+ПРИЛОЖЕНИЕ Технически и методологични изисквания, посочени в член 2 от настоящия регламент
---+1. Политика за сигурност на мрежовите и информационните системи (член 21, параграф 2, буква а) от …
------+1.1. Политика за сигурността на мрежовите и информационните системи
---------+1.1.1. За целите на член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555 политиката за …
---------+1.1.2. Политиката за сигурност на мрежовите и информационните системи се преразглежда и, когато е …
------+1.2. Роли, отговорности и правомощия
---------+1.2.1. Като част от своята политика за сигурност на мрежовите и информационните системи, посочена в …
---------+1.2.2. Съответните субекти изискват от целия персонал и третите страни да прилагат мерките за …
---------+1.2.3. Поне едно лице докладва пряко на управителните органи по въпросите на сигурността на …
---------+1.2.4. В зависимост от големината на съответните субекти сигурността на мрежовите и информационните …
---------+1.2.5. Когато е приложимо, конфликтните задължения и конфликтните области на компетентност се …
---------+1.2.6. Ролите, отговорностите и правомощията се преразглеждат и, когато е необходимо, се …
---+2. Политика за управление на риска (член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555)
------+2.1. Рамка за управление на риска
---------+2.1.1. За целите на член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555 съответните субекти …
---------+2.1.2. За целите на точка 2.1.1 съответните субекти създават процедури за установяване, анализ …
---------+2.1.3. При установяването и приоритизирането на подходящите варианти и мерки за въздействие върху …
---------+2.1.4. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират резултатите от …
------+2.2. Мониторинг на спазването на политиките
---------+2.2.1. Съответните субекти извършват редовен преглед на спазването на своите политики за сигурност …
---------+2.2.2. Съответните субекти въвеждат ефективна система за докладване за спазването на политиките …
---------+2.2.3. Съответните субекти извършват мониторинг на спазването на политиките през планирани …
------+2.3. Независим преглед на информационната и мрежовата сигурност
---------+2.3.1. Съответните субекти извършват независим преглед на своя подход към управлението на …
---------+2.3.2. Съответните субекти разработват и поддържат процеси за провеждане на независими прегледи …
---------+2.3.3. Резултатите от независимите прегледи, включително резултатите от мониторинга на спазването …
---------+2.3.4. Независимите прегледи се извършват през планирани интервали от време и при възникване на …
---+3. Действия при инцидент (член 21, параграф 2, буква б) от Директива (ЕС) 2022/2555)
------+3.1. Политика за действия при инцидент
---------+3.1.1. За целите на член 21, параграф 2, буква б) от Директива (ЕС) 2022/2555 съответните субекти …
---------+3.1.2. Политиката, посочена в точка 3.1.1, се съгласува с плана за непрекъснатост на стопанската …
---------+3.1.3. Ролите, отговорностите и процедурите, определени в политиката, се изпитват и преразглеждат …
------+3.2. Мониторинг и водене на регистри
---------+3.2.1. Съответните субекти определят процедури и използват инструменти за мониторинг и регистриране …
---------+3.2.2. Доколкото е възможно, мониторингът е автоматизиран и се извършва непрекъснато или на …
---------+3.2.3. Въз основа на процедурите, посочени в точка 3.2.1, съответните субекти водят регистри, които …
---------+3.2.4. Регистрите се преглеждат редовно за всякакви необичайни или нежелани тенденции. Когато е …
---------+3.2.5. Съответните субекти водят и архивират регистри за предварително определен период от време и …
---------+3.2.6. Доколкото е възможно, съответните субекти гарантират, че всички системи разполагат със …
---------+3.2.7. Процедурите, както и списъкът на активите, които се регистрират, се преразглеждат и, когато …
------+3.3. Докладване за събития
---------+3.3.1. Съответните субекти въвеждат прост механизъм, който позволява на техните служители …
---------+3.3.2. Съответните субекти, когато е целесъобразно, съобщават механизма за докладване за събития на …
------+3.4. Оценка и класификация на събитията
---------+3.4.1. Съответните субекти оценяват подозрителните събития, за да определят дали те представляват …
---------+3.4.2. За целите на точка 3.4.1 съответните субекти действат по следния начин: а) извършват оценка …
------+3.5. Реакция при инциденти
---------+3.5.1. Съответните субекти реагират при инциденти своевременно и в съответствие с документираните …
---------+3.5.2. Процедурите за реагиране при инциденти включват следните етапи: а) ограничаване на …
---------+3.5.3. Съответните субекти изготвят планове и процедури за комуникация: а) с екипите за реагиране …
---------+3.5.4. Съответните субекти регистрират дейностите по реагиране при инциденти в съответствие с …
---------+3.5.5. Съответните субекти изпитват през планирани интервали от време своите процедури за реагиране …
------+3.6. Последващи прегледи след инциденти
---------+3.6.1. Когато е целесъобразно, съответните субекти извършват последващи прегледи след …
---------+3.6.2. Съответните субекти гарантират, че последващите прегледи след възникнали инциденти …
