Регулациите на разбираем език

Какво са тези регулации?

• Закони на ЕС и България, които казват на организациите как да пазят компютрите, данните и услугите си от атаки и сривове.
• Целта е хората да не останат без ток, вода, лечение или пари, ако някой атакува болница, банка, община или доставчик.
• Основните са пет:

• NIS2 / Закон за киберсигурностЗа важните сектори и държавната администрация.
• DORAЗа банки, застрахователи, платежни и инвестиционни фирми и техните ИТ доставчици.
• ОРЗД (GDPR)За всеки, който работи с лични данни.
• Регламентът за изкуствения интелектЗа фирми, които създават или използват ИИ (изкуствен интелект).
• Регламентът за киберустойчивостЗа производители на софтуер и умни устройства.

За кого важат?

• Средни и големи фирми в 18 сектора — например енергетика, транспорт, здравеопазване, вода, цифрови услуги, храни, производство и отпадъци. Средна фирма е такава с 50 или повече служители или над 10 млн. € оборот.
• Всички общини и държавни администрации — независимо от размера.
• Някои фирми — независимо от размера, например доставчиците на интернет услуги.
• Банките и финансовите фирми — по DORA (регламент на ЕС за цифровата оперативна устойчивост на финансовия сектор).
• Малките фирми — косвено: ако доставяте услуги на банка, болница или община, те ще поискат доказателства, че сте сигурен доставчик.

Какво означава „съответствие“?

Да правите това, което законът изисква, и да можете да го покажете. На практика:

• ръководството отговаря за сигурността и е обучено;
• знаете какви са рисковете;
• има правила кой до какво има достъп;
• резервните копия наистина се възстановяват;
• знаете какво правите при атака и кого уведомявате;
• проверявате доставчиците си.

Документ в чекмеджето не стига. Трябва доказателство, че мерките работят.

Защо да се подготвите сега?

• Законите вече важат: Законът за киберсигурност — от 17 февруари 2026 г., DORA — от 17 януари 2025 г.
• Не е нужно да чакате писмо. Задълженията важат по силата на закона.
• Подготовката отнема от седмици до месеци.
• При атака трябва да подадете първото уведомление до 24 часа. Без подготовка това е почти невъзможно.
• Клиентите и банките вече питат.

Какво става, ако не сте готови?

• Глоба за организацията: до 10 млн. € или 2% от световния оборот, а за по-малко критичните — до 7 млн. € или 1,4%.
• Лична глоба за ръководителя — от 500 до 5 000 €, включително за кметовете.
• Органът може да разпореди нарушението да бъде обявено публично.
• По ОРЗД — глоба до 20 млн. € или 4% от оборота.
• Загубени клиенти и договори.
• И най-важното: една атака може да спре работата Ви за дни.

Откъде да започнете?