5.1. Политика за сигурност на веригата за доставка

а)

практиките в областта на киберсигурността на снабдителите и доставчиците на услуги, включително техните процедури за сигурно разработване;

б)

способността на снабдителите и доставчиците на услуги да изпълняват спецификациите за киберсигурност, определени от съответните субекти;

в)

цялостното качество и устойчивост на ИКТ продуктите и ИКТ услугите, както и мерките за управление на риска в областта на киберсигурността, заложени в тях, включително рисковете и нивото на класификация на ИКТ продуктите и ИКТ услугите;

г)

способността на съответните субекти да диверсифицират източниците на доставка и да ограничат зависимостта, когато е приложимо.

а)

изисквания за киберсигурност за снабдителите или доставчиците на услуги, включително изисквания по отношение на сигурността при придобиване на ИКТ услугите или ИКТ продуктите, посочени в точка 6.1;

б)

изисквания по отношение на информираността, уменията и обучението, а при необходимост и на удостоверенията, изисквани от служителите на снабдителите или доставчиците на услуги;

в)

изисквания относно цялостната проверка на служителите на снабдителите и доставчиците на услуги;

г)

задължение за снабдителите и доставчиците на услуги да уведомяват без неоправдано забавяне съответните субекти за инциденти, които представляват риск за сигурността на мрежовите и информационните системи на тези субекти;

д)

правото на одит или правото на получаване на одитни доклади;

е)

задължение за снабдителите и доставчиците на услуги да намерят решение за уязвимостите, които представляват риск за сигурността на мрежовите и информационните системи на съответните субекти;

ж)

изисквания по отношение на възлагането на дейности на външни изпълнители и, когато съответните субекти позволяват такова възлагане, изисквания за киберсигурност за подизпълнителите в съответствие с изискванията за киберсигурност, посочени в буква а);

з)

задължения на снабдителите и доставчиците на услуги при прекратяване на договора, като например извличане и унищожаване на информацията, получена от тях при изпълнение на задачите им.

а)

осъществяват редовен мониторинг на докладите за изпълнението на споразуменията за нивото на обслужване, когато е приложимо;

б)

преглеждат инциденти с ИКТ продукти и ИКТ услуги от снабдители и доставчици на услуги;

в)

оценяват необходимостта от непланирани прегледи и документират констатациите по разбираем начин;

г)

анализират рисковете, породени от промени, свързани с ИКТ продукти и ИКТ услуги от снабдители и доставчици на услуги, и когато е целесъобразно, своевременно предприемат мерки за намаляване на тези рискове.