Kibernetinio saugumo įstatymas

Kibernetinio saugumo įstatymo ir jį įgyvendinančio teisės akto tikslas – kibernetinio saugumo reikalavimų nustatymas organizacijoms, todėl visos šių teisės aktų nuostatos tiesiogiai ar netiesiogiai susijusios su tinklų ir informacinėmis sistemomis, įskaitant organizacijos darbuotojų ir procesų aspektus. Pažymėtina, kad  sąvoka „tinklai ir informacinės sistemos“ yra plati ir pagal Kibernetinio saugumo įstatymo 2 straipsnio 22 dalį apima elektroninių ryšių tinklus, bet kokius prietaisus arba tarpusavyje sujungtus arba susijusius prietaisus, arba skaitmeninius duomenis.

 Organizacijai paliekama teisė pasirinkti, kokius dokumentus norėtų tvirtinti. Tai gali būti atskiras pagal Kibernetinio saugumo reikalavimų aprašo 27 punktą reikalaujamas dokumentas Tinklų ir informacinių sistemų veiklos tęstinumo valdymo planas, arba organizacija gali  Kibernetinio saugumo reikalavimų aprašo V skirsnyje esančias nuostatas integruoti į bendrą organizacijos veiklos tęstinumo planą. Neabejotinai, tinklų ir informacinių sistemų veiklos tęstinumo užtikrinimas yra tik dalis planavimo veiklos, kurią organizacija turi atlikti, siekdama be trikdžių veikti jai nepalankiomis sąlygomis.

Organizacijos veiklos tęstinumo planavimo veiklose turi dalyvauti visi organizacijos darbuotojai. Veiklos padaliniai turi daugiausiai informacijos apie kritinius veiklos procesus, duomenų pasiekiamumo poreikius ir pan., tuo tarpu IT paslaugas ar veiklos atsparumą užtikinantys padaliniai turi daugiau informacijos kaip techniškai užtikrinti veiklos tęstinumą.

Rizikos valdymas yra nuolatinė veikla „normaliu“/„kasdieniu“ organizacijos veiklos režimu. Pagal Kibernetinio saugumo reikalavimų aprašą rizikos vertinimas vykdoma kasmet arba įvykus esminiams pokyčiams organizacijoje pagal organizacijos patvirtintą Rizikos vertinimo ir valdymo tvarką. Kiti toliau minimi planai yra skirti situacijoms, kai įvyksta incidentas ir jo nepavykus suvaldyti jis gali peraugti į krizę ir sustabdyti organizacijos veiklą. Pagal Kibernetinio saugumo reikalavimų aprašą, organizacija turi turėti Kibernetinių incidentų valdymo planą, Tinklų ir informacinių sistemų veiklos tęstinumo valdymo planą, detalius tinklų ir informacinių sistemų veiklos atkūrimo planus. Perėjimą nuo vieno plano prie kito lemia, kiek sėkmingai pavyksta suvaldyti situaciją tuo metu pagal planą ir nusistatytų toleravimo slenksčių viršijimas. Kadangi incidento valdymo metu svarbi laiko dimensija, negalima tęsti veiklos pagal vieną planą neribotai (pvz. „root cause“ paieška), svarbu laiku pereiti į kitą planą (ar pradėti vykdyti kitą planą lygiagrečiai) ar pradėti vykdyti kitą veiklą, kad organizacijai nebūtų padaryta didesnė žala.

Kibernetinio saugumo įstatymo 14 straipsnio 5 dalyje nustatyti pagrindiniai kibernetinio saugumo elementai, kurių atžvilgių organizacija turi turėti suformavusi aiškią politiką ir jos pagrindu veikiančius procesus. Vienas iš šių elementų – kibernetinio saugumo rizikos analizės politika.

Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ detalizuoti reikalavimai rizikos vertinimo ir valdymo procesui. Dar daugiau informacijos, kaip vertinti rizikas, pateikta NKSC parengtame Kasmetinių rizikų vertinimo leidinyje.

Organizacija į Kibernetinio saugumo informacinę sistemą (KSIS) turi pateikti rizikos vertinimo ataskaitos ir rizikos valdymo plano patvirtinimo duomenis, nurodydamas patvirtinimo datą ir registracijos numerį bei rizikos vertinimo metu nustatytus apibendrintus rezultatus: identifikuotas grėsmes, jų tikimybę ir poveikį veiklai, rizikos lygius ir valdymo priemones. Šie dokumentai turi būti saugomi ne mažiau kaip 3 metus ir pateikti NKSC, atliekant kibernetinio saugumo subjekto patikrinimą.

Neeilinis organizacijos rizikos vertinimas gali būti atliekamas, kai įvyksta esminiai pokyčiai, darantys įtaką organizacijos veiklai ir kibernetiniam saugumui, pvz.:

• inicijuojama nauja arba iš esmės keičiama organizacijos veikla ir (ar) pagrindiniai veiklos procesai (teikiamos paslaugos);
  • sukuriama nauja tinklų ir informacinė sistema arba iš esmės modernizuojama jau veikianti;
  • atliekami esminiai tinklų ir informacinės sistemos programinės ir (ar) aparatinės įrangos pakeitimai;
  • įvyksta didelis kibernetinis incidentas;
  • pasikeičia tinklų ir informacinių sistemų priežiūros ir vystymo paslaugų tiekėjai, kurie organizacijai teikia kritines paslaugas.

