S I S

COSEJO DE
LA UIÓ EUROPEA
Bruselas, 8 de mayo de 2009 (29.05)
(OR. en)
16613/3/08
REV 3
SCH-EVAL 105
COMIX 878
SIRIS 172
OTA
del:
al:
n.º doc. prec.:
Asunto:
Grupo de redacción encargado de actualizar el Catálogo de Schengen - SIS
Grupo "Evaluación de Schengen"
15443/02 SCHEVAL 43 SIS 97 SIRENE 75 COMIX 703
Catálogo actualizado de recomendaciones y prácticas más idóneas para la correcta
aplicación del acervo de Schengen: parte relativa al Sistema de Información de
Schengen
2009
CATÁLOGO DE SCHEGE
RECOMEDACIOES Y PRÁCTICAS MÁS IDÓEAS
SIS
16613/3/08 REV 3
po/clr/ANA/og
DG H
1
ES
ÍDICE
INTRODUCCIÓN ............................................................................................................................................. 4
TERCERA PARTE: El SISTEMA DE INFORMACIÓN DE SCHENGEN y SIRENE .................................. 7
1.
2.
3.
4.
5.
Parte nacional del SIS.............................................................................................................................. 9
1.1.
Sistemas y organización ................................................................................................................ 9
1.2.
Infraestructura de comunicación ................................................................................................... 9
SIRENE ................................................................................................................................................... 9
2.1.
Estructura nacional ........................................................................................................................ 9
2.2.
Organización y sistema ............................................................................................................... 10
2.3.
Contratación y formación............................................................................................................ 11
Usuarios finales ..................................................................................................................................... 12
3.1.
Consulta e interfaz de usuario ..................................................................................................... 12
3.2.
Formación.................................................................................................................................... 13
Tratamiento de los datos........................................................................................................................ 14
4.1.
Introducción, modificación y supresión de descripciones........................................................... 14
4.2.
Intercambio de formularios y otro tipo de comunicación ........................................................... 16
4.3.
Seguimiento de las respuestas positivas ...................................................................................... 17
4.4.
Medidas acerca de la calidad de los datos................................................................................... 19
Seguridad............................................................................................................................................... 21
5.1.
Planificación del trabajo relativo a la seguridad de los datos...................................................... 21
5.2.
Organización de la seguridad y control de las partes importantes .............................................. 21
5.3.
Seguridad del personal ................................................................................................................ 22
5.4.
Seguridad física ........................................................................................................................... 23
5.5.
Seguridad de los equipos............................................................................................................. 24
5.5.1. Equipos de tratamiento de datos del SIS........................................................................... 24
5.5.2. Terminales y puestos de trabajo en ordenadores personales............................................. 25
5.6.
Gestión de las comunicaciones y del funcionamiento................................................................. 25
5.6.1. Procedimientos de funcionamiento y competencias ......................................................... 25
5.6.2. Procedimientos para la gestión de incidentes.................................................................... 26
5.6.3. Protección contra programas nocivos ............................................................................... 26
5.6.4. Copia de seguridad............................................................................................................ 27
5.6.5. Gestión de la red ............................................................................................................... 27
5.6.6. Tratamiento de los soportes de datos ................................................................................ 27
5.7.
Control del acceso de los usuarios .............................................................................................. 28
5.8.
Control del acceso al sistema y de su utilización ........................................................................ 29
5.9.
Desarrollo y mantenimiento ........................................................................................................ 29
5.10. Planificación de emergencia........................................................................................................ 30
5.11. Control......................................................................................................................................... 31
16613/3/08 REV 3
po/clr/ANA/og
DG H
2
ES
Prefacio de la Presidencia checa
En su reunión del 17 de julio de 2008, el Grupo "Evaluación de Schengen" decidió revisar y
actualizar el Catálogo de recomendaciones y prácticas más idóneas para la correcta aplicación del
acervo de Schengen en respuesta a la necesidad de plasmar los cambios legislativos, técnicos y de
organización que se han registrado, desde la primera publicación del Catálogo, en los ámbitos de
que tratan sus distintas partes.
Los trabajos de actualización del Catálogo en lo que respecta al Sistema de Información de
Schengen y a SIRENE comenzaron durante la Presidencia francesa y concluyeron durante la
Presidencia checa. Se creó para ello un grupo de expertos, presidido por Italia, en el que
participaron la Comisión Europea, Austria, la República Checa, Francia, Alemania, Hungría, los
Países Bajos, Portugal, Polonia, Eslovenia y Suiza. La Presidencia checa desea expresar su
agradecimiento a los expertos por la profesionalidad que han demostrado durante los trabajos de
actualización del Catálogo.
La nueva versión del Catálogo incorpora todas las novedades que se han registrado en relación con
el Sistema de Información de Schengen (SIS) y SIRENE, incluidas las últimas iniciativas adoptadas
para mejorar estos instrumentos fundamentales para la seguridad de los controles de las personas en
las fronteras exteriores y la mejora de la seguridad y la justicia en el espacio Schengen. Se ha tenido
en cuenta para la actualización la experiencia adquirida durante las evaluaciones de los diez nuevos
Estados miembros que están conectados al SIS y aplican plenamente el acervo de Schengen, así
como los resultados de los seminarios que realizan regularmente los operadores de SIRENE y las
conferencias de los responsables de este sistema. Tan pronto como se implante la nueva versión del
SIS, se reflejarán en la nueva versión del Catálogo las modificaciones correspondientes.
De momento, los Estados miembros y los países asociados a Schengen tienen en sus manos el
compendio más actualizado de recomendaciones y prácticas más idóneas en lo que respecta al SIS y
a SIRENE. El Catálogo, cuya finalidad se explica en su título, no es jurídicamente vinculante. Sin
embargo, las recomendaciones y prácticas más idóneas que contiene han de tenerse plenamente en
cuenta, en consonancia con el propio acervo de Schengen, ya que el uso óptimo del SIS, el
establecimiento y la cooperación entre las oficinas SIRENE son la única manera de contribuir a que
el espacio UE/Schengen ampliado se convierta en un espacio de libertad, seguridad y justicia.
La Presidencia checa está convencida de que el Catálogo actualizado servirá, por una parte, para
ayudar a los países candidatos a integrarse con éxito y, por otra, para motivar a los Estados
miembros a seguir perfeccionando la utilización del SIS y mejorando el funcionamiento de sus
oficinas SIRENE.
Abril de 2009
16613/3/08 REV 3
po/clr/ANA/og
DG H
3
ES
ITRODUCCIÓ
1. En su sesión del 28 de mayo de 2001, el Consejo fijó como objetivo para la continuación de los
trabajos del Grupo "Evaluación de Schengen la identificación de "… las prácticas más idóneas,
en particular respecto al control en las fronteras con objeto de que sirvan de ejemplo a los
Estados que se adhieran a Schengen, pero también a aquellos que aplican el acervo de Schengen
en su totalidad. Estas evaluaciones, además de la distinción de las prácticas más idóneas,
servirán de inspiración para el establecimiento de unos criterios uniformes para definir la
aplicación mínima del acervo de Schengen (…) en los grupos de trabajo correspondientes"
(mandato del Grupo "Evaluación de Schengen", doc. 8881/01 – SCH-EVAL 17, COMIX 371).
Atendiendo a este mandato, el Grupo "Evaluación de Schengen" definió los principios y el
procedimiento sobre cuya base se redactaría el Catálogo de recomendaciones y prácticas más
idóneas para la correcta aplicación del acervo de Schengen, en adelante denominado Catálogo
de recomendaciones y prácticas más idóneas o Catálogo.
El objetivo del Catálogo es aclarar y precisar el acervo de Schengen, ofrecer recomendaciones e
indicar las prácticas más idóneas, a fin de que sirvan de ejemplo para los Estados miembros y
los países asociados que no aplican plenamente el acervo de Schengen y los que sí lo hacen. El
Catálogo no aspira a definir de forma exhaustiva todo el acervo de Schengen, sino a presentar
una serie de recomendaciones y prácticas más idóneas que, sin ser jurídicamente vinculantes,
son fruto de la experiencia adquirida por el Grupo "Evaluación de Schengen" en la verificación
de la correcta aplicación del acervo de Schengen en diversos países.
