NIS2 (изписва се и NIS 2), на български МИС 2, е европейската Директива (ЕС) 2022/2555 за високо общо ниво на киберсигурност. Тя замества първата директива NIS от 2016 г., обхваща много повече сектори и въвежда конкретни изисквания към управлението на риска, реакцията при инциденти и сигурността на доставчиците. За фирмите това означава три неща: да проверят дали попадат в обхвата, да въведат мерки за защита и да докладват сериозните инциденти в кратки срокове. Дори фирмата да не попада пряко, изискванията често идват индиректно, през договорите с клиенти, които са в обхвата. Ако започвате от основите, вижте и нашето ръководство за киберсигурност за малки фирми.
Накратко: под NIS2 (МИС 2) и Закона за киберсигурността по правило попадат средните и големите фирми - с 50 или повече служители или с годишен оборот и годишен баланс над 10 млн. евро - в 18 сектора, като енергетика, транспорт, здравеопазване, цифрова инфраструктура, производство, храни и куриерски услуги. За някои дейности размерът няма значение. Малка фирма извън тези сектори обикновено не попада пряко, но изискванията често стигат до нея през договорите с клиенти, които са в обхвата. Проверката е в 3 въпроса по-долу.
Не сте сигурни дали фирмата ви попада под NIS2? Нека поговорим за вашите нужди - ще прегледаме средата ви, преди да предложим решение и цена. Ние внедряваме техническите мерки, документацията и оценката на риска изготвя наш партньор-консултант, а вие имате един контакт. Повече за услугата: информационна сигурност и NIS2 за фирми.
Какво е NIS2 (МИС 2)
Директивата е приета в края на 2022 г. Държавите членки трябваше да я въведат в националното си законодателство до 17 октомври 2024 г. В България това става с промените в Закона за киберсигурността от 2026 г. Съкращението МИС 2 идва от "мрежови и информационни системи" - така е наречена директивата в официалния ѝ превод на български.
Целта е фирмите и институциите, от които зависят икономиката и нормалният живот, да не спират при кибератака. Затова NIS2 не се интересува само от техниката, а от това дали организацията управлява риска, знае какво да прави при инцидент и контролира доставчиците си.
NIS2 не е сертификат. Няма документ, който да получите веднъж завинаги. Съответствието се доказва с работещи мерки, документация и готовност да ги покажете при проверка. Стандарти като ISO 27001 помагат за подредената система за сигурност - вижте какво включва подготовката за ISO 27001 - но не заместват изискванията на закона.
Това е основният европейски акт в областта на киберсигурността за средните и големите фирми.
Законът за киберсигурността в България: какво се промени през 2026 г.
Директивата NIS2 е въведена в българското право с промените в Закона за киберсигурността, обнародвани в Държавен вестник, бр. 17 от 13 февруари 2026 г., и в сила от 17 февруари 2026 г. Законът определя кои фирми са в обхвата, какви мерки трябва да въведат, как се докладват инцидентите и какви са санкциите. Минималният обхват на мерките се уточнява с наредба на Министерския съвет, но задълженията по закона важат още сега.
Ако търсите информация за Закона за киберсигурността, защото клиент ви е изпратил въпросник по сигурността или нови изисквания към доставчиците си, най-вероятно сте във веригата на доставки на фирма в обхвата. Тогава изискванията стигат до вас индиректно, дори фирмата ви да не е задължена пряко.
Попада ли фирмата ви под NIS2?
Попада ли фирмата ви под NIS2: проверка в 3 въпроса
1. В какъв сектор работите?
Директивата изброява два списъка сектори:
- Сектори с висока критичност: енергетика, транспорт, банково дело, инфраструктура на финансовите пазари, здравеопазване, питейна и отпадни води, цифрова инфраструктура, управление на ИКТ услуги за бизнеса (доставчици на управлявани IT услуги и на управлявана сигурност), публична администрация и космическо пространство.
- Други критични сектори: пощенски и куриерски услуги, управление на отпадъци, химикали, храни, производство (например медицински изделия, електроника, машини и превозни средства), цифрови доставчици (онлайн пазари, търсачки, социални мрежи) и научни изследвания.
