NIS2 за общините до 1 юни 2026 г.: какво трябва да направи всеки кмет до края на преходния период
Alexander Sverdlov
Анализатор по сигурността
Основни изводи
- Всички 264 общини в България са съществени субекти по новия Закон за киберсигурност (транспониращ NIS2), независимо от размера. Това е изрично записано в Анекс 1, сектор „Публична администрация".
- Срокът за пълно съответствие е 1 юни 2026 г., по-малко от 17 дни от датата на публикуване на тази статия. Глобите за неспазване достигат 10 000 000 лв. за общината и 100 000 лв. лично за кмета или секретаря, плюс временна забрана за управление.
- Реалистичната цена за пълно изграждане на минимално съответствие за община със 100 до 500 души администрация е от 180 000 до 720 000 лв. през първата година, плюс 90 000 до 280 000 лв. оперативна годишна издръжка.
- Шест от 13-те задължителни мерки са почти универсално неизпълнени към днешна дата в българските общини: оценка на риска, политика за управление на инцидентите, верига за доставки, обучение на ръководството, тестване на ефективността, и пълна криптография.
- Обществената поръчка по ЗОП за избор на доставчик на услуги по киберсигурност е критичен момент - 72 процента от общинските поръчки в тази област са обжалвани или прекратени през последните 24 месеца поради проблеми в техническите спецификации.
- МЕУ и националният CSIRT предоставят споделени услуги (мониторинг, поделена платформа за докладване), но не заместват вътрешната отговорност. Общината остава административно-наказателно отговорна за всеки пропуск.
През март ни се обади секретарят на една община в Северозападна България, 14 000 жители, 87 души администрация. Кметът беше получил писмо от областния управител, в което се припомняше срокът 1 юни 2026 г. и се напомняше, че при просрочване „ще бъдат прилагани санкции по чл. 53 и сл. от Закона за киберсигурност". Кметът беше предал писмото на секретаря с една ръчно написана бележка отгоре: „Това какво означава за нас, обади ми се до утре".
Секретарят беше срещу нова работа по време на бюджетна година, когато общинският бюджет вече беше гласуван. Имаше 28 работни станции, две сървърни в общинската администрация плюс отделна архивна стая, един IT-отговорник на половин щат който отговаряше и за принтерите, и общ бюджет за информационни технологии за цялата 2026 г. от 42 000 лв. Имаше и две одобрени европейски проекти, които щяха да се ревизират на одит, ако се установи неспособност за защита на личните данни на гражданите.
Беше прочел Закона за киберсигурност. Беше прочел дори списъка с 13-те минимални мерки в чл. 21. Беше се опитал да разбере какво точно общината му трябва да направи и в какъв ред. Не беше успял да структурира план, който да побере в наличния бюджет, времето до 1 юни и кадровия капацитет на администрацията.
Това е дългата версия на разговора, който проведохме с него през следващите две седмици. Описва защо всяка община е в обхвата, кои са шестте най-често пропуснати мерки, реалистичната цена в лева, как се обявява обществената поръчка така че да не бъде обжалвана, и шестмесечната пътна карта която работи в реалните условия на българска община. Същата рамка вече се прилага в осем общини, с които работим в момента.
Раздел Първи
Защо общините са в обхвата без изключение
Новият български Закон за киберсигурност, обнародван в Държавен вестник на 13 февруари 2026 г., транспонира европейската директива NIS2 в българското право. В Анекс 1 към закона, сектор „Публична администрация", т. 1 изрично включва „органите на местното самоуправление" - тоест общините и кметствата. Това не е праг-зависима категория, не зависи от броя на жителите, не зависи от бюджета. Всяка община, независимо дали обслужва 1 200 души или 1 200 000, е съществен субект по смисъла на закона.
Това е голяма разлика спрямо първоначалния NIS от 2016 г., който оставяше публичния сектор до голяма степен извън хармонизиран режим. NIS2 затваря тази вратичка съзнателно: общините управляват критични регистри за гражданите (Местни данъци и такси, Гражданско състояние, Социални услуги), оперират сериозна ИТ инфраструктура и са доказано уязвими цели на криминални групи. Атаките срещу Стара Загора (2022), Свищов (2023), Айтос (2024) и редица други по-малки общини през 2025 г. показват, че рисковете не са теоретични.
Като съществени субекти общините дължат следните основни задължения по закона:
- Регистрация в МЕУ. Подаване на регистрационни данни в специалния регистър на съществените субекти в срок 30 дни от датата, на която субектът е установил, че попада в обхвата.
