Закон за изменение и допълнение на Закона за киберсигурност

Образецът на частична предварителна оценка на въздействието влиза в сила от 01 януари 2021 г. Частична предварителна оценка на въздействието Институция: Министерство на електронното управление Нормативен акт: Законопроект за изменение и допълнение на Закона за Киберсигурност „Програма за управление на Република България юни 2023 г. – декември 2024 г. 20.1.10. Одобряване от Министерския съвет и внасяне в Народното събрание на Законопроект за изменение и допълнение на Закона за киберсигурност” Лице за контакт: Бисерка Радева Телефон и ел. поща: 02/94942301, b.radeva@egov.government.bg 1. Проблеми за решаване: Приета е нова Директива (ЕС) 2022/2555 допълнително подобряване на устойчивостта публичноправните и частноправните субекти, на киберсигурността и защитата на критичната на Комисията за привеждане на Европа приспособена към бъдещите предизвикателства Киберсигурността е приоритет в отговор Пакетът включва и нова стратегия стратегическата самостоятелност на Съюза реакция, както и за изграждане на отворен директива относно устойчивостта на ограничи физическите заплахи срещу такива Директива МИС2 надгражда и отменя информационните системи (Директивата киберсигурност), която е първата част киберсигурността и която предоставя киберсигурността в Съюза. Директивата за 1) допринесе за подобряване на способностите равнище посредством изискването от киберсигурност и да определят органи в 2) засили сътрудничеството между различни форуми, улесняващи обмена на в на относно за и критичните Директива за от правни МИС: държавите тази държавите (Директива МИС2), която е част от пакет от мерки за и капацитета за реагиране при инциденти на компетентните органи и Съюза като цяло в областта инфраструктура. Тя е съобразена с приоритетите готовност за цифровата ера и за изграждането на икономика, която работи в интерес на хората. Комисията по отношение на кризата с COVID-19. киберсигурността, имаща за цел укрепване на подобряване на неговата устойчивост и колективна глобален интернет. Наред с гореизброените мерки и оператори на основни услуги, имаща за цел да оператори. (ЕС) 2016/1148 за сигурност на мрежите и МИС, транспонирана в сега действащия Закон за общото за целия ЕС законодателство за мерки за повишаване на цялостното ниво на в областта на киберсигурността на национално членки да приемат национални стратегии за сфера; членки на равнището на Съюза, като въведе стратегическа и оперативна информация; и 2 3) подобри киберустойчивостта на публичноправните и частноправните субекти в седем конкретни сектора (енергетика, транспорт, банково дело, инфраструктури на финансовия пазар, здравеопазване, доставка и снабдяване с питейна вода и цифрови инфраструктури), както и в рамките на три цифрови услуги (онлайн местата за търговия, онлайн търсачките и компютърните услуги „в облак“), изисквайки от държавите членки да гарантират, че операторите на основни услуги и доставчиците на цифрови услуги са въвели изисквания за киберсигурност и докладват за инциденти. С Директива МИС2 се осъвременява съществуващата правна рамка, като се отчитат повишената цифровизация на вътрешния пазар през последните години и развиващата се картина на заплахите за киберсигурността. Тези две тенденции на развитие се засилиха допълнително след началото на кризата с COVID-19. Директива МИС2 предвижда и действия по отношение на някои слабости, които попречиха на Директивата за МИС да разгърне пълния си потенциал. Независимо от постиженията на Директивата за МИС, която проправи пътя за значителна промяна в нагласите във връзка с институционалния и регулаторния подход към киберсигурността в редица държави членки, проличаха и нейните ограничения. Цифровата трансформация на обществото (ускорена от кризата с COVID-19) разшири картината на заплахите и породи нови предизвикателства, изискващи новаторски решения за реакция. Кибератаките идват от широк кръг източници в ЕС и извън него, а броят и сложността им продължава да нараства. В оценката за функционирането на Директивата за МИС, извършена за целите на оценката на въздействието, бяха установени следните проблеми: 1) ниското ниво на киберустойчивост на предприятията, извършващи дейност в ЕС; 2) нееднаквите нива на устойчивост в отделните държави членки и сектори; както и 3) ниското ниво на съвместна ситуационна осведоменост и липса на съвместна реакция при кризи. Например, някои главни болници в някои държави членки не попадат в обхвата на Директивата за МИС, поради което от тях не се изисква да прилагат произтичащите мерки за сигурност, докато в други държави членки почти всeки доставчик на здравно обслужване е обхванат от изискванията за сигурност на МИС. Като инициатива в рамките на Програмата за пригодност и резултатност на регулаторната рамка (REFIT) предложението има за цел да намали регулаторната тежест за компетентните органи и разходите на публичноправните и частноправните субекти за привеждане в съответствие. Това най-вече се постига чрез премахване на задължението на компетентните органи да установяват операторите на основни услуги и чрез увеличаване на нивото на хармонизация на изискванията за сигурност и докладване, с цел да се улесни спазването на регулаторните изисквания за субектите, предоставящи трансгранични услуги. Същевременно, на компетентните органи ще бъдат възложени редица нови задачи, включващи надзор върху субектите, които до момента не са обхванати от Директивата за МИС. По Проблем 1 Необходимост от транспониране на Директива(ЕС) 2022/2555 (Директива МИС2) поради непълно съответствие на действащата нормативна уредба, липса на съгласуваност с действащите разпоредби в тази област на политиката. Директивата за МИС 2 е част от по-широк набор от съществуващи правни инструменти и предстоящи инициативи на равнището на Съюза, имащи за цел да повишат устойчивостта на публичноправните и частноправните субекти срещу заплахи. В областта на киберсигурността това са най-вече Директива (ЕС) 2018/1972 за установяване на Европейски кодекс за електронни съобщения (чиито свързани с киберсигурността разпоредби ще бъдат заменени с разпоредбите на разглежданото предложение) и предложението за Регламент относно оперативната устойчивост на цифровите технологии във финансовия сектор Регламент 3 (ЕС) 2022/2554 и Директива (ЕС) 2022/2556, което се счита за lex specialis за разглежданото предложение. В областта на физическата сигурност предложението допълва предложението за Директива относно устойчивостта на критичните субекти, с която се преработва Директива 2008/114/ЕО относно установяването и означаването на европейски критични инфраструктури и оценката на необходимостта от подобряване на тяхната защита (Директивата за ЕКИ), създаваща в Съюза процес на установяване и означаване на европейски критични инфраструктури и определяща подход за подобряване на тяхната защита. През юли 2020 г. Комисията прие стратегията на ЕС за киберсигурност, в която се признава нарастващата взаимосвързаност и взаимозависимост между физическите и цифровите инфраструктури. В нея се подчертава нуждата от по-съгласуван и последователен подход между Директивата за ЕКИ и Директива МИС. Ето защо Директива за МИС 2 е тясно съгласувана с предложението за Директива относно устойчивостта на критичните субекти, имаща за цел да повиши устойчивостта на този вид субекти срещу физическите заплахи в голям брой сектори. Предложението цели да гарантира, че компетентните органи съгласно двата правни акта при необходимост предприемат допълнителни мерки и обменят информация относно устойчивостта в киберпространството и извън него, както и че особено критичните оператори в секторите, които следва да се считат за „основни“ съгласно разглежданото предложение, са предмет и на по-общи задължения за подобряване на устойчивостта с акцент върху рисковете извън киберпространството. Това налага да бъде актуализирано и българското законодателство в областта, чрез транспониране на Директивата МИС 2 в Закона за киберсигурност. Съгласуваност с други политики на Съюза За Европа и в частност за България е от решаващо значение да се възползва от всички предимства на цифровата ера и да укрепи своята промишленост и иновационен капацитет в рамките на безопасни и етични граници. В Европейската стратегия за данните се определят четири стълба — защита на данните, основни права, безопасност и киберсигурност — като основни необходими условия за общество, което разполага с възможността за използване на данни. Комисията осигури съгласувани правила за пазарните оператори и улесни създаването на сигурен, надежден и подходящ обмен на информация относно заплахите и инцидентите, за да се търсят възможности за по-добра устойчивост на киберпространството и по-ефективни мерки за противодействие на кибератаките, особено по отношение на основните икономически и обществени дейности, като същевременно се зачитат правомощията на държавите членки, включително отговорността за тяхната национална сигурност . Освен това Директивата МИС 2 не засяга прилагането на правилата за конкуренция, предвидени в Договора за функционирането на Европейския съюз (ДФЕС). По Проблем 2 Необходимостта от изграждане на координиран подход относно Директива (ЕС) 2022/2555, насочена към изграждане на способности за киберсигурност в целия Съюз, смекчаване на заплахите за сигурността на мрежите и информационните системи, използвани за предоставяне на основни услуги в ключови сектори, и осигуряване на приемственост на такива услуги при изправяне пред тях инциденти с киберсигурност, като по този начин допринася за ефективната икономика и общество на Съюза. Съгласно българското законодателство, по-специално Закона за киберсигурност, се постигна значителен напредък в областта на национално ниво, а и се повиши нивото на устойчивост на киберсигурността на Съюза. Българският закон послужи за катализатор на институционалния и регулаторен подход към киберсигурността, като изгради основите за значителна промяна в 4 съществуващите до момента практики и процеси. Директивата МИС, която послужи за основа на Закона за киберсигурност, даде основен тласък за поправката и обновяването и на националната стратегия за киберсигурност, установяване и преразглеждане на национални способности, органи и институции, а и прилагане на нови регулаторни мерки, обхващащи основни инфраструктури и субекти, дефинирани по определен ред и ефективно със съвременните и възникващи предизвикателства в областта на киберсигурността. Мрежовите и информационните системи се превърнаха в централна характеристика на ежедневието с бързата цифрова трансформация и взаимосвързаността на обществото, включително при трансграничния обмен. Това развитие доведе до разширяване на екосистемата на киберсигурността, като предизвика нови предизвикателства, които изискват адаптирани, координирани и иновативни отговори във всички държави-членки. Броят, големината, усъвършенстваността, честотата и въздействието на инцидентите в киберсигурността се увеличават и представляват основна заплаха за функционирането на мрежовите и информационните системи. В резултат на това кибер инцидентите могат да възпрепятстват осъществяването на икономически дейности на вътрешния пазар и да генерират финансови загуби. Следователно готовността и ефективността на киберсигурността са по-важни от всякога за правилното функциониране на вътрешния пазар. С транспонирането на директивата се адресират гореизложените проблеми, като се подобряват възможностите за: 1. Премахване на фрагментацията на вътрешния пазар, която влияе негативно на функционирането, трансграничните услуги и нивото на устойчивост на киберсигурността поради прилагането на различни стандарти. С приемането на единен критерий, а именно правилото за ограничаване на размера, всички средни и големи предприятия, както са определени в Препоръка 2003/361/ЕО на Комисията, които работят в секторите или предоставят вида на услугите, обхванати от директивата, попадат в обхвата. Това на практика определя всички субекти в регулацията по киберсигурност. От една страна ДЧ не са задължени да съставят списък на субектите, които отговарят на този общоприложим критерий, свързан с размера – средните и големите предприятия, докато що касае малките или микросубектите, с ключова роля за икономиките или обществата, попадащи в обхвата на директивата, при транспониране ДЧ трябва да съставят списък за тях. Това до голяма степен ще наложи допълнителни ограничения за субектите, както и административна тежест за икономиката и бизнеса. 2. Класификацията на секторите в две категории: „съществени“ и „важни“. Тази категоризация отчита нивото на критичност на сектора или вида на услугата, както и нивото на зависимост на други сектори или видове услуги. Досега, опитът ни показва колко е трудно да се направи такова разделение на национално ниво. Имаме изградена система за разпределение на секторите на критични и на стратегически обекти.Преминаването към нова класификация ще отнеме определен административен ресурс, както и определено време. Доброволното сътрудничество между отговорните институции, мерките за общо прилагане и взаимодействие е подходящо да бъдат подсилени, но от гледна точка на правоприлагането на национално ниво ще се изисква допълнително време за усъвършенстване на процеса. 3. ДЧ обмислят функционално разделение между оперативните задачи, предоставени от ЕРИКС (обмена на информация и подкрепата за субекти) и надзорните дейности на компетентните органи. Това в някаква степен означава да бъде създаден нов национален надзорен, административен наказателено-процесуален орган, или компетенциите да бъдат възложени на съществуващ такъв. 4. Създаването на Координационен ЕРИКС, обмена на служители, обединяването на взаимодействието между EU-CyCLONe и мрежата CSIRTs, определянето на повече от един НКО, 5 отговорен за изпълнението на задачите, свързани със сигурността на МИС на съществени и важни субекти съгласно директивата, широкото сътрудничество с академични и изследователски институции, въвеждането на механизъм за партньорска проверка, позволяващ оценка от експерти, определени от държавите-членки, на прилагането на политиките за киберсигурност, включително нивото на способностите на държавите-членки и наличните ресурси и др. са все мерки които изискват наличие на заявен политически модел на взаимодействие, на една развита и работеща в пълен обем национална кибер система, каквато малките ДЧ все още нямат. 5. Скоростното развитие на цифровия свят и дигиталната глобализация доведе до злоупотреби, превръщащи се в масови престъпления, допълнени от кризата с COVID-19 се създадоха индикации за обостряне на световните проблеми в кибер пространството. Няколко основополагащи разлики в досега съществуващият кибер регулационен режим: създаването на правила за сътрудничество между компетентните органи и надзорните органи в съответствие с Регламент (ЕС) 2016/679 за справяне с нарушения, свързани с лични данни, както и осигуряването на високо ниво на отговорност за мерките за управление на риска в киберсигурността и задълженията за докладване на ниво организации. По Проблем 3 Допълване на основни сегменти, както и разширяване на икономическите сектори съгласно Директива (ЕС) 2022/2555, осъществяване на регулацията им посредством надграждане дейността и добавяне на правомощия на националните компетентни органи Управителните органи на субектите, попадащи в обхвата, следва да одобрят мерките от риска за киберсигурност и да контролират тяхното прилагане, също и управлението на риска, сертификацията по специфични европейски схеми за сертифициране на киберсигурността, като обособяването и прецизирането на Административнонаказателените разпоредби, респективно органите, които да гарантират: - ефективно наблюдение; - да следи за изпълнението и предприемането на необходимите мерки, за спазването на правилата, които са ефективни, пропорционални и възпиращи, като се вземат предвид обстоятелствата за всеки отделен случай чрез: - проверки на място и надзор извън обекта, включително произволни проверки; - редовни одити; целенасочени одити на сигурността въз основа на оценки на риска или свързана с риска налична информация; - сканиране за сигурност, основаващо се на обективни, недискриминационни, справедливи и прозрачни критерии за оценка на риска; - искания за информация, необходима за оценка на мерките за киберсигурност, приети от субектите, включително документирани политики за киберсигурност, както и спазването на задължението за уведомяване на ENISA съгласно член 25, параграфи 1 и 2; - искания за достъп до данни, документи или каквато и да е информация, необходима за изпълнението на техните надзорни задачи; искания за доказателства за прилагане на политики за киберсигурност, като например резултатите от одитите за сигурност, извършени от квалифициран одитор, и съответните основни доказателства. Създаването на надзорни органи ще създаде тежест и за бизнеса, и за администрацията. Санкционните режими, възможността за суспендиране на правомощия изграждат един изцяло нов и утежнен административен процес. Вменяването на нови и широки правомощия у административнонаказаващите органи ще доведе до забавяне процесите по изпълнение на мерките за киберзащита и ще увеличи рисковете за бизнеса и икономиката. Гарантирането на 6 ефективността им ще бъде дълъг и трудоемък процес. Предприемането на необходимите действия за отстраняване на недостатъците в определения срок, преустановяване сертифицирането или разрешението налагат или изискват налагането от съответните органи или съдилища съгласно националното законодателство на временни забрани срещу субектите, а определянето на действителните причинени вреди или претърпени загуби или потенциални щети или загуби, които биха могли да бъдат предизвикани, изисква сериозна експертиза и административен опит в киберсигурността или МИС. Всичко това определя важността на транспонирането на Директивата на национално ниво и необходимостта на новосъздадените правила да залегнат дългосрочно в законодателството в областта на киберсигурността на страната. В основата си транспонирането на Директивата заляга върху възможността за продължаване на някои съществуващи практики, за надграждане на други основни сегменти, както и допълване и разширяване на икономически сектори. Не трябва да се забравя, че секторите и към настоящия момент в закона не са малко, допълването има на практика с два нови подсектора и десет изцяло нови сектора, ще разшири обхвата, но на практика няма да промени основно и сега съществуващите браншове и сектори в страната. 3.1. Описание на проблемите, които се уреждат с проекта на ЗИД на ЗКС. Описание на причините за тяхното възникване До приемането на Директива (ЕС) 2021/2555 европейската правна рамка, обхващаща киберсигурността, свързана с ИКТ е фрагментирана и непълна. В някои сектори (транспорт, здравеопазване, енергетика и т.н.) са предвидени специфични и подробни разпоредби за постигане на минимална сигурност на мрежите и информационните системи. Други сектори, обаче, не попадаха в обхвата на първия законов акт. Въпреки, че България постъпи иновативно включвайки сектор администрация още в първия закон за киберсигурност, при Директива МИС 2, той се явява задължителен. Определянето на субектите се случва посредством нарочна методология, докато в новата регулация ще бъде дефинирано по техния размер, спрямо Закона за малките и средни предприятия. Вменяването на задължения на нови органи и функции ще създаде известна тежест за бизнеса и администрацията, както и новите санкционни режими, но проектът на нормативен акт ще съдейства за пренасяне на положителен ефект в киберпрактиката на национално ниво. 3.2. Описание на проблемите в прилагането на съществуващото законодателство Към момента в България е налице нормативна регламентация на киберсигурността, съществуват национални компетентни органи и национални НЕРИКС и СЕРИКС-и в адаптираните сектори в обхвата на старата Директива 1148/2016. Разширяването на обхвата по Директива МИС2 ще доведе неминуемо до създаване на нови компетентни органи в новоприетите сектори. Както и в останалите държави членки, това би могло да се постигане посредством гарантирането, че отговорните секторни институции разполагат с достатъчно финансов ресурс за покриване на новосъздадените рискове и задължения. По подобие на останалите държави членки в ЕС, и в България са налице празноти или припокривания във важни области (например при докладването на инциденти) наблюдава се икономически неефективно прилагане на припокриващи се правила. С новия проект на закон ще се избегнат неяснотите относно задълженията за докладване, ще се осигури ясна и дефинирана линия за разпределяне на отговорността при компетентните органи по сектори. По този начин ще се посрещнат предизвикателствата на разширения кръг от субекти и новите надзорни регулации. 7 3.3. Описание на нововъзникналите обстоятелства За да се преодолее недостатъчната законова уредба от гледна точка на разгръщане на секторите, създаване на нови регулаторни функции, както и правила за управление на риска, свързан с ИКТ, в т.ч. за да се осигурят мерки по прилагането на Директива (ЕС) 2022/2555 и да се въведат предвидените изменения в националното законодателство, е необходимо в срок до 17 октомври 2024 г., да се измени съществуващият Закон за киберсигурност. Въз основа на спецификите в полето на киберсигурността, регулирани с европейския акт, видовете субекти, попадащи в обхвата, случаите на въведен по-лек режим на оценка на риска и докладване за някои от тях и на изключените от приложното им поле субекти, и не на последно място при отчитане на действащото българско законодателство, ще се наложат изменения в Закона за киберсигурност, Закона за електронните съобщения. В Директива (ЕС) 2022/2555 на държавите членки са предоставени няколко опции, които следва да бъдат обстойно преценени преди Република България да реши да се възползва или да не се възползва от една от тях, а именно: • в чл. 2, параграф 5, Директива (ЕС) 2022/2555 на държавите членки е посочено, че могат да предвидят настоящата директива да се прилага за: а) органи на публичната администрация на местно равнище; б) образователни институции, по-специално когато извършват научноизследователски дейности от критично значение. • В чл. 8, параграф 1, от Директива (ЕС) 2022/2555 е посочено, че държавите членки могат: „… определя или създава един или повече компетентни органи, отговарящи за киберсигурността и за надзорните задачи, посочени в глава VII” („компетентни органи“). В тази връзка, измененията в действащия закон са свързани с надграждане ролята на националните компетентни органи и създаване и допълване на секторни компетентни органи, съответстващи на новите приобщени сектори в Приложението. 2. Цели: Цел 1: Повишаване степента на подготвеност на съществените и важни субекти в областта на киберсигурността Това би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. Подобни ползи вероятно ще надделеят над необходимите инвестиционни разходи. Намаляването на фрагментирането на вътрешния пазар би подобрило и условията на равнопоставеност сред операторите. За държавите членки то допълнително би намалило риска от увеличаване на бюджетните разходи за смекчаване на заплахите ad-hoc и допълнителните разходи в случай на извънредни ситуации, свързани с инциденти с киберсигурността. Общата цел е да се обезпечи правната интеграция на българската киберсигурност с европейската, в т.ч. посредством въвеждането на подобрените европейски изисквания във връзка с оценката на риска например. Конкретната цел е да се запълнят констатираните празноти и отстранят несъответствията в действащото българско законодателство чрез въвеждането на правила за капацитета за оценка на риска, докладването на инциденти, тестването, повишаването на осведомеността и осъзнатостта на факта, че киберинцидентите и липсата на адекватен отговор могат да застрашат стабилността както на публичните, така и на частните субекти. Оперативната цел на предложените промени в националното законодателство е в него да се въведат мерки за прилагането на Директива (ЕС) 2022/2555. 8 Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 С оглед ангажиментите, произтичащи от членството на Република България в ЕС, във връзка с транспонирането на изискванията на Директива (ЕС) 2022/2555 в националното законодателство, необходимо е да бъдат предприети мерки за прецизиране на нормативната уредба и създаване на ясен и ефективен режим, който да регулира задълженията на съществените и важни субекти в съответствие с въведените в директивата по-високи изисквания при постигане на киберсигурността на субектите, при запазване на изискванията за защита на мрежите и информационните системи. В Директивата са предвидени общи цели за дейността по отношение на ново-обхванатите сектори, главно поради: • повишената цифровизация през последните години и по-високата степен на взаимосвързаност, • факта, че понастоящем този обхват вече не отразява всички цифровизирани сектори, предоставящи ключови услуги за икономиката и обществото като цяло. - обхвата на операторите на основни услуги, да бъде изяснен в достатъчна степен с оглед на доставчиците на цифрови услуги, идентифицирани като такива във всички държави членки, с цел да въвеждат мерки за сигурност и да докладват за инциденти; - уеднаквяване на определянето на изискванията за сигурност и докладването на инциденти; - режимът на надзор и правоприлагане, налагане на санкции на субекти, които не са въвели изискванията за сигурност или не са докладвали за инциденти; - покачване равнището на зрялост при справяне с рисковете за киберсигурността; - систематичният обмен на информация с цел подобряване на ефективността на мерките за киберсигурност и за степента на съвместна ситуационна осведоменост на равнището на ЕС. Случаят е такъв и при обмена на информация между частноправни субекти, както и при обмена между структурите за сътрудничество на равнището на ЕС и частноправните субекти. Конкретната цел е да се запълнят констатираните празноти и отстранят несъответствията в действащото българско законодателство чрез изясняване обхвата на съществени и важни субекти, оператори на основни услуги, прецизиране на надзорния режим, надграждане систематичния обмен на информация между заинтересованите субекти както на публичните, така и на частните субекти. Оперативната цел на предложените промени в националното законодателство е в него да се въведат мерки за прилагането на Директива (ЕС) 2022/2555. Цел 3 Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България В действащото национално законодателство трябва да бъде предвиден правен режим за осъществяване регулацията на новите сектори в обхвата на Директива МИС 2, което да подсигури еднакво третиране на субектите ѝ и правна сигурност. Една от основните цели на Директива (ЕС) 2022/2555 е именно осигуряването на високи гаранции и възможности за по-добра устойчивост на киберпространството и по-ефективни мерки за противодействие на кибератаките, особено по отношение на основните икономически субекти и държавните органи. В този смисъл новите регулации целят гарантиране на справедливо третиране на субектите, повишаване на тяхната информираност и осигуряване на надежден и ефективен надзор за спазване на правата и законните им интереси. Това може да се осъществи чрез възлагане на допълнителни правомощия в полза на компетентните в областта органи и усъвършенстването на съществуващата нормативна уредба което ще подсигури постигането на следните конкретни цели: 9 • предвиждане на допълнителни мерки, свързани със справедливото третиране на кредитополучателите, повишаване на тяхната информираност и осигуряване на надежден и ефективен надзор за спазване на правата и законните им интереси; • Доклад на цялостна предварителна оценка на въздействието • регламентиране на процедури за сътрудничество и обмен на информация между компетентните органи и НЕРИКС, ЕРИКС; • предвиждане на задължение за докладване на инциденти; • въвеждане на задължение за наличие на подходящи политики и процедури повишаване киберсигурността и способността на дружествата и органите да отговорят бързо на инцидент и да ограничат въздействието му. Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Административнонаказателен орган (Национален компетентен орган) В националното законодателство е нужно да се въведе цялостна уредба относно изискванията за киберсигурност и условия за управление и противодействие на рисковете касаещи съществените и важни субекти, както и отговарящите на зададените критерии, попадащи в определените сектори в Приложение 1 и 2. На компетентните органи се предоставят широки пълномощия по управление и надзор политиките по киберсигурност по отношение на определените субекти – съществени и важни. Компетентните органи следва да бъдат оправомощени да прилагат санкции, състоящи се в спиране на сертифициране или разрешение относно част или всички услуги пропорционално на тежестта на нарушението, само като ultima ratio, което означава само след изчерпване на другите съответни действия по прилагане, за времето, докато субектите, спрямо които се прилагат, предприемат необходимите действия за отстраняване на недостатъците. След установен минимален списък на административните санкции за нарушаване на задълженията за управление на риска от киберсигурност и докладване, се създава ясна и последователна рамка за санкциите, според естеството, тежестта и продължителността на нарушението, действителните причинени вреди или нанесените загуби или потенциални щети или загуби, които биха могли да бъдат предизвикани, умишлен или небрежен характер на нарушението, действията, предприети за предотвратяване или смекчаване на претърпени вреди и/или загуби, степента на отговорност или съответните предишни нарушения, степента на сътрудничество с компетентния орган и всеки друг утежняващ или смекчаващ фактор. Всеки компетентен орган следва да има правомощието да налага административни глоби и в тази връзка следва да се създаде система, която предвижда ефективни, пропорционални и възпиращи санкции. Естеството на такива наказания, наказателни или административни, се определя в ЗИД на ЗКС. Като допълнение ще се насърчи обменът на данни за заплахите, спазването на мерките за управление на риска в областта на киберсигурността и задълженията за докладване и т.