NIS2 в България 2026: попадате ли и какво трябва да направите до 2027

Кой попада: важен субект vs съществен субект (праг >50 души, >10 млн. EUR)

NIS2 разделя обхванатите организации в два класа. Съществени субекти (essential entities) са операторите в секторите с висока критичност от Приложение I към Директивата: енергетика, транспорт, банково дело, инфраструктури на финансовите пазари, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на ИКТ услуги, публична администрация и космос. Прагът за тях е ≥250 служители или годишен оборот ≥50 млн. EUR и годишен баланс ≥43 млн. EUR (чл. 3, § 1 от Директива (ЕС) 2022/2555 във връзка с Препоръка 2003/361/ЕО на Комисията за дефиниция на голямо предприятие).

Важни субекти (important entities) обхващат средните предприятия в същите сектори плюс допълнителните от Приложение II: пощенски и куриерски услуги, управление на отпадъци, производство и разпространение на химикали, производство и преработка на храни, производство на медицински изделия, електронно оборудване, машини и МПС, цифрови доставчици и научноизследователски организации. Прагът е ≥50 служители или оборот ≥10 млн. EUR (чл. 3, § 2 от Директивата, по критериите за средно предприятие съгласно Препоръка 2003/361/ЕО). Дружество с точно 51 служители и оборот от 4 млн. EUR в сектора на пощенски услуги вече е важен субект и подлежи на пълния режим.

Нови сектори спрямо NIS1

NIS2 разширява покритите сектори до 18 — 11 в Приложение I (сектори с висока критичност) и 7 в Приложение II (други критични сектори) — спрямо 7-те вида оператори на основни услуги по NIS1. Практически важни добавки за МСП в България:

• Здравеопазване — болници, медицински лаборатории, производители на медицински изделия и in vitro диагностика, доставчици на здравни ИТ системи (Приложение I, т. 5);
• Храни — производство, преработка и дистрибуция на хранителни продукти с оборот ≥10 млн. EUR (Приложение II, т. 7);
• Управление на ИКТ услуги (B2B) — доставчици на управлявани услуги (MSP), доставчици на управлявани услуги за сигурност (MSSP), центрове за данни, CDN доставчици (Приложение I, т. 8);
• Пощенски и куриерски услуги — включително платформи за доставка на колети (Приложение II, т. 1).

Изключения и специални правила

Директивата изключва микро- и малки предприятия (под 50 служители и под 10 млн. EUR оборот), но предвижда изключения от изключението: доставчиците на TLD-услуги, DNS регистрите, квалифицираните доверителни услуги и отделни оператори на критична инфраструктура попадат независимо от размера (чл. 2, § 2). Дъщерни дружества на международни групи се преценяват самостоятелно — данните на холдинга не се консолидират автоматично при определяне на праговете за местното ЕООД.

Не сте сигурни в кой сектор попада дейността ви? Свържете се с нас за квалификационен анализ.

10-те технически и организационни мерки по чл. 21 от Директивата

Член 21 от Директива (ЕС) 2022/2555 задължава всеки обхванат субект да прилага подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежите и информационните системи. Директивата посочва минимум десет категории мерки, задължителни за всички субекти:

1. Политики за анализ на риска и сигурност на информационните системи — документирана оценка на рисковете, актуализирана при съществена промяна в средата;
2. Управление на инциденти — процедури за идентификация, класификация, реагиране, докладване и анализ след инцидент;
3. Непрекъснатост на дейността и кризисно управление — планове за архивиране, възстановяване след авария (DR) и управление на кризи;
4. Сигурност на веригата на доставки — оценка на рисковете, произтичащи от доставчици на ИКТ продукти и услуги;
5. Сигурност при придобиване, разработване и поддържане на мрежи и информационни системи — управление на уязвимости, политики за сигурно разработване и тестове за проникване;
6. Политики и процедури за оценка на ефективността на мерките — вътрешен одит и измерване на ключови показатели за киберсигурност;
7. Основни практики по кибер-хигиена и обучение — задължително обучение на персонала, препоръчително не по-рядко от веднъж годишно;
8. Политики и процедури за употреба на криптография и шифриране — включително управление на криптографски ключове;
9. Сигурност на човешките ресурси, контрол на достъпа и управление на активи — ролеви достъп (RBAC), управление на привилегировани акаунти и инвентаризация на ИТ активи;
10. Многофакторна автентикация (MFA) или непрекъсната автентикация — задължителна за отдалечен достъп и административни интерфейси.

Мерките трябва да са пропорционални на риска, размера и сектора на субекта (чл. 21, § 1 от Директивата). Малко дружество с 60 служители не прилага същия обем документация като оператор на критична инфраструктура, но трябва да покрие всичките 10 категории поне на базово ниво. Пропускането дори на една категория е самостоятелно основание за санкция при проверка от регулатора.

Имате нужда от помощ при определяне на приложимото ниво на мерките? Свържете се с нас за преглед.

Регистрация пред компетентния орган и уведомяване при инцидент (24 ч. / 72 ч. / 1 месец)

Обхванатите субекти са длъжни да се регистрират пред компетентния орган по реда на националното законодателство. В България Националният координатор по киберсигурност координира прилагането на NIS2 като рамков орган. Министерството на електронното управление (МЕУ) — наследник на Държавна агенция „Електронно управление" (ДАЕУ) — изпълнява функциите на компетентен орган за значителна част от покритите сектори; за регулираните сектори тези функции се осъществяват от съответния отраслов регулатор. Регистрацията на субектите се извършва в националния регистър, поддържан по реда на Закона за киберсигурност, чрез подаване на декларация в установения от компетентния орган формат и срок. Нерегистрираните субекти не могат да изпълнят задълженията по уведомяване и са автоматично изложени на санкционен риск.