- 13-те минимални мерки по чл. 21. Технически и организационни мерки, обхващащи оценка на риска, политики, реакция при инциденти, непрекъсваемост на дейността, верига за доставки, придобиване и развитие на ИТ, оценка на ефективността, обучение, криптография, кадрова политика, контрол на достъп, активи, и многофакторно удостоверяване.
- Докладване на инциденти. 24-часово ранно предупреждение, 72-часово разширено уведомление, финален доклад в срок до 30 дни. Адресатът е националният CSIRT в МЕУ.
- Лична отговорност на кмета. Като представляващ субекта, кметът подлежи на административна отговорност и временна забрана за управление по чл. 56 ал. 2 при груба небрежност.
- Готовност за проверка. МЕУ и държавна агенция „Електронно управление" имат правомощия за извършване на инспекции, изискване на документи и достъп до системи в качеството им на надзорни органи.
Има едно често срещано недоразумение: че МЕУ ще се „погрижи" чрез споделени услуги. Споделените услуги (мониторинг през CSIRT-BG, поделена платформа за докладване, портал на DigitalSky) са важни и трябва да се ползват, но те не освобождават общината от собствените задължения. Регистрация, политики, обучение, ICT инвентар, журнали, контрол на достъп - всичко това си остава отговорност на общинската администрация.
Раздел Втори
Шестте най-често пропуснати мерки в общините
От осемте текущи изпълнения в общинска среда през последните 12 месеца, едни и същи шест мерки се появяват като критични пропуски. Това не са изключения - това е средната стартова позиция на българската община през пролетта на 2026 г.
1. Оценка на риска (чл. 21 ал. 1 т. 1)
Изисква се документирана оценка на риска за всеки актив и процес, която се преразглежда поне веднъж годишно. В средната община откриваме една обща „политика за управление на риска" от 2019 г. без приложение, без регистър на рисковете, без оценки. На проверка проверяващият иска да види регистър с поне 40 до 80 записи за община със 100 души администрация - идентификация, оценка на вероятност и въздействие, отговорник, мерки. Този регистър не може да се „произведе" за един следобед.
2. Реакция при инциденти (чл. 21 ал. 1 т. 2)
Документирана политика, ясно дефинирани роли, нощни телефони, разпределение между МЕУ-CSIRT и кмета, шаблони на 24-часовото и 72-часовото уведомление, доказателство за поне едно проведено учение. В типичната община има шаблон, който никой не е тествал. На реален инцидент е почти неминуемо изпускане на 24-часовия срок, защото никой не знае кой набира коя точка за контакт.
3. Сигурност на веригата за доставки (чл. 21 ал. 1 т. 4)
Общините имат десетки доставчици: общинско предприятие за софтуер, фирма за поддръжка на МДТ системата, лиценз на местния офис пакет, услуга за SMS-известия на гражданите, поддръжка на видеонаблюдение, IT-аутсорсинг, ERP, GIS, хостинг на сайта. Законът изисква документирана политика за оценка и наблюдение на тези доставчици, плюс конкретни клаузи в договорите. В практиката този раздел е празен в 100% от общините, които посещаваме при стартиране на ангажимент.
4. Обучение на ръководството (чл. 21 ал. 2)
Кметът, заместниците и общинският секретар са длъжни да преминат документирано обучение по киберсигурност. Това не е общо обучение „по противопожарна безопасност и киберсигурност" - изисква се специфично обучение с протокол, присъствен лист, и доказан учебен план. Без него проверяващият има директна форма за административно нарушение по чл. 56 ал. 1 т. 9 - до 50 000 лв. лично за кмета и до 1 000 000 лв. за общината.
5. Тестване на ефективността на мерките (чл. 21 ал. 1 т. 6)
Не е достатъчно да си купите EDR. Длъжни сте да тествате дали работи. Изисквания: тест на възстановяване от резервно копие поне веднъж годишно (с документиран резултат), тестово възпроизвеждане на сценарий за инцидент поне веднъж годишно, проверка дали MFA работи срещу „фалшиво кликване". Това е раздел, който почти никой в общините не прави, защото никой не знае как изглежда тестов протокол.
6. Криптография и многофакторно удостоверяване (чл. 21 ал. 1 т. 8 и т. 12)
Дискове на работни станции трябва да са криптирани (BitLocker или еквивалент). Електронната поща с лични данни трябва да е защитена. Достъпът до критични системи изисква MFA. В средната община намираме MFA само на админ-достъпа към домейн контролера; служителите ползват самостоятелни пароли, които сменят веднъж годишно. Пълното разпространение на MFA до всеки служител, който има достъп до МДТ, ЕСГРАОН-копие, бюджетни модули или АИС, е работа за 8 до 12 седмици в типична община.
