La directive (UE) 2022/2555 (NIS2) a été transposée dans la loi bulgare sur la cybersécurité (la « Loi ») par des modifications promulguées au Journal officiel bulgare (Darzhaven Vestnik), n° 17 du 13 février 2026. Les sanctions réduites ont cessé de s’appliquer le 1er juin 2026. La présente publication traite du champ d’application du régime, de la responsabilité des organes de direction et des conséquences contractuelles pour les sociétés qui demeurent formellement en dehors du champ d’application de la Loi.

Télécharger le bulletin complet en PDF (EN/BG)

1. Le nouveau cadre juridique

1.1. Ce que l’Assemblée nationale a adopté. Le 5 février 2026, l’Assemblée nationale a adopté la loi modifiant et complétant la loi sur la cybersécurité. Le texte a été promulgué au Journal officiel n° 17 du 13 février 2026 et est entré en vigueur à la même date. La Bulgarie a ainsi adopté les mesures nationales de transposition de NIS2, qui a remplacé la directive (UE) 2016/1148 (NIS1).

Une précision terminologique qui a une portée pratique : la directive elle-même ne devient pas une loi bulgare. L’acte de transposition est la loi nationale, tandis que la directive demeure un acte du droit de l’Union européenne, susceptible de produire un effet direct vertical uniquement dans les conditions dégagées par la jurisprudence de la Cour de justice.

Le changement n’est pas rédactionnel. NIS1 visait un cercle restreint d’opérateurs de services essentiels. NIS2 met en place un régime qui, par son champ d’application, les pouvoirs de surveillance et la sévérité des sanctions, se rapproche du modèle du règlement général sur la protection des données.

1.2. Des délais déjà en cours. Les obligations prévues aux articles 22 et 23 de la Loi s’appliquent depuis le 13 février 2026. Elles ne sont pas différées jusqu’à l’adoption des mesures d’application. Jusqu’au 1er juin 2026, un régime transitoire réduisait les sanctions de moitié ; les montants intégraux s’appliquent désormais.

L’arrêté prévu à l’article 3, paragraphe 2, de la Loi, qui déterminera la portée minimale des mesures, reste à adopter. Une partie des obligations est définie dans la Loi elle-même, tandis que la portée minimale des mesures et les modalités procédurales dépendent des mesures d’application. Il n’en résulte pas automatiquement que toute infraction puisse être sanctionnée sans difficulté avant l’adoption de l’arrêté, le principe de légalité et l’exigence de précision suffisante revêtant une importance particulière en matière de sanctions administratives.

2. Champ d’application de la Loi

2.1. Les secteurs des annexes I et II. L’annexe I couvre les secteurs hautement critiques : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC interentreprises et espace. L’annexe II couvre les services postaux et de courrier, la gestion des déchets, les produits chimiques, la production, la transformation et la distribution de denrées alimentaires, la fabrication de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro, les ordinateurs et produits électroniques et optiques, les équipements électriques, les machines et équipements, les véhicules automobiles et autres matériels de transport, les fournisseurs numériques et les organismes de recherche.

Ce résumé est destiné à l’orientation. Chaque catégorie fait l’objet d’une description précise dans les annexes, et l’applicabilité s’apprécie au regard de cette description et non de l’intitulé général du secteur.

Les autorités administratives (article 4, point 1, de la Loi) et les organes du pouvoir judiciaire (article 4, point 9) relèvent également du champ d’application. Leurs fondements ne sont toutefois pas identiques : l’article 4a, paragraphe 1, point 4, qualifie les autorités administratives d’entités essentielles, sans placer les organes du pouvoir judiciaire dans la même catégorie expresse.

2.2. Seuils de taille et exceptions. En vertu de l’article 4, point 2, de la Loi, celle-ci vise les entités des types énumérés aux annexes I et II qui répondent aux critères des moyennes entreprises ou dépassent le plafond applicable aux moyennes entreprises et qui fournissent des services ou exercent des activités au sein de l’Union européenne.

