natgillin/translations-raw huggingface dataset:
jednoho lokálního vnitrostátního rozhraní (dále jen „LNI“) provozovaného v každém členském státě, které fyzicky připojuje členský stát na zabezpečenou komunikační síť a obsahuje šifrovací zařízení pro přenos dat v rámci SIS II a SIRENE.
One Local National Interface (hereinafter referred to as ‘LNI’) in each Member State which is the interface that physically connect the Member State to the secure communication network and contain the encryption devices dedicated to SIS II and Sirene traffic.
LNI je umístěno na území členského státu,
The LNI is located at the Member State premises,
případně ze záložního lokálního vnitrostátního rozhraní (dále jen „BLNI“), které je totožné obsahem i funkcemi s LNI.
An optional Backup Local National Interface (hereinafter referred to as ‘BLNI’) which has exact the same content and function as the LNI.
LNI a BLNI musí být používána pouze pro systém SIS II a pro výměnu dat v rámci SIRENE.
The LNI and BLNI are to be used exclusively by the SIS II system and for Sirene exchange.
Přesná konfigurace LNI a BLNI bude specifikována po dohodě s každým z členských států, v zájmu zajištění požadavků na bezpečnost, fyzické umístění a podmínky instalace těchto rozhraní i na služby operátora sítě tak, aby fyzické spojení s-TESTA mohlo obsahovat více VPN tunelů k propojení na jiné systémy, např. VIS a Eurodac,
The specific configuration of the LNI and BLNI will be specified and agreed with each individual Member State in order to take account of security requirements, the physical location and conditions of installation, including the provision of services by the network provider, meaning the physical s-TESTA connection may contain several VPN tunnels for other systems, for example VIS and Eurodac.
centrálního vnitrostátního rozhraní (dále jen „CNI“), což je aplikace poskytující zabezpečený přístup k CS-SIS.
A Central National Interface (hereinafter referred to as ‘CNI’) which is an application securing access to the CS-SIS.
Každý stát má svůj logický přístupový bod do CNI přes centrální firewall.
Each Member State has separate logical access points to the CNI via a central firewall.
Komunikační infrastruktura mezi CS-SIS a NI-SIS se skládá z:
The Communication Infrastructure between the CS-SIS and the NI-SIS consists of:
celoevropské sítě pro zabezpečenou výměnu dat mezi státními správami (Secure Trans-European Services for Telematics between Administrations, dále jen „s-TESTA“) umožňující šifrovanou výměnu dat v rámci virtuální, privátní sítě, vyhrazené pro přenos dat v rámci SIS II a SIRENE.
The network for Secure Trans-European Services for Telematics between Administrations (hereinafter referred to as ‘s-TESTA’) that provides an encrypted, virtual, private network dedicated to SIS II data and Sirene traffic.
Zeměpisný rozsah
Geographical Coverage
Komunikační infrastruktura musí být schopna pokrýt všechny členské státy a poskytovat jim požadované služby.
The Communication Infrastructure must be able to cover and provide the required services to all Member States:
Týká se to všech členských států EU (Belgie, Francie, Německo, Lucembursko, Nizozemsko, Itálie, Portugalsko, Španělsko, Řecko, Rakousko, Dánsko, Finsko, Švédsko, Kypr, Česká republika, Estonsko, Maďarsko, Lotyšsko, Litva, Malta, Polsko, Slovensko, Slovinsko, Spojené království a Irsko) a také Norska, Islandu, Švýcarska.
All EU Member States (Belgium, Czech Republic, Denmark, Germany, Estonia, Ireland, Greece, Spain, France, Italy, Cyprus, Latvia, Lithuania, Luxembourg, Hungary, Malta, Netherlands, Austria, Poland, Portugal, Slovenia, Slovakia, Finland, Sweden, United Kingdom) and Iceland, Norway, Switzerland.
Je třeba také počítat s nutností zahrnout do systému Rumunsko a Bulharsko, které nově přistoupily k EU.
