Общинските предприятия (вкл. общински дружества и структури, които предоставят обществени услуги) все по-често управляват критични процеси чрез мрежови и информационни системи: ВиК, транспорт, топлоснабдяване, отпадъци, социални/здравни услуги, електронни услуги към граждани. Това ги поставя в обхвата на нормативни изисквания за мрежова и информационна сигурност (МИС), които произтичат основно от:

• Директива (ЕС) 2016/1148 относно мерки за високо общо ниво на сигурност на мрежите и информационните системи в Съюза (т.нар. NIS директива) – рамка за мерки за сигурност и уведомяване при инциденти.
• Закона за киберсигурност (ЗК) – националният режим в България за административни органи, оператори на съществени услуги и доставчици на цифрови услуги.
• Наредба за минималните изисквания за мрежова и информационна сигурност (приета с ПМС № 186/2019) – определя минимален набор мерки и изисквания към политиките и процесите.
• GDPR (Регламент (ЕС) 2016/679) – когато общинското предприятие обработва лични данни, то носи задължения за „подходящи технически и организационни мерки“ за сигурност.

 
1) Първа стъпка: „Какъв субект“ е общинското предприятие според Закона за киберсигурност
ЗК разграничава няколко категории субекти, към които се прилагат различни изисквания: административни органи, оператори на съществени услуги, доставчици на цифрови услуги, както и лица, осъществяващи публични функции, когато предоставят административни услуги по електронен път.
Практически за общинските предприятия това означава:
A) Общинската администрация (като административен орган)
Обикновено попада пряко в режима на ЗК и Наредбата за минималните изисквания за МИС.
B) Общинско предприятие/общинско дружество като оператор на съществена услуга
Ако предприятието предоставя услуга от секторите по Директивата/ Закон за киберсигурност (например ВиК, транспорт, енергетика/топлофикация, отпадъци), може да бъде квалифицирано като оператор на съществена услуга и да има задължения за мерки и уведомяване при инциденти.
C) Общинско предприятие като „лице, осъществяващо публични функции“ при е-услуги
Когато се предоставят административни услуги по електронен път (напр. портали, електронни плащания, заявления), се активират изисквания за МИС по ЗК и приложимите наредби.
 
2) Задължително ли е да има СУСИ (ISMS)?
Няма „изрично ISO/IEC 27001“ изискване, но има изискване за системност
Нормативната рамка не казва „трябва да сте сертифицирани по ISO/IEC 27001“. Вместо това изисква:

• да има политика/правила, процеси, роли и контролни мерки;
• да се прави управление на риска и да се прилагат пропорционални технически и организационни мерки;
• да има процедури за управление на инциденти и уведомяване;
• да се поддържа непрекъсваемост и възстановяване.

Точно това на практика представлява СУСИ като управленска система (независимо дали е ISO/IEC 27001), а Наредбата изрично разглежда изграждането на политика и специфични политики/правила за множество домейни (достъп, криптография, мобилни устройства, работа от разстояние, инциденти, отношения с трети страни, обучения и др.).
Извод: общинските предприятия, които попадат в обхвата на ЗК/Наредбата, са длъжни да имат управляема и документирана рамка за сигурност (т.е. „СУСИ по същество“), макар и без задължителна сертификация.
 
3) Политика за мрежова и информационна сигурност: какво трябва да включва
Наредбата за минималните изисквания за МИС предвижда предприятията/органите в обхвата ѝ да поддържат политика за МИС, която да обхваща и/или да препраща към специфични политики за ключови теми (управление на достъпа, криптография, разработка/промени, инциденти, трети страни, обучение и др.).
Една адекватна политика в общински контекст следва да има поне:

• обхват: системи, услуги, локации, външни доставчици;
• роли и отговорности: собственик на информация, администратори, лице/функция по сигурността;
• класификация на информацията (публична/служебна/чувствителна);
• управление на активи: инвентар на системи, сървъри, мрежово оборудване, приложения, данни;
• контрол на достъпа: потребители, привилегии, пароли/МFA, логване, периодичен преглед;
• управление на уязвимости и обновления;
• резервиране и възстановяване;
• управление на инциденти (вкл. критерии кога нещо е „инцидент“ и кой уведомява);
• изисквания към доставчици (outsourcing/облак/поддръжка) – договорни клаузи за сигурност;
• обучение и осведоменост.

