Закон за киберсигурността

Резюме

Законът за киберсигурността е инструментът, чрез който изискванията на европейско ниво стават конкретно, проверимо и санкционируемо задължение за българските организации. Докато NIS2 очертава общата рамка за целия Европейски съюз, именно националният закон и издадените въз основа на него наредби определят към коя администрация се обръщате, в какъв срок подавате регистрация, какви точно технически и организационни мерки се очакват от вас и как изглежда процедурата по докладване на инцидент пред компетентния екип за реакция. За практиката на една организация това е разликата между абстрактен принцип и работещ процес.

Законът действа паралелно с европейската директива, а не вместо нея. Съответствието с NIS2 на ниво стратегия и управление на риска остава основа, но без изпълнение на националните процедурни изисквания — регистрация, отчетност, комуникация със секторните органи — организацията не е в съответствие с българското законодателство, независимо колко зрели са вътрешните ѝ политики за сигурност. Cyberquest работи именно на това пресечно поле: превръщаме европейските принципи в конкретни стъпки, съобразени с българската нормативна и институционална среда, и изграждаме процеси, които издържат както на одит, така и на реален инцидент.

Бизнес ползи

Съответствието със Закона за киберсигурността не е самоцелно упражнение по чекване на квадратчета — при правилен подход то носи измерима стойност за управлението на организацията и за доверието на нейните партньори и клиенти.

Ясна правна позиция пред компетентните органи и намален риск от административни санкции, произтичащи от неизпълнение на регистрационни или отчетни задължения.
Работещ процес за докладване на инциденти, който позволява на ръководството да реагира навреме, вместо да научава за проблема със седмици закъснение.
По-силна позиция при търгове и партньорства, особено в сектори, където статутът по закона е предпоставка за участие във вериги на доставки.
Съгласуваност между националните изисквания и програмата за съответствие с NIS2 на ниво ЕС, вместо две паралелни и несъгласувани инициативи, които дублират усилия и създават разминавания.
По-добра видимост на ръководството върху реалното състояние на мрежовата и информационна сигурност, вместо разчитане на предположения.
Намален оперативен риск чрез внедряване на минималните мерки за сигурност, изисквани от подзаконовата уредба, които на практика покриват голяма част от базовата киберхигиена на организацията.

Обхват

Обхватът на нашата работа по Закона за киберсигурността покрива целия път от установяване на приложимост до поддържане на съответствие в дългосрочен план. Не предлагаме еднократна консултация — изграждаме процес, който организацията може да поддържа сама след приключване на проекта.

Анализ на приложимостта на закона към конкретната организация, включително определяне дали попада в категорията на съществените или важните субекти според действащата редакция на закона и секторните прагове.
Съдействие при регистрация пред компетентния орган, включително подготовка на необходимата документация и комуникация с институцията, отговорна за съответния сектор.
Преглед и, при необходимост, изграждане на мерките за мрежова и информационна сигурност, изисквани от наредбите към закона — технически, организационни и процедурни.
Проектиране на процедура за докладване на инциденти, съобразена със законовите срокове и с изискванията на националния или секторния екип за реакция при инциденти с компютърната сигурност.
Съгласуване на вътрешните политики и документация с изискванията на закона, така че да не съществуват в изолация от вече изградената програма за NIS2.
Периодичен преглед на съответствието при промени в нормативната уредба, в организационната структура или в обхвата на дейността.

Работим както с организации, които за пръв път установяват, че попадат в обхвата на закона, така и с такива, които вече имат изградена програма за информационна сигурност, но не са я привели в съответствие с конкретните национални процедурни изисквания.

Методология

Подходът ни е структуриран в последователни фази, всяка от които завършва с конкретен, проверим резултат, преди да продължим напред. Това позволява на ръководството да следи напредъка и да взема информирани решения на всеки етап, вместо да чака финален доклад след месеци работа.

Фаза 1: Установяване на приложимост и статут. Първата стъпка е да определим с точност дали и как законът се прилага към организацията — в кой сектор попада дейността ѝ, какъв статут произтича от това и кой е компетентният орган, пред който възникват задължения. На този етап изясняваме и връзката с вече съществуваща програма за NIS2, ако има такава, за да избегнем дублиране на усилия в следващите фази.

Фаза 2: Анализ на текущото състояние. Преглеждаме съществуващите политики, технически мерки и процедури спрямо конкретните изисквания на закона и приложимите наредби. Резултатът е ясна карта на разликите между това, което организацията прави днес, и това, което се изисква — основа за приоритизиране на следващите стъпки.

Фаза 3: Регистрация и изграждане на мерките. Подготвяме и подаваме необходимата документация пред компетентния орган и паралелно изграждаме или доразвиваме липсващите технически и организационни мерки. Работим в тясно сътрудничество с вътрешния екип на клиента, за да не създаваме процеси, които не могат да бъдат поддържани след края на проекта.

Фаза 4: Процедура за докладване на инциденти. Изграждаме конкретна, приложима процедура за откриване, оценка и докладване на инциденти в законовите срокове — с ясно разписани роли, канали за комуникация и шаблони, които екипът може да използва под напрежение, без да губи време в търсене на верния формат.

