Die längst fällige Migration vom SIS 1+ zum SIS II (Teil 2)

Nachdem in Teil 1 dieses Beitrags die Entstehung, der Aufbau und die notwendige Erweiterung des Schengener Informationssystems (SIS) auf der Basis des Schengener Durchführungsübereinkommens (SDÜ) kurz dargestellt wurde, sollen nachstehend die Hindernisse bei der Überführung des SIS in das SIS II – samt aller dabei notwendigen Zwischenlösungen – sowie dessen definitive Einrichtung aufgezeigt werden.

[[image1]]Am 9. April 2013 erklärte Cecilia Malmström, die für Inneres zuständige Kommissarin: „Ich freue mich, dass das SIS II jetzt in Betrieb gehen kann. (…) Das SIS-Projekt war ein schwieriges Erbe für mich (…) Leicht war das nicht. Jetzt können wir die Durchführungsphase angehen, für die die neue Agentur eu-LISA zuständig ist“[1]. Diesen eher kryptischen Worten gilt es nunmehr nachzugehen und dabei auch die Überwindung der beträchtlichen Schwierigkeiten aufzuzeigen, die sich dem Jahrhundertprojekt SIS II in seiner Entwicklungsphase in den Weg gestellt haben.

SIS 1+ und SISone4all als Zwischenlösungen

Trotz der Vergabe des Auftrags der Ausarbeitung und Entwicklung des SIS II-Systems[2] durch die Kommission an ein Konsortium führender IT-Unternehmen – unter der Leitung des französischen Unternehmens HP Steria – war diese Gruppe technisch nicht in der Lage, dem Auftrag auf Ausarbeitung eines SIS II in der an sich geplanten fünfjährigen Übergangsfrist bis Ende 2006 zeitgerecht nachzukommen. Zu den technischen Problemen kamen aber auch noch juristische Probleme hinzu, da der Beschluss des Gerichts erster Instanz in der Rechtssache T-447/04 R[3] über Fragen des Zuschlags für die Entwicklung und Installation des SIS II zu einer zeitweiligen Einstellung der Arbeiten an diesem Projekt führte.

Eine weitere Problemstellung resultierte aus der steten Ausweitung des SIS auf neue Bedrohungsformen der staatlichen Sicherheit, wie zB durch die Verordnung (EG) Nr. 871/2004 des Rates vom 29. April 2004[4] und den Beschluss 2005/211/JI des Rates vom 24. Februar 2005[5] über die Einführung neuer Funktionen für das Schengener Informationssystem, auch im Hinblick auf die Terrorismusbekämpfung. In diesem Zusammenhang wurde sowohl Europol als auch Eurojust der Zugriff auf das SIS eröffnet. Des weiteren hatte der Rat[6] bereits im Juni 2003 beschlossen, dass im SIS II auch biometrische Daten gespeichert werden sollen.

Dementsprechend wurde das SIS zunächst zum SIS 1+ weiterentwickelt. Bei dieser Zwischenlösung handelte es sich um eine bloß „fortgeschriebene“ Erweiterung und Adaptierung von SIS im Hinblick auf eine Reihe neuer Benutzer, ohne dass es dabei aber zur vorgesehenen neuen Systemkonfiguration in Form eines SIS II gekommen wäre.

Im Dezember 2006 befürwortete der Rat das Projekt SISone4all, das ein von der portugiesischen Delegation zur SIS TECH Council Working Party initiiertes und danach auch koordiniertes gemeinsames Projekt der Mitgliedstaaten darstellte[7], um damit neun der im Jahr 2004 der EU beigetretenen Länder (Estland, Lettland, Litauen, Malta, Polen, Slowakei, Slowenien, Tschechien und Ungarn) den Zugang zum SIS 1+ zu ermöglichen. Der erfolgreiche Abschluss von SISone4all gestattete, zusammen mit den positiven Evaluierungen des Schengen-Systems an sich, die Abschaffung der Personenkontrollen an den Binnengrenzen zu diesen neuen Ländern – und zwar im Dezember 2007 für die Land- und Seegrenzen und im März 2008 für die Luftgrenzen.

