Глоби по новия Закон за киберсигурност и личната отговорност на ръководството: 10 225 837,62 евро, 2% от оборота и забрана за управление

Законът въвежда двустепенна скала, която отговаря на двете категории субекти - съществени и важни. Скалата е изградена по принципа „по-високата от двете“, какъвто познаваме от GDPR. Това означава, че за големи дружества с високи обороти процентната ставка може да даде глоба значително над абсолютната граница в евро.

Заслужава си да направим няколко практически уточнения. Първо, „по-високата от двете“ означава, че за компания с оборот 1 022 583 762,39 евро (например голяма банка или енергиен оператор), процентната ставка от 2% дава теоретичен таван на 20 451 675,25 евро - двойно над абсолютната граница. Това е изрично решение на европейския законодател да направи глобите чувствителни за големите играчи.

Второ, оборотът се изчислява на консолидирана база. Ако българското дружество е част от международна група, в изчислението влиза оборотът на цялата група. Това е особено важно за местните дружества на чуждестранни компании: те общуват с надзорния орган, но размерът на възможната санкция се определя спрямо оборота на групата.

Размерът на санкцията се определя според тежестта и продължителността на нарушението, дали е извършено умишлено или по непредпазливост, размера на дружеството, предходните нарушения, съдействието при проверката и получената финансова изгода. При нов режим практиката се изгражда постепенно.

Не всички нарушения са еднакви, а законът ги категоризира на три нива според тежестта. Маловажни (формални пропуски), значими (неизпълнение на конкретни задължения) и тежки (създаване на риск за критична инфраструктура или системно неизпълнение). Глобата за тежко нарушение в съществен субект може да достигне максимума; за маловажно - често се ограничава до предупреждение или предписание.

Числата по-горе са очаквания от практиката, не законова скала. Реалното решение се взима от надзорния орган с мотивиран акт. Това, което е сигурно, са рамковите тавани и категориите тежест. По правило първо нарушение от добросъвестен субект, който сътрудничи и веднага коригира, се санкционира в долния край. Системно нарушение от субект, който отказва съдействие и крие информация, се санкционира в горния.

Едно често срещано недоразумение е, че липсата на докладване на инцидент води автоматично до максимална глоба. Не е така. Ако инцидентът е реално маловажен и не е увредил услуги или данни, надзорният орган вероятно ще предпише само процедурно подобрение и евентуално символична глоба. Тежките глоби идват, когато инцидентът е значителен (засяга услуги или клиентски данни), а компанията е скрила или забавила доклада.

Това е промяната, която вкарва нов елемент в българското право. NIS2 изисква от държавите членки да предвидят възможност за лични санкции срещу членовете на управителните и надзорни органи на съществените субекти, когато тяхното поведение е довело до сериозно нарушение. Българският законодател транспонира това с две алтернативни мерки.

Първата лична санкция е административна глоба до 51 129,19 евро, наложена директно на физическото лице - изпълнителен директор, управител, член на съвет на директорите, член на надзорен съвет. Глобата не може да бъде покрита от дружеството или от стандартна D&O полица. Това е умишлено решение на законодателя, целящо лично финансово стимулиране на ръководителите да се ангажират с киберсигурността.

Втората лична санкция е временна забрана за заемане на ръководни длъжности в субект по този закон. Срокът е от 6 месеца до 5 години в зависимост от тежестта. На практика това означава, че едно лице, нарушило закона в качеството си на изпълнителен директор на болница, не може за определен период да заема ръководна позиция в друга болница, енергийно дружество, оператор на критична инфраструктура и т.н. Забраната обаче може да се наложи само ако нарушението е особено тежко или повторно.

Четирите кумулативни условия в долната част на фигурата са защитата на ръководителите. Не всяко нарушение на дружеството води до лична отговорност на конкретен ръководител. Надзорният орган трябва да докаже четирите елемента: че дружеството е в обхвата, че нарушението е тежко или системно, че конкретното лице чрез поведението си е допринесло за нарушението, и че лицето е имало юридическа и фактическа възможност да предотврати или прекрати ситуацията.

В практиката четвъртата точка - „имал ли е възможност да предотврати“ - е често решаваща. Ако ръководителят е изградил процеси на ескалация, е одобрил адекватен бюджет за киберсигурност, е имал политика, осигурил е обучение, и въпреки това е настъпил инцидент поради грешка на оперативен служител, личната отговорност обикновено отпада. Ако обаче е имало вътрешни сигнали за проблем, но е игнорирал или замразил инициативите за киберсигурност, ситуацията се обръща.

Преди налагането на санкция има последователни процедурни стъпки. На всяка от тях дружеството има възможност да представи информация, да отстрани пропуски или да оспори констатации. Познаването на процедурата е важно за защитата му.

Етапи 1 и 2 са началото - сигнал и проверка. Сигналите идват от различни източници: уведомление за инцидент, подадено от самия субект; жалба от засегнат клиент или партньор; информация от друг надзорен орган; собствена инспекторска инициатива на надзорния орган. Проверката може да бъде документална (искане на документи) или на място (физическа инспекция в седалището или на критична инфраструктура).

Етап 3 е съставянето на акта за установяване на нарушение. От този момент тече срок за писмено възражение, обикновено 7 до 14 дни. Това е първият правен момент, в който компанията може официално да представи защитата си - доказателства за положена дължима грижа, обяснения за обстоятелствата, аргументи за пропорционалност на санкцията.

Етап 5 е наказателното постановление, в което надзорният орган мотивира решението си - дали налага глоба, в какъв размер, и защо. Тук влиза и решението за лична отговорност на конкретно лице. От датата на връчване тече 7-дневен срок за обжалване.

Етап 6 - обжалването - е последната спирка. Първоинстанционно компетентен е районният съд по седалището на надзорния орган. Има право на касация пред административен съд при определени основания. В практиката около 20% от наложените административни глоби в други регулаторни режими (КЗЛД, КЗК) се намаляват или отменят на първа инстанция, обикновено поради процедурни нарушения или непропорционалност на размера. За новия режим за киберсигурност практиката още не е установена.

Подготовката започва много преди проверката. Решенията, отговорностите и извършените действия трябва да се документират в ежедневната работа. Препоръчваме на ръководствата да поддържат поне следните седем документа:

Тези седем документа не елиминират риска от санкция. Но те показват, че ръководството е изпълнило задължението си за добросъвестно управление на киберсигурността. При проверка тези документи се представят на инспектора в първите 48 часа. Тяхното отсъствие е сериозен индикатор за надзорния орган, че е налице четвъртото условие за лична отговорност (възможност да предотврати, която не е била използвана).

Числата стават реални, когато ги поставим в конкретен контекст. Ето три сценария, които съответстват на реални клиенти от нашата практика, с променени имена и идентифициращи детайли. Числата за глобите са оценки, не действителни наложени санкции.

Санкциите по новия Закон за киберсигурност целят да превърнат сигурността в приоритет за ръководството, подобно на GDPR при личните данни и MiFID II във финансовия сектор. Размерът им насочва вниманието на управителните органи към риска. При определяне на санкцията значение имат и сътрудничеството, предприетите мерки и доказателствата за положена дължима грижа.

Ако компанията ви попада в обхвата на закона, започнете подготовката преди първата проверка. Първите стъпки са решение на управителния орган, определен отговорник и осигурен бюджет. След това изградете процесите и документирайте изпълнението им.

Имате въпрос за обхвата, санкциите или защитата на ръководството? Запазете 30-минутна консултация или пишете директно на alexander@atlantsecurity.com.