(1) За намаляване на загубите от инциденти чрез намаляване на времето за реагиране и разрешаването им, както и за намаляване на вероятността от възникване на инциденти, породени от човешки грешки, Субектът поддържа следната документация:
- 1. опис на информационните активи;
- 2. физическа схема на свързаност;
- 3. логическа схема на информационните потоци;
- 4. документация на структурната кабелна система;
- 5. техническа, експлоатационна и потребителска документация на информационните и комуникационните системи и техните компоненти;
- 6. инструкции/вътрешни правила за всяка дейност, свързана с администрирането, експлоатацията и поддръжката на хардуер и софтуер;
- 7. вътрешни правила за служителите, указващи правата и задълженията им като потребители на услугите, предоставяни чрез информационните и комуникационните системи, като използване на персонални компютри, достъп до ресурсите на корпоративната мрежа, генериране и съхранение на паролите, достъп до интернет, работа с електронна поща, системи за документооборот и други вътрешноведомствени системи, принтиране, факс, използване на сменяеми носители на информация в електронен вид, използване на преносими записващи устройства и т. н.
(2) Документацията по ал. 1 трябва да е:
- 1. еднозначно идентифицирана като заглавие, версия, дата, автор, номер и/или др.;
- 2. поддържана в актуално състояние, като се преразглежда и при необходимост се обновява поне веднъж годишно;
- 3. одобрена от административен орган, съответно от ръководителя на Субекта по чл. 1, ал. 1, т. 2 - 5 или от упълномощено от него лице;
- 4. класифицирана по смисъла на чл. 6;
- 5. достъпна само до тези лица, които е необходимо да я ползват при изпълнение на служебните си задължения.
(3) Субектът поддържа информация, доказваща по неоспорим начин изпълнението на изискванията на тази наредба.
(4) Информацията по ал. 3:
- 1. се поддържа в актуално състояние;
- 2. е достъпна само за: а) тези лица, които е необходимо да я ползват при изпълнение на служебните си задължения по силата на трудови, служебни или договорни отношения; б) представители на съответните национални компетентни органи съгласно чл. 16, ал. 5 от Закона за киберсигурност; в) други организации, оправомощени с нормативен акт или договорни отношения.