Das SIS II

In Fortführung der beiden in Teil 1 dieses Beitrags bereits erwähnten Rechtsakte des Rates vom Dezember 2001 zur Einrichtung des SIS II[8] ergingen am 20. Dezember 2006 und am 12. Juni 2007 für die Einrichtung, den Betrieb und die Nutzung des SIS II zwei Rechtsakte und zwar zum einen eine Verordnung des Europäischen Parlaments und des Rates in Bezug auf Angelegenheiten, die in den Anwendungsbereich des EG-Vertrages fielen[9] und zum anderen ein Beschluss des Rates für solche Materien, die im früheren EU-Vertrag geregelt waren. [10]

Dazu kam noch eine weitere Verordnung des Rates, mittels derer den nationalen KfZ-Zulassungsbehörden Zugang zum SIS eingeräumt wurde, damit diese Daten betreffend gestohlene, unterschlagene, sonst abhanden gekommene oder für ungültig erklärte KfZ-Zulassungsbescheinigungen und KfZ-Kennzeichen abrufen konnten.[11]

Die Datenmigration vom SIS 1+ zum SIS II

Da das Mandat der beiden Rechtsakte zur Einrichtung des SIS II vom Dezember 2001[12] zum Jahresende 2008 auslief , bedurfte es für die Datenmigration vom SIS 1+ zum geplanten SIS II einer neuen Regelung, die in der Folge durch die Verordnung (EG) Nr. 1104/2008[13] und den Beschluss 2008/839/JI[14] des Rates getroffen wurde. Da das SIS II aber technisch noch immer nicht einsatzfähig war, wurde nach mehreren Änderungen dieser Rechtsakte und nach Auslaufen von deren Geltung am 30. Juni 2010[15] durch die Verordnung (EU) Nr. 1272/2012 des Rates vom 20. Dezember 2012 über die Migration vom Schengener Informationssystem (SIS 1+) zum Schengener Informationssystem der zweiten Generation (SIS II)[16] eine eigene Übergangsarchitektur für das SIS eingerichtet, die vor allem den „Migrationsplan“, den die Kommission am 23. Februar 2011 angenommen hatte, berücksichtigte.

Die Übergangsarchitektur für den Betrieb des SIS 1+ sollte während des befristeten Übergangszeitraums, der für die schrittweise Migration vom SIS 1+ zum SIS II benötigt wird, den Parallelbetrieb des SIS 1+ und bestimmter technischer Teile der Architektur des SIS II ermöglichen. Die Übergangsarchitektur, für die von der Kommission ein Konverter zur Verfügung gestellt wurde, sollte sich allerdings nicht auf die Betriebsbereitschaft des SIS 1+ auswirken. Um die Entwicklung des SIS II zu überprüfen und durch einen Probelauf zu testen wurden auch spezielle Prüfungen[17] und ein umfassender Test für das SIS 1+[18] vorgesehen.

Nachdem zunächst eine erste Testphase des zentralen SIS-Systems zwischen Juli und Dezember 2007 durchgeführt wurde, die aber nicht zufrieden stellend verlief, wurde unter slowenischer Präsidentschaft vom Rat auf seiner Tagung im Februar 2008 ein neuer Test für September 2009 angeordnet.[19] Zugleich wurde eine hochrangige Gruppe auf Ministerniveau, die sogenannten „Freunde von SIS II“ eingesetzt, die dem Vorgang ein stärkeres politisches Momentum geben sollten. Nachdem aber auch diese Maßnahme nicht die erwartete Wirkung zeitigte, schloss sich eine kleine Gruppe von Mitgliedstaaten unter der Führung von Deutschland, Frankreich und Österreich zusammen und organisierte eine Reihe informeller Zusammenkünfte ihrer technischen Experten. Das dabei entwickelte Programm SIS 1+RE zeitigte gute Anfangserfolge, sodass der Rat im Februar 2009 eine Studie in Auftrag geben konnte, die die Brauchbarkeit des SIS 1+RE für die Ausarbeitung von SIS II untersuchen sollte.[20] Auf der Basis dieser Studie entschied der Rat auf seinem Treffen am 4. Juni 2009, dass das SIS 1+RE als „fall back option“ für den Fall in Reserve gehalten werden sollte, dass die gleichzeitig angeordneten zwei „Meilensteine-Tests“ des SIS II negativ ausfallen sollten. Dementsprechend sollte auch das SIS 1+RE weiter entwickelt werden, wofür Frankreich dasselbe französische IT-Unternehmen ATOS vorschlug, das schon das ursprüngliche SIS entwickelt hatte und das schließlich auch den Zuschlag bekam.