н. •Пригодност и опростяване на законодателството Директива (ЕС) 2022/2555 предвижда общо изключване на микросубектите и малките субекти от обхвата на МИС и по-лек надзорен режим с последващ (ex-post) надзор, прилаган спрямо голям брой от новите субекти съгласно преразгледания обхват (т. нар. важни субекти). Цел на мерките е да сведат до минимум и да балансират тежестта, на която са подложени дружествата и органите на публичната администрация, както и замяната на сложната система за установяване на операторите на основни услуги с общоприложимо задължение и въвеждане на по-високо ниво на хармонизация на задълженията за сигурност и докладване, което би намалило тежестта за изпълнение, особено за субекти, предоставящи трансгранични услуги. Целта на новата е регулация е да се сведат до минимум разходите за привеждане в съответствие на малките и средните предприятия, тъй като от субектите се изисква да предприемат само онези мерки, необходими за гарантиране на ниво на сигурност на мрежите и информационните системи, които съответстват на съществуващия риск. 10 •Основни права ЕС има ангажимент да осигури високи стандарти за защита на основните права. Всички насърчавани доброволни договорености за обмен на информация между субектите биха се осъществявали в надеждна среда при пълно спазване на разпоредбите на Съюза за защита на данните, и особено на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета. •Планове за изпълнение и механизъм за мониторинг, оценка и докладване В общия план за мониторинг и оценка на въздействието върху конкретните цели е включено докладване от Европейската Комисия на Европейския парламент и на Съвета на своите основни констатации, което изисква да бъде извършен преглед поне [54 месеца] след датата на влизане в сила на акта. Прегледът трябва да се извърши в съответствие с Насоките на Комисията за по-добро законотворчество. •Подробно разяснение на конкретните разпоредби на предложението Предложението е структурирано около няколко основни области на политиките, които са взаимосвързани и служат на целта да се повиши нивото на киберсигурност в Съюза. Предмет и обхват (членове 1 и 2) Директивата, по-специално: а) установява задължения за държавите членки да приемат национална стратегия за киберсигурност, да определят компетентни национални органи, единни звена за контакт и ЕРИКС; б) предвижда държавите членки да определят за субектите, обозначени като съществени в Приложение I и като важни в Приложение II, задължения за управление на свързания с киберсигурността, и за докладване; в) предвижда държавите членки да определят задължения относно обмена на информация за киберсигурността. Директивата се прилага по отношение на някои публичноправни или частноправни съществени субекти, упражняващи дейност в изброените в Приложение I сектори (енергетика; транспорт; банково дело; инфраструктури на финансовия пазар; здравеопазване, питейна вода; отпадъчни води; цифрова инфраструктура; публична администрация и космическо пространство), както и на някои важни субекти, упражняващи дейност в изброените в Приложение II сектори (пощенски и куриерски услуги; управление на отпадъците; производство на изделия и вещества и дистрибуция на химикали; производство, преработка и разпространение на храни; производствени и цифрови доставчици). Микропредприятията и малките предприятия по смисъла на Препоръка 2003/361/ЕО на Комисията от 6 май 2003 г. са изключени от обхвата на Директивата, с изключение на доставчиците на електронни съобщителни мрежи или на общественодостъпни електронни съобщителни услуги, доставчиците на удостоверителни услуги, регистрите на имената на домейни от първо ниво (TLD) и публичната администрация, както и на някои други субекти, като например единствени доставчици на дадена услуга в дадена държава членка. Национални рамки за киберсигурност (членове 5—11) От държавите членки се изисква да приемат национална стратегия за киберсигурност, в която са определени стратегическите цели и подходящи мерки на политиката, както и подходящи регулаторни мерки за постигане и поддържане на високо ниво на киберсигурност. Директивата установява и рамка за координирано оповестяване на уязвимости и изисква държавите членки да определят ЕРИКС, които да действат като надеждни посредници и да улесняват взаимодействието между докладващите субекти и производителите или доставчиците на ИКТ продукти и услуги. ENISA трябва да разработи и поддържа Европейски регистър на уязвимостите за откритите такива. От държавите членки се изисква да въведат национални рамки за управление на кризи в областта на киберсигурността, по-специално чрез определяне на национални компетентни органи, отговарящи за управлението на мащабни инциденти и кризи в тази област. 11 От държавите членки се изисква и да определят един или повече национални компетентни органи по киберсигурност за надзорните задачи съгласно настоящата директива, както и национално единно звено за контакт по киберсигурността (НЕЗК), което да изпълнява функция на свръзка, за да се осигури трансгранично сътрудничество на органите на държавите членки. От държавите членки се изисква също така да определят екипи за реагиране при инциденти с компютърната сигурност (ЕРИКС). Сътрудничество (членове 12—16) С Директивата се създава Група за сътрудничество с цел подкрепа и улесняване на стратегическото сътрудничество и обмен на информация между държавите членки и изграждане на доверие сред тях. Създава се и мрежа на ЕРИКС, с цел да се допринесе за изграждането на доверие между държавите членки и да се насърчи бързото и ефективно оперативно сътрудничество. Създава се Европейска мрежа за връзка на организациите при кибер кризи (EU — CyCLONe) с цел подпомагане на координираното управление на мащабни инциденти и кризи, свързани с киберсигурността, и осигуряване на редовния обмен на информация сред държавите членки и институциите на ЕС. От ENISA се изисква да публикува в сътрудничество с Комисията двугодишен доклад за състоянието на киберсигурността в Съюза. От Комисията се изисква да установи система за партньорска проверка, позволяваща редовни такива проверки на ефективността на политиките на държавите членки в областта на киберсигурността. Управление на риска, свързан с киберсигурността, и задължения за докладване (членове 17—23) Директивата изисква от държавите членки да гарантират, че управителните органи на всички субекти в обхвата одобряват мерките за управление на риска за киберсигурността, предприети от съответните субекти, и преминават свързано с киберсигурността специфично обучение. От държавите членки се изисква да гарантират, че попадащите в обхвата субекти предприемат подходящи и пропорционални технически и организационни мерки за управление на рисковете за киберсигурността на мрежите и информационните системи. Те трябва да гарантират също, че субектите уведомяват националните компетентни органи или ЕРИКС за всеки инцидент с киберсигурността, оказващ значимо въздействие върху предоставяната от тях услуга. В регистрите на имената на домейни от първо ниво (TLD) и субектите, предоставящи услуги за регистриране на имена на домейни от първо ниво, следва да се събират и поддържат точни и пълни данни за регистрацията на имена на домейни. Освен това от тези субекти се изисква да предоставят ефикасен достъп до данните за регистрация на домейни за законно търсещите достъп. Юрисдикция и регистрация (членове 24 и 25) По правило съществените и важните субекти се считат за попадащи под юрисдикцията на държавата членка, в която предоставят услугите си. Някои видове субекти обаче (доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни и доставчиците на мрежи за предоставяне на съдържание, както и някои доставчици на цифрово съдържание) се считат за попадащи под юрисдикцията на държавата членка, в която се намира основното им място на установяване в Съюза. Целта е да се гарантира, че тези субекти не се сблъскват с множество различни правни изисквания, тъй като те в особено висока степен предлагат трансгранични услуги. ENISA трябва да създаде и поддържа регистър на последния вид субекти. Обмен на информация (членове 26 и 27) Държавите членки трябва да предвидят разпоредби, позволяващи на субектите да участват в свързан с киберсигурността обмен на информация в рамките на конкретни договорености за обмен на информация за киберсигурността, в изпълнение на член 101 от ДФЕС. Освен това 12 държавите членки трябва да позволят на субектите извън обхвата на настоящата директива да докладват доброволно значими инциденти, киберзаплахи или ситуации, близки до инциденти. Надзор и правоприлагане (членове 28 и34) От компетентните органи се изисква да упражняват надзор върху субектите, попадащи в обхвата на директивата, и по-специално да гарантират спазването от тяхна страна на изискванията за сигурност и уведомяване за инциденти. Разграничава се между режим на предхождащ надзор (ex-ante) за съществените субекти и режим на последващ надзор (ex-post) за важните субекти, като във втория случай от компетентните органи се изисква да предприемат действия, когато са получили доказателства или индикации, че значим субект не спазва изискванията за сигурност и уведомяване за инциденти. Директивата изисква от държавите членки също да налагат административни глоби на съществените и важните субекти и да определят някои максимални глоби. От държавите членки се изисква при необходимост да си сътрудничат и да се подпомагат взаимно, когато субектите предоставят услуги в повече от една държава членка или когато основното място на установяване на субекта или негов представител се намира в дадена държава членка, но неговите мрежи и информационни системи са разположени в една или повече други държави членки. 2020/0359 (COD) Посочете определените цели за решаване на проблема/проблемите, по възможно най-конкретен и измерим начин, включително индикативен график за тяхното постигане. Целите е необходимо да са насочени към решаването на проблема/проблемите и да съответстват на действащите стратегически документи. 3. Заинтересовани страни: 1.1. Засегнати субекти: 1. Производители съгласно определението в член 2, точка 38 от Директива (ЕС) 2019/944; 2. Номинирани оператори на пазара на електроенергия съгласно определението в член 2, точка 8 от Регламент (ЕС) 2019/943; 3. Участници на пазара съгласно определението в член 2, точка 25 от Регламент (ЕС) 2019/943, предоставящи услуги за агрегиране, оптимизация на потреблението или съхраняване на енергия съгласно определението в член 2, точки 18, 20 и 59 от Директива (ЕС) 2019/944; 4. Оператори на зарядна точка, отговарящи за управлението и експлоатацията на зарядна точка, която предоставя услуга за зареждане с електроенергия на крайни ползватели, включително от името и за сметка на доставчик на услуги за мобилност; 5. Оператори на районни отоплителни системи или районни охладителни системи съгласно определението в член 2, точка 19 от Директива (ЕС) 2018/2001; 6. Централни структури за управление на запасите съгласно определението в член 2, буква е) от Директива 2009/119/; 7. Оператори в областта на производството, съхранението и преноса на водород; 8. Референтни лаборатории на ЕС съгласно определението в член 15 от Регламент (ЕС) 2022/2371; 9. Субекти, извършващи научноизследователска и развойна дейност в областта на лекарствените продукти, съгласно определението в член 1, точка 2 от Директива 2001/83/ЕО; 13 10. Субекти, произвеждащи основни фармацевтични продукти и препарати, съгласно определението в раздел В, разделение 21 на NACE Rev. 2; 11. Субекти, произвеждащи медицински изделия, които се считат за критично важни при извънредни ситуации в областта на общественото здраве („списък на критично важните медицински изделия при извънредни ситуации в областта на общественото здраве“), съгласно определението в член 22 от Регламент (ЕС) 2022/123; 12. Предприятия, които събират, обезвреждат или пречистват градски, битови или промишлени отпадъчни води съгласно определението в член 2, точки от 1, 2 и 3 от Директива 91/271/ЕИО, с изключение на предприятията, за които събирането, обезвреждането или пречистването на градски, битови или промишлени отпадъчни води е несъществена част от тяхната обща дейност; 13. - Доставчици на точки за обмен в интернет; - Доставчици на DNS услуги, с изключение на оператори на коренови сървъри за имена; - Регистри на имената на домейни от първо ниво; - Доставчици на услуги за изчисления в облак; - Доставчици на услуги на центрове за данни; - Доставчици на мрежи за доставка на съдържание; - Доставчици на удостоверителни услуги; - Доставчици на обществени електронни съобщителни мрежи; - Доставчици на обществено достъпни електронни съобщителни услуги; - Доставчици на управлявани услуги; - Доставчици на управлявани услуги за сигурност; 14. Оператори на наземна инфраструктура, притежавани, управлявани и експлоатирани от държавите членки или от частни лица, които подпомагат предоставянето на космически услуги, с изключение на доставчиците на обществени електронни съобщителни мрежи; 15. Пощенски и куриерски услуги; 16. Управление на отпадъците; 17. Производство, изготвяне и дистрибуция на химикали - Предприятия, извършващи производство на вещества и дистрибуция на вещества или смеси; 18. Производство, преработка и разпространение на храни „предприятие за производство на храни“ означава всяко предприятие с или без стопанска цел, обществено или частно, което извършва някоя от дейностите, свързани с който и да било етап на производство, преработка и разпространение на храни; 19. Производство: а) Производство на медицински изделия и медицински изделия за инвитро диагностика- Субекти, произвеждащи медицински изделия съгласно определението в член 2, точка 1 от Регламент (ЕС) 2017/745, и субекти, произвеждащи медицински изделия за инвитро диагностика съгласно определението в член 2, точка 2 от Регламент (ЕС) 2017/746, с изключение на субектите, произвеждащи медицински изделия съгласно определението в приложение I, точка 5, пето тире от директива МИС 2 б) Производство на компютри, електронни и оптични продукти Предприятия, извършващи някоя от икономическите дейности съгласно определението в раздел В, разделение 26 на NACE Rev. 2 – според -Закон за административното регулиране на производството на оптични дискове и матрици в) Производство на електрически съоръжения Предприятия, извършващи някоя от икономическите дейности съгласно определението в раздел В, разделение 27 на NACE Rev. 2 - сектор Производство на електрически съоръжения (код 27 по КИД-2008) 14 20. Доставчици на цифрови услуги; 21. Научни изследвания; 1.2. Засегнати органи за надзор и държавни органи според въведените нови сектори: 1. Министерство електронното управление - в качеството му на компетентен орган за надзор над дейността на административните органи; 2. Министерство на енергетиката; 3. Министерство на транспорта и съобщенията; 4. Комисията за регулиране на съобщенията; 5. Министерство на здравеопазването; 6. Министерство на регионалното развитие и благоустройството; 7. Български пощи; Посочете всички потенциални заинтересовани страни/групи заинтересовани страни (в рамките на процеса по извършване на частичната предварителна частична оценка на въздействието и/или при обществените консултации по чл. 26 от Закона за нормативните актове), върху които предложенията ще окажат пряко или косвено въздействие (бизнес в дадена област/всички предприемачи, неправителствени организации, граждани/техни представители, държавни органи/общини и др.). 4. Варианти на действие. Анализ на въздействията: 4.1. По проблем 1: Необходимост от транспониране на Директива(ЕС) 2022/2555 (Директива МИС2) поради непълно съответствие на действащата нормативна уредба, липса на съгласуваност с действащите разпоредби в тази област на политиката. Вариант 1 „Без действие“: Описание: При този вариант няма да бъдат предприети никакви действия за осигуряване на необходимите условия за привеждане на националното законодателство в съответствие с изискванията на европейската правна рамка, респективно няма да бъдат регламентирани и действия за въвеждане на изискванията на директива (ЕС) 2022/2555. Рискове: Изборът на този вариант би означавал неизпълнение от страна на България на задълженията, произтичащи от законодателството на ЕС, което създава риск от предприемане на правни действия срещу страната, съгласно член 258 от ДФЕС. Законът за киберсигурност ще има ограничено приложение. При този вариант Европейската комисия ще стартира наказателна процедура за нарушение срещу Република България. Положителни (икономически/социални/екологични) въздействия: Не се наблюдават. Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. Въздействия върху малките и средните предприятия: Не се наблюдават. Административна тежест: Не се наблюдават. Вариант 2 „Максимално широк обхват и стриктна регулация“: Описание: Този вариант изисква значително разширяване на кръга обществени отношения, включени в минималния обхват на Директивата, което означава стриктни регулации и минимална възможност 15 за адаптиране на рамката към последващи изменения или развитие в тях. В обобщен вариант регулацията ще обхване следните групи мерки: При този вариант се предвижда в националното законодателство да се въведе цялостна уредба относно изискванията за киберсигурност и условия за управление и противодействие на рисковете касаещи съществените и важни субекти, както и отговарящите на зададените критерии, попадащи в определените сектори в Приложение 1 и 2,; на компетентните органи се предоставят широки пълномощия по управление и надзор политиките по киберсигурност по отношение определените субекти – съществени и важни; компетентните органи следва да бъдат оправомощени да прилагат санкции, състоящи се в спиране на сертифициране или разрешение относно част или всички услуги пропорционално на тежестта на нарушението, само като ultima ratio, което означава само след изчерпване на другите съответни действия по прилагане, за времето, докато субектите, спрямо които се прилагат, предприемат необходимите действия за отстраняване на недостатъците; след установен минимален списък на административните санкции за нарушаване на задълженията за управление на риска от киберсигурност и докладване, се създава ясна и последователна рамка за санкциите, според естеството, тежестта и продължителността на нарушението, действителните причинени вреди или нанесените загуби или потенциални щети или загуби, които биха могли да бъдат предизвикани, умишлен или небрежен характер на нарушението, действията, предприети за предотвратяване или смекчаване на претърпени вреди и/или загуби, степента на отговорност или съответните предишни нарушения, степента на сътрудничество с компетентния орган и всеки друг утежняващ или смекчаващ фактор. Всеки компетентен орган следва да има правомощието да налага административни глоби; да се създаде система, която предвижда ефективни, пропорционални и възпиращи санкции. Естеството на такива наказания, наказателни или административни, се определя в ЗИД на ЗКС; като допълнение ще се насърчи обменът на данни за заплахите, спазването на мерките за управление на риска в областта на киберсигурността и задълженията за докладване и т.н. Рискове: При избора на „максимално широк обхват“ и едновременно на стриктна регулация, създава рискове за значително ограничаване на възможностите за адаптиране на законовата рамка към последващи изменения или развитие, за осигуряване на гъвкави способи за регулация и ефективна оценка по целесъобразност на всички предприети мерки; въвеждането на всеобхватен и лимитиран режим няма да осигури, а ще затрудни свободата на самоопределянето всички субекти, ще затрудни адаптирането на новите сектори към съществуващите правила и изисквания, като същевременно няма да бъде направена необходимата цялостна и подробна оценка на въздействието по отношение на всички субекти – съществени и важни, както и определените по различен критерии лица, попадащи под регулацията на посочените обществени отношения. Това би довело до обратен ефект, на търсения в уредбата на Директивата. Положителни (икономически/социални/екологични) въздействия: - Ще се осигури пълното транспониране на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета; - Ще се подобрят и оптимизират процесите по регулация на киберсигурността в Р България; - Ще се разшири обхвата на ЗКС с ново-присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на националните компетентни органи; - Ще се усъвършенства режимът за реализация на отговорността на субектите на ЗКС и ще се повиши степента на подготвеност на съществените и важни субекти в областта на киберсигурността, което от своя страна ще смекчи потенциалните загуби на приходи поради кибератаки 16 - Ще се усъвършенства координираният подход в изграждането на способности за киберсигурност в Р България и смекчаване на заплахите за мрежовата и информационна сигурност. Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. Въздействия върху малките и средните предприятия: Проектозаконът ще се прилага по отношение на някои публичноправни или частноправни съществени субекти, упражняващи дейност в изброените в Приложение I сектори (енергетика; транспорт; банково дело; инфраструктури на финансовия пазар; здравеопазване, питейна вода; отпадъчни води; цифрова инфраструктура; публична администрация и космическо пространство), както и на някои важни субекти, упражняващи дейност в изброените в Приложение II сектори (пощенски и куриерски услуги; управление на отпадъците; производство на изделия и вещества и дистрибуция на химикали; производство, преработка и разпространение на храни; производствени и цифрови доставчици). Микропредприятията и малките предприятия по смисъла на Препоръка 2003/361/ЕО на Комисията от 6 май 2003 г. са изключени от обхвата на директивата, с изключение на доставчиците на електронни съобщителни мрежи или на общественодостъпни електронни съобщителни услуги, доставчиците на удостоверителни услуги, регистрите на имената на домейни от първо ниво (TLD) и публичната администрация, както и на някои други субекти, като например единствени доставчици на дадена услуга в дадена държава членка. Предприятията могат да варират, доколкото се променят индикаторите за оценка на „съществен“ или „важен“ субект се идентифицират спрямо ЗМСП, като за част от тях могат да отпаднат, или да се добавят други заинтересовани страни. Всички потенциално засегнати и заинтересовани страни, върху които предложението ще окаже пряко или косвено въздействие (бизнес в дадена област/всички предприемачи, неправителствени организации, граждани/техни представители, държавни органи, др.) се посочват по сектори, по нормативна определеност и прилежание към даден бранш. Административна тежест: Разширяването на обхвата на закона, с добавянето на нови сектори, съответно разширява и кръга на субектите имащи задължения за докладване на инциденти, но то не е съпроводено с изменение на процедурите по докладване. Вариант 3 „Балансиран подход“: Описание: При този вариант се постига максимален баланс между заложените в Директивата цели и националните приоритети. Държавата се възползва само от текстовете, които допринасят за екзактното транспониране на Директива (ЕС) 2022/2555 в националното законодателство, при гарантиране на еднакво и обективно прилагане и надграждане на съществуващите правила и запълване на непълнотите. Този подход осигурява максимална адаптивност на новите изисквания със съществуващите текстове в ЗКС, по-голяма оперативност, възможност за по–ефективно надграждане на досега определените и новосъздадените субекти, попадащи под регулацията на Директивата. Описаните рискове при „Максимално широк обхват и стриктна регулация“ ще бъдат избегнати и облекчени до степен да се избегне хипер регулация водеща до неефективност на прилагането от националните компетентни отгани и ЕРИКС-и. Цели се запазване на адаптивността на рамка по транспониране на директивата дори при нарастване на регулираните субекти. Рискове: При избора на балансиран подход за транспониране на Директивата, ще се избегнат посочените рискове във Вариант 2, ще се запази досега съществуващата определеност на органите в Република България, ще бъдат разширени техните правомощия до степен, която няма да въведе хипер регулация, а ще бъде съобразена с конституентите на закона в страната и новите сектори след разширяването на обхвата, но същевременно балансирана и съобразена с целите на европейското правоприлагане. 17 Ще бъде предвиден ефективен надзор върху съществените и важни субекти, като същевременно се предвижда създаването на механизми за административното им подпомагане, изключването на свръх-регулация, поради създаването и на евентуална административна тежест. Положителни (икономически/социални/екологични) въздействия: Социални въздействия: - Основните социални въздействия ще попаднат върху съществените и важни субекти. За да предотвратят негативните последици от засягането на мрежите и информационните си системи и да се предпазят от неправомерни посегателства и инциденти, които могат да предизвикат тежки преки и непреки последици за обективното икономическо и финансово състояние на всеки, субектите ще въведат стандартизиран набор от правила и процедури за управление на рисковете и ще бъдат насърчени да инвестират в технологични решения, за да осигурят по-високи нива на киберсигурност, като по този начин се подобри цялостната устойчивост на сектора към който принадлежат. Очакванията са постигане на по-високите нива на киберсигурност, намаляване и ограничаване на броя на инцидентите. Повишаването на киберсигурността в все повече сектори на икономиката неизменно означава и положителен резултат, по-висока защита на обществото. Екологични въздействия: Потреблението на енергия от електрически уреди, по-специално от устройства, използвани от или подпомагащи ИКТ и други енергоемки технологии, нараства. Поради това е важно да се насърчи приемането на технологии с ниски емисии в съответствие с целите, определени в съобщението на Комисията относно Европейския зелен пакт и Индустриалната стратегия на Комисията. С въвеждането на мерки по прилагането на регламента се очаква насърчаването на засиленото използване на ИКТ инфраструктури и услуги от последно поколение, които са по-устойчиви от гледна точка на околната среда. С осигуряване на правна яснота относно споразуменията с трети страни доставчици на услуги в областта на ИКТ се очаква увеличаване на използването им. Третите страни, доставчици на услуги в областта на ИКТ, като цяло са по-енергийно ефективни от вътрешната ИКТ инфраструктура. По-високите нива на ефективност на последните технологии и инфраструктури за сигурност ще допринесат за намаляване на потреблението на електричество, вода и други течности, използвани за охлаждане на центрове за данни, като по този начин ще имат положително въздействие върху околната среда чрез намаляване на вредните емисии. Новите и интелигентни технологии също са изградени с екологични материали, които ще улеснят рециклирането след приключване на жизнения им цикъл. - Ще се осигури оптималност на транспонираните текстове на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета, като ще са в ясна корелация със съществуващите текстове на ЗКС; - Ще се подобрят и оптимизират процесите по регулация на киберсигурността в Р България; - Ще се разшири обхвата на ЗКС с ново-присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на националните компетентни органи; - Ще се усъвършенства режимът за реализация на отговорността на субектите на ЗКС и ще се повиши степента на подготвеност на съществените и важни субекти в областта на киберсигурността, което от своя страна ще смекчи потенциалните загуби на приходи поради кибератаки; Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. 