Projekto lyginamasis variantas
1Papildyti 2 straipsnį nauja 7 dalimi:
„7. Valstybės informacinių išteklių kolektyvinė apsaugos nuo grėsmių iš viešųjų tinklų sistema – Saugaus valstybinio duomenų perdavimo tinklo techninių, programinių ir organizacinių priemonių visuma skirta apsaugoti valstybės informacinius išteklius nuo grėsmių iš viešųjų tinklų įgyvendinant prieigos prie šių išteklių valdymą ir kontrolę, identifikuojant bandymus pažeisti išteklių saugą ir taikant atsako į šiuos bandymus priemones mažinančias galimą žalą.“
Papildyti 13 straipsnį nauja 7 dalimi:
„7. Viešojo administravimo subjektai valdantys ir
(arba) tvarkantys ypatingos svarbos ir svarbius valstybės informacinius išteklius bei viešojo administravimo subjektai ar jų padaliniai, siekiantys prisijungti prie tokių duomenų, prieigai prie viešųjų ryšio tinklų privalo tiesiogiai ir individualiai jungtis prie Valstybės informacinių išteklių kolektyvinės apsaugos nuo grėsmių kibernetinėje erdvėje sistemos.“ Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą Respublikos Prezidentas Teikia:
Seimo narys Artūras Paulauskas
ir uždaviniai: Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 (toliau - KSĮ) 2 ir 13 straipsnių pakeitimo įstatymo projektas (toliau – KSĮ projektas) parengtas siekiant užtikrinti, kad Lietuvos Respublikos viešojo administravimo subjektai valdantys ir (arba) tvarkantys valstybės informacinius išteklius keičiantis duomenimis tarpusavyje bei su Europos Sąjungos institucijomis ir Europos Sąjungos narių institucijomis naudotųsi Saugiu valstybiniu duomenų perdavimo tinklu (toliau - SVDPT). Atkreiptinas dėmesys, kad SVDPT yra uždaras valstybės, savivaldybių institucijų, įstaigų ir kitų asmenų, vykdančių teisės aktais priskirtas valstybės funkcijas, tinklas, kuriuo institucijos tarpusavyje saugiai keičiasi duomenimis ir bendradarbiauja su Europos Sąjungos institucijomis. Komunikacijų metu informacijos mainų saugumas yra užtikrinamas perduodamą informaciją šifruojant bei techninių sprendimų dėka garantuojant duomenų mainų dalyvių tapatybės nustatymą. Vienas iš pagrindinių SVDPT kūrimo tikslų yra užtikrinti, kad duomenys būtų saugiai perduodami tarp Lietuvos Respublikos institucijų, įstaigų įmonių, tarp Lietuvos Respublikos institucijų struktūrinių padalinių bei tarp Lietuvos Respublikos institucijų ir Europos Sąjungos narių institucijų. Pažymėtina, kad šiuo metu Lietuvos Respublikos teisės aktuose nėra įtvirtinta imperatyvių normų, kuriomis vadovaujantis Lietuvos Respublikos institucijos būtų įpareigotos elektronine informacija keistis tarpusavyje ir su Europos Sąjungos institucijomis naudojant SVDPT, o paliekama teisė pačioms pasirinkti, kokiais tinklais perduoti elektroninę informaciją, todėl ne visos jos renkasi SVDPT teikiamas paslaugas.
