Киберсигурност и устойчивост на критичната инфраструктура в ЕС

Киберсигурността засяга едновременно вътрешния пазар, сигурността и националната сигурност. Значителна част от законодателството на ЕС се основава на член 114 ДФЕС, тъй като различаващите се национални изисквания могат да разпокъсат вътрешния пазар. Член 16 е основание за правилата за защита на данните, член 196 — за сътрудничеството в областта на гражданската защита, а член 222 съдържа клаузата за солидарност при бедствия и терористични нападения. Съгласно член 4, параграф 2 ДЕС националната сигурност остава единствено отговорност на всяка държава членка. Поради това киберправото на ЕС повишава общата гражданска устойчивост, без да създава разузнавателна служба на ЕС или да прехвърля цялото ръководство на действията при инциденти на Брюксел.

Работният модел има четири етапа: намаляване на риска преди инцидент, откриване и споделяне на относима информация, координиране на реакцията, когато последиците преминават границите, и възстановяване на услугите. Държавите членки определят компетентни органи, единни звена за контакт и екипи за реагиране при инциденти с компютърната сигурност. Комисията следи за спазването на правото на ЕС и може да приема предвидените актове за изпълнение. ENISA — Агенцията на Европейския съюз за киберсигурност — подпомага експертната дейност, ученията, координирането при уязвимости и сътрудничеството. ЕС-CyCLONe свързва националните органи за управление на кризи при мащабни инциденти; мрежата на CSIRT подпомага техническото оперативно сътрудничество.

Директива (ЕС) 2022/2555, известна като NIS2, има за цел постигането на високо общо ниво на киберсигурност в целия Съюз. Тя разширява обхванатите сектори и разделя обхванатите организации на съществени и важни субекти. Класификацията влияе върху режима на надзор, а не върху основното задължение за управление на риска. Секторите включват енергетика, транспорт, здравеопазване, цифрова инфраструктура, публична администрация, питейна вода, отпадъчни води, пощенски услуги, производство на определени критични продукти и доставчици на цифрови услуги. Праговете за размера и конкретните включвания или изключения имат значение; не всяка малка организация попада автоматично в обхвата.

Субектите трябва да прилагат пропорционални технически, оперативни и организационни мерки. Директивата изброява действията при инциденти, непрекъснатостта на дейността, сигурността на веригата на доставки, управлението на уязвимостите, криптирането, когато е целесъобразно, контрола на достъпа, управлението на активите и осведомеността на персонала. Ръководните органи одобряват и контролират мерките и могат да носят отговорност съгласно националните актове за транспониране. За значимите инциденти се прилага поетапен модел на уведомяване: ранно предупреждение в срок от 24 часа от узнаването, уведомление за инцидента в срок от 72 часа и окончателен доклад обикновено в срок от един месец. Кандидатите не бива да сливат тези срокове в един.

NIS2 е директива. Държавите членки трябваше да я транспонират до 17 октомври 2024 г. и да прилагат националните мерки от 18 октомври 2024 г. Правата и задълженията се прилагат основно чрез националното право. Непълното транспониране не превръща директивата в регламент; то създава проблем при изпълнението, за който са приложими средствата за правна защита съгласно правото на ЕС и евентуално производство за установяване на неизпълнение на задължения.

Регламент (ЕС) 2024/2847 — Актът за киберустойчивост, или CRA — възприема подход, ориентиран към продуктовия пазар. Той обхваща хардуерни и софтуерни продукти с цифрови елементи, пуснати на пазара на ЕС, при спазване на определените изключения и взаимодействия със секторното право. Производителите трябва да проектират и произвеждат сигурни продукти, да оценяват киберрисковете, да управляват уязвимостите и да предоставят актуализации на сигурността през периода на поддръжка. Вносителите и дистрибуторите имат задължения за проверка. Оценяването на съответствието и маркировката CE свързват изискванията за киберсигурност с обичайното правоприлагане по отношение на продуктите на единния пазар.

Влизането в сила не е равнозначно на пълно прилагане. CRA влезе в сила на 10 декември 2024 г. Правилата за нотифициране на органите за оценяване на съответствието се прилагат от 11 юни 2026 г. Задълженията за докладване по член 14 за активно използвани уязвимости и тежки инциденти се прилагат от 11 септември 2026 г. Повечето задължения се прилагат от 11 декември 2027 г. Към датата на актуализиране на настоящия обзор задълженията за докладване през септември предстояха непосредствено, но все още не се прилагаха.

