Кои фирми засяга Законът за киберсигурността (NIS2)

Директива (ЕС) 2022/2555, известна като NIS2, е въведена в българското право с изменението на Закона за киберсигурността, обнародвано в „Държавен вестник“, бр. 17 от 13 февруари 2026 г. Изменението разширява значително кръга от организации със задължения в областта на киберсигурността. Статията обобщава основните изисквания; конкретните задължения на всяка организация се проверяват спрямо действащата редакция на закона.

Обхват

Законът обхваща средни и големи предприятия, които извършват дейност в секторите от приложения № 1 и 2 към него. Средно предприятие по смисъла на Закона за малките и средните предприятия има 50 или повече служители или годишен оборот над 10 млн. евро.

Секторите с висока критичност (приложение № 1) са енергетика, транспорт, банково дело, инфраструктури на финансовите пазари, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на ИКТ услуги между предприятия и космическо пространство.

Другите критични сектори (приложение № 2) включват пощенски и куриерски услуги, управление на отпадъците, химикали, храни, производство на медицински изделия, електроника, машини и превозни средства, доставчици на цифрови услуги и научни изследвания.

Независимо от размера си в обхвата попадат и доставчиците на обществени електронни съобщителни мрежи и услуги, доставчиците на удостоверителни услуги, регистрите на имена на домейни от първо ниво и доставчиците на DNS услуги, както и единствените доставчици на съществена услуга. Законът се прилага и за административните органи. Когато секторен закон съдържа равностойни изисквания, например DORA за финансовия сектор, се прилага той.

Съществени и важни субекти

Съществените субекти са най-често големите предприятия от приложение № 1, доставчиците на удостоверителни услуги и регистрите на домейни и DNS доставчиците независимо от размера им. Всички останали средни и големи предприятия от двете приложения са важни субекти. Съществените субекти подлежат на предварителен надзор, а важните – на последващ, когато има данни за нарушение. Компетентните органи определят конкретните субекти по методика, приета от Министерския съвет.

Мерки за управление на риска

Член 22, ал. 2 от закона изисква мерки, основани на подход за всички опасности, сред които:

политики за анализ на риска и сигурност на информационните системи;
обработка на инциденти;
непрекъснатост на дейността: управление на резервните копия, възстановяване и управление при кризи;
сигурност на веригата на доставки;
сигурност при придобиване, разработване и поддръжка на системи, включително обработка и разкриване на уязвимости;
политики за оценка на ефективността на мерките;
основна киберхигиена и обучения;
криптография и криптиране;
сигурност на човешките ресурси, контрол на достъпа и управление на активите;
многофакторна или непрекъсната автентикация и защитени комуникации;
управление на промените.

Отговорност на ръководството

Ръководният орган одобрява мерките и контролира прилагането им (чл. 21, ал. 1). Членовете му преминават обучение по киберсигурност на всеки две години и организират подобно обучение за служителите (чл. 21, ал. 2 и 3). Лицата, отговорни за нарушения, могат да бъдат глобени лично, а за съществените субекти съдът може временно да забрани упражняването на управленски функции.

Докладване на инциденти

Значимите инциденти се докладват на секторния екип за реагиране при инциденти с компютърната сигурност (СЕРИКС) в три стъпки (чл. 23, ал. 5):

ранно предупреждение до 24 часа от узнаването;
уведомление за инцидента до 72 часа (за доставчиците на удостоверителни услуги – до 24 часа);
окончателен доклад до един месец след уведомлението.

При съмнение за престъпление се уведомява и Главна дирекция „Борба с организираната престъпност“ (чл. 23, ал. 7).

Санкции

Нарушител	Имуществена санкция
Съществен субект	от 25 000 евро до 10 млн. евро или 2% от общия годишен световен оборот, като се прилага по-високата сума
Важен субект	от 12 500 евро до 7 млн. евро или 1,4% от общия годишен световен оборот, като се прилага по-високата сума
Член на ръководството	от 500 до 5000 евро за нарушения на задълженията по чл. 21

За нарушения, извършени до 1 юни 2026 г., санкциите се намаляват наполовина.

Първи стъпки

Първата стъпка е да се установи дали организацията попада в обхвата на закона. Следва техническа оценка на текущите мерки спрямо изискванията на чл. 22 и план с конкретни поправки и срокове.

Източник: Закон за киберсигурността, изм. ДВ, бр. 17 от 13.02.2026 г.; Директива (ЕС) 2022/2555.