In addition, coverage of the accession countries Romania and Bulgaria needs to be catered for.
Komunikační infrastruktura musí být také rozšiřitelná na další země nebo subjekty, které budou mít přístup do centrálního SIS II (např. Europol, Eurojust).
Finally, the Communication Infrastructure must be able to be extended to any other country or entity acceding to the Central SIS II (e.g. Europol, Eurojust).
U pojmů protokol a architektura zmíněných v tomto textu se rozumí, že zahrnují také odpovídající budoucí technologie, protokoly a architektury.
When ever a protocol or architecture is mentioned, it should be understood that equal future technologies, protocols and architecture also are acceptable.
Struktura sítě
Network layout
Architektura systému SIS II je založena na využití centrálních databází, které jsou dostupné všem členským státům.
The SIS II architecture makes use of centralised services, which are accessible from the different Member States.
Pro zajištění maximální spolehlivosti systému jsou tyto centralizované databáze duplikovány a provozovány ve dvou lokalitách, a to jednak ve Štrasburku (Francie), kde je umístěn hlavní systém CS-SIS, CU, a jednak v St Johann im Pongau (Rakousko), kde je umístěn záložní systém CS-SIS, BCU.
For resiliency purposes these centralised services are duplicated to two different locations namely Strasbourg in France and St Johann im Pongau in Austria, respectively the CS-SIS, CU and backup CS-SIS, BCU.
Centrální jednotky, hlavní i záložní, musí být přístupné ze všech členských států.
The central units, main and backup, must be accessible from the different Member States.
Členské státy mohou disponovat více přístupovými body LNI a BLNI, jejichž prostřednictvím jsou vnitrostátní systémy propojeny s centrálními databázemi.
The participating countries may have multiple network access points, a LNI and a BLNI, to interconnect their National System to the central services.
Vedle hlavní funkce, jíž je zajištění přístupu k centrálním databázím, musí komunikační infrastruktura také umožňovat vzájemnou výměnu dat mezi kancelářemi SIRENE jednotlivých členských států.
Apart from the main connectivity towards the central services, the Communication Infrastructure must also support bilateral supplementary information exchange between the Sirene offices of the different Member States.
Propojení hlavního a záložního systému CS-SIS
Connection type principal CS-SIS — backup CS-SIS
Vzájemné propojení hlavního a záložního CS-SIS musí být zajištěno prostřednictvím sítě typu SDH kruhové topologie nebo její obdoby, tzn. že mohou být použity i jiné hierarchie a technologie, které budou k dispozici v budoucnu.
The required connection type for the interconnectivity between the principal CS-SIS and the backup CS-SIS must be an SDH ring or equivalent, meaning be open also for the new future architectures and technologies.
Na technologii SDH bude založena i infrastruktura lokálních sítí obou centrálních jednotek, které bude tvořit jednoduchý nedělený LAN.
The SDH infrastructure will be used to extend the local networks of both central units to create a seamless single LAN.
Prostřednictvím lokální datové sítě bude zajišťována spojitá synchronizace dat centrální jednotky (CU) a záložní centrální jednotky (BCU).
This LAN will then be used for the continuous synchronisation between the CU and BCU.
Přenosový výkon
Bandwidth
Zásadním požadavkem je, aby komunikační infrastruktura zajišťovala dostatečnou přenosovou rychlost pro datový provoz mezi jednotlivými body sítě, přičemž její páteřní síť musí být dimenzována na odpovídající přenosový výkon.
A critical requirement of the Communication Infrastructure is the bandwidth size that it may grant to the different interconnected sites and its capability to support this bandwidth inside its backbone network.
Přenosová rychlost, kterou bude vyžadovat LNI a fakultativní BLNI, bude však u každého členského státu jiná, a to v závislosti na tom, zda se daný stát rozhodne používat vnitrostátní kopie, využívat možnosti centrálního vyhledávání či přenosu biometrických dat.