Trečiosios šalys, teikiančios organizacijai pasaugas, be kitų sutartimis nustatytų įpareigojimų, turėtų ne rečiau kaip kartą per metus arba įvykus esminiams trečiosios šalies organizaciniams ar kitiems reikšmingiems pokyčiams, taip pat įvykus dideliam kibernetiniam incidentui atlikti tinklų ir informacinių sistemų kibernetinio saugumo rizikos vertinimą, parengti ir organizacijos atsakingiems darbuotojams pateikti rizikos vertinimo ataskaitą ir rizikų valdymo planą. Organizacijoje, kokio dydžio ji bebūtų, turi būti darbuotojas (kibernetinio saugumo vadovas ir (ar) saugos įgaliotinis), kuris turėtų išmanyti kibernetinio saugumo klausimus, formuoti organizacijos saugumo kryptį, rengti ir (ar) peržiūrėti kibernetinio saugumo politikos dokumentus, dalyvauti įvairiuose procesuose (rizikų vertinimo, pranešimų apie incidentus, pirkimų reikalavimų formavime ir pan.). Siūloma, kad būtent šis darbuotojas peržiūrėtų trečiųjų šalių pateiktą dokumentaciją ir teiktų tvirtinimui organizacijos vadovui.

Kibernetinio saugumo įstatymo 14 straipsnio 5 dalyje nustatyti pagrindiniai kibernetinio saugumo elementai, kurių atžvilgių organizacija turi turėti suformavusi aiškią politiką ir jos pagrindu veikiančius procesus. Vienas iš šių elementų – tiekimo grandinės saugumas, įskaitant organizacijos ir jos paslaugų teikėjų santykius.

Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ detalizuoti reikalavimai teikėjų atrinkimui, sutartims. Dar daugiau informacijos, kaip pasirengti valdyti trečiųjų šalių teikėjų keliamą riziką, pateikta NKSC parengtame  Trečiųjų šalių valdymo rekomendacijų leidinyje.

Galutinė atsakomybė už organizacijos veiklą visada tenka vadovui. Neabejotinai,  už tiekimo grandinės saugumo valdymą atsakingi daugelis organizacijos darbuotojų, kurie rengia viešųjų pirkimų technines specifikacijas, vykdo trečiųjų šalių teikėjo patikrinimo procedūras, stebi sutarties reikalavimų vykdymą ir t.t. Šiuo metu Kibernetinio saugumo informacinėje sistemoje yra paskelbtas Tiekimo grandinės saugumo valdymo tvarkos šablonas, kuriame galite pamatyti, kaip atsakomybės yra paskirstomos organizacijoje.

Organizacijai turint trečiosios šalies teikėją, jo keliama rizika turi būti vertinama tiek viešojo pirkimo procedūrų metu, tiek sutarties vykdymo metu.

Kiekviena organizacija savo veikloje turi vadovautis „due care“ ir „due diligance“ principais, t.y. kurti funkcionalumus/paslaugas/produktus taip, kad jie geriausiai/optimaliai atitiktų tikslus ir nuolat stebėti, kaip efektyviai funkcionalumai/paslaugos/produktai veikia. Pažymėtina, kad atsakomybė, kiek ir kokių trečiųjų šalių teikėjų bebūtų, visada liks organizacijos pusėje, todėl renkantis trečiųjų šalių teikėjus rekomenduojama juos įvertinti visais aspektais, pradedant viešųjų pirkimų techninių specifikacijų parengimu, ir baigiant viešai prieinamos informacijos tikrinimu. Atsižvelgiant į tai, prie kokių procesų, duomenų, tinklų ir informacinių sistemų gautų prieigą trečiųjų šalių teikėjai, atitinkamai siūloma nustatyti ir reikalavimus, susijusius su saugumo užtikrinimu. Kuo procesai, duomenys, tinklai ir informacinės sistemos kritiškesnės organizacijai, tuo reikalavimai, susiję su saugumu turi būti griežtesni.

Organizacija, pasirinkdama trečiosios šalies tiekėją, turi įvertinti visas su juo susijusias rizikas, kurias būtų galima sugrupuoti į: tiekėjo keliamas rizikas, organizacijos procesams, duomenims, tinklų ir informacinėms sistemoms keliamas rizikas ir sutarčių vykdymo rizikas. Tik įvertinusi šias rizikas ir nustačiusi jų valdymo priemones, bei aiškiai apibrėžusi reikalavimus trečiosioms šalims, organizacija pradiniame trečiosios šalies tiekėjo pasirinkimo etape vadovausis „due care“ ir „due diligance“ principais bei turės minimalų užtikrintumą dėl trečiųjų šalių teikėjo pasirinkimo.

Visgi, jei organizacijai nepavyksta su trečiosios šalies teikėju susitarti dėl informacijos, kuri padėtų įvertinti trečiosios šalies teikėją, gavimo, reikėtų prašyti nepriklausomos auditoriaus vertinimo ataskaitos (šiuo atveju reikėtų atkreipti dėmesį, kad audito ataskaitoje turėtų būti aptarti organizacijai rūpimi klausimai ir reikalavimai).

Vadovaujantis „due diligence“ principu kasmetinio rizikų vertinimo metu turi būti vertinama trečiųjų šalių teikėjų keliama rizika bei sutarčių vykdymo rizika. Sudarant sutartį būtina įtraukti reikalavimus, nustatytus Kibernetinio saugumo reikalavimų aprašo 34 punkte. Kadangi šie reikalavimai susiję ir su kasdien atliekamomis veiklomis, turi būti vykdoma sutartyse nustatytų reikalavimų vykdymo stebėsena.

Jei programinė įranga įsigyjama kaip produktas ir daugiau kontaktų su teikėju nėra, užtektų įvertinti teikėją ir įsigyjamą produktą įsigijimo metu. Vis dėlto, jei įsigyjamas produktas yra su palaikymu, palaikymo paslaugas teikianti organizacija laikoma trečiosios šalies teikėju ir būtina vertinti jo keliamas rizikas nuolat.

Reikalavimas organizacijoje paskirti kibernetinio saugumo vadovą nustatytas Kibernetinio saugumo įstatymo 15 straipsnio 1 dalyje. Kibernetinio saugumo vadovas yra pagrindinis asmuo, remiantis organizacijos vadovą sprendžiant klausimus, susijusius su organizacijos kibernetinio saugumo užtikrinimu. Kibernetinio saugumo vadovas skiriamas organizacijos vadovo ar jo įgalioto asmens sprendimu (įsakymu ar tvirtinant pareigybės aprašymą) ir yra tiesiogiai atskaitingas organizacijos vadovui už kibernetinio saugumo subjekto atitikties šio Kibernetinio saugumo įstatymo 14 ir 18 straipsniuose nustatytiems reikalavimams įgyvendinimą.

