(1) По своя характер мерките за мрежова и информационна сигурност са организационни, технологични и технически и се прилагат в съответствие със спецификата на дейността на Субекта и трябва да са подходящи и пропорционални на рисковете за постигането на основните цели на мрежовата и информационната сигурност.
(2) Мерките по ал. 1 гарантират основните цели на мрежовата и информационната сигурност, а именно запазване на достъпността, интегритета (цялост и наличност) и конфиденциалността на информацията по време на целия и жизнен цикъл (създаване, обработване, съхранение, пренасяне и унищожение) във и чрез информационните и комуникационните системи на Субекта.
(3) Мерките по ал. 1 са съобразени с изискванията на националните нормативни актове, регламентите на Европейския съюз и приетите и приложени от Субекта стандарти, като се вземат предвид краткосрочните, основните и общите рискове за сигурността за съответния сектор.
(4) Мерките за мрежова и информационна сигурност се прилагат съобразно указанията на приложимите международни стандарти, посочени в приложение № 1, препоръките на производители и доставчици на софтуер и хардуер, както и с добрите практики, препоръчани от водещи в областта на сигурността организации.
(5) Мерките по ал. 1 трябва да са:
- 1. разнородни - постигането на всяка от целите на мрежовата и информационната сигурност се реализира с различни по характер и специфика мерки, което създава условие за многослойна защита, или т. нар. "дълбока отбрана";
- 2. конкретни и лесни за възприемане, за да се гарантира, че мерките действително се прилагат;
- 3. ефикасни - да имат най-голямо въздействие върху потенциални заплахи, като се избягва ненужен разход на ресурси;
- 4. пропорционални на рисковете - с оглед на постигане на оптимално съотношение между разходи и ползи при реализиране на целите на мрежовата и информационната сигурност;
- 5. проверими - гарантират, че Субектът може да предостави на съответния национален компетентен орган по смисъла на чл. 16 от Закона за киберсигурност доказателства за ефективното им прилагане в съответствие с изискването на чл. 16, ал. 3 от същия закон.
(6) Минималните мерки за мрежова и информационна сигурност, посочени в тази наредба, не са обвързани с определени технологии.