NIS 2 Status in Bulgarien
Was die Richtlinie fordert, wie Bulgarien sie überträgt, und wo die Staatliche Agentur Elektronische Verwaltung im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Bulgarien, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Bulgarien muss dieses Niveau in bulgarisches Recht überführen und eine Aufsicht darunter führen.
Bulgarien setzt NIS 2 über eine Änderung des bestehenden Cybersicherheitsgesetzes (Закон за киберсигурност, ZKS) um, also über genau das Gesetz, das bereits das NIS 1 Regime trug. Stand Juni 2026 ist die Umsetzung nicht abgeschlossen. Die Europäische Kommission hat am 7. Mai 2025 eine mit Gründen versehene Stellungnahme wegen unvollständiger Notifizierung der Umsetzung übermittelt, also den letzten Schritt vor einer Klage am Gerichtshof.
Die Staatliche Agentur Elektronische Verwaltung (Държавна агенция Електронно управление, kurz ДАЕУ oder SEGA) ist die nationale zentrale Anlaufstelle für NIS 2. Das nationale CSIRT, CERT Bulgaria, ist unter govcert.bg erreichbar. Sektorale zuständige Behörden sind auf mehrere Ministerien verteilt: Energie, Gesundheit, Umwelt und Wasser sowie Verkehr, Informationstechnologien und Kommunikation, dazu die Kommission für Finanzaufsicht für den Finanzsektor.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Bulgarien unmittelbar anwendbar, ohne nationale Umsetzung.
Bulgarische Umsetzung
Cybersicherheitsgesetz (Закон за киберсигурност, ZKS), in der Fassung zur Umsetzung von NIS 2
Bulgarien überträgt NIS 2 über eine Änderung des bestehenden Cybersicherheitsgesetzes, nicht über ein neues Stammgesetz. Die Kommission hat bestätigt, dass die Umsetzung unvollständig ist: Eine mit Gründen versehene Stellungnahme erging am 7. Mai 2025. Solange die volle Notifizierung fehlt, stützen sich Teile des Rahmens unmittelbar auf die Richtlinie und auf die Durchführungsverordnung 2024/2690.
Geändertes Cybersicherheitsgesetz (ZKS)
Bulgarien setzt NIS 2 über eine Änderung des Cybersicherheitsgesetzes (Закон за киберсигурност) um. Die Änderung überträgt die Kategorien wesentliche und wichtige Einrichtungen, die Aufsichtsbefugnisse, Meldepflichten und Sanktionen. Stand Juni 2026 hat die Kommission keine vollständige Umsetzungsnotifizierung erhalten. Bis diese Lücke geschlossen ist, sollte der Gesetzestext und jeder Durchführungsakt gegen die Richtlinie selbst gelesen werden.
Staatliche Agentur Elektronische Verwaltung als zentrale Anlaufstelle
Die Staatliche Agentur Elektronische Verwaltung (ДАЕУ, SEGA) ist die zentrale Anlaufstelle nach NIS 2. Sektorale zuständige Behörden liegen auf der Ebene der Ressortministerien: Energie (Energieministerium), Gesundheit (Gesundheitsministerium), Trinkwasser (Umwelt- und Wasserministerium), Verkehr und digitale Infrastruktur (Ministerium für Verkehr, Informationstechnologien und Kommunikation) sowie Bankwesen und Finanzmarktinfrastruktur (Kommission für Finanzaufsicht).
Registrierung und Meldung
Die Richtlinie verlangt, dass Einrichtungen ab dem 17. April 2025 für die Mitgliedstaaten identifizierbar sind. In Bulgarien läuft die Registrierung über die Staatliche Agentur Elektronische Verwaltung als zentrale Anlaufstelle. Ein eigenes Registrierungsportal vergleichbar mit dem französischen MonEspaceNIS2 ist auf EU-Ebene öffentlich bislang nicht in dieser Form dokumentiert. Erhebliche Sicherheitsvorfälle folgen dem Takt der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat, an CERT Bulgaria und die jeweils zuständige Sektorbehörde.
In Bulgarien gilt bulgarisches Recht
Aktivitäten auf bulgarischem Staatsgebiet folgen der bulgarischen Umsetzung. Ein deutscher Geschäftsführer mit bulgarischer Tochter liest für diese Tochter das geänderte Cybersicherheitsgesetz, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, zentrale Anlaufstelle und Sanktionen stehen aber im bulgarischen Recht.
Bulgarien darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Bulgarien darf strenger werden. Bulgarien darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans. Auch wo die Umsetzung unvollständig ist, gelten die Richtlinienpflichten ab dem 17. Oktober 2024. Wer wartet, bis der nationale Text final ist, wartet ohne Rechtsgrund.