Pagrindinės kibernetinio saugumo vadovo funkcijos:

• organizuoti organizacijos atitikties teisės aktams vertinimus;
  • užtikrinti, kad kibernetinio saugumo politikos dokumentai būtų parengti ir periodiškai atnaujinami;
  • koordinuoti tinklų ir informacinių sistemų kibernetinių incidentų tyrimus;
  • organizuoti rizikos vertinimą ir dalyvauti rizikos vertinimo procese;
  • organizuoti darbuotojų mokymus kibernetinio saugumo klausimais;

Detalesnės kibernetinio saugumo vadovo funkcijos nustatytos Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ bei pačios organizacijos rengiamuose kibernetinio saugumo politikos dokumentuose.

Reikalavimai kibernetinio saugumo vadovui nustatyti Kibernetinio saugumo įstatymo 15 straipsnio 5 dalyje ir yra šie:

• kibernetinio saugumo vadovas turi atitikti Lietuvos Respublikos valstybės tarnybos įstatyme valstybės tarnautojams nustatytus nepriekaištingos reputacijos reikalavimus. Šis reikalavimas galioja visiems kibernetinio saugumo subjektams, kaip jie apibrėžti Kibernetinio saugumo įstatyme, išskyrus tuos atvejus, kai kibernetinio saugumo subjektas yra fizinis asmuo (Kibernetinio saugumo įstatymo 15 straipsnio 6 dalis). Papildomų išimčių kibernetinio saugumo subjektams juridiniams asmenims dėl jų juridinio asmens teisinės formos nėra. Kibernetinio saugumo įstatymas nenustato būdo, kaip organizacija turėtų įsitikinti, ar kibernetinio saugumo vadovas atitinka Kibernetinio saugumo įstatymo 15 straipsnio 5 dalies 1 punkte nustatytą pareigą atitikti nepriekaištingos reputacijos reikalavimus, todėl organizacija gali pati pasirinkti tinkamiausią būdą šio reikalavimo įgyvendinimui užtikrinti. Atkreipiame dėmesį, kad asmuo, siekiantis eiti kibernetinio saugumo vadovo pareigas, norėdamas įrodyti atitiktį keliamiems reikalavimas, turi teisę gauti pažymas ar išrašus iš Įtariamųjų, kaltinamųjų ir nuteistųjų registro, Viešojo sektoriaus darbuotojų registro ar kitų registrų.
• kibernetinio saugumo vadovas negali turėti administracinės nuobaudos už teisės aktų pažeidimus tinklų ir informacinių sistemų ir asmens duomenų tvarkymo ir privatumo apsaugos srityse, nuo kurios paskyrimo praėję mažiau kaip vieni metai;
• turi turėti ne mažiau kaip 2 metų patirtį informacinių technologijų, kibernetinio saugumo ar tinklų ir informacinių sistemų srityje arba šių sričių kvalifikaciją patvirtinantį aukštojo mokslo diplomą, tarptautiniu lygmeniu pripažįstamą kvalifikacijos sertifikatą arba Nacionalinio kibernetinio saugumo centro vadovo nustatyta tvarka būti išklausę mokymus ir išlaikę kibernetinio saugumo vadovo egzaminą.

Organizacija gali nustatyti ir kitus reikalavimus kibernetinio saugumo vadovui, pavyzdžiui, jei jis atliktų kitas funkcijas organizacijoje, atliekamos funkcijos reikalautų susipažinti su informacija, žymima slaptumo žymomis ir pan.

Organizacijai leidžiama iš trečiųjų šalių įsigyti paslaugas, kurias teikiant būtų atliekamos kibernetinio saugumo vadovo funkcijos.

Kibernetinio saugumo vadovui Kibernetinio saugumo įstatyme nėra nustatyta sankcijų. Vienintelis fizinis asmuo organizacijoje, kuriam nustatomos sankcijos, yra  organizacijos vadovas.

Pagal Kibernetinio saugumo įstatymo 14 straipsnio 7 dalį, kibernetinio saugumo subjekto valdymo organų nariai, vadovas ir jo įgaliotas asmuo, jeigu toks yra, ar kibernetinio saugumo subjektas, jeigu jis yra fizinis asmuo, privalo ne rečiau kaip kartą per 2 metus Nacionalinio kibernetinio saugumo centro vadovo nustatyta tvarka išklausyti kibernetinio saugumo mokymus.

Tuo tarpu kibernetinio saugumo subjekto darbuotojų, jeigu tokių yra, švietimas kibernetinio saugumo srityje turi būti užtikrinamas nuolat pagal organizacijos nustatytą kibernetinės higienos praktikos organizavimo ir kibernetinio saugumo mokymų organizavimo ir vykdymo tvarką. Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, nustatytas minimalus – kasmetinis – periodas kibernetinės higienos praktikos mokymų organizavimui kibernetinio saugumo subjekto darbuotojams. Pažymėtina, kad Kibernetinio saugumo įstatyme nustatyti minimalūs reikalavimai. Organizacija turi įsivertinti, kokių mokymų reikėtų papildomai ir juos organizuoti.

NKSC, identifikuodamas esminius ir svarbius kibernetinio saugumo subjektus, vertina iš įvairių šaltinių gaunamą informaciją: pačių identifikuojamų subjektų, kitų valstybės institucijų, įstaigų, valstybės valdomų įmonių, viešųjų įstaigų, savivaldybių įmonių ir savivaldybių įstaigų. Kibernetinio saugumo subjektai Kibernetinio saugumo įstatymo 1 ir 2 prieduose nurodytiems sektoriams, subsektoriams ir subjekto rūšiai priskiriami pagal Ekonominės veiklos rūšių klasifikatorių, įvertinant visą įmonės vykdomą veiklą ir teikiamas paslaugas.

