Модул 9 · 9.1
NIS2 и Законът за киберсигурност
Модул 9: Правила и организация · Време за четене: 11 минути
Учебна цел: След този урок ще можете да обясните какво урежда Законът за киберсигурност (NIS2), за кого важи и какво означава той чрез веригата на доставки за малките предприятия.
Основни понятия: NIS2, Закон за киберсигурност (Cbw), съществен и важен субект, сектор, размер, задължение за полагане на грижа, задължение за уведомяване (24 часа, 72 часа, 1 месец), задължение за регистрация, верига на доставки, самооценка на компетентния орган
От европейска директива до национален закон
NIS2 е европейска директива от 2022 г. (Директива (ЕС) 2022/2555), която трябва да повиши цифровата устойчивост на важни организации в целия ЕС. Директивата не важи директно: всяка държава я транспонира в собствен закон. В Нидерландия това е Законът за киберсигурност (Cbw). Той е в сила от 15 август 2026 г., едновременно със Закона за устойчивост на критичните субекти и Решението за киберсигурност, в които правилата са доразработени. Старият Закон за сигурността на мрежовите и информационните системи (Wbni) е отменен. Няма преходен период: който попада в обхвата, трябва да изпълнява изискванията веднага.
Според нидерландския NCSC над 8 000 организации попадат в обхвата на закона. Това е малка част от всички предприятия в Нидерландия. За повечето малки предприятия затова по важният въпрос не е „какво трябва да направя заради закона?“, а „какво искат от мен моите клиенти, защото те самите попадат в обхвата на закона?“. На това ще се спрем по нататък.
Нидерландският NCSC е звеното за контакт по Cbw, а от 1 януари 2026 г. и за малките и средни предприятия: бившият Digital Trust Center вече е част от нидерландския NCSC.
Попадате ли Вие в обхвата? Сектор и размер
Дали една организация попада в обхвата на Cbw, зависи от два въпроса.
1. Работите ли в сектор, посочен в закона? Законът има две приложения.
| Приложение 1 (11 сектора) | Приложение 2 (7 сектора) |
|---|---|
| енергетика, транспорт, банково дело, питейна вода, цифрова инфраструктура, управление на ИКТ услуги, космическо пространство, инфраструктура на финансовия пазар, здравеопазване, отпадъчни води, държавна администрация | доставчици на цифрови услуги, пощенски и куриерски услуги, управление на отпадъци, хранителни продукти, химически вещества, изследователска дейност, производство (преработваща промишленост) |
За някои сектори важат допълнителни условия, определени от отговорното министерство. Не всяка организация, която има нещо общо с „хранителни продукти“, попада автоматично в обхвата.
2. Достатъчно голяма ли е организацията Ви? Вашата организация се брои, ако:
- имате 50 или повече служители (еквивалент на пълен работен ден), или
- имате по-малко от 50 служители, но годишният Ви оборот и балансовата Ви стойност са едновременно над 10 милиона евро.
Свързани и партньорски предприятия също се вземат предвид. Предприятие с 20 служители, което принадлежи към група от 200, може все пак да попадне в обхвата.
Изключения: независимо от размера. Няколко вида организации винаги попадат в обхвата, колкото и малки да са: доставчици на DNS услуги, регистри на домейни от първо ниво, доставчици на обществени електронни съобщителни мрежи и услуги, доставчици на доверителни услуги и държавни организации. Също и доставчиците на услуги по регистрация на домейни трябва да се регистрират.
Съществен или важен
Организациите, попадащи в обхвата на закона, са съществени или важни субекти. Общо казано: големите организации в секторите от приложение 1 и няколко вида, определени независимо от размера, са съществени; останалите са важни. Разликата е предимно в надзора: при съществените субекти надзорният орган може да проверява и по собствена инициатива, например чрез инспекции и одити; при важните субекти той се намесва предимно впоследствие, при наличие на индикации, че нещо не е наред. Самите задължения са до голяма степен еднакви. Дали сте съществен или важен субект, се определя чрез самооценката по-долу.
Проверка за собствена сметка
Компетентният орган предлага безплатна самооценка за NIS2 на https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Отговаряте на поредица от въпроси относно сектор, размер и услуги и получавате резултат. Ако се колебаете, например защото предприятието Ви принадлежи към група или работи в няколко държави, нидерландският NCSC разполага с ръководство за сложни бизнес модели.