Atsižvelgiant į aukščiau išdėstytą, Lietuvos Respublikos institucijos tarpusavyje elektronine informacija keičiasi naudojantis skirtingų operatorių teikiamomis paslaugomis. Pabrėžtina, kad elektroninių ryšių rinkoje veikiantys subjektai yra atsakingi už savo veiksmus tik tokia apimtimi, kokia yra apibrėžta jų pačių parengtose sutarčių teikimo sąlygose ir skirtingai nei SVDPT operatorius, neatsako teisės aktų nustatyta tvarka, jei saugos reikalavimai būtų pažeidžiami. Kai tuo tarpu SVDPT operatorius yra įpareigotas užtikrinti SVDPT saugumo reikalavimus (Lietuvos Respublikos vidaus reikalų ministro 2007 m. birželio 5 d. įsakymas Nr. 1V-210), nustatančius pagrindines grėsmių grupes SVDPT saugai, pagrindinius SVDPT saugos užtikrinimo rodiklius, SVDPT saugos organizavimą, valdymą ir SVDPT naudotojų prijungimą prie SVDPT. Priešingai nei SVDPT operatoriui, kitiems elektroninių ryšių tinklų operatoriams tokie reikalavimai nėra keliami, duomenų keitimosi paslaugos yra teikiamos remiantis su klientu pačių operatorių sudarytomis sutarties sąlygomis, kuriomis yra nustatomas teisės aktais nereglamentuotas reagavimo į incidentus laikas, tinklo prieinamumas ir kiti parametrai. Šiems operatoriams teisės aktai taip pat nenumato pareigos būti įsidiegusiems priemones, kurios užtikrintų, kad elektroninė informacija perdavimo metu nebūtų pakeista, būtų patvirtinta elektroninės informacijos siuntėjo ir gavėjo tapatybė, elektroninė informacija perdavimo metu nebūtų perimta ar būtų įdiegtos ir nuolatos atnaujinamos apsaugos priemonės nuo kenkėjiškos programinės įrangos.
Atsižvelgiant į nuolat augančias grėsmes valstybės informaciniams ištekliams iš viešųjų tinklų, naujų sudėtinių (daugelio vektorių) atakų metodų atsiradimą ir taikymą neteisėtoje veikloje, yra didelė rizika, kad viešojo administravimo subjektai, nesinaudodami kolektyvinės apsaugos nuo grėsmių iš viešųjų tinklų sistemos priemonėmis, nesugebės užtikrinti valstybės valdomų informacinių išteklių kibernetinio saugumo ir atitikties Lietuvos Respublikos Vyriausybės nustatytiems organizaciniams ir techniniams saugumo reikalavimams. Nesuvaldžius kritinės situacijos, gali nukentėti ne tik valstybinės reikšmės informacija ir kiekvienas pilietis, bet ir šalies prestižas, pasitikėjimas naujomis technologijomis. Valstybės informacinių išteklių kolektyvinė apsaugos nuo grėsmių iš viešųjų tinklų sistemos paskirtis yra užtikrinti valstybės informacinių išteklių, elektroninės valdžios paslaugų pasiekiamumą ir valstybės informacinių sistemų apsaugą nuo grėsmių iš viešųjų elektroninių ryšių tinklų. Vadinasi, viešojo administravimo subjektai, naudodamiesi šia sistema patiria šiuos privalumus: padidinamas viešojo administravimo subjekto tinklo atsparumas – apsaugos sistema turi visas galimybes aptikti ir neutralizuoti įsibrovimus ir paslaugų žlugdymo bandymus realiame laike; tinklas apsaugomas nuo atakų iš viešųjų tinklų – paslaugos teikiamos nenutrūkstamai; viešojo administravimo subjekto tinklo darbo vietos apsaugomos nuo žalingo turinio, informacijos netekimo ir iškraipymo ir pan.
Be to, atkreiptinas dėmesys, kad Lietuvos Respublikos Vyriausybė, kuri pagal Lietuvos Respublikos nacionalinio saugumo pagrindų įstatymą yra atsakinga už valstybinės informacijos valdymo ir jos apsaugos užtikrinimo sistemos užtikrinimą, 2013 m. birželio 26 d. Lietuvos Respublikos Vyriausybės pasitarimo protokolo „10. Dėl Elektroninės informacijos saugos (kibernetinio saugumo) koordinavimo komisijos 2012 metų ataskaitos, Elektroninės informacijos saugos (kibernetinio saugumo) plėtros 2011 -2019 metų programos įgyvendinimo 2012 metų ataskaitos ir papildomų kibernetinio saugumo priemonių Lietuvos pirmininkavimo Europos Sąjungos tarybos laikotarpiu (teikia Vidaus reikalų ministerija) 4 punktu buvo nusprendusi pavesti Vyriausybei pavaldžioms įstaigoms ir rekomenduoti kitoms viešojo administravimo institucijoms Lietuvos pirmininkavimo Europos Sąjungos Tarybos laikotarpiu savo informacinių sistemų apsaugai naudoti Saugaus valstybinio duomenų perdavimo tinkle įrengtą kolektyvine apsaugos nuo grėsmių iš viešųjų tinklų sistemą.
