Die Richtlinie (EU) 2022/2555 (NIS2) wurde durch Änderungen, die im bulgarischen Staatsanzeiger (Darzhaven Vestnik) Nr. 17 vom 13. Februar 2026 verkündet wurden, in das bulgarische Cybersicherheitsgesetz (das „Gesetz“) umgesetzt. Die ermäßigten Sanktionen sind zum 1. Juni 2026 entfallen. Die vorliegende Veröffentlichung behandelt den Anwendungsbereich des Regimes, die Haftung der Leitungsorgane und die vertraglichen Folgen für Unternehmen, die formal außerhalb des Anwendungsbereichs des Gesetzes bleiben.

Den vollständigen Newsletter als PDF herunterladen (EN/BG)

1. Der neue Rechtsrahmen

1.1. Was die Nationalversammlung beschlossen hat. Am 5. Februar 2026 verabschiedete die Nationalversammlung das Gesetz zur Änderung und Ergänzung des Cybersicherheitsgesetzes. Es wurde im Staatsanzeiger Nr. 17 vom 13. Februar 2026 verkündet und trat am selben Tag in Kraft. Damit hat Bulgarien die nationalen Maßnahmen zur Umsetzung von NIS2 ergriffen, welche die Richtlinie (EU) 2016/1148 (NIS1) ersetzt hat.

Eine terminologische Klarstellung mit praktischer Bedeutung: Die Richtlinie selbst wird nicht zu bulgarischem Recht. Umsetzungsakt ist das nationale Gesetz, während die Richtlinie ein Rechtsakt der Europäischen Union bleibt, der eine vertikale unmittelbare Wirkung nur unter den von der Rechtsprechung des Gerichtshofs entwickelten Voraussetzungen entfalten kann.

Die Änderung ist nicht redaktioneller Natur. NIS1 erfasste einen engen Kreis von Betreibern wesentlicher Dienste. NIS2 begründet ein Regime, das sich nach Anwendungsbereich, Aufsichtsbefugnissen und Sanktionshöhe dem Modell der Datenschutz-Grundverordnung annähert.

1.2. Bereits laufende Fristen. Die Pflichten nach den Artikeln 22 und 23 des Gesetzes gelten seit dem 13. Februar 2026. Sie sind nicht bis zum Erlass der untergesetzlichen Regelungen aufgeschoben. Bis zum 1. Juni 2026 galt eine Übergangsregelung, welche die Sanktionen halbierte; nunmehr gelten die vollen Beträge.

Die Verordnung nach Artikel 3 Absatz 2 des Gesetzes, die den Mindestumfang der Maßnahmen festlegen wird, steht noch aus. Ein Teil der Pflichten ist bereits im Gesetz selbst festgelegt, während der Mindestumfang der Maßnahmen und die Verfahrensdetails von der untergesetzlichen Regelung abhängen. Daraus folgt nicht automatisch, dass jeder Verstoß vor Erlass der Verordnung ohne Weiteres sanktioniert werden kann, da der Grundsatz der Gesetzmäßigkeit und das Bestimmtheitsgebot im Recht der Ordnungswidrigkeiten besonderes Gewicht haben.

2. Anwendungsbereich des Gesetzes

2.1. Die Sektoren der Anhänge I und II. Anhang I erfasst die Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten zwischen Unternehmen sowie Weltraum. Anhang II erfasst Post- und Kurierdienste, Abfallbewirtschaftung, Chemikalien, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, die Herstellung von Medizinprodukten und In-vitro-Diagnostika, Computer sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinen und Ausrüstungen, Kraftfahrzeuge und sonstige Fahrzeuge, digitale Anbieter und Forschungseinrichtungen.

Diese Zusammenfassung dient der Orientierung. Jede Kategorie ist in den Anhängen konkret beschrieben; die Anwendbarkeit beurteilt sich nach dieser Beschreibung und nicht nach der allgemeinen Sektorbezeichnung.

