P rojekto lyginamasis variantas
straipsnio pakeitimas
2 dalies 11 punktą ir jį išdėstyti taip: „11) siekdamas stabdyti kibernetinio incidento poveikį valstybės informacinių išteklių ar ypatingos svarbos informacinių infrastruktūrų kibernetiniam saugumui, duoda nurodymą taip pat nustatęs, kad viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams incidentams ir (arba) kibernetiniams sukčiavimams vykdyti, bei atsižvelgęs į vykdomos veiklos pavojingumą ar kitas reikšmingas aplinkybes, turi teisę, be teismo sankcijos duoti nurodymą viešųjų elektroninių ryšių tinklų ir (arba) , viešųjų elektroninių ryšių paslaugų teikėjui , elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikėjui ne ilgiau negu 48 valandoms , o ilgesniam laikui – su apylinkės teismo sankcija apriboti viešųjų elektroninių ryšių tinklų ir (ar) , viešųjų elektroninių ryšių paslaugų , elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikimą šių paslaugų gavėjui ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis . Šiais atvejais apylinkės teismo pirmininkui ar jo įgaliotam teisėjui pateikiamas teikimas dėl veiksmų teisėtumo ar pagrįstumo patvirtinimo motyvuota nutartimi. Jeigu šiame punkte nurodytas paslaugų teikimo apribojimo terminas baigiasi poilsio ar švenčių dieną, teikimas pateikiamas ne vėliau kaip kitą darbo dieną po poilsio ar švenčių dienos. Jeigu teisėjas motyvuota nutartimi nepatvirtina teikime nurodytų veiksmų teisėtumo ar pagrįstumo, nurodymas nedelsiant stabdomas .
Nacionalinis kibernetinio saugumo centras apie viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams pagal šį punktą duotus nurodymus ne vėliau kaip kitą darbo dieną praneša Lietuvos Respublikos ryšių reguliavimo tarnybai;“
2Pakeisti 8 straipsnio 2 dalies 17 punktą ir jį išdėstyti taip:
„17) atlieka kitas Lietuvos Respublikos teisės aktuose nustatytas funkcijas kibernetinio saugumo užtikrinimo srityje. tikrina kaip viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas vykdo privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, jeigu to prašo privalomą nurodymą davusi institucija, ir apie patikrinimo rezultatus ją informuoja; “
šį Lietuvos Respublikos Seimo priimtą įstatymą. Respublikos Prezidentas Teikia Seimo narys Kasparas Adomaitis
KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 13 STRAIPSNIO PAKEITIMO IR ĮSTATYMO PAPILDYMO 131
1Papildyti 13 straipsnio 4 dalį nauju 3 punktu:
„
3) valdant ir tiriant kibernetinius incidentus tiek, kiek tai būtina šio įstatymo 14 straipsnio 1 ir 2 dalyse nustatytoms institucijų funkcijoms atlikti;
“. 2. Buvusį 13 straipsnio 4 dalies 3 punktą laikyti 4 punktu. 2 straipsnis. Įstatymo papildymas 131
straipsniu Papildyti Įstatymą 131 straipsniu: „131 straipsnis. Duomenų apie privalomus nurodymus tvarkymas Kibernetinio saugumo informaciniame tinkle
1Kibernetinio saugumo informaciniame tinkle įstatymų nustatytais atvejais tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę. 2. Šio straipsnio 1 dalyje nustatytus nurodymus duodančios institucijos ir juos įgyvendinantys kibernetinio saugumo subjektai privalo naudotis Kibernetinio saugumo informacinio tinklo dalimi, kurioje tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, nepriklausomai nuo kibernetinio saugumo subjektų atitikties Kibernetinio saugumo informacinio tinklo nuostatuose nurodytiems reikalavimams. 3. Kibernetinio saugumo informaciniame tinkle viešai skelbiami duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetain
ę . “
Šis įstatymas įsigalioja 2024 m. gegužės 1 d. Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą. Respublikos Prezidentas
paskatinusios priežastys, parengtų projektų tikslai ir uždaviniai: Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 8 straipsnio pakeitimo įstatymo projekto (toliau – Įstatymo projektas) pagrindinis tikslas – užkirsti kelią kibernetiniams incidentams ir sumažinti jų daromą poveikį, suteikiant Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos (toliau – NKSC) papildomas teises. Pirma, Įstatymo projektu siūloma išplėsti NKSC teises teikti privalomus nurodymus elektroninių ryšių paslaugų teikėjams keičiant Lietuvos Respublikos kibernetinio saugumo įstatymo 8 straipsnio 2 dalies 11 punktą. Statistiniai duomenys liudija apie išaugusį kibernetinio saugumo incidentų kiekį ir jų daromą žalą Lietuvoje. Pavyzdžiui, Lietuvos bankų asociacijos duomenimis, 2022 m. sausio – balandžio mėn., lyginant su tokiu pačiu laikotarpiu pernai, sukčių atakų skaičius išaugo dvigubai, o vienas iš pagrindinių būdų išvilioti pinigus iš gyventojų – trumposios žinutės su interaktyviomis nuorodomis. Paspaudus žinutėje pateiktą nuorodą, vartotojai patenka į suklastotą tam tikro banko interneto svetainę ar kitokią internetinę svetainę, kurioje suvedę savo prisijungimo prie banko ir asmens duomenis, praranda pinigus. F inansiniai sukčiai iš Lietuvos gyventojų ir įmonių per pirmąjį šių metų ketvirtį išviliojo apie 2,1 mln. eurų. [1] Būtent tokių nusikaltimų užkardymui bei jų keliamos žalos mažinimui, blokuojant suklastotų interneto svetainių pasiekiamumą, itin svarbus operatyvumas, greitas sprendimų priėmimas ir vykdymas, kurį, suteikus papildomas teises, galėtų užtikrinti NKSC, gaunantis tiesioginius pranešimus apie žalą keliančias kibernetines atakas. Remiantis kibernetinio saugumo ataskaita [2] , bendras kibernetinio saugumo fonas Lietuvoje išlieka keliantis riziką.
2021 m. pastebėtina, kad padaugėjo sudėtingesnių, tikslinių ir didesnę žalą galinčių daryti kibernetinių incidentų. 2021 m. daugiau nei pusė (53 proc.) fiksuotų kibernetinių incidentų buvo susiję su Lietuvos interneto prieglobos teikėjų infrastruktūra (nesaugiomis interneto svetainėmis), kuri, pavyzdžiui, gali būti naudojama svetainėms, virtualioms darbo vietoms kurti, el. pašto paslaugoms ir pan. Toks didelis incidentų skaičius siejamas su aktyvia internetinių sukčių veikla, pavyzdžiui, turėdami galimybę už prieglobos paslaugas anonimiškai atsiskaityti kriptovaliutomis, šias paslaugas sukčiai išnaudojo kibernetinėms atakoms Lietuvoje ir kitose šalyse vykdyti. Sukčių sukurtų svetainių pasiekiamumo blokavimas išlieka viena iš efektyviausių priemonių mažinti jų sukeliamą žalą piliečiams. Reikia atkreipti dėmesį, kad policija dėl užkrėstų interneto svetainių veiksmų paprastai imasi tik tada, kai sulaukiama pranešimo dėl nusikalstamos veikos. NKSC, tuo tarpu, stebėdamas kibernetinę erdvę ir fiksuodamas užkrėstas svetaines, turėtų galimybę, atsižvelgiant į situacijos pavojingumą, imtis prevencinių priemonių ir riboti pažeistų svetainių pasiekiamumą ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis. NKSC atsakomybes siūloma išplėsti ir todėl, nes tai pagrindinė Lietuvos kibernetinio saugumo institucija, atsakinga už vieningą kibernetinių incidentų valdymą, kibernetinio saugumo reikalavimų įgyvendinimo stebėseną ir kontrolę. NKSC, įgyvendindamas Lietuvos Respublikos krašto apsaugos ministro 2013 m. gruodžio 31 d. įsakymu Nr.
