Държавен вестник, бр. 59, 2019 г., стр. 20

СТР.  20	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  59
Раздел III
Устойчивост
Резервиране и архивиране на информация
Чл. 32. (1) Вътрешните правила/инструкции 
по смисъла на чл. 5, ал. 1, т. 6 се разработват 
в съответствие с целите и стратегическите 
насоки, определени в политиката за мрежова 
и информационна сигурност относно защита 
на интегритета на информацията в случай на 
инцидент, засягащ нейната достъпност. 
(2) Вътрешните правила/инструкции по 
ал. 1 регламентират процесите, свързаните с 
тях дейности и отговорностите по резервиране 
и архивиране на информация, като в съдър­
жанието им се включва най-малко: 
1. информацията (бази данни, конфигура­
ционни файлове, имиджи на системи и др.), 
която ще се резервира и/или архивира;
2. технологията, която ще се използва за 
архивиране и резервиране;
3. типът на резервиране (частично, пълно 
и др.);
4. периодът на извършване на архивирането 
и резервирането; 
5. броят на копията, които ще се правят;
6. времето за съхраняване на всяко копие 
съгласно изискванията на нормативните ак­
тове и оценката на риска;
7. мястото на съхраняване на всяко копие; 
8. начинът на защита от неправомерен 
достъп (физическа и логическа);
9. случаите на използване;
10. лицето, което дава разрешение за из­
ползването. 
(3) Всички изисквания по ал. 2 се опре­
делят от собственика на информацията или 
с неговото одобрение и трябва да бъдат съо­
бразени с времето, за което тя трябва да се 
възстанови, за да се гарантира необходимото 
ниво на наличност на услугата.
(4) При резервирането и/или архивира­
нето на информацията се спазват следните 
изисквания:
1. да се правят регулярни копия съобразно 
риска от загуба на информация и динамиката 
на изменението є;
2. копията на информация да са етикетирани 
по начин, указващ еднозначно поне каква е 
информацията, за коя система, какъв метод е 
използван за създаване на копието, дата и час;
3. копията на чувствителна информация 
да са в криптиран вид или поне защитени 
с парола;
4. копията на информацията да се съхра­
няват на отделна машина и по възможност 
в друга защитена мрежа;
5. едно от копията на критична за дейността 
информация се съхранява off-line и по възмож­
ност в друга сграда или на отдалечено място;
6. да се прави регулярна проверка на год­
ността на резервните копия, дали те изпълняват 
целите, за които са създадени, и постига ли 
се необходимото време за възстановяване. 
Резервиране на компоненти на 
инфраструктурата 
Чл. 33. Субектът предприема подходящи 
и в съответствие с рисковете мерки за гаран­
тиране на нивото на услугите и дейностите, 
които са в обхвата на наредбата, като:
1. резервиране на системи;
2. резервиране на устройства;
3. балансиране на натоварването на кри­
тични устройства или системи; 
4. резервиране на центрове за данни.
Планове за непрекъсваемост
Чл. 34. (1) Субектът разработва планове 
за действия в случай на аварии, природни 
бедствия или други непредвидени обстоятел­
ства, които биха причинили прекъсване на 
предоставяната от него услуга в съответствие 
с изискванията на чл. 5, ал. 1, т. 6.
(2) Плановете по ал. 1 съдържат:
1. обстоятелствата, за които се отнасят;
2. праговете, при които се задействат;
3. лицето, което дава разрешение за за­
действането им;
4. реда за възстановяване на услугите и 
дейностите до определено ниво. 
(3) Плановете по ал. 1:
1. се проиграват периодично, но не по-рядко 
от веднъж в годината, с цел да се провери 
тяхната актуалност и да се тренират лицата, 
които имат отговорности за изпълнението им;
2. се поддържат в актуално състояние;
3. са достъпни само за лицата, които имат 
отговорности за тяхното изпълнение;
4. се съхраняват най-малко на две места, 
едно от които е извън сградата, в която се 
намират системите, за които се отнасят.
Г л а в а  т р е т а
КОНТРОЛ
Одити
Чл. 35. (1) Контролът за спазване на изис­
кванията на глава втора и приетите стандарти 
се осъществява чрез:
1. вътрешни одити (от първа страна), които 
са организирани от Субекта и се извършват 
от негови служители или от трета страна, но 
от негово име;
2. външни одити от втора страна, които 
са организирани от клиенти или доставчици 
на Субекта;
3. външни одити от трета страна, провеж­
дани от независими организации за одит, като 
контролни органи на изпълнителната власт 
или организации, имащи право да извършват 
акредитация или сертификация.