Киберсигурност за фирми — задължения по NIS2 и ЗКС

Разбирането и прилагането на изискванията на NIS2 и ЗКС е от критично значение не само за избягване на сериозни санкции, но и за опазване на репутацията, финансовата стабилност и непрекъсваемостта на дейността на всяка организация. Директивата NIS2 разширява обхвата си значително в сравнение с предшественика си (NIS1), въвеждайки по-строги мерки, по-широк кръг от обхванати субекти и по-конкретни изисквания за управление на риска и докладване на инциденти. Пренасянето ѝ в българското законодателство чрез ЗКС (или съответните промени в вече съществуващия Закон за киберсигурност, ако такъв бъде изменен, или нов закон) ще постави ясни рамки за всички засегнати предприятия.

Защо киберсигурността е толкова важна днес?

През последните години наблюдаваме ескалация на кибератаките, както по брой, така и по сложност. От рансъмуер атаки, които парализират цели индустрии, до фишинг кампании, целящи кражба на чувствителни данни, заплахите са многообразни и постоянно еволюиращи. Последиците от успешна кибератака могат да бъдат катастрофални за бизнеса:

Финансови загуби: преки загуби от откраднати средства, разходи за възстановяване на системи, глоби за нарушаване на регулации (напр. GDPR).
Нарушаване на бизнес процеси: спиране на операциите, прекъсване на производството или предоставянето на услуги, което води до загуба на приходи и клиенти.
Загуба на репутация: уронване на доверието на клиенти и партньори, което може да има дългосрочни негативни последици.
Правни последици: санкции от регулаторни органи, съдебни искове от засегнати страни.
Компрометиране на данни: изтичане на чувствителна фирмена информация, лични данни на служители и клиенти.

Именно поради тези причини, законодателите на европейско и национално ниво предприемат активни мерки за укрепване на киберсигурността, поставяйки акцент върху превенцията и бързата реакция.

Правна рамка: NIS2 и Закон за киберсигурност (ЗКС)

Законодателната рамка за киберсигурност в България се формира основно от две ключови групи нормативни актове: европейски директиви и национални закони. В центъра на вниманието са Директива NIS2 и българският Закон за киберсигурност (ЗКС), който инкорпорира нейните разпоредби.

Директива (ЕС) 2022/2555 (NIS2)

Директива (ЕС) 2022/2555, известна като NIS2, е наследник на оригиналната Директива за мрежова и информационна сигурност (NIS1) от 2016 г. Тя влиза в сила на 16 януари 2023 г., като държавите членки имат срок до 17 октомври 2024 г. да я транспонират в националното си законодателство. Основната цел на NIS2 е да повиши общото ниво на киберсигурност в целия Европейски съюз, като разшири обхвата на засегнатите субекти, укрепи изискванията за управление на риска и докладване на инциденти, и хармонизира подходите за надзор и прилагане на санкции.

Основни новости в NIS2:

Разширен обхват: NIS2 значително увеличава броя на секторите и видовете предприятия, които попадат под регулация. Вече не само „оператори на основни услуги“ и „доставчици на цифрови услуги“ са засегнати. Директивата въвежда категориите „съществени субекти“ (essential entities) и „важни субекти“ (important entities), като определя тавани за размер въз основа на брой служители и годишен оборот, както и конкретни сектори.
По-стриктни изисквания за управление на риска: Дефинира се минимален списък от мерки за киберсигурност, които субектите трябва да прилагат. Те включват:

Анализ на риска и политики за сигурност на информационните системи.
Управление на инциденти.
Непрекъснатост на дейността и управление на кризи (вкл. създаване на планове за възстановяване след бедствие).
Сигурност на веригата за доставки, включително аспекти, свързани с взаимоотношенията с доставчици и доставчици на услуги.
Сигурност при придобиване, разработване и поддръжка на мрежови и информационни системи; управление на уязвимости.
Политики и процедури за изпитване на ефективността на мерките за киберсигурност (напр. одити и пенетрейшън тестове).
Използване на криптография и криптографски контроли.
Сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи.
Многофакторна автентикация или непрекъснати адаптивни механизми за автентикация, защитени гласови, видео- и текстови комуникации и защитени аварийни комуникационни системи, когато е целесъобразно.

