NIS2 в Болгарии: новые требования к кибербезопасности, которые бизнесу следует проверить заранее

Новые требования Закона о кибербезопасности Болгарии теперь затрагивают значительно более широкий круг компаний, чем те, которые традиционно ассоциируются с «критической инфраструктурой». Изменениями, опубликованными в Государственном вестнике № 17 от 13 февраля 2026 г., Болгария ввела в национальное законодательство требования Директивы (ЕС) 2022/2555, известной как NIS2 или Директива NIS2.

Для управляющих, собственников, инвесторов, ИТ-директоров и корпоративных юристов основной вопрос уже не только в том, есть ли у компании достаточные технические меры защиты. Необходимо определить, подпадает ли компания под действие закона, каков ее статус, какие внутренние правила она должна принять, как она обязана сообщать об инцидентах и какие санкции возможны при нарушениях.

Режим касается не только телекоммуникационных компаний, банков и государственных органов. Под его действие могут подпадать энергетические компании, транспортные операторы, больницы, производители лекарственных средств и медицинских изделий, поставщики облачных услуг, дата-центры, поставщики управляемых ИКТ-услуг, поставщики услуг кибербезопасности, почтовые и курьерские операторы, предприятия в сфере пищевой продукции, химических веществ и отходов, определенные производители и научно-исследовательские организации.

В чем основное изменение?

Закон больше не использует прежнюю модель «операторов существенных услуг» и «поставщиков цифровых услуг». Новая рамка вводит две основные категории: существенные субъекты и важные субъекты. Эта классификация имеет значение для надзора, проверок, доказательств соответствия и риска санкций.

На уровне ЕС NIS2 расширяет сферу действия правил кибербезопасности, вводит более четкие обязанности по управлению рисками и уведомлению об инцидентах, а также усиливает инструменты надзора и правоприменения.

В болгарском праве это выражается в требовании достижения «высокого общего уровня кибербезопасности». Речь идет не об одной технической мере, а о комплексной системе: управление рисками, реагирование на инциденты, непрерывность деятельности, контроль поставщиков, обучение, контроль доступа, управление активами, криптография и доказательства фактического применения мер.

Какие компании подпадают под действие закона?

Проверка начинается с деятельности компании. Закон предусматривает две основные группы секторов — высококритичные секторы и другие критичные секторы. Если компания ведет деятельность в одном из них, необходимо дополнительно проверить ее размер, а также возможное попадание в специальные категории, для которых размер не является решающим критерием.

Высококритичные секторы

В эту группу входят виды деятельности, при которых сбой в системах может затронуть существенные общественные или экономические функции.

Энергетика — электроэнергия, централизованное отопление и охлаждение, нефть, природный газ, водород, операторы сетей, объекты хранения, передача, распределение, производители, участники рынка и операторы зарядных пунктов.

Транспорт — воздушный, железнодорожный, водный и автомобильный транспорт, включая аэропорты, железнодорожные предприятия, управляющих инфраструктурой, портовые органы и операторов интеллектуальных транспортных систем.

Финансовый сектор — кредитные учреждения, операторы торговых площадок и центральные контрагенты.

Здравоохранение — поставщики медицинских услуг, референс-лаборатории, организации, осуществляющие научно-исследовательскую и опытно-конструкторскую деятельность в области лекарственных средств, производители лекарственных веществ и продуктов, а также определенные производители критически важных медицинских изделий.

Питьевая вода и сточные воды — поставщики питьевой воды и предприятия, которые собирают, обезвреживают или очищают городские, бытовые или промышленные сточные воды, если это не является лишь несущественной частью их общей деятельности.

Цифровая инфраструктура — поставщики точек обмена интернет-трафиком, DNS-услуг, реестры доменов верхнего уровня, облачные сервисы, дата-центры, сети доставки контента, доверительные услуги, публичные электронные коммуникационные сети и услуги.

