Kibernetinis saugumas Lietuvos verslui nebėra vien IT skyriaus rūpestis. Skaitmeninės sistemos šiandien tiesiogiai susijusios su pardavimais, logistika, gamyba, klientų aptarnavimu, finansais ir kasdiene darbuotojų veikla. Sutrikus svarbiai sistemai, įmonė gali ne tik prarasti duomenis, bet ir sustabdyti paslaugų teikimą, pažeisti sutartinius įsipareigojimus ar prarasti klientų pasitikėjimą.

Šias rizikas sistemiškai valdyti skatina Europos Sąjungos TIS2 direktyva, angliškai vadinama NIS2. Paieškos sistemose dažnai vartojamas raktažodis TIS2 direktyva, nors oficialiuose Lietuvos šaltiniuose galima sutikti ir rašybą „TIS 2“. Direktyva nustato bendrą kibernetinio saugumo sistemą svarbiuose Europos Sąjungos sektoriuose, o jos nuostatos Lietuvoje įgyvendintos atnaujinus Kibernetinio saugumo įstatymą ir susijusius teisės aktus. Atnaujintas įstatymas Lietuvoje įsigaliojo 2024 m. spalio 18 d.

Verslui svarbu suprasti, kad TIS2 nėra vien dokumentų rengimo projektas. Tinkamai įgyvendinti NIS2 reikalavimai gali padėti greičiau pastebėti incidentus, sumažinti veiklos sutrikimų tikimybę, sustiprinti tiekėjų kontrolę ir palengvinti bendradarbiavimą su dideliais klientais. Kitaip tariant, reguliavimas gali tapti ne tik prievole, bet ir verslo atsparumo programa.

Kas yra TIS2 direktyva

TIS2 yra 2022 m. gruodžio 14 d. priimta Europos Parlamento ir Tarybos direktyva (ES) 2022/2555. Ji pakeitė ankstesnę TIS direktyvą ir išplėtė reguliuojamų organizacijų bei sektorių ratą. TIS2 siekiama užtikrinti aukštą bendrą kibernetinio saugumo lygį visoje Europos Sąjungoje, nustatant rizikos valdymo, incidentų registravimo, priežiūros ir atsakomybės principus.

Direktyvos reguliavimas apima 18 ypatingos svarbos sektorių. Tarp jų yra energetika, transportas, sveikatos priežiūra, finansų rinkų infrastruktūra, geriamojo vandens tiekimas, nuotekų tvarkymas, viešasis administravimas, skaitmeninė infrastruktūra, debesijos paslaugos, duomenų centrai, valdomos IT paslaugos, pašto ir kurjerių paslaugos, atliekų tvarkymas, cheminių medžiagų gamyba, maisto sektorius ir tam tikros gamybos sritys.

TIS2 reguliavimas remiasi rizikos valdymo principu. Tai reiškia, kad iš organizacijos tikimasi ne vien turėti antivirusinę programą ar ugniasienę. Ji turi suprasti savo informacinius išteklius, įvertinti grėsmes, paskirti atsakingus asmenis, valdyti tiekėjus, mokyti darbuotojus, turėti incidentų valdymo procesą ir reguliariai tikrinti, ar numatytos priemonės iš tiesų veikia.

Kaip TIS reguliavimas keitėsi istoriškai

Pirmoji Europos Sąjungos Tinklų ir informacinių sistemų saugumo direktyva buvo priimta 2016 m. Ji tapo pirmuoju bendru ES teisės aktu, skirtu valstybių narių kibernetinio saugumo gebėjimams ir svarbiausių paslaugų apsaugai stiprinti. Tačiau bėgant laikui paaiškėjo, kad skirtingose valstybėse direktyva taikoma nevienodai, reguliuojamų sektorių apimtis per siaura, o tiekimo grandinių ir debesijos paslaugų svarba sparčiai auga.

Dėl šių priežasčių 2022 m. buvo priimta TIS2 direktyva, išplėtusi taikymo sritį ir sustiprinusi vadovybės atsakomybę, incidentų pranešimo bei priežiūros reikalavimus. Valstybės narės turėjo perkelti direktyvą į nacionalinę teisę iki 2024 m. spalio 17 d.

Lietuva TIS2 nuostatas perkėlė laiku. Atnaujintas Kibernetinio saugumo įstatymas įsigaliojo kitą dieną po direktyvos perkėlimo termino, 2024 m. spalio 18 d. Vėliau buvo patvirtinti išsamesni įgyvendinamieji dokumentai, įskaitant Kibernetinio saugumo reikalavimų aprašą, Nacionalinį kibernetinių incidentų valdymo planą ir subjektų identifikavimo metodiką.