По-бързо докладване на инциденти: Въвеждат се по-кратки срокове за уведомяване на компетентните органи – 24 часа за ранно предупреждение за значителни инциденти и 72 часа за първоначален доклад.
По-силна надзорна функция и правоприлагане: Компетентните органи получават по-големи правомощия за надзор, включително провеждане на инспекции, одити и заявки за информация. Въвеждат се и по-строги административни санкции за неспазване, включително глоби, достигащи до 10 милиона евро или 2% от общия годишен световен оборот за „съществени субекти“ и до 7 милиона евро или 1.4% за „важни субекти“.
Отговорност на ръководството: Членовете на управителните органи на съществените и важните субекти се изискват да одобряват мерките за киберсигурност и да упражняват надзор върху тяхното изпълнение, като носят отговорност за неспазването.

Закон за киберсигурност (ЗКС) в България

Ключови аспекти на ЗКС (очаквани):

Дефиниране на обхванатите субекти: След измененията през 2026 г. Законът за киберсигурност прилага разширения обхват на NIS2 и разграничението между „съществени“ и „важни“ субекти. Това ще включва широк кръг от организации в секторите енергетика, транспорт, банкиране, финансови пазарни инфраструктури, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на ИКТ услуги, публична администрация, космическа индустрия, пощенски и куриерски услуги, управление на отпадъци, производство, цифрови доставчици (търсачки, облачни услуги, онлайн пазари) и др.
Национални изисквания за мерки за сигурност: Обхванатите субекти трябва да прилагат мерките за управление на киберриска, предвидени в действащия Закон за киберсигурност и приложимите секторни/подзаконови правила.
Процедури за докладване на инциденти: Докладването на значими инциденти се извършва по действащите процедури и срокове към компетентния CSIRT и/или секторен орган според приложимия режим; организациите трябва да използват актуалните указания на компетентния орган, а не стария модел с един-единствен адресат.
Надзор и контрол: Надзорът е разпределен между компетентните органи по сектори, които могат да извършват проверки, да изискват информация и да прилагат предвидените в закона мерки.
Административнонаказателни разпоредби: Административнонаказателният режим се определя от действащия Закон за киберсигурност; за конкретен случай трябва да се провери приложимата разпоредба и компетентният надзорен орган.

Актуално към 13 октомври 2026 г.: транспонирането на NIS2 е въведено чрез измененията на Закона за киберсигурност, приети на 5 февруари 2026 г. и обнародвани в ДВ, бр. 17 от 13 февруари 2026 г. Законът предвижда секторни национални компетентни органи и конкретни преходни срокове; затова фирмата трябва да установи кой орган е компетентен за нейния сектор, а не да приема, че един орган отговаря за всички субекти.

Обхванати субекти: Кой попада под ударите на NIS2/ЗКС?

NIS2 и ЗКС прилагат така наречения „правило за размера плюс“ подход, което означава, че всички средни и големи предприятия в определени сектори са обхванати. Допълнително, дори и малки предприятия могат да попаднат под регулация, ако са от критично значение за икономиката или обществото. Директивата прави разграничение между „съществени“ и „важни“ субекти, като за първите са предвидени по-строги надзорни мерки и санкции.

Категория „Съществени субекти“ (Essential Entities)

Това са компании и организации с голямо публично или икономическо значение. Включват средни и големи предприятия в следните сектори:

Енергетика: Производство, пренос и разпределение на електричество, топлоенергия, нефт, газ, водород.
Транспорт: Въздушен, железопътен, воден и автомобилен транспорт.
Банков сектор: Кредитни институции.
Инфраструктури на финансовите пазари: Оператори на търговски платформи, централни контрагенти.
Здравеопазване: Доставчици на здравни услуги (болници, клиники, други лечебни заведения), референтни лаборатории, доставчици на фармацевтични продукти и медицински изделия.
Питейна вода: Доставчици и разпространители.
Отпадъчни води: Предприятия за събиране и отвеждане на отпадъчни води.
Цифрова инфраструктура: Доставчици на системи за имена на домейни (DNS), регистри на домейни от високо ниво (TLD), доставчици на IaaS (инфраструктура като услуга), доставчици на CDN (мрежи за доставка на съдържание), доставчици на тръстови услуги, оператори на интернет обменни точки.
Управление на ИКТ услуги: Доставчици на управляеми услуги (MSP) и доставчици на управляеми услуги за сигурност (MSSP).
Органи на публичната администрация: Централни и местни органи на властта.
Космическа индустрия: Оператори на наземна инфраструктура.

