Kas yra NIS2 ir ar tai taikoma Jūsų įmonei

Kliento klau­si­my­nas su už­ra­šu „NIS2 ati­tik­tis“ ne­reiš­kia, kad įsta­ty­mas tai­ko­mas Jums. Ribą Lietuvoje nu­sta­to Kibernetinio sau­gu­mo įsta­ty­mas, ir klau­si­my­nas at­ei­na ir įmo­nėms, ku­rioms jis ne­tai­ko­mas, nes klien­tas tik­ri­na savo tie­ki­mo gran­di­nę.

Laiškas at­ei­na iš kli­en­to pir­ki­mų sky­riaus ir at­ro­do ne­kal­tas: aš­tuo­nio­li­ka klau­si­mų apie ki­ber­ne­ti­nį sau­gu­mą, už­pil­dy­ti per dvi sa­vai­tes, vir­šu­je už­ra­šas „NIS2 ati­tik­tis“. Įmonėje dir­ba vie­nuo­li­ka žmo­nių, nė vie­nas iš jų nėra tei­si­nin­kas, ir pir­ma­sis klau­si­mas, kurį visi už­duo­da vie­ni ki­tiems, yra tas pats — ar tai ap­skri­tai tai­ko­ma mums, ar kaž­kas iš­siun­tė tą patį klau­si­my­ną vi­siems tie­kė­jams iš ei­lės, ti­kė­da­ma­sis, kad kas nors at­sa­kys.

Atsakymas be­veik vi­sa­da yra „ne, bet“, ir bū­tent šis „bet“ yra tai, ką ver­ta su­pras­ti tei­sin­gai, nes nuo jo pri­klau­so, kiek lai­ko ir pi­ni­gų šis laiš­kas kai­nuos. Daugumai mažų ir vi­du­ti­nių įmo­nių NIS2 di­rek­ty­va tie­sio­giai ne­tai­ko­ma, ta­čiau tai ne­reiš­kia nei to, kad klau­si­my­nas yra klai­da, nei to, kad jį ga­li­ma pa­lik­ti ne­at­sa­ky­tą. Toliau pa­aiš­kin­ta, kur eina riba, kas yra kiek­vie­no­je jos pu­sė­je ir ko­dėl Lietuvoje tei­sin­gas at­sa­ky­mas at­ei­na ne iš di­rek­ty­vos, o iš įsta­ty­mo, ku­rio šiuo­se po­kal­biuo­se be­veik nie­kas ne­mi­ni.

Kas yra NIS2: direktyva, ne reglamentas, ir ten prasideda neteisingi atsakymai

Bendrasis duo­me­nų ap­sau­gos reg­la­men­tas yra reg­la­men­tas, ir tai reiš­kia, kad jis vei­kia tie­sio­giai vi­so­se vals­ty­bė­se na­rė­se ta pa­čia re­dak­ci­ja — bū­tent to­dėl apie jį ga­li­ma kal­bė­ti kaip apie vie­ną Europos tai­syk­lių rin­ki­nį ir bū­tent to­dėl visi yra įpra­tę, kad Europos rei­ka­la­vi­mai at­ro­do ši­taip. NIS2, Komisijos lie­tu­viš­ka­me teks­te TIS 2 di­rek­ty­va, yra di­rek­ty­va, ir ji vei­kia at­virkš­čiai: ji už­de­da vals­ty­bei na­rei pa­rei­gą savo tei­sės ak­tuo­se pa­siek­ti tam tik­rą re­zul­ta­tą, bet pati sa­vai­me įmo­nei pa­rei­gų ne­už­de­da. Praktinės pa­sek­mės to­kios, kad klau­si­mas „ko rei­ka­lau­ja NIS2“ Lietuvoje yra ne­tei­sin­gai už­duo­tas klau­si­mas, ir tei­sin­gas skam­ba „ko rei­ka­lau­ja Kibernetinio sau­gu­mo įsta­ty­mas“.

Direktyvos vi­sas pa­va­di­ni­mas yra Europos Parlamento ir Tarybos di­rek­ty­va (ES) 2022/2555 dėl prie­mo­nių aukš­tam bend­ram ki­ber­ne­ti­nio sau­gu­mo ly­giui vi­so­je Sąjungoje už­tik­rin­ti, ji įsi­ga­lio­jo prieš tre­jus su puse metų, ir vals­ty­bės na­rės tu­rė­jo ją per­kel­ti į savo tei­sės sis­te­mą iki 2024 m. spa­lio vi­du­rio. Šį ter­mi­ną pra­lei­do di­džio­ji da­lis vals­ty­bių na­rių, ta­čiau čia ver­ta būti tiks­liam: Lietuvoje nau­jo­ji įsta­ty­mo re­dak­ci­ja įsi­ga­lio­jo 2024 m. spa­lio 18 d. ir Komisija skel­bia, kad Lietuva di­rek­ty­vą per­kė­lė, o dau­ge­ly­je kitų vals­ty­bių pra­leis­tas buvo ne įsta­ty­mo pri­ėmi­mas, o pra­ne­ši­mas Europos Komisijai apie visą per­kė­li­mą, ir tai du skir­tin­gi da­ly­kai, ku­rie nau­jie­no­se pa­pras­tai su­si­lie­ja į vie­ną.

Kodėl tai svar­bu prak­tiš­kai, o ne aka­de­miš­kai: jei tie­kė­jas, kon­sul­tan­tas ar pats klau­si­my­nas tei­gia, kad „NIS2 rei­ka­lau­ja X“, tada ver­ta pa­klaus­ti, ku­rio įsta­ty­mo ku­ris straips­nis to rei­ka­lau­ja. Lietuvoje at­sa­ky­mas bus arba Kibernetinio sau­gu­mo įsta­ty­mas, arba Kibernetinio sau­gu­mo rei­ka­la­vi­mų ap­ra­šas; Ispanijoje ir Prancūzijoje, kur sa­vas įsta­ty­mas dar ne­pri­im­tas ir kur Komisija šių metų lie­pą krei­pė­si į Europos Sąjungos Teisingumo Teismą, at­sa­ky­mo į šį klau­si­mą pa­pras­čiau­siai nėra. Vienos vals­ty­bės rei­ka­la­vi­mų per­ra­šy­mas ki­tai kaip „eu­ro­pie­tiš­kų“ yra tas pats, kas ci­tuo­ti kai­my­no su­tar­tį, ir su to­kia pa­čia tei­si­ne ga­lia.

