Зміст

  1. Ключові строки за ЗКС (хронологія затримки)
  2. Стан справ на 21 жовтня 2026 р.
  3. Чому не варто чекати на повідомлення
  4. Виняток: постачальники, які мають самі подати відомості
  5. Дорожня карта до 17 січня 2027 р.

Згідно з аналізом перехідних положень, представленим адвокатським об’єднанням DGKV перед AmCham і Болгарсько-британською торговельною палатою, компетентні органи мають визначити суб’єктів, на яких поширюється ЗКС (Закон про кібербезпеку Болгарії), до 17 січня 2027 р. Новий підзаконний акт щодо мінімальних заходів, запланований на жовтень 2026 р., досі не ухвалено. Проте обов’язки за законом уже діють.

Ключові строки за ЗКС (хронологія затримки)

ДатаПодія або строк
13 лютого 2026Зміни до ЗКС опубліковано в «Державному віснику», № 17.
8 травня 2026Створено МІДТ, яке перебирає функції Міністерства електронного управління.
1 червня 2026Завершення періоду, протягом якого санкції застосовувалися в половинному розмірі.
17 серпня 2026Строк ухвалення рішення Ради міністрів щодо компетентних органів і методики визначення суб’єктів.
1 жовтня 2026Європейська комісія закрила провадження проти Болгарії щодо несвоєчасного впровадження NIS2.
14 жовтня 2026Рада міністрів розглянула рішення про те, які адміністрації включити до Національної системи кібербезпеки.
17 жовтня 2026Строк ухвалення підзаконних актів щодо мінімальних заходів.
17 листопада 2026Строк ухвалення нової національної стратегії кібербезпеки.
17 січня 2027Компетентні органи визначають суттєвих і важливих суб’єктів.

Стан справ на 21 жовтня 2026 р.

Новий підзаконний акт щодо мінімальних заходів не опубліковано, проєкт не оприлюднено для громадського обговорення, а на сторінці МІДТ досі розміщено акт від 2019 р. Рішення щодо компетентних органів і методику також не опубліковано.

До ухвалення нового підзаконного акта застосовується акт від 2019 р., а європейським орієнтиром може слугувати Імплементаційний регламент (ЄС) 2024/2690. Строки можуть зсунутися, але закон уже діє.

Чому не варто чекати на повідомлення

Обов’язки виникають, коли компанія відповідає критеріям закону, а не коли отримує листа. Відсутність запису в реєстрі не звільняє від них.

Обов’язок повідомити галузевий CSIRT протягом 24 годин про значний інцидент діє вже зараз.

Ваші клієнти, якщо вони є суттєвими або важливими суб’єктами, уже зобов’язані оцінювати своїх постачальників і вимагатимуть підтвердження відповідно до договору.

Після визначення суттєві суб’єкти підлягають плановим перевіркам. Інспектори перевірятимуть дієві заходи, а не плани, роботу над якими розпочато тижнем раніше.

Коли підзаконний акт буде опубліковано, сотні компаній одночасно шукатимуть консультантів. Ті, хто почне зараз, не чекатимуть у черзі.

Виняток: постачальники, які мають самі подати відомості

Постачальники послуг DNS, реєстри доменних імен, постачальники хмарних послуг, центри обробки даних, мережі доставки контенту, постачальники керованих ІКТ-послуг і послуг безпеки, онлайн-платформи, пошукові системи та соціальні мережі мають самостійно подати свої відомості протягом двох місяців, а повідомлення про зміни — протягом двох тижнів (ст. 6, ч. 2 і 3).

Дорожня карта до 17 січня 2027 р.

  1. Самооцінка: сектор за додатками I і II та розмір підприємства, з урахуванням пов’язаних підприємств.
  2. GAP-аналіз відповідності заходам за ст. 22: ризики, інциденти, безперервність діяльності, постачальники, доступ, криптографія, навчання.
  3. Рішення керівництва про затвердження заходів (ст. 21).
  4. Процедура реагування на інциденти зі строками 24 години, 72 години та один місяць і контакт із галузевим CSIRT.
  5. Оцінка прямих постачальників і положення щодо безпеки в договорах.
  6. Навчання керівництва (обов’язково кожні два роки) та працівників.

Avigentis виконує кроки 1–2 дистанційно за один день і надає дорожню карту на 30 або 90 днів. Наша передплата допоможе вам залишатися в курсі актуальних вимог після виходу нового підзаконного акта та методики.

Почніть із безкоштовного ШІ-сканування вашого сайту або за ЄІК: avigentis.eu/app

Наша передплата