18 Въздействия върху малките и средните предприятия: Проектозаконът ще се прилага по отношение на някои публичноправни или частноправни съществени субекти, упражняващи дейност в изброените в Приложение I сектори (енергетика; транспорт; банково дело; инфраструктури на финансовия пазар; здравеопазване, питейна вода; отпадъчни води; цифрова инфраструктура; публична администрация и космическо пространство), както и на някои важни субекти, упражняващи дейност в изброените в Приложение II сектори (пощенски и куриерски услуги; управление на отпадъците; производство на изделия и вещества и дистрибуция на химикали; производство, преработка и разпространение на храни; производствени и цифрови доставчици). Мерките за високо общо ниво на киберсигурност са организационни, технологични и технически и се прилагат в съответствие със спецификата на субектите и пропорционално на заплахите с цел минимизиране на риска от тяхното реализиране, казва регулацията. По отношение на микропредприятията и малките предприятия по смисъла на Препоръка 2003/361/ЕО на Комисията от 6 май 2003 г. са изключени от обхвата на директивата, с изключение на доставчиците на електронни съобщителни мрежи или на общественодостъпни електронни съобщителни услуги, доставчиците на удостоверителни услуги регистрите на имената на домейни от първо ниво (TLD) и публичната администрация, както и на някои други субекти, като например единствени доставчици на дадена услуга в дадена държава членка. Предприятията могат да варират, доколкото се променят индикаторите за оценка на „съществен“ или „важен“ субект се идентифицират спрямо ЗМСП, като за част от тях могат да отпаднат, или да се добавят други заинтересовани страни. Всички потенциално засегнати и заинтересовани страни, върху които предложението ще окаже пряко или косвено въздействие (бизнес в дадена област/всички предприемачи, неправителствени организации, граждани/техни представители, държавни органи, др.) се посочват по сектори, по нормативна определеност и прилежание към даден бранш. Административна тежест: Разширяването на обхвата на закона, с добавянето на нови сектори, съответно разширява и кръга на субектите имащи задължения за докладване на инциденти, но то не е съпроводено с изменение на процедурите по докладване. Предвид създаването на по-високи изисквания в действащото законодателство за осъществяване на надзор по отношение на дейността на по-голям кръг икономически субекти, както и на отсъствието на част от предвидените в Директивата правни институти и задължения от сега действащия режим, новата уредба неизбежно ще доведе до повишаване на административната тежест върху заинтересованите лица. Създаване на нови регулаторни режими и въздействие върху съществуващи режими. Новата уредба има за цел да разшири обхвата на субектите попадащи под регулацията на проектозакона, като установи повече и по-високи изисквания, по отношение на които компетентният орган осъществява предварителен и последващ надзор. В този режим на надзорните органи ще бъдат предоставени редица надзорни и санкционни правомощия, в т.ч. правото да издава принудителни административни мерки. Разходите във връзка с докладването на инциденти например, ще зависи до голяма степен от пропорционалността на бъдещите правила и установяването на праговете на същественост, които ще предизвикат докладване (напр. съществени инциденти). По отношение на третите страни, доставчици на услуги в областта на ИКТ, разходите ще са свързани с организационни промени, за да позволят надзора на техните дейности. По отношение на надзорните органи може да се очаква увеличение на разходите във връзка с допълнителните правомощия, които надзорните органи ще осъществяват (напр. допълнително докладване на инциденти). Надзорните органи, които биха участвали в прекия надзор на трети страни, доставчици на услуги в областта на ИКТ, (напр. споразумения за сътрудничество, съвместни инспекции и обмен на информация), се очаква да имат по-големи разходи. 4.2. По проблем 2: Необходимостта от изграждане на координиран подход относно Директива (ЕС) 2022/2555, насочена към изграждане на способности за киберсигурност в целия Съюз, 19 смекчаване на заплахите за сигурността на мрежите и информационните системи, използвани за предоставяне на основни услуги в ключови сектори, и осигуряване на приемственост на такива услуги при изправяне пред тях инциденти с киберсигурност, като по този начин допринася за ефективната икономика и общество на Съюза. Вариант 1 „Без действие“: Описание: При този вариант няма да бъдат предприети никакви действия за осигуряване на координиран подход и за привеждане на националното законодателство в съответствие с изискванията на европейската правна рамка, респективно няма да бъдат регламентирани и действия за въвеждане на изискванията на директива (ЕС) 2022/2555. Рискове: Изборът на този вариант би означавал неизпълнение от страна на България на задълженията, произтичащи от законодателството на ЕС, което създава риск от предприемане на правни действия срещу страната, съгласно член 258 от ДФЕС. Законът за киберсигурност ще има ограничено приложение. При този вариант Европейската комисия ще стартира наказателна процедура за нарушение срещу Република България. Положителни (икономически/социални/екологични) въздействия: Не се наблюдават. Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. Въздействия върху малките и средните предприятия: Не се наблюдават. Административна тежест: Не се наблюдават. Вариант 2 „Максимално широк обхват и стриктна регулация“: Описание: Този вариант изисква да се разшири обхватът на закона, което означава стриктни регулации и минимална възможност за адаптиране на рамката към последващи изменения или развитие в тях. В обобщен вариант регулацията ще обхване следните групи мерки: - Предвижда се въвеждане в цялостната нормативна уредба на значителна промяна в съществуващите до момента практики и процеси, установяване и преразглеждане на национални способности, органи и институции, а и прилагане на нови регулаторни мерки, обхващащи основни инфраструктури относно изискванията за киберсигурност и условия за управление и противодействие на рисковете касаещи съществените и важни субекти, както и отговарящите на зададените критерии, попадащи в определените сектори в Приложение 1 и 2; - На компетентните органи се предоставят широки пълномощия по управление и надзор политиките по киберсигурност по отношение определените субекти – съществени и важни. - Изискването за осъществяване на доброволно сътрудничество между отговорните институции, мерките за общо прилагане и взаимодействие да бъдат подсилени, както и от гледна точка на правоприлагането на национално ниво, ще гарантира подсигурен координиран подход и насочена към изграждане на способности киберсигурност в целия Съюз, както и смекчаване на заплахите. Изграждането на координационен ЕРИКС, който да изпълнява функциите по Директивата, обмена на служители, както на национално, така и на европейско ниво, обединяването на взаимодействието между EU-CyCLONe и мрежата CSIRTs, определянето на повече от един НКО, отговорен за изпълнението на задачите, свързани със сигурността на МИС на съществени и важни субекти съгласно директивата, широкото сътрудничество с академични и изследователски институции, въвеждането на механизъм за партньорски проверки, позволяващ оценка от експерти, определени от държавите-членки, на прилагането на политиките за киберсигурност, включително нивото на способностите на държавите-членки и наличните ресурси и др. са мерки които изискват наличие на заявен политически модел на 20 взаимодействие, координиран подход на една развита и работеща в пълен обем национална кибер система. - Създаването на правила за сътрудничество между компетентните органи и надзорните органи в съответствие с Регламент (ЕС) 2016/679 за справяне с нарушения, свързани с лични данни, както и осигуряването на високо ниво на отговорност за мерките за управление на риска в киберсигурността и задълженията за докладване на ниво организации, субектите следва да одобрят мерките за кибер риск от и да контролират тяхното прилагане, също и управлението на риска, сертификацията по специфични европейски схеми за сертифициране на киберсигурността. Рискове: При избора на „максимално широк обхват“ и едновременно на стриктна регулация, се създават рискове за значително ограничаване на възможностите за адаптиране на законовата рамка; въвеждането на всеобхватен и лимитиран режим няма да осигури, а ще затрудни свободата на самоопределянето всички субекти, ще затрудни адаптирането на новите сектори към съществуващите правила и изисквания, напр. Административнонаказателен орган, който да гарантира: - ефективно наблюдение; - да следи за изпълнението и предприемането на необходимите мерки, за спазването на правилата, които са ефективни, пропорционални и възпиращи, като се вземат предвид обстоятелствата за всеки отделен случай, - чрез проверки на място и надзор извън обекта, включително произволни проверки; - редовни одити; целенасочени одити на сигурността въз основа на оценки на риска или свързана с риска налична информация; - сканиране за сигурност, основаващо се на обективни, недискриминационни, справедливи и прозрачни критерии за оценка на риска; - искания за информация, необходима за оценка на мерките за киберсигурност, приети от субектите, - включително документирани политики за киберсигурност, както и - спазването на задължението за уведомяване на ENISA съгласно член 25, параграфи 1 и 2; - искания за достъп до данни, документи или каквато и да е информация, необходима за изпълнението на техните надзорни задачи; искания за доказателства за прилагане на политики за киберсигурност, като например резултатите от одитите за сигурност, извършени от квалифициран одитор, и съответните основни доказателства. При „Максимално широк обхват и стриктна регулация“, няма да бъде направена необходимата цялостна и подробна оценка на въздействието по отношение на всички субекти - съществени и важни, както и определените по различен критерии лица, попадащи под регулацията на посочените обществени отношения. Това би довело до обратен ефект, на търсения в уредбата на Директивата. Положителни (икономически/социални/екологични) въздействия: - Ще се усъвършенства координираният подход в изграждането на способности за киберсигурност в Р България и смекчаване на заплахите за мрежовата и информационна сигурност. - Ще се осигури пълното транспониране на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета чрез значителна промяна в съществуващите до момента практики и процеси; - Ще се оптимизират процесите по регулация на киберсигурността в Р България; - Ще се разшири обхвата на ЗКС с ново-присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на националните компетентни органи; 21 - Ще се усъвършенства режимът за реализация на отговорността на субектите на ЗКС и ще се повиши степента на подготвеност на съществените и важни субекти в областта на киберсигурността, което от своя страна ще смекчи потенциалните загуби на приходи поради кибератаки Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. Въздействия върху малките и средните предприятия: Възприемането на максимална регулация при координирания подход засяга в голяма степен разпределението на ролите и отговорностите в сектор държавна администрация, като отражението му в МСП може да варира, доколкото се променят индикаторите за оценка на „съществен“ или „важен“ субект се идентифицират спрямо ЗМСП, като за част от тях могат да отпаднат, или да се добавят други заинтересовани страни. Всички потенциално засегнати и заинтересовани страни, върху които предложението ще окаже пряко или косвено въздействие (бизнес в дадена област/всички предприемачи, неправителствени организации, граждани/техни представители, държавни органи, др.) се посочват по сектори, по нормативна определеност и прилежание към даден бранш. Административна тежест: Разширяването на обема от задължения за административните органи за осигуряване на координирания подход, изграждане и надграждане на съществуващи способности в държавната администрация. Вариант 3 „Балансиран подход“: Описание: При този вариант се постига максимален баланс между заложените в Директивата цели и националните приоритети. Държавата се възползва само от текстовете, които допринасят за екзактното транспониране на Директива (ЕС) 2022/2555 в националното законодателство, при гарантиране на еднакво и обективно прилагане и надграждане на съществуващите правила и запълване на непълнотите. Този подход осигурява максимална адаптивност на новите изисквания със съществуващите текстове в ЗКС, по -голяма оперативност, възможност за по – ефективно надграждане на досега – определените и новосъздадените субекти, попадащи под регулацията на Директивата. Описаните рискове при „Максимално широк обхват и стриктна регулация“ ще бъдат избегнати и облекчени до степен да се избегне хипер-регулация водеща до неефективност на прилагането от националните компетентни органи и ЕРИКС-и. Цели се запазване на адаптивността на рамка по транспониране на директивата дори при нарастване на регулираните субекти. Рискове: При избора на балансиран подход за транспониране на Директивата, ще се избегнат посочените рискове във Вариант 2, ще се запази досега съществуващата определеност на органите в Република България, ще бъдат разширени техните правомощия до степен, която няма да въведе хипер регулация, а ще бъде съобразена с конституентите на закона в страната и новите сектори след разширяването на обхвата, но същевременно балансирана и съобразена с целите на европейското правоприлагане. Ще бъде предвиден ефективен надзор върху съществените и важни субекти, като същевременно се предвижда създаването на механизми за административното им подпомагане, изключването на свръх-регулация, поради създаването и на евентуална административна тежест. Положителни (икономически/социални/екологични) въздействия: Социални въздействия: -Попадат върху административните органи. Не се предвижда създаване на финансова тежест за обществото. Екологични въздействия: 22 - Потреблението на енергия от електрически уреди, по-специално от устройства, използвани от или подпомагащи ИКТ и други енергоемки технологии, нараства. Поради това е важно да се насърчи приемането на технологии с ниски емисии в съответствие с целите, определени в съобщението на Комисията относно Европейския зелен пакт и Индустриалната стратегия на Комисията. С въвеждането на мерки по прилагането на директивата се очаква насърчаването на засиленото използване на ИКТ инфраструктури и услуги от последно поколение, които са по-устойчиви от гледна точка на околната среда. С осигуряване на правна яснота относно споразуменията с трети страни доставчици на услуги в областта на ИКТ се очаква увеличаване на използването им. Третите страни доставчици на услуги в областта на ИКТ като цяло са по-енергийно ефективни от вътрешната ИКТ инфраструктура. По-високите нива на ефективност на последните технологии и инфраструктури за сигурност ще допринесат за намаляване на потреблението на електричество, вода и други течности, използвани за охлаждане на центрове за данни, като по този начин ще имат положително въздействие върху околната среда чрез намаляване на вредните емисии. Новите и интелигентни технологии също са изградени с екологични материали, които ще улеснят рециклирането след приключване на жизнения им цикъл. - Ще се осигури оптималност на транспонираните текстове на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета, като ще са в ясна корелация със съществуващите текстове на ЗКС; - Ще се подобрят и оптимизират процесите по регулация на киберсигурността в Р България; - Ще се разшири обхвата на ЗКС с ново-присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на националните компетентни органи; - Ще се усъвършенства режимът за реализация на отговорността на субектите на ЗКС и ще се повиши степента на подготвеност на съществените и важни субекти в областта на киберсигурността, което от своя страна ще смекчи потенциалните загуби на приходи поради кибератаки; Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. Въздействия върху малките и средните предприятия: Разширяването на обхвата на закона, с добавянето на нови сектори, съответно разширява и кръга на субектите имащи задължения за докладване на инциденти, но то не е съпроводено с изменение на процедурите по докладване. Административна тежест: Възприемането на балансираният подход в регулацията ще позволи на разгръщането и надграждането на съществуващият модел на взаимодействие между институциите в Република България. Ще доведе до плавно и поетапно изграждане на по-стабилно взаимодействие и разпределение на отговорностите както на ниво междуведомствени оперативни действия, така и в ескалационен план, достигайки политическо ниво при вземане на решения по отношение на европейски и трансграничен инцидент например. 4.3. По проблем 3: Допълване на основни сегменти, както и разширяване на икономическите сектори по Директива (ЕС) 2022/2555, осъществяване на регулацията им посредством надграждане дейността и добавяне на правомощия на националните компетентни органи Вариант 1 „Без действие“: Описание: При този вариант няма да бъдат предприети никакви действия за разширяване обхвата на секторите и за привеждане на националното законодателство в съответствие с изискванията на европейската правна рамка, респективно няма да бъдат регламентирани и действия за въвеждане регулацията за новите сектори на директива (ЕС) 2022/2555. 23 Рискове: Изборът на този вариант би означавал неизпълнение от страна на България на задълженията, произтичащи от законодателството на ЕС, което създава риск от предприемане на правни действия срещу страната, съгласно член 258 от ДФЕС. Законът за киберсигурност ще има ограничено приложение. При този вариант Европейската комисия ще стартира наказателна процедура за нарушение срещу Република България. Положителни (икономически/социални/екологични) въздействия: Не се наблюдават. Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. Въздействия върху малките и средните предприятия: Не се наблюдават. Административна тежест: Не се наблюдават. Вариант 2 „Максимално широк обхват и стриктна регулация“: Описание: Този вариант изисква да се разшири обхвата на закона, което означава стриктни регулации и минимална възможност за адаптиране на рамката. В обобщен вариант регулацията ще обхване следните групи мерки: - Нови регулаторни мерки, обхващащи основни инфраструктури относно изискванията за киберсигурност и условия за управление и противодействие на рисковете касаещи съществените и важни субекти, както и отговарящите на зададените критерии, попадащи в определените сектори в Приложение 1 и 2; Управителните органи на субектите, попадащи в обхвата, следва да прилагат мерките за риск от киберсигурност и да контролират изпълнението им, също и управлението на риска, сертификацията по специфични европейски схеми за сертифициране на киберсигурността, но най – изявената и трудоемка промяна за имплементиране се състои в обособяването на Административнонаказателен орган, които да гарантира: - ефективно наблюдение; - да следи за изпълнението и предприемането на необходимите мерки, за спазването на правилата, които са ефективни, пропорционални и възпиращи, като се вземат предвид обстоятелствата за всеки отделен случай: o чрез проверки на място и надзор извън обекта, включително произволни проверки; o редовни одити; целенасочени одити на сигурността въз основа на оценки на риска или свързана с риска налична информация; o сканиране за сигурност, основаващо се на обективни, недискриминационни, справедливи и прозрачни критерии за оценка на риска; o искания за информация, необходима за оценка на мерките за киберсигурност, приети от субектите, o включително документирани политики за киберсигурност, както и o спазването на задължението за уведомяване на ENISA съгласно член 25, параграфи 1 и 2; o искания за достъп до данни, документи или каквато и да е информация, необходима за изпълнението на техните надзорни задачи; искания за доказателства за прилагане на политики за киберсигурност, като например резултатите от одитите за сигурност, извършени от квалифициран одитор, и съответните основни доказателства. Всичко това определя важността на транспонирането на национално ниво Директивата и необходимостта на новосъздадените правила да залегнат дългосрочно в законодателството на киберсигурността на страната. В основата си транспонирането на Директива заляга върху възможността за продължаване на някои съществуващи практики, за надграждане на други основни сегменти, както и допълване и разширяване на икономически сектори. Но не трябва да се забравя, че секторите и към настоящия 24 момент в закона не са малко, допълването има на практика с 2 нови подсектора и 10 изцяло нови сектора, ще разшири обхвата, но на практика няма да промени основно и сега съществуващите браншове и сектори в страната. Рискове: Създаването на надзорния орган ще създаде тежест и за бизнеса и за администрацията. Санкционните режими без подходяща адаптация на нормативните текстове ще трябва също да предвиждат възможността за суспендиране на правомощия изграждат един изцяло нов и утежнен административен процес. Вменяването на нови и широки правомощия у наказателните органи ще доведе до забавяне процесите по имплементация на мерките за киберзащита и ще увеличи рисковете за бизнеса и икономиката. А гарантирането на ефективността им ще бъде дълъг и трудоемък процес. Предприемането на необходимите действия за отстраняване на недостатъците в определения срок, преустановяване сертифицирането или разрешението налагат или изискват налагането от съответните органи или съдилища съгласно националното законодателство на временни забрани срещу субектите, а определянето на действителните причинени вреди или претърпени загуби или потенциални щети или загуби, които биха могли да бъдат предизвикани, изисква сериозна експертиза и административен опит в киберсигурността или МИС. Положителни (икономически/социални/екологични) въздействия: - Ще се увеличи значително обхватът на закона за киберсигурност; - Ще се осигури пълното транспониране на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета чрез значителна промяна в съществуващите до момента субекти по ЗКС; - Ще се оптимизират секторите на киберсигурността в Р България; - Ще се разшири обхвата на ЗКС с ново-присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на националните компетентни органи; Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. Специфични въздействия: Не се наблюдават. Въздействия върху малките и средните предприятия: Възприемането на максимална регулация при координирания подход засяга в голяма степен разпределението на ролите и отговорностите в сектор държавна администрация, като отражението му в МСП може да варира, доколкото се променят индикаторите за оценка на „съществен“ или „важен“ субект се идентифицират спрямо ЗМСП, като за част от тях могат да отпаднат, или да се добавят други заинтересовани страни. Всички потенциално засегнати и заинтересовани страни, върху които предложението ще окаже пряко или косвено въздействие (бизнес в дадена област/всички предприемачи, неправителствени организации, граждани/техни представители, държавни органи, др.) се посочват по сектори, по нормативна определеност и прилежание към даден бранш. Административна тежест: При избора на „максимално широк обхват“ и едновременно на стриктна регулация, се създават рискове за значително ограничаване на възможностите за адаптиране на законовата рамка; въвеждането на всеобхватен и лимитиран режим няма да осигури, а ще затрудни свободата на самоопределянето всички субекти, ще затрудни адаптирането на новите сектори към съществуващите правила и изисквания, напр.: При „Максимално широк обхват и стриктна регулация“, няма да бъде направена необходимата цялостна и подробна оценка на въздействието по отношение на всички субекти –съществени и важни, както и определените по различен критерии лица, попадащи под регулацията на посочените обществени отношения. Разширяването на обема от задължения за административните органи за осигуряване на координирания подход, изграждане и надграждане на съществуващи способности в държавната администрация. Вариант 3 „Балансиран подход“: 25 Описание: При този вариант се постига максимален баланс между заложените в Директивата цели и националните приоритети. Държавата се възползва само от текстовете, които допринасят за екзактното транспониране на Директива (ЕС) 2022/2555 в националното законодателство, при гарантиране на еднакво и обективно прилагане и надграждане на съществуващите правила и запълване на непълнотите. Този подход осигурява максимална адаптивност на новите изисквания със съществуващите текстове в ЗКС, по -голяма оперативност, възможност за по – ефективно надграждане на досега – определените и новосъздадените субекти, попадащи под регулацията на Директивата. Описаните рискове при „Максимално широк обхват и стриктна регулация“ ще бъдат избегнати и облекчени до степен да се избегне хипер-регулация водеща до неефективност на прилагането от националните компетрнтни отгани и ЕРИКС-и. Цели се запазване на адаптивността на рамка по транспониране на директивата дори при нарастване на регулираните субекти. Рискове: При избора на балансиран подход за транспониране на Директивата, ще се избегнат посочените рискове във Вариант 2, ще се надгради досега съществуващата рамка на конституентите, субектите попадащи в обхвата на ЗКС в Република България, като разширяването на обхвата, ще бъде същевременно балансирано и съобразена с целите на европейското правоприлагане. Положителни (икономически/социални/екологични) въздействия: Социални въздействия: - Ще се подобрят и оптимизират процесите по регулация на киберсигурността в Р България; - Ще се разшири обхвата на ЗКС с ново-присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на националните компетентни органи; - Ще се предприемат мерки за прецизиране на нормативната уредба и създаване на ясен и ефективен режим, който да регулира задълженията на съществените и важни субекти в съответствие с въведените в директивата по – високи изисквания при постигане на киберсигурността на субектите, при запазване на изискванията за защита на мрежите и информационните системи. В ЗИД на ЗКС са предвидени общи цели по отношение на дейността по отношение на ново-обхванатите сектори, главно поради: 1.повишената цифровизация през последните години и по-високата степен на взаимосвързаност, 2. факта, че понастоящем съществуващият обхват вече не отразява всички цифровизирани сектори, предоставящи ключови услуги за икономиката и обществото като цяло. Поради което в икономически план ще настъпят следните благоприятни изменения: - обхвата на операторите на основни услуги, ще бъде изяснен в достатъчна степен с оглед на доставчиците на цифрови услуги, идентифицирани като такива във всички държави членки, с цел да въвеждат мерки за сигурност и да докладват за инциденти; - ще се уеднакви определянето на изискванията за сигурност и докладването на инциденти; - ще се балансира режимът на надзор и правоприлагане, налагане на санкции на субекти, които не са въвели изискванията за сигурност или не са докладвали за инциденти; - Ще се надгради систематичният обмен на информация с цел подобряване на ефективността на мерките за киберсигурност и за степента на съвместна ситуационна осведоменост на равнището на ЕС. Случаят е такъв и при обмена на информация между частноправни субекти, както и при обмена между структурите за сътрудничество на равнището на ЕС и частноправните субекти. Екологични въздействия: Не се очаква Вариант 3 да окаже влияние върху измененията на климата, транспорта и използването на енергия, биоразнообразието, чистотата на атмосферния въздух, качеството на водите и водните запаси, качеството на почвата, възобновяемите или 26 Специфични Въздействия добавянето докладване допълване разгръщането невъзобновяемите ресурси, фирмите отпадъци/генериране/рециклиране, предвид Отрицателни (икономически/социални/екологични) въздействия: Не се наблюдават. върху малките и средните на нови сектори, съответно разширява на инциденти, но то не е съпроводено Административна тежест: Възприемането на основни сегменти, както и и надграждането на съществуващият цифровизирани сектори, предоставящи ключови и потребителите отношенията, предприятия: и кръга с изменение на балансираният разширяване на обхват, услуги за върху които се регулират въздействия: Не се Разширяването на на субектите на процедурите подход в икономическите сектори който вече не икономиката и околната със законопроекта. наблюдават. обхвата на имащи задължения по докладване. регулацията ще позволи отразява обществото като среда закона, с за при на всички цяло. 5. 5.1. Степени По Сравняване на вариантите: на изпълнение по критерии: 1) висока; проблем 1: Непълно съответствие съгласуваност с действащите разпоредби в 2) средна; на действащата тази област на 3) ниска. нормативна политиката. уредба, липса на Вариант 1 „Без действие“ Вариант 2 „Максимално широк обхват и стриктна регулация“ Вариант 3 „Балансиран подход” Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 т с о н в и т к е ф Е Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 27 Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 т с о н с а к и ф Е Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 т с о н а в у с а л г ъ С Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 28 5.2. (ЕС) за По смекчаване услуги ефективната проблем 2: Необходимостта от 2022/2555, насочена към изграждане на на заплахите за сигурността на предоставяне на основни услуги в ключови при изправяне пред тях инциденти с икономика и общество на Съюза. изграждане на способности мрежите и сектори, и киберсигурност, координиран подход за киберсигурност информационните осигуряване на като по този относно в целия системи, приемственост на начин допринася Директива Съюз, използвани такива за Вариант 1 „Без действие“ Вариант 2 „Максимално широк обхват и стриктна регулация“ Вариант 3 „Балансиран подход” Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 т с о н в и т к е ф Е Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 т с о н с Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 а к и ф Е Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с 3 2 1 29 изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 т с о н а в у с а л г ъ С Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 * При повече от един поставен проблем мултиплицирайте таблицата за всеки отделен проблем. 