Киберсигурност: България (2026)
България транспонира Директивата NIS2 чрез изменение на Закона за киберсигурността, приет от Народното събрание на 5 февруари 2026 г. и влязъл в сила от 13 февруари 2026 г., след процедура за установяване на нарушение и сезиране на Съда на Европейския съюз (СЕС) от Европейската комисия през май 2025 г. поради закъснение при транспонирането. Измененият закон въвежда двойна класификация на „основни“ и „важни“ субекти в 18 сектора, изисква многостепенно докладване на инциденти към секторните CSIRT и налага административни глоби в размер, съответстващ на тези по Общия регламент за защита на данните (GDPR). В редица области България избра по-строги национални правила от минималните изисквания на NIS2, като по-специално разшири задълженията в сектора на хранителните продукти извън обхвата на директивата.
Основна рамка
Българският Закон за киберсигурността, изменен на 5 февруари 2026 г. (Държавен вестник от 13 февруари 2026 г.), с който се транспонира Директива 2022/2555 на ЕС (NIS2); компетентен орган: Министерство на електронното управление
Основни моменти
График на законодателния процес
България не спази крайния срок за транспониране на NIS2 на 17 октомври 2024 г.; Комисията започна процедура за нарушение през ноември 2024 г. и заведе дело срещу България пред Съда на Европейския съюз през май 2025 г. На 5 февруари 2026 г. Народното събрание най-накрая прие закона за изменение, който беше обнародван в „Държавен вестник“ на 13 февруари 2026 г.
Обхват, сектори и субекти
Обхватът бе разширен от 8 на 18 сектора (като бяха добавени секторите „космически дейности“, „отпадъчни води“, „управление на ИКТ услуги“, „химическа промишленост“, „хранително-вкусова промишленост“, „пощенски и куриерски услуги“, „преработвателна промишленост“ и др.). Средните и по-големите предприятия, които осъществяват дейност в обхванатите сектори, се квалифицират като „необходими“ или „важни“ субекти; предишната система, основана на определения, бе заменена с автоматична класификация въз основа на размера и сектора.
Задължения за докладване на инциденти
За сериозните инциденти трябва да се докладва на съответния секторен CSIRT в три етапа: ранно предупреждение в рамките на 24 часа от установяването на инцидента, пълно уведомление за инцидента в рамките на 72 часа (с първоначална оценка на сериозността и въздействието) и окончателен доклад в рамките на един месец. CERT България действа на национално равнище успоредно със секторните CSIRT.
Надзорен орган
Министерството на електронното управление е основният национален компетентен орган и единна точка за контакт съгласно NIS2. То поддържа непубличен регистър на обхванатите субекти и координира дейността си със секторните регулаторни органи (в областта на енергетиката, финансите, транспорта, здравеопазването и др.), които притежават съпътстващи надзорни правомощия в съответните си области.
Режим на санкции
На „ключовите“ предприятия се налагат глоби до 10 милиона евро или 2 % от глобалния годишен оборот (което от двете е по-високо); на „важните“ предприятия — до 7 милиона евро или 1,4 % от глобалния годишен оборот. Членовете на управителните органи могат да носят лична отговорност с индивидуални глоби до 5 000 евро за лични нарушения на служебните задължения.
По-строги национални мерки
България се възползва от правото си на преценка да надхвърли минималните изисквания от 2 нис в няколко области, включително разширяване на задълженията за киберсигурност в хранителния сектор, така че да обхващат всички предприятия в хранителния сектор (а не само дистрибуторите на едро и промишлените производители, както изисква Директивата), както и разширяване на обхвата, така че да включва образователни институции, извършващи научноизследователска и развойна дейност, и субекти, предоставящи електронни административни услуги.
Тази страница е превод, изготвен за удобство; английската версия е официалната и не представлява правна консултация.