Управление ИКТ-услугами между предприятиями — поставщики управляемых услуг и поставщики управляемых услуг безопасности. Это включает компании, которые устанавливают, управляют, поддерживают или администрируют ИКТ-продукты, сети, инфраструктуру, приложения или системы корпоративных клиентов.

Космическое пространство — операторы наземной инфраструктуры, поддерживающей предоставление космических услуг.

Другие критичные секторы

Закон также охватывает виды деятельности, которые многие компании не сразу связали бы с режимом кибербезопасности.

Сюда входят почтовые и курьерские услуги, управление отходами, производство и распространение химических веществ, производство, переработка и распространение пищевых продуктов, а также определенные производственные виды деятельности — медицинские изделия, компьютеры, электронные и оптические продукты, электрическое оборудование, машины и оборудование, автотранспортные средства, прицепы, полуприцепы и другое транспортное оборудование.

В сферу действия также включены некоторые цифровые услуги — онлайн-торговые площадки, онлайн-поисковые системы и платформы социальных сетей, а также научно-исследовательские организации.

Поэтому производственное предприятие, логистический оператор, онлайн-платформа, поставщик ИТ-поддержки или поставщик услуг информационной безопасности не должен автоматически считать, что этот режим к нему не относится.

Размер предприятия: почему проверка не сводится к числу сотрудников

По общему правилу закон распространяется на публичные и частные субъекты из указанных секторов, если они как минимум соответствуют критериям средних предприятий или превышают верхнюю границу для средних предприятий.

По европейскому определению МСП учитываются численность персонала, годовой оборот и балансовая стоимость активов. Средним предприятием считается предприятие с менее чем 250 сотрудниками и годовым оборотом до 50 млн евро или балансовой стоимостью активов до 43 млн евро.

Однако проверка не всегда ограничивается одной компанией и одним регистрационным номером. При связанных предприятиях, предприятиях-партнерах, группах и отношениях контроля может потребоваться учет данных других компаний. Это особенно важно для болгарских компаний, входящих в международную группу или имеющих сложную структуру собственности.

Что означает «существенный субъект»?

Существенные субъекты — это участники с более высоким регуляторным профилем. В отношении них закон исходит из большей значимости деятельности или более серьезных последствий при перерыве, нарушении безопасности или системном инциденте.

К существенным субъектам в основном относятся:

• субъекты из высококритичных секторов, превышающие верхнюю границу для средних предприятий;
• поставщики квалифицированных доверительных услуг;
• реестры доменных имен верхнего уровня;
• поставщики DNS-услуг независимо от их размера;
• поставщики публичных электронных коммуникационных сетей или общедоступных электронных коммуникационных услуг, если они являются средними предприятиями;
• административные органы;
• субъекты, являющиеся единственными поставщиками критической услуги, или субъекты, прекращение работы которых может иметь значительное влияние на общественную безопасность, государственную безопасность, общественное здравоохранение, системный риск либо национальную/региональную значимость сектора;
• критические субъекты по Директиве (ЕС) 2022/2557;
• субъекты, которые на дату вступления изменений в силу уже были определены как операторы существенных услуг.

Например, крупный поставщик облачных услуг, крупный энергетический оператор, значимая больничная структура или поставщик управляемых ИКТ-услуг для корпоративных клиентов может быть существенным субъектом, если он относится к соответствующему сектору и отвечает критериям закона.

Что означает «важный субъект»?

Важные субъекты — это субъекты из охваченных законом секторов, которые подпадают под действие закона, но не отвечают критериям для существенных субъектов.

Это не означает, что их обязанности носят формальный характер. И существенные, и важные субъекты должны принимать меры по управлению рисками и сообщать о значительных инцидентах. Разница заключается главным образом в интенсивности надзора и способах осуществления контроля со стороны органов.

Например, среднее предприятие по производству пищевых продуктов, средний производитель электрического оборудования, средний поставщик управляемых ИТ-услуг или средний оператор онлайн-торговой площадки может быть важным субъектом, если его деятельность включена в перечень закона.

