Кой попада под Закона за киберсигурност?
Под Закона за киберсигурност попадат публичните и частните организации от видовете субекти в приложения I и II към закона, които са поне средни предприятия, плюс някои организации независимо от размера (чл. 4 ЗКС). Решават три неща: видът организация, секторът с вида дейност и размерът.
- Размер. Поне средно е предприятие с 50 или повече служители, или с годишен оборот и активи над 10 млн. € (чл. 3 ЗМСП, в сила от 01.01.2026 г.). Голямо е при 250 или повече служители, или при оборот над 50 млн. € и активи над 43 млн. €. Данните на свързаните и партньорските предприятия се добавят (чл. 4г ЗМСП). За държавните и общинските дружества важат същите прагове, защото изключението на чл. 4, ал. 9 ЗМСП не се прилага (чл. 4, т. 2 ЗКС).
- Независимо от размера в обхвата са административните органи — министерства, агенции, областни администрации, кметовете и общинските администрации (чл. 4, т. 1), доставчиците на обществени електронни съобщителни мрежи и услуги, удостоверителните услуги, регистрите на домейни от първо ниво и доставчиците на DNS (чл. 4, т. 3, б. „а“–„в“), регистраторите на домейни и техните агенти и препродавачи (чл. 4, т. 5; § 3, т. 29а ДР), критичните субекти (чл. 4, т. 4) и органите на съдебната власт (чл. 4, т. 9). Малка фирма може да бъде включена и ако е единствен доставчик на съществена услуга или ако прекъсването ѝ би засегнало безопасността или здравето (чл. 4, т. 3, б. „г“–„ж“). Това обаче го преценява компетентният орган.
- Съществен или важен. Съществени са големите предприятия от приложение I, административните органи, доставчиците на DNS, регистрите на домейни от първо ниво, квалифицираните удостоверителни услуги, средните и големите доставчици на електронни съобщения, критичните субекти и досегашните оператори на съществени услуги (чл. 4а, ал. 1). Всички останали в обхвата са важни субекти (чл. 4а, ал. 2). Задълженията са едни и същи. Разликата е в надзора и в размера на санкциите.
Важно за доставчиците: фирма извън обхвата също може да получи изисквания. Клиентите ѝ в обхвата трябва да оценяват сигурността на преките си доставчици (чл. 22, ал. 2, т. 4 и ал. 3).
Неясен случай — храните: директивата обхваща само търговията на едро, промишленото производство и преработката на храни. Българският закон препраща към общото определение за предприятие за храни. Затова за поне средните магазини и заведения проверката показва „индивидуална проверка“, а не категория. Малките са извън обхвата и при двете тълкувания (чл. 4, т. 2).
DNS при хостинг и интернет доставчиците: доставчик на DNS услуги е и този, който поддържа авторитетен DNS за домейните на клиенти или публичен рекурсивен DNS (§ 3, т. 5 ДР). Тогава фирмата е съществен субект независимо от размера (чл. 4а, ал. 1, т. 2), затова проверката пита за това отделно.
Кои сектори обхваща Законът за киберсигурност?
Законът обхваща 17 сектора: 10 в приложение I (сектори с висока критичност) и 7 в приложение II (други критични сектори). Във всеки сектор в обхвата са само изброените видове субекти, а не всички фирми в него.
