NIS2 в България: пълно ръководство за бизнеса по Закона за киберсигурност (2026)

NIS2 вече не е „европейска директива, която предстои“. От 17 февруари 2026 г. тя е част от българския Закон за киберсигурност (ЗКС), обнародван в Държавен вестник, бр. 17 от 13 февруари 2026 г. Законът казва кои фирми са задължени, какви мерки трябва да въведат, как се докладват инцидентите и какви са санкциите: до 10 милиона евро за съществените субекти и лична глоба за управителите. Това ръководство обяснява всичко по действащия текст на закона, конкретно и практично.

Какво е NIS2 и какво е ЗКС?

NIS2 (Директива (ЕС) 2022/2555) е европейската директива за мрежова и информационна сигурност, която замени първата NIS директива от 2016 г. Държавите членки трябваше да я въведат в националното си право до 17 октомври 2024 г. България го направи със закъснение, чрез Закон за изменение и допълнение на Закона за киберсигурност, приет през февруари 2026 г. На 6 март 2026 г. страната уведоми Комисията за пълно транспониране, а на 1 октомври 2026 г. Комисията закри процедурата за нарушение, открита заради забавянето.

Практическата последица: в България не прилагате „директивата“, а Закона за киберсигурност. Той определя обхвата (чл. 4 и 4а ЗКС), мерките (чл. 22 ЗКС), отговорността на ръководството (чл. 21 ЗКС), докладването на инциденти (чл. 23 ЗКС) и санкциите (чл. 28 и 29 ЗКС). Когато в тази статия пишем „NIS2“, имаме предвид изискванията, както са записани в българския закон.

Кой е задължен в България?

Законът работи на две стъпки. Първо проверява сектора: попада ли дейността ви в Приложение I или Приложение II към ЗКС. После проверява размера: средно или голямо предприятие сте по чл. 3, ал. 1 от Закона за малките и средните предприятия (над 49 души персонал или над финансовите прагове на закона). Ако отговорът на двата въпроса е „да“, законът се отнася за вас (чл. 4, т. 2 ЗКС).

Съществени субекти (чл. 4а, ал. 1 ЗКС)

Съществени са големите предприятия от секторите в Приложение I, както и някои видове субекти независимо от размера: доставчици на квалифицирани удостоверителни услуги, регистри на имена на домейни от първо ниво и доставчици на DNS услуги, средните и големите доставчици на обществени електронни съобщителни мрежи и услуги, административните органи, критичните субекти по Директива (ЕС) 2022/2557 и досегашните оператори на съществени услуги. Секторите в Приложение I са:

Важни субекти (чл. 4а, ал. 2 ЗКС)

Важни са всички останали субекти от Приложение I и II, които не покриват критериите за съществени. На практика това са средните предприятия от Приложение I и средните и големите предприятия от Приложение II:

Какво изисква законът конкретно?

1. Мерки за управление на риска (чл. 22 ЗКС)

Съществените и важните субекти предприемат „подходящи и пропорционални технически, оперативни и организационни мерки“ за сигурността на мрежите и информационните системи. Законът е технологично неутрален, но изброява областите, които мерките задължително покриват:

• Политики за анализ на риска и сигурност на информационните системи
• Действия при инцидент
• Непрекъснатост на дейността: резервни копия, възстановяване след бедствие, управление на кризи
• Сигурност на веригата за доставка, включително отношенията с преките снабдители и доставчици на услуги
• Сигурност при придобиване, разработване и поддръжка на системи, включително работа с уязвимости и оповестяването им
• Политики и процедури за оценяване на ефективността на мерките
• Основни киберхигиенни практики и обучение по киберсигурност
• Политики и процедури за криптография и, когато е целесъобразно, криптиране
• Сигурност на човешките ресурси, контрол на достъпа и управление на активи
• Многофакторно удостоверяване, защитени гласови, видео и текстови комуникации и системи за спешна комуникация, когато е целесъобразно
• Управление на измененията на информационните активи

Пропорционалността е записана в самия закон: отчитат се степента на излагане на риск, размерът на субекта, вероятността и значимостта на инцидентите (чл. 22, ал. 1 ЗКС). При установен пропуск субектът е длъжен да предприеме коригиращи мерки (чл. 22, ал. 4 ЗКС). Минималният обхват на мерките по категории субекти се уточнява с наредба на Министерския съвет по чл. 3 ЗКС.

