България транспонира NIS2 (Директива (ЕС) 2022/2555) с изменения в Закона за киберсигурност, обнародвани в ДВ, бр. 17 от 13 февруари 2026 г.. Срокът по директивата беше 17 октомври 2024 г.. Законът засяга агенциите по два начина: пряко, ако агенцията е в обхвата, и чрез клиентите, които трябва да управляват риска от своите доставчици.
Повечето агенции попадат във втората група. Те получават въпросник за сигурност от клиента и нови клаузи в договора.
Кой попада в обхвата на NIS2 в България?
По чл. 4, т. 2 от Закона за киберсигурност законът обхваща публични и частни субекти от видовете в приложения I и II, които са поне средни предприятия по Закона за малките и средните предприятия и предоставят услуги в ЕС.
За IT бизнеса най-важният ред е в приложение I, сектор „Управление на услуги в областта на ИКТ (между предприятия)“:
- доставчици на управлявани услуги;
- доставчици на управлявани услуги за сигурност.
Доставчик на управлявани услуги е субект, който предоставя услуги, свързани с инсталирането, управлението, експлоатацията или поддръжката на ИКТ продукти, мрежи, инфраструктура или приложения на клиентите, на място или от разстояние (чл. 6, т. 39 от Директива (ЕС) 2022/2555).
| Дейност на агенцията | Вероятна позиция по NIS2 |
|---|---|
| Разработка по поръчка, предаване на клиента | Доставчик на субекти в обхвата |
| Поддръжка и администриране на продукционни системи на клиенти | Възможен доставчик на управлявани услуги, ако е поне средно предприятие |
| Хостинг и облачни услуги | Може да попада в други видове от приложение I |
| Аутсорсинг на хора в екипа на клиента | Доставчик, достъпът на хората е риск за клиента |
Съществени и важни субекти: каква е разликата?
По чл. 4а от Закона за киберсигурност:
- Съществени субекти са например тези от приложение I, които надхвърлят горната граница за средни предприятия.
- Важни субекти са останалите от приложения I и II, които са в обхвата.
Мерките по чл. 22 и докладването по чл. 23 важат и за двете групи. Различават се максималните санкции.
Какви мерки изисква законът?
Чл. 22, ал. 2 от Закона за киберсигурност изброява мерки, които субектите в обхвата прилагат. Сред тях:
- Политики за анализ на риска и сигурност на информационните системи.
- Действия при инцидент.
- Непрекъснатост на дейността: резервни копия, възстановяване, управление на кризи.
- Сигурност на веригата на доставки, включително отношенията с преките доставчици.
- Сигурност при придобиване, разработване и поддръжка на системи, включително действия при уязвимости.
- Основна киберхигиена и обучение.
- Криптография и криптиране.
- Контрол на достъпа и управление на активите.
- Многофакторно удостоверяване, където е целесъобразно.
Какво искат клиентите от агенцията като доставчик?
Чл. 22, ал. 3 от Закона за киберсигурност изисква субектите да отчитат уязвимостите на всеки пряк доставчик и качеството на продуктите и практиките му в сигурността, включително процедурите за сигурно разработване. Това е причината за въпросниците.
Какво да подготвите:
- описание на процеса на разработка: ревюта, тестове, сканиране на зависимости, управление на уязвимости;
- политика за достъп: кой има достъп до системите на клиента, многофакторно удостоверяване, отнемане при напускане;
- процедура при инцидент с ясен срок за уведомяване на клиента;
- резервни копия и възстановяване;
- списък на подизпълнителите с достъп до системите на клиента;
- обучение на екипа по сигурност.
Какви са сроковете за инциденти?
По чл. 23, ал. 5 от Закона за киберсигурност субектът в обхвата подава до СЕРИКС:
| Документ | Срок |
|---|---|
| Ранно предупреждение | До 24 часа след установяването на значителен инцидент |
| Уведомление за инцидента | До 72 часа след установяването |
| Окончателен доклад | до един месец след уведомлението |
Ако агенцията е доставчик, тези срокове не са нейни. Клиентът обаче не може да ги спази, ако агенцията му съобщи късно. Затова клиентите поставят в договорите срок, в който доставчикът ги уведомява.
Какви са санкциите?
По чл. 29 от Закона за киберсигурност за неизпълнение на задълженията по чл. 22 и 23:
| Субект | Максимална имуществена санкция |
|---|---|
| Съществен | до 10 000 000 евро или до 2% от световния годишен оборот, която сума е по-висока, но не по-малко от 25 000 евро |
| Важен | до 7 000 000 евро или до 1,4% от световния годишен оборот, която сума е по-висока, но не по-малко от 12 500 евро |
За агенция, която е само доставчик, рискът е договорен: неустойки, прекратяване, загуба на клиента.
Какво означава NIS2 за кода, който агенцията притежава?
Клиентите под NIS2 проверяват кода, който купуват или лицензират, по същите критерии:
- уязвими зависимости;
- документиран процес на разработка;
- тестове;
- кой и колко време ще поддържа кода.
Код, който минава тази проверка, се продава по-лесно на такива клиенти.
Ако агенцията пуска собствени продукти или библиотеки на пазара, засяга я и Регламентът за киберустойчивост (Регламент (ЕС) 2024/2847). Задълженията на производителите за докладване на уязвимости важат от 11 септември 2026 г., а общото прилагане е от 11 декември 2027 г..
Как се лицензира собствен код: лиценз за софтуер. Колко струва: колко струва кодът.