Bulgarien startet neue Ära der Cybersicherheit

Bulgarien hat die EU-Richtlinie NIS2 umgesetzt und verschärft damit massiv die Cybersicherheitsvorschriften für zahlreiche Branchen. Das Gesetz sieht persönliche Haftung für Führungskräfte und hohe Bußgelder vor.

Bulgarien tritt mit einer verschärften Cybersicherheits-Verordnung in eine neue digitale Ära ein. Das Land hat die EU-Richtlinie NIS2 vollständig umgesetzt – mit weitreichenden Folgen für Unternehmen und Behörden.

Seit dem 17. Februar 2026 gilt das novellierte Cybersecurity Act. Es stellt die größte Überarbeitung der digitalen Sicherheitsvorschriften seit 2018 dar. Nach verzögerter Umsetzung hat das Parlament die Änderungen Anfang Februar verabschiedet. Damit zieht Bulgarien mit dem EU-Standard gleich.

Anzeige

Warum 73% der deutschen Unternehmen auf Cyberangriffe nicht vorbereitet sind: Neue Gesetze wie NIS2 verschärfen die Haftungslage massiv. Dieser kostenlose Leitfaden zeigt, wie Sie Ihr Unternehmen mit einfachen Maßnahmen proaktiv schützen. IT-Sicherheit stärken ohne Budget-Explosion

Die Neuregelung bedeutet einen Paradigmenwechsel: Weg von reiner Compliance-Dokumentation, hin zu aktiver Cyber-Resilienz. Im Fokus stehen nun operative Bereitschaft, messbares Risikomanagement und koordinierte Incident-Response.

Deutlich mehr Branchen unter Aufsicht

Ein Kernpunkt ist die massive Ausweitung des Geltungsbereichs. Statt bisheriger Schlüsselsektoren regelt das Gesetz nun 18 Branchen. Neu hinzu kommen:

• Lebensmittelproduktion und -verteilung
• Herstellung kritischer Produkte wie Medizingeräte
• Abfallwirtschaft
• Post- und Kurierdienste
• Digitale Anbieter und Rechenzentren
• Wissenschaftliche Forschungsinstitute

Das Gesetz unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Diese Klassifizierung bestimmt die Intensität der Aufsicht und die Höhe möglicher Sanktionen. Das Ministerium für E-Government führt ein nicht-öffentliches Register aller betroffenen Unternehmen.

Persönliche Haftung für das Management

Eine der einschneidendsten Neuerungen ist die persönliche Verantwortung des Top-Managements. Geschäftsführer und Vorstände müssen Cybersicherheits-Maßnahmen nun aktiv genehmigen, umsetzen und überwachen.

Diese Verantwortung wird durch eine verpflichtende Schulung untermauert. Führungskräfte müssen sich mindestens alle zwei Jahre in Cybersicherheit fortbilden. Die Botschaft ist klar: Digitale Sicherheit ist Chefsache und kein reines IT-Thema.

Strikte Meldepflichten und hohe Strafen

Das Gesetz schreibt einen dreistufigen Meldezeitplan für IT-Vorfälle vor. Betroffene Organisationen benötigen daher rund-um-die-Uhr-Überwachung. Bei einem signifikanten Vorfall gilt:

1. Frühwarnung an das zuständige CSIRT innerhalb von 24 Stunden
2. Detaillierte Meldung innerhalb von 72 Stunden mit Bewertung des Schadens
3. Abschlussbericht innerhalb eines Monats nach Lösung des Vorfalls

Die Bußgelder erreichen GDPR-Niveau. Für wesentliche Einrichtungen drohen bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes. Wichtige Einrichtungen können mit bis zu 7 Millionen Euro oder 1,4% des Umsatzes belangt werden. Führungskräfte haften persönlich mit bis zu 5.000 Euro.

Anzeige

Angesichts drakonischer Bußgelder und persönlicher Haftung wird eine lückenlose Dokumentation der Sicherheitsmaßnahmen für das Management überlebenswichtig. Mit diesem kostenlosen Werkzeug dokumentieren Sie Ihre Leistungen professionell und belegen den Wert Ihrer Arbeit gegenüber den Aufsichtsbehörden. Schritt-für-Schritt-Anleitung für Ihren überzeugenden Tätigkeitsbericht

Was bedeutet das für die Praxis?

Bulgariens verspätete Umsetzung der NIS2-Richtlinie hatte bereits EU-Vertragsverletzungsverfahren drohen lassen. Die nun vollzogene Angleichung an EU-Standards gilt als entscheidend für nationale Sicherheit und Wirtschaftsresilienz.

Unternehmen müssen ihre gesamte Cybersicherheits-Strategie überdenken. Dazu gehören Lieferkettensicherheit, Business-Continuity-Pläne und Schwachstellenmanagement. Die Aufsichtsbehörden erhalten erweiterte Befugnisse – bis hin zu unangekündigten Audits und gerichtlichen Anordnungen zur Aussetzung von Betriebslizenzen.

Für die neu regulierten Unternehmen gibt es keine Schonfrist. Die unmittelbare Herausforderung: Sie müssen ihren aktuellen Sicherheitsstatus schnellstens an die umfassenden Anforderungen anpassen. Dazu zählen Risikomanagement-Frameworks, detaillierte Incident-Response-Pläne und angepasste Vertragsklauseln mit Partnern.

Die bulgarische Regierung wird zudem eine neue nationale Cybersicherheitsstrategie vorlegen. Klar ist: In dieser neuen Ära wird digitale Widerstandsfähigkeit zum Kern jeder Geschäftsstrategie gehören.