Информацията е актуална към септември 2026 г. и е сверена с обнародвания текст на закона.

Какво се промени през февруари 2026 г.

Законът за киберсигурност от 2018 г. транспонираше първата директива за мрежова и информационна сигурност и обхващаше оператори на съществени услуги и доставчици на цифрови услуги. Изменението от февруари 2026 г. заменя този модел изцяло.

Понятията „оператор на съществени услуги“ и „доставчик на цифрови услуги“ отпадат. На тяхно място законът въвежда съществени и важни субекти по нов чл. 4а. Обхватът се разширява от няколкостотин към няколко хиляди организации.

Законът е приет от Народното събрание на 5 февруари 2026 г. и обнародван на 13 февруари 2026 г.

По § 51 от преходните разпоредби за нарушения, извършени до 1 юни 2026 г., санкциите се налагат в размер, намален с 50 на сто. Този период е изтекъл. Понастоящем действа пълният санкционен режим.

NIS2, НИС 2 или МИС 2 — едно и също ли е?

Да. Става дума за един и същ акт.

Официалното наименование е Директива (ЕС) 2022/2555. Английското съкращение NIS идва от Network and Information Security. Българският законодател използва съкращението МИС 2 — в допълнителните разпоредби на закона директивата е посочена изрично като „Директива МИС 2“. Формата НИС 2 е транслитерация на английското съкращение.

За български организации задълженията произтичат от Закона за киберсигурност, а не пряко от директивата.

Кой попада в обхвата

Чл. 4 изброява девет категории. Размерът на предприятието е критерий само за една от тях.

1. Административните органи.
2. Публични и частни субекти от видовете по приложение I или II, които отговарят на критериите за средни предприятия по чл. 3, ал. 1 от Закона за малките и средните предприятия или надхвърлят горната граница за средни предприятия.
3. Субекти от приложение I или II независимо от размера, когато са доставчици на обществени електронни съобщителни мрежи или услуги, доставчици на удостоверителни услуги, регистри на домейни от първо ниво и доставчици на DNS услуги, или когато са единствен доставчик на съществена услуга, или когато смущение в услугата им би засегнало обществената безопасност или здраве, би породило системен риск, или субектът е критичен на национално или регионално равнище.
4. Субекти, установени като критични по Директива (ЕС) 2022/2557.
5. Субекти, предоставящи услуги за регистрация на имена на домейни.
6. Образователни институции при научноизследователски дейности от критично значение в секторите по приложенията.
7. Лица, осъществяващи публични функции, когато предоставят административни услуги по електронен път.
8. Организации, предоставящи обществени услуги, когато предоставят административни услуги по електронен път.
9. Органите на съдебната власт.

Прагът по т. 2 препраща към Закона за малките и средните предприятия. Критериите за средно предприятие започват при 50 заети лица. Изрично е изключено прилагането на чл. 4, ал. 9 от същия закон при установяване на размера.

Седемнадесетте сектора

Приложение I обхваща десет сектора: енергетика, транспорт, банков сектор, инфраструктури на финансовия пазар, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на услуги в областта на ИКТ между предприятия и космическо пространство.

Приложение II обхваща седем: пощенски и куриерски услуги, управление на отпадъците, производство и дистрибуция на химикали, производство и разпространение на храни, производство (медицински изделия, компютри и електроника, електрически съоръжения, машини, моторни превозни средства, друго транспортно оборудване), доставчици на цифрови услуги и научни изследвания.

Публичната администрация не е отделен сектор в приложенията. Административните органи попадат в обхвата на самостоятелно основание по чл. 4, т. 1.

Съществени и важни субекти

Чл. 4а определя като съществени субекти: тези от приложение I, които надхвърлят горната граница за средни предприятия; доставчиците на квалифицирани удостоверителни услуги, регистрите на домейни от първо ниво и доставчиците на DNS услуги независимо от размера; доставчиците на обществени електронни съобщителни мрежи и услуги, отговарящи на критериите за средни предприятия; административните органи; субектите, установени като критични; и определените като оператори на съществени услуги към датата на влизане в сила на закона.

