Чл. 4

Член 4 Системи на ИКТ и свързани с тях мерки за сигурност За целите на член 60, параграф 7, буква в) от Регламент (ЕС) 2023/1114 уведомяващият субект предоставя на компетентния орган следната информация: а) техническата документация на системите на ИКТ, инфраструктурата на ТДР, на която се разчита, и мерките за сигурност, включително описание на мерките и внедрените ИКТ и човешки ресурси, установени с оглед на спазването на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (8), включително следното: i) ii) описание на начина, по който уведомяващият субект осигурява надеждна, широкообхватна и добре документирана рамка за управление на риска в областта на ИКТ като част от цялостната си система за управление на риска, включително подробно описание на системите на ИКТ, протоколите и инструментите за ИКТ, и на начина, по който процедурите, политиките и системите на уведомяващия субект ще гарантират сигурността, цялостността, наличността, автентичността и поверителността на данните в съответствие с регламенти (ЕС) 2022/2554 и (ЕС) 2016/679 на Европейския парламент и на Съвета; идентифициране на услуги в областта на ИКТ, подпомагащи критични или важни функции, разработени или поддържани от уведомяващия субект, както и тези, предоставени от трети страни доставчици на услуги, описание на такива договорни споразумения и начина, по който тези с споразумения се осигурява спазването член 73 от Регламент (ЕС) 2023/1114 и глава V от Регламент (ЕС) 2022/2554; iii) описание на процедурите, политиките, споразуменията и системите за сигурност на уведомяващия субект и управление на инциденти; б) ако е налично, описание на одит на киберсигурността, извършен от трета страна одитор в областта на киберсигурността с достатъчно опит в съответствие с Делегиран регламент на Комисията за установяване на технически стандарти, приети по силата на член 26, параграф 11, четвърта алинея от Регламент (ЕС) 2022/2554, като описанието обхваща в идеалния случай следните одити или тестове, извършени от независими външни страни: i) ii) iii) iv) организационни споразумения за киберсигурност, физическа сигурност и сигурен жизнен цикъл на разработване на софтуера; оценки на уязвимите места и оценки на мрежовата сигурност; прегледи на конфигурацията на активи на ИКТ, поддържащи критични и важни функции, както е определено в член 3, точка 22) от Регламент (ЕС) 2022/2554; тестове за проникване относно активи на ИКТ, поддържащи критични и важни функции, както е определено в член 3, точка 17) от Регламент (ЕС) 2022/2554, в съответствие с всички посочени по-долу подходи за одитен тест: 1) черна кутия: одиторът няма друга информация освен IP адресите и URL адресите, свързани с одитираната цел. Тази фаза обикновено се предхожда от откриване на информация и идентифициране на целта чрез запитване към услугите на системата за имена на домейни (DNS), сканиране на отворени портове, откриване на наличието на филтриращо оборудване;