The bandwidth needed for the LNI and the optional BLNI will be different for each Member State, mainly dependent on the choices of using national copies, central searching and biometric data exchange.
Není tedy tak důležité, jaký skutečný přenosový výkon bude komunikační infrastruktura poskytovat, ale to, aby tento výkon odpovídal minimálním požadavkům jednotlivých členských států.
The actual sizes that the Communication Infrastructure decides to offer are irrelevant as long as they comply with the minimal need of each Member State.
Každý z výše uvedených článků infrastruktury bude potenciálně odesílat a přijímat velké objemy dat (alfanumerických, biometrických nebo celých dokumentů).
Each of the aforementioned site types may transfer large chunks of data (alphanumeric, biometric and complete documents) in either direction.
Proto je nutné, aby komunikační infrastruktura poskytovala dostatečnou minimální zaručenou přenosovou rychlost v obou směrech (tj. upload a download).
Therefore, the Communication Infrastructure must supply sufficient minimal guaranteed upload and download speeds for each connection.
Komunikační infrastruktura musí poskytovat přenosovou rychlost v rozmezí od 2 Mbps do 155 Mbps nebo vyšší.
The Communication Infrastructure must offer connection sizes varying from 2 Mbps up to 155 Mbps or higher.
Síť musí zaručovat dostatečnou minimální rychlost pro upload a download na všech úsecích a musí být dimenzována tak, aby unesla celkový přenosový výkon všech přístupových bodů sítě.
The network must supply sufficient minimal guaranteed upload and download speeds for each connection and it must be sized to support the total bandwidth size of the network access points.
Třídy služeb
Classes of service
Centrální systém SIS II musí být schopen hierarchizovaně zpracovávat jednotlivé dotazy a hlášení.
The Central SIS II will support the capability of prioritisation of queries/alerts.
V návaznosti na tento požadavek musí komunikační infrastruktura podporovat možnost zvýhodnění určitých datových paketů vůči ostatnímu provozu (prioritizace datového toku).
As a derived requirement, the Communication Infrastructure will also support the possibility of traffic prioritisation.
Předpokládá se, že parametry zvýhodnění příslušných datových paketů v síti budou stanoveny centrálním SIS II, který pro obsluhu datových front bude používat algoritmus WFQ (Weighted Fair Queuing).
The network prioritisation parameters are assumed to be set by the Central SIS II for all packets that require it. Weighted Fair Queuing will be used.
Z toho vyplývá, že komunikační infrastruktura musí být schopna převzít informaci o prioritě přidělené datovému toku ve zdrojové síti LAN a odpovídajícím způsobem obsloužit datové pakety ve své páteřní síti.
This implies that the Communications Infrastructure must be able to take over the prioritisation assigned to the data packets on the source LAN and treat the packets accordingly within its own backbone network.
Navíc musí vzdálenému serveru předat původní pakety v pořadí priority, jaké jim bylo přiděleno ve zdrojové síti LAN.
Furthermore, at the remote site the Communication Infrastructure must deliver the initial packets containing the same prioritisation as set in the source LAN.
Podporované protokoly
Supported protocols
Centrální SIS II bude používat různé síťové komunikační protokoly, a komunikační infrastruktura by proto měla podporovat širokou řadu těchto protokolů.
The Central SIS II will make use of several networking communication protocols. The Communications Infrastructure should support a wide set of network communication protocols.
Ze standardních protokolů budou podporovány HTTP, FTP, NTP, SMTP, SNMP a DNS.
The standard protocols to be supported are HTTP, FTP, NTP, SMTP, SNMP and DNS.
Kromě standardních protokolů musí komunikační infrastruktura podporovat také různé protokoly tunelového propojení, protokoly úložných sítí SAN a firemní protokoly používané na platformě BEA WebLogic pro komunikaci „Java to Java“.
