---
title: "NIS2 проверка: попада ли фирмата Ви под закона?"
url: https://nodepoint.bg/nis2/proverka/
updated: 2026-11-05
author: "Тодор Карачорбаджиев, NodePoint"
publisher: "NodePoint (НодПойнт ЕООД), Бургас"
language: bg
---

# NIS2 проверка: попада ли фирмата Ви под Закона за киберсигурност?

Автор: [Тодор Карачорбаджиев](https://nodepoint.bg/za-nas/#ekspert), NodePoint · Правната рамка е проверена към 5 ноември 2026

Накратко: **NIS2 проверката** е безплатен инструмент на NodePoint. С 8 въпроса за вида организация, сектора и размера тя показва дали фирмата Ви вероятно попада под Закона за киберсигурност и дали е съществен или важен субект, с членовете от закона. Втората част оценява колко сте готови по мерките от чл. 21–23 и дава личен план по приоритети. Не е нужна регистрация и не се събират лични данни.

Резултатът е ориентировъчен и не е правна консултация. Кой е съществен или важен субект определя компетентният орган по методика на Министерския съвет (чл. 16, ал. 3, т. 8 ЗКС).

Интерактивна проверка: https://nodepoint.bg/nis2/proverka/ (работи и без JavaScript)

## Кой попада под Закона за киберсигурност?

Под Закона за киберсигурност попадат публичните и частните организации от видовете субекти в приложения I и II към закона, които са поне средни предприятия, плюс някои организации независимо от размера (чл. 4 ЗКС). Решават три неща: видът организация, секторът с вида дейност и размерът.

- **Размер.** Поне средно е предприятие с 50 или повече служители, или с годишен оборот **и** активи над 10 млн. € (чл. 3 ЗМСП, в сила от 01.01.2026 г.). Голямо е при 250 или повече служители, или при оборот над 50 млн. € **и** активи над 43 млн. €. Данните на свързаните и партньорските предприятия се добавят (чл. 4г ЗМСП). За държавните и общинските дружества важат същите прагове, защото изключението на чл. 4, ал. 9 ЗМСП не се прилага (чл. 4, т. 2 ЗКС).
- **Независимо от размера** в обхвата са административните органи — министерства, агенции, областни администрации, кметовете и общинските администрации (чл. 4, т. 1), доставчиците на обществени електронни съобщителни мрежи и услуги, удостоверителните услуги, регистрите на домейни от първо ниво и доставчиците на DNS (чл. 4, т. 3, б. „а“–„в“), регистраторите на домейни и техните агенти и препродавачи (чл. 4, т. 5; § 3, т. 29а ДР), критичните субекти (чл. 4, т. 4) и органите на съдебната власт (чл. 4, т. 9). Малка фирма може да бъде включена и ако е единствен доставчик на съществена услуга или ако прекъсването ѝ би засегнало безопасността или здравето (чл. 4, т. 3, б. „г“–„ж“). Това обаче го преценява компетентният орган.
- **Съществен или важен.** Съществени са големите предприятия от приложение I, административните органи, доставчиците на DNS, регистрите на домейни от първо ниво, квалифицираните удостоверителни услуги, средните и големите доставчици на електронни съобщения, критичните субекти и досегашните оператори на съществени услуги (чл. 4а, ал. 1). Всички останали в обхвата са важни субекти (чл. 4а, ал. 2). Задълженията са едни и същи. Разликата е в надзора и в размера на санкциите.

**Важно за доставчиците:** фирма извън обхвата също може да получи изисквания. Клиентите ѝ в обхвата трябва да оценяват сигурността на преките си доставчици (чл. 22, ал. 2, т. 4 и ал. 3).

**Неясен случай — храните:** директивата обхваща само търговията на едро, промишленото производство и преработката на храни. Българският закон препраща към общото определение за предприятие за храни. Затова за поне средните магазини и заведения проверката показва „индивидуална проверка“, а не категория. Малките са извън обхвата и при двете тълкувания (чл. 4, т. 2).

**DNS при хостинг и интернет доставчиците:** доставчик на DNS услуги е и този, който поддържа авторитетен DNS за домейните на клиенти или публичен рекурсивен DNS (§ 3, т. 5 ДР). Тогава фирмата е съществен субект независимо от размера (чл. 4а, ал. 1, т. 2), затова проверката пита за това отделно.