Du sąrašai ir viena dydžio riba

Direktyvos san­da­ra pa­pras­ta, ir ją ver­ta ži­no­ti net tada, kai konk­ret­čios pa­rei­gos at­ei­na iš na­cio­na­li­nio įsta­ty­mo, nes na­cio­na­li­nis įsta­ty­mas šią san­da­rą per­ima be­veik vi­sa­da. Yra du sek­to­rių są­ra­šai — pir­ma­ja­me vie­nuo­li­ka ypa­tin­gos svar­bos sek­to­rių, ant­ra­ja­me sep­ty­ni kiti itin svar­būs sek­to­riai, ir įmo­nė ap­skri­tai pa­ten­ka į aki­ra­tį tik tada, jei jos veik­la pa­ten­ka į kurį nors iš jų. Pirmajame są­ra­še yra ener­ge­ti­ka, trans­por­tas, ban­ki­nin­kys­tė, fi­nan­sų rin­kos inf­rastruk­tū­ra, svei­ka­ta, ge­ria­ma­sis van­duo, nuo­te­kos, skait­me­ni­nė inf­rastruk­tū­ra, in­for­ma­ci­nių ir ry­šių tech­no­lo­gi­jų pa­slau­gų val­dy­mas, vie­ša­sis ad­mi­nist­ra­vi­mas ir kos­mo­sas.

Antrajame są­ra­še yra paš­to ir ku­rje­rių pa­slau­gos, at­lie­kų tvar­ky­mas, che­mi­nių me­džia­gų ga­my­ba ir pla­ti­ni­mas, mais­to ga­my­ba ir pla­ti­ni­mas, ga­my­ba še­šiuo­se sub­sek­to­riuo­se nuo me­di­ci­nos prie­tai­sų iki trans­por­to prie­mo­nių, skait­me­ni­nių pa­slau­gų tei­kė­jai ir moks­li­nių ty­ri­mų or­ga­ni­za­ci­jos. Žodžių jun­gi­nys „skait­me­ni­nių pa­slau­gų tei­kė­jai“ čia siau­res­nis, nei skam­ba, ir reiš­kia elekt­ro­ni­nes pre­ky­vie­tes, pa­ieš­kos sis­te­mas ir so­cia­li­nių tink­lų plat­for­mas. Pirmąjį iš jų ver­ta per­skai­ty­ti ati­džiai: pre­ky­vie­tė yra plat­for­ma, ku­rio­je pre­kiau­ja kiti par­da­vė­jai, o ne el. par­duo­tu­vė, kuri par­duo­da savo pre­kes, ir šis skir­tu­mas at­ski­ria visą įmo­nių kla­sę.

Antroji da­lis yra dy­dis, ir tai ta, ku­rią dau­gu­ma skai­to pir­mą. Pagal nu­ty­lė­ji­mą di­rek­ty­va tai­ko­ma vi­du­ti­nėms ir di­des­nėms įmo­nėms šiuo­se sek­to­riuo­se, o la­bai ma­žos ir ma­žos įmo­nės lie­ka už tai­ky­mo sri­ties. Europos Komisijos re­ko­men­da­ci­jo­je maža įmo­nė yra ta, kuri įdar­bi­na ma­žiau nei 50 žmo­nių ir ku­rios apy­var­ta arba ba­lan­si­nė suma ne­vir­ši­ja 10 mi­li­jo­nų eurų, o vi­du­ti­nė yra ta, kuri šias ri­bas vir­ši­ja, bet dar įdar­bi­na ma­žiau nei 250 žmo­nių ir ku­rios me­ti­nė apy­var­ta ne­vir­ši­ja 50 mi­li­jo­nų eurų arba ba­lan­si­nė suma ne­vir­ši­ja 43 mi­li­jo­nų. Šis „arba“ tarp apy­var­tos ir ba­lan­so ten yra są­mo­nin­gas ir jo pra­ras­ti ne­ga­li­ma. Lietuvos įsta­ty­mas šių skai­čių pats ne­ra­šo — jis siun­čia į Smulkiojo ir vi­du­ti­nio vers­lo plėt­ros įsta­ty­mą, ir apie tai yra at­ski­ras sky­rius to­liau.

Dar vie­nas da­ly­kas, kurį šio­je vie­to­je lin­kę pai­nio­ti, yra tai, kad sek­to­riaus są­ra­šas kal­ba apie veik­lą, o ne apie sek­to­riaus kodą re­gist­re. Įmonė, ku­rios re­gist­ruo­ta pag­rin­di­nė veik­la yra prog­ra­mi­nės įran­gos kū­ri­mas, gali fak­tiš­kai ad­mi­nist­ruo­ti kli­en­to in­for­ma­ci­nes sis­te­mas, ir bū­tent ši ant­ro­ji veik­la yra ta, kuri pir­ma­ja­me są­ra­še pa­si­ro­do kaip tech­no­lo­gi­jų pa­slau­gų val­dy­mas. Priešingai irgi būna: įmo­nė su įspū­din­gu sek­to­riaus kodu gali fak­tiš­kai ne­da­ry­ti nie­ko iš to, kas są­ra­še įvar­dy­ta. Teisingas klau­si­mas to­dėl yra apie tai, ką įmo­nė iš tik­rų­jų daro kli­en­tui, o ne apie tai, kas pa­ra­šy­ta re­gist­re.

