NIS2 (директива за мрежова и информационна сигурност)
Какво е NIS2 (директива за мрежова и информационна сигурност)?
NIS2 е директивата на ЕС за мрежова и информационна сигурност, която задължава средните и големите организации в 18 сектора да управляват киберрисковете си и да докладват значителните инциденти. В България е въведена с промени в Закона за киберсигурност, в сила от февруари 2026 г. Ръководството одобрява мерките и може да носи лична отговорност, а фирмите в обхвата трябва да следят и сигурността на своите доставчици.
Пример
Производител на храни с 80 служители попада в обхвата като важен субект: промишленото производство на храни е сред секторите на директивата, а фирмата е над прага за малко предприятие. Ако разбере за значителен инцидент в понеделник в 10:00, ранното предупреждение трябва да тръгне към секторния екип за реагиране при инциденти (СЕРИКС) до вторник в 10:00, уведомлението — до четвъртък в 10:00 (72 часа), а окончателният доклад — до месец след уведомлението.
Същата фирма праща анекс към договорите на доставчиците си — фирмата за счетоводен софтуер, хостинг компанията, агенцията, която поддържа онлайн магазина ѝ. В анекса: двуфакторен вход, уведомяване за инцидент до 24 часа, проверени резервни копия, право на одит. Агенцията е малко предприятие и сама не е в обхвата, но без тези мерки рискува да загуби клиента.
Защо има значение за бизнеса
Повечето малки фирми не попадат пряко в обхвата на NIS2. Обхватът започва от средното предприятие — по общото правило поне 50 служители или годишен оборот и баланс над 10 млн. евро — в секторите, които законът изброява: енергетика, транспорт, здравеопазване, цифрова инфраструктура, храни, пощенски и куриерски услуги, управление на отпадъци, някои видове производство и други. Някои доставчици, например регистрите на домейни от първо ниво и доставчиците на DNS услуги, са в обхвата независимо от размера си.
Косвеният ефект е по-широк. Който продава софтуер, хостинг или поддръжка на фирма от обхвата, трябва да очаква въпросници за сигурност и нови клаузи в договорите. Глобите за важните субекти стигат до 7 млн. евро или 1,4 % от световния годишен оборот, а за съществените — до 10 млн. евро или 2 %, според това кое е по-високо.
Какво да попитате
- Попадаме ли в някой от секторите, които законът изброява, и над прага ли сме, ако се броят и свързаните предприятия?
- Кой в ръководството одобрява мерките и минал ли е обучението, което законът изисква?
- Ако сме доставчик — какви мерки очаква клиентът и можем ли да покажем доказателство за всяка?
- Кой открива инцидента и кой подава ранното предупреждение в срока от 24 часа?
На въпроса дали една фирма е в обхвата отговаря юрист или компетентният орган, не уеб агенция. Тестът за сигурност на сайта, който правим, покрива своята част от мерките — уязвимостите в сайта, магазина и достъпа до тях — и завършва с доклад, който можете да покажете на клиент или одитор като доказателство.