Раздел Трети
Реална цена за общинска администрация
Числата по-долу са усреднени реални оферти и проекти от текущи изпълнения в български общини през 2025-2026 г. „Малка община" означава 30-80 души администрация, една сграда, 25-60 работни станции. „Средна община" означава 100-300 души, 2-4 сгради, 80-200 работни станции. „Голяма община" означава областен център или столично-областна община с над 300 души и над 200 работни станции.
| Категория разход | Малка община | Средна община | Голяма община |
|---|---|---|---|
| Външен консултант (gap, политики, SSP, обучение) | 28 000 - 56 000 лв. | 62 000 - 120 000 лв. | 140 000 - 280 000 лв. |
| Сегментация на мрежата (firewall, switch, VLAN) | 12 000 - 28 000 лв. | 35 000 - 72 000 лв. | 90 000 - 220 000 лв. |
| EDR / антивирусна защита и хардуниране | 6 000 - 18 000 лв./г. | 18 000 - 54 000 лв./г. | 48 000 - 140 000 лв./г. |
| MFA (Microsoft / лицензи Entra ID P1) | 4 800 - 14 400 лв./г. | 12 000 - 36 000 лв./г. | 36 000 - 92 000 лв./г. |
| SIEM / журнали (споделена услуга на МЕУ е опция) | 0 - 12 000 лв./г. | 8 000 - 28 000 лв./г. | 22 000 - 72 000 лв./г. |
| Резервни копия (с тест на възстановяване) | 6 000 - 14 000 лв. | 14 000 - 38 000 лв. | 42 000 - 120 000 лв. |
| Обучение на служителите и ръководството | 4 000 - 9 000 лв. | 9 000 - 22 000 лв. | 22 000 - 48 000 лв. |
| Тестове за проникване (пентест 1 път/г.) | 12 000 - 28 000 лв. | 22 000 - 48 000 лв. | 48 000 - 95 000 лв. |
| Вътрешно време (служителски часове) | 18 000 - 40 000 лв. | 40 000 - 92 000 лв. | 92 000 - 210 000 лв. |
| Първа година - общо | 90 800 - 219 400 лв. | 220 000 - 510 000 лв. | 540 000 - 1 277 000 лв. |
| Втора година + (текуща издръжка) | 45 000 - 110 000 лв./г. | 110 000 - 260 000 лв./г. | 280 000 - 720 000 лв./г. |
Една средна община със 150 души администрация реалистично се намира в обхвата 220 000 до 510 000 лв. през първата година, в зависимост от стартовата позиция. Това е значителна сума на фона на годишните общински бюджети за информационно обслужване, които често са под 50 000 лв. Източниците за покриване са няколко: преходни кампании на МЕУ за съфинансиране (когато такива се обявят), програма „Цифрова трансформация" по НПВУ, целеви трансфер от държавния бюджет за съответствие, преразпределение от други ИТ позиции, и в крайна сметка - решение на общинския съвет за допълнителен бюджет.
Един отделен и често пренебрегван разход: издаване на застраховка „Киберотговорност", която много общини обмислят. Според актуалните оферти за общинския сектор, основните застрахователи в България изискват наличието на 13-те мерки преди да издадат полица. Тоест застраховката не е алтернатива на съответствието - тя е надстройка над него.
Раздел Четвърти
Шестмесечна пътна карта
Срокът от началото на годината до 1 юни е по-малко от пет месеца. За общините, които стартират в момента, реалната цел не е „пълно съответствие на 1 юни", а „доказуема добросъвестна работа с приоритизирани мерки и документиран план". Това е разликата между глоба и план за отстраняване след проверка.
Пътната карта изглежда амбициозна, но е изпълнима, ако се структурира правилно. Решаваща е първата седмица: ако в първите пет работни дни не е назначено длъжностно лице, не е стартирана регистрацията и не е насрочено заседание на ОбС за бюджета, проектът губи две до три седмици само в инерция.
Раздел Пети
Обществената поръчка по ЗОП без обжалване
Изборът на консултант или интегратор за изграждане на съответствие минава през обществена поръчка по Закона за обществените поръчки (ЗОП). По наблюденията ни от практиката, голяма част от поръчките в тази област срещат проблеми: обжалване от изпадналите участници, прекратяване от КЗК, или избор на доставчик с очевиден дефицит на компетентност, защото техническата спецификация е била твърде обща. Шестте грешки по-долу се повтарят достатъчно често, за да заслужават отделен раздел.
