Най-често задавани въпроси за NIS2 в България (FAQ 2026)

NIS2 е Директива на Европейския парламент и на Съвета на ЕС 2022/2555 относно мерки за високо общо ниво на киберсигурност в Съюза — второто ниво на изисквания за киберсигурност на ЕС, приета през декември 2022 г. Директивата не се прилага пряко за фирмите — тя трябваше да бъде транспонирана в националното законодателство.

България транспонира NIS2 чрез изменения в Закона за киберсигурност, в сила от 17 февруари 2026 г. Именно националният закон задължава българските фирми — не директно директивата.

Практическа разлика: националното законодателство може да съдържа по-строги разпоредби от минимума по NIS2. Проверете българските регулаторни органи (Министерство на електронното управление, националните компетентни органи) за тълкуване на националните изисквания.

Националното законодателство на България, транспониращо NIS2, влезе в сила на 17 февруари 2026 г. Срокът за самоидентификация на субектите е 17 август 2026 г. (6 месеца след влизане в сила). Пълните технически изисквания влизат в сила на 17 февруари 2027 г.

Оценките сочат хиляди български субекти, които трябва да изпълнят изискванията на NIS2 — значително повече в сравнение с предишната директива NIS1. Нарастването се дължи на разширяването на определението за „критични сектори" и снижаването на прага за размера на фирмите, обхванати от регулацията.

Съществени субекти (Essential Entities): големи фирми (250+ служители или оборот >50 млн. EUR) от секторите в Приложение I (енергетика, транспорт, банкиране, здравеопазване, вода, цифрова инфраструктура, публична администрация, космически сектор). Подлежат на активен надзор — компетентният орган провежда одити по собствена инициатива. Санкции: до 10 млн. EUR или 2% от обор