Новите изисквания по Закона за киберсигурност вече засягат значително по-широк кръг компании от традиционно свързваните с „критична инфраструктура“. С измененията, обнародвани в ДВ, бр. 17 от 13 февруари 2026 г., България въведе в националното право изискванията на Директива (ЕС) 2022/2555, позната като NIS2 или Директива МИС 2.  

За управители, собственици, инвеститори, ИТ директори и корпоративни юристи основният въпрос вече не е само дали дружеството има добри технически мерки. Въпросът е дали попада в обхвата на закона, какъв е статутът му, какви вътрешни правила трябва да има, как докладва инциденти и какви санкции могат да последват при пропуск. 

Режимът не се отнася само до телекоми, банки и държавни органи. Засегнати могат да бъдат енергийни предприятия, транспортни оператори, болници, производители на лекарства и медицински изделия, доставчици на облачни услуги, центрове за данни, управлявани ИКТ услуги, доставчици на услуги по киберсигурност, пощенски и куриерски оператори, предприятия за храни, химикали, отпадъци, определени производители и научноизследователски организации.  

Каква е основната промяна 

Законът вече не използва досегашната логика за „оператори на съществени услуги“ и „доставчици нацифрови услуги“. Новата рамка въвежда две основни категории — съществени субекти и важни субекти. Тази класификация има значение за надзора, проверките, доказателствата за съответствие и санкционния риск.  

На европейско равнище NIS2 разширява обхвата на правилата за киберсигурност, въвежда по-ясни задължения за управление на риска и докладване на инциденти, както и по-силни инструменти за надзор и правоприлагане.  

В българския закон това се изразява в изискване за „високо общо ниво на киберсигурност“. Това не означава единична ИТ мярка, а цялостна система: управление на риска, реакция при инциденти, непрекъснатост на дейността, контрол върху доставчици, обучение, контрол на достъпа, управление на активи, криптография и доказателства за реално прилагане.  

Кои компании попадат в обхвата 

Проверката започва от дейността на дружеството. Законът посочва два основни списъка със сектори — висококритични сектори и други критични сектори. Ако дружеството извършва дейност в някой от тях, следва да се провери и размерът му, както и дали не попада в специална категория, за която размерът няма решаващо значение.  

Висококритични сектори 

В тази група попадат дейности, при които смущение в системите може да засегне съществени обществени или икономически функции. 

Енергетика — електроенергия, районно отопление и охлаждане, нефт, природен газ, водород, оператори на мрежи, съоръжения за съхранение, пренос, разпределение, производители, участници на пазара и оператори на зарядни точки. 

Транспорт — въздушен, железопътен, воден и автомобилен транспорт, включително летища, железопътни предприятия, управители на инфраструктура, пристанищни органи и оператори на интелигентни транспортни системи. 

Финансов сектор — кредитни институции, оператори на места на търговия и централни контрагенти. 

Здравеопазване — доставчици на здравно обслужване, референтни лаборатории, дружества за научноизследователска и развойна дейност в областта на лекарствените продукти, производители на лекарствени вещества и продукти, както и определени производители на критично важни медицински изделия. 

Питейна вода и отпадъчни води — доставчици на питейна вода и предприятия, които събират, обезвреждат или пречистват градски, битови или промишлени отпадъчни води, когато това не е само несъществена част от дейността им. 

Цифрова инфраструктура — доставчици на точки за обмен в интернет, DNS услуги, регистри на домейни от първо ниво, облачни услуги, центрове за данни, мрежи за доставка на съдържание, удостоверителни услуги, обществени електронни съобщителни мрежи и услуги. 

Управление на ИКТ услуги между предприятия — доставчици на управлявани услуги и доставчици на управлявани услуги за сигурност. Това включва компании, които инсталират, управляват, поддържат или администрират ИКТ продукти, мрежи, инфраструктура, приложения или системи на корпоративни клиенти. 

Космическо пространство — оператори на наземна инфраструктура, която подпомага предоставянето на космически услуги. 

Други критични сектори 

Законът обхваща и дейности, които много компании не биха свързали веднага с режим за киберсигурност. 