V-1200 patvirtintuose Nacionalinio kibernetinio saugumo prie Krašto apsaugos ministerijos nuostatuose įtvirtintus tikslus, atlieka „kibernetinių incidentų stebėseną, analizę, tyrimus ir su kibernetinių incidentų valdymu susijusius veiksmus” ar „ informacinių išteklių bei kibernetinio saugumo subjektų atitikties teisės aktų nustatytiems kibernetinio saugumo ir elektroninės informacijos saugos reikalavimams vertinimo, priežiūros ir stebėsenos” funkcijas. Siekiant efektyviau įgyvendinti minėtus įtvirtintus tikslus, sv arbu suteikti galimybes NKSC veikti operatyviau ir rezultatyviau kibernetinių incidentų valdymo srityje. Antra, Įstatymo projektu siūloma papildyti NKSC funkcijas,
dalies 17 punkte nurodant, kad NKSC pagelbėtų kitoms Lietuvos institucijoms įsitikinti, kad jų privalomieji nurodymai yra vykdomi. Šiuo metu Lietuvoje yra bent 5 valstybinės institucijos, kurios pagal kompetenciją gali duoti privalomus nurodymus interneto prieigos paslaugų teikėjams blokuoti domeno vardą, identifikuojantį interneto svetainę. Tačiau interneto prieigos paslaugų teikėjų yra apie 90, o galimybė įsitikinti, ar interneto prieigos paslaugos teikėjai vykdo pareigą blokuoti domenus reikalauja sukauptų kompetencijų kibernetinio saugumo ir informacinių technologijų srityje. [3] Žurnalistų etikos inspektoriaus tarnyba , Lošimų priežiūros tarnyba prie Lietuvos Respublikos finansų ministerijos, Lietuvos bankas ir kitos institucijos paprastai turi ribotus informacinių technologijų žmogiškuosius ir techninius išteklius, kad galėtų efektyviai patikrinti apie 90 ar bent jau didžiąją dalį interneto prieigos paslaugų teikėjų. Tai reiškia, kad net ir gavus teismo sankciją, Lietuvos institucijos neturi realių galimybių įsitikinti, kad jų privalomi nurodymai vykdomi praktiškai.
Šiuo aspektu, NKSC, kaip pagrindinė institucija, atsakinga už vieningą kibernetinių incidentų valdymą, kibernetinio saugumo reikalavimų įgyvendinimo stebėseną ir kontrolę Lietuvoje, turi daugiau galimybių ir kompetencijų atlikti patikrinimus, kaip įgyvendinami privalomieji nurodymai, lyginant su valstybinėmis institucijomis, kurios turi teisę tokius privalomuosius nurodymus duoti. Atsižvelgiant į tai, numatoma, kad NKSC galėtų padėti valstybinėms institucijoms įsitikinti, ar privalomieji nurodymai praktiškai įgyvendinami ir jais remiantis blokuojami domenai yra nepasiekiami interneto prieigos paslaugų teikėjų klientams. NKSC tikrinimus turėtų atlikti pagal savo turimus įgaliojimus, tikrindama, pavyzdžiui, interneto prieigos paslaugų teikėjų vardų serverių („DNS server”) nustatymus ar kitaip techniškai įvertindama elektroninių ryšių tinklų valdymą. Kompetentingos institucijos pagalba vykdant privalomųjų nurodymų įgyvendinimo priežiūrą yra būtinas pirmasis žingsnis veiksmingo tarpinstitucinio bendradarbiavimo link. Tai pabrėžiama ir programos „Kurk Lietuvai" projekto „Kenkėjiškų interneto svetainių grėsmių valdymo priemonių kūrimas“ rekomendacijose [4] . 2. Įstatymo projekto iniciatoriai (institucija, asmenys ar piliečių įgalioti atstovai) ir rengėjai:
Įstatymo projektą inicijavo Seimo narys Kasparas Adomaitis. 3.