Категория „Важни субекти“ (Important Entities)

Това са всички останали средни и големи предприятия, които не попадат в категорията „съществени“, но работят в сектори, които имат значение за функционирането на обществото и икономиката. Списъкът включва:

Пощенски и куриерски услуги.
Управление на отпадъци.
Производство: Производство на медицински изделия, фармацевтични продукти, химикали, храни, електроника, машини, моторни превозни средства и други критични продукти.
Доставчици на цифрови услуги: Онлайн пазари, онлайн търсачки, доставчици на услуги на социални мрежи.
Научни изследвания: Изследователски организации.

Малки предприятия: Дори малки предприятия могат да бъдат класифицирани като съществени или важни субекти, ако са единствени доставчици на услуги в определен регион, или ако нарушение на сигурността им може да има сериозни трансгранични или междусекторни въздействия. Националните власти имат право да определят и други субекти въз основа на специфични национални критерии.

Основни задължения за киберсигурност по NIS2/ЗКС

Задълженията по NIS2 и ЗКС обхващат широк спектър от мерки, насочени към управление на риска, осигуряване на непрекъсваемост на бизнеса и ефективно докладване на инциденти. Ръководството на всяка обхвана по тази директива и закон фирма трябва активно да участва и да носи отговорност.

1. Управление на риска за киберсигурността

Всеки обхванат субект е длъжен да въведе адекватни и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежовите и информационните системи. Тези мерки трябва да бъдат основани на оценка на риска и да са съобразени с конкретния профил на заплахите и нуждите на организацията. Минималните изисквания включват:

Политики за анализ на риска и сигурност: Разработване, внедряване и редовно преразглеждане на политики, определящи подхода на организацията към управлението на риска и защитата на информационните активи.
Управление на инциденти: Процедури за откриване, анализ, локализиране, реагиране и възстановяване след инциденти със сигурността.
Непрекъснатост на дейността и управление на кризи: Планове за възстановяване след бедствие (disaster recovery plans), мерки за непрекъснатост на дейността и резервни процедури (business continuity plans). Това включва и редовно тестване на тези планове.
Сигурност на веригата за доставки: Оценка на рисковете, свързани с доставчици и външни изпълнители, и интегриране на изисквания за киберсигурност в договори с тях. Това е особено важно, тъй като атаките през веригата за доставки стават все по-чести.
Сигурност при придобиване, разработване и поддръжка на мрежови и информационни системи: Внедряване на принципи за сигурност по проект (security by design) и сигурност по подразбиране (security by default), както и процедури за управление на уязвимости и прилагане на актуализации.
Политики и процедури за изпитване: Редовно тестване и оценка на ефективността на мерките за киберсигурност, включително одити и пенетрейшън тестове.
Криптография и криптографски контроли: Правилно прилагане на криптографски решения за защита на данни при съхранение и пренос.
Сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи: Обучение на служителите, ясни политики за предоставяне и отнемане на достъп, инвентаризация и управление на всички информационни активи.
Мултифакторна автентикация (MFA): Прилагане на MFA или сходни механизми за контрол на достъпа, особено за привилегировани акаунти и отдалечен достъп.

2. Докладване на инциденти

Едно от най-важните и съществени промени в NIS2/ЗКС е задължението за бързо докладване на инциденти със значително въздействие. Целта е да се подобри колективната способност за реагиране и да се предотврати разпространението на атаки. Сроковете са следните:

Ранно предупреждение: В рамките на 24 часа от узнаването за значителен инцидент. Този доклад трябва да посочва дали инцидентът има трансгранично въздействие и, ако е възможно, предполагаемата причина за инцидента.
Първоначален доклад: В рамките на 72 часа от узнаването за значителен инцидент. Този доклад трябва да актуализира информацията от ранното предупреждение и да включва предварителна оценка на въздействието и индикатори за компрометиране (IOCs), ако са известни.
Окончателен доклад: В рамките на един месец от подаването на първоначалния доклад. Той трябва да предостави детайлно описание на инцидента, естеството и причината му, предприетите мерки за реакция и възстановяване, както и трансграничното въздействие, ако има такова.