Staatliche Agentur Elektronische Verwaltung (ДАЕУ, SEGA)
Nationale zentrale Anlaufstelle für NIS 2. Stimmt sich mit den sektoralen Behörden in den Ressortministerien und mit der Kommission für Finanzaufsicht ab. Von der Europäischen Kommission mit Sitz in Sofia geführt, Kontakt NSPOC@e-gov.bg. Die genaue Aufgabenteilung zwischen SEGA und den Ressortministerien wird durch das Cybersicherheitsgesetz und seine Durchführungsakte festgelegt.
CERT Bulgaria
Das nationale CSIRT, erreichbar über govcert.bg. Von der Europäischen Kommission als CSIRT für NIS 2 in Bulgarien geführt. Nimmt Vorfallmeldungen nach dem Cybersicherheitsgesetz (Докладване на инцидент по ЗКС) entgegen und speist das EU-CSIRT-Netzwerk.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für bulgarische Einrichtungen. Die liegt bei der Staatlichen Agentur Elektronische Verwaltung und den Ressortministerien.
Bulgarien wird nach der Umsetzung aussehen wie Deutschland.
Bulgarien hat kein eigenständiges NIS 2 Gesetz im Stil des deutschen NIS2UmsuCG erlassen. Bulgarien ändert das bestehende Cybersicherheitsgesetz und verteilt die Zuständigkeit auf die Ressortministerien, mit der Staatlichen Agentur Elektronische Verwaltung als zentrale Anlaufstelle. Verfahrensdetail, Sanktionsniveau und Registrierungskanal folgen bulgarischer Verwaltungspraxis, nicht dem deutschen Muster. Wer das BSIG liest und Eins zu Eins überträgt, landet bei den falschen Antworten zu Aufsicht und Meldekanal.
Es gibt kein bulgarisches Portal, also greift die Registrierung noch nicht.
Die Richtlinienpflicht, ab dem 17. April 2025 für den Mitgliedstaat identifizierbar zu sein, gilt unabhängig davon, ob Bulgarien ein fertiges Online-Portal veröffentlicht hat. Die Staatliche Agentur Elektronische Verwaltung ist zentrale Anlaufstelle und unter NSPOC@e-gov.bg erreichbar. Einrichtungen im Geltungsbereich sollten Anwendungsbereich, Kontaktdaten und eine verantwortliche Person heute dokumentieren und über den Kanal einreichen, den die Agentur vorgibt, auch wenn er nicht so sichtbar ist wie MonEspaceNIS2 in Frankreich.
Unsere Sektorbehörde ist die einzige Adresse.
Die Ressortministerien sind für ihren Sektor zuständig. Zentrale Anlaufstelle für NIS 2 bleibt aber die Staatliche Agentur Elektronische Verwaltung, und das nationale CSIRT für Vorfallmeldungen ist CERT Bulgaria. Ein erheblicher Sicherheitsvorfall in einem regulierten Sektor läuft typischerweise an die Sektorbehörde und an CERT Bulgaria, nicht nur an eine von beiden. Wer das Ressortministerium als alleinige Gegenstelle behandelt, verfehlt den Meldetakt und die Rolle der zentralen Anlaufstelle.
Die meisten Betreiber, die uns in Bulgarien begegnen, warten noch auf einen finalen nationalen Text, bevor sie anfangen. Die Reihenfolge stimmt nicht. Die Richtlinienpflichten gelten seit der Umsetzungsfrist vom 17. Oktober 2024. Die Kommission hat am 7. Mai 2025 bereits eine mit Gründen versehene Stellungnahme verschickt. Aufsichtskanal und CSIRT bestehen heute, und die Freigabepflicht des Leitungsorgans nach Artikel 20 bindet den управител oder изпълнителен директор unabhängig davon, wo die nationale Änderung am Ende landet.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, die Staatliche Agentur Elektronische Verwaltung als zentrale Anlaufstelle kontaktieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Sobald das geänderte Cybersicherheitsgesetz vollständig in Kraft ist, lässt sich die geleistete Arbeit übertragen. Die Richtlinie ist die Konstante.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Cybersicherheitsgesetz Bulgarien (Закон за киберсигурност, ZKS), in der Fassung zur Umsetzung von NIS 2
- Europäische Kommission, Digital Strategy: NIS 2 Länderseite Bulgarien (digital-strategy.ec.europa.eu/en/policies/nis2-directive-bulgaria)
- Mit Gründen versehene Stellungnahme der Europäischen Kommission an Bulgarien, 7. Mai 2025 (unvollständige NIS 2 Umsetzung)
- Staatliche Agentur Elektronische Verwaltung (Държавна агенция Електронно управление, ДАЕУ / SEGA): nationale zentrale Anlaufstelle
- CERT Bulgaria: nationales CSIRT (govcert.bg)
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