Da elf Mitgliedstaaten Ende 2009 die technischen Anforderungen erfüllt hatten und die Testtools für das SIS 1+ als tauglich befunden wurden, legte der Rat am 30. November 2009 den 29. Jänner 2010 als endgültige Frist für den Abschluss des ersten „Meilenstein-Tests“ für die Funktionsweise des SIS II fest, an den sich gegebenenfalls ein zweimonatiger Reflexionszeitraum zur Bewertung der Testergebnisse anschließen könnte. Dieser erste Test des SIS II erbrachte neuerlich unbefriedigende Resultate, sodass er im März 2010 wiederholt wurde. Dieses neuerliche Testergebnis wurde in der Folge von der Mehrheit der Schengen-Mitgliedstaaten – mit Ausnahme der Experten der Bundesrepublik, Frankreichs und Österreichs[21] – akzeptiert und der zweite „Meilenstein-Test“ des SIS II terminlich für Ende 2011 festgelegt, damit dieses System Anfang 2013 Online gehen könnte[22].

Anwendungsbeginn von SIS II

Nachdem alle Mitgliedstaaten, die uneingeschränkt am SIS 1+ teilnahmen, der Kommission mitgeteilt hatten, dass sie die erforderlichen technischen und rechtlichen Vorkehrungen zur Verarbeitung von SIS II-Daten getroffen haben, erklärte die Kommission, dass ein umfassender Text des SIS II, den sie gemeinsam mit den Mitgliedstaaten durchgeführt hatte, erfolgreich abgeschlossen wurde. Die Vorbereitungsgremien des Rates validierten in der Folge die vorgeschlagenen Testergebnisse am 6. Februar 2013 und bestätigten danach, dass das Leistungsniveau des SIS II zumindest dem mit dem SIS 1+ erreichten Niveau entspricht.

Parallel dazu hatten die am SIS 1+ teilnehmenden Mitgliedstaaten funktionale SIRENE-Tests erfolgreich durchgeführt, deren Ergebnisse vom einschlägigen Vorbereitungsgremium des Rates am 15. Februar 2013 validiert wurden.

Damit waren alle erforderlichen Bedingungen erfüllt und der Rat konnte das Datum festlegen, ab dem das SIS II für die am SIS 1+ teilnehmenden Mitgliedstaaten in Kraft treten konnte. Er tat dies durch zwei Beschlüsse[23], mit denen er den Anwendungsbeginn des SIS II definitiv mit 9. April 2013 anordnete. In Österreich wurde dieser Termin konsequenterweise durch zwei Veröffentlichungen der Innenministerin im BGBl. kundgemacht.[24]

In der Folge wurde der § 33 Abs 1 des EU-Polizeikooperationsgesetzes (2009) dahingehend geändert, dass der Bundesminister für Inneres als Auftraggeber iSd § 4 Datenschutzgesetz (2000)[25] zum Zweck der Ausschreibung von Personen und Sachen eine zentrale Datenanwendung, das nationale Schengener Informationssystem (N.SIS II), zu führen hat. Er hat diese Daten anderen Mitgliedstaaten im Wege des zentralen Schengener Informationssystems (zentrales SIS II) zur Verfügung zu stellen. Er ist ermächtigt, Ausschreibungen der zuständigen Stellen anderer Mitgliedstaaten im Wege des zentralen Schengener Informationssystems zu ermitteln und mit den anderen Daten im N.SIS II weiter zu verarbeiten und zu verwenden.[26]

Ausweitung des Fahndungsnetzwerks SIS II

Durch das Upgrading vom SIS 1+ auf das SIS II werden die derzeit im System befindlichen 47 Mio. Datensätze – davon 40 Mio über verlorene oder gestohlene Dokumente und über 5 Mio. über gestohlene Autos – auf geschätzte 70 Mio. anwachsen, da in das SIS II nunmehr auch Daten über verdächtige Wertpapiere, Aktien, Schecks und Kreditkarten eingespeichert werden können. Neben diesen Finanzdaten werden zukünftig aber auch biometrische Daten (Fingerabdrücke etc.) sowie Zulassungspapiere für LKWs, PKWs, Luft- und Wasserfahrzeuge, Baumaschinen etc. in das SIS II aufgenommen. Dazu kommen noch Europäische Haftbefehle und die Möglichkeit, Personen- und Sachfahndung zu verknüpfen, um zB Bewegungsprofile von flüchtigen Straftätern zu erstellen oder Vermisste zu suchen.[27] Auf all diese Daten können die Polizei- und Grenzkontrolldienststellen der Schengen-Staaten in Zukunft zugreifen, was die Verbrechensfahndung entscheidend erleichtern wird.

