NIS2 в България — какво трябва да знае всеки бизнес

На 17 февруари 2026 г. България най-накрая транспонира Директива NIS2 чрез изменения в Закона за киберсигурност. С обхват от 10 000 до 12 000 организации, задължителни мерки за киберсигурност, лична отговорност на ръководството и глоби до €10 милиона, NIS2 е най-мащабната регулация за киберсигурност, влизала в сила в България. В тази статия разглеждаме всичко, което трябва да знаете — от обхвата до конкретните стъпки за съответствие.

Какво е NIS2

NIS2 (Directive (EU) 2022/2555) е европейската директива за мрежова и информационна сигурност от второ поколение. Тя заменя първата NIS директива от 2016 г. (Directive 2016/1148), която се оказа недостатъчна за справяне с нарастващите киберзаплахи в ЕС.

Основните разлики спрямо NIS1:

• Разширен обхват — от 7 на 18 сектора, покриващи значително по-голяма част от икономиката
• Хармонизирани санкции — минимални прагове на глобите, подобни на GDPR модела
• Лична отговорност — ръководителите лично отговарят за неспазване
• Разграничение essential/important — два типа субекти с различен надзорен режим
• По-строги изисквания за докладване — тристепенна процедура при инциденти
• Сигурност на веригата за доставки — изрично задължение за оценка на доставчици

Транспониране в България

Пътят на NIS2 към българското законодателство беше дълъг и труден. Ето хронологията:

• 16 януари 2023 г. — NIS2 влиза в сила на ниво ЕС
• 17 октомври 2024 г. — краен срок за транспониране. България пропуска срока
• Ноември 2024 г. — Европейската комисия стартира наказателна процедура (infringement proceedings) срещу България и още 22 държави-членки
• Май 2025 г. — ЕК изпраща мотивирано становище (reasoned opinion), което е последната стъпка преди завеждане на дело пред Съда на ЕС
• 17 февруари 2026 г. — Народното събрание приема изменения в Закона за киберсигурност, с които транспонира NIS2

По оценки на Министерството на електронното управление (МЕУ), между 10 000 и 12 000 организации в България попадат в обхвата на NIS2 — значително повече от около 100-те оператора на съществени услуги по старата NIS1.

Кои бизнеси попадат в обхвата

NIS2 разделя субектите на две категории: съществени (essential, Приложение I) и важни (important, Приложение II). Разликата е в нивото на надзор и размера на глобите.

Правило за размер (size-cap rule)

По общото правило NIS2 покрива средни и големи предприятия:

• 50+ служители, или
• €10M+ годишен оборот

Изключение: за някои критични сектори (DNS, TLD, облачни услуги, дата центрове, доставчици на удостоверителни услуги) размерът не е от значение — попадат независимо от броя служители.

18-те сектора

10 задължителни мерки по чл. 21

Член 21 от NIS2 (транспониран в Закона за киберсигурност) определя 10 задължителни мерки за управление на рисковете за киберсигурност, които всяка попаднала в обхвата организация трябва да приложи:

1. Политики за анализ на риска и сигурност на информационните системи

   Организациите трябва да разработят и поддържат актуални политики за оценка на риска, базирани на систематичен анализ на заплахите за информационните системи. Това включва методология за оценка на риска, рисков регистър и план за третиране на рисковете.

   чл. 21(2)(а) NIS2

2. Управление на инциденти

   Процедури за предотвратяване, откриване, анализиране и реагиране на инциденти, свързани с киберсигурността. Включва план за реагиране при инциденти, екип за реагиране, процедури за ескалация и документиране.

   чл. 21(2)(б) NIS2

3. Непрекъсваемост на дейността и управление на кризи

   Планове за непрекъсваемост на бизнеса (BCP), управление на резервни копия, възстановяване след бедствие (DRP) и управление на кризи. Организацията трябва да може да продължи да функционира по време и след киберинцидент.

   чл. 21(2)(в) NIS2

4. Сигурност на веригата за доставки

   Оценка на рисковете от доставчици и подизпълнители, включително рискове, свързани с конкретни ICT продукти и услуги. Организациите трябва да включат изисквания за киберсигурност в договорите с доставчици.

   чл. 21(2)(г) NIS2

5. Сигурност при придобиване, разработка и поддръжка на мрежови и информационни системи

   Включително обработка и оповестяване на уязвимости. Организациите трябва да прилагат сигурност по подразбиране (security by design) при разработка и внедряване на системи.

   чл. 21(2)(д) NIS2

6. Политики и процедури за оценяване на ефективността на мерките за управление на рисковете

   Редовни одити, тестове за проникване (penetration testing), оценки на уязвимости и вътрешни прегледи на ефективността на приложените мерки за киберсигурност.

   чл. 21(2)(е) NIS2

7. Основни практики за кибернетична хигиена и обучение по киберсигурност

   Програми за повишаване на осведомеността на персонала, редовни обучения за разпознаване на фишинг, социално инженерство и други заплахи. В България: задължително обучение на ръководството на всеки 2 години.

   чл. 21(2)(ж) NIS2

8. Политики и процедури за използване на криптография и криптиране

   Определяне кога и как да се използва криптиране за защита на данни в покой и при пренос, управление на криптографски ключове, политики за алгоритми и дължини на ключове.

   чл. 21(2)(з) NIS2

9. Сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи

   Контрол на достъпа на база принципа за минимални привилегии, управление на идентичности, инвентаризация на активи, политики за служители (onboarding/offboarding) и процедури за достъп.

