NIS2 · Регулации · Март 2026
За името: директивата се среща изписана по няколко начина: NIS2, NIS 2, НИС2, НИС 2, а понякога и МИС 2 при транслитерация. Става дума за един и същ документ: Директива (ЕС) 2022/2555. В България тя е въведена със Закона за киберсигурност (ЗКС).
Директива (ЕС) 2022/2555 (NIS2) засяга хиляди български компании. Пълно практическо ръководство: кой попада в обхвата, какви са изискванията, какви са глобите и как да постигнете съответствие стъпка по стъпка.
Ключови изводи
- NIS2 заменя първата директива NIS1 (2016) и значително разширява обхвата - от стотици на хиляди задължени субекти в ЕС
- Българските компании от 18 сектора с над 50 служители или над 10 млн. EUR оборот попадат в обхвата
- Глобите достигат до 10 млн. EUR или 2% от глобалния оборот за съществени субекти
- Изискванията включват управление на риска, докладване на инциденти (24 ч./72 ч./30 дни), сигурност на веригата за доставки и лична отговорност на ръководството
- ISO 27001 покрива около 70-80% от техническите изисквания на NIS2, но не всичко
- Транспонирането в българското законодателство е в процес чрез актуализация на Закона за киберсигурност
През последните 18 месеца едно от най-честите запитвания, които получавам от българските компании, е: „Попадаме ли в обхвата на NIS2 и какво трябва да направим?“
Въпросът не е случаен. Директива (ЕС) 2022/2555, по-известна като NIS2, е най-мащабната регулация в областта на киберсигурността, приемана някога от Европейския съюз. Тя засяга над 160 000 организации в ЕС - включително стотици, вероятно хиляди в България.
И все пак, въпреки значимостта на директивата, голяма част от засегнатите компании все още не са предприели конкретни стъпки. Някои дори не знаят, че попадат в обхвата.
В това ръководство разглеждам NIS2 от гледната точка на консултант по киберсигурност, който ежедневно помага на компании да изпълняват такива изисквания. Ще представя конкретен план за действие.
Основи
Какво е NIS2 и защо беше създадена?
Директива (ЕС) 2022/2555 за мрежова и информационна сигурност (NIS2) беше приета от Европейския парламент и Съвета на ЕС на 14 декември 2022 г. и влезе в сила на 16 януари 2023 г. Тя замества първата директива NIS (Директива (ЕС) 2016/1148), известна като NIS1.
Защо беше нужна нова директива? Защото NIS1 имаше сериозни недостатъци:
- Твърде тесен обхват - NIS1 засягаше само „оператори на съществени услуги“ и „доставчици на цифрови услуги“, като всяка държава-членка определяше сама кои компании попадат
- Неуеднаквено прилагане - държавите членки въвеждаха директивата по различен начин, което доведе до нееднакви изисквания
- Слаби санкции - липсваше хармонизиран режим на глоби, което намаляваше стимулите за спазване
- Недостатъчно управление на риска - изискванията бяха твърде общи и не отчитаха актуалните заплахи
NIS2 цели да преодолее тези проблеми. Основните разлики са:
| Параметър | NIS1 (2016) | NIS2 (2022) |
|---|---|---|
| Обхват | 7 сектора, ~10 000 субекта в ЕС | 18 сектора, ~160 000+ субекта |
| Класификация | OES + DSP | Съществени и важни субекти |
| Определяне на обхвата | Всяка държава решава самостоятелно | Единни критерии (size-cap rule) |
| Глоби | По преценка на държавите | До 10 млн. EUR / 2% оборот |
| Докладване на инциденти | 72 часа (без етапи) | 24 ч. + 72 ч. + 30 дни |
| Верига за доставки | Не е изрично уредена | Изрично изискване |
| Отговорност на ръководството | Не е посочена | Лична отговорност + обучение |
Защо това е важно за България?
България като член на ЕС е задължена да транспонира NIS2 в националното си законодателство. Това означава, че изискванията не са пожелателни - те ще станат закон. Компаниите, които не се подготвят навреме, ще се изправят пред значителни глоби и оперативни ограничения.
Обхват
Кои български компании трябва да спазват NIS2?
