Страницата е предназначена за ръководства на киберсигурност, отговорни за съответствие, и управители на риск в лицензирани банки, спестовни банки и кредитни институции. Ще научите кои са специфичните задължения на вашата институция по Закона за киберсигурност, как те се переплитат с DORA и какъв е вашия график за подготовка.
В България всички лицензирани от Българската национална банка банки, спестовни банки и кредитни институции подлежат на NIS2 като ключови субекти. Това включва всички институции, които имат лицензи за управление на депозити, издаване на кредити или предоставяне на платежни услуги, независимо от размер. Всички такива субекти трябва да демонстрирват пълно съответствие към февруари 2026 г., като Министерството на електронното управление ще публикува официалния национален регистър на ключови субекти не по-късно от 2027 г.
Всяка банка трябва да разработи и поддържа документирана рамка за управление на информационнокомуникационни рискове, която включва политики, процедури и технически контроли. Рамката трябва да покрива идентификацията на критичните активи, оценката на рисковете, избора на технически и организационни мерки, мониторинга и редовния преглед. Документацията трябва да бъде разумна, пропорционална на риска и редовно актуализирана, особено при промени в архитектурата или в главната система.
Лицензирани банки трябва да провеждат най-малко един независим тест на проникване и формална оценка на уязвимостите всяка календарна година. Тествите трябва да включат както външни, така и вътрешни攻ки, както и симулирани социално-инженерни атаки. Всеки тест трябва да генерира документиран доклад с открити проблеми, степен на тежест и конкретни препоръки за поправяне; резултатите се съхраняват като доказателство за съответствие.
При възникване на инцидент на киберсигурност, който значително влияе на финансовите услуги или непрекъснатостта на дейностите, банката трябва да докладва на Българската национална банка и на националната CSIRT незабавно, не по-късно от осем часа за критични инциденти. Докладът трябва да включва описание на инцидента, засегнатите системи, броя на засегнатите клиенти (ако е приложимо), предприетите действия и предварителна оценка на влиянието. Последвалите подробни доклади трябва да се предоставят в рамките на определените сроковете.
Банките трябва да провеждат надлежна проверка на безопасността преди сключване на договор с всеки доставчик на ICT услуги (включително облачни услуги, платежни шлюзове, фирми за обработка на данни). Договорите трябва да включват явни разпоредби относно стандартите за сигурност, правото на достъп за проверка, обязанностите за докладване на инциденти и правилата за прекратяване на услугата. Банката остава отговорна за безопасността на всички обработени финансови данни, дори ако услугата е аутсорсирана.
За банки в България, задължения по Регулация на Европейския съвет относно устойчивостта на дигиталния оперативен риск (DORA) се преплитат и дополват задължения по NIS2. NIS2 осигурява по-широкия нормативен контекст за киберсигурност, докато DORA регулира специфичния ICT оперативен риск. Банката трябва да интегрира всички изисквания в един обединен управленски процес, които обхваща оценката на съответствието с двата норматива.
Крайния срок за пълно съответствие е 28 февруари 2026 г. През този период, от февруари 2024 г. нататък, Министерството на електронното управление ще разработи методология за идентификация на ключови субекти (в рамките на 6 месеца) и ще издаде официални наименования (в дълъга на 5 месеца след одобрението на методология). Българската национална банка като финансов надзорник ще работи в съответствие с тези крайни срокове.
NIS2 задава общата национална рамка за киберсигурност за критични субекти, включително банки; DORA е специфичен регламент на ЕС за устойчивостта на дигиталния оперативен риск в финансовия сектор. За банките в България, DORA требует нивоа по-висока на подробност при управлението на ICT риск и доставчици; NIS2 предоставя по-ширша рамка. Нарушение на и двата норматива обикновено означава неспособност да се достигнат обединени управленски цели.
За ключови субекти като банки, наказанието по Закона за киберсигурност може да достигне до 10 млн. евро или 2% от всегодишното световно обръщане (което е по-голямо). При неотговор на искани за докладване на инциденти или уязвимости, наказанието може да достигне до 7 млн. евро или 1,4% от оборот. Отговорни мениджъри и служители могат да получат глоби от 500 до 5000 евро. Допълнително, Българската национална банка може да приложи административни мерки, включително наложени ограничения на лицензията.
Закон за киберсигурност/NIS2 · България · 2026
Стартирайте калкулатора →