NIS2 в България: Закон за киберсигурност 2026 - Пълен правен анализ

Директива NIS2 вече е действащо право в България. С обнародването в Държавен вестник бр. 17 от 13 февруари 2026 г. на Закона за изменение и допълнение на Закона за киберсигурност (ЗКС), задълженията за средни и големи предприятия в 18 сектора са факт - не проект, не план, а норми с пряко действие. Закъснението спрямо крайния срок за транспониране (17 октомври 2024 г.) е над 15 месеца, но това не намалява тежестта на изискванията.

Настоящият анализ обхваща нормативната рамка след измененията, класификацията на съществени и важни субекти, 11-те задължителни мерки за управление на риска, новата система за докладване на инциденти, санкционния режим (включително персоналната отговорност на управителите) и практическите стъпки за постигане на съответствие преди 1 юни 2026 г., когато изтича периодът с намалени санкции.

Какво е NIS2 и защо е важна за България

Директива (ЕС) 2022/2555 (NIS2) е приета на 14 декември 2022 г. и заменя предходната Директива (ЕС) 2016/1148 (NIS1). Основната причина за приемането на NIS2 е драстичното увеличение на кибератаките в ЕС и констатираната неефективност на NIS1 - твърде тесен обхват (само 6 сектора), непоследователно прилагане между държавите членки и липса на ефективен санкционен механизъм.

NIS2 разширява обхвата от 6 на 18 сектора, въвежда ясно разграничение между съществени и важни субекти, хармонизира минималните мерки за киберсигурност и установява строг режим за докладване на инциденти. В България транспонирането беше извършено чрез ЗИД на ЗКС, приет на второ четене от Народното събрание на 5 февруари 2026 г. и обнародван в ДВ бр. 17 от 13 февруари 2026 г.

Нормативна рамка: ЗКС след измененията от 2026 г.

Законът за киберсигурност (ЗКС) е основният нормативен акт, транспониращ изискванията на NIS2 в българското законодателство. Измененията от февруари 2026 г. въвеждат нови глави и разширяват съществуващите разпоредби. Централно място заемат новите чл. 4а (класификация на субектите), чл. 22 (задължителни мерки) и чл. 23 (докладване на инциденти), както и изцяло новата Глава IIв за контрол и надзор (чл. 27е-27о).

Предстои приемане на подзаконов акт - наредба по чл. 3, ал. 2 ЗКС, в срок от 8 месеца от влизането в сила на закона (т.е. до октомври 2026 г.). Тази наредба ще конкретизира техническите и организационните мерки, приложими за различните категории субекти. До приемането на наредбата субектите следва да се ръководят от разпоредбите на закона и от самата Директива NIS2, която е достатъчно детайлна в описанието на мерките.

Съществени и важни субекти: Кого засяга NIS2

Едно от най-съществените нововъведения на NIS2 е ясното разграничение между два типа задължени субекти - съществени и важни. Това разграничение определя не само интензивността на надзора, но и размера на санкциите. Класификацията зависи от два фактора: сектора на дейност и размера на предприятието.

Следва да се отбележи, че за определени категории доставчици (доставчици на DNS услуги, на облачни услуги, на услуги за центрове за данни, доставчици на мрежи за доставка на съдържание, доставчици на удостоверителни услуги и доставчици на публични електронни съобщителни мрежи) правилото за размер не се прилага - те попадат в обхвата независимо от броя на служителите и оборота.

11 задължителни мерки за управление на риска (чл. 22 ЗКС)

Сърцевината на задълженията по NIS2 са 11-те мерки за управление на риска по чл. 22 ЗКС, транспониращ чл. 21 от Директивата. Подходът е рисково-базиран и пропорционален - мерките трябва да отчитат размера на субекта, вероятността за настъпване на инциденти и тяхното потенциално въздействие. Управителните органи одобряват мерките и следят прилагането им (чл. 21 ЗКС), като носят персонална отговорност при неизпълнение.

Задължителното обучение на ръководители е нововъведение, което заслужава особено внимание. Законът изисква всеки член на управителния орган да преминава обучение по киберсигурност не по-рядко от веднъж на 2 години. Неизпълнението на това задължение може да доведе до персонална глоба от 1 000 до 10 000 лв.

Докладване на инциденти: Новата система по чл. 23 ЗКС

NIS2 въвежда стриктна 4-степенна система за докладване на значителни инциденти по киберсигурността. Субектите са длъжни да уведомяват националния СЕРИКС (Секторен екип за реагиране при инциденти в киберсигурността) в строго определени срокове. Системата е значително по-детайлна от предходната рамка и включва механизъм за обратна връзка от компетентния орган.

Значителен е инцидент, който оказва или може да окаже значимо въздействие върху предоставяната от субекта услуга. Критериите включват: (1) сериозно оперативно прекъсване на услугата или финансови загуби за субекта; (2) засягане на други физически или юридически лица чрез причиняване на значителни материални или нематериални вреди.

СЕРИКС дължи отговор в рамките на 24 часа след получаване на ранното предупреждение, като предоставя насоки или техническа подкрепа. Законът допуска и доброволно докладване от субекти, които не попадат в обхвата на ЗКС, без това да поражда допълнителни задължения за тях.

Санкции и персонална отговорност

Санкционният режим по изменения ЗКС е безпрецедентен за българското законодателство в областта на киберсигурността. Размерите на глобите са съизмерими с тези по Регламент (ЕС) 2016/679 (GDPR), което не е случайно - NIS2 следва GDPR модела на санкциониране с оборотно-зависими глоби.

Контрол и надзор (Глава IIв, чл. 27е-27о ЗКС)

Изцяло новата Глава IIв на ЗКС установява диференциран режим на контрол в зависимост от категорията на субекта. Компетентен орган е Министерството на електронното управление (МЕУ), което разполага със широки правомощия за проверки, одити и принудителни мерки.

Компетентният орган разполага със 7 основни правомощия: (1) планови проверки, (2) извънпланови проверки, (3) целеви одити на сигурността, (4) сканиране на сигурността, (5) искане на информация и документи, (6) предписания за отстраняване на нарушения и (7) публично обявяване на нарушения. Принудителните мерки следват ескалационен модел: предупреждения, предписания със срок, разпореждания за незабавно изпълнение и в краен случай - публично обявяване на нарушението.

Практически стъпки за съответствие

Постигането на съответствие с NIS2 изисква системен подход. Следващият контролен списък обобщава ключовите стъпки, които организациите трябва да предприемат. Критично е да се отбележи, че периодът с намалени санкции (50%) изтича на 1 юни 2026 г. - след тази дата се прилагат пълните размери на глобите.

Правко предоставя правна информация, но не замества консултация с адвокат. За конкретна оценка на съответствието с NIS2 се обърнете към специалист по киберсигурност и IT право.