Модул 9 · 9.1
NIS2 и Законът за киберсигурност
Модул 9: Правила и организация · Време за четене: 11 минути
Цел на урока: След този урок ще можете да обясните какво урежда Законът за киберсигурност (транспониране на NIS2), за кого важи и какво означава той чрез веригата от доставчици за малките фирми.
Основни понятия: NIS2, Закон за киберсигурност, съществен и важен субект, сектор, големина, задължение за грижа, задължение за уведомяване (24 часа, 72 часа, 1 месец), задължение за регистрация, верига от доставчици, самооценка
От европейска директива до национален закон
NIS2 е европейска директива от 2022 г. (Директива (ЕС) 2022/2555), която трябва да повиши дигиталната устойчивост на важни организации в целия ЕС. Директивата не важи пряко: всяка държава я транспонира в собствен закон. В България това е Законът за киберсигурност, изменен през 2026 г. в съответствие с изискванията на NIS2. Измененият закон е в сила от 17 февруари 2026 г. Компетентният орган отговаря за надзора и приемането на уведомления за инциденти, а организациите, които попадат в обхвата на закона, трябва да се регистрират пред компетентния орган.
Като пример: в Нидерландия транспонирането се нарича Cyberbeveiligingswet (Cbw) и според нидерландския NCSC под него попадат над 8 000 организации, малка част от всички фирми в страната. За повечето малки предприятия най-важният въпрос затова не е „трябва ли аз да спазвам закона?“, а „какво ще поискат от мен клиентите ми, защото те самите попадат под закона?“. До това ще стигнем малко по-нататък.
В Нидерландия нидерландският NCSC е централната точка за контакт по Cbw, а от 1 януари 2026 г. и за малкия и средния бизнес: бившият Digital Trust Center вече е част от NCSC.
Попадате ли под закона? Сектор и големина
Дали една организация попада под закона, зависи от два въпроса. Следният пример следва нидерландския модел на транспониране, но структурата (сектори, прагове за големина) отразява общите изисквания на NIS2.
1. Работите ли в сектор, посочен в закона? Законът има две приложения.
| Приложение 1 (11 сектора) | Приложение 2 (7 сектора) |
|---|---|
| енергетика, транспорт, банково дело, питейна вода, дигитална инфраструктура, управление на ИКТ услуги, космическо пространство, инфраструктура на финансовите пазари, здравеопазване, отпадъчни води, държавна администрация | доставчици на дигитални услуги, пощенски и куриерски услуги, управление на отпадъци, хранителни продукти, химични вещества, научни изследвания, производство (преработваща промишленост) |
За някои сектори важат допълнителни условия, определени от отговорното ведомство. Не всяка организация, която има нещо общо с „хранителни продукти“, попада автоматично в обхвата.
2. Достатъчно голяма ли е организацията? Организацията Ви се брои, ако:
- имате 50 или повече служители (на пълен работен ден), или
- имате по-малко от 50 служители, но годишният Ви оборот И общата Ви балансова стойност са едновременно над 10 милиона евро.
Партньорски и свързани предприятия се вземат предвид. Фирма с 20 служители, която е част от група от 200, може все пак да попадне в обхвата.
Изключения: независимо от големината. Няколко вида организации попадат в обхвата винаги, колкото и малки да са: доставчици на DNS услуги, регистри на домейни от първо ниво, доставчици на обществени електронни съобщителни мрежи и услуги, доставчици на доверителни услуги и държавни организации. Също и доставчиците на услуги по регистрация на домейни трябва да се регистрират.
Съществен или важен
Организациите в обхвата на закона са съществени или важни субекти. Най-общо: големите организации в секторите от приложение 1 и няколко вида, определени независимо от големината, са съществени; останалите са важни. Разликата е предимно в надзора: при съществените субекти компетентният орган може да проверява и по собствена инициатива, например чрез инспекции и одити; при важните субекти той се намесва главно впоследствие, когато има данни, че нещо не е наред. Самите задължения са до голяма степен еднакви. Дали сте съществен или важен субект, определяте чрез самооценка.
Проверка за собствени нужди
В Нидерландия Rijksinspectie Digitale Infrastructuur (RDI) предлага безплатна самооценка по NIS2 на https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ (нидерландски източник). Отговаряте на поредица от въпроси за сектора, големината и услугите и получавате резултат. Ако се колебаете, например защото фирмата Ви е част от група или работи в няколко държави, нидерландският NCSC има разяснение за сложни бизнес модели; при въпроси за Вашия случай се обърнете към компетентния орган във Вашата държава.
Какво изисква законът
Ако организацията Ви попада в обхвата, важат три задължения.
Задължение за регистрация
Регистрирате организацията си в регистъра на субектите чрез регистрация пред компетентния орган. Така държавата знае кой попада в обхвата и може да се свърже с Вас при заплаха.
Задължение за грижа
Изготвяте анализ на риска и въз основа на него предприемате подходящи и пропорционални мерки за сигурността на мрежовите и информационните си системи. Нидерландският NCSC посочва поне десет теми, с всички от които сте се запознали в този курс:
- анализ на риска (урок 1.1 и 9.3);
- обработване на инциденти с план за инциденти (урок 8.1);
- подготовка за прекъсвания: резервни копия, планове за възстановяване, управление на кризи (модул 6);
- сигурност на веригата на доставки, включително рисковете от доставчиците (урок 7.2);
- кибер хигиена и обучение (урок 9.2);
- сигурно придобиване, разработване и поддръжка на системите, включително актуализации (урок 5.1);
- персонал, политика за достъп и управление на оборудването и софтуера (урок 7.1);
- passkeys или многофакторно удостоверяване и защитена комуникация (модул 2);
- политика за криптография (шифроване);
- оценка дали мерките работят, например чрез периодично тестване (урок 6.3 и 9.3).
Ръководството на организацията носи отговорност: то одобрява мерките и следи за изпълнението им. Според европейската директива ръководителите трябва да преминат и обучение за киберрисковете. Киберсигурността вече не е задача, която просто се прехвърля на „човека от ИТ“.
Задължение за уведомяване
Значим инцидент се докладва пред компетентния орган. Това е инцидент, който сериозно нарушава предоставянето на услуги, причинява финансова вреда или може да причини голяма вреда на други лица; точните прагове се различават според сектора. Сроковете текат от момента, в който узнаете за инцидента. Така например в Нидерландия сроковете по Cbw са следните:
| Срок | Какво се изпраща |
|---|---|
| В рамките на 24 часа | Ранно предупреждение: предполага ли се злонамереност, има ли трансгранични последици, кой е лицето за контакт |
| В рамките на 72 часа | Уведомление за инцидент: актуализация с първоначална оценка на тежестта и въздействието |
| В рамките на 1 месец след уведомлението | Заключителен доклад: какво се е случило, причината и предприетите мерки (ако инцидентът продължава по-дълго: доклад за напредъка) |
В нидерландската система едно уведомление достига едновременно екипа за реагиране при инциденти (CSIRT) и компетентния орган. Освен това според директивата трябва при нужда да информирате получателите на услугите си за значими инциденти, които могат да ги засегнат.
Уведомление по Закона за киберсигурност и уведомление по GDPR: две различни неща
Прилича на задължението за уведомяване при нарушение на сигурността на данните по GDPR (урок 8.2), а срокът „72 часа“ се среща и в двата случая. Все пак това са две отделни задължения.
| Закон за киберсигурност | GDPR (нарушение на сигурността на данните) | |
|---|---|---|
| За кого | Организации, попадащи в обхвата на закона | Всеки, който обработва лични данни, включително самоосигуряващо се лице |
| За какво | Значими инциденти, свързани с Вашите услуги | Нарушения на сигурността на личните данни |
| Пред кого | Компетентният орган | Комисията за защита на личните данни (КЗЛД) |
| Срокове | 24 часа, 72 часа, 1 месец | Без ненужно забавяне, по възможност в рамките на 72 часа |
Атака с ransomware при организация в обхвата на закона, при която са откраднати и данни на клиенти, трябва следователно да бъде докладвана и на двете места. А малка фирма, която не попада в обхвата на Закона за киберсигурност, все пак има задължение за уведомяване по GDPR, ако изтекат лични данни.
Не попадате в обхвата: веригата от доставчици
За повечето читатели на този курс отговорът на първия въпрос е: не, фирмата ми не попада в обхвата на Закона за киберсигурност. Пекарната с дванадесет души, счетоводната кантора с петима, уеб разработчикът, който работи сам. Тогава нямате законови задължения по този закон: без регистрация, без задължение за уведомяване пред компетентния орган, без надзор.
