С въвеждането на изискванията на Директива (ЕС) 2022/2555 (NIS2) в българското законодателство се разширява кръгът на организациите, за които се прилагат задължения в областта на киберсигурността. Наред с управлението на рисковете и докладването на инциденти, нормативната рамка предвижда идентифициране и регистрация на организациите, попадащи в нейния обхват.
Измененията в Закона за киберсигурност, обнародвани в Държавен вестник, бр. 17 от 2026 г., въвеждат националната правна рамка за прилагане на NIS2. Промените налагат актуализиране на подзаконовата нормативна уредба, включително Наредбата за минималните изисквания за мрежова и информационна сигурност (НМИМИС), с цел привеждането ѝ в съответствие с новите законови изисквания.
За организациите възникват няколко практически въпроса: кои субекти подлежат на регистрация, каква информация трябва да предоставят, кой е компетентният орган и какви действия могат да предприемат преди окончателното уточняване на административната процедура.

Какво представлява регистрацията по NIS2?
Регистрацията е част от механизма за идентифициране на организациите, за които се прилагат изискванията за киберсигурност. Тя подпомага компетентните органи при определяне на обхвата на надзора, поддържане на актуална информация за съответните субекти и осъществяване на комуникация с тях.
Член 3 от Директива (ЕС) 2022/2555 предвижда държавите членки да изготвят списък на съществените и важните субекти, както и на субектите, предоставящи услуги по регистрация на имена на домейни. Националното законодателство определя реда за събиране и поддържане на необходимата информация.
Регистрацията не представлява сертификация или потвърждение за съответствие с NIS2. Вписването на организация в съответния регистър не означава, че тя е изпълнила всички приложими изисквания за управление на риска и защита на мрежовите и информационните системи.

Кои организации подлежат на регистрация?
Законът за киберсигурност разграничава две основни категории организации – съществени субекти и важни субекти.
Определянето на приложимостта зависи от няколко фактора, включително сектора на дейност, вида на предоставяните услуги, размера на предприятието и определени специални критерии.
Сред секторите, обхванати от нормативната рамка, са:

• Енергетика, транспорт, банков сектор и инфраструктура на финансовите пазари.
• Здравеопазване, питейни и отпадъчни води.
• Цифрова инфраструктура, управление на ИКТ услуги и публична администрация.
• Пощенски и куриерски услуги, управление на отпадъци и производство на определени продукти.
• Производство, преработка и дистрибуция на храни.
• Производство и дистрибуция на химикали, цифрови доставчици и научноизследователски организации.

За значителна част от организациите се прилага критерият за средно или голямо предприятие. Съществуват обаче и случаи, при които определени субекти попадат в обхвата на закона независимо от техния размер.
Поради това принадлежността към определен сектор сама по себе си не е достатъчна за окончателна преценка. Необходимо е да се анализират конкретните дейности на организацията, критериите за размер, специалните основания за включване и приложимите разпоредби на Закона за киберсигурност, включително чл. 4 и 4а и приложение I и приложение II.
 
Кой отговаря за регистрацията в България?
Законът за киберсигурност предвижда създаването и поддържането на регистър на съществените и важните субекти. Регистърът не е публичен, както е предвидено в чл. 6, ал. 5 от закона.
Съгласно измененията на закона през 2026 г. функциите по създаване, водене и поддържане на регистъра са възложени на министъра на иновациите и дигиталната трансформация.
Същевременно законът предвижда участието на национални компетентни органи, определени според сектора и вида на субекта. Това означава, че органът, който поддържа регистъра, не трябва автоматично да се отъждествява с органа, пред който организацията изпълнява всички свои задължения.
За правилното организиране на регистрацията е необходимо всяка организация да установи кой национален компетентен орган отговаря за нейната дейност.
 
Каква информация трябва да предоставят организациите?
Член 6 от Закона за киберсигурност определя основните категории информация, които се събират за съществените и важните субекти.
Те включват:

• Наименование на организацията.
• Адрес и актуални данни за контакт, включително електронна поща и телефон.
• IP обхвати.
• Сектор, подсектор и вид субект, когато е приложимо.
• Държавите членки на Европейския съюз, в които организацията предоставя съответните услуги, когато е приложимо.
• Данни за контакт на определения представител, когато е приложимо.

За определени категории доставчици законодателството предвижда и допълнителни изисквания към предоставяната информация.
Организациите следва да обърнат внимание не само на първоначалното предоставяне на данните, но и на задължението за тяхното актуализиране при настъпване на промени.
Подготовката на тази информация може да започне предварително, независимо от конкретния технически начин, по който ще бъде организирано подаването ѝ.
 
