Дълго време киберсигурността в повечето фирми беше „задача на IT“. Антивирус, защитна стена, от време на време смяна на паролите. Ръководството научаваше за нея, когато нещо спре да работи.
Това вече не е така — и не само заради закона. Една атака с криптиращ вирус не е IT инцидент. Тя е спрели продажби, неиздадени фактури, клиенти, които чакат, и служители, които нямат с какво да работят. Тоест проблем на непрекъсваемостта на бизнеса.
NIS2 просто казва това на глас.
Какво се промени в България
Измененията в Закона за киберсигурност, с които се въвежда директивата NIS2, бяха приети през февруари 2026 г., обнародвани в Държавен вестник, бр. 17 от 13 февруари 2026 г., и са в сила от 17 февруари 2026 г. Накратко:
- Обхватът е много по-широк. Законът обхваща 18 сектора — освен енергетика, транспорт, банки и здравеопазване, вече и производство, храни, управление на отпадъци, пощенски и куриерски услуги, цифрови доставчици и др. По правило засегнати са средните и големите предприятия (от 50 служители или над 10 млн. евро оборот), а някои категории — независимо от размера.
- Отговорността е на ръководството. Управителният орган одобрява мерките за управление на риска, контролира прилагането им и носи лична отговорност. Ръководителите трябва и да преминават обучение по киберсигурност.
- Инцидентите се докладват бързо и на етапи — ранно предупреждение до 24 часа, уведомление с първоначална оценка до 72 часа и окончателен доклад до един месец. Ако са засегнати лични данни, отделно важи и уведомлението към КЗЛД по GDPR.
- Санкциите са сериозни. За съществените субекти — до 10 млн. евро или 2% от световния годишен оборот (по-високото), за важните — до 7 млн. евро или 1,4%. Предвидени са и глоби лично за ръководители.
Ако не сте сигурни дали фирмата ви попада в обхвата — това е първият въпрос, на който трябва да има ясен отговор. Не е задължително да чакате уведомление: задълженията произтичат от закона.
Тази статия не е правна консултация. Проверявайте конкретните прагове и срокове в официалния текст на закона и, при нужда, с юрист.
Документите не спират атаки
Най-лесният начин да „изпълниш“ NIS2 е да купиш пакет политики, да ги подпишеш и да ги сложиш в папка. Проблемът е, че при инцидент никой няма да отвори папката.
Затова гледам на изискванията обратно — от инцидента към документа. Ако утре сутринта сървърите са криптирани:
- Кой разбира пръв и кого се обажда? Има ли име, телефон и заместник — включително в събота?
- Кое се възстановява първо? Счетоводството, складът, имейлът? Това е бизнес решение, не техническо.
- За колко време? И проверено ли е, или е предположение?
- Кой и до кога уведомява органите? 24 часа минават бързо, когато всички гасят пожар.
Ако тези отговори ги има и са тествани, политиката се пише лесно — тя просто описва това, което вече работи. Ако ги няма, никоя политика няма да ги замести.
Резервните копия, които никой не е пробвал
Най-честата слабост, която виждам, не е липсата на backup, а непроверено възстановяване. Копия има, но:
- се пазят на същото място и със същите права като оригинала — и се криптират заедно с него;
- никой не е опитвал да възстанови цял сървър, само отделни файлове;
- никой не знае колко време отнема пълното възстановяване.
Няколко практични правила:
- Поне едно копие извън основната среда и недостъпно за изтриване или промяна от обикновените администраторски акаунти.
- Тестово възстановяване по график — не само на файл, а на цяла система — с измерено време.
- Ясно записани приоритети — кое се връща първо и колко загуба на данни е допустима.
Времето за възстановяване е числото, което ръководството наистина трябва да знае. Не „имаме backup“, а „за шест часа сме обратно в работа, губим най-много една нощ данни“.
Хората не са „най-слабото звено“, ако им дадете шанс
Повечето инциденти започват с човек: фишинг имейл, повторно използвана парола, фалшиво обаждане „от IT отдела“. Лесно е да се каже, че хората са слабото звено. По-полезно е да се попита какво им е дадено, за да не бъдат.
- Многофакторна автентикация навсякъде, където е възможно — особено за имейл, отдалечен достъп и администраторски акаунти. Тя спира огромна част от атаките с откраднати пароли.
- Кратко, редовно обучение с реални примери от вашата среда, вместо един годишен курс, който всички превъртат.
- Лесен начин за докладване на подозрително писмо — един бутон или един адрес — и благодарност, а не упрек, когато някой съобщи нещо.
- Минимални права. Счетоводителят няма нужда от администраторски права на компютъра си, а администраторът — от администраторски права в имейла, с който чете бюлетини.
NIS2 изисква обучение и на ръководството. Това е добре: решенията за приоритети, бюджет и риск се вземат там.
Откъде да започнете
Ако тепърва подхождате към темата, ето разумна последователност:
- Определете дали сте в обхвата и в каква категория.
- Опишете кое е критично — системи, данни, доставчици — и кой отговаря за всяко.
- Проверете възстановяването — едно реално тестово възстановяване казва повече от десет документа.
- Затворете очевидните пробойни — MFA, остарели системи, споделени администраторски акаунти, достъп на бивши служители и доставчици.
- Подгответе плана за инцидент — кой, какво, в какъв ред и в какви срокове, включително уведомяването.
- Чак тогава документирайте — и поддържайте документите живи.
Накратко
NIS2 не е поредната бюрокрация, а писмено признание, че киберсигурността е въпрос на оцеляване на бизнеса. Добрата новина е, че същите мерки, които изпълняват закона — проверено възстановяване, защитени акаунти, подготвени хора и ясен план — са и това, което ще ви върне в работа, когато нещо се обърка.