Чл. 8

Член 8 Настоящият регламент влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.

Той се прилага от 16 октомври 2025 г.

26.9.2022 г. BG Официален вестник на Европейския съюз L 248/23 Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави членки. Съставено в Брюксел на 14 юли 2022 година. За Комисията Председател Ursula VON DER LEYEN

L 248/24 BG Официален вестник на Европейския съюз 26.9.2022 г. ПРИЛОЖЕНИЕ ИНФОРМАЦИОННА СИГУРНОСТ — ИЗИСКВАНИЯ КЪМ ОРГАНИЗАЦИЯТА [ЧАСТ — IS.D.OR] IS.D.OR.100 Обхват IS.D.OR.200 Система за управление на информационната сигурност IS.D.OR.205 Оценка на риска за информационната сигурност IS.D.OR.210 Третиране на риска за информационната сигурност IS.D.OR.215 Схема за вътрешно докладване във връзка с информационната сигурност IS.D.OR.220 Инциденти, свързани с информационната сигурност — откриване, реагиране и възстановяване IS.D.OR.225 Реагиране на констатациите, съобщени от компетентния орган IS.D.OR.230 Схема за външно докладване във връзка с информационната сигурност IS.D.OR.235 Възлагане на дейности по управление на информационната сигурност на подизпълнители IS.D.OR.240 Изисквания към персонала IS.D.OR.245 Водене на документация IS.D.OR.250 Ръководство за управление на информационната сигурност (ISMM) IS.D.OR.255 Промени в системата за управление на информационната сигурност IS.D.OR.260 Постоянно подобряване

IS.D.OR.100 Обхват В настоящата част се определят изискванията, на които трябва да отговарят организациите, посочени в член 2 от настоящия регламент. IS.D.OR.200 Система за управление на информационната сигурност (ISMS) а) За постигане на целите, посочени в член 1, организацията създава, въвежда и поддържа система за управление на информационната сигурност (ISMS), която гарантира, че организацията: 1. 2. 3. 4. 5. 6. 7. 8. 9. установява политика за информационна сигурност, която определя общите принципи на организацията по отношение на потенциалното въздействие на рисковете за информационната сигурност върху авиационната безопасност; установява и преглежда рисковете за информационната сигурност в съответствие с точка IS.D.OR.205; определя и прилага мерки за третиране на риска за информационната сигурност в съответствие с точка IS.D.OR.210; прилага схема за вътрешно докладване във връзка с информационната сигурност в съответствие с точка IS.D.OR.215; определя и прилага, в съответствие с точка IS.D.OR.220, необходимите мерки за откриване на събития, свързани с информационната сигурност, идентифицира тези събития, които се считат за инциденти с потенциално въздействие върху авиационната безопасност, с изключение на разрешеното по точка IS.D.OR.205, буква д), реагира на тези инциденти, свързани с информационната сигурност, и се възстановява от тях;

изпълнява мерките, за които компетентният орган е уведомил, като незабавна реакция на инцидент или уязвимост, свързани с информационната сигурност, които оказват въздействие върху авиационната безопасност; предприема подходящи действия в съответствие с точка IS.D.OR.225 за отстраняване на констатациите, за които компетентният орган я е информирал; прилага схема за външно докладване в съответствие с точка IS.D.OR.230, за да се даде възможност на компетентния орган да предприеме подходящи действия; отговаря на изискванията, съдържащи се в точка IS.D.OR.235, когато възлага на други организации която и да е част от дейностите, посочени в точка IS.D.OR.200;

26.9.2022 г. BG Официален вестник на Европейския съюз L 248/25

1. отговаря на изискванията по отношение на персонала, определени в точка IS.D.OR.240;
2. отговаря на изискванията за водене на документация, определени в точка IS.D.OR.245;
3. наблюдава съответствието на организацията с изискванията на настоящия регламент и предоставя обратна информация относно констатациите на отговорния ръководител или, в случай на проектантски организации, на ръководителя на проектантската организация, за да се гарантира ефективното изпълнение на коригиращите действия;
4. без да се засягат приложимите изисквания за докладване на инциденти, защитава поверителността на всяка информация, която организацията може да е получила от други организации, в съответствие с нейната степен на поверителност.

б) За да спазва системно изискванията, посочени в член 1, организацията осъществява процес на постоянно подобряване в съответствие с точка IS.D.OR.260. в) Организацията документира в съответствие с точка IS.D.OR.250 всички ключови процеси, процедури, роли и отговорности, необходими за спазване на точка IS.D.OR.200, буква а), и установява процес за изменение на тази документация. Промените в тези процеси, процедури, роли и отговорности се управляват в съответствие с точка IS.D. OR.255.

