България въведе NIS2 чрез Закона за киберсигурност. Ръководството разглежда кои организации са в обхвата, задълженията на управлението, мерките за киберсигурност, сроковете за докладване, връзката с DORA и санкциите.
Василев & Чисусе · 2026-10-07 · Правен преглед: 12 октомври 2026 г.
През 2026 г. България въведе изискванията на NIS2 чрез изменения в Закона за киберсигурност. Режимът обхваща значително по-широк кръг публични и частни организации от предходната уредба и поставя правни задължения не само пред техническите и охранителните звена, но и пред управлението.
За бизнеса първият въпрос е дали организацията попада в обхвата на закона и, ако попада, дали се определя като съществен или важен субект. Класификацията има значение за надзора и максималния размер на санкциите, а основните задължения включват мерки за управление на риска в областта на киберсигурността, управленски контрол и докладване на значителни инциденти.
По общото правило Законът за киберсигурност обхваща публични и частни субекти от видовете, посочени в приложение I или приложение II, които отговарят на критериите за средни предприятия или надхвърлят горната граница за средни предприятия. Законът включва и определени категории субекти независимо от техния размер.
Обхванатите сектори включват енергетика, транспорт, банкиране и инфраструктура на финансовите пазари, здравеопазване, питейни и отпадъчни води, цифрова инфраструктура, управление на услуги в областта на информационните и комуникационните технологии, публична администрация, космическо пространство, пощенски и куриерски услуги, управление на отпадъци, производство и разпространение на определени химикали и храни, определени производствени дейности, някои доставчици на цифрови услуги и научноизследователски организации. Конкретният обхват трябва да се определя според точната дейност и специалните правила на закона, а не само според общото наименование на сектора.
Някои субекти попадат в обхвата независимо от размера си, включително определени доставчици на обществени електронни съобщителни услуги, доставчици на удостоверителни услуги, регистри на имена на домейни от първо ниво и доставчици на DNS услуги. Законът съдържа и специални основания за субекти, чиито услуги имат особена критична значимост на национално или регионално равнище.
Законът за киберсигурност разделя организациите в обхвата на съществени и важни субекти. Класификацията зависи от сектора, размера на предприятието и специалните основания, предвидени в закона.
Сред съществените субекти са например субектите от видовете, посочени в приложение I, които надхвърлят горната граница за средни предприятия. Определени доставчици, включително доставчиците на квалифицирани удостоверителни услуги, регистрите на имена на домейни от първо ниво и доставчиците на системни услуги за имена на домейни, са съществени субекти независимо от размера. Доставчиците на обществени електронни съобщителни мрежи или обществено достъпни електронни съобщителни услуги, които отговарят на законовите критерии за средни предприятия, също са включени сред съществените субекти.
Субектите от видовете, посочени в приложение I или приложение II, които попадат в обхвата на закона, но не отговарят на критериите за съществени субекти, по правило се считат за важни субекти. Това разграничение има значение за надзорния режим и за максималните административни санкции.
Съответствието с NIS2 е управленска отговорност и не може да се разглежда само като технически проект. Съгласно Закона за киберсигурност управителните органи на съществените и важните субекти трябва да одобряват изискуемите мерки за управление на риска в областта на киберсигурността и да следят за тяхното прилагане.
Членовете на управителните органи на съществените и важните субекти са длъжни на всеки две години да преминават обучение. Обучението трябва да им осигурява достатъчно познания и умения за идентифициране на рискове и за оценяване на практиките за управление на риска в областта на киберсигурността и въздействието им върху услугите на субекта. Управителните органи са длъжни да предлагат и организират съответните обучения и за служителите.
Тези изисквания превръщат управлението на киберсигурността в част от правната и корпоративната рамка на организацията. Решенията относно политики, отговорности, ресурси и коригиращи мерки следва да могат да бъдат доказани на практика, а не само описани във вътрешен документ.
Съществените и важните субекти трябва да предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежовите и информационните системи, използвани в основната им дейност или при предоставянето на услугите им. Нивото на сигурност трябва да съответства на риска.
При оценката на пропорционалността се вземат предвид степента на излагане на риск, размерът на субекта, вероятността от възникване на инциденти и тяхната значимост, включително възможното обществено и икономическо въздействие. Поради това законът не изисква еднакъв набор от мерки за всяка организация.
Мерките включват политики за анализ на риска и сигурност на информационните системи, действия при инциденти, непрекъснатост на стопанската дейност, управление на резервни копия и възстановяване след бедствия, управление на кризи, сигурност на веригата за доставка, сигурност при придобиване и разработване на мрежови и информационни системи, управление на уязвимости, оценка на ефективността на мерките, основни практики за киберхигиена, обучение, криптография, контрол на достъпа и управление на активите. Когато е целесъобразно, режимът включва и многофакторно или непрекъснато удостоверяване на автентичността и защитени системи за комуникация.
Сигурността на веригата за доставка е изрична част от законовите мерки за управление на риска в областта на киберсигурността. При определяне на подходящите мерки субектът трябва да отчита уязвимостите, свързани с всеки пряк снабдител или доставчик на услуги, както и общото качество на неговите продукти и практики в областта на киберсигурността.
Това придава правно значение на договорите и организационните отношения с технологичните доставчици. Доставчиците на компютърни услуги в облак, центрове за данни, управлявани услуги, управлявани услуги за сигурност и други ключови доставчици могат да влияят пряко върху способността на организацията да изпълнява собствените си законови задължения.
