Чл. 11

Чл. 11.(1) Субектът приема вътрешни правила за управление на измененията във важните за дейността му информационни активи в съответствие с изискването начл. 5, ал. 1, т. 6с цел намаляване на риска от инциденти, настъпили в резултат на изменения във важните за дейността му информационни активи, и по-точно в информационните и комуникационните системи и обслужващата ги инфраструктура, в процесите и дейностите, в конфигурациите, в софтуера или във фърмуера. (2) Преди да се извърши изменението, Субектът трябва да направи анализ и оценка на риска в съответствие счл. 7. (3) Измененията се:

1. планират, като се определят срокове и отговорности за всяка дейност, която ще бъде извършена преди, по време на и след изменението;
2. съгласуват предварително с всички страни, имащи отговорности към процесите и дейностите в обхвата на наредбата;
3. одобряват от административния орган, съответно от ръководителя на субекта почл. 1, ал. 1, т. 2 - 5, или от упълномощено от него лице;
4. оповестяват по подходящ начин на всички страни, които са заинтересовани; информирането на заинтересованите страни трябва да е поне 3 дни преди да се направи изменението;
5. проверяват в тестова среда.

(4) Субектът разработва план за връщане на системите в предишното им състояние, за да се намали продължителността на потенциален инцидент, настъпил в резултат на изменението.

Управление на измененията в информационните активи