Какво вече важи
- От 17 февруари 2026 г. задълженията се прилагат за всички организации в обхвата.
- До 1 юни 2026 г. включително санкциите бяха намалени наполовина (§ 51). След тази дата са в пълен размер.
- Значителен инцидент се докладва на СЕРИКС (секторен екип за реагиране при инциденти с компютърната сигурност): ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец (чл. 23, ал. 5).
- Промени в данните за организацията се съобщават на органа до две седмици.
- Определени цифрови доставчици сами подават данните си на органа до два месеца.
Какво предстои
- Решение на Министерския съвет за компетентните органи и методиката за определяне (§ 47, т. 1). Законовият срок беше шест месеца от влизането в сила, тоест около средата на август 2026 г. До брой 94 от 13 октомври 2026 г. в Държавен вестник не е обнародвана методика за определяне на съществените и важните субекти.
- Определяне на съществените и важните субекти от органите до 5 месеца след това решение (§ 48). Това е срок за органите, а не дата, до която бизнесът може да чака.
- Нова наредба за минималните мерки по чл. 3. Законовият срок е осем месеца, около средата на октомври 2026 г. До брой 94 от 13 октомври 2026 г. нова наредба не е обнародвана, затова действа наредбата от 2019 г.
- Национална стратегия: законовият срок е девет месеца.
Повтарящи се срокове
- Обучение на ръководството на всеки две години.
- Годишен вътрешен одит по наредбата.
- Преглед на оценката на риска и на мерките при съществени промени.
Какво да направите сега
Не чакайте писмото за определяне. Проверете дали сте в обхвата, одобрете мерките с решение на ръководството и подгответе реда за докладване на инциденти. Бързата оценка показва за 10 работни дни откъде да започнете.