---------+3.6.3. Ако след възникнали инциденти трябва да бъдат извършени последващи прегледи, съответните …
---+4. Непрекъснатост на стопанската дейност и управление на кризи (член 21, параграф 2, буква в) от …
------+4.1. План за непрекъснатост на стопанската дейност и за възстановяване след бедствие
---------+4.1.1. За целите на член 21, параграф 2, буква в) от Директива (ЕС) 2022/2555 съответните субекти …
---------+4.1.2. Операциите на съответните субекти се възстановяват в съответствие с плана за непрекъснатост …
---------+4.1.3. Съответните субекти извършват оценка на въздействието върху стопанската дейност, за да …
---------+4.1.4. Планът за непрекъснатост на стопанската дейност и планът за възстановяване след бедствие се …
------+4.2. Управление на резервните копия и резервните ресурси
---------+4.2.1. Съответните субекти поддържат резервни копия на данните и осигуряват достатъчно налични …
---------+4.2.2. Въз основа на резултатите от оценката на риска, извършена съгласно точка 2.1, и плана за …
---------+4.2.3. Съответните субекти извършват редовни проверки на целостта на резервните копия.
---------+4.2.4. Въз основа на резултатите от оценката на риска, извършена съгласно точка 2.1, и плана за …
---------+4.2.5. Когато е целесъобразно, съответните субекти гарантират, че наблюдението и съразмерността на …
---------+4.2.6. Съответните субекти провеждат редовни изпитвания на възстановяването на резервните копия и …
------+4.3. Управление на кризи
---------+4.3.1. Съответните субекти въвеждат процес за управление на кризи.
---------+4.3.2. Те гарантират, че процесът за управление на кризи обхваща най-малко следните елементи: а) …
---------+4.3.3. Съответните субекти прилагат процес за управление и използване на информацията, получена от …
---------+4.3.4. Съответните субекти изпитват, преразглеждат и, когато е целесъобразно, актуализират плана за …
---+5. Сигурност на веригата за доставка (член 21, параграф 2, буква г) от Директива (ЕС) 2022/2555)
------+5.1. Политика за сигурност на веригата за доставка
---------+5.1.1. За целите на член 21, параграф 2, буква г) от Директива (ЕС) 2022/2555 съответните субекти …
---------+5.1.2. Като част от политиката за сигурност на веригата за доставка, посочена в точка 5.1.1 …
---------+5.1.3. При определянето на своята политика за сигурност на веригата за доставка съответните субекти …
---------+5.1.4. Въз основа на политиката за сигурност на веригата за доставка и като се вземат предвид …
---------+5.1.5. Съответните субекти вземат предвид елементите, посочени в точки 5.1.2 и 5.1.3, като част от …
---------+5.1.6. Съответните субекти преразглеждат политиката за сигурност на веригата за доставка и …
---------+5.1.7. За целите на точка 5.1.6 съответните субекти: а) осъществяват редовен мониторинг на …
------+5.2. Регистър на снабдителите и доставчиците на услуги
---+6. Сигурност при придобиването на мрежови и информационни системи, разработване и поддръжка (член …
------+6.1. Сигурност при придобиването на ИКТ услуги или ИКТ продукти
---------+6.1.1. За целите на член 21, параграф 2, буква д) от Директива (ЕС) 2022/2555 съответните субекти …
---------+6.1.2. За целите на точка 6.1.1. процесите, посочени в точка 6.1.1., включват: а) изисквания за …
---------+6.1.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират процесите през …
------+6.2. Жизнен цикъл на сигурно разработване
---------+6.2.1. Преди да разработят мрежова и информационна система, включително софтуер, съответните …
---------+6.2.2. За целите на точка 6.2.1 съответните субекти: а) извършват анализ на изискванията за …
---------+6.2.3. За възложеното на външни изпълнители разработване на мрежови и информационни системи …
---------+6.2.4. Съответните субекти преразглеждат и, когато е необходимо, актуализират своите правила за …
------+6.3. Управление на конфигурациите
---------+6.3.1. Съответните субекти предприемат подходящи мерки за установяване, документиране, прилагане и …
---------+6.3.2. За целите на точка 6.3.1 съответните субекти: а) определят и гарантират сигурността в …
---------+6.3.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират конфигурациите …
------+6.4. Управление на промените, ремонти и поддръжка
---------+6.4.1. Съответните субекти прилагат процедури за управление на промените, за да контролират …
---------+6.4.2. Процедурите, посочени в точка 6.4.1, се прилагат за версии, модификации и спешни промени на …
---------+6.4.3. В случай че редовните процедури за управление на промените не могат да бъдат спазени поради …
---------+6.4.4. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират процедурите през …
------+6.5. Изпитване на сигурността
---------+6.5.1. Съответните субекти създават, внедряват и прилагат политика и процедури за изпитване на …
---------+6.5.2. Съответните субекти: а) определят, въз основа на оценката на риска, извършена съгласно точка …
---------+6.5.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират своите политики за …
------+6.6. Управление на корекциите за сигурност
---------+6.6.1. Съответните субекти определят и прилагат процедури, съгласувани с процедурите за управление …