г) Процесите, процедурите, ролите и отговорностите, установени от организацията с цел спазване на точка IS.D.OR.200, буква а), съответстват на естеството и сложността на нейните дейности въз основа на оценка на рисковете за информационната сигурност, присъщи на тези дейности, и могат да бъдат интегрирани в други съществуващи системи за управление, които вече са въведени от организацията. д) Без да се засяга задължението за спазване на изискванията за докладване, съдържащи се в Регламент (ЕС) № 376/2014 (1), и изискванията по точка IS.D.OR.200, буква а), точка 13, на организацията може да бъде издадено одобрение от компетентния орган да не прилага изискванията, посочени в букви а)—г), и свързаните изисквания, съдържащи се в точки IS.D.OR.205—IS.D.OR.260, ако тя докаже по удовлетворителен за този орган начин, че нейните дейности, съоръжения и ресурси, както и услугите, които експлоатира, предоставя, получава и поддържа, не пораждат рискове за информационната сигурност с потенциално въздействие върху авиационната безопасност нито на самата нея, нито на други организации. Одобрението се основава на документирана оценка на риска за информационната сигурност, извършена от организацията или от трета страна в съответствие с точка IS.D.OR.205 и разгледана и одобрена от нейния компетентен орган.

Поддържането на валидността на това одобрение се преразглежда от компетентния орган след приложимия цикъл на одит на надзора и всеки път, когато бъдат въведени промени в обхвата на дейностите на организацията. IS.D.OR.205 Оценка на риска за информационната сигурност а) Организацията установява всички свои елементи, които биха могли да бъдат изложени на рискове за информационната сигурност. Това включва:

1. дейностите, съоръженията и ресурсите на организацията, както и услугите, които организацията експлоатира,

предоставя, получава или поддържа;

1. оборудването, системите, данните и информацията, които допринасят за функционирането на елементите, изброени в

точка 1. б) Организацията установява връзките, които има с други организации и които биха могли да доведат до взаимно излагане на рискове за информационната сигурност. в) По отношение на елементите и връзките, посочени в букви а) и б), организацията установява рисковете за информационната сигурност, които могат да имат потенциално въздействие върху авиационната безопасност. За всеки установен риск организацията:

1. определя ниво на риска съгласно предварително определена класификация, възприета от организацията;

(1) Регламент (ЕС) № 376/2014 на Европейския парламент и на Съвета от 3 април 2014 г. за докладване, анализ и последващи действия във връзка със събития в гражданското въздухоплаване, за изменение на Регламент (ЕС) № 996/2010 на Европейския парламент и на Съвета и за отмяна на Директива 2003/42/ЕО на Европейския парламент и на Съвета и на регламенти (ЕО) № 1321/2007 и (ЕО) № 1330/2007 на Комисията (ОВ L 122, 24.4.2014 г., стр. 18).

L 248/26 BG Официален вестник на Европейския съюз 26.9.2022 г.

1. свързва всеки риск и неговото ниво със съответния елемент или връзка, установени в съответствие с букви а) и б).

При предварително определената класификация, посочена в точка 1, се взема предвид потенциалът за възникване на сценария за заплаха и сериозността на последиците от него за безопасността. Въз основа на тази класификация и като се вземе предвид дали организацията има структуриран и възпроизводим процес на управление на риска за операциите, организацията трябва да е в състояние да установи дали рискът е приемлив или трябва да бъде третиран в съответствие с точка IS.D.OR.210. За да се улесни взаимната съпоставимост на оценките на риска, при определянето на нивото на риска съгласно точка 1 се взема предвид съответната информация, получена в координация с организациите, посочени в буква б). г) Организацията преразглежда и актуализира оценката на риска, извършена в съответствие с букви а), б) и в), във всяка от следните ситуации:

1. когато има промяна в елементите, които са изложени на рискове за информационната сигурност;
2. когато има промяна във връзките между организацията и други организации или в рисковете, съобщени от другите

организации;

1. когато има промяна в информацията или знанията, използвани за идентифициране, анализ и класификация на

рисковете;

1. когато са извлечени поуки от анализа на инцидентите, свързани с информационната сигурност.

