Държавен вестник, бр. 59, 2019 г., стр. 13

БРОЙ  59	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  13  
създаването, обработването, съхраняването, 
пренасянето и унищожаването на информаци­
ята, като към тях трябва да се прилагат под­
ходящи механизми за защита, съответстващи 
на идентифицираните от Субекта заплахи.
(4) Нивото на класификацията трябва да е 
подходящо нанесенo върху документираната 
информация.
(5) За класификацията по ал. 1 не се допус­
ка използването на нивата на класификация 
за сигурност на информацията от обхвата на 
Закона за защита на класифицираната инфор­
мация, както и техният гриф.
(6) Информацията без класификация е 
достъпна за общо ползване при спазване на 
стандартните правила за авторски права и 
към нея не се прилагат механизми за защита.
(7) При обмен на информация се използва 
класификация TLP (traffic light protocol) съ­
гласно приложение № 2.
Управление на риска
Чл. 7. (1) Субектът извършва анализ и 
оценка на риска за мрежовата и информаци­
онната сигурност регулярно, но не по-рядко 
от веднъж годишно, или когато се налагат 
съществени изменения в целите, вътрешните 
и външните условия на работа, информаци­
онната и комуникационната инфраструктура, 
дейностите или процесите, влизащи в обхвата 
на тази наредба.
(2) Анализът и оценката на риска са доку­
ментиран процес по смисъла на чл. 5, ал. 1, 
т. 6, в който са регламентирани нивата на 
неприемливия риск и отговорностите на лица­
та, участващи в отделните етапи на процеса.
(3) Анализът и оценката на риска се извърш­
ват по методика, гарантираща съизмерими, 
относително обективни и повтарящи се резул­
тати. Методиката се одобрява от администра­
тивния орган, съответно от ръководителя на 
субекта по чл. 1, ал. 1, т. 2 – 5, и е достъпна 
за лицата, на които е възложено да участват в 
процеса. Може да се прилага препоръчителна 
методика съгласно приложение № 3.
(4) На основание на анализа и оценката на 
риска Субектът изготвя план за намаляване 
на неприемливите рискове, който да включва 
минимум:
1. подходящи и пропорционални мерки за 
смекчаване на неприемливите рискове;
2. необходими ресурси за изпълнение на 
тези мерки;
3. срок за прилагане на мерките;
4. отговорни лица.
Управление на информационните активи
Чл. 8. (1) Субектът приема вътрешни 
правила по смисъла на чл. 5, ал. 1, т. 6, 
регламентиращи процеса на управление на 
жизнения цикъл на информационните и 
комуникационните системи и техните ком­
поненти. Вътрешните правила трябва едно­
значно да указват условията, начина и реда 
за придобиване, въвеждане в експлоатация, 
поддръжка, преместване/изнасяне, извеждане 
от експлоатация и унищожаване на информа­
ционни и комуникационни системи и техните 
компоненти. 
(2) Описът на информационните акти­
ви по смисъла на чл. 5, ал. 1, т. 1 съдържа 
информация, необходима за разрешаването 
на инциденти, анализ и оценка на риска, 
управление на уязвимости и управление на 
измененията, като:
1. еднозначна идентификация, като инвен­
тарен, сериен номер или др.;
2. основни характеристики;
3. услуги, процеси и дейности, в които 
участва;
4. местоположение;
5. година на производство, където е при­
ложимо;
6. дата на въвеждане в експлоатация, къ­
дето е приложимо;
7. версия, където е приложимо;
8. местонахождение на свързаната с него 
документация (техническа, експлоатационна, 
потребителска и др.);
9. отговорно лице.
Сигурност на човешките ресурси
Чл. 9. (1) За намаляване на риска от ин­
циденти, умишлено или неумишлено предиз­
викани от служители, Субектът гарантира 
чрез вътрешни правила и инструкции, че 
служителите, имащи отношение към проце­
сите и дейностите в обхвата на наредбата, 
имат подходящата квалификация, знания и 
умения за изпълнение на отговорностите си.
(2) Вътрешните правила по ал. 1 регла­
ментират:
1. процеса за наемане на работа в съответ­
ствие с приложимите закони и подзаконови 
нормативни актове, професионалната етика и 
съобразно изискванията, свързани с дейността 
им – класификацията на информацията, до 
която имат достъп, и предполагаемите рискове;
2. отговорностите и задълженията по отно­
шение на сигурността на информацията при 
прекратяване или промяна на служебните/
договорните отношения;
3. дисциплинарен процес за лицата по ал. 1, 
които са извършили нарушение по отноше­
ние на политиката и вътрешните правила за 
мрежова и информационна сигурност. 
(3) Отговорностите на лицата по ал. 1 по 
отношение на сигурността на информацията 
се документират с ясно определени срокове 
и задължения.
(4) Субектът обезпечава нивото на мрежова 
и информационна сигурност посредством:
1. подходящо професионално обучение за 
повишаване на квалификацията на служите­
лите в съответствие с използваната техника 
и технологии;