
 РЕГЛАМЕНТ ЗА ИЗПЪЛНЕНИЕ (ЕС) .../... НА КОМИСИЯТА
 от 30.1.2018 година
 за определяне на правила за прилагане на Директива (ЕС) 2016/1148 на Европейския парламент и на Съвета по отношение на допълнителното уточняване на елементите, които трябва да се вземат предвид от доставчиците на цифрови услуги при управлението на рисковете за сигурността на мрежите и информационните системи, както и на показателите за определяне на това дали даден инцидент има съществено въздействие
 ЕВРОПЕЙСКАТА КОМИСИЯ,
 като взе предвид Договора за функционирането на Европейския съюз,
 като все предвид Директива (EС) 2016/1148 на Европейския парламент и на Съвета от 6 юли 2016 г. относно мерки за високо общо ниво на сигурност на мрежите и информационните системи в Съюза
 1
 , и по-специално член 16, параграф 8 от нея,
 като има предвид, че:
 (1)В съответствие с Директива (ЕС) 2016/1148 доставчиците на цифрови услуги са свободни да предприемат технически и организационни мерки, които според тях са подходящи и пропорционални, за управление на риска за сигурността на техните мрежи и информационни системи, доколкото тези мерки осигуряват подходящо ниво на сигурност, като при това се отчитат предвидените в посочената директива елементи.
 (2)При определянето на подходящи и пропорционални технически и организационни мерки съответният доставчик на цифрови услуги следва да приложи систематичен и основан на риска подход към проблема за информационната сигурност.
 (3)С цел да се гарантира сигурността на системите и съоръженията доставчиците на цифрови услуги следва да въведат процедури за оценка и анализ. Тези дейности следва да се отнасят до систематичното управление на мрежите и информационните системи, физическата сигурност и сигурността на средата, сигурността на доставките и контрола на достъпа.
 (4)При анализа на риска в рамките на системното управление на мрежите и информационните системи доставчиците на цифрови услуги следва да бъдат насърчавани да установяват специфичните рискове и да изразяват количествено тяхното значение, например като определят заплахите за активите от първостепенно значение и начина, по който те могат да засегнат операциите, както и най-добрия начин за ограничаване на тези заплахи въз основа на съществуващите възможности и необходимите ресурси.
 (5)Политиките относно човешките ресурси биха могли да бъдат насочени към управлението на различни умения, включително аспекти, свързани с развитието на умения във връзка със сигурността, и към повишаването на осведомеността. При вземането на решение за подходящ набор от политики относно сигурността на операциите доставчиците на цифрови услуги следва да бъдат насърчавани да вземат под внимание аспектите, свързани с управлението на промените и на уязвимостта, формализирането на оперативните и административните практики и картографиране на системите.
 (6)Политиките относно архитектурата за сигурност биха могли да включват по-специално разделяне на мрежите и системите, както и специфични мерки за сигурност за особено важни операции, като например административните операции. Разделянето на мрежите и системите би могло да даде възможност на даден доставчик на цифрови услуги да разграничи един от друг различни елементи, като например потоци от данни и изчислителни ресурси, които принадлежат на клиент, група от клиенти, доставчика на цифрови услуги или трети страни.
 (7)Предприетите мерки по отношение на физическата сигурност и сигурността на средата следва да предпазват мрежите и информационните системи на съответната организация от вреди, причинени от