Киберсигурност за общини и публични организации

Три начина да започнете

Какво изисква законът от администрацията

• Административните органи са в обхвата на закона (чл. 4, т. 1) и са съществени субекти независимо от размера си (чл. 4а, ал. 1, т. 4). Всяка община е в обхвата чрез кмета си като орган на изпълнителната власт. В обхвата са и органите на съдебната власт и организациите, които предоставят административни услуги по електронен път (чл. 4, т. 7–9).
• Националният компетентен орган за административните органи е Министерството на иновациите и дигиталната трансформация (чл. 16, ал. 2).
• Ръководителят одобрява мерките за управление на риска и следи прилагането им (чл. 21, ал. 1).
• Ръководството преминава обучение по киберсигурност на всеки две години и организира обучение за служителите (чл. 21, ал. 2 и 3).
• При нарушение на чл. 21 ръководителят може да бъде глобен лично — от 500 до 5 000 € (чл. 29, ал. 4).
• Органът може да разпореди на администрацията да обяви публично извършеното нарушение (чл. 27и, ал. 1, т. 7). Ако принудителна мярка не бъде изпълнена, санкцията за организацията е от 2 500 до 12 000 € (чл. 28, ал. 1).
• Значителен инцидент се докладва на СЕРИКС: ранно предупреждение до 24 часа и уведомление до 72 часа след установяването му (чл. 23, ал. 5).
• Минималните мерки се уреждат с наредба по чл. 3 от закона. Към 30 септември 2026 г. действа наредбата от 2019 г.; законовият срок за новата изтича около средата на октомври 2026 г. Проверяваме кое важи към момента на работата.

Вашият ИТ специалист или доставчик поддържа системите всеки ден. Законът изисква и друго: решения на ръководството, оценка на риска и доказателства, че мерките работят. Тази част поемаме ние — заедно с него, не вместо него.

Обща информация, не правно становище. За конкретен правен въпрос може да се договори отделна правна помощ. Регулаторен справочник

Целият път — и кой изпълнява всяка част

Не е нужно да поръчвате всичко наведнъж. Подробности за всяка стъпка: програма по Закона за киберсигурност.

Свързани задължения, с които помагаме: лични данни и ДЛЗД, електронно управление, вътрешен контрол, ИИ, сигнали, отворени данни

Киберсигурността не е единственото, което законът изисква от администрацията. Те са свързани с нея и можете да ги поръчате поотделно или заедно.

Направление	Основание	Какво получавате	Кой отговаря	Граница
Лични данни и длъжностно лице по защита на данните	ОРЗД (Общ регламент относно защитата на данните) и Законът за защита на личните данни. Публичните органи по правило трябва да имат длъжностно лице по защита на данните (чл. 37, пар. 1, б. „а“ ОРЗД); изключение има за съдилищата при правораздаване.	Външно длъжностно лице или подкрепа на вътрешното; преглед на обработването, достъпите, сроковете за съхранение и договорите с обработващи; оценка на въздействието при висок риск — например видеонаблюдение или биометрия; общ процес за инциденти с лични данни и киберинциденти; обучение. (одит и оценка на въздействието)	Юристът на екипа и ръководителят по сигурността	Външното длъжностно лице е независимо и не съвместява роли, които определят целите и средствата на обработването. Оценка на въздействието се прави при висок риск, не за всяка система. Поемаме ролята и за много общини едновременно — всяка с определено отговорно лице.
Електронно управление	Законът за електронното управление и наредбите към него — електронни административни услуги, електронни документи и информационни системи.	Оценка и приемане на електронни услуги и информационни системи: преглед на услугите, идентификацията, подписването и документооборота; архитектура, интеграции и оперативна съвместимост; технически изисквания за нови системи; план и проверка за приемане на доставен софтуер.	Специалистите по разработка, архитектура и DevOps, водени от ръководителя по сигурността	Не заместваме контролните органи. Правните въпроси се решават с юриста.
Вътрешен контрол и ИТ риск	Законът за финансовото управление и контрол в публичния сектор изисква управление на риска и ефективен вътрешен контрол.	ИТ и киберрисковете в общия регистър на риска; разделяне на отговорностите; контрол върху привилегированите достъпи, промените и доставчиците; мерки срещу измами с подмяна на банкови данни; доказателства за вътрешните одитори.	Ръководителят по сигурността	Не извършваме цялостен финансов контрол и вътрешния одит, изискван по закон — поемаме специализираната работа по ИТ риска.
Изкуствен интелект	Регламентът за ИИ (изкуствен интелект) се отнася и до публичните организации, когато използват или предоставят системи с ИИ.	Опис на използваните инструменти и системи; роли, риск и приложими задължения; правила за данни, одобряване и човешки контрол; грамотност в областта на ИИ; оценка на доставчици; подготовка за оценка на въздействието върху основните права при високорискова употреба.	Ръководителят по сигурността, юристът и специалистът по човешкия фактор	Задълженията за високорисковите системи се прилагат от 2 декември 2027 г. (приложение III) и от 2 август 2028 г. (регулирани продукти, приложение I).
Сигнали за нарушения	Законът за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения.	Вътрешни правила, обучение на отговорните служители, защитена техническа среда, ограничени достъпи и проверка на поверителността.	Юристът на екипа и ръководителят по сигурността	Публичните организации не могат да възлагат на външно лице приемането, регистрирането и разглеждането на сигналите. Помагаме да изградите и поддържате вътрешния процес (канал за сигнали).
Отворени данни и достъп до информация	Законът за достъп до обществена информация и правилата за повторно използване, включително наборите от данни с висока стойност.	Опис и класификация на данните, подготовка за публикуване, анонимизация, преглед на риска от повторна идентификация, сигурност на програмните интерфейси (API).	Специалистите по данни и сигурност, с юриста за правните въпроси	Решенията за достъп и ограничения взема организацията, като ги подготвя с юриста.