Les exceptions sont sous-estimées. Indépendamment de la taille, l’article 4, point 3, inclut les fournisseurs de réseaux et de services de communications électroniques publics, les prestataires de services de confiance, les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, le fournisseur unique d’un service essentiel, les entités dont la perturbation pourrait affecter la sécurité publique, la sûreté ou la santé, les entités dont la perturbation pourrait engendrer un risque systémique important, ainsi que les entités d’importance critique aux niveaux national ou régional. L’article 4, point 5, vise en outre les entités fournissant des services d’enregistrement de noms de domaine.

2.3. Articulation avec les actes sectoriels et DORA. En vertu de l’article 6a de la Loi, un acte sectoriel d’effet équivalent écarte la Loi, mais uniquement à l’égard des entités et des matières que cet acte régit. Le règlement (UE) 2022/2554 (DORA) constitue un tel acte à l’égard de certaines entités financières.

Il n’est pas exact d’affirmer sans nuance que DORA exclut l’application de la Loi. L’analyse comporte trois étapes : (i) l’entité concernée relève-t-elle du champ de DORA ; (ii) ses obligations spécifiques, y compris de notification, sont-elles régies par DORA ; (iii) des règles nationales de coordination, de compétence ou relatives à des activités non couvertes demeurent-elles applicables.

2.4. Entités essentielles et entités importantes. L’article 4a, paragraphe 1, de la Loi énumère sept catégories d’entités essentielles : les entités de l’annexe I dépassant le plafond applicable aux moyennes entreprises ; les prestataires de services de confiance qualifiés, les registres de noms de domaine de premier niveau et les fournisseurs de services DNS, indépendamment de leur taille ; les fournisseurs de taille moyenne de réseaux ou de services de communications électroniques publics ; les autorités administratives ; les entités critiques au sens de la directive (UE) 2022/2557 ; les entités visées à l’article 4, point 3, sous d) à g) ; et les opérateurs de services essentiels déjà désignés. Les entités importantes sont les autres entités relevant des annexes I ou II (article 4a, paragraphe 2). Cette distinction détermine l’intensité de la surveillance et le montant maximal de la sanction.

2.5. Qui désigne les entités. La désignation officielle n’est pas effectuée par les entités elles-mêmes. En vertu de l’article 16, paragraphe 3, point 8, de la Loi, les autorités nationales compétentes procèdent à cette désignation conformément à une méthodologie adoptée par le Conseil des ministres.

Cela ne signifie pas que les entités n’ont aucune obligation propre. Le ministre de l’Innovation et de la Transformation numérique tient un registre qui n’est pas public (article 6, paragraphe 5), et les entités notifient à l’autorité nationale compétente toute modification des données fournies dans un délai de deux semaines (article 6, paragraphe 3).

3. Responsabilité des organes de direction

Pour la première fois, la législation bulgare en matière de cybersécurité impose des obligations expresses à l’organe de direction en tant que tel.

En vertu de l’article 21 de la Loi, les organes de direction approuvent les mesures de gestion des risques et veillent à leur mise en œuvre (paragraphe 1). Leurs membres suivent une formation tous les deux ans (paragraphe 2), exigence plus stricte que celle de la directive, qui recourt à une formulation générale. Les organes de direction proposent et organisent également une formation pour les salariés (paragraphe 3).

Précision importante : la Loi n’interdit pas de confier l’exécution technique ou opérationnelle à une fonction interne ou à un prestataire externe. Ce qui demeure du ressort de l’organe de direction, c’est l’approbation, la surveillance et la formation. La responsabilité au titre de l’article 21 ne se transfère pas par externalisation, sans que cela implique que chaque tâche technique doive être accomplie personnellement par les membres de l’organe.

Conséquences en cas de manquement. En vertu de l’article 29, paragraphe 4, une amende de 500 à 5 000 euros est infligée aux dirigeants des autorités administratives, aux gérants et aux membres des organes de direction. Cette responsabilité est autonome et ne dépend pas de la sanction infligée à l’entité.

