Обобщение

Архитектура на предприятието, оперативна съвместимост, управление на услуги, сигурност, неприкосновеност на личния живот, достъпност, възлагане на обществени поръчки и институционални ограничения на ЕС.

Статус на модула

•Направление: Общи основи на ICT
•Последна проверка: 2026-10-27
•Обхват: Независимо обучение на EPSOHQ, съобразено със задълженията в обявлението; официалните източници имат предимство.

Архитектурата преди продуктите

Администратор на ниво AD7 трябва да превръща институционалните потребности в услуги, които могат устойчиво да се поддържат и остават сигурни и оперативно съвместими. Започнете с необходимите способности, информационните потоци, нивата на обслужване, ограниченията и рисковете. Изборът на продукт идва след определянето на целевата архитектура и критериите за оценка. Проект, който е технически елегантен, но не може да бъде експлоатиран, възложен, одитиран или прекратен, е непълен.

Решенията за архитектурата трябва да отразяват контекста, вариантите, избраното решение, последиците и основанията за преразглеждане. Обратимостта е важна. Интерфейсите и преносимите формати за данни намаляват обвързаността. Технологичният радар разграничава внедрените, изпробваните, оценяваните и временно спряните технологии, така че експериментирането да не се превръща незабелязано в производствена архитектура.

Оперативна съвместимост и ограничения в публичния сектор

Актът за оперативно съвместима Европа създава рамка за трансграничната оперативна съвместимост на мрежовите и информационните системи в публичния сектор. Оперативната съвместимост има правно, организационно, семантично и техническо равнище. Един API сам по себе си не разрешава различията в правните основания, отговорността за процесите или значението на данните.

Достъпността трябва да е част от критериите за приемане. Сигурността и защитата на данните трябва да са заложени в проекта. За обществените поръчки са необходими измерими изисквания, справедливо оценяване и стратегия за прекратяване. Документацията, прозрачността и възможността за одит влияят върху регистрите, сроковете за съхранение и доказателствата в подкрепа на решенията.

Сигурност и защита на личните данни още при проектирането

Избирайте мерките за контрол според риска. Защитата в дълбочина обхваща идентичността, крайните устройства, мрежите, приложенията, данните, наблюдението и възстановяването. Принципът на най-малките привилегии ограничава достъпа до необходимото на съответния субект. Разделението на задълженията намалява вероятността една самоличност да може да започне, одобри и прикрие чувствително действие.

Защитата на личните данни още при проектирането означава преди внедряването да бъдат определени целта, правното основание, свеждането на данните до минимум, срокът за съхранение, достъпът, предаването и правата на субектите на данни. Криптирането защитава поверителността, но само по себе си не осигурява законосъобразно обработване. Псевдонимизацията намалява възможността за свързване на данните с конкретно лице, но продължава да представлява обработване на лични данни, когато повторното идентифициране остава възможно.

Управление на услугите

Определете собственик на услугата, собственик на продукта, технически собственик и собственик на данните. Задайте показатели за нивото на обслужване преди целите за нивото на обслужване. Проследявайте резултатите за потребителите наред с наличността. Една услуга може да е технически достъпна, но неизползваема поради проблем с удостоверяването, забавянето или критична зависимост.

Всяка услуга в реална експлоатация се нуждае от наблюдение, роли за реагиране при инциденти, доказателства за архивиране и възстановяване, допускания за непрекъсваемост, процедура за ескалация към доставчика и план за извеждане от експлоатация. Одобрението на промените трябва да бъде съразмерно с риска. Стандартните промени с нисък риск могат да бъдат предварително одобрени; спешните промени също трябва да бъдат проследими и впоследствие преглеждани.

Основен набор от източници

•Акт за оперативно съвместима Европа — Регламент (ЕС) 2024/903
•NIS2 — Директива (ЕС) 2022/2555
•ОРЗД — Регламент (ЕС) 2016/679
•Директива за достъпността на уебсайтовете — Директива (ЕС) 2016/2102
•Методология PM² на Европейската комисия — портал PM²

Цифрова политика на ЕС: първо определете субекта, после задължението

Допълнението е проверено на 27 октомври 2026 г. Тези разграничения подпомагат техническата преценка и писането по въпроси на ЕС. Те са помагало за преговор, а не прогноза за въпросите на EPSO или за досието на EUFTE.