El Catálogo no pretende introducir nuevas exigencias, pero sí debe permitir señalar al Consejo,
en su caso, la necesidad de modificar determinadas disposiciones del acervo de Schengen, de
manera que la Comisión y, si procede, los Estados miembros tomen en consideración las
recomendaciones y prácticas más idóneas a la hora de presentar propuestas o iniciativas
formales.
Por otra parte, el Catálogo servirá como instrumento de referencia en las evaluaciones que se
hagan en el futuro en los países candidatos, y también servirá a éstos como indicador de las
funciones que se les asignarán, para lo cual deberá leerse en conjunción con el Manual SIRENE.
16613/3/08 REV 3
po/clr/ANA/og
DG H
4
ES
2. Para la actualización del Catálogo, el Grupo "Evaluación de Schengen" adoptó las siguientes
definiciones:
- Recomendaciones: conjunto no exhaustivo de medidas que debe permitir sentar una base para
la correcta aplicación del acervo de Schengen y para el control de ésta.
- Prácticas más idóneas: conjunto no exhaustivo de métodos de trabajo o de medidas ejemplares
que deben considerarse la aplicación óptima del acervo de Schengen, entendiéndose que
pueden existir varias prácticas idóneas para cada parte específica de la cooperación en el
marco de Schengen.
3. Desde que se publicó, en 2002, la versión anterior del Catálogo, la integración de las políticas
de seguridad de la UE se ha reforzado y modificado mediante la adopción de diversos
instrumentos jurídicos, en particular el Reglamento (CE) n.º 871/2004 y la
Decisión 2005/211/JAI del Consejo, relativos a la introducción de nuevas funciones para el
Sistema de Información de Schengen, inclusive en materia de lucha contra el terrorismo (ambos
basados en las iniciativas presentadas por España); las Decisiones 2006/757/CE y 2006/758/JAI
de la Comisión, por las que se modifica el Manual Sirene; la Decisión marco 2002/584/JAI del
Consejo relativa a la orden de detención europea y a los procedimientos de entrega entre
Estados miembros; el Reglamento (CE) n.º 562/2006 por el que se establece un Código
comunitario de normas para el cruce de personas por las fronteras (Código de fronteras
Schengen); la Decisión marco 960/2006/JAI del Consejo (basada en la iniciativa de Suecia).
También se han presentado entretanto diversas iniciativas para mejorar la utilización del SIS, en
concreto la iniciativa de Francia sobre la lucha contra el terrorismo y la iniciativa de la
República Checa encaminada a mejorar la utilización del SIS y de SIRENE para la protección
de los menores. En consonancia con el espíritu de las conclusiones del Consejo Europeo de
Tampere y del Programa de La Haya, los Estados miembros están intentando promover la
integración y mejorar la cooperación para garantizar que la Unión Europea sea un espacio de
libertad, seguridad y justicia. Todas estas nuevas disposiciones legislativas e iniciativas, así
como el desarrollo de las tecnologías de la información y la comunicación han afectado mucho
a la cooperación en el marco del SIS y de SIRENE.
4. La ampliación del espacio Schengen con la adhesión de diez países en 2007 y 2008 (la
República Checa, la República de Estonia, la República de Letonia, la República de Lituania, la
República de Hungría, la República de Malta, la República de Polonia, la República de
Eslovenia, la República Eslovaca y Suiza) constituye la mayor expansión de la cooperación en
el marco del SIS y de SIRENE. En el proceso de evaluación de estos países se tomó nota de
muchas prácticas idóneas y se formularon recomendaciones.
16613/3/08 REV 3
po/clr/ANA/og
DG H
5
ES
5. Los seminarios periódicos de los operadores de SIRENE y las conferencias de los responsables
de SIRENE permitieron establecer numerosas conclusiones de interés para la cooperación en el
marco del SIS y de SIRENE, conclusiones que han sido posteriormente aprobadas por el Grupo
"SIS-SIRENE".
6. Seis países se están preparando para sumarse al SIS y al espacio Schengen. Es necesario que se
les facilite el Catálogo actualizado. También es importante poner en conocimiento de los
actuales Estados miembros las recomendaciones y prácticas más idóneas, que pueden servirles
de motivación para perfeccionar el uso del SIS y el funcionamiento de las oficinas SIRENE.
7. La estructura de este Catálogo no se ha modificado significativamente desde la anterior edición.
Contiene una breve sección general en la que se describen los conceptos fundamentales en los
que se basan las recomendaciones y prácticas idóneas expuestas. Éstas se presentan en forma de
cuadro, con las recomendaciones a la izquierda y las prácticas más idóneas a la derecha de las
recomendaciones correspondientes. Las recomendaciones se han adaptado para ponerlas en
consonancia con el estado actual de la cooperación en el marco del SIS y de SIRENE desde el
punto de vista legislativo, operativo y técnico. Las prácticas más idóneas se han reunido y
expuesto de modo que describan las soluciones óptimas a la luz de la experiencia adquirida
tanto por los nuevos Estados miembros como por los antiguos.
16613/3/08 REV 3
po/clr/ANA/og
DG H
6
ES
TERCERA PARTE: El SISTEMA DE IFORMACIÓ DE SCHEGE y SIREE
PRESETACIÓ PORMEORIZADA DE LAS RECOMEDACIOES Y PRÁCTICAS MÁS
IDÓEAS
OBSERVACIOES GEERALES
La lista de recomendaciones y prácticas más idóneas que figura a continuación se ha elaborado
principalmente a partir de los resultados de las diferentes evaluaciones realizadas en los últimos
años.
Lo que se pretende es que el contenido del Catálogo se utilice a la hora de establecer las bases de
datos nacionales que aportarán información al SIS y de preparar de la parte nacional del SIS y de
SIRENE.
Se recuerda que, cuando los usuarios de los sistemas informáticos de Schengen manejan
información clasificada de la UE, es de aplicación la Decisión 2001/264/CE del Consejo por la que
se adoptan las normas de seguridad del Consejo (DO L 101 de 11.4.2001, p. 1). Las medidas que
seguridad que se apliquen en tal caso deben ser proporcionadas a la clasificación y volumen de la
información de que se trate y a la amenaza a que esté sujeta.
Las descripciones que se introducen en el SIS sólo deben contener aquellas categorías de datos que
proporciona cada una de las Partes contratantes y que son necesarias para los fines previstos en los
artículos 95 a 100 del Convenio de Schengen. La Parte contratante que emite una descripción es
quien debe determinar si la importancia del caso justifica la introducción de la descripción en el
SIS. Sin embargo, debe tomarse siempre en consideración el principio de disponibilidad.
SIRENE desempeña un papel fundamental en el funcionamiento del SIS. Los Estados miembros, de
conformidad con la legislación nacional, intercambiarán a través de las autoridades designadas a tal
fin (SIRENE) toda información complementaria que sea necesaria en relación con la introducción
de descripciones y para hacer posible la adopción de las medidas apropiadas cuando, como
resultado de las consultas efectuadas en el Sistema de Información de Schengen, se encuentre a
personas u objetos sobre los cuales se hayan introducido datos en Sistema (véase el artículo 92.4 del
Convenio de Schengen). A tal fin, las oficinas SIRENE deben poder acceder adecuadamente a toda
la información nacional pertinente y al asesoramiento de especialistas. La información
complementaria que se intercambie sólo podrá emplearse para el fin para el que haya sido
transmitida.
16613/3/08 REV 3
po/clr/ANA/og
DG H
7
ES
Cada una de las oficinas SIRENE tiene la responsabilidad de coordinar la garantía de la calidad de
los datos introducidos en el SIS. Deberá tener la competencia necesaria a nivel nacional para llevar
a cabo esta función, de la que es responsable.
16613/3/08 REV 3
po/clr/ANA/og
DG H
8
ES
RECOMEDACIOES
1.
PRÁCTICAS MÁS IDÓEAS
Parte nacional del SIS
1.1. Sistemas y organización
- Debe establecerse una parte nacional del SIS que
funcione las 24 horas del día y los siete días de la
semana con suficiente apoyo técnico en todo
momento
- Deben preverse garantías de mantenimiento y nivel de
servicio del equipo físico y lógico para asegurar el
funcionamiento durante las 24 horas del día y los siete
días de la semana
- Debe garantizarse la integridad de los datos entre - Debe realizarse una sincronización de las copias en
los N.SIS y cualquier copia técnica nacional, si la tiempo real.
hay.