Какво изисква законът
Ако организацията Ви попада в обхвата, важат три задължения.
Задължение за регистрация
Регистрирате организацията си в регистъра на субектите чрез регистрация пред компетентния орган. По този начин държавата знае кой попада в обхвата и може да се свърже с Вас при заплаха.
Задължение за полагане на грижа
Изготвяте анализ на риска и на тази основа предприемате подходящи и пропорционални мерки за сигурността на мрежовите и информационните си системи. Нидерландският NCSC посочва поне десет теми, с всички от които сте се запознали в този курс:
- анализ на риска (урок 1.1 и 9.3);
- обработка на инциденти с план за инциденти (урок 8.1);
- подготовка за прекъсвания: резервни копия, планове за възстановяване, управление на кризи (модул 6);
- сигурност на веригата на доставки, включително рисковете, свързани с доставчиците (урок 7.2);
- хигиена на киберсигурността и обучение (урок 9.2);
- сигурно придобиване, разработване и поддръжка на системи, включително актуализации (урок 5.1);
- персонал, политика за достъп и управление на оборудването и софтуера (урок 7.1);
- passkey или многофакторно удостоверяване и сигурна комуникация (модул 2);
- политика за криптография (шифроване);
- оценка дали мерките работят, например чрез периодично тестване (урок 6.3 и 9.3).
Ръководството на организацията носи отговорност: то одобрява мерките и упражнява надзор върху изпълнението им. Съгласно европейската директива ръководителите трябва да преминат и обучение по киберрискове. Киберсигурността следователно вече не е задача, която просто се прехвърля на „човека от ИТ отдела“.
Задължение за уведомяване
Съществен инцидент се докладва чрез регистрация пред компетентния орган. Това е инцидент, който сериозно нарушава предоставянето на услуги, причинява финансова вреда или може да причини голяма вреда на други; точните прагове се различават според сектора. Сроковете се броят от момента, в който узнаете за инцидента:
| Срок | Какво изпращате |
|---|---|
| В рамките на 24 часа | Ранно предупреждение: дали инцидентът вероятно е злонамерен, има ли трансгранични последици, кой е лицето за контакт |
| В рамките на 72 часа | Уведомление за инцидента: актуализация с първоначална оценка на тежестта и въздействието |
| В рамките на 1 месец след уведомлението | Окончателен доклад: какво се е случило, причината и предприетите мерки (ако инцидентът продължава по-дълго: доклад за напредъка) |
Едно уведомление чрез компетентния орган достига както екипа за реагиране при инциденти (CSIRT), така и надзорния орган. Освен това съгласно директивата при нужда трябва да уведомите получателите на услугите си за съществени инциденти, които могат да ги засегнат.
Уведомление по Cbw и уведомление по GDPR: две различни неща
Това прилича на задължението за уведомяване при нарушения на сигурността на данните съгласно GDPR (урок 8.2), и срокът „72 часа“ се среща и в двете. Все пак това са две отделни задължения.
| Закон за киберсигурност | GDPR (нарушение на сигурността на данните) | |
|---|---|---|
| За кого | Организации, попадащи в обхвата на Cbw | Всеки, който обработва лични данни, включително самостоятелно заето лице |
| За какво | Съществени инциденти с Вашата услуга | Нарушения на сигурността на личните данни |
| До кого | Нидерландският NCSC чрез регистрация пред компетентния орган | Комисията за защита на личните данни (КЗЛД) |
| Срокове | 24 часа, 72 часа, 1 месец | Без неоправдано забавяне, по възможност в рамките на 72 часа |
Атака с ransomware при организация по Cbw, при която са откраднати и данни на клиенти, трябва да се докладва следователно и на двете места. А малко предприятие, което не попада в обхвата на Cbw, все пак има задължение за уведомяване по GDPR, ако изтекат лични данни.
Ако не попадате в обхвата: веригата на доставки
За повечето читатели на този курс отговорът на първия въпрос е: не, моето предприятие не попада в обхвата на Cbw. Пекарната с дванайсет души, счетоводната кантора с петима, уеб разработчикът, който работи сам. Тогава нямате никакви законови задължения по Cbw: без регистрация, без задължение за уведомяване пред нидерландския NCSC, без надзор.
