Този документ насочва производителите на медицински устройства, подлежащи едновременно на NIS2 и MDR, какви конкретни киберсигурностни задължения трябва да изпълнят до февруари 2026 и как да се подготвят за идентификацията на важните участници.
Производители на медицински устройства, регистрирани в България, които са класифицирани като важни участници по Закона за киберсигурност (NIS2), попадат под това ръководство. Това включва производители, разработващи и пускащи на пазар устройства класифицирани като висок риск под MDR и имащи значителен брой потребители в Европейския съюз. Министерството на електронното управление ще издаде детайлирана методология до юни 2026 и окончателния регистър на важните участници до декември 2026.
Производителите трябва да разработят и поддържат програмна фактура на материали (SBOM) за всяко медицинско устройство, включително микрокода, драйвери и открити библиотеки. SBOM трябва да бъде актуализирана при всяка обновка на устройството и да включва информация за известни уязвимости. Това е задължително както за новите устройства, така и за критичните наследени системи, все още активни на пазара.
Производителите трябва да установят формална програма за мониторинг на уязвимостите, засягащи тяхното устройство, включително събиране на информация от открити бази данни (NVD, CVE) и участие в програми за отговорност при разкриване. Всяка идентифицирана уязвимост, оценена като средна или висока критичност, трябва да бъде документирана и да изиска оценка на влиянието върху безопасността на пациентите.
Всяка актуализация на фърмуера или софтуер трябва да преминава чрез проверени и криптографски подписани процеси, предотвратяващи неоторизирано модифициране. Производителите трябва да имат план за развръщане на критични спешни пачове в рамките на определени временни рамки (обикновено 30-60 дни за критични уязвимости). Трябва да се документира всяка актуализация със SBOM промени и резултати от тестване на безопасност.
Производителите трябва да отчетат всеки инцидент на киберсигурност, засягащ киберсигурността на медицинско устройство и потенциално влияещ на безопасност на пациентите, на Министерството на електронното управление в рамките на 72 часа от открирането. Отчетът трябва да включва описание на уязвимостта, засегнатите устройства, взетите мерки и план за намаляване на риска.
Производителите трябва да преглеждат и периодично оценяват киберсигурностния пригодност на ключовите доставчици на компоненти, включително микрочипове, операционни системи и облачни платформи. Должна проверка включва проверка на наличието на SBOM от доставчиците, история на уязвимостите и политики за тяхното действие. Трябва да се поддържа ажурирана матрица на риска от доставчиците с контролни мерки за намаляване.
Инцидентът трябва да бъде отчетен в рамките на 72 часа от неговото откриване, ако той засяга киберсигурността на медицинско устройство и има потенциал да наруши безопасността на пациентите. Отчетът трябва да включва техническо описание на уязвимостта, брой засегнати устройства в полето и конкретен план на действие за смекчаване.
За важни участници, като производители на медицински устройства, наказанията могат да достигнат до 7 милиона евро или 1,4% от годишния оборот (което е по-голямо), в зависимост от тежестта на нарушението и риска за безопасност на пациентите. Отговорни физически лица могат да бъдат наказани с от 500 до 5000 евро за умишлено неспазване на задължения.
Министерството на електронното управление ще издаде методология за идентификация на важни участници до юни 2026 и ще завърши регистрирането на всички важни участници до декември 2026. От момента на окончателната идентификация, производителите трябва да разполагат със SBOM на място и да спазват всички NIS2 задължения без допълнително преходно периодично.
Закон за киберсигурност/NIS2 · България · 2026
Стартирайте калкулатора →