Тук попадат пощенски и куриерски услуги, управление на отпадъци, производство и дистрибуция на химикали, производство, преработка и разпространение на храни, както и определени производствени дейности — медицински изделия, компютри, електронни и оптични продукти, електрически съоръжения, машини и оборудване, моторни превозни средства, ремаркета, полуремаркета и друго транспортно оборудване. 

В обхвата са включени и някои цифрови услуги — онлайн места за търговия, онлайн търсачки и платформи на услуги за социални мрежи, както и научноизследователски организации. 

Затова производствено предприятие, логистичен оператор, онлайн платформа, доставчик на ИТ поддръжка или доставчик на услуги по информационна сигурност не следва автоматично да приема, че режимът не го засяга. 

Размерът на предприятието: защо проверката не е само по брой служители 

Като общо правило законът обхваща публични и частни субекти от посочените сектори, когато отговарят най-малко на критериите за средни предприятия или надхвърлят горната граница за средни предприятия. 

При европейската дефиниция за МСП се гледат персонал, годишен оборот и стойност на активите. Средно предприятие е предприятие с под 250 служители и годишен оборот до 50 млн. евро или балансова стойност на активите до 43 млн. евро.  

Проверката обаче не винаги се изчерпва с едно дружество и един ЕИК. При свързани предприятия, предприятия партньори, групи и контролни отношения може да се наложи да се отчетат и данни на други дружества. Това е особено важно за български дружества, които са част от международна група или имат сложна структура на собственост. 

Какво означава „съществен субект“ 

Съществените субекти са участниците с по-висок регулаторен профил. При тях законът предполага по-висока значимост на дейността или по-сериозни последици при прекъсване, пробив или системен инцидент. 

Като съществени субекти се третират основно: 

• субекти от висококритичните сектори, които надхвърлят горната граница за средни предприятия; 

• доставчици на квалифицирани удостоверителни услуги; 

• регистри на имена на домейни от първо ниво; 

• доставчици на DNS услуги, независимо от размера им; 

• доставчици на обществени електронни съобщителни мрежи или обществено достъпни електронни съобщителни услуги, когато са средни предприятия; 

• административните органи; 

• субекти, които са единствени доставчици на критична услуга или чието прекъсване може да има значимо въздействие върху обществената безопасност, обществената сигурност, общественото здраве, системния риск или националната/регионалната значимост на даден сектор; 

• критични субекти по Директива (ЕС) 2022/2557; 

• субекти, които към влизането в сила на измененията вече са били определени като оператори на съществени услуги.  

Пример: голям доставчик на облачни услуги, голям енергиен оператор, значима болнична структура или доставчик на управлявани ИКТ услуги за корпоративни клиенти може да бъде съществен субект, ако попада в съответния сектор и отговаря на критериите на закона. 

Какво означава „важен субект“ 

Важните субекти са субектите от обхванатите сектори, които попадат в закона, но не отговарят на критериите за съществени субекти. 

Това не означава, че задълженията им са формални. И съществените, и важните субекти трябва да предприемат мерки за управление на риска и да докладват значителни инциденти. Разликата е главно в интензитета на надзора и в начина, по който органите могат да упражняват контрол. 

Пример: средно предприятие за производство на храни, среден производител на електрически съоръжения, среден доставчик на управлявани ИТ услуги или среден оператор на онлайн място за търговия може да бъде важен субект, ако дейността му попада в законовия списък. 

Доставчиците по веригата: кога попадат пряко и кога — договорно 

Доставчик на голяма компания не попада автоматично в Закона за киберсигурност само защото негов клиент е съществен или важен субект. 

Той попада пряко в обхвата, ако самият доставчик: 

• извършва дейност в някой от секторите по закона; 

• отговаря на размерните критерии; 

• предоставя услуга от специалните категории, за които размерът няма решаващо значение; 

• е единствен доставчик на критична услуга; 

• има такава роля, че прекъсването на услугата му би могло да предизвика значим обществен, системен, трансграничен или секторен риск. 

В същото време доставчикът може да бъде засегнат договорно, дори да не попада пряко в закона. Причината е, че съществените и важните субекти трябва да управляват риска по веригата за доставки. Законът изисква те да отчитат уязвимостите на преките си снабдители и доставчици, както и качеството на техните продукти и практики за киберсигурност.  