Всички останали субекти от приложение I или II се считат за важни.

Разграничението определя интензитета на надзора и минималния размер на санкцията.

Регистърът

Министърът на електронното управление води регистър на субектите по чл. 4 и 4а. Регистърът съдържа наименование, адрес и данни за контакт, IP обхвати, сектор и вид субект, а когато е приложимо — държавите членки, в които субектът предоставя услуги.

При промяна в данните субектът уведомява националния компетентен орган в срок до две седмици.

Регистърът не е публичен. Организацията не може да провери в него собствения си статус.

Кой и кога определя дали сте субект

Това е практическият въпрос, на който законът отговаря чрез срокове, а не чрез директно правило.

Съществените и важните субекти се определят от националните компетентни органи по чл. 16 в съответствие с методика, приета от Министерския съвет. Определянето не е самооценка и не се извършва от самия субект.

Дванадесетте мерки по чл. 22

Съществените и важните субекти предприемат подходящи и пропорционални технически, оперативни и организационни мерки. Мерките се основават на подход, обхващащ всички опасности, и включват:

1. Политики за анализ на риска и сигурност на информационните системи;
2. Действия при инцидент;
3. Непрекъснатост на стопанската дейност, включително управление на резервни копия и възстановяване след бедствия, и управление на кризи;
4. Сигурност на веригата за доставка, включително аспектите на взаимовръзките с преките снабдители и доставчици на услуги;
5. Сигурност при придобиване, разработване и поддръжка на мрежови и информационни системи, включително действия при уязвимости и оповестяването им;
6. Политики и процедури за оценяване на ефективността на мерките за управление на риска;
7. Основни киберхигиенни практики и обучение в областта на киберсигурността;
8. Политики и процедури относно използването на криптография и, когато е целесъобразно, криптиране;
9. Сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи;
10. Многофакторни решения за удостоверяване на автентичността или непрекъснато удостоверяване, защитени гласови, видео- и текстови съобщения и защитени системи за спешна комуникация;
11. Управление на измененията на информационните активи;
12. Мерки за управление на риска и задължения за докладване за субекти по приложение I или II и за субекти, установени като критични по Директива (ЕС) 2022/2557.

Точка 11 е допълнение на българския законодател и не присъства в изричния списък на директивата. Управлението на измененията означава контролирана процедура за промени в системи, хардуер, софтуер, мрежи и данни.

Пропорционалността се преценява по три показателя: степента на излагане на рискове, размера на субекта и вероятността от инциденти заедно с тяхната значимост. Пропорционалността допуска различен мащаб на прилагане, но не допуска пропускане на област.

При установен пропуск субектът предприема коригиращи мерки.

Задълженията на управителните органи

Чл. 21 съдържа три алинеи и всяка от тях създава отделно задължение.

Одобряване на мерките

Управителните органи на съществените и важните субекти и административните органи одобряват мерките за управление на риска и следят за прилагането им. Одобряването е акт на органа, не на служител.

Обучение на всеки две години

Членовете на управителните органи са длъжни на всеки две години да преминават обучение за придобиване на достатъчно познания и умения, което да им позволи да идентифицират рискове и да оценяват практиките за управление на риска и тяхното въздействие върху услугите на субекта.

Законът формулира и целта на обучението, не само неговото провеждане. Обучение, което не позволява на члена на органа да идентифицира рискове и да оценява практики, не изпълнява разпоредбата.

Организиране на обучението за служителите

Ал. 3 задължава членовете на управителните органи да предлагат и организират същите обучения и за своите служители. Задължението е адресирано до тях лично, не до субекта като юридическо лице.

Киберхигиената е легално определена в допълнителните разпоредби и включва изрично обучението на служителите, наред с редовната поддръжка и защита на системите, управлението на достъпа и плана за реакция при инциденти.

Уведомяване за значителни инциденти

Значителен е инцидентът, който е причинил или е в състояние да причини сериозно оперативно смущение в услугите или финансова загуба, или е засегнал други лица със значителни материални или нематериални вреди.

Уведомлението се подава до секторния екип за реагиране при инциденти с компютърната сигурност, означаван в закона като СЕРИКС. Не се подава до министъра на електронното управление.

