NIS2 direktyva (ES) 2022/2555 Lietuvoje perkelta Kibernetinio saugumo įstatymo pakeitimais, o priežiūrą vykdo Nacionalinis kibernetinio saugumo centras (NKSC), veikiantis prie Krašto apsaugos ministerijos. Direktyva turėjo būti perkelta iki 2024 m. spalio 17 d. ir gerokai išplečia kibernetinio saugumo pareigų taikymo sritį – nuo ankstesnės NIS direktyvos siauresnio rato iki daug platesnio esminių ir svarbių subjektų rato daugelyje sektorių. Pagrindinės pareigos: kibernetinio saugumo rizikos valdymo priemonės, incidentų pranešimas NKSC pagal incidento kategoriją (didelio incidento ankstyvasis perspėjimas per 24 valandas), tiekimo grandinės saugumas ir tiesioginė vadovybės atskaitomybė. Šis vadovas paaiškina, kam NIS2 taikoma Lietuvoje, kokios pareigos kyla ir kaip jos persidengia su BDAR.
Kaip NIS2 perkelta Lietuvoje?
Lietuva NIS2 direktyvą įgyvendino atnaujindama nacionalinį Kibernetinio saugumo įstatymą ir jį lydinčius poįstatyminius aktus. Kompetentinga priežiūros institucija yra NKSC – nacionalinis kibernetinio saugumo centras, atsakingas už subjektų priežiūrą, incidentų koordinavimą ir metodinę pagalbą. Skirtingai nuo ankstesnės sistemos, NIS2 numato griežtesnius priežiūros ir sankcijų mechanizmus bei platesnį įpareigotų subjektų ratą.
Bendrą NIS2 metodiką ir reikalavimų logiką rasite NIS2 atitikties vadove.
Kam Lietuvoje taikoma NIS2?
NIS2 skiria dvi subjektų kategorijas:
- Ypatingos svarbos sektoriai – energetika, transportas, bankininkystė, finansų rinkų infrastruktūra, sveikatos priežiūra, geriamasis vanduo, nuotekos, skaitmeninė infrastruktūra, viešasis administravimas, kosmosas.
- Kiti svarbūs sektoriai – pašto ir kurjerių paslaugos, atliekų tvarkymas, cheminių medžiagų gamyba, maisto gamyba, tam tikri gamybos sektoriai, skaitmeninių paslaugų teikėjai, moksliniai tyrimai.
Taikymas paprastai priklauso ir nuo dydžio: vidutinės bei didelės įmonės apibrėžtuose sektoriuose patenka į reguliavimą, nors tam tikriems kritiniams subjektams dydžio riba netaikoma. Sektoriaus pavadinimas pats savaime nenustato esminio ar svarbaus subjekto statuso. Taikykite bendruosius ir specialiuosius kriterijus bei patikrinkite NKSC identifikavimo ir įtraukimo į Kibernetinio saugumo subjektų registrą informaciją. NKSC įstatymo DUK paaiškina šį vertinimą; reikalavimų DUK atskirai aptaria į registrą neįtrauktas organizacijas.
Kaip NIS2 keičia ankstesnę tvarką?
Lietuva turėjo nacionalinę kibernetinio saugumo sistemą dar iki NIS2, tačiau naujoji direktyva ją reikšmingai išplečia. Anksčiau reguliavimas apėmė siauresnį ypatingos svarbos informacinės infrastruktūros valdytojų ratą, o dabar į jį patenka daug daugiau sektorių ir subjektų. Praktikoje tai reiškia, kad daugelis vidutinių įmonių, kurioms kibernetinio saugumo pareigos anksčiau netaikytos, dabar turi jas įgyvendinti pirmą kartą.
Kartu sugriežtinama priežiūra: NKSC gauna platesnius įgaliojimus atlikti patikrinimus ir taikyti sankcijas, o vadovybei nustatoma tiesioginė atsakomybė. Todėl subjektams, kuriems NIS2 taikoma pirmą kartą, svarbiausia nedelsiant nustatyti savo statusą ir pradėti kurti dokumentuotą rizikos valdymo sistemą – rankinis požiūris čia greitai tampa neperspektyvus.
Kokios pareigos kyla iš NIS2?
NIS2 nustato keturias pareigų grupes:
| Pareiga | Ką reikia padaryti |
|---|---|
| Rizikos valdymas | Įdiegti technines ir organizacines kibernetinio saugumo priemones |
| Incidentų pranešimas | Pranešti NKSC per nustatytus terminus (24 val. / 72 val. / 1 mėn.) |
| Tiekimo grandinės saugumas | Vertinti ir valdyti tiekėjų riziką |
| Vadovybės atskaitomybė | Valdymo organai atsako už priemonių įgyvendinimą ir priežiūrą |
Rizikos valdymo priemonės apima prieigos kontrolę, šifravimą, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą ir darbuotojų mokymus – daugelis jų tiesiogiai persidengia su BDAR 32 straipsnio saugumo reikalavimais. Jei darbuotojai jungiasi mobiliaisiais įrenginiais, MDM taisyklių darbo lapas padeda atskirti asmeninį ir organizacijos įrenginį, administratoriaus teises bei prarasto įrenginio veiksmus.
