С измененията и допълненията в Закона за киберсигурността (ЗК), обнародвани в ДВ, бр. 17 от 13 февруари 2026 г., българската правна рамка беше приведена в съответствие с Директива (ЕС) 2022/2555 (NIS 2). Промените представляват цялостна трансформация на действащия режим и въвеждат нов модел на регулация, съобразен още с Директива (ЕС) 2022/2557 относно устойчивостта на критичните субекти и Регламент (ЕС) 2022/2554 (DORA) за финансовия сектор.
Новата уредба има стратегическа цел – постигане и поддържане на „високо общо ниво на киберсигурност“ в Република България чрез разширен обхват на задължените субекти, ясно разграничение между съществени и важни субекти, засилена управленска отговорност и детайлно регламентиране на мерките за управление на риска.
 
От „оператори на съществени услуги“ към „съществени и важни субекти“
Една от най-значимите промени е отпадането на досегашната концепция за „оператори на съществени услуги“ и въвеждането на двустепенна класификация – съществени и важни субекти.
В обхвата на закона вече попадат:

• публични и частни субекти от секторите по Приложение I и Приложение II, които отговарят на критериите за средни предприятия или ги надхвърлят;
• определени доставчици независимо от размера им (напр. доставчици на обществени електронни съобщителни мрежи и услуги, квалифицирани удостоверителни услуги, DNS доставчици, регистри на домейни от първо ниво);
• субекти, определени като критични по Директива (ЕС) 2022/2557;
• образователни институции с критични научноизследователски дейности;
• органите на съдебната власт.

Класификацията има пряко значение за режима на надзор. Съществените субекти подлежат на по-интензивен и проактивен контрол, докато при важните субекти надзорът е предимно последващ и основан на риск, освен при наличие на индикации за нарушение.
 
Юрисдикция и трансгранична дейност
Новата уредба въвежда детайлни правила относно юрисдикцията и трансграничната дейност на субектите. За доставчици на облачни услуги, центрове за данни, управлявани услуги, DNS услуги, онлайн платформи и други цифрови доставчици се определя принципът на „основно място на установяване“.
Субекти, които предоставят услуги в Европейския съюз, но не са установени на територията на държава членка, са длъжни да определят представител в ЕС. Това гарантира ефективност на надзора и яснота относно приложимата юрисдикция.
Тези правила имат особено значение за групи предприятия с трансгранична структура и за доставчици, опериращи на няколко пазара едновременно.
 
Национална стратегия и системен подход към киберсигурността
Законът вече предвижда приемане и периодична актуализация на Национална стратегия за киберсигурност, която обединява секторните политики и определя приоритетите, ресурсите и механизмите за координация.
Стратегията включва политики по сигурността на веригата за доставки, координирано управление на уязвимости, изисквания към обществени поръчки в областта на ИКТ, киберхигиена и повишаване на осведомеността. Това разширява фокуса от чисто оперативна защита към устойчивост на национално ниво.
 
Разширен регистър и нови изисквания за прозрачност
Създава се регистър на субектите по закона, поддържан от министъра на електронното управление. Той съдържа данни за идентификация, контакт, IP обхвати, секторна принадлежност и трансгранична дейност.
Доставчици на облачни услуги, центрове за данни, управлявани услуги, CDN и онлайн платформи имат изрично задължение за предоставяне и актуализиране на информация в кратки срокове. Това засилва прозрачността и улеснява трансграничната координация.
 
Управленска отговорност и лична ангажираност на ръководството
Новият чл. 21 поставя киберсигурността на ниво управителен орган. Ръководството:

• одобрява мерките за управление на риска;
• следи тяхното прилагане;
• преминава обучение поне веднъж на всеки две години;
• организира обучения за служителите.

Киберсигурността вече е част от задълженията по надлежно управление и не може да бъде разглеждана като изцяло техническа функция.
При тежки и системни нарушения законът допуска и налагане на индивидуални ограничителни мерки спрямо лица от управителните органи, включително временно отстраняване от заеманата длъжност. Това допълнително подчертава личната ангажираност на ръководството.
 
