Често задавани въпроси

Помагаме на организациите да разберат рисковете за сигурността си, да изпълнят изискванията, които важат за тях, и да покажат резултата на ръководството, клиентите и одиторите. Съчетаваме технически знания, опит с регулациите и работа с хората. Всеки проект има ясно определени задачи, резултати и отговорен ръководител.

Започваме от повода за запитването. При нужда от одит или проверка по DORA (регламент на ЕС за цифровата оперативна устойчивост на финансовия сектор) или NIS2 (директива на ЕС за киберсигурност) разглеждаме изискванията и наличните доказателства. Ако имате проблем с поща, репутация на домейн, списък за блокиране или имитация на марката, подходяща отправна точка е одитът на поща, домейни и имитатори. Ако служителите използват неодобрени инструменти с ИИ (изкуствен интелект), започваме с опис на употребите и оценка на риска. Ако вече знаете какъв е проблемът, не е нужно да поръчвате отделен предварителен одит.

Да. На страницата Примерни резултати има кратки примери за всяка услуга — констатация за поща, домейн и репутация, списък с доказателства по регулация и запис от опис на употребите на ИИ. Така виждате как подреждаме информацията, преди да поръчате каквото и да е.

Не. Публичните примери са демонстрационни и са обозначени като такива. Те не са случаи на клиенти, извършени проверки или доказателство за постигнато съответствие. Вашият резултат зависи от това, което договорим.

Уточняваме каква е организацията, какъв е проблемът, срокът и какъв резултат очаквате. Разговорът не Ви задължава с нищо. Казваме Ви дали можем да помогнем и каква информация ни трябва за оферта. Ако въпросът дали дадена регулация важи за Вас е сложен, може да е нужен платен преглед на документи, който договаряме предварително.

Да, когато проблемът е подходящ. Броят на хората сам по себе си не решава дали можем да помогнем, а и не всяка регулация важи за всяка малка организация. Едноличен търговец или офис с петима души може да има нужда от помощ с пощата, репутацията на домейна, списъци за блокиране, употребата на ИИ, изисквания на клиент или практическа техническа защита.

Ще Ви го кажем. Първият разговор не Ви задължава да сключвате договор. Предлагаме платена работа само когато проверка или конкретна промяна наистина ще Ви е полезна, а Вие виждате обхвата и цената писмено, преди да решите.

Достатъчно е кратко описание на дейността, приблизителният размер на организацията, държавите, в които работите, и причината да търсите помощ. Ако имате писмо от регулатор, въпросник от клиент или срок за проверка, споменете го. За първия контакт не ни трябват пароли, чувствителни технически подробности или списъци с лични данни.

Публикуваните цени са начални и важат за обхвата, описан за всяка услуга. Преди да започнем, уточняваме кои дружества, системи, договори, срещи и резултати са включени, и ги записваме в офертата. Допълнителната работа договаряме отделно.

Писмената оценка дали DORA или NIS2 важат за Вас е от 900 €. Други начални цени: 2 400 € за одита на поща, домейни и имитация, 7 900 € за оценката и пакета доказателства по DORA или NIS2 и 5 900 € за прегледа на употребата на ИИ. Външните експертни роли са от 1 400 € на месец. Обхватът и окончателната цена се потвърждават с писмена оферта; на страницата „Цени и обхват“ е описано какво включва всяка услуга.

Графикът на плащанията е в писмената оферта, преди да започнем. Имате 10 работни дни да прегледате резултата, а един кръг корекции в договорения обхват е включен. Месечната подкрепа се фактурира всеки месец.

CaaS е постоянна помощ с договорени задачи по киберсигурността и управлението на ИКТ (информационни и комуникационни технологии) риска: срокове, доказателства, проследяване на действията и отчети към ръководството. Месечното време и резултатите се определят писмено. Външен ръководител по сигурността (vCISO) може да поеме ръководството на сигурността по отделен или общ договор. Други специализирани роли се договарят отделно. Това не е сертификация, неограничена работа или гаранция, че регулаторът ще приеме резултата. Вижте обхвата на CaaS и месечното време.