Esminių ir svarbių subjektų identifikavimo procese taip pat dalyvauja už atitinkamą veiklos sektorių atsakingos ministerijos. Subjektai taip pat turės teisę pateikti savanorišką prašymą būti įregistruotais Kibernetinio saugumo subjektų registre.

Gavus patvirtinimą iš NKSC, jog subjektas buvo įtraukas į kibernetinio saugumo subjektų registrą, reikės atlikti tam tikrus darbus. Pirmiausia, subjektas turės prisijungti prie Kibernetinio saugumo informacinės sistemos (KSIS) ir pateikti duomenis bei informaciją apie savo veiklą, teikiamų paslaugų pobūdį, veiklos sektorių, įmonės dydį, pajamas, kt.

Pagal Kibernetinio saugumo įstatymo 15 straipsnio 2 dalį organizacijos vadovas ar jo įgaliotas asmuo privalo paskirti saugos įgaliotinį, atsakingą už konkrečios tinklų ir informacinės sistemos atitiktį Kibernetinio saugumo įstatymo reikalavimams. Kibernetinio saugumo vadovas strateginiame lygmenyje priima sprendimus remdamasis saugos įgaliotinių pateikta informacija. Vis dėl to, už kibernetinį saugumą atsakingi asmenys be kitų padalinių darbuotojų pagalbos negalės tinkamai vykdyti funkcijų.

Bet kuri organizacijoje esanti tinklų ir informacinė sistema turi turėti savininką (veiklos skyrių, kurio funkcijoms atlikti naudojama tinklų ir informacinė sistema). Jei toks priskyrimas nėra atliktas, tai turi būti padaryta ir pasirinktas tas veiklos skyrius, kuris geriausiai išmano tinklų ir informacinę sistemą. Būtent savininkai nustato tinklų ir informacinės sistemoje esančių duomenų kritiškumą, kas lemia, pvz. per kiek laiko duomenys ir tinklų ir informacinė sistema bus atstatyti praradimo atveju. Savininkai taip pat vertina rizikas, sprendžia dėl rizikų valdymo priemonių parinkimo, vykdo tinklų ir informacinių sistemų plėtros projektus ir, be abejo, atsako už tokių sutarčių vykdymą. IT padalinys remia veiklos padalinius, todėl jis dažniausiai negali būti daugelio tinklų ir informacinių sistemų savininku, išskyrus tas, kurais naudoja atlikdamas IT padalinio funkcijas. Net ir tuo atveju, jei tinklų ir informacinės sistemos yra įsigyjamos ir nėra valdomos organizacijos, atsakomybė dėl teikėjų parinkimo, specifikacijų rengimo ir sutarčių valdymo turi būti priskirtos susitarimo būdu.

Pagal Kibernetinio saugumo įstatymo 11 straipsnio 1 dalį organizacijos į Kibernetinio saugumo subjektų registrą patenka pagal bendrųjų ar specialiųjų kibernetinio saugumo subjektų identifikavimo kriterijus, o teisės aktais nustatyti reikalavimai tinklų ir informacinėms sistemoms taikomi toms organizacijos tinklų ir informacinėms sistemoms, kurios susietos / remia veiklą, pagal kurią organizacija pateko į  Kibernetinio saugumo subjektų registrą.

Pagal Kibernetinio saugumo reikalavimų aprašą, patvirtintą Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, organizacija turi nustatyti turto valdymo tvarką, pagal kurią turi būti parengtas ir nuolat atnaujinamas tinklų ir informacinių sistemų turto sąrašas bei šio turto klasifikavimo reikalavimai.

Atsižvelgiant į minėtą klasifikaciją bei nustačius, kurios tinklų ir informacinės sistemos yra susietos / remia veiklą, pagal kurią organizacija pateko į  Kibernetinio saugumo subjektų registrą, siūloma šias tinklų ir informacines sistemas nurodyti Kibernetinio saugumo subjektų registre, kuris tvarkomas Kibernetinio saugumo informacinėje sistemoje.

Kibernetinio saugumo įstatyme nustatytas kur kas platesnis subjektų, kuriems turėtų būti taikomas reguliavimas, spektras. Ypatingos svarbos informacinės infrastruktūros identifikavimo procesas, vykdytas pagal Ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką, neatitinka Kibernetinio saugumo įstatyme nustatytų subjektų identifikavimo kriterijų ir tikslų. Pagal atnaujintą Kibernetinio saugumo įstatymą išskiriamos tik dvi subjektų grupės – esminių ir svarbių subjektų. Tad ypatingos svarbos informacinės infrastruktūros valdytojai, įsigaliojus atnaujintam Kibernetinio saugumo įstatymui,  bus identifikuojami pagal naujus kriterijus.

Ypatingos svarbos informacinės infrastruktūros valdytojai, kurie nebūtų identifikuoti kaip kibernetinio saugumo subjektai, turėtų teisę netaikyti kibernetinio saugumo reikalavimų. Pažymėtina, kad tai yra labiau teorinio pobūdžio teisė, nes numatoma, kad visi ypatingos svarbos informacinės infrastruktūros valdytojai bus įtraukti į Kibernetinio saugumo subjektų registrą.

Atsižvelgiant į tai, kad Kibernetinio saugumo įstatyme neliko „ypatingos svarbos informacinės infrastruktūros“ sąvokos, buvo pakeisti kiti įstatymai, susiję su ypatingos svarbos informacinės infrastruktūros sąvokos keitimu.

Kibernetinio saugumo subjektai Kibernetinio saugumo įstatymo 1 ir 2 prieduose nurodytiems sektoriams, subsektoriams ir subjekto rūšiai priskiriami pagal Ekonominės veiklos rūšių klasifikatoriaus kodus. Pagal bendruosius ir specialiuosius kriterijus bus vertinama visa įmonės veikla ir nustačius, kad  įmonė vykdo bent vieną veiklą, pagal kurią patenka ir į esminių ir į svarbių subjektų kategorijas, ji bus priskiriama atitinkamai subjektų kategorijai.

