ЗКС и NIS2
ЗКС вече е в сила.
Същината
ЗКС не се покрива с папка с документи, а с това как е устроена системата ви.
Законът иска три неща, които не се уреждат на хартия: да управлявате риска, да продължите да работите при сериозен проблем и да подадете сигнал до 24 часа. Дали ще се справите, зависи от това как е изградена средата ви - какво записва тя, кой има достъп и откъде, колко бързо услугата тръгва отново и дали всичко това може да се покаже на проверяващ.
Northkeep проектира тази среда и събира доказателствата за нея. Всеки документ носи подписа на отговорния архитект по проекта. Правният анализ и представителството пред надзорния орган остават за вашия юрист. Ние отговаряме за това, какво може да докаже архитектурата.
Срокове при значителен инцидент
Часовникът тръгва в мига, в който научите.
Сигналът отива при секторния екип за реагиране при инциденти с компютърната сигурност - СЕРИКС за вашия сектор, а не на общ национален адрес. Националният екип (НЕРИКС) координира на ниво държава. СЕРИКС е длъжен да отговори до 24 часа и да даде насоки или да окаже техническа помощ, така че това не е просто подаване на документ в едната посока.
Първото практическо нещо, което трябва да знаете, е кой е вашият СЕРИКС и по какъв канал се подава сигналът - преди да ви се наложи да го използвате. Дали ще се вместите в сроковете, е технически въпрос и се решава преди инцидента, а не по време на него.
Ранно предупреждение
Броенето започва от момента, в който научите за инцидента, а не от момента, в който разберете какво точно е станало. На този етап не се иска много: има ли съмнение за злонамерено действие и излиза ли въздействието извън страната.
Уведомление
Първата оценка: колко сериозен е инцидентът, какво е засегнато и по какви признаци е установен. С това, което знаете дотогава - не се чака пълна картина.
Окончателен доклад
Пълната картина: от какво е тръгнало, какво сте направили, за да го спрете, и какво е било въздействието извън страната, ако е имало такова.
Между тези етапи СЕРИКС може да поиска и междинен доклад по всяко време. Надзорът е отделен от подаването на сигнала: кой орган го упражнява, зависи от сектора - Министерството на електронното управление, ДАНС, МВР или Министерството на отбраната, всеки в рамките на компетентността си.
Какво се промени
Кого засяга и какво иска от него.
- 18 сектора, разделени на две групи
- Приложение 1 изброява съществените субекти: енергетика, транспорт, банки, здравеопазване, водоснабдяване, цифрова инфраструктура и други. Приложение 2 изброява важните субекти - управление на отпадъци, химическа промишленост, храни, преработваща промишленост, доставчици на цифрови услуги. Разликата не е формална: държавата надзирава двете групи по различен начин, а глобите стигат до различни тавани.
- Размерът на компанията решава дали законът важи за вас
- По правило законът обхваща средните и големите предприятия в тези сектори - ориентировъчно с 50 или повече служители, или с годишен оборот над 10 млн. евро. Има и изключения, които важат независимо от размера. Сред тях са доставчиците на квалифицирани удостоверителни услуги и регистрите на имена на домейни.
- Отговорността опира лично до управителния орган
- Управителният орган одобрява мерките и следи дали се прилагат, а членовете му преминават обучение по киберсигурност на всеки две години. Това не се прехвърля надолу по веригата. Ако мерките не са одобрени или обучението е пропуснато, глобата е лична - от 1 000 до 10 000 лв., отделно от санкцията за самото дружество.
- Санкциите са обвързани с оборота
- За съществените субекти таванът е 20 000 000 лв. или 2% от световния годишен оборот, като се прилага по-голямата от двете суми, а долната граница е 50 000 лв. За важните субекти таванът е 14 000 000 лв. или 1,4% от световния оборот, при долна граница 25 000 лв. При голяма компания на практика решаващ е процентът, а не фиксираната сума.
- Сертификат по ЗКС не съществува
- Няма нито български, нито европейски сертификат за съответствие с NIS2, нито регистър на акредитирани одитори по закона. Проверката е работа на надзорния орган: при съществените субекти той може да я направи по всяко време и без повод, а при важните - когато има сигнал или данни за нарушение. Може да бъде разпореден и одит от независим орган, като разходите за него се поемат от проверявания субект. Сертификация по ISO/IEC 27001 тежи като доказателство, но не покрива изискванията на закона.
- Наредбата още не е обновена, но срокът вече тече
- Наредбата, която определя минималния обхват на мерките, предстои да бъде актуализирана до октомври 2026 г. Задълженията по самия закон обаче важат отсега. Ако я чакате, нищо не се отлага - остава ви само по-малко време за подготовка.
Написаното тук е техническо обобщение, не правен съвет. Как точно се прилага законът към вашата организация, е въпрос към вашия юрист и към отговорния за съответствието. Какво може да докаже средата ви, е въпросът, на който отговаря Northkeep.
Услугата
Оценка на готовността по ЗКС.
Платена, с предварително договорен обхват. Накрая не получавате презентация, а комплект доказателства, който управителният орган и надзорният орган могат да приемат - подписан от отговорния архитект по проекта.
- Преглед на средата в сегашния ѝ вид: архитектура, устойчивост, достъп, проследимост
- Разликата между това, което ЗКС иска от вашата категория субект, и това, което имате в момента - точка по точка
- Целева архитектура с промени, подредени по приоритет, и цена за всяка от тях
- Готовност да подадете сигнал в сроковете от 24 и 72 часа - и технически, и като процес
- Документация, която можете да представите пред управителния орган и пред надзорния орган
След това: доказателствата се поддържат актуални.
ЗКС не се затваря с еднократна проверка. Доказателствата остаряват: средата се променя, мерките се преразглеждат, а управителният орган трябва да може да покаже, че продължава да следи изпълнението. Затова предлагаме постоянна поддръжка: доказателствата, регистрите и документацията се обновяват заедно със средата, в договорен обем и в работно време.
Започнете оттук
Разговорът е с технически специалист.
Опишете накратко средата си и в кой сектор работите. Отговаря технически специалист, а не търговски отдел. Northkeep е българска компания и работи по европейското право; при нужда екипът по проекта може да бъде изцяло от хора, които живеят в ЕС.