Един експертен ден е осем часа работа и може да се използва на части. В него влизат подготовката, анализът, срещите, писмените отговори и договорената координация. Неизползваното време, до половината от месечния обем, може да се прехвърли за следващия месец, след което изтича. Например при два дни месечно може да прехвърлите най-много един ден. Допълнителната работа се договаря предварително.

Оценката и внедряването се възлагат поотделно. Заедно, в стандартния им обхват, започват от 17 800 €: 7 900 € за оценката и от 9 900 € за внедряването. Конкретните промени се описват в офертата за внедряване. Не сте длъжни да възлагате внедряването на Диасол.

Прегледът на клаузите и обработката на информацията за регистъра са различни задачи. Възможни са две отделни доплащания, ако и двете задачи надхвърлят включения обхват. Описваме ги предварително в офертата и не таксуваме два пъти една и съща работа.

Диасол работи с основен екип от постоянни експерти и с доверена мрежа от специалисти. Съставът се определя според нуждите на проекта и клиента. Преди началото уточняваме ръководителя на проекта, участващите специалисти, ролите им и до каква информация ще имат достъп.

Оценката показва какво имате и какво липсва. Проектът за подобрения изпълнява конкретно договорени задачи, например правила, регистри, настройки, обучения или процеси. Абонаментът дава редовна работа и договорено експертно време всеки месец. Може да поръчате само частта, която Ви трябва.

Това са материали, с които може да се провери, че нещо е направено или действа: решения на ръководството, резултати от тестове, записи от обучения, регистри и документирани прегледи. Политиката описва правилото, а записите показват, че то се спазва. Когато доказателство липсва, отбелязваме пропуска и какво трябва да се направи. Никога не представяме непроведено обучение или неизвършен тест като изпълнени.

Не можем да гарантираме решението на регулатор, одитор, банка или клиент. Работим стриктно по изискванията на регулацията и проверяваме резултата спрямо тях, преди да Ви го предадем. Отговаряме за договорената работа и за това, че констатациите ни са обосновани, и посочваме обхвата, източниците, пропуските и ограниченията, за да може резултатът да се използва при проверка.

Да, ако изберете регулаторна проверка и сертификат. Сертификат Диасол е включен и в годишната програма, в оценката и пакета доказателства и в изпълнението на плана по DORA, когато оценката е успешна. Това е частен сертификат по наша методология, която следва стриктно регулаторните изисквания, и всеки може да го провери на сайта ни. Не е акредитирана сертификация и не заменя независимо оценяване или сертификация, когато такива са приложими. Останалите ни пакети не включват сертификат: получавате договорените анализи и документи. Диасол може да подпомага подготовката за ISO сертификация или SOC 2 оценяване, а съответният независим орган издава сертификата или доклада. SOC 2 е атестационен доклад, а не сертификат.

Само когато са описани изрично в офертата. Прегледът и анализът на документите не включват автоматично изпълнението на всички препоръки. След оценката можем да предложим отделен проект за конкретните промени или да координираме работата на Вашия ИТ екип.

Да. Предлагаме месечно наблюдение на договорените домейни и услуги за изпращане. Според плана то може да включва проверки на SPF, DKIM и DMARC, списъци за блокиране, репутация и доставка и подозрителни сходни домейни, с известия и кратък отчет. Източниците, честотата и сроковете за реакция се определят в абонамента. Наблюдението не гарантира, че писмата ще стигат до входящата кутия, че домейнът ще бъде махнат веднага от списък или че ще бъде открит всеки имитиращ домейн. Корекциите са включени само ако планът ги предвижда.

Да. Уточняваме кой решава, кой прави промените и кой проверява резултата. Така използваме това, което той вече знае за Вашата среда, и не дублираме работа. Достъпите и участниците се договарят предварително.

Нужни са лице за контакт, достъп до договорените документи и време от отговорните служители. За техническите задачи уточняваме конкретните достъпи и одобрения. Срокът зависи и от това кога получим информацията; при забавяне или промяна в обхвата договаряме как се променя графикът.

Да, работим на български и английски, обикновено дистанционно. Езикът на резултатите, срещите на място и разходите за тях се уточняват в офертата. Ако друга държава има специфични изисквания, преценяваме дали е нужен местен юрист или специалист по регулациите.

