9 modulis · 9.1
NIS2 ir Kibernetinio saugumo įstatymas
9 modulis: Taisyklės ir organizacija · Skaitymo trukmė: 11 min.
Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, ką reglamentuoja NIS2 direktyva ir jos nacionalinis perkėlimas, kam jis taikomas ir ką jis per tiekimo grandinę reiškia mažoms įmonėms.
Pagrindinės sąvokos: NIS2, Kibernetinio saugumo įstatymas (NIS2 perkėlimas), esminis ir svarbus subjektas, sektorius, dydis, rūpestingumo pareiga, pranešimo pareiga (24 valandos, 72 valandos, 1 mėnuo), registracijos pareiga, tiekimo grandinė, savianalizė
Nuo Europos direktyvos iki nacionalinio įstatymo
NIS2 yra 2022 m. Europos direktyva (Direktyva (ES) 2022/2555), kuria siekiama padidinti svarbių organizacijų skaitmeninį atsparumą visoje ES. Direktyva netaikoma tiesiogiai: kiekviena valstybė ją perkelia į savo nacionalinę teisę. Lietuvoje tai yra Kibernetinio saugumo įstatymas (NIS2 perkėlimas), kuris galioja nuo 2024 m. spalio 18 d. Nyderlanduose atitinkamas nacionalinis įstatymas, vadinamoji Nyderlandų Kibernetinio saugumo įstatymas (Cbw), įsigaliojo 2026 m. rugpjūčio 15 d., kartu su kritinių subjektų atsparumo įstatymu ir su juo susijusiu nutarimu, kuriame taisyklės detalizuotos toliau. Ten galiojęs senasis tinklų ir informacinių sistemų saugumo įstatymas buvo panaikintas, ir tam perėjimo laikotarpio nenumatyta: kam jis taikomas, tas jau dabar turi atitikti reikalavimus.
Pasak Nyderlandų NCSC, Nyderlanduose šis įstatymas taikomas daugiau nei 8 000 organizacijų. Tai tik nedidelė dalis visų Nyderlandų įmonių. Daugumai mažų įmonių svarbiausias klausimas todėl yra ne „ką man reikia daryti pagal įstatymą?“, o „ko iš manęs reikalauja mano klientai, nes jiems šis reglamentavimas taikomas?“. Prie to grįšime vėliau.
Nyderlanduose kontaktinis centras dėl šio reglamentavimo yra Nyderlandų NCSC, kuris nuo 2026 m. sausio 1 d. atsakingas ir už mažų bei vidutinių įmonių klausimus: buvęs Digital Trust Center dabar yra Nyderlandų NCSC dalis.
Ar Jums tai taikoma? Sektorius ir dydis
Ar organizacijai taikomas šis reglamentavimas, priklauso nuo dviejų klausimų.
1. Ar dirbate įstatyme nurodytame sektoriuje? Reglamentavimas apima du priedus.
| 1 priedas (11 sektorių) | 2 priedas (7 sektoriai) |
|---|---|
| energetika, transportas, bankininkystė, geriamasis vanduo, skaitmeninė infrastruktūra, IRT paslaugų valdymas, kosmosas, finansų rinkos infrastruktūra, sveikatos priežiūra, nuotekos, viešasis administravimas | skaitmeninių paslaugų teikėjai, pašto ir kurjerių paslaugos, atliekų tvarkymas, maisto produktai, chemija, mokslas ir tyrimai, gamyba |
Kai kuriems sektoriams taikomos papildomos sąlygos, kurias nustato atsakinga ministerija. Todėl ne kiekviena organizacija, kuri kažkaip susijusi su „maisto produktais“, automatiškai patenka į reglamentavimo sritį.
2. Ar esate pakankamai didelė organizacija? Organizacija įskaičiuojama, jei:
- turite 50 ar daugiau darbuotojų (visu etatu), arba
- turite mažiau nei 50 darbuotojų, bet Jūsų metinė apyvarta ir balanso suma abu viršija 10 milijonų eurų.
Partnerinės ir susijusios įmonės taip pat įskaičiuojamos. Taigi 20 darbuotojų turinti įmonė, priklausanti 200 darbuotojų grupei, vis tiek gali patekti į reglamentavimo sritį.
Išimtys: nepriklausomai nuo dydžio. Keletas organizacijų tipų reglamentavimui priklauso visada, kad ir kokio dydžio jos būtų: DNS paslaugų teikėjai, aukščiausio lygio domenų registrai, viešųjų elektroninių ryšių tinklų ir paslaugų teikėjai, patikimumo užtikrinimo paslaugų teikėjai ir viešojo administravimo subjektai. Domenų vardų registravimo paslaugų teikėjai taip pat privalo registruotis.
