Държавен вестник, бр. 59, 2019 г., стр. 12

СТР.  12	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  59
(2) Лицето по ал. 1 определя служител или 
административно звено, отговарящо за мре­
жовата и информационната сигурност, като:
1. служителят или звеното, отговарящо за 
мрежовата и информационната сигурност, е на 
пряко подчинение на административния орган, 
съответно на ръководителя на Субекта, по 
чл. 1, ал. 1, т. 2 – 5 с цел пряко информиране 
за състоянието и проблемите в мрежовата и 
информационната сигурност;
2. препоръчителни функции на служителя 
или на звеното, отговарящо за мрежовата и 
информационната сигурност, са описани в 
приложение № 6.
(3) Когато субектът има териториални 
структури и разпределени информационни 
системи, за всяка от тези структури се оп­
ределя служител, отговарящ за мрежовата и 
информационната сигурност. 
Политика за сигурност
Чл. 4. (1) Субектите разработват и приемат 
собствена политика за мрежова и информа­
ционна сигурност, която се преразглежда 
редовно, но не по-рядко от веднъж годишно, 
и при необходимост се актуализира.
(2) Политиката съдържа стратегическите 
цели на Субекта за мрежовата и информаци­
онната сигурност и подхода за постигането 
им в съответствие с общите му стратегически 
и оперативни цели, нормативните актове и 
договорите, текущите и потенциалните вът­
решни и външни заплахи за постигането на 
тези цели и за сигурността на информацията.
(3) Политиката има отношение към или 
включва всички съответни специфични по­
литики за сигурност на информационните 
и комуникационните системи, като обмен 
на информация, използване на мобилни ус­
тройства, работа от разстояние, използване 
на криптографски механизми, управление на 
достъпите и автентикацията, разработване 
на нови системи, управление на инциденти, 
взаимоотношение с трети страни, повишава­
не на квалификацията на служителите и на 
осведомеността по отношение на мрежовата 
и информационната сигурност и др.
Документирана информация
Чл. 5. (1) За намаляване на загубите от 
инциденти чрез намаляване на времето за 
реагиране и разрешаването им, както и за 
намаляване на вероятността от възникване 
на инциденти, породени от човешки грешки, 
Субектът поддържа следната документация:
1. oпис на информационните активи;
2. физическа схема на свързаност;
3. логическа схема на информационните 
потоци;
4. документация на структурната кабелна 
система;
5. техническа, експлоатационна и потре­
бителска документация на информационни­
те и комуникационните системи и техните 
компоненти;
6. инструкции/вътрешни правила за всяка 
дейност, свързана с администрирането, експло­
атацията и поддръжката на хардуер и софтуер;
7. вътрешни правила за служителите, 
указващи правата и задълженията им като 
потребители на услугите, предоставяни чрез 
информационните и комуникационните сис­
теми, като използване на персонални компю­
три, достъп до ресурсите на корпоративната 
мрежа, генериране и съхранение на паролите, 
достъп до интернет, работа с електронна 
поща, системи за документооборот и други 
вътрешноведомствени системи, принтиране, 
факс, използване на сменяеми носители на 
информация в електронен вид, използване 
на преносими записващи устройства и т. н.
(2) Документацията по ал. 1 трябва да е:
1. еднозначно идентифицирана като за­
главие, версия, дата, автор, номер и/или др.;
2. поддържана в актуално състояние, като 
се преразглежда и при необходимост се об­
новява поне веднъж годишно;
3. одобрена от административен орган, 
съответно от ръководителя на Субекта по 
чл. 1, ал. 1, т. 2 – 5 или от упълномощено от 
него лице;
4. класифициранa по смисъла на чл. 6;
5. достъпна само до тези лица, които е 
необходимо да я ползват при изпълнение на 
служебните си задължения.
(3) Субектът поддържа информация, до­
казваща по неоспорим начин изпълнението 
на изискванията на тази наредба.
(4) Информацията по ал. 3:
1. се поддържа в актуално състояние;
2. е достъпна само за:
а) тези лица, които е необходимо да я 
ползват при изпълнение на служебните си 
задължения по силата на трудови, служебни 
или договорни отношения;
б) представители на съответните нацио­
нални компетентни органи съгласно чл. 16, 
ал. 5 от Закона за киберсигурност; 
в) други организации, оправомощени с 
нормативен акт или договорни отношения.
Класификация на информацията
Чл. 6. (1) Субектът приема вътрешни пра­
вила по смисъла на чл. 5, ал. 1, т. 6 и 7 за 
класификация на информацията, които указват 
как да се маркира, използва, обработва, обменя, 
съхранява и унищожава информацията, с коя­
то разполага организацията. Препоръчителна 
класификация е дадена в приложение № 2.
(2) Правилата по ал. 1 гарантират достатъч­
на, адекватна и пропорционална на заплахите 
защита на информацията с оглед на нейната 
важност, чувствителност и на нормативните 
изисквания към нея. 
(3) Класификацията по ал. 1 се прилага 
и върху всички ресурси, които участват в