Държавен вестник, бр. 17, 2026 г., стр. 18

СТР.  18	
Д Ъ Р Ж А В Е Н  В Е С Т Н И К 	
БРОЙ  17
(2) За осъществяване на контрол по този 
закон органите по ал. 1 оправомощават със 
заповед длъжностни лица от съответната 
администрация.
Правомощия при осъществяване на кон­
трола
Чл. 27ж. (1) При осъществяване на своите 
правомощия по отношение на съществените 
субекти органите по чл. 27е имат право да:
1. извършват проверки – планови и из­
вънпланови, на място или дистанционни, 
извършвани от компетентни оправомощени 
длъжностни лица;
2. извършват редовни и целеви одити на 
сигурността, извършвани от независим орган 
или компетентен орган;
3. извършват извънпланови одити, когато 
са обосновани поради значителен инцидент 
или нарушение на този закон от страна на 
съществения субект;
4. извършват проверки за сигурност, ос­
новани на обективни, недискриминационни, 
справедливи и прозрачни критерии за оценка 
на риска, при необходимост, със съдействието 
на съответния субект;
5. изискват информация, необходима за 
оценка на мерките за управление на риска в 
областта на киберсигурността, приети от съ­
ответния субект, включително документирани 
политики в областта на киберсигурност, както 
и изпълнение на задълженията за изпращане 
на информация на националните компетентни 
органи съгласно чл. 27в (Регистъра на ENISA);
6. им бъде предоставен достъп до данни, 
документи и всякаква информация, необходи­
ми за осъществяването на техните надзорни 
задачи;
7. изискват и да им бъдат предоставени 
доказателства за изпълнение на политиките в 
областта на киберсигурността, като например 
резултатите от одитите на сигурността, извър­
шени от квалифициран одитор, и съответните 
подкрепящи доказателства.
(2) При осъществяване на своите право­
мощия, по отношение на важните субекти, 
органите по чл. 27е имат право да:
1. извършват проверки на място и послед­
ващ дистанционен надзор, извършвани от 
компетентни оправомощени длъжностни лица;
2. извършват целеви одити на сигурността, 
извършвани от независим орган или компе­
тентен орган;
3. извършват проверки за сигурност, ос­
новани на обективни, недискриминационни, 
справедливи и прозрачни критерии за оценка 
на риска, при необходимост, със съдействието 
на съответния субект;
4. изискват информация, необходима за 
последваща оценка на мерките за управление 
на риска в областта на киберсигурността, 
приети от съответния субект, включително 
документирани политики за киберсигурност, 
както и съответствие със задълженията за 
изпращане на информация до националните 
компетентни органи съгласно чл. 27в;
5. изискват достъп до данни, документи и 
информация, необходими за изпълнението на 
надзорните им задачи;
6. изискват доказателства за изпълнението 
на политиките в областта на киберсигурността, 
като например резултатите от одитите на 
сигурността, извършени от квалифициран оди­
тор, и съответните подкрепящи доказателства. 
(3) При упражняване на своите правомощия 
по ал. 1, т. 5, 6 и 7, съответно ал. 2, т. 4, 5 и 
6, националните компетентни органи заявяват 
целта на своето искане и поясняват исканата 
информация.
Целеви одити на сигурността
Чл. 27з. (1) Целевите одити на сигурността, 
посочени в чл. 27ж, се основават на оценки 
на риска, извършени от компетентния орган 
или одитирания субект, или на друга налична 
информация, свързана с риска.
(2) Резултатите от всеки целеви одит на 
сигурността се предоставят на националните 
компетентни органи по чл. 16, ал. 1. 
(3) Разходите за такъв целеви одит на 
сигурността, извършен от независим орган, 
се заплащат от одитирания субект, освен в 
надлежно обосновани случаи, когато нацио­
налният компетентен орган реши друго.
Предупреждения, задължителни предпи­
сания и разпореждания
Чл. 27и. (1) При осъществяване на своите 
правомощия органите по чл. 27е издават:
1. предупреждения;
2. задължителни предписания или разпо­
реждания, с които се изисква от засегнатите 
субекти да отстранят установените пропуски 
или нарушения на този закон, а за същест­
вените субекти – и предписания относно 
мерките, необходими за предотвратяване на 
възникването на инцидент или за справяне 
с него, за изпълнение на задължение за док­
ладване, както и да определят срокове за 
изпълнение на такива мерки;
3. разпореждания за преустановяване на 
поведение, което нарушава закона, и за въз­
държане от повтаряне на такова поведение;
4. разпореждания за гарантиране, че мер­
ките за управление на риска в областта на 
киберсигурността са в съответствие с чл. 22, 
или че са изпълнени задълженията за доклад­
ване по чл. 23 по конкретен начин, за което 
да е определен срок;
5. разпореждания към засегнатите субекти 
да уведомяват физическите или юридическите 
лица, на които предоставят услуги или по 
отношение на които извършват дейности и