Kibernetinis saugumas: Lietuva (2026)
Lietuva visiškai perkėlė ES NIS2 direktyvą į nacionalinę teisę, priimdama iš dalies pakeistą Kibernetinio saugumo įstatymą, kuris įsigaliojo 2024 m. spalio 18 d., o techniniai ir organizaciniai įgyvendinimo reikalavimai įsigaliojo 2024 m. lapkričio 12 d. Nacionalinis kibernetinio saugumo centras (NKSC) veikia kaip vienintelė nacionalinė kibernetinio saugumo institucija, CSIRT ir priežiūros institucija, turinti vykdymo įgaliojimus, įskaitant privalomus nurodymus, patikrinimus vietoje ir baudas. Subjektai, priskiriami esminės svarbos arba svarbios svarbos kategorijoms, turi laikytis pakopinių atitikties terminų: organizacines priemones įgyvendinti per 12 mėnesių nuo registracijos, o technines priemones – per 24 mėnesius.
Pagrindinė struktūra
Lietuvos Respublikos kibernetinio saugumo įstatymas (pataisytas 2024 m. liepos 11 d., įsigaliojo 2024 m. spalio 18 d.), kuriuo perkeliama ES NIS2 direktyva (2022/2555); papildytas Vyriausybės nutarimu dėl įgyvendinimo (įsigaliojo 2024 m. lapkričio 12 d.). Kompetentinga institucija ir nacionalinis CSIRT: Nacionalinis kibernetinio saugumo centras (NKSC/NCSC) prie Krašto apsaugos ministerijos.
Pagrindiniai punktai
NIS2 perkėlimas į nacionalinę teisę
Pataisytas Kibernetinio saugumo įstatymas buvo priimtas 2024 m. liepos 11 d. ir įsigaliojo 2024 m. spalio 18 d., laikantis ES nustatyto termino. Vyriausybės nutarimas dėl įgyvendinimo, kuriuo nustatyti techniniai ir organizaciniai reikalavimai, įsigaliojo 2024 m. lapkričio 12 d.
Priežiūros institucija (NKSC)
Nacionalinis kibernetinio saugumo centras (NKSC), pavaldus Krašto apsaugos ministerijai, yra vienintelė kompetentinga institucija, nacionalinis CSIRT ir priežiūros institucija. Jis tvarko nacionalinį kibernetinio saugumo subjektų registrą, stebi, kaip laikomasi reikalavimų, ir koordinuoja reagavimą į incidentus ES kibernetinio saugumo tinkle.
Subjekto registracija ir taikymo sritis
Iki 2025 m. balandžio 17 d. NKSC sudarė pirminį registrą, kuriame nurodė 1 443 esminius ir svarbius subjektus kritiniuose sektoriuose. Manoma, kad, užbaigus visą identifikavimo procesą, bendras į šią sritį patenkančių subjektų skaičius sieks 8 000–10 000.
Prievolės pranešti apie incidentus
Esminiai ir svarbūs subjektai privalo pranešti NKSC apie reikšmingus incidentus laikydamiesi NIS2 trijų etapų tvarkaraščio: išankstinis įspėjimas per 24 valandas, išsamus pranešimas apie incidentą per 72 valandas ir galutinė (arba tarpine) ataskaita per vieną mėnesį. Taip pat būtina informuoti nukentėjusius paslaugų gavėjus, jei incidentas daro įtaką paslaugų teikimui.
Atitikties terminai
Subjektai, kuriems buvo pranešta apie jų įtraukimą į registrą, turi 12 mėnesių laiko įgyvendinti organizacines priemones (pvz., paskirti kibernetinio saugumo pareigūną, patvirtinti kibernetinio saugumo politiką) – pirmojoje grupėje terminas baigiasi maždaug 2026 m. balandžio mėn., o visoms techninėms priemonėms įgyvendinti skirta 24 mėnesiai.
Baudos ir vykdymo užtikrinimas
Svarbiausiems subjektams gali būti skiriamos baudos iki 10 mln. eurų arba 2 % pasaulinės metinės apyvartos (atsižvelgiant į tai, kuri suma yra didesnė); svarbiems subjektams – iki 7 mln. eurų arba 1,4 % pasaulinės apyvartos. Papildomos nefinansinės sankcijos apima laikiną veiklos sustabdymą ir atsakingo vadovo laikiną atleidimą iš pareigų.
Šis puslapis yra vertimas, skirtas patogumui; anglų kalba pateikta versija yra oficiali, tačiau tai nėra teisinė konsultacija.