Практичен тест за ръководствата на общински предприятия относно приложимостта на Закона за киберсигурност и изискванията за мрежова и информационна сигурност

Значителна част от общинските предприятия все още възприемат сигурността на информацията и киберсигурността основно като технически въпрос, свързан с ИТ системи, софтуер и поддръжка. В действителност обаче,  в българското и европейското право са в сила конкретни и задължителни регулаторни изисквания за мрежова и информационна сигурност, които засягат широк кръг общински структури – често без те да са наясно с това.
Тези изисквания произтичат основно от Директива (ЕС) 2016/1148 (NIS директивата), която въвежда задължения за прилагане на подходящи и пропорционални мерки за сигурност и за уведомяване при инциденти, както и от Закона за киберсигурност, който транспонира директивата в българското право и определя приложимия режим за административни органи, оператори на съществени услуги и лица, осъществяващи публични функции. На национално ниво изискванията са допълнително конкретизирани чрез Наредбата за минималните изисквания за мрежова и информационна сигурност, която определя минималния набор от организационни и технически мерки, политики и процеси, които следва да бъдат въведени.
На този фон настоящата статия предлага практичен ориентир под формата на кратък тест, който подпомага ръководствата на общински предприятия да направят първоначална самооценка дали тяхната дейност и използваните от тях системи ги поставят в обхвата на действащите към момента изисквания за мрежова и информационна сигурност.
 
Как да използвате теста
Отговорете с „Да“ или „Не“ на всеки от въпросите по-долу. Не е необходимо всички отговори да са положителни, за да възникнат регулаторни задължения – в много случаи е достатъчно няколко ключови отговора да бъдат „Да“.
 
Част I: Дейност и обществена значимост
1. Предоставя ли общинското предприятие услуга, от която зависи ежедневното функциониране на гражданите или общината (напр. вода, транспорт, отопление, отпадъци, социални услуги)?
2. Би ли имало сериозни последици за населението или местната икономика при прекъсване на тази услуга за 24–72 часа?
3. Попада ли дейността на предприятието в сектори като:

• водоснабдяване и канализация;
• енергетика / топлоснабдяване;
• обществен транспорт;
• управление на отпадъци;
• здравни или социални услуги?

 
Част II: Използване на мрежови и информационни системи
4. Използва ли предприятието информационни системи, без които услугата не може да бъде предоставена (ERP, SCADA, специализиран софтуер, онлайн регистри)?
5. Съхраняват ли се в тези системи данни, чието изгубване или компрометиране би имало сериозни последици (лични данни, служебна информация, оперативни данни)?
6. Има ли постоянна интернет или мрежова свързаност, включително отдалечен достъп или външна поддръжка?
 
Част III: Публични функции и електронни услуги
7. Предоставя ли предприятието услуги по електронен път (електронни заявления, плащания, справки, портали)?
8. Обработва ли предприятието лични данни на граждани, служители или контрагенти в електронен вид?
 
Част IV: Управление и организация
9. Има ли формално определено лице или функция, отговорна за информационната или киберсигурността?
10. Съществуват ли писмени правила или политики относно:

• достъп до системи;
• пароли и потребители;
• резервни копия;
• реакция при инциденти?

 
Как да тълкувате резултатите
🔴 Ако имате 3 или повече отговора „Да“
Това е силен индикатор, че общинското предприятие:

• попада или може да попадне в обхвата на Закона за киберсигурност;
• има задължение да прилага минимални мерки за мрежова и информационна сигурност;
• следва да разполага с политики, процедури и организационни мерки, а не само с технически решения.

🟡 Ако имате 1–2 отговора „Да“
Рискът от формално задължение е по-нисък, но:

• остават приложими изискванията за защита на личните данни;
• добрите практики за сигурност са силно препоръчителни;
• при разширяване на дейността или дигитализация може бързо да се премине в по-висока рискова категория.

🟢 Ако всички отговори са „Не“
Вероятността предприятието да е било обхванато от регулаторни изисквания за мрежова и информационна сигурност е ниска, но:

• базови мерки за сигурност и архивиране остават препоръчителни;
• бъдещи нормативни промени могат да променят статуса.

 
Защо този тест е важен
Много общински предприятия де факто попадат в регулаторен режим, без да имат ясна вътрешна оценка или документирана рамка за сигурност. Това създава:

• регулаторен риск;
• оперативен риск;
• риск за непрекъсваемостта на обществените услуги.

Ранната самооценка е първата и най-важна стъпка към адекватно и пропорционално управление на киберсигурността.