subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 1 priede nurodytuose sektoriuose ir viršija vidutinių įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme
Apie didelį kibernetinį incidentą ankstyvasis perspėjimas teikiamas ne vėliau kaip per 24 valandas nuo sužinojimo, pranešimas apie incidentą per 72 valandas, o galutinė ataskaita per vieną mėnesį (18 straipsnio 4 dalis).
Šį darbą Avokata atlieka jūsų DI asistente: prijunkite Claude ar ChatGPT ir paklauskite, ar įstatymas taikomas jūsų organizacijai. Paruošta užklausa.
Kokia įstatymo redakcija galioja ir kas pasikeitė?
Įstatymas Nr. XII-1428 galioja nuo 2015 m. sausio 1 d.; Avokata saugo 12 jo redakcijų. Dabar taikoma redakcija nuo 2026 m. liepos 4 d., kurią lėmė įstatymas Nr. XV-1076; ankstesnė galiojo nuo 2026 m. birželio 30 d. Būsimų redakcijų registre nėra.
Palyginus 2026 m. liepos 3 d. ir liepos 4 d. tekstus, pakeista 10 straipsnių: 2, 11, 12, 13, 19, 23, 28, 30, 31 ir 38. Daugiausia pakeitimų 23 straipsnyje apie kibernetinio saugumo kompetencijos bendruomenę. Svarbiausias pakeitimas subjektams yra 11 straipsnyje: kriterijus dabar tenkina subjektas, viršijantis darbuotojų skaičiaus ribą „ir (ar) abi“ finansines ribas (citata viršuje); anksčiau tekste buvo „ir finansinius duomenis apibrėžiančias ribas“.
Įstatymo priede tarp įgyvendinamų Europos Sąjungos teisės aktų nurodyta 2022 m. gruodžio 14 d. Direktyva (ES) 2022/2555. Įstatymą sudaro septyni skyriai: bendrosios nuostatos, politikos formavimas, subjektų identifikavimas ir pareigos, keitimasis informacija, patikrinimai ir vykdymo užtikrinimo priemonės, sertifikavimo institucija ir Saugusis valstybinis duomenų perdavimo tinklas.
Kam taikomas įstatymas?
Kibernetinio saugumo subjekto statusą įgyja ir Kibernetinio saugumo informacinėje sistemoje registruojami subjektai, kurie atitinka bent vieną 11 straipsnio 3–5 dalių kriterijų ir paslaugoms teikti ar veiklai vykdyti valdo ar tvarko tinklų ir informacines sistemas. Jie skirstomi į esminius ir svarbius subjektus, o pareigas įgyja tik nuo įregistravimo (11 straipsnio 1 ir 2 dalys).
| Subjektas | Bendrieji kriterijai, pavyzdžiai (11 straipsnio 3 ir 4 dalys) |
|---|---|
| Esminis | Veikia 1 priede nurodytuose sektoriuose ir viršija vidutinių įmonių darbuotojų skaičių ir (ar) abi finansines ribas; teikia kvalifikuotas patikimumo užtikrinimo, aukščiausio lygio domenų vardų registravimo ar DNS paslaugas; yra ypatingos svarbos subjektas; yra centrinis, regioninis ar savivaldybės administravimo subjektas |
| Svarbus | Veikia 2 priede nurodytuose sektoriuose, viršija mažų įmonių ribas, o šių paslaugų ar veiklos pajamos viršija 50 procentų visų metinių pajamų; veikia 1 priedo sektoriuose ir viršija mažų, bet ne vidutinių įmonių ribas; teikia domenų vardų registravimo ar elektroninės informacijos prieglobos paslaugas |
Dydžio ribos imamos iš Smulkiojo ir vidutinio verslo plėtros įstatymo. Įstatymo prieduose išvardyti ypatingos svarbos sektoriai (energetika, transportas, bankininkystė, finansų rinkų infrastruktūra, sveikatos priežiūra, geriamasis vanduo, nuotekos, skaitmeninė infrastruktūra, informacinių ir ryšių technologijų paslaugų valdymas, viešasis administravimas, kosmosas) ir kiti itin svarbūs sektoriai (pašto paslaugos, atliekų tvarkymas, cheminės medžiagos, maistas, gamyba, informacinės visuomenės paslaugos, moksliniai tyrimai). Be bendrųjų kriterijų, 11 straipsnio 5 dalyje yra specialieji: pavyzdžiui, subjektas yra vienintelis ypatingos svarbos veiklai būtinos paslaugos teikėjas arba jo paslaugos sutrikimas galėtų daryti didelį poveikį viešajam saugumui ar visuomenės sveikatai.