На практика това означава по-строги договори с ИКТ доставчици, хостинг доставчици, облачни платформи, доставчици на ERP/CRM системи, външни администратори, SOC/MSSP доставчици, разработчици на софтуер, доставчици на поддръжка и други компании с достъп до системи, приложения, инфраструктура или данни. 

В договорите все по-често ще се включват клаузи за: 

• минимални стандарти за сигурност; 

• срокове за уведомяване при инцидент; 

• достъп до логове и техническа информация; 

• правила за поддоставчици; 

• право на одит или предоставяне на доказателства; 

• резервни копия и възстановяване; 

• съдействие при регулаторни проверки; 

• отговорност при неизпълнение. 

Регистърът: кой се вписва, кой подава информация и защо това има значение 

Министърът на електронното управление създава, води и поддържа регистър на субектите по закона. Регистърът съдържа информация за наименованието на субекта, адрес и актуални контакти, IP обхвати, сектор, подсектор, държави членки, в които се предоставят услуги, както и данни за представител, когато такъв е приложим. Регистърът не е публичен.  

Тук е важно да се разграничат няколко процеса. 

Първо, националните компетентни органи определят съществените и важните субекти по методика, приета от Министерския съвет, и уведомяват министъра на електронното управление. 

Второ, някои цифрови и инфраструктурни доставчици имат активно задължение да предоставят информация за основното си място на установяване в ЕС, останалите места на установяване или представител в ЕС. Това засяга DNS доставчици, регистри на домейни от първо ниво, доставчици на услуги за регистрация на домейни, облачни услуги, центрове за данни, мрежи за доставка на съдържание, управлявани услуги, управлявани услуги за сигурност, онлайн места за търговия, онлайн търсачки и платформи на социални мрежи. 

Трето, при промяна в предоставените данни субектите трябва да уведомят съответния национален компетентен орган в срок до две седмици от настъпването на промяната. 

Регистърът не е публичен, защото съдържа оперативно чувствителна информация — например IP обхвати и контакти за реакция. За бизнеса това означава, че трябва да има вътрешно определен собственик на процеса: кой следи данните, кой ги актуализира, кой комуникира с компетентния орган и кой носи отговорност при промяна. 

Управителният орган вече има конкретна роля 

Законът изрично поставя управителните органи в процеса по управление на киберриска. Те одобряват мерките за управление на риска и следят за тяхното прилагане. Членовете на управителните органи трябва да преминават обучение на всеки две години, така че да могат да идентифицират рискове и да оценяват практиките за управление на риска и въздействието им върху услугите на субекта.  

Това променя практическата организация в дружествата. Решенията за киберсигурност трябва да бъдат проследими на управленско ниво — с план, бюджет, отговорни лица, срокове, вътрешна отчетност и документирани решения. 

При нарушение на тези управленски задължения законът предвижда глоби за ръководители на административни органи, управители или членове на управителни органи от 500 до 5000 евро.  

Какви мерки трябва да бъдат въведени 

Мерките трябва да бъдат подходящи и пропорционални спрямо риска, размера на субекта, вероятността от инциденти и възможното обществено и икономическо въздействие. Законът не налага една конкретна технология, а изисква ниво на сигурност, съответстващо на риска. 

Минималното съдържание на мерките включва: 

• политики за анализ на риска и сигурност на информационните системи; 

• действия при инцидент; 

• непрекъснатост на стопанската дейност, резервни копия, възстановяване след бедствия и управление на кризи; 

• сигурност на веригата за доставка; 

• сигурност при придобиване, разработване и поддръжка на системи; 

• действия при уязвимости и тяхното оповестяване; 

• процедури за оценка на ефективността на мерките; 

• киберхигиена и обучение; 

• криптография и криптиране, когато е приложимо; 

• сигурност на човешките ресурси; 

• контрол на достъпа; 

• управление на активи; 

• многофакторна или непрекъсната автентикация, когато е целесъобразно; 

• управление на измененията на информационните активи.  

