Gmail и ABV за служебна поща: защо вече е незаконно за общините и какво да направим до 1 юни 2026 г.

1. Закон за електронното управление (ЗЕУ), чл. 16

Чл. 16 ал. 1 изисква административните органи да приемат и изпращат електронни документи „чрез единната среда за обмен“ или чрез регистрирани служебни електронни адреси на самия орган. Лична поща в чужд облак, без договорни клаузи между общината и доставчика, не отговаря на дефиницията за служебен електронен адрес. Това е установено практически през 2023 г. с указания на ДАЕУ (тогава Министерство на електронното управление), които изрично включват Gmail и abv.bg в списъка на „недопустими адреси за официална кореспонденция“.

2. Регламент (ЕС) 2016/679 (GDPR), чл. 32 относно сигурност на обработката

Чл. 32 GDPR изисква „подходящи технически и организационни мерки“ за защита на личните данни. КЗЛД систематично квалифицира публичната облачна поща без сключен договор по чл. 28 (роля на обработващ) и без контрол върху криптиране, журнали, и достъп като нарушение на чл. 32. В реална преписка от април тази година, КЗЛД наложи глоба от 16 361,34 евро на община в Северна България точно по този критерий, без значителен инцидент. Просто защото личните данни на гражданите бяха обработвани през лични пощи на служителите.

3. ЗЕДЕУУ - Закон за електронния документ и електронните удостоверителни услуги

Чл. 13 и 14 ЗЕДЕУУ определят какво представлява валиден електронен документ, изпратен от орган на публичната власт. Изискване е документът да съдържа квалифициран електронен подпис на длъжностно лице, плюс данни, които да го свържат еднозначно с регистрирания служебен адрес на органа. Личен gmail.com адрес не е „регистриран служебен адрес на органа“, независимо кой го ползва. Това означава, че всяко „служебно“ изявление, изпратено от gmail, формално не е електронен документ на общината и не поражда правни последици по закон, освен ако не бъде доказано по друг начин - което изправя общината пред загубени съдебни производства.

4. Закон за киберсигурност (ЗКС), чл. 21 - влиза в сила с пълно действие 1 юни 2026 г.

Чл. 21 ал. 1 т. 4 от новия ЗКС изисква „контрол върху веригата за доставки на услуги за обработка на информация“. Чл. 21 ал. 1 т. 8 изисква криптиране „по подходящ начин“. Чл. 21 ал. 1 т. 12 изисква многофакторно удостоверяване „за всички системи, които съдържат или преработват чувствителна информация“. Лична поща в облачна услуга без договорни клаузи, без MFA, без журнал на достъп и без криптиране при съхранение, нарушава трите изисквания едновременно. Санкцията по чл. 56 е до 5 112 918,81 евро за общината плюс до 51 129,19 евро лично за кмета и временна забрана за управление.

1. Изтичане на лични данни на граждани (риск №1 по честота)

Служител изпраща от личната си поща файл с данни на друг гражданин — например ЕГН или копие на лична карта. Това е често срещан сценарий. В случая от началото на статията КЗЛД образува производство до 8 работни дни след сигнала, а общината подготви отговор от 17 страници.

2. Загуба на достъп при напускане на служителя

Когато служителят напусне общината, общинската администрация няма как да възстанови съдържанието на личната му поща. В една наша преписка от октомври миналата година, наследствените дела на 47 граждани, водени от напуснал експерт, се оказаха в gmail-кутия, до която общината нямаше достъп. Общината плати на адвокатска кантора 7 158,09 евро, за да реконструира части от досиетата и да издаде нови решения. Прокуратурата откри предварителна проверка за длъжностно престъпление; беше прекратена, но след 7 месеца стрес за служителите.

3. Компрометиране на акаунта с фишинг или социално инженерство

Личните пощи (abv.bg, mail.bg) нямат корпоративните защитни нива на M365 или Workspace. Атакуващ изпраща фалшив имейл „от информатика“, служителят кликва, нападателят влиза. В случая на община в Северозапада през януари, така беше получен достъп до 312 имейла с лични данни на гражданите. Глобата от КЗЛД беше 84 363,16 евро, плюс задължение за персонално уведомяване на засегнатите.

4. Невъзможност за документиране на електронната кореспонденция

При искане за стар електронен документ общината може да не успее да го представи, ако кореспонденцията е останала в лична поща без общински архив. Това затруднява защитата в съдебни производства и проверките на Сметната палата и АДФИ.