In addition to the standard protocols, the Communication Infrastructure must also be capable of handling different tunnelling protocols, SAN replication protocols and the proprietary Java-to-Java connection protocols of BEA WebLogic.
Pro šifrovaný datový přenos budou používány protokoly tunelového propojení, např. zabezpečený protokol IPsec v tunelovém režimu.
The tunnelling protocols, e.g. IPsec in tunnel mode, will be used to transfer encrypted traffic to its destination.
Adresování IP
IP addressing
Komunikační infrastruktura musí disponovat širokou řadou rezervovaných IP adres, které budou moci být používány pouze v rámci této sítě.
The Communications Infrastructure must have a range of reserved IP addresses that may solely be used within that network.
Z této řady adres bude pro centrální SIS II vyhrazena série statických IP adres, které nebudou používány nikde jinde.
Within the reserved IP range, the Central SIS II will use a dedicated set of IP addresses that will not be used anywhere else.
Podpora IPv6
Support for IPv6
Lze předpokládat, že protokol používaný na lokálních sítích členských států bude protokol TCP/IP.
It can be assumed that the protocol used on the local networks of the Member States will be TCP/IP.
Některé sítě však budou používat verzi protokolu IPv4, zatímco jiné verzi IPv6.
However some sites will be based on version 4 while others will be based on version 6.
Přístupové body do sítě musí proto mít možnost fungovat jako brána a být schopné pracovat nezávisle na síťových protokolech používaných v centrálním systému SIS II i v N.SIS II.
The network access points must offer the possibility to act as a gateway and must be able to operate independently from the network protocols used in the Central SIS II as well as in the N.SIS II.
Statické směrování
Static route injection
Jednotky CU a BCU mohou pro síťovou komunikaci s členskými státy používat jednu a tu samou IP adresu.
The CU and BCU can use a single and identical IP address for their communication to the Member States.
Komunikační infrastruktura by tedy měla podporovat statické směrování.
Therefore the Communication Infrastructure should support static route injection.
Plynulý datový tok
Sustained flow rate
Pokud je míra zátěže jednotky CU nebo BCU nižší než 90 %, daný členský stát musí být schopen nepřetržitě využívat 100 % své specifické šířky pásma.
As long as the CU or BCU connection has a load rate less of 90 %, a given Member State must be able to sustain continually 100 % of its specified bandwidth.
Ostatní technické požadavky
Other specifications
Má-li komunikační infrastruktura podporovat CS-SIS, musí odpovídat následujícím minimálním technickým požadavkům:
To support the CS-SIS, the Communication Infrastructure must at least comply with a minimum set of technical specifications:
Přenosové zpoždění nesmí být vyšší než 150 ms u 95 % paketů a než 200 ms u 100 % paketů (a to ani ve špičkovém provozu).
The transit delay must be (including the busy hours) less or equal to 150 ms in 95 % of packets and less than 200 ms in 100 % of packets.
Ztrátovost paketů nesmí přesáhnout 10–4 u 95 % paketů a 10–3 u 100 % paketů (a to ani ve špičkovém provozu).
Its probability of packet loss must be (including the busy hours) less or equal to 10-4 in 95 % of packets and less than 10-3 in 100 % of packets.
Výše zmíněné technické požadavky musí být aplikovány na každý přístupový bod.
The aforementioned specifications are to be considered for each access point separately.
Minimální odezva (Round Trip Delay) mezi jednotkami CU a BCU nesmí být delší než 60 ms.
The connection between the CU and BCU must have a round trip delay less or equal to 60 ms.
Odolnost proti výpadku
Resiliency
Systém CS-SIS byl koncipován tak, aby odpovídal požadavkům na vysokou dostupnost.
The CS-SIS has been designed with high availability as a requirement.
Systém je proto vybaven redundantně konfigurovanou architekturou, aby tak byla zajištěna jeho odolnost vůči výpadku některého z komponentů.
For this reason the system have integrated resiliency against component malfunctions by duplicating all equipment. The components of the Communication Infrastructure must also be resilient against component failure.
