Попада ли фирмата ми под NIS2? Тест за малки и средни предприятия в България

Фирмата ви попада под NIS2, ако работи в сектор от приложение I или II към Закона за киберсигурност и е средно или голямо предприятие — с 50 или повече служители или с оборот и активи едновременно над 10 млн. евро. Някои доставчици и всички административни органи попадат независимо от размера.

Кои фирми попадат под NIS2 в България?

Под NIS2 попадат фирмите, които едновременно работят в сектор от приложение I или II към Закона за киберсигурност и надхвърлят прага за малко предприятие. Отделно законът обхваща определени доставчици независимо от размера, всички административни органи и критичните субекти. Категорията „съществен“ или „важен“ субект определя надзора и размера на санкциите.

Директива NIS2 (Директива (ЕС) 2022/2555) е въведена в българското право с изменения в Закона за киберсигурност, обнародвани в ДВ бр. 17 от 13 февруари 2026 г. и в сила от 17 февруари 2026 г. Обхватът е уреден в чл. 4 от закона, а разделянето на съществени и важни субекти — в чл. 4а. Цялостен преглед на задълженията, сроковете и санкциите ще намерите в статията ни NIS2 в България — какво трябва да знае всеки бизнес.

Тестът по-долу следва логиката на закона: сектор, размер, категории без праг за размер, съществен или важен субект и какво следва. Той е инструмент за първа преценка, а не окончателно определяне. Официално статутът се определя от секторния компетентен орган по методика на Министерския съвет, която, както към октомври 2026 г., не е публикувана.

Стъпка 1: Работи ли фирмата ви в сектор от приложенията към закона?

Първо проверете дали някоя от дейностите ви е описана в приложение I („сектори с висока критичност“) или в приложение II („други критични сектори“) към Закона за киберсигурност. Приложенията описват видовете субекти чрез препратки към секторни закони, регламенти на ЕС и икономически дейности. Ако нито една дейност не съвпада, по общото правило сте извън обхвата.

Стъпка 2: Средно или голямо предприятие ли сте?

Ако сте в сектор от приложенията, проверете размера. Както към октомври 2026 г. под закона попадат средните и големите предприятия: с 50 или повече служители или с годишен оборот и стойност на активите едновременно над 10 млн. евро. Прагът се изчислява по Закона за малките и средните предприятия, с данните за предходната година и с данните на свързаните предприятия.

Законът за киберсигурност (чл. 4, т. 2) препраща към критериите за средни предприятия в чл. 3, ал. 1 от Закона за малките и средните предприятия. От 1 януари 2026 г. праговете там са в евро и съвпадат с Препоръка 2003/361/ЕО на Европейската комисия:

Финансовото условие във всяка категория е „и/или“: достатъчно е или оборотът, или активите да са в границата. Затова фирма с под 50 служители остава малка, докато поне единият от двата финансови показателя е до 10 млн. евро. Голямо е предприятието с 250 или повече служители или с оборот над 50 млн. евро и едновременно активи над 43 млн. евро. Така тълкува критериите и Европейската комисия.

1. Брои се средносписъчният персонал

   Персоналът се преизчислява към пълна заетост. Включват се наетите, собствениците управители и съдружниците, които работят в предприятието срещу доход. Не се броят стажантите и учащите по договор за обучение, както и лицата в отпуск поради бременност и раждане, за отглеждане на дете до 2-годишна възраст или при осиновяване на дете до 5-годишна възраст.

   чл. 4в ЗМСП

2. Взимат се данните за предходната финансова година

   Новообразувано предприятие използва показателите за текущата финансова година. Статусът се променя едва когато праговете са надхвърлени или не са достигнати в две последователни финансови години — еднократен скок на оборота не ви прехвърля веднага в друга категория.

   чл. 4б ЗМСП

3. Добавят се партньорските и свързаните предприятия

   Към вашите данни се добавя пропорционален дял от данните на всяко пряко предприятие партньор (участие от 25 до 50 на сто) и пълният размер на данните на свързаните предприятия (мнозинство от гласовете, право да се назначава мнозинството от управата или решаващо влияние). Директивата позволява на държавите да отчетат независимостта на дружеството от групата (съображение 16), но българският закон не използва изрично тази възможност. Според нас затова малко дъщерно дружество на голяма група може да попадне в обхвата.

   чл. 4 и 4г ЗМСП

4. Публичното участие не прави фирмата голяма

   По общото правило предприятие, в което държавни органи контролират 25 на сто или повече от капитала или гласовете, не може да бъде малко или средно. За целите на NIS2 това правило изрично не се прилага, както изисква и директивата. Дружество с държавно или общинско участие се оценява по реалните си показатели, а не автоматично като голямо.

