Попада ли фирмата ми под NIS2? Сектори, прагове и глоби по Закона за киберсигурност

От 17 февруари 2026 г. NIS2 в България не е директива „някъде в Брюксел“, а действащ текст на Закона за киберсигурност (ЗКС), обнародван в „Държавен вестник“, бр. 17 от 13 февруари 2026 г. Законът казва кой подлежи, какво дължи и колко струва неизпълнението. България уведоми Европейската комисия за пълното транспониране на 6 март 2026 г., а на 1 октомври 2026 г. Комисията закри процедурата за нарушение № 2024/0257 за забавянето, тоест темата е приключена и остава само прилагането. Тук минаваме през трите въпроса, с които всяка българска фирма може да провери сама дали попада в обхвата, и какво следва след отговора.

Стъпка 1: В сектор от Приложение I или II ли е фирмата?

ЗКС работи с два списъка със сектори, точно както директивата. Приложение I съдържа секторите с висока критичност, Приложение II – останалите критични сектори. Ако дейността на фирмата не попада в нито един от двата, законът по правило не се отнася за нея (с изключенията в стъпка 3).

Приложение I: сектори с висока критичност

• Енергетика: електроенергия, топлинна енергия, нефт, газ, водород. На практика: производители, мрежови оператори, търговци на електроенергия, газоразпределителни дружества, топлофикации.
• Транспорт: въздушен, железопътен, воден и пътен. Летища, авиопревозвачи, железопътни оператори и управители на инфраструктура, пристанища, оператори на интелигентни транспортни системи.
• Банков сектор: кредитни институции по смисъла на Регламент (ЕС) № 575/2013.
• Инфраструктура на финансовия пазар: места за търговия и централни контрагенти.
• Здравеопазване: доставчици на здравно обслужване (болници, медицински центрове, лаборатории), референтни лаборатории, производители на лекарства и медицински изделия от критично значение.
• Питейна вода и отпадъчни води: ВиК дружествата и предприятията, които събират, обезвреждат или пречистват отпадъчни води.
• Цифрова инфраструктура: точки за обмен в интернет, DNS доставчици, регистри на домейни от първо ниво, облачни доставчици, центрове за данни, мрежи за доставка на съдържание, удостоверителни услуги, обществени електронни съобщителни мрежи и услуги.
• Управление на ИКТ услуги между предприятия: доставчици на управлявани услуги и доставчици на управлявани услуги за сигурност. Това е секторът, който вкарва в обхвата ИТ фирмите, които поддържат чужда инфраструктура.
• Космическо пространство: оператори на наземна инфраструктура за космически услуги.

Приложение II: други критични сектори

• Пощенски и куриерски услуги.
• Управление на отпадъци.
• Производство и дистрибуция на химикали по смисъла на Регламент REACH.
• Производство, преработка и разпространение на храни: предприятията за храни по определението в Регламент (ЕО) № 178/2002. Законът препраща към това определение, а не към размера на цеха.
• Производство на медицински изделия, компютри, електроника и оптика, електрообзавеждане, машини, автомобили и друго транспортно оборудване.
• Цифрови доставчици: онлайн места за търговия, онлайн търсачки, платформи за социални мрежи.
• Научни изследвания: научноизследователски организации.

Стъпка 2: Голяма или средна фирма ли е?

Чл. 4, т. 2 ЗКС поставя изискванията към публични и частни субекти от Приложение I или II, които отговарят на критериите за средни предприятия по чл. 3, ал. 1 от Закона за малките и средните предприятия или ги надхвърлят, тоест са големи. Опростено: ако фирмата е микро или малко предприятие по ЗМСП (до 49 души персонал и под финансовите прагове на този закон), размерът сам по себе си не я вкарва в обхвата. Ако е средна или голяма, вкарва я.

Две подробности, които често се пропускат:

• Законът изрично изключва прилагането на чл. 4, ал. 9 ЗМСП при определяне на размера. Проверете как се броят свързаните предприятия и партньорите в групата с вашия счетоводител или юрист, преди да решите, че сте „малки“.
• Размерът определя и категорията. По чл. 4а, ал. 1, т. 1 ЗКС субект от Приложение I, който надхвърля горната граница за средно предприятие, е съществен субект. Средните предприятия от Приложение I и средните и големите от Приложение II са важни субекти (чл. 4а, ал. 2 ЗКС).

