Не е нужно да започнете сами.
Нужно е само да започнете.
Здравеопазването е сектор с висока степен на критичност и почти всяка болница, ДКЦ, МЦ или поликлиника с електронни услуги е задължен субект. Знаем, че това изискване идва върху вече претоварен дневен ред, затова страницата започва с най-евтиното и най-полезно действие: да разберете къде точно стоите. Отговорът на въпроса „попадаме ли и като какъв субект“ е въпрос на дни и на малък ресурс. Рискът не е в започването, а в отлагането.
01Бърз тест за обхват
Пет въпроса, които следват логиката на закона и на проекта на Методика за определяне на съществени и важни субекти. Резултатът е индикативен и не замества документирана самооценка.
Определете статута на Вашето заведение
Отговорите не се записват никъде.
02Четирите пътя за попадане в обхвата
Достатъчно е един от тях да е изпълнен. Когато са изпълнени няколко на различни основания, се прилага по-строгият режим – този за съществените субекти.
чл. 4, т. 2 във връзка с Приложение I, т. 5 „Здравеопазване“
Приложение I поставя в сектор „Здравеопазване“ доставчиците на здравно обслужване съгласно чл. 3, буква „ж“ от Директива 2011/24/ЕС. Определението там е максимално широко – всяко физическо или юридическо лице или образувание, което законно предоставя здравно обслужване. Това покрива всяко лечебно заведение по ЗЛЗ, независимо от собствеността.
Условие: заведението да отговаря на критериите за средно предприятие по чл. 3, ал. 1 от ЗМСП или да надхвърля горната граница за средни предприятия.
„публични и частни субекти от видовете, посочени в приложение I или II, които отговарят на критериите за средни предприятия съгласно чл. 3, ал. 1 от Закона за малките и средни предприятия или надхвърлят определената в него горна граница за средни предприятия… при установяване размера на предприятието не се прилага чл. 4, ал. 9 от Закона за малките и средните предприятия“чл. 4, т. 2 от ЗКС
Резултат: над горната граница за средни предприятия – съществен субект (чл. 4а, ал. 1, т. 1). Средно предприятие – важен субект (чл. 4а, ал. 2).
чл. 4, т. 3, букви „г“ – „ж“
Малко или микро заведение попада в обхвата без оглед на размера си, когато:
- буква „г“ – е единствен доставчик на услуга от съществено значение за поддържането на критични обществени дейности;
- буква „д“ – смущение в услугата му би могло да окаже значително въздействие върху общественото здраве, обществената безопасност или обществената сигурност;
- буква „е“ – смущението би предизвикало значителен системен риск;
- буква „ж“ – заведението е критично поради специфичната си значимост на национално или регионално равнище.
В здравеопазването това са типично единствената болница в община, единственият център за хемодиализа, единствената родилна структура или структура за спешна помощ в даден район, както и заведения с национална роля в трансплантацията, онкологията или лабораторната диагностика.
Резултат: класификацията се извършва от националния компетентен орган – съществен (чл. 4а, ал. 1, т. 5) или важен субект (чл. 4а, ал. 2).
чл. 4, т. 7 – лица, осъществяващи публични функции
Понятието е по § 1, т. 11 от допълнителните разпоредби на Закона за електронното управление, който изрично изброява държавните и общинските лечебни заведения.
„Лица, осъществяващи публични функции“ са нотариусите, частните съдебни изпълнители, държавните и общинските учебни заведения, държавните и общинските лечебни заведения, възложителите по чл. 5, ал. 2 – 4 от Закона за обществените поръчки…“§ 1, т. 11 от ДР на ЗЕУ
Условия: заведението да не е съществен или важен субект на друго основание и да предоставя административни услуги по електронен път. Няма праг за размер.
Резултат: важен субект (чл. 4а, ал. 2).
чл. 4, т. 8 – организации, предоставящи обществени услуги
По § 1, т. 12 от ДР на ЗЕУ „обществени услуги“ включват изрично здравните услуги, а по т. 14 организация, предоставяща обществени услуги, е всяка организация независимо от правната форма. Това улавя частните болници, ДКЦ, МЦ и поликлиники, които не попадат по размер.
Условия: да не са субекти на друго основание и да предоставят административни услуги по електронен път. Няма праг за размер.
Резултат: важен субект (чл. 4а, ал. 2).
03Прагове за размер и класификация
Критериите са по чл. 3, ал. 1 от Закона за малките и средните предприятия, в сила със стойности в евро от 01.01.2026 г.
| Категория | Персонал | Оборот / активи | Статут при сектор от Приложение I |
|---|---|---|---|
| Голямо предприятие | 250 и повече | над 50 млн. EUR оборот или над 43 млн. EUR активи | Съществен субект |
| Средно предприятие | 50 – 249 | 10 – 50 млн. EUR оборот | Важен субект |
| Микро или малко | под 50 | до 10 млн. EUR оборот и активи | Проверява се по чл. 4, т. 3, 7 и 8 |
При определяне на размера не се прилага чл. 4, ал. 9 от ЗМСП, тоест публичното участие в капитала не променя категорията. Ако едно заведение отговаря едновременно на условията за съществен и за важен субект на различни основания, се прилагат изискванията за съществените субекти.