NKSC, kibernetinio saugumo subjektų patikrinimo metu, nustatęs Kibernetinio saugumo įstatymo pažeidimą (pavojingas, vidutinio pavojingumo ir nedidelio pavojingumo), gali taikyti vieną ar kelias įstatyme numatytas vykdymo užtikrinimo priemones:

Taikydamas bet kurią iš įstatyme nurodytų vykdymo užtikrinimo priemonių, NKSC atsižvelgia į kiekvieno konkretaus atvejo aplinkybes ir į kitas įstatyme nustatytas sąlygas, kurios sunkintų arba lengvintų subjekto atsakomybę. Pavyzdžiui, atsakomybę sunkinančios aplinkybės būtų pažeidimo padarymas pakartotinai, subjektas neištaisė trūkumų pagal NKSC pateiktus nurodymus, trukdė  vykdyti kibernetinio saugumo audito ar stebėsenos pareigūno veiklą, slėpė padarytą pažeidimą ir kt. Ir atvirkščiai, subjekto atsakomybę lengvinančios aplinkybės yra subjekto veiksmai, kuriais jis savo noru užkirto kelią turtinei ar neturtinei žalai atsirasti, atlygino padarytą žalą, pripažino pažeidimą ir padėjo NKSC patikrinimo metu ir kt.

Pagal Kibernetinio saugumo įstatymo reikalavimus tik esminio subjekto vadovas gali būti laikinai nušalintas nuo pareigų bendrosios kompetencijos apylinkės teismo nutartimi. Prašymą nušalinti esminio subjekto vadovą pateikia NKSC (žr., Kibernetinio saugumo įstatymo 33 str.). Taip pat tik esminiam subjektui gali būti laikinai stabdoma teisė užsiimti dalimi esminio subjekto vykdomos veiklos ar visa jo vykdoma veikla arba teisė teikti paslaugas (žr., Kibernetinio saugumo įstatymo 32 str.).

Numatyta, kad NKSC vadovas ar jo įgaliotas asmuo, vadovaudamasis Kibernetinio saugumo įstatymu gali skirti baudas kibernetinio saugumo subjektams, kurių dydis skiriasi:

Visi kibernetiniai incidentai yra skirstomi į didelius, nedidelius ir vos neįvykusius incidentus.

Kibernetinio saugumo įstatyme nustatyta pareiga esminiams ir svarbiems subjektams pranešti NKSC ne tik apie didelį kibernetinį incidentą, bet ir apie kitus kibernetinius incidentus, taip pat nustatyta, koks turi būti pranešimo apie incidentą turinys.

Nauja redakcija išdėstytame Nacionaliniame kibernetinių incidentų valdymo plane, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ detalizuojami didelio incidento požymiai, kibernetinių incidentų valdymo ir informavimo apie juos procesai. Laikoma, kad įvyko didelis incidentas, kai:

• organizacija patiria ar gali patirti didelių paslaugų teikimo sutrikimų ir kibernetinis incidentas atitinka bent vieną iš šių kriterijų:

1)         paslaugos trikdomos visoje Lietuvos teritorijoje ir (ar) bent vienoje Europos Sąjungos arba NATO šalyje;

2)         tinklų ir informacinės sistemos veikla trikdoma 2 ar daugiau valandų;

3)         paveiktų paslaugų gavėjų ar kompiuterizuotų darbo vietų skaičius lygus arba didesnis nei 1 000, arba 25 procentai (atsižvelgiant į tai, kuris dydis yra mažesnis);

4)         paveikti 1 000 arba 25 procentų (atsižvelgiant į tai, kuris dydis yra mažesnis) paslaugų gavėjų asmens duomenys ar kiti organizacijos saugomi paslaugų gavėjų duomenys;

5)         organizacija nebegali užtikrinti teisės aktuose jo veiklai nustatytų reikalavimų įgyvendinimo;

6)         prarastos arba atskleistos komercinės paslaptys arba įslaptinta informacija;

7)         per 6 mėnesius patiriamas daugiau nei vienas analogiškas kibernetinis incidentas, incidentų pagrindinė priežastis sutampa, o finansinių nuostolių dydis siekia kitame punkte numatytas vertes;

• organizacija patiria ar gali patirti didelių finansinių nuostolių, lygių arba didesnių nei 500 000 Eur, arba 5 procentų kibernetinio saugumo subjekto praėjusių finansinių metų apyvartos (atsižvelgiant į tai, kuri suma yra mažesnė);
  • kibernetinis incidentas paveikė arba gali paveikti kitus fizinius ar juridinius asmenis, sukeldamas didelę turtinę arba neturtinę žalą, atitinkančią bent vieną iš šių kriterijų:

1)         galimos turtinės žalos dydis yra lygus arba didesnis nei 400 bazinių socialinių išmokų;

2)         galimos neturtinės žalos dydis lygus arba didesnis nei 10 000 Eur;

3)         sutrikdyta bent vieno žmogaus sveikata arba bent vienas žmogus žuvo.

Pažymėtina, kad specialiesiems subjektams bei patikimumo užtikrinimo paslaugų teikėjams Europos Komisijos tiesioginio taikymo įgyvendinimo reglamente (ES) 2024/2690 nustatyti papildomi kriterijai, kada laikoma, kad kibernetinis incidentas yra didelis.

Pagal Nacionalinį kibernetinių incidentų valdymo planą, apie didelį kibernetinį incidentą kibernetinio saugumo subjektai NKSC privalės pranešti per 24 val., o per 72 val. pateikti išsamų incidento pranešimą. Apie nedidelį kibernetinį incidentą informaciją pateikti reikės per ne vėliau kaip 72 val. Kibernetinio incidento valdymas baigiamas, kai subjektai pateikia galutinę ataskaitą (per 1 mėnesį nuo incidento registravimo). NKSC gali prašyti pateikti tarpines ataskaitas (pvz., tarpinę atitinkamų atnaujintų padėties duomenų ataskaitą, pažangos ataskaitą).