IS.D.OR.210 Третиране на риска за информационната сигурност а) Организацията разработва мерки за справяне с неприемливите рискове, установени в съответствие с точка IS.D.OR.205, прилага ги своевременно и проверява дали те продължават да са ефективни. Тези мерки дават възможност на организацията:

1. да контролира обстоятелствата, които допринасят за действителното възникване на сценария за заплаха;
2. да смекчи последиците за авиационната безопасност, свързани с реализирането на сценария за заплаха;
3. да избегне рисковете.

Тези мерки не трябва да въвеждат нови потенциални неприемливи рискове за авиационната безопасност.

б) Лицето, посочено в точка IS.D.OR.240, букви а) и б), и другият засегнат персонал на организацията се информират за резултатите от оценката на риска, извършена в съответствие с точка IS.D.OR.205, съответните сценарии за заплаха и мерките, които трябва да бъдат изпълнени. Организацията също така информира организациите, с които си взаимодейства в съответствие с точка IS.D.OR.205, буква б), за всеки риск, който е общ и за двете организации. IS.D.OR.215 Схема за вътрешно докладване във връзка с информационната сигурност а) Организацията създава схема за вътрешно докладване, за да се даде възможност за събиране и оценка на събития, свързани с информационната сигурност, включително такива, които трябва да бъдат докладвани съгласно точка IS.D. OR.230. б) Тази схема и процесът, посочени в точка IS.D.OR.220, дават възможност на организацията:

1. да определя кои от събитията, докладвани съгласно буква а), се считат за инциденти или уязвимости, свързани с

информационната сигурност, с потенциално въздействие върху авиационната безопасност;

1. да разпознава причините за установените в съответствие с точка 1 инциденти и уязвимости, свързани с информационната сигурност, както и факторите, допринасящи за тях, и — като част от процеса на управление на риска за информационната сигурност в съответствие с точки IS.D.OR.205 и IS.D.OR.220 — да ги отстранява;
2. да осигурява оценка на цялата известна информация от значение за инцидентите и уязвимостите, свързани с

информационната сигурност, установени в съответствие с точка 1;

26.9.2022 г. BG Официален вестник на Европейския съюз L 248/27

1. да гарантира прилагането на метод за вътрешно разпространение на информацията, ако е необходимо.

в) От всяка организация подизпълнител, която може да изложи организацията на рискове за информационната сигурност с потенциално въздействие върху авиационната безопасност, се изисква да ѝ докладва за събития, свързани с информационната сигурност. Тези доклади се представят, като се прилагат процедурите, установени в конкретните договорни споразумения, и се оценяват в съответствие с буква б). г) При разследвания организацията си сътрудничи с всяка друга организация, която има значителен принос за информационната сигурност на собствените ѝ дейности. д) Организацията може да обедини тази схема за докладване с други схеми за докладване, които вече прилага. IS.D.OR.220 Инциденти, свързани с информационната сигурност — откриване, реагиране и възстановяване а) Въз основа на резултатите от оценката на риска, извършена в съответствие с точка IS.D.OR.205, и на резултата от третирането на риска, извършено в съответствие с точка IS.D.OR.210, организацията прилага мерки за откриване на инциденти и уязвимости, които показват потенциалното възникване на неприемливи рискове и които могат да окажат потенциално въздействие върху авиационната безопасност. Тези мерки за откриване дават възможност на организацията:

1. да установява отклонения от предварително определени базови стойности на функционалните показатели;
2. да задейства предупреждения за начало на подходящи мерки за реагиране в случай на отклонение.

б) Организацията прилага мерки за реагиране на всяко събитие, определено в съответствие с буква а), което би могло да се развие или се е развило в инцидент, свързан с информационната сигурност. Тези мерки за реагиране дават възможност на организацията:

1. да започне да реагира на предупрежденията, посочени в буква а), точка 2, като активира предварително определени

ресурси и начин на действие;

1. да ограничи разрастването на атаката и да избегне пълното реализиране на сценария за заплаха;
2. да контролира режима на неизправност на засегнатите елементи, определени в точка IS.D.OR.205, буква а).

в) Организацията прилага мерки, насочени към възстановяване от инциденти, свързани с информационната сигурност, включително спешни мерки, ако е необходимо. Тези мерки за възстановяване дават възможност на организацията:

1. да отстрани състоянието, което е причинило инцидента, или да го ограничи до допустимо ниво;
2. да достигне безопасно състояние на засегнатите елементи, определени в точка IS.D.OR.205, буква а), в рамките на

период на възстановяване, определен предварително от организацията. IS.D.OR.225 Отговор на констатациите, съобщени от компетентния орган а) След получаване на уведомлението за констатации, представено от компетентния орган, организацията:

1. установява причината или причините и факторите, които са допринесли за възникване на несъответствието;
2. съставя план за коригиращи действия;
3. доказва отстраняването на несъответствието по удовлетворителен за компетентния орган начин.

