Закон за киберсигурност · 13 минимални мерки · Май 2026
13 минимални мерки за киберсигурност: какво точно изисква новият Закон от съществените и важните субекти
Член 21 от Закона за киберсигурност и съответната наредба определят задължителни технически и организационни мерки. В статията ги разглеждаме в 13 категории: какво включват, как се доказва изпълнението им и какъв бюджет е необходим за компания със 100–500 служители. Посочените максимални санкции са 511 291,88 евро за важните и 5 112 918,81 евро за съществените субекти.
Най-важното накратко
- 13-те мерки не са контролен лист. Това са области на риск, всяка от които изисква писмена политика, документиран процес, техническо изпълнение и доказателство за работата му във времето. Минималното разбиране „имаме антивирусна, значи имаме мярка 10“ не издържа проверка.
- За компания от 200 до 500 души пълно изграждане на 13-те мерки струва от 92 032,54 до 245 420,10 евро през първата година, плюс 30 677,51–71 580,86 евро годишни разходи за поддръжка. За по-малките компании сумите са по-ниски, но могат да представляват по-голям дял от оборота.
- Принципът на пропорционалност работи в две посоки. Съществените субекти не могат да твърдят, че „с няколко защитни стени и обучение веднъж в годината“ са изпълнили мярка 1 (управление на риска). Важните субекти не са длъжни да изграждат целия SOC.
- Шестте най-често пропускани мерки в проверките са: оценка на ефективността (мярка 6), управление на веригата за доставки (мярка 4), сигурност при разработване на софтуер (мярка 5), криптиране при съхранение (мярка 7), управление на активите (мярка 10) и непрекъснато обучение по киберхигиена (мярка 13). Това са и шестте, които МЕУ постоянно повтаря в указанията си.
- Доказателствата от 12 до 24 месеца преди проверката тежат повече от моментната снимка на средата. Една година логове, протоколи от тримесечни прегледи на риска, регистри на инциденти и обучения е по-силен аргумент пред проверяващия от нововнедрена SIEM система.
- Първите 90 дни след влизане в обхвата трябва да отидат за оценка на риска и политики, не за купуване на продукти. Около 60% от глобите от европейски аналози (Италия, Германия, Гърция) са за липса на писмена документация, а не за слаби технически контроли.
Когато пиша този текст в средата на май 2026 г., новият Закон за киберсигурност вече е в сила от януари, а преходният период за пълно съответствие изтича на 1 юни 2026 г. През последните три месеца съм провел над дузина първи срещи с ИТ директори на български компании, попаднали в обхвата на закона - производители, дистрибутори, енергийни оператори, болници, една по-голяма ИТ компания, две банки. Едно и също изречение се повтаря почти на всяка среща: „Имаме много неща, които вече правим. Не сме сигурни какво още точно ни искат.“
По-долу разглеждаме всяка от 13-те мерки с практически примери и ориентировъчни разходи. В края има план за 12 месеца, използван в осем компании през последните седем месеца.
Една забележка преди да продължим: числата за глоби и санкции в този текст се отнасят до текста на закона към момента на писане. МЕУ продължава да издава указания и тълкувания, така че пътната карта в края препоръчва тримесечен преглед, не еднократно внедряване.
Ако сте на средата на оценката си, ще откриете тук какво в момента пропускате. Ако още не сте започнали - имате около две до три седмици, за да започнете сериозно, преди следващата вълна от инспекции на МЕУ.
Раздел 1
Преглед на 13-те мерки
Член 21 от Закона за киберсигурност (българското транспониране на чл. 21 от Директива (ЕС) 2022/2555 - NIS2) изброява областите, в които задължените субекти трябва да въведат „подходящи и пропорционални технически, оперативни и организационни мерки“. Подзаконовата уредба разделя тези области на 13 практически категории, които прилагам по-долу. Когато проверяващ влезе в офиса ви, той ще ви иска доказателство за всяка една от тях поотделно.
Принципът на пропорционалност, който често чувам цитиран в защитна позиция („ние сме малки, законът ни позволява да правим по-малко“), всъщност има два аспекта. От една страна, подходът към риска и обемът на инвестицията трябва да са съразмерни с дейността, размера и реалния риск за компанията. От друга страна, не освобождава от никое от 13-те задължения. Малката счетоводна къща не е длъжна да поддържа 24/7 SOC, но е длъжна да има писмена политика за управление на инциденти, регистър на активите си, и тестван бекъп. Между „нищо“ и „пълен SOC“ има огромна пропорционална зона, в която трябва да попадне дейността ѝ.
