Критичен прочит на чл. 24 от Закона за киберсигурност след измененията, обнародвани в ДВ, бр. 17 от 13 февруари 2026 г.
Новата законодателна рамка
С измененията на Закона за киберсигурност, обнародвани в Държавен вестник, бр. 17 от 13 февруари 2026 г., България въведе изискванията на европейската Директива (ЕС) 2022/2555, известна като NIS2. Законодателната рамка значително разширява обхвата на регулираните дейности и въвежда по-високи изисквания към управлението на киберрисковете в публичния и частния сектор.
Сред обхванатите организации са административни органи, включително общинските администрации, както и предприятия от сектори с важно значение за икономиката и обществото.
Основни промени
- Разширен обхват. Включени са допълнителни сектори и дейности, сред които космическият сектор, пощенските и куриерските услуги, управлението на отпадъци, химическата и хранително-вкусовата промишленост, производството на медицински изделия, електронни продукти, машини и транспортно оборудване.
- Две категории субекти. Въвежда се разграничение между „съществени“ и „важни“ субекти. Категоризацията зависи от сектора, размера, характера и значимостта на предоставяните услуги, както и от предвидените в закона изключения.
- Отговорност на ръководството. Управителните органи имат изрични задължения за одобряване и контрол на мерките за управление на киберрисковете, включително за придобиване на необходимите знания и умения.
- Докладване на значителни инциденти. Въвежда се поетапен механизъм за уведомяване:
- До 24 часа след установяването — ранно предупреждение.
- До 72 часа — уведомление с първоначална оценка на инцидента, като за определени доставчици е предвиден по-кратък срок.
- До един месец след уведомлението — окончателен доклад, с особен ред при все още неприключил инцидент.
- Задължителни мерки за управление на риска. Те включват политики за сигурност, непрекъснатост на дейността, управление на кризи, защита на веригата за доставки, контрол на достъпа, криптография, многофакторна автентикация, оценяване на ефективността на защитите и обучение на персонала.
Наред с тези промени законът поставя и един особено интересен въпрос: къде преминава границата между определянето на задължително ниво на киберсигурност и налагането на конкретни технологични решения?
I. Технологичната неутралност като основен принцип
Един от важните принципи в регулирането на киберсигурността е технологичната неутралност.
В чл. 3, ал. 2 и 3 от Закона за киберсигурност изрично е установено, че мерките не могат да налагат използването на определен тип технология.
Този принцип има съществено значение, защото:
- позволява различни технически подходи за постигане на изискваното ниво на сигурност;
- създава условия за конкуренция между производители и доставчици;
- ограничава риска от неоправдано технологично обвързване;
- позволява съобразяване със съществуващата инфраструктура, оперативните потребности и финансовите възможности на организациите.
С други думи, регулаторът следва да определя какво ниво на защита трябва да бъде постигнато, без непременно да предписва с какъв конкретен продукт или технологична архитектура да се постигне то.
II. Чл. 24 — възможност за въвеждане на конкретни изисквания
В същото време чл. 24 допуска Министерският съвет, с постановление по предложение на Съвета по киберсигурността, да въвежда изисквания за използване на конкретни ИКТ продукти, услуги и процедури, доказано подходящи в оперативно и икономическо отношение и сертифицирани по приложимите европейски схеми за киберсигурност.
Разпоредбата е свързана с доказването на съответствие с определени изисквания за управление на риска по чл. 22.
На пръв поглед двете разпоредби преследват една и съща цел — повишаване на киберсигурността. Различен обаче е подходът към нейното постигане.
Тук възниква основният въпрос: представлява ли чл. 24 допустима конкретизация на изискванията за сигурност, или създава възможност за ограничаване на технологичната неутралност?
Самото наличие на правомощие за въвеждане на сертификационни изисквания не доказва нормативно противоречие. Рискът произтича от начина, по който това правомощие би могло да бъде упражнено.
III. Ключовият въпрос е значението на думата „конкретни“
Използването на израза „конкретни ИКТ продукти, ИКТ услуги и ИКТ процедури“ допуска различни практически тълкувания.
Ако под „конкретни“ се разбират ясно определени функционални, технически и сертификационни характеристики, съобразени с оценката на риска, подобен подход може да бъде обоснован.
Ако обаче понятието бъде приложено като основание за:
- задължително използване на определена технологична архитектура;
- ограничаване до затворен списък от продукти;
- изключване на равностойни технически решения;
- налагане на продуктов клас без обоснована необходимост;
тогава възниква риск от непропорционално ограничаване на технологичния избор.
Същественото разграничение е между изискване към резултата от защитата и задължение за използване на определено средство.
Например изискването за многофакторна автентикация определя защитна функция. Задължението тя да бъде реализирана единствено чрез конкретен продукт би представлявало значително по-ограничителен подход, който изисква самостоятелна обосновка.
