar os respectivos sistemas nacionais aos serviços centrais.
      Para além da ligação principal aos serviços centrais, a Infra-Estrutura de Comunicação deve também possibilitar o intercâmbio bilateral de informações complementares entre os gabinetes Sirene dos vários Estados-Membros.
      4.2.   Tipo de ligação entre a CS-SIS principal e a CS-SIS auxiliar
      O tipo de ligação necessária para a interligação entre a CS-SIS principal e a CS-SIS auxiliar deve ser um anel SDH ou equivalente, o que significa que deve estar igualmente aberta a novas arquitecturas e a tecnologias futuras. A infra-estrutura SDH será utilizada para alargar as redes locais de ambas as unidades centrais a fim de criar uma única LAN homogénea. Esta LAN será então utilizada para a sincronização contínua entre a CU e a BCU.
      4.3.   Largura de banda
      Um requisito essencial da Infra-Estrutura de Comunicação é a largura de banda que pode facultar aos vários sítios interligados e a sua capacidade de suportar esta largura de banda dentro da sua própria rede de base.
      A largura de banda necessária para a LNI e a BLNI facultativa variará consoante os Estados-Membros, sobretudo em função do recurso ou não a cópias nacionais, à pesquisa central e ao intercâmbio de dados biométricos.
      As larguras de banda reais que a Infra-Estrutura de Comunicação decidir proporcionar são irrelevantes desde que satisfaçam as necessidades mínimas de cada Estado-Membro.
      Cada um dos tipos de sítio acima referidos pode transferir grandes blocos de dados (alfanuméricos e biométricos, assim como documentos inteiros) em qualquer sentido. Por conseguinte, a Infra-Estrutura de Comunicação deve suportar uma velocidade mínima garantida de carregamento e descarregamento suficiente para cada ligação.
      A Infra-Estrutura de Comunicação deve proporcionar larguras de banda entre 2 Mbps e 155 Mbps ou superiores. A rede deve proporcionar velocidades garantidas mínimas suficientes de carregamento e descarregamento relativamente a cada ligação e deve ser dimensionada de forma a suportar a largura de banda total dos pontos de acesso da rede.
      4.4.   Classes de serviço
      O SIS II Central permitirá tratar pesquisas/alertas por ordem de prioridade. Por conseguinte, a Infra-Estrutura de Comunicação permitirá igualmente estabelecer prioridades para o tráfego.
      Pressupõe-se que os parâmetros das prioridades da rede sejam fixados pelo SIS II Central em relação a todos os pacotes que dela necessitem. Recorrer-se-á ao Weighted Fair Queuing, o que implica que a Infra-Estrutura de Comunicação deve poder assumir a ordem de prioridade atribuída aos pacotes de dados na LAN de origem e tratar em conformidade os pacotes na sua própria rede de base. Além disso, no sítio remoto, a Infra-Estrutura de Comunicação deve enviar os pacotes iniciais segundo a prioridade fixada na LAN de origem.
      4.5.   Protocolos suportados
      O SIS II Central utilizará vários protocolos de comunicação em rede. A Infra-Estrutura de Comunicação deve suportar um vasto leque de protocolos de comunicação em rede. Os protocolos normalizados a suportar são os seguintes: HTTP, FTP, NTP, SMTP, SNMP e DNS.
      Para além dos protocolos normalizados, a Infra-Estrutura de Comunicação deve poder igualmente suportar vários protocolos de encapsulamento, protocolos de replicação SAN e os protocolos de ligação protegidos «Java a Java» da BEA WebLogic. Os protocolos de encapsulamento, como o IPsec em modo túnel, serão utilizados para transferir o tráfego cifrado para o seu destino.
      4.6.   Especificações técnicas
      4.6.1.   Endereçamento IP
      A Infra-Estrutura de Comunicação deve dispor de uma gama de endereços IP reservados que apenas possam ser utilizados nessa rede. Na gama IP reservada, o SIS II Central utilizará um grupo dedicado de endereços IP que não será utilizado em qualquer outro local.
      4.6.2.   Suporte IPv6
      Pode pressupor-se que o protocolo utilizado nas redes locais dos Estados-Membros será o TCP/IP. No entanto, alguns sítios basear-se-ão na versão 4 e outros na versão 6. Os pontos de acesso da rede devem poder actuar como portas de ligação e poder funcionar independentemente dos protocolos de rede utilizados no SIS II Central e na N.SIS II.
      4.6.3.   Injecção estática de rotas
      A CU e a BCU podem utilizar um só endereço IP para comunicar com os Estados-Membros. Por conseguinte, a Infra-Estrutura de Comunicação deve poder suportar a injecção estática de rotas.
      4.6.4.   Débito constante
      Desde que a ligação CU ou BCU tenha uma taxa de utilização inferior a 90 %, um dado Estado-Membro deve poder manter continuamente 100 % da sua largura de banda especificada.
      4.6.5.   Outras especificações
      Para suportar a CS-SIS, a Infra-Estrutura de Comunicação deve pelo menos obedecer a um conjunto mínimo de especificações técnicas:
      O tempo de espera do tráfego deve ser (incluindo durante as horas de ponta) inferior ou igual a 150 ms para 95 % dos pacotes e inferior a 200 ms para a totalidade dos pacotes.
      A sua probabilidade de perda de pacotes deve ser (incluindo durante as horas de ponta) inferior ou igual a 10–4 para 95 % dos pacotes e inferior a 10–3 para a totalidade dos pacotes.
      As especificações acima referidas devem ser analisadas para cada um dos pontos de acesso.
      A ligação entre a CU e a BCU deve ter um tempo de ida e volta inferior ou igual a 60 ms.
      4.7.   Robustez
      A CS-SIS foi concebida por forma a satisfazer uma exigência de disponibilidade elevada. Por este motivo, o sistema integra mecanismos de robustez em relação a disfuncionamentos dos componentes, graças à duplicação de todo o equipamento.
      Os componentes da Infra-Estrutura de Comunicação devem ser igualmente à prova de avarias de componentes. No que respeita à Infra-Estrutura de Comunicação, isso significa que os componentes que se seguem devem obedecer ao critério de robustez:
      
