Какво трябва да направи кметът
- Да одобри мерките за киберсигурност и да следи изпълнението им (чл. 21, ал. 1). Най-добре с писмено решение и годишен отчет.
- Да премине обучение по киберсигурност на всеки две години (чл. 21, ал. 2).
- Да организира обучение за служителите (чл. 21, ал. 3).
- Да определи кой отговаря за сигурността и кой докладва инциденти.
Какво трябва да има общината
- Оценка на риска за основните системи: деловодство, местни данъци, портал за услуги, счетоводство, поща.
- Ред за значителен инцидент: ранно предупреждение до СЕРИКС (секторен екип за реагиране при инциденти с компютърната сигурност) до 24 часа и уведомление до 72 часа (чл. 23, ал. 5).
- Изисквания за сигурност в договорите с ИТ доставчиците.
- Резервни копия и проверено възстановяване.
Кой проверява
Компетентният орган за административните органи е Министерството на иновациите и дигиталната трансформация (чл. 16, ал. 2). Органът може да даде задължителни указания и да разпореди нарушението да бъде обявено публично.
Какво рискува кметът лично
При нарушение на чл. 21 ръководителят може да бъде глобен лично с 500 до 5 000 € (чл. 29, ал. 4). Тази глоба е отделна от мерките към общината.
Откъде да започне общината
- Обучение на ръководството: половин ден, с протокол и удостоверения.
- Бърза оценка за 10 работни дни: къде е общината спрямо закона и какво да направи в следващите 90 дни.
- Годишна програма: оценка и 12 месеца експертна подкрепа в един договор, удобна за планиране в бюджета.
Минималните мерки се уреждат с наредба по чл. 3 от закона. До брой 94 на Държавен вестник от 13 октомври 2026 г. нова наредба не е обнародвана, затова действа наредбата от 2019 г.