NIS2 въвежда т.нар. „size-cap rule“ (правило, основано на размера на предприятието). То определя дали компанията попада в обхвата. Ако работи в някой от посочените сектори и е поне средно предприятие (50+ служители или 10+ млн. EUR годишен оборот), вие попадате в обхвата.
Съществени субекти (Essential Entities): приложение I
Съществените субекти са организации от секторите с най-висока критичност. За тях се прилага проактивен надзор (без да е необходим инцидент, за да бъдат проверени):
| Сектор | Примери в България |
|---|---|
| Енергетика | НЕК, ЕСО, ЧЕЗ Разпределение, EVN, Енерго-Про, АЕЦ Козлодуй |
| Транспорт | БДЖ, Летище София, пристанища Бургас/Варна, товарни оператори |
| Банков сектор | Банки, лицензирани от БНБ, включително ДСК, Уникредит Булбанк и Райфайзен |
| Финансова инфраструктура | Централен депозитар, БФБ, платежни системи |
| Здравеопазване | Болници, НЗОК, фармацевтични компании, лаборатории |
| Питейна вода | Софийска вода, ВиК дружества |
| Отпадъчни води | Пречиствателни станции |
| Цифрова инфраструктура | Точки за обмен на интернет трафик (IXP), DNS услуги, регистри на домейни от първо ниво (TLD), центрове за данни, CDN и облачни доставчици |
| Управление на ИКТ услуги (B2B) | Доставчици на управлявани ИТ услуги (MSP) и управлявани услуги по сигурност (MSSP) |
| Публична администрация | Министерства, агенции, ДАЕУ |
| Космически сектор | Оператори на наземна инфраструктура |
Важни субекти (Important Entities): приложение II
Важните субекти подлежат на реактивен надзор (проверяват се при инцидент или сигнал). Секторите включват:
- Пощенски и куриерски услуги - Български пощи, Еконт, Спиди
- Управление на отпадъци - оператори на депа и рециклиращи предприятия
- Химическа промишленост - производство, съхранение, дистрибуция
- Хранително-вкусова промишленост - големи производители и дистрибутори
- Производство - медицински изделия, компютри, електроника, машиностроене, автомобилостроене
- Цифрови доставчици - онлайн пазари, търсачки, социални платформи
- Научноизследователска дейност - изследователски организации
Внимание: Изключения от правилото за размера
Някои организации попадат в обхвата на NIS2 независимо от размера си: доставчици на DNS услуги, TLD регистри, доставчици на удостоверителни услуги (qualified trust services), телекомуникационни оператори и публична администрация. Дори малка компания, предоставяща DNS или cloud услуги, може да бъде задължен субект.
Българският контекст: институции и транспониране
В България ключовите институции, свързани с NIS2, са:
- Министерство на електронното управление (МЕУ) - координиращ орган за киберсигурност на национално ниво
- CERT България (CERT.BG) - национален екип за реагиране при инциденти, към когото се докладват киберинциденти
- КЗЛД (Комисия за защита на личните данни) - при инциденти, засягащи лични данни, паралелно задължение за докладване по GDPR
- Закон за киберсигурност - основният национален закон, който транспонира NIS директивите; предстои актуализация за NIS2
Крайният срок за транспониране на NIS2 в национално законодателство беше 17 октомври 2024 г. Към март 2026 г. процесът в България все още е в ход - подобно на повечето държави-членки. Независимо от статуса на транспонирането, компаниите следва да се подготвят сега, тъй като изискванията ще бъдат приложени ретроактивно към датата на транспониране.
Изисквания
Основни изисквания на NIS2 (член 21)
Член 21 определя минималните мерки за управление на рисковете за киберсигурността. По-долу разглеждаме основните области.