 
4) Управление на риска и мерки за сигурност (NIS/ ЗК)
Директива (ЕС) 2016/1148 въвежда изискване операторите на съществени услуги и доставчиците на цифрови услуги да прилагат подходящи и пропорционални мерки за управление на рисковете за сигурността на мрежовите и информационни системи и да минимизират въздействието на инцидентите.
На национално ниво ЗК детайлизира режима и препраща към подзаконови актове (Наредбата) за минималния обхват на мерките.
Какво означава това на практика за общинско предприятие:

• да има процес за оценка на риск (поне ежегодно и при значими промени);
• да има контроли (организационни и технически) според риска;
• да документира: рискове, решения, планове за третиране, остатъчен риск;
• да може да демонстрира пред контролен орган „как управлява риска“ (не само „какви технологии има“).

 
5) Инциденти: задължения за реакция и уведомяване
A) Киберинциденти по режима на ЗК / NIS
ЗК урежда механизми за уведомяване на компетентните/секторните екипи при инциденти, както и санкции при неизпълнение на задълженията за уведомяване (вкл. при просрочие).
Практически минимум за общинско предприятие:

• вътрешна процедура „Управление на инциденти“;
• критерии за „значим“ инцидент;
• дежурства/контакти, ескалация до ръководство;
• дневник (лог) на инцидентите и научените уроци.

B) Нарушения на сигурността на личните данни (GDPR)
Когато инцидентът засяга лични данни, се прилага и GDPR (паралелен режим): администраторът/обработващият трябва да поддържа подходящи мерки за сигурност.
(Отделно GDPR има специфични правила за уведомяване при нарушение на сигурността на личните данни – не ги развивам тук в детайл, защото темата е киберсигурност по ЗК/NIS, но на практика процесите трябва да са свързани.)
 
6) Доставчици и възлагане (outsourcing): често подценяван регулаторен риск
Най-честият проблем при общинските предприятия е, че значителна част от ИТ функциите са при външни изпълнители (поддръжка, хостинг, софтуер, облак), но:

• липсват ясни изисквания за сигурност в договорите;
• няма SLA за инциденти и срокове за реакция;
• няма изисквания за логове, резервни копия, тестове за възстановяване;
• няма право на одит/контрол.

Наредбата и общите принципи на NIS изискват мерките да са „организационни и технически“, което на практика включва и управление на отношенията с трети страни като част от политиките за сигурност.
 
7) Минимална „пътна карта“ за съответствие
Ако общинското предприятие попада (или вероятно попада) в обхвата на ЗК/NIS, най-практичният подход е:

1. Определяне на статуса: административен орган / оператор на съществена услуга / публична функция / друго (правен + функционален анализ).
2. Инвентар на активи и услуги: системи, данни, зависимости, доставчици.
3. Оценка на риска и план за третиране.
4. Политика за МИС + специфични политики (достъп, резервиране, инциденти, промени, доставчици, дистанционна работа и др.).
5. Процедури за инциденти и уведомяване (с роли, шаблони, контакти).
6. Технически базови мерки: сегментация, актуализации, логване/мониторинг, архивиране, MFA, управление на привилегии.
7. Обучение и осведоменост (минимум ежегодно и при onboarding).
8. Проверка/одит на изпълнението и коригиращи действия.

 
Общинските предприятия не са „универсално“ задължени да имат сертифицирана СУСИ по ISO, но когато попадат в обхвата на Закона за киберсигурност и Наредбата за минималните изисквания за МИС, те са длъжни да изградят документирана, управляема и работеща рамка за мрежова и информационна сигурност: политики, риск-мениджмънт, мерки, процес за инциденти и управление на доставчици.