Директива (ЕС) 2022/2557 — Директивата за устойчивостта на критичните субекти, или CER — разглежда способността на идентифицираните субекти да предотвратяват инциденти, да се защитават от тях, да реагират, да им се противопоставят, да смекчават и поемат последиците им, да се приспособяват и да се възстановяват. Нейният обхват, включващ всички видове опасности, обхваща природни бедствия, аварии, извънредни ситуации в областта на общественото здраве, саботаж и тероризъм. Държавите членки извършват оценки на риска, приемат стратегии и идентифицират критични субекти в изброените сектори. След това идентифицираните субекти оценяват рисковете, предприемат пропорционални мерки и уведомяват за инциденти, водещи до смущения.

CER и NIS2 са разработени така, че да действат съвместно. CER е насочена основно към устойчивостта срещу рискове, различни от киберрисковете; NIS2 е насочена към мрежовите и информационните системи. Националните органи трябва да си сътрудничат и да обменят относима информация. Директивите не означават, че всеки субект в изброен сектор има еднакви задължения. Идентифицирането, правилата за размера, секторните разпоредби и националното транспониране определят обхвата.

Регламент (ЕС) 2025/38 — Актът за киберсолидарност — се прилага от 4 февруари 2025 г. С него се създават Европейска система за предупреждение в областта на киберсигурността, мерки за готовност и резерв на ЕС за киберсигурност от доверени доставчици на услуги за реагиране при инциденти. Той също така подпомага прегледа на значими или мащабни инциденти. Резервът допълва, а не заменя националния капацитет. Исканията, допустимостта, договарянето и поверителността се уреждат от регламента и договореностите за неговото изпълнение.

Терминологията за кризите трябва да бъде точна. Значим инцидент по NIS2 се отнася до сериозно смущение, загуба или вреда за даден субект или за други лица. Мащабният инцидент надхвърля капацитета на една държава членка или засяга значително поне две държави членки. При политическата координация могат да се използват и интегрираните договорености на Съвета за реакция на политическо равнище при кризи. Инструментариумът на ЕС за кибердипломация от 2019 г. може да подпомага действията в областта на външните отношения, включително ограничителни мерки, но приписването на отговорност и санкциите са политически и правни решения, а не технически констатации на ENISA.

На 20 януари 2026 г. Комисията предложи преразглеждане на Акта за киберсигурността от 2019 г. Предложението има за цел да рационализира сертифицирането в ЕС, да разгледа рисковете за сигурността във веригите на доставки на информационни и комуникационни технологии и да укрепи ENISA. Към 17 август 2026 г. то все още подлежеше на разглеждане от Парламента и Съвета. Действащият Регламент (ЕС) 2019/881 оставаше приложимият Акт за киберсигурността, освен ако и докато не бъде изменен.

На 7 юли 2026 г. Комисията представи план за действие относно усъвършенствания изкуствен интелект и киберсигурността. Той обхваща оценяването на модели, структурирания достъп на защитниците до усъвършенствани модели, сигурното изпитване съвместно с ENISA и Съвместния изследователски център, по-бързото отстраняване на уязвимости и по-силния европейски капацитет в областта на ИИ. Планът за действие надгражда действащото право; самият той не е нов регламент. Успоредно с това продължи работата по изпълнението във връзка с платформата за докладване по CRA, резерва за киберсигурност и националните рамки по NIS2.

Установете какво се защитава. За доставчик на услуги, попадащ в обхвата, започнете с NIS2. За свързан хардуер или софтуер, пуснат на пазара, започнете с CRA. За физическата устойчивост и устойчивостта срещу всички видове опасности на идентифициран критичен субект започнете с CER. За трансграничното откриване и подкрепата при извънредни ситуации разгледайте Акта за киберсолидарност. След това определете дали отговорният участник е производител, регулиран субект, орган на държава членка, CSIRT, ENISA, Комисията или съзаконодател. Накрая проверете дали към съответната дата правилото е било предложено, в сила или вече приложимо.