- Deben efectuarse regularmente comparaciones de las
bases de datos.
1.2.
Infraestructura de comunicación
- Debe haber una red nacional estable.
- Debe preverse garantías de mantenimiento y nivel de
servicio para asegurar una alta disponibilidad de la
red.
- Debe garantizarse un plazo breve de respuesta a
las consultas.
- El plazo de respuesta debería ser inferior a 5
segundos.
- Deben establecerse soluciones de comunicación
- Lo ideal sería que las oficinas consulares tuvieran
adecuadas y seguras que permitan hacer consultas acceso en línea a los datos pertinentes del SIS.
en el SIS desde terminales móviles.
2.
SIREE
2.1. Estructura nacional
- Debe establecerse una oficina SIRENE que quede - El acceso a todas las oficinas responsables de la
designada como punto de contacto único para
cooperación policial internacional debe hacerse a
cada Estado Schengen por lo que respecta a las
través de un punto de contacto único; estas oficinas
descripciones del SIS y al procedimiento
deben estar integradas en una sola estructura de
subsiguiente a una respuesta positiva.
gestión y estar ubicadas en el mismo lugar.
- Los operadores SIRENE deben tener acceso
permanente, 24 horas al día y siete días por
semana, a las fuentes de información o bases de
datos que faciliten descripciones al SIS o
contengan datos necesarios para proporcionar
información complementaria o para resolver
cuestiones relacionadas con las alertas.
- Debe respetarse y aplicarse el principio de que las
descripciones de Schengen tienen preferencia
sobre las descripciones de Interpol.
16613/3/08 REV 3
po/clr/ANA/og
DG H
9
ES
- Teniendo presente la prioridad de las
descripciones SIS, en aquellos casos
excepcionales en que SIRENE, la Interpol o
cualquier autoridad de cooperación policial (p. ej.,
los funcionarios de enlace) utilicen sus propios
cauces para facilitar la misma información sobre
la misma persona u objeto, debe hacerse una
referencia cruzada para garantizar la adecuada
coordinación en los demás Estados miembros.
- La oficina SIRENE debe contar con una plantilla - La dotación de personal y los servicios de apoyo
acorde con el número de descripciones y de
de SIRENE deben adaptarse a las modificaciones
coincidencias y el volumen de trabajo conexo,
de la carga y las prácticas de trabajo.
comunicaciones y funciones específicas.
2.2. Organización y sistema
- Las oficinas SIRENE deben proporcionar una
- En aras de la eficiencia de las operaciones, es
cobertura permanente (24 horas al día los siete
deseable garantizar la continuidad de los aspectos
días de la semana) para la comunicación con las
técnicos, de gestión y de personal.
demás oficinas SIRENE y autoridades nacionales.
- Todo el personal, incluido el que esté asignado a - La flexibilidad de la organización del trabajo puede
trabajo fuera de las horas de oficina, debe tener
ayudar a gestionar la carga de trabajo en periodos de
las competencias y experiencia suficientes para
punta.
prestar el servicio necesario a las demás oficinas
SIRENE y ocuparse de cualquier descripción que
se introduzca.
- Además del personal administrativo y operativo,
existe una necesidad específica de personal de
apoyo informático.
- Deben preverse garantías de mantenimiento y nivel de
servicio del equipo físico y lógico para asegurar el
funcionamiento durante las 24 horas del día y los siete
días de la semana.
- La oficina SIRENE debe contar con un sistema de - Se ha observado que un sistema informatizado de
gestión informatizada de tareas que sea eficaz y
gestión de tareas y de casos para los operadores de
eficiente y respete las normas de la versión actual SIRENE aumenta la calidad del trabajo y reduce la
del documento "Intercambio de datos entre las
posibilidad de errores. El encaminamiento automático
oficinas SIRENE".
de los mensajes de entrada en el sistema informatizo
de gestión de tareas también contribuye a estos
objetivos.
- El sistema informatizado de gestión de tareas y de
casos debería interactuar con los sistemas nacionales
y la aplicación N.SIS por lo que respecta a la gestión
de las descripciones recibidas y emitidas; dicha
interacción debería advertir de manera automática:
• de la inclusión o supresión de un indicador de
validez solicitado;
• del momento en que se ha modificado una
descripción;
• de la llegada de una nueva descripción a los
efectos del artículo 95;
• de la supresión de una descripción si el sistema
informatizado de gestión de tareas y casos
contiene un archivo relacionado con esa
descripción.
16613/3/08 REV 3
po/clr/ANA/og
DG H
10
ES
- Además de los procedimientos acordados para el
intercambio de formularios, la oficina SIRENE
debe utilizar los buzones de correo electrónico
adecuados para los intercambios operativos de
mensajes electrónicos y la transmisión de
impresiones dactilares en la red específica
SIRENE.
- Si la comunicación debe realizarse a través de
Internet, debe emplearse la dirección oficial de correo
electrónico de SIRENE.
- Debe aplicarse la recomendación del Consejo
sobre SIRPIT, un sistema de intercambio
electrónico de fotografías y huellas dactilares
entre servicios policiales (doc. 9696/1/06 del
Consejo).
- Para estas transmisiones electrónicas, el
procedimiento SIRPIT debe estar disponible en cada
oficina SIRENE.
- Debe evitarse la utilización de direcciones de correo
electrónico no certificadas.
- Debe establecerse un vínculo directo entre la
oficina SIRENE y la base de datos nacional del
sistema automático de identificación dactilar, a
fin de que pueda acceder a los datos de su
competencia en formato electrónico.
2.3. Contratación y formación
- La oficina SIRENE debe contar con personal
capaz de actuar por iniciativa propia para
garantizar la gestión eficiente de los casos.
- Debe haber un sistema de apoyo a la gestión, con
acceso fuera de horas de servicio a asesoramiento
jurídico y asesoramiento especializado de otro tipo,
para permitir la delegación de responsabilidades.
- Debe prestarse especial atención a la gestión de los
- Conviene que todos los operadores tengan buenos recursos humanos para garantizar la continuidad del
conocimientos de las cuestiones jurídicas
personal, que constituye una de las claves para
nacionales, de la aplicación de las leyes
mejorar la calidad del trabajo SIRENE.
nacionales (incluido un conocimiento teórico de
- Convendría tener un sistema de formación sobre la
las actividades policiales), del sistema judicial
gestión informatizada de tareas de SIRENE.
nacional y de la gestión nacional de la
inmigración y, como mínimo, conocimientos
básicos sobre cuestiones jurídicas internacionales
relacionadas con Schengen.
16613/3/08 REV 3
po/clr/ANA/og
DG H
11
ES
- Convendría disponer de asesores jurídicos, con un - El asesoramiento jurídico puede obtenerse mediante
buen conocimiento de la legislación nacional e
la contratación de asesores jurídicos internos u
internacional, un conocimiento detallado del
organizando cursos de formación jurídica para el
Convenio de Schengen, del Manual SIRENE y de personal SIRENE.
la normativa conexa, y conocimientos teóricos
sobre las actividades policiales.
- Es necesario contar con personal que tenga
- Debe realizarse una formación común, al menos una
formación policial, ya que aporta una experiencia vez al año.
que ha demostrado ser muy valiosa y reduce el
tiempo de formación.
- Debe considerarse la posibilidad de efectuar
- Deben establecerse normas e interpretaciones
regularmente intercambios de operadores, antes de
comunes.
que comience el uso operativo del SIS.
- La dotación de personal debe decidirse teniendo
en cuenta el número de descripciones nacionales
y el examen ulterior de dichas descripciones al
final de su periodo de validez, así como el
número de respuestas positivas en el territorio
nacional y los contactos con otras oficinas
SIRENE en caso de respuestas positivas sobre
descripciones nacionales en el SIS en otros
Estados Schengen.
- Éste debería ser un elemento clave del proceso de
contratación y de los cursos de formación continua
del personal SIRENE.
- La estrategia de contratación de la oficina
SIRENE debe prever la validación de los ficheros
relativos al artículo 95 existentes, antes del uso
operativo del SIS.
- El personal debe tener suficientes conocimientos
de idiomas.