   чл. 4, т. 2 ЗКС; чл. 4, ал. 9 ЗМСП

Стъпка 3: Попадате ли в обхвата независимо от размера?

Някои субекти попадат под закона, дори ако са микро- или малки предприятия. Това са доставчиците на обществени електронни съобщения и на удостоверителни услуги, регистрите на домейни от първо ниво, доставчиците на DNS услуги, регистраторите на домейни, критичните субекти и административните органи. Други могат да бъдат определени индивидуално от компетентния орган.

1. Електронни съобщения, удостоверителни услуги, домейни

   Доставчиците на обществени електронни съобщителни мрежи или услуги, доставчиците на удостоверителни услуги, регистрите на имена на домейни от първо ниво и доставчиците на DNS услуги са в обхвата при всякакъв размер.

   чл. 4, т. 3, б. „а“–„в“ ЗКС

2. Индивидуално определени субекти

   Субект от приложенията с ключова роля: единствен доставчик на съществена услуга; субект, чието смущение би засегнало значително обществената безопасност, сигурност или здраве или би предизвикало значителен системен риск; или субект, критичен на национално или регионално равнище. Тези субекти се установяват от държавата.

   чл. 4, т. 3, б. „г“–„ж“ ЗКС

3. Критични субекти и регистратори на домейни

   Субектите, установени като критични по Директива (ЕС) 2022/2557, и субектите, предоставящи услуги за регистрация на имена на домейни.

   чл. 4, т. 4 и 5 ЗКС

4. Публичният сектор

   Административните органи, органите на съдебната власт, образователните институции с научноизследователска дейност от критично значение, както и лицата с публични функции и организациите, предоставящи обществени услуги, когато предоставят административни услуги по електронен път.

   чл. 4, т. 1 и 6–9 ЗКС

Законът не се прилага за системите за класифицирана информация и за мрежите на отбраната, вътрешните работи и службите за сигурност, които не са свързани с административни услуги по електронен път (чл. 5). Когато специален закон въвежда поне равностойни изисквания за мерки и докладване, съответните разпоредби на Закона за киберсигурност не се прилагат (чл. 6а). Това е важно най-вече за финансовия сектор — виж статията ни за DORA.

Стъпка 4: Съществен или важен субект сте?

Ако сте в обхвата, остава да определите категорията. Съществени са по правило големите предприятия от приложение I, квалифицираните доставчици на удостоверителни услуги, регистрите на домейни от първо ниво, доставчиците на DNS услуги, средните и големите доставчици на обществени електронни съобщения, административните органи и досегашните оператори на съществени услуги. Останалите са важни.

Пълният списък на съществените субекти е в чл. 4а, ал. 1 от закона. В него влизат още критичните субекти и субектите, установени индивидуално като съществени. Всички останали субекти от приложенията в обхвата са важни (чл. 4а, ал. 2). Двете категории имат едни и същи задължения по същество; различават се надзорът и санкциите, както към октомври 2026 г.:

Какъв е резултатът за вашата фирма?

Таблицата обобщава теста. Намерете реда, който описва фирмата ви, и вижте резултата по общите правила на чл. 4 и 4а от закона. Тя не замества индивидуалната преценка, особено при групи от дружества, смесени дейности и субекти, които държавата може да определи индивидуално.

Кой определя статута официално и докъде е стигнала методиката?

Официално статутът се определя от секторния национален компетентен орган по методика на Министерския съвет. Законовият срок за методиката и за решението кои са секторните органи изтече на 17 август 2026 г., но както към 8 октомври 2026 г. не открихме публикувани актове. Затова собствената преценка остава необходима.

Министерският съвет трябваше в срок 6 месеца от влизането в сила на закона да определи с решение секторните компетентни органи и да приеме методиката (§ 47, т. 1 от преходните и заключителните разпоредби на закона за изменение, ДВ, бр. 17 от 2026 г.). След решението органите имат 5 месеца да определят съществените и важните субекти и да уведомят министъра (§ 48). На страницата на Министерството на иновациите и дигиталната трансформация (МИДТ) все още е приложено Решение № 192 от 9 април 2019 г., прието по стария закон, а на Портала за обществени консултации няма проект на нова методика.

