Съдържание
Според анализа на преходните разпоредби, представен от адвокатско дружество DGKV пред AmCham и Българо-британската търговска камара, компетентните органи трябва да определят субектите в обхвата на ЗКС до 17 януари 2027 г. Новата наредба за минималните мерки, предвидена за октомври 2026 г., все още не е приета. Задълженията по закона обаче вече важат.
Ключовите срокове по ЗКС (хронология на забавянето)
| Дата | Събитие или срок |
|---|---|
| 13 февруари 2026 | Изменението на ЗКС е обнародвано в ДВ, бр. 17. |
| 8 май 2026 | Създадено е МИДТ, което поема функциите на Министерството на електронното управление. |
| 1 юни 2026 | Край на периода, в който санкциите се налагаха в половин размер. |
| 17 август 2026 | Срок за решението на Министерския съвет за компетентните органи и за методиката за определяне на субектите. |
| 1 октомври 2026 | Европейската комисия закри процедурата срещу България за забавеното въвеждане на NIS2. |
| 14 октомври 2026 | Министерският съвет разгледа решение кои администрации да бъдат включени в Националната система за киберсигурност. |
| 17 октомври 2026 | Срок за подзаконовите актове за минималните мерки. |
| 17 ноември 2026 | Срок за новата национална стратегия за киберсигурност. |
| 17 януари 2027 | Компетентните органи определят съществените и важните субекти. |
Къде сме към 21 октомври 2026 г.
Новата наредба за минималните мерки не е обнародвана, проект не е публикуван за обществено обсъждане, а на страницата на МИДТ все още е наредбата от 2019 г. Решението за компетентните органи и методиката също не са обнародвани.
Докато новата наредба не бъде приета, се прилага наредбата от 2019 г., а като европейски ориентир може да служи Регламент за изпълнение (ЕС) 2024/2690. Сроковете може да се изместят, но законът вече действа.
Защо не бива да чакате уведомление
Задълженията възникват, когато дружеството отговаря на критериите на закона, а не когато получи писмо. Липсата на вписване в регистъра не освобождава от тях.
Задължението да уведомите секторния CSIRT до 24 часа за значителен инцидент важи още сега.
Клиентите ви, ако са съществени или важни субекти, вече са длъжни да оценяват доставчиците си и ще поискат доказателства по договор.
След определянето съществените субекти подлежат на планови проверки. Проверяващите ще търсят мерки, които работят, а не планове, започнати седмица по-рано.
Когато наредбата излезе, стотици фирми ще търсят консултанти едновременно. Който започне сега, няма да чака на опашка.
Изключение: доставчиците, които трябва сами да се обадят
Доставчиците на DNS услуги, регистрите на имена на домейни, облачните услуги, центровете за данни, мрежите за доставка на съдържание, доставчиците на управлявани ИКТ услуги и услуги за сигурност, онлайн платформите, търсачките и социалните мрежи трябва сами да подадат данните си в срок до два месеца, а промените — до две седмици (чл. 6, ал. 2 и 3).
Пътна карта до 17 януари 2027 г.
- Самооценка: сектор по приложения I и II и размер, включително на свързаните предприятия.
- GAP анализ спрямо мерките по чл. 22: риск, инциденти, непрекъсваемост, доставчици, достъп, криптография, обучение.
- Решение на ръководството за утвърждаване на мерките (чл. 21).
- Процедура за инциденти със сроковете 24 часа, 72 часа и един месец и контакт със секторния CSIRT.
- Оценка на преките доставчици и клаузи за сигурност в договорите.
- Обучение на ръководството (задължително на всеки две години) и на служителите.
Avigentis изпълнява стъпки 1–2 за един ден дистанционно и предава пътна карта за 30 или 90 дни. Абонаментът ни ви държи актуални, когато излязат новата наредба и методиката.
Започнете с безплатния AI скан на вашия сайт или по ЕИК: avigentis.eu/app
Абонаментът ни
