Накратко: NIS2 е директивата на ЕС за киберсигурност, която България въведе с промени в Закона за киберсигурност, обнародвани в ДВ, бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. Законът обхваща средните и големите фирми в 17 сектора и администрацията. Ръководството одобрява мерките и се обучава на всеки две години, инцидентите се докладват до 24 часа, а санкциите стигат до 10 млн. евро или 2% от оборота.
Това ръководство обяснява закона на разбираем език и не е правна консултация. За конкретна фирма проверете с юрист или поискайте първоначален разговор с NodePoint.
Попада ли фирмата Ви под закона? Проверете за 3 минути — с членовете от закона, без регистрация. Започнете проверката →
NIS2 е Директива (ЕС) 2022/2555 за мерки за високо общо ниво на киберсигурност в Европейския съюз. Тя замени първата директива NIS от 2016 г., разшири кръга на засегнатите сектори и въведе лична отговорност на ръководството и по-високи санкции.
В България NIS2 е въведена със Закона за изменение и допълнение на Закона за киберсигурност, обнародван в „Държавен вестник“, бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. Законът е изменен отново с ДВ, бр. 55 от 16 юни 2026 г.; след тази промяна регистърът на субектите се води от министъра на иновациите и дигиталната трансформация (чл. 6, ал. 1), а Министерството на иновациите и дигиталната трансформация е компетентен орган за административните органи (чл. 16, ал. 2).
Задълженията по закона се прилагат от влизането му в сила, без преходен период. Към 5 ноември 2026 г. Министерският съвет още не е определил с решение секторните компетентни органи и не е приел методиката за определяне на съществените и важните субекти (§ 47, т. 1 ПЗР, срок 17 август 2026 г.). Не е приета и новата наредба за минималните мерки. Дотогава остава в сила Наредбата за минималните изисквания за мрежова и информационна сигурност от 2019 г.
Законът засяга публичните и частните субекти от секторите в приложения I и II към него, които са поне средни предприятия по Закона за малките и средните предприятия, плюс административните органи и някои субекти независимо от размера (чл. 4). Средно предприятие е такова с 50 или повече служители или с годишен оборот и стойност на активите над 10 млн. евро (чл. 3 от Закона за малките и средните предприятия, в сила от 01.01.2026 г.). Големите предприятия — с 250 или повече служители или с оборот над 50 млн. евро и активи над 43 млн. евро — от сектор в приложение I са съществени субекти. При изчисляването се вземат предвид и предприятията партньори и свързаните предприятия. Държавните и общинските дружества се оценяват по същите прагове като частните фирми: изключението от чл. 4, ал. 9 от Закона за малките и средните предприятия (за предприятия, в които държавата или общината контролира 25% или повече от капитала) не се прилага (чл. 4, т. 2 от Закона за киберсигурност).
Таблица: сектори по приложения I и II (в скоби — основните подсектори; пълният списък с видовете субекти е в приложенията към закона)
| Приложение I (сектори с висока критичност) | Приложение II (други критични сектори) |
|---|---|
| 1. Енергетика (електроенергия, топлоенергия, нефт, газ, водород) | 1. Пощенски и куриерски услуги |
| 2. Транспорт (въздушен, железопътен, воден, автомобилен) | 2. Управление на отпадъците |
| 3. Банков сектор | 3. Производство, преработка и дистрибуция на химикали |
| 4. Инфраструктури на финансовите пазари | 4. Производство, преработка и дистрибуция на храни |
| 5. Здравеопазване | 5. Производство (медицински изделия, компютри и електроника, електрическо оборудване, машини, моторни превозни средства, други превозни средства) |
| 6. Питейна вода | 6. Доставчици на цифрови услуги (онлайн места за търговия, онлайн търсачки, социални мрежи) |
| 7. Отпадъчни води | 7. Научни изследвания |
| 8. Цифрова инфраструктура (IXP, DNS, домейни, облак, центрове за данни, CDN, удостоверителни и електронни съобщителни услуги) | |
| 9. Управление на ИКТ услуги между предприятия (управлявани услуги и управлявани услуги за сигурност) | |
| 10. Космическо пространство |
Независимо от размера в обхвата са например доставчиците на обществени електронни съобщителни мрежи и услуги, доставчиците на удостоверителни услуги, регистрите на домейни от първо ниво и доставчиците на DNS, единствените доставчици на съществена услуга и субектите, чието смущение би засегнало обществената безопасност, сигурност или здраве (чл. 4, т. 3). В обхвата са и органите на съдебната власт и образователните институции с критични научни изследвания (чл. 4, т. 6 и 9).
Важно за доставчиците: дори фирмата Ви да не попада под закона, клиентите Ви, които попадат, трябва да управляват сигурността на веригата на доставки (чл. 22, ал. 2, т. 4) и ще изискват от Вас мерки и доказателства.
