NIS 2: България, чл. 22 от Закона за киберсигурност

За кого се отнася?

Предишен режим: Законът за киберсигурност в редакцията му от 2018 г. (ДВ, бр. 94 от 13 ноември 2018 г.); определените като оператори на съществени услуги към датата на влизане в сила на закона са съществени субекти (чл. 4а, ал. 1, т. 7). За субектите от видовете, посочени в приложение I или II, критерият за размер е този на директивата, приложен чрез Закона за малките и средните предприятия: в обхвата са средните предприятия и тези, които надхвърлят горната граница за средни предприятия, а чл. 4, ал. 9 от същия закон не се прилага (чл. 4, т. 2). При изчисляването на данните се взема предвид дали предприятието е независимо, предприятие партньор или свързано предприятие (чл. 4, ал. 1 от Закона за малките и средните предприятия). В обхвата са и органите на съдебната власт (чл. 4, т. 9), както и лицата, осъществяващи публични функции, и организациите, предоставящи обществени услуги, които не са съществени или важни субекти на друго основание, когато предоставят административни услуги по електронен път (чл. 4, т. 7 и 8). Субектите се считат за попадащи под юрисдикцията на държавата, в която са установени; доставчиците на DNS услуги, на компютърни услуги в облак, на услуги на центрове за данни, на управлявани услуги и на управлявани услуги за сигурност, наред с други, попадат под юрисдикцията на държавата членка, в която се намира основното им място на установяване в Европейския съюз (чл. 27а, ал. 1).

Често задавани въпроси

В сила ли е NIS 2 в България?

Да, от 17 февруари 2026 г. Законът за изменение и допълнение на Закона за киберсигурност е обнародван в „Държавен вестник“, бр. 17 от 13 февруари 2026 г., и не определя срок за влизането си в сила, поради което е в сила три дни след обнародването му (чл. 5, ал. 5 от Конституцията). Датата не е 13 февруари: това е денят на обнародването. Европейската комисия закри процедурата за нарушение срещу България на 1 октомври 2026 г.

Трябва ли субектът да се регистрира сам?

Не. Законът не предвижда субектът сам да се регистрира и не определя срок за това. Националните компетентни органи определят съществените и важните субекти съгласно чл. 4а в съответствие с методика, приета от Министерския съвет, и уведомяват министъра на иновациите и дигиталната трансформация, който създава, води и поддържа регистър на субектите по чл. 4 и 4а; регистърът не е публичен (чл. 16, ал. 3, т. 8; чл. 6, ал. 1 и 5). Това, което дължите, е да уведомявате съответния национален компетентен орган по чл. 16 за всяка настъпила промяна в данните, в срок до две седмици от датата на промяната (чл. 6, ал. 3), а ако сте сред доставчиците по чл. 6, ал. 2, да предоставите адресите на местата си на установяване в Европейския съюз до два месеца от възникването им. Законът възлага на Министерския съвет да определи с решение административните органи по чл. 16, ал. 1 и да приеме методиката (§ 47, т. 1). Reglyze не разполага нито с решението, нито с методиката.

До кого и в какви срокове се уведомява за значителен инцидент?

До секторния екип за реагиране при инциденти с компютърната сигурност (СЕРИКС), създаден към вашия национален компетентен орган, и само до него (чл. 23, ал. 1; чл. 18, ал. 1): законът не запазва алтернативата на директивата, компетентния орган. Ранното предупреждение се подава до 24 часа, а уведомлението за инцидент до 72 часа след установяването на значителния инцидент, като за доставчиците на удостоверителни услуги срокът е 24 часа; следва окончателен доклад не по-късно от един месец след подаването на уведомлението за инцидента (чл. 23, ал. 5). Законът не определя какво е установяване на инцидента, а директивата брои от узнаването. Reglyze брои двата срока от откриването на инцидента, което никога не дава по-късен срок от този по закона. Образецът на уведомлението е по наредбите по чл. 3, а тази страница не посочва канал за подаване. Значителен инцидент е инцидент, който е причинил или е в състояние да причини сериозно оперативно смущение в услугите или финансова загуба за засегнатия субект, или е засегнал, или е в състояние да засегне други физически или юридически лица, причинявайки значителни материални или нематериални вреди (§ 3, т. 57 от допълнителните разпоредби).

Кой е компетентният орган по NIS 2 в България?

Националните компетентни органи по киберсигурност (НКО) са няколко. Министерският съвет определя с решение административните органи, които изпълняват функциите на национални компетентни органи по киберсигурност за секторите и услугите, посочени в приложения I и II, когато такива не са създадени със специален закон (чл. 16, ал. 1). Самите закони посочват три органа. За всички административни органи, както и за лицата и организациите по чл. 4, т. 7 и 8, национален компетентен орган е Министерството на иновациите и дигиталната трансформация (чл. 16, ал. 2); към него е Националното единно звено за контакт (чл. 17, ал. 1). За доставчиците на обществени електронни съобщителни мрежи или услуги, доставчиците на удостоверителни услуги и пощенските и куриерските услуги национален компетентен орган е Комисията за регулиране на съобщенията (чл. 21, ал. 6 от Закона за електронните съобщения), а за органите на съдебната власт е Висшият съдебен съвет (чл. 30, ал. 2, т. 24 от Закона за съдебната власт). Reglyze не разполага с решението, с което се определят останалите секторни органи. Националните компетентни органи не получават уведомленията за инциденти: субектите уведомяват СЕРИКС (чл. 23, ал. 1).