Kai dydis nieko nereiškia

Būtent čia dau­gu­ma įmo­nių pa­da­ro ne­tei­sin­gą iš­va­dą ir nu­sto­ja skai­ty­ti. Direktyvoje yra ir są­ra­šas, ku­ria­me dy­dis ap­skri­tai ne­tu­ri reikš­mės, ir įmo­nė, kuri į jį pa­ten­ka, yra tai­ky­mo sri­ty­je, net bū­da­ma pen­kių žmo­nių dy­džio su men­ka apy­var­ta. Ten pa­ten­ka vie­šų­jų elekt­ro­ni­nių ry­šių tink­lų ir vie­šai pri­ei­na­mų elekt­ro­ni­nių ry­šių pa­slau­gų tei­kė­jai, pa­ti­ki­mu­mo už­tik­ri­ni­mo pa­slau­gų tei­kė­jai, aukš­čiau­sio ly­gio do­me­nų var­dų re­gist­rų tvar­ky­to­jai ir do­me­nų var­dų sis­te­mos pa­slau­gų tei­kė­jai, taip pat at­ski­rai tie, ku­rie tei­kia do­me­nų var­dų re­gist­ra­vi­mo pa­slau­gas.

Ten pat ša­lia yra ir ke­tu­rios si­tu­aci­jos, ku­rio­se le­mia ne veik­los rū­šis, o reikš­mė, ir jos su­for­mu­luo­tos ty­čia pla­čiai. Jei įmo­nė yra vie­nin­te­lė vals­ty­bė­je na­rė­je, tei­kian­ti pa­slau­gą, kuri pa­lai­ko ypa­tin­gos svar­bos vi­suo­me­ni­nę ar eko­no­mi­nę veik­lą; jei jos veik­los su­tri­ki­mas ga­lė­tų da­ry­ti di­de­lį po­vei­kį vie­ša­jam sau­gu­mui, vi­suo­me­nės sau­gu­mui arba vi­suo­me­nės svei­ka­tai; jei tai ga­lė­tų su­kel­ti sis­te­mi­nę ri­zi­ką, ypač su tarp­vals­ty­bi­niu po­vei­kiu; arba jei įmo­nė yra ypa­tin­gai svar­bi vals­ty­bės ar re­gio­no lyg­me­niu savo sek­to­riu­je ar ki­tuo­se nuo jo pri­klau­so­muo­se sek­to­riuo­se — tada dy­džio riba nie­ko ne­be­reiš­kia ir spren­di­mą pri­ima vals­ty­bė narė.

Praktiškai tai reiš­kia, kad at­sa­ky­mas į klau­si­mą „ar mes esa­me tai­ky­mo sri­ty­je“ ne­skai­to­mas iš dar­buo­to­jų skai­čiaus, ir bū­tent tai daž­niau­sia klai­da vi­so­je šio­je te­mo­je. Jį nu­skai­to­te iš dvie­jų da­ly­kų iš ei­lės: ar sek­to­rius yra ku­ria­me nors są­ra­še ir ar ku­ris nors iš šių spe­cia­lių­jų po­žy­mių tai­ko­mas. Lietuvoje abu šie da­ly­kai su­ra­šy­ti įsta­ty­mo 11 straips­ny­je, ir ten yra ir po­žy­mių, ku­rių di­rek­ty­vos prie­duo­se nėra vi­sai — vals­ty­bės in­for­ma­ci­nius iš­tek­lius val­dan­tys, na­cio­na­li­niam sau­gu­mui už­tik­rin­ti svar­bio­mis pri­pa­žin­tos įmo­nės ir elekt­ro­ni­nės in­for­ma­ci­jos prie­glo­bos pa­slau­gų tei­kė­jai yra Lietuvos pa­pil­dy­mai.

Praktikoje šio są­ra­šo skai­ty­mas už­ima vie­ną po­pie­tę ir duo­da aiš­kų at­sa­ky­mą dvie­jo­se si­tu­aci­jo­se iš tri­jų. Trečioji si­tu­aci­ja — kai įmo­nė at­ro­do kaip kan­di­da­tė į kurį nors pla­čiai su­for­mu­luo­tą po­žy­mį — nėra iš­spren­džia­ma skai­tant, nes ten spren­di­mą pri­ima vals­ty­bė, su­da­ry­da­ma sub­jek­tų są­ra­šą, ir tai do­ku­men­tas, kurį tvar­ko prie­žiū­ros ins­ti­tu­ci­ja. Lietuvoje pa­rei­gos pra­si­de­da tik nuo įre­gist­ra­vi­mo Kibernetinio sau­gu­mo in­for­ma­ci­nė­je sis­te­mo­je. Jei kyla toks jaus­mas, pi­giau­sias žings­nis yra pa­pras­čiau­siai pa­klaus­ti cent­ro, o ne už­sa­ky­ti tei­si­nę iš­va­dą apie teks­tą, kurį jis pats tai­kys.

Esminis ar svarbus: skirtumas, kuris nėra niuansas

Jei įmo­nė tai­ky­mo sri­ty­je yra, ji pa­ten­ka į vie­ną iš dvie­jų ka­te­go­ri­jų, ir Lietuvos įsta­ty­me jos va­di­na­mos es­mi­niais ki­ber­ne­ti­nio sau­gu­mo sub­jek­tais ir svar­biais ki­ber­ne­ti­nio sau­gu­mo sub­jek­tais, o abi kar­tu įsta­ty­mas va­di­na pa­pras­čiau­siai ki­ber­ne­ti­nio sau­gu­mo sub­jek­tais. Skirtumas tarp abie­jų nėra žo­džiuo­se: iš jo iš­plau­kia ir prie­žiū­ros in­ten­sy­vu­mas, ir bau­dų vir­šu­ti­nės ri­bos, ir jis nu­sta­to­mas pa­gal de­ri­nį tarp to, ku­ria­me są­ra­še sek­to­rius yra, ir to, ko­kia di­de­lė pati įmo­nė. Todėl ka­te­go­ri­ją iš­si­aiš­kin­ti ver­ta prieš bet kokį po­kal­bį su kon­sul­tan­tu ar tie­kė­ju.