Esminis ar svarbus subjektas
Reglamentavimui priklausančios organizacijos skirstomos į esminius arba svarbius subjektus. Apytiksliai: didelės organizacijos 1 priedo sektoriuose ir kelių tipų subjektai, nurodyti nepriklausomai nuo dydžio, yra esminiai; visi kiti yra svarbūs. Skirtumas glūdi pirmiausia priežiūroje: esminių subjektų atveju priežiūros institucija gali atlikti patikrinimus savo iniciatyva, pavyzdžiui, inspekcijas ir auditus; svarbių subjektų atveju ji dažniausiai įsikiša jau po fakto, kai yra požymių, kad kažkas negerai. Pačios pareigos iš esmės yra panašios. Ar esate esminis, ar svarbus subjektas, nustatysite pasinaudodami toliau pateikta savianalize.
Pasitikrinkite patys
Nyderlanduose Rijksinspectie Digitale Infrastructuur (RDI) siūlo nemokamą NIS2 savianalizę, skirtą Nyderlandų organizacijoms (https://regelhulpenvoorbedrijven.nl/NIS-2-NL/, Nyderlandų šaltinis). Atsakote į klausimus apie sektorių, dydį ir paslaugas ir gaunate rezultatą. Jei abejojate, pavyzdžiui, nes Jūsų įmonė priklauso grupei arba veikia keliose šalyse, Nyderlandų NCSC turi gaires sudėtingesniems verslo modeliams (taip pat Nyderlandų šaltinis). Dėl padėties Lietuvoje kreipkitės į Nacionalinį kibernetinio saugumo centrą (NKSC).
Ko reikalauja reglamentavimas
Jei Jūsų organizacijai tai taikoma, galioja trys pareigos.
Registracijos pareiga
Savo organizaciją registruojate subjektų registre. Lietuvoje tai atliekama registruojantis NKSC. Taip valstybė žino, kam reglamentavimas taikomas, ir gali su Jumis susisiekti, jei kyla grėsmė.
Rūpestingumo pareiga
Atliekate rizikos analizę ir, remdamiesi ja, imatės tinkamų ir proporcingų priemonių savo tinklų ir informacinių sistemų saugumui užtikrinti. Nyderlandų NCSC nurodo bent dešimt temų, su kuriomis visomis jau susidūrėte šiame kurse:
- rizikos analizė (1.1 ir 9.3 pamokos);
- incidentų valdymas su incidentų planu (8.1 pamoka);
- pasirengimas sutrikimams: atsarginės kopijos, atkūrimo planai, krizių valdymas (6 modulis);
- tiekimo grandinės saugumas, įskaitant tiekėjų riziką (7.2 pamoka);
- kibernetinė higiena ir mokymai (9.2 pamoka);
- saugus sistemų įsigijimas, kūrimas ir priežiūra, įskaitant atnaujinimus (5.1 pamoka);
- personalas, prieigos politika ir įrangos bei programinės įrangos valdymas (7.1 pamoka);
- passkeys arba kelių veiksnių autentifikavimas ir saugus ryšys (2 modulis);
- kriptografijos (šifravimo) politika;
- priemonių veiksmingumo vertinimas, pavyzdžiui, periodinis testavimas (6.3 ir 9.3 pamokos).
Už tai atsakinga valdyba: ji tvirtina priemones ir prižiūri jų įgyvendinimą. Pagal Europos direktyvą vadovai taip pat turi dalyvauti mokymuose apie kibernetinę riziką. Kibernetinis saugumas tad nebėra darbas, kurį galima tiesiog perduoti IT specialistui.
Pranešimo pareiga
Apie reikšmingą incidentą turite pranešti kompetentingai institucijai. Nyderlanduose tai daroma per MijnNCSC. Tai incidentas, kuris rimtai sutrikdo Jūsų paslaugų teikimą, sukelia finansinę žalą arba gali padaryti didelę žalą kitiems; tikslios ribos skiriasi priklausomai nuo sektoriaus. Terminai skaičiuojami nuo to momento, kai sužinote apie incidentą:
| Terminas | Ką siunčiate |
|---|---|
| Per 24 valandas | Ankstyvas įspėjimas: ar įtariama, kad tai piktybiškas veiksmas, ar yra tarptautinių pasekmių, kas yra kontaktinis asmuo |
| Per 72 valandas | Pranešimas apie incidentą: atnaujinta informacija su pirminiu rimtumo ir poveikio vertinimu |
| Per 1 mėnesį nuo pranešimo | Galutinė ataskaita: kas įvyko, priežastis ir priemonės (jei incidentas tęsiasi ilgiau: pažangos ataskaita) |
Nyderlanduose vienas pranešimas per MijnNCSC pasiekia tiek CSIRT komandą (padedančią valdyti incidentą), tiek priežiūros instituciją. Be to, pagal direktyvą prireikus turite informuoti savo paslaugų gavėjus apie reikšmingus incidentus, kurie gali juos paveikti.