- El personal SIRENE debería tener prioridad en la
formación lingüística.
- Los operadores de SIRENE deben poder
comunicarse como mínimo en inglés.
- Indudablemente, es deseable que los operadores
conozcan las lenguas de uso más extendido, tanto
para la comunicación directa como para poder
gestionar documentación cuando no se cuente con un
servicio de traducción.
3.
Usuarios finales
3.1. Consulta e interfaz de usuario
- Es preciso que la consulta o la búsqueda no se
- Deben poder efectuarse, por ejemplo, consultas
limite a la búsqueda de correspondencias exactas. fonéticas, consultas con comodines, con lógica difusa
o soundex; es importante que la legislación nacional
no prohíba la consulta única; debe velarse por que la
consulta única sea rápida y eficaz.
16613/3/08 REV 3
po/clr/ANA/og
DG H
12
ES
- Las consultas en terminales fijos y móviles deben - Debe proporcionarse a los usuarios finales el mayor
incluir la consulta del SIS. El modo más eficiente número posible de dispositivos de consulta de datos
de garantizar la consulta sistemática del SIS es la
que permitan hacer consultas directas.
consulta única tanto para el sistema nacional
como para el internacional; es preferible el acceso
directo.
- Debe mostrarse simultáneamente la información
sobre las descripciones nacionales y las
internacionales.
- El usuario final debe poder acceder en la primera
pantalla a las marcas de advertencia sobre las
personas, objetos o vehículos.
- Conviene que, cuando se introduzcan
descripciones nacionales, éstas se incluyan por
defecto en el SIS para que no sea necesaria
ninguna otra intervención del usuario final.
- Las descripciones deben verificarse previamente en la
base de datos nacional y, desde allí, ser transferidas
automáticamente al N.SIS.
- La pantalla debe presentar información e
instrucciones claras sobre las acciones que ha de
llevar a cabo el usuario final en caso de respuesta
positiva.
- En los casos de usurpación de identidad, la pantalla
debe presentar claramente tanto el procedimiento para
hacer frente a una respuesta positiva de identidad
usurpada como las ulteriores indagaciones que han de
realizarse para establecer si la persona es la víctima o
el autor de la usurpación.
- Las aplicaciones deben desarrollarse de forma
que sean de fácil utilización y permitan llevar a
cabo las tareas del SIS de manera rápida y
efectiva.
- Al introducir un nombre en una consulta, el sistema
debe verificar tanto los datos sobre personas como
sobre documentos.
- La interfaz de usuario debe permitir y propiciar la
introducción simultánea del nombre y, en su caso, del
número de documento, y la aplicación debe efectuar
la búsqueda de ambos en la misma consulta.
3.2. Formación
- Las administraciones nacionales deben asegurarse Las administraciones nacionales deben:
de que las partes interesadas (policía y otros
- facilitar formación permanente a esas partes
organismos policiales, jueces y fiscales) conocen
interesadas
las posibilidades del SIS.
- poner a disposición de los usuarios finales un sistema
de formación
- garantizar el estrecho contacto de las partes
interesadas con el SIRENE por medio de funcionarios
de enlace
16613/3/08 REV 3
po/clr/ANA/og
DG H
13
ES
- La formación sobre el SIS debe formar parte de la - promover el conocimiento del SIS a través de los
formación inicial de los usuarios finales y de la
grupos pertinentes (cooperación policial, control
formación continua, ya antes de que comience el
fronterizo, grupo de jefes de policía, cooperación
uso operativo del SIS.
judicial, grupo sobre terrorismo) o por medio de la
CEPOL
- velar por que las autoridades competentes en materia
de seguridad pública estén (mejor) informadas de la
posibilidad de introducir descripciones al amparo del
artículo 96, apartado 2, letra b)
- explicar las consecuencias de la supresión de los
controles en las fronteras interiores para el trabajo
policial
- explicar el uso del SIS como herramienta cotidiana de
la policía
- garantizar que la formación abarca tanto la consulta al
sistema como la introducción de descripciones
- tratar de que el personal SIRENE participe en la
formación sobre el SIS en las escuelas de policía.
- Deben elaborarse manuales sobre procedimientos - Deben poder conseguirse manuales, incluido el
internos.
manual SIRENE, información, formación y material
de perfeccionamiento en la intranet policial o a través
- Deben elaborarse instrucciones actualizadas que
de otros medios de difusión.
recojan las nuevas funciones.
- Debe organizarse una formación en cascada antes - Antes de que comience el uso operativo del SIS, la
de que comiencen a aplicarse las disposiciones
publicación de un boletín que informe a los usuarios
Schengen.
finales de la situación del proyecto puede ganar y
asegurar su interés.
- Deben ofrecerse cursos de reciclaje una vez que
los usuarios finales hayan adquirido cierta
- La implantación del SIS debe constituir una
experiencia.
ampliación sin discontinuidades de los actuales
métodos nacionales de consulta a fin de reducir las
necesidades de formación.
4.
Tratamiento de los datos
4.1. Introducción, modificación y supresión de descripciones
- Al ser introducidas, todas las descripciones han
de cumplir los criterios establecidos, para
garantizar que pueda iniciarse una actuación en
caso de respuesta positiva.
- Es importante informar a las autoridades que
introducen descripciones en el SIS de las
consecuencias de dichas introducciones y, en especial,
de la obligación de iniciar una actuación tras una
respuesta positiva.
- Deben elaborarse procedimientos nacionales
completos en los que se determinen las actuaciones en
caso de una respuesta positiva en el extranjero (p. ej.,
entrega, extradición, recuperación de vehículos
robados).
16613/3/08 REV 3
po/clr/ANA/og
DG H
14
ES
- SIRENE debe estudiar los ficheros relativos a
- Si no ha sido posible validar previamente todos los
descripciones existentes con arreglo al artículo 95 ficheros relativos a descripciones correspondientes al
antes de que estén a disposición del usuario final.
artículo 95, éstas, sin embargo, se pondrán a
disposición de los usuarios finales tan pronto como el
- La información complementaria referente a una
sistema quede abierto a estos usuarios, sin esperar el
orden de detención europea o una orden de
resultado del examen del impreso A por parte de
detención internacional (impresos A y M) debe
SIRENE. En este caso, han de establecerse
enviarse inmediatamente en cuanto se introduzca
procedimientos que garanticen un examen rápido del
la descripción.
fichero cuando se ejecute una descripción.
- Debe permitirse a los operadores de SIRENE que
supriman manualmente las descripciones que no se
ajusten a las normas de prioridad y de
incompatibilidad.
- Deben respetarse las normas de prioridad e
incompatibilidad.
- Las descripciones “secundarias” sobre una persona
han de seguir estando disponibles, para que puedan
introducirse cuando expire la primera descripción
sobre esa misma persona, con la que la descripción
“secundaria” resultaba incompatible.
- Debe permitirse a SIRENE garantizar la creación, - Los operadores de SIRENE deben poder introducir,
modificación y/o supresión de descripciones en el modificar y/o suprimir sus descripciones SIS
SIS.
nacionales.
- El SIRENE debe poner en marcha un
- Tras la conversión, deben revisarse todas las
procedimiento mediante el cual las descripciones
indicaciones de validez exigidas en relación con el
correspondientes al artículo 95 introducidas antes artículo 95 a fin de permitir una aplicación eficiente
de la entrada en vigor de la legislación nacional
de la orden de detención europea.
que desarrolla la Decisión marco 2002/584/JAI
del Consejo, relativa a la orden de detención
- Cuando se envíe una orden de detención europea
europea y a los procedimientos de entrega entre
directamente a la autoridad judicial que la tenga que
Estados miembros, sean convertidas de modo que ejecutar y la persona buscada esté en paradero
se ajusten a la Decisión marco (que es pertinente
conocido* (el término "conocido" debe reflejar el
para los Estados Schengen que apliquen la orden
hecho de que la persona buscada se encuentra en un
de detención europea).
lugar determinado de forma permanente, por ejemplo,
en prisión durante un periodo determinado, sin que
sea suficiente un "presunto paradero"), SIRENE debe
- Si una autoridad de inmigración introduce una
comunicar a toda autoridad judicial que solicite la
descripción correspondiente al artículo 96 sobre
introducción de una descripción en el SIS que no es
una persona nacional de un tercer país sabiendo
necesario, habida cuenta de las circunstancias. No
que esa persona tiene el derecho de libre
obstante, la autoridad judicial requirente podrá, en
circulación con arreglo a la Directiva
cualquier caso, decidir si se introduce o no una
2004/34/CE, dicha autoridad debe remitir al
descripción en el SIS.