Да. Попълваме въпросници, подготвяме доказателства за одити от клиенти и преглеждаме клаузите по DORA, които Ви предлагат клиенти от финансовия сектор. Броят на въпросниците и доказателствата се уточнява в офертата. Първо изясняваме какво точно ще приеме клиентът, кой одобрява и до кога. Ако той изисква валиден сертификат ISO 27001 или доклад SOC 2 като задължително условие, попълненият въпросник и доказателствата не могат да ги заменят, освен ако клиентът не приеме друго.

Да, чрез проверени партньори. Диасол определя обхвата и правилата, приема доклада и проверява отново дали поправките са направени. Денонощната реакция при инциденти също се осигурява от партньор по отделен договор, а ние подпомагаме решенията и докладването.

Когато работата трайно надхвърля най-големия месечен план, когато надзорният орган очаква постоянен служител или когато ролята включва пряко управление на хора. Външна роля може да покрие периода на подбор или временно отсъствие. Ще Ви кажем, когато обемът изисква постоянна позиция.

Да. Описаният обхват и публикуваната начална цена улесняват техническата спецификация и сравнението на оферти. Не сме сертифициращ орган или регистриран одитор, затова поръчка, която изисква акредитиран одит или атестация, трябва да я посочи като отделна част; можем да помогнем с подготовката.

Размерът е само един от критериите. Значение имат секторът, конкретната дейност, свързаните предприятия и изключенията в закона. Някои организации са в обхвата независимо от размера. Освен това клиент може да Ви постави изисквания за сигурност в договора, дори законът да не Ви задължава пряко. В справката по-долу е описано кой е в обхвата в България.

Проверено на 12.09.2026 · Източник: Закон за киберсигурност — ДВ, бр. 17/2026

Не е разумно да чакате писмо, за да разберете дали законът важи за Вас и колко сте готови. Официалното определяне, задълженията за подаване на информация и конкретните мерки са отделни въпроси. Някои цифрови доставчици сами трябва да подадат данни на органите. Проверяваме какво следва от дейността Ви и от действащите правила и не приемаме, че липсата на писмо Ви освобождава от задължения.

Проверено на 12.09.2026 · Източник: Закон за киберсигурност — ДВ, бр. 17/2026

Да, ако предоставяте ИКТ услуги на финансови организации. Те могат да Ви поискат договорни клаузи, информация за услугите, съдействие при инциденти и доказателства за сигурност. Това е различно от прекия надзор на ЕС върху критичните ИКТ доставчици, който засяга малко на брой големи компании. Разглеждаме Вашата роля и конкретните изисквания на клиентите Ви.

Проверено на 12.09.2026 · Източник: Regulation (EU) 2022/2554 (DORA)

Сертифицираната система покрива голяма част от работата, но не доказва сама по себе си, че изпълнявате всички законови и договорни изисквания: одобрение и обучение на ръководството, законовите срокове за докладване, изискванията към доставчиците и договорите, задълженията за регистрация, а по DORA — регистъра на договорите с ИКТ доставчици и тестовете за устойчивост. Започваме от документите, мерките и доказателствата, които имате, и посочваме какво точно трябва да се добави. Не се налага да започвате отначало.

Shadow AI (неодобрени инструменти с ИИ) е използването на ИИ извън одобрените от организацията начини или без тя да знае. Оценката може да включва анкети, интервюта, налични записи и договорени технически източници. Колко ще открием, зависи от тези източници и от достъпа. Не обещаваме пълнота, когато методът не я позволява; описваме какво е проверено и какво остава неизвестно.

Не. Регламентът за ИИ се прилага на етапи, а Регламент (ЕС) 2026/1744 отложи част от задълженията за високорисковите системи. Забранените практики, мерките за грамотност в областта на ИИ, задълженията за моделите с общо предназначение и правилата за прозрачност остават в сила в своите срокове. Определяме задълженията според ролята Ви и конкретната употреба, а не само защото използвате ИИ.

