Този материал е предназначен за администраторов на киберсигурност, ръководители на IT отдели и начални лица в университетите и частните висши училища. Ще научите конкретните задължения по киберсигурност, които трябва да изпълни вашата институция до февруари 2026.
По Закона за киберсигурност, важни субекти в сектора на висшето образование са университетите и частните висши училища с цифрова инфраструктура, осигурявани услуги на поне 5000 потребители и имащи значително въздействие върху образователния процес. В България това включва всички национални университети, технически университети и акредитирани частни висши учебни заведения с масивни системи за управление на обучението.
Университетите трябва да внедрят технически и организационни мерки за защита на всички системи за управление на обучението (LMS), студентски записи и научни данни от несанкционирано достъп и надзор. Всички облачни платформи за е-обучение трябва да отговарят на изискванията за криптография и контрол на достъп, включително многофакторна аутентификация за персонала и студентите.
Университетите трябва да докладват всякакви инциденти с киберсигурност, които засягат студентски записи, научни данни или критична инфраструктура, на Министерството на електронното управление в рамките на 24 часа от откриване. Докладът трябва да включва характеристики на инцидента, засегнати лица и предприети мерки, както и информация за причините и потенциални бъдещи превенции.
Все vendorи на образователни технологии, облачни платформи за обучение и системи за управление на студентски данни трябва да преминат риск-базирана оценка на киберсигурност преди внедрянето. Университетите трябва да поддържат актуален преглед на всички критични системи и техните доставчици, включително SLA за киберсигурност, договорни санкции за нарушения и гарантирани права за аудит.
Всички сътрудници (преподаватели, администрация, IT персонал) и студентите трябва да получат задължително обучение по киберсигурност най-малко веднъж годишно, с фокус върху фишинг, социално инженерство и правилна обработка на чувствителни данни. Обучението трябва да бъде адаптирано към ролята на участника в организацията.
Университетите трябва да разработят и редовно тестват планове за непрекъснатост на бизнеса (BCP) и восстановление при стихийни бедствия (DRP) за критични системи като сервъри, системи за управление на студентски данни и образователни платформи. Тестването трябва да се провежда поне веднъж годишно с документирани резултати и известяване на ръководството.
Законът за киберсигурност влиза в сила в България в февруари 2026. Идентификацията на важни субекти и поддържането на национален регистър ще се извършат до края на 2027. Вашият университет трябва да бъде идентифициран и да придържа всички задължения в рамките на тези временни рамки.
За важни субекти, административни глоби достигат €7 милиона или 1,4% от годишния оборот. Отговорните лица (директори, CIO) могат да бъдат наказани с парични наказания от €500 до €5000. Тежки нарушения на докладването на инциденти могат да доведат до по-високи санкции.
Не е необходимо пълна смяна, но вашият персонал трябва да получи обучение по специфични задължения на NIS2, включително управление на инциденти, оценка на риска при доставчици и съответствие с киберсигурност. Препоръчва се да наемате консултант по киберсигурност или дизайнирате ISMS (Information Security Management System) с използване на инструменти като ISMS.online за документирането на процесите.
Закон за киберсигурност/NIS2 · България · 2026
Стартирайте калкулатора →