Įstatymų projektuose aptarti teisiniai santykiai: Šiuo metu galiojančiame Lietuvos Respublikos kibernetinio saugumo įstatyme nustatyta, kad NKSC, įgyvendindamas kibernetinio saugumo politiką ir siekdamas stabdyti kibernetinio incidento poveikį valstybės informacinių išteklių ar ypatingos svarbos informacinių infrastruktūrų kibernetiniam saugumui, duoda nurodymą viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjui ne ilgiau nei 48 valandoms apriboti viešųjų elektroninių ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų teikimą šių paslaugų gavėjui. Pagal galiojantį teisinį reguliavimą NKSC neturi teisės duoti privalomų nurodymų be teismo sankcijos elektroninės informacijos prieglobos paslaugų teikėjui ir skaitmeninių paslaugų teikėjui. Nėra įtvirtinta, kad NKSC, nustatęs, kad viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams incidentams ir (arba) kibernetiniams sukčiavimams vykdyti, bei atsižvelgęs į vykdomos veiklos pavojingumą ar kitas reikšmingas aplinkybes, turi teisę, be teismo sankcijos duoti nurodymą 48 valandoms, o ilgesniam laikui – su apylinkės teismo sankcija apriboti viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikimą šių paslaugų gavėjui. Taip pat nėra įtvirtinta galimybės duoti ne tik privalomuosius nurodymus, bet ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis.
Šiuo metu galiojančiame įstatyme nėra reglamentuota NKSC funkcija tikrinti ir informuoti, kaip viešųjų elektroninių ryšių tinklų ir
(arba) viešųjų elektroninių ryšių paslaugų teikėjas vykdo privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, kai to prašo privalomą nurodymą davusi institucija. 4. Kokios siūlomos naujos teisinio reguliavimo nuostatos ir kokių teigiamų rezultatų laukiama: Įstatymo projektu siekiama įtvirtinti papildomas NKSC teises ir funkcijas. Siūloma įtvirtinti nuostatą, kad NKSC, siekdamas stabdyti kibernetinio incidento poveikį valstybės informacinių išteklių ar ypatingos svarbos informacinių infrastruktūrų kibernetiniam saugumui, taip pat nustatęs, kad viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams incidentams ir (arba) kibernetiniams sukčiavimams vykdyti, bei atsižvelgęs į vykdomos veiklos pavojingumą ar kitas reikšmingas aplinkybes, turi teisę, be teismo sankcijos duoti nurodymą viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių teikėjui, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikėjui ne ilgiau negu 48 valandoms, o ilgesniam laikui – su apylinkės teismo sankcija apriboti viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikimą šių paslaugų gavėjui ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis.
Taip pat, siūloma įtvirtinti, kad tokiais atvejais, kai reikalinga teismo sankcija, apylinkės teismo pirmininkui ar jo įgaliotam teisėjui pateikiamas teikimas dėl veiksmų teisėtumo ar pagrįstumo patvirtinimo motyvuota nutartimi. Jeigu nurodytas paslaugų teikimo apribojimo terminas baigiasi poilsio ar švenčių dieną, teikimas pateikiamas ne vėliau kaip kitą darbo dieną po poilsio ar švenčių dienos. Jeigu teisėjas motyvuota nutartimi nepatvirtina teikime nurodytų veiksmų teisėtumo ar pagrįstumo, nurodymas nedelsiant stabdomas.
Papildant galiojantį įstatymą nauju 8 straipsnio 2 dalies 17 punktu, siekiama įtvirtinti NKSC naują funkciją – atlikti patikrinimus, kaip viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas vykdo privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, kai to prašo privalomąjį nurodymą davusi institucija, ir apie patikrinimo rezultatus ją informuoja. 5. Numatomo teisinio reguliavimo poveikio vertinimo rezultatai, galimos neigiamos priimtų įstatymų pasekmės ir kokių priemonių reikėtų imtis, kad tokių pasekmių būtų išvengta:
Priėmus Įstatymo projekte siūlomus pakeitimus, būtų sudaromos sąlygos efektyviam NKSC veikimui, siekiant sustabdyti kibernetinius incidentus ir mažinti jų daromą poveikį. Priėmus Įstatymo projekte siūlomus pakeitimus, neigiamų pasekmių nenumatoma. 6. Kokią įtaką priimti įstatymai turės kriminogeninei situacijai, korupcijai:
Priėmus Įstatymo projekte siūlomus pakeitimus, neigiamų pasekmių korupcijai ir kriminogeninei situacijai neturėtų būti. Priešingai, priėmus Įstatymo projektu siūlomus pakeitimus, būtų stengiamasi sumažinti nusikalstamų veikų ir nusižengimų kibernetiniam saugumui skaičių. 7. Kaip įstatymų įgyvendinimas atsilieps verslo sąlygoms ir jo plėtrai:
Įstatymo projektu nustatyti reikalavimai neturės neigiamos įtakos verslo sąlygoms ir jo plėtrai. 8. Ar įstatymų projektai neprieštarauja strateginio lygmens planavimo dokumentams: Įstatymo projektas neprieštarauja strateginio lygmens planavimo dokumentams. 9. Įstatymų inkorporavimas į teisinę sistemą, kokius teisės aktus būtina priimti, kokius galiojančius teisės aktus reikia pakeisti ar pripažinti netekusiais galios:
Priėmus Įstatymo projektą, priimti, keisti ar pripažinti netekusiais galios kitų įstatymų nereikės. 10.