Supaprastinta for­ma tai at­ro­do taip, kad pir­mo­jo są­ra­šo di­de­lės įmo­nės yra es­mi­nės, to pa­ties są­ra­šo vi­du­ti­nės yra svar­bios, ir ant­ro­jo są­ra­šo įmo­nės yra svar­bios ne­pri­klau­so­mai nuo to, ar jos vi­du­ti­nės, ar di­de­lės. Tai ta vie­ta, kur per­pa­sa­ko­ji­mai klys­ta daž­niau­siai, ma­ny­da­mi, kad pir­ma­sis są­ra­šas reiš­kia „es­mi­nis“ au­to­ma­tiš­kai — ne­reiš­kia, ir vi­du­ti­nė įmo­nė pir­mo­jo są­ra­šo sek­to­riu­je yra svar­bi, ne es­mi­nė. Skirtumas tarp šių dvie­jų ei­lu­čių yra trys mi­li­jo­nai eurų bau­dų vir­šu­ti­nė­se ri­bo­se, to­dėl jo ne­ver­ta pa­lik­ti ne­per­skai­ty­to.

Priežiūra ski­ria­si irgi, ir Lietuvoje bū­tent taip, kaip pa­pras­tai ci­tuo­ja­ma iš di­rek­ty­vos. Direktyvoje es­mi­nį sub­jek­tą ga­li­ma tik­rin­ti re­gu­lia­riai ir at­ran­kos tvar­ka ir tada, kai nie­ko nėra nu­ti­kę, o svar­bų tik­ri­na tada, kai yra po­žy­mių, kad kaž­kas ne­ge­rai. Kibernetinio sau­gu­mo įsta­ty­mas šį skirs­ty­mą per­ima: 26 straips­nio 2 da­lis lei­džia Nacionaliniam ki­ber­ne­ti­nio sau­gu­mo cen­t­rui tik­rin­ti es­mi­nį sub­jek­tą savo ini­cia­ty­va, ga­vus skun­dą ar kitų šal­ti­nių pag­rin­du, o 3 da­lis svar­baus sub­jek­to pa­tik­ri­ni­mus lei­džia tik ga­vus duo­me­nų ar in­for­ma­ci­jos, kad jis, kaip įta­ria­ma, pa­žei­dė įsta­ty­mo rei­ka­la­vi­mus. Užrašytas skir­tu­mas tarp abie­jų ka­te­go­ri­jų Lietuvoje to­dėl yra ir prie­žiū­ros in­ten­sy­vu­mas, ir bau­dų vir­šu­ti­nės ri­bos, ir įmo­nei, kuri skai­čiuo­ja va­do­vy­bės lai­ką, rei­kia skai­ty­ti šį straips­nį, o ne tik di­rek­ty­vos prie­žiū­ros sky­rių.

Dar vie­nos prak­ti­nės pa­sek­mės to­kios, kad ka­te­go­ri­ja nėra am­ži­na. Įmonė, kuri pri­ima į dar­bą pen­kias­de­šimt žmo­nių arba ku­rios apy­var­ta auga, gali iš vie­nų metų į ki­tus per­ei­ti iš už tai­ky­mo sri­ties į ją arba iš vie­nos ka­te­go­ri­jos į kitą, ir nie­kas apie tai at­ski­rai ne­pri­mins. Todėl šį pa­tik­ri­ni­mą ver­ta įdė­ti į tą patį metų rit­mą, ku­ria­me ren­gia­mas me­ti­nių ata­skai­tų rin­ki­nys, kai skai­čiai ir taip jau ant sta­lo ir kai juos pa­tik­rin­ti kai­nuo­ja vie­ną pa­pil­do­mą va­lan­dą, o ne at­ski­rą pro­jek­tą.

Kodėl klausimynas atėjo, jei sąrašuose Jūsų nėra

Klausimynas at­ei­na to­dėl, kad tai­ky­mo sri­ty­je esan­ti įmo­nė turi val­dy­ti ir tą ri­zi­ką, kuri at­ei­na iš jos tie­sio­gi­nių tie­kė­jų ir pa­slau­gų tei­kė­jų, ir rink­da­ma­si prie­mo­nes turi at­si­žvelg­ti į kiek­vie­no konk­re­taus tie­kė­jo pa­žei­džia­mu­mus ir bend­rą­ją ki­ber­ne­ti­nio sau­gu­mo prak­ti­ką, įskai­tant sau­gaus kū­ri­mo pro­ce­dū­ras. Tai pa­rei­ga kli­en­tui, ne Jums, ir iš šios vie­nos di­rek­ty­vos pa­strai­pos iš­plau­kia be­veik visi klau­si­my­nai, ku­rie Europoje šiuo metu ke­liau­ja tie­ki­mo gran­di­nė­mis.

Iš to iš­plau­kia ir tai, kaip į klau­si­my­ną at­sa­ky­ti. Klientas, ku­ris yra tai­ky­mo sri­ty­je, ne­ga­li įvyk­dy­ti savo pa­rei­gos ne­ži­no­da­mas, kaip dir­ba jo tie­kė­jai, to­dėl jis klau­sia. Klausimynas ne­už­de­da Jums jo­kių įsta­ty­me nu­sta­ty­tų pa­rei­gų ir ne­pa­da­ro Jūsų sub­jek­tu; tai su­tar­ties klau­si­mas, ir at­sa­ky­mas į jį yra su­tar­ties at­sa­ky­mas su vis­kuo, kas prie su­tar­čių pri­klau­so — pro­por­cin­gu­mu, kai­na ir aiš­ku­mu dėl to, ką esa­te pa­si­ren­gę pa­ža­dė­ti raš­tu. Jei klau­si­mai pro­por­cin­gi, į juos tin­ka at­sa­ky­ti są­ži­nin­gai; jei jie rei­ka­lau­ja ser­ti­fi­ka­to, ku­rio ga­vi­mas kai­nuo­ja dau­giau nei pati su­tar­tis, tada tai de­ry­bų, ne ati­tik­ties tema.