SIRENE de su Estado miembro la información
complementaria pertinente en el momento de
* Artículo 9, apartado 1, de la Decisión marco
crear la descripción.
2002/584/JAI del Consejo, de 13 de junio de 2002,
relativa a la orden de detención europea y a los
procedimientos de entrega entre Estados miembros
- En las descripciones SIS sobre vehículos, debe
(2008/584/JAI).
incluirse el NIV, ya que es el criterio de búsqueda
más importante.
16613/3/08 REV 3
po/clr/ANA/og
DG H
15
ES
- Las descripciones de documentos deben
introducirse en el SIS, aunque sean imperfectas,
procurando que sean lo más completas posible,
según el principio de disponibilidad.
4.2. Intercambio de formularios y otro tipo de comunicación
- Para lograr la máxima eficacia en la
comunicación bilateral se utilizarán lenguas que
sean familiares para ambas partes.
- En caso de intercambio de impresos multilateral, se
acostumbra a enviar los impresos como mínimo en
inglés.
- Debe facilitarse una respuesta al SIRENE
solicitante lo antes posible.
- Cuando no sea posible atender solicitudes urgentes en
un plazo de 12 horas, se debe informar de ello al
SIRENE solicitante y comunicarle las causas del
retraso.
En caso de no recibir respuesta, los responsables de
SIRENE deben intervenir para resolver el problema.
Las descripciones correspondientes al artículo 97
sobre menores desaparecidos deben introducirse en
el SIS lo antes posible. Asimismo, debe facilitarse
inmediatamente a SIRENE cualquier información
complementaria que pueda contribuir a la
búsqueda (fotografía, descripción, información
adicional sobre el posible itinerario,
sustractor/secuestrador, vehículo utilizado),
incluida la petición de una "alerta sobre menor"1,
para su divulgación a los SIRENE seleccionadas,
según proceda.
El sustractor/secuestrador del menor desaparecido y los
vehículos que haya podido utilizar deben introducirse
en el SIS utilizando los tipos de descripción que
correspondan y, al mismo tiempo, debe informarse de
las descripciones afines a los demás SIRENE, por
medio del impreso M.
- Antes de ampliar una descripción, debe volver a
examinarse si se mantiene su validez y
pertinencia.
- De preferencia, se debe efectuar la introducción de
descripciones en tiempo real.
- No deben volver a utilizarse los números de
identificación Schengen con datos distintos.
- Se debe reducir al mínimo el tiempo transcurrido
entre el incidente que dio lugar a la decisión y la
introducción de una descripción en el SIS.
- Es conveniente descentralizar en lo posible la
introducción de descripciones (especialmente sobre
objetos) para evitar los retrasos debidos a
procedimientos administrativos internos, como el
envío de las descripciones a centros de introducción
de datos.
- Se deben introducir en lo posible de manera
automática en el SIS las descripciones que
cumplan los criterios Schengen: si el SIRENE
tiene que copiarlas manualmente de los sistemas
nacionales para introducirlas en el SIS, esto a
menudo provoca retrasos.
- Cuando no sea posible la introducción directa, cabe
proveer modos rápidos de transmisión para enviar la
información del nivel local al nivel en que se
introduzcan los datos, en particular para las
descripciones sobre menores desaparecidos y
vehículos robados.
1
Incluido el dispositivo de alerta sobre menor para advertir al público en caso de sustracción de
menores - 15084/08 CRIMORG 177 CATS 87.
16613/3/08 REV 3
po/clr/ANA/og
DG H
16
ES
- Se deben adoptar medidas de calidad de los datos - Conviene suprimir las descripciones del SIS cuando
para evitar que las descripciones SIS se refieran a quede probado que un vehículo robado ha sido
personas ajenas a ellas.
adquirido legalmente por un comprador de buena fe.
- Conviene fomentar en lo posible la introducción
sistemática de descripciones en el SIS y
establecer criterios nacionales al respecto.
- En el momento de la introducción, se debe
verificar que no se trate de una descripción
repetida.
- SIRENE debe poder resolver los casos de
identidad mal utilizada sin demora.
- El uso de una descripción del artículo 99 debe ser
siempre una de las medidas que se consideren cuando
se trate de delitos graves o de amenazas para el orden
público o como medida de respaldo cuando se esté
buscando a personas en búsqueda y captura.
- La legislación nacional debe permitir que se adopten
todas las acciones con arreglo al Convenio de
Schengen, en particular los controles específicos
previstos en artículo 99.
- El formulario M debe seguir a la descripción del
artículo 99 que requiera un control específico, cuando
convenga, especificando las razones de la descripción
y facilitando cualesquiera detalles útiles.
- El sistema deberá verificar automáticamente la
posible existencia de descripciones repetidas
mediante búsquedas que vayan más allá de las
correspondencias exactas.
4.3.
Seguimiento de las respuestas positivas
- El SIRENE debe ser el único punto de contacto y - El intercambio de toda información que no requiera
el conducto de transmisión de toda la información una comisión rogatoria debe hacerse a través de
relacionada con el procedimiento subsiguiente a
SIRENE
una respuesta positiva.
- Para las descripciones correspondientes al
- Cuando sea posible o conveniente, el SIRENE podrá
artículo 95, el SIRENE debe ser el único punto de facilitar cualquier nuevo intercambio de información
contacto y encargarse del intercambio de
subsiguiente a la detención.
información subsiguiente a una respuesta positiva
al menos hasta que comience el procedimiento
oficial de extradición o entrega.
- Conviene evitar la transmisión de la orden
europea de detención original o la petición de
extradición vía SIRENE a menos que SIRENE
también haya sido designada como autoridad
central.
- SIRENE debe facilitar en un formulario G toda la
información disponible sobre la dirección de la
autoridad judicial competente, el plazo y la lengua en
que hay que presentar la orden de detención europea.
- Con carácter provisional, hasta el momento en
que el SIS tenga capacidad para transmitir toda la
información que figura en el formulario de la
orden detención europea, la descripción
equivaldrá a una orden de detención europea
hasta que la autoridad judicial de ejecución reciba
el original en buena y debida forma (véase la
Decisión marco del Consejo 2002/584/JAI).
16613/3/08 REV 3
mfh/ANA/og
DG H
17
ES
Las autoridades judiciales nacionales deben estar
familiarizadas con los formularios A y M para
aceptar la descripción del SIS II junto con la
información complementaria facilitada en dichos
formularios como base jurídica previa para la
posterior detención de la persona buscada, a la
espera de la recepción del original de la orden de
detención europea.
- Para que SIRENE pueda realizar sus tareas de
una manera eficaz, deben comunicarse sin demora
una vez que hayan sido realizadas las
resoluciones judiciales de entrega o los
procedimientos de extradición.
- Se debe enviar dentro de los plazos establecidos
una respuesta, al menos provisional sobre el
estado del caso.
- Se deben suprimir las descripciones del SIS
cuando desaparezca el motivo de su existencia
- Conviene suprimir las descripciones con arreglo al
artículo 95 una vez efectuada la extradición.
- Se debe garantizar una disponibilidad las 24 horas del
día y los siete días de la semana de las autoridades
competentes de la aplicación de la legislación sobre
nacionales de terceros países, u organizarla de tal
modo que puedan respetarse los plazos para el
suministro de información adicional: podría darse
acceso al SIRENE, respetando sus competencias, a la
base de datos de dichas autoridades.
- Conviene suprimir, después de una respuesta positiva,
las descripciones con arreglo al artículo 97 sobre
adultos que no necesiten protección.
- Se deben suprimir las otras descripciones con arreglo
al artículo 97 una vez ejecutadas las medidas de
protección.
- Se deben suprimir las descripciones correspondientes
al artículo 98 una vez que se haya establecido
claramente el paradero de la persona buscada y se
haya comunicado al SIRENE del Estado solicitante.
- Se debe suprimir una descripción de un vehículo
robado (incluidas las descripciones repetidas) para
que corresponda con el retorno del vehículo a su
legítimo propietario.
