---
title: "NIS2 в България: Законът за киберсигурност накратко"
url: https://nodepoint.bg/nis2/
updated: 2026-11-05
author: "Тодор Карачорбаджиев, NodePoint"
publisher: "NodePoint (НодПойнт ЕООД), Бургас"
language: bg
---

# NIS2 и Законът за киберсигурност: какво трябва да знае бизнесът

Автор: [Тодор Карачорбаджиев](https://nodepoint.bg/za-nas/#ekspert), NodePoint · Проверено спрямо закона на 5 ноември 2026

Накратко: **NIS2** е директивата на ЕС за киберсигурност, която България въведе с промени в Закона за киберсигурност, обнародвани в ДВ, бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. Законът обхваща средните и големите фирми в 17 сектора и администрацията. Ръководството одобрява мерките и се обучава на всеки две години, инцидентите се докладват до 24 часа, а санкциите стигат до 10 млн. евро или 2% от оборота.

Това ръководство обяснява закона на разбираем език и не е правна консултация. За конкретна фирма проверете с юрист или [поискайте първоначален разговор с NodePoint](https://nodepoint.bg/uslugi/kibersigurnost-nis2/#zapitvane).

**Попада ли фирмата Ви под закона?** Проверете за 3 минути — с членовете от закона, без регистрация. [Започнете проверката →](https://nodepoint.bg/nis2/proverka/#proverka)

## Какво е NIS2 и как е въведена в България?

NIS2 е Директива (ЕС) 2022/2555 за мерки за високо общо ниво на киберсигурност в Европейския съюз. Тя замени първата директива NIS от 2016 г., разшири кръга на засегнатите сектори и въведе лична отговорност на ръководството и по-високи санкции.

В България NIS2 е въведена със Закона за изменение и допълнение на Закона за киберсигурност, обнародван в „Държавен вестник“, бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. Законът е изменен отново с ДВ, бр. 55 от 16 юни 2026 г.; след тази промяна регистърът на субектите се води от министъра на иновациите и дигиталната трансформация (чл. 6, ал. 1), а Министерството на иновациите и дигиталната трансформация е компетентен орган за административните органи (чл. 16, ал. 2).

Задълженията по закона се прилагат от влизането му в сила, без преходен период. Към 5 ноември 2026 г. Министерският съвет още не е определил с решение секторните компетентни органи и не е приел методиката за определяне на съществените и важните субекти (§ 47, т. 1 ПЗР, срок 17 август 2026 г.). Не е приета и новата наредба за минималните мерки. Дотогава остава в сила Наредбата за минималните изисквания за мрежова и информационна сигурност от 2019 г.

## Кого засяга Законът за киберсигурност?

Законът засяга публичните и частните субекти от секторите в приложения I и II към него, които са **поне средни предприятия** по Закона за малките и средните предприятия, плюс административните органи и някои субекти независимо от размера (чл. 4). Средно предприятие е такова с 50 или повече служители или с годишен оборот и стойност на активите над 10 млн. евро (чл. 3 от Закона за малките и средните предприятия, в сила от 01.01.2026 г.). Големите предприятия — с 250 или повече служители или с оборот над 50 млн. евро и активи над 43 млн. евро — от сектор в приложение I са съществени субекти. При изчисляването се вземат предвид и предприятията партньори и свързаните предприятия. Държавните и общинските дружества се оценяват по същите прагове като частните фирми: изключението от чл. 4, ал. 9 от Закона за малките и средните предприятия (за предприятия, в които държавата или общината контролира 25% или повече от капитала) не се прилага (чл. 4, т. 2 от Закона за киберсигурност).