Kaip veikia incidentų pranešimas?
Dideliam kibernetiniam incidentui taikoma pakopinė pranešimo NKSC eiga. Toliau pateikta bendroji seka; konkretaus subjekto ir paslaugos specialias sąlygas sutikrinkite su taikomu nacionaliniu planu:
- Pradinis įspėjimas – per 24 valandas nuo reikšmingo incidento sužinojimo.
- Incidento pranešimas – per 72 valandas, su pradiniu vertinimu.
- Galutinė ataskaita – ne vėliau kaip per vieną mėnesį nuo incidento pranešimo. Jei incidentas dar nesibaigė, tikrinkite pažangos ataskaitos ir vėlesnio galutinio pranešimo tvarką.
Lietuvoje įpareigotiems subjektams reikia pranešti ir apie nedidelius incidentus, kuriems taikoma atskira eiga. NKSC incidentų valdymo DUK atskiria didelio, nedidelio ir vos neįvykusio incidento atvejus; vien saugos įrankio užblokuotas bandymas savaime nėra pareiga siųsti tokį patį pranešimą kaip apie įvykusį pažeidimą.
Svarbu, kad kibernetinis incidentas dažnai kartu yra ir asmens duomenų saugumo pažeidimas, tačiau pranešimo VDAI pareiga vertinama atskirai pagal BDAR 33 straipsnio pavojaus kriterijų. Kai ji taikoma, pranešama nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas nuo sužinojimo; abi pranešimo eigas reikia koordinuoti.
Kaip NIS2 persidengia su BDAR?
NIS2 ir BDAR persidengia dviejose srityse. Pirma, saugumo priemonės – NIS2 rizikos valdymas iš esmės atkartoja BDAR 32 straipsnio techninių ir organizacinių priemonių reikalavimą. Antra, incidentų pranešimas – tas pats incidentas gali reikalauti pranešimo ir NKSC (NIS2), ir VDAI, kuri prižiūri BDAR laikymąsi (BDAR). Todėl subjektui, dokumentuojančiam priemones ir incidentus atskirai, atsiranda didelis dubliavimas. Bendrą BDAR Lietuvoje kontekstą verta valdyti kartu su NIS2. Finansų sektoriui prisideda ir DORA, kurios IRT rizikos valdymas taip pat sutampa.
Kokios sankcijos ir vadovybės atsakomybė?
NIS2 įveda griežtesnę sankcijų sistemą nei ankstesnė NIS direktyva. Esminiams subjektams numatytos baudos iki 10 mln. eurų arba 2 % pasaulinės metinės apyvartos, svarbiems – iki 7 mln. eurų arba 1,4 %. Konkrečias procedūras ir dydžius Lietuvoje nustato Kibernetinio saugumo įstatymas, o taiko NKSC.
Ypač svarbi naujovė – tiesioginė valdymo organų atsakomybė. Vadovybė turi patvirtinti kibernetinio saugumo rizikos valdymo priemones, prižiūrėti jų įgyvendinimą ir gali būti asmeniškai atsakinga už pareigų nesilaikymą. Tai reiškia, kad NIS2 nebėra vien IT skyriaus reikalas – ji tampa valdybos lygio klausimu. Todėl dokumentacija turi būti tokia, kad ją suprastų ir patvirtintų vadovybė, o ne tik technikos specialistai.
Kaip nustatyti, ar esate įpareigotas subjektas?
Praktiškai svarbiausias pirmasis žingsnis – nustatyti, ar jūsų organizacija patenka į NIS2 taikymo sritį, ir į kurią kategoriją. Vertinimo logika:
- Sektorius – ar veikiate viename iš direktyvoje išvardytų sektorių (energetika, transportas, sveikata, skaitmeninė infrastruktūra, pašto paslaugos, gamyba ir kt.)?
- Dydis – ar esate vidutinė ar didelė įmonė pagal ES apibrėžimą (vertinant darbuotojų, finansinius ir susijusių įmonių duomenis pagal taikomas dydžio skaičiavimo taisykles)?
- Išimtys – kai kuriems kritiniams subjektams dydžio riba netaikoma, todėl jie patenka nepriklausomai nuo dydžio.
Jei atsakymai patvirtina taikymą, dažniausiai reikia registruotis ar informuoti NKSC. Neaiškiais atvejais verta pasitikrinti tiesiogiai NKSC svetainėje arba direktyvos tekste EUR-Lex.
Kaip pasiekti NIS2 atitiktį?
Praktiniai žingsniai:
- Nustatykite, ar esate esminis, ar svarbus subjektas, ir informuokite NKSC, jei to reikalaujama.
- Atlikite kibernetinio saugumo rizikos vertinimą ir įdiekite priemones.
