Зміст
Щоб оцінити реальний стан цифрової готовності болгарських громад, компанія Avigentis проаналізувала вебсайти болгарських громад з погляду вимог, пов'язаних із GDPR і NIS2.
Мета аналізу – не просто перевірити наявність окремих елементів на сайтах громад, а оцінити рівень виконання перевірюваних критеріїв, пов'язаних з обов'язковими вимогами щодо захисту персональних даних та з додатковими рекомендаціями й найкращими практиками кібербезпеки.
За результатами аудиту та аналізу всіх громад за першу половину 2026 р. ми бачимо такий показник ефективності:
Що показують результати?
Результати показують, що навіть базовий рівень відповідності не можна вважати повністю досягнутим.
Особливо важливим є показник 64% для обов'язкового мінімуму. Він свідчить, що в межах використаної методології є значна кількість критеріїв, за якими потрібне додаткове вдосконалення.
Що означає показник 64%?
Показник 64% за категорією «ОБОВ'ЯЗКОВИЙ МІНІМУМ – GDPR / ЗАСТОСОВНІ ВИМОГИ» означає, що в межах методології проведеного аналізу встановлений рівень виконання перевірюваних обов'язкових критеріїв становить 64%.
Важливе уточнення
Це не означає, що громада «на 64% відповідає GDPR» у юридичному сенсі.
GDPR не запроваджує офіційної шкали відповідності від 0 до 100%, а цей відсоток не є сертифікатом чи офіційною оцінкою Комісії із захисту персональних даних.
Проте цей показник є дуже корисним діагностичним інструментом. Він дає змогу керівництву громади швидко зрозуміти, яку частину перевірюваних критеріїв уже виконано і де залишаються потенційні ризикові зони.
Тому результат слід розглядати як GAP-аналіз, а не як юридичний висновок про повну чи неповну відповідність GDPR.
Що означає показник 67%?
Друга категорія – «ДОДАТКОВІ РЕКОМЕНДАЦІЇ – NIS2 / НАЙКРАЩІ ПРАКТИКИ» – показує результат 67%.
Тут оцінюються додаткові елементи, пов'язані з рівнем зрілості кібербезпеки, стійкістю цифрової інфраструктури та практиками, що відповідають підходу NIS2.
Це особливо важливо, оскільки NIS2 вимагає не лише наявності формальних документів, а й системного підходу до управління кіберризиками.
Чому обидва показники слід розглядати разом?
Кібербезпеку не можна звести лише до захисту персональних даних.
Громада може мати порівняно добре організовану документацію з GDPR і водночас недостатній рівень:
- захисту серверів;
- управління доступом;
- MFA;
- моніторингу;
- резервного копіювання;
- управління вразливостями;
- реагування на інциденти;
- контролю за постачальниками;
- disaster recovery;
- управління кіберризиками.
Два виміри цифрової безпеки
GDPR → захист персональних даних
NIS2 → стійкість і кібербезпека організації
64% – не привід для паніки, а привід до дій
Найправильніша реакція на цей результат – не пошук винних. Результат слід використати як відправну точку для програми підвищення рівня кібербезпеки громади.
Визначення критичних невідповідностей
Класифікуйте проблеми як Critical → High → Medium → Low і насамперед усуньте найнебезпечніші ризики.
Технічний аудит
Перевірте сервери, мережеву інфраструктуру, firewall, VPN, Active Directory, облікові записи користувачів, MFA, бази даних, backup, cloud, endpoint security, vulnerability management, logging і monitoring.
Аудит GDPR
Перевірте весь життєвий цикл персональних даних: збирання → оброблення → зберігання → передача → доступ → архівування → видалення.
GAP-аналіз NIS2
Порівняйте фактичний стан громади з вимогами Закону про кібербезпеку (ЗКС) і відповідними практиками управління кіберризиками.
Roadmap усунення ризиків
Складіть конкретний план із пріоритетами, відповідальними особами, строками та бюджетом.
Приклад плану дій
| Пріоритет | Проблема | Ризик | Необхідна дія | Строк |
|---|---|---|---|---|
| Critical | Критична вразливість | Високий | Усунення | 7 днів |
| High | Відсутність MFA | Високий | Запровадження MFA | 30 днів |
| High | Недостатнє резервне копіювання | Дуже високий | Зміна політики backup | 30 днів |
| Medium | Недоліки в документації з GDPR | Середній | Оновлення документації | 60 днів |
Аналіз вебсайту – лише перший рівень
Слід наголосити: аналіз публічного вебсайту громади не рівнозначний повному аудиту за NIS2 чи GDPR.
Вебсайт – це лише зовнішній цифровий периметр.
Інформаційні системи → бази даних → сервери → працівники → постачальники → cloud-сервіси → внутрішні мережі → персональні дані → резервні копії.
Саме тому результати 64% / 67% слід розглядати як важливий індикатор, що вказує на необхідність глибшої перевірки.
Якою має бути наступна дія?
Для громади правильний підхід – не чекати першої перевірки чи першого серйозного кіберінциденту.
GAP-аналіз → технічний аудит → аудит GDPR → оцінка NIS2 → управління ризиками → коригувальні дії → повторний аудит
Це створює постійний цикл удосконалення.
Висновок
Отримані за результатами аналізу Avigentis показники:
не слід розглядати як остаточну оцінку. Вони мають стати відправною точкою для дій.
«Чи можемо ми довести, що наші інформаційні системи, персональні дані та цифрові послуги громади справді захищені?»
Саме на це запитання має відповісти повноцінний і незалежний аудит.
NIS2 і GDPR – це не лише питання санкцій. Це питання захисту громадян, безперервності послуг громади, відповідальності керівництва та довіри суспільства до цифрової держави.
Для болгарських громад 2026 р. – це момент не просто «перевірити IT», а провести комплексний незалежний аудит за NIS2 + GDPR, створити реєстр ризиків і конкретну дорожню карту усунення невідповідностей із пріоритетами, строками та відповідальними особами.