5.3. По сектори надграждане проблем 3:Допълване на основни по Директива (ЕС) 2022/2555, дейността и добавяне на сегменти, както осъществяване правомощия на и разширяване на на регулацията националните икономическите им посредством компетентни органи Вариант 1 „Без действие“ Вариант 2 „Максимално широк обхват и стриктна регулация“ Вариант 3 „Балансиран подход” о н в и т к е ф Е Цел 1: Повишаване на степента на подготвеност на съществените и важни т с с убекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило 3 2 1 30 големите разходи за смекчаване на заплахите ad-hoc. Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 т с о н с а к и ф Е Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 т с о н а в у с а л г ъ С Цел 1: Повишаване на степента на подготвеност на съществените и важни субекти в областта на киберсигурността би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad-hoc. 3 2 1 31 Цел 2: Допълване и усъвършенстване на съществуващия нормативен режим за съществените и важни субекти в съответствие с изискванията на Директива (ЕС)2022/2555 3 2 1 Цел 3: Адаптиране на съществуващата нормативна рамка в ЗКС в съответствие с изискванията на Директива (ЕС) 2022/2555, както и разширяване на компетенциите на компетентните органи по киберсигурност в Р България 3 2 1 Цел 4: Регулация на присъединените сегменти, както и разширените икономическите сектори по Директива (ЕС) 2022/2555, посредством надграждане дейността и правомощията на Националните компетентни органи 3 2 1 * При повече от един поставен проблем мултиплицирайте таблицата за всеки отделен проблем. 6. По Избор на препоръчителен вариант: проблем 1,2 и 3: Създаване на Проект на Киберсигурност; Закон за изменение и допълнение на Закона за 6.1. прилагането 1.1. 1.2. Ако Промяна в административната тежест за на препоръчителния вариант …………………………………………………………………..……………………… …………………………………………………………………………………………. Изборът следва да е съотносим с посочените специфични се предвижда въвеждането на такса, представете ограничаване на административното регулиране и физическите (включително въздействия на образуването на нейния административния и юридическите по отделните препоръчителния вариант за размер съгласно Методиката контрол върху стопанската лица от проблеми): решаване на всеки по чл. 7а от Закона дейност. проблем. за 6.2. прилагането Създават ли се нови/засягат ли се на препоръчителния вариант …………………………………………………………………..……………………… …………………………………………………………………………………………. 1.1. Изборът следва да е съотносим с посочените съществуващи (включително специфични регулаторни режими по отделните въздействия на избрания вариант. и услуги от проблеми)? 32 1.2. В случай че се предвижда създаване нов регулаторен режим, посочете неговия вид (за стопанска дейност: лицензионен, регистрационен; за отделна стелка или действие: разрешителен, уведомителен; удостоверителен и по какъв начин това съответства с постигането на целите). 1.3. Мотивирайте създаването на новия регулаторен режим съгласно изискванията на чл. 3, ал. 4 от Закона за ограничаване на административното регулиране и административния контрол върху стопанската дейност. 1.4. Посочете предложените нови регулаторни режими отговарят ли на изискванията на чл. 10 – 12 от Закона за дейностите по предоставяне на услуги. 1.5. Посочете изпълнено ли е изискването на § 2 от Допълнителните разпоредби на Закона за дейностите по предоставяне на услуги. 1.6. В случай че се изменят регулаторни режими или административни услуги, посочете промяната. 6.3. Създават ли се нови регистри от прилагането на препоръчителния вариант (включително по отделните проблеми)? …………………………………………………………………..……………………… …………………………………………………………………………………………. Когато отговорът е „Да“, посочете регистрите, които се създават и по какъв начин те ще бъдат интегрирани в общата регистрова инфраструктура. 6.4. По какъв начин препоръчителният вариант въздейства върху микро-, малките и средните предприятия (МСП) (включително по отделните проблеми)? Изборът следва да е съотносим с посочените специфични въздействия на препоръчителния вариант. 6.5. Потенциални рискове от прилагането на препоръчителния вариант (включително по отделните проблеми): Не се идентифицират потенциални конкретни рискове, които да засягат и да бъдат свързани с прилагането на препоръчителния вариант на действие. Приемането на предложените промени със Закон за изменение и допълнение на Закона за Киберсигурност, цели да надгради и доразвие действащата към настоящия момент правна уредба и да я унифицира, по начин по-който да осигури ефективното й прилагане. Също така основната цел е да се транспонира „Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148“ (Директива МИС 2) Посочете възможните рискове от прилагането на препоръчителния вариант, различни от отрицателните въздействия, напр. възникване на съдебни спорове и др. 7. Консултации: ……………………………………………………………..……………………………… …………………………………………………………………………………………….. …………………………………………………………………………………………….. Посочете основните заинтересовани страни, с които са проведени консултации. Посочете резултатите от консултациите, включително на ниво ЕС: спорни въпроси, многократно поставяни въпроси и др. 33 Проектът на Закон за изменение и допълнение на Закона за киберсигурност ще бъде публикуван за провеждане на обществени консултации за срок от 1 месец. Обобщете най-важните въпроси за обществени консултации. Посочете индикативен график за тяхното провеждане и видовете консултационни процедури. 8. Приемането на нормативния акт произтича ли от правото на Европейския съюз? „Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148“ (Директива МИС 2) https://eur-lex.europa.eu/legal-content/BG/TXT/?uri=CELEX%3A32022L2555 1.1. Посочете изискванията на правото на Европейския съюз, включително информацията по т. 6.2 и 6.3, дали е извършена оценка на въздействието на ниво Европейски съюз, и я приложете (или посочете връзка към източник). 1.2. Изборът трябва да съответства на посоченото в раздел 1, съгласно неговата т. 1.5. 9. Изисква ли се извършване на цялостна предварителна оценка на въздействието поради очаквани значителни последици? (преценка съгласно чл. 20, ал. 3, т. 2 от Закона за нормативните актове) 10. Приложения: Приложете необходимата допълнителна информация и документи. 11. Информационни източници: 1. „Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148“ (Директива МИС 2) - https://eur-lex.europa.eu/legal- content/BG/TXT/?uri=CELEX%3A32022L2555 2. Закон за киберсигурност - https://lex.bg/bg/laws/ldoc/2137188253 3. Закон за административните нарушения и наказания - https://lex.bg/bg/laws/ldoc/2126821377 Посочете изчерпателен списък на информационните източници, които са послужили за оценка на въздействията на отделните варианти и при избора на вариант за действие: регистри, бази данни, аналитични материали и др. 12. Име, длъжност, дата и подпис на директора на дирекцията, отговорна за извършването на частичната предварителна оценка на въздействието: Име и длъжност: Бисерка Радева – и.д. директор дирекция „Мрежова и информационна сигурност“ Дата: 25.06.2024г. Подпис: …

[печат: Министерски съвет, вх. № 0725-56, 01.08.2024 г.] ДО: Г-Н ВАЛЕНТИН МУНДРОВ МИНИСТЪР НА ЕЛЕКТРОННОТО УПРАВЛЕНИЕ КОПИЕ ДО: Администрацията на Министерски съвет СТАНОВИЩЕ ОТНОСНО: Проект за изменение и допълнение на Закона за киберсигурност („Закон"), качен за публично обсъждане на 4-ти юли 2024 година ОТ: „ДОМЕЙН МЕНАДА" ЕООД, вписано в Търговски регистър и регистър на юридическите лица с нестопанска цел при Агенцията по вписванията, с ЕИК 040488269, със седалище и адрес на управление: гр. София, ж.к. Младост 4, ул. Бизнес Парк София № 1, сграда 4, ет. 2, представлявано от Радослав Вълчев – управител („Дружество") УВАЖАЕМИ Г-Н МИНИСТЪР МУНДРОВ, С настоящото искаме да изразим становище относно и препоръка за изменение на публикувания на страницата за обществени консултации на 4-ти юли 2024 година Проект за изменение и допълнение на Закона за киберсигурност („Проект"), в качеството си на производител и търговец на вино и спиртни напитки, като заинтересована страна: 1. „Домейн Менада" ЕООД попада под определението за предприятие за производство на храни, съгласно определението в член 3, точка 2 от Регламент (ЕО) № 178/2002 на Европейския парламент и на Съвета. Проектът не изяснява по категоричен начин дали всички производители на храни се класифицират като „важни субекти" или за някои ще са приложими правилата за „съществени субекти". В тази връзка, намираме за необходимо, предвидения в § 5 от Проекта чл. 4а да се допълни, като се възложи задължение на компетентните административни органи по прилагането и изпълнението на Закона, да уведомят всеки от задължените субекти, в изрично определен в Закона срок, като какъв е класифициран – „съществен" или „важен", за да се избегне възможността за неправилно тълкуване от страна на самите субекти относно тяхното качество и оттук – неправилно прилагане на Закона. Считаме, че с оглед на това, че в чл. 3, параграф 5 от Директива (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 („Директива МИС 2") е възложила на компетентните органи да уведомяват ЕК за броя на всички съществени и важни субекти във всеки сектор и подсектор, горното ни искане не би представлявало допълнителна тежест на компетентния орган, а би спестило каквото и да било объркване в задължените лица. 2. Съгласно на член 6, параграф 3 от Директива (ЕС) 2022/2557 на Европейския парламент и на Съвета от 14 декември 2022 година за устойчивостта на критичните субекти и за отмяна на Директива 2008/114/ЕО на Съвета, всяка държава членка съставя списък на установените критични субекти и 1/3 гарантира, че в срок от един месец от установяването им тези критични субекти се уведомяват за това установяване. Предлагаме кореспондиращо уведомяване да намери приложение и в настоящия Проект. 3. Отправяме предложение в § 4 от Проекта относно чл. 4, т. 2 и в § 5 от Проекта относно чл. 4а, ал. 1, т. 1 да бъде направено уточнение дали приложението на Закона по отношение на предприятия, които отговарят на критериите за средни предприятия съгласно чл. 3, ал. 1 от Закона за малките и средни предприятия, или надхвърлят таваните за средни предприятия от посочения член, се отнася само до независими предприятия или в това число биват разглеждани и предприятия-партньори и свързани предприятия по смисъла на ЗМСП. Пояснение: Въпросът възниква в хипотезата на българско дружество, което само по себе си не отговаря на критериите за средно предприятие, но в случай, че бъде разглеждано заедно със свързаните му предприятия извън България, то би отговаряло на тези критерии. 4. Във връзка със задължението на субектите по изменените чл. 3, ал. 4 и чл. 22 от Закона да приемат и прилагат различни политики, правила и процедури, моля да предвидите изготвянето на образци на примерни правила и политики с минимално задължително съдържание за субектите, които се квалифицират като „важни". Препоръката е с оглед спецификата на материята в Закона, по която не всеки задължен субект разполага с вътрешни ресурси с такива специални и технически знания и компетенции. Голяма част от субектите за първи път ще бъдат задължени лица по Закона, поради което и привеждането на дейността им в съответствие представлява голяма финансова и административна тежест, която би могла да бъде смекчена от възможността да се използва стандартизиран вариант на правила и политики. Образците биха били от полза и да се постигне сравнително унифициран подход от страна на задължените субекти. Допълнително, такъв подход беше предприет от ДАНС във връзка с Закона за мерките за изпиране на пари и приемането на вътрешни правила по него. 5. Намираме за необходимо в § 24 от Проекта относно чл. 23 да се предвиди срок, в който да бъде изготвена координирана оценка на риска за сигурността на критични вериги за доставки. Ясното поставяне на краен срок е необходимо за задължените субекти, с оглед значимостта и обвързаността на оценката на риска по променения чл. 23 от Закона при определяне на подходящи мерки по смисъла на променения чл. 22, ал. 3 от Закона. 6. Считаме, че редакцията на чл. 27к, ал. 1 и ал. 2 от Закона следва да бъде съобразена с текста на член 32, параграф 5 от Директива МИС 2, като се предостави допълнителен срок, който да бъде дефиниран, за субектите да предприемат необходимото действие в съответствие с изискванията на тези органи. Новите принудителни мерки по чл. 27к, ал. 1 и ал. 2 от Закона следва да бъдат прилагани едва след като изисканото действие не бъде предприето в определения срок. Допълването в чл. 27к ще предостави на задължените субекти още една възможност за поправка на поведението им, която е предвидена в Директива МИС 2, преди налагането на предвидените санкционни действия, които сами по себе си са достатъчно сериозни, за да бъдат директно приложени. 7. Моля, изречението „За тези лица се прилагат всички мерки предвидени както за съществените, така и за важните субекти" от чл. 27к, ал. 5 да отпадне, тъй като е неясно и не кореспондира на текст в Директива МИС 2. 8. Член 36 от Директива МИС 2 предвижда санкциите, установени от държавите-членки от да бъдат ефективни, пропорционални и възпиращи. Намираме, че заложените в Проекта санкции не са пропорционални, а напротив - санкциите са в прекалено високи размери и макар да кореспондират със санкциите съгласно Директива МИС 2, то същите са прекомерни с оглед българския стандарт на живот и икономическата ситуация в страната, и биха могли да доведат до изпадане в несъстоятелност 2/3 и фалит на редица задължени субекти, което от своя страна би имало негативно влияние върху нормалното функциониране на пазара. Считаме, че максималните прагове следва да бъдат запазени съгласно размера в Директива МИС 2, а не да бъдат увеличени. Считаме, че минимално установените санкции също следва да бъдат намалени, още повече че за тях няма конкретно изискване в Директива МИС 2 и санкция от 100 000 лв. или 200 000 лв. ще е непосилна за субектите, особено за тези, които не са ангажирани пряко с предоставяне на онлайн услуги, ИТ услуги, кредитни институции и др. под. Санкции в по-ниски размери също биха отговорили на критериите да са ефективни, пропорционални и възпиращи, без да са свръхнатоварващи и да излизат от посочените функции в негативен аспект. 9. Намираме, че предвидената в чл. 29, ал. 6 от Закона санкция за управителите следва да отпадне изцяло, като се вземе предвид санкцията по чл. 27к, ал. 5, която сама по себе си е достатъчно сериозна. Кумулирането на двете санкции би било непропорционално, а и конкретна глоба за управителните органи не е предвидена в Директива МИС 2, с оглед на което не е задължително българският нормотворец да приема по-утежняващи условия за българските задължени субекти. 10. Периодичните и имуществени санкции в чл. 30а са в прекомерен размер и намираме, че следва да бъдат намалени или да отпаднат, предвид, че се налагат за всеки ден неизпълнение, а Директива МИС 2 само предвижда възможност за приемане на такива мерки без да създава конкретно задължение за държавите членки. 11. От текста на Проекта не става ясно какъв е срокът, в който субектите следва да имплементират мерките и от кой момент са задължени да започнат да ги прилагат. Предлагаме, в Преходните и заключителните разпоредби на Проекта да бъде заложен изричен срок (който може е определени месеци след приемането на наредбата по § 40, т. 2 от Проекта, приемането на оценката по § 24 от Проекта относно чл. 23 от Закона и получаването на съобщение какъв задължен субект е съответното лице), за да може задължените субекти да имат време за планиране на необходимите ресурси, за подготовка и имплементиране на необходимите правила и политики. Надяваме се, че предложените от нас препоръки ще бъдат взети предвид и ако същите бъдат приети, вярваме, че ще подобрят нормативната рамка относно защитата на киберсигурността и ще улеснят прилагането ѝ от страна на задължените субекти. Гр. София, 31.07.2024 г. С уважение: .................................... (Радослав Вълчев – управител на „Домейн Менада" ЕООД) [печат: ДОМЕЙН МЕНАДА ЕООД СОФИЯ] 3/3

Фондация „Право и Интернет“ гр. София, ул. „Българска морава” № 54, ет.7 тел.: + 359 2 44 606 44 факс: + 359 2 44 606 46 e-mail: office@netlaw.bg, www.netlaw.bg Изх. № 2129/01.08.2024 ДО МИНИСТЕРСТВО НА ЕЛЕКТРОННОТО УПРАВЛЕНИЕ Г-Н ВАЛЕНТИН МУНДРОВ – Министър на електронното управление Mail@egov.government.bg Г-ЖА БИСЕРКА РАДЕВА – Директор на дирекция „Мрежова и информационна сигурност“ b.radeva@egov.government.bg Уважаеми г-н Министър, Уважаема г-жо Радева, Уважаеми дами и господа, В качеството си на неправителствена организация, която се занимава активно в областта на правните, технологичните, икономическите и социалните въпроси, свързани с бързото навлизане на информационните и комуникационни технологии както в публичния, така и в частния сектор, с настоящото представяме нашата позиция относно публикувания проект на Закон за изменение и допълнение на Закона за киберсигурност, с който се 1 предвижда транспониране на Директива (ЕС) 2022/2555 (Директива МИС 2) . В контекста на стремителното развитие на технологиите и влиянието им върху ежедневието на гражданите и обществото, и предвид наблюдаваното увеличаване на заплахите за и пробивите в мрежите и информационните системи, своевременното актуализиране на законодателната рамка, регулираща тези отношения, е наистина наложително. Позицията е изготвена от експертите на Фондация „Право и интернет“, които имат задълбочен и дългогодишен опит в сферата на електронните съобщения, информационните и комуникационни технологии, и конкретно в сферата на сигурността на мрежите и информационните системи/киберсигурността. Документът съдържа по- общи предложения и препоръки за усъвършенстване на законопроекта, както и някои по- конкретни насоки и добри практики, които да послужат за провеждането на задълбочен и конструктивен диалог в хода на законодателната процедура по приемането на този изключително важен за държавата и обществото инструмент. Приложение: Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Фондация „Право и интернет“ Проф. д-р Даниела Илиева 1 https://www.strategy.bg/PublicConsultations/View.aspx?lang=bg-BG&Id=8439 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност СТАНОВИЩЕ ОТНОСНО ПРОЕКТ НА ЗАКОН ЗА ИЗМЕНЕНИЕ И ДОПЪЛНЕНИЕ НА ЗАКОНА ЗА КИБЕРСИГУРНОСТ С оглед наближаващия краен срок за транспониране в националното законодателство на Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (долу „Директивата“) следва да се приветства публикуваният проект на Закон за изменение и допълнение на Закона за киберсигурност (ЗК), с който се предвижда транспониране на Директива МИС 2 (долу „ЗИД“ или законопроектът). Законопроектът поставя изключително добра основа за последващите стъпки по приемането на ЗИД в Народното събрание, поради което с настоящото искаме да обърнем внимание на няколко аспекта от законопроекта, които ни направиха впечатление и които биха могли да се подобрят и претърпят редакции с оглед задълбочаване на диалога за усъвършенстване на предложения законодателен акт. В обобщен вид коментарите и предложенията ни засягат следните въпроси: 1. Предложения за техническа редакция на чл. 3, ал. 2 ЗК, изясняване на приложимите мерки за предприятията, предоставящи електронни съобщителни мрежи или услуги и уточняване на органа, който следва да ги приеме. 2. Предложения за редакция на дефинициите за административни органи, организациите за обществени услуги и лицата, изпълняващи обществени функции, за да се избегне прекалено широк обхват на закона, както и уточняване на обхвата на образователните институции, поради наличието на конфликт между различните дефиниции в закона. 3. Предложение за допълнение на новия чл. 22 ЗК за постигане на по-голямо съответствие с Директивата (като се включи изричен текст, че мерките се прилагат при отчитанe на разходите за прилагането им и предвид последните постижения в областта). 4. Предложения за промени относно това кои субекти се считат за съществени и важни, за да се постигне последователното прилагане на закона и баланс с Директивата, както и за въвеждане на правила относно отпадането на приложимостта на мерките по отношение на лица, които вече не отговарят на критериите за съществен или важен субект (вкл. за заличаване от регистъра). 5. Предложение за допълнение на новия чл. 23, за да се постигне по-голяма консистентност с чл. 22 от Директивата. 6. Препоръки относно намаляване на минималния размер на санкциите и по-ясни правила за извънплановите проверки за намаляване на административната тежест и яснота за субектите. 7. Предложение за установяване на преходен период за налагане на санкции с оглед множеството нови правила, очаквани подзаконови нормативни актове и увеличението на санкциите. 8. Предложения за технически корекции и допълнения на дефинициите. Стр. 2 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Конкретните ни коментари и препоръки са следните: 1.1. Относно §3 ЗИД, който предвижда изменение на чл. 3, ал. 2 ЗК. ➢ При анализ на текста става ясно, че е налице техническа грешка в препратката, която следва да бъде към „чл. 4, т. 3, буква „а“ (т.е. следва да отпадне текстът ал. 1). ➢ Прави впечатление и обстоятелството, че към настоящия момент се получава празнота относно приложимите за лицата по чл. 4, т. 3, буква „а“ мерки. Към настоящия момент за „доставчици на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги“ се прилагат Правилата за минималните изисквания за сигурност на обществените електронни съобщителни мрежи и услуги и методи за управление на риска за тяхната сигурност на Комисията за регулиране на съобщенията (Правилата), приети съгласно чл. 243б от Закона за електронните съобщения (ЗЕС). Затова би следвало да се предвиди изрична разпоредба, сходна на тази по чл. 3, ал. 2, която предвижда какъв нормативен акт ще се приеме за тези субекти и кой орган ще го приема (от новия чл. 24, ал. 1 изглежда, че в процеса на изготвяне на ЗИД е имало нещо в този смисъл, но по технически причини явно е отпаднало). ЗИД не указва и дали Правилата се отменят изрично или ще продължат да се прилагат след приемането на ЗИД. удазно е това да се направи – напр. чрез изрична допълнителна точка в този смисъл в §42 от ЗИД, който към момента урежда, че Комисия за регулиране на съобщенията (КРС) ще е националният компетентен орган по ЗК за тези субекти. Това е особено важно с оглед изричната отмяна на Глава петнадесета, раздел I от ЗЕС, в която именно се съдържа основанието за приемане на Правилата (§42, т. 3 ЗИД). Поради това е препоръчително да се предвиди изрично дали и докога Правилата ще продължат да се прилагат, и дали ще се приемат от КРС или от друг орган. В контекста на действащите към момента Правила, например, би могло да се укаже, че Правилата ще останат в сила до приемането на нов подзаконов нормативен акт, който урежда конкретните мерки за лицата по чл. 4, т. 3, буква „а“. Основните разпоредби на Правилата са в сила от малко повече от една година и са съобразени в голяма степен с действащата нормативна уредба и специфичните потребности на този сектор. А доколкото КРС се предвижда да бъде национален компетентен орган за тези субекти и е такъв и досега, то логично би било КРС самостоятелно или, например, съвместно с Министерството на електронното управление да приеме тези актове. Горното е особено важно и в контекста на новите чл. 5, т. 3 и чл. 6а (§8 ЗИД), доколкото част от субектите вероятно попадат и там. Съответно няма яснота относно съотношението между правните норми. Наличието на отделни правила за тези субекти е оправдано и с оглед преамбюл 95 от Директивата. ➢ С цел олекотяване на текста, за да се избегне конструкцията „с изключение на посочените в чл. 4, ал. 1, т. 3, буква „а“, може да се предложи изменение в ал. 3, което да гласи: „(3) Наредбата по ал. 2 не се прилага за ведомствата и функциите им по чл. 5, т. 2, както и за субектите по чл. 4, ал. 1, т. 3, буква „а“.“ Стр. 3 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Това разбира се е под условие и изцяло в зависимост от подхода относно Правилата. 1.2. За постигане на по-добър баланс при въвеждане на Директивата считаме, че могат да се обсъдят и предложат някои промени в предложения обхват на ЗК, за да се постигне по-голяма яснота и прецизност ➢ Относно чл. 4, т. 1 – „административни органи“ (§4 ЗИД) След внимателен анализ на предложените изменения от гледна точка на обхвата на закона бихме искали да обърнем внимание, че дефиницията на административни органи, която досега бе чрез препращане към §1, т. 1 от Допълнителните разпоредби на Закона електронното управление (ЗЕУ), която пък препраща към §1, т. 1 от Административнопроцесуалния кодекс (АПК) (сега с §33, т. 3 ЗИД се предлага директна препратка към АПК), може да доведе до изключително разширително тълкуване, което да включи в обхвата огромен брой субекти, които не са предвидени изобщо в Директивата. Това се дължи на следното. Съгласно §1, т. 1 АПК „Административен орган“ е органът, който принадлежи към системата на изпълнителната власт, както и всеки носител на административни правомощия, овластен въз основа на закон включително лицата, осъществяващи публични функции, и организациите, предоставящи обществени услуги. От това е видно, че в обхвата на административни органи влизат изцяло: а) лицата, осъществяващи публични функции, б) организациите, предоставящи обществени услуги, и в) всеки друг всеки носител на административни правомощия, овластен въз основа на закон. Съгласно §1 от Допълнителните разпоредби на ЗЕУ пък дефинициите по т. а) и б) са следните: 11. „Лица, осъществяващи публични функции“ са нотариусите, частните съдебни изпълнители, държавните и общинските учебни заведения, държавните и общинските лечебни заведения възложителите по чл. 5, ал. 2 - 4 от Закона за обществените поръчки, които не са административни органи или организации, предоставящи обществени услуги, и други лица и организации, чрез които държавата упражнява своите функции и на които това е възложено със закон. 14. „Организация, предоставяща обществени услуги“ е всяка организация независимо от правната форма на учредяването й, която предоставя една или повече услуги по т. 12. 12. „Обществени услуги“ са образователни, здравни, водоснабдителни, канализационни, топлоснабдителни, електроснабдителни, газоснабдителни, телекомуникационни, пощенски, банкови, финансови в т. ч. застрахователни и удостоверителни по смисъла на Регламент (ЕС) № 910/2014 или други подобни услуги, предоставени за задоволяване на обществени потребности, включително като търговска дейност, по повод на чието предоставяне могат да се извършват административни услуги. Стр. 4 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Горното показва, че ако се запази дефиницията на административен орган с препращане към АПК/ЗЕУ, в обхвата на закона на практика ще попаднат неограничен брой субекти от всички възможни сектори, което няма да съответства изцяло на преследваните с Директивата цели и ще създаде огромни затруднения на практика (както за субектите, така и за правоприлагащите и правораздаващите органи). Това е така, защото в обхвата на организациите, предоставящи обществени услуги, се вижда, че немалка част от обществените услуги по §1, т. 12 от ДР на ЗЕУ се припокриват с услугите от секторите по новите приложения I и II. В допълнение, обхвата на тази дефиниция значително надхвърля секторите по новите приложения I и II, като практически включва всеки възможен сектор в страната. Същото важи и за дефиницията на лицата, осъществяващи публични функции, която видно от дефиницията по §1, т. 12 от ДР на ЗЕУ, включва кръг субекти, които изобщо не са предвидени в Директивата, не са и органи на публичната администрация по смисъла на приложение I, сектор 10, член 2, параграф 2, буква е) от Директивата или чл. 2, параграф 5, буква а) от Директивата. Допълнителен проблем би могъл да изникне на практика и в контекста на определянето на съответните лица като съществени, респективно важни, защото съгласно предложеният с §5 от ЗИД чл. 4а, ал. 1, т. 4 съществени субекти ще са всички лица по т. 4, т. 1 ЗК, независимо от размера и сектора на предприятията. Така в България на практика може да се окаже, че в обхвата на новите разпоредби попадат абсолютно всички компании и сектори, и то всички ще бъдат съществени субекти. Считаме, че това е препоръчително да се коригира, за да се избегнат практически проблеми. По-конкретно предложение в тази насока е да се въведе самостоятелна дефиниция в ЗК на административен орган, която да не допуска коментираното дублиране и повторение на сектори, например: „Административен орган“ е органът, който принадлежи към системата на изпълнителната власт. Така се запазва изискването и съответствието с член 2, параграф 2, буква е) и параграф 5 от Директивата. Вариант, който може да се обсъди е, и да се препрати изрично към разпоредбите от Закона за администрацията, указващи органите на изпълнителната власт, за да има пределна яснота кои са субектите в обхвата. ➢ На следващо място, ако дефиницията на административни органи остане в този си вид, ще се създаде конфликт и сериозни затруднения при тълкуването на това кои образователни институции ще бъдат задължени субекти по закона – тези по новопредложения чл. 4, т. 6 (т.