Управление на риска от доставчици: 90 дни до папката, която затваря проверката

ЗКС · Чл. 22, ал. 2, т. 4 · Верига за доставки

Управление на риска от доставчици: 90 дни до папката, която затваря проверката

Проверката за сигурност на веригата за доставки не започва с техника. Започва с изречението „Покажете ми списъка на доставчиците си" и с това колко секунди трае мълчанието след него. Статията описва как управлението на риска от доставчици се изгражда за 90 дни: какво се прави във всеки етап, колко часа отнема и какъв артефакт остава на масата.

Ключови изводи

• Задължението е по чл. 22, ал. 2, т. 4 ЗКС, а не по чл. 21, и точките с мерки са 12, а не 13. Чл. 21 урежда друго: одобрението от управителния орган.
• Единственото място в закона, където стои датата 1 юни 2026 г., е § 51: санкциите за нарушения до нея се намаляват с 50 на сто. Днес важат пълните размери, 10 000 000 евро или 2 на сто за съществен и 7 000 000 евро или 1,4 на сто за важен субект.
• Отговорността не се прехвърля с договор; личната глоба по чл. 29, ал. 4 ЗКС е от 500 до 5000 евро, с възможна временна забрана за управленски функции при съществените субекти (чл. 27к, ал. 2).
• Целевият одит от независим орган по правило се плаща от одитирания субект (чл. 27з, ал. 3): проверката е бюджетна позиция.
• Целият цикъл е от 70 до 105 човекочаса плюс 30 до 45 часа правна работа.

Законът за изменение и допълнение на Закона за киберсигурност е приет на 5 февруари 2026 г. и обнародван в „Държавен вестник", бр. 17 от 13 февруари 2026 г. Задължението е по чл. 22, ал. 2, т. 4: сигурност на веригата за доставка, включително аспектите на сигурността във взаимовръзките между субекта и неговите преки снабдители или доставчици.

Единственото място в закона, където стои датата 1 юни 2026 г., е § 51: за нарушения до нея глобите се налагат намалени с 50 на сто. Това не е преходен период за задълженията, а отстъпка по санкциите, и днес е история. Отделно чл. 28 ЗКС наказва неизпълнението на принудителна административна мярка с глоба от 2500 до 12 000 евро, а при повторност от 5000 до 25 000 евро. Левовите суми от по-стари наши публикации не следват от закона, включително таванът от 100 000 лв. лична отговорност.

За финансовите субекти пита друг орган: DORA се прилага от 17 януари 2025 г. и съображение 16 го определя като lex specialis спрямо NIS2, тоест въпросът идва от БНБ или КФН (разграничението е тук). КЗЛД пита на трето основание и има готов формуляр. Въпросникът, приложение № 2 към Инструкцията за практическото осъществяване на надзорната дейност, засяга доставчика на три места: въпрос 12 от общата част, въпрос 20 при проверка след уведомление по чл. 33 ОРЗД и въпроси 33 до 39 за мрежовата и информационната сигурност.

При съществените субекти чл. 27ж, ал. 1 предвижда планови и извънпланови проверки, редовни и целеви одити и искане на доказателства за политиките. При важните субекти чл. 27ж, ал. 2 предвижда последващ надзор и само целеви одити (тестът за обхват). Следва изречението, което разсънва финансовите директори: целевият одит от независим орган се заплаща от одитирания субект, освен в надлежно обосновани случаи, когато националният компетентен орган реши друго (чл. 27з, ал. 3).

И обратната страна: вие сте нечий ред в чужд регистър. Приложение I, т. 9 поставя в обхвата доставчиците на управлявани услуги и на управлявани услуги за сигурност, а верижното задължение стига и до по-малките компании.

Не започвайте от паметта на ИТ отдела: тя е добросъвестна и систематично непълна, защото ИТ не вижда инструментите, платени с фирмена карта. Четири източника дават пълния списък.

