Най-често задавани въпроси за NIS2 в България (FAQ 2026)

NIS2 е Директива 2022/2555 на Европейския съюз, която определя минимални изисквания за киберсигурност за организации в критични сектори в целия ЕС. В България тя е въведена в националното законодателство чрез Закона за киберсигурност, който конкретизира изискванията, определя компетентните органи и санкциите. Директивата е задължителна за всички държави членки, а националният закон е инструментът, чрез който тя се прилага в българския правен ред.

Законът за киберсигурност, с който България транспонира Директива NIS2, влиза в сила през февруари 2026 г. До тази дата организациите следва да се запознаят с изискванията и да започнат подготовка за привеждане в съответствие. Препоръчително е да не се чака последния момент, тъй като процесите по изграждане на системи за киберсигурност отнемат значително време.

Точният брой на засегнатите организации в България все още се уточнява в рамките на процеса по идентифициране и вписване в националния регистър, който се очаква да продължи до 2027 г. Обхватът е широк и включва организации от над 18 сектора, сред които енергетика, транспорт, здравеопазване, финанси, цифрова инфраструктура и доставчици на управлявани услуги. Компаниите не трябва да чакат да бъдат официално уведомени, а сами да преценят дали попадат в обхвата на закона.

Съществените субекти са организации в особено критични сектори като енергетика, транспорт, банково дело и здравеопазване, или такива, надвишаващи определени прагове за размер. Важните субекти включват организации в допълнителни сектори или по-малки по мащаб компании, които все пак имат значение за функционирането на обществото. Разграничението е важно, защото определя нивото на надзор и размера на санкциите при нарушение.

По принцип микропредприятията и малките предприятия са освободени от обхвата на NIS2, освен ако не оперират в особено критични сектори или са единствени доставчици на ключова услуга в дадена държава членка. Дори да не са пряко задължени, тези компании могат да бъдат засегнати косвено като подизпълнители или доставчици на по-големи задължени субекти. Препоръчително е да се направи предварителна проверка на статута на компанията съвместно с правен или технически консултант.

Процесът по определяне на субектите и вписването им в националния регистър се очаква да се проведе след влизането на закона в сила през февруари 2026 г., като методологията ще бъде разработена в рамките на шест месеца, а самото определяне ще приключи до пет месеца след това. Това означава, че окончателното идентифициране на задължените организации може да продължи до 2027 г. Независимо от това компаниите трябва да започнат подготовка своевременно, за да не изостанат.

Техническите изисквания следва да бъдат въведени в съответствие с националния закон, влизащ в сила през февруари 2026 г., и да бъдат напълно изпълнени към момента на официалното определяне на субекта. Тъй като процесът по определяне може да продължи до 2027 г., организациите разполагат с известно време, но не бива да отлагат, тъй като изграждането на ефективна система за киберсигурност е сложен и многоетапен процес. Препоръчително е планирането и изпълнението да започнат незабавно.

Законът изисква задължените субекти да определят лице или екип, отговорен за управлението на киберсигурността и комуникацията с компетентните органи. Не е задължително това лице да носи конкретната длъжност CISO, но трябва да разполага с необходимата компетентност и правомощия да взема решения в областта на информационната сигурност. При по-малки организации тази роля може да се изпълнява от съществуващ служител или от външен консултант, при условие че са осигурени необходимите знания и ресурси.

При значителен инцидент задълженият субект трябва да изпрати ранно предупреждение до компетентния орган в рамките на 24 часа от установяването му. Последва пълно уведомление с повече подробности в рамките на 72 часа. Тези срокове са строги и изискват предварително изграден вътрешен процес за управление и ескалация на инциденти, за да може организацията да реагира навреме.

NIS2 изисква прилагането на мерки като управление на риска в областта на киберсигурността, политики за контрол на достъпа, криптиране, управление на инциденти, непрекъснатост на дейността и управление на веригата на доставки. Изисква се също провеждане на обучения по киберсигурност, прилагане на многофакторна автентикация и редовно тестване на сигурността. Конкретните мерки трябва да бъдат пропорционални на риска и размера на организацията.