2. Каква е фирмата по размер?
По правило в обхвата са средните и големите предприятия: фирми с 50 или повече служители или с годишен оборот и годишен баланс над 10 млн. евро. За някои дейности размерът няма значение - например за доставчиците на обществени електронни съобщителни мрежи, на DNS услуги и на удостоверителни услуги, както и за единствения доставчик на критична услуга в държавата.
3. Каква е ролята ви във веригата на доставки?
Това е въпросът, който малките фирми най-често пропускат. Ако доставяте услуги, софтуер или поддръжка на фирма в обхвата, тя е длъжна да управлява риска от своите доставчици. На практика ще получите въпросник по сигурността или клаузи в договора, дори самите вие да не сте задължени по закон.
Ако отговорът на първите два въпроса е "да", фирмата най-вероятно е в обхвата като съществен или важен субект. Разликата между двете групи е в надзора и в размера на санкциите, а изискванията към мерките са едни и същи.
| Група | Кои са обикновено | Надзор |
|---|---|---|
| Съществени субекти | Големи фирми (над 250 служители или оборот над 50 млн. евро) в секторите с висока критичност, както и някои доставчици независимо от размера, например на DNS, удостоверителни услуги и публични електронни съобщения | Предварителен: проверки и одити и без сигнал |
| Важни субекти | Средни фирми (от 50 служители или оборот над 10 млн. евро) в секторите с висока критичност, както и средни и големи фирми в другите критични сектори | Последващ: проверка при сигнал, инцидент или съмнение за нарушение |
Как изглежда ИТ поддръжката във фирми със законови изисквания към сигурността, описахме в IT поддръжка за регулирани компании.
Какво да направите след проверката
Според отговорите стигате до един от трите случая:
- Фирмата е в обхвата. Нужни са технически мерки и документация. Ние внедряваме и поддържаме техническите мерки - EDR, SIEM, резервни копия с тест за възстановяване, обновления, контрол на достъпа и мониторинг 24/7. Документацията, политиките и оценката на риска изготвя наш партньор-консултант, а вие имате един контакт.
- Клиент ви е изпратил въпросник по сигурността. Не сте задължени пряко, но трябва да отговорите на клиента си. Въпросите почти винаги са едни и същи: резервни копия, многофакторно удостоверяване, защита на устройствата, кой има достъп и как реагирате при инцидент. Ние подготвяме техническите отговори и затваряме пропуските, които въпросникът покаже.
- Не попадате и нямате такива клиенти. Законът не ви задължава, но рисковете са същите. Започнете с основите от киберсигурност за малки фирми.
Не сте сигурни в кой случай сте? Нека поговорим за вашите нужди - заедно с нашия партньор-консултант ще прегледаме дали и как NIS2 засяга фирмата ви, преди да предложим решение и цена.
NIS2 и малките и средни предприятия
Малките фирми (под 50 служители и под 10 млн. евро оборот) по правило не са пряко задължени. Но много малки и средни фирми в България работят като доставчици на банки, болници, енергийни дружества, логистични и производствени компании. Когато такъв клиент започне да прилага NIS2, той ще поиска от доставчиците си доказателства: как пазят данните, кой има достъп, има ли резервни копия и как реагират при инцидент.
Затова е разумно да погледнете на NIS2 като на пазарно изискване, а не само като на закон. Фирмата, която може уверено да отговори на въпросника за сигурност на голям клиент, печели договора.
NIS2 на разбираем език
Какво изисква NIS2 на практика
Член 21 от директивата изброява минимум десет групи мерки. Преведени на ежедневен език, те са:
- Анализ на риска и политики за сигурност на информационните системи.
- Процес за реакция при инциденти: кой разбира, кой решава, кой съобщава.
- Непрекъсваемост на работата: резервни копия, възстановяване след срив и план при криза.
- Сигурност на веригата на доставки: изисквания към доставчиците и оценка на риска от тях.
- Сигурност при закупуване, разработка и поддръжка на системи, включително работа с уязвимости и обновления.
- Проверка дали мерките реално работят, например чрез IT одит на фирмената инфраструктура.
- Базова кибер хигиена и обучение на служителите.