Записът има четиринайсет полета: име, ЕИК (за финансовите субекти и LEI или EUID), услуга, вътрешен собственик, вид достъп, категории данни, държава на хостинг, договор с дата и автоматично подновяване, подписан договор за обработване, ниво на риск, дата на последната и следващата проверка, подизпълнители, контакт за инциденти, статус на изхода.

Регистърът на ИКТ доставчиците е по-широк от списъка на обработващите лични данни: хостингът на видеонаблюдението и печатните услуги влизат в първия дори когато не влизат във втория. Затова моделът е един регистър с три отметки на реда, а не три таблици в три отдела. Законът не иска документ с име „регистър", но чл. 27ж, ал. 1, т. 5 до 7 дава на органа право да иска доказателства.

За финансовия сектор регистърът е изрично задължение: чл. 28, пар. 3 DORA го изисква за всички договори за ИКТ услуги, с обособяване на тези за критични или важни функции, а образците по Регламент за изпълнение (ЕС) 2024/2956 искат валиден LEI или EUID и ранг във веригата (наръчникът ни по DORA).

Артефактът на ден 14 е един файл с дата и посочен собственик. Половината работа обикновено е свършена в регистъра по чл. 30 ОРЗД, но стои при друг човек. Червеният флаг, който виждаме постоянно, е списък с пет имена и обяснението, че останалите са дребни.

Не сортирайте по размер на договора, а по достъп и по това колко бързо доставчикът може да ви навреди: най-скъпият доставчик често е най-безобидният, а най-опасният струва 40 евро на месец. Четири въпроса решават нивото. Ако спре за четири часа, засегната ли е услуга, която дължим на клиент или на регулатор? Има ли достъп до данни в продукционна среда? Обработва ли лични данни? Заменим ли е за под 30 дни?

Пропорционалността е законов критерий, а не извинение: чл. 22, ал. 1 иска да се вземат предвид степента на излагане на субекта на рискове, неговият размер и вероятността и значимостта на инцидентите. Чл. 22, ал. 3 добавя какво се преценява за всеки доставчик: специфичните за него уязвимости, качеството на продуктите и практиките му по киберсигурност, включително сигурното разработване, и резултатите от координираните оценки на риска.

За финансовия сектор нивото следва от чл. 3, т. 22 DORA. В ISO 27001 това са A.5.21 за веригата за доставки на ИКТ, който по смисъл иска изискванията да се пренасят надолу към подизпълнителите, и A.5.23 за облачните услуги, който е нов в изданието от 2022 г.

Типично разпределение при 60 доставчика: 10 до 15 критични, 15 до 25 средни, останалите ниски. Ако критичните са над 20 от 60, критериите са сгрешени: щом всички са критични, никой не е критичен. Бюджет: тричасова работна среща плюс 5 до 9 часа класификация.

От критичните искаме въпросник, актуален сертификат или одитен доклад под NDA и договорни клаузи. От средните искаме въпросник. Ниските остават със запис в регистъра и стандартни клаузи. Един и същ четирийсетстраничен въпросник за всички е сигурен начин да не получите нищо; нашият е от 18 до 20 въпроса на две страници.

Чл. 28, пар. 5 ОРЗД приема сертификацията като доказателство за достатъчни гаранции, но не като заместител на преценката. КЗЛД е записала очакванията си черно на бяло: Препоръките при възлагане на обработване са приети на 18 декември 2024 г., защото при проверки Комисията е установила значителен брой случаи на формален подход към чл. 28 ОРЗД. Т. 2.1 изброява какво доставчикът доказва преди договора: категории данни, физическо местонахождение на сървърите, механизми за контрол, включително мониторинг и одит, и изричен списък на служителите му с достъп.

Ритъмът: напомняне на десетия ден, обаждане на двайсетия. Мълчанието също е отговор и се записва с дата. Артефакт на ден 40: датиран въпросник или сертификат с проверен обхват за всеки критичен доставчик и запис „проверен на дата" за средните (критериите при избор на нов доставчик). Бюджет: 25 до 40 часа за разпращането, напомнянията и прегледа на отговорите.