Поставщики в цепочке поставок: прямое попадание и договорное влияние

Поставщик крупной компании не подпадает автоматически под действие Закона о кибербезопасности только потому, что его клиент является существенным или важным субъектом.

Он подпадает напрямую, если сам поставщик:

• осуществляет деятельность в одном из секторов, охваченных законом;
• отвечает критериям размера;
• предоставляет услугу из специальных категорий, для которых размер не имеет решающего значения;
• является единственным поставщиком критической услуги;
• играет такую роль, что прекращение его услуги может вызвать значительный общественный, системный, трансграничный или секторный риск.

В то же время поставщик может быть затронут договорно, даже если он напрямую не подпадает под закон. Причина в том, что существенные и важные субъекты должны управлять рисками в цепочке поставок. Закон требует учитывать уязвимости прямых поставщиков и подрядчиков, а также качество их продуктов и практик кибербезопасности.

На практике это означает более строгие договоры с ИКТ-поставщиками, хостинг-провайдерами, облачными платформами, поставщиками ERP/CRM-систем, внешними администраторами, SOC/MSSP-поставщиками, разработчиками программного обеспечения, поставщиками поддержки и другими компаниями, имеющими доступ к системам, приложениям, инфраструктуре или данным.

В договорах все чаще будут появляться положения о:

• минимальных стандартах безопасности;
• сроках уведомления об инциденте;
• доступе к логам и технической информации;
• правилах привлечения субподрядчиков;
• праве аудита или предоставлении доказательств;
• резервном копировании и восстановлении;
• содействии при регуляторных проверках;
• ответственности за неисполнение.

Реестр: кто включается, кто предоставляет информацию и почему это важно

Министр электронного управления создает, ведет и поддерживает реестр субъектов, подпадающих под действие закона. Реестр содержит сведения о наименовании субъекта, адресе и актуальных контактных данных, IP-диапазонах, секторе, подсекторе, государствах-членах, в которых предоставляются услуги, а также данные представителя, когда это применимо. Реестр не является публичным.

Здесь важно различать несколько процессов.

Во-первых, национальные компетентные органы определяют существенные и важные субъекты по методике, принятой Советом министров, и уведомляют министра электронного управления.

Во-вторых, некоторые цифровые и инфраструктурные поставщики имеют активную обязанность предоставлять информацию об основном месте учреждения в ЕС, других местах учреждения или представителе в ЕС. Это касается поставщиков DNS-услуг, реестров доменов верхнего уровня, поставщиков услуг регистрации доменных имен, облачных сервисов, дата-центров, сетей доставки контента, управляемых услуг, управляемых услуг безопасности, онлайн-торговых площадок, онлайн-поисковых систем и платформ социальных сетей.

В-третьих, при изменении предоставленных данных субъекты должны уведомить соответствующий национальный компетентный орган в течение двух недель с даты изменения.

Реестр не является публичным, поскольку содержит операционно чувствительную информацию — например, IP-диапазоны и контакты для реагирования на инциденты. Для бизнеса это означает необходимость назначить внутреннего ответственного за процесс: кто отслеживает данные, кто их обновляет, кто взаимодействует с компетентным органом и кто несет ответственность при изменениях.

У органа управления теперь есть конкретная роль

Закон прямо включает органы управления в процесс управления киберрисками. Они утверждают меры по управлению рисками и следят за их применением. Члены органов управления должны проходить обучение каждые два года, чтобы иметь возможность выявлять риски и оценивать практики управления рисками и их влияние на услуги субъекта.

Это меняет практическую организацию в компаниях. Решения по кибербезопасности должны быть прослеживаемыми на уровне управления — с планом, бюджетом, ответственными лицами, сроками, внутренней отчетностью и документированными решениями.

За нарушение этих управленческих обязанностей закон предусматривает штрафы для руководителей административных органов, управляющих или членов органов управления в размере от 500 до 5 000 евро.

Какие меры необходимо внедрить?