---------+6.6.2. Чрез дерогация от точка 6.6.1, буква а) съответните субекти могат да решат да не прилагат …
------+6.7. Мрежова сигурност
---------+6.7.1. Съответните субекти предприемат подходящи мерки за защита на своите мрежови и информационни …
---------+6.7.2. За целите на точка 6.7.1 съответните субекти: а) документират архитектурата на мрежата по …
---------+6.7.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират тези мерки през …
------+6.8. Сегментиране на мрежата
---------+6.8.1. Съответните субекти разделят системите на мрежи или зони в съответствие с резултатите от …
---------+6.8.2. За тази цел съответните субекти: а) разглеждат функционалната, логическата и физическата …
---------+6.8.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират сегментирането на …
------+6.9. Защита срещу зловреден и неразрешен софтуер
---------+6.9.1. Съответните субекти защитават своите мрежови и информационни системи от зловреден и …
---------+6.9.2. За тази цел съответните субекти прилагат по-специално мерки, за откриване или …
------+6.10. Предприемане на действия при уязвимости и оповестяването им
---------+6.10.1. Съответните субекти получават информация за техническите уязвимости в своите мрежови и …
---------+6.10.2. За целите на точка 6.10.1 съответните субекти: а) наблюдават информацията за уязвимостите …
---------+6.10.3. Когато това е обосновано от потенциалните последствия от дадена уязвимост, съответните …
---------+6.10.4. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират през планирани …
---+7. Политики и процедури за оценяване на ефективността на мерките за управление на риска в областта …
------+7.1. За целите на член 21, параграф 2, буква е) от Директива (ЕС) 2022/2555 съответните субекти …
------+7.2. В политиката и процедурите, посочени в точка 7.1, се вземат предвид резултатите от оценката на …
------+7.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират политиката и …
---+8. Основни киберхигиенни практики и обучение в областта на киберсигурността (член 21, параграф 2 …
------+8.1. Повишаване на осведомеността и основни киберхигиенни практики
---------+8.1.1. За целите на член 21, параграф 2, буква ж) от Директива (ЕС) 2022/2555 съответните субекти …
---------+8.1.2. За целите на точка 8.1.1 съответните субекти предлагат на своите служители, включително на …
---------+8.1.3. Когато е целесъобразно, програмата за повишаване на осведомеността се изпитва по отношение …
------+8.2. Обучение в областта на сигурността
---------+8.2.1. Съответните субекти определят служителите, чиито роли изискват умения и експертни познания в …
---------+8.2.2. Съответните субекти създават, изпълняват и прилагат програма за обучение в съответствие с …
---------+8.2.3. Обучението, посочено в точка 8.2.1, е свързано със служебните функции на служителя и …
---------+8.2.4. Съответните субекти провеждат обучение за членовете на персонала, които се прехвърлят на …
---------+8.2.5. Програмата се актуализира и изпълнява периодично, като се вземат предвид приложимите …
---+9. Криптография (член 21, параграф 2, буква з) от Директива (ЕС) 2022/2555
------+9.1. За целите на член 21, параграф 2, буква з) от Директива (ЕС) 2022/2555 съответните субекти …
------+9.2. В политиката и процедурите, посочени в точка 9.1, се установява следното: а) в съответствие с …
------+9.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират своята политика и …
---+10. Сигурност на човешките ресурси (член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555)
------+10.1. Сигурност на човешките ресурси
---------+10.1.1. За целите на член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555 съответните субекти …
---------+10.1.2. Изискването, посочено в точка 10.1.1, включва следното: а) механизми, с които да се …
---------+10.1.3. През планирани интервали от време и поне веднъж годишно съответните субекти преразглеждат …
------+10.2. Цялостна проверка
---------+10.2.1. Съответните субекти гарантират, доколкото е възможно, цялостна проверка на своите служители …
---------+10.2.2. За целите на точка 10.2.1 съответните субекти: а) въвеждат критерии, съгласно които се …
---------+10.2.3. Съответните субекти преразглеждат и по целесъобразност актуализират политиката през …
------+10.3. Процедури за прекратяване или промяна на трудово правоотношение
---------+10.3.1. Съответните субекти гарантират, че отговорностите и задълженията, свързани със сигурността …
---------+10.3.2. За целите на точка 10.3.1. съответните субекти включват в условията за наемане на работа …
------+10.4. Дисциплинарна процедура
---------+10.4.1. Съответните субекти установяват, съобщават и поддържат дисциплинарна процедура за …
---------+10.4.2. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират дисциплинарната …
---+11. Контрол на достъпа (член 21, параграф 2, букви и) и й) от Директива (ЕС) 2022/2555)
------+11.1. Политика на контрол на достъпа
---------+11.1.1. За целите на член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555 съответните субекти …
---------+11.1.2. Политиките, посочени в точка 11.1.1: а) разглеждат достъпа на лица, включително персонал …