## Кои сектори обхваща Законът за киберсигурност?

Законът обхваща 17 сектора: 10 в приложение I (сектори с висока критичност) и 7 в приложение II (други критични сектори). Във всеки сектор в обхвата са само изброените видове субекти, а не всички фирми в него.

| Приложение I — сектори с висока критичност | Приложение II — други критични сектори |
| --- | --- |
| 1. Енергетика (електроенергия, районно отопление и охлаждане, нефт, природен газ, водород) | 1. Пощенски и куриерски услуги |
| 2. Транспорт (въздушен, железопътен, воден, автомобилен) | 2. Управление на отпадъците |
| 3. Банков сектор (кредитни институции) | 3. Производство, изготвяне и дистрибуция на химикали |
| 4. Инфраструктури на финансовия пазар | 4. Производство, преработка и разпространение на храни |
| 5. Здравеопазване (доставчици на здравно обслужване, лаборатории, фармацевтика, критични медицински изделия) | 5. Производство (медицински изделия, компютри и електроника, електрически съоръжения, машини, моторни превозни средства, друго транспортно оборудване) |
| 6. Питейна вода | 6. Доставчици на цифрови услуги (онлайн места за търговия, търсачки, социални мрежи) |
| 7. Отпадъчни води | 7. Научни изследвания |
| 8. Цифрова инфраструктура (IXP, DNS, домейни от първо ниво, облак, центрове за данни, CDN, удостоверителни услуги, електронни съобщения) |  |
| 9. Управление на ИКТ услуги между предприятия (управлявани услуги и управлявани услуги за сигурност) |  |
| 10. Космическо пространство (наземна инфраструктура) |  |

Публичната администрация не е сектор в приложенията към българския закон. Административните органи са в обхвата пряко (чл. 4, т. 1) и са съществени субекти (чл. 4а, ал. 1, т. 4). Пълният списък с видовете субекти е в приложенията към закона.

## Как работи NIS2 проверката?

Проверката задава до 11 въпроса с готови отговори. Обичайният път е 8 въпроса. Логиката следва чл. 4 и 4а от Закона за киберсигурност и чл. 3–4г от Закона за малките и средните предприятия.

1. **Вид организация** — фирма, държавен или общински орган, съдебна власт, образователна или публична организация.
2. **Статут** — определени ли сте вече за оператор на съществени услуги или критичен субект.
3. **Сектор** — 17-те сектора от приложения I и II или „нито един“.
4. **Вид дейност** — изброените в закона видове субекти в избрания сектор.
5. **Група** — свързани и партньорски предприятия.
6. **Персонал** — средносписъчен брой.
7. **Оборот** — за последната приключена година.
8. **Активи** — балансовото число.

Хостинг, облачните, интернет и ИТ доставчиците получават допълнителен въпрос за DNS и регистрацията на домейни. Ако фирмата е малка, има допълнителен въпрос за особените критерии от чл. 4, т. 3. Ако е извън обхвата, последният въпрос е дали доставяте на организации в обхвата.

**Възможни резултати:** вероятно съществен субект · вероятно важен субект · вероятно не попадате, но сте във веригата на доставки · вероятно не попадате · нужна е индивидуална проверка. Последният се показва, когато отговорите не стигат или законът оставя решението на компетентния орган. Предпочитаме честен въпрос пред гадаене.

Всеки въпрос има отговор „Не знам“ с подсказка къде да намерите информацията. Под резултата са членовете, на които се основава.

## Какво следва след проверката?

Втората част, „Колко сте готови?“, оценява организацията по мерките от чл. 21–23: ръководство, обучение, анализ на риска, инциденти, резервни копия, достъп, доставчици и системи. Резултатът е оценка по групи („добре“, „частично“, „липсва“) и личен план: какво да направите сега, до 3 месеца и до 12 месеца. Можете да го отпечатате или да ни го изпратите като запитване. Първата консултация с NodePoint е безплатна.

Предпочитате да минем проверката заедно? [Заявете безплатен разговор](https://nodepoint.bg/uslugi/kibersigurnost-nis2/#zapitvane)

## Въпроси за NIS2 проверката

### Как да разбера дали фирмата ми попада под NIS2?

Фирмата попада под Закона за киберсигурност, ако е от вид субект в приложение I или II към закона и е поне средно предприятие, или ако попада в обхвата независимо от размера (чл. 4). Проверете сектора и вида дейност, после размера по чл. 3 от Закона за малките и средните предприятия. NIS2 проверката го прави с 8 въпроса.

### Коя фирма е средно предприятие за целите на NIS2?

Поне средно е предприятие с 50 или повече служители, или с годишен оборот и активи над 10 млн. € (чл. 3 ЗМСП, в сила от 01.01.2026 г.). Броят се данните за последната приключена година заедно със свързаните и партньорските предприятия (чл. 4г ЗМСП). Статусът се променя след две поредни години над или под праговете (чл. 4б ЗМСП).

