Вашата оценка 4.50 от 4 гласа

Закон за киберсигурност

Законът за киберсигурност (обн. ДВ, бр. 94 от 13.11.2018 г., изм. и доп., ДВ, бр. 17 от 13.02.2026 г.) е основният нормативен акт в България, който урежда мерките за защита на мрежовите и информационните системи, управлението на киберриска и координацията между компетентните органи.
Първоначално законът транспонира Директива (ЕС) 2016/1148 (NIS). Със съществените изменения от 2026 г. в националното законодателство са въведени изискванията на Директива (ЕС) 2022/2555 (NIS 2), която значително разширява обхвата на задължените субекти, въвежда по-строги изисквания за управление на риска и засилва надзорните и санкционните механизми.
Законът за киберсигурност създава рамката за постигане на високо общо ниво на киберсигурност в Република България, определя конкретни задължения за публичните органи и бизнеса и е в съответствие със:

Директива (ЕС) 2022/2555 (NIS 2);
Директива (ЕС) 2022/2557 относно устойчивостта на критичните субекти (CER);
Регламент (ЕС) 2019/881 (Акт за киберсигурността);
Регламент (ЕС) 2022/2554 (DORA) – относно цифровата оперативна устойчивост във финансовия сектор.

Законът определя:

изискванията към административните органи и определени публични и частни субекти;
мерките за управление на риска в областта на киберсигурността;
задълженията за докладване на значителни инциденти;
правомощията на националните компетентни органи;
надзорните механизми и административнонаказателната отговорност.

Системата за киберсигурност е част от системата за защита на националната сигурност, като управлението ѝ се осъществява от Министерския съвет чрез Съвета по киберсигурността и националния координатор по киберсигурността.

Кои организации попадат в обхвата?
След измененията от 2026 г. обхватът на закона е значително разширен.
Законът се прилага спрямо:
1. Административни органи
Всички органи от системата на изпълнителната власт, както и определени други публични структури.
2. Публични и частни субекти от секторите по Приложение I и Приложение II
Обхванати са средни и големи предприятия, извършващи дейност в ключови сектори, като:

Енергетика;
Транспорт;
Банков сектор и инфраструктури на финансовите пазари;
Здравеопазване;
Водоснабдяване и отпадъчни води;
Цифрова инфраструктура;
ИКТ услуги (облачни услуги, центрове за данни, DNS, CDN, управлявани услуги и др.);
Производство на критични продукти;
Органи на публичната власт и други субекти, предоставящи административни услуги;
Управление на отпадъци и други стратегически дейности.

3. Субекти от приложение I и II, независимо от размера, когато:

Са доставчици на обществени електронни съобщителни мрежи или услуги;
Са доставчици на удостоверителни услуги;
Са регистри на домейни от първо ниво или доставчици на DNS услуги;
Са единствен доставчик на съществена услуга;
Прекъсване на услугата би засегнало обществената безопасност, сигурност или здраве;
Смущение би довело до значителен системен риск или трансгранично въздействие;
Са критични поради национална или регионална значимост.

4. Критични субекти
Организации, определени като критични по смисъла на Директива (ЕС) 2022/2557.
5 Доставчици на услуги за регистрация на домейни
6. Образователни институции

Когато извършват научноизследователска дейност от критично значение в секторите по приложение I и II.

7. Лица, осъществяващи публични функции

Когато предоставят административни услуги по електронен път.

8. Организации, предоставящи обществени услуги

Когато предоставят административни услуги по електронен път.

9. Органите на съдебната власт.

Изключения от обхвата
Законът не се прилага за:

Комуникационните и информационните системи за обработка на класифицирана информация по смисъла на Закона за защита на класифицираната информация;
Мрежите и информационните системи на Министерството на отбраната и структурите на пряко подчинение на министъра на отбраната и Българската армия, Министерството на вътрешните работи, ДАНС, Държавна агенция „Разузнаване“, Държавна агенция „Технически операции“, Комисията за противодействие на корупцията и Националната служба за охрана, когато не са свързани с предоставянето на административни услуги по електронен път или с обмен на електронни документи между административните органи.

В действащата уредба предприятията, предоставящи обществени електронни съобщителни мрежи и/или услуги и доставчиците на удостоверителни услуги вече попадат в обхвата на закона при условията, определени в него.

Съществени и важни субекти
Законът въвежда разграничение между:

Съществени субекти (essential entities)
Важни субекти (important entities)

Класификацията се определя от сектора, размера и значимостта на предоставяните услуги. Разграничението има значение основно по отношение на интензитета на надзора и тежестта на санкциите – съществените субекти подлежат на по-строг и проактивен контрол.
На практика това означава, че значително по-широк кръг организации вече подлежат на задължителни мерки за киберсигурност и надзор от страна на държавата.

Основни задължения на организациите
1. Управление на риска
Съществените и важните субекти са длъжни да прилагат подходящи и пропорционални технически, оперативни и организационни мерки за управление на риска.
Мерките трябва да обхващат най-малко:

политики за анализ и оценка на риска;
управление на инциденти;
непрекъснатост на дейността и възстановяване при бедствия;
сигурност на веригата за доставки;
сигурност при разработване и поддръжка на системи;
управление и оповестяване на уязвимости;
политики за контрол на достъпа и управление на активи;
използване на криптография и криптиране;
многофакторна автентикация;
обучение и киберхигиена.

