Новите изисквания към киберсигурността

Новите изисквания към киберсигурността са заложени в последните изменения на Закона за киберсигурността, обнародвани в ДВ бр. 17 от 13.02. 2026г. Наличната регламентация и на европейско ниво прояви някои слабости, които възпрепятстват намирането на ефективни решения за новите предизвикателства в областта. С  Директива 2022/2555, известна също като МИС 2, се актуализира съществуващата правна рамка, отчитайки повишената цифровизация на вътрешния пазар през последните години и  заплахите за киберсигурността. С нея се създава единна правна рамка за поддържане на киберсигурността в 18 критични сектора в целия ЕС. Държавите членки следва да определят национални стратегии за киберсигурност и да си сътрудничат с ЕС за трансгранична реакция и правоприлагане. Необходимото транспониране на Директива (ЕС) 2022/2555 (Директива МИС2), поради непълно съответствие на действащата нормативна уредба и действащите разпоредби в тази област, резултира в последните изменения на Закона за киберсигурността.

Основните разлики между предходната и новата регламентация:

• премахва се разграничението на субектите на „Оператори на основни услуги (OES)” и „Доставчици на цифрови услуги (DSP)”, като отграничението вече е „Съществени” или „Важни” субекти.
• разширява се обхвата с цел да се включат нови сектори в зависимост от степента им на критичност по отношение на тяхната индустрия или на вида услуга, която предоставят.
• осигуряване на непрекъснатост на бизнеса при засягането му от киберинциденти и бързото докладване на инцидентите след анализирането им.
• промяна на сроковете за докладване на инцидент и за последващ доклад /много важна промяна!/
• промяна във вида и размера на административно-наказателните разпоредби.
• основаване на Европейска мрежа за връзка при киберкризи (EU-CyCLONe), за да се подпомогне управлението на киберсигурността при широкомащабни инциденти и кризи.
• определянето на един ЕРИКС като координатор за целите на координираното оповестяване на уязвимости, обмена на служители, обединяването на взаимодействието между EU-CyCLONe и мрежата CSIRTs, определянето на повече от един НКО, отговорен за изпълнението на задачите, свързани със сигурността на МИС на съществени и важни субекти съгласно директивата, широкото сътрудничество с академични и изследователски институции, въвеждането на механизъм за партньорска проверка, позволяващ оценка от експерти, определени от държавите членки, на прилагането на политиките за киберсигурност, включително за нивото на способностите на държавите членки и наличните ресурси, и др.

Кои са съществени и важни субекти

Промените въвеждат правилото за размер на предприятието при определяне на задължените субекти. В обхвата ще попаднат всички средни и големи предприятия, упражняващи дейност в изброените в закона сектори.

В допълнение към секторите, които вече са обхванати от МИС 1 и съответно от закона — енергетика, транспорт, здравеопазване, финанси, управление на водите и цифрова инфраструктура — новите правила се прилагат и за доставчиците на обществени електронни комуникации, повече цифрови услуги (като социални платформи), управление на отпадъците и отпадъчните води, производство на продукти от критично значение, пощенски и куриерски услуги и публична администрация както на централно, така и на регионално равнище, научни изследвания както и космическия сектор.

За целите на закона съществени субекти са:

1. субекти от видовете, посочени в приложение I, които надхвърлят горната граница за средни предприятия, установени в чл. 3, ал. 1 от Закона за малките и средните предприятия;
2. доставчици на квалифицирани удостоверителни услуги и регистри на имена на домейни от първо ниво, както и доставчици на DNS услуги, независимо от техния размер;
3. доставчици на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги, които отговарят на критериите за средни предприятия по смисъла на чл. 3, ал. 1 от Закона за малките и средните предприятия;
4. субектите по чл. 4, т. 1;
5. всички други субекти от видовете, посочени в приложение I или II, които са установени като съществени субекти съгласно чл. 4, т. 3, букви “г” – “ж”;
6. субектите, посочени в чл. 4, т. 4;
7. определените като оператори на съществени услуги към датата на влизане в сила на настоящия закон.