Меры должны быть надлежащими и соразмерными риску, размеру субъекта, вероятности инцидентов и возможному общественному и экономическому воздействию. Закон не навязывает конкретную технологию, а требует уровня безопасности, соответствующего риску.

Минимальное содержание мер включает:

• политики анализа рисков и безопасности информационных систем;
• действия при инциденте;
• непрерывность хозяйственной деятельности, резервное копирование, восстановление после бедствий и управление кризисами;
• безопасность цепочки поставок;
• безопасность при приобретении, разработке и обслуживании систем;
• действия при уязвимостях и их раскрытие;
• процедуры оценки эффективности мер;
• кибергигиену и обучение;
• криптографию и шифрование, когда это применимо;
• безопасность человеческих ресурсов;
• контроль доступа;
• управление активами;
• многофакторную или непрерывную аутентификацию, когда это целесообразно;
• управление изменениями информационных активов.

ENISA опубликовало технические рекомендации по NIS2, которые служат практическим ориентиром для цифровой инфраструктуры, управления ИКТ-услугами и цифровых поставщиков. Они не заменяют болгарский закон, но полезны при построении доказуемой программы соответствия.

Три понятия, которые бизнесу следует понимать

Кибергигиена означает стандартные практики и процедуры по обслуживанию и защите ИТ-систем, сетей и конечных устройств — обучение, контроль доступа, обновления, резервное копирование, реагирование на инциденты и снижение риска.

Значительный инцидент — это инцидент, который причинил или может причинить серьезное операционное нарушение, финансовые потери или значительный материальный либо нематериальный вред другим лицам.

Информационные активы — это не только серверы и программное обеспечение. Закон включает оборудование, программное обеспечение, документацию, поддерживающие системы, операционные процессы, сотрудников и внешние организации.

Уведомление о значительных инцидентах

Существенные и важные субъекты должны уведомлять соответствующую отраслевую команду реагирования на инциденты компьютерной безопасности — CSIRT/SERICS — о каждом значительном инциденте.

Сроки короткие:

• в течение 24 часов после установления значительного инцидента — раннее предупреждение;
• в течение 72 часов после установления — уведомление об инциденте с первоначальной оценкой тяжести, воздействия и доступной технической информации;
• для поставщиков доверительных услуг срок уведомления об инциденте составляет 24 часа;
• по запросу SERICS — промежуточный отчет;
• в течение одного месяца после подачи уведомления об инциденте — окончательный отчет;
• если инцидент продолжается, окончательный отчет подается в течение одного месяца после его устранения.

Затронутые субъекты, когда это уместно и без неоправданной задержки, уведомляют получателей своих услуг о значительных инцидентах, которые могут негативно повлиять на предоставление этих услуг.

При трансграничном инциденте Национальная единая точка контакта может информировать затронутые государства-члены и ENISA, сохраняя безопасность, коммерческие интересы и конфиденциальность информации.

Частые вопросы об уведомлении

1. Нужно ли завершить техническую экспертизу до раннего предупреждения?
   Нет. Раннее предупреждение — это начальный этап уведомления. Полная техническая картина может быть раскрыта позже в уведомлении об инциденте, промежуточном отчете и окончательном отчете.
2. Каждый киберинцидент является «значительным»?
   Нет. Значительность оценивается по операционному нарушению, финансовым потерям и потенциальному вреду другим лицам. На практике такая оценка может быть сложной при шифровальщиках, компрометации аккаунтов, сбоях услуг, инцидентах у поставщика или инцидентах с персональными данными.
3. Что должно быть подготовлено заранее?
   Как минимум: процедура квалификации инцидента, матрица эскалации, контактные лица, правила о том, кто направляет уведомление, связь с процедурой по GDPR и правила сохранения доказательств.

Проверки, аудиты и доказательства соответствия

Контроль осуществляется национальными компетентными органами, Министерством обороны, Министерством внутренних дел и Государственным агентством национальной безопасности в пределах их компетенции.