Мерките следва да гарантират ниво на сигурност, съответстващо на риска.

2. Роля на управителните органи
Ръководството на организацията носи пряка отговорност за:

одобряване на мерките за киберсигурност;
контрол върху тяхното прилагане;
периодично обучение по управление на киберриска.

Това е съществена промяна – киберсигурността вече е въпрос на управленска отговорност, а не само на ИТ функция.

Задължения за докладване на инциденти
При възникване на значителен инцидент засегнатите субекти подават уведомление до съответния секторен екип за реагиране при инциденти с компютърната сигурност (СЕРИКС), както следва:

Ранно предупреждение – до 24 часа от установяване на инцидента;
Уведомление за инцидент – до 72 часа (за доставчици на удостоверителни услуги – 24 часа);
Междинен доклад – при поискване;
Окончателен доклад – до един месец.

Предвидена е и възможност за доброволно уведомяване при киберзаплахи и ситуации, близки до инциденти.

Надзор и контрол
Контролът се осъществява от националните компетентни органи, Министерството на електронното управление, Министерството на вътрешните работи, Министерството на отбраната и ДАНС в рамките на техните правомощия.
Предвидени са:

планови и извънпланови проверки;
одити на сигурността;
изискване на доказателства и документи;
задължителни предписания;
временно спиране на дейности при сериозни нарушения.

Санкции
Законът за киберсигурност предвижда значителни административнонаказателни мерки при неизпълнение на задълженията от страна на съществените и важните субекти.
Размерът на имуществените санкции е съобразен с изискванията на NIS 2 и е както следва:

За съществени субекти – до 10 000 000 евро или до 2% от общия световен годишен оборот за предходната финансова година на предприятието (прилага се по-високата от двете стойности, но не по-малко от минималния размер, предвиден в закона);
За важни субекти – до 7 000 000 евро или до 1,4% от общия световен годишен оборот за предходната финансова година на предприятието (прилага се по-високата от двете стойности, но не по-малко от предвидения в закона минимален размер).

Предвидена е и лична административнонаказателна отговорност за членовете на управителните органи при неизпълнение на задълженията им по одобряване и контрол върху прилагането на мерките за киберсигурност.

Практическо значение за организациите
За организациите Законът за киберсигурност означава на практика:

внедряване на формализирана система за управление на киберриска;
структурирани процедури за управление на инциденти;
интегриране на киберсигурността в корпоративното управление.
ясно разпределение на отговорностите на управителните органи и висшето ръководство;
синхронизиране на изискванията по Закона за киберсигурност и DORA (за финансовия сектор);
регламентирано взаимодействие с държавните органи;
подготовка за проверки и одити;

Как КОНСЕХО може да ви помогне?
Екипът на КОНСЕХО предоставя експертна подкрепа при:

извършване на одит на информационните системи (IT одит);
разработване и внедряване на политики и процедури;
подготовка за одити и проверки;
обучение на управленски и експертен персонал.

👉 Свържете се с нас, за да осигурите пълно и ефективно съответствие със Закона за киберсигурност.

ЕТИКЕТИ

Закон за киберсигурност Наредба за минималните изисквания за мрежова и информационна сигурност сигурност на информацията киберсигурност NIS2 Директива (ЕС) 2022/2555 ISO/IEC 27001 IT одит

Новини

10.26

Стандартите на НАТО за качество във фокуса на инвестициите в отбранителната индустрия

Изискванията на НАТО за осигуряване на качеството имат практическо значение за б...

09.26

Европейски месец на киберсигурността 2026: човешкият фактор във фокуса на киберсигурността

Днес в Съда на Европейския съюз в Люксембург се провежда официалното откриващо с...

Полезно

11.26

AQAP-2110: отвъд изискванията на ISO 9001

Какво допълнително се изисква от доставчиците в отбранителната индустрия? ...

10.26

Управление на промените в хранителния сектор: кога е необходима нова оценка на риска?

Смяната на доставчик може да изглежда като обичайно търговско решение, а удължав...

Внедряване на управленски стандарти

КОНСЕХО ЕООД (CONSEJO) е консултантска компания с над 20 години практически опит в разработването, внедряването и поддържането на системи за управление в съответствие с международни стандарти и регулаторни изисквания. Компанията предоставя консултантски услуги в областта на качеството, околната среда, здравето и безопасността при работа, безопасността на храните, информационната сигурност, киберсигурността, управлението на риска и устойчивото развитие. Експертизата ни обхваща стандарти и схеми като ISO 9001, ISO 14001, ISO 45001, ISO 22000, ISO/IEC 27001, IFS Food, BRCGS и HACCP, както и консултации във връзка с NIS2, DORA, GDPR и EcoVadis.

Екипът на КОНСЕХО е участвал в реализирането на над 1500 проекта за организации от различни сектори на икономиката, включително производство, строителство, енергетика, информационни технологии, транспорт, търговия, хранително-вкусова промишленост и услуги. В основата на нашия подход е изграждането на реално работещи системи за управление, съобразени със спецификата и потребностите на всяка организация. Работим в тясно сътрудничество с клиентите си, като осигуряваме консултантска подкрепа, обучение на персонала и съдействие при внедряването. Стремим се да предоставяме качествени услуги в договорените срокове и решения, които подпомагат успешното сертифициране и създават дългосрочна стойност за бизнеса.

Виж повече

Партньори