„Значителен инцидент“ е този, който предизвиква или може да предизвика сериозно оперативно прекъсване на услугите или финансови загуби за съответния субект, или е засегнал или може да засегне други физически или юридически лица, причинявайки значителни материални или нематериални вреди.

3. Отговорност на ръководството

Членовете на управителните органи на съществените и важните субекти носят отговорност за неспазване на задълженията по киберсигурност. Те са длъжни да одобряват мерките за киберсигурност, да упражняват надзор върху тяхното изпълнение и да получават редовно обучение по киберсигурност. Това изискване подчертава необходимостта от проактивно ангажиране на висшето ръководство с темата за киберсигурността, като я извежда от чисто техническата сфера и я поставя като стратегически бизнес приоритет.

Документи, необходими за съответствие

За да докаже съответствие с NIS2/ЗКС, всяка организация ще трябва да разполага с набор от документирани политики, процедури и доказателства за изпълнение. Някои от ключовите документи включват:

Политика за управление на риска в областта на киберсигурността: Описва подхода на организацията към идентифициране, оценка, обработка и мониторинг на киберрисковете.
Политика за управление на инциденти: Описва процедурите за откриване, анализ, реагиране, възстановяване и докладване на инциденти.
План за непрекъснатост на дейността (Business Continuity Plan): Детайлизира как организацията ще продължи да функционира по време на или след инцидент, включително ролите, отговорностите и ресурсите.
План за възстановяване след бедствие (Disaster Recovery Plan): Специфичен план за възстановяване на ИТ системи и данни след сериозен инцидент или бедствие.
Политика за контрол на достъпа: Дефинира правилата за предоставяне, управление и отнемане на потребителски достъп до информационни системи и данни.
Политика за сигурност на информацията: Обхватен документ, който установява общите правила и принципи за защита на информацията.
Процедури за управление на уязвимости и актуализации (Patch Management): Описва процеса за идентифициране, оценка, приоритизиране и прилагане на корекции за сигурност.
Договори с трети страни и доставчици: С клаузи за киберсигурност и докладване на инциденти.
Записи от обучения по киберсигурност: Доказателство за проведени обучения на служители и ръководство.
Документи от одити и пенетрейшън тестове: Резултати и препоръки от проведени оценки на сигурността.
Регистър на активите: Инвентаризация на всички информационни активи.
Протоколи от доклади за инциденти: Водене на отчетност за всички докладвани и не докладвани инциденти.

Срокове и такси

Срокове за транспониране и прилагане:

17 октомври 2024 г.: Краен срок за транспониране на Директива NIS2 в националното законодателство на държавите членки, включително България.
24/72 часа и 1 месец: Срокове за докладване на значителни кибер инциденти, както е описано по-горе.

Такси и разходи:

Самият процес на привеждане в съответствие с NIS2/ЗКС не е свързан с държавни такси, които се заплащат за регистриране или сертифициране. Разходите произтичат от:

Консултантски услуги: Наемане на външни експерти за оценка на пропуските, разработване на политики и процедури. Цените варират значително – от 5 000 до 50 000+ евро, в зависимост от размера и сложността на организацията.
Технически решения: Инвестиции в софтуер и хардуер за киберсигурност – SIEM, EDR, защитни стени, криптиране и др. Това може да варира от няколко хиляди до стотици хиляди евро годишно, в зависимост от мащаба и нуждите.
Обучения: Разходи за провеждане на обучения за служители и ръководство. Могат да бъдат от 500 до 2 556 € за обучение на група.
Одити и тестове: Разходи за пенетрейшън тестове, одити на сигурността – от 3 000 до 30 000+ евро за един тест/одит, в зависимост от обхвата.
Вътрешни ресурси: Време и усилия на вътрешни екипи за киберсигурност и ИТ.