Das operationelle Management des SIS II, aber auch das des VIS (Visa-Datei) und des EURODAC (Fingerabdrücke-Datei), hat die mit 1. Dezember 2012 eingerichtete Europäische Agentur für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA)[28], mit Sitz in Tallin, der Hauptstadt Estlands, übernommen, die auch bereits offiziell mitgeteilt hat, dass das SIS II am 9. April 2013 seinen Betrieb ordnungsgemäß aufgenommen hat[29]. In diesem Zusammenhang erklärte Krum Garkov, der Exekutivdirektor von eu-LISA: „Wir stehen für das SIS II-Betriebsmanagement bereit. In enger Zusammenarbeit mit der Kommission und den Mitgliedstaaten werden wir eine reibungslose Übernahme des Systemmanagements sicherstellen und dabei den Mitgliedstaaten rund um die Uhr Systemdienste anbieten und zu mehr Sicherheit in Europa beitragen“.[30]

Fazit

Bedingt durch technische, politische und juristische Probleme benötigte man insgesamt über zehn Jahre (sic), um das bisherige SIS – unter Indienstnahme der Zwischenlösungen SIS 1+, SIS 1+RE und SISone4all – auf ein verbessertes SIS II umzustellen. Das SIS II sollte zunächst 2006, dann 2008 und schließlich 2010 in Betrieb gehen. Zuletzt wurde der 9. April 2013 als Tag der offiziellen Inbetriebnahme festgelegt, obwohl eine Reihe von wesentlichen Anforderungen, wie zB die Zirkulation von Eilmeldungen im gesamten System innerhalb von vier Minuten, noch nicht verwirklicht ist. Es gibt auch keinen Notfallplan bei einem Systemabsturz uam.

Wie auf kaum einem anderen Gebiet bewahrheitete sich bei der Weiterentwicklung des SIS zum SIS II die alte Binsenweisheit: „Viele Köche verderben den Brei“. Insgesamt waren 12 Gremien und Arbeitsgruppen mit der Ausarbeitung von SIS II und der Datenmigration von SIS 1+, SIS 1+RE und SISone4all in das SIS II befasst, die untereinander nicht immer entsprechend koordiniert und abgestimmt waren: Dabei sind vor allem die formellen Arbeitsgruppen des Rates, wie das Artikel 36-Komitee (CATS), die SIS-TECH- und die SIS-SIRENE-Arbeitsgruppe zu erwähnen, ebenso wie auch eine Reihe von Ausschüssen im Rahmen des „Komitologie-Verfahrens“[31], wie zB das SISVIS-Komitee mit seinen Unterausschüssen SIS II TECH und SIRENE sowie auch einige Beratungsgremien, wie zB der Change Management Board (CMB) und die Test Advisory Group (TAG).[32]

Auch was die Finanzierungskosten von SIS II betrifft, konnte der ursprünglich geplante Rahmen von 15 Mio Euro bei weitem nicht eingehalten werden. Von 2002 bis 2012 haben sich die Kosten mehr als verzehnfacht und belaufen sich Anfang 2013 auf 167,8 Mio Euro. Aufdifferenziert kosteten bis jetzt die Entwicklung 85,6 Mio., der Aufbau des Netzwerks 45,3 Mio., die Unterstützungs- und Qualitätssicherungsmaßnahmen 16 Mio. und das operationelle Management in Straßburg und in St. Johann im Pongau 13 Mio. Euro[33]. Sowohl die Zeitüberschreitung um das Doppelte als auch die Kostenexplosion um das Zehnfache belegen aber nicht nur die Komplexität der Erstellung von SIS II, sondern deuten wohl auch auf veritable Ausschreibungs-, Planungs- und Durchführungsmängel hin.

Trotz all dieser Probleme verfügt der Schengen-Raum mit dem SIS II nunmehr über eines der weltweit größten Datensysteme, das durch die Einbeziehung neuer Bereiche, vor allem biometrischer Daten, bewusst von einem reinen Fahndungs- zu einem umfassenden Recherchesystem ausgebaut wurde.

Versucht man in diesem Zusammenhang die nach wie vor kontroversiell diskutierte Frage zu beantworten, ob der Entfall der Grenzkontrollen im Schengen-Raum zu einem Ansteigen der Kriminalität geführt hat oder nicht, so kann in aller Kürze Folgendes festgestellt werden. Entgegen der landläufigen Ansicht, dass die Schengen-Staaten durch den Entfall der Personenkontrollen an ihren Binnengrenzen an Sicherheit eingebüßt haben, deuten die bemerkenswerten Fahndungserfolge im Rahmen des bisherigen SIS bzw des SIS 1+ darauf hin, dass gerade das Gegenteil der Fall ist – und zwar aus einem mehr als einsichtigen Grund: Die heutigen Erscheinungsformen des organisierten Verbrechens lassen sich durch ein elektronisches Fahndungs- und Recherchesystem viel besser kontrollieren und bekämpfen, als durch bloße physische Kontrollen von aktuellen und potentiellen Straftätern anlässlich ihres Grenzübertritts.