Pagal Nacionalinį kibernetinių incidentų valdymo planą kibernetinių incidentų valdymo organizavimas užtikrinamas kibernetinio saugumo subjekto vadovui ar jo įgaliotam asmeniui paskiriant šias funkcijas vykdančius asmenis (toliau – Saugumo operacijų centras). Saugumo operacijų centro funkcijos negali būti pavedamos kibernetinio saugumo subjekto arba paslaugų teikėjo darbuotojui, atsakingam už tinkamą to kibernetinio saugumo subjekto tinklų ir (ar) informacinių sistemų veiklą. Tokios paslaugos gali būti įsigyjamos.

Atkreipiame dėmesį, kad kibernetinio saugumo subjektai privalės informuoti NKSC apie įvykusius kibernetinius incidentus, tačiau kiti asmenys (kuriems Kibernetinio saugumo įstatyme nėra nustatytos pareigos teikti tokią informaciją) pranešti apie kibernetinius incidentus, kibernetines grėsmes, vos neįvykusius kibernetinius incidentus galės savanoriškai.

NKSC pradėjo kurti naują centralizuotą nacionalinę kibernetinių incidentų valdymo platformą, kuri palengvins ir automatizuos informacijos pateikimą, o ateityje taps pagrindiniu informacijos apie kibernetinius incidentus pateikimo kanalu.

Atkreipti dėmesį į Kibernetinio saugumo įstatymą turi tie juridiniai ir fiziniai asmenys, kurie veikia viename iš Kibernetinio saugumo įstatymo 1 ir 2 prieduose nurodytų ypatingos svarbos ir kituose itin svarbiuose sektoriuose. Kitas svarbus kriterijus, kuris bus vertinamas – juridinio asmens dydis: kibernetinio saugumo įstatymo prieduose nurodytuose sektoriuose veikiantis asmuo patenka į įstatymo reguliavimo sritį, jei jis yra didelė ar vidutinė įmonė pagal  Smulkiojo ir vidutinio verslo plėtros įstatymą (vertinamas vidutinių įmonės darbuotojų skaičius, metinės pajamos, balanse nurodyto turto vertė).

Išskyrus tam tikras išimtis, Kibernetinio saugumo įstatymas netaikomas mažoms ir labai mažoms įmonėms. Išimtys susijusios su tokių įmonių teikiamomis paslaugomis ar produktais, kurie yra kritiškai svarbūs valstybės gyvenimui, pavyzdžiui, kai tokios įmonės yra vieninteliai paslaugų teikėjai arba kai paslaugų teikimo sutrikimas gali turėti reikšmingų pasekmių visuomenės saugumui arba visuomenės sveikatai ir pan.

NKSC, vadovaudamasis Kibernetinio saugumo įstatyme nustatytais subjektų identifikavimo kriterijais (bendraisiais ir specialiaisiais), identifikavo kibernetinio saugumo subjektus ir įtraukė juos į Kibernetinio saugumo subjektų registrą ir kibernetinio saugumo subjektams išsiuntė pranešimus apie jų patekimą į Kibernetinio saugumo subjektų registrą iki 2025 m. balandžio 17 d. Kibernetinio saugumo subjektų registras bus peržiūrimas ne rečiau kaip kartą per metus. Kibernetinio saugumo subjektų registro duomenys yra konfidencialūs ir teikiami tik Kibernetinio saugumo įstatymo 19 straipsnio 5 dalyje nustatyta tvarka.

Subjektų identifikavimo metu vertinama įvairių šaltinių informacija (pavyzdžiui, gauta iš valstybės registrų ir informacinių sistemų, pačių identifikuojamų subjektų, kitų valstybės institucijų, įstaigų, ir kt.), siekiant patikrinti jų atitikimą Kibernetinio saugumo įstatymo 11 straipsnyje nustatytiems kriterijams. Kibernetinio saugumo subjektai Kibernetinio saugumo įstatymo 1 ir 2 prieduose nurodytiems sektoriams, subsektoriams ir subjekto rūšiai priskiriami pagal Ekonominės veiklos rūšių klasifikatorių, įvertinant visą įmonės vykdomą veiklą ir teikiamas paslaugas.

Kibernetinio saugumo reikalavimai nustatyti aktualia redakcija išdėstytame Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“.  Šiuo Vyriausybės nutarimu patvirtintas ne tik Kibernetinio saugumo reikalavimų aprašas, bet ir kitos tvarkos, kurios tampa aktualios į Kibernetinio saugumo subjektų registrą patekusiems kibernetinio saugumo subjektams: Nacionalinis kibernetinių incidentų valdymo planas, Kibernetinio saugumo subjektų identifikavimo pagal specialiuosius kriterijus metodika, Vykdymo užtikrinimo priemonių taikymo kibernetinio saugumo subjektams tvarkos aprašas. 

Į Kibernetinio saugumo subjektų registrą patekę kibernetinio saugumo subjektai kibernetinio saugumo reikalavimus turi įgyvendinti per 12 mėn., o atitinkamuose Kibernetinio saugumo reikalavimų aprašo punktuose nustatytus techninius kibernetinio saugumo reikalavimus – per 24 mėn. (žr., Kibernetinio saugumo reikalavimų aprašo 71 ir 72 p.).

Kibernetinio saugumo įstatymas reikalauja, kad kibernetinio saugumo subjektai imtųsi tinkamų techninių ir organizacinių priemonių, siekdami valdyti savo informacijos saugumo riziką. Vienas iš kibernetinio saugumo reikalavimų, keliamų kibernetinio saugumo subjektams, yra užtikrinti tiekimo grandinės saugumą.

