Съдържание
За да се оцени реалното състояние на дигиталната готовност на българските общини, компанията Avigentis анализира уебсайтовете на български общини от гледна точка на изискванията, свързани с GDPR и NIS2.
Целта на анализа не е просто да се провери наличието на отделни елементи на общинските сайтове, а да се оцени нивото на изпълнение на проверяваните критерии, свързани със задължителните изисквания за защита на личните данни и с допълнителните препоръки и добри практики за киберсигурност.
В резултат на одита и анализа на всички общини за първата половина на 2026 г. виждаме следния показател за ефективност:
Какво показват резултатите?
Резултатите показват, че дори базовото ниво на съответствие не може да се счита за напълно постигнато.
Особено важен е показателят от 64% за задължителния минимум. Той показва, че в рамките на използваната методология има значителен брой критерии, по които е необходимо допълнително подобрение.
Какво означава показателят 64%?
Показателят 64% по категорията „ЗАДЪЛЖИТЕЛЕН МИНИМУМ – GDPR / ПРИЛОЖИМИ ИЗИСКВАНИЯ“ означава, че в рамките на методологията на извършения анализ установеното ниво на изпълнение на проверяваните задължителни критерии е 64%.
Важно уточнение
Това не означава, че една община е „64% съвместима с GDPR“ в юридически смисъл.
GDPR не въвежда официална скала за съответствие от 0 до 100%, а този процент не представлява сертификат или официална оценка на Комисията за защита на личните данни.
Показателят обаче е много полезен диагностичен инструмент. Той позволява на ръководството на общината бързо да разбере каква част от проверяваните критерии вече са изпълнени и къде остават потенциални рискови области.
Затова резултатът трябва да се разглежда като GAP анализ, а не като юридическо становище за пълно или непълно съответствие с GDPR.
Какво означава показателят 67%?
Втората категория – „ДОПЪЛНИТЕЛНИ ПРЕПОРЪКИ – NIS2 / ДОБРИ ПРАКТИКИ“ – показва резултат от 67%.
Тук се оценяват допълнителни елементи, свързани с нивото на зрялост на киберсигурността, устойчивостта на цифровата инфраструктура и практиките, съответстващи на подхода на NIS2.
Това е особено важно, защото NIS2 изисква не само наличието на формални документи, а системен подход към управлението на киберрисковете.
Защо двата показателя трябва да се разглеждат заедно?
Киберсигурността не може да бъде сведена само до защитата на личните данни.
Една община може да има сравнително добре организирана GDPR документация и въпреки това да има недостатъчно ниво на:
- защита на сървърите;
- управление на достъпа;
- MFA;
- мониторинг;
- резервно копиране;
- управление на уязвимостите;
- реакция при инциденти;
- контрол върху доставчиците;
- disaster recovery;
- управление на киберрисковете.
Две измерения на цифровата сигурност
GDPR → защита на личните данни
NIS2 → устойчивост и киберсигурност на организацията
64% не е повод за паника – това е повод за действие
Най-правилната реакция на този резултат не е търсене на виновни. Резултатът трябва да се използва като начална точка за програма за повишаване на нивото на киберсигурност на общината.
Определяне на критичните несъответствия
Категоризирайте проблемите като Critical → High → Medium → Low и първо отстранете най-опасните рискове.
Технически одит
Проверете сървъри, мрежова инфраструктура, firewall, VPN, Active Directory, потребителски акаунти, MFA, бази данни, backup, cloud, endpoint security, vulnerability management, logging и monitoring.
GDPR одит
Проверете целия жизнен цикъл на личните данни: събиране → обработване → съхранение → предаване → достъп → архивиране → изтриване.
NIS2 GAP анализ
Сравнете фактическото състояние на общината с изискванията на Закона за киберсигурност и съответните практики за управление на киберрисковете.
Roadmap за отстраняване на рисковете
Създайте конкретен план с приоритети, отговорници, срокове и бюджет.
Примерен план за действие
| Приоритет | Проблем | Риск | Необходимо действие | Срок |
|---|---|---|---|---|
| Critical | Критична уязвимост | Висок | Отстраняване | 7 дни |
| High | Липса на MFA | Висок | Въвеждане на MFA | 30 дни |
| High | Недостатъчно резервно копиране | Много висок | Промяна на backup политиката | 30 дни |
| Medium | Недостатъци в GDPR документацията | Среден | Актуализиране на документацията | 60 дни |
Анализът на уебсайта е само първото ниво
Необходимо е да се подчертае: анализът на публичния уебсайт на общината не е равнозначен на пълен одит по NIS2 или GDPR.
Уебсайтът е само външният цифров периметър.
Информационни системи → бази данни → сървъри → служители → доставчици → cloud услуги → вътрешни мрежи → лични данни → резервни копия.
Именно затова резултатите 64% / 67% трябва да бъдат разглеждани като важен индикатор, който показва необходимостта от по-задълбочена проверка.
Какво трябва да бъде следващото действие?
За една община правилният подход е да не чака първата проверка или първия сериозен киберинцидент.
GAP анализ → технически одит → GDPR одит → NIS2 оценка → управление на рисковете → коригиращи действия → повторен одит
Това създава постоянен цикъл на подобрение.
Заключение
Получените от анализа на Avigentis показатели:
не трябва да се разглеждат като крайна оценка. Те трябва да бъдат начална точка за действие.
„Можем ли да докажем, че нашите информационни системи, лични данни и цифрови общински услуги действително са защитени?“
Именно на този въпрос трябва да отговори един пълноценен и независим одит.
NIS2 и GDPR не са само въпрос на санкции. Те са въпрос на защита на гражданите, непрекъсваемост на общинските услуги, отговорност на ръководството и доверие на обществото в цифровата държава.
За българските общини 2026 г. е моментът не просто да се „провери IT“, а да се извърши цялостен независим одит по NIS2 + GDPR, да се създаде регистър на рисковете и конкретна пътна карта за отстраняване на несъответствията с приоритети, срокове и отговорни лица.
