С обнародваните на 13 февруари 2026 г. изменения и допълнения в Закона за киберсигурността (ЗКС), законодателят завършва транспонирането на Директива (ЕС) 2022/2555 (NIS2). Измененията въвеждат нова регулаторна рамка, която съществено разширява персоналния обхват на закона, конкретизира задълженията за управление на риска, прецизира режима на уведомяване при инциденти и значително завишава санкционния потенциал. Субектите, попадащи в приложното поле на ЗКС, следва да предприемат незабавни мерки за привеждане в съответствие с новите изисквания.
I. Разширен персонален обхват. Нова категоризация на субектите
Новото законодателно разграничава между две категории задължени лица:
- съществени субекти
- важни субекти.
Квалификацията е от ключово значение, тъй като определя интензитета на надзора и размера на приложимите санкции.
Като съществени субекти се определят лицата от видовете, посочени в Приложение I към закона (енергетика, транспорт, банки, финансови пазари, здравеопазване, водоснабдяване, цифрова инфраструктура и управление на ИКТ услуги), надхвърлящи горната граница за средни предприятия по смисъла на чл. 3, ал. 1 ЗМСП, доставчиците на квалифицирани удостоверителни услуги и DNS услуги – независимо от размера, както и субектите, определени преди влизането в сила на изменението като оператори на съществени услуги.
Всички останали субекти от Приложения I и II, отговарящи на критериите за средно предприятие (50 или повече служители или годишен оборот над 10 млн. евро), се квалифицират като важни субекти. Приложение II е значително разширено и вече обхваща пощенски и куриерски услуги, управление на отпадъци, химическа промишленост, хранително-вкусова промишленост, производство на медицинска техника, електроника, машиностроене, автомобилостроене, а от цифровите услуги – онлайн търговски платформи, търсачки и платформи за социални мрежи.
Независимо от размера на предприятието под разпоредбите на закона попадат и субекти, при които са налице специфични критерии по чл. 4, т. 3 ЗКС: единствен доставчик на услуга от съществено обществено или икономическо значение; субекти, чието смущение би застрашило обществената безопасност, сигурност или здраве, субекти с критична секторна значимост на национално или регионално ниво.
II. Задължения за управление на риска и за докладване
1. Мерки за управление на риска (чл. 22 ЗКС)
Съществените и важните субекти са длъжни да прилагат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете, свързани с мрежовите и информационните системи. Задължителният минимален обхват на мерките включва:
- политики за анализ на риска;
- процедури при инциденти;
- планове за непрекъснатост на дейността и възстановяване след бедствия;
- оценка на сигурността на веригата за доставки;
- многофакторна автентикация;
- политики за криптиране;
- обучение на персонала в областта на „киберхигиената“.
Особено внимание заслужава задължението за оценка на веригата за доставки (чл. 22, ал. 2, т. 4 ЗКС). Субектите следва да оценяват уязвимостите и практиките по киберсигурност на своите преки снабдители и доставчици на услуги, което на практика налага включването на съответни договорни клаузи в търговските отношения с контрагентите.
2. Задължения за уведомяване при инциденти (чл. 23 ЗКС)
При настъпване на значителен инцидент субектите са длъжни да уведомят Секторния екип за реагиране при инциденти с компютърната сигурност (СЕРИКС) при спазване на следните срокове:
- ранно предупреждение – до 24 часа от установяването;
- уведомление за инцидент с първоначална оценка – до 72 часа (за доставчиците на удостоверителни услуги – до 24 часа);
- окончателен доклад – не по-късно от един месец след подаването на уведомлението.
Паралелно с уведомяването на СЕРИКС, субектите са длъжни да информират и засегнатите получатели на техните услуги без ненужно забавяне.
III. Санкционен режим
Измененията въвеждат санкционни прагове, съизмерими с тези по Регламент (ЕС) 2016/679 (GDPR). При неизпълнение на задълженията по чл. 22 и 23 ЗКС:
- на съществен субект се налага имуществена санкция до 10 000 000 евро или до 2% от общия световен годишен оборот на предприятието (приложима е по-високата сума), но не по-малко от 25 000 евро;
- на важен субект – санкция до 7 000 000 евро или до 1,4% от оборота, но не по-малко от 12 500 евро.
Предвидена е и лична административнонаказателна отговорност на управителите и членовете на управителните органи на субектите – глоба от 500 до 5 000 евро. Компетентните органи разполагат с право да публикуват решенията си за установени нарушения, като по този начин инструментариумът на принудата обхваща и репутационни последици. Предвиден е преходен период: за нарушения, извършени преди влизането в сила на измененията, глобите и имуществените санкции се намаляват с 50%.
IV. Препоръчани действия
С оглед на горното, субектите, потенциално попадащи в приложното поле на изменения ЗКС, следва да предприемат следните стъпки в краткосрочен хоризонт:
- Правен анализ: Установяване дали дружеството попада в обхвата на Приложение I или II и в коя категория субекти се квалифицира.
- Регистрация: Подготовка за регистрация в регистъра по чл. 6 ЗКС след приемане на приложимата наредба на Министерски съвет.
- GAP анализ: Одит на съответствието с изискванията по чл. 22 ЗКС и изготвяне на план за отстраняване на установените пропуски.
- Договорна база: Преглед и актуализиране на договорите с ключови доставчици с цел въвеждане на клаузи за киберсигурност.
- Вътрешни политики и процедури: Изготвяне или актуализиране на политики за управление на риска, план за непрекъснатост на дейността и процедури за уведомяване при инциденти.
Заключение
Транспонирането на Директива NIS2 не е формален регулаторен акт, а то отразява трайна промяна в подхода на законодателя, при която киберсигурността се третира като споделена отговорност на публичния и частния сектор.
За бизнеса практическото значение на измененията се свежда до три основни извода. Първо, обхватът е значително разширен и много дружества, които досега не са имали задължения по ЗКС, вече попадат под неговото приложно поле. Второ, изискванията са конкретни и проверими и законът не допуска формално съответствие без реално внедрени мерки. Трето, санкционният режим цели, превантивното инвестиране в съответствие, което е икономически по-изгодно от реактивния подход след проверка или инцидент.
Субектите, попадащи в обхвата на закона, не следва да разглеждат привеждането в съответствие единствено като регулаторна тежест. Изградената рамка за управление на риска, защитената верига за доставки и готовността за реакция при инциденти са едновременно законово задължение и конкурентно предимство в среда, в която доверието на клиентите и партньорите все по-пряко зависи от нивото на киберсигурност.
Настоящата статия служи само за информация и има за цел да обърне внимание върху някои специфични изисквания на законодателство. Настоящото не представлява юридически съвет. За цялостно разбиране на дискутираните по-горе въпроси и преди да предприемете действия в тази връзка, Ви препоръчваме да се консултирате с адвокатите при Адвокатско дружество „Илиева, Вучева & Ко.”.
