NIS2 и Законът за киберсигурност в България

NIS2 и Законът за киберсигурност: кой е засегнат и какво трябва да направи бизнесът

Ако сте поне средна компания в областта на енергетиката, транспорта, производството на химикали, комуналните услуги, водоснабдяването, управлението на отпадъци или ИКТ услуги и информационната ви сигурност се управлява от България, тази статия е за вас.

1. Защо киберсигурността вече е управленски въпрос

Цифровизацията не започна с пандемията, но я направи незаобиколима. Почти всяка услуга, продукт или процес има цифров елемент или се изпълнява изцяло в облака. Сигурността на тези елементи е от значение за живота и работата ни, за бизнеса и за националната сигурност.

Две кибератаки през веригата на доставки в периода 2020–2021 г. промениха философията на киберсигурността в САЩ и Европа. Преди атаките срещу SolarWinds и Kaseya моделът наподобяваше средновековен замък с ров: щом някой го преодолееше, ставаше „свой" в информационната среда на компанията. Този модел вече не важи.

SolarWinds (2020 г.) е името на компания, разработваща софтуер за управление и мониторинг на мащабни мрежи и ИТ инфраструктура. Руското разузнаване тайно зарази обновления на платформата ѝ Orion и проникна в държавни агенции на САЩ, като нанесе преки щети за над 100 млн. долара, без да се броят репутационните щети и компрометираните процеси.

Kaseya (2021 г.) е глобален доставчик на софтуер за отдалечено наблюдение, управление и автоматизация за ИТ отдели и управлявани услуги. Атаката с цел откуп използва незатворени уязвимости в кода и засегна над 1 500 бизнеса. Щетите бяха ограничени благодарение на усилията на етични хакери, а на Kaseya атаката струва десетки милиони долара.

През 2021 г. атаки засегнаха и физическа инфраструктура в енергетиката и здравеопазването: тръбопровода Colonial Pipeline и Ирландската здравна служба (HSE).

Поуката е, че уязвимостта на един доставчик директно засяга клиентите му. Затова втората версия на европейската рамка е изградена около принципа Zero Trust – „не се доверявай, а провери".

2. Нормативна рамка

Директива (ЕС) 2022/2555 (NIS2) – мерки за високо общо ниво на киберсигурност в Съюза.

Директива (ЕС) 2022/2557 (CER) – устойчивост на критичните субекти. Двете директиви са взаимно допълващи се.

Регламент за изпълнение (ЕС) 2024/2690 на Европейската комисия - относно мерките за управление на риска и класификацията на инцидент като значителен при цифровите доставчици, обхванати от NIS2

Закон за изменение и допълнение на Закона за киберсигурност – приет от Народното събрание на 5 февруари 2026 г., обнародван в ДВ, бр. 17 от 13 февруари 2026 г. Транспонира NIS2 с около 16 месеца закъснение.

Проект на Закон за устойчивостта на критичните субекти – обществено обсъждане е приключило наскоро. Той ще засегне субектите от особено значение за жизненоважни обществени функции или икономически дейности.

Предстоящо вторично законодателство – Министерският съвет трябва да приеме методика за определяне на съществените и важните субекти, нова национална стратегия за киберсигурност и наредби с подробните изисквания. Очакваният срок за тях е осем месеца от влизането в сила на закона и вече има забавяне.

3. Кой попада в обхвата

Старият модел, при който операторите на съществени услуги се определяха с решение, е заменен с автоматично покритие по два критерия: предмет на дейност и размер, които създават две групи обхванати субекти от NIS2 – съществени и важни. Всяко дружество трябва само да прецени дали попада в обхвата. Разширението е значително: обхватът наброява 18 сектора, а в него влизат и средни предприятия.

Сестринската директива пък определя критериите за критични субекти в същите сфери на дейност – прекъсването или инцидентите при които биха засегнали в много голяма степен жизненоважни обществени услуги и икономически дейности.

3.1. Размер: поне средно предприятие (има и изключения)

Законът за киберсигурност обхваща субектите, които са средни предприятия по Закона за малките и средните предприятия (ЗМСП) или надхвърлят този праг в посочените в приложенията към него сфери на дейност. Критериите по Закона за малките и средни предприятия са леко модифицирани в частта за частично държавни предприятия и изглеждат така:

Персоналът и едно от двете финансови условия (оборот или активи) са кумулативни: предприятие с 50 или повече души не може да е малко, дори оборотът му да е под 10 млн. евро.

Категорията се променя, когато праговете са надвишени или не са достигнати две поредни финансови години.

Персоналът се отчита като средногодишен брой в еквивалент на пълно работно време.

От голямо значение е, че оборотът и стойността на активите не се разглеждат самостоятелно, ако дружеството е част от група, а на консолидирано ниво.

3.2. Изключения от изискването за размер

Прагът за размер не се прилага, когато субектът е:

• доставчик на обществени електронни съобщителни мрежи или услуги;
• доставчик на удостоверителни услуги;
• регистър на имена на домейни от първо ниво;
• доставчик на DNS услуги;
• единствен доставчик на съществена услуга;
• субект, чието прекъсване би засегнало обществената безопасност, сигурност или здраве.