Общите разходи могат да бъдат значителни и е препоръчително да се планира бюджет за тях своевременно.

Права на обхванатите субекти:

Право на информация: Да получават информация и указания от компетентните органи относно изискванията на ЗКС.
Право на помощ: Да ползват услугите на CERT-BG при докладване на инциденти и търсене на съвет.
Право на обжалване: Да обжалват наложени административни наказания по предвидения в закона ред.
Право на достъп до най-добри практики: Да получават достъп до рамки за киберсигурност и добри практики, разработени от националните или европейските органи.

Задължения на обхванатите субекти:

Идентифициране: Да се самоидентифицират като „съществени“ или „важни“ субекти, ако отговарят на критериите, и да уведомят компетентния орган.
Прилагане на мерки: Да внедрят адекватни и пропорционални мерки за управление на кибер рискове съгласно ЗКС.
Докладване на инциденти: Да докладват значителни кибер инциденти в предвидените срокове и по установения ред.
Ангажираност на ръководството: Да гарантират, че ръководството одобрява мерките за киберсигурност и упражнява надзор върху тях.
Сътрудничество: Да сътрудничат с компетентните органи при провеждане на надзорни дейности.
Непрекъснатост: Да осигурят устойчивост на услугите чрез планове за непрекъснатост на дейността и възстановяване.

важни уточнения за прилагане на NIS2/ЗКС

Привеждането в съответствие с новите регулации може да бъде предизвикателство, но с правилния подход може да се превърне във възможност за укрепване на цялостната киберсигурност на вашата организация.

Не чакайте последния момент: Започнете процеса на оценка и планиране възможно най-рано. Транспонирането на NIS2 може да изглежда далеч, но внедряването на комплексни мерки изисква време и ресурси.
Ангажирайте висшето ръководство: Киберсигурността е стратегически въпрос, а не само ИТ проблем. Уверете се, че ръководството осъзнава важността на регулацията и е готово да инвестира необходимите ресурси.
Използвайте рамки за сигурност: За да улесните процеса, базирайте своите политики и процедури на утвърдени международни рамки като ISO 27001, NIST Cybersecurity Framework или CIS Controls. Тези рамки предлагат структуриран подход към управлението на сигурността.
Фокусирайте се върху основите: Преди да инвестирате в скъпи и сложни решения, уверете се, че основните мерки за сигурност са на място – управление на уязвимости, редовни архиви, контрол на достъпа, обучение на служители, MFA.
Мислете за веригата за доставки: Вашата сигурност е толкова силна, колкото най-слабото звено във вашата верига за доставки. Оценете рисковете, свързани с вашите доставчици и партньори, и изискайте от тях да спазват адекватни стандарти за сигурност.
Обучавайте редовно служителите си: Човешкият фактор често е най-голямата уязвимост. Редовните обучения за осведоменост по киберсигурност са от съществено значение.
Тествайте, тествайте, тествайте: Одитите и пенетрейшън тестовете не са еднократни събития. Те трябва да се извършват редовно, за да се идентифицират нови уязвимости и да се провери ефективността на мерките.
Разработете план за реакция при инциденти: Бъдете готови за най-лошото. Ясният и добре тестван план за реакция при инциденти е от решаващо значение за минимизиране на щетите и спазване на сроковете за докладване.
Сътрудничете с експерти: Ако вътрешните ви ресурси са ограничени, потърсете помощ от специализирани консултантски фирми по киберсигурност.

Често допускани грешки при прилагането на NIS2/ЗКС

За да избегнете проблематични ситуации и тежки санкции, е важно да сте наясно с често допусканите грешки:

