Накратко: Промените в българския Закон за киберсигурност, обнародвани на 13 февруари 2026 г., въвеждат изискванията на европейската директива NIS2. Те обхващат по правило средните и големите фирми в определени сектори, а чрез изискванията за веригата на доставки засягат и техните доставчици. Значителните инциденти се съобщават с ранно предупреждение до 24 часа и уведомление до 72 часа от установяването им, а окончателният доклад се подава до един месец след уведомлението. Глобите достигат 10 млн. евро или 2% от оборота, а членовете на ръководството също могат да бъдат глобени.
Какво се промени със Закона за киберсигурност?
Народното събрание прие Закона за изменение и допълнение на Закона за киберсигурност на 5 февруари 2026 г., а текстът е обнародван в Държавен вестник, брой 17 от 13 февруари 2026 г. С него България въвежда Директива (ЕС) 2022/2555, известна като NIS2, с около 16 месеца закъснение спрямо европейския срок.
Досега правилата засягаха основно операторите на ключови услуги, като енергетика, транспорт и банки. Сега обхватът е много по-широк и включва сектори, в които работят много средни фирми. Законът разделя засегнатите организации на две групи: съществени субекти и важни субекти. От групата зависят надзорът и размерът на глобите.
Какво означава това за Вашия бизнес? Ако фирмата е в някой от секторите и е поне средно предприятие, е добре да приемете, че законът вероятно се отнася до Вас, докато не проверите обратното.
Попада ли Вашата фирма в обхвата?
1. Проверете сектора
Законът изброява два вида сектори. Първата група включва енергетика, транспорт, банки, инфраструктура на финансовия пазар, здравеопазване, питейни и отпадъчни води, цифрова инфраструктура, управление на ИКТ услуги и космическо пространство. Втората група включва пощенски и куриерски услуги, управление на отпадъци, химикали, производство и дистрибуция на храни, производство на медицински изделия и електроника, доставчици на цифрови услуги и научни изследвания.
2. Проверете размера
Директивата по правило обхваща средните и големите предприятия в тези сектори. Като ориентир, фирма, която има 50 или повече служители или годишен оборот и балансово число над 10 млн. евро, вече не е малка. Размерът се определя по Закона за малките и средните предприятия, с изключенията, посочени в Закона за киберсигурност. При съмнение проверете с юрист.
Има и изключения, при които размерът няма значение, например доставчици на DNS услуги, регистри на домейни от първо ниво, доставчици на удостоверителни услуги и доставчици на обществени електронни съобщителни мрежи.
3. Проверете ролята си като доставчик
Дори фирмата да не попада пряко в обхвата, законът изисква от засегнатите организации да управляват сигурността на веригата на доставки, включително връзките с преките си доставчици. На практика това означава, че ако доставяте софтуер, хостинг, поддръжка на сайт, счетоводни или логистични услуги на такава организация, тя може да поиска от Вас доказателства за мерки за сигурност, клаузи в договора или отговори на въпросник. Затова темата е важна и за ИТ компаниите, които обслужват други фирми, дори когато самите те не попадат в обхвата.
Съвет от ScaleLab: Попитайте големите си клиенти дали попадат под NIS2 и какво ще очакват от доставчиците си. По-добре е да го научите сега, отколкото при подновяване на договора.
Какви са сроковете за докладване на инциденти?
При значителен инцидент чл. 23, ал. 5 от Закона за киберсигурност определя основните срокове. Ранното предупреждение и уведомлението се броят от момента, в който сте установили инцидента. Окончателният доклад се подава не по-късно от един месец след уведомлението.
| Стъпка | Срок | Какво съдържа |
|---|---|---|
| Ранно предупреждение | До 24 часа | Че има значителен инцидент |
| Уведомление за инцидента | До 72 часа | Първоначална оценка и технически данни |
| Окончателен доклад | До един месец след уведомлението | Описание, причини и предприети мерки |
| Междинен доклад | Към същия срок, ако инцидентът още не е овладян | Докъде е стигнало справянето с инцидента |
Ако инцидентът продължава, когато изтече срокът за окончателния доклад, подавате междинен доклад, а окончателният доклад се подава до един месец след справянето с инцидента.
Срокът от 24 часа е кратък. Ако никой във фирмата не знае кой преценява дали инцидентът е значителен, кой пише уведомлението и до кого се изпраща, денят минава в търсене на отговори. Точно затова планът за реакция се пише предварително.
Какви са глобите и отговорността на ръководството?
Санкциите са сериозни и зависят от групата:
- Съществени субекти: до 10 000 000 евро или до 2% от общия световен годишен оборот, като се прилага по-високата сума, с минимум 25 000 евро.
- Важни субекти: до 7 000 000 евро или до 1,4% от общия световен годишен оборот, като се прилага по-високата сума, с минимум 12 500 евро.
- Членове на ръководните органи: глоба от 500 до 5 000 евро.
Законът поставя киберсигурността на масата на ръководството. Ръководните органи одобряват мерките за управление на риска, следят прилагането им и на всеки две години преминават обучение, за да могат да разпознават рисковете и да оценяват как се управлява сигурността. Това вече не е задача, която може изцяло да се остави на ИТ отдела или на външния доставчик.