За целите на закона субектите от видовете, посочени в приложение I или II, които не отговарят на критериите за съществени субекти съгласно ал. 1, се считат за важни субекти. В това число се включват субекти, установени като важни субекти съгласно чл. 4, т. 3, букви “г” – “ж”.

Обобщено

Съществени субекти са

1. Големи предприятия: ≥ 250 служители и > 50 млн. евро оборот или > 43 млн. евро активи

– Сферите им на дейност са енергетика, транспорт, банково дело, финансова инфраструктура, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура (облачни услуги, удостоверителни услуги, обществени електронни съобщителни мрежи и обществено достъпни електронни съобщителни услуги), ИКТ услуги (B2B, доставчици на управлявани ИКТ услуги и киберсигурност), космос, административни органи и органи на съдебната власт

2. Съществени предприятия, независимо от размера си:

Доставчици на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги;
Доставчици на удостоверителни услуги; Регистри на имена на домейни от първо ниво и доставчици на системни услуги за
домейн имена; Eдинствен доставчик на критична услуга или услуга, чието смущение може да има негативно въздействие върху обществената безопасност, общественото здраве или да бъде с трансгранично въздействие;

3. Определените като оператори на съществени услуги към датата на влизане в сила на този закон.

Важни субекти са:

Средни предприятия: ≥ 50 служители и > 10 млн. евро оборот или >10 млн. евро активи.
Сферите им на дейност са – Производство на критични продукти , Хранителна промишленост, Пощенски и куриерски услуги, Управление на отпадъци, Химически вещества, Цифрови услуги, Научни изследвания

Изключения

 Този закон не се прилага:

1. за комуникационните и информационните системи за обработка на класифицирана информация по смисъла на Закона за защита на класифицираната информация;
2. за мрежите и информационните системи на Министерството на отбраната и структурите на пряко подчинение на министъра на отбраната и Българската армия, Министерството на вътрешните работи, Държавна агенция “Национална сигурност”, Държавна агенция “Разузнаване”, Държавна агенция “Технически операции”, Комисията за противодействие на корупцията и Националната служба за охрана, които не са свързани с предоставянето на административни услуги по електронен път и обмен на електронни документи между административните органи; изискванията, управлението и контролът на тези мрежи и информационни системи се осъществяват при условия и по ред, определени от съответните ръководители;

РЕГИСТЪР НА СУБЕКТИТЕ

Министърът на електронното управление създава, води и поддържа регистър на субектите по чл. 4 и 4а, който съдържа следната информация:

1. наименованието на субекта;
2. адрес и актуални данни за контакт, включително адреси на електронната поща и телефонни номера;
3. IP обхвати;
4. когато е приложимо, съответния сектор, подсектор и вид субект, както е посочено в приложение I или II;
5. когато е приложимо, списък на държавите членки, в които те предоставят услуги, попадащи в обхвата на този закон;
6. когато е приложимо, данни за контакт на представителя, определен съгласно чл. 27а, ал. 2.

Доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, субектите, предоставящи услуги за регистриране на имена на домейни, доставчиците на компютърни услуги в облак, доставчиците на услуги на центрове за данни, доставчиците на мрежи за предоставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, както и доставчиците на онлайн места за търговия, на онлайн търсачки и на платформи на услуги за социални мрежи предоставят на националните компетентни органи по чл. 16 информация за адреса на основното място на установяване и на останалите законови места на установяване на територията на Европейския съюз. При липсата на място на установяване в Европейския съюз, на неговия представител, определен съгласно чл. 27а, ал. 2, до два месеца от възникването им.

Субектите, посочени в ал. 1 и 2, уведомяват съответния национален компетентен орган по чл. 16 за всяка настъпила промяна в данните, предоставени съгласно ал. 1 и 2, в срок до две седмици от датата на промяната.

Редът за водене, съхраняване и достъп до регистъра се определя с Наредба.

Регистърът не е публичен.

