Приемане на параграфи 10-18 от ЗИД на Закона за киберсигурност – второ гласуване

Това гласуване е за приемане на параграфи от 10 до 18 от Закона за изменение и допълнение на Закона за киберсигурност на второ четене.

Какво променят тези параграфи

Параграфите 10-18 въвеждат ключови изменения, свързани с транспонирането на европейската Директива NIS2 (Директива (ЕС) 2022/2555) в българското законодателство.

Основни промени:

Национално единно звено за контакт (чл. 17):

• Разширяват се функциите на Националното единно звено за контакт
• Въвежда се задължение за изготвяне на годишен обобщен доклад за оценка на риска, базиран на анализите от националните компетентни органи
• Предвижда се обмен на информация с компетентните органи по Регламент (ЕС) 2022/2554 (DORA - за цифровата оперативна устойчивост на финансовия сектор)

Съвет за киберкризи (нов чл. 17а):

• Създава се Съвет, който приема национален план за реакция при мащабни киберинциденти и кризи
• Планът подлежи на актуализация на всеки две години
• Включва цели на националните мерки за подготвеност, базирани на анализ на риска
• Определя ясни задачи и отговорности на органите за управление на киберкризи, включително резервни механизми
• Регламентира процедури за управление на киберкризи с приоритетни канали за обмен на информация в реално време

Управителни органи на субектите (чл. 21):

• Членовете на управителните органи на съществените и важните субекти носят отговорност за управлението на риска в областта на киберсигурността
• Задължително преминават обучения за придобиване на знания и умения за оценка на риска
• Длъжни са да предлагат и организират такива обучения и за своите служители

Мерки за управление на риска (чл. 22):

• Съществените и важните субекти предприемат подходящи и пропорционални технически, оперативни и организационни мерки
• Спазва се принципът за технологична неутралност
• Взимат се предвид последните постижения, европейски и международни стандарти
• Гарантира се ниво на сигурност, съответстващо на конкретния риск

Защо е важно

Преди тези промени, българският Закон за киберсигурност не отговаряше на новите европейски изисквания по NIS2. Директивата трябваше да бъде транспонирана до октомври 2024 г., но България закъсня.

След приемането на тези параграфи:

• България изпълнява европейските си задължения
• Създава се по-ясна институционална рамка за реакция при кибератаки
• Управителите на критична инфраструктура носят лична отговорност за киберсигурността
• Въвежда се систематичен подход към обучението и подготовката

Промените засягат широк кръг организации - от държавни институции и общини до частни компании в 18 сектора, включително енергетика, транспорт, здравеопазване, банки и цифрови услуги.