Какво изисква Законът за киберсигурност (NIS2) от вашия хостинг?

Кратък отговор за български компании, които попадат в обхвата на NIS2 и искат да знаят какво реално трябва да дава техният хостинг — и какво остава тяхна отговорност.

Кратък отговор

1Законът за киберсигурност, изменен с ДВ бр. 17 от 13.02.2026, въвежда директива NIS2 в българското право.
2Задълженият субект е вашата организация, а не хостинг доставчикът: вие отговаряте за мерките и за докладването.
3При значителен инцидент подавате ранно предупреждение до 24 часа и уведомление до 72 часа след установяването му, а окончателен доклад — до един месец след уведомлението.
4Управителните органи одобряват мерките за управление на киберрисковете и носят отговорност за тях.
5От хостинга ви трябват доказуеми елементи: логове, резервни копия, защита от DDoS, договор за обработка на данни и бърз достъп до информация при инцидент.

Законодателство: какво казва ДВ бр. 17/2026

Законът за изменение и допълнение на Закона за киберсигурност е обнародван в Държавен вестник, бр. 17 от 13 февруари 2026 г. Той разделя организациите на съществени и важни субекти и им възлага мерки за управление на киберрисковете, съобразени с размера и дейността им.

Двете практически най-важни промени са поетапното докладване на значителни инциденти (24 часа, 72 часа, един месец) и личната роля на ръководството, което одобрява мерките. Текстът на закона: dv.parliament.bg.

Законът не задължава хостинг доставчика да изпълнява вашите задължения. Той обаче ви задължава да управлявате рисковете и във веригата на доставки — тоест да знаете какво гарантира доставчикът ви.

Какво да изисквате от хостинга

Централизирани логове, до които имате достъп веднага — основата за 24-часовото предупреждение.
Ежедневни резервни копия и тествано възстановяване.
Защита от DDoS на мрежово ниво и възможност за WAF на приложно ниво.
Договор за обработка на данни (чл. 28 GDPR) и ясна локация на данните в ЕС.
Хора, които могат да помогнат при инцидент и при подготовката на доклада.

Три типични български сценария

Онлайн магазин от Пловдив, доставчик на цифрова услуга: трябва да докаже, че може да открие атака през уикенда и да подаде ранно предупреждение в рамките на 24 часа.
Софтуерна компания от София, която хоства SaaS за клиенти в обхвата на закона: клиентите ѝ ще искат доказателства за резервни копия и управление на достъпа като част от веригата на доставки.
Частна клиника във Варна с пациентски портал: ръководството трябва формално да одобри мерките, а не само да ги делегира на външен ИТ специалист.

Чести грешки

Да смятате, че „сертифициран хостинг“ ви прави съответстващи на закона. Съответствието е ваше — доставчикът само ви дава инструменти и данни.
Да нямате централизирани логове. Без тях 24-часовият срок за ранно предупреждение е почти невъзможен.
Да не проверявате възстановяването от резервно копие. Копие, което никога не е тествано, не е мярка.
Да оставите ръководството извън процеса. Законът изисква мерките да бъдат одобрени от управителните органи, не само от ИТ отдела.

Как помага 4hosting

4hosting е „хостинг с включен DevOps“: всеки абонамент от ниво cPanel Advanced нагоре, всички VPS, dedicated и GPU сървъри включват месечни часове DevOps, киберсигурност и програмиране, които заявявате от клиентския панел. С тях можем да настроим централизирани логове (Grafana, Prometheus, Loki), алармиране, WAF с правила OWASP, hardening на сървъри и контейнери и резервни копия, защитени от ransomware.

Защитата от DDoS на ниво L3/L4 е включена. Сървърите са в ЕС — Франкфурт, не в България. Работим по GDPR с договор за обработка на данни и следваме принципите на ISO 27001 (привеждане в съответствие, не сертификат).

Важно: 4hosting не е сертифициращ орган и не подписва съответствието ви със закона. Задълженият субект и отговорността за докладването остават ваши.

Въпроси и отговори

4hosting ли поема задълженията ми по Закона за киберсигурност?

Не. Задълженият субект остава вашата организация. 4hosting не е сертифициращ орган и не удостоверява съответствието ви със закона; предоставяме инфраструктура и технически услуги, които ви помагат да изпълните мерките.

Къде физически са сървърите?

В център за данни в ЕС — Франкфурт, не в България. Данните остават в Европейския съюз, а ние подписваме договор за обработка на данни по чл. 28 от GDPR.

Какви са сроковете при значителен инцидент?

Ранно предупреждение до 24 часа, уведомление за инцидент до 72 часа след установяването и окончателен доклад не по-късно от един месец след уведомлението.