NIS2 Директива — Пълно ръководство за български бизнес (2026)

От 18 октомври 2024 г. директивата NIS2 е факт в цяла Европа. За хиляди български компании тя носи нови задължения, строги срокове и глоби до €10 милиона. Но какво точно означава NIS2 за вашия бизнес? Кой е засегнат? Какво трябва да направите? Това ръководство отговаря на всичко — конкретно и практично.

Какво е NIS2?

NIS2 (Network and Information Security Directive 2) е европейска директива, която заменя оригиналната NIS директива от 2016 г. Тя драматично разширява обхвата на организациите, които трябва да спазват стандарти за киберсигурност, и въвежда значително по-строги санкции.

Целта е проста: да се повиши нивото на киберсигурност в целия ЕС, защото кибер атаките засягат всички — от болници и електрически мрежи до малки производствени компании във веригата на доставки.

Кой е засегнат в България?

Ключовата промяна: NIS2 засяга значително повече организации от оригиналната NIS. В България се очаква да обхване хиляди компании в 18 сектора.

Основни субекти (Essential Entities)

Организации в критични сектори с над 250 служители или оборот над €50M:

Важни субекти (Important Entities)

Организации в допълнителни сектори с над 50 служители или оборот над €10M:

Какво изисква NIS2 конкретно?

1. Управление на риска (Член 21)

Трябва да имате документирана рамка за управление на рисковете от киберсигурност, която включва:

• Анализ на рисковете и политики за информационна сигурност
• Обработка на инциденти — превенция, детекция и реакция
• Непрекъсваемост на дейността — backup, disaster recovery, кризисно управление
• Сигурност на веригата за доставки — оценка на рисковете от доставчици
• Придобиване, разработка и поддръжка на мрежови и информационни системи
• Политики и процедури за оценка на ефективността на мерките
• Основни практики за кибер хигиена и обучение
• Политики за използване на криптография и криптиране
• Управление на човешките ресурси, достъп и активи
• MFA (Multi-Factor Authentication) и защитени комуникации

2. Докладване на инциденти (Член 23)

При значителен киберинцидент трябва да уведомите CERT Bulgaria:

3. Отговорност на ръководството (Член 20)

Това е революционната промяна в NIS2:

• Мениджмънтът одобрява мерките за управление на риска от киберсигурност
• Мениджмънтът носи отговорност за спазването им
• Мениджмънтът преминава обучение по киберсигурност
• При системно неспазване — лична отговорност на CEO, CTO, Board members
• Възможни санкции: временно отстраняване от управленски позиции

4. Сигурност на веригата за доставки (Член 21(2)(d))

Трябва да управлявате рисковете от вашите доставчици:

• Оценка на сигурността на всеки критичен доставчик
• Договорни клаузи за киберсигурност
• Мониторинг на доставчиците
• План за реагиране при компрометиране на доставчик

Глоби и санкции

NIS2 в България — Текущо състояние

Към април 2026 г. България е в процес на транспониране на NIS2 в националното законодателство. Ключови моменти:

• CERT Bulgaria (към ДАЕУ) е определен като национален CSIRT
• Работна група разработва националния закон, базиран на NIS2
• Очаква се законът да влезе в сила през 2026 г.
• Организациите трябва да започнат подготовка сега, не да чакат закона

Как да се подготвите — 10 конкретни стъпки

1. Определете дали попадате под NIS2 — използвайте нашия безплатен NIS2 Assessment
2. Направете Gap Analysis — оценете текущото ниво на киберсигурност спрямо изискванията
3. Назначете отговорно лице — CISO или vCISO, който да ръководи процеса
4. Документирайте политики — Information Security Policy, Incident Response Plan, BCP/DRP
5. Внедрете технически мерки — MFA, endpoint protection, SIEM, backup
6. Обучете мениджмънта — NIS2 изисква мениджмънтът да премине обучение
7. Обучете всички служители — Security Awareness програма с фишинг симулации
8. Оценете доставчиците — направете security assessment на критичните доставчици
9. Подгответе Incident Response план — с 24/72ч процедура за уведомяване
10. Провеждайте редовни одити — penetration tests и vulnerability assessments

Как Defend.bg може да помогне?

Ние предлагаме цялостна NIS2 подготовка — от първоначалния assessment до пълно съответствие:

Безплатни инструменти

Започнете веднага с нашите безплатни ресурси:

• NIS2 Quick Assessment — 5 въпроса за да разберете дали попадате под NIS2
• Security Scanner — безплатна проверка на вашия домейн за основни уязвимости
• SPF Generator — конфигурирайте email автентикацията си
• DMARC Generator — защитете домейна си от spoofing