Затова малка компания не може да се изключва автоматично: нейният сектор и мястото ѝ във веригата на доставки също са от значение.

3.3. Сектори

Цифровата инфраструктура (т. 8 от Приложение 1) обхваща доставчиците на точки за обмен в интернет, DNS услуги (без операторите на коренови сървъри), регистрите на имена на домейни от първо ниво, услугите за изчисления в облак, услугите на центрове за данни, мрежите за доставка на съдържание, удостоверителните услуги и доставчиците на обществени електронни съобщителни мрежи и услуги.

3.4. Съществени и важни субекти

Основно място на установяване

За дружества, които са част от група, действаща в ЕС, е от голямо значение кое дружество ще изпълнява изискванията на NIS2 – т.е., в коя държава ще се вписва в регистъра и на кой национален контролен орган ще се отчита преимуществено. Това се определя от 3 неща – къде се вземат решенията относно информационната сигурност, къде се извършват съответните операции и къде има най-много служители, на които законът придава различна тежест в зависимост от конкретния случай.

4. Какво изисква законът

4.1. Вписване в регистъра към МИДТ

В регистъра се вписват данни за контакт и категорията на субекта.

4.2. Мерки за управление на риска

Целта на закона е обхванатите от него субекти да постигнат високо общо ниво на киберсигурност.

Съществените и важните субекти трябва да прилагат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за мрежите и информационните системи, които използват. Мерките трябва да са технологично неутрални и да отчитат европейските и международните стандарти. Те обхващат:

• политики за анализ на риска и сигурност на информационните системи;
• реакция при инциденти;
• непрекъсваемост на дейността;
• сигурност на веригата на доставки и на системите;
• киберхигиена и обучение на персонала;
• използване на криптиране.

В практиката основните принципи на концепцията са непрекъснато удостоверяване, задължителна сегментация на мрежите и подробен одит на софтуерната верига на доставки (SBOM).

4.3. Отговорност на ръководството

Органите на управление одобряват мерките за управление на риска и контролират изпълнението им. Техните членове преминават обучение по киберсигурност на всеки две години и организират редовно обучение на служителите. За нарушения те отговарят лично.

4.4. Докладване на инциденти

Уведомленията се подават до компетентния секторен екип за реагиране при инциденти (CSIRT). Късите срокове служат и за предупреждаване на други компании, които могат да бъдат засегнати по веригата на доставки.

5. Контрол и санкции

Компетентните органи могат да дават задължителни указания, да разпореждат задължителни одити на сигурността и да изискват публично оповестяване.

За съществените субекти може да се поиска от съда временно спиране на лицензи, регистрации и сертификати, както и забрана за упражняване на ръководни функции.

Ако нарушението засяга лични данни, КЗЛД налага санкция по правото за защита на данните. Когато вече е наложена финансова санкция за същото нарушение, не се налага втора глоба за него.

Предвидено е временно намаляване на глобите през първите месеци след влизането в сила на закона – проверете актуалния текст.

Надзорът

Една от основните разлики при начина на регулиране на важните и съществените субекти е дали надзорът е предварителен – текущ и без предупреждение, какъвто е при съществените субекти или последващ и инцидентен – при докладване на инциденти от страна на важните субекти. Националните контролни органи предстои да бъдат определени с подзаконовите актове за различните сектори, обхванати от Закона за киберсигурност.

6. Веригата на доставки и пазарът

Наредбите и методиката едва ли ще се отличават съществено от наличните документи от типа „меко право" и от регламентите на ЕС, които вече дават примери за изпълнение. Затова препоръката ни е да не чакате приемането им. Европейските партньори ще започнат да изискват доказателства за съответствие, защото отговорността се носи по веригата на доставки. Както показа Kaseya, когато доставчикът е „пробит", това засяга пряко клиента.

Участието в състезателни процедури и сключването на договори може да бъде затруднено, ако изискванията не са изпълнени и не могат да се предоставят доказателства. Това засяга и компании, които самите не са пряко в обхвата, но обслужват субекти в него.

7. Как да започнете

• Установете дали попадате в обхвата: сектор по приложения 1 и 2, размер по ЗМСП, свързани предприятия и изключенията.
• Определете категорията – съществен или важен субект.
• Направете анализ на пропуските спрямо мерките за управление на риска.
• Приемете политики и процедури: управление на риска, реакция при инциденти, непрекъсваемост, сигурност на доставчиците, криптиране.
• Въведете процес за докладване на инциденти в сроковете 24 ч./72 ч./1 месец.
• Организирайте обучение на ръководството и на служителите.
• Документирайте всичко – доказателствата ще ви трябват пред партньори, възложители и регулатори.

Когато има нещо спешно, винаги първи викат юристите и питат: засяга ли ни това и какви са глобите? Ние можем да ви помогнем с оценката на обхвата и с изготвянето на необходимите политики и документи.

Тази статия има информативен характер и не представлява правен съвет. Правното положение е към октомври 2026 г.