Чл. 2

Чл. 2.(1) По своя характер мерките за мрежова и информационна сигурност са организационни, технологични и технически и се прилагат в съответствие със спецификата на дейността на Субекта и трябва да са подходящи и пропорционални на рисковете за постигането на основните цели на мрежовата и информационната сигурност. (2) Мерките по ал. 1 гарантират основните цели на мрежовата и информационната сигурност, а именно запазване на достъпността, интегритета (цялост и наличност) и конфиденциалността на информацията по време на целия и жизнен цикъл (създаване, обработване, съхранение, пренасяне и унищожение) във и чрез информационните и комуникационните системи на Субекта. (3) Мерките по ал. 1 са съобразени с изискванията на националните нормативни актове, регламентите на Европейския съюз и приетите и приложени от Субекта стандарти, като се вземат предвид краткосрочните, основните и общите рискове за сигурността за съответния сектор. (4) Мерките за мрежова и информационна сигурност се прилагат съобразно указанията на приложимите международни стандарти, посочени вприложение № 1, препоръките на производители и доставчици на софтуер и хардуер, както и с добрите практики, препоръчани от водещи в областта на сигурността организации. (5) Мерките по ал. 1 трябва да са:

1. разнородни - постигането на всяка от целите на мрежовата и информационната сигурност се реализира с различни по характер и специфика мерки, което създава условие за многослойна защита, или т. нар. "дълбока отбрана";
2. конкретни и лесни за възприемане, за да се гарантира, че мерките действително се прилагат;
3. ефикасни - да имат най-голямо въздействие върху потенциални заплахи, като се избягва ненужен разход на ресурси;
4. пропорционални на рисковете - с оглед на постигане на оптимално съотношение между разходи и ползи при реализиране на целите на мрежовата и информационната сигурност;
5. проверими - гарантират, че Субектът може да предостави на съответния национален компетентен орган по смисъла начл. 16 от Закона за киберсигурностдоказателства за ефективното им прилагане в съответствие с изискването начл. 16, ал. 3от същия закон.

(6) Минималните мерки за мрежова и информационна сигурност, посочени в тази наредба, не са обвързани с определени технологии.

Принципи Глава втора.МИНИМАЛНИ МЕРКИ ЗА МРЕЖОВА И ИНФОРМАЦИОННА СИГУРНОСТ Раздел I.Управление на мрежовата и информационната сигурност