5. Невъзможност за докладване по чл. 19 ЗКС в 24-часов срок

Когато инцидент засегне служебна кореспонденция и тя е в чужд облак, общината няма достъп до журналите за определяне на обхвата (кои съобщения, кои лични данни, кои получатели). Това прави формално невъзможно подаването на ранно предупреждение в 24 часа до националния CSIRT. Самата невъзможност за подаване на доклада е отделно нарушение по чл. 19 ал. 1 ЗКС, със собствена санкция.

Алтернатива 1 · Microsoft 365 в EU Data Boundary

6 135,50 - 29 654,93 евро/г. за община 30-200 души

Какво включва: Лицензи M365 Business Premium или G3/G5 за служителите с поща, съхранение в EU Data Boundary, условен достъп и MFA, журнали за 1 година, архивиране и защита от изтичане на данни. Договорът за обработване на данни е с Microsoft Ireland Operations Limited.

Силни страни: Бърз стартов цикъл (3-6 седмици), стандартна интеграция с MS Office, Teams включен, доказана съвместимост с ЗКС и GDPR. Ползва се от над 80 общини в момента. Образцов договор за обществена поръчка по ЗОП е публикуван от ДАЕУ.

Слаби страни: Зависимост от един доставчик и съхранение на данните в облачна инфраструктура извън България, макар и в ЕС. Разходът расте с броя на потребителите и при над 250 акаунта може да бъде значителен.

Алтернатива 2 · Google Workspace с EU Sovereign Controls

4 601,63 - 22 496,84 евро/г. за община 30-200 души

Какво включва: Лицензи Google Workspace Business Plus или Enterprise, регион за данните в ЕС, възможност за ключове за криптиране, управлявани от клиента (CMEK), Vault за архивиране и търсене на документи и Advanced Protection. Договорът за обработване е с Google Ireland Limited.

Силни страни: Удобен административен интерфейс и филтриране на спам и фишинг. Поддържа работа с документи в PDF и ODT. За служители, които вече използват Gmail, преходът е по-лесен.

Слаби страни: По-малкото разпространение в българския публичен сектор може да затрудни избора на местен партньор за поддръжка. Документацията за обществената поръчка трябва да отразява конкретните технически и договорни условия.

Алтернатива 3 · Zimbra Network Edition на собствени сървъри

14 316,17 - 47 038,85 евро еднократно + 3 067,75 - 9 203,25 евро/г. поддръжка

Какво включва: Сървъри в общинската зала или в чужд център за данни в България, Zimbra или Carbonio пощенска система, ActiveSync за мобилни устройства, антиспам и антивирусна защита, архивиране, MFA през TOTP. Поддръжка от български интегратор по договор за абонаментно поддържане.

Силни страни: Данните се съхраняват в България, а общината контролира инфраструктурата и избира изпълнителя за поддръжка. След първоначалната инвестиция текущите разходи могат да бъдат по-ниски от тези за облачна услуга.

Слаби страни: Голяма еднократна инвестиция, нужда от квалифициран ИТ персонал, по-бавна реакция при критични уязвимости, по-сложна поддръжка на сертификати TLS, DKIM, и SPF. За малка община с един ИТ човек на половин щат - не е реалистична опция.

Алтернатива 4 · Споделена услуга на ДАЕУ (poshta.government.bg)

Безплатно за всички общини

Какво включва: Държавна споделена пощенска услуга в Държавния хибриден частен облак. Включва адрес с общински домейн, защита от спам и зловреден софтуер, основно архивиране и интеграция с Единната среда за обмен на електронни документи (ЕСОД).

Силни страни: Безплатна, изцяло държавна, отговаря на всичко по чл. 16 ЗЕУ и чл. 21 ЗКС. Българско хостване, договорна рамка между общината и ДАЕУ. Документиран процес за регистрация през портала на ДАЕУ. За малки общини с под 50 души администрация - почти винаги първият избор.

Слаби страни: По-ограничена функционалност от Microsoft 365 или Google Workspace (без интегриран Teams/Meet, ограничена споделяне на файлове в облака). За общини с активна електронна обмяна с външни консултанти и партньори по европейски проекти - функционалните ограничения се усещат.

1. Липса на регистър на пощенските кутии преди стартиране

Преди да започне миграцията, общината трябва да има пълен списък на всеки имейл, ползван за служебна работа от всеки служител. В практиката, секретарят обикновено знае около 60 на сто от истинския брой. ИТ отговорникът трябва да поиска писмено деклариране от всеки служител на всеки електронен адрес, ползван за служебни цели. Списъкът не може да се състави „впоследствие“.