**Таблица: сектори по приложения I и II** (в скоби — основните подсектори; пълният списък с видовете субекти е в приложенията към закона)

| Приложение I (сектори с висока критичност) | Приложение II (други критични сектори) |
| --- | --- |
| 1. Енергетика (електроенергия, топлоенергия, нефт, газ, водород) | 1. Пощенски и куриерски услуги |
| 2. Транспорт (въздушен, железопътен, воден, автомобилен) | 2. Управление на отпадъците |
| 3. Банков сектор | 3. Производство, преработка и дистрибуция на химикали |
| 4. Инфраструктури на финансовите пазари | 4. Производство, преработка и дистрибуция на храни |
| 5. Здравеопазване | 5. Производство (медицински изделия, компютри и електроника, електрическо оборудване, машини, моторни превозни средства, други превозни средства) |
| 6. Питейна вода | 6. Доставчици на цифрови услуги (онлайн места за търговия, онлайн търсачки, социални мрежи) |
| 7. Отпадъчни води | 7. Научни изследвания |
| 8. Цифрова инфраструктура (IXP, DNS, домейни, облак, центрове за данни, CDN, удостоверителни и електронни съобщителни услуги) |  |
| 9. Управление на ИКТ услуги между предприятия (управлявани услуги и управлявани услуги за сигурност) |  |
| 10. Космическо пространство |  |

**Независимо от размера** в обхвата са например доставчиците на обществени електронни съобщителни мрежи и услуги, доставчиците на удостоверителни услуги, регистрите на домейни от първо ниво и доставчиците на DNS, единствените доставчици на съществена услуга и субектите, чието смущение би засегнало обществената безопасност, сигурност или здраве (чл. 4, т. 3). В обхвата са и органите на съдебната власт и образователните институции с критични научни изследвания (чл. 4, т. 6 и 9).

**Важно за доставчиците:** дори фирмата Ви да не попада под закона, клиентите Ви, които попадат, трябва да управляват сигурността на веригата на доставки (чл. 22, ал. 2, т. 4) и ще изискват от Вас мерки и доказателства.

Не сте сигурни дали фирмата попада? [Проверете за 3 минути →](https://nodepoint.bg/nis2/proverka/#proverka) или [попитайте нас](https://nodepoint.bg/uslugi/kibersigurnost-nis2/#zapitvane)

## Каква е разликата между съществени и важни субекти?

Съществени субекти са големите предприятия от секторите в приложение I и някои специални категории, а всички останали в обхвата са важни субекти (чл. 4а). Задълженията за мерки и докладване са едни и същи; разликата е в надзора и в размера на санкциите.

|  | Съществен субект | Важен субект |
| --- | --- | --- |
| Кой | Големи предприятия от приложение I; квалифицирани удостоверителни услуги, TLD регистри, DNS — независимо от размера; средни доставчици на електронни съобщения; административни органи; критични субекти; досегашните оператори на съществени услуги (чл. 4а, ал. 1) | Всички останали от приложения I и II в обхвата — напр. средни предприятия от приложение I и средни и големи от приложение II (чл. 4а, ал. 2) |
| Надзор | Планови и извънпланови проверки, редовни и целеви одити на сигурността (чл. 27ж, ал. 1) | Проверки на място и последващ дистанционен надзор, целеви одити (чл. 27ж, ал. 2) |
| Максимална санкция | до 10 000 000 € или 2% от световния оборот (чл. 29, ал. 2) | до 7 000 000 € или 1,4% от световния оборот (чл. 29, ал. 3) |

**Кой определя статуса?** Националните компетентни органи определят съществените и важните субекти по методика на Министерския съвет и уведомяват министъра, който води регистъра (чл. 16, ал. 3, т. 8; чл. 6; § 48 ПЗР). Регистърът не е публичен (чл. 6, ал. 5). Към 5 ноември 2026 г. решението на Министерския съвет и методиката още не са приети, затова определянето на субектите не е започнало.

## Какви са задълженията по Закона за киберсигурност?

Задълженията са три групи: ръководството одобрява и следи мерките (чл. 21), фирмата прилага мерки за управление на риска (чл. 22) и докладва значителните инциденти (чл. 23).