Pažymėtina ir tai, kad SVDPT kūrimui ir šio tinklo saugumui užtikrinti Lietuvos Respublikos valstybė skyrė daugiau nei 11 mln. eurų finansinę paramą, todėl jei nebus užtikrinama, kad viešojo administravimo institucijoms keičiantis elektronine informacija tarpusavyje būtų privaloma naudotis SVDPT paslaugomis, ne tik nebus užtikrinamas perduodamos informacijos saugumas, tačiau ir valstybės biudžeto lėšos, skirtos šio tinklo kūrimui ir saugumo užtikrinimui, bus naudojamos neracionaliai ir neefektyviai. Siekiant teisinio aiškumo ir tinkamo kibernetinio saugumo įgyvendinimo būtų tikslinga, kad Lietuvos Respublikos viešojo administravimo subjektai valdantys ir (arba) tvarkantys ypatingos svarbos ir svarbius valstybės informacinius išteklius bei viešojo administravimo subjektai siekiantys prisijungti prie tokių duomenų naudotųsi Valstybės informacinių išteklių kolektyvinės apsaugos nuo grėsmių kibernetinėje erdvėje Sistema, kuri yra SVDPT paslaugų sudedamoji dalis. 2. Įstatymo projekto iniciatoriai (institucija, asmenys ar piliečių įgalioti atstovai) ir rengėjai:
Įstatymo projekto rengėjas – Artūras Paulauskas. 3.
projekte aptarti teisiniai santykiai: Šiuo metu KSĮ nėra imperatyvių nuostatų, kurios įpareigotų Lietuvos Respublikos viešojo administravimo subjektus naudotis Valstybės informacinių išteklių kolektyvinės apsaugos nuo grėsmių kibernetinėje erdvėje Sistema. Taip pat KSĮ nėra pateiktas apibrėžimas, kuris aiškiai nurodytų kas yra Valstybės informacinių išteklių kolektyvinė apsaugos nuo grėsmių iš viešųjų tinklų sistema. 4. Kokios siūlomos naujos teisinio reguliavimo nuostatos ir kokių teigiamų rezultatų laukiama:
KSĮ projekte siūloma apibrėžti kas yra valstybės informacinių išteklių kolektyvinė apsaugos nuo grėsmių iš viešųjų tinklų sistema, taip pat nustatyti, kad viešojo administravimo subjektai valdantys ir (arba) tvarkantys ypatingos svarbos ir svarbius valstybės informacinius išteklius privalo naudotis Valstybės informacinių išteklių kolektyvinės apsaugos nuo grėsmių kibernetinėje erdvėje Sistema. Toks įstatymo pakeitimas užtikrins efektyvų SVDPT funkcionavimą bei užtikrins saugų bei efektyvų informacinių išteklių valdymą ir tvarkymą. 5. Numatomo teisinio reguliavimo poveikio vertinimo rezultatai, galimos neigiamos priimto įstatymo pasekmės ir kokių priemonių reikėtų imtis, kad tokių pasekmių būtų išvengta:
Priėmus įstatymo projektą, neigiamų pasekmių nenumatoma. 6. Kokią įtaką priimtas įstatymas turės kriminogeninei situacijai, korupcijai: Priėmus įstatymą, poveikis kriminogeninei situacijai ir korupcijai nenumatomas. 7. Kaip įstatymo įgyvendinimas atsilieps verslo sąlygoms ir jo plėtrai: Priėmus įstatymą, poveikis verslo sąlygoms ir jo plėtrai nenumatomas. 8. Įstatymo inkorporavimas į teisinę sistemą, kokius teisės aktus būtina priimti, kokius galiojančius teisės aktus būtina pakeisti ar pripažinti netekusiais galios:
Įstatymą inkorporuojant į teisinę sistemą, reikės pakeisti ar pripažinti netekusiais galios šiuos teisės aktus:
14 d. įsakymą Nr.