е. опцията по чл. 2, параграф 5, буква б) от Директивата) или тези съгласно §1, т. 11 вр. с 12 от ДР на ЗЕУ, доколкото една от обществените услуги е именно образование, а едни от лицата с публични функции по §1, т. 11 от ДР на ЗЕУ са държавните и общинските учебни заведения. Това противоречие създава формални предпоставки за тълкуване в посока, че всички образователни институции следва да попадат в обхвата (бидейки обществени услуги Стр. 5 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност и едновременно част от дефиницията на лицата, осъществяващи публични функции) – без значение дали извършват научноизследователски дейности от критично значение или не, тъй като по-тясната формулировка на новата разпоредба ще се погълне от по-широката в чл. 4, т. 1. Съответно, ако не се извършат изменения в посока да се ограничи дефиницията на чл. 4, т. 1, то на практика ще има сериозни затруднения за субектите и за националните компетентни органи при определянето на субектите по реда на чл. 16, ал. 3, т. 8, предложен със ЗИД. Доколкото ЗИД очевидно цели да се възползва от опцията по чл. 2, параграф 5, буква б) от Директивата, която има далеч по-ограничен обхват, а именно да се регулират само образователните институции, когато извършват научноизследователски дейности от критично значение, то е препоръчително да се направи ревизия, с която да се избегне подобно противоречие и да се поясни, че само тези образователни институции са в обхвата на закона. В този контекст е препоръчително да се помисли и за въвеждане на дефиниция на образователни институции и научноизследователска дейност, тъй като такива в момента липсват (като за второто може да се ползва дефиницията на чл. 6, т. 41 от Директивата във връзка с преамбюл 36 от Директивата). ➢ От гледна точка на чл. 2, параграф 5, буква а) от Директивата може да се помисли и дали от обхвата на дефиницията на административни органи да не отпаднат органите на публичната администрация на местно равнище (това вероятно следва да са териториалните органи на изпълнителната власт – кметове ведно с администрациите им, областни управител и администрации, както и други специализирани териториални администрации), като се вземе предвид внимателно и чл. 6, т. 35 от Директивата. Аргументите отново са в посока, че се разширява значително обхватът на закона за лица, които са предвидени единствено като опция в Директивата, която от своя страна цели унифициран подход за ЕС и консистентност в държавите-членки. В допълнение, привеждането в съответствие с тези нови правила за тях би изисквала изключително сериозен финансов и административен капацитет, който редица по- малки администрации не биха могли да осигурят. Съответно, с цел консистентност на европейско ниво може да се обсъди такъв подход, макар че същевременно ясно отчитаме необходимостта и критичния характер на дейността на тези органи, което е и причината те да са част от обхвата. Поради това, ако все пак не може да се възприеме такова предложение, може да се обсъди по- облекчен ред и режим за тях. ➢ В пряка връзка с изложеното дотук относно дефиницията на административни органи, на принципно ниво изглежда обосновано предложените т. 7 и 8 на чл. 4 да отпаднат изцяло (ведно със съответната редакция на дефиницията на административни органи). Причините са сходни на изложените нагоре. Тези две т. 7 и 8 в исторически план са имали за цел да включат лица от този кръг субекти само в един конкретен случай – когато предоставят административни услуги по електронен път (и защото не са били регулирани на друго основание). С разширяването на обхвата съгласно Директивата, респективно на нашия закон, на този етап изглежда ненужно кръгът субекти по т. 7 и 8 да остане, тъй като така или иначе обхватът на закона е значително разширен и се дублира на не малко места. Освен това се получава припокриване с другите основания: а) със секторите в приложения I и II; и б) дефиницията на административни органи, която така или иначе включва в себе си Стр. 6 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност организациите, предоставящи обществени услуги и лицата, осъществяващи публични функции, но без ограничението по чл. 4, т. 7 и 8, че се отнася до случаите, в които предоставят административни услуги по електронен път. ➢ Не на последно място следва да се отбележи, че допълнителни затруднения ще възникнат на практика и по отношение на онези субекти, при които има припокриване между основното правно основание и дефиницията на административни органи. Например: субектите от сектор „Пощенски услуги“ формално могат да попаднат в обхвата както на основание новите чл. 4, т. 2 (с оглед Приложение II, сектор 1), така и на основание §1, т. 12 от ДР на ЗЕУ, тъй като едни от обществените услуги са именно пощенските услуги. Сходно е положението за телекомуникационните, удостоверителните, електроснабдителните и т.н. услуги. Това създава конфликт между нормите, поради което спорен ще остане въпросът кой ще е националният компетентен орган и на кое основание за тези сектори, тъй като за субектите – административни органи национален компетентен орган по чл. 16 ЗК е Министерство на електронното управление. За всеки сектори пък национален компетентен орган по чл. 16 ЗК е съвсем различен орган, поради което е препоръчително да се направят съответните редакции в текста. Конкретно за пощенските услуги е препоръчително да се обърне внимание и на преамбюл 12 от Директивата, съгласно който определени дейности на доставчиците на пощенски услуги не следва да попадат в обхвата на регулацията. По сходен начин преамбюл 11 от Директивата посочва и, че за някои специфични удостоверителни услуги (по смисъла на Регламент (ЕС) № 910/2014) изискванията на Директивата не следва да се прилагат. ➢ В контекста на изложеното относно административните органи следва да се отбележи и, че е налице разминаване между предложеният чл. 4а, ал. 1, т. 4 ЗК и чл. 3, параграф 1, буква г) от Директивата, защото Директивата изисква съществени субекти да са само лицата по чл. 2, параграф 1, буква е), точка i) от Директивата, а не всички органи на публичната администрация. Това предпоставя известно несъответствие с Директивата, поради което е препоръчително да се ревизира като се уточни кои са съществени и кои важни субекти. ➢ В обобщение на изложеното по тази точка: Ако се запазят текстовете от ЗИД по предложения начин, има риск да се създадат формални условия за прекомерно разширяване на обхвата в сравнение с NIS 2, което да доведе до затруднения от практическо естество както за националните компетентни органи, така и за субектите и търговията като цяло. Внасянето на редакции изглежда обосновано и в контекста на преследвания от държавата балансиран подход по транспониране (максимален баланс между заложените в Директивата цели/обхват и местното законодателство) и с оглед постигането на по-високо ниво на хармонизация на ниво ЕС. Освен това, от гледна точка на националните компетентни органи, например, разширеният обхват на субектите би довел до сериозни затруднения при упражняване на правомощията им както в контекста на засиленото международно сътрудничество, така и с оглед новите надзорни и контролни правомощия, които се въвеждат. Стр. 7 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Не на последно място, ограничаването на обхвата на ЗК в максимална степен до обхвата на Директивата би било обосновано и в контекста на това, че редица компании – вкл. средни и големи предприятия по смисъла на Препоръка 2003/361/ЕО, трудно могат да си позволят бюджета и административния капацитет, необходим за спазване на новите правила. Добре известно е, че от гледна точка на специалисти в сферата на киберсигурност е налице голям дефицит, който не би могъл да се реши в рамките на месеци. Съответно, ако всички субекти трябва да се назначат служители по сигурността, то това допълнително би затруднило субектите. Този проблем би се задълбочил, ако в обхвата на закона попадат лица, за които това по принцип не се предвижда и които не пораждат съществени рискове. Предвид горното изглежда препоръчително да се извърши допълнителен анализ и да се отстранят споменатите потенциални затруднения за тълкуване и прилагане на практика, и да се постигне по-балансирано въвеждане на новите правила, вкл. за да се избегнат рисковете от неправилно транспониране на Директивата и ненужно разширяване на обхвата му. В заключение, предложението ни е за: - въвеждане на самостоятелна дефиниция на понятието административни органи, която да се стесни с оглед съображенията ни нагоре (само така ще има пределна яснота кои субекти попадат в обхвата, което ще подпомогне значително националните компетентни органи при действията им по определянето на субектите по реда на новия чл. 16, ал. 3, т. 8 от ЗИД), - отпадане изцяло на т. 7 и 8 на чл. 4 ЗК, - уточняване на обхвата на образователните институции, както и - евентуално стесняване на обхвата на самите административни органи до тези по член 2, параграф 1, буква е), точка i) от Директивата, и уточняване кои от тях ще са съществени и кои важни (с оглед чл. 3, параграф 1, буква г) от Директивата. Такъв подход би съответствал и на заложените цели в преамбюли 4 до 8 от Директивата за уеднаквяване на изискванията в държавите членки, особено с оглед субектите, предлагащи трансгранично стоки и услуги. Освен това, ако няма пределна яснота кой субект на кое основание и за коя услуга е определен като субект, то страната ни може да срещне трудности при изпълнение на задължението си по чл. 3, параграф 5, буква б). 1.3. Относно §3, т. 4 ЗИД Предложеният текст на чл. 3, ал. 4 е препоръчително да се изтрие, тъй като не става пределно ясно дали и каква функция има (напр. дали това са задължения за субектите, предметна рамка на закона или нещо друго) в контекста на предложения в §24 ЗИД – чл. 22, който транспонира чл. 21 от Директивата. При преглед на текста на ЗИД изглежда, че е налице дублиране с повечето точки от предложения чл. 22, ал. 2, поради което може би чл. 3, ал. 4 следва да отпадне изцяло. 1.4. Относно чл. 4, т. 1 (§4 ЗИД) Стр. 8 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Предложеният текст на чл. 4, т. 1 реферира към чл. 3, ал. 1 от Закона за малките и средни предприятия. В същото време Директивата реферира към критериите по член 2 от приложението към Препоръка 2003/361/ЕО. За да се избегне разминаване и с оглед постигане на по-добра хармонизация, бихме препоръчали да се направи допълнителен анализ дали двете дефиниции се припокриват. 1.5. В §5 ЗИД се предвижда създаването на чл. 4а ЗК. В текста се вижда, че е налице техническа грешка в препратките към чл. 4, като навсякъде би следвало да отпадне посочването на ал. 1. 1.6. Относно предложения с §5 ЗИД чл. 4а, ал. 1, т. 7, който ползва опцията по чл. 3, параграф 1, буква ж) от Директивата – бихме отбелязали, че е спорно дали и доколко от този текст има смисъл, тъй като тези субекти вече попадат в някоя от категориите по чл. 4 и по-голямата част от тях ще са съществени субекти на друго основание. 2 1.7. Като се има предвид чл. 2, параграф 7 от Директивата бихме препоръчали да се направи допълнителен анализ, съответно редакция (ако е необходима), дали чл. 5, т. 2 и 3 (§6 ЗИД) са в пълно съответствие с посочения текст от Директивата. В противен случай има риск органи от специалните сектори да влязат в обхвата на закона, въпреки изричния текст на Директивата. 1.8. Предложение, което заслужава внимание е и да се извърши частична промяна в статута на предвидения в чл. 6, ал. 5 ЗК регистър (§7 ЗИД). С цел осигуряване на публичност и прозрачност може да се предвиди, че регистърът има и публична версия (поне да има яснота кои са субектите), за да има максимална прозрачност за обществото. 1.9. Относно §8 ЗИД Във връзка с §8 ЗИД, който въвежда чл. 6а, с оглед прозрачност и по-малко тежест за субектите, препоръчително е да се предвиди задължение за МЕУ или административните органи, съгласно което да се изготвя списък на специалните закони по чл. 6а в координация със съответните органи. По този начин както субектите, така и органите, ще имат яснота за това кои правила следва да спазват, респективно контролират. В допълнение, това ще помогне значително и за намаляване на административната тежес за органите и субектите, защото няма да се налага двукратно или дори трикратно в някои случаи уведомяване, когато има сходни по ефекта си уведомителни режими за уведомяване за инциденти. Така например в преамбюл 28 от Директивата ясно е посочено, че Регламент (ЕС) 2022/2554 е специален, поради което финансовите субекти по смисъла на този регламент няма да бъдат субекти на Закона за киберсигурност. За да може да се случи това обаче е необходимо да се прецени внимателно кои са тези субекти в контекста на сектори 3 и 4 по приложение I от Директивата и ЗИД, съответно това да се разясни на ранен етап на всички засегнати. Сходно и преамбюл 29 от Директивата дава предписания относно по-строгите актове в областта на въздухоплаването. 2 7. Настоящата директива не се прилага за органи на публичната администрация, които извършват дейности в областта на националната сигурност, обществената сигурност, отбраната или правоприлагането, включително предотвратяването, разследването, разкриването и наказателното преследване на престъпления. Стр. 9 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Този проблем може да се задълбочи на практика и в контекста на чл. 5, който изключва от режима на ЗК само частично определени субекти и части от дейността/системите на субекти, които остават по принцип в обхвата на закона. В този смисъл, няма яснота дали режима по Наредбата за условията и реда за определяне на мерките за защита на информационните и комуникационните системи на стратегическите обекти от значение за националната сигурност и за осъществяването на контрол е специален спрямо ЗК. Затова е препоръчително и прецизиране в тази част. 1.10. Относно §17 ЗИД, който предвижда нов чл. 16, ал. 3, т. 8 бихме препоръчали (с оглед гарантиране на правото на защита и основните принципи на законност и справедливост) да се предвиди изрично, че актовете на органите са административни актове, които подлежат на обжалване от субектите, определени като такива. 1.11. По отношение на §24 ЗИД ➢ Предложеният чл. 22, ал. 1, изречение второ, гласи следното: „… При спазване на принципа за технологична неутралност, съответните европейски и международни стандарти и технически спецификации, се гарантира ниво на сигурност на мрежовите и информационните системи, съответстващо на риска…“ Този текст цели да транспонира чл. 21, параграф 1, изречение второ от Директивата: „Като се вземат предвид последните постижения в тази област и, когато е приложимо, съответните европейски и международни стандарти, както и разходите за прилагането им, мерките, посочени в първа алинея, гарантират ниво на сигурност на мрежовите и информационните системи, съответстващо на породените рискове.“ Съпоставка между двата текста показва голямо сходство, но и различие, което може да има съществен практически ефект при изпълнение на закона, респективно при надзора и контрола от органите. Видно от български текст, в ЗК не се предвижда да се отчитат „разходите за прилагането“ на мерките, както и да „се вземат предвид последните постижения в тази област“. В контекста на сериозните задължения, които ще бъдат наложени на субектите, считаме за необходимо законът изрично да предвиди, че при въвеждането на мерките разходите са важен критерий. Именно този текст осигурява баланс между необходимостта да се въвеждат най-новите и ефективни мерки съобразно идентифицираните рискове, но и същевременно с това мерките да са икономически обосновани от реалните възможности на субектите. Затова бихме препоръчали чл. 22, ал. 1, изречение второ да се допълни като се съобразят текстовете на Директивата. ➢ Относно предложения чл. 23 в §24 ЗИД Стр. 10 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност Относно текста на чл. 23 бихме препоръчали да се поясни изрично, че съгласуването се прави с националните компетентни органи по чл. 16 от закона, както и със засегнатите субекти по закон. Сегашният текст посочва, че: „… изготвя съгласувано с компетентните органи“, но не става ясно кои са те. В допълнение, за по-голяма прецизност е препоръчителна редакция в текста, като се заимства от текста на чл. 22 от Директивата, а именно: да се замени текста „технологичните и нетехнологичните рискове“ с „техническите и, само когато е уместно и обосновано – нетехническите рискови фактори“. Така разпоредбата ще е в по-голямо съответствие с Директивата. Бихме препоръчали да се посочи и изрично, че всяко ограничаване е само временно, тъй като в противен случай могат да се засегнат необосновано дълго правата на субектите и на третите лица, част от търговския оборот. Бихме препоръчали нормата да се разгледа и обсъди допълнително с всички възможни лица, които могат да бъдат засегнати от нея. Субектите на закона са значително разширени, поради което подобни ограничения (ако бъдат въведени) могат да засегнат хиляди лица в страната – търговци на едро и дребно, физически лица и т.н. Всяко подобно ограничаване на права и свободи следва да бъде пропорционално на преследваните цели, справедливо и прозрачно, и недискриминационно. В този контекст следва да се направи така, че разпоредбата да не създава възможности за неравноправно третиране на участници от едни и същи сектори, да не създава практически трудности, ако бъдат наложени такива ограничения. 1.12. §27 ЗИД предвижда създаването на чл. 27ж, съгласно който: „Чл. 27ж. (1) При осъществяване на своите правомощия, по отношение на съществените субекти, органите по чл. 27е имат право: 1. да извършват проверки - планови и извънпланови, на място или дистанционни, извършвани от компетентни оправомощени служители; …“ Сравнение с чл. 32, параграф 2, буква а) от Директивата („проверки на място или дистанционни проверки, включително случайни, извършвани от обучени специалисти“) показва известно разминаване, което може би е препоръчително да се обсъди допълнително, за да се прецени дали и доколко българският текст му съответства (т.е. дали „компетентни оправомощени служители“ съответства на „обучени специалисти“). По отношение на извънплановите проверки („случайни проверки“ по смисъла на Директивата) в този член е препоръчително да се предвидят специални правила, ред и механизъм за извършването им, вкл. дали не е необходим предварителен контрол от съд, сходно на режима, например, по Закона за защита на конкуренцията и други подобни актове. Значителните нови правомощия на компетентните органи предполагат да са налице и съответни процесуални и законови средства за защита на субектите. Стр. 11 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност 1.13. С §29 ЗИД в чл. 29, ал. 3 и 4 се предлага минималната санкция за съществен субект да е в размер от 200 000 лв., респективно 100 000 лв. за важен субект. Считаме, че подобен размер на минималните санкции не е съобразен с и не отговаря на изискванията на чл. 34, параграф 4 и 5 от Директивата, както и на изискванията на чл. 34, параграф 3 от Директивата, защото в производството по определяне на размера и налагането на санкция автоматично се изключва възможността за преценка на елементите по чл. 32, параграф 7 от Директивата и основополагащите принципи на административнонаказателния процес. Така, например, дори за изключително маловажни случаи органите ще могат да наложат санкция не по-малко от 200 000, респ. 100 000 лв. В този контекст следва да се държи сметка и за обстоятелството, че в действащото законодателство са много малко нормативните актове, в които дори максималните санкции не надвишават 200 000 лв., поради което предложеният минимален размер се явява непропорционален и в противоречие на изискванията на Директивата. За да може да се проведе пълноценно и законосъобразно административнонаказателното производство размерът на минималните санкции следва да се намали значително или дори изцяло да се премахне. Само така страната ни може да осигури, че санкциите, които се налагат ще са пропорционални, законосъобразни, адекватни на извършеното нарушение и в съответствие с основните принципи на административнонаказателния процес в България. Това е залегнало и в преамбюли 127 до 133 от Директивата. ➢ Известна неяснота в текста има и относно размера на максималните санкции, поради което бихме препоръчали да се ревизира. 1.14. С оглед разпоредбите на §40 и §41 ЗИД е силно препоръчително да се предвиди преходна разпоредба, че до приемането на тези актове, и в определен срок след това, няма да бъдат налагани санкции на субектите, за да се даде разумен срок на субектите за подготовка (особено в контекста на това, че голяма част от конкретните нови правила ще са разписани именно в тези подзаконови актове). Новите задължения по закона ще изискват сериозен административен и финансов ресурс за привеждане на дейността им с изискванията, поради което е силно препоръчително да има преходен период след определянето им съгласно §41 за субектите, в който да могат да изпълнят всички задължения по закона. 1.15. В §41 ЗИД изглежда има техническа неточност, тъй като препраща към §41, т. 1 ЗИД – вероятно се има предвид §40, т. 1, поради което е добре да се коригира. 1.16. Бихме искали да обърнем внимание и, че §41 ЗИД посочва, че „административните органи по чл. 16, ал. 1 в срок до 5 месеца от приемането на решението по § 41, т. 1 определят съществените и важните субекти“. В същото време с §17 ЗИД се предлага чл. 16, ал. 3, т. 8, съгласно който националните компетентни органи: „8. определят съществените и важните субекти съгласно чл. 4а в съответствие с методика, приета от Министерския съвет, и уведомяват министъра на Стр. 12 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност електронното управление за това. Методиката се приема по предложение на министъра на електронното управление.“ Така се наблюдава терминологично разминаване относно това кой е органът, който ще определи съществените и важните субекти – по §41 ЗИД това са административните органи, определени с решение на Министерски съвет, а по §17 ЗИД това са националните компетентни органи, които се създават към административните органи по чл. 16 ЗК. Считаме, че е препоръчително да се направи редакция в §41 ЗИД, за да се прецизира текстът и поясни, че субектите се определят от националните компетентни органи. 1.17. §42, т. 1 ЗИД се предвижда нова ал. 2а на чл. 16 ЗЕС, която гласи: „(2а) Национален компетентен орган за субектите по чл. 4, ал. 1, т. 3, буква а) и б) е Комисията за регулиране на съобщенията.“ ➢ Анализ на текста показва, че е необходима редакция, чрез която да се изясни, че КРС е национален компетентен орган по смисъла на чл. 16, ал. 1 от Закона за киберсигурност. Освен това следва да се добави, че референцията е към чл. 4, ал. 1, т. 3, буква а) и б) от ЗК, като следва да се изтрие и текстът „ал. 1“, тъй като в сегашния си вид чл. 4 от ЗИД няма алинея 1. Примерно предложение: „(2а) Национален компетентен орган по смисъла на чл. 16, ал. 1 от Закона за киберсигурност за субектите по чл. 4, т. 3, буква а) и б) от същия е Комисията за регулиране на съобщенията.“ 1.18. По отношение на §43 ЗИД бихме препоръчали да се направи детайлен анализ дали дефинициите от колоната „съответствие“ в приложения I и II отговарят действително на дефинициите от Директивата, за да се избегне ненужно разширяване на обхвата на закона. 1.19. Няколко допълнителни предложения: ➢ Препоръчително е да се предвидят ясни и прозрачни процедури и правила, при които субектите ще отпадат от обхвата на закона и ще бъдат заличавани от регистъра по чл. 6, когато вече не отговарят на изискванията (напр. на изискването за размер или ако вече не предоставят услуга в обхвата на закона). Към настоящия момент липсва информация в кой момент и по какъв ред лице, което е било определено като субект, ще излезе извън обхвата на закона. За някои субекти вероятността това да се случи е почти невъзможна, но по отношение на субекти, при които основният критерий е размер на предприятието, това е много вероятно да се случва – дори ежегодно. В този контекст – или в закона, или в Методиката, е би следвало да се включат правила относно заличаването/отписването на вече определени като субекти лица. Негативен сходен пример в тази посока е например дългогодишния проблем в търговския оборот с невписването (поради бездействие на управител на заличаване на обстоятелства в Търговския регистър), поради което е силно препоръчително да има правила в тази насока. ➢ Техническа корекция може да се препоръча по отношение на субектите по чл. 4, т. 3, буква „а“, като за същите се използва съществуващата терминология по ЗЕС – Стр. 13 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност предприятие, предоставящо обществени електронни съобщителни мрежи, съответно услуги. ➢ Относно т. 9 от Допълнителните разпоредби на действащия Закона за киберсигурност бихме искали да отбележим, че дефиницията на „инцидент със значително увреждащо въздействие“ след приемане на ЗИД ще е неприложима и би следвало да се отмени изрично (тя е приета исторически на база чл. 6 от Директива МИС 1). В противен случай ще се получи конфликт между тази разпоредба и новата т. 57 от Допълнителните разпоредби на Закона за киберсигурност (§33, т. 3, буква с) от ЗИД), която именно ще се ползва за тълкуване дали е налице инцидент за докладване по новия чл. 24, предложен със ЗИД. ➢ В ЗИД изглежда липсва понятието на „инцидент“ по чл. 6, т. 6 от Директивата, като сравнение със съществуващата дефиниция на „киберинцидент“ показва, че не е налице съответствие между двете. Това разминаване е особено важно да се отстрани, защото именно в дефиницията на инцидент по Директивата се залагат основните елементи, въз основа на които се преценява дали има събитие в обхвата на закона и вече при съобразяване на новопредложената т. 57 от Допълнителните разпоредби на ЗК – дали е налице значителен инцидент, подлежащ на докладване. ➢ Моля да отбележите, че липсва и дефиницията на „киберсигурност“ съгласно чл. 6, т. 3 от Директивата. Силно препоръчително е тя да се въведе, тъй като на нея се основават редица разпоредби от закона, вкл. неговият предмет: „киберсигурност“ означава киберсигурност съгласно определението в член 2, точка 1 от Регламент (ЕС) 2019/881; ➢ В ЗИД не идентифицирахме и дефиницията на „сигурност на мрежовите и информационните системи“ по чл. 6, т. 2 от Директивата ➢ Относно съществуващите дефиниции по §3, т. 13, 14 и 15 от Допълнителните разпоредби на действащия ЗК, същите след приемане на ЗИД изглежда ще са неприложими. Същото важи и за дефиницията по §3, т. 31 от Допълнителните разпоредби на действащия ЗК. ➢ Сравнение между §3, т. 3 от Допълнителните разпоредби на действащия ЗК и чл. 6, т. 8 от Директивата показва съществено различие между старата и новата дефиниция на „действия при инцидент“, тъй като включва допълнителни действия, а именно: „всякакви действия и процедури, имащи за цел предотвратяването, установяването, анализа, ограничаването или реагирането на инцидент и възстановяването от него“. Това показва, че е препоръчително да се направи изменение за по-прецизно транспониране на дефиницията ➢ Предходното важи и за дефиницията на „риск“ при сравнение между §3, т. 30 от Допълнителните разпоредби на действащия ЗК и чл. 6, т. 9 от Директивата. ➢ Предходното важи и за дефиницията на „уязвимост“ при сравнение между §3, т. 34 от Допълнителните разпоредби на действащия ЗК и чл. 6, т. 15 от Директивата. ➢ Сравнение между §3, т. 28 от Допълнителните разпоредби на действащия ЗК и чл. 6, т. 34 от Директивата показва съществено различие между съществуващата и новата Стр. 14 от 15 Становище относно проект на Закон за изменение и допълнение на Закона за киберсигурност дефиниция на „представител“. Затова е препоръчително да се направи изменение с цел по-прецизно транспониране на дефиницията, доколкото представителите имат съществена роля в структурата на новия режим. ➢ Сравнение между §3, т. 19 от Допълнителните разпоредби на действащия ЗК и чл. 6, т. 30 от Директивата показва съществено различие между съществуващата и новата дефиниция на „компютърна услуга в облак“. Затова е препоръчително да се направи изменение с цел по-прецизно транспониране на дефиницията, доколкото представителите имат съществена роля в структурата на новия режим. ➢ Сравнение между §3, т. 11 от Допълнителните разпоредби на действащия ЗК и чл. 6, т. 10 от Директивата във връзка с чл. 2, т. 8 от Регламент (ЕС) 2019/881 показва съществено различие между съществуващата и новата дефиниция на „киберзаплаха“. Затова е препоръчително да се направи изменение с цел по-прецизно транспониране на дефиницията. ➢ Ако се възприемат съображенията в началото на този документ, то следва да се отменят изрично и §3, т. 20 и 26 от Допълнителните разпоредби на действащия ЗК. Стр. 15 от 15

