Държавен вестник, бр. 17, 2026 г., стр. 13

БРОЙ  17	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  13   
§ 25. Член 21 се изменя така:
„Управление
Чл. 21. (1) Управителните органи на същест­
вените и важните субекти и административ­
ните органи одобряват мерките за управление 
на риска в областта на киберсигурността, 
предприети от тези субекти с цел спазване на 
чл. 22, и следят за прилагането им. 
(2) Членовете на управителните орга­
ни на съществените и важните субекти са 
длъжни на всеки две години да преминават 
през обучение за придобиване на достатъчно 
познания и умения, което да им позволи да 
идентифицират рискове и да оценяват прак­
тиките за управление на риска в областта на 
киберсигурността и тяхното въздействие върху 
услугите, предоставяни от субекта. 
(3) Членовете на управителните органи на 
съществените и важните субекти са длъжни 
да предлагат и организират обученията по 
ал. 2 и за своите служители.“
§ 26. Член 22 се изменя така:
„Мерки за управление на риска в областта 
на киберсигурността
Чл. 22. (1) Съществените и важните субекти 
предприемат подходящи и пропорционални 
технически, оперативни и организационни 
мерки за управление на рисковете за сигур­
ността на мрежовите и информационните 
системи в основната си дейност или при пре­
доставяне на своите услуги. При спазване на 
принципа за технологична неутралност и като 
се вземат предвид последните постижения в 
тази област и, когато е приложимо, съответ­
ните европейски и международни стандарти, 
както и разходите за прилагането им, чрез 
мерките за управление на риска се гарантира 
ниво на сигурност на мрежовите и информа­
ционните системи, съответстващо на риска. 
При оценката на пропорционалността на тези 
мерки надлежно се вземат предвид степента 
на излагане на рискове на субекта, размерът 
на субекта и вероятността от възникване на 
инциденти, както и тяхната значимост, вклю­
чително тяхното обществено и икономическо 
въздействие.
(2) Мерките по ал. 1 се основават на подход, 
обхващащ всички опасности, които имат за 
цел да защитят мрежовите и информационните 
системи и физическата среда на тези системи 
от инциденти, и включват следното:
1. политики за анализ на риска и сигурност 
на информационните системи;
2. действия при инцидент;
3. непрекъснатост на стопанската дейност, 
като управление на съхраняването на резерв­
ни копия на данните и възстановяване след 
бедствия, и управление на кризи;
4. сигурност на веригата за доставка, вклю­
чително свързани със сигурността аспекти 
относно взаимовръзките между всеки субект 
и неговите преки снабдители или доставчици 
на услуги;
5. сигурност при придобиването на мрежови 
и информационни системи, разработване и 
поддръжка, включително предприемане на 
действия при уязвимости и оповестяването им;
6. политики и процедури за оценяване на 
ефективността на мерките за управление на 
риска в областта на киберсигурността;
7. основни киберхигиенни практики и обу­
чение в областта на киберсигурността;
8. политики и процедури относно използ­
ването на криптография и, когато е целесъ­
образно, криптиране;
9. сигурност на човешките ресурси, по­
литики за контрол на достъпа и управление 
на активи;
10. използване на многофакторни решения 
за удостоверяване на автентичността или 
непрекъснато удостоверяване на автентич­
ността, защитени гласови, видео- и текстови 
съобщения и защитени системи за спешна 
комуникация в рамките на субекта, когато е 
целесъобразно;
11. управление на измененията на инфор­
мационните активи;
12. мерки за управление на риска в об­
ластта на киберсигурността и задължения 
за докладване за субекти от вида, посочен в 
приложение I или II, както и за субекти, ус­
тановени като критични съгласно Директива 
(ЕС) 2022/2557. 
(3) При разглеждане на въпросите кои мер­
ки по ал. 2, т. 4 са подходящи, от субектите 
се изисква да вземат предвид уязвимостите, 
специфични за всеки пряк снабдител или 
доставчик на услуги, както и цялостното ка­
чество на продуктите и практиките в областта 
на киберсигурността на своите снабдители и 
доставчици на услуги, включително техните 
процедури за сигурно разработване. При оп­
ределяне кои мерки от посочените в ал. 2, 
т. 4 са подходящи, от субектите се изисква 
да вземат предвид резултатите от координи­
раните оценки на риска за сигурността на 
критичните вериги на доставка, извършени 
в съответствие с чл. 23.
(4) При установен пропуск в спазването 
на мерките, предвидени в ал. 2, субектите 
предприемат всички необходими, подходящи 
и пропорционални коригиращи мерки за от­
страняването му.“
§ 27. Член 23 се изменя така:
„Задължения за докладване
Чл. 23. (1) Съществените и важните субекти 
уведомяват СЕРИКС за всеки значителен 
инцидент по образец съгласно наредбите по