В отношении существенных субъектов органы могут проводить плановые и внеплановые проверки, проверки на месте или дистанционно, регулярные и целевые аудиты, внеплановые аудиты при значительном инциденте или нарушении, а также требовать информацию, документы и доказательства выполнения политик.

В отношении важных субъектов также предусмотрены проверки на месте, последующий дистанционный надзор, целевые аудиты, запросы информации, доступ к документам и доказательства выполнения политик кибербезопасности.

Расходы на целевой аудит безопасности, проводимый независимым органом, как правило, несет проверяемый субъект, если национальный компетентный орган в обоснованном случае не решит иначе.

На практике это означает, что компания должна быть способна показать не только политику кибербезопасности, но и доказательства ее фактического применения — решения, обучение, протоколы, договоры с поставщиками, технические доказательства, результаты аудитов, планы восстановления, тесты резервных копий, реестры активов и корректирующие действия.

Принудительные меры и санкции

При нарушениях органы могут выдавать предупреждения, обязательные предписания и распоряжения, в том числе об устранении недостатков, прекращении нарушения, внедрении мер управления рисками, выполнении обязанностей по уведомлению и публичном раскрытии нарушения.

В отношении существенных субъектов закон допускает и более строгие меры — временное приостановление лицензии, регистрации, сертификата или разрешения в отношении всех или части соответствующих услуг или деятельности, а также требование о временном запрете лицу с управленскими функциями осуществлять такие функции в существенном субъекте.

Санкции значительны:

• за невыполнение принудительной административной меры — от 2 500 до 12 000 евро, а при повторном нарушении от 5 000 до 25 000 евро;
• для существенного субъекта, не выполняющего обязанности по управлению рисками и уведомлению, — до 10 000 000 евро или до 2 % общего мирового годового оборота за предыдущий финансовый год, в зависимости от того, какая сумма выше, но не менее 25 000 евро;
• для важного субъекта — до 7 000 000 евро или до 1,4 % общего мирового годового оборота, в зависимости от того, какая сумма выше, но не менее 12 500 евро;
• за нарушение управленческих обязанностей — штраф от 500 до 5 000 евро для руководителей административных органов, управляющих или членов органов управления.

На дату настоящей статьи действует также переходное правило: за нарушения, совершенные до 1 июня 2026 г., штрафы и имущественные санкции налагаются в размере, уменьшенном на 50 % от предусмотренного законом. Это не освобождение от ответственности, а временное уменьшение размера санкции.

Таблица практических рисков

Связь с GDPR, DORA и отраслевыми режимами

Киберинцидент часто имеет последствия за пределами Закона о кибербезопасности. Если он затрагивает персональные данные, необходима отдельная оценка по GDPR и Закону о защите персональных данных Болгарии. Закон предусматривает, что компетентные органы уведомляют Комиссию по защите персональных данных, если установят нарушение, которое может привести к нарушению безопасности персональных данных.

Для финансового сектора необходимо учитывать также Регламент (ЕС) 2022/2554 — DORA. Закон предусматривает сотрудничество между компетентными органами по Закону о кибербезопасности и органами по DORA, в том числе в отношении критических третьих поставщиков ИКТ-услуг.

Кроме того, если специальный отраслевой закон содержит эквивалентные требования к мерам управления рисками или уведомлению о значительных инцидентах, отдельные положения Закона о кибербезопасности могут не применяться к соответствующим субъектам. Однако такая оценка является конкретной и не должна выполняться механически.

Что бизнесу следует сделать сейчас?

Первый шаг — картирование сферы применения. Необходимо установить, осуществляет ли компания деятельность в охваченных секторах, является ли она как минимум средним предприятием, входит ли в группу, предоставляет ли трансграничные услуги и подпадает ли под специальную категорию независимо от размера.

Второй шаг — определение статуса: существенный или важный субъект. Это не просто терминологический вопрос, поскольку он влияет на надзор, доказательства, риск проверок и коммуникацию с органами.

Третий шаг — gap-анализ в отношении законных мер управления рисками: политики, инциденты, резервные копии, восстановление, управление активами, контроль доступа, поставщики, уязвимости, шифрование, обучение и управление изменениями.