ENISA публикува технически насоки по NIS2, които дават практически ориентир за цифрова инфраструктура, управление на ИКТ услуги и цифрови доставчици. Те не заместват българския закон, но са полезни при изграждане на доказуема програма за съответствие.  

Три понятия, които бизнесът трябва да разбира 

Киберхигиена означава стандартните практики и процедури за поддръжка и защита на ИТ системи, мрежи и крайни устройства — обучение, контрол на достъпа, актуализации, резервни копия, реакция при инциденти и ограничаване на риска. 

Значителен инцидент е инцидент, който е причинил или може да причини сериозно оперативно смущение, финансова загуба или значителни материални или нематериални вреди за други лица. 

Информационни активи не са само сървъри и софтуер. Законът включва хардуер, софтуер, документация, поддържащи системи, оперативни процеси, служители и външни организации. 

Докладване на значителни инциденти 

Съществените и важните субекти трябва да уведомяват съответния секторен екип за реагиране при инциденти с компютърната сигурност — СЕРИКС — за всеки значителен инцидент. 

Сроковете са кратки: 

• до 24 часа след установяване на значителния инцидент — ранно предупреждение; 

• до 72 часа след установяване — уведомление за инцидент с първоначална оценка на тежестта, въздействието и наличната техническа информация; 

• за доставчиците на удостоверителни услуги срокът за уведомление за инцидент е 24 часа; 

• по искане на СЕРИКС — междинен доклад; 

• до един месец след подаване на уведомлението за инцидент — окончателен доклад; 

• ако инцидентът продължава, окончателният доклад се подава до един месец от справянето с него.  

Засегнатите субекти уведомяват, когато е подходящо и без ненужно забавяне, получателите науслугите си за значителни инциденти, които има вероятност неблагоприятно да засегнат предоставянето на услугите. 

При трансграничен инцидент Националното единно звено за контакт може да информира засегнатите държави членки и ENISA, като се запазват сигурността, търговските интереси и поверителността на информацията. 

Най-чести въпроси относно докладването 

1. Трябва ли да има завършена техническа експертиза преди ранното предупреждение?
   Не. Ранното предупреждение е начална фаза на докладване. Пълната техническа картина може да се развие в последващото уведомление, междинния доклад и окончателния доклад.
2. Всеки киберинцидент ли е „значителен“?
   Не. Значимостта се преценява според оперативното смущение, финансовата загуба и потенциалните вреди за други лица. На практика тази преценка може да бъде трудна при криптовирус, компрометирани акаунти, срив на услуга, пробив при доставчик или инцидент с лични данни.
3. Какво трябва да е подготвено предварително?
   Най-малко процедура за квалифициране на инцидент, ескалационна матрица, лица за контакт, правила кой изпраща уведомлението, връзка с процедурата по GDPR и правила за съхраняване на доказателства.

Проверки, одити и доказателства за съответствие 

Контролът се осъществява от националните компетентни органи, Министерството на отбраната, Министерството на вътрешните работи и Държавна агенция „Национална сигурност“, споредприложимата компетентност.  

При съществените субекти органите могат да извършват планови и извънпланови проверки, проверки на място или дистанционно, редовни и целеви одити, извънпланови одити при значителен инцидент илинарушение, както и да изискват информация, документи и доказателства за изпълнение на политиките. 

При важните субекти също са предвидени проверки, последващ дистанционен надзор, целеви одити, искания за информация, достъп до документи и доказателства за изпълнение на политиките за киберсигурност. 

Разходите за целеви одит на сигурността, когато се извършва от независим орган, по правило се заплащат от одитирания субект, освен ако националният компетентен орган не реши друго в обоснован случай. 

Практически това означава, че една компания трябва да може да покаже не само политика за киберсигурност, а и доказателства за нейното прилагане — решения, обучения, протоколи, договори с доставчици, технически доказателства, одитни резултати, планове за възстановяване, тестове на резервни копия, регистри на активи и коригиращи действия. 

Принудителни мерки и санкции 

При нарушения органите могат да издават предупреждения, задължителни предписания и разпореждания, включително за отстраняване на пропуски, преустановяване на нарушение, изпълнение на мерки за управление на риска, изпълнение на задължения за докладване и публично обявяване на нарушение. 

