Това ръководство е предназначено за отговорни лица в централни органи на власт, общински администрации и публични агенции, управляващи цифрови услуги. Научете за конкретните задължения, идентификацията на критични активи и сроковете за пълна съответствие до февруари 2026.
Всички централни органи на изпълнителната власт, органи на местната власт и публични агенции, управляващи цифрови услуги към граждани, са класифицирани като критични субекти по NIS2. Няма праг по размер — всички органи на власт с отговорност за цифрови инфраструктури трябва да се подчинят на Закона за киберсигурност. Идентификацията на критични субекти се провежда до края на 2027 година в съответствие с методология, одобрена от Министерството на електронното управление в рамките на 6 месеца от влизане в сила на закона.
Централни и местни органи трябва да установят и поддържат организационни мерки за управление на киберсигурност, включително одит на текущите системи, идентификация на критични активи и разработване на стратегия за намаляване на риска. За органи на власт това включва подробен преглед на наследени системи в администрациите и документиране на техния статус по отношение на киберсигурност.
Всички портали и бази данни, предоставящи услуги на граждани, трябва да отговарят на минималните стандарти за киберсигурност, включително криптография, контрол на достъпа и регулярно тестване на уязвимостите. Органите трябва да внедрят механизми за проверка на идентичността, защита на личните данни и резервни копия, като публикуват годишен доклад за инциденти.
Нарушения, които прекъсват съществени публични услуги, трябва да бъдат докладвани на Министерството на електронното управление в определен период (пропускливостта ще бъде определена в подзаконовите актове). Органите трябва да поддържат логове на инцидентите и да проведат анализ на причините за всеки серийозен инцидент със съответствие с исторически записи.
Публични органи трябва да включат изисквания за киберсигурност в договорите с доставчици на софтуер, системни интегратори и облачни услуги, като поискат доказателства за съответствие и редовни проверки на сигурност. Договорите трябва да съдържат клаузули за инцидентно докладване и незабавна нотификация при открояване на уязвимости.
Всички служители на органите на власт, особено тези с достъп до критични системи, трябва да преминат начално обучение по киберсигурност и годишно преквалификация. Органите трябва да документират всяко обучение и да поддържат записи за персонала със висок риск, включително администратори на системи и отговорни лица за данни.
Всички централни органи на изпълнителната власт, органи на местната власт и публични агенции, управляващи цифрови услуги, са класифицирани като критични субекти по NIS2. Не съществува праг по размер — дори малки общини с е-услуги за граждани трябва да се подчинят на Закона за киберсигурност. Официалната идентификация ще бъде завършена до края на 2027 година.
Законът за киберсигурност влиза в сила през февруари 2026. Органите трябва да са установили организационни мерки за управление на киберсигурност, включително обучение и инцидентно докладване, в рамките на първите месеци. Полна съответствие, включително модернизиране на наследени системи, се очаква до края на 2026 или 2027 в зависимост от сложност.
За критични субекти (органи на власт) санкциите достигат до 10 милиона евро или 2% от годишния приход. Отговорни лица в администрациите могат да бъдат наказани с глоби от 500 до 5000 евро. Министерството на електронното управление е отговорна за наблюдението и налагане на наказания.
Закон за киберсигурност/NIS2 · България · 2026
Стартирайте калкулатора →