Не сте сигурни дали фирмата попада? Проверете за 3 минути → или попитайте нас
Съществени субекти са големите предприятия от секторите в приложение I и някои специални категории, а всички останали в обхвата са важни субекти (чл. 4а). Задълженията за мерки и докладване са едни и същи; разликата е в надзора и в размера на санкциите.
| Показател | Съществен субект | Важен субект |
|---|---|---|
| Кой | Големи предприятия от приложение I; квалифицирани удостоверителни услуги, TLD регистри, DNS — независимо от размера; средни доставчици на електронни съобщения; административни органи; критични субекти; досегашните оператори на съществени услуги (чл. 4а, ал. 1) | Всички останали от приложения I и II в обхвата — напр. средни предприятия от приложение I и средни и големи от приложение II (чл. 4а, ал. 2) |
| Надзор | Планови и извънпланови проверки, редовни и целеви одити на сигурността (чл. 27ж, ал. 1) | Проверки на място и последващ дистанционен надзор, целеви одити (чл. 27ж, ал. 2) |
| Максимална санкция | до 10 000 000 € или 2% от световния оборот (чл. 29, ал. 2) | до 7 000 000 € или 1,4% от световния оборот (чл. 29, ал. 3) |
Кой определя статуса? Националните компетентни органи определят съществените и важните субекти по методика на Министерския съвет и уведомяват министъра, който води регистъра (чл. 16, ал. 3, т. 8; чл. 6; § 48 ПЗР). Регистърът не е публичен (чл. 6, ал. 5). Към 5 ноември 2026 г. решението на Министерския съвет и методиката още не са приети, затова определянето на субектите не е започнало.
Задълженията са три групи: ръководството одобрява и следи мерките (чл. 21), фирмата прилага мерки за управление на риска (чл. 22) и докладва значителните инциденти (чл. 23).
Мерките по чл. 22, ал. 2 трябва да са „подходящи и пропорционални“ на риска и размера на субекта и да включват:
Законът е технологично неутрален — не изисква конкретни продукти. При установен пропуск фирмата е длъжна да предприеме коригиращи мерки (чл. 22, ал. 4).
Как изглеждат тези мерки на практика в малка и средна фирма — в Киберсигурност и NIS2 за фирми.
Значителният инцидент се докладва на секторния екип за реагиране при инциденти (СЕРИКС) на три етапа: ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец (чл. 23, ал. 5).
| Етап | Срок | Съдържание |
|---|---|---|
| Ранно предупреждение | до 24 часа след установяването | Предполага ли се злонамерено действие; възможно ли е трансгранично въздействие |
| Уведомление за инцидент | до 72 часа след установяването (24 ч. за удостоверителни услуги) | Първоначална оценка — тежест, въздействие, технически данни |
| Междинен доклад | при поискване от СЕРИКС | Актуализация |
| Окончателен доклад | до 1 месец след уведомлението | Подробно описание, причина, мерки, трансгранично въздействие |
| Ако инцидентът продължава | междинен доклад в срока; окончателен — до 1 месец след справянето | — |
Уведомяването само по себе си не води до повишена отговорност (чл. 23, ал. 1). Когато е подходящо, засегнатите получатели на услугите също се уведомяват (чл. 23, ал. 2). СЕРИКС отговаря до 24 часа и може да даде насоки (чл. 23, ал. 6).
Практически съвет: 24 часа минават бързо. Процедурата — кой решава, че инцидентът е значителен, кой пише, на кого — трябва да е готова предварително.
Да. Членовете на управителните органи на съществените и важните субекти са длъжни да преминават обучение на всеки две години, за да могат да идентифицират рисковете и да оценяват мерките (чл. 21, ал. 2). Те са длъжни и да предлагат и организират такива обучения за служителите си (чл. 21, ал. 3). Отделно „основни киберхигиенни практики и обучение в областта на киберсигурността“ са една от задължителните мерки (чл. 22, ал. 2, т. 7).
Законът не определя формата, продължителността или доставчика на обучението. На практика проверяващият ще търси доказателство: кой, кога и по какви теми е обучен.
| Нарушение | Санкция | Член |
|---|---|---|
| Съществен субект не изпълнява мерките (чл. 22) или докладването (чл. 23) | до 10 000 000 € или до 2% от общия световен годишен оборот (по-високото), но не по-малко от 25 000 € | чл. 29, ал. 2 |
| Важен субект — същото | до 7 000 000 € или до 1,4% от оборота (по-високото), но не по-малко от 12 500 € | чл. 29, ал. 3 |
| Ръководител / член на управителния орган нарушава чл. 21 (одобряване и контрол на мерките, обучение) | глоба от 500 до 5000 € — лично | чл. 29, ал. 4 |
| Неизпълнение на принудителна административна мярка | 2500–12 000 €; при повторно — 5000–25 000 € | чл. 28 |
| Друго нарушение от длъжностно лице | 500–10 000 €; при повторно — 750–15 000 € | чл. 30 |
Преходно: за нарушения, извършени до 1 юни 2026 г., глобите и имуществените санкции се намаляват с 50% (§ 51 ПЗР). За нарушенията след тази дата намаление няма.