б) Действията, посочени в буква а), се извършват в срока, договорен с компетентния орган. IS.D.OR.230 Схема за външно докладване във връзка с информационната сигурност а) Организацията въвежда система за докладване във връзка с информационната сигурност, която отговаря на изискванията, определени в Регламент (ЕС) № 376/2014 и свързаните с него делегирани актове и актове за изпълнение, ако посоченият регламент е приложим за организацията.

L 248/28 BG Официален вестник на Европейския съюз 26.9.2022 г. б) Без да се засягат задълженията по Регламент (ЕС) № 376/2014, организацията гарантира, че всеки инцидент или уязвимост, свързани с информационната сигурност, които може да представляват значителен риск за авиационната безопасност, се докладват на нейния компетентен орган. Също така:

1. когато такъв инцидент или уязвимост засяга въздухоплавателно средство или свързана система или компонент,

организацията докладва за това и на притежателя на одобрението на проекта;

1. когато такъв инцидент или уязвимост засяга система или съставен елемент, използвани от организацията, тя докладва

за това на организацията, отговорна за проектирането на системата или съставния елемент. в) Организацията докладва условията, посочени в буква б), както следва:

1. на компетентния орган и, ако е приложимо, на притежателя на одобрението на проекта или до организацията, отговорна за проектирането на системата или съставния елемент, се изпраща уведомление веднага щом състоянието стане известно на организацията;

1. на компетентния орган и, ако е приложимо, на притежателя на одобрението на проекта или на организацията, отговорна за проектирането на системата или съставния елемент, се представя доклад във възможно най-кратък срок, но не повече от 72 часа от момента, в който състоянието е станало известно на организацията, освен ако изключителни обстоятелства не попречат на това.

Докладът се изготвя във формата, определена от компетентния орган, и съдържа цялата информация от значение за състоянието, известна на организацията;

1. на компетентния орган и, ако е приложимо, на притежателя на одобрението на проекта или на организацията, отговаряща за проектирането на системата или съставния елемент, се представя доклад за последващите действия, в който се предоставят подробности за действията, които организацията е предприела или възнамерява да предприеме, за да се възстанови от инцидента, и действията, които възнамерява да предприеме, за да предотврати подобни инциденти, свързани с информационната сигурност в бъдеще.

Докладът за последващите действия се представя веднага след определянето на тези действия и се изготвя във формата, определена от компетентния орган. IS.D.OR.235 Възлагане на дейности по управление на информационната сигурност а) Организацията гарантира, че когато възлага на други организации която и да е част от дейностите, посочени в точка IS.D. OR.200, дейностите, за които е сключен договор, отговарят на изискванията на настоящия регламент, а организацията подизпълнител работи под неин надзор. Организацията гарантира, че рисковете, свързани с дейностите, възложени на подизпълнители, се управляват по подходящ начин. б) Организацията гарантира, че компетентният орган може да получи достъп при поискване до организацията подизпълнител, за да установи дали се запазва съответствие с приложимите изисквания, определени в настоящия регламент. IS.D.OR.240 Изисквания към персонала а) Отговорният ръководител на организацията или, в случай на проектантски организации, ръководителят на проектантската организация, определен в съответствие с регламенти (ЕС) № 748/2012 и (ЕС) № 139/2014, както е посочено в член 2, точка 1, букви а) и б) от настоящия регламент, има административни правомощия да гарантира, че всички дейности, изисквани по настоящия регламент, могат да бъдат финансирани и извършени. Това лице:

1. гарантира, че са налице всички необходими ресурси за спазване на изискванията на настоящия регламент;
2. създава и популяризира политиката за информационна сигурност, посочена в точка IS.D.OR.200, буква а), точка 1;
3. показва основно разбиране на разпоредбите на настоящия регламент.

б) Отговорният ръководител или, в случай на проектантски организации, ръководителят на проектантската организация, назначава лице или група лица, които да гарантират, че организацията отговаря на изискванията на настоящия регламент, и определя обхвата на техните правомощия. Това лице или група лица докладват пряко на отговорния ръководител или, в случай на проектантски организации, на ръководителя на проектантската организация, и притежават необходимите знания, образование и опит, за да изпълняват своите отговорности. В процедурите се определя кой замества дадено лице в случай на продължителното му отсъствие.