1. Политики за анализ на рисковете и сигурност на информационните системи
Антивирусната програма и защитната стена не са достатъчни. NIS2 изисква формализиран, документиран процес за идентифициране, анализ и управление на рисковете. Това означава:
- Редовна оценка на рисковете: поне веднъж годишно и при значителни промени
- Документирани политики за информационна сигурност
- Класификация на активите и информацията
- Определяне на приемливо ниво на риск
2. Реакция при инциденти
NIS2 въвежда тристепенна система за докладване на инциденти:
| Етап | Срок | Какво трябва да включва |
|---|---|---|
| Ранно предупреждение | 24 часа | Уведомление, че е възникнал значителен инцидент; дали се подозира злонамерено действие; дали може да има трансгранично въздействие |
| Уведомление за инцидент | 72 часа | Актуализация с предварителна оценка на инцидента, тежест и въздействие, индикатори за компрометиране (IoC) |
| Окончателен доклад | 30 дни | Подробно описание на инцидента, основна причина, предприети мерки, трансгранично въздействие |
Практическа реалност
24 часа е изключително кратък срок. Ако нямате предварително подготвен план за реагиране при инциденти, шаблони за докладване и определени отговорни лица, няма да успеете да спазите този срок. Подготовката трябва да започне преди инцидентът да се случи.
3. Непрекъснатост на дейността и управление на кризи
Организациите трябва да имат планове за непрекъснатост на дейността (BCP), планове за възстановяване при бедствия (DRP) и процедури за управление на кризи. Това включва резервни копия, планове за възстановяване и тестване на тези планове.
4. Сигурност на веригата за доставки
Това е едно от най-значимите нововъведения на NIS2. Организациите трябва да:
- Оценяват киберсигурността на своите доставчици и подизпълнители
- Включват изисквания за сигурност в договорите с доставчици
- Следят рисковете по веригата за доставки непрекъснато
- Оценяват качеството на продуктите и практиките за киберсигурност на доставчиците си
5. Сигурност при придобиване, разработка и поддръжка на мрежови и информационни системи
Това включва управление и оповестяване на уязвимости. Ако разработвате софтуер или използвате системи, създадени по поръчка, трябва да имате процес за управление на уязвимостите.
6. Оценка на ефективността на мерките за управление на риска
Не е достатъчно да внедрите мерки - трябва да тествате и оценявате дали работят. За целта се използват тестове за проникване, одити и редовни оценки на сигурността.
7. Основни практики за киберхигиена и обучение
NIS2 изрично изисква обучение на служителите по въпросите на киберсигурността. Това не е просто „добра практика“ - това е правно задължение.
8. Криптография и криптиране
Политики и процедури за използване на криптография и, когато е подходящо, за криптиране на данните при съхранение и пренос.
9. Сигурност на човешките ресурси и контрол на достъпа
Управление на достъпа, многофакторна автентикация (MFA), управление на привилегировани акаунти и политики за сигурност на служителите.
10. Отговорност на ръководството (член 20)
Лична отговорност на управителите
Член 20 е безпрецедентен: ръководните органи (управителен съвет, управител, изпълнителен директор) носят лична отговорност за одобряване на мерките за управление на риска и за надзора на тяхното прилагане.
Ръководството трябва да преминава обучение по киберсигурност и да осигурява обучение за служителите. Незнанието вече не е извинение - то е нарушение.
Санкции
Глоби и санкции при неспазване
NIS2 въвежда хармонизиран режим на санкции, подобен по структура на GDPR. Глобите са значителни и зависят от категорията на субекта:
| Категория | Максимална глоба | Допълнителни мерки |
|---|---|---|
| Съществени субекти | 10 000 000 EUR или 2% от глобалния годишен оборот (което е по-високо) | Временно спиране на сертификации, забрана за упражняване на управленски функции |
| Важни субекти | 7 000 000 EUR или 1,4% от глобалния годишен оборот (което е по-високо) | Задължителни одити, разпореждания за съответствие |
Но глобите не са единственият риск. NIS2 предвижда и:
- Временно спиране на дейности - компетентните органи могат да разпоредят спиране на определени дейности до отстраняване на нарушенията
- Публично оповестяване - решенията за нарушения могат да бъдат публикувани, което е репутационен удар
- Лична отговорност - физическите лица, упражняващи управленски функции, могат да бъдат подведени под лична отговорност
- Забрана за заемане на ръководна длъжност - при повторни нарушения, за съществени субекти
Какво означава това на практика?
За българска компания с оборот от 50 млн. EUR максималната глоба би била 1 000 000 EUR (2% от оборота). За компания с оборот от 500 млн. EUR - 10 000 000 EUR. Плюс репутационните щети, загубата на клиенти и потенциалната лична отговорност на управителите.