### Каква е разликата между съществен и важен субект?

Задълженията са едни и същи, а разликата е в надзора и санкциите. Съществените субекти подлежат на планови и извънпланови проверки и одити (чл. 27ж, ал. 1) и на санкции до 10 млн. € или 2% от оборота. При важните надзорът е предимно последващ (чл. 27ж, ал. 2), а санкциите са до 7 млн. € или 1,4% (чл. 29).

### Обвързващ ли е резултатът от проверката?

Не. Резултатът е ориентировъчен и не е правна консултация. Съществените и важните субекти се определят от компетентните органи по методика на Министерския съвет (чл. 16, ал. 3, т. 8 ЗКС). Към 5 ноември 2026 методиката още не е приета. Задълженията по чл. 21–23 обаче се прилагат от 17 февруари 2026 г.

### Трябва ли да се регистрирам сам, ако попадам под закона?

Повечето организации не подават заявление сами, защото ги определя компетентният орган (§ 48 ПЗР ЗКС). Изключение са цифровите доставчици: DNS, регистри и регистратори на домейни, облак, центрове за данни, CDN, управлявани услуги, онлайн места за търговия, търсачки и социални мрежи. Те подават данни сами до два месеца (чл. 6, ал. 2).

### Фирмата ми не попада под закона. Трябва ли да правя нещо?

Не по закон, но ако доставяте на организации в обхвата, те ще изискват мерки от Вас. Законът ги задължава да оценяват сигурността на преките си доставчици (чл. 22, ал. 2, т. 4 и ал. 3). Втората част на проверката показва кои мерки се искат най-често.

### Какво става с отговорите ми?

NodePoint не ги събира и не ги изпраща никъде. Когато JavaScript е включен, проверката работи изцяло в браузъра Ви, а отговорите стоят само в адреса на страницата. Без JavaScript всяка стъпка се зарежда от сървъра и, както всяко посещение, попада в техническите журнали на сървъра, без име и без връзка с Вас. Запитване изпращате само ако сами попълните формата.

## Правна рамка и източници

**Правната рамка е проверена към 5 ноември 2026.** Законът се прилага от 17 февруари 2026 г. без преходен период. Министерският съвет още не е определил секторните компетентни органи и не е приел методиката за определяне на съществените и важните субекти (§ 47, т. 1 ПЗР, срок 17 август 2026 г.). Когато това стане, проверката ще бъде обновена.

- Закон за киберсигурност — консолидиран текст с изм. ДВ, бр. 17 и бр. 55 от 2026 г. (PDF, Комисия за регулиране на съобщенията): [https://crc.bg/files/2026 ПРАВНА/ЗАКОН ЗА КИБЕРСИГУРНОСТ.pdf](https://crc.bg/files/2026%20ПРАВНА/ЗАКОН%20ЗА%20КИБЕРСИГУРНОСТ.pdf)
- Закон за изменение и допълнение на Закона за киберсигурност, ДВ, бр. 17 от 13.02.2026 г.: [https://dv.parliament.bg/DVWeb/showMaterialDV.jsp?idMat=241234](https://dv.parliament.bg/DVWeb/showMaterialDV.jsp?idMat=241234)
- Закон за малките и средните предприятия, чл. 3–4г (ред. ДВ, бр. 70 от 2024 г., в сила от 01.01.2026 г.): [https://www.lex.bg/laws/ldoc/2134682112](https://www.lex.bg/laws/ldoc/2134682112)
- Директива (ЕС) 2022/2555 (NIS2): [https://eur-lex.europa.eu/eli/dir/2022/2555/oj](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
- Препоръка 2003/361/ЕО на Комисията за определението на микро-, малки и средни предприятия: [https://eur-lex.europa.eu/eli/reco/2003/361/oj](https://eur-lex.europa.eu/eli/reco/2003/361/oj)
- Регламент за изпълнение (ЕС) 2024/2690 (цифрови доставчици): [https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj](https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj)
- Министерство на иновациите и дигиталната трансформация — законодателна рамка за киберсигурността: [https://midt.gov.bg/bg/digital-transformation/cybersecurity/laws](https://midt.gov.bg/bg/digital-transformation/cybersecurity/laws)

**Още по темата:** [Ръководство „NIS2 и Законът за киберсигурност“](https://nodepoint.bg/nis2/) · [Киберсигурност и NIS2 за фирми](https://nodepoint.bg/uslugi/kibersigurnost-nis2/) · [Sentinel — обучение на служителите](https://nodepoint.bg/sentinel/)

Автор: [Тодор Карачорбаджиев](https://nodepoint.bg/za-nas/#ekspert), управител на NodePoint — Правната рамка е проверена към 5 ноември 2026 — Обновено на 5 ноември 2026