1V-687 „Dėl valstybės įmonės „Infostruktūra“ teikiamų monopolinio pobūdžio paslaugų kainų“;
nuostatų ir Saugaus valstybinio duomenų perdavimo tinklo paslaugų teikimo taisyklių patvirtinimo“;
veiklos strategijos patvirtinimo“;
balandžio 24 d. įsakymą Nr. 1V-327 „Dėl Valstybės įmonės „Infostruktūra“ įstatų patvirtinimo“;
Sąjungos ir valstybių narių administracijomis taisyklių patvirtinimo“. Aukščiau minėtus teisės aktus pripažinus netekusiais galios, atitinkamos institucijos turės priimti teisės aktus, reglamentuojančius šias sritis:
tinklo paslaugų kainas;
tinklo nuostatus, Saugaus valstybinio duomenų perdavimo tinklo paslaugų teikimo tvarkos aprašą ir paslaugų sąrašą;
jais susijusius dokumentus;
strategiją;
įstatus;
Europos Sąjungos ir valstybių narių administracijomis taisykles. 9.
kalbos, Lietuvos Respublikos teisėkūros pagrindų įstatymų reikalavimų, o įstatymo projekte esančios sąvokos ir jas įvardijantys terminai įvertinti Lietuvos Respublikos terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka: KSĮ projektas parengtas laikantis Lietuvos Respublikos valstybinės kalbos įstatymo, Lietuvos Respublikos teisėkūros pagrindų įstatymų reikalavimų. Naujos sąvokos Įstatymo projekte neapibrėžiamos. 10. Ar įstatymo projektas atitinka Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir Europos Sąjungos dokumentus:
KSĮ projekto nuostatos neprieštarauja Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatoms ir atitinka Europos Sąjungos dokumentus. 11. Jeigu įstatymui įgyvendinti reikia įgyvendinamųjų teisės aktų, – kas ir kada juos turės priimti: Įstatymo įgyvendinimui būtinus teisės aktus priims Lietuvos Respublikos susisiekimo ministerija iki 2016 m. kovo 1 d. 12. Kiek valstybės, savivaldybės biudžetų ir kitų valstybės įsteigtų fondų lėšų prireiks įstatymui įgyvendinti, ar bus galima sutaupyti:
Įstatymui įgyvendinti papildomų valstybės biudžeto lėšų nereikės. 13. Rengiant įstatymo projektą, gauti specialistų vertinimai ir išvados: Įstatymo projekto rengimo metu specialistų vertinimų ir išvadų negauta. 14. Reikšminiai žodžiai, kurių reikia įstatymo projektui įtraukti į kompiuterinę paieškos sistemą, įskaitant Europos žodyno „Eurovoc“ terminus, temas ir sritis:
Reikšminiai žodžiai, kurių reikia įstatymo projektui įtraukti į kompiuterinę paieškos sistemą, yra šie: „informacinių“, „išteklių“, „kolektyvinės“ „apsaugos“
„grėsmių“, „kibernetinėje“ „erdvėje“, „sistema“, „SVDPT“, „saugus“,
„valstybinis“, „duomenų“, „perdavimo“, „tinklas“, „valdytojas“, „tvarkytojas“. 15. Kiti, iniciatorių nuomone, reikalingi pagrindimai ir paaiškinimai:
Kitų pagrindimų ir paaiškinimų nėra. Teikia: Seimo narys Artūras Paulauskas
2015-12-16 Nr. XIIP-3908 Vilnius Įvertinę projektą dėl jo atitikties Konstitucijai, įstatymams, Europos Sąjungos teisės aktams ir teisės technikos taisyklėms, teikiame šias pastabas:
siūloma viešojo administravimo subjektams, valdantiems ir (arba) tvarkantiems ypatingos svarbos ir svarbius valstybės informacinius išteklius, nustatyti pareigą prieigai prie viešųjų ryšio tinklų tiesiogiai ir individualiai jungtis prie Valstybės informacinių kolektyvinės apsaugos nuo grėsmių kibernetinėje erdvėje sistemos, kuri yra Saugaus valstybinio duomenų perdavimo tinklo sudedamoji dalis. Tuo tarpu pats Saugaus valstybinio duomenų perdavimo tinklas Kibernetinio saugumo įstatyme iš viso yra nereglamentuojamas, t.y. nėra aiškus nei šio tinklo kūrimo teisinis pagrindas, nei jo veikimo principai, nei subjektai, atsakingi už tokio tinklo steigimą, jo valdymą, paslaugų šiuo tinklu teikimą ir kt. Tai suponuoja, kad įstatymo nuostatų dėl privalomo naudojimosi tokio tinklo paslaugomis turinys iš esmės būtų atskleistas tik poįstatyminiame teisės akte (atkreiptinas dėmesys, kad įstatymas nenumato netgi tokį poįstatyminį teisės aktą įgalioto priimti subjekto). Pažymėtina, jog Konstitucinis Teismas yra ne kartą konstatavęs, kad poįstatyminiu teisės aktu tik realizuojamos įstatymo normos, tačiau toks teisės aktas negali pakeisti paties įstatymo ir sukurti naujų bendro pobūdžio teisės normų, kurios konkuruotų su įstatymo normomis. Kitaip būtų pažeista Konstitucijoje įtvirtinta įstatymų viršenybė poįstatyminių teisės aktų atžvilgiu (2000 m. balandžio 5 d., 2002 m. vasario 19 d., 2004 m. kovo 5 d., 2007 m. lapkričio 29 d. nutarimai).
Todėl projektu siūlomas teisinis reguliavimas vertintinas kaip prieštaraujanti konstituciniam įstatymo viršenybės prieš poįstatyminius aktus principui, teisės aktų hierarchijos principui. 2. Projekto
pareigą viešojo administravimo subjektams, valdantiems ir (arba) tvarkantiems ypatingos svarbos ir svarbius valstybiniu informacinius išteklius. Pažymėtina, kad toks reguliavimas nesiderina su kitomis keičiamo įstatymo normomis, nes Kibernetinio saugumo įstatyme valstybės informaciniai ištekliai nėra nei skirstomi į ypatingos svarbos, svarbius ar nesvarbius valstybės informacinius išteklius, nei nėra numatyti tokio skirstymo kriterijai. Galbūt projekte siūloma reguliuoti ypatingos svarbos informacines infrastruktūras, kurios keičiamame įstatyme išskirtos kaip atskiri kibernetinio saugumo objektai. 3. Projekto 2 straipsniu pildomo įstatymo 13 straipsnio 7 dalyje brauktini žodžiai „ar jų padaliniai“, o vietoj žodžių „tokių duomenų“ įrašytini žodžiai „šių valstybės informacinių išteklių“. 4. Projekto 2 straipsnio pakeitimų esmėje brauktinas žodis
„nauja“. 5. Atsižvelgiant į tai, kad įstatymo įgyvendinimui gali reikėti priimti poįstatyminius
teisės aktus, siūlytina nustatyti tokį įstatymo įsigaliojimo terminą, kuris būtų pakankamas parengti ir priimti būtinus teisės aktus. 6. Atsižvelgiant į tai, kad kibernetinio saugumo politikos strateginius tikslus ir jiems pasiekti būtinas priemones nustato Lietuvos Respublikos Vyriausybė, o kibernetinio saugumo politiką formuoja, jos įgyvendinimą organizuoja, kontroliuoja ir koordinuoja Vyriausybei pavaldžios institucijos ir įstaigos, siūlytina dėl projekto gauti Vyriausybės išvadą. Departamento direktorius Andrius Kabišaitis E.
