NIS2 и Вашата фирма: как да проверите обхвата и да подготвите документите?
За да установите дали организацията Ви има задължения във връзка с NIS2, започнете с конкретната дейност, размера на предприятието и приложимите изключения. След това свържете правната оценка с реалната работа на системите и договорите с доставчиците.
Практическият въпрос за управителя е какво трябва да бъде проверено, кой ще го направи и с какви документи ще се установи резултатът. Покупката на защитен софтуер сама по себе си не отговаря на тези въпроси.
Кои организации трябва да проверят дали са обхванати?
Промените в Закона за киберсигурност, обнародвани в ДВ, бр. 17/2026 г., уреждат обхвата чрез чл. 4 и 4а и приложения I и II. За предприятията общото правило свързва посочения вид дейност с размера. Има и изключения независимо от размера, например за DNS и определени удостоверителни и електронни съобщителни услуги.
Подгответе кратко описание на услугите, клиентите и пазарите си. Към него добавете счетоводните данни и структурата на собствеността за проверката на размера. Не свеждайте преценката до броя служители или до търговското наименование „IT компания“. При няколко дейности разгледайте всяка отделно.
Облачните услуги и центровете за данни не са автоматично включени независимо от размера единствено поради този вид дейност. Проверяват се общото правило и конкретните изключения.
Как да организирате първоначалния преглед?
Направете обща работна среща на управителя, счетоводителя, техническия отговорник и правния консултант. Полезно е тя да завърши с писмен списък на установеното, липсващата информация и отговорниците за следващите действия.
- Опишете услугите, чието прекъсване би спряло работата Ви.
- Посочете кой поддържа системите и кой има административен достъп.
- Съберете договорите за хостинг, облачни услуги, софтуер и техническа поддръжка.
- Приложете получените уведомления, предписания и кореспонденция с компетентни органи.
- Отбележете кои проверки изискват технически специалист.
Този списък е практическа подготовка за оценката, а не нормативен образец или удостоверение за съответствие.
Какво трябва да знае ръководството?
По чл. 21 управителните органи на съществените и важните субекти одобряват мерките и следят изпълнението им. Предвидено е обучение на членовете им на всеки две години. Чл. 22 изисква подходящи и пропорционални технически, оперативни и организационни мерки.
Превърнете установените пропуски в конкретни задачи: отговорник, срок, бюджет и начин за проверка на изпълнението. Например при резервните копия поискайте от техническия екип резултат от пробно възстановяване и описание на откритите затруднения. При напускащ служител проверете как се документира отнемането на достъпа.
Какво да прегледате в договорите с доставчици?
Обсъдете кой приема сигнал извън работно време, за колко време трябва да реагира и как ще Ви предостави информация за засегнатите системи. Проверете дали договорът урежда съдействието при разследване, запазването на техническите записи и връщането на данните при прекратяване.
Обща клауза „доставчикът осигурява сигурност“ може да остави практически въпроси без отговор. Поискайте ясно разпределение на задачите между Вашите служители и външния изпълнител. Правният преглед трябва да се съгласува с техническите възможности за изпълнение.
Как да се подготвите за значителен инцидент?
Чл. 23 предвижда ранно предупреждение до 24 часа от установяването и уведомление до 72 часа; за удостоверителните услуги вторият срок е 24 часа. Окончателният доклад обичайно е до месец след уведомлението, със специален ред при непреодолян инцидент.
Подгответе вътрешен ред за незабавно предаване на сигнала към определените лица. Записвайте кога е открит проблемът, какво е известно, кои услуги са засегнати и какви действия са предприети. Уточнете предварително приложимия канал и компетентния получател на уведомленията. При реален инцидент организирайте едновременно техническа реакция и правен преглед на задълженията.
Документи за първата консултация
Носете описанието на дейността, данните за размера и собствеността, договорите с доставчиците, наличните политики, отчети от проверки и кореспонденцията с органите. Посочете дали търсите първоначална оценка, промени в договори или съдействие при получен акт.
Ако имате нужда от консултация, адв. Михаил Томов или друг адвокат от адвокатска кантора „Томови“ могат да обсъдят правните въпроси и договорните и организационните действия за Вашето дружество след преглед на документите. Техническата оценка и внедряването на защитите изискват участие на специалисти по киберсигурност.
Нормативни източници: ЗИД на Закона за киберсигурност, ДВ, бр. 17/2026 г.; последващо изменение, ДВ, бр. 55/2026 г., § 73.
Настоящата статия има общоинформационен характер и не представлява правен съвет или правна консултация. За всеки конкретен случай следва да се потърси консултация с адвокат, който да извърши преглед на относимите документи.