Новите правила за удостоверенията за електронен подпис в администрациите - практически насоки за общините

NUEPA С обнародването на последните изменения в Наредбата за удостоверенията за електронен подпис в администрациите /НУЕПА/ (ДВ, бр. 3 от 9 януари 2026 г.) се въвеждат съществени промени, които изискват конкретни организационни и технически действия във връзка с използването на квалифициран електронен подпис /КЕП/ в общинските администрации.

Настоящият бюлетин има за цел да Ви даде детайлни и практически насоки какво трябва да направите, за да отговорите на тези новите изисквания.

1. ЗАПОВЕДИ И ДЛЪЖНОСТНИ ХАРАКТЕРИСТИКИ

Наредбата вече ясно разграничава за какво служи всеки КЕП. Общината трябва точно да определи кои служители попадат в следните групи:

Лица, които правят изявления от името на администрацията (титуляри): Това са лица, овластени по силата на закон (напр. кмет) или надлежно упълномощени със заповед. Те имат право да подписват официални документи и изявления от името на администрацията.
Лица, които само изпращат изявления: Това са служители (напр. в деловодство), които технически изпращат вече подписани от титуляр документи. Те трябва да са овластени със заповед и имат право да изпращат документи, но не и да ги подписват.
Служители, работещи със системи: Всички останали служители, които достъпват и работят с данни в регистри и информационни системи.

ПРЕПОРЪКА: Направете преглед на длъжностните характеристики на всички служители. В случаите, когато няма изрична заповед, правата за използване на КЕП трябва да бъдат ясно разписани в длъжностната характеристика. Посочете конкретно какви операции служителят има право да извършва (например: подписване на документи, изпращане на документи, работа с регистри). Това елиминира неясноти и спорове относно правомощията.

2. ОПРЕДЕЛЯНЕ НА ОТГОВОРНИ ДЛЪЖНОСТНИ ЛИЦА

1. Кметът на Общината трябва да определи с изрична заповед лице, което да го представлява пред доставчика на удостоверителни услуги при издаване, управление и прекратяване на удостоверенията, както и да координира вътрешните организационни процеси /чл.6, ал.1/.

Какви са функциите на длъжностното лице съгласно НУЕПА, които следва да включите в заповедта:

Предоставя на кмета на Кмета на Общината искане за издаване на КЕП за одобрение;
Изпраща одобрените искания заедно с приложенията към тях на доставчика на удостоверителни услуги;
Уведомява съответния служител и неговия ръководител при неодобрено от кмета искане.
Изготвя обобщени справки, съдържащи информация от исканията и одобрените документи за издаване на КЕП;
Контролира процесите на настройката, инсталирането на частни ключове и удостоверения, привеждането в експлоатация и преустановяването на програмно-техническите средства за автоматично подписване, както и тяхното документиране;
Предприема незабавни действия за спиране или прекратяване действието на удостоверенията за КЕП в предвидените в чл.22 от наредбата случаи;
Удостоверява с подпис върху обходния лист предаването на носителя на частния ключ (картата или друг) при прекратяване на трудовото или служебното правоотношение;

2. Кметът на Общината трябва да определи с изрична заповед отговорно лице от дирекция/отдел „Човешки ресурси“/чл.23, ал.1/.

Какви са функциите на отговорното лице съгласно НУЕПА, които следва да включите в заповедта:

Следи за актуалността на длъжностните характеристики;
Уведомява незабавно отговорното лице по т.1, като му предоставя данни за лицето и датата на освобождаване или данни за промяна на неговия статут (длъжност, ранг, промяна във вида на правоотношението и др.)
Уведомява отговорното звено или служител за отбелязване на всички обстоятелства и промени в Регистъра на електронните подписи;

3. Кметът на Общината трябва да определи с изрична заповед отговорно лице за поддръжката на програмно-техническите средства, осигуряващи автоматичното подписване /чл.17, ал.5/.

Служителят следва да притежава необходимата квалификация (обикновено ИТ специалист), за да отговаря за поддръжката на тези системи.

Какви са функциите на отговорното лице съгласно НУЕПА, които следва да включите в заповедта:

Отговаря за настройката, инсталирането на частни ключове и удостоверения;
Следи за привеждането в експлоатация и преустановяването на програмно-техническите средства за автоматично подписване;
Документира действията по предходните задължения;
Извършва постоянен мониторинг за настройката на частните ключове и удостоверения при автоматично подписване;
Извършва периодичен преглед на конфигурациите на издадените в администрацията КЕП.
Уведомява незабавно лицето по т.1 по – горе за резултата от извършените проверки на настройките;

4. Кметът на Общината трябва да определи с изрична заповед отговорно звено или служител, който води и поддържа регистър на всички издадени квалифицирани удостоверения за КЕП /чл.13, ал.2/

3. ТРЯБВА ЛИ ДА ВОДИМ РЕГИСТЪР НА ЕЛЕКТРОННИТЕ ПОДПИСИ?