Мерки за управление на риска в областта на киберсигурността

По правило средните и големите субекти в тези критични сектори ще трябва да предприемат подходящи мерки за управление на риска в областта на киберсигурността. Те следва и да уведомяват съответните национални органи за значителни инциденти. Това са инциденти, които могат да причинят значителни смущения или щети.

Съществените и важните субекти трябва да предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежовите и информационните системи в основната си дейност или при предоставяне на своите услуги. При спазване на принципа за технологична неутралност и като се вземат предвид последните постижения в тази област и, когато е приложимо, съответните европейски и международни стандарти, както и разходите за прилагането им, чрез мерките за управление на риска се гарантира ниво на сигурност на мрежовите и информационните системи, съответстващо на риска. При оценката на пропорционалността на тези мерки надлежно се вземат предвид степента на излагане на рискове на субекта, размерът на субекта и вероятността от възникване на инциденти, както и тяхната значимост, включително тяхното обществено и икономическо въздействие.

Видове мерки

Мерките се основават на подход, обхващащ всички опасности, които имат за цел да защитят мрежовите и информационните системи и физическата среда на тези системи от инциденти, и включват следното:

1. политики за анализ на риска и сигурност на информационните системи;
2. действия при инцидент;
3. непрекъснатост на стопанската дейност, като управление на съхраняването на резервни копия на данните и възстановяване след бедствия, и управление на кризи;
4. сигурност на веригата за доставка, включително свързани със сигурността аспекти относно взаимовръзките между всеки субект и неговите преки снабдители или доставчици на услуги;
5. сигурност при придобиването на мрежови и информационни системи, разработване и поддръжка, включително предприемане на действия при уязвимости и оповестяването им;
6. политики и процедури за оценяване на ефективността на мерките за управление на риска в областта на киберсигурността;
7. основни киберхигиенни практики и обучение в областта на киберсигурността;
8. политики и процедури относно използването на криптография и, когато е целесъобразно, криптиране;
9. сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи;
10. използване на многофакторни решения за удостоверяване на автентичността или непрекъснато удостоверяване на автентичността, защитени гласови, видео- и текстови съобщения и защитени системи за спешна комуникация в рамките на субекта, когато е целесъобразно;
11. управление на измененията на информационните активи;
12. мерки за управление на риска в областта на киберсигурността и задължения за докладване за субекти от вида, посочен в приложение I или II, както и за субекти, установени като критични съгласно Директива (ЕС) 2022/2557.

При установен пропуск в спазването на мерките, субектите предприемат всички необходими, подходящи и пропорционални коригиращи мерки за отстраняването му.

Задължения за докладване

Съществените и важните субекти уведомяват СЕРИКС за всеки значителен инцидент по образец съгласно наредбите по чл. 3 при условията и по реда на ал. 5. Уведомяването не води до повишена отговорност за уведомяващия субект.

Засегнатите субекти уведомяват, когато е подходящо и без ненужно забавяне, получателите на техните услуги за значителни инциденти, които има вероятност неблагоприятно да засегнат предоставянето на тези услуги.

При изключителни обстоятелства, когато уведомяването им може да изложи на риск разследването на значителния инцидент, на субектите се разрешава, след получаване на съгласие от страна на съответния национален компетентен орган, да забавят уведомяването на получателите.

Съществените и важните субекти съобщават на получателите на техните услуги, които са потенциално засегнати от значителна киберзаплаха, всички мерки или средства за защита, които тези получатели могат да предприемат. Когато е целесъобразно, субектите уведомяват получателите на техните услуги и за вида на значителна киберзаплаха.

