Киберсигурност за мебелни фирми – как да пазите проекти и клиентски данни

Киберсигурността за мебелни фирми вече не е тема само за големите заводи. ENISA, агенцията на ЕС за киберсигурност, е анализирала 4875 инцидента за периода от 1 юли 2024 г. до 30 юни 2025 г. (ENISA). Малкият цех пази същото, което търси нападателят: чертежи, ценови оферти и списък с клиенти.

Какво показват атаките срещу производители

Шифроващата програма (ransomware – вредител, който заключва файловете и иска откуп) е най-честият проблем за малките фирми. В доклада на Verizon за 2025 г. тя е присъствала в 88% от пробивите при малки и средни организации и в 39% при големите (Infosecurity Magazine). Общо за 12 195 анализирани пробива делът ѝ е 44%, а медианното плащане на откуп е спаднало до 115 000 долара от 150 000 година по-рано. Малко над 64% от жертвите са отказали да платят.

Случаят с Jaguar Land Rover показва как удар по голям клиент стига до малките доставчици. Атаката в края на август 2025 г. спря световното производство и засегна системите за резервни части и плащания (Yahoo Finance). Британското правителство обяви до 1,5 млрд. паунда частно финансиране за веригата на доставчиците, което се погасява за пет години. Доставчици предупредиха за масови съкращения.

Наш извод: цех, който работи за верига магазини, хотелиер или строителен инвеститор, зависи и от чужда сигурност. Големият клиент може да поиска от доставчика доказателства за защита, още преди законът да го задължи.

Колко по-слабо са защитени малките предприятия

Разликата между малките и големите предприятия в ЕС е най-ясна при организацията, не при техниката. Паролите и резервните копия са почти навсякъде, но оценката на риска и обучението на хората липсват.

Източник: Евростат, ICT security in enterprises (Евростат)

По наше изчисление по данни на Евростат малките предприятия оценяват риска 2,6 пъти по-рядко от големите (75,62 разделено на 29,35) (Евростат).

Средно за ЕС 60,0% от предприятията с поне 10 души персонал са запознали работещите със задълженията им по сигурност (Евростат). За България статията на Евростат дава само една стойност: 13,67% от предприятията имат документи за мерките и процедурите по ИКТ сигурност през 2024 г. (Евростат).

Най-честите инциденти не са хакерски. През 2023 г. 21,5% от предприятията в ЕС са имали инцидент с последствия, като при 18,0% става дума за недостъпни услуги заради повреда на хардуер или софтуер (Евростат). Разкриване на поверителни данни заради неволно действие на служител е отчетено при 1,2%. Затова резервното копие и обучението на хората си струват повече от скъпия софтуер.

Как да пазите чертежи и клиентска база в цех с няколко компютъра

Започнете с това къде са файловете. Проектите в CAD или в програмата за разкрой стоят на лаптопа на конструктора, на флашка и в пощата на търговеца, и всяко от тези места е отделен риск.

• Дръжте работните файлове на едно място с отделен вход за всеки човек и махайте достъпа в деня, в който майсторът или външният дизайнер приключи работа.
• Правете копие на отделен носител или облачно хранилище и поне веднъж на тримесечие възстановявайте един проект, за да видите дали копието работи.
• Включете двустепенно потвърждение за пощата и за облака; фишинг имейлите за фалшиви фактури са най-лесният вход.
• Пращайте на клиента PDF или изображение, не работния файл с размерите и обработките.

Какво получава външният изпълнител е въпрос на договор. В договора за мебели по поръчка може да запишете, че чертежите остават ваши и не се предават на трети лица. Същото правило важи за каталога: в онлайн каталога качвайте снимки на готови изделия, а не конструктивни файлове.

Клиентската база и 72-те часа след пробив

Имената, адресите и телефоните на клиентите са лични данни, а изгубена флашка с тях е нарушение на сигурността. EDPB изброява като примери имейл до грешен получател, изгубен носител с клиентски данни, фишинг и шифроващ вредител (Европейски комитет по защита на данните (EDPB)).

Срокът за уведомяване на надзорния орган е най-късно 72 часа след като фирмата е разбрала за нарушението (Европейски комитет по защита на данните (EDPB)). Не се уведомява, ако е малко вероятно да има риск за хората. Засегнатите се уведомяват без ненужно забавяне при вероятен висок риск, но не и ако данните са криптирани и ключовете не са изтекли. Всяко нарушение се записва в регистър, дори да не е докладвано, заедно с момента и начина, по който фирмата е разбрала за него.

Шифрираният лаптоп на търговеца е по-евтина мярка от последиците от изгубен лаптоп. Тук е и нашият извод от правилото: криптираният диск може да спести уведомяването на всеки клиент поотделно.

Попада ли цехът в обхвата на закона от 2026 г.

Народното събрание прие промените в Закона за киберсигурността на 5 февруари 2026 г., а в Държавен вестник те са обнародвани на 13 февруари 2026 г. (CMS). Задължени са предприятия, които са поне средни по Закона за малките и средните предприятия и работят в изброените сектори. Промишленото производство е сред новоприсъединените области.

Дали мебелното производство е сред изброените дейности, не личи от преглежданите страници. Преди да приемете, че сте извън обхвата, проверете приложенията на закона или попитайте отрасловата си организация. За структурата на бранша по големина вижте прегледа на мебленото производство през 2026 г..

Управлението носи лична отговорност: членовете му трябва да преминават обучение по киберсигурност на всеки две години и могат да получат глоба до 5000 евро (CMS). За съществените субекти санкцията достига 10 млн. евро или 2% от световния оборот (DPC).

Ако цехът попадне в обхвата, ранно предупреждение за инцидент се подава до 24 часа, уведомление до 72 часа и междинен или окончателен доклад до един месец (CMS).