Държавен вестник, бр. 42, 2022 г., стр. 84

СТР.  84	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  42
(4) При изготвяне на списъка с активите 
като „трети страни“ се отчитат всички страни, 
с които предприятието взаимодейства при 
предоставянето на електронните съобщителни 
мрежи и/или услуги.
(5) Под „трети страни“ не се разбират 
ползватели на услугите и държавни или ре-
гулаторни органи.
Чл. 8. Въз основа на оценката на риска се 
определя нивото на сигурност, на което об-
ществените електронни съобщителни мрежи 
или услуги трябва да издържат.
Раздел II
Технически и организационни мерки за на-
маляване на риска
Чл. 9. Предприятията, предоставящи об-
ществени електронни съобщителни мрежи и/
или услуги, изготвят план за намаляване на 
риска, който да включва най-малко техничес­
ки и организационни мерки за намаляване 
на риска, срок за прилагане на мерките и 
отговорните лица.
Чл. 10. (1) При избора на подходящи техни-
чески и организационни мерки за сигурност, в 
зависимост от нивото на сигурност, предпри-
ятията, предоставящи обществени електронни 
съобщителни мрежи и/или услуги, използват 
приложение № 1. Предприятията могат да 
прилагат и мерки за сигурност в допълнение 
към посочените в приложение № 1.
(2) Техническите и организационни мерки 
за сигурност в приложение № 1 са групирани 
на три нива на сигурност, като всяко следващо 
ниво на сигурност включва изискванията на 
предходното.
Чл. 11. (1) Предприятията, предоставящи 
обществени мобилни електронни съобщителни 
мрежи, предприемат минимум трето ниво на 
сигурност от приложение № 1.
(2) Предприятията, предоставящи об-
ществени фиксирани мрежи и/или мрежи за 
разпространение на радио- и телевизионни 
програми, предприемат минимум първо ниво 
на сигурност от приложение № 1.
Чл. 12. (1) Предприятията, предоставящи 
обществени електронни съобщителни услуги 
по чл. 3, т. 1, 2 и 7, предприемат като минимум 
трето ниво на сигурност от приложение № 1.
(2) Предприятията, предоставящи общест-
вени електронни съобщителни услуги по чл. 3, 
т. 3, 4 и 6 с над 50 000 ползватели, предпри-
емат минимум трето ниво на сигурност от 
приложение № 1.
(3) Предприятията, предоставящи общест-
вени електронни съобщителни услуги по чл. 3, 
т. 3, 4 и 6 с по-малко от 50 000 ползватели, 
предприемат като минимум първо ниво на 
сигурност от приложение № 1.
(4) Предприятията, предоставящи общест-
вени електронни съобщителни услуги съгласно 
чл. 3, т. 5, приемат всички подходящи мерки 
от приложение № 1. Неподходящи за тях са 
мерките, свързани с обществените електронни 
съобщителни мрежи, чрез които се предос-
тавят услугите.
Чл. 13. (1) При сключване на договор с 
„трети страни“ – доставчици на оборудване 
и управлявани услуги, предприятията, пре-
доставящи обществени мобилни електронни 
съобщителни мрежи и/или обществени елек-
тронни съобщителни услуги по чл. 3, т. 1, 2 и 7:
1. трябва да предвидят подходящи изис-
квания за сигурност за:
а) гарантиране на качеството на предла-
ганите продукти и услуги;
б) оперативна съвместимост на предлагани-
те продукти и съответствието им с приложими 
международни стандарти;
в) сигурност на информацията; изисквания, 
свързани с достъпа на представители на дос-
тавчиците на оборудване и управлявани услуги 
до информация и активи на предприятието;
г) адекватни мерки за защита на личните 
данни;
д) последици при неспазване на изисква-
нията за сигурност на информацията;
е) условия за гаранционна и/или възложена 
извънгаранционна поддръжка, включително 
по отношение на актуализациите на програми-
те за осигуряване на сигурността на мрежата;
ж) за взаимодействие в случай на възник-
ване на инцидент, който най-малко включва: 
контактни точки, начин за докладване, вре-
ме за реакция, време за възстановяване на 
работата, условия за затваряне на инцидент;
2. трябва да отчетат в най-голяма степен 
възможността да предвидят подходящи изис-
квания за сигурност за:
а) обхват на контрола на „трети страни“ 
върху информацията на предприятието за 
доказване, че третата страна също прилага 
адекватни мерки за сигурност, включително 
клаузи за доказването на прилагането на тези 
мерки чрез документи и/или провеждане на 
одити;
б) наличие на център/екип за поддръжка 
на услуги и/или продукти на територията 
на страна/държава – членка на ЕС, с оглед 
ескалиране на проблеми на ниво доставчик;
в) за прозрачност на веригата на достав-
ките; третата страна трябва да е способна да 
докаже произхода на предлагания ресурс/
услуга и неговата сигурност;
г) отговорност при неспазване на договоре-
ните срокове, количество и/или качество на 
стоката или услугата, което може да създаде 
съществен риск за постигане на целите на 
сигурността;
д) осигуряване на информация за извър­
шването на редовни одити и оценка на риска 
на веригата на доставки.
(2) Предприятието определя служител, 
отговарящ за спазване на изискванията по 
ал. 1 и параметрите на нивото на обслужване.
(3) Предприятието изготвя и прилага мерки 
за отстраняване на последиците в случай на