Kita pusė to pa­ties yra ta, kad klau­si­my­nai tam­pa rin­kos rei­ka­la­vi­mu grei­čiau, nei jie tam­pa tei­si­ne pa­rei­ga. Įmonė, kuri dir­ba su ban­kais, li­go­ni­nė­mis, ener­ge­ti­ka ar vals­ty­bės ins­ti­tu­ci­jo­mis, šį klau­si­my­ną ne­tru­kus gaus iš kas ant­ro kli­en­to ne­pri­klau­so­mai nuo to, ką sako įsta­ty­mas, ir tada nau­din­giau vie­ną kar­tą su­tvar­ky­ti at­sa­ky­mus ir juos pa­lai­ky­ti, nei kiek­vie­ną kar­tą ra­šy­ti iš nau­jo ir kiek­vie­ną kar­tą at­skleis­ti tą patį trū­ku­mą. Tai vi­sai ki­tas ar­gu­men­tas apie ki­ber­ne­ti­nį sau­gu­mą nei bau­dų vir­šu­ti­nės ri­bos, ir mūsų ma­ny­mu są­ži­nin­ges­nis, nes jis apie kli­en­tus, ne apie bai­mę.

Trečia, ma­žiau pa­ste­bi­ma prie­žas­tis su­tvar­ky­ti at­sa­ky­mus yra drau­di­mas. Kibernetinės ri­zi­kos po­li­so pa­raiš­kos klau­si­my­nai klau­sia be­veik to pa­ties, ką kli­en­to klau­si­my­nas, ir ne­tiks­lus at­sa­ky­mas ten kai­nuo­ja bran­giau nei pra­ras­ta su­tar­tis, nes jis gali pa­veik­ti iš­mo­ką bū­tent tą aki­mir­ką, kai jos rei­kia. Įmonei, kuri vie­ną kar­tą yra pa­ra­šiu­si są­ži­nin­gą ap­ra­šy­mą apie tai, kas jai yra ir ko nėra, šis do­ku­men­tas tin­ka vi­siems trims tiks­lams iš kar­to.

Ko Lietuvoje reikalauja pats įstatymas

Kibernetinio sau­gu­mo įsta­ty­mas ga­lio­ja nau­ją­ja re­dak­ci­ja nuo 2024 m. spa­lio 18 d., ir tai tas teks­tas, ku­ris Lietuvos įmo­nei už­de­da pa­rei­gas, o ne di­rek­ty­va. Konkretūs tech­ni­niai rei­ka­la­vi­mai jame ne­iš­var­dy­ti — įsta­ty­me yra vie­na bend­ra nor­ma, kad sub­jek­tas turi įdieg­ti pro­por­cin­gas prie­mo­nes, o de­ta­lės yra Kibernetinio sau­gu­mo rei­ka­la­vi­mų ap­ra­še. Ši dvie­jų ly­gių san­da­ra ti­piš­ka ir prak­tiš­kai reiš­kia, kad įsta­ty­me ieš­ko­te, ar esa­te sub­jek­tas, o ap­ra­še — ką tada da­ry­ti.

Kompetentinga ins­ti­tu­ci­ja yra Nacionalinis ki­ber­ne­ti­nio sau­gu­mo cent­ras, vei­kian­tis prie Krašto ap­sau­gos mi­nis­te­ri­jos; jis yra ir bend­ra­sis kon­tak­ti­nis punk­tas bend­ra­dar­bia­vi­mui su ki­to­mis vals­ty­bė­mis na­rė­mis. Incidentus pri­ima tas pats cent­ras, ir tai pa­pras­tai nu­ste­bi­na tuos, ku­rie ki­to­se vals­ty­bė­se ieš­ko at­ski­ros tar­ny­bos: na­cio­na­li­nė reaga­vi­mo į kom­piu­te­rių sau­gu­mo in­ci­den­tus tar­ny­ba (CSIRT) yra CERT-LT, NKSC da­lis. Pranešimą sub­jek­tas tei­kia cen­t­rui, ne tre­čiai ins­ti­tu­ci­jai.

Dar vie­na Lietuvos įsta­ty­mo ypa­ty­bė, ku­rią per­pa­sa­ko­ji­muo­se lin­kę pra­ras­ti, yra dy­džio api­brėž­tys. Direktyva siun­čia į Europos Komisijos re­ko­men­da­ci­ją, o įsta­ty­mas pats skai­čių ne­ra­šo — jis siun­čia į Smulkiojo ir vi­du­ti­nio vers­lo plėt­ros įsta­ty­mą ir prie jo pri­de­da savo iden­ti­fi­ka­vi­mo tai­syk­les. Esminiu sub­jek­tu pir­ma­ja­me są­ra­še tam­pa­ma vir­ši­jus vi­du­ti­nės įmo­nės dar­buo­to­jų skai­čių ir (ar) abi fi­nan­si­nes ri­bas; svar­biu ant­ra­ja­me są­ra­še — vir­ši­jus ma­žos įmo­nės ri­bas ir tik tada, jei tos veik­los pa­ja­mos vir­ši­ja 50 pro­cen­tų visų me­ti­nių pa­ja­mų. Todėl įmo­nė su šim­tu dar­buo­to­jų ir di­de­le apy­var­ta, bet ne­vir­ši­jan­ti abie­jų fi­nan­si­nių ribų, pir­ma­ja­me są­ra­še lie­ka svar­bi, ne es­mi­nė, ir būna ir at­virkš­čiai: įmo­nė ant­ra­ja­me są­ra­še su di­de­le apy­var­ta, bet su ta veik­la kaip ne­di­de­le pa­ja­mų da­li­mi, į 11 straips­nio 4 da­lies 1 punk­tą ne­pa­ten­ka.

