NIS2 в България: какво трябва да направят средните компании сега
Измененият Закон за киберсигурност въвежда NIS2. Кой е обхванат, за какво отговаря ръководството и 24-часовият срок за докладване.
България транспонира директивата NIS2 през февруари 2026 г., когато Народното събрание прие изменения в Закона за киберсигурност. Законът влезе в сила около шестнадесет месеца след срока на ЕС и без дълъг преходен период.
Кой е обхванат
Обхватът вече не зависи от решение на компетентен орган. Една компания попада в обхвата автоматично, ако е поне средно предприятие и работи в някой от 18-те сектора в приложенията към закона. Списъкът вече излиза далеч извън класическата критична инфраструктура и включва производство, производство на храни, управление на отпадъци и доставчици на цифрови услуги.
Ако сте средна компания и не сте сигурни дали сте обхванати, приемете, че трябва да проверите — а не че сте изключени.
Ръководството носи лична отговорност
Членовете на управителния орган трябва да одобрят мерките за управление на киберсигурността и да следят как се прилагат. Те също трябва да преминават обучение по киберсигурност на всеки две години и да организират редовно обучение на служителите. Киберсигурността вече е задължение на ниво ръководство, а не само задача на IT отдела.
Срокът за докладване
Значимите инциденти се докладват на три етапа:
- Ранно предупреждение до 24 часа.
- Официално уведомление за инцидента до 72 часа.
- Окончателен доклад до един месец.
Спазването на 24-часовия срок е преди всичко оперативен проблем. Нужни са ви механизъм за откриване, определен човек, който взема решението, и изпробван плейбук — преди инцидентът да се случи.
Какво да направите това тримесечие
- Потвърдете дали сте съществен или важен субект и документирайте мотивите.
- Направете анализ на пропуските спрямо мерките за управление на риска в член 21 от NIS2.
- Напишете и изпробвайте плейбук за докладване на инциденти около 24-часовото ранно предупреждение.
- Информирайте управителния орган и насрочете обучението му.
- Следете за подзаконовата нормативна уредба, която ще определи подробните минимални изисквания за сигурност.
Ако произвеждате и софтуер или свързани продукти, имайте предвид, че задълженията за докладване по Cyber Resilience Act се прилагат от 11 септември 2026 г. — отделно задължение със собствен 24-часов срок.
Тази статия е обща информация, а не правен съвет.