I. Въведение
Регулирането на киберсигурността в ЕС рядко стои на едно място, но три събития, които в момента се сближават, правят този момент особено важен за сектора: предложението на Европейската комисия за преразглеждане на Закона за киберсигурността („CSA2“), продължаващото въвеждане в действие на рамката за сигурност на веригата на доставки по NIS2 в държавите-членки и становището на генералния адвокат Чапета от 19 март 2026 г. по дело C-354/24 на Съда на Европейския съюз, „Elisa Eesti AS срещу TTJA“. Взети поотделно, всяко едно от тях е значимо. Разгледани заедно, те разкриват някои противоречия, които ще определят законодателството на ЕС в областта на киберсигурността на веригите за доставки през следващите години. Настоящата статия очертава как тези три направления взаимодействат помежду си и идентифицира някои от правните въпроси, които най-вероятно ще определят дали новосъздадената рамка ще издържи съдебния контрол.
1. Контекст
През януари 2026 г. Европейската комисия публикува своето предложение за преразгледан Акт за киберсигурност (CSA2), с което се въвеждат задължителни мерки на равнище ЕС за сигурност на веригите за доставки. Те включват определянето на трети държави като пораждащи опасения в областта на киберсигурността, класифицирането на „високорискови доставчици“ и задължителни изисквания за поетапно извеждане от употреба в критични мрежи.
Почти по същото време генералният адвокат Чапета представи своето заключение по дело C-354/24, в което се разглежда пропорционалността на ограниченията спрямо доставчици, основани на държавата им на произход, съгласно правото на ЕС, в конкретния контекст на естонския режим за предварително разрешаване на мрежово оборудване.
Междувременно NIS2 (Директива (ЕС) 2022/2555) вече е транспонирана в повечето държави членки, макар прилагането ѝ да остава неравномерно. Тя изисква национални стратегии за киберсигурност и задължения за управление на риска, обхващащи сигурността на веригите за доставки на ИКТ продукти и услуги, като същевременно оставя много конкретни решения на националните органи и регулираните субекти.
Необходим е контекст, за да се постави CSA2 в по-широка рамка. Първоначалната Директива NIS създаде хоризонтална рамка на ЕС за мрежова сигурност. След това Инструментариумът на ЕС за 5G въведе координирана, но доброволна методология за оценка и ограничаване на високорискови доставчици. Наскоро, Групата за сътрудничество по NIS прие Инструментариума на ЕС за сигурност на веригите за доставки в областта на ИКТ, насочен към идентифициране и смекчаване на рисковете във веригите за доставки, включително зависимостта от високорискови доставчици. Съществуват и други свързани инструменти, но те са изключени от настоящия анализ, за да се запази фокусът му.
2. CSA2 в контекста на правото на ЕС
CSA2 има за цел да замени действащия Закон за киберсигурност. Най-значимото нововъведение в него е дял IV, с който се създава рамка за надеждна верига за доставки на ИКТ, приложима във всички сектори по NIS2. Целта е изрично нетехническа: вероятността даден доставчик да бъде подложен на влияние от трета държава, което може да доведе до нарушаване на услуги, компрометиране на продукти или да позволи извличане на данни.
Механизмът функционира на няколко нива:
- Групата за сътрудничество по NIS или Комисията могат да извършват координирани оценки на риска за сигурността на равнище Съюз.
- След това Комисията може да определи трета държава като пораждаща опасения в областта на киберсигурността въз основа на критерии като задължения за докладване на уязвимости, липса на ефективни средства за съдебна защита и киберкампании, свързани с тази държава.
- В резултат на това субекти, установени в или контролирани от определена държава, могат да бъдат квалифицирани като „високорискови доставчици“.
- Комисията може да налага ограничения – изключване от обществени поръчки, последици за сертифицирането, ограничения върху трансфера на данни, задължителна диверсификация на доставчиците и задължения за поетапно преустановяване на дейността.
Тази каскадна архитектура е последователна като замисъл, но потенциално уязвима от правна гледна точка. Ако класифицирането на доставчик следва автоматично от определянето на дадена държава, без засегнатите доставчици да имат ефективна възможност да бъдат изслушани или да оспорят фактическата основа на ограничението пред съд, структурата би могла да влезе в противоречие с членове 41 и 47 от Хартата на основните права на Европейския съюз („Хартата“).
Режимът е още по-строг по отношение на мрежите за електронни комуникации, като се основава на (доброволния) Инструментариум на ЕС за 5G. Приложение II към CSA2 изброява ключовите ИКТ активи, обхванати за мобилни, фиксирани и сателитни мрежи. За мобилните мрежи срокът за поетапно извеждане от употреба на компоненти от високорискови доставчици не може да надвишава 36 месеца от публикуването на съответния списък на високорисковите доставчици. Обхванатите 5G активи включват основни мрежови функции, виртуализация и оркестриране на мрежови функции, както и мрежата за радиодостъп.
