Санкции по Закона за киберсигурност

Законът определя имуществена санкция при неизпълнение на задълженията по чл. 22 и чл. 23. Размерът зависи от това дали субектът е съществен или важен, и се определя като по-високата от две стойности: фиксирана горна граница или процент от оборота.

Особеност на българското въвеждане е, че освен горна граница са определени и минимални размери. Това означава, че дори при малка организация санкцията има долна граница, а не се свежда до символична сума.

Санкцията не е единствената последица. Отделно се предвижда лична глоба за ръководителите при нарушение на задълженията по чл. 21, както и санкция при неизпълнение на принудителна административна мярка.

При определяне на санкцията се вземат предвид обстоятелствата по чл. 29б: степента на въздействие, продължителността, предприетите действия за отстраняване, съдействието с органите и предишни нарушения. Това означава, че документираната реакция има значение.

От това следва практическа последица. Ако организацията може да покаже кога е установила проблема, какво е предприела и кой е потвърдил резултата, разговорът с контролния орган се води с доказателства, а не с предположения.

• Санкцията се налага независимо от принудителните административни мерки, които органът може да приложи.
• Когато надзорен орган по Регламент (ЕС) 2016/679 наложи санкция за същото деяние, компетентните органи по този закон могат да налагат само мерки, а не втора имуществена санкция.
• За нарушения, извършени до 1 юни 2026 г., глобите и имуществените санкции се налагат в размер, намален с 50 на сто (Заключителни разпоредби, § 51).

Санкцията рядко идва от липсата на отделна мярка. Много по-често идва от невъзможност да се докаже, че мерките са приети, прилагани и прегледани. Липсата на следа се възприема като липса на процес.

Затова работещият подход е обратен на интуицията: първо се определя обхватът, след това се оценява състоянието, а към всеки отговор се свързва доказателство. Установените пропуски стават задачи с отговорник и срок, а резултатът минава през проверка от второ лице.