**Мерките по чл. 22, ал. 2** трябва да са „подходящи и пропорционални“ на риска и размера на субекта и да включват:

1. политики за анализ на риска и сигурност на информационните системи;
2. действия при инцидент;
3. непрекъснатост на дейността — бекъп, възстановяване след бедствие, управление на кризи;
4. сигурност на веригата на доставка;
5. сигурност при придобиване, разработване и поддръжка на системи, вкл. действия при уязвимости;
6. политики за оценка на ефективността на мерките;
7. основни киберхигиенни практики и обучение по киберсигурност;
8. политики за криптография и криптиране;
9. сигурност на човешките ресурси, контрол на достъпа и управление на активите;
10. многофакторна автентикация, защитени гласови, видео и текстови комуникации, защитени системи за спешна комуникация;
11. управление на измененията на информационните активи;
12. мерки и задължения за докладване за субектите от приложения I и II и за критичните субекти.

Законът е технологично неутрален — не изисква конкретни продукти. При установен пропуск фирмата е длъжна да предприеме коригиращи мерки (чл. 22, ал. 4).

Как изглеждат тези мерки на практика в малка и средна фирма — в [Киберсигурност и NIS2 за фирми](https://nodepoint.bg/uslugi/kibersigurnost-nis2/#tehnicheski-merki).

## В какъв срок се докладва киберинцидент?

Значителният инцидент се докладва на секторния екип за реагиране при инциденти (СЕРИКС) на три етапа: ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец (чл. 23, ал. 5).

| Етап | Срок | Съдържание |
| --- | --- | --- |
| Ранно предупреждение | до 24 часа след установяването | Предполага ли се злонамерено действие; възможно ли е трансгранично въздействие |
| Уведомление за инцидент | до 72 часа след установяването (24 ч. за удостоверителни услуги) | Първоначална оценка — тежест, въздействие, технически данни |
| Междинен доклад | при поискване от СЕРИКС | Актуализация |
| Окончателен доклад | до 1 месец след уведомлението | Подробно описание, причина, мерки, трансгранично въздействие |
| Ако инцидентът продължава | междинен доклад в срока; окончателен — до 1 месец след справянето | — |

Уведомяването само по себе си не води до повишена отговорност (чл. 23, ал. 1). Когато е подходящо, засегнатите получатели на услугите също се уведомяват (чл. 23, ал. 2). СЕРИКС отговаря до 24 часа и може да даде насоки (чл. 23, ал. 6).

**Практически съвет:** 24 часа минават бързо. Процедурата — кой решава, че инцидентът е значителен, кой пише, на кого — трябва да е готова предварително.

## Задължително ли е обучението по киберсигурност по NIS2?

Да. Членовете на управителните органи на съществените и важните субекти са длъжни да преминават обучение на всеки две години, за да могат да идентифицират рисковете и да оценяват мерките (чл. 21, ал. 2). Те са длъжни и да предлагат и организират такива обучения за служителите си (чл. 21, ал. 3). Отделно „основни киберхигиенни практики и обучение в областта на киберсигурността“ са една от задължителните мерки (чл. 22, ал. 2, т. 7).

Законът не определя формата, продължителността или доставчика на обучението. На практика проверяващият ще търси доказателство: кой, кога и по какви теми е обучен.

**Sentinel от NodePoint** — кратки тестове по имейл за ръководството и служителите (фишинг, телефонни измами, GDPR, deepfake), без акаунти, с годишен PDF протокол: теми, участие и резултати на всеки служител.

[Вижте Sentinel](https://nodepoint.bg/sentinel/) · [Заявете демо](https://sentinel.nodepoint.bg/request-demo?utm_source=nodepoint.bg&utm_medium=referral&utm_campaign=nis2-guide)

## Какви са санкциите по Закона за киберсигурност?

| Нарушение | Санкция | Член |
| --- | --- | --- |
| Съществен субект не изпълнява мерките (чл. 22) или докладването (чл. 23) | до 10 000 000 € или до 2% от общия световен годишен оборот (по-високото), но не по-малко от 25 000 € | чл. 29, ал. 2 |
| Важен субект — същото | до 7 000 000 € или до 1,4% от оборота (по-високото), но не по-малко от 12 500 € | чл. 29, ал. 3 |
| Ръководител / член на управителния орган нарушава чл. 21 (одобряване и контрол на мерките, обучение) | глоба от 500 до 5000 € — лично | чл. 29, ал. 4 |
| Неизпълнение на принудителна административна мярка | 2500–12 000 €; при повторно — 5000–25 000 € | чл. 28 |
| Друго нарушение от длъжностно лице | 500–10 000 €; при повторно — 750–15 000 € | чл. 30 |

**Преходно:** за нарушения, извършени до 1 юни 2026 г., глобите и имуществените санкции се намаляват с 50% (§ 51 ПЗР). За нарушенията след тази дата намаление няма.