При съществените субекти законът допуска и по-тежки мерки — временно спиране на лиценз, регистрация, сертификат или разрешение относно всички или част от съответните услуги или дейности, както и искане за временна забрана лице с управленски функции да упражнява такива функции в съществения субект.  

Санкциите са значителни: 

• за неизпълнение на принудителна административна мярка — от 2500 до 12 000 евро, а при повторно нарушение от 5000 до 25 000 евро; 

• за съществен субект, който не изпълнява задълженията си за управление на риска и докладване — до 10 000 000 евро или до 2% от общия световен годишен оборот за предходната финансова година, която от двете суми е по-висока, но не по-малко от 25 000 евро; 

• за важен субект — до 7 000 000 евро или до 1,4% от общия световен годишен оборот, която от двете суми е по-висока, но не по-малко от 12 500 евро; 

• за нарушение на управленските задължения — глоба от 500 до 5000 евро за ръководители, управители или членове на управителни органи.  

Към датата на тази статия има и преходно правило: за нарушения, извършени до 1 юни 2026 г., глобите и имуществените санкции се налагат в размер, намален с 50% от определения в закона. Това не е освобождаване от отговорност, а временно намаление на размера на санкцията.  

Таблица с практически рискове 

Възможни проблеми	Как може да Ви съдействаме
Неправилна преценка на обхвата: дружеството приема, че законът не го засяга, но попада в обхванат сектор, има релевантен размер или изпълнява критична функция.	Правен и фактически анализ на приложимостта: проверяваме сектора, размера, груповите връзки, услугите, доставчиците и възможните основания за определяне като съществен или важен субект.
Слаба подготовка за регистъра: липсват точни контакти, IP обхвати, данни за държави членки, представител или вътрешен собственик на процеса.	Подготовка на регулаторенпакет: съдействаме за структуриране на данните, вътрешните отговорности и комуникацията с компетентния орган.
Неясна процедура при инцидент: компанията не може бързо да определи дали събитието е значителен инциденти кой трябва да подаде уведомлението.	Процедура за реакция и докладване: изготвяме матрица за ескалация, правни критерии, проектни уведомления, връзка с GDPR и правила за доказателства.
Недостатъчни договори с ИКТ доставчици:липсват клаузи за инциденти, одити, поддоставчици, логове, възстановяване и съдействие при проверки.	Преглед и преработване на договори: подготвяме клаузи за киберсигурност, веригата за доставки, уведомяване, одитни права, отговорност и оперативно съдействие.
Проверка или санкция: органът изисква документи, доказателства, одитни резултати или налага предписание, имуществена санкция или друга мярка.	Защита при проверки и производства: представляваме Ви пред органите и съда, подготвяме възражения, жалби и стратегия за ограничаване на регулаторните и репутационните вреди.

Връзка с GDPR, DORA и секторни режими 

Киберинцидентът често има последици извън Закона за киберсигурност. Ако засяга лични данни, трябва да се направи отделна оценка по GDPR и Закона за защита на личните данни. Законът предвижда компетентните органи да уведомяват Комисията за защита на личните данни, когато установят нарушение, което би могло да доведе до нарушение на сигурността на личните данни.  

За финансовия сектор трябва да се отчита и Регламент (ЕС) 2022/2554 — DORA. Законът предвижда сътрудничество между компетентните органи по Закона за киберсигурност и органите по DORA, включително във връзка с критични доставчици на ИКТ услуги.  

Освен това, ако специален закон за конкретен сектор съдържа равностойни изисквания за мерки за управление на риска или уведомяване за значителни инциденти, определени разпоредби на Закона за киберсигурност може да не се прилагат за съответните субекти. Тази преценка обаче е конкретна и не следва да се прави механично. 

Какво да направи бизнесът сега 

Първата стъпка е картографиране на обхвата. Трябва да се установи дали дружеството извършва дейност от обхванатите сектори, дали е най-малко средно предприятие, дали е част от група, дали предоставя трансгранични услуги и дали попада в специална категория независимо от размера. 