Jednotlivé části komunikační infrastruktury musí být rovněž odolné vůči výpadku komponentů.
For the Communication Infrastructure, it means that the following components must be resilient:
Týká se to následujících částí:
backbone network
páteřní síť,
routing devices
směrovací zařízení,
points of presence
přístupové body sítě, přístupové okruhy (včetně redundantní kabeláže),
local loop connections (including physically redundant cabling)
bezpečnostní zařízení (kryptovací jednotky, firewally apod.),
security devices (crypto devices, firewalls, etc.)
všechny standardní síťové služby (DNS, NTP apod.),
all generic services (DNS, NTP, etc.)
Všechny mechanismy zapojení redundantních síťových zařízení v případě výpadku musí fungovat bez jakéhokoli manuálního zásahu.
The failover mechanisms for all network equipment should occur without any manual intervention.
Pro usnadnění monitoringu musí být monitorovací nástroje komunikační infrastruktury schopny integrace do monitorovacích zařízení orgánu pověřeného operačním řízením centrálního SIS II.
To facilitate the monitoring, the Communication Infrastructure’s monitoring tools must be able to be integrated with those of the monitoring facilities of the organisation responsible for the operational management for the Central SIS II.
Běžné služby
Generic services
Kromě specializovaných síťových a zabezpečovacích služeb musí komunikační infrastruktura poskytovat také běžné služby.
Apart from the dedicated network and security services, the Communication Infrastructure must also offer generic services.
Z důvodů redundance musí být specializované síťové služby implementovány do obou centrálních jednotek.
Dedicated services must be implemented within both central units, for redundancy purposes.
Komunikační infrastruktura musí poskytovat následující volitelné běžné služby:
The following optional generic services must be present in the Communication Infrastructure:
Služba
Service
Současný systém zajištění proti výpadku, který automaticky přepne provoz z CU na záložní BCU v případě selhání sítě, je založen na změně IP adresy na běžném serveru DNS.
Currently the failover procedure for switching from the CU to the BCU in case of network failure is based on changing the IP address within the generic DNS server.
Používání obecných serverů pro elektronickou poštu (e-mail relay) by bylo vhodné aplikovat standardně ve všech členských státech, neboť výhodou obecných služeb je, že na rozdíl od dedikovaného serveru nezatěžují síťové zdroje hlavní a záložní jednotky.
Using a generic e-mail relay might be useful for standardising the e-mail set-up for the different Member States and, contrary to a dedicated server, does not use up any network resources from the CU/BCU.
Elektronická pošta, která bude procházet službou e-mail relay, musí samozřejmě vyhovovat bezpečnostnímu vzoru.
E-mails using the generic e-mail relay must still comply with their security template.
Tuto službu lze využívat k synchronizaci času síťových zařízení.
This service may be used to synchronize the clocks of network equipment.
CS-SIS i LNI a BLNI musí být schopny poskytovat dostupnost 99,99 % během klouzavého období 28 dnů, a to nezávisle na dostupnosti sítě.
The CS-SIS and the LNI and BLNI must be able to deliver an availability of 99,99 % over a 28-day rolling period excluding the network availability.
Dostupnost komunikační infrastruktury musí být 99,99 %.
The availability of the Communication Infrastructure must be 99,99 %.
Zabezpečovací služby
Security services
Šifrování datového toku
Network encryption
Centrální SIS II nedovolí nešifrovaný přenos dat s vysokými nebo velmi vysokými požadavky na zabezpečení vně lokální datové sítě LAN.
The Central SIS II does not allow data with high or very high protection requirements to be transferred outside the LAN without encryption.
Je třeba zajistit, aby operátor sítě neměl žádný přístup k provozním datům systému SIS II, ani k datovému provozu v rámci SIRENE.
It should be ensured that the network provider will not have an access to the SIS II operational data as well as to the related Sirene exchange by any means.
