Нови изисквания за бизнеса: какво представлява NIS2 и кого засяга?

Кибератаките отдавна не са проблем само на технологичните компании. Болници, производствени предприятия, транспортни фирми, енергийни дружества, доставчици на облачни услуги и редица други организации ежедневно разчитат на информационни системи, без които дейността им може буквално да изпадне в колапс.

Новата европейска рамка за киберсигурност - директива NIS2 адресира именно този риск. С нея се поставят значително по-високи изисквания към организациите от критични и значими за обществото сектори.

През февруари 2026 г. България прие промени в Закона за киберсигурността, с които изискванията на NIS2 бяха въведени официално в националното законодателство. Законът е приет от Народното събрание на 5 февруари 2026 г. и обнародван в Държавен вестник на 13 февруари 2026 г.

Какво означава това за българският бизнес? На този въпрос ще отговорим в настоящата статия.

Какво представлява NIS2?

NIS2 е съкратеното наименование на Директива (ЕС) 2022/2555 за високо общо ниво на киберсигурност в Европейския съюз. Тя заменя по-старата директива NIS и значително разширява както броя на засегнатите организации, така и техните задължения. Директивата обхваща 18 критични сектора и въвежда по-ясни правила за управление на киберриска, докладването на значими инциденти, контрола върху доставчиците и отговорността на ръководството.

Основната идея е организациите, от които зависят социално значими услуги и икономически дейности, да бъдат подготвени да откриват, предотвратяват, ограничават и преодоляват киберинциденти.

NIS2 не е сертификат, който една компания да получи и с него автоматично да отговори на изискванията. Става дума за постоянен процес по управление на киберрисковете и за системно прилагане на подходящи технически, оперативни и организационни мерки за тяхното ограничаване.

Кои бизнеси в България попаднат под NIS2?

Не всяка фирма в България попада под изискванията на НИС2. Обхватът се определя основно от сектора, конкретната дейност, размера на предприятието и значимостта на предоставяната услуга.

Българският Закон за киберсигурност засяга публични и частни организации от определени сектори, които отговарят на критериите за средно предприятие или ги надхвърлят. Съществуват обаче и случаи, при които организация може да попадне в обхвата на директивата независимо от размера си, например когато предоставя особено критична услуга или прекъсването на дейността ѝ може да има сериозни обществени или икономически последици.

Кои са попадащите под директивата сектори?

Секторите, засегнати от директивата са енергетика, транспорт, банково дело и инфраструктури на финансовите пазари, здравеопазване, питейни и отпадъчни води, цифрова инфраструктура, електронни съобщителни мрежи и услуги, облачни услуги и центрове за данни, ИТ управлявани услуги и такива за киберсигурност, публична администрация и космически сектор.

Обхватът включва още пощенски и куриерски услуги, управление на отпадъци, хранително-вкусова промишленост, химическа промишленост, определени производствени предприятия, онлайн платформи и пазари, търсачки, социални платформи, научноизследователски организации.

При определени критични дейности законът позволява под директивата да попадат и други организации.

„Съществени“ и „важни“ субекти - какво означава това?

Организациите, попадащи в обхвата на директивата, се разделят основно на две категории - съществени субекти и важни субекти като и за двете категории важат задълженията за управление на риска и докладване на значими инциденти.

Основната практическа разлика е в режима на надзор, контрола и потенциалните санкции. Това означава, че определянето на една организация като „важен“, а не „съществен“ субект не я освобождава от задължението да управлява киберрисковете си.

Какво реално изисква NIS2 от бизнеса?

NIS2 не посочва един конкретен софтуер, защитна стена или антивирусна програма, която всички компании трябва да използват.

Подходът е основан на риска. Българският закон изисква засегнатите организации да предприемат подходящи и пропорционални технически, оперативни и организационни мерки, съобразени с размера на организацията, нейната изложеност на риск, вероятността за инцидент и потенциалните обществени и икономически последствия.

