NIS2 в България 2026: попадате ли и какво трябва да направите до 2027

Кой попада: важен субект vs съществен субект (праг >50 души, >10 млн. EUR)

NIS2 разделя обхванатите организации в два класа. Съществени субекти (essential entities) са операторите в секторите с висока критичност от Приложение I към Директивата: енергетика, транспорт, банково дело, инфраструктури на финансовите пазари, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на ИКТ услуги, публична администрация и космос. Прагът за тях е ≥250 служители или годишен оборот ≥50 млн. EUR и годишен баланс ≥43 млн. EUR (чл. 3, § 1 от Директива (ЕС) 2022/2555 във връзка с Препоръка 2003/361/ЕО на Комисията за дефиниция на голямо предприятие).

Важни субекти (important entities) обхващат средните предприятия в същите сектори плюс допълнителните от Приложение II: пощенски и куриерски услуги, управление на отпадъци, производство и разпространение на химикали, производство и преработка на храни, производство на медицински изделия, електронно оборудване, машини и МПС, цифрови доставчици и научноизследователски организации. Прагът е ≥50 служители или оборот ≥10 млн. EUR (чл. 3, § 2 от Директивата, по критериите за средно предприятие съгласно Препоръка 2003/361/ЕО). Дружество с точно 51 служители и оборот от 4 млн. EUR в сектора на пощенски услуги вече е важен субект и подлежи на пълния режим.

Нови сектори спрямо NIS1

NIS2 разширява покритите сектори до 18 — 11 в Приложение I (сектори с висока критичност) и 7 в Приложение II (други критични сектори) — спрямо 7-те вида оператори на основни услуги по NIS1. Практически важни добавки за МСП в България:

• Здравеопазване — болници, медицински лаборатории, производители на медицински изделия и in vitro диагностика, доставчици на здравни ИТ системи (Приложение I, т. 5);
• Храни — производство, преработка и дистрибуция на хранителни продукти с оборот ≥10 млн. EUR (Приложение II, т. 7);
• Управление на ИКТ услуги (B2B) — доставчици на управлявани услуги (MSP), доставчици на управлявани услуги за сигурност (MSSP), центрове за данни, CDN доставчици (Приложение I, т. 8);
• Пощенски и куриерски услуги — включително платформи за доставка на колети (Приложение II, т. 1).

Изключения и специални правила

Директивата изключва микро- и малки предприятия (под 50 служители и под 10 млн. EUR оборот), но предвижда изключения от изключението: доставчиците на TLD-услуги, DNS регистрите, квалифицираните доверителни услуги и отделни оператори на критична инфраструктура попадат независимо от размера (чл. 2, § 2). Дъщерни дружества на международни групи се преценяват самостоятелно — данните на холдинга не се консолидират автоматично при определяне на праговете за местното ЕООД.

Не сте сигурни в кой сектор попада дейността ви? Свържете се с нас за квалификационен анализ.

10-те технически и организационни мерки по чл. 21 от Директивата

Член 21 от Директива (ЕС) 2022/2555 задължава всеки обхванат субект да прилага подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежите и информационните системи. Директивата посочва минимум десет категории мерки, задължителни за всички субекти:

1. Политики за анализ на риска и сигурност на информационните системи — документирана оценка на рисковете, актуализирана при съществена промяна в средата;
2. Управление на инциденти — процедури за идентификация, класификация, реагиране, докладване и анализ след инцидент;
3. Непрекъснатост на дейността и кризисно управление — планове за архивиране, възстановяване след авария (DR) и управление на кризи;
4. Сигурност на веригата на доставки — оценка на рисковете, произтичащи от доставчици на ИКТ продукти и услуги;
5. Сигурност при придобиване, разработване и поддържане на мрежи и информационни системи — управление на уязвимости, политики за сигурно разработване и тестове за проникване;
6. Политики и процедури за оценка на ефективността на мерките — вътрешен одит и измерване на ключови показатели за киберсигурност;
7. Основни практики по кибер-хигиена и обучение — задължително обучение на персонала, препоръчително не по-рядко от веднъж годишно;
8. Политики и процедури за употреба на криптография и шифриране — включително управление на криптографски ключове;
9. Сигурност на човешките ресурси, контрол на достъпа и управление на активи — ролеви достъп (RBAC), управление на привилегировани акаунти и инвентаризация на ИТ активи;
10. Многофакторна автентикация (MFA) или непрекъсната автентикация — задължителна за отдалечен достъп и административни интерфейси.

Мерките трябва да са пропорционални на риска, размера и сектора на субекта (чл. 21, § 1 от Директивата). Малко дружество с 60 служители не прилага същия обем документация като оператор на критична инфраструктура, но трябва да покрие всичките 10 категории поне на базово ниво. Пропускането дори на една категория е самостоятелно основание за санкция при проверка от регулатора.

Имате нужда от помощ при определяне на приложимото ниво на мерките? Свържете се с нас за преглед.

Регистрация пред компетентния орган и уведомяване при инцидент (24 ч. / 72 ч. / 1 месец)

Обхванатите субекти са длъжни да се регистрират пред компетентния орган по реда на националното законодателство. В България Националният координатор по киберсигурност координира прилагането на NIS2 като рамков орган. Министерството на електронното управление (МЕУ) — наследник на Държавна агенция „Електронно управление" (ДАЕУ) — изпълнява функциите на компетентен орган за значителна част от покритите сектори; за регулираните сектори тези функции се осъществяват от съответния отраслов регулатор. Регистрацията на субектите се извършва в националния регистър, поддържан по реда на Закона за киберсигурност, чрез подаване на декларация в установения от компетентния орган формат и срок. Нерегистрираните субекти не могат да изпълнят задълженията по уведомяване и са автоматично изложени на санкционен риск.