Следователно друг основополагащ въпрос би могъл да се отнася до правното основание. CSA2 се основава на член 114 ДФЕС – компетентността, свързана с вътрешния пазар. Обосновката на Комисията е, че различията в националните подходи фрагментират вътрешния пазар и водят до неравномерна устойчивост. Въпреки това, доколкото определянето на държави и изключването на доставчици функционират като инструменти на външната политика и политиката на сигурност, а не като мерки за пазарна хармонизация, може да възникне конфликт с член 4, параграф 2 ДЕС, който запазва националната сигурност като компетентност на държавите членки. Това се подкрепя и от установения принцип, че член 114 ДФЕС не може да бъде използван, когато тежестта на дадена мярка не е насочена към хармонизацията на пазара, например дело C-376/98 на Съда на ЕС, „Германия срещу Европейския парламент и Съвета“ („Реклама на тютюневи изделия“).
3. Връзката с NIS2: от национални стратегии към правомощия за ограничения на равнище Съюз
CSA2 е изграден пряко върху екосистемата на NIS2, като обхваща всички субекти в секторите, изброени в приложения I и II към NIS2, и използва Групата за сътрудничество по NIS като отправна точка за координирани оценки на риска. NIS2 вече изисква мерки за управление на риска, обхващащи сигурността на веригите за доставки, управлението на уязвимости и оценката на риска, свързан с доставчиците, както и задължава националните стратегии за киберсигурност да разглеждат сигурността на веригите за доставки на ИКТ продукти и услуги.
Докато NIS2 оставя конкретното управление на риска до голяма степен на държавите членки и регулираните субекти, CSA2 би наложил задължителен механизъм на равнище Съюз. На Групата за сътрудничество по NIS може да бъде възложено да извършва координирани оценки на рисковете за сигурността в рамките на шест месеца, като идентифицира ключови ИКТ активи, субекти, представляващи заплаха, уязвимости и мерки за смекчаване на риска. На практика координационната архитектура на NIS2 се превръща в процедурен вход към ограничения, които в крайна сметка засягат обществените поръчки, сертифицирането, трансфера на данни, възлагането на дейности на външни изпълнители, проверката на персонала и използването на компоненти в ключови ИКТ активи.
Националното прилагане на NIS2 също ще взаимодейства пряко със CSA2. Държавите членки могат да приемат или да запазят по-строги мерки, когато това е обосновано, но вече в рамките на по-централизиран режим на ЕС. Например измененият Закон за киберсигурност на България (чл. 27, изм., ДВ, бр. 17/2026) илюстрира това, като дава правомощия на Българския съвет по киберсигурност да предлага ограничения върху конкретни технологии или критични ИКТ вериги за доставки, но изрично обвързва това правомощие със спазването на задължителното право на ЕС и със съгласуваността с координираните оценки на риска на равнище ЕС - като налага тригодишен преходен период, който се съкращава при установяване на повишен риск за националната сигурност.
4. Защо „Elisa Eesti“ (дело C-354/24) е от значение
На този фон дело C-354/24 придобива изключителна важност. Спорът възниква, след като Elisa Eesti, водещ естонски доставчик на телекомуникационни услуги, оспорва решения на естонските власти, ограничаващи използването на оборудване в неговата мобилна радиомрежа - пряк и конкретен пример за вида ограничения във веригата за доставки, което CSA2 се стреми да обобщи и приложи в целия Съюз. Насочващият съд поставя въпроси дали такива национални правила попадат в обхвата на Европейския кодекс за електронни съобщения, дали позоваването на националната сигурност изключва изцяло преразглеждането съгласно правото на ЕС и дали ограниченията върху вече инсталирано оборудване засягат правото на собственост.
Заключението на генералния адвокат Чапета разглежда всеки от тези въпроси, които имат пряко отношение към бъдещата структура на CSA2. По-конкретно, в него се посочва, че когато държава членка регулира хармонизирана област, каквато са електронните комуникации, мярката остава подчинена на правото на ЕС и на контрол за пропорционалност, дори когато се позовава на националната сигурност.
От съществено значение е, че в становището се посочва, че едно ограничение не може да се основава на общо подозрение. Органите трябва да преценят дали конкретният хардуер или софтуер, при предвиденото му използване и местоположението му в мрежата, представлява реален, настоящ и достатъчно сериозен риск. При тази оценка може законно да се вземат предвид производителят, държавата, в която е установен, и начинът, по който рискът, свързан с дадена държава, но връзката трябва да бъде обоснована, подлежаща на преразглеждане и конкретна, а ограничението трябва да бъде насочено към предотвратяване на действителен риск за мрежовата сигурност.
Следователно окончателното решение на Съда ще определи критериите и процеса, на които CSA2, и актовете за неговото прилагане, ще трябва да отговарят.
