NIS2 в България: попада ли фирмата ви и какво да направите сега
На 5 февруари 2026 г. Народното събрание прие промени в Закона за киберсигурност, а на 13 февруари те бяха обнародвани в „Държавен вестник“, бр. 17. С тях България въведе европейската директива NIS2. За много фирми това е първият закон за киберсигурност, който ги засяга пряко. Ето накратко кой попада, какво се изисква и откъде да започнете.
Попада ли фирмата ви
Проверката има две стъпки: сектор и размер. Законът обхваща силно критични сектори, като енергетика, транспорт, банки, здравеопазване, води, цифрова инфраструктура и управление на ИКТ услуги за други фирми, и други критични сектори, като пощенски и куриерски услуги, управление на отпадъци, химикали, производство и разпространение на храни и определени производства.
По правило в обхвата са средните и големите предприятия: от 50 служители нагоре или с годишен оборот и баланс над 10 млн. евро. Броят се и свързаните фирми в групата. Някои дейности попадат независимо от размера, например доставчиците на публични електронни съобщения, на удостоверителни услуги и на DNS.
Фирмите в обхвата са два вида: съществени и важни субекти. Задълженията им са сходни. Разликата е в интензивността на надзора и в размера на глобите.
Какво се изисква
Мерки за управление на риска. Оценка на рисковете, контрол на достъпа, резервни копия, план за непрекъсваемост, сигурност на веригата за доставки и обработка на инциденти. Мерките трябва да са съразмерни на риска.
Отговорност на ръководството. Управителният орган одобрява мерките и следи прилагането им. Членовете му минават обучение по киберсигурност на всеки две години. За нарушения законът предвижда лични глоби от 500 до 5 000 евро.
Докладване на инциденти. При значителен инцидент: ранно предупреждение до 24 часа, уведомление с първоначална оценка до 72 часа и окончателен доклад до един месец.
Регистрация. Субектите се вписват в регистър, който не е публичен, и съобщават всяка промяна в данните си до две седмици.
Глобите
За съществените субекти: до 10 млн. евро или до 2% от световния годишен оборот, ако тази сума е по-голяма, с минимум 25 000 евро. За важните субекти: до 7 млн. евро или до 1,4% от оборота, с минимум 12 500 евро. Законът намаляваше глобите наполовина само за нарушения, извършени преди 1 юни 2026 г. Този преходен период вече изтече.
Ако не попадате
Ако сте малка фирма извън изброените сектори, законът вероятно не се отнася пряко за вас. Но ако работите като доставчик на фирма, която попада, тя трябва да управлява риска във веригата си за доставки. Затова може да получите договорни изисквания: стандарти за сигурност, срокове за уведомяване при инцидент, право на одит. Добре е да сте готови за тях.
Откъде да започнете
Първо проверете обхвата: сектор, размер, свързани фирми. После направете анализ на пропуските спрямо изискваните мерки. Прегледайте договорите с ИТ доставчиците си. Подгответе процедура, с която реално може да подадете ранно предупреждение до 24 часа, включително през уикенда. И запишете ръководството на обучение.
Тази статия е общ преглед, не правен съвет. За конкретния си случай се консултирайте с юрист. Ако искате помощ с техническата част, от оценката на риска до плана за инциденти, пишете ни.