- Sukurkite incidentų pranešimo procedūrą su 24/72 val. terminais ir suderinkite ją su duomenų pažeidimų valdymo procedūra.
- Įvertinkite tiekimo grandinės riziką.
- Užtikrinkite vadovybės įsitraukimą ir dokumentuotą atskaitomybę.
Kokias saugumo priemones reikia įdiegti?
NIS2 21 straipsnis nurodo minimalų rizikos valdymo priemonių rinkinį, kurį įpareigoti subjektai privalo įgyvendinti. Tai apima rizikos analizės ir informacinių sistemų saugumo politiką, incidentų valdymą, veiklos tęstinumą ir atsargines kopijas, tiekimo grandinės saugumą, sistemų įsigijimo ir priežiūros saugumą, įskaitant Windows ir Linux konfigūracijų griežtinimą, priemonių veiksmingumo vertinimą, kibernetinės higienos praktikas ir mokymus, kriptografijos ir šifravimo naudojimą, prieigos kontrolę bei daugiafaktorę autentifikaciją.
Šios priemonės turi būti proporcingos subjekto rizikai ir dokumentuotos taip, kad jas galėtų patvirtinti vadovybė ir patikrinti NKSC. Kai veiksmingumui tikrinti pasirenkamas įsiskverbimo bandymas, testavimo užduotis padeda sutarti leistiną apimtį, sustabdymo sąlygas ir pakartotinį patikrinimą. Kadangi didelė dalis šių reikalavimų sutampa su BDAR 32 straipsnio techninėmis ir organizacinėmis priemonėmis, jas racionalu aprašyti vieną kartą ir panaudoti abiem reguliavimams. Būtent tokį integruotą dokumentavimą lengviausia palaikyti struktūrizuotai, o ne atskirose skaičiuoklėse.
Dažnai užduodami klausimai (FAQ)
Kas Lietuvoje prižiūri NIS2 vykdymą?
Priežiūrą vykdo Nacionalinis kibernetinio saugumo centras (NKSC), veikiantis prie Krašto apsaugos ministerijos. Jis atsakingas už subjektų priežiūrą, incidentų koordinavimą ir metodinę pagalbą. NIS2 perkelta Kibernetinio saugumo įstatymo pakeitimais.
Ar mano įmonei taikoma NIS2?
NIS2 taikoma esminiams ir svarbiems subjektams apibrėžtuose sektoriuose (energetika, transportas, sveikata, skaitmeninė infrastruktūra, pašto paslaugos, gamyba ir kt.), paprastai vidutinėms ir didelėms įmonėms. Kai kuriems kritiniams subjektams dydžio riba netaikoma. Reikia įvertinti, ar patenkate į reguliuojamą sektorių.
Per kiek laiko reikia pranešti apie NIS2 incidentą?
Didelio incidento bendrojoje sekoje ankstyvasis perspėjimas teikiamas per 24 valandas nuo sužinojimo, incidento pranešimas – per 72 valandas, o galutinė ataskaita – per mėnesį nuo incidento pranešimo; tikrinkite taikomas specialias ir tebevykstančio incidento sąlygas. Nedideliems incidentams nacionalinė tvarka numato atskirą pranešimo eigą. Jei paveikti asmens duomenys, atskirai įvertinkite BDAR 33 straipsnio pranešimą VDAI: pranešama nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas, nebent mažai tikėtinas pavojus teisėms ir laisvėms.
Ar NIS2 taikoma įmonės tiekėjams?
Tiesiogiai NIS2 taikoma pačiam įpareigotam subjektui, tačiau viena iš pareigų yra tiekimo grandinės saugumo valdymas. Tai reiškia, kad įpareigotas subjektas turi vertinti savo IRT tiekėjų riziką ir įtraukti saugumo reikalavimus į sutartis. Praktiškai NIS2 poveikis pasklinda ir tiekėjams, net jei jie patys tiesiogiai nepatenka į reguliavimą.
Ar galima NIS2 ir BDAR valdyti kartu?
Taip, ir tai rekomenduojama. NIS2 saugumo priemonės ir incidentų pranešimas persidengia su BDAR 32 ir 33 straipsniais, todėl integruotas dokumentavimas leidžia tas pačias priemones aprašyti vieną kartą. Tai ypač aktualu Lietuvos subjektams, kuriems kartu taikoma ir NIS2, ir BDAR – integruota platforma sumažina darbo apimtį ir užtikrina nuoseklumą.
Išvada
NIS2 Lietuvoje perkelta Kibernetinio saugumo įstatymu, o priežiūrą vykdo NKSC. Direktyva reikšmingai išplečia įpareigotų subjektų ratą ir įveda griežtesnę rizikos valdymo, incidentų pranešimo ir vadovybės atskaitomybės sistemą. Kadangi pareigos plačiai persidengia su BDAR ir DORA, integruotas dokumentavimas yra efektyviausias kelias į atitiktį.
Šaltiniai: NKSC oficiali svetainė, NIS2 direktyva (EUR-Lex), Kibernetinio saugumo įstatymas (Teisės aktų registras).