Задължителното уведомяване при инцидент — три хоризонта

При значим инцидент — такъв, който засяга наличността, автентичността, целостта или поверителността на данните или услугите и може да причини сериозни оперативни или финансови последствия — субектите следват триетапния режим на чл. 23 от Директивата:

• 24 часа от узнаването — ранно предупреждение до компетентния орган и до CERT.bg (националният CSIRT, функциониращ към МЕУ); съдържа минимална първоначална информация: засегнати системи и предварителна оценка на обхвата;
• 72 часа от узнаването — пълно уведомление до компетентния орган с актуализирана оценка, естество на инцидента, вероятна причина и предприети мерки за ограничаване;
• 1 месец от уведомлението — окончателен доклад с детайлен анализ на причините, индикатори за компрометиране (IoC), оценка на последствията и препоръки за предотвратяване на бъдещи инциденти.

Пропускането дори на 24-часовия хоризонт се квалифицира като самостоятелно нарушение и може да доведе до санкция, независимо дали самият инцидент е причинил материална вреда. Вътрешният план за реагиране при инцидент (Incident Response Plan) трябва да описва конкретно кой подава уведомленията, в какъв формат и по кой канал, и да е тестван преди реална ситуация.

Отговорност на управителя и глоби за дружеството до 2% от оборота

NIS2 въвежда лична отговорност на ръководните органи — нов елемент спрямо NIS1. Съгласно чл. 20 от Директива (ЕС) 2022/2555 ръководните органи на субекта одобряват мерките по чл. 21, надзирават изпълнението им и носят лична отговорност при нарушение. За съществени субекти чл. 32, § 5 от Директивата предвижда и допълнителна надзорна мярка: компетентният орган може да разпореди временно отстраняване на управителя от изпълнение на ръководни функции, когато субектът системно или грубо не спазва задълженията си. Тази мярка не е предвидена за важни субекти. Мярката е административна и не изисква влязла в сила присъда по наказателното производство.

Размер на глобите по категория субект

Глобите по чл. 34 от Директивата се налагат на дружеството (субекта), не лично на управителя. Държавите трябва да предвидят таван не по-нисък от:

• Съществени субекти: до 10 000 000 EUR или 2% от общия световен годишен оборот — прилага се по-голямата от двете стойности;
• Важни субекти: до 7 000 000 EUR или 1,4% от общия световен годишен оборот — прилага се по-голямата от двете стойности.

Процентът от оборота е по-високият таван едва при световен оборот над 500 млн. EUR, затова за типично МСП горната граница по Директивата е 7 млн. EUR за важен субект и 10 млн. EUR за съществен. Конкретните размери в България определя националният закон, който въвежда Директивата. При системни нарушения или при инцидент, довел до публично разкриване на данни, регуляторите могат да наложат и задължение за публично обявяване на нарушителя и неспазените задължения — репутационна мярка с дългосрочни търговски последствия, която не може да се покрие с застраховка.

Управителят на вашето дружество носи лична отговорност. Обсъдете позицията си с нашия екип преди регулаторна проверка.

Практически стъпки: gap analysis, ISMS, договори с доставчици

Пълното съответствие с NIS2 задълженията за малки и средни предприятия не се постига с еднократна мярка. За дружество с 50–200 служители процесът реалистично отнема между 3 и 9 месеца в зависимост от текущото ниво на зрялост. Препоръчваме структуриран подход в три фази:

Фаза 1 — Gap analysis (1–4 седмици)

Съпоставяне на текущото ниво на сигурност с изискванията по чл. 21 от Директивата. Резултатът е списък с пропуски, приоритизирани по риск и разходи за отстраняване. Gap analysis трябва да обхване: наличие на писмени политики за сигурност, управление на достъпа и привилегировани акаунти, прилагане на MFA, управление на уязвимости, журнали за одит (logs), процедура за инциденти и договорни клаузи с ИТ доставчици.

Фаза 2 — Внедряване на ISMS (2–6 месеца)

Изграждане или адаптиране на Система за управление на информационната сигурност (ISMS). При МСП няма задължение за сертификация по ISO/IEC 27001, но стандартът е de facto референтна рамка, разпозната от регуляторите. Задължителните документи включват: Политика за информационна сигурност, Регистър на рисковете, Процедура за управление на инциденти, Планове за непрекъснатост на дейността и Регистър на активите. Всеки документ трябва да е одобрен от управителя — изискване по чл. 20 от Директивата.

Фаза 3 — Договори с доставчици и регистрация

Чл. 21, § 2, б. „г" от Директивата изисква оценка на рисковете в цялата верига на доставки. На практика това означава: клаузи за сигурност в договорите с ИТ доставчици (SaaS, облак, аутсорсинг), право на одит и задължение за уведомяване при инцидент от страна на доставчика в срок не по-дълъг от 24 часа. Типичните договорни клаузи включват: стандарт на защита не по-нисък от NIS2/ISO 27001, право на независим технически одит веднъж годишно, задължение за незабавно уведомяване при инцидент и право на прекратяване при грубо нарушение.

В края на фаза 3 регистрирайте дружеството в регистъра при компетентния орган по реда на Закона за киберсигурност и проведете симулация на инцидент (tabletop exercise), за да проверите дали процедурите работят при реален сценарий преди регулаторна проверка.

Често задавани въпроси