Lietuvoje tinklų ir informacinės sistemos spragų (toliau – spraga) atskleidimo modelis Kibernetinio saugumo įstatyme buvo įteisintas dar 2021 m. Nors TIS 2 direktyvoje nustatomi papildomi reikalavimai ir sąlygos, susijusios su spragų atskleidimo procesu, tačiau tai nesukūrė pagrindo iš esmės keisti jau nustatytą spragų paieškos ir atskleidimo procesą. Atkreipiame dėmesį, į kelias naujoves:
- Subjektai gali anonimiškai pateikti savo surinktą informaciją apie spragą NKSC. Anonimiškai spragą atskleidžiantis asmuo turi saugoti informaciją apie spragų paieškos rezultatų pateikimą 12 metų nuo pranešimo NKSC pateikimo dienos;
- Subjektai gali dalintis informacija apie aptiktą spragą, kai ji yra registruojama Europos pažeidžiamumų duomenų bazėje (angl., European Vulnerability Database).
Pagal Kibernetinio saugumo įstatymo nuostatas, NKSC stebi, renka ir analizuoja informaciją apie spragas, keičiasi informacija apie jas su kibernetinio saugumo subjektais ir kitais suinteresuotais asmenimis, tikrina kibernetinio saugumo subjektų valdomas ir (ar) tvarkomas tinklų ir informacines sistemas, siekdamas nustatyti spragas, koordinuoja spragų atskleidimą. Savo ruožtu, kibernetinio saugumo subjektai privalo turėti patvirtintą ir veikiančią spragų valdymo ir atskleidimo tvarką, o sutartyse su tiekėjais turi nusimatyti tiekėjų pareigą užtikrinti spragų, keliančių riziką kibernetinio saugumo subjekto tinklams ir informacinėms sistemoms, valdymą.
