Чл. 35 НМИМИС

Наредба за минималните изисквания за мрежова и информационна сигурност

Глава третаРаздел IIIв сила

Официален текст
1

Контролът за спазване на изискванията на глава втора и приетите стандарти се осъществява чрез:

1.

вътрешни одити (от първа страна), които са организирани от Субекта и се извършват от негови служители или от трета страна, но от негово име;

2.

външни одити от втора страна, които са организирани от клиенти или доставчици на Субекта;

3.

външни одити от трета страна, провеждани от независими организации за одит, като контролни органи на изпълнителната власт или организации, имащи право да извършват акредитация или сертификация.

2

Одитите по ал. 1, т. 2 и 3 са препоръчителни мерки.

3

Одитите по ал. 1, т. 1 се извършват в съответствие със стандарт БДС EN ISO 19011 "Указания за извършване на одит на системи за управление", изискванията на стандарт БДС EN ISO/IEC 17020 "Оценяване на съответствието", като се спазва най-малко следното:

1.

одитите се провеждат периодично, но не по-рядко от веднъж в годината;

2.

одитите се провеждат по документирани и одобрени процедури, годишни програми и планове, които са оповестени на лицата, отговарящи за одитираната област;

3.

одитите се извършват от лица, притежаващи квалификация в областта на контрола и имащи необходимите знания и професионален опит в областта на мрежовата и информационната сигурност;

4.

одиторът спазва принципите за почтеност, безпристрастност, професионализъм, независимост и конфиденциалност;

5.

одиторът не може да одитира собствената си дейност;

6.

резултатите от одита се документират и за тях се информира служителят, отговарящ за одитираната област;

7.

при несъответствие с изискванията подробно се документира изискването и констатираното състояние и се посочва срок за отстраняването му;

8.

резултатите от одита са с класификация TLP-AMBER.

4

Субектът предоставя резултатите от одитите на съответния национален компетентен орган съгласночл. 16, ал. 5 от Закона за киберсигурност.