- Se deben establecer procedimientos tendentes a
garantizar la rápida ejecución de las actuaciones
relativas a objetos perdidos.
- Se deben definir claramente las funciones y las
responsabilidades de todas las partes interesadas en
relación con las respuestas positivas sobre objetos y
los procedimientos posteriores a la respuestas.
16613/3/08 REV 3
mfh/ANA/og
DG H
18
ES
- Cada Estado miembro debe poder facilitar
estadísticas sobre respuestas.
4.4.
- Cada respuesta positiva debe registrarse con precisión
de manera que facilite la recuperación de estadísticas
precisas para una amplia gama de usuarios.
Medidas acerca de la calidad de los datos
- Debería haber una introducción automática de los - Esto se cumple cuando la introducción en el SIS está
datos SIS a través de una conexión entre las bases definida como opción por defecto, como se
de datos nacionales correspondientes y la base de
recomienda en el apartado 3.1.
datos del N.SIS a la vez que se respeta el
principio de proporcionalidad.
- Conviene realizar la introducción automática de
las descripciones acompañadas de una
modificación y supresión automatizadas en
tiempo real en el SIS tras cualquier modificación
y supresión efectuada en los sistemas nacionales.
16613/3/08 REV 3
mfh/ANA/og
DG H
19
ES
- Se deben introducir descripciones lo más
completas posible.
- Conviene cotejar los datos de las descripciones, de
preferencia de forma automatizada, con los que se
conservan en los registros nacionales
- Cabe actualizar las descripciones cuando se entre - El SIRENE de un Estado miembro de origen de un
objeto robado introducido en el SIS por otro Estado
en conocimiento de información adicional, como
el número de un documento expedido o el número miembro debe facilitar al SIRENE del Estado
miembro que lo introdujo toda la información
del bastidor de un vehículo robado.
disponible para completar, actualizar o corregir la
descripción tan pronto como sea informado de dicha
descripción.
- El SIRENE debe coordinar la garantía de calidad
de los datos.
- El SIRENE debe validar toda descripción
introducida con arreglo al artículo 95.
- El SIRENE debe disponer de la competencia nacional
y de los medios técnicos y operativos para garantizar
la calidad de los datos, lo que incluirá el acceso a las
bases de datos nacionales, dentro de sus
competencias.
- El SIRENE participará en la formación de los
usuarios.
- Conviene cotejar la lista de respuestas positivas con
la de descripciones suprimidas.
- Se debe revisar y estudiar el cociente entre
descripciones y respuestas positivas.
- Conviene consultar periódicamente con las
autoridades locales la necesidad de mantener las
descripciones sobre menores desaparecidos.
- No se permite introducir información sin valor
añadido, por ejemplo "desconocido" o "?" en ninguno
de los campos obligatorios ni opcionales.
- Se deben respetar las normas de transliteración, y
es preciso que la información específica llegue a
los usuarios finales.
- Los usuarios finales deben recibir formación para
asegurar la correcta aplicación de las medidas de
calidad de los datos.
16613/3/08 REV 3
mfh/ANA/og
DG H
20
ES
5. Seguridad
5.1.
Planificación del trabajo relativo a la seguridad de los datos
- La definición de una política de seguridad para
los sistemas de TI de Schengen (N.SIS, C.SIS,
SIRENE y sistemas destinados a los usuarios
finales) debe ser parte integrante de la definición
de la política de seguridad global de las
autoridades correspondientes.
- Las autoridades competentes deben documentar
por escrito la política de seguridad adoptada.
- Es crucial asignar los recursos necesarios para
preparar y mantener medidas de seguridad.
- A nivel nacional, deberían establecerse
procedimientos y ámbitos de responsabilidad para
garantizar que todas las medidas de seguridad se
actualicen y revisen continuamente.
- La actualización o revisión de la política debería
llevarse a cabo, en la medida de lo posible, cada
año, para que se adecuen constantemente y
reflejen las condiciones existentes.
- Además, deberían realizarse actualizaciones y
revisiones tras incidentes significativos o graves o
a raíz de modificaciones del sistema que tengan
consecuencias para la seguridad de los datos.
5.2. Organización de la seguridad y control de las partes importantes
- Cuando sea conveniente, deberían planificarse
esfuerzos para garantizar la seguridad de los
datos en el marco de una organización de
seguridad, que puede incluir una o varias
autoridades.
- Se debe garantizar que se conocen todas las
partes importantes de los sistemas, para que
puedan protegerse en función de su importancia.
- Por tanto conviene mantener un registro del
equipo correspondiente de TI de manera
continua; además, debería disponerse de
documentación actualizada sobre la red y el
sistema que muestre por ejemplo la conexión y la
funcionalidad de los elementos específicos del
sistema.
16613/3/08 REV 3
mfh/ANA/og
DG H
21
ES
- Se deben definir claramente las responsabilidades
y la autoridad que se delega en las personas que
participan en el trabajo de seguridad de los datos,
posiblemente en relación con las descripciones de
los puestos de trabajo de las personas afectadas;
normalmente será adecuado facilitar
documentación sobre la organización del trabajo
de la seguridad mediante un organigrama.
5.3. Seguridad del personal
- Sólo podrán tener acceso a los datos del SIS y a
los equipos utilizados para procesar los datos del
SIS personas con autorización específica
- Debe someterse al personal a una investigación de
seguridad como parte del procedimiento de selección
y repetirlo cada cinco años de servicio.
- Los usuarios podrán consultar únicamente los
datos que sean necesarios para el cumplimiento de
su misión.
- Las descripciones de los trabajos del personal
que puede acceder a los datos del SIS y a los
equipos utilizados para procesar datos del SIS
deberían incluir información sobre el
cumplimiento de los requisitos de seguridad.
- Las prácticas de selección de personal deben
conceder importancia al conocimiento de la
seguridad de los datos; el personal debe
participar en el programa de formación necesario
para los usuarios, incluidas todas las normas
aplicables sobre seguridad de los datos.
- Deben celebrarse acuerdos de confidencialidad y
secreto con todas las personas que no
pertenezcan a una autoridad nacional.
- Dichas personas deben tener la autorización o
certificación de seguridad necesaria.
- Sólo deben tener acceso a los datos del SIS
cuando sea preciso para la realización de sus
cometidos.
- Deben definirse cadenas de mando y
procedimientos para garantizar que se
comuniquen cuanto antes los incidentes o las
sospechas de incidentes relativos a la seguridad.
- Todo el personal interno y los contratistas
externos deben conocer el procedimiento de
seguridad de los datos.
- Deben llevarse a cabo consultas para garantizar
que se ha comunicado la información relativa a
los resultados y en la sesión informativa final
cuando un incidente haya sido tratado y haya
finalizado.
16613/3/08 REV 3
mfh/ANA/og
DG H
22
ES
- Cualesquiera violaciones de las normas de
seguridad deben someterse a acciones
disciplinarias, con arreglo a la legislación
nacional.
5.4. Seguridad física
- Las instalaciones de tratamiento de datos SIS
- Las instalaciones de tratamiento de datos SIS y demás
(N.SIS, C.SIS y SIRENE) y demás recursos
recursos fundamentales o sensibles del SIS deben
fundamentales o sensibles del SIS, como las
estar organizados como zonas de seguridad de clase II
zonas de almacenamiento de soportes, deben estar según la definición de la Decisión 2001/264/CE del
ubicadas en zonas seguras, cada una protegida por Consejo 1 (el grado de seguridad dependerá del la
un perímetro de seguridad definido con barreras
cantidad y forma de la información que se guarde en
físicas y controles de entrada apropiados.
ellas).
- Los ordenadores deben encontrarse en una ubicación
subterránea (o de un nivel comparable de seguridad).
- Deben establecerse diferentes zonas de seguridad a
las que se acceda mediante:
- tarjetas de acceso (o un nivel comparable de
seguridad)
- vigilantes
- La zona tiene que estar adecuadamente protegida - control mediante circuito cerrado de televisión.
contra todo tipo de intrusión.
- La construcción de los muros externos debe ser
sólida y las puertas de acceso deben estar
convenientemente protegidas contra el acceso no
autorizado, por ejemplo con mecanismos de
control, barreras, alarmas y cerraduras.