Kibernetinio saugumo subjektai privalo nuolat stebėti ir peržiūrėti visus aspektus, kylančius iš savo ir tiesioginių tiekėjų ar paslaugų teikėjų sutartinių santykių. Kibernetinio saugumo subjektai privalo reikalauti ir įsitikinti, jog tiekėjai  atitinka kibernetinio saugumo reikalavimus, pavyzdžiui, turi incidentų valdymo planus, atitinkamus saugumo sertifikatus, įvykus kibernetiniam incidentui bendradarbiaus su kibernetinio saugumo subjektu ir pan. Atsižvelgiant į tai, numatoma, kad bus daug organizacijų, veikiančių  vieno ar daugiau kibernetinio saugumo subjektų tiekimo grandinėje. Tokioms organizacijoms naujasis teisinis reguliavimas turės netiesioginį poveikį.

Kibernetinio saugumo subjektų identifikavimo pagal specialiuosius kriterijus metodikoje, patvirtintoje Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, numatyta, kad vienas iš specialiųjų kriterijų skirtas identifikuoti esminio subjekto tam tikrai teikiamai paslaugai ir (ar) vykdomai veiklai įtaką turinčius subjektus, kuriems teikiant paslaugą ilgiau nei 12 mėn. jie tampa esminiu ar svarbiu subjektu.

TIS 2 direktyvoje numatyta, kad iš kibernetinio saugumo subjektų grupės išskiriamai specialiajai subjektų grupei:

• DNS paslaugų teikėjui;
• aukščiausio lygio domenų vardų registravimo paslaugas teikiančiam subjektui;
• debesijos paslaugų teikėjui;
• duomenų centrų paslaugų teikėjui;
• paskirstytojo turinio teikimo tinklo paslaugų teikėjui;
• valdomų paslaugų teikėjui;
• valdomų kibernetinio saugumo paslaugų teikėjui;
• elektroninės prekyvietės paslaugų teikėjui;
• interneto paieškos sistemų ir socialinių tinklų paslaugų platformų paslaugų teikėjui,

gali būti tiesiogiai taikomi Europos Komisijos priimami įgyvendinamieji teisės aktai (TIS 2 direktyvoje numatyta, kad Europos Komisija gali priimti teisės aktus ir dėl kitų subjektų).

Europos Komisija 2024 m. spalio 17 d.  priėmė tiesioginio taikymo įgyvendinimo reglamentą (ES) 2024/2690, skirtą minėtai specialiųjų subjektų  grupei ir patikimumo užtikrinimo paslaugų teikėjams. Šis reglamentas nustato TIS 2 direktyvos taikymo taisykles, susijusias su kibernetinio saugumo rizikos valdymo priemonių techniniais ir metodiniais reikalavimais ir apibrėžia išsamesnius atvejus, kuriais kibernetinis incidentas laikomas dideliu. Šis reglamentas (ES) 2024/2690 įsigaliojo 2024 m. lapkričio 7 d.tyti reikalavimai bus  susieti su Europos ir tarptautiniais standartais bei nacionaliniais teisės aktais.

Specialusis subjektas ir patikimumo užtikrinimo paslaugų teikėjas, nuo patekimo į Kibernetinio saugumo subjektų registrą momento, privalo užtikrinti savo naudojamų tinklų ir informacinių sistemų atitiktį tik Europos Komisijos įgyvendinimo reglamente (ES) 2024/2690 nurodytoms kibernetinio saugumo rizikos valdymo priemonėms (žr., Kibernetinio saugumo įstatymo 14 str. 4 d.), o pranešdamas apie incidentus turės laikytis tiek nacionalinių teisės aktų, tiek Reglamento (ES) 2024/2690 reikalavimų.

Europos Sąjungos kibernetinio saugumo agentūra (ENISA) parengė įgyvendinimo gaires, kuriomis siekiama padėti ES valstybėms narėms ir specialiesiems subjektams ir patikimumo užtikrinimo paslaugų teikėjams įgyvendinti Europos Komisijos įgyvendinimo reglamente (ES) 2024/2690 nustatytus kibernetinio saugumo rizikos valdymo priemonių techninius ir metodinius reikalavimus. Šiose gairėse siekiama pateikti:

• papildomus patarimus ir rekomendacijas, į ką atsižvelgti įgyvendinant vieną ar kitą reikalavimą, ir išsamesnius paaiškinimus apie teisės akto tekste vartojamas sąvokas ir terminus;
• įrodymų, kuriais remiantis galima bus įvertinti, ar reikalavimas įvykdytas, pavyzdžius;
• lenteles, kuriose Europos Komisijos įgyvendinimo reglamente nustatyti reikalavimai bus  susieti su Europos ir tarptautiniais standartais bei nacionaliniais teisės aktais.

Į Kibernetinio saugumo subjektų registrą įtraukti kibernetinio saugumo subjektai privalo užtikrinti savo naudojamų tinklų ir informacinių sistemų atitiktį kibernetinio saugumo rizikos valdymo priemonėms, nustatytoms:

1) Nauja redakcija išdėstytame Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“;

2) Europos Komisijos priimtame ir tiesiogiai taikomameįgyvendinamajame teisė akte. Šis teisės aktas  aktualus Kibernetinio saugumo įstatyme išskirtiems specialiesiems subjektams ir patikimumo užtikrinimo paslaugų teikėjams, pavyzdžiui, DNS paslaugų teikėjams, aukščiausio lygio domenų vardų registro paslaugas teikiantiems subjektams, debesijos paslaugų teikėjams, duomenų centrų paslaugų teikėjams ir kitiems subjektams, nurodytiems įstatymo 13 str. 3 d. 1 p.

Kibernetinio saugumo reikalavimų apraše nustatyti konkretūs kibernetinio saugumo reikalavimai, kurie apima kibernetinio saugumo politiką, gaires ir procedūras, skirtas užtikrinti organizacijos tinklų ir informacinių sistemų saugumą bei duomenų apsaugą. Tai apima tokias sritis kaip darbuotojų mokymai, veiklos tęstinumo ir incidentų valdymo planai, trečiųjų šalių valdymas ir kt. 

Kibernetinio saugumo reikalavimų apraše atitinkamose srityse taip pat nustatyti techniniai reikalavimai, taikomi kibernetinio saugumo subjektams. Šie reikalavimai apima tokias sritis kaip tinklo saugumą, duomenų šifravimą, pažeidžiamumų valdymą ir kt.