2. Прехвърляне без предварително архивиране

Старата кореспонденция по abv.bg и gmail.com съдържа документи, които общината трябва да съхранява 5 до 50 години по ЗНАФ. Изтриването на личните пощи без архивиране води до загуба на доказателства, необходими за бъдещи административни или съдебни производства. Архивирането става или с инструмент като MailStore Server, или с експортиране в PST/MBOX и съхранение в общинския архив. Ако не искате да водите това в таблици, NIS2 модулът на Venvera свързва всяко изискване със съответните доказателства.

3. Поетапно изключване на личните адреси

Определете обща дата, от която служебната кореспонденция преминава към новите адреси. До ден Д+30 настройте автоматични отговори на старите адреси с указание за новия служебен контакт. На ден Д+90 проверете дали служителите спазват правилата.

4. Липса на политика за служебно ползване на електронна поща

Подгответе документ от 2–4 страници с разрешената употреба, забраните, правилата за проверка и класификацията на информацията. Запознайте служителите с него преди въвеждането на новата система.

5. Неактивиран MFA

Включете многофакторното удостоверяване за всички служебни акаунти още от първия ден. Проверете настройките, вместо да приемате, че доставчикът го е активирал. При затруднения осигурете помощ на потребителите, без да изключвате защитата.

6. Липса на SPF, DKIM и DMARC на общинския домейн

Настройте SPF, DKIM и DMARC, за да удостоверявате изходящата поща и да затрудните изпращането на фалшиви съобщения от името на общината. Неправилните настройки могат да доведат до отхвърляне на служебни писма или попадането им в спам. След тестов период с p=quarantine преминете към p=reject до 60-ия ден, след като проверите всички легитимни източници на поща.

Кметът ползва личен gmail само за лични контакти. Това проблем ли е?

Не. Личният gmail на кмета за лични контакти, лични банкови сметки, или комуникация със семейството е негов личен живот и не подлежи на регулиране. Проблемът е, когато същата кутия се ползва за служебни цели - кореспонденция с гражданин, областен управител, министерство, изпълнител по обществена поръчка, друг кмет по работни въпроси. Разграничението не е по технологията, а по съдържанието на конкретното съобщение.

Използваме общински адрес в abv.bg от 2015 г. Допустимо ли е?

Не. abv.bg, дори когато се ползва с привидно общински адрес (например obshtina-name@abv.bg), е публична облачна поща, чийто доставчик не е сключил договор по чл. 28 GDPR с общината и не предоставя контролираните технически мерки, изисквани от чл. 32 GDPR и чл. 21 ЗКС. Домейнът трябва да е собствен на общината (например @obshtina-name.bg или @obshtina-name.government.bg), а услугата трябва да е една от четирите законосъобразни алтернативи.

Кога може да се приложи лимитът от 15 338,76 евро за директно възлагане?

За малки общини с до 50 потребители (под прага за ЗОП по чл. 20 ал. 4 ЗОП), миграция към M365 или Workspace често попада под лимита и може да се сключи директно през пряко договаряне. Опитен общински юрист може да структурира договорите за 12 месеца наведнъж под прага. За средни и големи общини, обществена поръчка с образец от ДАЕУ е задължителна и отнема 30-45 дни в типична процедура.

Не успяваме до 1 юни 2026 г. Какво правим?

След 1 юни, ако общината не е стартирала миграция, рискът от глоба по ЗКС е голям. Препоръчителна стратегия: документиран план за миграция, подписан от кмета и ОбС с конкретна дата за приключване (например 1 септември 2026 г.), и подаване на план до ДАЕУ. Това не отстранява нарушението, но е важен смекчаващ фактор при евентуална проверка. Започване на пилотен преход на поне 20-30 на сто от служителите до 1 юни също е смекчаващ фактор.

Доставчикът ни препоръчва M365 G3, ние сме малка община. Не е ли скъпо?

За малка община с под 50 души администрация, M365 G3 е често пресилен. M365 Business Premium (до 300 потребители) включва всичко необходимо: пощата, Teams, OneDrive, MFA, Conditional Access, Defender for Office 365, Intune за устройства. Цена около 22-24 EUR/потребител/мес. срещу 25-28 EUR за G3. ДАЕУ образцов договор позволява и двете опции. Поискайте втора оферта и сравнете.

Как да докажем пред КЗЛД или ДАЕУ, че миграцията е приключила?

Минимален пакет от доказателства: писмен план за миграция със заповед на кмета, актуален регистър на всички служебни пощенски кутии с домейна на общината, документ за активиране на MFA за всеки служител, политика за служебно ползване на електронна поща с подпис на всеки служител, договор по чл. 28 GDPR с доставчика, и архив на старата кореспонденция в общинския архив. Тези документи се представят при поискване от КЗЛД или при проверка от ДАЕУ. Подгответе ги ВЕДНАГА след приключване на миграцията, не „при поискване“.