Пътна карта
План за съответствие с NIS2 стъпка по стъпка
Въз основа на нашия опит с десетки компании, ето практическия план за постигане на съответствие с NIS2:
Стъпка 1: Анализ на пропуските (седмици 1-4)
Първата стъпка е да разберете къде се намирате сега спрямо изискванията на NIS2. Анализът на пропуските включва:
- Определяне дали попадате в обхвата (съществен или важен субект)
- Преглед на съществуващите политики, процедури и технически контроли
- Идентифициране на пропуските спрямо чл. 21 на NIS2
- Подреждане на действията според риска и сложността на изпълнение
- Изготвяне на доклад с конкретни препоръки и график
Стъпка 2: Оценка на рисковете (Седмици 3-8)
- Инвентаризация на информационните активи
- Идентифициране на заплахите и уязвимостите
- Оценка на вероятността и въздействието
- Разработване на план за третиране на рисковете
- Документиране на приемливото ниво на остатъчен риск
Стъпка 3: Разработване на политики и процедури (Седмици 6-14)
- Политика за информационна сигурност
- Политика за управление на инциденти
- План за непрекъснатост на дейността (BCP) и възстановяване при бедствия (DRP)
- Политика за сигурност на веригата за доставки
- Политика за контрол на достъпа
- Политика за криптография
- Процедури за управление на уязвимостите
- Политика за обучение на служителите
Стъпка 4: Въвеждане на технически мерки (седмици 8-20)
- Внедряване на MFA за всички критични системи
- Разделяне на мрежата на сегменти и наблюдение на трафика
- Криптиране на данните при съхранение и пренос
- SIEM или централизирано събиране на системни журнали
- Програма за управление на уязвимостите
- Проверка на резервните копия и тестове за възстановяване
- Откриване и реакция при заплахи за крайните устройства (EDR)
Стъпка 5: План за реакция при инциденти (седмици 10-16)
- Изготвяне на план за реакция при инциденти, съобразен със сроковете по NIS2
- Определяне на отговорниците: ръководител на реакцията, екип за комуникация и технически екип
- Изготвяне на шаблони за докладване към CERT.BG
- Провеждане на учения по сценарии
- Установяване на контакт с CERT.BG преди инцидент
Стъпка 6: Оценка на веригата за доставки (Седмици 12-20)
- Инвентаризация на всички критични доставчици
- Оценка на киберсигурността на ключовите доставчици (чрез въпросници, одити или сертификати)
- Актуализиране на договорите с клаузи за киберсигурност
- Изграждане на процес за текущо наблюдение
Стъпка 7: Обучение и осведоменост (Седмици 14-22)
- Обучение на ръководството - задължително по чл. 20, включва разбиране на рисковете и отговорностите
- Обучение по киберсигурност за всички служители: разпознаване на фишинг, сигурност на паролите и защита от социално инженерство
- Специализирано обучение за техническия екип: реакция при инциденти и сигурна разработка на софтуер
- Документиране на обученията (дати, участници, теми)
Стъпка 8: Подготовка за одит и непрекъснато подобрение (Седмици 20-26)
- Вътрешен одит на съответствието
- Коригиращи действия по установените несъответствия
- Събиране на доказателства за изпълнението на мерките
- Тестове за проникване и оценка на уязвимостите
- Изграждане на процес за редовен преглед и подобрение
Реалистични очаквания
За компания, която започва от нулата, пълното съответствие с NIS2 отнема 6-12 месеца. За компании, които вече имат ISO 27001, процесът може да се съкрати до 3-6 месеца. Ключовият фактор е ангажиментът на ръководството и наличието на вътрешни ресурси.
Сравнение
NIS2, ISO 27001 и GDPR: къде се припокриват?
