(1) Административните органи, генериращи и достъпващи данни в НЗИС, и лечебните и здравните заведения, извършващи дейности по тази наредба, които са определени за оператори на съществени услуги и са вписани в регистъра по чл. 6, ал. 1 от Закона за киберсигурност, прилагат минималните и препоръчителни мерки за мрежова и информационна сигурност по Закона за киберсигурност и Наредбата за минималните изисквания за мрежова и информационна сигурност, приета с Постановление № 186 от 2019 г. (ДВ, бр. 59 от 2019 г.), и включват във вътрешните си правила относно дейностите във връзка с НЗИС изискванията по чл. 34 - 40.
(2) В случаите извън ал. 1 административните органи и лицата прилагат изискванията по чл. 34 - 40 по отношение на информационните и мрежовите си системи, чрез които генерират и достъпват данни в НЗИС.