Моите коментари
Всички фискални устройства, включително ИАСУТД, ЕСФП и ФУВАС, трябва да поддържат дистанционно и защитено зареждане на следните параметри и сътоветно превключване на посочената дата към режим:
датата на начало на двойна визуализация (BGN + EUR);
датата на автоматично превключване към евро като основна валута;
датата на прекратяване на използването на лева;
фиксирания обменен курс BGN/EUR
🔹 Технически изисквания:
Параметрите се зареждат автоматично чрез сървър на производителя/разпространителя или НАП
Превключването на режимите е автоматично и необратимо
Тези настройки не могат да бъдат заредени в ръчен режим
Необходимост от разширение на техническите изисквания към фискалните устройства и терминалите за самообслужване в контекста на Регламент (ЕС) 2024/2847 относно киберустойчивостта на продукти с цифрови елементи (Cyber Resilience Act)
1. Въведение
Регламент (ЕС) 2024/2847, известен като Cyber Resilience Act (CRA), влезе в сила на 10 декември 2024 г. и се прилага от 2027 г. Неговата цел е да гарантира, че всички продукти с цифрови елементи, пуснати на пазара на Европейския съюз, отговарят на минимални изисквания за киберсигурност през целия си жизнен цикъл.
Фискалните устройства и терминалите за самообслужване, използвани на територията на Република България, попадат в обхвата на CRA, тъй като:
2. Основни изисквания на Cyber Resilience Act
Съгласно Членове 10–17 от CRA, производителите и доставчиците на цифрови продукти трябва да гарантират:
2.1. По време на проектиране и разработка:
2.2. След пускане на пазара:
2.3. Оценка на съответствието:
3. Санкции съгласно CRA
Съгласно Чл. 53 от CRA:
4. Препоръки за национално прилагане
В контекста на CRA, е необходимо:
4.1. Актуализиране на Наредба № Н-18 чрез включване на нов раздел с разширени изисквания към:
4.2. Въвеждане на национални санкции, съгласувани с CRA, чрез:
5. Заключение
Предвид навлизането в сила на Cyber Resilience Act, Република България следва да предприеме действия за хармонизиране на националната нормативна уредба, касаеща фискалните устройства и терминалите за самообслужване. Това ще гарантира:
Моите коментари
В допълнение към горното, следва да се обърне внимание и на няколко съществени структурни дефицита, които не са изрично разгърнати в документа, но имат пряко значение за неговата реална приложимост.
На първо място, липсва ясно разписан модел за управление на данните в рамките на администрацията. В стратегията се говори за подобряване на координацията и качеството, но не е дефинирано кой конкретно ще носи отговорност за данните на институционално ниво. Отсъствието на ясно разграничени роли и отговорности създава риск от размиване на отговорността и неефективно изпълнение. Без въвеждане на структурирани функции за управление на данните във всяка администрация, заложените цели трудно могат да бъдат постигнати устойчиво.
На второ място, липсва достатъчно яснота относно последователността и зависимостите между отделните мерки. Част от предвидените действия предполагат наличието на вече изградена технологична и организационна основа, която към момента не съществува или е силно фрагментирана. Това поставя въпроса за реалистичността на времевия хоризонт и създава риск от паралелно стартиране на инициативи, които взаимно се блокират или дублират.
Не е достатъчно развит и въпросът за качеството на данните като постоянен процес, а не еднократно усилие. В документа липсват конкретни механизми за валидиране, актуализация и контрол на данните във времето. Без изграждане на системен подход към поддържането на данните, съществува риск създадените масиви да бъдат формално налични, но с ограничена практическа стойност.
Отделно от това, стратегията третира технологичната трансформация основно като въпрос на интеграция и свързаност, без да отчита в достатъчна степен необходимостта от цялостно управление на архитектурата на информационните системи. При наличие на множество наследени системи, разработвани в различни периоди и по различни стандарти, липсата на централизирана архитектурна рамка може да доведе до задълбочаване на съществуващите проблеми вместо до тяхното решаване.
Не на последно място, макар да се засягат теми като изкуствен интелект и използване на данни за вземане на решения, липсва по-задълбочен анализ на рисковете от автоматизирани решения и необходимостта от прозрачност и проследимост. В условията на нарастваща зависимост от алгоритмични модели, този аспект придобива все по-голямо значение и следва да бъде разгледан по-детайлно.
В този контекст, за да бъде стратегията не само концептуално правилна, но и реално приложима, е необходимо да се премине от описателен към управленски подход – с ясно дефинирани отговорности, последователност на действията и механизми за контрол и отчетност. Без такова доразвиване съществува риск документът да остане на ниво стратегическо намерение, без да доведе до съществена промяна в начина, по който публичният сектор управлява и използва данните.
Проектът на стратегия разглежда важна и навременна тема, свързана с управлението и използването на данните в публичния сектор. Документът е в синхрон с европейските насоки и поставя правилни цели в общ план. В този си вид обаче той остава твърде общ и не дава достатъчно яснота как тези цели ще бъдат постигнати на практика.
Основният проблем е, че мерките са описани принципно, без достатъчно конкретика. В много случаи не е ясно кой носи отговорност, как ще се измерва напредъкът и как отделните действия са свързани помежду си. Това създава реален риск стратегията да се изпълнява формално – да има отчетност на хартия, без съществена промяна в начина, по който институциите работят с данни.
От практическа гледна точка следва да се отчете, че администрацията не е равномерно подготвена за такъв тип промяна. В голяма част от институциите липсва ясна организация за управление на данните, както и изградени навици за поддържане на тяхното качество. Без целенасочени усилия в тази посока, заложените мерки трудно ще дадат очаквания резултат.
Сериозно предизвикателство е и състоянието на съществуващите информационни системи. Те често са несъвместими помежду си, изграждани са по различно време и по различни стандарти. Без ясен план как тези системи ще бъдат приведени към обща рамка, целите за обмен и споделяне на данни остават трудно постижими.
Прави впечатление и недостатъчното внимание към сигурността. Разширяването на достъпа до данни и тяхното споделяне неизбежно води до по-голям риск. В документа липсва достатъчно ясно разписано как ще се гарантира защита на данните, кой носи отговорност и как ще се реагира при проблеми.
С оглед на горното считам, че стратегията следва да бъде доразвита в няколко основни посоки:
В заключение, стратегията е необходима и правилно насочена като замисъл, но за да има реален ефект, е необходимо да бъде направена по-конкретна, по-реалистична и по-добре обвързана с възможностите на администрацията.