                  —
               
               
                  rede de base,
               
            
                  —
               
               
                  dispositivos de encaminhamento,
               
            
                  —
               
               
                  pontos de presença,
               
            
                  —
               
               
                  ligações de lacete local (incluindo a cablagem fisicamente redundante),
               
            
                  —
               
               
                  dispositivos de segurança (dispositivos de cifragem, firewalls, etc.),
               
            
                  —
               
               
                  todos os serviços genéricos (DNS, NTP, etc.),
               
            
                  —
               
               
                  LNI/BLNI.
               
            Os mecanismos de failover de todo o equipamento da rede devem funcionar sem qualquer intervenção manual.
      5.   Controlo
      Para facilitar o controlo, as ferramentas de controlo da Infra-Estrutura de Comunicação devem poder ser integradas com as das instalações de controlo da organização responsável pela gestão operacional do SIS II Central.
      6.   Serviços genéricos
      Para além dos serviços de rede e de segurança dedicados, a Infra-Estrutura de Comunicação deve igualmente proporcionar serviços genéricos.
      Os serviços dedicados devem ser implementados em ambas as unidades centrais, para efeitos de redundância.
      Na Infra-Estrutura de Comunicação devem existir os serviços genéricos facultativos que se seguem:
      
                  Serviço
               
               
                  Informações adicionais
               
            
                  DNS
               
               
                  Actualmente, o procedimento de failover para comutar da CU para a BCU em caso de avaria da rede consiste na alteração do endereço IP no servidor DNS genérico.
               
            
                  E-mail relay
               
               
                  O recurso a um relé genérico de correio electrónico pode ser útil para normalizar a estrutura do correio electrónico para os vários Estados-Membros e, contrariamente a um servidor dedicado, não utiliza quaisquer recursos de rede da CU/BCU.
                  As mensagens de correio electrónico que utilizam o relé genérico de correio electrónico devem continuar a satisfazer o respectivo modelo de segurança.
               
            
                  NTP
               
               
                  Este serviço pode ser utilizado para sincronizar os relógios do equipamento de rede.
               