04Типични профили в българското здравеопазване
Индикативна карта. Конкретният статут винаги се проверява по действителните числа и по критериите за критичност.
| Тип заведение | Обичаен размер | Най-вероятен статут | Водещо основание |
|---|---|---|---|
| УМБАЛ и големи МБАЛ в областни центрове | над 250 заети | Съществен | чл. 4, т. 2 + чл. 4а, ал. 1, т. 1 |
| Общинска МБАЛ в малък град | 50 – 249 заети | Важен | чл. 4, т. 2 + чл. 4а, ал. 2 |
| Общинска болница, единствена в общината | под 50 заети | Съществен или важен | чл. 4, т. 3, букви „г“ и „д“ |
| СБАЛ (кардиология, онкология, АГ) | 50 – 249 заети | Важен, възможно съществен | чл. 4, т. 2; при уникална роля – чл. 4, т. 3 |
| Голям частен ДКЦ или МЦ | 50 – 249 заети | Важен | чл. 4, т. 2 + чл. 4а, ал. 2 |
| Общински ДКЦ или поликлиника | под 50 заети | Важен | чл. 4, т. 7 (публични функции по ЗЕУ) |
| Малък частен МЦ или групова практика | под 50 заети | Важен | чл. 4, т. 8 (обществени услуги по ЗЕУ) |
| МЗ, РЗИ, НЗОК, ИАМН | – | Съществен | чл. 4, т. 1 + чл. 4а, ал. 1, т. 4 |
05Какво означава „административни услуги по електронен път“ в лечебно заведение
Това е условието, което задейства пътища В и Г. Законът не дава изчерпателен списък за здравния сектор, затова преценката се документира.
Типични индикатори за наличие
- Обмен с Националната здравноинформационна система – електронно направление, електронна рецепта, електронна хоспитализация, електронен здравен запис
- Издаване на електронни болнични листове към НОИ
- Електронно издаване на медицински удостоверения, епикризи, резултати от изследвания
- Пациентски портал, онлайн записване на час, достъп до собствено досие
- Електронно отчитане към НЗОК
- Обмен на електронни документи с други административни органи
Как да го документирате
Изготвя се кратка вътрешна записка, която:
- изброява всички електронни услуги и интеграции на заведението;
- посочва правното основание, по което заведението попада в обхвата;
- определя предложената класификация – съществен или важен субект;
- се одобрява от управителния орган.
Тази записка е първото доказателство при проверка и основа за уведомяване на националния компетентен орган.
06Какво следва от попадането в обхвата
Задълженията са едни и същи за съществените и важните субекти. Разликата е в надзора – съществените подлежат на проактивен контрол, важните на последващ.
чл. 21 · Ръководството
- Управителният орган одобрява мерките за управление на риска и следи прилагането им
- Членовете на управителния орган преминават обучение на всеки две години
- Ръководството предлага и организира обучение и за служителите
Отговорността е лична и не подлежи на делегиране към ИТ отдела или външен доставчик.
чл. 22 · Мерки за управление на риска
Дванадесет задължителни области, приложени пропорционално на риска, размера и вероятността от инциденти:
- анализ на риска и политики за сигурност
- действия при инцидент
- непрекъснатост, резервни копия, възстановяване и управление на кризи
- сигурност на веригата за доставка
- сигурност при придобиване, разработване и поддръжка
- оценяване на ефективността на мерките
- киберхигиена и обучение
- криптография и криптиране
- сигурност на човешките ресурси, контрол на достъпа, управление на активи
- многофакторно удостоверяване и защитени комуникации
- управление на измененията на информационните активи
- мерки и докладване за субектите по Приложение I и II
чл. 23 · Уведомяване за инциденти
- до 24 ч. от установяването – ранно предупреждение до СЕРИКС
- до 72 ч. – уведомление с първоначална оценка на тежестта и въздействието
- междинен доклад при поискване от СЕРИКС
- до 1 месец след уведомлението – окончателен доклад
- уведомяване на пациентите, когато инцидентът може да засегне услугите към тях
Часовникът тръгва от установяването на инцидента, а не от неговото начало. Затова процесът за откриване и ескалация е също толкова важен, колкото и самото уведомяване.
07Срокове
Отчитани от обнародването на ЗИД на ЗКС в ДВ бр. 17 от 13 февруари 2026 г.