Да, задължително е. Всяка администрация трябва да води и поддържа регистър на всички издадени квалифицирани удостоверения за КЕП /чл.13 от НУЕПА/.

Какво трябва да направите:

Определете отговорно звено или служител /виж. т. 2.4 Определяне на отговорни длъжностни лица/.

Съдържание на регистъра: Регистърът трябва да съдържа минимум следната информация за всеки издаден КЕП:

Данни за доставчика на удостоверителни услуги (име, контакти).
Имена на служителя.
Длъжност и звено.
Номер и дата на документа (заповед или решение) за издаване.
Дата на издаване и срок на валидност.
Сериен номер на удостоверението.
Данни за прекратяване (документ, основание и дата).

Поддържайте го актуален: Отговорното звено/служител трябва да отразява всяка промяна (издаване, подновяване, спиране, прекратяване на удостоверенията) незабавно, въз основа на информация, получена от доставчика.

Препоръчително е месечен преглед на регистъра, за да се гарантира неговата точност.

4. МОГАТ ЛИ СЛУЖИТЕЛИТЕ ДА ИЗПОЛЗВАТ СЛУЖЕБНИЯ КЕП И В ЛИЧНО КАЧЕСТВО?

Да, наредбата позволява служителят да използва издадения му КЕП и в лично качество, не само за служебни цели.

Важно уточнение: Използването му от името на администрацията е допустимо само в рамките на правомощията, произтичащи от заеманата длъжност или от представителна власт. Служителят носи отговорност да не злоупотребява със служебния си подпис за лични цели, които биха могли да увредят интересите на администрацията.

ПРЕПОРЪКА: Изгответе инструкции за сигурност, които всеки служител трябва да подпише при издаване на КЕП.

5. АВТОМАТИЧНО ПОДПИСВАНЕ НА ДОКУМЕНТИ

Наредбата задължава всички системи за автоматично подписване да използват сертифициран по висок стандарт хардуер (HSM), вместо по-несигурни софтуерни методи за съхранение на ключове.

Изискването е еднозначно: частният ключ, с който системата подписва автоматично, трябва да се съхранява и използва в хардуерно устройство. Не е допустимо ключът да се съхранява като файл на сървъра или в софтуерно хранилище.

Обяснение на термините:

Механизъм за сигурно създаване на подпис: В огромното мнозинство от случаите това е Хардуерен модул за сигурност (Hardware Security Module – HSM). Това е специализирано физическо устройство (тип флашка), проектирано да защитава криптографски ключове. Ключът се създава вътре в HSM-а, използва се вътре в него и никога не го напуска в незащитен вид.
EAL 4 (Evaluation Assurance Level 4): Това е ниво на гаранция за сигурност съгласно международния стандарт Общи критерии (Common Criteria – ISO/IEC 15408). Ниво EAL 4 означава, че устройството (HSM модулът) е преминало строги, независими тестове за сигурност. То е методично проектирано, тествано и проверено. Това дава висока степен на увереност, че устройството е устойчиво на познати атаки и ще защити ключовете, които съхранява.

Това обаче е свързано със строги изисквания за контрол и документиране.

Какви са задълженията според НУЕПА и какво да направите:

Проверете договорите си с доставчика на АИС: Ако поддръжката на такава система е възложена на външна фирма, в договора трябва ИЗРИЧНО да е посочено лицето, от чието име системата ще извършва автоматичното подписване.
Определете отговорен служител: Ръководителят на администрацията трябва да възложи на служител с необходимата квалификация (обикновено ИТ специалист) да отговаря за поддръжката на тези системи. /виж. т. 2.3 Определяне на отговорни длъжностни лица/.
Контрол и документиране: Всяка настройка, инсталиране на ключове и удостоверения, пускане и спиране на системата за автоматично подписване трябва да се документира надлежно. Документацията трябва да включва дата, час, описание на операцията и подпис на отговорния служител. Всички тези операции трябва да се извършват под контрола на упълномощеното лице, което представлява администрацията пред доставчика /виж. т. 2 Определяне на отговорни длъжностни лица/.

6. ПРОЦЕДУРА ЗА ПРЕКРАТЯВАНЕ НА УДОСТОВЕРЕНИЯ

Прекратяването на КЕП при напускане или промяна на длъжност е критичен процес за правната сигурност на администрацията.

