Профил на Ясен Танев

Всички фискални устройства, включително ИАСУТД, ЕСФП и ФУВАС, трябва да поддържат дистанционно и защитено зареждане на следните параметри и сътоветно превключване на посочената дата към режим:

• датата на начало на двойна визуализация (BGN + EUR);

• датата на автоматично превключване към евро като основна валута;

• датата на прекратяване на използването на лева;

• фиксирания обменен курс BGN/EUR

🔹 Технически изисквания:

• Параметрите се зареждат автоматично чрез сървър на производителя/разпространителя или НАП

• Превключването на режимите е автоматично и необратимо

• Тези настройки не могат да бъдат заредени в ръчен режим

Необходимост от разширение на техническите изисквания към фискалните устройства и терминалите за самообслужване в контекста на Регламент (ЕС) 2024/2847 относно киберустойчивостта на продукти с цифрови елементи (Cyber Resilience Act)

1. Въведение

Регламент (ЕС) 2024/2847, известен като Cyber Resilience Act (CRA), влезе в сила на 10 декември 2024 г. и се прилага от 2027 г. Неговата цел е да гарантира, че всички продукти с цифрови елементи, пуснати на пазара на Европейския съюз, отговарят на минимални изисквания за киберсигурност през целия си жизнен цикъл.

Фискалните устройства и терминалите за самообслужване, използвани на територията на Република България, попадат в обхвата на CRA, тъй като:

• са продукти с цифрови елементи – включват хардуер и вграден софтуер;
• се свързват към мрежа за отчитане на данни към НАП или други системи;
• обработват чувствителна информация, включително платежни и идентификационни данни.

2. Основни изисквания на Cyber Resilience Act

Съгласно Членове 10–17 от CRA, производителите и доставчиците на цифрови продукти трябва да гарантират:

2.1. По време на проектиране и разработка:

• Интегриране на сигурността по дизайн и по подразбиране.
• Оценка на риска от уязвимости, включително при използване на софтуерни компоненти от трети страни.
• Осигуряване на защитен механизъм за актуализация на софтуера и фърмуера.

2.2. След пускане на пазара:

• Поддръжка и актуализации на сигурността за минимум 5 години или за обявения жизнен цикъл.
• Уведомяване на ENISA и националните органи в срок до 24 часа след откриване на експлоатирана уязвимост или инцидент.
• Публикуване на известия за сигурност до потребителите при необходимост от действия.

2.3. Оценка на съответствието:

• Продукти с висок риск (напр. устройства за плащане или удостоверяване) подлежат на оценка от трета страна (notified body).
• Производителят носи пълна отговорност за изпълнението на изискванията, включително чрез инструкции, логове и доказателства.

3. Санкции съгласно CRA

Съгласно Чл. 53 от CRA:

• Глоба до 15 000 000 EUR или до 2.5% от общия световен годишен оборот на предприятието за най-сериозните нарушения:
  • неспазване на изискванията за сигурност;
  • липса на актуализации;
  • неспазване на срока за уведомление за уязвимости.
• За предоставяне на невярна или непълна информация – глоба до 10 000 000 EUR или 2% от оборота.

4. Препоръки за национално прилагане

В контекста на CRA, е необходимо:

4.1. Актуализиране на Наредба № Н-18 чрез включване на нов раздел с разширени изисквания към:

• сигурността на фърмуера и софтуера;
• управлението на уязвимости и актуализации;
• криптографска защита на комуникацията;
• контрол върху интерфейси и отдалечен достъп;
• срок на поддръжка и отговорност на производителите.

4.2. Въвеждане на национални санкции, съгласувани с CRA, чрез:

• определяне на глоби до 50 000 лв. при несъответствие;
• временно отнемане на одобрението на типа по чл. 10 от Наредба № Н-18;
• изискване за регистър на сигурност към НАП за проследимост на актуализации и инциденти.

5. Заключение

Предвид навлизането в сила на Cyber Resilience Act, Република България следва да предприеме действия за хармонизиране на националната нормативна уредба, касаеща фискалните устройства и терминалите за самообслужване. Това ще гарантира:

• по-висока степен на защита на данните;
• съответствие с европейските стандарти;
• избягване на тежки санкции за производители и доставчици;
• засилване на доверието в националната фискална инфраструктура.