Vieną ter­mi­no­lo­gi­nį da­ly­ką ver­ta už­fik­suo­ti, nes jis lin­kęs kel­ti ne­su­si­pra­t­imų po­kal­by­je su tei­si­nin­kais. Asmens duo­me­nų sau­gu­mo pa­žei­di­mas ir ki­ber­ne­ti­nis in­ci­den­tas nėra vie­nas ir tas pats įvy­kis, jie pra­ne­ša­mi skir­tin­goms ins­ti­tu­ci­joms ir skir­tin­gais ter­mi­nais, ir vie­nas įvy­kis gali būti abu vie­nu metu. Įmonei, kuri yra ir sub­jek­tas, ir as­mens duo­me­nų val­dy­to­jas, tai reiš­kia du pra­ne­ši­mus dviem ad­re­sais — Nacionaliniam ki­ber­ne­ti­nio sau­gu­mo cen­t­rui ir Valstybinei duo­me­nų ap­sau­gos ins­pek­ci­jai, ir bū­tent dėl šios prie­žas­ties pra­ne­ši­mo tvar­ką ver­ta pa­ra­šy­ti vie­na­me lape, kol dar nie­ko nėra nu­ti­kę.

Kada prasideda pranešimo terminas ir kas jį paleidžia

Jei įmo­nė yra sub­jek­tas, tada di­de­lio ki­ber­ne­ti­nio in­ci­den­to at­ve­ju pra­si­de­da pra­ne­ši­mo ter­mi­nas, ir tai vie­nin­te­lė iš visų šių pa­rei­gų, ku­rios ne­ga­li­ma įvyk­dy­ti po fak­to ar ati­dė­ti ki­tai sa­vai­tei. Ankstyvasis per­spė­ji­mas turi būti pa­teik­tas ne­del­siant ir ne vė­liau kaip per dvi­de­šimt ke­tu­rias va­lan­das nuo su­ži­no­ji­mo, pra­ne­ši­mas apie ki­ber­ne­ti­nį in­ci­den­tą — ne­del­siant ir ne vė­liau kaip per sep­ty­nias­de­šimt dvi va­lan­das. Galutinė ata­skai­ta eina per mė­ne­sį, bet jei in­ci­den­tas dar ne­su­val­dy­tas, vie­toj jos pir­miau­sia eina pa­žan­gos ata­skai­ta. Apie ki­tus in­ci­den­tus, ne­ati­tin­kan­čius di­de­lio kri­te­ri­jų, pra­neš­ti taip pat rei­kia — ter­mi­nai nu­sta­ty­ti na­cio­na­li­nia­me ki­ber­ne­ti­nių in­ci­den­tų val­dy­mo pla­ne.

Žodis „di­de­lis“ čia nėra deko­ra­ty­vus, ir bū­tent apie jį su­ka­si prak­ti­nis spren­di­mas. Direktyva jį rašo kaip in­ci­den­tą, ku­ris yra su­kė­lęs arba gali su­kel­ti sun­kius veik­los su­tri­ki­mus ar fi­nan­si­nius nuo­sto­lius pa­čiam sub­jek­tui, arba yra pa­lie­tęs ar gali pa­lies­ti ki­tus as­me­nis, su­kel­da­mas reikš­min­gą žalą. Lietuvos sub­jek­tui įsta­ty­mas šią pa­čią api­brėž­tį per­ra­šo 18 straips­nio 2 da­ly­je ir de­ta­les siun­čia į Komisijos įgy­ven­di­ni­mo ak­tus; įgy­ven­di­ni­mo reg­la­men­to 2024/2690 3 straips­nis in­ci­den­tą lai­ko di­de­liu, jei jis ati­tin­ka bent vie­ną iš ten iš­var­dy­tų po­žy­mių, įskai­tant tie­sio­gi­nius tur­ti­nius nuo­sto­lius, vir­ši­jan­čius 500 000 € arba 5 pro­cen­tus me­ti­nės apy­var­tos, imant ma­žes­nę iš abie­jų — tiems sub­jek­tams, ku­riems šis reg­la­men­tas tai­ko­mas. Praktikoje tai reiš­kia, kad spren­di­mas, ar pra­neš­ti, pri­ima­mas pir­mo­sio­mis va­lan­do­mis ir be­veik vi­sa­da su ne­vi­sa in­for­ma­ci­ja, to­dėl įmo­nės, ku­rios tai yra pa­da­riu­sios vie­ną kar­tą, kitą kar­tą rašo pa­gal iš anks­to pa­reng­tą ša­blo­ną.

Praktinis pa­si­ren­gi­mas čia yra daug ma­žes­nis da­ly­kas, nei jis skam­ba su­si­rin­ki­me. Reikia ži­no­ti, kas pri­ima spren­di­mą dėl pra­ne­ši­mo, kur siun­čia­mas pir­ma­sis pra­ne­ši­mas ir ką jame ap­skri­tai rei­kia įra­šy­ti, ir rei­kia, kad ši in­for­ma­ci­ja būtų pri­ei­na­ma ir tada, kai pati sis­te­ma ne­dir­ba ir paš­tas yra toje pa­čio­je sis­te­mo­je. Įmonės, ku­rios ruo­šia tik po­li­ti­kos do­ku­men­tus ir šios gran­di­nės nie­ka­da ne­iš­ban­do, penk­ta­die­nio va­ka­rą at­ran­da, kad vie­nin­te­lis žmo­gus su pri­ei­ga yra ato­sto­go­se ir kad nie­kas ne­ži­no, koks yra tei­sin­gas ad­re­sas.

