NIS2 и националният закон за въвеждане в България: какво трябва да знаете
Как Директива NIS2 се свързва с българския закон
Директива (ЕС) 2022/2555 (NIS2) е европейската рамка, която задава общите изисквания за високо ниво на киберсигурност в целия Съюз. Директивите обаче не действат пряко — всяка държава членка ги въвежда в националното си законодателство.
В България това въвеждане се извършва чрез Закона за киберсигурност (ЗКС). Той е актът, който урежда конкретните права, задължения и санкции, приложими за организациите на българска територия.
Съгласно чл. 1 от ЗКС законът урежда дейностите по:
- организацията, управлението и контрола на киберсигурността, координацията и сътрудничеството в областта на киберотбраната и противодействието на киберпрестъпността;
- предприемане на необходимите мерки за постигане на високо общо ниво на киберсигурност в Република България.
С други думи: NIS2 задава посоката, а ЗКС е задължителният за спазване текст в България.
Кой е компетентният орган в България
За разлика от някои държави с един централен регулатор, в България структурата е многослойна.
Съгласно чл. 16 от ЗКС:
- Министерският съвет определя с решение административните органи, които изпълняват функциите на национални компетентни органи по киберсигурност за секторите и услугите по приложения I и II, когато такива не са създадени със специален закон.
- Национален компетентен орган за всички административни органи е Министерството на иновациите и дигиталната трансформация.
Националните компетентни органи координират и контролират изпълнението на задачите по киберсигурност, оценяват дали съществените и важните субекти изпълняват задълженията си по глава втора и предприемат мерки при неизпълнение.
При инциденти уведомлението се подава към СЕРИКС — секторния екип за реагиране при инциденти с компютърната сигурност (чл. 23, ал. 1).
Съществени и важни субекти: към коя категория спадате
ЗКС разграничава два основни статута, които определят интензивността на задълженията и надзора (чл. 4а):
- съществен субект — включва субекти от видовете по приложение I, които надхвърлят горната граница за средни предприятия по чл. 3, ал. 1 от Закона за малките и средните предприятия; доставчици на квалифицирани удостоверителни услуги и регистри на имена на домейни от първо ниво, както и доставчици на DNS услуги, независимо от размера; и други категории, изрично посочени в закона.
- важен субект — субектите от видовете по приложение I или II, които не отговарят на критериите за съществени субекти по ал. 1.
Правилното класифициране е първата стъпка, тъй като от нея зависят приложимите санкции и надзорният режим.
Какво добавя ЗКС над директивата
Освен че пренася изискванията на NIS2, ЗКС ги конкретизира с национални правила, срокове и санкции.
Мерки за управление на риска (чл. 22) — съществените и важните субекти предприемат подходящи и пропорционални технически, оперативни и организационни мерки, основани на подход, обхващащ всички опасности. Мерките включват, наред с другото:
- политики за анализ на риска и сигурност на информационните системи;
- действия при инцидент;
- непрекъснатост на стопанската дейност и управление на кризи;
- сигурност на веригата за доставка;
- основни киберхигиенни практики и обучение;
- многофакторно удостоверяване, когато е целесъобразно.
Уведомяване за значителен инцидент (чл. 23) — засегнатите субекти подават до СЕРИКС:
- до 24 часа — ранно предупреждение;
- до 72 часа — уведомление за инцидент (за доставчиците на удостоверителни услуги срокът е 24 часа);
- по искане — междинен доклад;
- окончателен доклад не по-късно от един месец след уведомлението.
Санкции (чл. 29) — при неизпълнение на задълженията по чл. 22 и 23:
| Субект | Санкция |
|---|---|
| Съществен субект | до 10 000 000 евро или до 2% от световния годишен оборот (по-високата сума), но не по-малко от 25 000 евро |
| Важен субект | до 7 000 000 евро или до 1,4% от световния годишен оборот (по-високата сума), но не по-малко от 12 500 евро |
При нарушение на чл. 21 на ръководителите и членовете на управителните органи се налага глоба от 500 до 5000 евро (чл. 29, ал. 4).
Компетентните органи разполагат и с изпълнителни правомощия (чл. 27и) — предупреждения, задължителни предписания, разпореждания за преустановяване на нарушения и др.
> Точните срокове и електронният канал за уведомяване се определят в наредбите по чл. 3. [ТÄPSUSTAB PARTNER-JURIST]
Често задавани въпроси
Какъв е българският закон, който въвежда NIS2?
Това е Законът за киберсигурност (ЗКС). Той пренася изискванията на Директива (ЕС) 2022/2555 в българското право и урежда мерките за постигане на високо общо ниво на киберсигурност в Република България (чл. 1).
Кой е компетентният орган по ЗКС?
Национални компетентни органи по киберсигурност се определят с решение на Министерския съвет за секторите по приложения I и II. За административните органи национален компетентен орган е Министерството на иновациите и дигиталната трансформация (чл. 16). Уведомленията за значителни инциденти се подават към СЕРИКС (чл. 23).
Каква е разликата между съществен и важен субект?
Съществените субекти (чл. 4а, ал. 1) включват по-големите организации от приложение I над горната граница за средни предприятия, както и определени доставчици независимо от размера. Важните субекти са тези от приложение I или II, които не отговарят на критериите за съществени. Статутът определя приложимите санкции и надзорния режим.
Колко бързо трябва да съобщя за инцидент?
Съгласно чл. 23 засегнатите субекти подават до СЕРИКС ранно предупреждение до 24 часа, уведомление за инцидент до 72 часа (при доставчиците на удостоверителни услуги — 24 часа) и окончателен доклад не по-късно от един месец. Конкретните канали се уреждат в наредбите по чл. 3.
Проверете съответствието си с NIS2
Стартирайте безплатния scoping тест
Направете безплатния gap анализ Направете безплатното повърхностно сканиране
Пълното ръководство за NIS2 — България →
Тази статия съдържа обща информация, а не правен съвет. Партньорски адвокат потвърждава вашата конкретна ситуация.