Други мерки: надзорните органи могат да дават предупреждения и задължителни предписания, да разпоредят публично обявяване на нарушението (чл. 27и), а за съществените субекти — да поискат временно спиране на лиценз или временна забрана за лице да изпълнява управленски функции (чл. 27к). При определяне на санкцията се отчитат умисълът, повторността, вредите и предприетите мерки (чл. 29б).
Контролът се осъществява от националните компетентни органи по чл. 16, МО, МВР и ДАНС (чл. 27е).
Проверете дали попадате
сектор по приложения I/II и размер (раздел „Кого засяга“).
Определете дали сте съществен или важен субект и следете за уведомление от компетентния орган.
Запознайте ръководството със задълженията му по чл. 21 и планирайте обучението му — то отговаря лично.
Направете опис на системите, данните, доставчиците и достъпите.
Направете анализ на несъответствията спрямо 12-те мерки по чл. 22, ал. 2.
Приоритизирайте бързите мерки: многофакторна автентикация, тестван бекъп, обновления, премахване на ненужни достъпи.
Подгответе процедура за инциденти със сроковете 24 ч / 72 ч / 1 месец и контактите на СЕРИКС.
Организирайте обучение на служителите и пазете доказателство.
Прегледайте договорите с доставчиците
сигурност на веригата на доставки.
Документирайте всичко и определете кога ще преглеждате мерките отново.
Industrial Defender представи нова версия на своята платформа за OT киберсигурност, която комбинира мониторинг на вътрешния мрежов трафик (INSM) с разузнаване…
Статията разглежда седем достъпни и бързи за внедряване мерки за защита на идентификационните данни, които помагат на организациите да постигнат съответствие…
Keyorix е инструмент с отворен код за управление на чувствителни данни, разработен за екипи и организации, които изискват локално съхранение (on-premise) и…
NodePoint помага с практическото изпълнение: оценка дали фирмата попада под закона, анализ на текущото състояние, технически указания и мерки, реакция при инциденти и обучение на ръководството и служителите. Правните документи подготвяме с външни партньори юристи. Първият разговор е безплатен.
Последна проверка спрямо закона: . Ръководството се преглежда поне веднъж месечно, докато подзаконовата уредба по § 47 ПЗР не бъде приета, и при всяко изменение на закона или наредбите.
От 17 февруари 2026 г. NIS2 е въведена в българското право със Закона за изменение и допълнение на Закона за киберсигурност, обнародван в ДВ, бр. 17 от 13 февруари 2026 г. Законът е изменен отново с ДВ, бр. 55 от 16 юни 2026 г. За нарушенията до 1 юни 2026 г. санкциите са намалени наполовина (§ 51 ПЗР).
Да, ако работи в сектор от приложение I или II към Закона за киберсигурност — фирма с 60 служители по правило е средно предприятие. Ако секторът ѝ не е в приложенията, тя не попада, освен по някое от специалните основания в чл. 4. В обхвата средното предприятие е обикновено „важен субект“.
Ако фирмата е в обхвата, задълженията са: ръководството одобрява мерките и се обучава на всеки две години (чл. 21), фирмата прилага 12-те групи мерки за управление на риска (чл. 22) и докладва значителните инциденти до 24 ч, 72 ч и 1 месец (чл. 23). Мерките са пропорционални на размера.
Повечето фирми не подават заявление за вписване сами. Компетентните органи определят съществените и важните субекти по методика на Министерския съвет и ги съобщават на министъра на иновациите и дигиталната трансформация, който води регистъра (чл. 6 и чл. 16, ал. 3, т. 8). Изключение са някои цифрови доставчици — DNS, облачни услуги, центрове за данни, управлявани услуги и др. — които сами подават данни до два месеца (чл. 6, ал. 2). Не е нужно да чакате уведомление, за да започнете с мерките.
Да. Управителите и членовете на управителните органи на съществените и важните субекти отговарят лично. При нарушение на чл. 21 глобата е от 500 до 5000 евро (чл. 29, ал. 4). За съществените субекти компетентният орган може да поиска и временна забрана за упражняване на управленски функции (чл. 27к, ал. 2 и 4).
За съществените субекти — до 10 млн. евро или 2% от световния годишен оборот (по-високото), минимум 25 000 евро; за важните — до 7 млн. евро или 1,4%, минимум 12 500 евро (чл. 29). Ръководителите отговарят и лично — от 500 до 5000 евро. Санкцията се определя според тежестта и предприетите мерки.
Не. Законът за киберсигурност изисква подходящи и пропорционални мерки, а не сертификат. Европейските и международните стандарти се вземат предвид, „когато е приложимо“ (чл. 22, ал. 1), затова ISO/IEC 27001 е удобна рамка, но не е задължителна.
По правило не — малките предприятия са извън обхвата, освен ако попадат по специално основание, например доставчик на DNS или единствен доставчик на съществена услуга (чл. 4, т. 3). Но ако малката фирма е доставчик на голяма фирма по NIS2, клиентът ѝ може да изисква мерки по договор.