Įstatymas, išskyrus VII skyrių, netaikomas žvalgybos institucijoms; netaikomas ir kredito unijoms, išskyrus tas, kurios tinklų ir informacines sistemas valdo nepriklausomai nuo centrinių kredito unijų (1 straipsnio 2 dalis). Jei sektoriaus ES teisės aktai kelia bent lygiaverčius rizikos valdymo, pranešimo apie incidentus ar atsakingų asmenų reikalavimus, 14, 15 ir 18 straipsnio 1 dalies nuostatos netaikomos (1 straipsnio 3 dalis).
Kada ir ką pranešti apie kibernetinį incidentą?
Subjektai privalo pranešti Nacionaliniam kibernetinio saugumo centrui apie didelius incidentus ir apie kitus incidentus, darančius poveikį jų veiklai, pastaruosius nacionalinio kibernetinių incidentų valdymo plano nustatytais terminais (18 straipsnio 1 dalis). Incidentas laikomas dideliu, kai subjektas patyrė arba gali patirti didelių paslaugų teikimo sutrikimų ar finansinių nuostolių arba kai incidentas paveikė ar gali paveikti kitus asmenis, sukeldamas didelę turtinę ar neturtinę žalą (2 dalis).
| Terminas (18 straipsnio 4 dalis) | Ką pateikti |
|---|---|
| Nedelsiant, ne vėliau kaip per 24 valandas nuo sužinojimo | Ankstyvąjį perspėjimą: ar incidentą, kaip įtariama, sukėlė neteisėti ar piktavališki veiksmai ir ar jis galėtų daryti tarpvalstybinį poveikį |
| Nedelsiant, ne vėliau kaip per 72 valandas nuo sužinojimo | Pranešimą su pradiniu incidento sunkumo ir poveikio vertinimu ir įsilaužimo įrodymais, jei jų yra |
| Centro prašymu | Tarpinę ataskaitą per centro nurodytą terminą |
| Ne vėliau kaip per vieną mėnesį nuo pranešimo, nurodyto 4 dalies 1 punkte | Galutinę ataskaitą: išsamų aprašymą, grėsmės ar pagrindinės priežasties rūšį, poveikio mažinimo priemones ir tarpvalstybinį poveikį |
| Jei incidentas dar tęsiasi | Pažangos ataskaitą, o galutinę per mėnesį nuo dienos, kai incidentas suvaldytas |
Subjektai, kuriems ši pareiga netaikoma, apie incidentus, grėsmes ir vos neįvykusius incidentus centrui gali pranešti savanoriškai; pareigų, susijusių su tokiu pranešimu, jiems nenustatoma (24 straipsnis). Jei per incidentą pažeisti ir asmens duomenys, duomenų valdytojui taikoma ir BDAR 33 straipsnio pareiga: priežiūros institucijai pranešti nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus asmenų teisėms ir laisvėms.
Kokias rizikos valdymo priemones reikia įgyvendinti?
Subjektai turi užtikrinti, kad jų tinklai ir informacinės sistemos atitiktų Vyriausybės tvirtinamus kibernetinio saugumo reikalavimus ir Europos Komisijos įgyvendinamuosius teisės aktus. Reikalavimus reikia įgyvendinti per Vyriausybės nustatytą, ne trumpesnį kaip 12 mėnesių terminą nuo įregistravimo, o duomenis apie jų įgyvendinimą pateikti centrui (14 straipsnio 1–3 dalys).
Reikalavimai apima, be kita ko, rizikos analizę ir saugumo politiką, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, spragų valdymą ir atskleidimą, kibernetinę higieną ir mokymus, kriptografiją ir šifravimą, prieigos kontrolę ir turto valdymą, kelių veiksnių tapatumo nustatymą ir saugius ryšius (14 straipsnio 5 dalis). Subjekto vadovas ar jo įgaliotas asmuo privalo užtikrinti, kad subjektas laikytųsi įstatyme nustatytų pareigų, ir prižiūrėti, kaip jų laikomasi (6 dalis).
Ką paskirti atsakingais asmenimis?
Subjekto vadovas privalo paskirti kibernetinio saugumo vadovą, tiesiogiai atskaitingą vadovui ir atsakingą už 14 ir 18 straipsnių reikalavimus, ir saugos įgaliotinį, atsakingą už konkrečią tinklų ir informacinę sistemą. Kibernetinio saugumo vadovas gali atlikti ir saugos įgaliotinio funkcijas, o šias paslaugas galima pirkti iš tiekėjo (15 straipsnio 1–4 dalys).
Abu turi atitikti nepriekaištingos reputacijos reikalavimus, neturėti per pastaruosius metus paskirtos administracinės nuobaudos už pažeidimus informacinių sistemų, asmens duomenų ar privatumo srityje ir turėti bent 2 metų patirtį informacinių technologijų, kibernetinio saugumo ar informacinių sistemų srityje, šios srities aukštojo mokslo diplomą ar tarptautiniu lygmeniu pripažįstamą sertifikatą arba išklausyti mokymus ir išlaikyti kibernetinio saugumo vadovo egzaminą (15 straipsnio 5 dalis).
