Директива (ЕС) 2022/2555 (NIS2) е транспонирана в Закона за киберсигурност (ЗКС) с изменения, обнародвани в „Държавен вестник“, бр. 17 от 13 февруари 2026 г. Намалените санкции отпаднаха на 1 юни 2026 г. Настоящата публикация разглежда обхвата на режима, отговорността на управителните органи и договорните последици за дружества, които формално остават извън приложното поле на закона.

Свалете пълния бюлетин в PDF (BG/EN)

1. Новата правна рамка

1.1. Какво прие Народното събрание. На 5 февруари 2026 г. Народното събрание прие Закона за изменение и допълнение на ЗКС. Законът е обнародван в „Държавен вестник“, бр. 17 от 13 февруари 2026 г., и е в сила от същата дата. С него България предприе националните мерки за транспониране на NIS2, заменила Директива (ЕС) 2016/1148 (NIS1).

Терминологична бележка с практическо значение: самата директива не се превръща в български закон. Транспониращият акт е националният закон, а директивата остава акт на правото на Европейския съюз, който може да породи вертикален директен ефект само при условията, установени от практиката на Съда на ЕС.

Промяната не е редакционна. NIS1 обхващаше ограничен кръг оператори на съществени услуги. NIS2 изгражда режим, който по обхват, надзорни правомощия и тежест на санкциите се доближава до модела на Общия регламент относно защитата на данните.

1.2. Срокове, които вече текат. Задълженията по чл. 22 и чл. 23 ЗКС действат от 13 февруари 2026 г. Те не са отложени до приемането на подзаконовата уредба. До 1 юни 2026 г. се прилагаше преходен режим с намалени наполовина санкции; понастоящем се прилагат пълните размери.

Наредбата по чл. 3, ал. 2 ЗКС, която ще определи минималния обхват на мерките, предстои да бъде приета. Формулировката, която отговаря на действителното положение, е следната: част от задълженията са нормативно определени още в самия закон, докато минималният обхват на мерките и процедурните детайли зависят от подзаконовата уредба. От това не следва автоматично, че всяко нарушение подлежи на безпроблемно санкциониране преди приемането на наредбата, тъй като принципът на законност и изискването за достатъчна определеност имат особено значение при административните нарушения и наказания.

2. Обхват на закона

2.1. Секторите по Приложение I и II. Приложение I обхваща секторите с висока критичност: енергетика, транспорт, банкова дейност, инфраструктури на финансовия пазар, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на услуги в областта на ИКТ между предприятия и космическо пространство. Приложение II обхваща пощенски и куриерски услуги, управление на отпадъци, химикали, производство, преработка и разпространение на храни, производство на медицински изделия и на медицински изделия за инвитро диагностика, компютри, електронни и оптични продукти, електрически съоръжения, машини и оборудване, моторни превозни средства и друго транспортно оборудване, доставчици на цифрови услуги и научноизследователски организации.

Обобщението по-горе е предназначено за ориентиране. Всяка от категориите е конкретно описана в приложенията и приложимостта се преценява по нормативното описание, а не по общото наименование на сектора.

Отделно в обхвата попадат административните органи (чл. 4, т. 1 ЗКС) и органите на съдебната власт (чл. 4, т. 9 ЗКС). Основанията им обаче не са идентични: чл. 4а, ал. 1, т. 4 ЗКС определя като съществени субекти административните органи, но не поставя органите на съдебната власт в същата изрична категория.

2.2. Размер на предприятието и изключения. По чл. 4, т. 2 ЗКС законът обхваща субектите от видовете по Приложения I и II, които отговарят на критериите за средно предприятие или надхвърлят горната граница за средно предприятие и предоставят услуги или извършват дейности в рамките на Европейския съюз.

Изключенията се подценяват. Независимо от размера, по чл. 4, т. 3 ЗКС в обхвата попадат доставчиците на обществени електронни съобщителни мрежи и услуги, на удостоверителни услуги и на DNS услуги, регистрите на домейни от първо ниво, единственият доставчик на услуга от съществено значение, субектите, при чието смущение може да бъде засегната обществената безопасност, сигурност или здраве, субектите, чието смущение може да създаде значителен системен риск, и субектите с критична значимост на национално или регионално равнище. Отделно чл. 4, т. 5 ЗКС обхваща субектите, предоставящи услуги за регистриране на имена на домейни.

2.3. Съотношение със секторните актове и DORA. По чл. 6а ЗКС специален акт с равностоен ефект измества ЗКС, но само по отношение на субектите и на въпросите, които този акт урежда. Регламент (ЕС) 2022/2554 (DORA) е такъв акт по отношение на определени финансови субекти.

Не е коректно да се твърди безусловно, че DORA изключва прилагането на ЗКС. Проверката е тристепенна: (i) дали конкретният субект попада в обхвата на DORA; (ii) дали конкретните му задължения, включително по уведомяване, са уредени от DORA; и (iii) дали не остават приложими национални правила относно координация, компетентност или необхванати дейности.

