Държавен вестник, бр. 59, 2019 г., стр. 21

БРОЙ  59	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
СТР.  21  
(2) Одитите по ал. 1, т. 2 и 3 са препоръ­
чителни мерки.
(3) Одитите по ал. 1, т. 1 се извършват в 
съответствие със стандарт БДС EN ISO 19011 
„Указания за извършване на одит на системи 
за управление“, изискванията на стандарт БДС 
EN ISO/IEC 17020 „Оценяване на съответ­
ствието“, като се спазва най-малко следното:
1. одитите се провеждат периодично, но 
не по-рядко от веднъж в годината;
2. одитите се провеждат по документирани 
и одобрени процедури, годишни програми 
и планове, които са оповестени на лицата, 
отговарящи за одитираната област;
3. одитите се извършват от лица, притежа­
ващи квалификация в областта на контрола и 
имащи необходимите знания и професионален 
опит в областта на мрежовата и информаци­
онната сигурност;
4. одиторът спазва принципите за почте­
ност, безпристрастност, професионализъм, 
независимост и конфиденциалност;
5. одиторът не може да одитира собстве­
ната си дейност;
6. резултатите от одита се документират и 
за тях се информира служителят, отговарящ 
за одитираната област;
7. при несъответствие с изискванията 
подробно се документира изискването и кон­
статираното състояние и се посочва срок за 
отстраняването му;
8. резултатите от одита са с класификация 
TLP-AMBER.
(4) Субектът предоставя резултатите от 
одитите на съответния национален компе­
тентен орган съгласно чл. 16, ал. 5 от Закона 
за киберсигурност.
Проверки
Чл. 36. (1) Проверките за съответствие с 
изискванията на глава втора, осъществявани от 
председателя на Държавна агенция „Електрон­
но управление“ съгласно чл. 12, т. 6 от Закона 
за киберсигурност, се извършват съобразно 
стандарт БДС EN ISO 19011 „Указания за из­
вършване на одит на системи за управление“ 
и изискванията на стандарт БДС EN ISO/IEC 
17020 „Оценяване на съответствието“.
(2) Проверките се провеждат по доку­
ментирани и утвърдени от председателя на 
Държавна агенция „Електронно управление“ 
вътрешни правила. 
(3) Проверките се извършват по годишна 
програма, одобрена от председателя на Дър­
жавна агенция „Електронно управление“, ко­
ято се публикува на страницата на агенцията 
до края на предходната година.
(4) Проверки извън одобрената годишна 
програма се извършват по искане на право­
имащ орган, както и по заявка на Субекта, 
като последните се осъществяват само при 
наличие на свободен ресурс на оправомоще­
ните от председателя на Държавна агенция 
„Електронно управление“ лица.
(5) За всяка проверка оправомощените 
лица създават план, с който се запознава 
административният орган или съответно 
ръководителят на Субекта по чл. 1, ал. 1, 
т. 2 – 5 – обект на проверката.
(6) Времето за извършване на проверката 
се съгласува с административен орган или съ­
ответно с ръководителя на одитирания Субект 
по чл. 1, ал. 1, т. 2 – 5 – обект на проверката, 
не по-късно от седем дни преди началото на 
проверката.
(7) Оправомощените от председателя на 
Държавна агенция „Електронно управление“ 
лица трябва да притежават квалификация в 
областта на контрола и да имат необходимите 
знания и професионален опит в областта на 
мрежовата и информационната сигурност.
(8) Оправомощените лица спазват принци­
пите за почтеност, безпристрастност, професи­
онализъм, независимост и конфиденциалност.
(9) Оправомощените лица изготвят доклад с 
резултатите от проверката в срок не по-късно 
от 10 дни след приключването на проверката. 
Докладът се класифицира с TLP-AMBER.
(10) В доклада по ал. 9 се посочва и оцен­
ката, получена в съответствие с методиката 
за извършване на оценка на мрежовата и 
информационната сигурност, приета от пред­
седателя на Държавна агенция „Електронно 
управление“ съгласно чл. 12, т. 7 от Закона 
за киберсигурност.
(11) В случай на констатирано несъответ­
ствие с изискванията в доклада подробно се 
документира изискването и констатираното 
състояние, срок за отстраняването му и ако е 
необходимо, препоръки как да бъде отстранено.
(12) В доклада по ал. 9 може да бъдат вклю­
чени и препоръки за подобряване на нивото 
на мрежовата и информационната сигурност.
(13) Председателят на Държавна агенция 
„Електронно управление“ или упълномощено 
от него лице изпраща доклада по ал. 9 на 
административния орган, съответно на ръ­
ководителя на Субекта, където е направена 
проверката.
(14) Председателят на Държавна агенция 
„Електронно управление“ или упълномощено 
от него лице планира действия за последващ 
контрол за отстраняване на констатираните 
несъответствия и информира за тях ръково­
дителя на одитираното лице по чл. 1, ал. 1.
Анкети
Чл. 37. (1) За целите на чл. 16, ал. 3, т. 3 
от Закона за киберсигурност националните 
компетентни органи използват и анкети.
(2) Анкетите се отнасят до обхвата на тази 
наредба, посочен в чл. 1, ал. 2.