- Правила за криптиране.
- Сигурност при персонала, контрол на достъпа и опис на активите: устройства, акаунти и системи.
- Многофакторно удостоверяване и защитени канали за комуникация, включително за спешни случаи.
Докладване на инциденти. При значителен инцидент фирмата трябва да изпрати ранно предупреждение до компетентния орган в рамките на 24 часа, уведомление за инцидента до 72 часа и окончателен доклад до един месец. Без предварително подготвен процес тези срокове почти не могат да се спазят. Затова е важно да имате проактивен мониторинг на IT системите, който засича проблемите навреме, и защита срещу ransomware.
Отговорност на ръководството и санкции
NIS2 поставя сигурността пряко на масата на управителя. Ръководството трябва да одобрява мерките, да следи изпълнението им и да преминава обучение. При нарушения отговорност могат да носят и лично членовете на ръководството.
Глобите са значителни. Законът за киберсигурността, с който NIS2 е транспонирана в българското право, предвижда за съществените субекти глоба до 10 млн. евро или 2% от общия световен годишен оборот, но не по-малко от 25 000 евро, а за важните - до 7 млн. евро или 1,4% от оборота, но не по-малко от 12 500 евро, като се прилага по-високата сума. На членовете на ръководството може да бъде наложена и лична глоба от 500 до 5 000 евро.
NIS2 и вашите доставчици
Един от най-важните акценти на NIS2 е рискът от доставчиците. Голяма част от инцидентите започват не във фирмата, а при нейния IT доставчик, счетоводна програма или облачна услуга. Затова директивата изисква фирмите да знаят кои доставчици имат достъп до системите им, какви мерки прилагат и какво пише в договорите за сигурност и инциденти.
Ако поддръжката на компютрите и сървърите ви е външна, проверете: има ли вашият доставчик ясни срокове за реакция по договор, как управлява достъпа до вашите системи, какъв инструмент за отдалечен достъп използва и дали ще ви уведоми веднага при инцидент. Ако тепърва избирате партньор, вижте как да изберем външен IT партньор и как да аутсорснем IT поддръжката правилно.
Кои мерки вече имате и кои липсват?
Как да започнете: 6 практични стъпки
- Проверете обхвата с трите въпроса по-горе и запишете извода.
- Направете опис: служители, устройства, акаунти, сървъри, облачни услуги и доставчици с достъп.
- Оценете риска: кои системи, ако спрат, спират работата, и какво се случва с данните.
- Затворете най-големите технически пропуски: многофакторно удостоверяване, резервни копия, които се тестват, защита на крайните устройства и навременни обновления.
- Опишете процеса при инцидент: кой, кога и как съобщава, включително към органа в рамките на 24 часа.
- Определете отговорник в ръководството и планирайте обучение на служителите.
Не е нужно всичко да стане наведнъж. По-важно е да започнете с правилния обхват и да документирате какво правите.
Не знаете откъде да започнете? Първата ни стъпка е анализ на пропуските: преглеждаме ИТ средата ви спрямо мерките по чл. 22 от Закона за киберсигурността и ви казваме какво сме установили - кои мерки вече са налице, кои липсват и в какъв ред е разумно да се затворят. Повечето фирми вече имат част от мерките, без да го знаят. Нека поговорим за вашите нужди - ще прегледаме средата ви, преди да предложим решение и цена.
Какво трябва да можете да покажете при проверка
- Опис на устройствата, системите и данните.
- Оценка на риска и мерките, одобрени от ръководството.
- Политики: достъп, пароли и многофакторно удостоверяване, резервни копия, реакция при инцидент.
- Дневник на инцидентите и проведени тестове за възстановяване от резервни копия.
- Списък на доставчиците и изискванията към тях.
- Доказателства за обучение на ръководството и служителите.
Техническо съответствие с NIS2 за клиентите на абонаментна поддръжка
Голяма част от техническите изисквания на NIS2 са ежедневна IT работа. За фирмите на абонаментна поддръжка Хелпдеск България подготвя и привежда IT средата в техническо съответствие с NIS2: внедряваме мерките, поддържаме ги и ги документираме, така че да можете да ги покажете при проверка. В абонамента са включени:
- Мониторинг на сървъри и работни станции 24/7.
