Най-честият въпрос, който получаваме за NIS2 през 2026 г., е „до кога имаме време“. Отговорът по българския Закон за киберсигурност (ЗКС) е неудобен: за задължените фирми времето изтече на 17 февруари 2026 г., когато законът влезе в сила без преходен период за самите задължения. Сроковете, които още текат, са за държавата: решение за компетентните органи, методика, наредби, стратегия и определяне на субектите. По-долу е целият календар, дата по дата, с това какво означава всяка дата за вашата фирма.
Календарът накратко
Срок по срок: какво вече е в сила
17 октомври 2024 г.: европейският срок
До тази дата държавите членки трябваше да въведат Директива (ЕС) 2022/2555 в националното си право. България не го направи навреме, и Европейската комисия откри процедура за нарушение № 2024/0257 за късно уведомяване за транспониращите мерки. За фирмите тази дата имаше едно значение: много европейски клиенти и партньори започнаха да изискват NIS2 мерки по договор още от края на 2024 г., независимо какво пише в българския закон.
13 февруари 2026 г.: обнародване
Законът за изменение и допълнение на Закона за киберсигурност е обнародван в Държавен вестник, бр. 17. Текстът въвежда категориите съществени и важни субекти (чл. 4а ЗКС), списъка с мерки (чл. 22 ЗКС), отговорността на управителните органи (чл. 21 ЗКС), докладването на инциденти (чл. 23 ЗКС) и санкциите в евро (чл. 28 и 29 ЗКС).
17 февруари 2026 г.: в сила
Това е датата, от която една българска фирма е длъжна да спазва закона, ако попада в обхвата му. Няма отделна дата „от която започват задълженията“, няма гратисен период и няма изискване първо да бъдете вписани в регистър или уведомени от орган. Ако сте средно или голямо предприятие по чл. 3, ал. 1 от Закона за малките и средните предприятия (над 49 души персонал или над финансовите прагове на закона) в сектор от Приложение I или II към ЗКС, от 17 февруари 2026 г. за вас важат:
- мерките за управление на риска по чл. 22 ЗКС;
- задължението управителният орган да одобри мерките и да следи прилагането им по чл. 21, ал. 1 ЗКС;
- задължението за докладване на значителни инциденти по чл. 23 ЗКС.
Какво да направите сега, ако още не сте започнали: първо решение на управителния орган, с което одобрява план за мерките и определя отговорник. Това е документът, който показва, че сте в процес, а не че игнорирате закона. Нашата оценка на готовността дава плана за него в рамките на дни.
6 март 2026 г.: България уведомява Комисията
България нотифицира Европейската комисия за пълно транспониране на директивата. От гледна точка на бизнеса това е сигнал, че законът е окончателен в този си вид и че не трябва да се очаква „втори закон“, който да отложи задълженията.
17 май 2026 г.: срокът по § 46 ПЗР
В тримесечен срок от влизането в сила министърът нотифицира на Комисията административнонаказателните разпоредби на закона (§ 46 ПЗР). За фирмите това няма пряко действие, но показва, че санкциите са част от официално съобщения на Европейския съюз режим.
1 юни 2026 г.: край на половинчатите санкции
По § 51 ПЗР за нарушения, извършени до 1 юни 2026 г., глобите и имуществените санкции се налагат в размер, намален с 50 на сто. За всяко нарушение след тази дата се прилагат пълните размери по чл. 28 и 29 ЗКС: до 10 000 000 евро или 2% от общия световен годишен оборот за съществените субекти (но не по-малко от 25 000 евро), до 7 000 000 евро или 1,4% за важните субекти (но не по-малко от 12 500 евро), глоба от 500 до 5000 евро за членове на управителни органи при нарушение на чл. 21 ЗКС.
16 юни 2026 г.: смяна на компетентния министър
С изменение, обнародвано в ДВ, бр. 55 от 16 юни 2026 г., правомощията на министъра на електронното управление по ЗКС преминават към министъра на иновациите и дигиталната трансформация (МИДТ). МИДТ води регистъра на субектите по чл. 6 ЗКС и е национален компетентен орган за административните органи (чл. 16, ал. 2 ЗКС). Ако сте следили темата през пролетта и търсите „МЕУ“, вече търсите на грешното място.
17 август 2026 г.: решение за компетентните органи и методика
Срокът по § 47, т. 1 ПЗР: Министерският съвет в 6 месеца от влизането в сила определя с решение административните органи, които са национални компетентни органи за секторите по Приложение I и II, и приема методиката, по която те определят съществените и важните субекти (чл. 16, ал. 3, т. 8 ЗКС). Това решение е ключово, защото от датата му тече следващият срок, за определянето на субектите. Проверете на сайта на МИДТ дали и кога е прието.
1 октомври 2026 г.: Комисията закрива процедурата
Европейската комисия закрива процедурата за нарушение № 2024/0257 срещу България, открита за късното уведомяване за мерките по Директива (ЕС) 2022/2555. МИДТ получава известието същия ден. Значението за бизнеса: европейският контрол върху транспонирането е приключил и фокусът се мести към прилагането на закона у нас.
17 октомври 2026 г.: наредбите за минималните мерки
Срокът по § 47, т. 2 и 3 ПЗР: в 8 месеца от влизането в сила Министерският съвет приема наредбата по чл. 3, ал. 3 ЗКС (за електронните съобщения, удостоверителните и пощенските услуги) и привежда наредбата по чл. 3, ал. 2 ЗКС за минималния обхват на мерките в съответствие с новия закон. До влизането в сила на новата наредба за електронните съобщения се прилагат досегашните Правила по чл. 243, ал. 3 от Закона за електронните съобщения (§ 50 ПЗР). За останалите субекти до актуализиране на наредбата важи списъкът с мерки направо от чл. 22 ЗКС, който е достатъчно конкретен, за да се работи по него.
17 ноември 2026 г.: Национална стратегия за киберсигурност
Срокът по § 47, т. 4 ПЗР: в 9 месеца Министерският съвет приема Националната стратегия за киберсигурност по чл. 8 ЗКС. Стратегията няма преки задължения за фирмите, но задава приоритетите на компетентните органи при проверки и програмите за подкрепа.
Какво предстои
До 17 януари 2027 г. (условно): определяне на субектите
По § 48 ПЗР националните компетентни органи имат 5 месеца от приемането на решението по § 47, т. 1 да определят съществените и важните субекти и да уведомят министъра. Ако решението е прието в последния възможен ден, 17 август 2026 г., срокът изтича на 17 януари 2027 г. Ако решението е прието по-рано или по-късно, датата се мести със същата разлика. След това данните се предоставят на министъра в двумесечен срок (§ 42 ПЗР), а Националното единно звено за контакт изпраща списъка на Европейската комисия в тримесечен срок и след това на всеки две години (§ 43 ПЗР).
Определянето не е начало на задълженията. То е административният акт, с който органът констатира кой вече е задължен по закона. Законът не обвързва задълженията с уведомлението от органа, затова е разумно да се приеме, че фирма, определена като важен субект през 2027 г., отговаря за мерките и докладването от 17 февруари 2026 г. Не планирайте „ще започнем, когато ни уведомят“.
Постоянни срокове, които текат за всяка задължена фирма
След установяването на значителен инцидент подавате до СЕРИКС ранно предупреждение: подозирате ли злонамерени действия и възможно ли е трансгранично въздействие (чл. 23, ал. 5, т. 1 ЗКС).
Първоначална оценка на тежестта и въздействието и техническа информация. За доставчиците на удостоверителни услуги срокът е 24 часа (чл. 23, ал. 5, т. 2 ЗКС).
Описание, причина, приложени мерки, трансгранично въздействие. Ако инцидентът още не е овладян, междинен доклад и окончателен до един месец след овладяването (чл. 23, ал. 5, т. 4 и 5 ЗКС). СЕРИКС може да поиска междинен доклад по всяко време (т. 3).
Всяка промяна в наименование, адрес, контакти, IP обхвати, сектор или държави, в които предоставяте услуги, се съобщава на националния компетентен орган до две седмици (чл. 6, ал. 3 ЗКС). Доставчиците на DNS, облак, центрове за данни, управлявани услуги и онлайн платформи подават данни за установяването си до два месеца от възникването им (чл. 6, ал. 2 ЗКС).
Членовете на управителните органи преминават обучение по киберсигурност не по-рядко от веднъж на две години и организират обучения за служителите (чл. 21, ал. 2 и 3 ЗКС). Запишете дата и пазете удостоверението.
Получателите на услугите ви се уведомяват без ненужно забавяне за значителни инциденти, които могат да ги засегнат, и за мерките, които могат да предприемат (чл. 23, ал. 2 и 4 ЗКС).
Какво да направите на всеки етап
Ако започвате сега, ноември 2026 г.
- Проверете обхвата: сектор по Приложение I или II и размер по ЗМСП. Ако сте под прага, проверете и чл. 4, т. 3 ЗКС за случаите независимо от размера.
- Решение на управителния орган за одобряване на план за мерките и за отговорник (чл. 21, ал. 1 ЗКС). Датирайте го.
- Анализ на пропуските спрямо 12-те области на чл. 22, ал. 2 ЗКС с приоритети: многофакторно удостоверяване, резервни копия с тест, действия при инцидент, достъп.
- Процедура за докладване с попълнени образци за 24 и 72 часа и ясен отговорник. Пробвайте я с учение. Услугата ни реакция при инциденти включва подготовката.
- Обучение на управителния орган в рамките на следващите седмици, с документ.
Ако вече работите по NIS2
- Сверете мерките с новите наредби по чл. 3 ЗКС, когато бъдат обнародвани, и отбележете разликите спрямо това, което сте направили по директивата.
- Подгответе данните за регистъра по чл. 6 ЗКС, за да ги подадете веднага, когато компетентният орган определи реда.
- Проверете договорите с критичните доставчици за клаузи по сигурност и уведомяване (чл. 22, ал. 2, т. 4 и ал. 3 ЗКС).
- Планирайте годишна оценка на ефективността на мерките (чл. 22, ал. 2, т. 6 ЗКС) и независим одит.
Когато ви определят като съществен или важен субект
- Съществените субекти подлежат на предварителен надзор и на по-тежки мерки, включително временно спиране на лиценз или регистрация и временна забрана за управленски функции при неизпълнени предписания (чл. 27к ЗКС). Важните субекти се проверяват при данни за нарушение.
- Прегледайте кой във фирмата отговаря на предписания на органа: за неизпълнение на принудителна мярка санкцията е от 2500 до 12 000 евро, при повторност от 5000 до 25 000 евро (чл. 28 ЗКС).
Често задавани въпроси
Има ли краен срок за „съответствие“ през 2027 г.?
Не в закона. Законът не съдържа дата, до която задължените субекти „стават съответни“. Задълженията действат от 17 февруари 2026 г. Сроковете през 2026 и 2027 г. са за актове на държавата и за определяне на субектите.
Какво става, ако наредбите по чл. 3 ЗКС се забавят?
Чл. 22 ЗКС действа и без тях, защото изброява областите на мерките направо в закона. Наредбите уточняват минималния обхват по категории субекти. За електронните съобщения до новата наредба се прилагат досегашните правила (§ 50 ПЗР).
Мога ли да чакам уведомление от компетентния орган, за да започна?
Можете, но на свой риск. Определянето по § 48 ПЗР констатира кой е задължен, не създава задължението. Нарушение, извършено между 17 февруари 2026 г. и датата на уведомлението, е нарушение.
Къде следя актуалното състояние на актовете?
На сайта на МИДТ и в Държавен вестник. Пълното ръководство с обхват, мерки и стъпки е в статията NIS2 в България: пълно ръководство за бизнеса, а услугите ни за съответствие покриват целия път.
Искате календарът да стане план за вашата фирма? Кажете ни сектора и размера, и ще ви върнем в кои срокове попадате, какво ви липсва по чл. 22 ЗКС и в какъв ред да го затворите.
Заявете оценка на готовносттаТекстът е ориентир по действащия закон, не правна консултация. Датите след 17 август 2026 г. са изчислени по сроковете в § 47 и § 48 от преходните разпоредби на ЗКС; проверете при МИДТ дали съответният акт е приет.