Kokios baudos ir kitos priemonės gresia?
Baudas skiria Nacionalinio kibernetinio saugumo centro vadovas ar jo įgaliotas asmuo (30 straipsnio 1 dalis). Didžiausios baudos (30 straipsnio 2 dalis):
| Subjektas | Didžiausia bauda |
|---|---|
| Esminis subjektas | iki 10 000 000 Eur arba iki 2 procentų bendros pasaulinės metinės apyvartos, taikant didesnę sumą |
| Svarbus subjektas | iki 7 000 000 Eur arba iki 1,4 procento bendros pasaulinės metinės apyvartos, taikant didesnę sumą |
| Biudžetinė įstaiga, esminis subjektas | iki 1 procento biudžeto ir pajamų, bet ne daugiau kaip 60 000 Eur |
| Biudžetinė įstaiga, svarbus subjektas | iki 0,5 procento biudžeto ir pajamų, bet ne daugiau kaip 30 000 Eur |
Už pavojingą pažeidimą skiriama iki 100 procentų maksimalios baudos, už vidutinio pavojingumo iki 50 procentų, už nedidelio pavojingumo iki 10 procentų (30 straipsnio 3 dalis). Kai kitos vykdymo užtikrinimo priemonės neveiksmingos, apylinkės teismas centro prašymu gali dėl pavojingų pažeidimų laikinai nušalinti esminio subjekto vadovą. Prieš kreipdamasis į teismą, centras turi duoti ne trumpesnį kaip 10 darbo dienų terminą trūkumams pašalinti (33 straipsnis).
Ką sako teismai?
Teismų praktikos dar mažai: Avokata randa ne mažiau kaip 2 teismų aktus, kurie cituoja šį įstatymą, Klaipėdos apygardos teismo 2025 m. liepos 18 d. ir Tauragės apylinkės teismo 2021 m. balandžio 22 d. Abu priimti dar iki dabartinės redakcijos įsigaliojimo, todėl juose cituojami straipsniai gali neatitikti dabartinio teksto.
Ką tai reiškia praktiškai?
Esame 1 priedo sektoriuje veikianti įmonė. Ar mums jau taikomos pareigos? Pareigas subjektas įgyja tik nuo įregistravimo Kibernetinio saugumo informacinėje sistemoje (11 straipsnio 2 dalis). Kriterijus vertinkite pagal 11 straipsnio 3 ir 4 dalis: nuo 2026 m. liepos 4 d. užtenka viršyti darbuotojų skaičiaus ribą arba abi finansines ribas.
Penktadienio vakarą aptikome išpirkos reikalaujančią programą, paslaugos sutriko. Ką ir kada pranešti? Jei incidentas didelis, ankstyvąjį perspėjimą centrui pateikite ne vėliau kaip per 24 valandas nuo sužinojimo, pranešimą su pradiniu vertinimu per 72 valandas, o galutinę ataskaitą per mėnesį (18 straipsnio 4 dalis). Jei pažeisti asmens duomenys, per 72 valandas pranešimo reikia ir pagal BDAR 33 straipsnį.
Ar kibernetinio saugumo vadovu galime paskirti išorinį tiekėją? Taip, kibernetinio saugumo vadovo ir saugos įgaliotinio funkcijas galima pirkti kaip paslaugą, jei užtikrinama atitiktis 14 ir 18 straipsniams (15 straipsnio 4 dalis).
Kaip tą patį paklausti savo asistento
Nukopijuokite į Claude ar ChatGPT, kai Avokata prijungta
Mūsų organizacija [veikla, sektorius] turi [darbuotojų skaičius] darbuotojų ir [metinės pajamos,
balansas] €. Ar pagal Kibernetinio saugumo įstatymo 11 straipsnį esame esminis ar svarbus
subjektas, nuo kada taikomos pareigos ir ką reikia pranešti centrui įvykus incidentui?
Cituok 11, 14 ir 18 straipsnių dalis ir nurodyk taikomą redakciją.Prijungimas: prijungimo puslapis.
Ribos
Tai šaltiniai, ne teisinė konsultacija. Šis puslapis neperpasakoja viso įstatymo: jame tik nuostatos, apie kurias dažniausiai klausiama. Vyriausybės tvirtinamų kibernetinio saugumo reikalavimų, nacionalinio kibernetinių incidentų valdymo plano ir Europos Komisijos įgyvendinamųjų teisės aktų čia neperpasakojame. Registro redakcijų sąrašą Avokata paskutinį kartą sutikrino 2026 m. spalio 24 d.
Profesijai: Kibernetinio saugumo specialistams