---------+11.1.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират политиките през …
------+11.2. Управление на правата на достъп
---------+11.2.1. Съответните субекти предоставят, променят, премахват и документират права на достъп до …
---------+11.2.2. Съответните субекти: а) определят и отнемат права на достъп въз основа на принципите …
---------+11.2.3. Съответните субекти преразглеждат правата на достъп през планирани интервали от време и ги …
------+11.3. Привилегировани профили и профили за системно администриране
---------+11.3.1. Съответните субекти поддържат политики за управление на привилегировани профили и профили …
---------+11.3.2. Политиките, посочени в точка 11.3.1: а) установяват процедури за надеждно идентифициране …
---------+11.3.3. Съответните субекти преразглеждат правата на достъп до привилегировани профили и профили за …
------+11.4. Системи за администриране
---------+11.4.1. Съответните субекти ограничават и контролират използването на системите за системно …
---------+11.4.2. За тази цел съответните субекти: а) използват системите за системно администриране …
------+11.5. Идентификация
---------+11.5.1. Съответните субекти управляват пълния жизнен цикъл на самоличностите на мрежовите и …
---------+11.5.2. За тази цел съответните субекти: а) създават уникални самоличности за мрежовите и …
---------+11.5.3. Съответните субекти разрешават присвояването на една самоличност на няколко лица, като …
---------+11.5.4. Съответните субекти редовно преглеждат самоличностите на мрежовите и информационните …
------+11.6. Удостоверяване на автентичността
---------+11.6.1. Съответните субекти прилагат сигурни процедури и технологии за удостоверяване на …
---------+11.6.2. За тази цел съответните субекти: а) гарантират, че нивото на удостоверяване на …
---------+11.6.3. Съответните субекти използват, доколкото е възможно, най-съвременни методи за …
---------+11.6.4. Съответните субекти преразглеждат процедурите и технологиите за удостоверяване на …
------+11.7. Многофакторно удостоверяване на автентичността
---------+11.7.1. Съответните субекти гарантират, че ползвателите се удостоверяват чрез множество фактори за …
---------+11.7.2. Съответните субекти гарантират, че нивото на удостоверяване на автентичността е подходящо …
---+12. Управление на активи (член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555)
------+12.1. Класификация на активите
---------+12.1.1. За целите на член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555 съответните субекти …
---------+12.1.2. За целите на точка 12.1.1 съответните субекти: а) определят система от нива на класификация …
---------+12.1.3. Съответните субекти извършват периодични прегледи на нивата на класификация на активите и …
------+12.2. Боравене с активи
---------+12.2.1. Съответните субекти създават, въвеждат и прилагат политика за правилно боравене с активи …
---------+12.2.2. Политиката: а) обхваща целия жизнен цикъл на активите, включително придобиване, използване …
---------+12.2.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират политиката през …
------+12.3. Политика за преносими носители за съхранение на данни
---------+12.3.1. Съответните субекти създават, въвеждат и прилагат политика за управление на преносими …
---------+12.3.2. Политиката: а) предвижда техническа забрана за свързване на преносими носители, освен ако …
---------+12.3.3. Съответните субекти преразглеждат и, когато е целесъобразно, актуализират политиката през …
------+12.4. Опис на активите
---------+12.4.1. Съответните субекти разработват и поддържат пълен, точен, актуален и последователен опис на …
---------+12.4.2. Степента на подробност на описа на активите трябва да бъде съобразена с нуждите на …
---------+12.4.3. Съответните субекти редовно преглеждат и актуализират описа и своите активи и документират …
------+12.5. Депозиране, връщане или заличаване на активи при прекратяване на трудово правоотношение
---+13. Защита от събития с природен характер и физическа сигурност (член 21, параграф 2, букви в), д) …
------+13.1. Поддържащи комунални услуги
---------+13.1.1. За целите на член 21, параграф 2, буква в) от Директива (ЕС) 2022/2555 съответните субекти …
---------+13.1.2. За тази цел съответните субекти, когато е целесъобразно: а) предпазват съоръженията от …
---------+13.1.3. Съответните субекти изпитват, преразглеждат и, когато е целесъобразно, актуализират мерките …
------+13.2. Защита срещу физически и природни заплахи
---------+13.2.1. За целите на член 21, параграф 2, буква д) от Директива (ЕС) 2022/2555 съответните субекти …
---------+13.2.2. За тази цел съответните субекти, когато е целесъобразно: а) разработват и прилагат мерки за …
---------+13.2.3. Съответните субекти изпитват, преразглеждат и, когато е целесъобразно, актуализират мерките …
------+13.3. Контрол на достъпа до периметъра и на физическия достъп
---------+13.3.1. За целите на член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555 съответните субекти …
---------+13.3.2. За тази цел съответните субекти: а) въз основа на оценката на риска, извършена съгласно …
---------+13.3.3. Съответните субекти изпитват, преразглеждат и, когато е целесъобразно, актуализират мерките …