Подробности за изкуствения интелект: преглед на употребата и управлението на ИИ. Хората зад ролите са представени в екипа.

Обществена поръчка и бюджет

Помагаме с подготовката на техническото задание: дейности и етапи, резултати, приемане, посещения на място, какво се очаква от Вашия ИТ екип или доставчик и как се обработва чувствителната информация. Първите стъпки обикновено са под прага за възлагане без процедура по чл. 20, ал. 4 от Закона за обществените поръчки. Подготвяме и обосновка на разхода — какво изисква законът, какво предстои и какъв е резултатът от всеки етап — за бюджета за следващата година и за вътрешните документи по възлагането. Данните за Диасол като изпълнител са в информацията за доставчика.

Да обсъдим Вашия случай

Подробности: системи в обхвата, пример, граници

Системите, които обикновено влизат в обхвата

Например: деловодна система и електронен документооборот; местни данъци и такси; портал и електронни административни услуги; счетоводство и заплати; пощата и домейнът на организацията; видеонаблюдение и достъп до сгради; системи, поддържани от външен ИТ доставчик.

Много общини нямат собствен ИТ отдел и разчитат на външен доставчик. Отговорността остава на ръководството — затова уреждаме и какво трябва да прави доставчикът и как се проверява.

Пример: част от матрицата за една община

Измислени данни — илюстрация на формата, не клиентски случай.

Изискване	Състояние	Доказателство	Пропуск	Действие
Ръководството одобрява мерките (чл. 21, ал. 1)	Политика има, решение няма	Проект на политика от 2025 г.	Липсва акт на кмета	Заповед за одобряване; годишен преглед
Обучение на ръководството (чл. 21, ал. 2)	Не е провеждано	—	Няма запис	Занятие до края на тримесечието; списък и тест
Резервни копия на деловодната система	Правят се от доставчика	Договор за поддръжка	Възстановяването не е проверявано	Тест за възстановяване с протокол
Докладване на значителен инцидент (чл. 23, ал. 5)	Няма процедура	—	Няма контакти и критерии	Процедура, образци за СЕРИКС, упражнение
Достъп на външния ИТ доставчик	Общ администраторски акаунт	—	Няма поименен достъп и преглед	Поименни акаунти, многофакторен вход, преглед на 6 месеца

Граници

• Не сме сертифициращ орган и не заместваме надзора.
• Техническото овладяване на инцидент и денонощната реакция не влизат в стандартната подкрепа — осигурява ги проверен партньор по отделен договор.
• За големи оператори на критична инфраструктура поемаме определена, договорена част от програмата.
• Работата с класифицирана информация и акредитирането на системи не са стандартна услуга — поемаме ги само след като проверим разрешенията и наличните специалисти.