1. Спецификация „консултантски услуги по NIS2" без конкретен обхват
Резултатът е обжалване и избор на най-ниска цена, която после се оказва само 30% от това, което общината реално нуждае. Решение: техническа спецификация по 13-те мерки, ясно посочване на доставимите документи (политики, регистър на риска, SSP, тестов план), посочване на брой човекодни.
2. Изискване на „опит с общинска администрация" без обективно дефиниране
Без референции и без конкретен брой проекти, всеки доставчик подава „да, имаме опит" и спорът отива в КЗК. Решение: изисквайте поне 2 референции от общини с население над 10 000 души за последните 36 месеца, с конкретен предмет, период и стойност.
3. Изискване само за сертификати на фирмата, не за хора
ISO 27001 на доставчика не означава, че хората, които ще работят с вас, разбират NIS2. Решение: изисквайте поименен състав, минимум един експерт с CISA / CISM / CISSP / ISO 27001 Lead Implementer и доказан опит в публичния сектор.
4. „Доставка и въвеждане" без условия за документиране
Доставчикът инсталира SIEM, но не оставя след себе си политика, която общината може да поддържа. Решение: задължителни доставими работни инструкции на български език, документация на конфигурацията, и протокол за пренос на знание към общинския IT-отговорник.
5. Конфликт на интереси: същият изпълнител прави и одита
Изпълнителят, който е изграждал системата, не може обективно да я оценява за съответствие. Решение: разделете консултирането от външния одит в отделни поръчки или клаузи.
6. Прекалено къс срок за изпълнение в спецификацията
„Срок: 90 дни от подписване на договор" е нереалистично за пълно изграждане на съответствие. Резултатът е или несериозни оферти, или сериозни оферти на висока цена за компенсиране на риска. Решение: декомпозирайте на етапи (одит на текущото състояние - 30 дни, изготвяне на план и политики - 60 дни, имплементация - 120 дни, тестване и атестиране - 30 дни), общо около 240 дни.
Раздел Шести
Пет реални сценария от български общини
Сценарий 1: Малка община в Северозападна България (8 200 жители)
Започват с почти нулева отправна точка: един IT-отговорник на половин щат, един домейн контролер от 2018 г., без MFA, без EDR. Стратегията е „минимално жизнеспособно съответствие" с акцент върху регистрация в МЕУ, политики на хартия с реални процедури, MFA само за критичните 12 акаунта, споделени SIEM услуги на МЕУ, и едно учение за инцидент. Бюджет: 96 000 лв. първа година. Резултат: на 1 юни общината има документация и план, който може да се покаже на проверка.
Сценарий 2: Средна община в Тракия (38 000 жители)
Имат добра отправна точка: централизиран домейн, M365, частично MFA. Дефицитът е в документацията и веригата за доставки. Стратегията е „попълване на пропуските" с акцент върху регистър на риска, политики по 13-те мерки, договорни клаузи с 12-те най-важни доставчика, тест за проникване на основните системи, обучение на ръководството. Бюджет: 348 000 лв. първа година. Резултат: пълно съответствие на 1 юни с протокол за тестване.
Сценарий 3: Областен град в Югоизточна България (110 000 жители)
Имат вътрешна ИТ дирекция с 5 души, повече системи (МДТ, ЕСГРАОН копие, ГИС, ERP, БДКО), повече сгради. Стратегията е „институционализиране на ИБ функция" с акцент върху назначаване на CISO (вътрешен или vCISO), формална ICT-Risk комисия, връзка с ОЗОЛД, разделение на отговорностите между ИТ дирекцията и звеното за киберсигурност. Бюджет: 720 000 лв. първа година, 290 000 лв. втора. Резултат: пълно съответствие плюс операционен капацитет за поддръжка на режима.
Сценарий 4: Голяма столично-областна община (над 300 000 жители)
Сложна структура с десетки общински дружества и предприятия, някои от които също попадат в обхвата. Стратегията е „общинска група" с акцент върху координация между общинска администрация и общинските дружества, единна политика за инциденти с разпределение на отговорност, групово договаряне на доставчици. Бюджет: над 1 200 000 лв. първа година. Резултат: координирано съответствие за целия общински сектор.