IV. Европейският контекст — Регламент (ЕС) 2019/881
Чл. 24 препраща към европейските схеми за сертифициране, установени в рамката на Регламент (ЕС) 2019/881, известен като Акта за киберсигурността.
Този регламент създава общоевропейска рамка за оценяване и удостоверяване на определени характеристики на киберсигурността на ИКТ продукти, услуги и процеси.
Сертифицирането може да предостави допълнителна увереност относно съответствието с определени изисквания, но не следва автоматично да се отъждествява с необходимост от конкретен производител или продукт.
Важно е също да се отчете, че наличието на европейска схема не означава само по себе си, че сертифицирането е задължително за всички организации и всички технологични решения.
Следователно изискването за сертифициране може да бъде допустим инструмент за управление на риска, когато е приложимо, обосновано и пропорционално.
Проблем би възникнал, ако чрез прилагането му неоправдано се ограничат технически равностойни решения или се създадат непреодолими бариери пред конкуренцията.
V. Потенциални правни и технологични рискове
1. Ограничаване на конкуренцията
Прекалено тесните технологични изисквания могат да изключат решения, които постигат същото или по-високо ниво на защита чрез различен подход.
2. Нарушаване на принципа на пропорционалност
Възможно е дадено решение да осигурява високо ниво на сигурност, но внедряването му да изисква неоправдани разходи, мащабна подмяна на инфраструктура или несъразмерно организационно натоварване.
3. Неравнопоставеност между доставчиците
Изисквания, формулирани около характеристиките на ограничен кръг продукти, могат да създадат предимство за определени доставчици, без това да е необходимо за постигане на регулаторната цел.
4. Технологична зависимост (vendor lock-in)
Налагането на специфични платформи или архитектури може да затрудни бъдещата миграция, интеграцията с други системи и свободния избор на поддръжка.
5. Оперативен риск
Задължителното внедряване на несъвместимо решение може да доведе до усложняване на инфраструктурата, допълнителни зависимости и дори до нови уязвимости.
Тези рискове не означават, че конкретните технически изисквания винаги са неправомерни. Те показват необходимостта от ясна обосновка, оценка на риска и съразмерност.
VI. Стандарт, сертификация и технология — три различни понятия
За правилното прилагане на закона е важно да се разграничават:
- Стандартът — определя изисквания, принципи, процеси или технически характеристики.
- Сертификацията — удостоверява съответствие с определени изисквания в рамките на приложимата схема.
- Технологичното решение — конкретният начин, по който организацията реализира необходимите защитни функции.
Един балансиран регулаторен подход би следвало да определя минималното ниво на сигурност, приложимите критерии за съответствие и необходимите доказателства, като запазва възможността за избор между равностойни решения, когато това е допустимо.
Обратно, прекомерното обвързване с конкретна архитектура или продуктов модел може да превърне изискването за сигурност в ограничение на технологичния избор.
VII. Квалифицираните удостоверителни услуги
Чл. 24 предвижда и насърчаване на използването на квалифицирани удостоверителни услуги.
Тук законодателният подход е различен. Използваният термин „насърчава“ не създава самостоятелно задължение за внедряване на определена услуга.
Разпоредбата следва да се разглежда в контекста на европейската рамка за електронна идентификация и удостоверителни услуги (eIDAS), без да се смесва с правомощието за въвеждане на конкретни сертификационни изисквания.
VIII. Заключение — рискът е в начина на прилагане
Чл. 24 от Закона за киберсигурност не следва автоматично да се приема като противоречащ на принципа на технологична неутралност.
Законодателят допуска въвеждането на определени изисквания към ИКТ продукти, услуги и процедури с цел доказване на съответствие и постигане на по-високо ниво на защита.
Същевременно формулировката създава необходимост от особено внимателно прилагане.
Границата между допустимото изискване за сигурност и неоправданото технологично ограничение трябва да бъде ясно разграничена.
От значение ще бъдат бъдещите подзаконови актове, тяхната обосновка, пропорционалността на изискванията и възможността организациите да използват различни технически решения, които осигуряват необходимото ниво на защита.
IX. Препоръки за нормативна и практическа яснота
За ограничаване на риска от противоречиво тълкуване би било полезно при разработването на подзаконовите изисквания изрично да се предвидят:
- Недопускане на необосновано фаворизиране на конкретни производители и доставчици.
- Определяне на измерими функционални и защитни изисквания.
- Прилагане на сертификационни критерии съобразно наличните европейски схеми и реалния риск.
- Възможност за равностойни решения, когато това е съвместимо с приложимата правна рамка.
- Оценка на оперативната съвместимост, икономическата обоснованост и риска от технологична зависимост.
Киберсигурността трябва да бъде измервана чрез постигнатото ниво на защита, устойчивостта и способността за управление на риска, а не единствено чрез избора на определена технология.
Технологичната неутралност не означава липса на изисквания. Тя означава, че изискванията трябва да бъдат обосновани, пропорционални и насочени към реалния резултат от защитата.
Източници и нормативни документи: