Киберсигурността е част от корпоративното управление: широкият обхват на NIS 2

Има регулации, които идват без необходимост от лиценз, за който да се кандидатства, няма краен срок за заявление, което да влезе в графика. Те просто променят определението за това кой е обхванат. Точно това се случи със Закона за киберсигурност (ЗКС) на 13 февруари 2026 г., когато измененията, транспониращи Директива (ЕС) 2022/2555 (NIS 2), бяха обнародвани в "Държавен вестник" и влязоха в сила същия ден.

Най-съществената промяна, която NIS 2 носи спрямо предходната NIS 1, е нейният значително по-широк обхват. Ако първоначалната европейска рамка се фокусираше основно върху ограничен кръг оператори на съществени услуги и доставчици на цифрови услуги, NIS 2 разширява приложното поле до 18 критични и важни сектора.

Наред с това, киберсигурността вече не е тясно техническа тема, ограничена до ИТ отделите и специалистите по информационна сигурност. С приемането на NIS 2 Европейският съюз (ЕС) поставя киберустойчивостта в центъра на корпоративното управление, регулаторния надзор и отговорността на ръководните органи. Директивата има за цел да постигне високо общо ниво на киберсигурност в ЕС и въвежда задължения за национални стратегии, компетентни органи, CSIRT структури, мерки за управление на риска, докладване на инциденти, надзор и санкции.

Широкият обхват на NIS 2 - от критична инфраструктура към цялата икономика

По закона от 2018 г. задълженията се прилагат към субекти, индивидуално определени от държавата като "оператори на съществени услуги", както и към ограничен кръг доставчици на цифрови услуги. Секторните органи прилагат методика, съставят списък и дружествата в него знаеха кои са. Кръгът беше тесен: електроразпределителни и газови мрежови оператори, големи болници, банки, ВиК дружества, летища.

Новите правила вече обхващат не само изрично определени дружества в енергетиката, транспорта, здравеопазването, финансите, водоснабдяването и цифровата инфраструктура, но тези сектори са широко засегнати и с тях вече са включени и сектори като обществени електронни съобщителни услуги, управление на отпадъци и отпадъчни води, производство на критични продукти, пощенски и куриерски услуги, публична администрация, космически сектор и редица цифрови услуги.

Енергетиката обхваща вече не само мрежови оператори производители, доставчици, търговци на пазара, но и участници, предоставящи агрегиране, оптимизация на потреблението или съхранение на енергия. Операторите на зарядни точки за електрически превозни средства. Топлофикационните дружества. Нефтената и газовата верига, включително съхранение и сгъстен природен газ. И за първи път водорода. Производството на електроенергия от ВЕИ, операторите на системи за съхранение или търговията с енергия, преди две години бяха в сектор, който до голяма степен е извън тази рамка. Сега вече следва да бъдат анализирани през призмата на новия режим, доколкото съответният субект попада в секторните и критерии за размер.

Транспортът е широко обхванат във всички видове: въздушни превозвачи, летищни оператори и контрол на въздушното движение; железопътни предприятия и управители на инфраструктура; корабоплавателни дружества и пристанищни оператори; пътни органи и оператори на интелигентни транспортни системи.

Обхватът в здравеопазването се разширява също. Освен болниците и клиниките, сега попадат и субекти, извършващи научноизследователска и развойна дейност на лекарствени продукти, производители на основни фармацевтични продукти и производители на медицински изделия, критични при извънредна ситуация в областта на общественото здраве. В допълнение, производството на медицински изделия и инвитро диагностични медицински изделия следва да се разглежда и през призмата на производствения сектор по приложение II, когато са изпълнени приложимите критерии. Фармацевтичен завод, който никога не се е смятал за част от "здравния сектор" в регулаторен смисъл, вече е.

Питейните води обхващат ВиК дружествата. Отпадъчните води са изцяло нов сектор: предприятия, които събират, отвеждат или пречистват градски, битови или промишлени отпадъчни води.

Цифровата инфраструктура е преобразена. Наред с точките за обмен в интернет и регистрите на домейни от първо ниво, сега влизат доставчиците на изчисления в облак, центровете за данни, мрежите за доставка на съдържание, доставчиците на удостоверителни услуги, включително, но не само тези, които издават електронни подписи, както и доставчиците на обществени електронни съобщителни мрежи и услуги. За разлика от предходния режим, публичните електронни съобщителни мрежи и услуги, както и удостоверителните услуги, вече са изрично включени в обхвата на NIS 2. По-сигурно е обаче да се каже, че задълженията за киберсигурността за тези субекти са поставени в нова, хармонизирана рамка по NIS 2 и ЗКС, без да се прави общ извод, че всички приложими задължения по Закона за електронните съобщения са отпаднали.

След това идва категория, която не съществуваше преди и има огромно значение у нас: доставчиците на управлявани услуги и на управлявани услуги за сигурност, както и бизнесите, които внедряват, поддържат или администрират системите на своите клиенти, на място или дистанционно. България изгради индустрия за аутсорсинг в продължение на двадесет години. Голяма част от нея вече е в сектор с висока критичност, ако предоставяните услуги и размерът на съответния субект отговарят на критериите на режима.

Второто приложение към закона, което определя задължени субекти, е относимо към индустриалната база на страната. Пощенски и куриерски услуги. Управление на отпадъци. Химикали. Производство, преработка и разпространение на храни. Онлайн места за търговия, търсачки и социални платформи. Научноизследователски организации.

И производството, което заслужава отделно внимание заради начина, по който е формулирано. Приложението към закона препраща към раздели от европейската класификация на икономическите дейности и включва всичко в тях: компютърна, електронна и оптична техника (26); електрически съоръжения (27); машини и оборудване с общо и специално предназначение (28); автомобили, ремаркета и полуремаркета (29); други превозни средства (30).

Така заводите за кабелни снопове и сензори, които снабдяват европейската автомобилна индустрия, производителите на електроника, на комутационна апаратура, кабели и трансформатори, машиностроителните предприятия. Това е много голям дял от индустриалната заетост и от износа, и почти нищо от него никога не е имало регулатор по киберсигурност. Ако кодът на основната ви икономическа дейност попада в раздели 26–30, и дружеството има петдесет служители, то може да попада в обхвата на разширената рамка.

Тази широка приложимост превръща NIS 2 в хоризонтална регулация, която засяга значителна част от икономиката. Регулацията не се прилага само към "класическа“ критична инфраструктура като електроразпределение, банки или болници. Именно тук е ключовият практически ефект на NIS 2, а именно, че киберсигурността вече е задължение не само за операторите на очевидно критични системи, а за всяка средна или голяма организация, която предоставя услуги или извършва дейност в секторите по приложенията към директивата.

Преценката дали една организация попада в обхвата на режима вече не е въпрос на изрично индивидуално определяне от държавата, а следва автоматично от комбинацията между сектор, размер на предприятието и характера на предоставяните услуги.

"Съществени" и "важни" субекти - защо има значение?

Съществен елемент на новия режим е разграничението между "съществени" и "важни" субекти. NIS 2 предвижда, че съществените субекти включват определени организации от секторите с висока критичност, както и някои доставчици, независимо от размера им като например квалифицирани доставчици на удостоверителни услуги, регистри на домейни от първо ниво и DNS доставчици. Важните субекти са тези, които попадат в секторите по приложенията, но не отговарят на критериите за съществени.

Практическата разлика не е толкова в самите основни задължения, и двете категории трябва да прилагат мерки за управление на киберриска и да докладват значими инциденти, а в интензитета на надзора и размера на санкциите. Съществените субекти са подложени на по-проактивен надзор, включително планови и извънпланови проверки, докато при важните субекти надзорът е по-скоро последващ и реактивен.

