Чл. 35

Чл. 35.(1) Контролът за спазване на изискванията на глава втора и приетите стандарти се осъществява чрез:

1. вътрешни одити (от първа страна), които са организирани от Субекта и се извършват от негови служители или от трета страна, но от негово име;
2. външни одити от втора страна, които са организирани от клиенти или доставчици на Субекта;
3. външни одити от трета страна, провеждани от независими организации за одит, като контролни органи на изпълнителната власт или организации, имащи право да извършват акредитация или сертификация.

(2) Одитите по ал. 1, т. 2 и 3 са препоръчителни мерки. (3) Одитите по ал. 1, т. 1 се извършват в съответствие със стандарт БДС EN ISO 19011 "Указания за извършване на одит на системи за управление", изискванията на стандарт БДС EN ISO/IEC 17020 "Оценяване на съответствието", като се спазва най-малко следното:

1. одитите се провеждат периодично, но не по-рядко от веднъж в годината;
2. одитите се провеждат по документирани и одобрени процедури, годишни програми и планове, които са оповестени на лицата, отговарящи за одитираната област;
3. одитите се извършват от лица, притежаващи квалификация в областта на контрола и имащи необходимите знания и професионален опит в областта на мрежовата и информационната сигурност;
4. одиторът спазва принципите за почтеност, безпристрастност, професионализъм, независимост и конфиденциалност;
5. одиторът не може да одитира собствената си дейност;
6. резултатите от одита се документират и за тях се информира служителят, отговарящ за одитираната област;
7. при несъответствие с изискванията подробно се документира изискването и констатираното състояние и се посочва срок за отстраняването му;
8. резултатите от одита са с класификация TLP-AMBER.

(4) Субектът предоставя резултатите от одитите на съответния национален компетентен орган съгласночл. 16, ал. 5 от Закона за киберсигурност.

Одити