Какви правила трябва да създадете:

Комуникация между звената: Създайте ясна процедура, по която звеното за управление на човешките ресурси уведомява незабавно упълномощеното лице /т. при напускане или промяна на статута на служител (промяна на длъжност, ранг, вид на правоотношението и т.н.).
Незабавно уведомяване на доставчика: Упълномощеното лице виж. т. 2.1 Определяне на отговорни длъжностни лица/ трябва незабавно да изпрати уведомление до доставчика за прекратяване на удостоверението. Това трябва да се направи в рамките на един работен ден.
Предаване на носителя: Служителят е длъжен да предаде носителя (смарт карта, USB токен), което се удостоверява с подпис в обходния лист.
Дългосрочно съхранение и валидност: Ако не осигурите дългосрочно валидиране/проверка, може да се окаже, че след време документите няма да бъдат подписани. Създайте правила за дългосрочно архивиране на подписаните документи и информацията за валидността на подписите. Това включва съхранение на сертификационни вериги, списъци с прекратени удостоверения (CRLs) и други технически данни. Това е от съществено значение, за да може валидността на един подпис да бъде проверена и доказана години след неговото прекратяване.

ПРЕПОРЪКА: Консултирайте с доставчика относно минималния период за съхранение на тази информация.

7. ПРОВЕРКА НА КЕП: ЗАДЪЛЖИТЕЛНО ЛИ Е ДА ИЗВЪРШВАМЕ ПРОВЕРКА НА ВХОДЯЩИ ДОКУМЕНТИ?

Краткият отговор е: Да, абсолютно задължително е./ Чл.27 от НУЕПА/

Всяка администрация, която получава електронни документи, подписани с КЕП, е длъжна да извършва проверка на тези подписи. Това не е препоръка, а нормативно вменено задължение. Приемането на електронен документ без проверка на подписа е равносилно на приемане на хартиен документ без подпис – създава огромен риск за администрацията, тъй като няма сигурност кой е авторът на документа и дали съдържанието му е променяно.

Наредбата е категорична, че лицата, които проверяват подписи (титуляри и упълномощени лица), трябва да използват сигурен механизъм за проверка.

Какво означава “сигурен механизъм за проверка”?

Наредбата дефинира шест ключови изисквания, на които трябва да отговаря процесът по проверка. На практика, това означава, че софтуерът, който използвате за валидиране, трябва да може да гарантира следното:

Съответствие на данните: Това, което виждате на екрана като съдържание на документа, трябва да е същото, което е било подписано. Системата трябва да гарантира, че няма скрито съдържание или манипулация.
Ясен резултат от проверката: Софтуерът трябва ясно и недвусмислено да покаже резултата – например „ПОДПИСЪТ Е ВАЛИДЕН“ или „ПОДПИСЪТ Е НЕВАЛИДЕН“.
Достъп до съдържанието: Трябва да можете да прочетете и разберете съдържанието на подписания документ.
Проверка на автора и валидността: Системата трябва автоматично да провери кой е авторът на подписа и дали неговият сертификат е бил валиден към момента на подписването. Това включва проверка в списъците с прекратени удостоверения (CRLs).
Коректно възпроизвеждане на резултатите: Информацията за резултата от проверката и самоличността на автора трябва да бъде показана точно.
Установяване на промени: Системата трябва да може да засече всякакви промени, свързани със сигурността (например, ако се използва компрометиран сертификат).

Как да изпълним изискванията на практика? Най-лесният начин:

Администрациите могат да извършват проверка чрез инструмента за валидиране на електронни подписи, поддържан от Европейската комисия.

Линк към инструмента: https://ec.europa.eu/digital-building-blocks/DSS/webapp-demo/validation

Може да използвате и инструментите за валидиране на българските доставчици на удостоверителни услуги. Вписаните от КРС в националния доверителен списък доставчици на квалифицирани удостоверителни услуги са: „Борика“ АД, „Евротръст Технолъджис“ АД, „Инфонотари“ ЕАД, „Информационно обслужване“ АД и „Идокс България“ ЕООД.

Всички инструменти са: * Безплатни и достъпни онлайн. * Напълно съвместими с всички изисквания на европейското и българското законодателство. * Лесни за използване – качвате документа и системата автоматично извършва пълна проверка и генерира подробен доклад.

ПРЕПОРЪКИ:

Вземете решение за използване на инструмент за проверка.

Задача: Ръководството на общината трябва да вземе решение кой инструмент ще се използва за проверка на КЕП.

Това решение трябва да бъде оформено в заповед или да се включи във вътрешните правила.

Създайте ясна вътрешна процедура за проверка.

Задача: Разпишете стъпка по стъпка процедура, която служителите в деловодството (или други отговорни лица) трябва да следват при получаване на всеки подписан електронен документ.

Препоръка: Процедурата трябва да включва:

Кой е отговорен за проверката.
Как се достъпва инструментът за валидиране.
Как се качва документът за проверка.
Как се съхранява резултатът от проверката (напр. чрез запазване на генерирания PDF доклад).
Какво се прави при валиден подпис (документът се завежда и насочва).
Какво се прави при невалиден подпис (документът се отхвърля, а подателят се уведомява).

