Държавен вестник, бр. 59, 2019 г., стр. 11

БРОЙ  59	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  11  
ду разходи и ползи при реализиране на целите 
на мрежовата и информационната сигурност;
5. проверими – гарантират, че Субектът 
може да предостави на съответния национален 
компетентен орган по смисъла на чл. 16 от 
Закона за киберсигурност доказателства за 
ефективното им прилагане в съответствие с 
изискването на чл. 16, ал. 3 от същия закон.
(6) Минималните мерки за мрежова и 
информационна сигурност, посочени в тази 
наредба, не са обвързани с определени тех­
нологии.
Г л а в а  в т о р а
МИНИМАЛНИ МЕРКИ ЗА МРЕЖОВА И 
ИНФОРМАЦИОННА СИГУРНОСТ
Раздел I
Управление на мрежовата и информацион­
ната сигурност
Разпределение на роли и отговорности
Чл. 3. (1) Административният орган, съ­
ответно ръководителят на Субекта по чл. 1, 
ал. 1, т. 2 – 5:
1. носи пряка отговорност за мрежовата и 
информационната сигурност в обхвата на на­
редбата, дори и когато дейността е възложена 
за изпълнение на трети страни;
2. създава условия за прилагане на ком­
плексна система от мерки за управление на 
тази сигурност по смисъла на международен 
стандарт БДС ISO/IEC 27001; системата обхва­
ща всички области на сигурност, които засягат 
мрежовата и информационната сигурност на 
Субекта, включително физическата сигурност 
на информационните и комуникационните 
системи;
3. осигурява необходимите ресурси за 
прилагане на пропорционални и адекватни 
на рисковете организационни, технически 
и технологични мерки, гарантиращи високо 
ниво на мрежова и информационна сигурност 
в обхвата на наредбата;
4. упражнява контрол върху нивото на 
мрежовата и информационната сигурност чрез:
а) организиране на одити по смисъла на 
чл. 35, ал. 1, т. 1 и 3 за доказване на съответ­
ствието на предприетите мерки с изискванията 
на нормативните актове и приетите стандарти; 
б) провеждане минимум веднъж в годината 
на периодичен преглед на мрежовата и ин­
формационната сигурност и на адекватността 
на предприетите мерки;
5. определя, документира и налага от­
говорности по изпълнението, контрола и 
информираността за всички процеси и дей­
ности, свързани с развитието, поддръжката 
и експлоатацията на информационните и 
комуникационните системи, като се спазва 
принципът, че едно лице не може да контро­
лира собствената си дейност.
на Закона за киберсигурност, когато тези 
организации предоставят административни 
услуги по електронен път.
(2) С наредбата се уреждат:
1. изисквания за минималните мерки за 
мрежова и информационна сигурност;
2. препоръчителни мерки за мрежова и 
информационна сигурност;
3. правила за извършване на проверките за 
съответствие с изискванията на тази наредба;
4. редът за водене, съхраняване и достъп 
до регистъра на съществените услуги по чл. 6 
от Закона за киберсигурност;
5. образец на уведомленията за инциденти.
Принципи
Чл. 2. (1) По своя характер мерките за 
мрежова и информационна сигурност са ор­
ганизационни, технологични и технически и 
се прилагат в съответствие със спецификата 
на дейността на Субекта и трябва да са под­
ходящи и пропорционални на рисковете за 
постигането на основните цели на мрежовата 
и информационната сигурност.
(2) Мерките по ал. 1 гарантират основните 
цели на мрежовата и информационната си­
гурност, а именно запазване на достъпността, 
интегритета (цялост и наличност) и конфи­
денциалността на информацията по време на 
целия є жизнен цикъл (създаване, обработване, 
съхранение, пренасяне и унищожение) във и 
чрез информационните и комуникационните 
системи на Субекта.
(3) Мерките по ал. 1 са съобразени с
изискванията на националните нормативни 
актове, регламентите на Европейския съюз и 
приетите и приложени от Субекта стандарти, 
като се вземат предвид краткосрочните, ос­
новните и общите рискове за сигурността за 
съответния сектор.
(4) Мерките за мрежова и информационна 
сигурност се прилагат съобразно указанията 
на приложимите международни стандарти, 
посочени в приложение № 1, препоръките 
на производители и доставчици на софтуер и 
хардуер, както и с добрите практики, препо­
ръчани от водещи в областта на сигурността 
организации. 
(5) Мерките по ал. 1 трябва да са:
1. разнородни – постигането на всяка от 
целите на мрежовата и информационната си­
гурност се реализира с различни по характер 
и специфика мерки, което създава условие за 
многослойна защита, или т. нар. „дълбока 
отбрана“;
2. конкретни и лесни за възприемане, за 
да се гарантира, че мерките действително се 
прилагат;
3. ефикасни – да имат най-голямо въз­
действие върху потенциални заплахи, като се 
избягва ненужен разход на ресурси;
4. пропорционални на рисковете – с оглед 
на постигане на оптимално съотношение меж­