Стъпка 3: Изброена категория независимо от размера?

За няколко вида дейности законът не се интересува от броя служители. По чл. 4, т. 3 ЗКС в обхвата влизат субекти от Приложение I или II независимо от размера, когато:

• предоставят обществени електронни съобщителни мрежи или услуги;
• предоставят удостоверителни услуги;
• са регистри на домейни от първо ниво или доставчици на DNS услуги;
• са единствен доставчик на услуга от съществено значение за критични обществени или икономически дейности;
• смущение в услугата им би имало значително въздействие върху обществената безопасност, сигурност или здраве, или би създало значителен системен риск;
• са критични поради специфичната си значимост на национално или регионално равнище.

Отделно, по чл. 4, т. 1 и т. 4 до 9 ЗКС в обхвата са административните органи, критичните субекти по Директива (ЕС) 2022/2557, доставчиците на услуги за регистрация на домейни, образователните институции с критични научни изследвания, лицата и организациите, които предоставят административни услуги по електронен път, и органите на съдебната власт.

Квалифицираните доставчици на удостоверителни услуги, регистрите на домейни от първо ниво и DNS доставчиците са съществени субекти независимо от размера (чл. 4а, ал. 1, т. 2 ЗКС). Доставчиците на обществени електронни съобщителни мрежи и услуги са съществени, ако са поне средни предприятия (чл. 4а, ал. 1, т. 3 ЗКС).

Кой решава окончателно

Самопроверката е първата стъпка, а не последната дума. Министерският съвет определя с решение националните компетентни органи за секторите от двете приложения (чл. 16, ал. 1 ЗКС), а тези органи определят съществените и важните субекти (§ 48 от преходните разпоредби). За административните органи и за организациите, предоставящи електронни административни услуги, компетентен орган е Министерството на иновациите и дигиталната трансформация (чл. 16, ал. 2 ЗКС). Министърът води непубличен регистър на субектите (чл. 6 ЗКС). Проверявайте на сайта на министерството какво е прието и кой е компетентният орган за вашия сектор, но не чакайте писмо, за да започнете: задълженията по чл. 21, 22 и 23 действат независимо от уведомлението.

Съществен или важен: какво е различното

Задълженията по чл. 21, 22 и 23 ЗКС са едни и същи за двете категории. Разликите са в контрола и в санкциите:

• Контрол. По чл. 27ж, ал. 1 ЗКС за съществените субекти органите извършват проверки на място и дистанционен надзор, редовни и целеви одити на сигурността, извънпланови одити при значителен инцидент или нарушение, и проверки за сигурност. За важните субекти (чл. 27ж, ал. 2 ЗКС) са предвидени проверки на място, дистанционен надзор, целеви одити и проверки за сигурност, без редовните одити.
• Максимална санкция. До 10 000 000 евро или 2% от световния годишен оборот за съществен субект, до 7 000 000 евро или 1,4% за важен (чл. 29 ЗКС).
• Лиценз и ръководство. Само за съществени субекти чл. 27к ЗКС предвижда временно спиране на лиценз, регистрация, сертификат или разрешение, а по искане на компетентния орган съд или друг държавен орган може да наложи временна забрана на физическо лице с управленски функции да ги упражнява.

Какво дължат и двете категории

Глобите в числа

Санкциите се налагат независимо от принудителните мерки по чл. 27и и 27к (чл. 29, ал. 1 ЗКС). При определянето им органите вземат предвид обществената опасност, повторността и другите обстоятелства по чл. 29б ЗКС.

Малка фирма извън обхвата? NIS2 идва през договорите

Най-честият случай в България е друг: фирма с 20 души, която не е в нито един сектор, но доставя софтуер, поддръжка, логистика или компоненти на клиент, който е съществен или важен субект. Чл. 22, ал. 2, т. 4 ЗКС задължава този клиент да управлява сигурността на веригата си за доставка, включително отношенията с преките снабдители и доставчици на услуги, а чл. 22, ал. 3 ЗКС изисква той да вземе предвид уязвимостите и практиките за киберсигурност на всеки от тях.