**Други мерки:** надзорните органи могат да дават предупреждения и задължителни предписания, да разпоредят публично обявяване на нарушението (чл. 27и), а за съществените субекти — да поискат временно спиране на лиценз или временна забрана за лице да изпълнява управленски функции (чл. 27к). При определяне на санкцията се отчитат умисълът, повторността, вредите и предприетите мерки (чл. 29б).

Контролът се осъществява от националните компетентни органи по чл. 16, МО, МВР и ДАНС (чл. 27е).

## Какво да направите сега — чек-лист

1. **Проверете дали попадате** — сектор по приложения I/II и размер (раздел „Кого засяга“).
2. **Определете дали сте съществен или важен субект и следете за уведомление от компетентния орган.**
3. **Запознайте ръководството със задълженията му по чл. 21 и планирайте обучението му — то отговаря лично.**
4. **Направете опис на системите, данните, доставчиците и достъпите.**
5. **Направете анализ на несъответствията спрямо 12-те мерки по чл. 22, ал. 2.**
6. **Приоритизирайте бързите мерки: многофакторна автентикация, тестван бекъп, обновления, премахване на ненужни достъпи.**
7. **Подгответе процедура за инциденти със сроковете 24 ч / 72 ч / 1 месец и контактите на СЕРИКС.**
8. **Организирайте обучение на служителите и пазете доказателство.**
9. **Прегледайте договорите с доставчиците** — сигурност на веригата на доставки.
10. **Документирайте всичко и определете кога ще преглеждате мерките отново.**

## Нужна Ви е помощ с NIS2?

NodePoint помага с практическото изпълнение: оценка дали фирмата попада под закона, анализ на текущото състояние, технически указания и мерки, реакция при инциденти и обучение на ръководството и служителите. Правните документи подготвяме с външни партньори юристи. Първият разговор е безплатен.

[Направете NIS2 проверката](https://nodepoint.bg/nis2/proverka/#proverka) · [Заявете безплатен разговор](https://nodepoint.bg/uslugi/kibersigurnost-nis2/#zapitvane) · [Вижте Sentinel (обучение)](https://nodepoint.bg/sentinel/) · [Обадете се: 088 797 5180](tel:+359887975180)

## Източници

- Закон за киберсигурност — консолидиран текст с изм. ДВ, бр. 17 и бр. 55 от 2026 г. (PDF, Комисия за регулиране на съобщенията): [https://crc.bg/files/2026 ПРАВНА/ЗАКОН ЗА КИБЕРСИГУРНОСТ.pdf](https://crc.bg/files/2026%20ПРАВНА/ЗАКОН%20ЗА%20КИБЕРСИГУРНОСТ.pdf)
- Закон за изменение и допълнение на Закона за киберсигурност, ДВ, бр. 17 от 13.02.2026 г.: [https://dv.parliament.bg/DVWeb/showMaterialDV.jsp?idMat=241234](https://dv.parliament.bg/DVWeb/showMaterialDV.jsp?idMat=241234)
- Държавен вестник (всички броеве, вкл. бр. 55 от 16.06.2026 г.): [https://dv.parliament.bg/](https://dv.parliament.bg/)
- Министерство на иновациите и дигиталната трансформация — законодателна рамка за киберсигурността: [https://midt.gov.bg/bg/digital-transformation/cybersecurity/laws](https://midt.gov.bg/bg/digital-transformation/cybersecurity/laws)
- Директива (ЕС) 2022/2555 (NIS2): [https://eur-lex.europa.eu/eli/dir/2022/2555/oj](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
- Закон за малките и средните предприятия, чл. 3 — критерии за размер на предприятието (ред. ДВ, бр. 70 от 2024 г., в сила от 01.01.2026 г.): [https://www.lex.bg/laws/ldoc/2134682112](https://www.lex.bg/laws/ldoc/2134682112)

Последна проверка спрямо закона: 5 ноември 2026. Ръководството се преглежда поне веднъж месечно, докато подзаконовата уредба по § 47 ПЗР не бъде приета, и при всяко изменение на закона или наредбите.