Mušinskis, tel. (8 5) 239 6356, el. p. [email protected]; J. Meškienė, tel. (8 5) 239 6089, el. p. [email protected]
2015-12-17 Nr. XIIP-3908 (patikslinta) Vilnius Įvertinę projektą dėl jo atitikties Konstitucijai, įstatymams, Europos Sąjungos teisės aktams ir teisės technikos taisyklėms, teikiame šias pastabas:
siūloma viešojo administravimo subjektams, valdantiems ir (arba) tvarkantiems ypatingos svarbos ir svarbius valstybės informacinius išteklius, nustatyti pareigą prieigai prie viešųjų ryšio tinklų tiesiogiai ir individualiai jungtis prie Valstybės informacinių kolektyvinės apsaugos nuo grėsmių kibernetinėje erdvėje sistemos, kuri yra Saugaus valstybinio duomenų perdavimo tinklo sudedamoji dalis. Atsižvelgiant į tai, kad projekto nuostatos suponuoja, kad tai būtų atskira Saugaus valstybinio duomenų perdavimo tinklo informacinė sistema bei siekiant teisinio aiškumo, siūlome projekte nurodyti subjektą, atsakingą už tokios sistemos sukūrimą, valdymą ir tvarkymą. 2. Projekto
pareigą viešojo administravimo subjektams, valdantiems ir (arba) tvarkantiems ypatingos svarbos ir svarbius valstybiniu informacinius išteklius. Pažymėtina, kad toks reguliavimas nesiderina su kitomis keičiamo įstatymo normomis, nes Kibernetinio saugumo įstatyme valstybės informaciniai ištekliai nėra nei skirstomi į ypatingos svarbos, svarbius ar nesvarbius valstybės informacinius išteklius, nei nėra numatyti tokio skirstymo kriterijai. Galbūt projekte siūloma reguliuoti ypatingos svarbos informacines infrastruktūras, kurios keičiamame įstatyme išskirtos kaip atskiri kibernetinio saugumo objektai. 3. Projekto 2 straipsniu pildomo įstatymo 13 straipsnio 7 dalyje brauktini žodžiai „ar jų padaliniai“, o vietoj žodžių „tokių duomenų“ įrašytini žodžiai „šių valstybės informacinių išteklių“. 4.
„nauja“. 5. Atsižvelgiant į tai, kad įstatymo įgyvendinimui gali reikėti priimti
poįstatyminius teisės aktus, siūlytina nustatyti tokį įstatymo įsigaliojimo terminą, kuris būtų pakankamas parengti ir priimti būtinus teisės aktus. 6. Atsižvelgiant į tai, kad kibernetinio saugumo politikos strateginius tikslus ir jiems pasiekti būtinas priemones nustato Lietuvos Respublikos Vyriausybė, o kibernetinio saugumo politiką formuoja, jos įgyvendinimą organizuoja, kontroliuoja ir koordinuoja Vyriausybei pavaldžios institucijos ir įstaigos, siūlytina dėl projekto gauti Vyriausybės išvadą. Departamento direktorius Andrius Kabišaitis E. Mušinskis, tel. (8 5) 239 6356, el. p. [email protected];
J. Meškienė, tel. (8 5) 239 6089, el. p. [email protected]
Blankas
Biudžetinė įstaiga, Vilniaus g. 23-7A, LT-01402 Vilnius, tel. 8 706 63687, faks. 8 706 63 679, el. p. [email protected]. Duomenys kaupiami ir saugomi Juridinių asmenų registre, kodas 188600362 2015-12- Nr. Į 2015-12-15 Nr. S-2015-8047 Lietuvos Respublikos Seimui dėl Lietuvos Respublikos Kibernetinio saugumo įstatymo Nr. XII-1428 2 ir 13 straipsnių pakeitimo įstatymo projekto Nr. XIIP3908 derinimo Išnagrinėję Lietuvos Respublikos Seimo pateiktą derinti Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 2 ir 13 straipsnių pakeitimo įstatymo projektą Nr. XIIP3908, pažymime, kad pastabų ir pasiūlymų dėl atitikties Europos Sąjungos teisei neturime. Generalinio direktoriaus pavaduotojas Karolis Dieninis Rūta Butvydytė, tel. 706 63 683, el. p. [email protected]