Kuriems Lietuvos verslams taikomi TIS2 reikalavimai

Lietuvoje organizacijos skirstomos į esminius ir svarbius kibernetinio saugumo subjektus. Vertinant įmonę atsižvelgiama į jos veiklos sektorių, teikiamas paslaugas, dydį, pajamas, darbuotojų skaičių ir galimą veiklos sutrikimo poveikį valstybei ar visuomenei. Identifikuotos organizacijos įtraukiamos į Kibernetinio saugumo subjektų registrą.

Vien faktas, kad įmonė veikia IT, gamybos ar logistikos srityje, dar neleidžia automatiškai nustatyti jos statuso. Tačiau vien darbuotojų skaičiumi taip pat negalima remtis. Mažoms ir labai mažoms įmonėms įstatymas dažniausiai netaikomas, tačiau galimos išimtys, pavyzdžiui, kai įmonė yra vienintelė kritiškai svarbios paslaugos teikėja arba jos veiklos sutrikimas galėtų sukelti reikšmingų pasekmių visuomenės saugumui ar sveikatai.

Praktikoje svarbiausias formalus požymis yra įtraukimas į Kibernetinio saugumo subjektų registrą. Jeigu organizacija į registrą neįtraukta, ji neprivalo įgyvendinti visų TIS2 pagrindu nustatytų nacionalinių reikalavimų. Vis dėlto registras nėra vieną kartą sudaromas ir uždaromas sąrašas. Duomenys peržiūrimi nuolat, todėl įmonė ateityje gali būti identifikuota kaip atitinkanti nustatytus kriterijus.

Be to, net ir tiesiogiai nereguliuojamai įmonei TIS2 gali tapti praktiškai privaloma per tiekimo grandinę. Dideli klientai, esminiai subjektai ir viešojo sektoriaus organizacijos gali reikalauti, kad jų IT, debesijos, programinės įrangos, ryšio ar infrastruktūros tiekėjai laikytųsi konkrečių saugumo sąlygų.

Pagrindiniai NIS2 reikalavimai Lietuvos įmonėms

Vadovybės atsakomybė. Už kibernetinio saugumo reikalavimų įgyvendinimą tiesiogiai atsakingas organizacijos vadovas. Įmonė taip pat turi paskirti už kibernetinį saugumą atsakingus asmenis ir aiškiai apibrėžti jų funkcijas. Tai reiškia, kad TIS2 projektas negali būti paliktas vien sistemų administratoriui.

Kibernetinio saugumo politika. Organizacija turi parengti ir patvirtinti politikos dokumentus, kuriuose būtų aprašyti jos taikomi saugumo principai, atsakomybės, kontrolės priemonės ir procedūros. Šių dokumentų nereikia iš anksto derinti su NKSC, tačiau juose turi būti tinkamai aprašyti organizacijai aktualūs reikalavimai, o numatytos priemonės turi veikti praktiškai.

Rizikos analizė. Įmonė turi žinoti, kokias sistemas, duomenis, paslaugas ir technologinius išteklius valdo. Rizikos vertinimas turi apimti ne tik technines spragas, bet ir žmonių klaidas, tiekėjų priklausomybes, fizinės infrastruktūros sutrikimus, duomenų praradimą bei veiklos tęstinumo rizikas.

Incidentų valdymas. Turi būti nustatyta, kas organizacijoje priima pranešimus, kas vertina incidento mastą, kas koordinuoja techninius veiksmus ir kas bendrauja su NKSC, klientais ar kitomis institucijomis. Incidentų planas turi būti praktiškai išbandytas, nes kilus atakai sprendimams priimti gali būti skirtos ne dienos, o valandos.

Pranešimai apie incidentus. Apie didelį kibernetinį incidentą NKSC reikia pranešti nedelsiant, bet ne vėliau kaip per 24 valandas nuo sužinojimo. Per 72 valandas turi būti pateiktas išsamesnis incidento, jo sunkumo ir poveikio vertinimas, o galutinė ataskaita paprastai pateikiama per vieną mėnesį nuo incidento registravimo. Apie nedidelius incidentus taip pat turi būti pranešama ne vėliau kaip per 72 valandas.

Veiklos tęstinumas. Įmonė turi numatyti, kaip atkurs svarbiausias sistemas po kibernetinės atakos, elektros tiekimo sutrikimo, įrangos gedimo ar duomenų sugadinimo. Vien atsarginių kopijų nepakanka. Reikia periodiškai tikrinti, ar duomenis iš jų iš tikrųjų galima atkurti per verslui priimtiną laiką.

Tiekimo grandinės saugumas. TIS2 reikalauja vertinti tiesioginius tiekėjus ir paslaugų teikėjus. Sutartyse turi būti nustatytos prieigos valdymo, incidentų informavimo, pažeidžiamumų šalinimo, duomenų grąžinimo ar sunaikinimo ir bendradarbiavimo sąlygos. Trečiosioms šalims rekomenduojama suteikti tik minimalią, terminuotą ir darbo funkcijoms būtiną prieigą.

