NIS2 в България — какво трябва да знае всеки бизнес

България транспонира Директива NIS2 с изменения в Закона за киберсигурност, обнародвани в ДВ бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. От 1 юни 2026 г. действа пълният санкционен режим — глоби до €10 милиона, лична отговорност на ръководството и обхват, който по публични оценки покрива между 10 000 и 12 000 организации. В тази статия — актуализирана към август 2026 г. — разглеждаме кой попада, какво изисква законът и какво да направите сега.

Какво е NIS2

NIS2 (Директива (ЕС) 2022/2555) е европейската директива за мрежова и информационна сигурност. Тя задължава средните и големите предприятия в 18 сектора да прилагат мерки за киберсигурност, да докладват значими инциденти и носи лична отговорност за ръководството. В България е транспонирана със Закона за киберсигурност, в сила от 17 февруари 2026 г.

NIS2 заменя първата NIS директива от 2016 г. (Directive 2016/1148), която вече не отговаряше на нарастващите киберзаплахи в ЕС.

Основните разлики спрямо NIS1:

• Разширен обхват — от 7 на 18 сектора, покриващи значително по-голяма част от икономиката
• Хармонизирани санкции — минимални прагове на глобите, подобни на GDPR модела
• Лична отговорност — ръководителите лично отговарят за неспазване
• Разграничение essential/important — два типа субекти с различен надзорен режим
• По-строги изисквания за докладване — тристепенна процедура при инциденти
• Сигурност на веригата за доставки — изрично задължение за оценка на доставчици

Кога NIS2 влезе в сила в България?

NIS2 е транспонирана със Закон за изменение и допълнение на Закона за киберсигурност, обнародван в ДВ бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. Няма преходен период за задълженията. Единственото облекчение — 50% намалени санкции за нарушения, извършени до 1 юни 2026 г. — вече е история: от тази дата действа пълният санкционен режим.

Транспонирането закъсня значително. Ето хронологията:

• 16 януари 2023 г. — NIS2 влиза в сила на ниво ЕС
• 17 октомври 2024 г. — краен срок за транспониране. България пропуска срока
• Ноември 2024 г. — Европейската комисия стартира наказателна процедура срещу България и още 22 държави-членки
• Май 2025 г. — ЕК изпраща мотивирано становище, което е последната стъпка преди завеждане на дело пред Съда на ЕС
• 5 февруари 2026 г. — Народното събрание приема на второ четене измененията в Закона за киберсигурност
• 13 февруари 2026 г. — законът е обнародван в Държавен вестник, бр. 17
• 17 февруари 2026 г. — измененията влизат в сила
• 1 юни 2026 г. — изтича режимът на намалените с 50% санкции; оттогава се прилага пълният санкционен режим

По публични оценки между 10 000 и 12 000 организации в България попадат в обхвата на NIS2 — многократно повече от операторите на съществени услуги по старата NIS1.

Кои компании попадат в обхвата на NIS2 в България?

В обхвата попадат средните и големите предприятия (50+ служители или €10M+ годишен оборот) от 18 сектора — 11 с висока критичност по Приложение I и 7 други критични по Приложение II. Класификацията като съществен или важен субект зависи и от размера: големите предприятия от Приложение I по правило са съществени, средните — важни.

Праг по размер на предприятието

По общото правило NIS2 покрива средни и големи предприятия:

• 50+ служители, или
• €10M+ годишен оборот

Изключение: някои категории попадат независимо от размера — например доставчици на DNS услуги, регистри на TLD домейни и доставчици на квалифицирани удостоверителни услуги, както и определени административни органи.

Съществен или важен субект?

Двете категории носят еднакви задължения по същество — разликата е в режима на надзор (проактивен за съществените, реактивен за важните) и в тавана на санкциите. Опростено:

• Съществени — големите предприятия от секторите с висока критичност (Приложение I), плюс категориите без праг за размер (DNS, TLD, квалифицирани удостоверителни услуги, определени административни органи и оператори на критична инфраструктура)
• Важни — останалите субекти в обхвата: средните предприятия от Приложение I и средните и големите от Приложение II

Окончателното определяне на статута прави съответният национален компетентен орган по методика на Министерския съвет (виж статуса към август 2026 г.).