Ако до изтичането на месеца субектът не се е справил с инцидента, той подава междинен доклад и представя окончателния в срок до един месец от справянето.

СЕРИКС връща отговор в срок до 24 часа и при поискване предоставя насоки, оперативни съвети или техническа подкрепа.

Законът предвижда изрично, че уведомяването не води до повишена отговорност за уведомяващия субект.

Контрол

Контролът се осъществява от националните компетентни органи по чл. 16, от Министерството на отбраната, от Министерството на вътрешните работи и от Държавна агенция „Национална сигурност“. Националните компетентни органи се определят от Министерския съвет по сектори.

Спрямо съществените субекти органите могат да извършват планови и извънпланови проверки, редовни и целеви одити на сигурността, извънпланови одити при значителен инцидент, проверки за сигурност, както и да изискват информация, достъп до документи и доказателства за изпълнение.

Спрямо важните субекти правомощията са последващи: проверки на място и дистанционен надзор, целеви одити и искания за информация след настъпило събитие.

Разходите за целеви одит, извършен от независим орган, се заплащат от одитирания субект, освен когато компетентният орган реши друго.

Органите издават предупреждения, задължителни предписания със срокове, разпореждания за преустановяване на нарушение, разпореждания мерките да бъдат приведени в съответствие с чл. 22, разпореждания за уведомяване на засегнати лица, за изпълнение на препоръки от одит и за публично обявяване на нарушението.

Санкции

Санкцията по чл. 29, ал. 2 не се прилага за съществени субекти, които са административни органи.

Глобата по чл. 21 е лична. Тя се налага на физическото лице, което заема съответната длъжност.

Временна забрана за управленски функции

По чл. 27к, ал. 2 при непредприемане на действията по чл. 23 или по определени принудителни мерки националният компетентен орган може да поиска от съд или от друг държавен орган налагането на временна забрана спрямо физическо лице, изпълняващо управленски функции или законен представител на съществен субект, да упражнява управленски функции в него.

Мярката не се прилага спрямо съществени субекти, които са административни органи.

Чл. 27к, ал. 5 добавя общо правило: всяко физическо лице, отговорно за съществен или важен субект или действащо като негов законен представител, разполага с необходимите правомощия да осигури спазването на закона и може да бъде подведено под отговорност за неизпълнение на своите задължения.

Обстоятелства, които се вземат предвид

Чл. 29б изброява осем обстоятелства при определяне на санкцията: степента на обществена опасност, повторността, дали нарушението е умишлено или по непредпазливост, липсата на уведомяване или реакция при значителен инцидент, причинените вреди и броят на засегнатите потребители, възпрепятстването на одити, предоставянето на невярна или непълна информация и предприетите мерки за ограничаване на вредите.

Съотношение с други режими

Кога специалният закон измества NIS2

По чл. 6а, когато специален закон изисква от съществените или важните субекти да приемат мерки за управление на риска или да уведомяват за значителни инциденти и тези изисквания имат най-малко равностоен ефект, съответните разпоредби на Закона за киберсигурност, включително относно надзора и правоприлагането, не се прилагат.

Равностойност е налице, когато мерките са най-малкото равностойни по сила на определените в чл. 22, или когато специалният закон предвижда незабавен и пряк достъп до уведомленията за инциденти на ЕРИКС, националните компетентни органи или единните звена за контакт, при изисквания за уведомяване, равностойни на предвидените в чл. 24.

Изместването не е пълно. Когато специалният закон не обхваща всички субекти в сектора, разпоредбите на Закона за киберсигурност продължават да се прилагат за необхванатите.

Най-честият случай е финансовият сектор и Регламент (ЕС) 2022/2554 (DORA). Законът урежда изрично взаимодействието: националните компетентни органи участват в надзорния форум по DORA, оказват съдействие на компетентните органи по чл. 46 от регламента, сключват споразумения за сътрудничество и провеждат съвместни проверки на трети страни, критични доставчици на ИКТ услуги.