Pranešimas pagal Kibernetinio saugumo įstatymą ir pranešimas pagal BDAR: du skirtingi dalykai
Tai primena BDAR numatytą pranešimo apie duomenų saugumo pažeidimus pareigą (8.2 pamoka), ir „72 valandos“ minimos abiejuose. Vis dėlto tai dvi atskiros pareigos.
| Kibernetinio saugumo įstatymas (NIS2) | BDAR (duomenų saugumo pažeidimas) | |
|---|---|---|
| Kam taikoma | Organizacijoms, kurioms taikomas reglamentavimas | Visiems, kas tvarko asmens duomenis, įskaitant individualią veiklą vykdančius asmenis |
| Apie ką | Reikšmingi incidentai, susiję su Jūsų paslaugų teikimu | Asmens duomenų saugumo pažeidimai |
| Kam | Kompetentingai institucijai (Nyderlanduose NCSC per MijnNCSC) | Valstybinė duomenų apsaugos inspekcija (VDAI) |
| Terminai | 24 valandos, 72 valandos, 1 mėnuo | Be nepagrįsto delsimo, jei įmanoma, per 72 valandas |
Taigi apie išpirkos reikalaujančios programinės įrangos ataką organizacijoje, kuriai taikomas Kibernetinio saugumo įstatymas, jeigu kartu buvo pavogti ir klientų duomenys, reikia pranešti abiem institucijoms. O mažai įmonei, kuriai šis reglamentavimas netaikomas, vis tiek galioja BDAR pranešimo pareiga, jei nutekėjo asmens duomenys.
Jei Jums tai netaikoma: tiekimo grandinė
Daugumai šio kurso skaitytojų atsakymas į pirmąjį klausimą yra: ne, mano įmonei šis reglamentavimas netaikomas. Kepyklėlė su dvylika darbuotojų, buhalterinės apskaitos biuras su penkiais, savarankiškai dirbantis svetainių kūrėjas. Tokiu atveju neturite jokių teisinių pareigų pagal šį reglamentavimą: nei registracijos, nei pranešimo pareigos kompetentingai institucijai, nei priežiūros.
Tačiau reglamentavimas gali Jus pasiekti per klientus. Organizacijos, kurioms jis taikomas, privalo apsaugoti savo tiekimo grandinę: jos turi atsižvelgti į savo tiesioginių tiekėjų ir paslaugų teikėjų pažeidžiamumus. Nyderlandų NCSC nurodo, kad pats reglamentavimas tiekėjams tiesioginių pareigų neužkrauna, tačiau organizacijos, kurioms jis taikomas, gali kelti reikalavimus savo tiekėjų skaitmeniniam saugumui. Tokie reikalavimai tuomet atsiduria Jūsų sutartyje arba klausimyne.
Pavyzdys. Maža IT įmonė, turinti šešis darbuotojus, administruoja nešiojamuosius kompiuterius ir tinklą vidutinio dydžio transporto įmonėje, turinčioje 140 darbuotojų. Transporto įmonei šis reglamentavimas taikomas (transporto sektorius, pakankamai didelė). Pačiai IT įmonei netaikomas: „IRT paslaugų valdymas“ nurodytas 1 priede, bet įmonė per maža. Vis dėlto ji gauna klausimyną: ar turite dviejų veiksnių autentifikavimą administravimo įrankiuose, kas turi prieigą prie mūsų sistemų, kaip greitai mums pranešite apie incidentą, kur saugomos atsarginės kopijos?
Ką apie tai sako Nyderlandų NCSC ir ką tai reiškia Jums:
- Reikalavimai turi būti tinkami. Klientas turėtų vertinti riziką, kurią jam kelia Jūsų paslauga. Tiekėjui, turinčiam prieigą prie sistemų, bus taikomi griežtesni reikalavimai nei pietus pristatančiam kepėjui.