18-те сектора

Какви са 10-те задължителни мерки по чл. 21 от NIS2?

Всеки субект в обхвата трябва да приложи 10 мерки за управление на рисковете: политики за анализ на риска, управление на инциденти, непрекъсваемост на дейността, сигурност на веригата за доставки, сигурна разработка, оценка на ефективността, киберхигиена и обучения, криптография, сигурност на човешките ресурси и контрол на достъпа, и многофакторно удостоверяване.

Член 21 от NIS2 (транспониран в Закона за киберсигурност) определя мерките така:

1. Политики за анализ на риска и сигурност на информационните системи

   Организациите трябва да разработят и поддържат актуални политики за оценка на риска, базирани на систематичен анализ на заплахите за информационните системи. Това включва методология за оценка на риска, рисков регистър и план за третиране на рисковете.

   чл. 21(2)(а) NIS2

2. Управление на инциденти

   Процедури за предотвратяване, откриване, анализиране и реагиране на инциденти, свързани с киберсигурността. Включва план за реагиране при инциденти, екип за реагиране, процедури за ескалация и документиране.

   чл. 21(2)(б) NIS2

3. Непрекъсваемост на дейността и управление на кризи

   Планове за непрекъсваемост на бизнеса (BCP), управление на резервни копия, възстановяване след бедствие (DRP) и управление на кризи. Организацията трябва да може да продължи да функционира по време и след киберинцидент.

   чл. 21(2)(в) NIS2

4. Сигурност на веригата за доставки

   Оценка на рисковете от доставчици и подизпълнители, включително рискове, свързани с конкретни ИКТ продукти и услуги. Организациите трябва да включат изисквания за киберсигурност в договорите с доставчици.

   чл. 21(2)(г) NIS2

5. Сигурност при придобиване, разработка и поддръжка на мрежови и информационни системи

   Включително обработка и оповестяване на уязвимости. Организациите трябва да прилагат сигурност по проект (security by design) при разработка и внедряване на системи.

   чл. 21(2)(д) NIS2

6. Политики и процедури за оценяване на ефективността на мерките за управление на рисковете

   Редовни одити, тестове за проникване (penetration testing), оценки на уязвимости и вътрешни прегледи на ефективността на приложените мерки за киберсигурност.

   чл. 21(2)(е) NIS2

7. Основни практики за кибернетична хигиена и обучение по киберсигурност

   Програми за повишаване на осведомеността на персонала, редовни обучения за разпознаване на фишинг, социално инженерство и други заплахи. В България: задължително обучение на ръководството на всеки 2 години.

   чл. 21(2)(ж) NIS2

8. Политики и процедури за използване на криптография и криптиране

   Определяне кога и как да се използва криптиране за защита на данни в покой и при пренос, управление на криптографски ключове, политики за алгоритми и дължини на ключове.

   чл. 21(2)(з) NIS2

9. Сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи

   Контрол на достъпа на база принципа за минимални привилегии, управление на идентичности, инвентаризация на активи, политики при назначаване и освобождаване на служители и процедури за достъп.

   чл. 21(2)(и) NIS2

10. Многофакторно удостоверяване и защитени комуникации

    Използване на многофакторно удостоверяване (MFA) или непрекъснато удостоверяване, защитени гласови, видео и текстови комуникации, и защитени системи за комуникация при извънредни ситуации.

    чл. 21(2)(й) NIS2

Как се докладват инциденти по NIS2 в България?

Значимите инциденти се докладват на три стъпки до съответния секторен екип за реагиране при инциденти с компютърната сигурност (СЕРИКС): ранно предупреждение до 24 часа от установяването, уведомление с първоначална оценка до 72 часа и финален доклад до 1 месец. Ако инцидентът засяга и лични данни, паралелно тече 72-часовото уведомление до КЗЛД по GDPR.

Тристепенната процедура изглежда така:

Кога инцидентът е „значим"?