            7.   Disponibilidade
      A CS-SIS, a LNI e a BLNI devem ter uma disponibilidade de 99,99 % durante um período móvel de 28 dias, excepto no que respeita à disponibilidade da rede.
      A disponibilidade da Infra-Estrutura de Comunicação deve ser de 99,99 %.
      8.   Serviços de segurança
      8.1.   Cifragem da rede
      O SIS II Central não permite a transferência sem cifragem para fora da LAN de dados sujeitos a requisitos de protecção elevados ou muito elevados. Importa assegurar que o fornecedor de rede não tenha acesso algum aos dados operacionais SIS II, nem ao intercâmbio Sirene conexo.
      Para manter um elevado grau de segurança, a Infra-Estrutura de Comunicação deve possibilitar a gestão de certificados/chaves. Deve ser exequível a administração e controlo remoto das caixas de cifragem. Os algoritmos de cifragem devem, no mínimo, obedecer aos seguintes requisitos:
      
                  —
               
               
                  Algoritmos de cifragem simétrica:
                  
                              —
                           
                           
                              3DES (128 bits) ou superior,
                           
                        
                              —
                           
                           
                              a geração de chaves deve depender de um valor aleatório que não permita a redução do tamanho da chave durante um ataque,
                           
                        
                              —
                           
                           
                              chaves ou informações de cifragem que possam ser utilizadas para derivar as chaves estão sempre protegidas enquanto armazenadas;
                           
                        
            
                  —
               
               
                  Algoritmos de cifragem assimétrica:
                  
                              —
                           
                           
                              RSA (módulo de 1 024 bit) ou superior,
                           
                        
                              —
                           
                           
                              a geração de chaves deve depender de um valor aleatório que não permita a redução do tamanho da chave durante um ataque.
                           
                        
            Deve ser utilizado o Protocolo de Encapsulamento de Segurança de Carga Útil (ESP, RFC2406) em modo túnel. A carga útil e o cabeçalho IP original devem ser cifrados.
      Para o intercâmbio de chaves de sessão, deve ser utilizado o protocolo de intercâmbio de chaves da internet (IKE).
      As chaves IKE não devem ser válidas por períodos superiores a um dia.
      As chaves de sessão não devem ser válidas durante mais do que uma hora.
      8.2.   Outras características de segurança
      Para além de proteger os pontos de acesso SIS II, a Infra-Estrutura de Comunicação deve proteger igualmente os serviços genéricos facultativos. Estes serviços devem satisfazer medidas de protecção análogas às da CS-SIS. Todos os serviços genéricos devem portanto, no mínimo, estar protegidos por uma firewall, um antivírus e um sistema de detecção de intrusões. Além disso, os dispositivos de serviços genéricos e as respectivas medidas de protecção devem ser objecto de um controlo de segurança permanente (entrada e acompanhamento).
      Para manter um elevado nível de segurança, a organização responsável pela gestão operacional do SIS II Central deve estar ao corrente de quaisquer incidentes de segurança que ocorram na Infra-Estrutura de Comunicação. Por conseguinte, a Infra-Estrutura de Comunicação deve possibilitar a notificação imediata de incidentes de segurança à organização responsável pela gestão operacional do SIS II Central. Todos os incidentes de segurança devem ser comunicados regularmente (por exemplo, em relatórios mensais ou numa base ad hoc).
      9.   Serviço de assistência e estrutura de apoio
      O fornecedor da Infra-Estrutura de Comunicação deve providenciar um serviço de assistência que coopere com a organização responsável pela gestão operacional do SIS II Central.
      10.   Interacção com outros sistemas
      A Infra-Estrutura de Comunicação deve assegurar que não haja fugas de informação dos canais de comunicação atribuídos. No que respeita à implementação técnica, isso implica que:
      
                  —
               
               
                  é estritamente proibido qualquer acesso não autorizado e/ou não controlado a outras redes, o que abrange a interligação à internet;
               
            
                  —
               
               
                  não pode haver nenhuma fuga de dados para outros sistemas da rede; não é, por exemplo, permitida a interligação de VPN IP diferentes.
               
            Para além das restrições técnicas acima referidas, tem igualmente repercussões no serviço de assistência da Infra-Estrutura de Comunicação. O serviço de assistência não pode divulgar quaisquer informações relativas ao SIS II Central a nenhuma parte que não a responsável pela gestão operacional do SIS II Central.