2. Докладване на инциденти (чл. 23 ЗКС)

При значителен инцидент субектът уведомява СЕРИКС, секторния екип за реагиране при инциденти с компютърната сигурност към съответния национален компетентен орган (чл. 18 ЗКС). Сроковете са твърди:

3. Отговорност на ръководството (чл. 21 ЗКС)

Това е най-голямата промяна спрямо досегашната практика, в която киберсигурността беше „работа на ИТ отдела“:

• Управителните органи одобряват мерките за управление на риска и следят за прилагането им (чл. 21, ал. 1 ЗКС)
• Членовете на управителните органи преминават обучение на всеки две години, достатъчно да идентифицират рискове и да оценяват практиките за управление на риска (чл. 21, ал. 2 ЗКС)
• Те са длъжни да предлагат и организират обучения и за служителите (чл. 21, ал. 3 ЗКС)
• При нарушение на чл. 21 управителите носят лична глоба от 500 до 5000 евро (чл. 29, ал. 4 ЗКС)
• При съществените субекти компетентният орган може да поиска от съда временна забрана за физическо лице да упражнява управленски функции, ако не са изпълнени предписанията (чл. 27к, ал. 2 ЗКС)

4. Сигурност на веригата за доставки (чл. 22, ал. 2, т. 4 ЗКС)

Законът изисква да вземете предвид уязвимостите, специфични за всеки пряк снабдител или доставчик на услуги, цялостното качество на продуктите и практиките им по киберсигурност, включително процедурите за сигурно разработване (чл. 22, ал. 3 ЗКС). На практика това означава:

• Списък на критичните доставчици и оценка на риска за всеки
• Договорни клаузи за сигурност, уведомяване при инциденти и право на проверка
• Наблюдение на доставчиците, не еднократна анкета
• План какво правите, ако доставчик бъде компрометиран

5. Регистър на субектите (чл. 6 ЗКС)

Министърът на иновациите и дигиталната трансформация води непубличен регистър на задължените субекти с наименование, адрес и контакти, IP обхвати, сектор и вид субект. Всяка промяна в данните се съобщава на националния компетентен орган в срок до две седмици (чл. 6, ал. 3 ЗКС). Доставчиците на DNS, облачни услуги, центрове за данни, управлявани услуги и управлявани услуги за сигурност, онлайн търговски места, търсачки и социални мрежи подават данни за мястото си на установяване до два месеца от възникването им (чл. 6, ал. 2 ЗКС).

Глоби и санкции

При определяне на наказанието органите вземат предвид обществената опасност, повторността и други смекчаващи или отегчаващи обстоятелства (чл. 29б ЗКС). Намалението с 50% по § 51 от преходните разпоредби се отнасяше само за нарушения, извършени до 1 юни 2026 г. За всичко след тази дата се прилагат пълните размери.

NIS2 в България: къде сме към ноември 2026 г.

Картината е различна от очакваното преди година. Законът е в сила, а задълженията на фирмите не са обвързани с преходен период:

