NIS2 и новият Закон за киберсигурност: кои фирми имат задължения

Директивата за мрежова и информационна сигурност (NIS2) променя из основи подхода към корпоративната сигурност в Европейския съюз. Тя превръща киберсигурността от технически ИТ въпрос в пряка отговорност на висшето ръководство. С приемането на Закона за изменение и допълнение на Закона за киберсигурност от 51-вото Народно събрание, обнародван в „Държавен вестник“ на 13 февруари 2026 година, тези изисквания стават част от българския правен ред. За компаниите в обхвата започва период на строг надъм и сериозни санкции при неизпълнение.

Какво е NIS2 и защо се появи

Първоначалната директива от 2016 година заложи основите на мрежовата сигурност в съюза, но бързо се оказа недостатъчна срещу еволюцията на киберзаплахите. Директива (ЕС) 2022/2555 (NIS2), приета на 14 декември 2022 година, има за цел да уеднакви и повиши нивото на защита в целия съюз. Държавите членки трябваше да я транспонират и да прилагат мерките от 18 октомври 2024 година, когато официално бе отменена предходната рамка.

Българският закон за изменение и допълнение от февруари 2026 година въвежда тези европейски правила в националното законодателство. Законът предвижда конкретни срокове за институциите: Министерският съвет трябваше да определи компетентните органи в шестмесечен срок от влизането в сила на закона и да приеме съответната наредба в осеммесечен срок. Самите органи трябва да определят списъка със съществените и важните субекти до пет месеца след решението на правителството. На европейско ниво рамката продължава да се развива, като през януари 2026 година Европейската комисия предложи целеви изменения за облекчаване на определени категории компании, но българският закон вече е факт и изисква незабавно съобразяване.

Съществени и важни субекти и обхват

Новата нормативна уредба разделя засегнатите организации на две основни категории – съществени и важни субекти. Това разграничение определя както тежестта на надзора, така и размера на потенциалните финансови санкции при нарушения.

По българския закон съществени субекти са организациите от видовете в приложение I, които надхвърлят горната граница за средни предприятия според Закона за малките и средните предприятия. В тази група попадат и определени структури независимо от техния размер, като например доставчици на DNS услуги и квалифицирани удостоверителни услуги. Важните субекти обхващат по-широк кръг предприятия от сектори с висока критичност, които не покриват праговете за съществени.

Държавите членки имаха задължение да изготвят официални списъци на тези субекти и да ги преразглеждат поне на всеки две години, за да отразяват промените в икономическата среда.

Задълженията на ръководството и лична отговорност

Най-съществената промяна в NIS2 е прехвърлянето на отговорността върху висшето управление на компанията. Ръководните органи на съществените и важните субекти вече не могат просто да делегират киберсигурността на ИТ отдела.

Членовете на управителните органи одобряват официално мерките за управление на киберрисковете и активно надзариват тяхното изпълнение. Законът вменява ново задължение за самите ръководители – те са длъжни да преминават специализирани обучения, за да разбират естеството на рисковете и методите за тяхното управление. При установяване на нарушения на тези задължения, управителите или членовете на управителните органи подлежат на персонални глоби от 500 до 5000 евро.

Докладване на инциденти: 24 часа, 72 часа, един месец

Навременната реакция при кибератака е критична за ограничаване на щетите. Законът въвежда строги срокове за уведомяване на националните компетентни органи, в частност СЕРИКС, при възникване на значителен инцидент. Процесът на докладване следва три стъпки:

• Ранно предупреждение: подава се до 24 часа след установяване на значителния инцидент;
• Уведомление с първоначална оценка: подава се до 72 часа и включва предварителни данни за мащаба и естеството на атаката;
• Окончателен доклад: представя се не по-късно от един месец след подаване на първоначалното уведомление.

Санкции по българския закон и преходен период

Финансовата тежест при неспазване на изискванията за киберсигурност е сериозна. Законодателят е заложил солени имуществени санкции, обвързани с оборота на компаниите, за да гарантира спазването на правилата.

На съществен субект, който не изпълнява основните си задължения по закон, се налага имуществена санкция до 10 000 000 евро или до 2% от световния годишен оборот, като се прилага по-високата сума, но не по-малко от 25 000 евро. За важен субект санкцията е до 7 000 000 евро или до 1,4% от оборота, но не по-малко от 12 500 евро.

Законът предвижда важен преходен период за бизнеса. За нарушения, извършени до 1 юни 2026 година, наложените глоби и имуществени санкции се намаляват с 50%. След тази дата се прилага пълният размер на санкциите без изключения.

Първите задачи за управителните органи

Първата стъпка е преглед на структурата и дейността на дружеството, за да се установи дали попада в категорията на съществените или важните субекти. Ръководството трябва да инициира одити на съществуващите мерки за сигурност и да осигури ресурси за тяхното надграждане. Задължително е членовете на управителните органи да преминат предвидените обучения по киберсигурност. Накрая, дружествата следва да изградят или актуализират вътрешни процедури за бързо идентифициране и докладване на инциденти в законовите срокове от 24 часа, тъй като намалението на санкциите с 50% важи само за нарушения, извършени до 1 юни 2026 г.