Отношение с GDPR

Двата режима защитават различни обекти. Общият регламент относно защитата на данните защитава личните данни. Законът за киберсигурност защитава мрежовите и информационните системи.

Чл. 27н урежда пресичането. Когато при упражняване на правомощията си органите установят нарушение, което би могло да доведе до нарушаване на сигурността на лични данни, те уведомяват незабавно Комисията за защита на личните данни.

Важно за практиката: когато надзорен орган по GDPR вече е наложил имуществена санкция за същото деяние, компетентните органи по Закона за киберсигурност не налагат втора имуществена санкция за него. Те могат да приложат само останалите мерки.

Обучението по GDPR не изпълнява задължението по чл. 21. Двете обучения имат различен предмет и различен адресат.

Отношение с ISO 27001

ISO/IEC 27001 е стандарт, а не нормативен акт. Сертификацията не е задължителна и не носи автоматично съответствие.

Внедрената система за управление на информационната сигурност покрива значителна част от мерките по чл. 22: анализа на риска, контрола на достъпа, управлението на активите, непрекъснатостта и работата с доставчици.

Непокрити остават задължението за обучение на членовете на управителните органи по чл. 21, конкретните срокове за уведомяване на СЕРИКС по чл. 23 и задължението за предоставяне на данни за регистъра.

Чл. 24 предвижда възможност Министерският съвет с постановление да въведе изисквания за използване на ИКТ продукти и услуги, сертифицирани по европейски схеми за киберсигурност. Към момента такова постановление не е прието.

Веригата на доставки

Сигурността на веригата за доставка е т. 4 от мерките по чл. 22 и обхваща аспектите на взаимовръзките между субекта и неговите преки снабдители или доставчици на услуги.

Чл. 22, ал. 3 конкретизира какво се очаква. Субектите вземат предвид уязвимостите, специфични за всеки пряк снабдител или доставчик, както и цялостното качество на неговите продукти и практики в областта на киберсигурността, включително процедурите му за сигурно разработване.

Оттук следва ефект, който засяга и организации извън обхвата. Клиент, който е задължен субект, изисква доказателства от доставчиците си, защото самият той дължи оценка. Изискването пристига по договор, не по закон.

Законът предвижда и по-широк механизъм. Министърът на електронното управление може да предложи на Групата за сътрудничество извършване на координирана оценка на риска за конкретни критични ИКТ услуги, системи или продукти. Въз основа на резултатите Съветът по киберсигурността може да предложи на Министерския съвет постановление за ограничаване на използването на конкретни технологии. При вече използвана ограничена технология срокът за преустановяване е три години, а при висок риск за националната сигурност — по-кратък.

Откъде да започнете

1. Определете предварително дали попадате в обхвата по деветте категории на чл. 4 и документирайте заключението, включително когато то е отрицателно.
2. Подгответе данните за регистъра: наименование, адрес, данни за контакт, IP обхвати, сектор и вид субект.
3. Определете поименно отговорник за киберсигурността и отговорник за уведомяването на СЕРИКС.
4. Направете анализ на разликите спрямо дванадесетте мерки по чл. 22. Не пропускайте т. 11, управлението на измененията, която е новост в българския текст.
5. Изградете и тествайте процеса по уведомяване. Проверете дали можете да подадете ранно предупреждение в рамките на 24 часа извън работно време.
6. Внесете мерките за одобрение от управителния орган и документирайте одобрението с дата и протокол.
7. Проведете обучението на членовете на управителния орган и организирайте обучението на служителите. Запазете поименни записи с дата, съдържание и резултат.
8. Заложете двугодишния цикъл за повторение на обучението на управителния орган.

Какво предстои

До края на 2026 г. се очакват методиката за идентификация на съществените и важните субекти, наредбата по чл. 3, ал. 3, приведената в съответствие наредба по чл. 3, ал. 2 за минималния обхват на мерките и Националната стратегия за киберсигурност.

До влизането в сила на наредбата по чл. 3, ал. 3 се прилагат Правилата за минимални изисквания за сигурност на обществените електронни съобщителни мрежи и услуги.

Тази страница се актуализира при всяка промяна в правната рамка.

Често задавани въпроси