След продължителен законодателен процес в началото на 2026 г. в сила влязоха измененията в Закона за киберсигурност, с които в българското право се въвежда Директива (ЕС) 2022/2555 (NIS2). Промените разширяват съществено кръга на организациите, длъжни да прилагат мерки за управление на рисковете за киберсигурността.
Кои организации попадат в обхвата
Директивата обхваща т.нар. съществени и важни субекти в широк кръг сектори — енергетика, транспорт, банково дело и инфраструктури на финансовите пазари, здравеопазване, цифрова инфраструктура, управление на услуги в областта на ИКТ, пощенски и куриерски услуги, производство, производство и дистрибуция на храни, доставчици на цифрови услуги и други. Като общо правило в обхвата попадат средните и големите предприятия в тези сектори, но някои субекти са обхванати независимо от размера си.
Основни задължения
- Прилагане на подходящи технически, оперативни и организационни мерки за управление на рисковете;
- Отговорност на ръководството — органите на управление одобряват мерките, контролират прилагането им и преминават обучение;
- Докладване на значими инциденти в кратки, поетапни срокове;
- Оценка на сигурността на веригата на доставки, включително на договорите с доставчици на ИТ услуги;
- Регистрация и взаимодействие с компетентните органи.
Санкции
Законът предвижда значителни имуществени санкции, диференцирани според вида на субекта, както и възможност за ангажиране на отговорността на членовете на ръководството. За нарушения, извършени в първоначален преходен период, се прилагат по-ниски санкции, но този период вече е изтекъл.
Първи стъпки
Препоръчваме на всяка компания, която осъществява дейност в посочените сектори, да прецени дали попада в обхвата на закона, да определи отговорно лице и да започне с анализ на несъответствията спрямо изискванията. Договорите с ключовите доставчици на ИТ услуги следва да бъдат прегледани и допълнени с клаузи относно сигурността и уведомяването при инциденти.
SM Legal съдейства при оценката на приложимостта на закона, изготвянето на вътрешни политики и договорни клаузи и при взаимодействието с компетентните органи — в сътрудничество с технически специалисти по информационна сигурност.
Настоящата публикация има информационен характер и не представлява правна консултация. За становище по конкретен случай, моля, свържете се с нас.
Силвия Марушкина — Адвокат, основател на SM Legal