Ръководство за местни фирми по НИС2: Как да се подготвим за новата директива за киберсигурност
С нарастващата цифровизация и честите кибератаки в Европейския съюз, киберсигурността се превръща в основен приоритет за всяка организация. Директива (ЕС) 2022/2555, позната като НИС2 (NIS2), влезе в сила в началото на 2023 г. и трябва да бъде транспонирана в националното законодателство на държавите членки, включително България, до 17 октомври 2024 г..
НИС2 разширява обхвата на предходната директива и въвежда по-строги задължения към организациите, които предоставят съществени и важни услуги. Това включва и редица местни фирми в България, които досега не са попадали под регулация в областта на киберсигурността.
Настоящото ръководство има за цел да даде конкретни насоки, добри практики и стъпки за действие, които местният бизнес трябва да предприеме, за да бъде в съответствие с НИС2.
1. Какво представлява НИС2?
НИС2 е втората версия на Директивата за сигурността на мрежите и информационните системи. Основните цели са:
- Повишаване на общото ниво на киберсигурност в ЕС
- Хармонизиране на изискванията към публичния и частния сектор
- Засилване на отчетността и контрола върху доставчици на критични услуги
2. Кой попада в обхвата на НИС2?
НИС2 класифицира засегнатите субекти в две групи:
- Съществени субекти – организации с голямо значение за обществото и икономиката (напр. енергетика, здравеопазване, транспорт, финанси).
- Важни субекти – по-малки организации, които също предоставят ключови услуги, но с по-нисък обем или критичност.
За българските фирми е важно да знаят, че всяка организация с над 50 служители или с годишен оборот над 10 млн. евро, която оперира в чувствителен сектор, може да попадне в обхвата на директивата.
Примери за засегнати сектори в България:
- Доставчици на интернет и облачни услуги
- Здравни и лабораторни центрове
- Водоснабдителни дружества
- Превозвачи и логистични оператори
- Хостинг и IT компании
- Фармацевтични производители
- Административни структури и държавни предприятия
3. Какви са задълженията по НИС2?
НИС2 налага поредица от технически, организационни и процедурни мерки. Те включват:
✅ Оценка на риска и управление на киберрискове
- Изготвяне на план за оценка и управление на ИТ рискове
- Идентифициране на критичните активи и услуги
- Анализ на възможни заплахи и уязвимости
✅ Мерки за защита на системите
- Използване на съвременни антивирусни и защитни решения
- Регулярно прилагане на софтуерни обновления (patch management)
- Ограничаване на достъпа до критични системи по принципа „минимални права“
✅ Контрол на доставчици и партньори
- Проверка на подизпълнители и IT доставчици
- Договорни клаузи за спазване на стандарти за сигурност
✅ Планове за реакция при инциденти
- Разработка на инцидентен план (incident response plan)
- Назначаване на отговорно лице/екип
- Провеждане на регулярни симулации
✅ Докладване на инциденти
- Задължение за докладване в рамките на 24 часа след откриване на сериозен инцидент
- Съгласуване с националния компетентен орган (в България – ГДБОП/НАЦИБ)
✅ Обучения и осведоменост
- Провеждане на обучения по киберсигурност за служителите
- Разработване на вътрешни политики и указания за добри практики
4. Какви са санкциите при неспазване?
НИС2 въвежда съществени глоби за нарушители, които могат да достигнат до:
- До 10 млн. евро или 2% от годишния оборот за съществени субекти
- До 7 млн. евро или 1.4% от оборота за важни субекти
Освен финансовите санкции, директивата предвижда:
- Временно отнемане на разрешителни
- Задължителни одити и предписания от органите
- Лична отговорност на управителите
5. Какво трябва да направи всяка фирма още сега?
Стъпка 1: Провери дали попадаш в обхвата на НИС2
Анализирайте:
- Дейността си – дали оперирате в чувствителен сектор?
- Размерите си – брой служители и оборот?
Стъпка 2: Проведи вътрешен одит
- Идентифицирайте слабите места
- Определете кои системи са критични
Стъпка 3: Разработи стратегия за съответствие
- Назначете лице, отговарящо за киберсигурността
- Изгответе политика за ИТ сигурност
- Подгответе план за реакция при инциденти
Стъпка 4: Обучете служителите
- Проведете кратки обучения и разяснения
- Създайте култура на сигурност в офиса
Стъпка 5: Потърсете професионален партньор
- Работете с консултанти по киберсигурност
- Потърсете външен ИТ доставчик, който познава изискванията на НИС2
- Използвайте инструменти, сертифицирани според европейските стандарти
Добри практики за съответствие с НИС2
- Внедрете двуфакторна автентикация за достъп до критични системи
- Използвайте шифроване за данни в почивка и в движение
- Настройте SIEM (система за мониторинг на събития) за следене на необичайни дейности
- Използвайте бекъп стратегии с offline копия
- Провеждайте редовни пенетрейшън тестове (тестове за уязвимости)
НИС2 не е просто регулаторна тежест – тя е възможност за повишаване на доверието, стабилността и устойчивостта на българския бизнес. С навременна подготовка и адекватни мерки, местните фирми могат не само да изпълнят законовите изисквания, но и да изградят реална защита срещу съвременните киберзаплахи.
Ако имате нужда от консултация или професионална помощ за оценка, внедряване или поддръжка на мерки по НИС2, свържете се с нас. Ние ще ви помогнем да изградите ефективна и съобразена със законодателството система за киберсигурност – адаптирана към спецификите на вашия бизнес.