Държавен вестник, бр. 94, 2018 г., стр. 14

СТР.  14	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  94
(2) Лицата и организациите по ал. 1 уве-
домяват секторния екип за реагиране при 
инциденти с компютърната сигурност за 
инцидентите, които имат въздействие върху 
непрекъснатостта на предоставяните от тях 
административни услуги по електронен път. 
В тези случаи се прилага съответно чл. 21, 
ал. 4, 5 и 6.
(3) Секторният екип за реагиране при ин-
циденти с компютърната сигурност запазва 
търговските интереси на лицата и организа-
циите по ал. 1, както и поверителността на 
информацията, съдържаща се в уведомлени-
ята им.
Задължения на операторите на съществени услу-
ги по отношение на изискванията за сигурност 
и уведомяване за инциденти
Чл. 23. (1) Операторите на съществени 
услуги предприемат:
1. подходящи и пропорционални мерки, 
които трябва да осигуряват ниво на мрежова 
и информационна сигурност, съответстващо 
на съществуващия риск;
2. подходящи мерки за предотвратяване и 
намаляване до минимум на въздействието на 
инцидентите, засягащи мрежовата и инфор-
мационната им сигурност, с цел осигуряване 
на непрекъснатост на предоставяните от тях 
съществени услуги;
3. мерките, определени с наредбата по 
чл. 3, ал. 2.
(2) Операторите на съществени услуги уве-
домяват съответния секторен екип за реагира-
не при инциденти с компютърната сигурност 
за инцидентите, които имат въздействие върху 
непрекъснатостта на предоставяните от тях 
съществени услуги. В тези случаи се прилагат 
съответно чл. 21, ал. 4, 5 и 6.
(3) Когато оператор на съществени услуги 
разчита на доставчик на цифрови услуги, за 
да предоставя съществена услуга, операторът 
уведомява доставчика на цифрови услуги за 
всяко значително увреждащо въздействие вър-
ху непрекъснатостта на съществената услуга, 
дължащо се на инцидент, засягащ доставчика 
на цифрови услуги.
(4) Съответният секторен екип за реагира-
не при инциденти с компютърната сигурност 
запазва търговските интереси на оператора на 
съществени услуги, както и поверителността 
на информацията, съдържаща се в уведом-
лението му.
Предоставяне на информация
Чл. 24. (1) Съответният екип за реагиране 
при инциденти с компютърната сигурност при 
поискване предоставя на подалия уведомление 
за инцидент административен орган, лице или 
организация по чл. 4, ал. 1, т. 3 и 4 и оператор 
на съществени услуги съответната информа-
ция във връзка с последващите действия по 
уведомлението, включително информация, 
която би спомогнала за предприемането на 
ефективни действия при инцидента.
(2) След консултация със съответния 
субект по ал. 1, подал уведомлението, съот-
ветният екип за реагиране при инциденти с 
компютърната сигурност може да информира 
обществеността за отделни инциденти, когато 
е необходима обществена осведоменост с цел 
предотвратяване на инцидент или справяне с 
текущ инцидент.
Задължения на доставчиците на цифрови услуги 
по отношение на изискванията за сигурност и 
уведомяване за инциденти
Чл. 25. (1) Доставчиците на цифрови услуги 
предприемат:
1. подходящи и пропорционални техниче-
ски и организационни мерки за управление 
на рисковете за сигурността на мрежите и 
информационните системи, използвани от 
тях при предоставянето на територията на 
Република България на услугите, посочени в 
приложение № 2;
2. подходящи мерки за предотвратяване и 
намаляване до минимум на въздействието на 
инцидентите, засягащи мрежовата и информа-
ционната им сигурност, върху предоставяните 
от тях на територията на Република България 
услуги, посочени в приложение № 2, с цел 
осигуряване на непрекъснатост на тези услуги;
3. мерките, определени с наредбата по 
чл. 3, ал. 2.
(2) Мерките по ал. 1, т. 1 осигуряват ниво 
на мрежова и информационна сигурност, 
съответстващо на съществуващия риск, като 
са съобразени със:
1. сигурността на системите и съоръже-
нията;
2. действията при инциденти;
3. управление на непрекъснатостта на 
дейностите;
4. наблюдение, одит и изпитване;
5. спазване на международни стандарти.
(3) Доставчиците на цифрови услуги уведо-
мяват съответния секторен екип за реагиране 
при инциденти с компютърната сигурност за 
инцидентите, които имат съществено въздейст-
вие върху непрекъснатостта на предоставяни-
те от тях цифрови услуги. В тези случаи се 
прилагат съответно чл. 21, ал. 4, 5 и 6. 
(4) За определяне на въздействието на 
даден инцидент като съществено се вземат 
предвид:
1. броят ползватели, засегнати от инцидента, 
и по-специално ползвателите, които разчитат 
на услугата за предоставяне на собствените 
си услуги;
2. продължителността на инцидента;
3. географският обхват по отношение на 
областта, засегната от инцидента;
4. степента на нарушаване на функциони-
рането на услугата;
5. степента на въздействие върху стопан-
ските и обществените дейности.