V rámci zajištění vysoké úrovně bezpečnosti musí komunikační infrastruktura podporovat správu certifikátů, resp. klíčů.
To maintain a high level of security, the Communication Infrastructure must allow to manage the certificates/keys.
Musí být také možné na dálku spravovat a monitorovat šifrovací zařízení.
Remote administration and remote monitoring of the encryption boxes must be possible.
Šifrovací algoritmy musí odpovídat následujícím minimálním požadavkům:
Encryption algorithms at least must comply with the following requirements:
Symetrické šifrovací algoritmy:
Symmetric encryption algorithms:
(128 bitů) nebo vyšší,
(128 bits) or better,
vytváření klíčů (hesel) musí být založeno na generování náhodných sekvencí, které znemožňuje útok, při němž dochází k postupné redukci prostoru možných hesel,
key generation must depend on random value that does not allow for key space reduction while under attack,
v systému uložené šifrovací klíče nebo informace, které by mohly být využity k jejich odvození, musí být neustále chráněny.
encryption keys or information that can be used for deriving the keys are always protected while in storage 002E;
Asymetrické šifrovací algoritmy:
Asymmetric encryption algorithms:
RSA (1024 bitový modul) nebo vyšší,
RSA (1024 bit modulus) or better,
vytváření klíčů (hesel) musí být založeno na generování náhodných sekvencí, které znemožňuje útok, při němž dochází k postupné redukci prostoru možných hesel.
key generation must depend on random value that does not allow for key space reduction while under attack.
K ověření autentičnosti bude používán protokol ESP (Encapsulated Security Payload) splňující pravidla RFC2406, a to v tunelovém režimu.
The Encapsulated Security Payload (ESP, RFC2406) protocol shall be used. It shall be used in tunnel mode.
Datové části (payload) a základní IP hlavička budou šifrovány.
The Payload and the original IP-header shall be encrypted.
Pro mechanismus výměny klíčů jednotlivých relací bude použit protokol IKE (Internet Key Exchange).
For exchange of session keys the Internet Key Exchange (IKE) protocol shall be used.
Maximální doba platnosti klíčů IKE bude 1 den.
IKE keys shall not be valid longer than one day.
Doba platnosti klíčů pro jednotlivé relace bude maximálně 1 hodina.
Session keys shall not be longer than one hour.
Ostatní zabezpečovací prvky
Other security features
Kromě ochrany přístupových bodů systému SIS II musí být v rámci komunikační infrastruktury zabezpečeny i volitelné běžné služby.
Besides protecting the SIS II access points, the Communication Infrastructure must also protect the optional generic services.
Úroveň zabezpečení těchto služeb by měla odpovídat bezpečnostním parametrům platným pro CS-SIS.
These services should meet the same protection measures comparable to those in CS-SIS.
Všechny běžné služby proto musí být zabezpečeny minimálně firewallem, antivirovým programem a systémem detekce průniku.
All generic services must therefore, at a minimum, be protected by a firewall, antivirus and an intrusion detection system.
Zařízení zabezpečující tyto služby i systémy jejich ochrany by navíc měly být pod nepřetržitým dohledem (evidence a kontrola logů).
Furthermore, the generic services devices and its protection measures should be under continuous security surveillance (logging and follow-up).
V rámci zajištění vysokého stupně bezpečnosti musí být orgán pověřený operačním řízením centrálního SIS II uvědomen o veškerých bezpečnostních incidentech, ke kterým na komunikační infrastruktuře dojde.
In order to maintain a high level of security, the organisation responsible for the operational management for the Central SIS II must be aware of any security incidents that occur on the Communication Infrastructure.
Proto musí komunikační infrastruktura umožňovat okamžité hlášení hlavních bezpečnostních incidentů příslušnému orgánu pověřenému operačním řízením centrálního SIS II.
Therefore, the Communication Infrastructure must allow all major security incidents to be reported without any delay to the organisation responsible for the operational management for the Central SIS II.