Пренебрегване на самоидентификацията: Много фирми не осъзнават, че попадат в обхвата на NIS2/ЗКС. Неправилната самооценка може да доведе до пропускане на срокове и сериозни глоби.
Разглеждане на киберсигурността като чисто ИТ проблем: Делегацията на цялата отговорност за киберсигурността на ИТ отдела, без ангажиране на ръководството и други отдели, е рецепта за провал.
„Поставяне на отметка“ подход: Формалното изпълнение на изискванията, без реално прилагане на мерки и непрекъснато подобряване, не осигурява ефективна защита.
Липса на адекватна оценка на риска: Неправилната или непълна оценка на риска може да доведе до инвестиции в грешни области и пренебрегване на реални заплахи.
Подценяване на човешкия фактор: Недостатъчното обучение на служителите по киберсигурност ги прави уязвими за фишинг, социално инженерство и други атаки.
Недостатъчно тестване на плановете за непрекъсваемост: Плановете за възстановяване и непрекъсваемост на бизнеса често се създават, но не се тестват редовно, което ги прави неефективни в реална ситуация.
Липса на процедури за отчетност и докладване на инциденти: В условията на паника при инцидент, липсата на ясни процедури за кого, как и кога да се докладва, може да доведе до пропускане на критични срокове.
Пренебрегване на сигурността на веригата за доставки: Доставчиците и партньорите могат да бъдат врата за атаки към вашата организация. Липсата на контрол върху тяхната сигурност създава значителен риск.

Каква е основната разлика между NIS1 и NIS2?

NIS2 разширява обхвата на засегнатите субекти, включвайки много повече сектори и типове организации. Въвежда по-строги изисквания за мерки за киберсигурност и управление на риска, по-кратки срокове за докладване на инциденти и значително по-високи санкции за неспазване. NIS2 също така засилва отговорността на висшето ръководство за киберсигурността.

Как да разбера дали моята фирма е обхваната от NIS2/ЗКС?

Проверете дали попадате в някой от изброените сектори (енергетика, транспорт, здравеопазване, цифрови услуги и т.н. за „съществени“ или „важни“ субекти). Ако сте средно или голямо предприятие в тези сектори, най-вероятно сте обхванати. Дори ако сте малко предприятие, може да сте обхванати, ако сте единствен доставчик на критична услуга или инцидент при вас би имал сериозни последици. Проверете актуалния Закон за киберсигурност и указанията на компетентния за вашия сектор орган; след измененията от 2026 г. надзорът е секторно разпределен.

Какви са санкциите за неспазване на Закона за киберсигурност?

Санкциите са значителни и зависят от категорията на субекта. За „съществени субекти“, глобите могат да достигнат до 10 милиона евро или 2% от общия годишен световен оборот, което от двете е по-голямо. За „важни субекти“, те могат да достигнат до 7 милиона евро или 1.4% от общия годишен световен оборот. Освен финансовите санкции, неспазването води до репутационни щети, съдебни искове и оперативни прекъсвания.

Кой е компетентният орган по киберсигурност в България?

След измененията от февруари 2026 г. режимът не се свежда до един „основен“ орган. Законът определя национални компетентни органи по сектори, а министърът на електронното управление поддържа регистъра на обхванатите субекти и изпълнява координационни функции. За конкретна организация компетентният орган трябва да се определи според сектора и приложимите разпоредби на Закона за киберсигурност.

Колко често трябва да докладвам за кибер инциденти?

Необходимо е да докладвате само за „значителни“ кибер инциденти, които имат или могат да имат сериозно въздействие върху предоставянето на услуги или да причинят значителни финансови или репутационни щети. Сроковете са 24 часа за ранно предупреждение, 72 часа за първоначален доклад и един месец за окончателен доклад.

Мога ли да използвам външни консултанти за привеждане в съответствие с NIS2/ЗКС?

Да, изключително препоръчително е, особено за организации без сериозен вътрешен капацитет по киберсигурност. Външни консултанти могат да извършат оценка на пропуските, да разработят необходимите политики и процедури, да проведат обучения и да помогнат с внедряването на технически мерки. Изберете консултанти с доказан опит в областта на киберсигурността и познания по европейското и българското законодателство.

Какво означава „сигурност на веригата за доставки“ в контекста на NIS2?

Това означава, че трябва да оценявате и управлявате киберрисковете, произтичащи от вашите доставчици и партньори. Например, ако използвате облачна услуга от трета страна, трябва да договорите и изисквате от този доставчик адекватни мерки за киберсигурност. Атака срещу ваш доставчик може да ви засегне индиректно, ако ваши системи или данни са компрометирани чрез тях. Трябва да имате ясни клаузи в договорите си, които да адресират киберсигурността.