Държавен вестник, бр. 18, 2020 г., стр. 19

БРОЙ  18	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  19  
4. информацията по чл. 15, ал. 3, т. 2, ко-
гато промените са свързани с изграждане на 
междусистемна връзка.
Чл. 29. (1) В срок до 15 работни дни ОАС 
взема решение за откриване на процедура 
за допълнително акредитиране и уведомява 
писмено заявителя.
(2) В уведомлението по ал. 1 се посочват 
условията, редът и етапите за допълнително 
акредитиране.
Чл. 30. В съответствие с определения от 
ОАС ред и етапите за допълнително акреди-
тиране, за извършване на оценка на измене-
нията и влиянието им върху сигурността на 
КИС заявителят представя на ОАС:
1. измененията в специфичните изисквания 
за сигурност и процедурите за сигурност на 
КИС;
2. сертификати за сигурност на отделни 
механизми, средства и подсистеми, свързани 
с промените, ако има такива.
Чл. 31. (1) Органът по акредитиране на 
сигурността на КИС:
1. прави проверка на изпълнението на 
мерките за сигурност, свързани с промените 
в специфичните изисквания за сигурност и в 
процедурите за сигурност;
2. утвърждава промените в специфичните 
изисквания за сигурност и в процедурите за 
сигурност;
3. изготвя отчет за допълнителното акре-
дитиране.
(2) Проверките по ал. 1, т. 1 се извършват 
от комисия, назначена по реда на чл. 18.
(3) Освен в случаите, когато промяната е 
свързана с осъществяването на междусистемна 
връзка, проверките по ал. 1, т. 1 може да не 
бъдат извършвани за КИС, предназначена за 
класифицирана информация с ниво „За слу-
жебно ползване“.
(4) Отчетът по ал. 1, т. 3 е неразделна част 
от сертификата и съдържа:
1. общо описание на промените;
2. основни изводи от оценката на сигурност- 
та и проверката на изпълнението на мерките 
за сигурност в КИС;
3. изменения в условията за допълнително 
акредитиране, ако има такива.
Г л а в а  ч е т в ъ р т а
ДОКУМЕНТИ ПО СИГУРНОСТТА, НЕОБ-
ХОДИМИ ЗА АКРЕДИТИРАНЕ
Раздел I
Видове документи
Чл. 32. (1) Документи по сигурността, не-
обходими за извършване на акредитирането 
на всяка КИС, са:
1. специфични изисквания за сигурност 
(СИС);
2. процедури за сигурност, изготвени на 
основата на СИС.
(2) За случаите по чл. 20, ал. 2 ОАС може 
да изиска допълнителни СИС и/или процедури 
за сигурност за обособените части на КИС.
(3) Документите по сигурността по ал. 1 и 2 
се класифицират по реда на ЗЗКИ и ППЗЗКИ.
Раздел II
Специфични изисквания за сигурност
Чл. 33. (1) За всяка КИС се изготвят СИС 
съгласно чл. 90, ал. 3 и 4 от ЗЗКИ.
(2) Специфичните изисквания за сигурност 
се формулират по време на най-ранния стадий 
от проектирането на КИС и се детайлизират 
и развиват в процеса на разработване и из-
пълнение на проекта.
(3) В процеса на детайлизиране на изиск- 
ванията за сигурност ОРЕ взаимодейства с 
ОАС за постигане на съгласие относно при-
лаганите мерки за сигурност за осигуряване 
на необходимото ниво на защита на КИС.
(4) Специфичните изисквания за сигурност 
в завършен вид представляват описание на 
КИС и приложените мерки за сигурност и 
съдържат следните раздели:
1. описание на конкретната КИС;
2. описание на глобалната, локалната и 
електронната среда за сигурност на КИС;
3. анализ на риска за сигурността на КИС;
4. мерките за сигурност относно:
а) контрол на достъпа;
б) идентификация и автентификация;
в) отчетност и одит;
г) интегритет на информацията;
д) достъпност на информацията;
е) комуникационна сигурност;
ж) контрамерки по TEMPEST;
5. управление на сигурността при експло-
атацията на КИС;
6. мерките за сигурност при критични 
ситуации;
7. мерките за сигурност при прекратяване 
на експлоатацията на КИС, обособена част 
от КИС или междусистемна връзка.
Чл. 34. Анализът на риска за сигурността 
на конкретната КИС е процес на идентифици-
ране на рисковете, оценяване на всеки от тях, 
определяне на необходимите допълнителни 
мерки за сигурност, оценка на остатъчния 
риск и последващо управление на риска.
Чл. 35. (1) Идентифицирането на рисковете 
включва установяване на заплахите и уязви-
мите места при конкретната реализация и 
ресурси на КИС.
(2) Оценяването на всеки риск включва оп-
ределяне на вероятността за осъществяване на 
съответната заплаха при приложените мерки 
за сигурност и на последствията от успешното 
реализиране на заплахата. Оценяването на 
рисковете цели определяне на необходимите 
допълнителни мерки за сигурност, които да 
се приложат в КИС за достигане на приемлив 
резултат от анализа на всеки конкретен риск.