26.9.2022 г. BG Официален вестник на Европейския съюз L 248/29 в) Отговорният ръководител или, в случай на проектантски организации, ръководителят на проектантската организация, назначава лице или група лица, които отговарят за управлението на функцията по наблюдение на съответствието, посочена в точка IS.D.OR.200, буква а), точка 12. г) Когато организацията споделя организационни структури, политики, процеси и процедури за информационна сигурност с други организации или с области от тяхната собствена организация, които не са част от одобрението или декларацията, отговорният ръководител или, в случай на проектантски организации, ръководителят на проектантската организация, може да делегира своите дейности на едно общо отговорно лице. В този случай се установяват мерки за координация между отговорния ръководител на организацията или, в случай на проектантски организации, ръководителя на проектантската организация и общото отговорно лице, за да се осигури адекватно интегриране на управлението на информационната сигурност в рамките на организацията.

д) Отговорният ръководител или ръководителят на проектантската организация, или общото отговорно лице, посочено в буква г), имат административни правомощия да създават и поддържат организационните структури, политики, процеси и процедури, необходими за прилагането на точка IS.D.OR.200. е) Организацията трябва да въведе процедура, която да гарантира, че тя има достатъчно персонал, който да е на разположение за извършване на дейностите, обхванати от настоящото приложение. ж) Организацията трябва да въведе процедура, която да гарантира, че персоналът, посочен в буква е), притежава необходимата компетентност за изпълнение на своите задачи. з) Организацията трябва да въведе процедура, която да гарантира, че персоналът отчита отговорностите, свързани с възложените роли и задачи. и) Организацията гарантира, че самоличността и надеждността на персонала, който има достъп до информационните системи и данните, за които се прилагат изискванията на настоящия регламент, са установени по подходящ начин.

IS.D.OR.245 Водене на документация а) Организацията съхранява документация за своите дейности по управление на информационната сигурност.

1. Организацията гарантира, че следните записи са архивирани и проследими:

i) всяко получено одобрение и всяка свързана с него оценка на риска за информационната сигурност в съответствие с точка IS.D.OR.200, буква д); ii) договори за дейностите, посочени в точка IS.D.OR.200, буква а), точка 9; iii) записи на ключовите процеси, посочени в точка IS.D.OR.200, буква г); iv) записи на рисковете, установени в оценката на риска, посочена в точка IS.D.OR.205, заедно със свързаните с тях мерки за третиране на риска, посочени в точка IS.D.OR.210; v) записи на инциденти и уязвимости, свързани с информационната сигурност, докладвани в съответствие със схемите за докладване, посочени в точки IS.D.OR.215 и IS.D.OR.230; vi) записи на такива събития, свързани с информационната сигурност, които може да се наложи да бъдат преразгледани, за да се разкрият неоткрити инциденти или уязвимости, свързани с информационната сигурност.

1. Записите, посочени в точка 1, подточка i), се съхраняват най-малко 5 години след изтичане на валидността на

одобрението.

1. Документацията, посочена в точка 1, подточка ii), се съхранява най-малко 5 години след изменението или

прекратяването на договора.

1. Записите, посочени в точка 1, подточки iii), iv) и v), се съхраняват най-малко за срок от 5 години.
2. Записите, посочени в точка 1, подточка vi), се съхраняват, докато конкретните събития, свързани с информационната

сигурност, бъдат преразгледани в период, определен в установена от организацията процедура.

L 248/30 BG Официален вестник на Европейския съюз 26.9.2022 г. б) Организацията съхранява документация за квалификацията и опита на собствения си персонал, участващ в дейности по управление на информационната сигурност.

1. Данните за квалификацията и опита на персонала се съхраняват, докато лицето работи за организацията, и в

продължение на най-малко 3 години след напускането му.

1. По тяхно искане членовете на персонала получават достъп до личните си досиета. Освен това — при поискване от

тяхна страна — организацията им предоставя копие от личните им досиета при напускане на организацията. в) Форматът на документацията се уточнява в процедурите на организацията. г) Записите се съхраняват по начин, който гарантира защита от повреда, изменение или кражба чрез идентифициране на информацията, при необходимост, съгласно нейното ниво на класификация за целите на сигурността. Организацията гарантира, че записите се съхраняват, като се използват средства за гарантиране на целостта, автентичността и разрешения достъп.