Pažeidžiamumų valdymas. Organizacija turi turėti veikiančią spragų valdymo ir atskleidimo tvarką. Sutartyse su tiekėjais taip pat turi būti numatyta jų pareiga valdyti spragas, galinčias kelti riziką užsakovo sistemoms ir duomenims.

Prieigos kontrolė ir tapatybių apsauga. Praktinės priemonės turėtų apimti kelių veiksnių autentifikavimą, administratorių paskyrų atskyrimą, nereikalingų paskyrų blokavimą, periodinę teisių peržiūrą ir veiksmų registravimą. Ypač svarbu kontroliuoti nuotolinę tiekėjų bei sistemų administratorių prieigą.

Šifravimas ir saugus ryšys. Jautrūs duomenys turi būti apsaugoti tiek juos saugant, tiek perduodant. Šifravimo apimtis pasirenkama įvertinus duomenų vertę, jų konfidencialumą ir galimą poveikį įvykus nutekėjimui.

Darbuotojų ir vadovų mokymai. Kibernetinio saugumo subjektai turi palaikyti kibernetinės higienos praktiką ir reguliariai mokyti darbuotojus. Valdymo organų nariai, vadovas arba jo įgaliotas asmuo turi dalyvauti kibernetinio saugumo mokymuose ne rečiau kaip kartą per dvejus metus.

Kiek laiko suteikiama reikalavimams įgyvendinti

Lietuvoje terminai skaičiuojami nuo organizacijos įtraukimo į Kibernetinio saugumo subjektų registrą. Organizaciniams reikalavimams paprastai taikomas 12 mėnesių pereinamasis laikotarpis, o atitinkamiems techniniams reikalavimams suteikiama iki 24 mėnesių.

Šių terminų nereikėtų suprasti kaip rekomendacijos atidėti darbus paskutiniams mėnesiams. Politikų rengimas, sistemų inventorizavimas, rizikos analizė ir tiekėjų vertinimas dažnai atskleidžia techninių trūkumų, kuriems pašalinti reikia biudžeto, pirkimo procedūrų ar sutarčių pakeitimų.

Ypatingą dėmesį būtina skirti specialiesiems subjektams ir tam tikriems skaitmeninių paslaugų teikėjams, kuriems gali būti tiesiogiai taikomas Europos Komisijos įgyvendinimo reglamentas (ES) 2024/2690. Šiame reglamente nustatytiems subjektams pereinamasis laikotarpis gali būti netaikomas, todėl prievolės atsiranda nuo įtraukimo į registrą momento.

Kodėl verslui aktualios NIS2 paslaugos

NIS2 paslaugos apima daugiau nei teisinių dokumentų parengimą. Kokybiškas paslaugų paketas paprastai prasideda nuo įmonės taikymo srities ir esamos būklės įvertinimo. Tik tada galima nustatyti, kokių organizacinių ir techninių priemonių trūksta.

Pirmasis etapas dažniausiai yra atitikties spragų analizė. Jos metu įvertinamos sistemos, politikos, atsakomybės, incidentų valdymas, prieigos kontrolė, atsarginės kopijos, tiekėjų sutartys ir darbuotojų mokymai. Rezultatas turėtų būti ne abstrakti ataskaita, o konkretus darbų planas su prioritetais, atsakingais asmenimis ir terminais.

Kitas etapas yra rizikos vertinimas. Jis padeda atsakyti, kurios sistemos įmonei svarbiausios, kiek laiko jos gali neveikti, kokius duomenis būtina apsaugoti pirmiausia ir kokios tiekėjų priklausomybės kelia didžiausią riziką.

Toliau rengiami ar atnaujinami dokumentai: kibernetinio saugumo politika, incidentų valdymo planas, veiklos tęstinumo procedūros, atsarginių kopijų tvarka, prieigos valdymo taisyklės, tiekėjų vertinimo procedūra ir pažeidžiamumų valdymo procesas.

Techninės NIS2 paslaugos gali apimti kelių veiksnių autentifikavimo diegimą, tinklo segmentavimą, žurnalų centralizavimą, saugumo stebėseną, atsarginių kopijų apsaugą, pažeidžiamumų skenavimą, įrenginių valdymą ir reagavimo į incidentus sprendimus.

Įmonėms, neturinčioms vidinio kibernetinio saugumo vadovo, gali būti aktuali išorinio CISO arba saugos įgaliotinio paslauga. Lietuvos reguliavimas leidžia šias funkcijas pirkti iš išorės, tačiau turi būti išlaikomas atsakingo asmens nešališkumas. Kibernetinio saugumo vadovas neturėtų tuo pačiu metu administruoti ir prižiūrėti sistemų, kurių saugumo atitiktį jis vertina.

