След 1 юни 2026 г. отпада преходното намаление от 50% на глобите и имуществените санкции

 
Преходният режим по § 51 от преходните и заключителните разпоредби на Закона за изменение и допълнение на Закона за киберсигурност предвижда глобите и имуществените санкции за нарушения, извършени до 1 юни 2026 г. включително, да се налагат в размер, намален с 50% спрямо предвидения в закона. За нарушения, извършени след тази дата, санкциите ще се прилагат в пълния им размер.
Промените в Закона за киберсигурност, с които беше транспонирана Директива (ЕС) 2022/2555, известна като NIS2, бяха обнародвани в ДВ, бр. 17 от 13 февруари 2026 г. Самите задължения вече са в сила повече от три месеца. След 1 юни 2026 г. не се променят правилата, а отпада преходното намаление на санкциите за нарушения, извършени след тази дата.
 
Какви ще бъдат санкциите след изтичане на преходния режим
Размерите на санкциите в изменения Закон за киберсигурност са значително по-високи за организациите, които попадат в неговия обхват: Новите правила въвеждат по-висока финансова отговорност, като при определени нарушения размерът на санкцията може да се определя и според световния годишен оборот на предприятието.

Кой попада в обхвата
Новият закон разширява обхвата на приложимост до субектите по Приложение I и Приложение II към Закона, разделени между съществени и важни субекти. Сред секторите и дейностите, които попадат в разширения обхват, са енергетика, транспорт, здравеопазване, цифрова инфраструктура, управление на ИКТ услуги, производство, хранителна промишленост, управление на отпадъци, химическа промишленост, пощенски и куриерски услуги, доставчици на цифрови услуги и научноизследователски организации.
Една особеност, която често се пропуска: попадането в обхвата не зависи от получаване на изрично уведомление от компетентния орган. Организациите следва сами да преценят дали отговарят на критериите, определени в закона. За много субекти това означава анализ по сектор, размер и характер на дейността, а за някои категории размерът не е единственият определящ критерий.
 
Какво трябва да е въведено като минимум
Задълженията по чл. 22 и чл. 23 на закона обхващат две основни групи изисквания.

🔸Мерки за управление на риска по чл. 22
Организациите трябва да имат подходящи и пропорционални технически, оперативни и организационни мерки, включително:

• политика за анализ на риска и сигурност на информационните системи;
• процедури за управление на инциденти;
• непрекъснатост на дейността, резервни копия и възстановяване при бедствия;
• сигурност на веригата на доставки;
• сигурност при придобиване, разработване и поддръжка на мрежи и информационни системи;
• управление на измененията на информационните активи;
• политики и процедури за оценка на ефективността на мерките;
• основни практики за киберхигиена и обучение по киберсигурност;
• политики за криптография и, когато е приложимо, криптиране;
• сигурност на човешките ресурси, контрол на достъпа и управление на активите;
• използване на многофакторно удостоверяване или други подходящи механизми за удостоверяване, когато е целесъобразно.

 
🔸Докладване на инциденти по чл. 23
Законът въвежда тристепенен модел за уведомяване към СЕРИКС:

• до 24 часа след установяването на значителен инцидент – ранно предупреждение;
• до 72 часа след установяването на значителен инцидент – уведомление с първоначална оценка на тежестта и въздействието;
• до 1 месец след уведомлението за инцидента – окончателен доклад с подробен анализ.

За някои категории доставчици, включително доставчици на удостоверителни услуги, законът предвижда по-кратки срокове за определени уведомления.
Късите срокове за докладване правят предварителната подготовка практически необходима. План за реагиране при инциденти, шаблони на уведомления, определени роли и работещ канал за връзка със СЕРИКС следва да бъдат налични преди инцидента, а не да се изграждат в момента на настъпването му.
 
Какво може реалистично да се направи в оставащите дни
Десет дни не са достатъчни за пълно внедряване на система за управление на сигурността на информацията. Но са достатъчни за ограничаване на най-големия риск – този, свързан с преките задължения по чл. 22 и чл. 23.
В оставащото време организациите, които попадат в обхвата и още не са започнали, могат да:

• направят самооценка дали попадат в обхвата – по сектор, размер и дейност;
• определят отговорно лице за киберсигурност и канал за връзка със СЕРИКС;
• създадат базов план за реагиране при инциденти с ясни срокове за 24 часа, 72 часа и 1 месец;
• одобрят на ниво ръководство минимален пакет от вътрешни политики по чл. 22 – управление на риска, инциденти, контрол на достъпа, непрекъснатост и обучение;
• стартират gap анализ спрямо пълните изисквания, чийто резултат да послужи за следващите стъпки.

Това не е пълно съответствие, но може да покаже, че организацията е предприела първи разумни и документирани действия за управление на риска и изпълнение на законовите изисквания. При евентуална проверка подобни действия могат да бъдат от значение при оценката на конкретните обстоятелства.
 
Дългосрочният път може да мине през ISO/IEC 27001
Изграждането на устойчиво съответствие с NIS2 на практика често се подпомага от внедряване на система за управление на сигурността на информацията по ISO/IEC 27001. Стандартът не е задължително изискване по закона, но предоставя одитируема рамка, чрез която може да се покрие и докаже значителна част от техническите и организационните мерки по чл. 22.
За организациите, които вече са сертифицирани по ISO/IEC 27001, преходът към пълно съответствие по NIS2 обикновено е по-кратък. Остава да се анализират и покрият специфичните изисквания на закона и директивата, които стандартът не адресира пряко или не адресира в същата степен: тристепенният модел на докладване, отговорността на ръководството, секторната приложимост и регулаторното взаимодействие със СЕРИКС.

CONSEJO подпомага организации в България при оценка на приложимостта на Закона за киберсигурност, gap анализ спрямо изискванията на NIS 2, внедряване на ISO/IEC 27001, IT одити и тестове за уязвимости.
Свържете се с нас за първоначална оценка дали законът се прилага за вашата организация и кои са най-важните стъпки за намаляване на риска от несъответствие.