Сертификацията по ISO 27001 е ценна и демонстрира зрялост в управлението на информационната сигурност, но не освобождава автоматично организацията от задълженията по NIS2. Двата стандарта са взаимно допълващи се и внедрената система по ISO 27001 може значително да улесни привеждането в съответствие с NIS2. Компанията трябва да провери дали всички специфични изисквания на директивата са покрити, включително задълженията за докладване на инциденти и регистрация.

Законът не задължава организациите да закупуват конкретен лицензиран продукт за съответствие с NIS2. Изборът на инструменти е оставен на преценката на организацията, стига те да позволяват ефективно управление на риска, документиране и докладване. Специализираният софтуер за управление на киберсигурността и съответствието може да улесни процеса, но малките организации могат да се справят и с добре структурирани процеси и документация.

ISMS е система за управление на информационната сигурност, представляваща съвкупност от политики, процедури, технически мерки и отговорности, насочени към защита на информационните активи. NIS2 de facto изисква наличието на функциониращ ISMS, тъй като задължава организациите да управляват рисковете систематично и документирано. Изграждането на ISMS е основата, върху която се надгражда цялото съответствие с изискванията на директивата.

Разходите варират значително в зависимост от размера на организацията, сектора, в който оперира, и текущото ниво на зрялост в областта на киберсигурността. По-малките организации могат да очакват разходи в диапазона от няколко хиляди до десетки хиляди евро за консултантски услуги, технически инструменти и обучения. По-голямото и сложно предприятие може да инвестира значително повече, като следва да разглежда тези разходи като инвестиция в устойчивост, а не само като регулаторно задължение.

Законът не изисква използването на инструменти от български или местни доставчици за постигане на съответствие с NIS2. Важно е избраното решение да отговаря на изискванията за сигурност, да осигурява необходимата документация и ако обработва лични данни, да спазва изискванията на Общия регламент за защита на данните. Организациите могат свободно да избират между местни и международни доставчици според своите нужди и бюджет.

Малките компании следва да търсят решения, които са лесни за използване, достъпни като цена и покриват основните функции като управление на риска, документиране на политики и проследяване на инциденти. Препоръчително е да се избират платформи с ясно структурирани шаблони и ръководства, съобразени с изискванията на NIS2. Преди покупка е добре да се провери дали инструментът съхранява данните в рамките на Европейския съюз и дали доставчикът предлага поддръжка на разбираем език.

На пазара съществуват множество платформи за управление на киберсигурността и съответствието, разработени от европейски компании и хостващи данните в рамките на ЕС, като например Cyberday, Comply и различни решения на германски и скандинавски доставчици. При избора е важно изрично да се провери в условията на услугата къде се съхраняват данните и дали са приложими стандартни договорни клаузи. Съхранението на данни в ЕС намалява рисковете, свързани с трансфера на данни и осигурява по-лесно спазване на изискванията на Общия регламент за защита на данните.

За съществени субекти максималната санкция е до 10 милиона евро или до 2% от общия световен годишен оборот на организацията, в зависимост от това коя сума е по-висока. За важни субекти максималната санкция е до 7 милиона евро или до 1,4% от оборота. Компетентните органи прилагат санкциите пропорционално на тежестта на нарушението и взетите мерки от страна на организацията.

Компетентният орган за надзор и прилагане на изискванията по NIS2 в България е Министерството на електронното управление. Министерството отговаря за поддържането на националния регистър на задължените субекти, провеждането на проверки и налагането на санкции при констатирани нарушения. В зависимост от сектора е възможно и секторни регулатори да имат допълнителни надзорни правомощия.

Да, националният закон предвижда лична отговорност на ръководителите на задължените субекти при нарушения на изискванията за киберсигурност. Санкциите за физически лица, в т.ч. членове на ръководни органи, са в диапазона от 500 до 5000 евро. Това означава, че управителите и членовете на бордове не могат да прехвърлят отговорността единствено върху IT отдела, а трябва активно да участват в управлението на киберсигурността.