## Често задавани въпроси за NIS2 в България

### От кога е в сила NIS2 в България?

От 17 февруари 2026 г. NIS2 е въведена в българското право със Закона за изменение и допълнение на Закона за киберсигурност, обнародван в ДВ, бр. 17 от 13 февруари 2026 г. Законът е изменен отново с ДВ, бр. 55 от 16 юни 2026 г. За нарушенията до 1 юни 2026 г. санкциите са намалени наполовина (§ 51 ПЗР).

### Попада ли фирма с 60 служители под NIS2?

Да, ако работи в сектор от приложение I или II към Закона за киберсигурност — фирма с 60 служители по правило е средно предприятие. Ако секторът ѝ не е в приложенията, тя не попада, освен по някое от специалните основания в чл. 4. В обхвата средното предприятие е обикновено „важен субект“.

### Какви са задълженията по Закона за киберсигурност за фирма с 60 служители?

Ако фирмата е в обхвата, задълженията са: ръководството одобрява мерките и се обучава на всеки две години (чл. 21), фирмата прилага 12-те групи мерки за управление на риска (чл. 22) и докладва значителните инциденти до 24 ч, 72 ч и 1 месец (чл. 23). Мерките са пропорционални на размера.

### Трябва ли фирмата сама да се регистрира като субект по NIS2?

Повечето фирми не подават заявление за вписване сами. Компетентните органи определят съществените и важните субекти по методика на Министерския съвет и ги съобщават на министъра на иновациите и дигиталната трансформация, който води регистъра (чл. 6 и чл. 16, ал. 3, т. 8). Изключение са някои цифрови доставчици — DNS, облачни услуги, центрове за данни, управлявани услуги и др. — които сами подават данни до два месеца (чл. 6, ал. 2). Не е нужно да чакате уведомление, за да започнете с мерките.

### Отговаря ли управителят лично по NIS2?

Да. Управителите и членовете на управителните органи на съществените и важните субекти отговарят лично. При нарушение на чл. 21 глобата е от 500 до 5000 евро (чл. 29, ал. 4). За съществените субекти компетентният орган може да поиска и временна забрана за упражняване на управленски функции (чл. 27к, ал. 2 и 4).

### Какви са глобите по NIS2 в България?

За съществените субекти — до 10 млн. евро или 2% от световния годишен оборот (по-високото), минимум 25 000 евро; за важните — до 7 млн. евро или 1,4%, минимум 12 500 евро (чл. 29). Ръководителите отговарят и лично — от 500 до 5000 евро. Санкцията се определя според тежестта и предприетите мерки.

### Трябва ли сертификат ISO 27001 за съответствие с NIS2?

Не. Законът за киберсигурност изисква подходящи и пропорционални мерки, а не сертификат. Европейските и международните стандарти се вземат предвид, „когато е приложимо“ (чл. 22, ал. 1), затова ISO/IEC 27001 е удобна рамка, но не е задължителна.

### Трябва ли малка фирма с 10 служители да изпълнява NIS2?

По правило не — малките предприятия са извън обхвата, освен ако попадат по специално основание, например доставчик на DNS или единствен доставчик на съществена услуга (чл. 4, т. 3). Но ако малката фирма е доставчик на голяма фирма по NIS2, клиентът ѝ може да изисква мерки по договор.

Автор: [Тодор Карачорбаджиев](https://nodepoint.bg/za-nas/#ekspert), управител на NodePoint — Проверено спрямо закона на 5 ноември 2026 — Обновено на 5 ноември 2026