   чл. 21(2)(и) NIS2

10. Многофакторно удостоверяване и защитени комуникации

    Използване на многофакторно удостоверяване (MFA) или непрекъснато удостоверяване, защитени гласови, видео и текстови комуникации, и защитени системи за комуникация при извънредни ситуации.

    чл. 21(2)(й) NIS2

Докладване на инциденти

NIS2 въвежда тристепенна процедура за докладване на значими инциденти:

Кога инцидентът е „значим"?

Инцидент се счита за значим, когато:

• Е причинил или може да причини сериозно нарушение на услугите или финансови загуби за субекта
• Е засегнал или може да засегне други физически или юридически лица чрез причиняване на значителни материални или нематериални щети

Двойно докладване: NIS2 + GDPR

Когато киберинцидент засяга и лични данни, организацията трябва да докладва по двата режима паралелно:

Лична отговорност на ръководството

Една от най-значимите промени с NIS2 е въвеждането на лична отговорност за ръководството на организациите. Член 20 от директивата (транспониран в Закона за киберсигурност) изисква:

• Ръководството одобрява мерките за управление на рисковете за киберсигурност по чл. 21
• Ръководството носи лична отговорност за неспазване на задълженията
• Ръководството преминава обучение по киберсигурност — в България: задължително на всеки 2 години (по-строго от директивата)
• Ръководството трябва да осигури обучение и на служителите за идентифициране на рискове

Глоби и санкции

NIS2 въвежда хармонизиран санкционен режим в целия ЕС, с минимални прагове, определени в директивата. Българският Закон за киберсигурност предвижда:

Допълнителни санкционни механизми:

• Ежедневни санкции — при продължаващо неизпълнение, глобата може да се начислява за всеки ден, докато нарушението не бъде отстранено
• Временно спиране на дейност — за съществени субекти, надзорният орган може да разпореди временно спиране или ограничаване на услугите
• Публично оповестяване — надзорният орган може да публикува информация за нарушителите
• Отстраняване на ръководство — виж раздела за лична отговорност по-горе

България-специфични по-строги изисквания

При транспонирането на NIS2, България е въвела няколко по-строги изисквания от предвидените в директивата:

1. Разширен хранителен сектор

   Директивата покрива само предприятия за производство и дистрибуция на храни на едро. Българският закон разширява обхвата до всички предприятия за храни (включително търговия на дребно), отговарящи на критерия за размер. Това засяга десетки големи хранителни вериги и дистрибутори.

2. Задължително обучение на ръководството на всеки 2 години

   Директивата изисква обучение на ръководството, без да конкретизира периодичност. Българският закон въвежда задължително обучение на всеки 2 години с документиране и сертифициране. Непреминалите обучение ръководители могат да бъдат санкционирани лично.

3. 14-дневен срок за регистрационни промени

   При промяна на обстоятелства (нов ръководител, промяна на контактни данни, промяна на статут), субектите трябва да уведомят надзорния орган в срок от 2 седмици. Директивата не поставя конкретен срок.

4. Технологични ограничения

   Българският закон дава право на МЕУ да определя технологични ограничения за конкретни ICT продукти и услуги, които представляват заплаха за националната сигурност. Това може да засегне доставчиците от определени държави и да наложи подмяна на оборудване.

NIS2 vs GDPR — сравнение

Много организации вече са в съответствие с GDPR и се питат как NIS2 се различава. Ето подробно сравнение:

7 стъпки за подготовка

Ако вашата организация попада в обхвата на NIS2, препоръчваме следния план за действие:

1. Определете дали попадате в обхвата

   Проверете дали вашият сектор е сред 18-те, покрити от NIS2, и дали отговаряте на критерия за размер (50+ служители или €10M+ оборот). Определете дали сте съществен или важен субект. Не забравяйте българското разширение за хранителния сектор.

2. Направете gap анализ

   Оценете текущото си ниво на съответствие спрямо 10-те мерки по чл. 21. Идентифицирайте пропуските (gaps) и приоритизирайте ги по ниво на риск. Ако вече сте в съответствие с GDPR, голяма част от организационните мерки вероятно са налице. Направете цялостен одит, който покрива и двата режима.

3. Осигурете ангажимент на ръководството

   Информирайте борда/управителите за личната им отговорност по NIS2. Осигурете бюджет за киберсигурност. Планирайте задължителното обучение на ръководството (в България — на всеки 2 години). Без ангажимент „отгоре" NIS2 проектът е обречен.

4. Разработете план за действие

   На база gap анализа, създайте конкретен план с отговорници, срокове и бюджет. Приоритизирайте: управление на инциденти и докладване (24h правило), оценка на риска, сигурност на веригата за доставки. Определете реалистични срокове — преди 1 юни 2026 г. за пълно съответствие.

5. Внедрете технически мерки

   Многофакторно удостоверяване (MFA) за всички критични системи. Криптиране на данни в покой и при пренос. Система за управление на уязвимости. Планове за непрекъсваемост и възстановяване (BCP/DRP). Мрежова сегментация и мониторинг. Провеждане на тестове за проникване (penetration testing).

6. Създайте процедура за докладване на инциденти

   Изградете единна процедура, която покрива и NIS2 (24h/72h/1 месец до CERT), и GDPR (72h до КЗЛД). Определете екип за реагиране. Тествайте процедурата с учебни инциденти (tabletop exercises). Осигурете 24/7 канал за докладване.

7. Документирайте и поддържайте

   NIS2 съответствието не е еднократен проект. Документирайте всички политики, процедури и обучения. Провеждайте регулярни одити и тестове. Актуализирайте оценката на риска при промяна на заплахите или бизнес средата. Поддържайте регистър на инциденти и предприети мерки.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.