Чл. 25

Чл. 25.(1) Доставчиците на цифрови услуги предприемат:

1. подходящи и пропорционални технически и организационни мерки за управление на рисковете за сигурността на мрежите и информационните системи, използвани от тях при предоставянето на територията на Република България на услугите, посочени вприложение № 2;
2. подходящи мерки за предотвратяване и намаляване до минимум на въздействието на инцидентите, засягащи мрежовата и информационната им сигурност, върху предоставяните от тях на територията на Република България услуги, посочени вприложение № 2, с цел осигуряване на непрекъснатост на тези услуги;
3. мерките, определени с наредбата почл. 3, ал. 2.

(2) Мерките по ал. 1, т. 1 осигуряват ниво на мрежова и информационна сигурност, съответстващо на съществуващия риск, като са съобразени със:

1. сигурността на системите и съоръженията;
2. действията при инциденти;
3. управление на непрекъснатостта на дейностите;
4. наблюдение, одит и изпитване;
5. спазване на международни стандарти.

(3) Доставчиците на цифрови услуги уведомяват съответния секторен екип за реагиране при инциденти с компютърната сигурност за инцидентите, които имат съществено въздействие върху непрекъснатостта на предоставяните от тях цифрови услуги. В тези случаи се прилагат съответночл. 21, ал. 4, 5 и 6. (4) За определяне на въздействието на даден инцидент като съществено се вземат предвид:

1. броят ползватели, засегнати от инцидента, и по-специално ползвателите, които разчитат на услугата за предоставяне на собствените си услуги;
2. продължителността на инцидента;
3. географският обхват по отношение на областта, засегната от инцидента;
4. степента на нарушаване на функционирането на услугата;
5. степента на въздействие върху стопанските и обществените дейности.

(5) Доставчиците на цифрови услуги подават уведомление по ал. 3 само когато имат достъп до информацията, която е необходима, за да се оцени въздействието на инцидента като съществено съгласно ал. 4. (6) След консултация със засегнатия доставчик на цифрови услуги съответният секторен екип за реагиране при инциденти с компютърната сигурност и когато е приложимо, органите или екип за реагиране при инциденти с компютърната сигурност на други засегнати държави - членки на Европейския съюз, може да информират обществеността за отделни инциденти или да изискат от доставчика на цифрови услуги да информира за това, когато е необходима обществена осведоменост с цел предотвратяване на инцидент или справяне с текущ инцидент или когато разкриването на инцидента е в интерес на обществеността поради други причини. (7) Съответният секторен екип за реагиране при инциденти с компютърната сигурност запазва търговските интереси на доставчика на цифрови услуги, както и поверителността на информацията, съдържаща се в уведомлението му.

Задължения на доставчиците на цифрови услуги по отношение на изискванията за сигурност и уведомяване за инциденти