България въведе NIS2 чрез промени в Закона за киберсигурност, обнародвани на 13 февруари 2026 г. Законът задължава определени компании да управляват киберриска, да докладват значителни инциденти и да доказват, че ръководството контролира защитните мерки. Държавен вестник

Практическите правила още не са напълно изяснени. Законът определя основните задължения, но оставя част от техническите изисквания и формулярите за уведомяване на подзаконови правила.

Министерският съвет трябва да приеме новата наредба в срок от осем месеца от влизането на закона в сила. До тогава компаниите ще трябва да прилагат общите изисквания на закона, европейските стандарти и мерките, определени според оценката на риска.

Кои организации попадат под режима

Правилата обхващат средни и големи организации в критични сектори. Сред тях са:

  • енергетика;
  • транспорт;
  • здравеопазване;
  • водоснабдяване;
  • цифрова инфраструктура;
  • производство;
  • пощенски и куриерски услуги;
  • публична администрация.

Законът разделя организациите на две групи. Съществените субекти имат по-висока системна или обществена значимост. Останалите организации в обхвата са важни субекти.

В някои случаи размерът на компанията няма значение. Това се отнася например за доставчици на обществени електронни съобщителни услуги, DNS услуги, домейни и удостоверителни услуги. Европейска комисия, NIS2

Отговорността започва от управителния орган

Законът не означава, че директорът автоматично отговаря за всяка успешна кибератака. Личната отговорност е свързана с неизпълнение на конкретни задължения.

Управителните органи трябва да одобрят мерките за управление на киберриска и да следят за тяхното прилагане. Членовете им трябва да преминават обучение най-малко веднъж на две години и да организират такова обучение за служителите. Закон за изменение и допълнение на Закона за киберсигурност

Това означава, че възлагането на ИТ сигурността на външен доставчик не прехвърля автоматично законовата отговорност. Компанията трябва да може да докаже, че е оценила риска, осигурила е необходимите ресурси и е контролирала изпълнението.

Какво трябва да направи компанията при инцидент

При значителен инцидент съществените и важните субекти трябва да уведомят СЕРИКС по определения ред. Сроковете са кратки:

  • до 24 часа за ранно предупреждение;
  • до 72 часа за основно уведомление и първоначална оценка;
  • до един месец за окончателен доклад, ако инцидентът е овладян;
  • междинен доклад, ако възстановяването продължава.

При необходимост засегнатите клиенти също трябва да получат информация за инцидента и за мерките, които могат да предприемат.

Законът предвижда и уведомяване на Главна дирекция „Борба с организираната престъпност“, когато има данни за престъпление. Държавен вестник

Глобите достигат 10 милиона евро

За съществен субект, който не изпълни изискванията за управление на риска или докладване, имуществената санкция може да достигне 10 милиона евро или 2% от световния годишен оборот. Прилага се по-високата стойност.

За важен субект таванът е 7 милиона евро или 1,4% от световния годишен оборот. Отделно управителите и членовете на управителни органи могат да бъдат глобени от 500 до 5000 евро за нарушение на задълженията по управление. Закон за киберсигурност

Надзорният орган може да издава задължителни предписания, да изисква одити и публично оповестяване на нарушението. При съществен субект може да бъде поискана и временна забрана за физическо лице да изпълнява управленски функции. Държавен вестник

Какво остава неясно

Законът определя кой носи общата отговорност. Той обаче не дава на всяка компания един и същ технически списък с мерки, нива на защита, документи и доказателства за съответствие.

Именно тези детайли се очаква да бъдат уточнени с наредбата. Тя трябва да определи минималния обхват на мерките, правилата за проверка и образците за уведомяване.

До приемането ѝ част от организациите ще работят без окончателен национален контролен списък. Това увеличава значението на оценката на риска и на документите, с които ръководството може да докаже взетите решения.

При кибератака ще се проверява не само кой е проникнал в системата. Ще се проверява и дали ръководството е одобрило разумни мерки, осигурило е ресурси и е докладвало инцидента навреме.

Европейската комисия посочва, че NIS2 въвежда отчетност на висшето ръководство и разширява обхвата към нови сектори. За българските компании това превръща киберсигурността от въпрос за ИТ отдела в управленски и финансов риск. Европейска комисия, Директива NIS2