Прегледът на договорите следва да бъде свързан с действителното разпределение на отговорностите, достъпа до информация, съдействието при инциденти, непрекъснатостта на дейността и възможността организацията да докаже и наложи мерките, на които разчита.
Засегнатият съществен или важен субект трябва да подаде ранно предупреждение до съответния секторен екип за реагиране при инциденти с компютърната сигурност в срок до 24 часа след установяването на значителния инцидент. Когато е приложимо, в ранното предупреждение се посочва дали има предположение за незаконосъобразни или злонамерени действия и дали инцидентът може да има трансгранично въздействие.
До 72 часа след установяването на значителния инцидент субектът трябва да подаде уведомление за инцидент, което актуализира първоначалната информация и съдържа начална оценка на тежестта и въздействието, както и наличната техническа информация. За доставчиците на удостоверителни услуги законът предвижда 24-часов срок и за това уведомление.
По общо правило окончателният доклад се подава не по-късно от един месец след уведомлението за инцидента. Ако към този момент инцидентът не е преодолян, се подава междинен доклад, а окончателният доклад се представя в срок до един месец след справянето с инцидента.
На съществен субект, който не изпълнява задълженията по чл. 22 и 23 от Закона за киберсигурност, може да бъде наложена имуществена санкция до 10 000 000 евро или до 2 процента от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи субектът, като се прилага по-високата от двете стойности. Санкцията не може да бъде по-ниска от 25 000 евро. Правилото за оборота не се прилага по същия начин спрямо съществените субекти, които са административни органи.
На важен субект, който не изпълнява задълженията по чл. 22 и 23, може да бъде наложена имуществена санкция до 7 000 000 евро или до 1,4 процента от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи субектът, като се прилага по-високата стойност. Санкцията не може да бъде по-ниска от 12 500 евро.
При нарушение на управленските задължения по чл. 21 на съответните ръководители на административни органи, управители или членове на управителните органи на съществените и важните субекти може да бъде наложена глоба от 500 до 5000 евро.
Преходното правило за намаляване на глобите и имуществените санкции с 50 процента се отнася само за нарушения, извършени до 1 юни 2026 г. То не се прилага за нарушения, извършени след тази дата.
Взаимодействието между NIS2 и Регламент (ЕС) 2022/2554 относно оперативната устойчивост на цифровите технологии във финансовия сектор трябва да се преценява внимателно. Законът за киберсигурност предвижда, че когато специален правен режим налага изисквания за управление на риска в областта на киберсигурността или за уведомяване за значителни инциденти с най-малко равностоен ефект, съответните разпоредби на Закона за киберсигурност не се прилагат спрямо обхванатите от специалния режим субекти.
На равнище Европейски съюз DORA се счита за секторен акт за финансовите субекти за целите на чл. 4 от NIS2. Европейската комисия е пояснила, че за финансовите субекти в обхвата на DORA съответните правила на DORA относно управлението на риска, свързан с информационните и комуникационните технологии, управлението и докладването на инциденти, изпитването на цифровата оперативна устойчивост, обмена на информация и риска от трети страни се прилагат вместо съответните правила на NIS2.
Това не означава, че Законът за киберсигурност е изцяло неприложим към всеки финансов субект. Конкретното припокриване трябва да се провери според регулаторния статут на субекта, конкретното задължение и обхвата на специалния режим. Повече за финансовия сектор може да се намери в услугата на Адвокатско дружество "Василев и Чисусе" за DORA и в практическото ръководство за DORA.
Първата стъпка е правна оценка на обхвата на Закона за киберсигурност, която отчита дейността, размера на организацията и специалните основания за включване. Ако законът се прилага, следва да се определи дали субектът е съществен или важен, както и кой е компетентният орган и приложимият ред за докладване за съответния сектор.
След това организацията трябва да сравни съществуващото управление, вътрешните правила, техническите и организационните мерки, отношенията с доставчици, процесите за непрекъснатост на дейността и процедурите при инциденти с приложимите законови изисквания. Оценката трябва да свързва правните задължения със системите и действителните процеси, които поддържат регулираната дейност.
Прилагането на NIS2 изисква координация между управлението, юристите, звената по сигурност и информационни технологии, снабдяването и оперативните екипи. Наличието на отделна техническа мярка само по себе си не доказва изпълнение на управленските, отчетните, договорните и документалните задължения.
Адвокатско дружество "Василев и Чисусе" консултира предприятия относно прилагането на NIS2 и Закона за киберсигурност, включително оценка на обхвата и класификацията, задълженията на управлението, вътрешната документация, процедурите за докладване на инциденти, отношенията с доставчици и правните аспекти на управлението на риска в областта на киберсигурността.
Нашата правна услуга по NIS2 може да включва оценка на регулаторния статут на субекта, преглед на съществуващите документи и процеси, подготовка и актуализиране на вътрешни правила и процедури и правна подкрепа за поддържане на текущо съответствие. Когато киберинцидентът засяга и лични данни, анализът може да изисква съгласуване и с приложимите изисквания за защита на данните.
Настоящият материал отразява правната рамка, проверена към 08 октомври 2026 г., и има общ информационен характер. Той не представлява индивидуален правен съвет. Приложението на Закона за киберсигурност зависи от конкретния субект, дейност, размер, сектор и факти, а специална секторна уредба може да промени анализа.