Чл. 3

Член 3 Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки. Съставено в Брюксел на 22 октомври 2019 година. За Комисията Председател Jean-Claude JUNCKER

L 274/6 Официален вестник на Европейския съюз BG 28.10.2019 г. ПРИЛОЖЕНИЕ 1. Технически спецификации за прилагане на член 11, параграф 4, буква а) от Регламент (ЕС) 2019/788 Системата следва да прилага технически мерки, за да се гарантира, че само физически лица могат да изпращат изявления за подкрепа. Техническите мерки не следва да изискват събирането и съхраняването на лични данни извън посочените в приложение III към Регламент (ЕС) 2019/788. 2. Технически спецификации за прилагане на член 11, параграф 4, буква б) от Регламент (ЕС) 2019/788 Организаторите следва да въведат подходящи и ефективни технически и организационни мерки за управление на рисковете за сигурността на мрежoвите и информационните системи, използвани от тях при техните операции, за да се гарантира, че предоставената за инициативата информация в системата за събиране на изявления за подкрепа онлайн, както е представена онлайн на обществеността, съответства на информацията, публикувана за инициативата в регистъра, посочен в член 6, параграф 5 от Регламент (ЕС) 2019/788.

Организаторите следва да гарантират, че: а) информацията, предоставена за инициативата в системата за събиране на изявления онлайн, отговаря на информацията, публикувана в регистъра; б) системата представя информацията за инициативата, публикувана в регистъра, преди гражданинът да подаде изявлението за подкрепа; в) налице са мерки за сигурност, с които да се гарантира, че полетата за въвеждане на данни в изявленията за подкрепа се представят заедно с информацията за инициативата, с цел да се предотврати рискът изявления за подкрепа да се представят за различна инициатива поради невярно представяне на инициативата; г) системата гарантира, че след подаването на изявлението за подкрепа данните в него се запазват заедно с информацията за инициативата; д) налице са мерки за сигурност, с които да се предотврати предприемането на неразрешени промени в информацията, предоставена по инициативата, в системата за събиране на изявления онлайн. 3. Технически спецификации за прилагане на член 11, параграф 4, буква в) от Регламент (ЕС) 2019/788

Системата следва да гарантира, че изявленията за подкрепа се представят в съответствие с полетата за данни в приложение III към Регламент (ЕС) 2019/788. Системата следва да гарантира, че дадено лице може да представи изявление за подкрепа, само след като потвърди, че е прочело декларацията за поверителност в приложение III към Регламент (ЕС) 2019/788. 4. Технически спецификации за прилагане на член 11, параграф 4, буква г) от Регламент (ЕС) 2019/788 4.1. Управление 4.1.1. Групата на организаторите следва да определи служител по сигурността, който отговаря за сигурността на системата и сигурното предаване на събраните изявления за подкрепа на компетентния орган на отговорната държава членка. Служителят по сигурността следва да извършва надзор над процесите за осигуреност на информацията и техническите и организационните мерки за сигурност, за да се гарантират сигурното събиране, съхранение и предаване на данните, предоставени от поддръжниците. 4.1.2. Организаторите могат да поискат от националния компетентен орган, посочен в член 11, параграф 3 от Регламент (ЕС) 2019/788, да предостави приложимите правила и изисквания за сигурност за удостоверяването на индивидуални системи за събиране на изявления онлайн. Компетентният орган предоставя правилата и изискванията за сигурност като правило в срок от един месец след получаване на искането. Приложимите правила и изисквания за сигурност следва да бъдат в съответствие със съществуващите подходящи национални или международни стандарти за сигурност.

28.10.2019 г. Официален вестник на Европейския съюз BG L 274/7 4.1.3. Правилата и изискванията за сигурност за удостоверяването на системата следва да са насочени към противодействие на рисковете, определени в раздел 4.2, и да отчитат спецификациите в раздел 4.3. 4.2. Осигуреност на информацията 4.2.1. Организаторите следва да използват процеси за управление на риска с цел да идентифицират рисковете, свързани с използването на техните системи, включително за правата и свободите на поддръжниците, и за определяне на подходящите и пропорционалните мерки за предотвратяване и смекчаване на въздействието на инциденти, засягащи сигурността на мрежовите и информационните системи, които използват в своите операции. Процесът за управление на риска следва да се съсредоточава основно върху рисковете, свързани с поверителността и целостта на информацията, съдържаща се в системата. Тези рискове могат да произтичат от заплахи, включително: а) грешки на потребителя; б) системни грешки или грешки на администратора по сигурността;

в) грешки в конфигурацията; г) заразяване с опасен софтуер; д) неволно променяне на информация; е) оповестяване или изтичане на информация; ж) уязвими елементи в софтуера; з) непозволен достъп; и) прихващане и подслушване на трафика от данни; й) рискове за защитата на данните. 4.2.2. Организаторите следва да предоставят документи, доказващи, че те: а) са направили оценка на рисковете за системата; б) са определили подходящи мерки за предотвратяване и смекчаване на въздействието на инциденти, засягащи сигурността на системата; в) са идентифицирали остатъчните рискове; г) са приложили мерките и проверяват тяхното изпълнение; д) са предвидили от организационна гледна точка начини за получаване на обратна информация за нови заплахи и подобрения на сигурността; е) изпълняват през целия процес на събиране на данни изискванията във връзка с удостоверяването, предвидени в член 11, параграф 4 от Регламент (ЕС) 2019/788, включително разполагат с необходимите процеси, за да гарантират това. 4.2.3. Мерките за предотвратяване и смекчаване на въздействието на инциденти, засягащи сигурността на системите,

обхващат следните области: а) сигурност на човешките ресурси; б) контрол на достъпа; в) криптографски контрол; г) физическа сигурност и сигурност на средата; д) сигурност на операциите; е) сигурност на комуникациите; ж) придобиване, разработка и поддръжка на системи; з) управление на инциденти, свързани със сигурността на информацията; и) съответствие.

L 274/8 Официален вестник на Европейския съюз BG 28.10.2019 г. Прилагането на тези мерки за сигурност може да бъде ограничено до тези части на организацията, които са от значение за системата за събиране на изявления за подкрепа онлайн. Така например сигурността на човешките ресурси може да бъде ограничена до персонала, който има физически достъп или мрежови достъп до системата за събиране на изявления за подкрепа онлайн, а физическата сигурност и сигурността на средата могат да бъдат ограничени до сградата(ите), в която(ито) се помещава системата. 4.2.4. Когато организаторите са възложили разработването или внедряването на системите за събиране на изявления онлайн или на части от тях, организаторите предоставят на удостоверяващия орган документи, за да може той да докаже, че е налице необходимият контрол на сигурността. 4.3. Криптиране на данни Системата следва да дава възможност за следното криптиране на данни: а) личните данни в електронен формат се криптират при съхраняване или прехвърляне до компетентните органи на държавите членки в съответствие с Регламент (ЕС) 2019/788, като ключовете се управляват и запазват отделно;

б) подходящи стандартни алгоритми и подходящи ключове следва да се използват в съответствие с международните стандарти (като например стандарта на ETSI). следва да е налице управление на ключовете; в) всички ключове и пароли следва да са защитени срещу неразрешен достъп.