Kokią naudą TIS2 suteikia verslui

Pirmoji nauda yra didesnis veiklos tęstinumas. TIS2 skatina organizaciją iš anksto nuspręsti, kurios paslaugos svarbiausios ir kokiu eiliškumu jos turi būti atkuriamos. Kilus incidentui darbuotojams nebereikia improvizuoti nuo nulio.

Antroji nauda yra aiškesnė atsakomybė. Kai įmonėje tiksliai nustatyta, kas atsakingas už sprendimus, incidentų koordinavimą, tiekėjų kontrolę ir komunikaciją, sumažėja pavėluotų arba prieštaringų veiksmų tikimybė.

Trečioji nauda yra geresnė tiekėjų kontrolė. Daugelis incidentų kyla ne pačioje įmonėje, o jos tiekimo grandinėje. TIS2 padeda į sutartis įtraukti konkrečias saugumo sąlygas ir sumažinti situacijų, kai tiekėjas turi neribotą prieigą, nepraneša apie incidentą arba neįsipareigoja laiku pašalinti spragų.

Ketvirtoji nauda yra didesnis B2B klientų pasitikėjimas. Didelės organizacijos vis dažniau prašo tiekėjų užpildyti saugumo klausimynus, pateikti politikų, mokymų, auditų ar techninių priemonių įrodymus. Įgyvendinus TIS2 pagrindu sukurtą valdymo sistemą, į tokius klausimus galima atsakyti greičiau ir tiksliau.

Penktoji nauda yra lengvesnis pasirengimas auditams. Tvarkomas sistemų inventorius, rizikų registras, incidentų žurnalas, tiekėjų vertinimai ir mokymų įrodymai sukuria nuoseklų atitikties pagrindą. Tie patys įrodymai gali būti naudingi siekiant ISO 27001 atitikties, dalyvaujant viešuosiuose pirkimuose ar atliekant klientų patikras.

Šeštoji nauda yra racionalesnis IT biudžetas. Rizikos vertinimas padeda investuoti ne į daugiausia reklamuojamus įrankius, o į priemones, kurios mažina svarbiausias konkrečios įmonės rizikas. Kartais didžiausią poveikį suteikia ne nauja platforma, bet tinkamai apsaugotos atsarginės kopijos, kelių veiksnių autentifikavimas ir aiški incidentų eskalavimo tvarka.

Lietuvos rinkos specifika, palyginti su užsienio šalimis

Lietuva TIS2 direktyvą perkėlė į nacionalinę teisę laiku. Tuo metu dalis kitų Europos Sąjungos valstybių vėlavo: 2024 m. lapkritį Europos Komisija pradėjo procedūras prieš 23 valstybes, o 2025 m. gegužės 7 d. pateikė pagrįstas nuomones 19 valstybių, kurios dar nebuvo pranešusios apie visišką direktyvos perkėlimą. Tai yra istorinis konkretaus laikotarpio palyginimas, o ne teiginys apie dabartinę visų šalių būklę.

Lietuvoje svarbų vaidmenį atlieka centralizuotas subjektų registras ir NKSC. Organizacija apie savo statusą informuojama ją įtraukus į registrą, o nuo šio momento skaičiuojami nacionalinių reikalavimų įgyvendinimo terminai. Kitose ES šalyse identifikavimo, registracijos, priežiūros ir pranešimų teikimo procedūros gali skirtis, nes direktyva nustato bendrą rezultatą, tačiau konkrečius procesus įtvirtina nacionalinė teisė.

Lietuvos įmonėms taip pat aktualus išorinių IT paslaugų modelis. Nacionalinės taisyklės leidžia paslaugų teikėją paskirti TIS administratoriumi, o kibernetinio saugumo vadovo funkcijas gali vykdyti ir išorinis specialistas. Tačiau sutartyse turi būti tinkamai suvaldytos prieigos, incidentų, pažeidžiamumų, duomenų ir veiklos tęstinumo rizikos.

Tai sukuria reikšmingą poveikį visai Lietuvos B2B IT rinkai. Net jeigu IT paslaugų teikėjas pats nėra įtrauktas į Kibernetinio saugumo subjektų registrą, jo klientas gali reikalauti atitikti dalį TIS2 priemonių. Paslaugų teikėjai, besijungiantys prie kibernetinio saugumo subjekto infrastruktūros, turi užtikrinti kibernetinį saugumą ir veiklos tęstinumą.

Tarptautinėms įmonių grupėms svarbu neapsiriboti vien centrine ES lygio NIS2 programa. Bendroji kontrolės sistema gali būti kuriama visai grupei, tačiau kiekvienoje šalyje būtina patikrinti vietinius registracijos, atsakingų asmenų, incidentų pranešimo, priežiūros ir įrodymų pateikimo reikalavimus.

Reklama