Gesondert fallen Verwaltungsbehörden (Artikel 4 Nummer 1 des Gesetzes) und Organe der Justiz (Artikel 4 Nummer 9) in den Anwendungsbereich. Ihre Grundlagen sind allerdings nicht identisch: Artikel 4a Absatz 1 Nummer 4 stuft Verwaltungsbehörden als wesentliche Einrichtungen ein, ordnet die Organe der Justiz jedoch nicht derselben ausdrücklichen Kategorie zu.

2.2. Größenschwellen und Ausnahmen. Nach Artikel 4 Nummer 2 des Gesetzes erfasst dieses Einrichtungen der in den Anhängen I und II genannten Arten, welche die Kriterien mittlerer Unternehmen erfüllen oder die Obergrenze für mittlere Unternehmen überschreiten und Dienste innerhalb der Europäischen Union erbringen oder dort tätig sind.

Die Ausnahmen werden unterschätzt. Unabhängig von der Größe erfasst Artikel 4 Nummer 3 Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, DNS-Diensteanbieter, Top-Level-Domain-Namenregister, den einzigen Anbieter eines wesentlichen Dienstes, Einrichtungen, deren Störung die öffentliche Sicherheit, Ordnung oder Gesundheit beeinträchtigen könnte, Einrichtungen, deren Störung ein erhebliches Systemrisiko begründen könnte, sowie Einrichtungen von kritischer Bedeutung auf nationaler oder regionaler Ebene. Artikel 4 Nummer 5 erfasst darüber hinaus Einrichtungen, die Dienste zur Registrierung von Domänennamen erbringen.

2.3. Verhältnis zu sektorspezifischen Rechtsakten und DORA. Nach Artikel 6a des Gesetzes verdrängt ein sektorspezifischer Rechtsakt gleichwertiger Wirkung das Gesetz, jedoch nur hinsichtlich der Einrichtungen und Gegenstände, die dieser Rechtsakt regelt. Die Verordnung (EU) 2022/2554 (DORA) ist ein solcher Rechtsakt für bestimmte Finanzunternehmen.

Es ist nicht zutreffend, ohne Einschränkung zu behaupten, DORA schließe die Anwendung des Gesetzes aus. Die Prüfung erfolgt in drei Schritten: (i) fällt die betreffende Einrichtung in den Anwendungsbereich von DORA; (ii) sind ihre konkreten Pflichten einschließlich der Meldepflichten von DORA erfasst; (iii) bleiben nationale Regelungen zu Koordinierung, Zuständigkeit oder nicht erfassten Tätigkeiten anwendbar.

2.4. Wesentliche und wichtige Einrichtungen. Artikel 4a Absatz 1 des Gesetzes benennt sieben Kategorien wesentlicher Einrichtungen: Einrichtungen des Anhangs I, welche die Obergrenze für mittlere Unternehmen überschreiten; qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Namenregister und DNS-Diensteanbieter unabhängig von ihrer Größe; mittlere Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste; Verwaltungsbehörden; kritische Einrichtungen im Sinne der Richtlinie (EU) 2022/2557; die Einrichtungen nach Artikel 4 Nummer 3 Buchstaben d bis g; sowie die bereits bestehenden Betreiber wesentlicher Dienste. Wichtige Einrichtungen sind die übrigen Einrichtungen der Anhänge I oder II (Artikel 4a Absatz 2). Die Unterscheidung bestimmt die Intensität der Aufsicht und die Höchstsanktion.

2.5. Wer die Einrichtungen bestimmt. Die offizielle Bestimmung erfolgt nicht durch die Einrichtungen selbst. Nach Artikel 16 Absatz 3 Nummer 8 des Gesetzes nehmen die zuständigen nationalen Behörden diese Bestimmung nach einer vom Ministerrat beschlossenen Methodik vor.