Колко често членовете на управителните органи преминават през обучение?

На всеки две години. Членовете на управителните органи на съществените и важните субекти са длъжни на всеки две години да преминават през обучение за придобиване на достатъчно познания и умения, което да им позволи да идентифицират рискове и да оценяват практиките за управление на риска в областта на киберсигурността и тяхното въздействие върху услугите, предоставяни от субекта (чл. 21, ал. 2), докато директивата изисква това да става редовно, без да определя срок. Те са длъжни да предлагат и организират обученията и за своите служители (чл. 21, ал. 3), докато директивата само насърчава това. Управителните органи на съществените и важните субекти и административните органи одобряват мерките за управление на риска в областта на киберсигурността и следят за прилагането им (чл. 21, ал. 1).

В обхвата ли е малко ИТ дружество?

Зависи от това какво предоставя. Доставчиците на удостоверителни услуги, доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво и доставчиците на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги са в обхвата независимо от размера на предприятието (чл. 4, т. 3), както и субектите, предоставящи услуги за регистрация на имена на домейни (чл. 4, т. 5). Доставчиците на компютърни услуги в облак, на услуги на центрове за данни, на управлявани услуги и на управлявани услуги за сигурност са в обхвата, когато са средни предприятия или надхвърлят горната граница за средни предприятия (чл. 4, т. 2); при изчисляването на данните по Закона за малките и средните предприятия се взема предвид дали предприятието е независимо, предприятие партньор или свързано предприятие (чл. 4, ал. 1 от същия закон). По-малък доставчик на такива услуги е извън обхвата, освен ако не е установен като субект по чл. 4, т. 3, букви „г“ до „ж“, например като единствен доставчик на услуга, която е от съществено значение за поддържането на критични обществени и икономически дейности. Доставчик извън обхвата пак се среща със закона чрез клиентите си: техните мерки включват свързани със сигурността аспекти относно взаимовръзките между всеки субект и неговите преки снабдители или доставчици на услуги (чл. 22, ал. 2, т. 4).

Кой осъществява контрола за спазване на закона?

Контролът за спазване на изискванията по закона се осъществява от националните компетентни органи по чл. 16, Министерството на отбраната, Министерството на вътрешните работи и Държавна агенция „Национална сигурност“ (чл. 27е, ал. 1). По отношение на съществените субекти тези органи имат право да извършват проверки, планови и извънпланови, на място или дистанционни, а по отношение на важните субекти да извършват проверки на място и последващ дистанционен надзор (чл. 27ж, ал. 1 и 2). Когато съществен субект, който не е административен орган, не предприеме определените му действия, националният компетентен орган може да изиска от съд или от друг държавен орган налагането на временна забрана спрямо всяко физическо лице, изпълняващо управленски функции, или законен представител на съществен субект да упражнява управленски функции в него (чл. 27к, ал. 2 и 4). Всяко физическо лице, отговорно за съществен или важен субект или действащо като негов законен представител, има необходимите правомощия, за да осигури спазването на закона, и може да бъде подведено под отговорност за неизпълнението на своите задължения (чл. 27к, ал. 5).

Как Reglyze помага на организация в България?

Reglyze оценява българските организации по изискванията на Директивата NIS 2 и изготвя документи, които посочват Закона за киберсигурност, неговите срокове и СЕРИКС като получател на уведомленията за инциденти. Сроковете за уведомяване се броят от откриването на инцидента. Reglyze не предлага оценка по наредбите по чл. 3: Reglyze не разполага с нито една от двете наредби във версия, приведена в съответствие със закона. Определянето на обхвата в Reglyze следва критериите на директивата и прилага правилото на Закона за киберсигурност за административните органи: ако посочите публична администрация на централно, регионално или местно равнище, резултатът е съществен субект, защото законът счита всеки административен орган за съществен субект, без условие за размер (чл. 4а, ал. 1, т. 4). Въпросникът няма отделен отговор за органите на съдебната власт (чл. 4, т. 9) и за лицата и организациите по чл. 4, т. 7 и 8.

• Държавен вестник, бр. 17 от 13 февруари 2026 г.: Закон за изменение и допълнение на Закона за киберсигурност
  Ниво 1
• Държавен вестник, бр. 94 от 13 ноември 2018 г.: Закон за киберсигурност, първоначалният текст
  Ниво 1
• EUR-Lex: националната мярка за транспониране на Директива (ЕС) 2022/2555, съобщена от България
  Ниво 1
• Министерство на иновациите и дигиталната трансформация: съобщение от 1 октомври 2026 г. за уведомяването за пълното транспониране и за закриването на процедурата за нарушение
  Ниво 1

Последна проверка: 2026-11-05 · следващата проверка е планирана след 2026-11-17.