Четвертый шаг — проверка договоров. Поставщики, имеющие доступ к системам, инфраструктуре, приложениям или данным, должны быть оценены и договорно связаны требованиями безопасности, уведомления и содействия.

Пятый шаг — подготовка к инциденту. Процедура должна работать в реальном времени. Если 24-часовой срок невозможно соблюсти при текущей организации, риск уже является управленческим и правовым, а не только техническим.

Часто задаваемые вопросы о новых обязанностях по Закону о кибербезопасности

1. Как понять, являемся ли мы существенным или важным субъектом?
   Проверяются сектор, вид услуги, размер предприятия, структура группы, трансграничная деятельность и возможная критическая роль услуги. Проверки только по основному коду деятельности недостаточно.
2. Если мы поставщик компании из энергетики или здравоохранения, автоматически ли мы подпадаем под закон?
   Не обязательно. Прямая применимость зависит от вашего собственного сектора, размера и вида услуги. Однако если вы являетесь прямым ИКТ-поставщиком, поставщиком управляемых услуг, поставщиком услуг безопасности или критическим поставщиком, вы, вероятно, будете затронуты договорно.
3. Какие доказательства должен иметь орган управления?
   На практике разумно иметь решение о принятии мер, план внедрения, назначенных ответственных лиц, доказательства обучения, периодические отчеты, реестр рисков и документы по контролю поставщиков.
4. Что делать при киберинциденте в нерабочий день?
   Законные сроки не привязаны к рабочему времени. Если инцидент является значительным, раннее предупреждение подается в течение 24 часов после его установления. Поэтому необходимы заранее определенные контакты, заместители, шаблоны и внутренняя процедура эскалации.
5. Нужно ли уведомлять Комиссию по защите персональных данных?
   Если инцидент включает персональные данные, необходима отдельная оценка по GDPR. Возможно, потребуется уведомление Комиссии по защите персональных данных и/или затронутых лиц наряду с обязанностями по Закону о кибербезопасности.
6. Что делать, если мы получили предписание или запрос документов от компетентного органа?
   Сначала необходимо уточнить правовое основание, объем запроса, срок, чувствительность информации и доступные доказательства. Неполные или неточные ответы могут ухудшить положение компании.

Заключение

Изменения в Законе о кибербезопасности после NIS2 затрагивают значительно более широкий круг компаний, чем классические операторы критической инфраструктуры. Для предпринимателей, управляющих, инвесторов и корпоративных юристов главный вопрос не в том, есть ли у компании ИТ-риск, а в том, возникла ли у нее теперь законная обязанность управлять этим риском, документировать его и доказывать выполнение соответствующих мер.

Практические последствия конкретны: квалификация как существенного или важного субъекта, включение в непубличный реестр, обучение органов управления, политики и процедуры, контроль поставщиков, короткие сроки уведомления, проверки, аудиты, предписания и значительные санкции.

Если вы хотите проверить, применяется ли новый режим к вашему бизнесу и какие конкретные шаги необходимы, свяжитесь с нами. Адвокатское общество Vassilev & Partners может помочь с правовой оценкой сферы применения, подготовкой внутренних правил, проверкой договоров, коммуникацией с компетентными органами, обучением управленческих и операционных команд, а также защитой при проверках и санкционных производствах.

Предупреждение

Информация, содержащаяся в настоящей статье, носит исключительно общий информационный характер и предназначена для первичной ориентации по теме с учетом правового положения на дату публикации статьи. Несмотря на то что мы стремимся обеспечить максимальную точность содержания, правовые нормы и их толкование со временем изменяются. Для проверки актуального текста положений и их применения к вашей конкретной ситуации необходимо обратиться к нам напрямую. Мы не несем ответственности за возможный ущерб, возникший в результате самостоятельного использования информации из настоящей статьи без предварительной индивидуальной юридической консультации. Настоящая статья не является юридическим заключением.