Das bedeutet nicht, dass die Einrichtungen keine eigenen Pflichten hätten. Der Minister für Innovation und digitale Transformation führt ein Register, das nicht öffentlich ist (Artikel 6 Absatz 5); die Einrichtungen zeigen der zuständigen nationalen Behörde jede Änderung der übermittelten Daten binnen zwei Wochen an (Artikel 6 Absatz 3).

3. Haftung der Leitungsorgane

Erstmals begründet das bulgarische Cybersicherheitsrecht ausdrückliche Pflichten des Leitungsorgans als solchem.

Nach Artikel 21 des Gesetzes billigen die Leitungsorgane die Risikomanagementmaßnahmen und überwachen deren Umsetzung (Absatz 1). Ihre Mitglieder nehmen alle zwei Jahre an Schulungen teil (Absatz 2), eine Anforderung, die strenger ist als die der Richtlinie, welche eine allgemeine Formulierung verwendet. Die Leitungsorgane bieten Schulungen auch für die Beschäftigten an und organisieren sie (Absatz 3).

Wichtige Klarstellung: Das Gesetz verbietet es nicht, die technische oder operative Durchführung einer internen Funktion oder einem externen Dienstleister zu übertragen. Beim Leitungsorgan verbleiben Billigung, Überwachung und Schulung. Die Verantwortung nach Artikel 21 geht durch Auslagerung nicht über; daraus folgt jedoch nicht, dass jede technische Tätigkeit persönlich von den Mitgliedern des Organs auszuführen wäre.

Folgen bei Nichterfüllung. Nach Artikel 29 Absatz 4 wird gegen Leiter von Verwaltungsbehörden, Geschäftsführer und Mitglieder von Leitungsorganen eine Geldbuße von 500 bis 5 000 Euro verhängt. Diese Haftung ist eigenständig und hängt nicht von der gegen die Einrichtung verhängten Sanktion ab.

Sie tritt jedoch nicht automatisch ein. Erforderlich ist ein der betreffenden Person zurechenbarer Verstoß gegen Artikel 21. Die Rechtsprechung des Obersten Verwaltungsgerichts nimmt in vergleichbaren Fällen an, dass ein Geschäftsführer persönlich ordnungsrechtlich nur bei nachgewiesenem eigenem schuldhaftem Verhalten haftet und nicht allein aufgrund seiner Stellung.

Für wesentliche Einrichtungen sieht Artikel 27k Absatz 2 eine schwerwiegendere Folge vor: Die zuständige nationale Behörde kann ein Gericht oder eine andere staatliche Stelle ersuchen, einer Person mit Leitungsfunktionen deren Ausübung vorübergehend zu untersagen. Die Maßnahme greift bei Nichtvornahme der Handlungen nach Artikel 23 oder nach Artikel 27i Absatz 1 Nummern 1 bis 4 und 6, nicht bei jedem Verstoß gegen das Gesetz; sie gilt nicht für Verwaltungsbehörden (Artikel 27k Absatz 4).

4. Risikomanagement und Lieferkette

Artikel 22 Absatz 2 des Gesetzes zählt zwölf Nummern auf, von denen elf konkrete Maßnahmen enthalten. Einige gelten, soweit angemessen; die Beurteilung richtet sich nach dem Grad der Risikoexposition, der Größe der Einrichtung, der Wahrscheinlichkeit eines Vorfalls, dessen Bedeutung, den gesellschaftlichen und wirtschaftlichen Auswirkungen, den Kosten und dem Stand der Technik: (i) Risikoanalyse und Sicherheitsleitlinien; (ii) Bewältigung von Sicherheitsvorfällen; (iii) Betriebskontinuität und Wiederherstellung; (iv) Sicherheit der Lieferkette; (v) Sicherheit bei Erwerb und Wartung; (vi) Bewertung der Wirksamkeit der Maßnahmen; (vii) Cyberhygiene und Schulung; (viii) Kryptografie und Verschlüsselung; (ix) Sicherheit des Personals, Zugriffskontrolle und Anlagenmanagement; (x) Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gesicherte Notfallkommunikationssysteme; (xi) Änderungsmanagement.

Die vertragliche Dimension. Artikel 22 Absatz 2 Nummer 4 macht die Sicherheit der Lieferkette zu einer gesetzlichen Pflicht. Nach Absatz 3 sind die Schwachstellen jedes unmittelbaren Anbieters und die Qualität seiner Praktiken einschließlich seiner Verfahren für sichere Entwicklung zu berücksichtigen.

Die Formulierung ist bewusst zurückhaltend. Artikel 22 bindet ein Unternehmen außerhalb des Anwendungsbereichs nicht aus sich heraus. Eine vertragliche Bindung entsteht, wenn die Anforderungen wirksam in den Vertrag einbezogen werden oder sich aus einem anderen anwendbaren Regime ergeben. Verträge bedürfen daher einer Überprüfung hinsichtlich: (i) der Sicherheitsanforderungen; (ii) der Prüfrechte und Nachweise der Konformität; (iii) der vertraglichen Meldefristen, abgestimmt auf die 24-Stunden-Frist des Kunden gegenüber dem CSIRT; (iv) der Haftung; (v) der Anforderungen an Unterauftragnehmer. Diese Mechanismen sind sachgerecht, doch schreibt Artikel 22 sie nicht als abschließenden Katalog zwingender Klauseln vor; die 24-Stunden-Frist ist die Frist der Einrichtung gegenüber dem CSIRT und geht nicht automatisch auf ihre Anbieter über.

5. Meldung erheblicher Sicherheitsvorfälle

Die Meldung erfolgt an das sektorale Computer-Notfallteam (CSIRT) in folgender Reihenfolge (Artikel 23 Absatz 5):

1. binnen 24 Stunden nach Kenntniserlangung eine Frühwarnung, in der, soweit anwendbar, vermutete böswillige Handlungen und grenzüberschreitende Auswirkungen anzugeben sind;
2. binnen 72 Stunden eine Meldung mit einer ersten Bewertung von Schwere und Auswirkungen; für Vertrauensdiensteanbieter beträgt die Frist 24 Stunden;
3. auf Verlangen ein Zwischenbericht;
4. binnen eines Monats nach der Meldung ein Abschlussbericht. Ist der Vorfall bei Ablauf dieser Frist nicht bewältigt, wird ein Zwischenbericht vorgelegt und der Abschlussbericht binnen eines Monats nach der Bewältigung eingereicht.

Das CSIRT antwortet spätestens binnen 24 Stunden, es sei denn, objektive Gründe stehen der Einhaltung dieser Frist entgegen (Artikel 23 Absatz 6).

Unterrichtung der Empfänger. Artikel 23 Absatz 2 wird häufig übersehen. Die Einrichtung unterrichtet die Empfänger ihrer Dienste über erhebliche Sicherheitsvorfälle, die deren Erbringung wahrscheinlich beeinträchtigen; die Unterrichtung erfolgt, soweit angemessen, und ohne unangemessene Verzögerung. Unter außergewöhnlichen Umständen ist eine Verzögerung mit Zustimmung der zuständigen nationalen Behörde zulässig.

Artikel 23 Absatz 4 verpflichtet darüber hinaus dazu, den Empfängern die Maßnahmen und Abhilfemöglichkeiten mitzuteilen, die sie ergreifen können, sowie, soweit angemessen, die Art der erheblichen Cyberbedrohung.

Die Meldung an das CSIRT begründet keine erhöhte Haftung (Artikel 23 Absatz 1). Das Unterlassen der Meldung ist ein eigenständiger Sanktionsgrund.