| Приложение I — сектори с висока критичност | Приложение II — други критични сектори |
|---|---|
| 1. Енергетика (електроенергия, районно отопление и охлаждане, нефт, природен газ, водород) | 1. Пощенски и куриерски услуги |
| 2. Транспорт (въздушен, железопътен, воден, автомобилен) | 2. Управление на отпадъците |
| 3. Банков сектор (кредитни институции) | 3. Производство, изготвяне и дистрибуция на химикали |
| 4. Инфраструктури на финансовия пазар | 4. Производство, преработка и разпространение на храни |
| 5. Здравеопазване (доставчици на здравно обслужване, лаборатории, фармацевтика, критични медицински изделия) | 5. Производство (медицински изделия, компютри и електроника, електрически съоръжения, машини, моторни превозни средства, друго транспортно оборудване) |
| 6. Питейна вода | 6. Доставчици на цифрови услуги (онлайн места за търговия, търсачки, социални мрежи) |
| 7. Отпадъчни води | 7. Научни изследвания |
| 8. Цифрова инфраструктура (IXP, DNS, домейни от първо ниво, облак, центрове за данни, CDN, удостоверителни услуги, електронни съобщения) | |
| 9. Управление на ИКТ услуги между предприятия (управлявани услуги и управлявани услуги за сигурност) | |
| 10. Космическо пространство (наземна инфраструктура) |
Публичната администрация не е сектор в приложенията към българския закон. Административните органи са в обхвата пряко (чл. 4, т. 1) и са съществени субекти (чл. 4а, ал. 1, т. 4). Пълният списък с видовете субекти е в приложенията към закона.
Как работи NIS2 проверката?
Проверката задава до 11 въпроса с готови отговори. Обичайният път е 8 въпроса. Логиката следва чл. 4 и 4а от Закона за киберсигурност и чл. 3–4г от Закона за малките и средните предприятия.
Вид организация
фирма, държавен или общински орган, съдебна власт, образователна или публична организация.
Статут
определени ли сте вече за оператор на съществени услуги или критичен субект.
Сектор
17-те сектора от приложения I и II или „нито един“.
Вид дейност
изброените в закона видове субекти в избрания сектор.
Група
свързани и партньорски предприятия.
Персонал
средносписъчен брой.
Оборот
за последната приключена година.
Активи
балансовото число.
Хостинг, облачните, интернет и ИТ доставчиците получават допълнителен въпрос за DNS и регистрацията на домейни. Ако фирмата е малка, има допълнителен въпрос за особените критерии от чл. 4, т. 3. Ако е извън обхвата, последният въпрос е дали доставяте на организации в обхвата.
Възможни резултати: вероятно съществен субект · вероятно важен субект · вероятно не попадате, но сте във веригата на доставки · вероятно не попадате · нужна е индивидуална проверка. Последният се показва, когато отговорите не стигат или законът оставя решението на компетентния орган. Предпочитаме честен въпрос пред гадаене.
Всеки въпрос има отговор „Не знам“ с подсказка къде да намерите информацията. Под резултата са членовете, на които се основава.
Какво следва след проверката?
Втората част, „Колко сте готови?“, оценява организацията по мерките от чл. 21–23: ръководство, обучение, анализ на риска, инциденти, резервни копия, достъп, доставчици и системи. Резултатът е оценка по групи („добре“, „частично“, „липсва“) и личен план: какво да направите сега, до 3 месеца и до 12 месеца. Можете да го отпечатате или да ни го изпратите като запитване. Първата консултация с NodePoint е безплатна.
Предпочитате да минем проверката заедно? Заявете безплатен разговор
Въпроси за NIS2 проверката
Как да разбера дали фирмата ми попада под NIS2?
Фирмата попада под Закона за киберсигурност, ако е от вид субект в приложение I или II към закона и е поне средно предприятие, или ако попада в обхвата независимо от размера (чл. 4). Проверете сектора и вида дейност, после размера по чл. 3 от Закона за малките и средните предприятия. NIS2 проверката го прави с 8 въпроса.
Коя фирма е средно предприятие за целите на NIS2?
Поне средно е предприятие с 50 или повече служители, или с годишен оборот и активи над 10 млн. € (чл. 3 ЗМСП, в сила от 01.01.2026 г.). Броят се данните за последната приключена година заедно със свързаните и партньорските предприятия (чл. 4г ЗМСП). Статусът се променя след две поредни години над или под праговете (чл. 4б ЗМСП).
Каква е разликата между съществен и важен субект?