Ниво на конфиденциалност 1 [TLP-GREEN] Р Е П У Б Л И К А Б Ъ Л Г А Р И Я М И Н И С Т Ъ Р Н А Е Л Е К Т Р О Н Н О Т О У П Р А В Л Е Н И Е Проект! ДО МИНИСТЕРСКИЯ СЪВЕТ НА РЕПУБЛИКА БЪЛГАРИЯ ДОКЛАД от Валентин Мундров – министър на електронното управление ОТНОСНО: Проект на Решение на Министерския съвет за одобряване на проект на Закон за изменение и допълнение на Закона за киберсигурност УВАЖАЕМИ ГОСПОДИН МИНИСТЪР-ПРЕДСЕДАТЕЛ, УВАЖАЕМИ ГОСПОЖИ И ГОСПОДА МИНИСТРИ, На основание чл. 31, ал. 2 от Устройствения правилник на Министерския съвет и на неговата администрация, внасям за разглеждане от Министерския съвет проект на Решение на Министерския съвет за одобряване на проект на Закон за изменение и допълнение на Закона за киберсигурност. Законопроектът е изготвен в изпълнение на ангажиментите на Република България като държава членка на Европейския съюз, която следва да въведе в националното си законодателство до 17.10.2024 г. разпоредби и да създаде организация за изпълнението на Директива (ЕС) 2023/2555 на Европейския парламент и на Съвета от 14 декември 2022 година, относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (ОВ L 333, 27.12.2022г.), наричана по-нататък Директивата МИС 2. Директивата (ЕС) 2016/1148, транспонирана в българското законодателство чрез Закона за киберсигурност, е първото всеобхватно законодателство в областта на мрежовата и информационна сигурност на ниво ЕС и предоставя хармонизирана правна основа за борба с киберинцидентите в целия ЕС. В България до приемане на Директива (ЕС) 2016/1148 нямаше съществуващ единен принцип на взаимодействие при киберинциденти и инциденти в мрежовата и информационната сигурност (МИС), както и цялостна система за взаимодействие на междуинституционално ниво и между държавите членки на ЕС при случаи на инцидент с трансгранично значение и измерение. Директивата осигури завършването на националните рамки относно сигурността на мрежовите и информационните системи чрез създаването на национални стратегии за сигурност на мрежовите и информационните системи и създаването на национални способности. Същият ефект/резултат се констатира и в България след приемането на Закона за киберсигурност, както следва: – създаде се организацията, управлението и контролът на киберсигурността, определиха се компетентните органи в областта на киберсигурността, както и техните функции и правомощия, регламентираха се дейностите по предприемане на необходимите мерки за постигане на високо общо ниво на сигурност на мрежите и информационните системи, като един основен стълб на киберсигурността, така че да се подобри функционирането на вътрешния пазар; – създаде се институционалната рамка в областта на киберсигурността, превенцията и противодействието на кибератаките, насочена към по-голяма ефективност и по-добра координация между съществуващите органи и звена в публичната администрация; – създаде се Национално единно звено за контакт, регламентираха се управлението и организацията на националната система за киберсигурност, Националният координатор по киберсигурност, секторни екипи за реакция при инциденти в киберсигурността – ЕРИКС, както и Национален ЕРИКС, регламентираха се въпросите за междуинституционална взаимосвързаност и сътрудничество; – регулацията на мрежовата и информационна сигурност на административните органи, изискванията към тях да осигуряват и отговарят за мрежовата и информационната сигурност на използваните от тях информационни системи, също така изискванията и стандартите за сигурност, на които трябва да отговарят информационните системи за въвеждане, изпращане, обработка, достъп, обмен, съхраняване и архивиране на данни, както и общите мерки за сигурност, които трябва да предприемат; – определен бе статутът и функционирането на операторите на съществени услуги (ОСУ) и на доставчиците на цифрови услуги (ДЦУ). Прегледът на Директива (ЕС) 2016/1148 обаче разкрива, че независимо от тези постижения, тя има и присъщи слабости, които пречат на намирането на ефективни решения за настоящите и възникващи предизвикателства в областта на киберсигурността. С Директива МИС2 се осъвременява съществуващата правна рамка, като се отчитат повишената цифровизация на вътрешния пазар през последните години и развиващата се картина на заплахите за киберсигурността и се разширява обхватът ѝ. Основните разлики между предходната и новата Директива за NIS се състоят в: • отстраняване на разграничението „Оператори на основни услуги (OES)“ и „Доставчици на цифрови услуги (DSP)“, залагайки на обектите като „Съществени“ или „Важни“; • разширение на обхвата на директивата с цел да се включат нови сектори в зависимост от степента им на критичност по отношение на тяхната индустрия или на вида услуга, която предоставят; 2 • основаване на Европейска мрежа за връзка при киберкризи (EU-CyCLONe), за да се подпомогне управлението на киберсигурността при широкомащабни инциденти и кризи; • определянето на един ЕРИКС като координатор за целите на координираното оповестяване на уязвимости, обмена на служители, обединяването на взаимодействието между EU-CyCLONe и мрежата CSIRTs, определянето на повече от един НКО, отговорен за изпълнението на задачите, свързани със сигурността на МИС на съществени и важни субекти съгласно директивата, широкото сътрудничество с академични и изследователски институции, въвеждането на механизъм за партньорска проверка, позволяващ оценка от експерти, определени от държавите членки, на прилагането на политиките за киберсигурност, включително нивото на способностите на държавите членки и наличните ресурси и други, са все мерки, които изискват наличие на заявен политически модел на взаимодействие, на една развита и работеща в пълен обем национална киберсистема; • осигуряване на непрекъснатост на бизнеса при засягането му от киберинциденти и бързото докладване след анализа им; • промяна на сроковете за докладване на инцидент и последващ доклад; • промяна във вида и размера на административно-наказателните разпоредби. Необходимо e транспониране на Директива (ЕС) 2022/2555 (Директива МИС2) поради непълно съответствие на действащата нормативна уредба и действащите разпоредби в тази област на политиката. За да се преодолее недостатъчната законова уредба от гледна точка на разгръщане на секторите, създаване на нови регулаторни функции, както и правила за управление на риска, свързан с ИКТ, в т.ч. за да се осигурят мерки по прилагането на Директива (ЕС) 2022/2555 и да се въведат предвидените изменения в националното законодателство, е необходимо в срок до 17 октомври 2024 г., да се измени действащият Закон за киберсигурност. Законопроектът, в съответствие с Директивата МИС2, осигурява възможност за постигането на общата цел да се повиши нивото на защита срещу инциденти, рискове и заплахи за мрежовата и информационна сигурност в ЕС. Това би довело до смекчаване на потенциалните загуби на приходи поради кибератаки и би намалило големите разходи за смекчаване на заплахите ad hoc. Подобни ползи вероятно ще надделеят над необходимите инвестиционни разходи. Намаляването на фрагментирането на вътрешния пазар би подобрило и условията на равнопоставеност сред операторите. Общата цел е да се обезпечи правната интеграция на българската киберсигурност с европейската, в т.ч. посредством въвеждането на подобрените европейски изисквания във връзка с оценката на риска например. Конкретната цел е да се запълнят констатираните празноти и отстранят несъответствията в действащото българско законодателство чрез въвеждането на правила за капацитета за оценка на риска, докладването на инциденти, тестването, повишаването на осведомеността и осъзнатостта на факта, че киберинцидентите и липсата на адекватен отговор могат да застрашат стабилността както на публичните, така и на частните субекти. Оперативната цел на предложените промени в националното законодателство е в него да се въведат мерки за прилагането на Директива (ЕС) 2022/2555. Една от основните цели на Директива (ЕС) 2022/2555 е именно осигуряването на високи гаранции и възможности за по-добра устойчивост на киберпространството и по- ефективни мерки за противодействие на кибератаките, особено по отношение на основните икономически субекти и държавните органи. В този смисъл новите регулации целят гарантиране на справедливо третиране на субектите, повишаване на тяхната 3 информираност и осигуряване на надежден и ефективен надзор за спазване на правата и законните им интереси. Това може да се осъществи чрез възлагане на допълнителни правомощия в полза на компетентните в областта органи и усъвършенстването на съществуващата нормативна уредба, което ще подсигури постигането на следните конкретни цели: • регламентиране на процедури за сътрудничество и обмен на информация между компетентните органи и НЕРИКС, ЕРИКС; • промяна в сроковете за докладване на инциденти; • да се въведат условия за управление и противодействие на рисковете, касаещи съществените и важни субекти, както и отговарящите на зададените критерии, попадащи в определените сектори в Приложение 1 и 2; • на компетентните органи се предоставят широки пълномощия по управление и надзор политиките по киберсигурност по отношение на определените субекти – съществени и важни. Компетентните органи следва да бъдат оправомощени да прилагат санкции, състоящи се в спиране на сертифициране или разрешение относно част или всички услуги пропорционално на тежестта на нарушението, само като ultima ratio, което означава само след изчерпване на другите съответни действия по прилагане, за времето, докато субектите, спрямо които се прилагат, предприемат необходимите действия за отстраняване на недостатъците; • да се установи рамка за координирано оповестяване на уязвимости и изискване държавите членки да определят ЕРИКС, като координатор за целите на координираното оповестяване на уязвимости и да улесняват взаимодействието между докладващите субекти и производителите или доставчиците на ИКТ продукти и услуги; • да се въведе национална рамка за управление на кризи в областта на киберсигурността, по-специално чрез определяне на национални компетентни органи, отговарящи за управлението на мащабни инциденти и кризи в тази област; • да се развие международното сътрудничество като се участва активно в създадената Европейска мрежа за връзка на организациите при кибер кризи (EU – CyCLONe) с цел подпомагане на координираното управление на мащабни инциденти и кризи, свързани с киберсигурността, и осигуряване на редовния обмен на информация сред държавите членки и институциите на ЕС; • управление на риска, свързан с киберсигурността; • от компетентните органи се изисква да упражняват надзор върху субектите, попадащи в обхвата на директивата, и по-специално да гарантират спазването от тяхна страна на изискванията за сигурност и уведомяване за инциденти. Разграничава се между режим на предхождащ надзор (ex-ante) за съществените субекти и режим на последващ надзор (ex-post) за значимите субекти, като във втория случай от компетентните органи се изисква да предприемат действия, когато са получили доказателства или индикации, че значим субект не спазва изискванията за сигурност и уведомяване за инциденти. Със промяната на закона се разширяват секторите на въздействие, а именно: 1. Енергетика 2. Транспорт 3. Банков сектор 4. Инфраструктури на финансовия пазар 5. Здравеопазване 6. Питейна вода 7. Отпадъчни води 8. Цифрова инфраструктура 9. Управление на услуги в областта на ИКТ (между предприятия) 10. Публична администрация 4 11. Космическо пространство Други критични сектори: 12. Пощенски и куриерски услуги 13. Управление на отпадъците 14. Производство, изготвяне и дистрибуция на химикали 15. Производство, преработка и разпространение на храни 16. Производство 17. Доставчици на цифрови услуги 18. Научни изследвания Като резултат от приемането на предлаганите изменения се очаква: • създаване на условия за изграждане на ефективна система за превенция и борба с кибератаките; • ограничаване на мащаба, честотата и въздействието на инцидентите; • противодействие на инцидентите, които причиняват значителни финансови загуби, подкопават доверието на потребителите и причиняват сериозни вреди на икономиката на държавата; • ограничаване на транснационалния характер на инцидентите; • установяване на условия за равнопоставеност по отношение на контрола на съществените и важни субекти, и административните органи; • улесняване на достъпа до надлежна информация, касаеща услуга, която е от съществено значение за поддържането на особено важни обществени и/или стопански дейности; • повишаване на сигурността чрез създаване и поддръжка на непубличен регистър на определените субекти в кръга на законопроекта, както и на самите съществени услуги; • въвеждане на ясна йерархична структура в управлението и организацията на националната система за киберсигурност; • подобряване на надеждността, устойчивостта и ефективността на мрежите и информационните системи на всички субекти в обхвата на закона. С транспонирането на Директивата МИС 2 и реализиране на поставените цели ще се опрости и ускори процесът по взаимодействието и разрешаването на трансгранични и национални инциденти в ЕС, като това ще става бързо и без никакви допълнителни формалности, което ще допринесе за своевременното преодоляване на атаките и намаляване на негативните последици от тях. С уеднаквяването на процедурата и процесите по взаимодействие на местно и европейско ниво ще се намали документацията, ще се ускори времето за взаимодействие, ще се въведе единен стандартен формуляр за докладване на инциденти, с който органите да изискват помощ при нужда, което, от своя страна, ще доведе до намаляване на административната тежест. Приемането на законопроекта ще има за резултат хармонизирането и привеждането в съответствие на националното с европейското законодателство. Съгласно чл. 26, ал. 2-4 от Закона за нормативните актове проектът на Решение на Министерския съвет за одобряване на проект на Закон за изменение и допълнение на Закона за киберсигурност е публикуван на интернет страницата на Министерството на електронното управление и на Портала за обществени консултации на Министерския съвет за срок от 30 дни. Проектът на Решение е съгласуван в съответствие с разпоредбите на чл. 32 от Устройствения правилник на Министерския съвет и на неговата администрация. Направените бележки и предложения са отразени, съгласно приложената справка. 5 Предложеният проект на Решение не води до въздействие върху държавния бюджет, поради което към него е приложена финансова обосновка, съгласно приложение № 2.2 към чл. 35, ал. 1, т. 4, буква „б“ от Устройствения правилник на Министерския съвет и на неговата администрация. Проектът съдържа разпоредби, свързани с въвеждане на изисквания на европейското право, поради което е приложена справка за съответствие. УВАЖАЕМИ ГОСПОДИН МИНИСТЪР-ПРЕДСЕДАТЕЛ, УВАЖАЕМИ ГОСПОЖИ И ГОСПОДА МИНИСТРИ, Предвид гореизложеното и на основание чл. 8, ал. 4, т. 1 от Устройствения правилник на Министерския съвет и на неговата администрация, предлагам Министерският съвет да разгледа и приеме предложения проект на Решение на Министерския съвет за одобряване на проект на Закон за изменение и допълнение на Закона за киберсигурност. ВАЛЕНТИН МУНДРОВ Министър на електронното управление 6

ПРОЕКТ! ЗАКОН ЗА ИЗМЕНЕНИЕ И ДОПЪЛНЕНИЕ НА ЗАКОНА ЗА КИБЕРСИГУРНОСТ (обн., ДВ., бр. 94 от 2018 г., изм. и доп., бр. 69 и 85 от 2020 г. и бр. 15 и 25 от 2022 г.) § 1. В чл. 1, ал. 1 се правят следните изменения: 1. В т. 1 думите „включително дейности и проекти по киберотбрана и по противодействие“ се заменят с „координация и сътрудничество в областта на киберотбраната и противодействието“. 2. В т. 2 думите „мрежова и информационна сигурност“ се заменят с „киберсигурност в Република България“. § 2. В чл. 2 ал. 1 се изменя така: „(1) Киберсигурност означава дейностите, необходими за защита от киберзаплахи на мрежите и информационните системи, на ползвателите на такива мрежи и системи и други лица, засегнати от киберзаплахи.“ § 3. В чл. 3 се правят следните изменения и допълнения: 1. Заглавието се изменя така: „Мерки за високо общо ниво на киберсигурност“ 2. В ал. 1 думите „мрежова и информационна сигурност“ се заменят с „високо общо ниво на киберсигурност“ и думите „чл. 4, ал. 1“ се заменят с „чл. 4 и чл. 4а“. 3. В ал. 2 думите „мрежова и информационна сигурност, както и други препоръчителни мерки“ се заменят с „постигане на високо общо ниво на киберсигурност за субектите по чл. 4 и чл. 4а с изключение на посочените в чл. 4, ал. 1, т. 3, буква „а“. 4. Алинея 3 и ал. 4 се изменят така: „(3) Наредбата по ал. 2 не се прилага за ведомствата и функциите им по чл. 5, т. 2. (4) Субектите по чл. 4 и чл. 4а поддържат система за управление на сигурността на информацията, която включва следните организационни мерки: 1. разпределение на отговорностите за киберсигурност; 2. прилагане на политика за киберсигурност; 3. правила и задължения относно обмена на информация за киберсигурността; 4. задължителна оценка на риска; 5. управление на: а) мерки за управление на риска в областта на киберсигурността и задължения за докладване за субекти от вида, посочен в приложение I или II, както и за субекти, установени като критични съгласно Директива (ЕС) 2022/2557 на Европейския парламент и на Съвета от 14 декември 2022 г. за устойчивостта на критичните субекти и за отмяна на Директива 2008/114/ЕО на Съвета (ОВ, L 333 от 27 декември 2022 г.), наричана по-нататък „Директива (ЕС) 2022/2557“; б) информационните активи, включително човешките ресурси; в) инцидентите; г) достъпите (физически и логически); д) измененията; е) непрекъснатостта на дейността и/или услугите (съществени, цифрови); ж) взаимодействията с трети страни.“ § 4. Член 4 се изменя така: „Обхват Чл. 4. С този закон се определят изискванията към: 1. административните органи; 2. публични и частни субекти от видовете, посочени в приложение I или II, които отговарят на критериите за средни предприятия съгласно чл. 3, ал. 1 от Закона за малките и средни предприятия, или надхвърлят таваните за средни предприятия от посочения член и които предоставят своите услуги или извършват дейности в рамките на Европейския съюз. При установяване размера на предприятието не се прилага чл. 4, ал. 9 от Закона за малките и средни предприятия; 3. субекти от видовете, посочени в приложение I или II независимо от техния размер, когато: а) услугите се предоставят от доставчици на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги; б) услугите се предоставят от доставчици на удостоверителни услуги; в) услугите се предоставят от регистри на имена на домейни от първо ниво и доставчици на системни услуги за имена на домейни; г) субектът е единствен доставчик на услуга, която е от съществено значение за поддържането на критични обществени и икономически дейности; д) смущение (за определено време) в предоставяната от субекта услуга би могло да окаже значително въздействие върху обществената безопасност, обществената сигурност или общественото здраве; е) смущение в предоставяната от субекта услуга би могло да предизвика значителен системен риск, по-специално за секторите, в които такова смущение би могло да има трансгранично въздействие; ж) субектът е критичен поради своята специфична значимост на национално или регионално равнище за конкретния сектор или вид услуга или за други взаимозависими сектори в Република България; 4. субекти, установени като критични субекти съгласно Директива (ЕС) 2022/2557; 5. субекти, предоставящи услуги за регистрация на имена на домейни; 6. образователни институции, когато извършват научноизследователски дейности от критично значение; 7. лицата, осъществяващи публични функции, които не са определени като съществени или важни субекти на друго основание, когато предоставят административни услуги по електронен път; 8. организациите, предоставящи обществени услуги, които не са съществени или важни субекти на друго основание, когато предоставят административни услуги по електронен път.“ § 5. Създава се чл. 4а: „Съществени и важни субекти Чл. 4а. (1) За целите на закона следните субекти се считат за съществени субекти: 2 1. субекти от видовете, посочени в приложение I, които надхвърлят таваните за средни предприятия, установени в чл. 3, ал. 1 от Закона за малките и средните предприятия; 2. доставчици на квалифицирани удостоверителни услуги и регистри на имена на домейни от първо ниво, както и доставчици на DNS услуги, независимо от техния размер; 3. доставчици на обществени електронни съобщителни мрежи или на обществено достъпни електронни съобщителни услуги, които отговарят на критериите за средни предприятия по смисъла на чл. 3, ал. 1 от Закона за малките и средните предприятия; 4. субектите по чл. 4, ал. 1, т. 1; 5. всички други субекти от видовете, посочени в приложение I или II, които са установени като съществени субекти съгласно чл. 4, ал. 1, т. 3, букви „г“ – „ж“; 6. субектите, посочени в чл. 4, ал. 1, т. 4; 7. определените като оператори на съществени услуги към датата на влизане в сила на настоящия закон. (2) За целите на закона субектите от видовете, посочени в приложение I или II, които не отговарят на критериите за съществени субекти съгласно ал. 1, се считат за важни субекти. В това число се включват субекти, установени като важни субекти съгласно чл. 4, ал. 1, т. 3, букви „г“ – „ж“.“ § 6. В чл. 5 се правят следните изменения: 1. В т. 2 думите „Служба „Военно разузнаване“ и запетаята след тях се заличават. 2. Точка 3 се изменя така: „3. по отношение на информационните системи, дефинирани като критични в стратегически обекти или субектите, осъществяващи стратегически дейности, определени от ръководителите на стратегическите обекти и възлагащите стратегически дейности, които са от значение за националната сигурност, по смисъла на Наредбата за условията и реда за определяне на мерките за защита на информационните и комуникационните системи на стратегическите обекти от значение за националната сигурност и за осъществяването на контрол.“ 3. Точки 4 и 5 се заличават. § 7. Член 6 се изменя така: „Регистър Чл. 6. (1) Министърът на електронното управление създава, води и поддържа регистър на субектите по чл. 4 и чл. 4а, който съдържа следната информация: 1. наименованието на субекта; 2. адрес и актуални данни за контакт, включително адреси на електронната поща и телефонни номера; 3. IP обхвати; 4. когато е приложимо, съответния сектор, подсектор и вид субект, както е посочено в приложение I или II; 5. когато е приложимо, списък на държавите членки, в които те предоставят услуги, попадащи в обхвата на този закон; 6. когато е приложимо, данни за контакт на представителя, определен съгласно чл. 27а, ал. 2. (2) Доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, субектите, предоставящи услуги за регистриране на имена на домейни, доставчиците на компютърни услуги в облак, доставчиците на услуги на центрове за данни, доставчиците на 3 мрежи за предоставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, както и доставчиците на онлайн места за търговия, на онлайн търсачки и на платформи на услуги за социални мрежи предоставят на Националните компетентни органи по чл. 16, информация за адреса на основното място на установяване и на останалите законови места на установяване на територията на Европейския съюз или, при липсата на място на установяване в Съюза, на неговия представител, определен съгласно чл. 27а, ал. 2, до 2 месеца от възникването им. (3) Субектите, посочени в ал. 1 и ал. 2, уведомяват съответния национален компетентен орган по чл. 16 за всяка настъпила промяна в данните, предоставени съгласно ал. 1 и ал. 2, в срок до две седмици от датата на промяната. Националните компетентни органи препращат получената информация на министъра на електронното управление и Националното единно звено за контакт в срок до една седмица от постъпването ѝ. (4) Редът за водене, съхраняване и достъп до регистъра се определя с наредбата по чл. 3, ал. 2. (5) Регистърът по ал. 1 не е публичен.“ § 8. Създава се чл. 6а: „Специални закони за сектора Чл. 6а. (1) Когато в специален закон съществува изискване съществените или важните субекти да приемат мерки за управление на риска в областта на киберсигурността или да уведомяват за значителни инциденти, и когато тези изисквания имат най-малко равностоен ефект на предвидените в закона задължения, съответните разпоредби на закона, включително разпоредбите относно надзора и правоприлагането, не се прилагат за такива субекти. Когато в специален закон не са обхванати всички субекти в конкретен сектор, попадащ в обхвата на настоящия закон, съответните му разпоредби продължават да се прилагат по отношение на субектите, които не са обхванати от тези специални закони. (2) Изискванията, посочени в ал. 1, се считат за равностойни по ефект на задълженията, предвидени в този закон, когато: 1. мерките за управление на риска в областта на киберсигурността са най-малкото равностойни по сила на мерките, определени в чл. 22, или 2. в специален закон се предвижда незабавен, по целесъобразност автоматичен и пряк достъп до уведомленията за инциденти от ЕРИКС, компетентните органи или единните звена за контакт, съгласно настоящия закон и когато изискванията за уведомяване за значителни инциденти са най-малко равностойни на предвидените в чл. 24.“ § 9. В чл. 7, ал. 3 думите „а в случаите по чл. 8, ал. 3 – и Национална стратегия за мрежова и информационна сигурност“ и запетаята пред тях се заличават. § 10. Член 8 се изменя така: „Стратегии Чл. 8. (1) Националната стратегия за киберсигурност е стратегическа рамка на политиката за киберсигурност, която предвижда стратегическите цели, необходимите ресурси за постигане на тези цели и подходящи мерки на политиката, както и подходящи регулаторни мерки за постигане и поддържане на високо ниво на киберсигурност. Националната стратегия за киберсигурност включва: 1. целите и приоритетите, като се обхващат по-специално секторите, посочени в приложения I и II; 4 2. рамка за управление за постигане на целите и приоритетите, посочени в т. 1, включително посочените в ал. 2 политики; 3. рамка за управление, в която се изясняват ролите и отговорностите на съответните заинтересовани страни на национално равнище и която е в основата на сътрудничеството и координацията на национално равнище между компетентните органи, единните звена за контакт и ЕРИКС съгласно закона, както и координацията и сътрудничеството между тези органи и компетентните органи съгласно специфичните европейски правни актове; 4. механизъм за установяване на относимите активи и оценка на риска на ниво държава; 5. мерките, гарантиращи подготвеността, реагирането и възстановяването при инциденти, включително сътрудничеството между публичния и частния сектор; 6. списък с различните органи и заинтересовани страни, които участват в прилагането на националната стратегия за киберсигурност; 7. рамка на политика за засилена координация между компетентните органи съгласно закона и компетентните органи съгласно Директива (ЕС) 2022/2557, за целите на обмена на информация за рискове, киберзаплахи и инциденти, както и за несвързани с киберпространството рискове, заплахи и инциденти, и упражняването на надзорни задачи, по целесъобразност; 8. план, включващ необходимите мерки за укрепване на общото равнище на осведоменост на гражданите относно киберсигурността. (2) Като част от националната стратегия за киберсигурност министърът на електронното управление провежда политиките: 1. за киберсигурността по веригата за доставки на ИКТ продукти и услуги, използвана от субектите за предоставянето на техните услуги; 2. относно включването и посочването на изискванията, свързани с киберсигурността за ИКТ продуктите и ИКТ услугите при възлагането на обществени поръчки, включително във връзка със сертифициране в областта на киберсигурността, криптиране и използване на продукти за киберсигурност с отворен код; 3. управление на уязвимостите, включващо насърчаването и улесняването на координираното оповестяване на уязвимости съгласно „Европейската база данни за уязвимости на ENISA“; 4. свързани с поддържането на общата наличност, цялостност и поверителност на общественото ядро на отворения интернет, включително, когато е целесъобразно, киберсигурността на подводните комуникационни кабели; 5. свързани с насърчаване на разработването и внедряването на съответните авангардни технологии, насочени към прилагане на най-съвременни мерки за управление на риска в областта на киберсигурността; 6. свързани с насърчаване и развитие на образованието и обучението в областта на киберсигурността, уменията, повишаването на осведомеността и инициативите за научноизследователска и развойна дейност в областта на киберсигурността, както и насоки за добри практики и механизми за контрол в областта на киберхигиената, насочени към гражданите, заинтересованите страни и субектите; 7. подпомагане на академичните и научноизследователските институции за разработване, подобряване и насърчаване на внедряването на инструменти за киберсигурност и сигурна мрежова инфраструктура; 5 8. включване на съответни процедури и подходящи инструменти за обмен на информация, подпомагащи доброволния обмен на информация за киберсигурността между субектите; 9. укрепване на киберустойчивостта и основните параметри за киберхигиена на малките и средните предприятия, по-специално на тези, които са изключени от обхвата на този закон, чрез предоставяне на леснодостъпни насоки и помощ за техните специфични нужди; 10. насърчаване на активна киберзащита. (3) Националната стратегия за киберсигурност се актуализира на всеки пет години въз основа на ключови показатели за ефективност.“ § 11. В чл. 9, ал. 3 се създават т. 8б и 8в: „8б. министърът на регионалното развитие и благоустройството; 8в. министърът на земеделието;“. § 12. В чл. 10 се правят следните изменения: 1. В т. 5 след думата „предложения“ се добавя „към Министерския съвет“. 2. В т. 6 думите „Национален план за управление на киберкризи“ се заменят с „Национален план за реакция при мащабни киберинциденти и кризи, в съответствие с Препоръка (ЕС) 2017/1584 на Европейската комисия от 13 септември 2017 г. относно координирана реакция на мащабни киберинциденти и кризи“. § 13. В чл. 11, ал. 2 се правят следните изменения: 1. В т. 2 думите „координационно-организационна“ се заменят с „координационна“. 