Веригата на доставки - нов регулаторен фокус

Особено важен практически акцент е сигурността на веригата на доставки. NIS 2 изрично изисква организациите да отчетат рисковете, свързани с преките доставчици и доставчици на услуги, като по този начин превръща риска от доставчици в самостоятелен елемент от управлението на киберриска. ENISA отбелязва, че директивата въвежда по-висока хармонизация и нови области на внимание като "сигурност на веригата на доставки", "управление на уязвимости" и "киберхигиена".

Това има сериозно значение за договорната практика. Организациите следва да картографират критичните си ИКТ доставчици, включително доставчици на облачни услуги, софтуер, хостинг, поддръжка, управлявани услуги и услуги за сигурност, да оценяват тяхната сигурност, да включват договорни клаузи за минимални стандарти, одитни права, срокове за уведомяване при инцидент, съдействие при докладване и задължения за подизпълнители.

Този процес може да се представи като четириетапен цикъл: идентифициране, оценка, договорно уреждане и текущ мониторинг. Всеки етап следва да оставя доказуема следа. При проверка или след инцидент няма да е достатъчно определен бизнес да твърди, че доставчиците му са надеждни, той трябва да може да докаже, че ги е идентифицирал, оценил, договорно обвързал и наблюдавал.

Инциденти: първите 24 и 72 часа

Докладването на инциденти е друг ключов инструмент на NIS 2. Директивата изисква значимите инциденти да бъдат съобщавани поетапно ранно предупреждение, последващо уведомление и окончателен доклад, като целта е компетентните органи да получат навременна информация за мащаба, тежестта, причините и потенциалното трансгранично въздействие на инцидента.

Българските изменения въвеждат сходна структура, като в професионалните анализи се посочва 24-часово първоначално уведомяване, 72-часово последващо уведомление и окончателен доклад в рамките на един месец. На практика това означава, че една организация трябва да има не само политика "на хартия", а реално работеща система за откриване, ескалация, правна оценка и регулаторна комуникация в рамките на часове.

Санкции и принудителни мерки: рискът не е само финансов

Най-видимата последица от NIS 2 са санкциите. Директивата предвижда максимални административни глоби до 10 млн. евро или 2% от общия световен годишен оборот за съществени субекти и до 7 млн. евро или 1,4% от оборота за важни субекти.

Същите прагове са възпроизведени и в българския контекст, като се поставя акцент върху минималните санкционни прагове, персоналните глоби за управлението и възможността санкциите да се кумулират с принудителни административни мерки. Но финансовите санкции не изчерпват риска. Надзорните органи могат да издават предупреждения, задължителни предписания, да разпореждат конкретни коригиращи мерки, да изискват одити, а при тежки случаи да се стигне до временно спиране на лиценз, сертификат или разрешение, както и до временна забрана за упражняване на управленски функции при определени съществени субекти.

Управленска отговорност - не само IT отдел

Тук се проявява най-важната концептуална промяна: киберсигурността вече е въпрос на лична управленска отговорност. NIS 2 изисква държавите членки да гарантират, че управителните органи одобряват мерките за управление на киберриска, наблюдават тяхното прилагане и могат да бъдат държани отговорни при неизпълнение.

Това не е "ИТ чек-лист", а правна експозиция на управители, директори и членове на управителни органи. Решенията за риск, обучението, контролът върху изпълнението и документалната следа вече са част от стандартната грижа на ръководството.

НИС 2 - нов стандарт за киберустойчивост

В заключение, NIS 2 е много повече от секторна регулация за критична инфраструктура. Тя е новият европейски стандарт за киберустойчивост на икономиката и публичния сектор. Широкият ѝ обхват означава, че много организации, които досега не са се възприемали като "регулирани" от гледна точка на киберсигурността, вече трябва да направят реална оценка на приложимостта, риска и управленската си отговорност.

За бизнеса това е едновременно регулаторно предизвикателство и възможност: организациите, които изградят доказуема и управляема система за киберсигурност, ще намалят не само риска от санкции, но и риска от оперативни прекъсвания, загуба на доверие, договорна отговорност и проблеми при бъдещи инвестиции или сделки.