Kas atsako ir kiek kainuoja klaida

Lietuvos įsta­ty­me at­sa­ko­my­bė pri­skir­ta konk­re­čiam as­me­niui, ir tai są­mo­nin­gas spren­di­mas: už ki­ber­ne­ti­nio sau­gu­mo rei­ka­la­vi­mų vyk­dy­mą at­sa­ko sub­jek­to va­do­vas, ir jis pri­va­lo pa­skir­ti ki­ber­ne­ti­nio sau­gu­mo va­do­vą. Tai nėra tik for­ma­lios pa­rei­gos su nau­ja vi­zi­ti­ne kor­te­le — pra­s­mė ta, kad klau­si­mas nu­sto­ja būti in­for­ma­ci­nių tech­no­lo­gi­jų sky­riaus vi­daus rei­ka­lu ir pa­ten­ka ten, kur pri­ima­mi spren­di­mai dėl biu­dže­to. Direktyvoje tas pats su­for­mu­luo­tas kaip val­dy­mo or­ga­nų pa­rei­ga pa­tvir­tin­ti ri­zi­kos val­dy­mo prie­mo­nes, pri­žiū­rė­ti jų įgy­ven­di­ni­mą, at­sa­ky­ti už pa­žei­di­mus ir iš­klau­sy­ti mo­ky­mus.

Baudos Lietuvos įsta­ty­me su­ra­šy­tos taip, kaip jas pa­pras­tai ci­tuo­ja pri­sta­ty­muo­se, ir čia kaip tik di­rek­ty­vos for­mu­luo­tė yra tei­sin­gas sa­ki­nys. Esminiam sub­jek­tui bau­da gali būti iki de­šim­ties mi­li­jo­nų eurų arba iki dvie­jų pro­cen­tų ju­ri­di­nio as­mens bend­ros pa­sau­li­nės me­ti­nės apy­var­tos per pra­ėju­sį fi­nan­si­nį lai­ko­tar­pį, at­si­žvel­giant į tai, kuri suma di­des­nė; svar­biam sub­jek­tui ati­tin­ka­mai iki sep­ty­nių mi­li­jo­nų arba iki 1,4 pro­cen­to. Kas per­pa­sa­ko­ji­muo­se dings­ta, yra bū­tent šis „kuri di­des­nė“ ir nuo­ro­da į vi­sos įmo­nių gru­pės pa­sau­li­nę apy­var­tą, to­dėl ci­ta­ta vien tik „de­šimt mi­li­jo­nų“ Lietuvos kon­teks­te pa­pras­čiau­siai nėra vi­sas sa­ki­nys.

Skaičiai šiuo­se straips­niuo­se at­ro­do grės­min­gai, ir ver­ta pri­si­min­ti, kad jie yra vir­šu­ti­nės ri­bos, ne ta­ri­fas, ir kad jie pa­ra­šy­ti taip, kad ap­im­tų ir di­džiau­sias Europos įmo­nes. Praktiškai svar­biau už sumą yra tai, kad prie­žiū­ros ins­ti­tu­ci­ja turi ir kitų inst­ru­men­tų — nu­ro­dy­mus, įspė­ji­mus ir pa­tik­ri­ni­mus, ir kad įmo­nei, kuri yra pa­dė­ju­si pag­rin­dą ir gali jį pa­ro­dy­ti do­ku­men­tuo­se, po­kal­bis su ja at­ro­do vi­sai ki­taip nei įmo­nei, kuri apie savo sta­tu­są su­ži­no in­ci­den­to metu iš pri­žiū­rin­čios ins­ti­tu­ci­jos.

Dar vie­nas da­ly­kas, ko šie straips­niai ne­sa­ko, yra tai, kad pi­ni­gi­nė bau­da nėra vi­sos fi­nan­si­nės pa­sek­mės. Praktikoje bran­giau­sia pa­pras­tai yra pra­sto­va ir kli­en­tų pra­ra­di­mas, ir bū­tent to­dėl įmo­nės, ku­rios šį ke­lią jau yra nu­ėju­sios, apie tai kal­ba kaip apie veik­los tęs­ti­nu­mą, o ne kaip apie ati­tik­tį. Šitaip tai for­mu­luo­ti yra ir bū­das, kaip apie tai kal­bė­ti su val­dy­ba: ne „mums gre­sia de­šimt mi­li­jo­nų“, kas ne­tie­sa be­veik bet ku­riai Lietuvos įmo­nei, o „kiek il­gai mes ga­li­me ne­dirb­ti ir kiek tai kai­nuo­ja“.

Kaip tas pats atrodo kitose Europos valstybėse

Jei įmo­nė dir­ba ke­lio­se rin­ko­se, tada di­rek­ty­vos vie­na­me sa­ki­ny­je ap­ra­šy­tas vie­no­du­mas prak­ti­ko­je pa­si­ro­do esąs vie­nuo­li­ka skir­tin­gų įsta­ty­mų su skir­tin­go­mis įsi­ga­lio­ji­mo da­to­mis. Latvijoje ir Italijoje savi įsta­ty­mai ga­lio­ja jau nuo 2024 m. ru­dens, Suomijoje nuo pra­ėju­sių metų ba­lan­džio, Vokietijoje nuo pra­ėju­sių metų gruo­džio, Estijoje ir Švedijoje nuo šių metų sau­sio, o Lenkijoje nuo šių metų ba­lan­džio. Kiekviename iš jų savi prie­dai, sa­vos api­brėž­tys ir sa­vos pri­žiū­rin­čios ins­ti­tu­ci­jos, ir ati­tik­tis vie­no­je vals­ty­bė­je nie­ko ne­įro­do ki­to­je.

