Киберсигурността вече е задължение на шефа – какво променя новият закон?

Промените в Закона за киберсигурност, обнародвани в ДВ, бр. 17 от 13 февруари 2026 г., въвеждат изискванията на Директива (ЕС) 2022/2555, известна като NIS 2. За обхванатите организации управлението на киберриска е задължение и на ръководството: то трябва да одобрява мерките и да следи за прилагането им.

Кои организации попадат в обхвата?

Законът обхваща административни органи и определени публични и частни субекти. Сред секторите в приложения I и II са енергетика, транспорт, здравеопазване, водоснабдяване, цифрова инфраструктура, пощенски услуги, отпадъци, химикали, храни, определени производства и научни изследвания. Само общото наименование на дейността не е достатъчно — проверяват се конкретните категории в приложенията.

За много предприятия отправната точка е дали са средни или по-големи по критериите на Закона за малките и средните предприятия. При оценката имат значение и правилата за свързани предприятия и предприятия партньори. Размерът обаче не е универсално изключение: законът обхваща някои доставчици и организации независимо от него, например определени доставчици на електронни съобщения, удостоверителни услуги и услуги за системата за имена на домейни, както и определени критични субекти.

Разделянето на „съществени“ и „важни“ субекти се прави по чл. 4а. То не означава, че всяко средно предприятие непременно е „важно“, а всяко малко е изключено. Проверяват се секторът, размерът, специалните основания и приложимата юрисдикция. За някои отрасли действат специални актове на ЕС с равностойни изисквания, които трябва да се съобразят по чл. 6а.

Какво трябва да направи ръководството?

По чл. 21 управителните органи одобряват мерките за управление на риска и следят за изпълнението им. Членовете на управителните органи на съществените и важните субекти трябва на всеки две години да преминават обучение, позволяващо им да разпознават рисковете и да оценяват мерките и отражението им върху услугите. Те трябва също да предлагат и организират такива обучения за служителите си.

Възлагането на техническата поддръжка на външен доставчик не освобождава организацията от собствените ѝ законови задължения. Необходими са ясни отговорности, ресурси и доказателства за реално изпълнение, а не само обща политика на хартия.

Какви мерки за сигурност се изискват?

Чл. 22 изисква подходящи и пропорционални технически, оперативни и организационни мерки според риска, размера на субекта и възможното въздействие на инцидентите. Те обхващат:

• анализ на риска, сигурност на системите и действия при инциденти;
• резервни копия, възстановяване, непрекъснатост на дейността и управление на кризи;
• сигурност на отношенията с преки доставчици и снабдители;
• сигурно придобиване, разработване и поддръжка на системи, работа с уязвимости;
• оценяване на ефективността на мерките и обучение;
• контрол на достъпа, управление на активите и сигурност на човешките ресурси;
• криптографски политики и, когато е целесъобразно, криптиране, многофакторно удостоверяване и защитени комуникации.

Конкретният набор се съобразява и с приложимите подзаконови и европейски правила. Установените пропуски трябва да се отстраняват с необходимите подходящи и пропорционални мерки.

Кога и на кого се съобщава за инцидент?

Съществените и важните субекти уведомяват съответния секторен екип за реагиране при инциденти с компютърната сигурност (СЕРИКС) за всеки значителен инцидент. Законът свързва значимостта с причинено или възможно сериозно оперативно смущение или финансова загуба за субекта, както и със засягане или възможно засягане на други лица със значителни материални или нематериални вреди.

1. До 24 часа след установяването: ранно предупреждение.
2. До 72 часа след установяването: уведомление с първоначална оценка на тежестта и въздействието и наличната техническа информация. За доставчиците на удостоверителни услуги този срок е 24 часа.
3. По искане на СЕРИКС: междинен доклад с актуална информация.
4. До един месец след уведомлението по втория етап: окончателен доклад за инцидента, вероятните причини, мерките и евентуалното трансгранично въздействие.

Ако до изтичането на последния срок инцидентът още не е овладян, се подава междинен доклад, а окончателният е дължим до един месец след справянето с инцидента. Следователно едномесечният срок не се брои във всички случаи от самото възникване на атаката.

Когато е подходящо, получателите на услугите се уведомяват без ненужно забавяне за значителни инциденти, които вероятно ще засегнат предоставянето им. При значителна киберзаплаха се съобщават защитните мерки, които потенциално засегнатите получатели могат да предприемат. Това не означава, че всеки технически проблем трябва публично да се обявява в 24-часов срок. Ако са засегнати лични данни, отделно се проверяват задълженията по Общия регламент относно защитата на данните.

Какви санкции и мерки са предвидени?

За неизпълнение на чл. 22 и 23 чл. 29 предвижда:

• за съществен субект — санкция до 10 000 000 евро или 2% от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи, според по-високата стойност, но не по-малко от 25 000 евро;
• за важен субект — до 7 000 000 евро или 1,4% от същия оборот, според по-високата стойност, но не по-малко от 12 500 евро;
• за нарушение на чл. 21 от посочените в закона ръководители, управители и членове на управителни органи — лична глоба от 500 до 5000 евро.

Правилото за имуществената санкция на съществените субекти по чл. 29, ал. 2 не се прилага към административните органи. Конкретното наказание се определя по приложимия ред и според обстоятелствата, а не автоматично в максимален размер.

Контролните органи могат да извършват проверки, да изискват документи и доказателства и да разпореждат коригиращи действия. При законовите предпоставки за съществени субекти са възможни временно спиране на лиценз, регистрация, сертификат или разрешение и временна забрана за управленски функции. Самото наличие на кибератака не води автоматично до тези последици.

Преходното намаление с 50% е предвидено за нарушения, извършени до 1 юни 2026 г. То не е общо действаща отстъпка за нарушения, извършени след тази дата.

Какво означава това за потребителите?

За гражданина като обикновен потребител законът не въвежда задължение да организира фирмена система за киберсигурност. Целта е доставчиците на обхванатите услуги да управляват рисковете, да реагират своевременно и да предоставят необходимата информация и защитни указания при установените в закона условия.

Правна основа: чл. 4, 4а, 6а, 21–23, 27е–27к и 29 от Закона за киберсигурност; § 51 от закона за изменение и допълнение, ДВ, бр. 17 от 2026 г.