- Kalbama apie tiesioginius tiekėjus. Jūsų tiekėjų tiekėjai lieka už reglamentavimo ribų.
- Sertifikatas nėra privalomas. Reglamentavimas nenumato jokio privalomo ženklo. Sertifikatas gali palengvinti pokalbį, bet jis nėra garantija ir nėra teisinis reikalavimas.
- Pradėkite pokalbį anksti. Susidarykite vaizdą, kokių priemonių jau imatės srityse, kur bendraujate su klientu, ir užfiksuokite susitarimus.
Taigi nepervertinkite situacijos. Dėl šio reglamentavimo maža įmonė netampa „NIS2 subjektu“, ir konsultantas, kuris tai Jums teigia, norėdamas parduoti brangų sertifikavimą, pasako tik dalį istorijos. Bet ir nenuvertinkite jo: tiekiantiems paslaugas didesnėms organizacijoms vis dažniau reikės parodyti, kad pagrindai sutvarkyti. Šiame kurse pateiktos bazinės priemonės yra būtent tai, ko paprastai klausiama tokiuose klausimynuose.
Ši pamoka pateikia bendrą paaiškinimą ir nėra teisinė konsultacija. Dėl Lietuvoje galiojančio reglamentavimo kreipkitės į Nacionalinį kibernetinio saugumo centrą (NKSC). Dėl Nyderlanduose galiojančių aktualių taisyklių žr. https://www.ncsc.nl/cyberbeveiligingswet-nis2 (Nyderlandų šaltinis) ir teisės akto tekstą https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (Nyderlandų šaltinis).
Santrauka
- Nyderlanduose Kibernetinio saugumo įstatymas (Cbw) yra Nyderlandų NIS2 perkėlimas ir galioja nuo 2026 m. rugpjūčio 15 d. be pereinamojo laikotarpio; Lietuvoje atitinkamas Kibernetinio saugumo įstatymas (NIS2 perkėlimas) galioja nuo 2024 m. spalio 18 d.
- Reglamentavimas taikomas, jei dirbate 1 ar 2 priede nurodytame sektoriuje IR turite 50 ar daugiau darbuotojų, arba metinė apyvarta ir balanso suma abu viršija 10 milijonų eurų; kai kurie tipai (pvz., DNS paslaugų teikėjai ir viešasis administravimas) patenka į reglamentavimo sritį nepriklausomai nuo dydžio.
- Pareigos: registracija, rūpestingumo pareiga su rizikos analize ir tinkamomis priemonėmis, už kurias atsakinga valdyba, bei pranešimas apie reikšmingus incidentus per 24 valandas, 72 valandas ir 1 mėnesį.
- Pranešimas pagal Kibernetinio saugumo įstatymą yra atskiras nuo BDAR pranešimo apie duomenų saugumo pažeidimus VDAI; kartais reikia abiejų.
- Mažai įmonei dažniausiai pats reglamentavimas netaikomas, bet per klientus, kuriems jis taikomas, ji gali gauti tinkamus saugumo reikalavimus.
Testas (quiz)
Užduotis
Užduotis A9.1: Ar tai patenka į Kibernetinio saugumo įstatymo (NIS2 perkėlimas) taikymo sritį? Pateikiami šeši trumpi organizacijų aprašymai (sektorius, darbuotojų skaičius, apyvarta, balanso suma, galbūt grupė ar stambus klientas). Kiekvienai organizacijai nustatykite: ar jai taikomas reglamentavimas, ar netaikomas, bet ji tikriausiai gaus reikalavimų per klientą, ar jai netaikomas visiškai. Programa patikrins atsakymus ir parodys kiekvienos organizacijos sprendimų medžio žingsnius.
Platesniam skaitymui
Apie Kibernetinio saugumo įstatymą WebOké žinių bazėje straipsnio dar nėra; naudokitės oficialiais šaltiniais.
- Nyderlandų NCSC, Cyberbeveiligingswet (NIS2) (Nyderlandų šaltinis): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Nyderlandų NCSC, Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)? (Nyderlandų šaltinis): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Nyderlandų NCSC, Zorgplicht (Nyderlandų šaltinis): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Nyderlandų NCSC, Meldplicht (Nyderlandų šaltinis): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Nyderlandų NCSC, De Cyberbeveiligingswet en toeleveranciers (Nyderlandų šaltinis): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, NIS2 savianalizė (Nyderlandų šaltinis): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Nyderlandų Kibernetinio saugumo įstatymo tekstas (Nyderlandų šaltinis): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0