Dvi vals­ty­bės mūsų rin­kų tar­pe savo įsta­ty­mo dar nėra pri­ėmu­sios. Ispanijoje ir Prancūzijoje Europos Komisija šių metų lie­pą krei­pė­si į Europos Sąjungos Teisingumo Teismą bū­tent dėl to, kad viso per­kė­li­mo nėra pra­neš­ta, ir tai prak­tiš­kai reiš­kia, kad ten įmo­nei šian­dien nėra vals­ty­bės įsta­ty­mo, kurį vyk­dy­ti, bet yra ins­ti­tu­ci­jos, ku­rios jau da­bar yra tos, su ku­rio­mis kal­bės, kai įsta­ty­mas bus. Norvegija yra dar at­ski­ras at­ve­jis: ji nėra Europos Sąjungoje, jos ga­lio­jan­tis skait­me­ni­nio sau­gu­mo įsta­ty­mas per­ke­lia anks­tes­nę di­rek­ty­vą, ir NIS2 ten dar ne­įgy­ven­din­ta.

Už Europos Sąjungos ribų vaiz­das ski­ria­si dar la­biau. Jungtinėje Karalystėje ga­lio­ja savi 2018 m. tink­lų ir in­for­ma­ci­nių sis­te­mų nuo­sta­tai, ku­rie liko ir po iš­sto­ji­mo, ir par­la­men­te šiuo metu yra įsta­ty­mo pro­jek­tas, ku­ris juos pra­p­lės­tų, ta­čiau jis dar ne­pri­im­tas. Praktinės viso to pa­sek­mės pa­pras­tos: jei klien­tas ci­tuo­ja „NIS2“ tarp­vals­ty­bi­nė­je su­tar­ty­je, tada ver­ta pa­klaus­ti, ku­rios vals­ty­bės įsta­ty­mą jis turi ome­ny­je, nes at­sa­ky­mas į tai daž­nai pa­si­ro­do esąs, kad jis to nėra pa­tik­ri­nęs.

Ką daryti su klausimynu, kuris jau ant stalo

Pirmasis žings­nis yra pa­ra­šy­ti vie­ną pa­strai­pą apie savo sta­tu­są ir ją iš­sau­go­ti taip, kad ją ras­tu­mė­te ir kitą kar­tą. Joje trys sa­ki­niai: ku­ria­me sek­to­riu­je įmo­nė vei­kia ir ar jis pa­ten­ka į kurį nors di­rek­ty­vos są­ra­šą; kiek žmo­nių ji įdar­bi­na, ko­kia apy­var­ta ir ba­lan­si­nė suma; ir ar jai tai­ko­mas ku­ris nors iš po­žy­mių, ku­riems dy­dis ne­tu­ri reikš­mės. Ši pa­strai­pa tin­ka vi­siems ki­tiems klau­si­my­nams, ir ji taip pat yra at­sa­ky­mas į klau­si­mą, kurį anks­čiau ar vė­liau už­duos val­dy­ba ar sa­vi­nin­kas.

Antrasis žings­nis yra at­skir­ti tai, kas yra tei­si­nė pa­rei­ga, nuo to, kas yra kli­en­to rei­ka­la­vi­mas, nes šie du da­ly­kai klau­si­my­ne at­ro­do vie­no­dai. Jei Jūs ne­sa­te sub­jek­tas, tada klau­si­my­nas yra su­tar­ties do­ku­men­tas, ir jam tai­ko­ma įpras­ta su­tar­čių lo­gi­ka — pro­por­cin­gu­mas, kai­na ir tai, ką esa­te pa­si­ren­gę pa­ža­dė­ti raš­tu ir pas­kui įvyk­dy­ti. Jei Jūs esa­te sub­jek­tas, tada klau­si­my­nas yra ma­žiau­sias iš rū­pes­čių, ir tei­sin­ga seka yra pir­miau­sia per­skai­ty­ti Kibernetinio sau­gu­mo rei­ka­la­vi­mų ap­ra­šą, tada įver­tin­ti savo fak­ti­nę būk­lę prieš jį ir tik tada at­sa­ky­ti kli­en­tui.

Trečiasis žings­nis tai­ko­mas tiems, ku­rie tie­kia vie­ša­jam sek­to­riui, nes ten rei­ka­la­vi­mai at­ei­na ne tik iš ki­ber­ne­ti­nio sau­gu­mo įsta­ty­mo, bet ir iš pir­ki­mo są­ly­gų, ir są­ly­gos lin­ku­sios būti konk­re­tes­nės už įsta­ty­mą. Apie tai, ko­kia pa­tik­ra ir kaip daž­nai rei­ka­lau­ja­ma pir­ki­muo­se, esa­me rašę at­ski­rai, ir apie tai, kuo ski­ria­si ske­na­vi­mas, au­di­tas ir įsi­lau­žimo te­sta­vi­mas, taip pat. Jei Jums kyla klau­si­mas apie konk­re­tų vie­šo­jo sek­to­riaus pro­jek­tą arba rei­kia pa­gal­bos su at­sa­ky­mais, ku­riuos rei­kia pa­liu­dy­ti tech­ni­niu fak­tu, pa­ra­šy­ki­te mums.

Šiame straips­ny­je mes są­mo­nin­gai ne­sa­ko­me, ar bū­tent Jūs esa­te sub­jek­tas. Tai nu­sta­to sek­to­rius, dy­dis ir po­žy­miai, ku­riuos rei­kia per­skai­ty­ti įsta­ty­mo teks­te su Jūsų pa­čių skai­čiais ran­ko­je, ir bet kas, kas tai nu­sta­to po tri­jų mi­nu­čių po­kal­bio ar po vie­nos pri­sta­ty­mo skaid­rės, par­duo­da įsi­ti­ki­ni­mą, ne at­sa­ky­mą. Ką ga­li­ma pa­sa­ky­ti tik­rai, yra tai, kad di­džio­ji da­lis mažų įmo­nių, ku­rios gau­na šį klau­si­my­ną, sub­jek­tai nėra — ir kad klau­si­my­nas to­dėl nie­kur ne­dings­ta, nes jis at­ei­na iš kli­en­to pa­rei­gos, ne iš Jūsų.