2.4. Съществени и важни субекти. Чл. 4а, ал. 1 ЗКС определя седем категории съществени субекти: субектите по Приложение I, които надхвърлят горната граница за средни предприятия; доставчиците на квалифицирани удостоверителни услуги, регистрите на домейни от първо ниво и доставчиците на DNS услуги независимо от размера; средните доставчици на обществени електронни съобщителни мрежи или услуги; административните органи; критичните субекти по Директива (ЕС) 2022/2557; субектите по чл. 4, т. 3, букви „г“ – „ж“; и заварените оператори на съществени услуги. Важни са останалите субекти по Приложение I или II (чл. 4а, ал. 2 ЗКС). Разграничението определя интензивността на надзора и максималния размер на санкцията.

2.5. Кой определя субектите. Официалното определяне не се извършва от самите субекти. По чл. 16, ал. 3, т. 8 ЗКС националните компетентни органи ги определят съгласно методика, приета от Министерския съвет.

Това не означава, че субектите нямат собствени задължения. Министърът на иновациите и дигиталната трансформация води регистър, който не е публичен (чл. 6, ал. 5 ЗКС), а субектите уведомяват съответния национален компетентен орган за всяка промяна в предоставените данни в срок до две седмици (чл. 6, ал. 3 ЗКС).

3. Отговорност на управителните органи

За първи път българското законодателство в областта на киберсигурността урежда изрични задължения на управителния орган като такъв.

По чл. 21 ЗКС управителните органи одобряват мерките за управление на риска и следят за прилагането им (ал. 1). Членовете им преминават обучение на всеки две години (ал. 2) – изискване, по-строго от директивното, което борави с обща формулировка. Управителните органи предлагат и организират обучение и за служителите (ал. 3).

Важно уточнение: законът не забранява възлагането на техническото или оперативното изпълнение на вътрешно звено или на външен доставчик. Онова, което остава на управителния орган, са одобряването, надзорът и обучението. Отговорността по чл. 21 ЗКС не се прехвърля чрез аутсорсинг, но това не означава, че всяка техническа дейност следва да се извършва лично от членовете на органа.

Последици при неизпълнение. По чл. 29, ал. 4 ЗКС глоба от 500 до 5 000 евро се налага на ръководителите на административни органи, на управителите и на членовете на управителните органи. Отговорността е самостоятелна и не зависи от санкционирането на субекта.

Тя обаче не е автоматична. Необходимо е нарушение на чл. 21 ЗКС, относимо към съответното лице. Практиката на Върховния административен съд по сходни състави приема, че управител носи лична административнонаказателна отговорност при доказано лично виновно поведение, а не поради самото си качество.

За съществените субекти чл. 27к, ал. 2 ЗКС предвижда по-тежка последица: националният компетентен орган може да поиска от съд или от друг държавен орган временна забрана лице с управленски функции да ги упражнява. Мярката се прилага при непредприемане на действията по чл. 23 ЗКС и по чл. 27и, ал. 1, т. 1 – 4 и т. 6 ЗКС, а не при всяко нарушение на закона, и не се прилага за административни органи (чл. 27к, ал. 4 ЗКС).

4. Управление на риска и веригата за доставки

Чл. 22, ал. 2 ЗКС изброява дванадесет точки, единадесет от които съдържат конкретни мерки. Част от тях се прилагат „когато е целесъобразно“, а преценката се извършва според степента на излагане на риск, размера на субекта, вероятността от инцидент, значимостта, общественото и икономическото въздействие, разходите и последните достижения в областта: (i) анализ на риска и политики за сигурност; (ii) действия при инцидент; (iii) непрекъснатост и възстановяване; (iv) сигурност на веригата за доставка; (v) сигурност при придобиване и поддръжка; (vi) оценка на ефективността на мерките; (vii) киберхигиена и обучение; (viii) криптография и криптиране; (ix) сигурност на човешките ресурси, контрол на достъпа и управление на активи; (x) многофакторно или непрекъснато удостоверяване, защитени съобщения и защитени системи за спешна комуникация; (xi) управление на измененията.

Договорното измерение. Чл. 22, ал. 2, т. 4 ЗКС превръща сигурността на веригата за доставки в законово задължение. По ал. 3 се отчитат уязвимостите на всеки пряк снабдител или доставчик на услуги и качеството на неговите практики, включително процедурите за сигурно разработване.

Формулировката е съзнателно предпазлива. От чл. 22 ЗКС не следва автоматично договорно обвързване на дружество извън обхвата. Обвързване възниква, ако изискванията бъдат валидно включени в договора или произтичат от друг приложим режим. Затова договорите налагат преглед относно: (i) изисквания за сигурност; (ii) права за одит и доказателства за съответствие; (iii) договорни срокове за уведомяване, съобразени с 24-часовия срок на клиента към СЕРИКС; (iv) отговорност; (v) изисквания към подизпълнителите. Тези механизми са разумни, но не са предвидени в чл. 22 ЗКС като изчерпателно задължителни клаузи, а 24-часовият срок е срок на субекта към СЕРИКС и не се пренася автоматично към доставчиците му.