На практика това включва няколко основни области:

1. Оценка и управление на киберриска. Компанията трябва да знае какви системи и информационни активи има и кои от тях са критични за бизнеса. Необходимо е да бъдат оценени потенциалните заплахи, уязвимости и пропуски, вероятността от инцидент, възможните последствия и съществуващите мерки за защита. Това е основата, върху която се изграждат останалите мерки.

2. Реакция при киберинцидент. Необходимо е компанията предварително да знае как ще реагира при кибератака. Подобни решения не бива да се вземат за първи път в момента, в който зловреден софтуер за изнудване вече е блокирал системите на компанията. Това означава да се отговори на въпросите:

- Кой установява инцидента?

- Кой има право да изключи компрометирана система?

- Кой уведомява ръководството?

- Кой комуникира с компетентните органи?

- Как се запазват доказателствата?

- Как се възстановява нормалната работа?

3. Backup, възстановяване и непрекъсваемост на бизнеса. Директивата NIS2 поставя сериозен акцент върху способността на организацията да продължи работа след инцидент. Законът включва изисквания, свързани със създаване на резервни копия, възстановяване след бедствия и инциденти, непрекъсваемост на бизнеса, управление на кризи.

4. Контрол върху достъпа. Законът изрично посочва необходимостта от контрол на достъпа, управлението на активите и използването на многофакторна автентикация, когато това е целесъобразно.

Една от основните цели е служителите и външните партньори да имат достъп само до системите и информацията, които реално са им необходими.

5. Управление на уязвимости и актуализации. Остарял софтуер или неотстранена уязвимост може да бъде достатъчна за успешна атака. Затова организациите трябва да имат разписан процес за следене за уязвимости, актуализиране на системите, управление на корекции за сигурност, безопасно внедряване на промени и сигурна разработка и поддръжка на информационните системи.

6. Обучение на служителите. Човешкият фактор остава съществен елемент при много киберинциденти. Фалшив имейл, компрометирана парола или неправилно споделен файл могат да бъдат началото на сериозен пробив. Затова NIS2 включва изисквания за основни практики за така наречената киберхигиена и обучение на служителите в областта на киберсигурността.

7. Доставчиците като част от киберриска. Една от най-съществените промени в NIS2 е повишеното внимание към сигурността на веригата за доставки. Много компании предоставят достъп до своите системи на външни доставчици на ИТ, облачни и софтуерни услуги. Ако такъв доставчик бъде компрометиран, атакуващият може да използва неговия достъп, за да достигне до клиентите му. Затова е необходимо организациите да разглеждат не само собствената си сигурност, но и рисковете, свързани с преките им доставчици, както и качеството на техните продукти и практики в областта на киберсигурността.

По този начин изискванията на NIS2 могат косвено да засегнат и по-широк кръг български компании, които не попадат пряко в обхвата на закона, но са доставчици или партньори на съществени или важни субекти.

8. Отговорността на ръководството. Важна промяна киберсигурността вече не може просто да бъде оставена като задача на системния администратор или външна IT компания. Българският Закон за киберсигурност изисква управителните органи на съществените и важните субекти да одобряват мерките за управление на киберриска и да следят за тяхното изпълнение.

Причината е, че решенията за бюджет, допустим риск, избор на доставчици, непрекъсваемост на бизнеса и реакцията при криза обикновено се вземат на управленско ниво. Това означава, че членовете на управителните съвети е необходимо да преминават през обучение по киберсигурност и управление на риска на всеки две години.

NIS2 и GDPR едно и също ли са?

Двете регулации могат да се срещнат при един и същ инцидент, но регулират различни рискове. GDPR се фокусира върху защитата на личните данни, а NIS2 върху киберсигурността и устойчивостта на мрежовите и информационните системи.