ПРИЛОЖЕНИЕ Технически и методологични изисквания, посочени в член 2 от настоящия регламент

ПРИЛОЖЕНИЕ

Технически и методологични изисквания, посочени в член 2 от настоящия регламент

1. Преглед

,
1. Политика за сигурност на мрежовите и информационните системи (член 21, параграф 2, буква а) от …

1.   Политика за сигурност на мрежовите и информационните системи (член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555)

2. Политика за управление на риска (член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555)

2.   Политика за управление на риска (член 21, параграф 2, буква а) от Директива (ЕС) 2022/2555)

3. Действия при инцидент (член 21, параграф 2, буква б) от Директива (ЕС) 2022/2555)

3.   Действия при инцидент (член 21, параграф 2, буква б) от Директива (ЕС) 2022/2555)

4. Непрекъснатост на стопанската дейност и управление на кризи (член 21, параграф 2, буква в) от …

4.   Непрекъснатост на стопанската дейност и управление на кризи (член 21, параграф 2, буква в) от Директива (ЕС) 2022/2555)

5. Сигурност на веригата за доставка (член 21, параграф 2, буква г) от Директива (ЕС) 2022/2555)

5.   Сигурност на веригата за доставка (член 21, параграф 2, буква г) от Директива (ЕС) 2022/2555)

6. Сигурност при придобиването на мрежови и информационни системи, разработване и поддръжка (член …

6.   Сигурност при придобиването на мрежови и информационни системи, разработване и поддръжка (член 21, параграф 2, буква д) от Директива (ЕС) 2022/2555)

7. Политики и процедури за оценяване на ефективността на мерките за управление на риска в областта …

7.   Политики и процедури за оценяване на ефективността на мерките за управление на риска в областта на киберсигурността (член 21, параграф 2, буква е) от Директива (ЕС) 2022/2555)

8. Основни киберхигиенни практики и обучение в областта на киберсигурността (член 21, параграф 2 …

8.   Основни киберхигиенни практики и обучение в областта на киберсигурността (член 21, параграф 2, буква ж) от Директива (ЕС) 2022/2555)

9. Криптография (член 21, параграф 2, буква з) от Директива (ЕС) 2022/2555

9.   Криптография (член 21, параграф 2, буква з) от Директива (ЕС) 2022/2555

10. Сигурност на човешките ресурси (член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555)

10.   Сигурност на човешките ресурси (член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555)

11. Контрол на достъпа (член 21, параграф 2, букви и) и й) от Директива (ЕС) 2022/2555)

11.   Контрол на достъпа (член 21, параграф 2, букви и) и й) от Директива (ЕС) 2022/2555)

12. Управление на активи (член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555)

12.   Управление на активи (член 21, параграф 2, буква и) от Директива (ЕС) 2022/2555)

13. Защита от събития с природен характер и физическа сигурност (член 21, параграф 2, букви в), д) …

13.   Защита от събития с природен характер и физическа сигурност (член 21, параграф 2, букви в), д) и и) от Директива (ЕС) 2022/2555)

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания

3. Свързани стандарти

Стандарти