IS.D.OR.250 Ръководство за управление на информационната сигурност (ISMM) а) Организацията предоставя на компетентния орган ръководство за управление на информационната сигурност (ISMM) и, когато е приложимо, всички съответни ръководства и процедури, съдържащи: 1. 2. 3. 4. 5. 6. 7. 8. 9. декларация, подписана от отговорния мениджър или, в случай на проектантски организации, от ръководителя на проектантската организация, потвърждаваща, че организацията ще работи по всяко време в съответствие с настоящото приложение и с ISMM. Ако отговорният ръководител или, в случай на проектантски организации, ръководителят на проектантската организация, не е главният изпълнителен директор на организацията, този главен изпълнителен директор подписва декларацията; длъжността, имената, задълженията, отчетността, отговорностите и правомощията на лицето или лицата, посочени в точка IS.D.OR.240, букви б) и в); длъжността, имената, задълженията, отчетността, отговорностите и правомощията на общото отговорно лице, посочено в точка IS.D.OR.240, буква г), ако е приложимо;

политиката за информационна сигурност на организацията, както е посочено в точка IS.D.OR.200, буква а), точка 1; общо описание на броя и категориите персонал и на въведената система за планиране на наличния персонал съгласно изискванията на точка IS.D.OR.240; длъжността, имената, задълженията, отчетността, отговорностите и правомощията на ключовите лица, отговарящи за изпълнението на точка IS.D.OR.200, включително лицето или лицата, отговарящи за функцията по наблюдение на съответствието, посочена в точка IS.D.OR.200, буква а), точка 12; органиграма, показваща свързаните вериги на отчетност и отговорност за лицата, посочени в точки 2 и 6; описание на схемата за вътрешно докладване, посочена в точка IS.D.OR.215; процедурите, определящи начина, по който организацията гарантира спазването на настоящата част, и по-специално: i) точка IS.D.OR.200, буква в) относно документирането; ii) процедурите, определящи начина, по който организацията контролира всички възложени на подизпълнители дейности, посочени в точка IS.D.OR.200, буква а), точка 9;

iii) процедурата за изменение на ISMM, определена в буква в);

1. данни за одобрените понастоящем алтернативни начини за постигане на съответствие.

б) Първоначалното издание на ISMM се одобрява и компетентният орган запазва копие от него. ISMM се изменя при необходимост, за да бъде актуално описанието на ISMS на организацията. Копие от всички изменения на ISMM се предоставя на компетентния орган. в) Измененията на ISMM се управляват съгласно процедура, установена от организацията. Всички изменения, които не са включени в обхвата на посочената процедура, и всички изменения, свързани с промените, посочени в точка IS.D. OR.255, буква б), се одобряват от компетентния орган.

26.9.2022 г. BG Официален вестник на Европейския съюз L 248/31 г) Организацията може да интегрира ISMM с други описания на управлението или ръководства, които поддържа, при условие че има ясна препратка, която показва кои части от описанието на управлението или наръчника отговарят на различните изисквания, съдържащи се в настоящото приложение. IS.D.OR.255 Промени в системата за управление на информационната сигурност а) Промените в ISMS могат да се управляват и съобщават на компетентния орган по процедура, разработена от организацията. Тази процедура се одобрява от компетентния орган. б) По отношение на промените в ISMS, които не са обхванати от процедурата, посочена в буква а), организацията подава заявление и получава одобрение, издадено от компетентния орган. По отношение на тези промени:

1. заявлението се подава преди извършването на такава промяна, за да се даде възможност на компетентния орган да установи дали се запазва съответствието с настоящия регламент и да измени, ако е необходимо, сертификата на организацията и съответните приложени към него условия;

1. организацията предоставя на компетентния орган всяка поискана от него информация за оценка на промяната;
2. промяната се прилага само след получаване на официално одобрение от компетентния орган;
3. организацията работи при условията, предписани от компетентния орган, при прилагането на такива промени.

IS.D.OR.260 Постоянно подобряване а) Организацията оценява ефективността и зрелостта на ISMS като използва подходящи показатели за изпълнение. Тази оценка се извършва въз основа на график, предварително определен от организацията, или след инцидент, свързан с информационната сигурност. б) Ако в резултат на оценката, извършена в съответствие с буква а), бъдат открити недостатъци, организацията предприема необходимите мерки за подобряване, за да гарантира, че ISMS продължава да отговаря на приложимите изисквания, и поддържа рисковете за информационната сигурност на приемливо равнище. Освен това организацията извършва повторна оценка на елементите на ISMS, засегнати от приетите мерки.