Три слоя, три правни основания: базов за всеки доставчик с достъп до системи или данни по чл. 22, ал. 2, т. 4 ЗКС, слой по чл. 28 ОРЗД за всеки, който обработва лични данни, и секторен по чл. 30 DORA за финансовите субекти. Проследяват се поотделно, защото ги проверяват различни органи.

Съдържанието на слоя по личните данни е изчерпателно изброено в чл. 28, пар. 3, букви от „а" до „з", а Насоки 07/2020 дават готови аргументи за преговорите. Пар. 112 иска договорът да не преповтаря ОРЗД, а да казва конкретно как ще бъдат изпълнени изискванията. Пар. 128 и бележка 54 казват, че списък на подизпълнителите на сайта не е достатъчен и че за всеки нов подизпълнител уведомлението трябва да е активно. Пар. 141 и 142 искат потвърждение за заличаването в договорен срок и по съгласуван начин, а пар. 145 приема за недопустими клаузите за разходи и такси по одита, които са явно непропорционални или прекомерни. Пълният разбор е в материала ни за DPA, а цената на липсващия договор в седем анонимизирани случая.

Слоя по DORA няма да преразказваме тук. Чл. 30, пар. 2 задава деветте задължителни елемента за всеки договор за ИКТ услуги, а пар. 3 добавя шестте засилени за критични функции: пълно SLA, задължения и срокове за докладване, планове за извънредни ситуации, съдействие при тестовете за проникване, основани на заплахи (TLPT), неограничено право на одит и изходни стратегии. Разборът клауза по клауза е в отделния ни материал по чл. 30, а Делегиран регламент (ЕС) 2025/532 добавя предварително уведомяване при съществена промяна на подизпълнител.

Големите платформи не приемат чужд шаблон. Приемете техния документ и поискайте анекс с три до пет добавки от правния им екип, а не от търговския представител: това е разликата между отказ и подпис. Червените флагове се разпознават за петнайсет минути: „без ненужно забавяне" вместо срок в часове, обединен одит без право на индивидуален и изход без потвърждение за криптографско заличаване. Бюджет: 30 до 45 часа, плюс стандартните клаузи по Решение за изпълнение (ЕС) 2021/914 при доставчик извън ЕС и ЕИП.

Мониторингът не е инструмент, а календар с тригери. Чл. 22, ал. 4 задължава субекта при установен пропуск да предприеме всички необходими, подходящи и пропорционални коригиращи мерки, а датираният план с отговорници и срокове е доказателството. Устното признание пред проверяващия не е.

В ISO 27001 това е A.5.22, който по смисъл иска редовно да се преглеждат промените в практиките за сигурност на доставчика; одиторът търси протоколи и актуализиран регистър на рисковете. Делегиран регламент (ЕС) 2024/1773, чл. 9 иска договорите да определят ключови индикатори и санкции при неспазено ниво на услугата, а Становище 22/2024 на ЕКЗД от 7 октомври 2024 г. приема, че администраторът трябва по всяко време да разполага с името, адреса и данните за контакт на всички обработващи и подизпълнители по веригата.

И тук идва правило, което звучи дипломатично, а е техническо: не приписвайте вина на доставчика нито в подаванията на 24-ия и 72-ия час по чл. 23 ЗКС до СЕРИКС, нито в уведомлението до КЗЛД по чл. 33 ОРЗД. Чл. 29б ЗКС е озаглавен „Смекчаващи вината обстоятелства", но списъкът действа в двете посоки: възпрепятстването на одити (т. 6) и невярната или непълна информация (т. 7) работят срещу нарушителя, а мерките за ограничаване на вредите (т. 8) работят за него. Освен това „вината е на доставчика" отваря темата за слабия надзор над веригата.

Бюджет: 8 до 10 часа за настройка на календара и тригерите, после 6 до 10 часа месечно за един отговорник при 25 до 50 критични и средни доставчика.

