2007/170/EG: Entscheidung der Kommission vom 16. März 2007 über die Netzanforderungen für das Schengener Informationssystem der zweiten Generation (erste Säule) (Bekannt gegeben unter Aktenzeichen K(2007) 845)

Amtliche Ursprungsfassung

Quellenkennung: 32007D0170. Spätere Änderungen sind nicht automatisch in dieser Fassung enthalten.

Zur amtlichen Quelle ↗

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

, müssen bei der Speicherung stets geschützt sein. — Asymmetrische Verschlüsselungsalgorithmen: — RSA (1 024-Bit-Modul) oder besser; — die Schlüsselerzeugung muss auf Zufallswerten basieren, die im Falle eines Angriffs keine Schlüsselverkürzung zulassen. Das ESP-Protokoll (Encapsulated Security Payload — ESP, RFC2406) ist im Tunnelmodus zu verwenden. Der Payload-Header und der ursprüngliche IP-Header sind zu verschlüsseln. Zum Austausch der Sitzungsschlüssel ist das IKE-Protokoll (Internet Key Exchange — IKE) zu verwenden. IKE-Schlüssel dürfen nicht länger als einen Tag gültig sein. Sitzungsschlüssel dürfen nicht länger als eine Stunde gültig sein. 8.2. Sonstige Sicherheitsmerkmale Die Kommunikationsinfrastruktur muss so ausgelegt sein, dass nicht nur die SIS-II-Zugangspunkte, sondern auch die optionalen Basisdienste geschützt werden. Für diese Dienste sollten vergleichbare Schutzmaßnahmen wie für das CS-SIS getroffen werden. Alle Basisdienste müssen daher mindestens durch eine Firewall sowie eine Antivirus- und eine Angriffserkennungssoftware geschützt werden. Außerdem sollten die Geräte für die Basisdienste und die diesbezüglichen Schutzmaßnahmen einer ständigen Sicherheitsüberwachung (Logging und Follow-up) unterzogen werden. Damit kontinuierlich ein hohes Maß an Sicherheit gewährleistet ist, muss die für das Betriebsmanagement des zentralen SIS II zuständige Stelle über alle Sicherheitsvorfälle innerhalb der Kommunikationsinfrastruktur informiert sein. Die Kommunikationsinfrastruktur muss also ermöglichen, dass alle schwerwiegenden Sicherheitsvorfälle unverzüglich der für die operative Verwaltung des zentralen SIS II verantwortlichen Einrichtung gemeldet werden. 9. Helpdesk und Unterstützungsstruktur Der Anbieter der Kommunikationsinfrastruktur muss ein Helpdesk bereitstellen, das mit der für das Betriebsmanagement des zentralen SIS II zuständigen Stelle interagiert. 10. Interaktion mit anderen Systemen Die Kommunikationsinfrastruktur muss gewährleisten, dass die Informationen ausschließlich über die zugewiesenen Kommunikationskanäle weitergeleitet werden können. In technischer Hinsicht setzt dies voraus, dass — jeglicher unbefugte und/oder unkontrollierte Zugang zu anderen Netzen und die Vernetzbarkeit mit dem Internet streng untersagt sind; — keine Daten in andere Systeme des Netzes entweichen dürfen, d. h. das Zusammenschalten verschiedener IP-VPNs ist nicht gestattet. Abgesehen von den oben genannten technischen Einschränkungen ergeben sich auch Auswirkungen für das Helpdesk der Kommunikationsinfrastruktur. Das Helpdesk darf Informationen, die das zentrale SIS II betreffen, nur an die für das Betriebsmanagement des zentralen SIS II zuständige Stelle weiterleiten.