laikantis Lietuvos Respublikos valstybinės kalbos, Teisėkūros pagrindų įstatymų reikalavimų, o įstatymų projektų sąvokos ir jas įvardijantys terminai įvertinti Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka: Įstatymo projektas parengtas laikantis nustatytų reikalavimų. 11. Ar įstatymų projektai atitinka Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas bei Europos Sąjungos dokumentus:
Įstatymo projektas atitinka Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir ES dokumentus. 12. Jeigu įstatymams įgyvendinti reikia įgyvendinamųjų teisės aktų, – kas ir kada juos turėtų priimti: Įstatymo projektui įgyvendinti nereikės priimti įgyvendinamųjų teisės aktų. 13. Kiek valstybės, savivaldybių biudžetų ir kitų valstybės įsteigtų fondų lėšų prireiks įstatymams įgyvendinti, ar bus galima sutaupyti:
Įstatymo projektui įgyvendinti papildomų lėšų iš valstybės biudžeto nereikės. 14. Įstatymų projektų rengimo metu gauti specialistų vertinimai ir išvados: Nėra. 15. Reikšminiai žodžiai, kurių reikia šiems projektams įtraukti į kompiuterinę paieškos sistemą, įskaitant Europos žodyno „Eurovoc“ terminus, temas bei sritis:
Reikšminiai įstatymo projekto žodžiai yra „kibernetinis saugumas“, „Nacionalinis kibernetinio saugumo centras“,
„kibernetiniai nusikaltimai“, „kibernetiniai išpuoliai“ ir t.t. 16. Kiti, iniciatorių nuomone,
reikalingi pagrindimai ir paaiškinimai: Nėra.
Teikia Seimo narys Kasparas Adomaitis [1] https://www.lba.lt/lt/apie-mus/asociacijos-naujienos/i-finansiniu-sukciu-rankas-siemet-nepakliuvo-per-800-tukst-euru-taciau-apgauliu-sms-ir-telefonu-daugeja; [2] https://kam.lt/wp-content/uploads/2022/05/Kibernetinio-saugumo-santrauka-1.pdf; [3] http://kurklt.lt/wp-content/uploads/2021/10/viesosios-konsultacijos-ataskaita-del-blokuojamu-domenu-valdymo-informacines-sistemos-kurimo-inicijavimo-kurk-lietuvai.pdf. [4] http://kurklt.lt/wp-content/uploads/2021/10/rekomendacijos-kenkejisku-interneto-svetainiu-gresmiu-valdymo-tobulinimas.pdf
2022-06-28 Nr. XIVP-1855 Vilnius Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas:
kibernetinio saugumo centro prie Krašto apsaugos ministerijos įgaliojimus ir nustatyti, kad privalomus nurodymus viešųjų elektroninių ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos ir
(arba) skaitmeninių paslaugų teikėjams jis gali duoti ne tik tuo atveju, kai atitinkamų paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams incidentams vykdyti, tačiau ir tuo atveju, kai paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams sukčiavimams vykdyti. Siūlomas reguliavimas ginčytinas dėl kelių priežasčių. Pirma, nei keičiamas įstatymas, nei kiti galiojantys įstatymai nereglamentuoja „kibernetinio sukčiavimo“ veikos turinio, todėl projektas šiuo požiūriu tikslintinas. Antra, sistemiškai vertinant visas keičiamo įstatymo nuostatas bei projekto aiškinamąjį raštą, galima daryti išvadą, kad vartojant formuluotę „kibernetinis sukčiavimas“ projekto iniciatoriai omenyje turi sukčiavimo nusikalstamą veiką. Jeigu taip, tuomet pažymėtina, kad nusikalstamų veikų ikiteisminį tyrimą atlieka Baudžiamojo proceso kodekse numatytos įstaigos, dažniausiai – policija. Nacionalinio kibernetinio saugumo centras nėra numatyta kaip ikiteisminio tyrimo įstaiga, kuri gali tirti nusikalstamą veiką, išaiškėjusią jai atliekant tiesiogines funkcijas.