Инцидент се счита за значим, когато:

• Е причинил или може да причини сериозно нарушение на услугите или финансови загуби за субекта
• Е засегнал или може да засегне други физически или юридически лица чрез причиняване на значителни материални или нематериални щети

Двойно докладване: NIS2 + GDPR

Когато киберинцидент засяга и лични данни, организацията трябва да докладва по двата режима паралелно:

Каква е личната отговорност на ръководството по NIS2?

Ръководството одобрява мерките за киберсигурност, контролира прилагането им и отговаря лично за неспазване — с глоби от €500 до €5 000 и възможност за временно отстраняване от длъжност при системни нарушения. В България ръководителите са длъжни и да преминават обучение по киберсигурност на всеки две години.

Член 20 от директивата (транспониран в Закона за киберсигурност) изисква:

• Ръководството одобрява мерките за управление на рисковете за киберсигурност по чл. 21
• Ръководството носи лична отговорност за неспазване на задълженията
• Ръководството преминава обучение по киберсигурност — в България: задължително на всеки 2 години (по-строго от директивата)
• Ръководството трябва да осигури обучение и на служителите за идентифициране на рискове

Какви са глобите по NIS2 в България?

За съществени субекти — до €10 000 000 или 2% от глобалния годишен оборот (по-високото), с минимум €25 000. За важни субекти — до €7 000 000 или 1,4% от оборота, с минимум €12 500. Ръководителите отговарят лично с €500 — €5 000. От 1 юни 2026 г. санкциите се налагат в пълен размер, без намалението от 50%.

Българският Закон за киберсигурност предвижда:

Допълнителни санкционни механизми:

• Неизпълнение на задължително предписание — имуществена санкция от €2 500 до €12 000, а при повторно нарушение — от €5 000 до €25 000
• Ежедневни санкции — при продължаващо неизпълнение, глобата може да се начислява за всеки ден, докато нарушението не бъде отстранено
• Временно спиране на дейност — за съществени субекти, надзорният орган може да разпореди временно спиране или ограничаване на услугите
• Публично оповестяване — надзорният орган може да публикува информация за нарушителите
• Отстраняване на ръководство — виж раздела за лична отговорност по-горе

Какво се случи след февруари 2026 г. — статус към август 2026

Към 14 август 2026 г. законът действа в пълна сила: гратисният режим на намалените санкции изтече на 1 юни 2026 г., а подзаконовата рамка — методиката за идентифициране на субектите и актуализираната наредба за минималните мерки — все още се доизгражда. Задълженията по чл. 21 обаче не зависят от нея и важат от 17 февруари 2026 г.

• 1 юни 2026 г. — край на намалените санкции. За нарушения след тази дата глобите се налагат в пълен размер.
• Методика за идентифициране на субектите — приема се от Министерския съвет; по нея националните компетентни органи по сектори определят конкретните съществени и важни субекти и ги съобщават на министъра на електронното управление. По публично достъпната информация към средата на август 2026 г. методиката все още не е обнародвана.
• Регистър на субектите — министърът на електронното управление създава и поддържа непубличен регистър на съществените и важните субекти. Вписаните субекти уведомяват МЕУ за всяка промяна в данните (наименование, адрес, контакти) в двуседмичен срок.
• Наредба за минималните изисквания — актуализацията на наредбата, определяща минималния обхват на мерките, се очаква до октомври 2026 г. (8 месеца от влизането в сила на закона). Тя ще конкретизира техническите изисквания.
• Надзорна архитектура — Министерството на електронното управление (МЕУ) е водещият орган; секторни национални компетентни органи упражняват надзор в своите области, ДАНС има правомощия за стратегическите обекти, а инцидентите се докладват до съответния СЕРИКС. Актуална информация публикува Изпълнителна агенция „Инфраструктура на електронното управление".

Какво добавя българският закон отвъд директивата?

Българският закон конкретизира директивата в няколко точки: задължително обучение на ръководството на всеки две години, двуседмичен срок за уведомяване при промяна на регистрираните данни, непубличен регистър при МЕУ и секторна архитектура с национални компетентни органи и СЕРИКС екипи.

1. Задължително обучение на ръководството на всеки 2 години

   Директивата изисква обучение на ръководството, без да конкретизира периодичност. Българският закон (чл. 21) изисква обучение не по-рядко от веднъж на две години, а ръководството организира и обучението на служителите. Неизпълнението носи лична глоба от €500 до €5 000.