Един от най-честите въпроси, които получавам: „Ако имаме ISO 27001, покрива ли NIS2?“ Краткият отговор: не изцяло, но значително помага. Ето детайлното сравнение:
| Изискване | NIS2 | ISO 27001 | GDPR |
|---|---|---|---|
| Оценка на рисковете | (DPIA) | ||
| Политики за сигурност | (чл. 32) | ||
| Докладване на инциденти | (24ч/72ч/30д) | (без срокове) | (72ч към КЗЛД) |
| Сигурност на веригата за доставки | (подробно) | (Annex A 5.19-5.23) | (чл. 28 DPA) |
| Непрекъснатост на дейността | (Annex A 5.30) | (чл. 32.1.в) | |
| Криптиране | (Annex A 8.24) | (чл. 32.1.а) | |
| Контрол на достъпа / MFA | (Annex A 8.5) | (непряко) | |
| Обучение на служители | (7.2, 7.3) | (добра практика) | |
| Лична отговорност на ръководството | (изрично) | (5. Leadership) | |
| Обучение на ръководството | (задължително) | ||
| Управление на уязвимостите | (Annex A 8.8) | ||
| Глоби | До 10 млн. EUR / 2% | Няма (доброволен) | До 20 млн. EUR / 4% |
| Право на субекта на данни | (обширно) |
Моята препоръка
Ако нямате ISO 27001, започнете с анализ на пропуските спрямо NIS2 и паралелно въведете система по ISO 27001. Изискванията се припокриват на 70-80%, затова работата може да върви паралелно. ISO 27001 дава структура за управление на сигурността, а NIS2 добавя регулаторни задължения, включително срокове за докладване и отговорности на ръководството. Ако вече прилагате ISO 27001, проверете кои допълнителни изисквания на NIS2 остават неизпълнени.
Срокове
Срокове: кога трябва да сте готови?
| Дата | Събитие | Статус |
|---|---|---|
| 16 януари 2023 | NIS2 влиза в сила на ниво ЕС | Завършено |
| 17 октомври 2024 | Краен срок за транспониране в национално законодателство | В процес (BG) |
| 17 април 2025 | Списък на съществени и важни субекти (всяка държава) | Предстои (BG) |
| 2025-2026 | Очаквано приемане на българския закон, транспониращ NIS2 | Очаквано |
| 17 октомври 2027 | Преглед на функционирането на директивата от Европейската комисия | Планирано |
Не чакайте транспонирането
Много компании правят грешката да чакат финалния закон. Но NIS2 изискванията са вече ясни - те са в директивата. Националният закон ще определи конкретния компетентен орган и евентуални допълнителни изисквания, но минимумът е фиксиран на ниво ЕС. Компаниите, които чакат, ще се озоват в ситуация, в която имат месеци, а не години, за да постигнат съответствие.
Нашата помощ
Как Atlant Security помага за съответствие с NIS2
В Atlant Security сме помагали на десетки компании в България и Европа да изпълняват изисквания за киберсигурност по GDPR, ISO 27001, SOC 2, DORA и NIS2. За NIS2 предлагаме:
Анализ на пропуските спрямо NIS2
Проверяваме доколко изпълнявате изискванията на NIS2. Получавате подробен доклад с установените пропуски, препоръки по приоритет и реалистичен график. Обичайният срок е 2-4 седмици.
Разработване на политики и процедури
Изготвяме необходимите политики и процедури според дейността, инфраструктурата и нуждите на вашата компания.
Въвеждане на технически мерки
Помагаме с MFA, SIEM, EDR, сегментиране на мрежата, криптиране и управление на уязвимостите. Работим съвместно с вашия ИТ екип или самостоятелно.
План за реакция при инциденти и учения
Изготвяме план за реакция при инциденти, съобразен със сроковете по NIS2. Провеждаме учения по сценарии с вашия екип, за да проверим дали планът може да се изпълни на практика.
Обучение за ръководството и служителите
Провеждаме обучения за ръководството съгласно член 20, практически обучения за служителите и специализирана подготовка за ИТ екипа.
Оценка на веригата за доставки
Оценяваме сигурността на ключовите ви доставчици, помагаме да актуализирате договорите и изграждаме процес за текущо наблюдение на рисковете, свързани с тях.
Често задавани въпроси
Често задавани въпроси за NIS2
Нашата компания има 45 служители, но оборотът е над 10 млн. EUR. Попадаме ли в обхвата?
