NIS2 reikalavimai Lietuvoje

Kas yra NIS2 (TIS2) ir kibernetinio saugumo įstatymas

NIS2 — tai Europos Sąjungos direktyva dėl tinklų ir informacinių sistemų saugumo (lietuviškai dažnai vadinama TIS2). Lietuvoje jos reikalavimai perkelti į Kibernetinio saugumo įstatymą¹ ir lydimuosius teisės aktus. Įstatymas reikšmingai išplečia subjektų, kuriems taikomi privalomi kibernetinio saugumo reikalavimai, ratą ir sustiprina priežiūrą, kurią vykdo NKSC (Nacionalinis kibernetinio saugumo centras).

Esmė vadovui paprasta: jei jūsų organizacija teikia esmines ar svarbias paslaugas, ji privalo paskirti atsakingus asmenis, valdyti rizikas, pranešti apie incidentus ir užsiregistruoti kibernetinio saugumo subjektų registre.

Kam taikoma: ar mano įmonė patenka į NIS2?

Į taikymo sritį patenka daug daugiau organizacijų nei pagal ankstesnį reguliavimą. Subjektai skirstomi į esminius ir svarbius; klasifikaciją lemia sektorius ir organizacijos dydis. Tarp aiškiai reguliuojamų sektorių:

• Vandentvarka — geriamasis vanduo ir nuotekos.
• Atliekų tvarkymas — komunalinių atliekų surinkimas ir apdorojimas.
• Savivaldybių ir komunalinės įmonės — energetika, šiluma, transportas, infrastruktūra.
• Skaitmeninė infrastruktūra, viešasis administravimas ir kiti esminiais laikomi sektoriai.

Terminai

Įstatymas jau galioja, o prievolės įsigalioja etapais. Užsiregistravus kibernetinio saugumo subjektų registre, organizacijos turi įgyvendinti organizacinius ir techninius reikalavimus per nustatytus pereinamuosius laikotarpius — paprastai 12 ir 24 mėnesių nuo registracijos, priklausomai nuo reikalavimo pobūdžio. Atskiri sektoriai turi savo registracijos terminus, todėl delsti nėra prasmės — tai aiškiai apibrėžiame atitikties analizės metu.

Privalomos prievolės: keturi pradiniai žingsniai

Praktiškai atitiktis prasideda nuo keturių privalomų veiksmų:

1. Atsakingų asmenų paskyrimas — saugos įgaliotinis ir kibernetinio saugumo vadovas, atitinkantys įstatymo 15 straipsnio¹ kvalifikaciją.
2. Prisijungimas prie NKSC sistemos (KSIS) — registracija kibernetinio saugumo subjektų registre.
3. Rizikos vertinimas — IT ir technologinės (OT) aplinkos rizikų įvertinimas pagal reguliuotojo metodiką.
4. Rizikos valdymo planas — priemonių ir dokumentacijos parengimas.

Toliau seka nuolatinės prievolės: incidentų valdymas ir pranešimai NKSC, tiekimo grandinės saugumas, periodinė peržiūra. Nuolatinę apsaugą užtikrina MDR — valdoma stebėsena.

NIS2 baudos už neatitiktį

Sankcijos yra reikšmingos ir diferencijuotos pagal subjekto tipą. Baudas ir jų dydžius nustato įstatymo 30 straipsnis¹:

• Esminiams subjektams — iki 10 mln. Eur arba 2 % metinės pasaulinės apyvartos (taikomas didesnis dydis).
• Svarbiems subjektams — iki 7 mln. Eur arba 1,4 % apyvartos.
• NKSC gali laikinai sustabdyti organizacijos vadovo įgaliojimus ir pačią veiklą, kol reikalavimai nebus įvykdyti — pagal įstatymo 33 straipsnį¹.

Vadovo atsakomybė

Tai — ne IT skyriaus klausimas. Pagal kibernetinio saugumo įstatymą¹ už reikalavimų įgyvendinimą asmeniškai atsako organizacijos vadovas. Vadovas privalo užtikrinti rizikos valdymo priemonių patvirtinimą ir priežiūrą, o neatitiktis gali turėti tiesioginių pasekmių jam asmeniškai.

Kodėl tai aktualu dabar

Grėsmių lygis auga. 2025 m. kibernetinių incidentų Lietuvos organizacijų sistemose užfiksuota 280 — apie 81 % daugiau nei 2024 m. (155).² Kritinė infrastruktūra, įskaitant vandentvarką, yra konkretus taikinys: kaimyninės šalies vandentvarkos įmonę pasiekusi, Rusijai priskirta ataka sukėlė vamzdynų gedimus.³ Vadovui klausimas nebėra „ar“, o „kada“.