- El edificio o el lugar en que se encuentren las
- Deben controlarse las entradas y salidas.
instalaciones de tratamiento de datos SIS debe
disponer de una zona de recepción con el personal
adecuado u otros medios de control del acceso
físico.
- El acceso a las zonas de seguridad en las que se
encuentren las instalaciones de tratamiento de
datos SIS y de almacenamiento de soportes debe
estar controlado y restringido a las personas
autorizadas.
- En las zonas de seguridad, los visitantes deben
estar vigilados o contar con una habilitación de
seguridad.
- Sólo debe permitirse el acceso de visitantes con
fines específicos y autorizados.
- El personal de los servicios de asistencia de
terceras partes debe tener un acceso restringido a
las zonas de seguridad y únicamente en caso de
necesidad.
- Dicho acceso debe ser autorizado y debe estar
vigilado.
1
Decisión 2001/264/CE del Consejo, de 19 de marzo de 2001, por la que se adoptan las normas de
seguridad del Consejo (DO L 101 de 11.4.2001, p. 1).
16613/3/08 REV 3
msv/ANA/og
DG H
23
ES
5.5.
Seguridad de los equipos
- Todos los equipos utilizados para tratar o
almacenar datos del SIS deben estar protegidos
contra daños y pérdidas no intencionados y
acceso no autorizado.
5.5.1. Equipos de tratamiento de datos del SIS
- Los equipos de tratamiento de datos del SIS
deben estar ubicados en una zona en la que el
acceso esté reducido al mínimo y estrictamente
controlado.
- La vigilancia debe ser continua para reducir al
mínimo el riesgo de amenazas potenciales,
incluidos los atentados criminales o terroristas, el
incendio, el recalentamiento por fallo en la
climatización, el derrumbamiento de la estructura
tras una explosión, y la entrada de agua.
- Para que haya continuidad en el suministro de
energía debe disponerse de los siguientes equipos,
cuyo funcionamiento se comprobará
periódicamente:
. un suministro ininterrumpido de energía, que
mantenga en marcha las funciones esenciales.
. un generador auxiliar que permita el tratamiento
continuo en caso de interrupción prolongada del
suministro de energía.
Las instalaciones de TI deben contar con:
- sistemas de detección de incendios, calor y humos
- sistema automático de extinción de incendios
- aire acondicionado suficiente.
- Los cables de telecomunicación deben estar
protegidos en la medida necesaria.
- Los equipos de las redes electrónicas deben estar
instalados en salas o armarios cerrados con llave.
- Únicamente personal de mantenimiento
autorizado debe ocuparse de las reparaciones y el
mantenimiento de los equipos.
- Debe haber un sistema de seguridad separado, y
debe comprobarse con regularidad el buen
funcionamiento del cambio entre el sistema
ordinario y el de seguridad.
Las instalaciones de seguridad deben contar con:
- reserva activa y pasiva o duplicación simultánea
exacta
- una ubicación remota para que un siniestro que se
produzca en un lugar no afecte al otro.
16613/3/08 REV 3
msv/ANA/og
DG H
24
ES
5.5.2. Terminales y puestos de trabajo en ordenadores personales
- Los terminales, puestos de trabajo en ordenadores
personales y las impresoras deben estar ubicados
de tal modo que las personas no autorizadas no
puedan leer los datos que contengan.
- Deben establecerse procedimientos para vigilar
las impresiones de pantallas y datos del SIS.
- Las sesiones en ordenadores personales y
terminales deben terminar automáticamente tras
un período de inactividad; terminales y
ordenadores deben estar protegidos con
dispositivos de cierre, claves de acceso u otras
medidas de control cuando no estén siendo
utilizados.
- Los terminales, puestos de trabajo en ordenadores
personales y las impresoras que estén instalados
en salas a las que tenga acceso el público en
general deben estar constantemente vigiladas.
5.6.
Gestión de las comunicaciones y del funcionamiento
5.6.1. Procedimientos de funcionamiento y competencias
- Los procedimientos de funcionamiento
establecidos por cada Estado Schengen deben
documentarse y revisarse y actualizarse con
regularidad.
- Como mínimo, deben incluir lo siguiente:
• procedimientos de funcionamiento diario, tales
como la salvaguarda, la actualización de los
antivirus, la supervisión de la red, etc.
• procedimientos para el manejo de los soportes
de datos y demás partes esenciales
• procedimientos relativos a las restricciones de
acceso
• instrucciones sobre cómo tratar los errores u
otras circunstancias excepcionales
• contactos de asistencia en caso de que surjan de
improviso dificultades técnicas o de
funcionamiento
• procedimientos para reiniciar y restaurar el
sistema tras cualquier fallo
• control satisfactorio de todas las modificaciones
de las instalaciones y los sistemas de
tratamiento de datos del SIS, incluidos los
equipos, programas y procedimientos
• deben estar claras las competencias y debe
haber instrucciones y procedimientos claros en
relación con el tratamiento de las
modificaciones.
16613/3/08 REV 3
msv/ANA/og
DG H
25
ES
5.6.2. Procedimientos para la gestión de incidentes
- Deben existir planes de emergencia y
procedimientos de cadena de alerta que se
utilizarán para resolver incidentes que puedan
interrumpir el funcionamiento del sistema y hacer
total o parcialmente inaccesibles los sistemas de
TI de Schengen.
- Deben definirse procedimientos para la detección
y el tratamiento de incidentes que aunque no den
lugar a una inaccesibilidad total del sistema,
comprometan la seguridad de los datos.
5.6.3. Protección contra programas nocivos
- Para proteger la integridad de los programas y de
los datos, deben tomarse habitualmente una serie
de medidas de seguridad para prevenir y detectar
la intrusión de programas nocivos y contribuir a
restaurar posteriormente los sistemas.
- Entre dichas medidas deben figurar medidas de
control para la protección contra los virus,
parásitos, programas disimulados y demás
programas nocivos.
- Como mínimo, deben incluirse los siguientes
elementos:
• instrucciones formales que exijan el
cumplimiento de las licencias de programas y
prohíban el uso de programas no autorizados
• instalación, en todos los ordenadores personales,
de un programa de detección de virus y de
reparación con actualizaciones periódicas de
definición de virus y escaneado en servidores,
ordenadores personales y ordenadores
portátiles; las eventuales excepciones deberán
motivarse
- No deben abrirse los archivos adjuntos a correos
• verificación, por lo que respecta a programas
electrónicos que lleven la extensión ".exe" o que
nocivos, de todos los archivos que se adjunten
contentan macros, contraseñas u otros elementos
en correos electrónicos y de las descargas de la
sospechosos.
red antes de su utilización; debe precisarse
dónde se llevará a cabo esta verificación: por
ejemplo, en los servidores de correo electrónico
o al entrar en la red
• debe disponerse de procedimientos formales
para reaccionar contra incidentes relacionados
con virus
16613/3/08 REV 3
msv/ANA/og
DG H
26
ES
5.6.4. Copia de seguridad
- Deben realizarse periódicamente copias de
seguridad de los datos, archivos de configuración y
aplicaciones de SIS.
- Deben hacerse copias de seguridad a diario.
- Todos los sistemas de seguridad deben
comprobarse periódicamente para asegurarse de que
cumplen los requisitos de los planes operativos
- Deben aplicarse a las copias de seguridad de los
datos las medidas de protección física requeridas;
las copias de seguridad deben conservarse en
distintas ubicaciones geográficas.
- Las copias deben guardarse al menos en dos lugares
distintos.
- Deben comprobarse periódicamente los
procedimientos de restauración.
- Los procedimientos de restauración deben
comprobarse dos veces al año.
5.6.5. Gestión de la red
- La transmisión nacional de datos del SIS sólo
- Deben emplearse redes, radio y fax cifrados.
puede utilizar redes que estén protegidas contra el
acceso no autorizado.
- Deben vigilarse constantemente las redes.
- Deben adoptarse medidas para proteger los datos
del SIS durante la transmisión por redes de
comunicación.
- No debe ser posible acceder a los datos del SIS
- Para el intercambio de datos de carácter personal
desde redes públicas como Internet.
deben emplearse comunicaciones seguras entre las
- Debe protegerse la transmisión de claves de
oficinas SIRENE y las oficinas del terreno, así como
acceso y demás elementos de seguridad mediante con los funcionarios operativos.
cifrado.