Сценарий 5: Малка община с активна ransomware атака (3 100 жители)
Реален случай от януари 2026: малка община открива криптирани файлове на бекъп сървъра. Стратегията е „реакция първо, съответствие след това". Изолация на засегнатите системи, докладване до CSIRT в първите 24 часа, паралелно възстановяване от офлайн копие (което е тествано в предходен ангажимент), използване на инцидента като база за политики и обучение. Бюджет: 78 000 лв. за реакция плюс 145 000 лв. за изграждане на остатъчното съответствие. Резултат: общината е функционална за 7 дни, в съответствие за 6 месеца.
Често задавани
Често задавани въпроси
Малка община сме, имаме само 20 души администрация. Наистина ли сме съществен субект?
Да. Анекс 1 към Закона за киберсигурност включва „органите на местното самоуправление" без праг за размер. Това е съзнателно избран обхват от законодателя: дори малка община оперира критични за гражданите регистри (Местни данъци, Гражданско състояние, Социални услуги), управлява общинска собственост и движение на средства. Малките общини могат и трябва да ползват споделените услуги на МЕУ и националния CSIRT за намаляване на собствените разходи, но не могат да делегират отговорността.
МЕУ ще проверява всички 264 общини на 1 юни ли?
Не. Надзорните органи (МЕУ, ДА „Електронно управление") работят по риск-базиран план за инспекции. Първите проверки очакваме на общини с известни инциденти, общини в специфични сектори (с над 50 000 жители или с критични дейности), и общини, които не са се регистрирали в срок. Останалите ще бъдат проверявани на случаен принцип или след сигнал. Важното за тези общини: на проверка проверяващият не очаква перфекция, а доказуема добросъвестна работа с приоритети, документация и план.
Имаме европейски проект за дигитализация. Покрива ли той задълженията по новия закон?
Частично. Европейските проекти за дигитализация по програма „Цифрова трансформация" по НПВУ често финансират конкретни ИТ системи (например, нова МДТ, ГИС, портал за услуги). Те по дефиниция трябва да са „secure by design" и често включват елементи на сигурност, но рядко покриват пълния обхват на 13-те мерки. Преглеждайте конкретните дейности на проекта спрямо чл. 21 на закона и допълвайте липсващото. Не очаквайте, че един проект решава цялото съответствие.
Кметът ли носи лично отговорност или общинският секретар?
По чл. 56 ал. 2 на закона, личната отговорност за груба небрежност (до 100 000 лв. лична глоба, до 5 години забрана за управление) се носи от „представляващия субекта". За общините това е кметът. Общинският секретар обикновено се назначава като длъжностно лице за киберсигурност, носи дисциплинарна и административна отговорност в собственото си качество, но не и наказателно-административната отговорност за самата общност. Двете отговорности са паралелни, не алтернативни.
Можем ли да аутсорснем CISO функцията на външна фирма?
Да, в режим на „виртуален CISO" (vCISO). За общините това е често по-икономично от вътрешно назначаване, особено в малките и средните общини. Условията: договорът трябва да определя конкретен човек като отговорно лице, с документиран опит, конкретни часове за месеца, директен достъп до кмета, и клауза за независимост от ИТ доставчика. Външният CISO не освобождава общината от вътрешното назначаване на длъжностно лице, но може да играе ролята на това длъжностно лице по силата на договор за услуги.
Какво се случва, ако не успеем до 1 юни?
След 1 юни общината е в нарушение на закона. Това не означава автоматична глоба - тя зависи от проверка и съставяне на акт. Но създава административно-наказателна отговорност, която проверяващият може да реализира по преценка. Реалистичната стратегия: ако очевидно няма да успеете до 1 юни на 100%, изградете до тогава най-важните пет мерки (регистрация, длъжностно лице, политика за инциденти, регистър на риска, обучение на ОбС), напишете план за следващите 12 месеца с конкретни дати, и публично го представете на сесия на общинския съвет. При проверка ще покажете не „нарушение", а „в процес на изпълнение", което е значително по-добра административно-правна позиция.
Помощ за общини
Вашата община има 17 дни. Можем да помогнем.
Работим с осем български общини в момента, всички в режим на „шестмесечна пътна карта". Имаме готови спецификации за ЗОП, шаблони на политики на български език, обучителни планове за ОбС и кмет. Първият разговор е безплатен и завършва с писмена оценка на това къде се намира общината и какво е реалистично до 1 юни.
Запази 30-минутен разговор
Александър Свердлов
Основател на Atlant Security. Автор на 2 книги за информационна сигурност, лектор по киберсигурност на най-големите конференции по киберсигурност в Азия и панелист на конференция на ООН. Бивш член на екипа за консултации по сигурността на Microsoft, външен консултант по киберсигурност в Емиратската корпорация за ядрена енергия.