На практика това означава анекси към договорите с изисквания за MFA, обновления, уведомяване при инцидент, право на одит и доказателства за обучение. Фирмата, която може да покаже политики и работещи мерки, печели договора. Останалите отпадат при следващото подновяване. Затова препоръчваме и на малките доставчици да приложат базовите мерки по чл. 22 доброволно, в обем, който отговаря на риска им.

Какво да направите според отговора

Ако попадате в обхвата

1. Документирайте самооценката: сектор, размер по ЗМСП, категория. Това е първото, което ще поиска всеки проверяващ.
2. Свикайте управителния орган и вземете решение по чл. 21 ЗКС: кой отговаря, с какъв бюджет, с какви срокове. Запишете го в протокол.
3. Направете анализ на пропуските спрямо 12-те области по чл. 22, ал. 2 ЗКС и подредете мерките по риск.
4. Подгответе процедурата по чл. 23 ЗКС така, че да може да се изпълни в 24 часа и през уикенда: кой установява инцидента, кой подава към СЕРИКС, с какъв образец.
5. Планирайте обучението на ръководството и на служителите и го документирайте.
6. Прегледайте договорите с вашите собствени доставчици по чл. 22, ал. 2, т. 4 ЗКС.

Ако не попадате

1. Запазете писмено заключението и основанието. Промяна в дейността или в размера може да го обърне.
2. Очаквайте изисквания от клиентите ви в обхвата и подгответе кратък пакет: политика за сигурност, MFA, бекъп, план за инциденти, обучение.
3. Проверявайте веднъж годишно дали праговете и секторът ви още са същите.

Ако не сте сигурни на кой от трите въпроса как да отговорите, безплатната проверка на страницата Оценка на готовността за NIS2 дава ориентир за минути, а пълното ръководство е в NIS2 Директива: пълно ръководство за български бизнес. Сроковете по закона сме събрали в NIS2 в България: сроковете и какво вече е в сила. За внедряването на мерките, от политиките до наблюдението 24/7, вижте Съответствие и регулации и MDR.

Често задавани въпроси

Ние сме ИТ фирма с 30 души и поддържаме мрежите на клиенти. Попадаме ли?

Секторът „Управление на ИКТ услуги между предприятия“ е в Приложение I и включва доставчиците на управлявани услуги. Размерът решава: ако сте малко предприятие по ЗМСП, не попадате по чл. 4, т. 2 ЗКС, освен ако сте в някоя от категориите по чл. 4, т. 3. Ако сте средно предприятие, сте важен субект, ако сте голямо, съществен. Във всеки случай вашите клиенти в обхвата ще ви поставят изисквания по чл. 22, ал. 2, т. 4 ЗКС.

Производител на храни с 60 служители сме. Това ни прави важен субект?

Приложение II включва предприятията за храни по Регламент (ЕО) № 178/2002, а 60 души персонал е над границата за малко предприятие. Ако отговаряте и на финансовите критерии за средно предприятие по ЗМСП, попадате в обхвата като важен субект по чл. 4а, ал. 2 ЗКС. Окончателното определяне е на компетентния орган за сектора.

Трябва ли сами да се регистрираме някъде?

Регистърът по чл. 6 ЗКС се води от министъра на иновациите и дигиталната трансформация и не е публичен. Субектите са задължени да съобщават промени в данните си до две седмици. Редът за водене на регистъра се определя с наредбата по чл. 3, ал. 2 ЗКС. Следете публикациите на министерството и на компетентния орган за вашия сектор.

Какво става, ако имаме инцидент, преди да сме готови с мерките?

Задължението по чл. 23 ЗКС за уведомяване до 24 и 72 часа действа независимо от това докъде сте стигнали с останалото. Законът изрично казва, че уведомяването не води до повишена отговорност за уведомяващия субект (чл. 23, ал. 1 ЗКС). Неуведомяването е самостоятелно нарушение.