2. Двуседмичен срок за регистрационни промени

   При промяна на вписани обстоятелства (наименование, адрес, актуални данни за контакт), субектите уведомяват МЕУ в срок от две седмици (чл. 6). Директивата не поставя такъв конкретен срок.

3. Непубличен национален регистър

   Регистърът на съществените и важните субекти се води от министъра на електронното управление и не е публичен — статутът на конкретна организация не може да се провери свободно онлайн, което прави собствената преценка още по-важна.

4. Секторни компетентни органи и СЕРИКС

   Надзорът е разпределен между секторни национални компетентни органи, а докладването на инциденти минава през секторните екипи за реагиране при инциденти с компютърната сигурност (СЕРИКС). За стратегическите обекти правомощия има и ДАНС.

Каква е разликата между NIS2 и GDPR?

GDPR защитава личните данни и важи за всеки, който ги обработва; NIS2 защитава мрежите и информационните системи на 18 критични сектора. GDPR се надзирава от КЗЛД, NIS2 — от МЕУ и секторните компетентни органи. Двата режима се допълват: киберинцидент с лични данни се докладва и по двата.

Ето подробното сравнение:

Какво да направите сега — 7 стъпки към август 2026 г.

Пълният санкционен режим вече действа, затова редът е: определете статута си сами, направете анализ на пропуските спрямо 10-те мерки, ангажирайте ръководството (и планирайте обучението му), изградете процедурата за 24/72-часово докладване до СЕРИКС и внедрете техническите мерки — без да чакате методиката или уведомление от компетентен орган.

1. Определете дали попадате в обхвата

   Проверете дали вашият сектор е сред 18-те, покрити от NIS2, и дали отговаряте на критерия за размер (50+ служители или €10M+ оборот). Определете дали сте съществен или важен субект. Не чакайте официално уведомление — регистърът не е публичен, а задълженията вече действат.

2. Направете анализ на пропуските

   Оценете текущото си ниво на съответствие спрямо 10-те мерки по чл. 21. Идентифицирайте пропуските (gaps) и приоритизирайте ги по ниво на риск. Ако вече сте в съответствие с GDPR, голяма част от организационните мерки вероятно са налице. Направете цялостен одит, който покрива и двата режима.

3. Осигурете ангажимент на ръководството

   Информирайте борда/управителите за личната им отговорност по NIS2. Осигурете бюджет за киберсигурност. Планирайте задължителното обучение на ръководството (в България — на всеки 2 години). Без ангажимент „отгоре" NIS2 проектът е обречен.

4. Разработете план за действие

   На база анализа на пропуските създайте конкретен план с отговорници, срокове и бюджет. Приоритизирайте: управление на инциденти и докладване (правилото за 24 часа), оценка на риска, сигурност на веригата за доставки. Гратисният период изтече на 1 юни 2026 г. — всяко забавяне вече носи пълния санкционен риск.

5. Внедрете технически мерки

   Многофакторно удостоверяване (MFA) за всички критични системи. Криптиране на данни в покой и при пренос. Система за управление на уязвимости. Планове за непрекъсваемост и възстановяване (BCP/DRP). Мрежова сегментация и мониторинг. Провеждане на тестове за проникване (penetration testing).

6. Създайте процедура за докладване на инциденти

   Изградете единна процедура, която покрива и NIS2 (24 часа / 72 часа / 1 месец до СЕРИКС), и GDPR (72h до КЗЛД). Определете екип за реагиране. Тествайте процедурата с настолни симулации (tabletop exercises). Осигурете 24/7 канал за докладване.

7. Документирайте и поддържайте

   Съответствието с NIS2 не е еднократен проект. Документирайте всички политики, процедури и обучения. Провеждайте регулярни одити и тестове. Актуализирайте оценката на риска при промяна на заплахите или бизнес средата. Поддържайте регистър на инцидентите и предприетите мерки и следете предстоящата наредба за минималните изисквания (очаквана до октомври 2026 г.).

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и сигнализиране за нередности (whistleblowing). Заедно консултират над 90 компании за пълно GDPR съответствие.