NIS2 в България: кой попада, докога и какво следва

Установете обхвата, преди да планирате програмата

Започнете от услугата, която организацията действително предоставя. Съпоставете я с категориите в закона, след което приложете чл. 4, правилата за размер и изключенията. Едва след установяване на обхвата определете категорията по чл. 4а — съществен или важен субект. Споменаването на дейност в приложение не включва автоматично всяка малка фирма.

Законът за малките и средните предприятия е част от изчислението. Брой служители, оборот и балансова стойност се разглеждат съвместно; предприятията партньори и свързаните предприятия могат да променят резултата. Дъщерно дружество не може надеждно да реши въпроса само по местния персонал. Само груповият оборот също не е достатъчен тест. Запишете изчислението, източниците и допусканията.

Някои категории попадат в обхвата независимо от размера. Проверявайте точната категория, вместо да пренасяте изключението върху целия сектор. Полезният начален документ е писмена оценка за приложимост на NIS2. Тя трябва да обяснява както включването, така и основанията за изключване.

Съществени и важни субекти: сходни мерки, различен надзор

Разделението променя надзора и санкциите. Съществените субекти могат да бъдат проверявани предварително, включително чрез инспекции и одити. Надзорът над важните субекти по правило се задейства при данни или признаци за нарушение. „Важен“ не означава доброволен режим.

Това са законови диапазони, а не автоматична глоба за всеки пропуск. Чл. 29 съдържа конкретни изключения, включително за административни органи, определени като съществени субекти. Значение имат фактите, нарушението и процедурата. Членовете на управителните органи имат собствени задължения по чл. 21, включително обучение на всеки две години; нарушаването им води до отделна лична глоба.

Преходът през 2026 г.: разграничете сроковете

Параграф 51 намалява наполовина санкциите по глава трета за нарушения, извършени до 1 юни 2026 г. включително. Намалението не се прилага за по-късни нарушения. Това е намаление на санкции, а не обявяване на мерките за ненужни.

Преходните разпоредби определят и срокове за органите. Параграф 47, т. 1 предвижда шест месеца от влизането в сила за определяне на компетентните органи и методиката за идентифициране. Точки 2 и 3 предвиждат осем месеца за подзаконовите актове. По § 48 определянето на съществените и важните субекти следва в петмесечен срок от действителното решение на Министерския съвет по § 47, т. 1.

Последният срок зависи от датата на решение. Сборът от шест и пет месеца не установява универсален краен срок през януари 2027 г. за бизнеса. Проверете приетите решения, актуалния закон и указанията за сектора. Липсата на писмо не е достатъчно основание за изключване.

Намерете надзорния орган и канала за уведомяване

Компетентният орган зависи от сектора, съответното решение или специален закон. Запишете органа, официалния контакт, канала за подаване и датата на проверката. Само началната страница на министерство не е достатъчна в план за реакция.

Секторният екип за реагиране при инциденти с компютърната сигурност е СЕРИКС. Националният екип НЕРИКС и националното единно звено за контакт са различни роли; не използвайте наименованията като взаимозаменяеми.

При значителни инциденти общата последователност по NIS2 е ранно предупреждение до 24 часа от узнаването, уведомление до 72 часа и окончателен доклад до един месец от уведомлението. За доставчиците на удостоверителни услуги има изключение с 24-часово уведомление; продължаващите инциденти имат отделни правила за напредъка и окончателния доклад. Използвайте ръководството за първите 24 часа, за да изградите реална процедура за решения и подаване.

Регистрацията и промените изискват отговорник

Чл. 6 предвижда непубличен регистър. Информационните задължения зависят от категорията на субекта. Определени доставчици на цифрова инфраструктура и цифрови услуги предоставят сведения за установяванията си в ЕС в посочения двумесечен срок; промените в регистрираните данни имат двуседмичен срок по чл. 6, ал. 3.

Проверете кое задължение се отнася за дружеството и как компетентният орган приема данните. Пазете подаденото и потвърждението. Определете кой следи промените в контактите, дейността и установяванията, за да не остане регистърът еднократна административна задача.

Какво да направите първо

1. Опишете дейността, юридическото лице, групата и изчислението за размер. Установете приложимите изключения.
2. Нека ръководството одобри приоритетите и отговорностите. Препращане на въпроса към ИТ не урежда управленската отчетност.
3. Проверете канала за уведомяване и заместниците. Упражнете класифициране и първоначално подаване при непълна информация.
4. Изпитайте няколко съществени контрола. Покритието на MFA и защитата на сесиите, тест за възстановяване и отнемането на достъп на напуснали дават по-добри доказателства от списък с купени продукти.
5. Съберете решенията, тестовете и пропуските с дати и отговорници. Свържете ги с бизнес ефекта чрез приоритизирането на бюджета за сигурност.

Фирма извън прекия обхват на NIS2 пак може да получи изисквания от клиенти. Ръководството за доставчик на банка обяснява договорния път. Законова приложимост и търговски очаквания са отделни оценки.

Превърнете оценката в определен ангажимент

За финансовите субекти първо проверете връзката между DORA и NIS2. DORA действа като секторно право на ЕС за съответните области; това не е общо освобождаване от всяко задължение.

Evidence Sprint може да превърне договорения обхват в оценка на пропуските и подреден пакет с доказателства. Уточнете системите, отговорностите и резултатите, преди да фиксирате дата за приключване. Ако собственият ви екип може да направи и поддържа оценката, структурата работи и вътрешно.

Обща информация към 13 септември 2026 г., а не индивидуално правно заключение. Проверете действащото право и компетентния орган за конкретната дейност и обстоятелства.