Задължителното уведомяване при инцидент — три хоризонта

При значим инцидент — такъв, който засяга наличността, автентичността, целостта или поверителността на данните или услугите и може да причини сериозни оперативни или финансови последствия — субектите следват триетапния режим на чл. 23 от Директивата:

• 24 часа от узнаването — ранно предупреждение до компетентния орган и до CERT.bg (националният CSIRT, функциониращ към МЕУ); съдържа минимална първоначална информация: засегнати системи и предварителна оценка на обхвата;
• 72 часа от узнаването — пълно уведомление до компетентния орган с актуализирана оценка, естество на инцидента, вероятна причина и предприети мерки за ограничаване;
• 1 месец от уведомлението — окончателен доклад с детайлен анализ на причините, индикатори за компрометиране (IoC), оценка на последствията и препоръки за предотвратяване на бъдещи инциденти.

Пропускането дори на 24-часовия хоризонт се квалифицира като самостоятелно нарушение и може да доведе до санкция, независимо дали самият инцидент е причинил материална вреда. Вътрешният план за реагиране при инцидент (Incident Response Plan) трябва да описва конкретно кой подава уведомленията, в какъв формат и по кой канал, и да е тестван преди реална ситуация.

Отговорност на управителя и лични глоби до 2% от оборота

NIS2 въвежда лична отговорност на ръководните органи — нов елемент спрямо NIS1. Съгласно чл. 20 от Директива (ЕС) 2022/2555 ръководните органи на субекта одобряват мерките по чл. 21, надзирават изпълнението им и носят лична отговорност при нарушение. За съществени субекти чл. 32, § 5 от Директивата предвижда и допълнителна надзорна мярка: компетентният орган може да разпореди временно отстраняване на управителя от изпълнение на ръководни функции, когато субектът системно или грубо не спазва задълженията си. Тази мярка не е предвидена за важни субекти. Мярката е административна и не изисква влязла в сила присъда по наказателното производство.

Размер на глобите по категория субект

Директивата предвижда диференцирани административни санкции:

• Съществени субекти: до 10 000 000 EUR или 2% от общия световен годишен оборот — прилага се по-голямата от двете стойности;
• Важни субекти: до 7 000 000 EUR или 1,4% от общия световен годишен оборот — прилага се по-голямата от двете стойности.

За МСП с оборот от 15 млн. EUR „1,4%" означава санкция до 210 000 EUR за едно нарушение. При системни нарушения или при инцидент, довел до публично разкриване на данни, регуляторите могат да наложат и задължение за публично обявяване на нарушителя и неспазените задължения — репутационна мярка с дългосрочни търговски последствия, която не може да се покрие с застраховка.

Управителят на вашето дружество носи лична отговорност. Обсъдете позицията си с нашия екип преди регулаторна проверка.

Практически стъпки: gap analysis, ISMS, договори с доставчици

Пълното съответствие с NIS2 задълженията за малки и средни предприятия не се постига с еднократна мярка. За дружество с 50–200 служители процесът реалистично отнема между 3 и 9 месеца в зависимост от текущото ниво на зрялост. Препоръчваме структуриран подход в три фази:

Фаза 1 — Gap analysis (1–4 седмици)

Съпоставяне на текущото ниво на сигурност с изискванията по чл. 21 от Директивата. Резултатът е списък с пропуски, приоритизирани по риск и разходи за отстраняване. Gap analysis трябва да обхване: наличие на писмени политики за сигурност, управление на достъпа и привилегировани акаунти, прилагане на MFA, управление на уязвимости, журнали за одит (logs), процедура за инциденти и договорни клаузи с ИТ доставчици.

Фаза 2 — Внедряване на ISMS (2–6 месеца)

Изграждане или адаптиране на Система за управление на информационната сигурност (ISMS). При МСП няма задължение за сертификация по ISO/IEC 27001, но стандартът е de facto референтна рамка, разпозната от регуляторите. Задължителните документи включват: Политика за информационна сигурност, Регистър на рисковете, Процедура за управление на инциденти, Планове за непрекъснатост на дейността и Регистър на активите. Всеки документ трябва да е одобрен от управителя — изискване по чл. 20 от Директивата.

Фаза 3 — Договори с доставчици и регистрация

Чл. 21, § 2, б. „г" от Директивата изисква оценка на рисковете в цялата верига на доставки. На практика това означава: клаузи за сигурност в договорите с ИТ доставчици (SaaS, облак, аутсорсинг), право на одит и задължение за уведомяване при инцидент от страна на доставчика в срок не по-дълъг от 24 часа. Типичните договорни клаузи включват: стандарт на защита не по-нисък от NIS2/ISO 27001, право на независим технически одит веднъж годишно, задължение за незабавно уведомяване при инцидент и право на прекратяване при грубо нарушение.

В края на фаза 3 регистрирайте дружеството в регистъра при компетентния орган по реда на Закона за киберсигурност и проведете симулация на инцидент (tabletop exercise), за да проверите дали процедурите работят при реален сценарий преди регулаторна проверка.

Често задавани въпроси