От юни 2026 г. правомощията на министъра на електронното управление по закона се упражняват от министъра на иновациите и дигиталната трансформация (изменение в ДВ бр. 55 от 16 юни 2026 г.). Той води регистъра на субектите, който не е публичен (чл. 6, ал. 1 и 5), а МИДТ е компетентен орган за всички административни органи (чл. 16, ал. 2). По съобщение на МИДТ от 1 октомври 2026 г. Европейската комисия е закрила процедурата за нарушение срещу България за забавеното транспониране.

Стъпка 5: Какво следва, ако фирмата ви попада в обхвата?

Ако попадате в обхвата, задълженията се прилагат пряко по закона: ръководството одобрява мерките и минава обучение на всеки две години, фирмата прилага мерките по чл. 22 и докладва значителните инциденти до секторния екип за реагиране (СЕРИКС) в срокове от 24 и 72 часа. Санкцията за важен субект е до 7 млн. евро или 1,4 % от световния оборот.

1. Документирайте преценката си

   Запишете сектора, изчислението на размера с данните на групата и категорията, до която стигате. Този документ ще ви трябва и при надзор, и когато клиенти ви изпращат въпросници за съответствие с NIS2.

2. Ангажирайте ръководството

   Управителните органи одобряват мерките и следят прилагането им, а членовете им преминават обучение на всеки две години и организират обучение на служителите (чл. 21). Нарушението се наказва с глоба от 500 до 5000 евро лично за ръководителите (чл. 29, ал. 4).

3. Направете анализ на несъответствията спрямо мерките

   Законът изисква подходящи и пропорционални мерки по десетте направления на директивата и две допълнителни точки (чл. 22, ал. 2). Подробно ги разглеждаме в статията 10-те задължителни мерки по NIS2 на практика.

4. Подгответе процедура за докладване на инциденти

   Ранно предупреждение до 24 часа, уведомление до 72 часа (до 24 часа за доставчиците на удостоверителни услуги) и окончателен доклад до един месец след уведомлението (чл. 23, ал. 5). Ако инцидентът засяга и лични данни, паралелно тече 72-часовият срок към КЗЛД по GDPR.

5. Следете регистрационните задължения

   Промените в данните си съобщавате на компетентния орган до две седмици (чл. 6, ал. 3). Облачните доставчици, центровете за данни, доставчиците на управлявани услуги и онлайн платформите подават и данни за основното си място на установяване в ЕС (чл. 6, ал. 2).

6. Прегледайте договорите с доставчиците

   Мерките включват сигурността на веригата за доставка, като се отчитат уязвимостите и практиките на всеки пряк доставчик (чл. 22, ал. 2, т. 4 и ал. 3). Започнете с доставчиците, от които зависят критичните ви услуги.

Пълният санкционен режим се прилага от 1 юни 2026 г. Както към октомври 2026 г. важният субект рискува имуществена санкция до 7 млн. евро или до 1,4 % от общия световен годишен оборот (по-високото, но не по-малко от 12 500 евро), а същественият — до 10 млн. евро или 2 % (не по-малко от 25 000 евро) (чл. 29, ал. 2 и 3).

Какво следва, ако не попадате в обхвата?

Ако не попадате в обхвата, законът не ви задължава пряко, но NIS2 пак може да ви засегне. Клиентите в обхвата са длъжни да управляват риска от преките си доставчици и могат да го пренесат в договорите. Можете и доброволно да уведомявате СЕРИКС за инциденти, а GDPR продължава да важи изцяло.

• Изисквания от клиенти. Фирма в обхвата трябва да отчита уязвимостите и практиките за сигурност на всеки пряк доставчик (чл. 22, ал. 3). Облачните доставчици, доставчиците на управлявани услуги и другите субекти по Регламент за изпълнение (ЕС) 2024/2690 трябва, когато е целесъобразно, да включват в договорите със своите доставчици изисквания за киберсигурност и обучение, проверка на служителите, уведомяване за инциденти и право на одит (приложение, т. 5.1.4).
• Доброволно уведомяване. Субекти извън обхвата могат да уведомяват СЕРИКС или националния екип за реагиране за значителни инциденти, киберзаплахи и ситуации, близки до инциденти, без това да им създава допълнителни задължения (чл. 27д).
• Държавна подкрепа. Националната стратегия трябва да включва политика за киберустойчивостта и киберхигиената на малките и средните предприятия, особено на изключените от обхвата (чл. 8, ал. 2, т. 9).
• GDPR остава. Сигурността на обработването и уведомяването за нарушения на сигурността на личните данни важат независимо от размера — виж GDPR за малък бизнес.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и подаване на сигнали. Заедно консултират над 90 компании за пълно GDPR съответствие.