(1) При установяване на взаимоотношения с доставчици на стоки и услуги, наречени "трети страни", Субектът трябва да договори изисквания за мрежова и информационна сигурност, включително:
- 1. за сигурност на информацията, свързани с достъпа на представители на трети страни до информация и активи на Субекта;
- 2. за доказване, че третата страна също прилага адекватни мерки за мрежова и информационна сигурност, включително клаузи за доказването на прилагането на тези мерки чрез документи и/или провеждане на одити;
- 3. за прозрачност на веригата на доставките; третата страна трябва да е способна да докаже произхода на предлагания ресурс/услуга и неговата сигурност;
- 4. последици при неспазване на изискванията за сигурност на информацията;
- 5. отговорност при неспазване на договорените срокове, количество и/или качество на услугата, което може да създаде риск за постигане на целите на мрежовата и информационната сигурност;
- 6. за взаимодействие в случай на възникване на инцидент, който най-малко включва: контактни точки, начин за докладване, време за реакция, време за възстановяване на работата, условия за затваряне на инцидент.
(2) Субектът определя служител/служители, отговарящ/отговарящи за спазване на изискванията по ал. 1 и параметрите на нивото на обслужване.
(3) Субектът изготвя план за действие в случай на неспазване на уговорените дейности и клаузи с третата страна.