Ако живеете в ЕС, три закона определят колко бързо една компания трябва да признае, че е била хакната. Сравнение от 2026 г. на NIS2, DORA и GDPR разглежда обхвата, сроковете от 24 и 72 часа за инциденти, глобите в диапазона от 10 до 20 млн. евро и кои държави членки са предприели действия до ноември 2026 г. Тази публикация превежда това на разбираем език. Кратката версия на NIS2 DORA GDPR breach reporting: сроковете са кратки, санкциите са големи, а правилата не се прилагат по един и същ начин във всяка държава.

Какво всъщност означават сроковете за докладване на нарушения по NIS2, DORA и GDPR

Двете числа, които се открояват в сравнението, са 24 часа и 72 часа. Това са срокове, които започват да текат, след като дадена организация узнае за сериозен инцидент. Те не са обещания, че ще бъдете уведомени в рамките на един или три дни.

На практика тези срокове се отнасят главно до докладването от страна на компанията до регулатор или надзорен орган. Този ранен доклад позволява на служителите да видят дали дадена атака засяга няколко организации едновременно. По-краткият първи срок (24 часа) обикновено означава ранно предупреждение, докато по-дългият (72 часа) оставя време за по-пълна картина на случилото се. Изходното сравнение не изяснява всеки детайл за това как всеки закон определя своите срокове, затова проверете официалния текст на всяка регулация или при националния си орган за точната формулировка.

Трите закона също така обхващат различни области:

  • GDPR е за личните данни и се прилага за организации, които обработват данни на хора в ЕС.
  • NIS2 е за сигурността на мрежовите и информационните системи в сектори, считани за важни за обществото.
  • DORA е за цифровата оперативна устойчивост във финансовия сектор.

Поради това припокриване един инцидент може да задейства повече от един закон едновременно. Кибератака срещу финансова фирма, която разкрива клиентски данни, може да повдигне въпроси по всичките три закона.

Кога компанията трябва да ви уведоми за нарушение: какво означава това за вас

Тук очакванията трябва да се коригират. Срок от 24 или 72 часа не означава, че входящата ви кутия ще светне на следващия ден. Първият доклад обикновено отива при властите, а уведомяването на засегнатите лица е отделна стъпка със свои собствени условия. Тези условия зависят от съответния закон и от това колко сериозен е рискът за вас.

Какво можете разумно да извлечете от рамката:

  • Регулаторите научават първи. Очаквайте формалният срок да се отнася за доклада до органа, а не за публично съобщение.
  • Ранните уведомления може да са непълни. Краткият първи доклад може да пропуска причината, мащаба или дали вашите данни са били засегнати.
  • Правата ви произтичат главно от GDPR. Това е законът, насочен към личните данни, затова е този, който трябва да разгледате, когато искате да знаете на какво имате право да бъдете информирани.
  • Секторът има значение. Ако вашата банка, доставчик на платежни услуги или основна услуга бъде засегната, задълженията по NIS2 или DORA може да се прилагат в допълнение към GDPR.

Нищо от това не замества собствената ви предпазливост. Дори добре работеща система за докладване оставя разлика между инцидент и вашето уведомление, затова е полезно да смените паролите си, да активирате многофакторно удостоверяване и да наблюдавате акаунтите си за необичайна активност веднага щом чуете за нарушение.

Как се сравняват глобите по NIS2, DORA и GDPR

Сравнението представя санкциите като диапазон от 10 до 20 млн. евро. Този диапазон показва колко сериозно законодателите гледат на пропуснатите срокове и слабата сигурност. Неспазването на срока за докладване само по себе си е нарушение на съответствието, отделно от самото нарушение на сигурността.

Едно уточнение относно точността. Изходното резюме дава общия диапазон, но не и разбивка ред по ред, показваща кой закон определя коя цифра. Няма да гадаем сумите по отделните закони, защото структурите на санкциите може да включват различни тавани, проценти от оборота и национални избори при прилагането. Особено за DORA подробностите може да зависят от това как всяка държава членка определя своите санкции. Ако ви трябват точни числа за конкретен закон, прочетете самата регулация или насоките на националния си орган.

Това, което диапазонът ви казва, е, че регулаторите имат реална сила. За компании, които трябва да изпълняват няколко припокриващи се задължения, лошо обработен инцидент може да създаде повече от един проблем със съответствието едновременно.

Как да проверите дали вашата държава от ЕС е приела NIS2 и DORA

Сравнението също така проследява кои държави от ЕС са предприели действия до ноември 2026 г., което е напомняне, че правилата на ЕС не винаги влизат в сила навсякъде едновременно. NIS2 е директива, така че всяка държава членка трябва да я транспонира в националното си право, и напредъкът може да се различава от страна до страна. Практични начини да проверите къде стои вашата:

  1. Потърсете органа за киберсигурност на националното си правителство. Той обикновено публикува статуса на националното законодателство по NIS2 и изброява кой трябва да се регистрира или докладва.
  2. Проверете финансовия си регулатор. За DORA националният финансов надзорен орган е най-добрият източник за това как правилата се прилагат за банки, застрахователи и платежни фирми.
  3. Проверете органа си за защита на данните. За GDPR той обяснява как да подадете жалба и какви права за уведомяване имате.
  4. Прочетете официалните текстове на ЕС. Самите регламенти и директиви са последната дума относно сроковете и обхвата.

Ако вашата държава е била бавна, това не премахва GDPR. Той се прилага в целия ЕС от години и остава вашият най-пряк инструмент, когато лични данни бъдат разкрити.

Основни изводи

Разбирането на NIS2 DORA GDPR breach reporting се свежда до няколко точки: сроковете от 24 и 72 часа главно уреждат докладването до регулаторите, глобите са значителни, а националното приемане варира. Отделете няколко минути тази седмица, за да проверите статуса на NIS2 и DORA във вашата държава, и прегледайте правата си по GDPR да бъдете информирани и да подадете жалба до органа си за защита на данните.

Ако искате да видите как режим извън ЕС се справя с подобни въпроси, прочетете нашето отразяване на UK Cyber Security Resilience Bill, който въвежда критичната инфраструктура в официална национална рамка и се занимава със собствени задължения за докладване на инциденти. Сравняването му с подхода на ЕС показва как различните правителства се сближават към по-бързо и по-структурирано разкриване на нарушения.