За да бъде нарушение на сигурността на личните данни по GDPR, инцидентът трябва да доведе до унищожаване, загуба, изменение, неразрешено разкриване или достъп до лични данни.

Същевременно по NIS2 един инцидент е „значителен“, когато е причинил или може да причини сериозно оперативно прекъсване, финансова загуба за засегнатия субект или значителни материални или нематериални вреди на други лица.

Например зловредна софтуерна атака срещу болница може едновременно да представлява значителен киберинцидент по NIS2 и нарушение на сигурността на лични данни по GDPR. Затова спазването на едната рамка не означава автоматично спазване на другата.

Какви могат да бъдат санкциите?

Санкциите са достатъчно сериозни, за да покажат, че европейският законодател не разглежда NIS2 като административна формалност. Съгласно българския Закон за киберсигурност при определени нарушения за съществен субект имуществената санкция може да достигне 10 млн. евро или 2% от общия световен годишен оборот за предходната финансова година, като се прилага по-високата от двете стойности.

За важен субект санкцията може да достигне 7 млн. евро или 1,4% от световния годишен оборот.

Освен това има и предвидени санкции за определени нарушения от страна на управители и членове на управителни органи.

Глобата не е единственият риск. При реален киберинцидент финансовите щети могат да включват дни или седмици прекъсната работа, загуба на клиенти, разходи за възстановяване, договорни неустойки, загуба на данни и репутационни щети.

ISO 27001 означава ли автоматично съответствие с NIS2?

Не. ISO/IEC 27001 и NIS2 имат много общи елементи, свързани с управление на риска, политики, контрол на достъпа, сигурност на доставчиците и действия при инциденти.

ISO 27001 е стандарт за система за управление на информационната сигурност, докато NIS2 е законова рамка.

Компания, която вече има добре внедрена ISO 27001 система, вероятно ще разполага с добра основа за покриване на част от изискванията на NIS2. Това обаче не означава пълно съответствие.

Означава ли NIS2 „купете повече киберсигурност“?

Това е може би най-важният за бизнеса въпрос. Компания може да инвестира сериозни средства в защитна стена, антивирусен софтуер, EDR система за откриване и реагиране при заплахи на крайни устройства и SIEM система за управление на информация и събития, свързани със сигурността и въпреки това да има пропуски.

Ето примери:

- имате backup, но никога не е правен тест за възстановяване;

- имате MFA (многофакторна автентикация), но административен акаунт все още може да бъде използван само с парола;

- имате политика за информационна сигурност, но служителите не я познават;

- имате IT доставчик, но никой не е проверявал как той защитава достъпа до системите;

- имате разписан план при инцидент, но никога не е тестван практически;

- не знаете кои информационни системи на компанията са действително критични за бизнеса.

Затова NIS2 трябва да се разглежда като процес за управление на киберриска, а не като списък с продукти, които трябва да бъдат закупени.

Какво означава всичко това за бизнеса в България?

NIS2 променя начина, по който организациите трябва да гледат на киберсигурността.

Въпросът вече не е само дали имате антивирусна програма, а знаем ли какви са рисковете за бизнеса ни и какво ще стане, ако утре основните ни системи бъдат атакувани.

- Можем ли да възстановим работата си?

- Кой има достъп до критичната ни инфраструктура?

- Как защитаваме достъпа на външните доставчици?

- Знае ли ръководството какво трябва да направи при сериозен инцидент?

- Можем ли да докажем, че мерките ни за сигурност реално работят?

Именно това е същността на NIS2.

За част от българските компании спазването на тези изисквания вече е законово задължение. За други NIS2 ще се отрази косвено чрез изискванията на големи клиенти, партньори и международни компании към техните доставчици. Но дори за организация, която остава извън директния обхват на закона, принципите зад NIS2 са добра основа за изграждане на по-устойчив бизнес.

Материалът има информационен характер и не представлява индивидуална правна оценка дали конкретно дружество попада в обхвата на Закона за киберсигурност.