Срокове на уведомяване

За целите на уведомяването, засегнатите субекти подават до СЕРИКС:

1. до 24 часа след установяването на значителен инцидент – ранно предупреждение, в което, когато е приложимо, се посочва дали се предполага, че значителният инцидент се дължи на незаконосъобразни или злонамерени действия и дали би могъл да има трансгранично въздействие;
2. до 72 часа след установяването на значителния инцидент – уведомление за инцидент, в което, когато е приложимо, се актуализира информацията по т. 1 и се посочва първоначална оценка на значителния инцидент, включително неговата тежест и въздействие, както и, когато има такава, техническа информация за инцидента; За доставчиците на удостоверителни услуги срокът по изречение първо е 24 часа;

Доклади

По искане на СЕРИКС се подава междинен доклад, съдържащ актуализирана информация за инцидента;

Окончателен доклад се подава не по-късно от един месец след подаването на уведомлението за инцидента, включващ:

а) подробно описание на инцидента, включително неговите обхват и въздействие;

б) вида на заплахата или причината, която вероятно е породила инцидента;

в) приложените и текущите мерки за ограничаване на инцидента;

г) когато е приложимо, трансграничното въздействие на инцидента;

В случай че до изтичане на срока по т. 4 субектът не се е справил с инцидента, същият представя междинен доклад, съдържащ, доколкото е приложимо, информацията по т. 4 за справянето с инцидента. Субектите представят окончателен доклад в срок до един месец от справянето с инцидента.

Какво следва за задължените лица?

Анализ ->Регистър -> Документация -> Мерки ->Обучения ->Уведомяване за инциденти

На първо място, всеки субект следва да определи дали попада сред съществените или важни субекти, съгласно новите правила.

При тази оценка се преценява:

• естеството на предоставяните услуги,
• размер и оперативен мащаб
• ролята в критични обществени или икономически функции.

Ако предприятието попада сред задължените лица, неговият управителен орган ще носи пряка отговорност за управлението на киберсигурността.

Членовете на ръководството и служителите също така са задължени да преминат свързани с киберсигурността обучения.

Всички вътрешни документи и договори с доставчици, касаещи киберсигурността на предприятието и неговите услуги, следва да се приведат в съответствие с най-новата правна рамка.

Документация

След основните документи са:

Политика за мрежова и информационна сигурност,

Политика за оценка, анализ и управление на риска/ регистър на рисковете/,

Политика за управление на активите/ регистър на активите/,

Политика за управление на достъпа,

Политика за сигурност на данните и криптография/класификация на данните/,

Политика за откриване и управление на уязвимост,

Политика за управление на инциденти ,

Политика за обучения и информираност ,

Вътрешна политика за управление на риска от трети страни доставчици/регистър на доставчици,

Политики за докладване и други

Задължително следва да се прегледат договорите с доставчици за привеждане в съотвтествие с  изискванията на Закона за киберсигурността. Особено внимание следва да се отдели на доставчици на облачни услуги, удостоверителни услуги, софтуер и управлявани информационно и компютърни услуги.

Задължения на управителните органи

Управителните органи на съществените и важните субекти и административните органи одобряват мерките за управление на риска в областта на киберсигурността, предприети от тези субекти с цел спазване на чл. 22 от Закона, и следят за прилагането им.

Членовете на управителните органи на съществените и важните субекти са длъжни на всеки две години да преминават през обучение за придобиване на достатъчно познания и умения. Това ще им позволи да идентифицират рискове и да оценяват практиките за управление на риска в областта на киберсигурността и тяхното въздействие върху услугите, предоставяни от субекта.

Членовете на управителните органи на съществените и важните субекти са длъжни да предлагат и организират обученията по ал. 2 и за своите служители.

Санкции:

Законът предвижда значителни имуществени санкции и глоби при неспазване на законодателството.

СЪЩЕСТВЕНИ СУБЕКТИ: До 10 млн. евро или 2% от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи същественият субект, но не по-малко от 25 000 евро.

ВАЖНИ СУБЕКТИ: До 7 млн. евро или 1.4 % от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи важният субект, но не по-малко от 12 500 евро.

УПРАВИТЕЛНИ ОРГАНИ: глоба в размер от 500 до 5000 евро.

Настоящата статия не представлява правна консултация и има само информативен характер. Ако се нуждаете от правна консултация по въпроси относно привеждане в съответствие със закона за киберсигуронстта, защита на лични данни или от обучения на служителите по тази тема, се свържете с мен на посочените контактни форми.