5. Какво предстои
Този преглед показва, че правната рамка все още се развива и че няколко важни въпроса остават отворени. Дали CSA2 ще издържи правната проверка ще зависи от това как окончателният текст ще третира следните въпроси:
(а) Правно основание и компетентност
CSA2 се основава на член 114 ДФЕС, но актовете за изпълнение, които определят държави и изключват доставчици на основания, по-близки до външната политика и политиката на сигурност, отколкото до премахването на пречки пред търговията, поставят въпроса дали член 114 може да поддържа такива мерки. Възможно е да съществува и свързано с това противоречие с член 4, параграф 2 от ДЕС: ако актовете на Съюза фактически предопределят оценката на националната сигурност чрез определяне на държави и налагане на ограничения, се поставя на изпитание границата с компетентността, запазена за държавите-членки.
(б) Мотивиране, индивидуална оценка и равно третиране
Член 296 от ДФЕС изисква правните актове да посочват мотиви, а становището по делото „Elisa Eesti“ изисква наличието на връзка с действителен, настоящ и достатъчно сериозен риск, свързан с конкретно оборудване и предназначението му. Класифицирането на доставчиците като високорискови единствено въз основа на посочването на държавата, без обоснована оценка на индивидуалните им обстоятелства, създава предпоставки за оспорване поради недостатъчност на мотивите. По същия начин, когато двама доставчици със сравними технически и и профили на сигурност се третират по различен начин единствено поради факта, че единият е установен в определена държава, обективната обосновка, изисквана от принципа на равното третиране, се поставя под натиск.
(в) Основни права и пропорционалност
Изключването на доставчици и задължителното поетапно извеждане от употреба засягат свободата на стопанска дейност (чл. 16 от Хартата) и правото на собственост (чл. 17 от Хартата) както за доставчиците, така и за операторите, принудени да заменят инсталираното оборудване. Всяко ограничение трябва също така да отговаря на общата ограничителна клауза в чл. 52, параграф 1 от Хартата. Съгласно стандарта за пропорционалност, установен в становището по делото „Elisa Eesti“, едно ограничение трябва да бъде подходящо, необходимо и пропорционално, а едно общо изключване, приложено без да се вземат предвид конкретният компонент, мрежовата функция или наличните мерки за смекчаване на последиците, вероятно ще бъде подложено на внимателен преглед.
(г) Процесуални гаранции
Членове 41 и 47 от Хартата изискват засегнатите доставчици да имат реална възможност да бъдат изслушани, преди определянето им като високорискови да породи действие, както и ефективен съдебен контрол върху последиците от него, специфични за всеки доставчик.
Тези въпроси са взаимосвързани. Рамката за справяне с нетехническите рискове по веригата на доставки на равнището на Съюза действително да преследва легитимна цел, но нейната правна устойчивост ще зависи от това дали актовете за изпълнение предвиждат индивидуална оценка, адекватна обосновка и ефективен контрол, или вместо това ще се опират основно на определяне на държави с автоматични последици, без да се вземат предвид конкретните доставчици.
II. Заключение
Дело C-354/24 все още е висящо пред Съда на Европейския съюз, а законодателният процес по CSA2 също все още не е приключил. Ако Съдът приеме становището на генералния адвокат Чапета, този стандарт вероятно ще повлияе както върху актовете за прилагане на CSA2, така и върху национални мерки като механизма по член 27 в България. Във всеки случай Европейският парламент и Съветът все още могат да преработят критериите за определяне, ролята на индивидуалната оценка и процедурните гаранции.
Взаимодействието между евентуалното решение на Съда и окончателния законодателен текст ще определи дали рамката на ЕС за сигурност на веригата на доставки почива върху правно устойчива основа. По всички критерии това е интересен период за законодателството на ЕС в областта на киберсигурността, за доставчиците, които се ориентират в него, и за националните органи, натоварени с прилагането му.
Legal references
- Proposal for a Regulation on ENISA, the European cybersecurity certification framework and ICT supply chain security (CSA2), COM(2026) 11 final: https://secure.ipex.eu/IPEXL-WEB/document/COM-2026-11.
- Directive (EU) 2022/2555 (NIS2).
- NIS Cooperation Group, EU 5G Cybersecurity Toolbox and related coordinated risk assessments.
- Opinion of Advocate General Ćapeta in Case C-354/24, “Elisa Eesti AS v TTJA”, delivered 19 March 2026.
- Case C-376/98, “Germany v European Parliament and Council of the European Union” (“Tobacco Advertising”).
- Articles 4(2) and 5 TEU; Articles 114 and 296 TFEU; Articles 16, 17, 41, 47 and 52(1) of the Charter of Fundamental Rights of the European Union.
- Bulgarian Cybersecurity Act (Закон за киберсигурност), Art. 27, as amended, State Gazette No. 17/2026.
