Това ръководство е предназначено за ръководители на киберсигурност, главни технически директори и отговорни лица в платежни системи. Научете какви са конкретните задължения, критичните изисквания и типичните пропуски при съответствие с NIS2 съгласно Закона за киберсигурност, в сила от февруари 2026 г.
Финтех компании, платежни процесори, необанки и платформи за цифрово кредитиране с годишен обращаем доход над определен праг или значително присъствие на пазара трябва да се регистрират като важни субекти. Министерството на електронното управление трябваше да публикува методология за идентификация до август 2026 г. (6 месеца след влизането в сила на закона), а обозначението на всички важни субекти ще продължи през 2027 г.
Всяка финтех компания трябва да внедри система за управление на ICT риск, съразмерена със своя размер и критичност на услугите. За платежни процесори это включва картографиране на всички критични системи, оценка на уязвимостите и внедряване на мерки за защита на операционната непрекъснатост. Системата трябва да бъде документирана и редовно преглеждана.
Необходимо е редовно тестване за сигурност на всички платежни API, мобилни приложения и интеграции, включително тестване на проникване и оценка на кода. Тестването трябва да се извършва преди всяко основно издание на софтуер и минимум годишно. Резултатите трябва да се документират и уязвимостите да се елиминират преди внедряване в продукция.
Финтех и платежни компании трябва да запазят конфиденциалност, интегритет и наличност на данните на клиентите чрез криптография, контрол на достъпа и мониторинг. Задължени сте да съответствате както на NIS2, така и на GDPR и PSD2 изисквания за защита и уведомяване при нарушения. Трябва да имате план за отговор на инцидент, който покрива и двата набор от задължения.
При инцидент, който нарушава обработката на плащания или прехвърля на средства, компанията трябва да отчете към Министерството на електронното управление в рамките на определения срок. Отчетността трябва да включва описание на инцидента, засегнати системи, предприети коригиращи мерки и мерки за предотвратяване. Отчетите трябва да бъдат документирани и архивирани за одит.
Всички външни доставчици, включително облачни провайдери и системни интегратори, трябва да имат договорни задължения за сигурност, съответстващи на NIS2. Трябва да проверите и редовно да аудитирате съответствието на доставчиците. Договорите трябва да включват правата на достъп за проверка, разпоредби за инцидентно отчетност и задължения за разделяне на данни.
Финтех компании, платежни процесори, необанки и платформи за цифрово кредитиране с достатъчно голям годишен обращаем доход или критичност на услугите трябва да се регистрират. Методология за идентификация трябваше да бъде публикувана от Министерството на електронното управление до август 2026 г., а всички важни субекти ще бъдат обозначени през 2027 г.
За важни субекти наказанието за серийни нарушения е до 7 милиона евро или 1,4% от годишния оборот — което е по-високо, което е избрано. За отговорни лица (ръководители на киберсигурност, главни технически директори) наказанието е 500 до 5000 евро. Наказанията се налагат от Министерството на електронното управление.
Законът за киберсигурност, който транспонира NIS2, влезе в сила през февруари 2026 г. Идентификацията на важни субекти и регистърът ще бъдат завършени през 2027 г., като методология за идентификация трябваше да бъде публикувана в рамките на 6 месеца след влизането в сила (до август 2026 г.).
Закон за киберсигурност/NIS2 · България · 2026
Стартирайте калкулатора →