- Debe evitarse acceder a Internet a través de la red de
la policía.
5.6.6. Tratamiento de los soportes de datos
- Debe restringirse al mínimo necesario el número
de copias técnicas de datos del SIS (véase
art. 102.2 del Convenio de Schengen).
- Deben fijarse procedimientos para el manejo y
almacenamiento de datos del SIS, con el fin de
protegerlos contra la retransmisión no autorizada
o el uso indebido.
- Dichos procedimientos deben incluir:
16613/3/08 REV 3
msv/ANA/og
DG H
27
ES
• Sólo el personal autorizado debe tener acceso
a los soportes informáticos de almacenamiento
que contengan datos del SIS.
• Todos los soportes que contengan datos del
SIS deben marcarse y protegerse
adecuadamente durante su transporte.
• Los soportes obsoletos o que hayan dejado de
ser necesarios deben inutilizarse o, en caso de
volver a ser utilizados, tratarse de forma que
se eliminen todos los datos del SIS.
• Los archivos deben disponer de medidas de
seguridad.
• El acceso a los archivos debe estar controlado
y restringido al personal autorizado.
• Dicho acceso debe estar vigilado y quedar
registrado.
• Los archivos deben estar gestionados de modo
que se cumplan las normas de supresión.
5.7. Control del acceso de los usuarios
- Debe existir un procedimiento de registro y de
"desregistro" del usuario para conceder acceso a
los distintos sistemas y servicios.
-Toda comunicación relativa a datos del SIS con las
oficinas consulares debe ser segura.
- Debe evitarse la difusión de datos por error debido a
un reciclado inadecuado del material, incluido el
papel.
- La sustitución de soportes deben realizarla las
autoridades competentes o empresas autorizadas y
habilitadas.
- Deben implantarse procedimientos para el
almacenamiento y la destrucción del material y/o
mantener los despachos despejados.
- Los archivos electrónicos deben proporcionar las
mayores garantías de seguridad, tales como estar
dotados de una clave para su acceso y utilización, así
como de dispositivos para la auditoría.
- Se recomienda la inclusión de funciones automáticas
de depuración y supresión en los archivos
electrónicos.
- En el caso de los archivos físicos, se considera que la
mejor solución es la combinación de una tarjeta
magnética y un código personal de acceso, o
procedimientos que ofrezcan una seguridad
comparable.
- Debe evitarse hacer impresiones de los archivos
electrónicos, que deben destruirse en cualquier caso
tras ser utilizadas.
- Debe existir un sistema de validación de las consultas
por muestreo.
- Dicho procedimiento debe incluir:
• la utilización de claves de identificación del
usuario únicas, para que las actuaciones de los
usuarios individuales puedan contabilizarse y
se pueda responsabilizar a los usuarios de sus
actuaciones; por ello, no se debe permitir la
utilización de claves de identificación de
grupo
• cada usuario debe disponer únicamente de una
serie mínima de derechos de acceso necesarios
- La aplicación puede incluir una función técnica que
para la ejecución normal de su cometido
cierre automáticamente la cuenta de un usuario
• la supresión inmediata de los derechos de
cuando no se haya hecho uso de ella p. ej. en dos
acceso a los datos del SIS siempre que los
respectivos usuarios dejen de ejercer funciones semanas.
que requieran dicho acceso
• verificación periódica de que el nivel de
- La clave de identificación y la cuenta pueden
acceso concedido es acorde con el perfil del
vincularse automáticamente a la categoría del
usuario
personal.
• verificación periódica y supresión de las
claves de identificación y cuentas de usuario
sobrantes.
16613/3/08 REV 3
msv/ANA/og
DG H
28
ES
- La asignación y la administración de claves de
acceso se controlará mediante un procedimiento
formal que garantice que:
• los usuarios estén informados sobre sus
obligaciones relativas a sus claves de acceso y
sean conscientes de las mismas
. las claves de acceso se comuniquen a los
usuarios de un modo seguro
- La clave de acceso debería cambiarse cada 60-90
• se pida a los usuarios que cambien
días.
periódicamente sus claves de acceso y se
rechace la reutilización de claves de acceso
• nunca se almacenen claves de acceso en el
sistema informático sin protección
- Se establecerá un procedimiento para garantizar
la revisión periódica de todos los derechos de
acceso de los usuarios.
5.8. Control del acceso al sistema y de su utilización
- La utilización nacional de los sistemas de TI de
Schengen debe supervisarse con objeto de
garantizar la detección de actividades no
autorizadas.
- Los registros de actuaciones y de auditoría relativos a
los archivos SIRENE deberían supervisarse
constantemente como medida preventiva y
conservarse con arreglo a lo dispuesto en el Derecho
nacional.
- Un sistema informatizado de seguimiento del trabajo
y gestión de casos ofrece los mejores medios para
asegurarse de que cada acción llevada a cabo en un
archivo SIRENE queda registrada y auditada.
- La transmisión de datos de carácter personal
deberá registrarse de conformidad con el
artículo 103 del Convenio de Schengen.
- El registro de las conexiones del usuario y, en la
medida de lo posible, de las desconexiones, los
intentos de conexión o conexiones fallidas y los
intentos de utilización no autorizada de datos
deberían almacenarse durante el periodo que
establece el artículo 103 del Convenio de
Schengen.
- Los datos registrados deberían incluir la clave de
identificación del usuario, la fecha y la hora del
incidente y, si es posible, la identidad y la
ubicación del terminal.
5.9. Desarrollo y mantenimiento
- Para reducir al mínimo el riesgo de daño a los
sistemas operativos, deben establecerse medidas
de control de seguridad para datos y programas.
- Debería garantizarse que, por ejemplo, la
actualización de los sistemas operativos,
incluyendo la colección de programas, sólo se
lleve a cabo con aprobación previa.
16613/3/08 REV 3
jv/ANA/og
DG H
29
ES
- Antes de que se conceda la aprobación, debe
garantizarse que la actualización se ha ensayado y
documentado satisfactoriamente.
- Debe disponerse de un sistema de pruebas
separado del entorno de producción, para que los
cambios puedan ensayarse antes de que sean
operativos y para que no se introduzcan en el
sistema operativo datos que no hayan sido
ensayados.
- Se evitará toda utilización de datos reales del SIS
a efectos de prueba.
5.10. Planificación de emergencia
- Cada Estado Schengen debe establecer y aplicar
medidas planificadas de emergencia adecuadas,
teniendo en cuenta, por ejemplo, las situaciones
siguientes:
• se constata la inaccesibilidad del N.SIS o de la
red
• algunos usuarios o todos los usuarios no
pueden consultar los datos del SIS a causa de
problemas en la infraestructura TI nacional.
- Los planes de emergencia deben basarse en una
evaluación del riesgo de amenazas que puedan
desembocar en la incapacidad de acceder al
sistema y de las repercusiones de esas amenazas
en los demás Estados Schengen.
- Como mínimo, los planes de emergencia deben
incluir lo siguiente:
• criterios para la ejecución de los planes y
medidas que se han de tomar inmediatamente
para evaluar la situación
• procedimientos de cadena de alerta, con
arreglo a los procedimientos acordados para
los Estados Schengen, con vistas a informar a
las autoridades nacionales de gestión, al C.SIS
y a los demás Estados Schengen
• procedimientos de emergencia que describan
las medidas que se han de adoptar tras un
incidente que interfiera en el acceso al sistema
• procedimientos auxiliares que describan las
medidas que se han de adoptar para desviar las
operaciones esenciales del N.SIS a servidores
temporales alternativos
• procedimientos de restauración del sistema
que describan las medidas que se han de
adoptar para restaurar el funcionamiento
normal.
16613/3/08 REV 3
jv/ANA/og
DG H
30
ES
- Los planes de emergencia deben actualizarse
periódicamente, al igual que los procedimientos
rutinarios del personal.
5.11. Control
- Deben establecerse procedimientos para
- Deben llevarse a cabo auditorías de seguridad
garantizar el control continuo del cumplimiento
periódicas por personas no pertenecientes al
de la legislación europea y nacional aplicable, así departamento de TI.
como de las normas administrativas.
________________________
16613/3/08 REV 3
jv/ANA/og
DG H
31
ES