Проверено на 12.09.2026 · Източник: European Commission — AI Act, AI Act, Art. 50 (consolidated text)

Възможно е. Зависи от продукта, начина, по който го предоставяте, пазара и ролята Ви; не всеки SaaS продукт се третира еднакво. Задълженията за докладване важат за обхванатите производители от 11 септември 2026 г., а основните изисквания към продуктите — от 11 декември 2027 г. Проверяваме продукта и ролята Ви, вместо да приемаме, че сте в обхвата.

Проверено на 12.09.2026 · Източник: European Commission — Cyber Resilience Act

В някои случаи — да. Първо проверяваме дали ролята може да се изпълнява външно, какви задачи и правомощия изисква и дали имаме нужното време. За някои роли законът изисква определен специалист или отговорно лице. Когато ролята може да е външна, осигуряваме подходящ специалист по договор с Диасол. Ролята, отчетността, времето и задълженията се описват в договора.

Това се преценява за всеки случай. Длъжностното лице по защита на данните трябва да наблюдава обработването независимо и без конфликт с другите си задачи. Роля, която определя целите и средствата на обработването, може да е несъвместима — Европейският комитет по защита на данните дава за пример ръководителя на ИТ. Когато е нужно разделяне, предлагаме отделни специалисти.

Проверено на 12.09.2026 · Източник: EDPB — Data protection officer

Не. Ръководството запазва задълженията и правомощията си по закон. Диасол отговаря за договорената работа. Уточняваме кои решения вземате Вие, кои задачи изпълняваме ние и кои зависят от други доставчици.

Да, чрез проверен партньор по отделен договор за готовност: денонощна линия, техническо ограничаване на щетите и криминалистичен анализ. Диасол подпомага ръководството при решенията и докладването до органите. Стандартните ни услуги са в договореното работно време. Формата за контакт не е канал за спешни инциденти.

Работим по конкретни ситуации, например искане за смяна на банкова сметка или обаждане от човек, който се представя за ръководител. Участниците обсъждат как проверяват искането, кой решава и кога въпросът се отнася до по-високо ниво. Резултатът е протокол с решенията и договорените действия. Семинарът се води от специалисти по човешкия фактор и по сигурността.

Да. Семинарите за решения при опит за измама и за устойчиви работни навици могат да се поръчват самостоятелно. Предварително уточняваме участниците, темата, формата и писмения резултат. Цените за модули към друг проект не важат автоматично за самостоятелен семинар — той е по оферта.

Да, като отделно пилотно направление за ръководители и HR, водено от психолог. Темите са натоварването, границите, комуникацията под напрежение и предотвратяването на прегарянето. Работата е на ниво организация, а не клинична: без диагнози, терапия или индивидуални профили. Вижте Благополучие на работното място.

Не. Сесиите за сигурност и човешки фактор са работа с организацията. Те не са терапия и не създават индивидуални психологически профили за работодателя. Когато има интервюта, предварително обясняваме целта, участието и как ще обобщим резултатите.

Участието е доброволно, а докладите представят обобщени теми. Не оценяваме доколко конкретни хора могат да бъдат измамени. В малък екип премахването на името не винаги стига, затова преценяваме и дали описание или цитат може да издаде участника. Условията за достъп и съхранение уточняваме преди интервютата.

Уточняваме поверителността, участниците, нужния достъп и как ще обменяме и съхраняваме информацията. Когато обработваме лични данни от Ваше име, сключваме съответното споразумение. Подизпълнителите, ако има такива, и ролите им се договарят предварително.

Да, ако това е предвидено в договора. Препоръчваме да дадете версията, подходяща за получателя: резюме за ръководството, пакет доказателства или технически доклад. Уязвимостите и чувствителните подробности се споделят само с хора, които имат право да ги видят.

Не. Можете да приключите след договорения резултат. Ако Ви трябват периодични прегледи, обновяване на доказателствата или външна роля, предлагаме отделна месечна подкрепа с описан обхват. Срокът за прекратяване е 30 дни.

Да. Партньорът може да ни свърже и да помогне да опишете нуждата. Диасол потвърждава обхвата, екипа и окончателната оферта. Ако партньорът получава възнаграждение за препоръката, клиентът научава за това според условията на програмата.

· Източник: Партньорска програма