Хакнаха сайта или данните на фирмата ви: какво да направите в първите 72 часа

Какво да направите веднага след пробива

Първите часове след атака решават много — от това колко данни ще изтекат до това колко ще струва възстановяването.

Изолирайте засегнатите системи. Отделете компрометираните машини от мрежата, сменете паролите и отнемете подозрителните достъпи. Не рестартирайте и не изключвайте всичко „на сляпо“ — така може да заличите следите на атаката.
Запазете доказателствата. Логове, снимки на екрани, имейли, списък на засегнатите файлове. Всичко, което показва кога и как е станал пробивът, ще ви трябва за уведомленията, за застрахователя и за евентуално разследване.
Свикайте малък екип. Управителят и собственикът, ИТ специалист и юрист. Решенията се вземат бързо, но всяка стъпка трябва да се записва.
Проверете резервните копия, преди да възстановявате — бекъп, направен по време на атаката, може да е компрометиран заедно с всичко останало.

Не бързайте да плащате откуп. Плащането не гарантира възстановяване на данните, а в някои случаи носи допълнителни правни рискове. Обсъдете вариантите с ИТ специалист и юрист, преди да поемете такъв ангажимент.

Ако са засегнати лични данни: 72-те часа по GDPR

Хакнат сайт почти винаги означава изтекли имена, имейли, телефони или други данни на клиенти и служители. Тогава се активират задълженията по Регламент (ЕС) 2016/679:

Уведомете КЗЛД до 72 часа от узнаването за нарушението (чл. 33). Ако не успеете в срока, подайте уведомлението с обяснение на причините за забавянето.
Уведомете засегнатите хора, когато течът може да доведе до висок риск за тях — изтекли финансови данни, пароли, здравни данни (чл. 34).
Документирайте всичко — включително нарушенията, за които преценявате, че не дължите уведомяване: водете дневник на инцидентите с дати, оценки и предприети мерки.

Редът стъпка по стъпка, какво трябва да съдържа уведомлението и къде е формулярът на КЗЛД сме описали в статията „Теч на лични данни – какви са задълженията и как да уведомите КЗЛД до 72 часа“.

Ако фирмата ви е в обхвата на Закона за киберсигурност

От февруари 2026 г. са в сила измененията, с които България приложи европейската директива за високо общо ниво на киберсигурност, известна като NIS 2 (ДВ, бр. 17 от 2026 г.). Когато фирмата ви е „съществен“ или „важен“ субект — средни и големи предприятия в енергетиката, транспорта, здравеопазването, цифровата инфраструктура, ИТ услугите и други сектори — при значителен инцидент дължите доклади до секторния екип за реагиране при инциденти с компютърната сигурност (СЕРИКС):

ранно предупреждение — до 24 часа от установяването на инцидента;
уведомление за инцидент — до 72 часа (за доставчиците на удостоверителни услуги — 24 часа);
междинен доклад — при поискване от СЕРИКС;
окончателен доклад — до един месец, а ако инцидентът все още не е овладян — до месец след справянето с него.

Значителен е инцидентът, който причинява или може да причини сериозно смущение на услугите или финансова загуба, или засяга други лица със значителни вреди. Освен докладите до СЕРИКС, уведомете без ненужно забавяне и получателите на вашите услуги, ако инцидентът може да им навреди. Когато е засегнат и теч на лични данни, двете процедури — по GDPR пред КЗЛД и по Закона за киберсигурност пред СЕРИКС — текат успоредно. Кой влиза в обхвата на закона и какви са глобите (до 10 млн. евро или 2% от годишния оборот за съществените субекти и до 7 млн. евро или 1,4% за важните) разгледахме тук.

Сигнал за престъплението

Ако пробивът изглежда като престъпление — ransomware, изнасяне на данни, опит за измама — подайте сигнал в МВР (Главна дирекция „Борба с организираната престъпност“ работи и по киберпрестъпления). По закон и СЕРИКС уведомява ГДБОП, когато има данни, че инцидентът е свързан с престъпление. Сигналът има значение и за застраховката: киберзастрахователите обикновено изискват навременно и документирано уведомяване.

Кога да ангажирате адвокат

Юристът не е „последната стъпка“. Полезно е да е в екипа още в първите часове, за да:

прецени дали инцидентът активира задължение за уведомяване и по коя процедура;
формулира уведомленията до КЗЛД и СЕРИКС точно и пълно, така че сроковете да бъдат спазени и последиците овладени;
организира комуникацията със засегнатите клиенти и партньори — тя после трудно се поправя;
прегледа договорите с ИТ доставчици, хостинг и обработващи лични данни — кой каква отговорност носи при пробив;
представлява фирмата при проверки на КЗЛД или на компетентните органи по киберсигурност.

Политиките за личните данни и GDPR трябва да са такива, че реакцията след инцидент да тръгва без паника, а общите условия и политиките на сайта — да отчитат риск от пробив още при изграждането му. Договорите с доставчици си струва да се изчетат клауза по клауза — прегледът им от адвокат струва по-малко от последствията на един пропуснат ред.