Но законът може все пак да Ви засегне чрез Вашите клиенти. Организациите, попадащи в обхвата на Cbw, трябва да осигурят сигурността на своята верига на доставки: те трябва да отчитат уязвимостите на своите преки доставчици и доставчици на услуги. Нидерландският NCSC пише, че законът не налага задължения на самите доставчици, но организациите по Cbw могат да поставят изисквания относно цифровата сигурност на своите доставчици. Тези изисквания обикновено се включват в договора или въпросник.
Пример. Малка ИТ фирма с шестима служители управлява лаптопите и мрежата на средно голямо транспортно предприятие със 140 служители. Транспортното предприятие попада в обхвата на Cbw (транспорт, достатъчно голямо). Самата ИТ фирма не попада: „управление на ИКТ услуги“ фигурира в приложение 1, но фирмата е твърде малка. Въпреки това тя получава въпросник: имате ли двуфакторно удостоверяване на инструментите за управление, кой има достъп до нашите системи, колко бързо ни уведомявате при инцидент, къде се съхраняват резервните копия?
Какво казва нидерландският NCSC по този въпрос и какво означава това за Вас:
- Изискванията трябва да бъдат подходящи. Клиентът трябва да отчита риска, който Вашата услуга представлява за него. Доставчик с достъп до системите получава по-строги изисквания от пекаря, който доставя обяда.
- Става дума за преки доставчици. Доставчиците на Вашите доставчици остават извън обхвата на закона.
- Сертификатът не е задължителен. Cbw не предписва знак за качество. Сертификатът може да улесни разговора, но не е гаранция и не е изискване на закона.
- Започнете разговора рано. Направете преглед на мерките, които вече имате на местата, където имате контакт с клиента, и документирайте договореностите.
Не преувеличавайте значението на това. Cbw не превръща малкото предприятие в организация „задължена по NIS2“, а консултант, който Ви казва това, за да Ви продаде скъпа сертификация, разказва само част от историята. Но не го и подценявайте: който доставя на по-големи организации, все по-често трябва да може да докаже, че основите са в ред. Базовите мерки от този курс са точно това, което подобен въпросник обикновено изисква.
Този урок дава общо обяснение и не представлява правен съвет. За актуалните правила вижте нидерландската страница https://govcert.bg/ и текста на закона на https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Обобщение
- Законът за киберсигурност е нидерландското транспониране на NIS2 и е в сила от 15 август 2026 г., без преходен период.
- Попадате в обхвата, ако работите в сектор от приложение 1 или 2 и имате 50 или повече служители, или годишен оборот и балансова стойност, едновременно над 10 милиона евро; някои видове (като доставчици на DNS услуги и държавна администрация) независимо от размера.
- Задължения: регистрация чрез компетентния орган, задължение за полагане на грижа с анализ на риска и подходящи мерки под отговорността на ръководството, и уведомяване за съществени инциденти в рамките на 24 часа, 72 часа и 1 месец.
- Уведомлението по Cbw до нидерландския NCSC е отделно от уведомлението по GDPR за нарушения на сигурността на данните до КЗЛД; понякога се изискват и двете.
- Малко предприятие обикновено само по себе си не попада в обхвата, но може чрез клиенти, които попадат в обхвата, да получи подходящи изисквания за сигурност.
Тест (quiz)
Задача
Задача A9.1: Попада ли под Закона за киберсигурност? Получавате шест кратки описания на организации (сектор, брой служители, оборот, балансова стойност, евентуално група или голям клиент). Определете за всяка организация: попада в обхвата, не попада в обхвата, но вероятно ще получи изисквания чрез клиент, или не попада в обхвата. Програмата проверява отговорите и показва за всяка организация стъпките на дървото за вземане на решение.
Допълнително четене
За Закона за киберсигурност все още няма статия в базата знания на WebOké; използвайте официалните източници.
- Нидерландският NCSC, Закон за киберсигурност (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Нидерландският NCSC, Попада ли моята организация под Закона за киберсигурност?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Нидерландският NCSC, Задължение за полагане на грижа: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Нидерландският NCSC, Задължение за уведомяване: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Нидерландският NCSC, Законът за киберсигурност и доставчиците: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Компетентният орган, самооценка за NIS2: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Текст на Закона за киберсигурност: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0