Elle n’est toutefois pas automatique. Un manquement à l’article 21 imputable à la personne concernée est requis. La jurisprudence de la Cour administrative suprême, dans des cas comparables, retient que le gérant n’engage sa responsabilité administrative personnelle qu’en cas de comportement fautif personnel établi, et non du seul fait de sa qualité.

Pour les entités essentielles, l’article 27k, paragraphe 2, prévoit une conséquence plus lourde : l’autorité nationale compétente peut demander à une juridiction ou à un autre organe de l’État de prononcer une interdiction temporaire d’exercer des fonctions dirigeantes. La mesure s’applique en cas d’inexécution des obligations de l’article 23 ou de l’article 27i, paragraphe 1, points 1 à 4 et 6, et non en cas de toute infraction à la Loi ; elle ne s’applique pas aux autorités administratives (article 27k, paragraphe 4).

4. Gestion des risques et chaîne d’approvisionnement

L’article 22, paragraphe 2, de la Loi énumère douze points, dont onze énoncent des mesures précises. Certaines s’appliquent lorsque cela est approprié, l’appréciation étant fonction du degré d’exposition au risque, de la taille de l’entité, de la probabilité d’un incident, de son importance, de l’impact sociétal et économique, du coût et de l’état de l’art : (i) analyse des risques et politiques de sécurité ; (ii) traitement des incidents ; (iii) continuité et rétablissement des activités ; (iv) sécurité de la chaîne d’approvisionnement ; (v) sécurité de l’acquisition et de la maintenance ; (vi) évaluation de l’efficacité des mesures ; (vii) cyberhygiène et formation ; (viii) cryptographie et chiffrement ; (ix) sécurité des ressources humaines, contrôle d’accès et gestion des actifs ; (x) authentification multifacteur ou continue, communications sécurisées et systèmes de communication d’urgence sécurisés ; (xi) gestion des changements.

La dimension contractuelle. L’article 22, paragraphe 2, point 4, érige la sécurité de la chaîne d’approvisionnement en obligation légale. Le paragraphe 3 impose de tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité de ses pratiques, y compris de ses procédures de développement sécurisé.

La formulation est délibérément prudente. L’article 22 ne lie pas par lui-même une société hors du champ d’application. Un engagement contractuel naît si les exigences sont valablement intégrées au contrat ou découlent d’un autre régime applicable. Les contrats appellent donc un réexamen quant : (i) aux exigences de sécurité ; (ii) aux droits d’audit et aux éléments de preuve de conformité ; (iii) aux délais contractuels de notification, alignés sur le délai de 24 heures du client à l’égard du CSIRT ; (iv) à la responsabilité ; (v) aux exigences applicables aux sous-traitants. Ces mécanismes sont raisonnables, mais l’article 22 ne les prescrit pas comme un ensemble exhaustif de clauses obligatoires, et le délai de 24 heures est celui de l’entité envers le CSIRT, qui ne se reporte pas automatiquement sur ses fournisseurs.

5. Notification des incidents importants

La notification est adressée à l’équipe sectorielle de réponse aux incidents de sécurité informatique (CSIRT) selon la séquence suivante (article 23, paragraphe 5) :

1. dans les 24 heures suivant la prise de connaissance, une alerte précoce indiquant, lorsque cela est applicable, les actes malveillants suspectés et l’impact transfrontière ;
2. dans les 72 heures, une notification comportant une évaluation initiale de la gravité et de l’impact ; pour les prestataires de services de confiance, le délai est de 24 heures ;
3. sur demande, un rapport intermédiaire ;
4. dans un délai d’un mois à compter de la notification, un rapport final. Si l’incident n’est pas résolu à l’expiration de ce délai, un rapport intermédiaire est présenté et le rapport final est déposé dans un délai d’un mois à compter de la résolution.

Le CSIRT adresse une réponse au plus tard dans les 24 heures, sauf si des raisons objectives font obstacle au respect de ce délai (article 23, paragraphe 6).