Определете и обучете отговорни служители.

Задача: Посочете със заповед кои служители са отговорни за извършването на проверката.

Препоръка: Проведете кратко обучение на тези служители как да използват избрания инструмент и как да следват вътрешната процедура. Уверете се, че има и заместник, който да извършва проверката при отсъствие на титуляра.

Документирайте всяка проверка.

Задача: Резултатът от всяка проверка трябва да бъде документиран и прикрепен към преписката на съответния документ.

Препоръка: Най-добрата практика е да се запазва подробният доклад за валидиране (Validation Report), който инструментът на ЕК генерира. Този доклад служи като неоспоримо доказателство, че администрацията е изпълнила задължението си за проверка.

8. ПРОВЕРКА НА КЕП: ЗАДЪЛЖИТЕЛНО ЛИ Е ДА ИЗВЪРШВАМЕ ПРОВЕРКА НА ИЗДАДЕНИТЕ КЕП НА СЛУЖИТЕЛИТЕ?

Проверката на подписите е ключова за гарантиране на автентичността и целостта на електронните документи както на тези, които получавате, така и на тези, които издавате.

ПРЕПОРЪКИ:

Текуща проверка на издадените КЕП: Упълномощеното лице /виж. т. 2.3 Определяне на отговорни длъжностни лица/ трябва да извършва периодичен преглед на конфигурациите на издадените в администрацията КЕП. Препоръчителен период за такъв преглед е на всеки 6 месеца. Целта е да се провери дали удостоверенията са валидни, дали не са компрометирани и дали се използват по предназначение. Проверката следва да обхваща като минимум шестте ключови изисквания за проверка съгласно наредбата.
Документиране на проверките: Резултатите от периодичните преглеждания трябва да се документират (дата, резултат, забележки) и да се съхранят в архив.

9. ЯСНИ УКАЗАНИЯ КЪМ СЛУЖИТЕЛИТЕ ЗА СИГУРНОСТ.

Всеки служител, притежаващ КЕП, трябва да бъде инструктиран и да подпише декларация, че е запознат със следните задължения за сигурност:

Пазене на ПИН: Служителят е длъжен да пази в тайна своя Персонален идентификационен номер (ПИН) и при никакви обстоятелства да не го разкрива на други лица. Това включва и администраторите на системата.
Забрана за споделяне на носителя: Служителят няма право да предоставя на други лица държането на своя носител (смарт карта, USB токен). Той е единственият, който трябва да има физически достъп до него.
Забрана за запаметяване на ПИН: Служителят няма право да настройва компютърна система да запаметява неговия ПИН. Той трябва да го въвежда ръчно всеки път.
Незабавно уведомяване при компрометиране: При съмнение, че частният ключ е компрометиран (загуба, кражба, разкриване на ПИН, подозрение за неоторизиран достъп), служителят е длъжен незабавно да уведоми упълномощеното лице и доставчика за спиране/прекратяване на удостоверението. Това трябва да се направи в рамките на няколко часа.
Безопасна работна среда: Служителят трябва да работи в безопасна среда, където няма риск от наблюдение или неоторизиран достъп до своя компютър. Препоръчително е да се избягва работа с КЕП на публични места или на чужди компютри.

10. ЗАДЪЛЖИТЕЛНО ЛИ Е ДА ПРИЕМЕМ ВЪТРЕШНИ ПРАВИЛА?

В НУЕПА се посочва, че ръководителите на администрации могат да приемат вътрешни правила, което означава, че това не е изрично задължение./чл. 6/

Въпреки това, нашата препоръка е да приемете такива правила. Липсата на ясни, разписани процедури създава предпоставки за пропуски в сигурността, злоупотреби и липса на контрол. Вътрешните правила са основният инструмент, с който ръководството може да гарантира, че всички служители разбират и спазват изискванията за работа с електронни подписи.

ПРЕПОРЪКИ: Какво да включват вътрешните правила?

Препоръчваме Вашите вътрешни правила да обхванат най-малко следното:

Ред за издаване, подновяване и прекратяване на КЕП – Кой заявява, кой одобрява, какви са сроковете.
Определяне на упълномощено лице – Кой е отговорен за цялостната организация и контрол.
Водене на регистър на издадените КЕП – Кой го води, какво съдържа и как се актуализира.
Задължения на служителите за сигурност – Ясни правила за пазене на ПИН и носител.
Процедура при загуба или компрометиране – Кого да уведомят служителите и какви са стъпките.
Правила за проверка на входящи документи – Кой, как и с какъв инструмент проверява подписите.
Правила за използване на системи за автоматично подписване – Изисквания за сигурност и контрол.
Дългосрочно съхранение и архивиране – Как се гарантира валидността на подписите в дългосрочен план.

Детайлното регламентиране на тези процеси ще гарантира правната сигурност на електронния документооборот на администрацията.