2. В т. 3 думите „при създаването и“ се заменят с „в“. § 14. В чл. 12 се правят следните изменения и допълнения: 1. В т. 2 думите „мрежова и информационна сигурност в случаите по чл. 8, ал. 3“ се заменят с „киберсигурност“. 2. Точка 6 се изменя така: „6. осъществява проверки чрез оправомощени от него лица на информационната сигурност по смисъла на този закон и на предприетите от административния орган мерки, според правомощията, описани в глава втора „в“ и глава трета, и дава задължителни предписания за тяхното подобряване. В обхвата на проверките не попадат информационни системи на ведомствата по чл. 5;“. 3. В т. 7 думите „оценка за съответствие с мерките за мрежова и информационна сигурност“ се заменят с „проверки по киберсигурност“ и накрая се добавя „и ал. 2а“. 4. В т. 8 думите „мрежовата и информационната сигурност“ се заменят с „киберсигурността“. 5. Създава се т. 9: „9. осъществява проверки на предоставените годишни одити от националните компетентни органи, с цел анализ и съответствие с изискванията по този закон.“ § 15. В чл. 14, ал. 5 думите „по чл. 4, ал. 1“ се заменят с „по чл. 4а“. § 16. В чл. 15 се правят следните изменения и допълнения: 6 1. В ал. 2 в началото се добавя „В“, а думите „администрира и ползва“ се заменят с „се изгражда и развива“. 2. В ал. 3 се създава т. 5: „5. при настъпване на инцидент с критични системи на стратегическите обекти и дейностите от значение за националната сигурност, ръководителите на субектите незабавно уведомяват центъра по реда на чл. 24.“ 3. Алинея 5 се отменя. 4. Алинея 7 се изменя така: „(7) Ръководителите на стратегически обекти и възлагащите и извършващите стратегически дейности от значение за националната сигурност, предприемат действия по осигуряване на автоматизиран обмен на данни между информационните системи за сигурност на ръководените от тях обекти и дейности и центъра по ал. 2.“ § 17. В чл. 16 се правят следните изменения и допълнения: 1. В ал. 1 думите „мрежова и информационна сигурност“ се заменят с „киберсигурност“, а думите „приложения № 1 и 2“ се заменят с „Приложения I и II“. 2. В ал. 2 думите „по чл. 4, ал. 1, т. 3 и 4“ се заменят с „по чл. 4, ал. 1, т. 7 и 8“. 3. В ал. 3: а) в т. 1 думите „мрежовата и информационната сигурност“ се заменят с „киберсигурността“, а думите „операторите на съществени услуги и доставчиците на цифрови услуги“ се заменят с „и на всички други субекти“; б) в т. 2 думите „по чл. 4, ал. 1“ се заменят с „по чл. 4 и чл. 4а“; в) в т. 3 думите „операторите на съществени услуги и доставчиците на цифрови услуги“ се заменят със „съществените и важните субекти по този закон“, а думите „мрежовата и информационната сигурност“ се заменят с „киберсигурността“; г) в т. 4 думите „съвместно с Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA)“ се заличават, а думите „мрежовата и информационната сигурност“ се заменят с „киберсигурността“; д) в т. 5 думите „със съдействието на Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA)“ се заличават; е) създават се т. 6 и 7: „6. изготвят ежегодна оценка на риска и икономическия и социален ефект за прилежащия им сектор, която докладват на Националното единно звено за контакт; 7. уведомяват Комисията за идентификационните данни на СЕРИКС по чл. 18, ал. 1; 8. определят съществените и важните субекти съгласно чл. 4а в съответствие с методика, приета от Министерския съвет, и уведомяват министъра на електронното управление за това. Методиката се приема по предложение на министъра на електронното управление.“ 4. Алинея 5 се изменя така: „(5) Националните компетентни органи гарантират, че техните СЕРИКС си сътрудничат ефективно, ефикасно и сигурно чрез НЕРИКС.“ 5. Алинеи 6, 7, 8 и 9 се отменят. 6. В ал. 10 думите „имат право да“ се заличават. 7. В ал. 12 думата „органите“ се заменя с „Комисията“. 8. Алинея 13 се изменя така: „(13) Националните компетентни органи: 7 1. участват в състава на надзорния форум, по смисъла на чл. 32, параграф 4, б. „д“ от Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 година относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО) № 1060/2009, (ЕС) № 648/2012, (ЕС) № 600/2014, (ЕС) № 909/2014 и (ЕС) 2016/1011 (ОВ, L 333 от 27 декември 2022 г.), наричан по-нататък „Регламент (ЕС) 2022/2554“; 2. оказват съдействие на компетентните органи по чл. 46 от Регламент (ЕС) 2022/2554 и предоставят относими технически становища по тяхно искане; 3. сключват споразумения за сътрудничество с компетентните органи по чл. 46 от Регламент (ЕС) 2022/2554, чрез които се създават механизми за координация, включително за координиране на надзорните дейности по отношение на съществените или важните субекти, по смисъла на този закон, които са определени като трети страни, критични доставчици на услуги в областта на ИКТ, съгласно чл. 31 от същия регламент; 4. провеждат, в съответствие с националното право, проверки на място на трети страни, критични доставчици на услуги в областта на ИКТ, съгласно чл. 31 от Регламент (ЕС) 2022/2554, съвместно с компетентните органи по чл. 46 от същия регламент; 5. обменят информация с компетентните органи по чл. 46 от Регламент (ЕС) 2022/2554.“ § 18. В чл. 17 се правят следните изменения и допълнения: 1. В ал. 1 думите „се създава“ се заменят с „е създадено“. 2. В ал. 2 думите „мрежовата и информационната сигурност“ се заменят с „киберсигурността“. 3. Алинея 3 се изменя така: „(3) Националното единно звено за контакт организира и координира дейността по предоставяне на информацията по чл. 6, ал. 3 на всеки две години.“ 4. В ал. 4, т. 2 думите „мрежова и информационна сигурност“ се заменят с „киберсигурност“. 5. Създават се ал. 5а и 5б: „(5а) Националното единно звено за контакт препраща информацията посочена в чл. 6, ал. 3, с изключение на информацията по чл. 6, ал. 1, т. 3, на Агенцията на Европейския съюз за киберсигурност (ENISA). (5б) При получаване на информация за трансграничен инцидент от НЕЗК на друга държава членка НЕЗК уведомява съответните НКО/СЕРИКС и координира дейностите по разрешаване на инцидента на национално ниво, както и докладва резултатите на уведомяващия НЕЗК.“ 6. В ал. 6 след думите „по ал. 5“ се добавя „и ал. 5а“, а думите „оператора на съществените услуги или на доставчика на цифрови услуги“ се заменят със „съществените и важни субекти“. 7. В ал. 7 думите „по чл. 21, ал. 3, чл. 22, ал. 2, чл. 23, ал. 2 и чл. 25, ал. 3“ се заменят с „от съществените и важните субекти за инцидентите, които имат съществено въздействие върху непрекъснатостта на предоставяните от тях услуги“. 8. Създават се нови ал. 9 и ал. 10: „(9) Националното единно звено за контакт изготвя годишен обобщен доклад за оценка на риска, базиран на получените анализи от секторните компетентни органи по смисъла на чл. 16, ал. 3, т. 5. 8 (10) Националното единно звено за контакт при целесъобразност обменя информация с компетентните органи по чл. 46 от Регламент (ЕС) 2022/2554.“ 9. Досегашната ал. 9 става ал. 11. § 19. Създава се чл. 17а: „Национални рамки за управление на кризи в областта на киберсигурността Чл. 17а. (1) Kомпетентният орган, отговарящ за управлението на мащабните киберинциденти и кризи, е Съветът по киберсигурността. (2) Съветът по ал. 1 приема национален план за реакция при мащабни киберинциденти и кризи, в който се определят целите, условията и редът за управлението на мащабни киберинциденти и кризи. По-конкретно в плана се установяват: 1. целите на националните мерки и дейности за подготвеност; 2. задачи и отговорности на органите за управление на киберкризи; 3. процедурите за управление на киберкризи, включително тяхното интегриране в общата рамка за управление на кризи на национално равнище и канали за обмен на информация; 4. националните мерки за подготвеност, включително дейности по учения и обучения; 5. съответните заинтересовани страни от публичния и частния сектор и съответната инфраструктура; 6. национални процедури и договорености между съответните национални органи и служби за осигуряване на ефективно участие и подкрепа за координираното управление на мащабни киберинциденти и кризи на равнището на ЕС.“ § 20. В чл. 18 се правят следните изменения и допълнения: 1. В ал. 1 думите „включително Министерството на електронното управление“ се заличават, след думите „компютърната сигурност“ се добавя „(СЕРИКС)“ и думите „мрежова и информационна сигурност“ се заменят с „киберсигурност“. 2. Създава се нова ал. 2: „(2) Секторните екипи за реагиране при инциденти с компютърната сигурност: 1. си сътрудничат и, когато е подходящо, обменят относима информация в съответствие с чл. 27г със секторни и междусекторни общности на съществените и важните субекти; 2. участват в партньорски проверки, организирани в съответствие с чл. 20а; 3. могат да установяват отношения на сътрудничество с националните екипи за реагиране при инциденти с компютърната сигурност (НЕРИКС) на трети държави, сътрудничество с цел ефективен, ефикасен и сигурен обмен на информация с тези НЕРИКС на трети държави, като използват съответните протоколи за обмен на информация, включително протокола за обмен на информация с цветен код за поверителност (Traffic Light Protocol). Секторните екипи за реагиране при инциденти с компютърната сигурност могат да обменят съответна информация с НЕРИКС на трети държави, включително лични данни в съответствие с правото на Европейския съюз в областта на защитата на данните; 4. при целесъобразност, предоставят на компетентните органи определени или създадени в съответствие с Регламент (ЕС) 2022/2554, експертна помощ в областта на разрешаване на киберинцидентите.“ 3. Досегашната ал. 2 става ал. 3 и в нея: а) в т. 3 буква „б“ се изменя така: 9 „б) разполагат с достатъчно персонал, за да гарантират предоставянето по всяко време на техните услуги“; б) в т. 4 думите „мрежова и информационна сигурност“ се заменят с „киберсигурност“. 4. Досегашната ал. 3 става ал. 4 и се изменя така: „(4) Секторните екипи за реагиране при инциденти с компютърната сигурност разполагат с ресурси за ефективно изпълнение на задачите си, които включват най-малко следното: 1. наблюдение на инциденти на национално равнище; наблюдение и анализ на киберзаплахи, уязвимости и инциденти на национално равнище; 2. подаване на ранни предупреждения, сигнали за тревога, съобщения и разпространяване на информация за инциденти и рискове сред съответните субекти; 3. реакция при инциденти и оказване на методологическа помощ при разрешаване на инциденти – при поискване; 4. осигуряване на динамичен анализ на рисковете и инцидентите и информация за текущата ситуация; 5. извършване на проактивно неинвазивно сканиране на публично достъпни мрежови и информационни системи на съществени и важни субекти;“; 5. Досегашната ал. 4 става ал. 5. 6. Досегашната ал. 5 става ал. 6 и в нея думите „секторните екипи за реагиране при инциденти с компютърната сигурност“ се заменят със „СЕРИКС“. 7. Досегашната ал. 6 става ал. 7 и в нея думите „Националния екип“ се заменят с „НЕРИКС“. 8. Досегашната ал. 7 става ал. 8. 9. Досегашната ал. 8 става ал. 9 и в нея думите „веднъж на три месеца“ се заменят с „всеки месец“, а думите „Националния екип за реагиране при инциденти с компютърната сигурност“ се заменят с „НЕРИКС“. 10. Досегашните ал. 9 и 10 стават съответно ал. 10 и 11. § 21. В чл. 19 се правят следните изменения и допълнения: 1. Алинея 1 се изменя така: „(1) Национален екип за реагиране при инциденти с компютърната сигурност отговаря на изискванията на чл. 18, ал. 1-6.“ 2. В ал. 2, т. 8 думите „инциденти в мрежовата и информационната сигурност“ се заменят с „киберинциденти“. 3. Създават се ал. 4 и 5: „(4) Националният екип за реагиране при инциденти с компютърната сигурност осъществява функциите на координатор за целите на координираното оповестяване на уязвимости: 1. действа като доверен посредник, улесняващ при необходимост взаимодействието между физическото или юридическото лице, докладващо за уязвимост, и производителя или доставчика на ИКТ продукти или ИКТ услуги, които са потенциално уязвими, при поискване от която и да е от страните; 2. задачите на координатора включват: а) идентифициране и установяване на контакт със засегнатите субекти; б) подпомагане на физическите или юридическите лица, докладващи за уязвимост; и 10 в) договаряне на срокове за оповестяване и управление на уязвимостите, които засягат множество субекти. 3. Координираното оповестяване на уязвимости ще се извършва по утвърдена процедура“ § 22. В чл. 20 се правят следните изменения: 1. Алинея 2 се отменя. 2. В ал. 3 думите „споразумение за взаимодействие между заинтересованите ведомства“ се заменят със „споразумения за взаимодействие“. 3. В ал. 4 думите „може да създава междуведомствени оперативни групи“ се заменят със „създава междуведомствена оперативна група“ и след думата „частния“ се добавя „и академичния“. 4. Алинея 5 се изменя така: „(5) Сътрудничеството на международно ниво се осъществява чрез: 1. Групата за сътрудничество; 2. Мрежата на националните екипи за реагиране при инциденти с компютърната сигурност; 3. Европейската мрежа за връзка на организациите при киберкризи; 4. партньорски проверки; 5. по друг начин, предвиден в закон или международен договор, ратифициран по конституционен ред.“ § 23. В глава първа се създава чл. 20а: „Партньорски проверки Чл. 20а. (1) Министърът на електронното управление може да изпрати искане до Групата за сътрудничество и „Агенцията на Европейския съюз за киберсигурност (ENISA)“ за извършването на партньорска проверка по Методика на „Агенцията на Европейския съюз за киберсигурност (ENISA)“, която да обхваща един или повече от следните параметри: 1. степента на прилагане на мерките за управлението на риска в областта на киберсигурността и задълженията за докладване, предвидени в глава втора; 2. равнището на способностите, включително наличните финансови, технически и човешки ресурси, както и ефективността от изпълнението на задачите на компетентните органи; 3. оперативните способности на ЕРИКС; 4. степента на прилагане на взаимопомощта по чл. 27о, касаеща взаимопомощ и трансгранично сътрудничество; 5. степента на прилагане на договореностите за обмен на информация в областта на киберсигурността, посочени в глава втора „б“; 6. специфични въпроси от трансгранично или междусекторно естество. (2) Преди започването на партньорската проверка, проверяваният субект може да извърши самооценка на проверяваните аспекти и да предостави тази самооценка на експертите, определени да извършат партньорската проверка.“ § 24. Създава се нова глава втора с чл. 21-26: „Глава втора МЕРКИ ЗА УПРАВЛЕНИЕ НА РИСКА В ОБЛАСТТА НА КИБЕРСИГУРНОСТТА И ЗАДЪЛЖЕНИЯ ЗА ДОКЛАДВАНЕ 11 Управление Чл. 21. (1) Управителните органи на съществените и важните субекти одобряват мерките за управление на риска в областта на киберсигурността, предприети от тези субекти с цел спазване на чл. 22 и следят за прилагането им. (2) Членовете на управителните органи на съществените и важните субекти са длъжни на всеки две години да преминават през обучение за придобиване на достатъчно познания и умения, което да им позволи да идентифицират рискове и оценяват практиките за управление на риска в областта на киберсигурността и тяхното въздействие върху услугите, предоставяни от субекта. (3) Членовете на управителните органи на съществените и важните субекти са длъжни да предлагат и организират обученията по ал. 2, и за своите служители. Мерки за управление на риска в областта на киберсигурността Чл. 22. (1) Съществените и важните субекти предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежовите и информационните системи, в основната си дейност или при предоставяне на своите услуги. При спазване на принципа за технологична неутралност, съответните европейски и международни стандарти и технически спецификации, се гарантира ниво на сигурност на мрежовите и информационните системи, съответстващо на риска. При оценката на пропорционалността на тези мерки надлежно се вземат предвид степента на излагане на рискове на субекта, размерът на субекта и вероятността от възникване на инциденти, както и тяхната значимост, включително тяхното обществено и икономическо въздействие. (2) Мерките по ал. 1 се основават на подход, обхващащ всички опасности, които имат за цел да защитят мрежовите и информационните системи и физическата среда на тези системи от инциденти, и включват следното: 1. политики за анализ на риска и сигурност на информационните системи; 2. действия при инцидент; 3. непрекъснатост на стопанската дейност, например управление на съхраняването на резервни копия на данните и възстановяване след бедствия, и управление на кризи; 4. сигурност на веригата за доставка, включително свързани със сигурността аспекти относно взаимовръзките между всеки субект и неговите преки снабдители или доставчици на услуги; 5. сигурност при придобиването на мрежови и информационни системи, разработване и поддръжка, включително предприемане на действия при уязвимости и оповестяването им; 6. политики и процедури за оценяване на ефективността на мерките за управление на риска в областта на киберсигурността; 7. основни киберхигиенни практики и обучение в областта на киберсигурността; 8. политики и процедури относно използването на криптография и, когато е целесъобразно, криптиране; 9. сигурност на човешките ресурси, политики за контрол на достъпа и управление на активи; 10. използването на многофакторни решения за удостоверяване на автентичността или непрекъснато удостоверяване на автентичността, защитени гласови, видео и текстови съобщения и защитени системи за спешна комуникация в рамките на субекта, когато е целесъобразно. 12 (3) При разглеждане въпросите кои мерки по ал. 2, т. 4 са подходящи, от субектите се изисква да вземат предвид уязвимостите, специфични за всеки пряк снабдител или доставчик на услуги, както и цялостното качество на продуктите и практиките в областта на киберсигурността на своите снабдители и доставчици на услуги, включително техните процедури за сигурно разработване. При определяне кои мерки от посочените в ал. 2, т. 4 са подходящи, от субектите се изисква да вземат предвид резултатите от координираните оценки на риска за сигурността на критичните вериги на доставка, извършени в съответствие с чл. 23. (4) При установен пропуск в спазването на мерките, предвидени в ал. 2, субектите предприемат всички необходими, подходящи и пропорционални коригиращи мерки за отстраняването му. Координирана оценка на риска за сигурността на критични вериги за доставка Чл. 23. (1) Съветът по киберсигурността идентифицира и прави оценка на технологичните и нетехнологичните рискове, като изготвя съгласувано с компетентните органи мотивирано предложение до Министерски съвет да ограничи използването на конкретни технологии или на критични вериги за доставка на ИКТ услуги, ИКТ системи или ИКТ продуктови вериги за доставка, за субектите на този закон, доколкото с това не се засягат императивни разпоредби на правото на Европейския съюз или на действащото българско законодателство и не се влиза в противоречие с координираните оценки на риска на ниво Европейски съюз. Министерският съвет се произнася с административен акт, издаден по реда на Административнопроцесуалния кодекс в рамките на предоставените му с действащото законодателство правомощия. Задължения за докладване Чл. 24. (1) Съществените и важните субекти уведомяват СЕРИКС за всеки значителен инцидент по образец съгласно наредбите по чл. 3 по реда и условията на ал. 5. Актът на уведомяване сам по себе си не води до повишена отговорност за уведомяващия субект. (2) Засегнатите субекти уведомяват без ненужно забавяне получателите на техните услуги за значителни инциденти, които има вероятност неблагоприятно да засегнат предоставянето на тези услуги. При изключителни обстоятелства, когато уведомяването им може да изложи на риск разследването на значителния инцидент, на субектите се разрешава, след получаване на съгласие от страна на националния компетентен орган, да забавят уведомяването на получателите, докато националния компетентен орган счете, че е възможно да уведоми за нарушаването на сигурността на лични данни в съответствие с настоящия член. (3) В случай че СЕРИКС установи информация за наличие на трансграничен или междусекторен значителен инцидент, СЕРИКС изпраща незабавно информацията на националното единно звено за контакт. (4) Съществените и важните субекти съобщават на получателите на техните услуги, които са потенциално засегнати от значителна киберзаплаха, всички мерки или средства за защита, които тези получатели могат да предприемат. Когато е целесъобразно, субектите уведомяват получателите на техните услуги и за вида на значителна киберзаплаха. (5) За целите на уведомяването по ал. 1 засегнатите субекти подават до СЕРИКС: 1. в рамките на 24 часа след установяването на значителен инцидент – ранно предупреждение, в което, когато е приложимо, се посочва дали се предполага, че значителният инцидент се дължи на незаконосъобразни или злонамерени действия и дали би могъл да има трансгранично въздействие; 13 2. в рамките на 72 часа след установяването на значителния инцидент – уведомление за инцидент, в което, когато е приложимо, се актуализира информацията по т. 1, и се посочва първоначална оценка на значителния инцидент, включително неговата тежест и въздействие, както и, когато има такава, техническа информация за инцидента. За доставчиците на удостоверителни услуги срокът по предходното изречение е 24 часа; 3. по искане на СЕРИКС – междинен доклад, съдържащ актуализирана информация за инцидента; 4. окончателен доклад не по-късно от един месец след подаването на уведомлението за инцидента по т. 2, включващ следното: а) подробно описание на инцидента, включително неговите обхват и въздействие; б) вида на заплахата или причината, която вероятно е породила инцидента; в) приложените и текущите мерки за ограничаване на инцидента; г) когато е приложимо, трансграничното въздействие на инцидента; 5. в случай че до изтичане на срока по т. 4 субектът не се е справил с инцидента, субектът представя междинен доклад, съдържащ, до колкото е приложимо, информацията по т. 4 за справянето с инцидента. Субектите представят окончателен доклад в срок до един месец от справянето с инцидента. (6) След получаването на ранното предупреждение по ал. 5, т. 1, СЕРИКС връща отговор на уведомяващия субект и му предоставя първоначална информация за значителния инцидент и при поискване от субекта, предоставя насоки или оперативни съвети за прилагането на възможни мерки за ограничаване или допълнителна техническа подкрепа. Отговорът по предходното изречение се изпраща не по-късно от 24 часа, освен ако по обективни причини срокът не може да бъде спазен, в които случаи отговорът се изпраща във възможно най-кратък срок. (7) Когато има основания да се смята, че значителният инцидент представлява или е свързан с извършване на престъпление, СЕРИКС уведомява Главна дирекция „Борба с организираната престъпност“ на Министерството на вътрешните работи за значителния инцидент и им предоставя цялата налична при него информация. (8) Когато значителният инцидент засяга две или повече държави членки, НЕРИКС или Националното единно звено за контакт информира другите засегнати държави членки и „Агенцията на Европейския съюз за киберсигурност (ENISA)“ за значителния инцидент, като запазват сигурността и търговските интереси на субекта, както и поверителността на предоставената информация в съответствие с приложимото законодателство. Уведомлението включва информация, получена по реда на ал. 5. (9) С цел предотвратяване на значителен инцидент или справяне с текущ значителен инцидент или когато е в обществен интерес по друга причина, НЕРИКС, след като се консултира със засегнатия субект, може да оповести публично информация за значителния инцидент или да изиска от субекта да направи оповестяването. (10) По искане на НЕРИКС Националното единно звено за контакт предава уведомленията, получени съгласно ал. 1, на единните звена за контакт на други засегнати държави членки. (11) На всеки три месеца Националното единно звено за контакт представя на Агенцията на Европейския съюз за киберсигурност (ENISA) обобщаващ доклад, включващ анонимизирани и обобщени данни за значителните инциденти, инцидентите, киберзаплахите и ситуациите, близки до инциденти, за които е изпратено уведомление в съответствие с ал. 1 от настоящия член или доброволно уведомление по реда на чл. 27д 14 (12) Националният екип за реагиране при инциденти с компютърната сигурност предоставя на определените за компетентни органи съгласно Директива (ЕС) 2022/2557 информация относно значителните инциденти, инцидентите, киберзаплахите и ситуациите, близки до инциденти, за които е подадено уведомление в съответствие с ал. 1 или доброволно уведомление по реда на чл. 27д от субектите, установени като критични съгласно Директива (ЕС) 2022/2557. Сертифициране на киберсигурността Чл. 25. За да се докаже съответствие с конкретни изисквания по чл. 22, НКО може да изиска от съществените и важните субекти да използват конкретни ИКТ продукти, ИКТ услуги и ИКТ процедури, които са разработени от тях или са придобити от трети страни, сертифицирани в рамките на европейските схеми за киберсигурност, приети съгласно член 49 от Регламент (ЕС) 2019/881 на Европейския парламент и на Съвета от 17 април 2019 година относно ENISA (Агенцията на Европейския съюз за киберсигурност) и сертифицирането на киберсигурността на информационните и комуникационните технологии, както и за отмяна на Регламент (ЕС) № 526/2013 (Акт за киберсигурността) (ОВ, L 151 от 7 юни 2019 г.), наричан по-нататък „Регламент (ЕС) 2019/881“. Националният компетентен орган насърчава съществените и важните субекти да използват квалифицирани удостоверителни услуги. Стандартизация Чл. 26. Без да се налага употребата на определен тип технология или и с цел хармонизираното прилагане на чл. 22 се насърчава използването на европейски и международни стандарти и технически спецификации от значение за сигурността на мрежовите и информационните системи.“ § 25. Досегашната глава втора „Мрежова и информационна сигурност“ с чл. 21-27 се отменя. § 26. След чл. 27 се създава глава втора „а“ с чл. 27а – 27в: „Глава втора „а“ ЮРИСДИКЦИЯ И РЕГИСТРАЦИЯ Юрисдикция и териториалност Чл. 27а. (1) Субектите, попадащи в обхвата на настоящия закон, се считат за попадащи под юрисдикцията на държавата, в която са установени, освен в случай на: 1. доставчици на обществени електронни съобщителни мрежи или доставчици на обществено достъпни електронни съобщителни услуги, за които се счита, че попадат под юрисдикцията на държавата членка, в която предоставят своите услуги; 2. доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, субектите, предоставящи услуги за регистриране на имена на домейни, доставчиците на компютърни услуги в облак, доставчиците на услуги на центрове за данни, доставчиците на мрежи за предоставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, както и доставчиците на онлайн места за търговия, на онлайн търсачки или на платформи на услуги за социални мрежи, за които се счита, че попадат под юрисдикцията на държавата членка, в която се намира основното им място на установяване в Съюза съгласно ал. 2. (2) Ако субект по ал. 1, т. 2 не е установен в Съюза, но предлага услуги в него, той предоставя информация за своя представител в Съюза в срока по чл. 6, ал. 2. Представителят трябва да е установен в една от държавите членки, в които се предлагат услугите. При 15 липсата на представител в Съюза, определен съгласно настоящата алинея, субект, който предлага услуги на територията на Република България, се счита под юрисдикцията на Република България. Чл. 27б. (1) Определянето на представител от страна на субект по чл. 27а, ал. 1, т. 2 не засяга правните действия, които биха могли да се предприемат срещу самия субект. (2) Държавите членки, които са получили искане за взаимопомощ по отношение на субект, посочен в чл. 27а, ал. 1, т. 2 могат, в рамките на искането, да предприемат подходящи надзорни и правоприлагащи мерки по отношение на съответния субект, който предоставя услуги или който притежава мрежова и информационна система на тяхна територия. База данни с регистрационни данни на имена на домейни Чл. 27в. (1) Регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на такива имена на домейни, събират и поддържат точни и пълни данни за регистрацията на имената на домейни в поддържани от тях регистри при спазване на изискванията в областта на защитата на личните данни. (2) В регистрите по ал. 1 се съхранява следната информация необходима за установяване и осъществяване на връзка с притежателите на имена на домейни и точките за контакт, администриращи имената на домейните в домейни от първо ниво: 1. името на домейна; 2. датата на регистрация; 3. името, адреса на електронната поща и телефонния номер за контакт на регистранта; 4. адреса на електронната поща и телефонния номер за контакт на звеното за контакт, администриращо името на домейна, в случай че те са различни от тези на регистранта. (3) След всяка регистрация на име на домейн, субектите по ал. 1 публикуват незабавно данните за регистрацията, при спазване на изискванията в областта на защитата на личните данни. (4) Субектите по ал. 1 са длъжни да оказват съдействие на националните компетентни органи, СЕРИКС, НЕРИКС и органите на досъдебното производство, като предоставят, в срок до 72 часа, достъп до конкретни данни за регистрация по ал. 2, при наличие на обосновано и законосъобразно искане и в съответствие с приложимото право в областта на защитата на личните данни. (5) Субектите по ал. 1 създават и поддържат политики и процедури, включително процедури за проверка и разкриване на информация, които осигуряват спазването на изискванията на ал. 1, ал. 2 и ал. 4. Политиките и процедурите са публични. (6) Спазването на задълженията, предвидени в ал. 1 – 5, не следва да води до дублиране на събирането на данни за регистрация на имена на домейни. За тази цел изискването е регистрите на имена на домейни от първо ниво и субектите, предоставящи услуги за регистрация на имена на домейни, да си сътрудничат.