Verhältnis zur DSGVO. Artikel 16 Absatz 12 sieht eine Zusammenarbeit der zuständigen nationalen Behörden mit der Kommission für den Schutz personenbezogener Daten bei Vorfällen vor, die zu einer Verletzung des Schutzes personenbezogener Daten führen. Nach Artikel 27n wird keine zweite Geldbuße verhängt, wenn diese Kommission dieselbe Handlung bereits sanktioniert hat. Dieses Verbot ist nicht als automatisch bei jedem Parallelverfahren zu verstehen.

6. Aufsicht und Sanktionen

Kapitel Zwei „c“ des Gesetzes (Artikel 27e bis 27o) regelt die Aufsicht.

Wesentliche Einrichtungen unterliegen einer Ex-ante-Aufsicht: planmäßige und außerplanmäßige Prüfungen, regelmäßige und gezielte Sicherheitsaudits, Auskunftsersuchen und Zugang zu Unterlagen (Artikel 27g Absatz 1). Wichtige Einrichtungen unterliegen einer Ex-post-Aufsicht: Vor-Ort-Prüfungen und Fernaufsicht, gezielte Audits, Sicherheitsprüfungen nach objektiven und transparenten Risikobewertungskriterien sowie Auskunfts- und Nachweisersuchen (Artikel 27g Absatz 2). Der Ex-post-Charakter dieser Aufsicht bedeutet nicht, dass jede Prüfung einen zuvor festgestellten Verstoß voraussetzt.

Die Kosten eines von einer unabhängigen Stelle durchgeführten gezielten Audits trägt die geprüfte Einrichtung (Artikel 27h Absatz 3); die zuständige Behörde kann anordnen, dass die Einrichtung den Verstoß öffentlich bekannt macht (Artikel 27i Absatz 1 Nummer 7).

	Wesentliche Einrichtungen	Wichtige Einrichtungen
Wer	Sieben Kategorien (Art. 4a Abs. 1)	Die übrigen der Anhänge I und II
Aufsicht	Ex ante	Ex post
Höchstsanktion, der höhere Betrag	10 000 000 € oder 2 % des Umsatzes	7 000 000 € oder 1,4 % des Umsatzes
Mindestbetrag bei Verstoß gegen Art. 22 und 23	25 000 €	12 500 €
Tätigkeitsverbot für Leitungspersonen	Möglich	Nicht anwendbar

Zwei Klarstellungen. Erstens wird der Prozentsatz auf den gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres des Unternehmens berechnet, dem die Einrichtung angehört. Zweitens sind die Beträge von 25 000 Euro und 12 500 Euro die Untergrenzen nach Artikel 29 Absätze 2 und 3 für Verstöße gegen die Artikel 22 und 23 und keine allgemeine Mindestsanktion für jeden Verstoß gegen das Gesetz.

Die Nichtbefolgung einer Anordnung nach Artikel 27i Absatz 1 Nummern 2 bis 7 wird mit einer Geldbuße von 2 500 bis 12 000 Euro und im Wiederholungsfall von 5 000 bis 25 000 Euro geahndet (Artikel 28).

7. Wie es weitergeht

Die Bestimmung der Einrichtungen und die Verordnung nach Artikel 3 Absatz 2 stehen noch aus. Bis dahin gelten vier Prioritäten:

1. Beurteilung des Anwendungsbereichs, einschließlich der größenunabhängigen Ausnahmen und des Verhältnisses zu sektorspezifischen Rechtsakten;
2. Bewertung der Konformität anhand von Artikel 22;
3. Aufbau eines Prozesses für die 24-Stunden-Meldung, einschließlich der Unterrichtung der Empfänger der Dienste;
4. Überprüfung der Verträge mit Kunden und Anbietern.

Die vorliegende Veröffentlichung wurde von der Rechtsanwaltskanzlei „Stoychev & Stoycheva“ zu allgemeinen Informationszwecken erstellt und stellt keine Rechtsberatung dar. Bevor Sie Maßnahmen ergreifen, die sich auf Ihre Finanzen oder Ihr Geschäft auswirken können, wenden Sie sich bitte an einen qualifizierten Rechtsanwalt.