Но законът може все пак да Ви засегне чрез клиентите Ви. Организациите в обхвата на закона трябва да осигурят сигурността на веригата си на доставки: те трябва да отчитат уязвимостите на преките си доставчици и доставчици на услуги. Нидерландският NCSC пише, че законът не налага сам по себе си задължения на доставчиците, но организациите в обхвата на Cbw могат да поставят изисквания към дигиталната сигурност на своите доставчици. Тези изисквания след това се включват в договора или въпросник.
Пример. Малка ИТ фирма с шест служители управлява лаптопите и мрежата на средно голяма транспортна фирма с 140 служители. Транспортната фирма попада в обхвата на закона (транспорт, достатъчно голяма). Самата ИТ фирма не попада: „управление на ИКТ услуги“ наистина е в приложение 1, но фирмата е твърде малка. Въпреки това тя получава въпросник: имате ли двуфакторно удостоверяване на инструментите за управление, кой има достъп до нашите системи, колко бързо ще ни уведомите при инцидент, къде се съхраняват резервните копия?
Какво казва нидерландският NCSC по този въпрос и какво означава това за Вас:
- Изискванията трябва да са подходящи. Клиентът трябва да отчете риска, който услугата Ви представлява за него. Доставчик с достъп до системите получава по-строги изисквания от пекаря, който доставя обяда.
- Отнася се за преки доставчици. Доставчиците на Вашите доставчици остават извън обхвата на закона.
- Сертификатът не е задължителен. Законът не предписва знак за качество. Сертификатът може да улесни разговора, но не е гаранция и не е законово изискване.
- Започнете разговора рано. Направете преглед на мерките, които вече имате на местата, където имате допир с клиента, и запишете договореностите писмено.
Затова не преувеличавайте. Законът за киберсигурност не превръща малката фирма автоматично в „субект по NIS2“, а консултант, който Ви казва това, за да Ви продаде скъпа сертификация, разказва само част от историята. Но не го подценявайте и обратно: който доставя на по-големи организации, все по-често трябва да може да покаже, че основите са наред. Базовите мерки от този курс са точно това, което обикновено изисква такъв въпросник.
Този урок дава общо разяснение и не представлява правен съвет. За актуалните правила в Нидерландия вижте https://www.ncsc.nl/cyberbeveiligingswet-nis2 (нидерландски източник) и текста на закона на https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (нидерландски източник). За правилата във Вашата държава се обърнете към компетентния орган.
Обобщение
- В България транспонирането на NIS2 е изменението на Закона за киберсигурност, в сила от 17 февруари 2026 г.
- Попадате в обхвата при сектор от приложение 1 или 2 И 50 или повече служители на пълен работен ден, или едновременно годишен оборот и балансова стойност над 10 милиона евро; някои видове (като доставчици на DNS услуги и държавна администрация) независимо от големината.
- Задължения: регистрация пред компетентния орган, задължение за грижа с анализ на риска и подходящи мерки под отговорността на ръководството, и уведомяване за значими инциденти в рамките на 24 часа, 72 часа и 1 месец.
- Уведомлението по Закона за киберсигурност пред компетентния орган е отделно от уведомлението по GDPR за нарушения на сигурността на данните пред КЗЛД; понякога се изисква и двете.
- Малка фирма обикновено сама не попада в обхвата, но може чрез клиенти, които попадат в обхвата, да получи подходящи изисквания за сигурност.
Тест (quiz)
Задача
Задача A9.1: Попада ли под Закона за киберсигурност? Получавате шест кратки описания на организации (сектор, брой служители, оборот, балансова стойност, евентуално група или голям клиент). Определете за всяка организация: попада в обхвата, не попада в обхвата, но вероятно ще получи изисквания чрез клиент, или не попада в обхвата. Програмата проверява отговорите и показва за всяка организация стъпките на дървото за вземане на решение.
Прочетете още
За Закона за киберсигурност все още няма статия в базата знания на WebOké; използвайте официалните източници.
- Нидерландски NCSC, Cyberbeveiligingswet (NIS2) (нидерландски източник): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Нидерландски NCSC, Попада ли моята организация под Cyberbeveiligingswet (NIS2)? (нидерландски източник): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Нидерландски NCSC, Задължение за грижа (нидерландски източник): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Нидерландски NCSC, Задължение за уведомяване (нидерландски източник): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Нидерландски NCSC, Законът за киберсигурност и доставчиците (нидерландски източник): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, самооценка по NIS2 (нидерландски източник): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Текст на нидерландския Cyberbeveiligingswet (нидерландски източник): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
- NIS2 и Cyberbeveiligingswet: попада ли моята фирма в обхвата им?