Нов модел на управление на риска
Чл. 22 въвежда задължение за прилагане на подходящи и пропорционални технически, организационни и оперативни мерки, основани на подход, обхващащ всички опасности.
Сред ключовите елементи са:

• политики за анализ на риска;
• управление на инциденти и кризи;
• непрекъснатост на дейността и възстановяване;
• сигурност на веригата за доставки;
• управление и координирано оповестяване на уязвимости;
• криптографски политики;
• контрол на достъпа и многофакторна автентикация.

Значителен акцент се поставя върху риска, произтичащ от доставчици и взаимозависими сектори.
 
Ограничаване на високорискови технологии и доставчици
Законът предвижда механизъм за координирана оценка на риска на ниво Европейски съюз по отношение на определени технологии и доставчици.
При установяване на висок риск могат да бъдат наложени ограничителни мерки, включително поетапно преустановяване на използването на конкретни технологии или услуги в определен срок. Това има стратегическо значение за секторите с критична инфраструктура и телекомуникационните оператори.
 
Задължения за докладване и координирано управление на инциденти
Законът въвежда хармонизирани правила за уведомяване при значителни инциденти и създава национална рамка за управление на мащабни киберкризи.
Националният екип за реагиране при инциденти (НЕРИКС) изпълнява и функцията на координатор за координирано оповестяване на уязвимости, като действа като доверен посредник между откривателя и засегнатия доставчик.
Законът урежда и възможността за доброволно уведомяване и обмен на информация относно киберзаплахи между субекти, като предвижда механизми за защита на чувствителната информация.
Организациите следва да изградят вътрешни процедури за ескалация и взаимодействие с компетентните органи.
 
Срокове и етапи на докладване при значителни инциденти
Новият режим въвежда ускорена процедура за уведомяване:

• Значителен инцидент – ранно уведомяване: до 24 часа от узнаването
• Подробно уведомление: до 72 часа от узнаването
• Окончателен доклад – не по-късно от един месец след уведомлението, а при продължаващ инцидент – до един месец след неговото овладяване

Съкратените срокове изискват ясно разписани вътрешни процеси и предварително дефинирани критерии за оценка на въздействието, включително по отношение на продължителност, брой засегнати потребители и икономически ефект.
 
Засилен надзор и европейска координация
Националните компетентни органи получават разширени правомощия за проверки, изискване на информация и издаване на задължителни предписания. В определени случаи могат да бъдат назначавани независими одити или надзорни лица.
Законът предвижда и взаимодействие със секторното законодателство. Когато специален закон съдържа равностойни изисквания за управление на риска и докладване (напр. във финансовия сектор), съответните разпоредби на ЗК не се прилагат паралелно, с цел избягване на дублиране на регулации.
 
Санкции и правоприлагане
Засиленият надзор е съпроводен с по-строг санкционен режим. Административните санкции могат да достигнат:
За съществени субекти:

• до 10 000 000 евро или
• до 2% от общия световен годишен оборот,

като се прилага по-високата от двете стойности.

За важни субекти:

• до 7 000 000 евро или
• до 1,4% от общия световен годишен оборот,

като се прилага по-високата от двете стойности.

Предвиден е и преходен режим – за нарушения до 1 юни 2026 г. санкциите се налагат в размер, намален с 50% съгласно § 51 от Преходните и заключителните разпоредби.
Новият режим трансформира киберриска от технологичен в стратегически и финансов риск на ниво управление.
 
Какво означава това за бизнеса
Организациите следва да:

• определят статута си като съществен или важен субект;
• анализират трансграничната си структура и приложимата юрисдикция;
• актуализират системата за управление на риска;
• формализират ангажимента на управителните органи;
• засилят контрола върху доставчиците;
• адаптират процедурите за докладване;
• осигурят координация със секторните регулации и режима за защита на личните данни.

Промените изискват преминаване от формално съответствие към реална киберустойчивост.
 
Измененията в Закона за киберсигурността представляват качествено нов етап в развитието на националната рамка за киберсигурност. Те поставят киберустойчивостта в центъра на стратегическото управление и изискват активна роля на висшето ръководство.
За бизнеса това е регулаторно предизвикателство, но и възможност – чрез изграждане на устойчиви процеси и зряла система за управление на киберриска да повиши доверието на клиенти, партньори и регулатори.
 
Екипът на Консехо следи развитието на нормативната рамка и подпомага организациите при анализ на обхвата, изграждане и актуализиране на системи за управление на киберсигурността, подготовка за одити и постигане на устойчиво съответствие с новите изисквания.