(1) Субектът инсталира и поддържа само версии на използвания в системите му софтуер и фърмуер, които се поддържат от техните доставчици или производители и са актуални от гледна точка на сигурността.
(2) Административният орган, съответно ръководителят на субекта по чл. 1, ал. 1, т. 2 - 5, одобрява софтуера, който се използва в информационните и комуникационните системи.
(3) Субектът поддържа библиотека с дистрибутиви на използвания софтуер и фърмуер с цел намаляване на времето за възстановяване на дадена система след срив.
(4) Субектът предприема мерки за:
- 1. недопускане на инсталирането и използването на неодобрен софтуер и фърмуер;
- 2. контрол върху използвания софтуер и фърмуер, включително неговата актуалност.
(5) Субектът приема вътрешни правила и инструкции за регламентиране на действията по:
- 1. поддържане на библиотеката с дистрибутиви на използвания софтуер и фърмуер в актуално състояние;
- 2. управлението на достъпа до нея;
- 3. проследяване за новооткрити уязвимости в сигурността на използвания в системите му софтуер и фърмуер и за техни актуализации (нови версии, ъпдейти и пачове), които отстраняват тези уязвимости, или мерки за смекчаването им, публикувани от производителите или доставчиците;
- 4. придобиване и проверка на произхода и целостта на актуализацията преди инсталирането и;
- 5. прилагането на актуализациите и препоръчаните мерки, които трябва да се извършват съобразно разпоредбите на чл. 11.
(6) Субектът гарантира, че устройствата и системите са конфигурирани в съответствие с препоръките за сигурност на съответния им доставчик или производител, като се приложат и изискванията на приложение № 4.
(7) Субектът съхранява off-line копие от актуалните конфигурационни файлове и/или описание на настройките, като достъпът до тях трябва да е контролиран. Копията трябва да се проверяват регулярно относно качество и годност.
(8) Субектът регулярно прави проверка на конфигурационните файлове и настройките на системи и устройства за нерегламентирани изменения.