Наредба за минималните изисквания за мрежова и информационна сигурност
Основни цели и обхват
Наредбата за минималните изисквания за мрежова и информационна сигурност е регламент, който определя минималните мерки, които трябва да бъдат внедрени от субектите, попадащи под действието на Закона за мрежова и информационна сигурност (ЗМИС). Основната цел на наредбата е да осигури защита на мрежовата и информационна сигурност в критични инфраструктури, публични и частни субекти, които предлагат основни услуги или цифрови услуги.
Основни изисквания
1. Мерки за управление на риска
Организациите трябва да извършват оценка на риска, свързан с мрежовата и информационната сигурност, като идентифицират потенциални заплахи и уязвимости. На база на тази оценка се определят необходимите мерки за защита на информацията и системите.
2. Защита на мрежи и информационни системи
Организациите трябва да внедрят мерки за предотвратяване и защита срещу неоторизиран достъп, както и за осигуряване на целостта и наличността на мрежите и информационните системи.
3. Управление на инциденти
Организациите трябва да въведат процес за управление на инциденти, свързани с мрежовата и информационна сигурност, който да включва откриване, докладване, управление и разследване на инциденти.
4. Непрекъснатост на дейността
Организациите трябва да имат разработени планове за непрекъснатост на дейността, които да осигурят минимизиране на въздействието при нарушаване на мрежовата и информационна сигурност.
5. Контрол върху достъпа
Организациите трябва да въведат мерки за контрол на достъпа до мрежовите и информационните системи, като се осигури достъп само на упълномощени лица.
6. Защита на данните
Необходимо е да се въведат мерки за защита на чувствителната информация, включително лични данни, в съответствие със Закона за защита на личните данни и други приложими нормативни актове.
Субекти, попадащи под обхвата на наредбата
Наредбата засяга всички субекти, които предоставят основни услуги и цифрови услуги, както и организации от публичния сектор, включително, но не само:
- Оператори на основни услуги, свързани с критични инфраструктури като транспорт, енергетика, здравеопазване и финансова система.
- Доставчици на цифрови услуги, като доставчици на облачни услуги, платформи за онлайн търговия и услуги за интернет търсачки.
- Общински администрации, които управляват ключови обществени услуги и инфраструктура на местно ниво.
- Държавни администрации и дирекции, които са отговорни за управлението на национални инфраструктури и предоставяне на обществени услуги на гражданите.
- Държавни и общински предприятия, които осигуряват критични обществени услуги като водоснабдяване, електроснабдяване и транспорт.
Тези субекти имат задължението да спазват минималните изисквания за мрежова и информационна сигурност, за да защитят критичната информация и системи, както и да осигурят защита срещу потенциални кибер заплахи и инцидент
Изменения в наредбата
Последните изменения, обнародвани в ДВ. бр.36 от 13 Май 2022 г. и ДВ. бр.47 от 24 Юни 2022 г., са насочени към адаптиране на нормативната база към новите технологични предизвикателства и необходимостта от по-строги мерки за киберсигурност на национално и европейско ниво.
Наредбата за минималните изисквания за мрежова и информационна сигурност осигурява рамката за сигурност на критичните инфраструктури и услугите в България, като поставя ясни изисквания за защита на мрежовата и информационна сигурност. Тя е съществена част от националната и европейската стратегия за киберсигурност и поддържа високи стандарти за управление на риска, контрол на достъпа и защита на данните в цифровата среда.