Договорът е прекратен, фактурите са спрени, а API ключът още работи, административният акаунт е активен и копие от базата стои от две години при бивш доставчик. Никой не е излъгал, просто никой не е отговарял за последната стъпка. Затова изходът е процес с назован отговорник на всяка стъпка и две контролни точки, на които той спира.

По чл. 28, пар. 3, буква „ж" ОРЗД обработващият по избор на администратора заличава или връща всички лични данни след приключване на услугите, а Насоки 07/2020, пар. 141 и 142 искат потвърждение в уговорен срок. За финансовите субекти планът за изход е задължителен: чл. 28, пар. 8 DORA иска изходни стратегии за критичните функции, а Делегиран регламент (ЕС) 2024/1773, чл. 10 изисква документиран и периодично тестван план. Извън финансовия сектор същото се вписва в непрекъснатостта на дейността по чл. 22, ал. 2, т. 3 ЗКС.

Изпробвайте процедурата върху един реален изход в рамките на тези 15 дни, дори доставчикът да е дребен: тестът винаги открива поне един ключ, за който никой не е знаел. Същият процес работи и в обратна посока при onboarding на нов доставчик. Бюджет: 6 до 8 часа за процедурата плюс 4 до 6 часа за теста.

Собственикът на процеса, ИТ ръководител или външен CISO, държи регистъра и календара. Финансовият отдел подава справката за плащанията на тримесечие, юристът поддържа шаблоните, длъжностното лице по защита на данните отговаря за договорите за обработване, управителят одобрява критериите. В повечето компании въпросът „кой го държи" няма отговор и точно това проверяващият записва пръв.

Одобрението не е формалност. Чл. 21, ал. 1 ЗКС казва, че управителните органи одобряват мерките и следят за прилагането им; това не се възлага на доставчик или на ИТ отдела. Точката за доставчиците влиза в дневния ред два пъти годишно с една страница: брой доставчици по ниво, просрочени прегледи, отворени рискове. Чл. 21, ал. 2 и 3 добавят обучение на управителните органи на всеки две години, а не годишно. Личната глоба по чл. 29, ал. 4 е от 500 до 5000 евро, а по-тежката последица е по чл. 27к, ал. 2: при съществените субекти националният компетентен орган може да поиска от съд или от друг държавен орган временна забрана за упражняване на управленски функции (подробният разбор).

Преди санкцията идват инструментите по чл. 27и, ал. 1: предупреждения, предписания със срок, разпореждания за преустановяване, за привеждане на мерките по чл. 22 в съответствие и за публично обявяване на нарушението.

Компания, която започва от нула, стига до пълна папка за деветдесетте дни по-горе, а с действащ ISO 27001 или с приключил одит по ОРЗД за около две седмици (шестмесечната пътна карта). След ден 90 натоварването е 6 до 10 часа месечно, а извънреден преглед се налага при нов критичен доставчик, миграция, придобиване или значим инцидент.

Как Атлант Секюрити помага

90-дневната програма за риска от доставчици

Строим папката от 12 документа: регистър с трите изгледа, критерии за нива, въпросник на български, преглед на договорите с критичните доставчици, календар с тригери и тествана процедура за изход. Работим с вашия юрист и системен администратор, за да остане процесът вътре в компанията.

• Фиксирана цена в евро, обхватът се описва в договора преди подписване
• Само старши консултанти, никога стажанти
• Правен и технически преглед в един екип
• Нямате човек по сигурността? Ролята се поема от външен CISO
• Първо ви трябва картина на текущото състояние? Започнете с ИТ одит на сигурността

Запишете 30-минутна консултация →

Управлението на риска от доставчици не се проваля заради липса на технология, а заради липса на един списък, един собственик и един календар. Ако утре получите писмото с искането за документи, единственият въпрос е дали папката съществува: ако я има, частта за доставчиците приключва за един ден, ако я няма, тя се проточва през целия одит. Деветдесет дни стигат.

Предстои ви проверка или тепърва започвате регистъра? Запишете 30-минутна консултация или пишете на alexander@atlantsecurity.com.