Инструмент	Основен въпрос	Практически доказателства, които да поискате	Капан в обхвата
Акт за изкуствения интелект	Каква е предвидената цел на системата, класификацията на риска и ролята на организацията?	Опис на случаите на употреба, обосновка на класификацията, записи за надзор и оценка	Етикетът „съответства на изискванията за ИИ“ от доставчика не може да реши въпроса за всяко внедряване
NIS2	Субект в обхвата на директивата и на съответните национални правила ли е организацията?	Управление на риска, процес за инциденти, контроли на веригата на доставки и управление	Не прилагайте по подразбиране директива, адресирана към държавите членки, към всяка институция на ЕС
Регламент (ЕС, Евратом) 2023/2841	Кои задължения за киберсигурност се отнасят до институциите, органите, службите и агенциите на Съюза?	Институционална рамка за риска, отговорности и координация при инциденти	Институционалният режим изисква собствен анализ на обхвата
DORA	Обхванат финансов субект ли е това, или относимо споразумение с трета страна — доставчик на ICT услуги?	Контроли на ICT риска, договорен регистър, тестове за устойчивост и мерки за излизане	DORA е секторен акт; той не е общото правило за всеки IT проект в публичния сектор
Акт за киберустойчивост	В обхвата ли са продукт с цифрови елементи и икономически оператор?	Обработка на уязвимости, информация за поддръжка и доказателства за съответствие	Оперативната мярка за сигурност и съответствието на продукта отговарят на различни въпроси
GDPR / Регламент (ЕС) 2018/1725	Кой режим за личните данни и кои роли на администратор/обработващ се прилагат?	Цел, правно основание, свеждане до минимум, срок на съхранение и записи за достъпа	Местоположението в облака или настройката за криптиране сами по себе си не могат да направят обработването законосъобразно
Акт за данните	Кое правило за достъп до данни или за смяна на услуга за обработка на данни е относимо?	Формати за експорт, зависимости, договорно излизане и тестове за преход	Преносимостта не означава, че всяко приложение се премества без адаптиране
Акт за управление на данните / Директива за отворените данни	Става ли дума за повторно използване на защитени данни от публичния сектор, за посредник за споделяне или за информация от публичния сектор за повторна употреба?	Условия за разрешение, гаранции за достъпа и класификация на наборите от данни	Тези инструменти не превръщат всички съхранявани данни в неограничени отворени данни
Програма за политиката „Цифрово десетилетие“	Кой капацитет или резултат от услуга до 2030 г. се преследва?	Показатели за умения, свързаност, бизнес или обществени услуги	Целта на политиката не е сертификат за сигурност на отделна система

Прочетете приложимия текст и актуалните изменения, преди да запомните дата на прилагане. Влизането в сила, общото прилагане, поетапните задължения и действителните задължения за докладване на даден субект могат да се различават. Например Комисията разграничава докладването по CRA от по-късните му основни задължения. Разглеждайте правните задължения, целите на политиките, техническите стандарти и доброволните рамки за управление като отделни категории източници с различна нормативна тежест.

Gaia-X може да осигури контекст за облака и екосистемата от данни. Той не е регламент на ЕС, нито общо правно сертифициране. Твърдението за суверенитет все пак изисква доказателства относно контрола върху ключовете, достъпа, подизпълнителите, преносимостта и правната експозиция. Европейският акт за чиповете се отнася до капацитета за полупроводници и устойчивостта на доставките; той не сертифицира отделно работно натоварване в облака. Съобразявайте инструмента с решението, което се взема.

Четири оригинални решения за обхвата

Инфраструктура: производител предлага свързан уред с маркировка CE. Това не доказва изпитано възстановяване на услугата на институцията. Поискайте поотделно доказателства за продукта и за локалното възстановяване.
Управление на проекти: доставчик обещава „съответствие с цялото законодателство на ЕС“. Поискайте карта на обхвата по субекти и инструменти, отговорници, доказателства за приемане и нерешени зависимости, преди да одобрите изискването.
Облаци и мрежи: двама доставчици използват различни услуги за идентичност и управлявани бази данни. Само експортът на данни не доказва изпълним план за излизане. Тествайте зависимостите, времето за възстановяване, достъпа и целостта на данните.
Наука за данните: сравнителен тест за точност не доказва законосъобразно използване на данните или адекватен надзор. Попитайте поотделно за предвидената цел, приложимите правила, произхода на данните, представянето по подгрупи и човешките решения.

Общо управление на ИКТ, сигурност и предоставяне на услуги в институциите на ЕС