Към септември 2026 г. има и още два въпроса, които е добре да следите. Според Schoenherr подробните минимални изисквания в подзаконовата уредба се очакват в рамките на осем месеца след промените от февруари 2026 г. Не успяхме да потвърдим дали вече са приети, затова проверете в официалните източници, например в Държавен вестник. Освен това на 20 януари 2026 г. Европейската комисия предложи целеви промени в самата директива NIS2 за по-голяма правна яснота и по-лесно спазване. Проверете докъде е стигнало обсъждането на предложението, а дотогава се прилага сегашният закон.
Какво да направите сега? Първите стъпки
Директивата изброява мерките, които засегнатите организации трябва да въведат: политики за анализ на риска, управление на инциденти, непрекъсваемост на дейността и резервни копия, сигурност на веригата на доставки, работа с уязвимости, основна киберхигиена и обучение, криптиране, контрол на достъпа и управление на активите, многофакторно удостоверяване. Не е нужно да започнете с всичко наведнъж. Нашата препоръка е следният ред.
1. Направете списък на активите
Запишете какви системи, устройства, акаунти и данни има фирмата: сървъри, облачни услуги, сайт, поща, счетоводен софтуер, лаптопи, телефони. За всеки актив посочете кой отговаря за него и колко е важен за работата. Не можете да защитите нещо, за което не знаете.
2. Направете оценка на риска
За всеки важен актив се запитайте какво може да се случи, колко вероятно е и какви биха били последиците. Започнете с няколкото сценария, които биха спрели работата: криптиране на данните от зловреден софтуер, пробит пощенски акаунт, недостъпен сайт или онлайн магазин.
3. Напишете план за реакция при инциденти
Планът отговаря на прости въпроси: кой установява инцидента, кой решава дали е значителен, кой подава ранното предупреждение до 24 часа, как се възстановяват системите и как се информират клиентите. Направете поне едно упражнение на хартия, за да видите къде планът не работи.
4. Прегледайте сигурността на доставчиците
Съставете списък на доставчиците с достъп до системите или данните Ви. Проверете какво казват договорите за сигурност, уведомяване при инцидент и достъп, и къде е нужно да ги допълните.
5. Подредете основите на сайта и пощата
Много инциденти започват от неща, които се оправят бързо. Проверете:
- Акаунти: многофакторно удостоверяване за пощата, хостинга, домейна и администрацията на сайта.
- Актуализации: редовно обновяване на системата на сайта и разширенията. Какво означава това за сайт на WordPress, обясняваме в статията за сигурността на WordPress.
- Резервни копия: автоматични, съхранявани отделно от сайта и проверени с реално възстановяване.
- Поща: настроени SPF, DKIM и DMARC, за да е по-трудно някой да изпраща имейли от Ваше име. Какво прави всеки от тях, обясняваме в статията за защитата на имейла със SPF, DKIM и DMARC.
Съвет от ScaleLab: Изберете една дата в месеца, в която проверявате резервните копия, изтеклите акаунти и чакащите актуализации. Редовната кратка проверка върши повече работа от голям преглед веднъж годишно.
Тази статия е обща информация, а не правен съвет. Дали конкретна фирма попада в обхвата и какви задължения има, зависи от сектора, размера и дейността ѝ, затова се консултирайте с юрист и следете актуалните указания на компетентните органи.
Как да подредите работата?
Изискванията на NIS2 изглеждат обемни, но в основата си искат три неща: да знаете какво имате, да го пазите разумно и да реагирате бързо, когато нещо се случи. Проверете обхвата, опишете активите и напишете плана. Ако искате първо да видите в какво състояние са сайтът и маркетингът Ви днес, започнете с безплатен одит на сайта и маркетинга. В работата по киберсигурност и защита на данните започваме от сайта: проверка за слаби места, защита на входа към администрацията, денонощно наблюдение и реакция при инцидент.
Често задавани въпроси
Отнася ли се NIS2 за малки фирми?
По правило законът обхваща средните и големите предприятия в изброените сектори. Има изключения за някои дейности независимо от размера, например DNS услуги и удостоверителни услуги. Малка фирма може да бъде засегната и косвено, ако е доставчик на организация, която попада в обхвата.
В какъв срок трябва да съобщим за инцидент?
При значителен инцидент се подава ранно предупреждение до 24 часа и уведомление с първоначална оценка до 72 часа от установяването му. Окончателният доклад се подава до един месец след уведомлението, а ако инцидентът още продължава, се подава междинен доклад и окончателен до един месец след справянето с инцидента. Затова е важно предварително да е ясно кой преценява инцидента и кой подава уведомленията.
Може ли да бъде глобен управителят лично?
Да. Законът предвижда глоба от 500 до 5 000 евро за членове на ръководните органи. Отделно организацията може да получи санкция до 10 млн. евро или 2% от оборота за съществени субекти и до 7 млн. евро или 1,4% за важни субекти.
Откъде да започнем, ако нямаме ИТ отдел?
Започнете с проверка дали попадате в обхвата, после направете списък на системите и данните и оценете основните рискове. Бързите мерки като многофакторно удостоверяване, актуализации, резервни копия и SPF, DKIM и DMARC за пощата могат да се въведат и с външна помощ.
Източници
- Държавен вестник: Закон за изменение и допълнение на Закона за киберсигурност, брой 17 от 13 февруари 2026 г.
- Schoenherr: Bulgaria implements NIS 2 Directive, key changes to the Cybersecurity Act
- EUR-Lex: Директива (ЕС) 2022/2555 (NIS2)
- Европейска комисия: NIS2 Directive FAQs
- Европейска комисия: NIS2 Directive, securing network and information systems
- EUR-Lex: Определение за микро-, малки и средни предприятия