31.1.2018   

BG

Официален вестник на Европейския съюз

L 26/48

(1)

В съответствие с Директива (ЕС) 2016/1148 доставчиците на цифрови услуги са свободни да предприемат технически и организационни мерки, които според тях са подходящи и пропорционални, за управление на риска за сигурността на техните мрежи и информационни системи, доколкото тези мерки осигуряват подходящо ниво на сигурност, като при това се отчитат предвидените в посочената директива елементи.

(2)

При определянето на подходящи и пропорционални технически и организационни мерки съответният доставчик на цифрови услуги следва да приложи систематичен и основан на риска подход към проблема за информационната сигурност.

(3)

С цел да се гарантира сигурността на системите и съоръженията доставчиците на цифрови услуги следва да въведат процедури за оценка и анализ. Тези дейности следва да се отнасят до систематичното управление на мрежите и информационните системи, физическата сигурност и сигурността на средата, сигурността на доставките и контрола на достъпа.

(4)

При анализа на риска в рамките на системното управление на мрежите и информационните системи доставчиците на цифрови услуги следва да бъдат насърчавани да установяват специфичните рискове и да изразяват количествено тяхното значение, например като определят заплахите за активите от първостепенно значение и начина, по който те могат да засегнат операциите, както и най-добрия начин за ограничаване на тези заплахи въз основа на съществуващите възможности и необходимите ресурси.

(5)

Политиките относно човешките ресурси биха могли да бъдат насочени към управлението на различни умения, включително аспекти, свързани с развитието на умения във връзка със сигурността, и към повишаването на осведомеността. При вземането на решение за подходящ набор от политики относно сигурността на операциите доставчиците на цифрови услуги следва да бъдат насърчавани да вземат под внимание аспектите, свързани с управлението на промените и на уязвимостта, формализирането на оперативните и административните практики и картографиране на системите.

(6)

Политиките относно архитектурата за сигурност биха могли да включват по-специално разделяне на мрежите и системите, както и специфични мерки за сигурност за особено важни операции, като например административните операции. Разделянето на мрежите и системите би могло да даде възможност на даден доставчик на цифрови услуги да разграничи един от друг различни елементи, като например потоци от данни и изчислителни ресурси, които принадлежат на клиент, група от клиенти, доставчика на цифрови услуги или трети страни.

(7)

Предприетите мерки по отношение на физическата сигурност и сигурността на средата следва да предпазват мрежите и информационните системи на съответната организация от вреди, причинени от различни инциденти, като например кражба, пожар, наводнение или други метеорологични явления, както и телекомуникационни повреди или прекъсвания на електрозахранването.

(8)

Сигурността на доставките, като например на електричество, гориво или енергия за охлаждане, би могла да обхваща сигурността на веригата на доставките, което включва по-специално сигурността на изпълнителите и подизпълнителите — трети страни, както и тяхното управление. Проследимостта на доставките от първостепенно значение се отнася до способността на доставчика на цифрови услуги да установи и документира източниците на тези доставки.

(9)

Ползвателите на цифрови услуги следва да обхващат физическите и юридическите лица, които са клиенти или абонати на онлайн място за търговия или компютърна услуга „в облак“, или посещават уебсайт на онлайн търсачка, за да извършат търсене по ключови думи.

(10)

При определянето на това доколко съществено е въздействието на даден инцидент, предвидените в настоящия регламент случаи следва да се разглеждат като неизчерпателен списък на съществени инциденти. Трябва да се извлекат поуки от изпълнението на настоящия регламент и от работата на групата за сътрудничество по отношение на събирането на информация за най-добри практики относно рисковете и инцидентите и на обсъжданията на правилата за докладване на уведомленията за инциденти, както е посочено в член 11, параграф 3, букви и) и м) от Директива (ЕС) 2016/1148. В резултат е възможно да бъдат изготвени подробни насоки относно количествените прагове на показателите за уведомяване, които могат да задействат задължението на доставчиците на цифрови услуги за уведомяване в съответствие с член 16, параграф 3 от Директива (ЕС) 2016/1148. Когато е целесъобразно, Комисията може също така да реши да преразгледа актуалните прагове, установени в настоящия регламент.

