(1) Субектът приема вътрешни правила за управление на измененията във важните за дейността му информационни активи в съответствие с изискването на чл. 5, ал. 1, т. 6 с цел намаляване на риска от инциденти, настъпили в резултат на изменения във важните за дейността му информационни активи, и по-точно в информационните и комуникационните системи и обслужващата ги инфраструктура, в процесите и дейностите, в конфигурациите, в софтуера или във фърмуера.
(2) Преди да се извърши изменението, Субектът трябва да направи анализ и оценка на риска в съответствие с чл. 7.
(3) Измененията се:
- 1. планират, като се определят срокове и отговорности за всяка дейност, която ще бъде извършена преди, по време на и след изменението;
- 2. съгласуват предварително с всички страни, имащи отговорности към процесите и дейностите в обхвата на наредбата;
- 3. одобряват от административния орган, съответно от ръководителя на субекта по чл. 1, ал. 1, т. 2 - 5, или от упълномощено от него лице;
- 4. оповестяват по подходящ начин на всички страни, които са заинтересовани; информирането на заинтересованите страни трябва да е поне 3 дни преди да се направи изменението;
- 5. проверяват в тестова среда.
(4) Субектът разработва план за връщане на системите в предишното им състояние, за да се намали продължителността на потенциален инцидент, настъпил в резултат на изменението.