08Санкции
| Нарушение | Субект | Размер | Основание |
|---|---|---|---|
| Неизпълнение на задълженията по чл. 22 и 23 | Съществен субект | до 10 000 000 EUR или до 2 % от общия световен годишен оборот, но не по-малко от 25 000 EUR | чл. 29, ал. 2 |
| Неизпълнение на задълженията по чл. 22 и 23 | Важен субект | до 7 000 000 EUR или до 1,4 % от общия световен годишен оборот, но не по-малко от 12 500 EUR | чл. 29, ал. 3 |
| Нарушение на чл. 21 | Управител или член на управителен орган – лично | от 500 до 5 000 EUR | чл. 29, ал. 4 |
| Неизпълнение на принудителна административна мярка | Съществен или важен субект | от 2 500 до 12 000 EUR; при повторност от 5 000 до 25 000 EUR | чл. 28 |
Санкцията по чл. 29, ал. 2 не се прилага за съществените субекти, които са административни органи (чл. 29, ал. 5). Освен глоби компетентните органи разполагат с принудителни административни мерки, включително задължителни указания, целеви одити за сметка на субекта и временно спиране на дейност.
09Пътят към съответствие
Съответствието не е еднократен проект, а управляван процес. Най-краткият доказан път минава през документирана самооценка, оценка на риска и комплект работещи политики, поддържани с доказателства.
- Определяне на обхвата и класификациятаДокументирана самооценка кой текст от чл. 4 Ви обхваща и дали сте съществен или важен субект. Одобрява се от управителния орган и се актуализира при промяна в персонала, оборота или услугите.
- GAP анализСъпоставяне на текущото състояние с дванадесетте области по чл. 22, ал. 2 и с изискванията на наредбата. Резултатът е списък с пропуски, приоритизиран по риск.
- Оценка на рискаИдентифициране на активите – болнична информационна система, PACS, лабораторна система, медицинска апаратура в мрежа, интеграции с НЗИС и НЗОК – заплахите и уязвимостите, и приоритизиране на риска.
- Документална рамкаПетте политики и процедури, които покриват задълженията по чл. 21 – 23, заедно с поддържащите регистри. Виж следващия раздел.
- Обучение на ръководството и на служителитеЗадължително за членовете на управителния орган на всеки две години (чл. 21, ал. 2) и организирано от тях за персонала (чл. 21, ал. 3). Присъствените списъци и програмите са доказателство.
- Процес за инцидентиДефинирани роли, канал за откриване и ескалация, шаблони за уведомленията в 24, 72 часа и един месец, и поне едно проведено учение. Часовникът тръгва от установяването.
- Доказателства и прегледВътрешен одит, мониторинг на ефективността на мерките и годишен преглед от ръководството. Съответствието се доказва с записи, не с намерения.
Петте документа, които покриват чл. 21 – 23
- Политика за управление на риска и сигурността
Стратегическата основа – оценка на риска, класификация на активите, роли и отговорности, обучение на ръководството.
- Политика за контрол на достъпа и техническа сигурност
Многофакторно удостоверяване, криптография, управление на уязвимости, мониторинг, сегментация на мрежата.
- Процедура за управление на инциденти
Единственият документ с изрични законови срокове – 24 часа, 72 часа и един месец към СЕРИКС.
- Политика за непрекъснатост на дейността
План за непрекъснатост, план за възстановяване след бедствие, анализ на въздействието и управление на кризи. В болнична среда това включва режима на работа при недостъпна БИС.
- Политика за сигурност на веригата на доставка
Класификация на доставчиците, надлежна проверка и договорни клаузи. В здравеопазването критични са доставчиците на БИС, PACS, лабораторни системи и медицинска апаратура с мрежова свързаност.
Подробно описание на комплекта и на съпътстващите го регистри: 5-те документа, които покриват ЗКС.
Първата стъпка е самооценката. Не е нужно да я правите сами.
Тя показва по кой текст попадате, какъв е статутът Ви, къде са пропуските и в каква последователност да действате. От нея произлизат обхватът на проекта, бюджетът и сроковете. Работили сме с болници, общини и оператори на критична инфраструктура – познаваме както изискванията, така и реалните ограничения, при които работи едно лечебно заведение.
10Правно основание и източници
- Закон за киберсигурност, изменен със ЗИД, обн. ДВ, бр. 17 от 13 февруари 2026 г. – чл. 4, чл. 4а, чл. 6, чл. 6а, чл. 16, чл. 21 – 23, чл. 28 – 29, Приложение I, т. 5
- Преходни и заключителни разпоредби към ЗИД на ЗКС – § 42, § 47, § 48, § 51
- Директива (ЕС) 2022/2555 (МИС2)
- Директива 2011/24/ЕС, чл. 3, буква „ж“ – определение за доставчик на здравно обслужване
- Закон за електронното управление, § 1, т. 11, 12 и 14 от допълнителните разпоредби
- Закон за малките и средните предприятия, чл. 3, ал. 1 и чл. 4, ал. 9
- Наредба за минималните изисквания за мрежова и информационна сигурност (ПМС № 186 от 2019 г.)
- Проект на Методика за определяне на съществени и важни субекти по Закона за киберсигурност
Материалът има информационен характер и отразява състоянието на нормативната уредба към август 2026 г. Не замества правен съвет по конкретен случай. Част от подзаконовата уредба предстои да бъде приета и може да промени детайли по прилагането.