• 13 февруари 2026 г.: Законът за изменение и допълнение на ЗКС е обнародван в ДВ, бр. 17. 17 февруари 2026 г.: в сила.
• Компетентен орган: от юни 2026 г. (ДВ, бр. 55) правомощията са при министъра на иновациите и дигиталната трансформация (МИДТ), който води регистъра по чл. 6 ЗКС и е национален компетентен орган за административните органи (чл. 16, ал. 2 ЗКС). За отделните сектори Министерският съвет определя с решение национални компетентни органи (чл. 16, ал. 1 ЗКС).
• Инциденти се докладват на секторните екипи СЕРИКС към компетентните органи; Националният екип (чл. 19 ЗКС) е звеното за контакт на национално ниво.
• Срокове за държавата (§ 47 ПЗР): решение за компетентните органи и методика за определяне на субектите до 17 август 2026 г.; наредби за минималните мерки до 17 октомври 2026 г.; национална стратегия до 17 ноември 2026 г. След решението компетентните органи имат 5 месеца да определят съществените и важните субекти (§ 48 ПЗР).
• 1 юни 2026 г.: изтече периодът с намалени наполовина санкции (§ 51 ПЗР).
• 6 март 2026 г.: България уведомява Европейската комисия за пълно транспониране на директивата. 1 октомври 2026 г.: Комисията закрива процедурата за нарушение № 2024/0257, открита срещу България за късно уведомяване за мерките по Директива (ЕС) 2022/2555; МИДТ получава известието същия ден.

Как да се подготвите: 10 конкретни стъпки

1. Определете дали попадате под закона: сектор по Приложение I или II и размер по ЗМСП. Започнете с нашата оценка на готовността за NIS2.
2. Направете анализ на пропуските спрямо чл. 22 ЗКС и подгответе план с приоритети и срокове.
3. Назначете отговорно лице (CISO или външен vCISO), което докладва на управителния орган.
4. Решение на управителния орган, с което одобрява мерките и определя как следи изпълнението им (чл. 21, ал. 1 ЗКС). Това е документ, който проверяващият ще поиска първи.
5. Напишете политиките: сигурност на информацията, действия при инцидент, непрекъснатост и възстановяване, контрол на достъпа, доставчици, криптография. Кои точно и как: Политики и документи по NIS2.
6. Внедрете техническите мерки: многофакторно удостоверяване, защита на крайните устройства, централизирани логове, резервни копия с тест за възстановяване, сегментирана мрежа.
7. Обучете управителния орган и го документирайте. Законът иска обучение на всеки две години (чл. 21, ал. 2 ЗКС).
8. Обучете служителите с програма за осъзнатост и фишинг симулации (чл. 21, ал. 3 и чл. 22, ал. 2, т. 7 ЗКС).
9. Процедура за докладване с готови образци и ясно кой натиска бутона в първите 24 часа. Проверете я с учение. Нашата услуга реакция при инциденти покрива и подготовката.
10. Проверявайте редовно: одит на сигурността, тестове за проникване и оценка на ефективността на мерките (чл. 22, ал. 2, т. 6 ЗКС).

Как Defend.bg може да помогне?

Работим по целия път от първата оценка до доказуемо съответствие:

Безплатни инструменти

Започнете още днес:

• Проверка на домейна: основни пропуски в публично видимата ви инфраструктура
• SPF генератор: удостоверяване на изходящата поща
• DMARC генератор: защита на домейна от фалшифициране

Често задавани въпроси

Трябва ли да се регистрирам някъде сам?

Законът предвижда непубличен регистър при МИДТ (чл. 6 ЗКС) и определяне на субектите от националните компетентни органи по методика на Министерския съвет (§ 47 и § 48 ПЗР). Отделно, определени доставчици на цифрови услуги подават данни за установяването си до два месеца, а всяка промяна в данните се съобщава до две седмици. Следете МИДТ за реда и образците, но не отлагайте мерките до регистрацията.

Фирмата ми е под 50 души. Отпадам ли автоматично?

Не автоматично. Прочетете чл. 4, т. 3 ЗКС: единствен доставчик на съществена услуга, въздействие върху обществената безопасност или здраве, системен риск, критична значимост за сектора. Освен това доставчиците на DNS, удостоверителни услуги и регистри на домейни са в обхвата независимо от размера.

Какво значи „глобален годишен оборот“ за българска фирма?

Законът говори за общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи субектът (чл. 29, ал. 2 и 3 ЗКС). Ако сте част от група, базата е групата, не само българското дружество.

Докладването при инцидент не ме ли излага на санкция?

Чл. 23, ал. 1 ЗКС изрично казва, че уведомяването не води до повишена отговорност за уведомяващия субект. Санкционира се недокладването и неизпълнението на мерките, не честното уведомление.