“ § 27. След чл. 27в се създава глава втора „б“ с чл. 27г – 27д: „Глава втора „б“ ОБМЕН НА ИНФОРМАЦИЯ Споразумения за обмен на информация в областта на киберсигурността Чл. 27г. (1) Субектите, попадащи в обхвата на настоящия закон, както и други субекти, които не попадат в обхвата, могат да обменят на доброволна основа относима информация за киберсигурността, включително такава относно киберзаплахи, ситуации, близки до инциденти, уязвимости, техники и процедури, признаци за нарушена сигурност, 16 злонамерени тактики, специфична за източника на заплахата информация, предупреждения във връзка с киберсигурността и препоръки за конфигуриране на инструменти за киберсигурност за откриване на кибератаки, когато този обмен на информация: 1. има за цел предотвратяване, откриване, реагиране или възстановяване от инциденти или смекчаване на тяхното въздействие; 2. подобрява нивото на киберсигурност, по-специално посредством повишаване на осведомеността във връзка с киберзаплахи, ограничаване или възпрепятстване на способността за разпространение на такива заплахи, поддържане на набор от отбранителни способности, отстраняване и оповестяване на уязвимости, техники за откриване, ограничаване и предотвратяване на заплахи, стратегии за ограничаване или етапи за реакция или възстановяване или насърчаване на съвместни научни изследвания относно киберзаплахите между публични и частни субекти. (2) Обменът на информация се осъществява в рамките на общности на съществените и важните субекти, и когато е относимо, на техните снабдители или доставчици на услуги. Този обмен се осъществява чрез споразумения за обмен на информация в областта на киберсигурността с оглед на потенциално чувствителния характер на споделяната информация. (3) Националните компетентни органи улесняват създаването на споразумения за обмен на информация в областта на киберсигурността, посочени в ал. 2. Тези споразумения може да уточняват оперативните елементи, включително използването на специално предназначени ИКТ платформи и инструменти за автоматизиране, съдържанието и условията по споразуменията за обмен на информация. Когато определят подробностите за участието на административните органи в такива споразумения, Националните компетентни органи могат да налагат условия по отношение на информацията, предоставяна от компетентните органи или ЕРИКС. Националните компетентни органи оказват помощ при прилагането на такива споразумения в съответствие с политиките, посочени в чл. 8, ал. 2, т. 8. (4) Съществените и важните субекти уведомяват компетентните органи за своето участие в споразуменията за обмен на информация в областта на киберсигурността по ал. 2 при присъединяването в такива споразумения или при прекратяването им. Доброволно уведомяване за относима информация Чл. 27д. (1) Извън задължението за уведомяване, предвидено в чл. 23, се създава възможността за подаване на уведомления до СЕРИКС/НЕРИКС или, когато е приложимо, до компетентните органи на доброволна основа от: 1. съществени и важни субекти по отношение на инциденти, киберзаплахи и ситуации, близки до инциденти; 2. субекти, различни от посочените в т. 1, независимо дали попадат в обхвата на настоящия закон, по отношение на значителни инциденти, киберзаплахи и ситуации, близки до инциденти. (2) Уведомленията по ал. 1, се обработват в съответствие с процедурата, предвидена в чл. 23. Компетентните органи обработват задължителните уведомления с предимство пред доброволните уведомления. (3) При необходимост, ЕРИКС или компетентните органи предоставят на единните звена за контакт информацията относно уведомленията, получени съгласно настоящия член, като същевременно гарантират поверителността и подходящата защита на информацията, предоставена от уведомяващия субект. Без да се засягат предотвратяването, разследването, 17 разкриването и наказателното преследване на престъпления, доброволното докладване не води до налагането на никакви допълнителни задължения за уведомяващия субект. § 28. След чл. 27д се създава глава втора „в“ с чл. 27е – 27о: „Глава втора „в“ КОНТРОЛ Основни аспекти на контрола Чл. 27е. (1) Контролът за спазване на изискванията по този закон се осъществява от: 1. националните компетентни органи по чл. 16; 2. Министерство на отбраната; 3. Министерство на вътрешните работи; 4. Държавна агенция „Национална сигурност“. (2) За осъществяване на контрол по този закон органите по ал. 1 оправомощават със заповед служители от техните администрации. Чл. 27ж. (1) При осъществяване на своите правомощия, по отношение на съществените субекти, органите по чл. 27е имат право: 1. да извършват проверки - планови и извънпланови, на място или дистанционни, извършвани от компетентни оправомощени служители; 2. да извършват редовни и целеви одити на сигурността, извършвани от независим орган или компетентен орган; 3. да извършват извънпланови одити, когато са обосновани поради значителен инцидент или нарушение на настоящия закон от страна на съществения субект; 4. да извършват проверки за сигурност, основани на обективни, недискриминационни, справедливи и прозрачни критерии за оценка на риска, при необходимост със съдействието на съответния субект; 5. да изискват информация, необходима за оценка на мерките за управление на риска в областта на киберсигурноста, приети от съответния субект, включително документирани политики в областта на киберсигурност, както и изпълнение на задълженията за изпращане на информация на компетентните органи съгласно чл. 27в (Регистъра на ENISA); 6. да им бъде предоставен достъп до данни, документи и всякаква информация, необходими за осъществяването на техните надзорни задачи; 7. да изискват и да им бъдат предоставени доказателства за изпълнение на политиките в областта на киберсигурността, като например резултатите от одитите на сигурността, извършени от квалифициран одитор, и съответните подкрепящи доказателства. (2) При осъществяване на своите правомощия, по отношение на важните субекти, органите по чл. 27е имат право: 1. да извършват проверки на място и последващ дистанционен надзор, извършвани от компетентни оправомощени служители; 2. да извършват целеви одити на сигурността, извършвани от независим орган или компетентен орган; 3. да извършват проверки за сигурност, основани на обективни, недискриминационни, справедливи и прозрачни критерии за оценка на риска, при необходимост със съдействието на съответния субект; 4. да изискват информация, необходима за последваща оценка на мерките за управление на риска в областта на киберсигурността, приети от съответния субект, включително документирани политики за киберсигурност, както и съответствие със задълженията за изпращане на информация до компетентните органи съгласно чл. 27в; 18 5. да изискват достъп до данни, документи и информация, необходими за изпълнението на надзорните им задачи; 6. да изискват доказателства за изпълнението на политиките в областта на киберсигурността, като например резултатите от одитите на сигурността, извършени от квалифициран одитор, и съответните подкрепящи доказателства. (3) При упражняване на своите правомощия по ал. 1, т. 5, 6 и 7, съответно ал. 2, т. 4, 5 и 6, компетентните органи заявяват целта на своето искане и поясняват исканата информация. Чл. 27з. Целевите одити на сигурността, посочени в чл. 27ж, се основават на оценки на риска, извършени от компетентния орган или одитирания субект, или на друга налична информация, свързана с риска. (2) Резултатите от всеки целеви одит на сигурността се предоставят на компетентния орган по чл. 16, ал. 1. (3) Разходите за такъв целеви одит на сигурността, извършен от независим орган, се заплащат от одитирания субект, освен в надлежно обосновани случаи, когато компетентният орган реши друго. Чл. 27и. (1) При осъществяване на своите правомощия органите по чл. 27е могат да издават: 1. предупреждения; 2. да приемат задължителни предписания или разпореждания, с които се изисква от засегнатите субекти да отстранят установените пропуски или нарушения на този закон, а за съществените субекти и предписания относно мерките, необходими за предотвратяване на възникването на инцидент или за справяне с него, задължение за докладване, както и да определят срокове за изпълнение на такива мерки; 3. разпореждания да преустановяват поведение, което нарушава закона, и да се въздържат от повтарянето на такова поведение; 4. разпореждания да гарантират, че техните мерки за управление на риска в областта на киберсигурността са в съответствие с чл. 22, или да изпълнят задълженията за докладване по чл. 24 по конкретен начин, за което да определят срок; 5. разпореждания на засегнатите субекти да уведомяват физическите или юридическите лица, на които предоставят услуги или по отношение, на които извършват дейности и които са потенциално засегнати от значителна киберзаплаха, за естеството на заплахата, както и за възможните защитни или коригиращи мерки, които те могат да предприемат в отговор на тази заплаха; 6. разпореждане на засегнатите субекти да изпълняват препоръките, предвидени в резултат на одит на сигурността, като определят за това разумен срок; 7. разпореждания на засегнатите субекти да обявят публично извършеното от тях нарушение, като определя подходящ начин за това. (2) По отношение на съществените субекти, органите по чл. 27е могат да издават разпореждане за определяне на длъжностно лице по надзор за спазването на чл. 22 и чл. 24 от засегнатите субекти, както и на неговите конкретни задачи и срок за изпълнение. Чл. 27к. (1) За непредприемане на действията определени по реда на чл. 27и, ал. 1, т. 1-4 и т. 6, компетентният орган по чл. 27е, може временно да спре, или да изиска от съд или съответния компетентен административен орган да спре временно лиценз, регистрация, сертификат или разрешение относно всички или част от съответните предоставени услуги или дейностите, извършвани от съществения субект. 19 (2) За непредприемане на действията определени по реда на чл. 32, 27и, ал. 1, т. 1-4 и т. 6, компетентният орган по чл. 27е, може да изиска от съд или от друг държавен орган налагането на временна забрана спрямо всяко физическо лице, изпълняващо управленски функции или законен представител в този съществен субект, да упражнява управленски функции в този субект. (3) Органите по ал. 1 и ал. 2 се произнасят с индивидуален административен акт, който може да бъде обжалван по реда на Административнопроцесуалния кодекс. (4) Алинея 1 и ал. 2 не се прилагат по отношение на съществени субекти, които са административните органи. (5) Всяко физическо лице, отговорно за съществен или важен субект или действащо като негов законен представител въз основа на правомощие да го представлява, да взема решения от негово име или да упражнява контрол върху него, има необходимите правомощия, за да осигури спазването на закона. За тези лица се прилагат всички мерки предвидени както за съществените, така и за важните субекти. Тези физически лица могат да бъдат подведени под отговорност за неизпълнението на своите задължения по спазването на закона. Настоящата алинея не засяга публичната администрация, по отношение на отговорността на държавните служители и на избраните или назначените длъжностни лица. Чл. 27л. Органите по чл. 16 информират съответните компетентни органи съгласно Директива (ЕС) 2022/2557, когато упражняват своите правомощия, имащи за цел да гарантират спазването на настоящия закон от съществен субект, установен като критичен субект съгласно Директива (ЕС) 2022/2557. Когато е целесъобразно, компетентните органи съгласно Директива (ЕС) 2022/2557 могат да поискат от компетентните органи по чл. 16, да упражняват своите правомощия във връзка със съществен субект, който е установен като критичен съгласно Директива (ЕС) 2022/2557. Чл. 27м. Компетентни органи съгласно този закон си сътрудничат със съответните компетентни органи на засегнатата държава членка съгласно Регламент (ЕС) 2022/2554. Компетентните органи съгласно закона, информират надзорния форум, установен съгласно член 32, параграф 1 от Регламент (ЕС) 2022/2554, когато упражняват своите надзорни и правоприлагащи правомощия, целящи гарантиране на спазването на закона от страна на съществен или важен субект, който е определен като трета страна критичен доставчик на услуги в областта на ИКТ, в съответствие с член 31 от Регламент (ЕС) 2022/2554. Нарушения в сигурността на личните данни Чл. 27н. (1) Органите по чл. 16 уведомяват незабавно Комисията за защита на личните данни, когато при осъществяване на своите правомощия установят извършено нарушение от съществен или важен субект, което би могло да доведе до нарушаване на сигурността на личните данни съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (OB, L 119 от 4 май 2016 г.), и Закона за защита на личните данни. (2) Когато надзорните органи, посочени в чл. 55 или чл. 56 от Регламент (ЕС) 2016/679, наложат имуществена санкция съгласно чл. 58, параграф 2, буква „и“ от посочения регламент, компетентните органи по този закон не налагат имуществена санкция съгласно чл. 27л по отношение на предходната алинея, произтичащо от същото деяние, което е било предмет на имуществена санкция съгласно член 58, параграф 2, буква „и“ от Регламент (ЕС) 2016/679. В тези случай, компетентните органи по този закон могат да налагат само мерките, предвидени в чл. 27л . 20 (3) Когато надзорният орган, компетентен съгласно Регламент (ЕС) 2016/679, е установен в държава членка, различна от тази на компетентния орган по този закон, компетентният орган уведомява Комисията за защита на личните данни относно възможното нарушаване на сигурността на данните, посочено в ал. 1. Взаимопомощ Чл. 27о. (1) Когато субект предоставя услуги на територията на Република България и в друга държава членка и неговите мрежови и информационни системи са разположени на територията на Република България и в други държави членки, компетентните органи по този закон си сътрудничат и се подпомагат взаимно с компетентните органи на засегнатите държави членки, ако е необходимо. Това сътрудничество включва най-малко следното: 1. компетентните органи по този закон, посредством единното звено за контакт, уведомяват и се консултират с компетентните органи в другите засегнати държави членки относно предприетите надзорни и правоприлагащи мерки; 2. компетентен орган може да поиска от друг компетентен орган да предприеме надзорни или правоприлагащи мерки; 3. когато компетентен орган по този закон получи обосновано искане от друг компетентен орган, включително от друга държава членка, той оказва на искащия орган взаимопомощ, пропорционална на собствените му ресурси, така че надзорните и правоприлагащите мерки да могат да бъдат приложени по ефективен, ефикасен и последователен начин. (2) Взаимопомощта, посочена в ал. 1, т. 3, може да обхваща искания за информация и надзорни мерки, включително искания за провеждане на проверки на място или дистанционен надзор, или целеви одити на сигурността. Компетентен орган, към когото е отправено искане за помощ, не отхвърля това искане, освен ако не бъде установено, че не е компетентен да предостави исканата помощ, поисканата помощ не е пропорционална на надзорните задачи на компетентния орган или искането се отнася до информация или включва дейности, които, ако бъдат оповестени или извършени, биха противоречили на националната сигурност, обществената сигурност или отбраната на тази държава членка. Преди да отхвърли такова искане, компетентният орган се консултира с другите засегнати компетентни органи, както и, по искане на една от засегнатите държави членки, с Комисията и „Агенцията на Европейския съюз за киберсигурност (ENISA)“. (3) Когато е подходящо и при общо съгласие компетентните органи по този закон могат да извършват общи надзорни действия с компетентни органи от други държави членки. § 29. Член 28 и чл. 29 се изменят така: „Отговорност за неизпълнение на принудителни административни мерки Чл. 28. (1) Административен орган, който не изпълни принудителна административна мярка по смисъла на чл. 27и, ал. 1, т. 2 – т. 7, се наказва с глоба от 10 000 до 100 000 лв. (2) При повторно нарушение по ал. 1 наказанието е глоба от 20 000 до 200 000 лв. Имуществени санкции Чл. 29. (1) Наложените имуществени санкции на съществените и важните субекти съгласно настоящия член във връзка с нарушения на закона, са ефективни, пропорционални и възпиращи, като се вземат предвид обстоятелствата във всеки конкретен случай. (2) Имуществените санкции се налагат в допълнение към която и да е от мерките, посочени в чл. 27и, ал. 1, т. 2 от б. б) до б. ж). 21 (3) Съществен субект, който не изпълни задълженията по чл. 22 и чл. 24 се наказва с имуществена санкция от 200 000 лева до 2% от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи съществения субект, но не по –малко от 20 000 000 лева. (4) Важен субект, който не изпълни задълженията по чл. 22 и чл. 24 се наказва с имуществена санкция от 100 000 лева до 1,4% от общия световен годишен оборот за предходната финансова година на предприятието, към което принадлежи важния субект, но не по-малко от 14 000 000 лева. (5) Освен имуществената санкция по ал. 3 и ал. 4 на съществените и важните субекти могат да бъдат налагани и една или няколко от мерките по чл. 27и и чл. 27к. (6) При нарушение на чл. 21, управителите или членовете на управителните органи на съществените и важните субекти подлежат на имуществена санкция в размер на 1000 лв. до 100 000 лв. (7) Принудителни административни мерки се налагат върху съществен или важен субект с цел да се преустанови нарушение на закона в съответствие с предходно решение на компетентния орган. (8) Без да се засягат правомощията на компетентните органи по глава втора „в“, имуществени санкции могат да бъдат налагани и на административните органи. § 30. В чл. 30 се правят следните изменения и допълнения: 1. В ал. 1 числото „10 000“ се заменя със „100 000“. 2. В ал. 2 числото „15 000“ се заменя със „150 000“. 3. В ал. 3 думите „чл. 15, ал. 6 и чл. 19, ал. 3“ се заменят с „чл. 15, ал. 5“, числото „10 000“ се заменя със „100 000“ и числото „15 000“ се заменя със „150 000“. § 31. Създава се чл. 30а: „Чл. 30а. В случай на неизпълнение на някоя от наложените мерки по чл. 27и, ал. 1, т. 2-7, органите по чл. 27е налагат периодични имуществени санкции на съществен или важен субект в размер на 5 000 лв. за всеки ден неизпълнение. § 32. В чл. 31 се правят следните изменения и допълнения: 1. В ал. 1 думите „както и за нарушения по чл. 28, ал. 3 и 4 и по чл. 30, ал. 3 във връзка с чл. 19, ал. 3“ се заличават.. 2. В ал. 2 думите „оператори на съществени услуги или от доставчици на цифрови услуги“ се заменят със „съществени и важни субекти“, § 33. В допълнителните разпоредби се правят следните изменения и допълнения: 1. Параграф 1 и § 2 се изменят така: „§ 1. Този закон въвежда изискванията на Директива (ЕС) 2022/2555 на Европейския Парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (Директива МИС 2) (OB, L 333 от 27 декември 2022 г.). § 2. Този закон предвижда мерки по прилагане на „Приложение към заключенията на Съвета относно сигурността на веригата за доставки на ИКТ, одобрени от Съвета на заседанието му, от 17 октомври 2022 г.“ 2. Създава се § 2а: 22 „§ 2а. Този закон предвижда мерки по прилагане на Насоки на Комисията за прилагане на член 3, параграф 4 от Директива (ЕС) 2022/2555 (Директива МИС 2) (2023/C 324/02)“. 3. В § 3: а) в т. 1 думите „допълнителните разпоредби на Закона за електронното управление“ се заменят с „Административнопроцесуалния кодекс“; б) точка 2 се изменя така: „2. Група за сътрудничество“ е групата по смисъла на чл. 14 от Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (Директива МИС 2) (OB, L 333 от 27 декември 2022 г.);“; в) създава се т. 2а: „2а. „Национална стратегия за киберсигурност“ e съгласувана рамка на държава членка, съдържаща стратегически цели и приоритети в областта на киберсигурността и управленските методи за постигането им в тази държава членка;“; г) създава се т. 4а: „4а. „Система за имена на домейни, която представлява йерархично“ или „DNS“ означава йерархична разпределена мрежова система за именуване, която позволява идентифициране на интернет услуги и ресурси, позволявайки на домейни, разпределяща заявки устройствата на крайните ползватели да използват интернет маршрутизация и услуги за свързване, за да достигнат до тези услуги и ресурси;“; д) точка 5 се изменя така: „5. „Доставчик на DNS услуги“ означава субект, предоставящ: а) публично достъпни рекурсивни услуги за преобразуване на имена на домейни за крайни интернет ползватели; или б) услуги за овластено преобразуване на имена на домейни за използване от трета страна, с изключение на базови сървъри за имена;“; е) създава се т. 8а: „8а. „Ситуация, близка до инцидент“ е събитие, което е могло да засегне отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на услугите, предлагани или достъпни чрез мрежови и информационни системи, чието случване (чиято активност е била предодвратена) е било успешно предотвратено или което не се е осъществило;“; ж) създава се т. 11а: „11а. „Значителна киберзаплаха“ е киберзаплаха, за която въз основа на техническите ѝ характеристики може да се предположи, че има потенциал да окаже сериозно въздействие върху мрежовите и информационните системи на даден субект или върху ползвателите на услугите на субекта, като причини значителни материални или нематериални вреди;“; з) създава се т. 15а: „15а. „Мащабен киберинцидент“ означава инцидент, който причинява степен на смущение, надхвърляща способността на дадена държава членка да реагира на него, или който има значително въздействие върху най-малко две държави членки;“; и) в т. 21 думите „мрежова и информационна сигурност“ се заменят с „киберсигурност“; к) точка 22 се изменя така: 23 „22. „Мрежата на националните екипи за реагиране при инциденти с компютърната сигурност“ е мрежата по смисъла на чл. 15 от Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (Директива МИС 2);“; л) създават се т. 27а-27в: „27а. „ИКТ продукт“ означава ИКТ продукт съгласно определението в член 2, точка 12 от Регламент (ЕС) 2019/881; 27б. „ИКТ услуга“ означава ИКТ услуга съгласно определението в член 2, точка 13 от Регламент (ЕС) 2019/881; 27в. „ИКТ процес“ означава ИКТ процес съгласно определението в член 2, точка 14 от Регламент (ЕС) 2019/881;“; м) точка 29 се изменя така: „29. „Регистър на имена на домейни от първо ниво“ означава субект, на който е поверен конкретен домейн от първо ниво и който е отговорен за администрирането на този домейн, включително за регистрацията на имена на домейни на нива под домейна от първо ниво и техническото функциониране на този домейн, включително функционирането на неговите сървъри за имена, поддръжката на неговите бази данни и разпределението на файловете на зоните на домейна от първо ниво в сървърите за имена, независимо дали която и да е от тези операции се извършва от субекта или е възложена на външни изпълнители, като обаче се изключват ситуациите, при които имената на домейни от първо ниво са използвани от регистър единствено за собствено ползване;“; н) създава се т. 29а: „29а. „Субект, предоставящ услуги за регистрация на имена на домейни“ е регистратор или агент, действащ от името на регистратори, като например доставчик или препродавач на услуги за поверителност или прокси услуги;“; о) създават се т. 31а-31г: „31а. „Удостоверителна услуга“ означава удостоверителна услуга съгласно определението в член 3, точка 16 от Регламент (ЕС) № 910/2014; 31б. „Доставчик на удостоверителна услуга“ означава доставчик на удостоверителна услуга съгласно определението в член 3, точка 19 от Регламент (ЕС) № 910/2014; 31в. „Квалифицирана удостоверителна услуга“ означава квалифицирана удостоверителна услуга съгласно определението в член 3, точка 17 от Регламент (ЕС) № 910/2014; 31г. „Доставчик на квалифицирана удостоверителна услуга“ е доставчик на квалифицирана удостоверителна услуга съгласно определението в член 3, точка 20 от Регламент (ЕС) № 910/2014;“; п) създава се т. 32а: „32а. „Стандарт“ означава стандарт съгласно определението в член 2, точка 1 от Регламент (ЕС) № 1025/2012 на Европейския парламент и на Съвета (29);“; р) точка 36 се изменя така: „36. „Цифрова инфраструктура“ е инфраструктурата, която включва категориите, посочени в Приложение № 1, т. 8;“; с) създават се т. 37-59: „37. „Услуга на център за данни“ е услуга, включваща конструкции или групи конструкции, предназначени за централизирано разполагане, свързване и експлоатация на ИТ и мрежово оборудване, предоставяща услуги за съхранение, обработване и пренос на 24 данни, заедно с всички съоръжения и инфраструктури за електроразпределение и контрол на околната среда; 38. „Мрежа за доставяне на съдържание“ е мрежа от географски разпределени сървъри, с цел да се осигури висока степен на наличност, достъпност или бързо доставяне на цифрово съдържание и услуги на интернет потребителите от страна на доставчиците на съдържание и услуги; 39. „Платформа на услуги за социална мрежа“ означава платформа, позволяваща на крайните ползватели да се свързват, споделят, откриват и общуват помежду си посредством множество устройства, по-специално чрез чатове, публикации, видеоклипове и препоръки; 40. „Обществена електронна съобщителна мрежа“ означава обществена електронна съобщителна мрежа по смисъла на § 1, т. 39 от допълнителните разпоредби на Закона за електронните съобщения; 41. „Електронна съобщителна услуга“ означава електронна съобщителна услуга по смисъла на § 1, т. 17 от допълнителните разпоредби на Закона за електронните съобщения; 42. „Субект“ означава всяко физическо или юридическо лице, създадено и признато за такова съгласно националното право в своето място на установяване, което може, като действа от свое име, да упражнява права и да бъде обект на задължения; 43. „Доставчик на управлявани услуги“ означава субект, който предоставя услуги, свързани с инсталирането, управлението, експлоатацията или поддръжката на ИКТ продукти, мрежи, инфраструктура, приложения или всякакви други мрежови и информационни системи, чрез оказване на помощ или активно администриране или в помещенията на клиентите, или от разстояние; 44. „Доставчик на управлявани услуги за сигурност“ означава доставчик на управлявани услуги, който извършва или предоставя помощ за дейности, свързани с управлението на риска в областта на киберсигурността; 45. „Разузнавателни сведения за заплахи“ означава информация, която е обобщена, обработена, анализирана, разтълкувана или обогатена, за да се осигури необходимият контекст с оглед на вземането на решения и за да се създадат условия за адекватно и достатъчно разбиране с оглед ограничаването на последствията от инцидент с ИКТ или от киберзаплаха, включително техническите белези на дадена кибератака, отговорните за нея лица и техният начин на действие и мотивация; 46. „Уязвимо място“ означава слабост, тенденция или недостатък на актив, система, процес или контролна функция, които могат да бъдат използвани; 47. „Тестване за проникване (TLPT)“ означава симулиране на тактиката, техниките и процедурите на реални източници на заплаха, за които се счита, че представляват истинска киберзаплаха; тази симулация представлява контролиран, специално разработен и опиращ се на разузнавателни сведения (червен екип) тест на критичните оперативни производствени системи на финансовия субект; 48. „Риск в областта на ИКТ, пораждан от трета страна“ означава риск в областта на ИКТ, който може да възникне за финансов субект във връзка с използваните от него услуги в областта на ИКТ, предоставяни от трета страна доставчик на такива услуги или от нейни поддоставчици, включително чрез споразумения за възлагане на дейности на външни изпълнители; 49. „Трета страна доставчик на услуги в областта на ИКТ“ означава предприятие, което предоставя услуги в областта на ИКТ; 50. „Вътрешногрупов доставчик на услуги в областта на ИКТ“ означава предприятие, което е част от финансова група и предоставя предимно услуги в областта на ИКТ на 25 финансови субекти от същата група или на финансови субекти, които са част от една и съща институционална защитна схема, включително на техните предприятия майки, дъщерни предприятия, клонове или други субекти, намиращи се в обща собственост или под общ контрол; 51. „Услуги в областта на ИКТ“ означава цифрови услуги и услуги за данни, предоставяни непрекъснато чрез системите на ИКТ на един или повече вътрешни или външни ползватели, включително хардуер като услуга и хардуерни услуги, което включва техническа поддръжка чрез актуализации на софтуер или фърмуер от доставчика на хардуер и изключва традиционните аналогови телефонни услуги; 52. „Критична или важна функция“ означава функция, чието смущение би намалило съществено финансовите резултати на даден финансов