Фаза 5: Предаване и поддръжка. Предаваме на организацията пълна документация, обучаваме отговорните лица и, при желание, оставаме на разположение за периодичен преглед при промени в нормативната уредба или в дейността на организацията. Целта е съответствието да остане живо, а не да залежи в папка след първия одит.

Резултати

Проектите ни по Закона за киберсигурността завършват с конкретни, документирани резултати, а не с обща препоръка за „подобряване на сигурността".

Ясно установен статут на организацията по закона и документирана обосновка за него, използваема при бъдещи проверки.
Завършена регистрация пред компетентния орган, придружена с цялата необходима документация.
Внедрени мерки за мрежова и информационна сигурност, съответстващи на изискванията на приложимите наредби.
Работеща и тествана процедура за докладване на инциденти в законовите срокове, позната на всички отговорни лица.
Съгласувана документация между националните изисквания и програмата за NIS2, без противоречия и дублиране.
План за периодичен преглед, който позволява на организацията да поддържа съответствие и след приключване на проекта.

Често задавани въпроси

С какво Законът за киберсигурността се различава от NIS2 на ниво ЕС?

NIS2 е европейска директива — тя задава общата рамка, целите и минималните изисквания, които всяка държава членка трябва да въведе в собственото си законодателство. Тя обаче не е пряко приложима към организациите по същия начин, по който е регламент. Именно Законът за киберсигурността е механизмът, чрез който тези изисквания стават конкретно задължение в България — с определен национален компетентен орган, конкретни срокове за регистрация и докладване, и наредби, които описват детайлно очакваните мерки за сигурност. С други думи, NIS2 казва какво трябва да се постигне, а националният закон казва как точно, пред кого и кога това се случва в българския контекст.

Ако вече работим по съответствие с NIS2, трябва ли ни отделен проект за националния закон?

Да, макар че двете дейности трябва да вървят заедно, а не изолирано. Съответствието с принципите на NIS2 — управление на риска, политики, обучение на персонала — е добра основа, но не покрива автоматично националните процедурни задължения като регистрация пред компетентния орган или спазване на конкретните срокове за докладване, заложени в българското законодателство. Ако имате изградена NIS2 програма, работата по националния закон обикновено е по-бърза, защото стъпва върху вече съществуваща зрялост, но пропускането ѝ оставя организацията формално в неизпълнение пред българските институции.

Кой определя дали нашата организация попада в обхвата на закона?

Приложимостта се определя от комбинация от фактори — сектора, в който оперира организацията, мащаба на дейността ѝ и естеството на предоставяните услуги. Историческото деление на оператори на съществени услуги и доставчици на цифрови услуги се доразвива в съответствие с категориите „съществени" и „важни" субекти, въведени от NIS2, а конкретните прагове и секторни критерии се определят от закона и свързаната подзаконова уредба. Тъй като тази преценка невинаги е еднозначна — особено за организации на границата между сектори или прагове — препоръчваме тя да се направи с консултация, а не с предположение, защото грешната преценка носи както правен, така и оперативен риск.

Пред кой орган се извършва регистрацията?

Компетентният орган зависи от сектора на дейност. В някои случаи функцията се изпълнява от централен национален орган, а в други — от секторен регулатор с установена компетентност в съответната област, например в телекомуникациите или във финансовия сектор. Част от първоначалната ни работа с всеки клиент е именно да установим точно към коя институция и структура за реакция при инциденти се насочват задълженията му, тъй като грешният адресат означава загубено време и потенциално просрочени срокове.

Какво се случва, ако организацията не се регистрира или не докладва инцидент в срок?

Законът предвижда административнонаказателна отговорност при неизпълнение на задълженията за регистрация, за прилагане на изискваните мерки за сигурност или за докладване на инциденти в определените срокове. Извън формалните санкции, реалната цена на неизпълнение често е по-висока — недокладван навреме инцидент означава закъсняла реакция, по-голяма щета и по-труден процес по възстановяване, а формална липса на регистрация може да постави под въпрос участието на организацията в търгове или партньорства, изискващи доказано съответствие.

Колко време отнема привеждането в съответствие?

Зависи от изходната точка на организацията — от това дали вече има изградени политики и технически мерки, от сложността на инфраструктурата и от сектора на дейност. Установяването на приложимост и подготовката на регистрацията обикновено са най-бързата част от процеса, докато изграждането или доразвиването на техническите мерки за сигурност може да отнеме по-дълъг период, особено при по-сложна инфраструктура. Затова структурираме работата на фази с ясни резултати на всеки етап, вместо да обещаваме единна крайна дата в началото на проекта.

Следващата стъпка

Ако не сте сигурни дали организацията ви попада в обхвата на Закона за киберсигурността, или знаете това, но нямате яснота какво точно предстои — регистрация, конкретни мерки, процедура за докладване — това е моментът да получите ясен отговор, преди срокове или проверки да го наложат вместо вас. Работим с организации на всеки етап от този път: от първоначалната преценка на приложимост до пълноценно внедрена и работеща програма, съгласувана с изискванията на NIS2 на европейско ниво. Свържете се с екипа на Cyberquest, за да обсъдим конкретното състояние на вашата организация и да очертаем реалистичен план за съответствие — без излишна теория, а с ясни стъпки, срокове и отговорности.