NIS2 и Cyberbeveiligingswet: попада ли моята фирма в обхвата им?

От 15 август 2026 г. в Нидерландия се прилага Законът за киберсигурността. Възможно е вече да сте чули термина NIS2 от клиент, доставчик или консултант. В тази статия ще прочетете накратко какво представлява законът, за кого се отнася и какво означава той за малка фирма, която самата не попада в обхвата му.

Тази статия дава общо обяснение и не представлява правен съвет. Актуалните правила можете да намерите при NCSC и в текста на закона.

Какво представлява?

NIS2 е европейска директива от 2022 г. (Директива (ЕС) 2022/2555), чиято цел е да направи организациите във важни сектори по-устойчиви в дигиталната среда. Всяка държава транспонира директивата в собствен закон. В Нидерландия това е Законът за киберсигурността (Cbw). Законът се прилага от 15 август 2026 г., без преходен период, и заменя стария Закон за сигурността на мрежите и информационните системи (Wbni). Според NCSC в обхвата му попадат над 8.000 организации. NCSC е звеното за контакт.

Попада ли моята фирма в обхвата?

Това зависи от два въпроса: Вашият сектор и Вашият размер.

1. Работите ли в сектор, посочен в закона?

За някои сектори се прилагат допълнителни условия. Следователно не всяка фирма, която има нещо общо с храни, автоматично попада в обхвата.

2. Достатъчно голяма ли е Вашата организация? Накратко, в обхвата попадат средните и големите организации. Вашата организация се взема предвид, ако:

• имате 50 или повече служители (еквивалент на пълно работно време), или
• имате по-малко от 50 служители, но годишният Ви оборот и общата стойност на баланса Ви надхвърлят 10 милиона евро.

Предприятията партньори и свързаните предприятия също се вземат предвид. Така фирма с 20 служители, която е част от група с 200 служители, все пак може да попадне в обхвата.

Изключения, независимо от размера. Някои видове организации винаги попадат в обхвата, колкото и малки да са. Например доставчици на DNS услуги, регистри на имена на домейни от първо ниво, доставчици на обществени електронни съобщителни мрежи и услуги, доставчици на удостоверителни услуги и организации от публичната администрация. Ако сте определени като субект по Закона за устойчивостта на критичните субекти, Вие попадате и в обхвата на Закона за киберсигурността.

Проверете сами чрез самооценката

Държавната инспекция за цифровата инфраструктура (RDI) предлага безплатна самооценка за NIS2. Отговаряте на въпроси за Вашия сектор, размер и услуги и получавате резултат. От него става ясно и дали сте съществен или важен субект. Разликата е най-вече в надзора: при съществените субекти надзорният орган може да извършва проверки и по собствена инициатива, а при важните субекти основно впоследствие. Вашата фирма част от група ли е или работите в няколко държави? Тогава ще Ви помогнат насоките за сложни бизнес модели на NCSC.

Какво трябва да направите, ако попадате в обхвата?

• Регистрация. Регистрирате организацията си чрез MijnNCSC.
• Задължение за полагане на грижа. Извършвате анализ на риска и предприемате подходящи и пропорционални мерки. NCSC посочва поне десет теми, сред които обработка на инциденти, резервни копия и възстановяване, сигурност на веригата на доставки, обучение, актуализации, управление на достъпа, многофакторно удостоверяване или passkeys, криптиране и проверка дали мерките Ви работят. Ръководството одобрява мерките и упражнява надзор върху тях.
• Задължение за уведомяване. За значителен инцидент уведомявате чрез MijnNCSC: в рамките на 24 часа ранно предупреждение, в рамките на 72 часа уведомление с първоначална оценка на сериозността и въздействието и в рамките на един месец окончателен доклад.

Това уведомяване е отделно от задължението за уведомяване за нарушения на сигурността на личните данни по ОРЗД (GDPR). То се прилага за всеки, който обработва лични данни, включително за самонаетите лица, и уведомяването се извършва пред нидерландския Орган за защита на личните данни. Кога нещо представлява нарушение на сигурността на данните и дали трябва да уведомите, можете да прочетете в Това нарушение на сигурността на данните ли е и трябва ли да уведомя? Следователно за атака, при която са откраднати и данни на клиенти, може да се наложи уведомяване и на двете места.

Не попадате в обхвата? Веригата на доставки все пак може да Ви засегне

Повечето малки фирми не попадат в обхвата на закона. В такъв случай нямате задължение за регистрация, задължение за уведомяване на NCSC и не сте обект на надзор. Организациите, които попадат в обхвата, обаче трябва да отчитат и рисковете при своите преки доставчици и доставчици на услуги. Според NCSC законът не налага задължения на самите доставчици, но клиентите могат да поставят изисквания към тяхната дигитална сигурност. Те се включват в договор или въпросник.

Работите ли за по-голяма организация, например като уеб разработчик, ИТ администратор или счетоводна кантора? Тогава може да получите въпроси като: използвате ли двуфакторно удостоверяване, кой има достъп до нашите данни, къде се съхраняват резервните копия и колко бързо уведомявате за инцидент?

• Изискванията трябва да са съобразени с риска на Вашата услуга. Доставчик с достъп до системите получава по-строги изисквания от пекаря, който доставя обяда.
• Става въпрос за преки доставчици. Доставчиците на Вашите доставчици остават извън обхвата.
• Законът не изисква сертификат. Той може да помогне в разговора, но не е гаранция.
• Започнете навреме: направете преглед на мерките, които вече имате, и запишете договореностите с Вашия клиент.

Допълнителна информация

• NCSC: Закон за киберсигурността (NIS2)
• NCSC: Попада ли моята организация в обхвата на Закона за киберсигурността?
• NCSC: Задължение за полагане на грижа
• NCSC: Задължение за уведомяване
• NCSC: Законът за киберсигурността и доставчиците
• RDI: Самооценка за NIS2
• Текст на Закона за киберсигурността

Искате да научите повече? Запишете се за безплатния курс „Безопасно онлайн за предприемачи“, урок 9.1 NIS2 и Законът за киберсигурността.