Kibernetinio saugumo reikalavimų apraše nustatytiems kibernetinio saugumo reikalavimams atitikti yra nustatytas pereinamasis laikotarpis. Kibernetinio saugumo subjektas nuo patekimo į Kibernetinio saugumo subjektų registrą momento kibernetinio saugumo reikalavimus turi įgyvendinti per 12 mėn., o atitinkamuose Kibernetinio saugumo reikalavimų aprašo punktuose nustatytus techninius kibernetinio saugumo reikalavimus – per 24 mėn. (žr., Kibernetinio saugumo reikalavimų aprašo 71 ir 72 p.).

Specialusis subjektas ir patikimumo užtikrinimo paslaugų teikėjas nuo patekimo į Kibernetinio saugumo subjektų registrą momento, privalo užtikrinti savo naudojamų tinklų ir informacinių sistemų atitiktį tik Europos Komisijos įgyvendinimo reglamente (ES) 2024/2690 nurodytoms kibernetinio saugumo rizikos valdymo priemonėms (žr., Kibernetinio saugumo įstatymo 14 str. 4 d.). Atsižvelgiant į tai, kad Reglamentas (ES) 2024/2690 nenustato pereinamojo laikotarpio terminų, jame nustatyti reikalavimai kibernetinio saugumo rizikos valdymo priemonėms privalomi nuo specialiojo subjekto ir patikimumo užtikrinimo paslaugų teikėjo patekimo į Kibernetinio saugumo subjektų registrą momento.

Atkreipiame dėmesį, kad Europos Komisijos įgyvendinimo reglamente (ES) 2024/2690 taip pat apibrėžti išsamesni atvejai, kuriais remiantis kibernetinis incidentas laikomas dideliu (žr., Kibernetinio saugumo įstatymo 18 str. 3 d.), todėl specialusis subjektas ir patikimumo užtikrinimo paslaugų teikėjas, pranešdamas apie incidentus, turi laikytis tiek nacionalinių teisės aktų, tiek Reglamento (ES) 2024/2690 reikalavimų.

Europos Sąjungos kibernetinio saugumo agentūra (ENISA) parengė įgyvendinimo gaires, kuriomis siekiama padėti ES valstybėms narėms, specialiesiems subjektams ir patikimumo užtikrinimo paslaugų teikėjams įgyvendinti Europos Komisijos įgyvendinimo reglamente (ES) 2024/2690 nustatytus kibernetinio saugumo rizikos valdymo priemonių techninius ir metodinius reikalavimus. Šiose gairėse siekiama pateikti:

• papildomus patarimus ir rekomendacijas, į ką atsižvelgti įgyvendinant vieną ar kitą reikalavimą, ir išsamesnius paaiškinimus apie teisės akto tekste vartojamas sąvokas ir terminus;
• įrodymų, kuriais remiantis galima bus įvertinti, ar reikalavimas įvykdytas, pavyzdžius;
• lenteles, kuriose Europos Komisijos įgyvendinimo reglamente nustatyti reikalavimai bus  susieti su Europos ir tarptautiniais standartais bei nacionaliniais teisės aktais.

NKSC identifikuoja kibernetinio saugumo subjektus ir įtraukia juos į Kibernetinio saugumo subjektų registrą iki 2025 m. balandžio 17 d.

NKSC, identifikuodamas esminius ir svarbius kibernetinio saugumo subjektus, vertina iš įvairių šaltinių gaunamą informaciją: pačių identifikuojamų subjektų, kitų valstybės institucijų, įstaigų, valstybės valdomų įmonių, viešųjų įstaigų, savivaldybių įmonių ir savivaldybių įstaigų. Kibernetinio saugumo subjektai Kibernetinio saugumo įstatymo 1 ir 2 prieduose nurodytiems sektoriams, subsektoriams ir subjekto rūšiai priskiriami pagal Ekonominės veiklos rūšių klasifikatorių, įvertinant visą įmonės vykdomą veiklą ir teikiamas paslaugas.

Esminių ir svarbių subjektų identifikavimo procese taip pat dalyvauja už atitinkamą veiklos sektorių atsakingos ministerijos. Subjektai taip pat turės teisę pateikti savanorišką prašymą būti įregistruotais Kibernetinio saugumo subjektų registre.

Identifikuoti kibernetinio saugumo subjektai apie patekimą į Kibernetinio saugumo subjektų registrą bus informuojami pranešimu iki 2025 m. balandžio 17 d.

Gavus patvirtinimą iš NKSC, jog subjektas buvo įtraukas į kibernetinio saugumo subjektų registrą, reikės atlikti tam tikrus darbus. Pirmiausia, subjektas turės prisijungti prie Kibernetinio saugumo informacinės sistemos (KSIS) ir pateikti duomenis bei informaciją apie savo veiklą, teikiamų paslaugų pobūdį, veiklos sektorių, įmonės dydį, pajamas, kt.

Nauja redakcija išdėstytame Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu  Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ nustatytiems kibernetinio saugumo reikalavimams atitikti yra nustatytas pereinamasis laikotarpis. Kibernetinio saugumo subjektas nuo patekimo į Kibernetinio saugumo subjektų registrą momento kibernetinio saugumo reikalavimus turi įgyvendinti per 12 mėn., o atitinkamuose Kibernetinio saugumo reikalavimų aprašo punktuose nustatytus techninius kibernetinio saugumo reikalavimus – per 24 mėn. (žr., Kibernetinio saugumo reikalavimų aprašo 71 ir 72 p.).

Europos Komisijos įgyvendinimo reglamente (ES) 2024/2690, tiesiogiai taikomame tik specialiesiems subjektams ir patikimumo užtikrinimo paslaugų teikėjams, pastariesiems privaloma užtikrinti savo naudojamų tinklų ir informacinių sistemų atitiktį reglamente nurodytoms kibernetinio saugumo rizikos valdymo priemonėms nuo tokio subjekto patekimo į Kibernetinio saugumo subjektų registrą momento.