5. Докладване на значителни инциденти

Уведомяването се извършва до секторния екип за реагиране при инциденти с компютърната сигурност (СЕРИКС) в следната последователност (чл. 23, ал. 5 ЗКС):

1. до 24 часа от установяването – ранно предупреждение, в което, когато е приложимо, се посочват предполагаеми злонамерени действия и трансгранично въздействие;
2. до 72 часа – уведомление с първоначална оценка на тежестта и въздействието; за доставчиците на удостоверителни услуги срокът е 24 часа;
3. при поискване – междинен доклад;
4. до един месец от уведомлението по т. 2 – окончателен доклад. Ако инцидентът не е преодолян до изтичането на този срок, се представя междинен доклад, а окончателният доклад се подава в срок до един месец от справянето с инцидента.

СЕРИКС изпраща отговор не по-късно от 24 часа, освен ако обективни причини не възпрепятстват спазването на срока; в този случай отговорът се изпраща във възможно най-кратък срок (чл. 23, ал. 6 ЗКС).

Уведомяване на получателите. Чл. 23, ал. 2 ЗКС често остава извън полезрението. Субектът уведомява получателите на своите услуги за значителни инциденти, които има вероятност да засегнат неблагоприятно предоставянето им, като уведомяването се извършва, когато е подходящо и без ненужно забавяне. При изключителни обстоятелства забавяне се допуска след съгласие на съответния национален компетентен орган.

Отделно чл. 23, ал. 4 ЗКС задължава субекта да съобщи на получателите мерките и средствата за защита, които те могат да предприемат, а когато е целесъобразно – и вида на значителната киберзаплаха.

Уведомяването на СЕРИКС не води до повишена отговорност (чл. 23, ал. 1 ЗКС). Липсата на уведомяване е самостоятелно основание за санкция.

Съотношение с GDPR. Чл. 16, ал. 12 ЗКС предвижда сътрудничество между националните компетентни органи и Комисията за защита на личните данни при инциденти, водещи до нарушаване на сигурността на лични данни. По чл. 27н ЗКС, ако Комисията вече е санкционирала същото деяние, втора имуществена санкция не се налага. Забраната не следва да се разглежда като автоматична при всяко паралелно производство.

6. Надзор и санкции

Глава втора „в“ ЗКС (чл. 27е – 27о) урежда контрола.

Съществените субекти подлежат на предварителен надзор: планови и извънпланови проверки, редовни и целеви одити на сигурността, искания на информация и достъп до документи (чл. 27ж, ал. 1 ЗКС). Важните субекти подлежат на последващ надзор: проверки на място и дистанционен надзор, целеви одити, проверки за сигурност по обективни и прозрачни критерии за оценка на риска и изискване на информация и доказателства (чл. 27ж, ал. 2 ЗКС). Последващият характер на надзора не означава, че всяка проверка изисква предварително установено нарушение.

Разходите за целеви одит от независим орган се заплащат от одитирания субект (чл. 27з, ал. 3 ЗКС), а компетентният орган може да разпореди субектът да обяви публично нарушението (чл. 27и, ал. 1, т. 7 ЗКС).

	Съществени субекти	Важни субекти
Кой	Седем категории по чл. 4а, ал. 1 ЗКС	Останалите по Приложения I и II
Надзор	Предварителен	Последващ
Максимална санкция, по-високата от двете	10 000 000 € или 2 % от оборота	7 000 000 € или 1,4 % от оборота
Минимум при нарушение на чл. 22 и 23	25 000 €	12 500 €
Забрана за управление	Възможна	Не се прилага

Две уточнения към таблицата. Първо, процентът се изчислява върху общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи субектът, а не непременно само върху оборота на самия субект. Второ, размерите от 25 000 евро и 12 500 евро са долни граници по чл. 29, ал. 2 и 3 ЗКС за нарушения на чл. 22 и чл. 23 ЗКС, а не обща минимална санкция за всяко нарушение по закона.

Неизпълнението на предписание по чл. 27и, ал. 1, т. 2 – 7 ЗКС се санкционира с глоба от 2 500 до 12 000 евро, а при повторност – от 5 000 до 25 000 евро (чл. 28 ЗКС).

7. Какво следва

Определянето на субектите и наредбата по чл. 3, ал. 2 ЗКС предстоят. Дотогава приоритетите са четири:

1. преценка на обхвата, включително по изключенията, независещи от размера, и по съотношението със секторните актове;
2. оценка на съответствието спрямо чл. 22 ЗКС;
3. изграждане на процес за 24-часово уведомяване, включително за уведомяване на получателите на услугите;
4. преглед на договорите с клиенти и доставчици.

Настоящата публикация е изготвена от Адвокатско дружество „Стойчев и Стойчева“ с цел предоставяне на обобщена информация и не представлява правен съвет. Преди предприемане на действия, които могат да рефлектират върху Вашите финанси или бизнес, моля, консултирайте се с квалифициран адвокат.