Кога и как ще се извършва регистрацията по NIS2 в България?
Към момента няма потвърдена информация за функциониращ общ публичен електронен портал за регистрация на всички съществени и важни субекти в България. Предстои уточняване на практическия ред за подаване на регистрационните данни, включително приложимите административни процедури и срокове.
Липсата на единна електронна платформа обаче не означава, че законовите задължения за предоставяне на информация са отложени. Възможно е компетентните органи да прилагат секторни процедури или други административни канали.
Организациите следва да проверяват приложимите срокове за първоначално предоставяне и последващо актуализиране на данните съгласно действащото законодателство и официалните указания на съответния компетентен орган.
 
Каква е връзката между регистрацията по NIS2 и НМИМИС?
Промените в Закона за киберсигурност налагат актуализиране на Наредбата за минималните изисквания за мрежова и информационна сигурност, която конкретизира организационните и техническите изисквания за защита на мрежовите и информационните системи. Съгласно закона с наредбата се определя и редът за водене, съхраняване и достъп до регистъра на съществените и важните субекти.
Регистрацията и изпълнението на мерките за киберсигурност са различни задължения. Регистрацията служи за идентифициране на обхванатите организации и предоставяне на необходимата информация на компетентните органи, докато мерките за киберсигурност са насочени към управление на рисковете и осигуряване на необходимото ниво на защита.
Предстоящото актуализиране на НМИМИС не следва автоматично да се приема като основание за отлагане на задълженията, които вече произтичат от Закона за киберсигурност.
 
Как се извършва регистрацията по NIS2 в други държави от ЕС?
Директива NIS2 не въвежда единна електронна платформа за регистрация на всички организации в Европейския съюз. Държавите членки организират националните си процедури съобразно собствената нормативна и административна уредба.
Практиката показва различни подходи.
Белгия използва централизирана електронна платформа Safeonweb@Work, чрез която организациите, попадащи в обхвата на националното законодателство, предоставят регистрационната си информация.
Полша прилага комбиниран подход, включващ служебно вписване на определени субекти въз основа на налични държавни данни и самостоятелна регистрация за останалите организации.
Словакия използва процедура, при която организациите подават необходимата информация, а компетентният орган извършва вписването и уведомява съответния субект.
Гърция е въвела задължителна регистрация на съществените и важните субекти съгласно Закон № 5160/2024, с който NIS2 е транспонирана в националното законодателство. Регистрацията се извършва чрез специализирана електронна платформа, достъпна чрез държавния портал gov.gr, под ръководството на Националния орган по киберсигурност (Εθνική Αρχή Κυβερνοασφάλειας).
Гръцката администрация предоставя и онлайн инструмент за предварителна проверка дали дадена организация попада в обхвата на NIS2.
Тези примери показват, че националните процедури могат да се различават по начина на подаване на информацията, участието на компетентните органи и административните действия по вписването.
За българските организации определящи остават изискванията на Закона за киберсигурност и приложимите национални процедури.

Какво трябва да направят организациите още сега?
Независимо от развитието на регистрационната процедура, организациите могат да предприемат редица подготвителни действия.
1. Да оценят приложимостта на NIS2. Първата стъпка е да се установи дали организацията попада в обхвата на Закона за киберсигурност, като се отчетат секторът, конкретните дейности, размерът и специалните критерии.
2. Да определят своята категория. Необходимо е да се установи дали организацията представлява съществен или важен субект, тъй като това има значение за приложимия режим на надзор.
3. Да идентифицират компетентния орган. Организациите трябва да установят кой национален компетентен орган отговаря за съответния сектор и да следят публикуваните от него указания.
4. Да подготвят регистрационните данни. Информацията за организацията, контактните лица, IP обхватите, предоставяните услуги и приложимите държави членки може да бъде събрана и проверена предварително.
5. Да определят вътрешните отговорности. Следва да бъде ясно кои длъжностни лица отговарят за подготовката, предоставянето и актуализирането на информацията.
6. Да започнат оценка на съответствието. Регистрацията е само един елемент от нормативните задължения. Организациите следва паралелно да оценят съществуващите мерки за киберсигурност, процесите за управление на риска и готовността си за изпълнение на приложимите изисквания.

Регистрацията по NIS2 е важен елемент от националната система за управление и надзор на киберсигурността. Тя позволява идентифициране на организациите, попадащи в обхвата на законодателството, и създава основа за взаимодействието им с компетентните органи.
За организациите в България ключово значение имат правилното определяне на приложимостта на закона, подготовката на необходимата информация и проследяването на официалните указания относно регистрационната процедура.
Подготовката за NIS2 не трябва да се ограничава до административното вписване. Тя следва да бъде част от цялостен подход за управление на рисковете, защита на информацията и осигуряване на устойчивостта на организационните процеси.
КОНСЕХО подпомага организациите при определяне на приложимостта на изискванията на NIS2, извършване на анализ на съответствието, идентифициране на необходимите мерки и подготовка за изпълнение на задълженията по Закона за киберсигурност.
Следим предстоящото актуализиране на Наредбата за минималните изисквания за мрежова и информационна сигурност и след приемането ѝ ще публикуваме актуална информация за процедурата и сроковете за регистрация по NIS2 в България.