(11)

С цел да се даде възможност на компетентните органи да бъдат информирани за потенциални нови рискове, доставчиците на цифрови услуги следва да бъдат насърчавани доброволно да докладват за всички инциденти, чиито характеристики са им били неизвестни преди това, като например нови методи за проникване, вектори на атака, източник на заплахата, уязвими места и опасности.

(12)

Настоящият регламент следва да се прилага от деня, следващ изтичането на крайния срок за транспониране на Директива (ЕС) 2016/1148.

(13)

Мерките, предвидени в настоящия регламент, са в съответствие със становището на Комитета по сигурност на мрежите и информационните системи, посочен в член 22 от Директива (ЕС) 2016/1148,

а)

систематично управление на мрежите и информационните системи, което означава картографиране на информационните системи и създаването на набор от подходящи политики относно управлението на информационната сигурност, включително анализ на риска, човешки ресурси, сигурност на операциите, архитектура за сигурност, управление на жизнения цикъл на защитени данни и системи и когато е приложимо — криптиране и неговото управление;

б)

физическа сигурност и сигурност на средата, което означава наличието на набор от мерки за защита на мрежите и информационните системи на доставчиците на цифрови услуги от вреди, като се използва основан на риска подход, обхващащ всякакви видове опасности, в т.ч. повреда в системата, човешка грешка, злонамерени действия или природни явления;

в)

сигурност на доставките, което означава създаване и поддържане на подходящи политики, с цел да се гарантира достъпността и когато е приложимо — проследимостта на доставки от първостепенно значение за предоставянето на услугите;

г)

контрол на достъпа до мрежите и информационните системи, което означава наличие на набор от мерки, които гарантират, че физическият и логическият достъп до мрежите и информационните системи, включително административната сигурност на мрежите и информационните системи, са предмет на разрешение и са ограничени въз основа на стопанските изисквания и изискванията по отношение на сигурността.

а)

процеси и процедури за откриване, които се поддържат и проверяват, за да се гарантира навременна и подходяща осведоменост за необичайни събития;

б)

процеси и политики относно докладването на инциденти и разкриването на слабости и уязвими места в неговите информационни системи;

в)

реагиране в съответствие с установените процедури и докладване на резултатите от предприетите мерки;

г)

оценка на сериозността на инцидента, документиране на наученото от анализа на инцидента и събиране на необходимата информация, която може да послужи като доказателство и да подкрепя процеса на непрекъснато подобряване.

а)

изготвяне и използване на планове за действие при извънредни ситуации въз основа на анализ на въздействието върху стопанската дейност, за да се гарантира непрекъснатост на услугите, предоставяни от доставчиците на цифрови услуги; плановете се оценяват и проверяват редовно, например чрез провеждане на учения;

б)

способности за възстановяване след бедствия, които се оценяват и проверяват редовно, например чрез провеждане на учения.

а)

провеждането на планирана поредица от наблюдения или измервания за преценка дали мрежите и информационните системи работят според предназначението си;

б)

инспектиране и контрол за проверка на изпълнението на изискванията по даден стандарт или набор от насоки, точността на записите и постигането на целите за ефикасността и ефективността;

в)

процес, предназначен да разкрива недостатъците в механизмите за сигурност на дадена мрежа и информационна система, които защитават данните и поддържат предвидената функционалност. Този процес трябва да включва техническите процеси и персонала, които имат отношение към експлоатационния поток.

а)

броят на засегнатите физически и юридически лица, с които е сключен договор за предоставяне на услугата; или

б)

броят на засегнатите ползватели, използвали услугата, по-специално въз основа на данни за предишен трафик.

а)

услугата, предоставяна от даден доставчик на цифрови услуги, не е била налична за повече от 5 000 000 ползвателски часа, при което понятието „ползвателски час“ означава броят на засегнатите ползватели в Съюза в продължение на шестдесет минути;

б)

инцидентът се е отразил неблагоприятно на целостта, истинността и поверителността на съхранявани, предавани или обработвани данни или на свързаните с тях услуги, предлагани от даден доставчик на цифрови услуги или достъпни посредством негова мрежа и информационна система, като са засегнати повече от 100 000 ползватели в Съюза;

в)

инцидентът е породил риск за обществената безопасност и обществената сигурност или е застрашил човешки живот;

г)

инцидентът е причинил материални щети на поне един ползвател в Съюза, като причинените на този ползвател щети надвишават 1 000 000 евро.