Задълженията са едни и същи, а разликата е в надзора и санкциите. Съществените субекти подлежат на планови и извънпланови проверки и одити (чл. 27ж, ал. 1) и на санкции до 10 млн. € или 2% от оборота. При важните надзорът е предимно последващ (чл. 27ж, ал. 2), а санкциите са до 7 млн. € или 1,4% (чл. 29).
Обвързващ ли е резултатът от проверката?
Не. Резултатът е ориентировъчен и не е правна консултация. Съществените и важните субекти се определят от компетентните органи по методика на Министерския съвет (чл. 16, ал. 3, т. 8 ЗКС). Към методиката още не е приета. Задълженията по чл. 21–23 обаче се прилагат от 17 февруари 2026 г.
Трябва ли да се регистрирам сам, ако попадам под закона?
Повечето организации не подават заявление сами, защото ги определя компетентният орган (§ 48 ПЗР ЗКС). Изключение са цифровите доставчици: DNS, регистри и регистратори на домейни, облак, центрове за данни, CDN, управлявани услуги, онлайн места за търговия, търсачки и социални мрежи. Те подават данни сами до два месеца (чл. 6, ал. 2).
Фирмата ми не попада под закона. Трябва ли да правя нещо?
Не по закон, но ако доставяте на организации в обхвата, те ще изискват мерки от Вас. Законът ги задължава да оценяват сигурността на преките си доставчици (чл. 22, ал. 2, т. 4 и ал. 3). Втората част на проверката показва кои мерки се искат най-често.
Какво става с отговорите ми?
NodePoint не ги събира и не ги изпраща никъде. Когато JavaScript е включен, проверката работи изцяло в браузъра Ви, а отговорите стоят само в адреса на страницата. Без JavaScript всяка стъпка се зарежда от сървъра и, както всяко посещение, попада в техническите журнали на сървъра, без име и без връзка с Вас. Запитване изпращате само ако сами попълните формата.
Правна рамка и източници
Правната рамка е проверена към . Законът се прилага от 17 февруари 2026 г. без преходен период. Министерският съвет още не е определил секторните компетентни органи и не е приел методиката за определяне на съществените и важните субекти (§ 47, т. 1 ПЗР, срок 17 август 2026 г.). Когато това стане, проверката ще бъде обновена.
- Закон за киберсигурност — консолидиран текст с изм. ДВ, бр. 17 и бр. 55 от 2026 г. (PDF, Комисия за регулиране на съобщенията): https://crc.bg/files/2026 ПРАВНА/ЗАКОН ЗА КИБЕРСИГУРНОСТ.pdf (отваря се в нов прозорец)
- Закон за изменение и допълнение на Закона за киберсигурност, ДВ, бр. 17 от 13.02.2026 г.: https://dv.parliament.bg/DVWeb/showMaterialDV.jsp?idMat=241234 (отваря се в нов прозорец)
- Закон за малките и средните предприятия, чл. 3–4г (ред. ДВ, бр. 70 от 2024 г., в сила от 01.01.2026 г.): https://www.lex.bg/laws/ldoc/2134682112 (отваря се в нов прозорец)
- Директива (ЕС) 2022/2555 (NIS2): https://eur-lex.europa.eu/eli/dir/2022/2555/oj (отваря се в нов прозорец)
- Препоръка 2003/361/ЕО на Комисията за определението на микро-, малки и средни предприятия: https://eur-lex.europa.eu/eli/reco/2003/361/oj (отваря се в нов прозорец)
- Регламент за изпълнение (ЕС) 2024/2690 (цифрови доставчици): https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj (отваря се в нов прозорец)
- Министерство на иновациите и дигиталната трансформация — законодателна рамка за киберсигурността: https://midt.gov.bg/bg/digital-transformation/cybersecurity/laws (отваря се в нов прозорец)
Още по темата: Ръководство „NIS2 и Законът за киберсигурност“ · Киберсигурност и NIS2 за фирми · Sentinel — обучение на служителите