Втората стъпка е определяне на статута — съществен или важен субект. Това не е само терминологичен въпрос, защото влияе върху надзора, доказателствата, риска от проверки и начина на комуникация с органите. 

Третата стъпка е gap анализ спрямо законовите мерки за управление на риска: политики, инциденти, резервни копия, възстановяване, управление на активи, контрол на достъпа, доставчици, уязвимости, криптиране, обучение и управление на промените. 

Четвъртата стъпка е договорен преглед. Доставчиците, които имат достъп до системи, инфраструктура, приложения или данни, трябва да бъдат оценени и договорно обвързани с изисквания за сигурност, уведомяване и съдействие. 

Петата стъпка е подготовка за инцидент. Процедурата трябва да работи в реално време. Ако 24-часовият срок не може да бъде спазен с наличната организация, рискът вече е управленски и правен, а не само технически. 

Често задавани въпроси относно новите задължения по Закона за киберсигурност 

1. Как да разберем дали сме съществен или важен субект?
   Проверяват се секторът, видът услуга, размерът на предприятието, груповата структура, трансграничната дейност и евентуалната критична роля на услугата. Не е достатъчна само справка поосновен КИД.
2. Ако сме доставчик на компания от енергетиката или здравеопазването, задължително ли попадаме в закона?
   Не задължително. Прякото попадане зависи от Вашия собствен сектор, размер и вид услуга. Но ако сте пряк ИКТ доставчик, доставчик на управлявани услуги, доставчик на сигурност или критичен снабдител, вероятно ще бъдете засегнати договорно.
3. Какво трябва да има управителният орган като доказателство за изпълнение?
   Практически е разумно да има решение за приемане на мерки, план за изпълнение, определени отговорни лица, доказателства за обучение, периодични отчети, регистър на рискове и документи за контрол върху доставчици.
4. Какво правим при киберинцидент в неработен ден?
   Законът не обвързва сроковете с работно време. Ако инцидентът е значителен, ранното предупреждение се подава до 24 часа след установяването му. Затова са необходими предварително определени контакти, заместници, шаблони и вътрешна процедура за ескалация.
5. Трябва ли да уведомяваме и КЗЛД?
   Ако инцидентът включва лични данни, трябва да се направи отделна оценка по GDPR. Възможно е да има задължение за уведомяване на КЗЛД и/или на засегнатите лица, наред със задълженията по Закона за киберсигурност.
6. Какво да направим, ако получим предписание или искане за документи от компетентен орган?
   Първо трябва да се изяснят правното основание, обхватът на искането, срокът, чувствителността на информацията и доказателствата, които могат да бъдат представени. Непълни или неточни отговоримогат да утежнят положението.

Заключение 

Промените в Закона за киберсигурност след NIS2 засягат значително по-широк кръг компании откласическите оператори на критична инфраструктура. За предприемачи, управители, инвеститори и корпоративни юристи най-важният въпрос е не дали дружеството има ИТ риск, а дали вече има законово задължение да управлява, документира и доказва този риск. 

Практическите последици са конкретни: определяне като съществен или важен субект, включване в непубличен регистър, управленски обучения, политики и процедури, контрол върху доставчици, кратки срокове за докладване, проверки, одити, предписания и значителни санкции. 

Ако искате да проверим дали новият режим се прилага за Вашия бизнес и какви конкретни стъпки са необходими, свържете се с нас. Адвокатско дружество „Василев и партньори“ може да съдейства с правна преценка на обхвата, подготовка на вътрешни правила, преглед на договори, комуникация с компетентни органи, обучение на управленски и оперативни екипи, както и защита при проверки и санкции. 

Предупреждение 

Информацията, съдържаща се в тази статия, е само с общ информативен характер и служи за основна ориентация в проблематиката съобразно правното положение към датата на публикацията на статията. Въпреки че се стремим към максимална точност на съдържанието, правните норми и тяхното тълкуване се развиват с времето. За проверка на актуалния текст на разпоредбите и прилагането им към Вашата конкретна ситуация е необходимо да се обърнете директно към нас. Не носим отговорност за евентуални вреди, настъпили от самостоятелно използване на информацията от тази статия без предварителна индивидуална правна консултация. Тази статия не представлява правно становище.