- Антивирусни лицензи и защита на крайните устройства, а в план Професионален и EDR и SIEM за откриване и анализ на заплахи.
- Политики за резервни копия и възстановяване при срив.
- Управление на достъпа и акаунтите, включително многофакторно удостоверяване.
- Навременни обновления и отстраняване на уязвимости.
- Корпоративен инструмент за отдалечен достъп и проследими заявки.
Техническата подготовка и техническите консултации за NIS2 са включени в план Професионален. В план Стандартен се заплащат допълнително.
Документацията, политиките и оценката на риска изготвя наш партньор-консултант, а вие имате един контакт: нас. Отговорността на ръководството и докладването към органа остават на фирмата, но с подредена и документирана техническа основа те стават много по-лесни. Вижте какво включва всеки план на страницата за абонаментна компютърна поддръжка.
Техническите мерки поемаме с пакета NIS2 технически мерки: EDR, SIEM, резервни копия, обновления, контрол на достъпа и мониторинг 24/7, а документацията подготвя наш партньор консултант.
Вижте плановете | Нека поговорим
За личните данни важат и техническите мерки по GDPR - вижте GDPR технически мерки за сигурни фирмени данни.
Чести въпроси
Какво е МИС 2?
МИС 2 е българското съкращение за NIS2, Директива (ЕС) 2022/2555 за високо общо ниво на киберсигурност в Съюза. Съкращението идва от "мрежови и информационни системи".
Какво е Законът за киберсигурността?
Това е българският закон, с който се въвежда директивата NIS2. Промените са обнародвани в Държавен вестник, бр. 17 от 13 февруари 2026 г., и са в сила от 17 февруари 2026 г.
Попада ли малка фирма под NIS2?
По правило не, ако има под 50 служители и под 10 млн. евро оборот и баланс, освен при някои специфични дейности. Малките фирми обаче често получават изисквания индиректно, като доставчици на фирми в обхвата.
Клиент ми изпрати въпросник по сигурността заради NIS2. Какво да направя?
Това означава, че сте доставчик на фирма в обхвата на NIS2 и тя управлява риска от доставчиците си. Обикновено въпросите са за резервните копия, многофакторното удостоверяване, защитата на устройствата, достъпа до системите и реакцията при инцидент. Отговорете честно и затворете пропуските, преди да поемете ангажименти към клиента. За клиентите на абонаментна поддръжка подготвяме техническите отговори и внедряваме липсващите мерки.
Има ли сертификат за NIS2?
Не. NIS2 не е сертификат, а законово задължение. Съответствието се доказва с работещи мерки и документация. Стандарти като ISO 27001 помагат, но не заместват изискванията на закона.
В какви срокове се докладва инцидент?
Ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец след значителен инцидент.
Какви са санкциите?
До 10 млн. евро или 2% от световния оборот за съществените субекти (най-малко 25 000 евро) и до 7 млн. евро или 1,4% за важните (най-малко 12 500 евро). На членовете на ръководството може да бъде наложена и лична глоба от 500 до 5 000 евро.
С какво да започна?
С проверка на обхвата и опис на системите и доставчиците. След това затворете най-големите технически пропуски: многофакторно удостоверяване, резервни копия и защита на устройствата. Ако искате да знаете точно къде сте, започваме с анализ на пропуските спрямо мерките по закона - преди да предложим решение и цена.
Може ли Хелпдеск България да приведе фирмата ни в съответствие с NIS2?
За клиентите на абонаментна поддръжка привеждаме IT средата в техническо съответствие с NIS2: защита на устройствата, EDR и SIEM, мониторинг, резервни копия, контрол на достъпа и обновления, внедрени и документирани. В план Професионален това е включено, а в план Стандартен техническите консултации и лицензи за EDR и SIEM се заплащат допълнително. Документацията, политиките и оценката на риска изготвя наш партньор-консултант. Отговорността на ръководството и докладването към органа остават на фирмата.
Материалът е информационен и не е правна консултация. За конкретния ви случай проверете актуалния текст на Закона за киберсигурността.
Тагове:
