Частен пилотен проект: този инструмент е в активно тестване. Отчетите се предоставят безплатно, без гаранция за точност, наличност или продължаващ безплатен достъп, а цените/функциите могат да се променят по всяко време.
В съответствие с ENISA и Закона за киберсигурността - 13 области
Анализ на пропуски по НИС2 - модул за България
Структурирана оценка за съответствие, обхващаща всички 13 области на НИС2, синхронизирана с българския Закон за киберсигурността. Адаптивни въпроси, оценка на зрелостта по скалата на ENISA 0-4 и персонализиран отчет с приоритизиран план за отстраняване.
13
Оценени области за съответствие с НИС2
70+
Адаптивни въпроси - дълбочината се определя от отговорите ви
0-4
Скала за зрелост на ENISA - стандартът на самия регулатор
✓
Отчет, съобразен с българското законодателство
01Политика за сигурност
02Управление на риска
03Управление на инциденти
04Непрекъсваемост на дейността
05Веригата на доставки
06Сигурност на системите
07Оценка на ефективността
08Киберхигиена
09Криптография
10Човешки ресурси
11Контрол на достъпа
12Управление на активите
13Физическа сигурност
⚖ Приложимо българско законодателство
Закон за киберсигурността, транспонираш Директива (ЕС) 2022/2555 (НИС2) в българското право; изменения, обнародвани в Държавен вестник на 13 февруари 2026 г., в сила от 17 февруари 2026 г.
Компетентните органи се определят от Министерския съвет - сред посочените институции са Министерството на отбраната, Министерството на вътрешните работи и Държавна агенция „Национална сигурност" (ДАНС); министърът на електронното управление поддържа регистър на задължените субекти.
Задължените субекти се определят по модел на автоматично обхващане по силата на закона (без изрична самостоятелна регистрация) - статусът „съществен" или „важен" субект се определя по сектор и прагове за средно предприятие по Закона за малките и средните предприятия.
Докладване на инциденти: ранно предупреждение в срок 24 часа, пълно уведомление в срок 72 часа (24 часа за доставчици на удостоверителни услуги), окончателен доклад в срок 1 месец, към съответния секторен екип за реагиране при инциденти (CSIRT).
Санкции: за съществени субекти - до 10 000 000 евро или 2% от годишния световен оборот (минимум 25 000 евро); за важни субекти - до 7 000 000 евро или 1,4% от годишния световен оборот (минимум 12 500 евро); лична отговорност на управителите/членовете на управителните органи - от 500 до 5 000 евро, с възможност за временна забрана за заемане на управленска длъжност при тежки нарушения.
Българска специфика: членовете на управителните органи са длъжни да преминават обучение по киберсигурност на всеки две години.
Тази информация е проучена от публично достъпни правни източници относно българската транспонираща уредба. Препоръчваме преглед от лицензиран български юрист или специалист по съответствие преди да разчитате на нея за официални регулаторни решения.
Отказ от отговорност: Тази оценка е автоматизиран индикативен инструмент, съобразен с насоките на ENISA за прилагане на НИС2 и с българския Закон за киберсигурността. Тя не представлява правен съвет и не сертифицира регулаторно съответствие. Резултатите се основават на самостоятелно декларирани отговори. Съответствието с НИС2 остава изцяло отговорност на вашата организация.
Къде да изпратим отчета ви?
Въведете имейла си преди да започнете - пълният ви отчет ще бъде изпратен автоматично веднага след генерирането му.
Преди да започнете пълната оценка, нека проверим дали НИС2 се прилага за вашата организация. Отговорете на 4 кратки въпроса - отнема по-малко от минута.
1
В какъв сектор работи вашата организация?
Списъкът със секторите по НИС2 е конкретен, а не общ тест „важна ли е моята индустрия" - изберете опцията, която описва точната ви дейност, а не просто най-близката по звучене. Ако дейността ви не съответства буквално на едно от описанията в Приложение I/II по-горе, изберете „Други", дори ако индустрията ви изглежда близка до посочена.
2
Колко служители има вашата организация?
3
Какъв е годишният оборот на вашата организация?
4
Предоставя ли вашата организация критични услуги на други съществени или важни субекти, или на държавни органи?
✅
Вашата организация вероятно попада в обхвата на НИС2
Въз основа на отговорите ви, вашата организация изглежда попада в обхвата на Директивата НИС2 и на българския Закон за киберсигурността. Това означава, че имате законови задължения, включващи управление на киберсигурността, докладване на инциденти в срок 24ч/72ч и мерки за сигурност на веригата на доставки.
Препоръчваме да завършите пълната оценка за съответствие, за да разберете текущото си състояние и какви действия се изискват.
Вашият сектор е посочен в Приложение I или Приложение II на Директивата НИС2
Вашата организация достига или надвишава праговите стойности за размер (50+ служители или оборот над 10 млн. евро)
НИС2 и Законът за киберсигурността се прилагат автоматично по силата на закона - не се изисква самостоятелна регистрация, но субектите подлежат на вписване в регистъра, поддържан от министъра на електронното управление
Членовете на управителния орган на задължените субекти в България подлежат на задължително обучение по киберсигурност на всеки две години
Ролята ви на доставчик на критични субекти може да породи допълнителни задължения
Важно: банките и инфраструктурата на финансовите пазари по правило се уреждат основно от DORA (Регламента за цифровата операционна устойчивост), а не пряко от НИС2 - НИС2 по принцип отстъпва, когато секторно законодателство на ЕС като DORA вече урежда еквивалентни изисквания. Тази оценка все пак е полезна проверка на готовността, но ако DORA се прилага за вас, тя вероятно е основното ви задължение. SerafinIT планира специализиран модул за DORA - свържете се с нас, ако желаете да бъдете информирани.
⚠️
Вашата организация може да попада в обхвата на НИС2
Въз основа на отговорите ви, вашата организация е в сектор, обхванат от НИС2, но може да не достига стандартните прагове за размер. Въпреки това НИС2 може все пак да се приложи при определени обстоятелства - например ако доставяте критични услуги на съществени субекти, или ако Министерският съвет определи организацията ви за задължена, независимо от размера.
Препоръчваме да направите справка с компетентния орган (напр. ДАНС или съответното министерство), но завършването на оценката ще ви даде ясна картина на готовността ви във всеки случай.
Кога НИС2 може все пак да се прилага за по-малки организации:
Доставяте услуги пряко на съществени или важни субекти
Министерският съвет ви определя като критичен субект, независимо от размера
Вие сте единственият доставчик на услуга, съществена за обществени или икономически дейности
Трансграничен инцидент, свързан с вашата организация, би могъл значително да засегне други държави-членки
🔴
Вашата организация вероятно е извън обхвата на НИС2
Въз основа на отговорите ви, вашата организация изглежда не попада в обхвата на Директивата НИС2 и на българския Закон за киберсигурността. НИС2 се прилага основно за средни и големи организации в специфични критични сектори.
Това не означава, че киберсигурността е маловажна - други регулации, като GDPR, секторни правила и договорни изисквания на клиенти, могат все пак да се прилагат. Но към момента не сте обект на специфичните задължения по НИС2.