Едно практическо разграничение: проверяващите от МЕУ и секторните регулатори (БНБ, КРС, МЗ) гледат за четири доказателствени елемента за всяка мярка: писмена политика (одобрена от ръководството, с дата на влизане в сила и определен отговорник), описание на процеса (стъпки, отговорници, периодичност), техническо изпълнение (екран, конфигурация, лог), и история на изпълнение (записи поне за последните 12 месеца, които показват, че процесът наистина работи). Липсата на който и да е от четирите превръща мярката в недоказуема, дори ако в действителност я изпълнявате.
Раздел 2
Шест чести пропуска при прилагането на мерките
От опита на първите проверки и от паралелните инспекции при италианския и гръцкия си екип, мога да изброя шестте мерки, които компаниите най-често смятат за изпълнени, но в действителност не са. Това са мерките, върху които си струва да съсредоточите усилието през първите 90 дни.
Мярка 1 — Управление на риска: редовен процес, а не еднократна оценка
Какво се изисква: писмена политика за управление на риска, методология за оценка (обикновено ISO 27005 или NIST RMF), регистър на рисковете с поне три обновявания на година, и протокол от тримесечен преглед на ниво ръководство. Какво виждам най-често: PDF на политика отпреди три години, регистър от един работен лист, попълнен веднъж в края на 2024 г., и нула протоколи от прегледи. Минимално за съответствие: 16 идентифицирани риска покриващи целия обхват, тримесечни прегледи, документирани решения за приемане/намаляване/прехвърляне.
Мярка 4 — Сигурност на веригата на доставки
Какво се изисква: регистър на всички ИКТ доставчици с достъп до системи или данни (хостинг, имейл, ERP, MDR, видеонаблюдение, печатни услуги, доставчик на SAP, и т.н.), оценка на риска за всеки, договорни задължения за сигурност (вкл. право на одит), и периодична проверка. Какво виждам най-често: списък с пет имена и нищо повече. Минимално за съответствие: 30 до 80 регистрирани доставчика за средна компания, оценка с матрица „критичен/важен/обикновен“, писмени въпросници (използваме SIG Lite на български), и преглед на ниво „критични“ минимум веднъж годишно.
Мярка 5 - Сигурност при разработка и поддръжка (за всяка компания, която има свой ИТ продукт)
Какво се изисква: писмен жизнен цикъл на разработката (SDLC) с включени стъпки за сигурност (моделиране на заплахи, прегледи на код, статичен анализ, динамичен анализ, тестване преди внедряване в работната среда), управление на уязвимости с срокове според тежестта за отстраняване (например критични - 7 дни, високи - 30 дни), и тестване на сигурността на собствените приложения минимум веднъж годишно. Какво виждам най-често: имейл от мениджъра към екипа „следете за сигурност“ и един тест за проникване отпреди две години. Минимално за съответствие: документиран SDLC, инструменти за статичен анализ (Semgrep, SonarQube), управление на уязвимости (DefectDojo, Jira), и годишен външен пентест.
Практична бележка за честотата: AI тестване за проникване позволява проверки при всяка нова версия на приложението. Автоматизацията обхваща параметрите за тестване, а повторната проверка е включена в услугата.
Мярка 6 — Проверка на ефективността на мерките
Какво се изисква: дефинирани показатели за всяка мярка (например „% от служителите, преминали обучение“, „среден брой пропуснати критични уязвимости“, „медианно време за решаване на инцидент“), регулярен преглед на тези показатели от ръководството, и документиран вътрешен одит на цялата програма за киберсигурност минимум веднъж годишно. Какво виждам най-често: нищо. Минимално за съответствие: 12 до 20 KPI, тримесечен преглед, годишен вътрешен одит с протокол и план за подобрения.
Мярка 10 — Управление на активите: актуален и пълен регистър
Какво се изисква: пълен регистър на ИТ активите (хардуер, софтуер, бази данни, услуги), собственик за всеки, класификация по чувствителност, и процес за поддръжката на регистъра (включително при придобиване и при бракуване). Какво виждам най-често: списък в Excel от 2023 г., 30% от записите вече не отговарят на реалността. Минимално за съответствие: автоматизирано откриване (например Microsoft Intune, Lansweeper, Snipe-IT), процес за тримесечен преглед, и съответствие между регистъра и това, което реално работи в мрежата.
Мярка 13 — Обучение по киберхигиена с измерими резултати
Предвидете годишно обучение за всички служители, специализирана подготовка за ИТ екипа и ръководството и фишинг симулации поне два пъти годишно. Чест пропуск е еднократното обучение без последващи проверки. Поддържайте доказателства за участие, измервайте резултатите и осигурявайте допълнително обучение на хората, които имат затруднения. Разработчиците се нуждаят и от обучение по сигурно програмиране.
Раздел 3
Останалите 7 мерки: бърз контролен лист
Останалите седем мерки обикновено са по-добре покрити в българските компании, защото съответстват на стандартни ИТ практики и/или вече са били част от изискванията на GDPR, ISO 27001 или други рамки. Това не означава, че трябва да ги пренебрегнете - означава, че градите върху съществуваща основа.
| Мярка | Минимум за съответствие | Често пропускано |
|---|---|---|
| 2. Управление на инциденти | Писмен план, дежурен екип, шаблон на уведомление, тестов сценарий веднъж годишно | Връзката към 24/72ч режим за докладване по чл. 17 |
| 3. Непрекъсваемост и копия | DR план с RTO/RPO за всяка критична система, тестване на възстановяване минимум веднъж годишно | Резервни копия, защитени от промяна и изтриване, и тест за възстановяване извън работната среда |
| 7. Криптография | TLS 1.2+ за всички външни услуги, BitLocker/LUKS за лаптопи, шифроване в покой на бази данни с лични данни | Управление на ключовете и процедура при компрометиран ключ |
| 8. Сигурност на персонала | Свидетелство за съдимост при наемане, NDA, процес за деактивиране на достъп в деня на напускане | Лог за всички действия по предоставяне и отнемане на достъп |
| 9. Контрол на достъпа | RBAC по роли, минимални права, тримесечен преглед на привилегировани акаунти, MFA за всички администратори | Преглед на сервизни акаунти, изолация на админ работни станции |
| 11. MFA и сигурни комуникации | MFA за всички VPN, SaaS, и привилегировани акаунти; имейл с DMARC/DKIM/SPF; защитен файлов трансфер за чувствителни документи | MFA, устойчиво на фишинг, например FIDO2, за служителите с критичен достъп |
| 12. Гласови / видеокомуникации | VoIP с TLS/SRTP, защита от измами с платени разговори, пароли за конференциите и резервен комуникационен канал | Авариен (out-of-band) комуникационен канал по време на инцидент |
Раздел 4
Колко струва изграждането на 13-те мерки
Ориентирите по-долу са от 8 проекта за български компании със 100–500 служители. За организации под 50 души разходите обикновено са по-ниски — 30 677,51–71 580,86 евро през първата година. Конкретният бюджет зависи от обхвата и вече въведените мерки.
| Категория разход | Първа година | Втора година + |
|---|---|---|
| Консултации: политики, оценка и анализ на пропуските | 20 451,68 - 56 242,11 евро | 9 203,25 - 20 451,68 евро |
| Услуга за външен CISO или ДЛЗД | 12 271,01 - 36 813,02 евро | 12 271,01 - 30 677,51 евро |
| Технологии: MFA, EDR, SIEM, скенер за уязвимости | 17 895,22 - 48 572,73 евро | 12 782,30 - 35 790,43 евро |
| SOC / MDR услуга (за съществени субекти) | 24 542,01 - 49 084,02 евро | 24 542,01 - 49 084,02 евро |
| Защитени резервни копия и инфраструктура за тях | 6 135,50 - 17 895,22 евро | 2 556,46 - 7 158,09 евро |
| Обучения и симулиран фишинг (KnowBe4 / др.) | 3 067,75 - 9 203,25 евро | 3 067,75 - 9 203,25 евро |
| Външен пентест и оценка на ефективността | 4 090,34 - 12 271,01 евро | 4 090,34 - 12 271,01 евро |
| Работно време на вътрешния екип и обучение | 17 895,22 - 40 903,35 евро | 9 203,25 - 20 451,68 евро |
| Общо (медиана) | 106 348,71 - 270 984,70 евро | 77 716,37 - 185 087,66 евро |
Таблицата показва разходите за изграждане от самото начало. Много компании вече имат 30–50% от необходимото — например MFA, резервни копия, защита на устройствата и обучения. При налична основа допълнителната инвестиция обикновено е около 40–60% от посочения общ бюджет.
Сравнение в перспектива: глобата за неизпълнение по чл. 21 е тежко нарушение и максималната санкция е до 5 112 918,81 евро за съществените субекти и до 3 579 043,17 евро за важните. Дори ако приемем средна санкция 127 822,97 евро в първите няколко случая, разходът за изпълнение пак е по-нисък от очаквания разход за санкции, особено имайки предвид допълнителните разходи при инцидент (възстановяване, репутация, искове).
Раздел 5
План за 12 месеца с ясни приоритети
Планът предполага работеща ИТ инфраструктура и екип. Ако поддръжката е възложена изцяло на външен доставчик и нямате вътрешен координатор, може да са нужни още 2–3 месеца за организацията на работата. Секторните изисквания на БНБ, КРС или МЗ също могат да добавят мерки или срокове — проверете ги още в началото.
Как Atlant Security помага
Цялостна подготовка и прилагане на мерките
Помагаме с целия процес: анализ на пропуските, политики, техническо внедряване и вътрешен одит. По задачите работят опитни консултанти. Договорите са на български, а плащането е след всеки етап.
- Първоначална оценка от 1 942,91 евро, изготвена за 14 дни
- Пакет „13 политики готови за подпис“ от 5 010,66 евро
- Услуга за външен ръководител по сигурността (vCISO), от 2 147,43 евро/месец
- Независим вътрешен одит и доклад за готовността през месеци 11–12
- Шаблони, регистри и списъци за проверка, съобразени с вашата организация
Често задавани въпроси
Въпросите, които всяка седмица чуваме
Имаме ISO 27001. Достатъчно ли е за изпълнение на 13-те мерки?
ISO 27001 покрива около 75–85% от изискванията според обхвата на системата за управление на информационната сигурност (СУИС). Обикновено остават специфичните срокове за докладване, договорните изисквания към доставчиците и участието на ръководството в прегледите. Допълнителната подготовка е ориентировъчно 30 677,51–61 355,03 евро.
Колко често ще ни проверяват?
Съществените субекти подлежат на проактивен надзор (планирани проверки) минимум веднъж на 2-3 години, плюс реактивен надзор (при инцидент или сигнал). Важните субекти подлежат на реактивен надзор основно - проверките им се пускат след инцидент, сигнал, или поискване от друг орган. На практика очаквайте първата проверка между Q3 2026 и Q2 2027 за съществените; за важните може да минат години без проверка, ако нямате инцидент.
Можем ли да възложим целия процес на външен изпълнител?
Можете да аутсорснете 80% от работата, но 20% трябва да остане вътре в компанията - и тези 20% включват най-важните решения: одобрението на политиките от ръководството, назначаването на отговорно лице по сигурността (CISO или координатор), участието в тримесечния преглед на риска, и докладването на инцидент. Това е законово задължение, което не може да се прехвърли към доставчик. Виртуалният CISO модел е добър компромис: външен експерт изпълнява задачата, но действа от името на компанията със собствена електронна поща и роля.
Какви документи реално носи проверяващият при инспекция?
Стандартен пакет: списък с искани документи (13 политики, регистри, протоколи), въпросник от около 60 въпроса (близо до SIG Lite), пълномощно и заповед за проверка, и контролен лист на проверяващия. Очаквайте първи ден - интервюта с ИТ, CISO, ръководство и юрист; втори ден - технически прегледи и проверки на конфигурация; трети ден (ако е необходим) - проследяване на отворени въпроси. Резултатите се обявяват с протокол в срок до 30 дни.
Какво се случва, ако не сме готови до 1 юни 2026 г.?
Технически след 1 юни сте в нарушение, ако сте в обхвата като субект. Практически: МЕУ е заявил, че първата вълна проверки ще е „образователна“ - първото нарушение се отбелязва с предписание и срок за отстраняване, не с глоба, освен ако нарушението не е тежко (например непосочване на координатор или пренебрегване на писмен сигнал за инцидент). Не разчитайте на това като стратегия - но ако имате основа и план, ще получите време. Ако нямате нищо, ще получите бърза глоба.
Каква е практическата основа за важен субект с 30–40 служители?
За компания с около 30 служители началната основа включва координатор, кратки политики с общ обем 30–40 страници, MFA, EDR, защитени резервни копия, годишно обучение и фишинг симулации два пъти годишно. Добавете тримесечен преглед на риска и регистър на 10–15 доставчика. Ориентировъчният бюджет е 17 895,22–40 903,35 евро през първата година и 12 782,30–25 564,59 евро годишно след това. Изпълнението трябва да бъде документирано.
След като сте дочели дотук, надявам се, че разликата между „имаме антивирусна и бекъп“ и „имаме доказуемо изпълнение на 13-те мерки“ е по-ясна. Преходът между двете е реална работа за 9 до 14 месеца, не за един уикенд. Дори и да започвате днес, тримесечието от 1 юни 2026 г. още е в обхвата на „първа вълна“ на МЕУ, в която ще получавате предписания, не санкции, ако имате план.
Ако още не сте започнали, отделете време тази седмица да уточните обхвата и да оцените наличните мерки с екипа си. Използвайте плана от раздел 5, определете отговорници и следете изпълнението. Това ще ви помогне да насочите усилията и бюджета към действителните пропуски.
Имате нужда от външен поглед или независима оценка? Запазете 30-минутна консултация или пишете директно на alexander@atlantsecurity.com.