Information des destinataires. L’article 23, paragraphe 2, est fréquemment négligé. L’entité informe les destinataires de ses services des incidents importants susceptibles de nuire à la fourniture de ces services, cette information étant délivrée lorsque cela est approprié et sans retard injustifié. Dans des circonstances exceptionnelles, un retard est admis avec l’accord de l’autorité nationale compétente.

L’article 23, paragraphe 4, impose en outre de communiquer aux destinataires les mesures et les moyens de protection qu’ils peuvent mettre en œuvre et, lorsque cela est approprié, la nature de la cybermenace importante.

La notification au CSIRT n’entraîne pas de responsabilité accrue (article 23, paragraphe 1). L’absence de notification constitue un motif autonome de sanction.

Articulation avec le RGPD. L’article 16, paragraphe 12, prévoit une coopération entre les autorités nationales compétentes et la Commission pour la protection des données à caractère personnel en cas d’incidents entraînant une violation de données à caractère personnel. En vertu de l’article 27n, si cette Commission a déjà infligé une sanction pour les mêmes faits, aucune seconde sanction pécuniaire n’est infligée. Cette interdiction ne saurait être tenue pour automatique dans toute procédure parallèle.

6. Surveillance et sanctions

Le chapitre deux « c » de la Loi (articles 27e à 27o) régit le contrôle.

Les entités essentielles sont soumises à une surveillance ex ante : inspections programmées et inopinées, audits de sécurité réguliers et ciblés, demandes d’informations et accès aux documents (article 27g, paragraphe 1). Les entités importantes sont soumises à une surveillance ex post : inspections sur place et surveillance à distance, audits ciblés, contrôles de sécurité fondés sur des critères objectifs et transparents d’évaluation des risques, et demandes d’informations et d’éléments de preuve (article 27g, paragraphe 2). Le caractère ex post de cette surveillance n’implique pas que chaque contrôle suppose une infraction préalablement établie.

Les frais d’un audit ciblé réalisé par un organisme indépendant sont supportés par l’entité auditée (article 27h, paragraphe 3), et l’autorité compétente peut ordonner à l’entité de rendre l’infraction publique (article 27i, paragraphe 1, point 7).

	Entités essentielles	Entités importantes
Qui	Sept catégories (art. 4a, § 1)	Les autres entités des annexes I et II
Surveillance	Ex ante	Ex post
Sanction maximale, le montant le plus élevé	10 000 000 € ou 2 % du chiffre d’affaires	7 000 000 € ou 1,4 % du chiffre d’affaires
Minimum en cas d’infraction aux art. 22 et 23	25 000 €	12 500 €
Interdiction de diriger	Possible	Non applicable

Deux précisions. Premièrement, le pourcentage est calculé sur le chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité appartient. Deuxièmement, les montants de 25 000 euros et de 12 500 euros constituent les seuils minimaux prévus à l’article 29, paragraphes 2 et 3, pour les infractions aux articles 22 et 23, et non une sanction minimale générale pour toute infraction à la Loi.

L’inexécution d’une injonction prise au titre de l’article 27i, paragraphe 1, points 2 à 7, est sanctionnée par une amende de 2 500 à 12 000 euros et, en cas de récidive, de 5 000 à 25 000 euros (article 28).

7. Prochaines étapes

La désignation des entités et l’arrêté prévu à l’article 3, paragraphe 2, sont attendus. D’ici là, quatre priorités s’imposent :

1. l’appréciation du champ d’application, y compris au regard des exceptions indépendantes de la taille et de l’articulation avec les actes sectoriels ;
2. l’évaluation de la conformité au regard de l’article 22 ;
3. la mise en place d’un processus de notification à 24 heures, y compris l’information des destinataires des services ;
4. le réexamen des contrats conclus avec les clients et les fournisseurs.

La présente publication a été établie par le cabinet d’avocats « Stoychev & Stoycheva » à des fins d’information générale et ne constitue pas un conseil juridique. Avant d’entreprendre toute action susceptible d’avoir une incidence sur vos finances ou votre activité, veuillez consulter un avocat qualifié.