Да. Size-cap правилото е „или/или“ - достатъчно е да изпълнявате един от двата критерия (50+ служители ИЛИ 10+ млн. EUR оборот), за да попаднете в обхвата, при условие че работите в посочен сектор. При оборот над 10 млн. EUR сте най-малко средно предприятие. Ако основното затруднение е събирането на доказателства, ISO 27001 модулът на Venvera събира на едно място контролите от приложение А, декларацията за приложимост и доказателствата за всеки контрол.
Имаме ISO 27001 сертификация. Достатъчно ли е това за NIS2?
Не изцяло, но сте на 70-80% от пътя. ISO 27001 покрива повечето технически изисквания, но NIS2 добавя специфични изисквания: 24-часово ранно предупреждение, задължително обучение на ръководството, по-строги изисквания за верига за доставки и лична отговорност на управителите. Ще трябва да допълните няколко ключови области.
Къде докладваме инцидентите в България?
Към CERT България (CERT.BG), който функционира като национален CSIRT. При инциденти, засягащи лични данни, паралелно докладвате и към КЗЛД съгласно GDPR (72 часа по чл. 33). NIS2 изисква уведомление до компетентния CSIRT и/или компетентния орган (определен от националния закон).
Какво означава „значителен инцидент“ по NIS2?
Инцидент е „значителен“, ако: (а) е причинил или може да причини сериозни оперативни смущения или финансови загуби; или (б) е засегнал или може да засегне физически или юридически лица, причинявайки им значителни щети. Инцидент със софтуер за изнудване, изтичане на данни или DDoS атака, която блокира услугите, обикновено попада в тази категория.
Като подизпълнител на компания в обхвата на NIS2, попадаме ли и ние?
Не автоматично - NIS2 се прилага директно към субектите в обхвата. Но вашите клиенти ще бъдат задължени да оценяват киберсигурността ви и да включват изисквания в договорите. На практика, ако сте доставчик на критични ИКТ услуги, ще трябва да покажете адекватно ниво на сигурност, за да запазите бизнес отношенията.
Какъв е реалистичният бюджет за съответствие с NIS2?
Зависи от наличните мерки и процеси. За средно предприятие със 100-250 служители ориентирите са: анализ на пропуските: 5 000-15 000 EUR; политики и процедури: 8 000-25 000 EUR; технически контроли: 15 000-80 000 EUR (зависи от наличната инфраструктура); обучение: 3 000-10 000 EUR; текуща поддръжка: 5 000-20 000 EUR/год. Общо: 36 000-150 000 EUR за първата година, значително по-малко при наличие на ISO 27001.
NIS2 изисква ли сертификация?
Не изрично. За разлика от ISO 27001, NIS2 не изисква формална сертификация от трета страна. Изисква се спазване на изискванията, което се проверява от компетентните органи чрез надзор и одити. Въпреки това, наличието на ISO 27001 или друга сертификация значително улеснява демонстрирането на съответствие. Европейската комисия може в бъдеще да въведе европейски схеми за сертификация по киберсигурност.
Каква е разликата между NIS2 и DORA?
DORA (Digital Operational Resilience Act) е специфичен за финансовия сектор (банки, застрахователи, платежни институции, инвестиционни посредници). NIS2 е по-широкообхватна и покрива 18 сектора. За финансовите институции DORA се прилага като lex specialis - т.е. има предимство в областите, които регулира, но NIS2 все пак може да се прилага за аспекти, които DORA не покрива.
Нуждаете се от помощ с NIS2? Услугата ни за съответствие с NIS2 обхваща проверка дали попадате в обхвата, десетте мерки по член 21, регистрацията и подготовката на доказателства за проверка.
Нуждаете се от помощ за съответствие с NIS2?
Ще ви помогнем да определите дали попадате в обхвата, къде са пропуските ви и какъв е оптималният план за действие.
По време на безплатната 30-минутна консултация ще обсъдим състоянието на компанията, сектора и приложимите изисквания, за да определим следващите стъпки.
Публикувано: Март 2026 · Автор: Александър Свердлов
Статията е с информативен характер и не представлява правен или професионален съвет. За конкретни въпроси относно съответствието с NIS2 се обърнете към квалифициран консултант по киберсигурност или юрист.