Be to, keičiamo įstatymo 10 straipsnio 3 punkte jau nustatyta analogiško turinio policijos funkcija, t. y. tuo atveju, kai paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama nusikalstamai veikai[ [1] ], policija turi teisę be teismo sankcijos duoti nurodymą viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjui, elektroninės informacijos prieglobos paslaugų teikėjui ir skaitmeninių paslaugų teikėjui ne ilgiau kaip 48 valandoms, o ilgesniam laikui
(arba) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų ir skaitmeninių paslaugų teikimą paslaugų gavėjui ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis. Atsižvelgiant į tai, kas išdėstyta, ginčytina, kad Nacionalinis kibernetinio saugumo centras galėtų duoti privalomus nurodymus atitinkamų paslaugų teikėjams dėl galimai nusikalstamų paslaugų gavėjų veikų, kurių tirti įstatymai jam nesuteikia įgaliojimų. Taip pat reikia pabrėžti, kad keičiamo įstatymo 14 straipsnio 1 dalyje jau įtvirtinta tarpinstitucinio bendradarbiavimo pareiga, pagal kurią Nacionalinis kibernetinio saugumo centras ir policija konsultuojasi ir bendradarbiauja tiriant kibernetinius incidentus, keičiasi su kibernetinių incidentų tyrimu susijusia informacija, reikalinga pagal kompetenciją šių institucijų funkcijoms atlikti. 2. Keičiamo įstatymo 8 straipsnio 2 dalies 11 punkte numatoma koncepcija, kuri kibernetinį sukčiavimą priskiria išimtinai nusikalstamų veikų kategorijai, yra netiksli.
Atkreiptinas dėmesys, kad tuo atveju, kai sukčiavimo dalyko piniginė vertė neviršija 3 MGL (BBND) dydžio, tuomet sukčiavimo veika užtraukia ne baudžiamąją, o administracinę atsakomybę (Administracinių nusižengimų kodekso 108 straipsnis). Dėl to keičiamo įstatymo
kibernetinio saugumo centras turi teisę duoti nurodymą taikyti priemones, šalinančias ne nusikalstamų veikų, o teisės pažeidimų (past. – sąvoka
„teisės pažeidimas” apima tiek nusikalstamas veikas, tiek
administracinius nusižengimus) kibernetinėje erdvėje priežastis. 3. Derinant projekto ir keičiamo įstatymo nuostatas tarpusavyje, keičiamo įstatymo 8 straipsnio 2 dalies 11 punkte vietoj formuluotės „viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių” įrašytina formuluotė „viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų”. 4. Projekto 1 straipsnio 2 dalies pakeitimų esmė dėstytina taip: „Papildyti 8 straipsnį nauju 17 punktu“. 5. Atsižvelgiant į tai, jog projektu siekiama įstaigai prie Krašto apsaugos ministerijos – Nacionaliniam kibernetinio saugumo centrui nustatyti naujas funkcijas, siūlytina dėl projekto paprašyti Vyriausybės išvados. Privatinės teisės skyriaus vyresnysis patarėjas, laikinai atliekantis departamento direktoriaus funkcijas Dainius Zebleckis S. Mikšys, tel. (8 5) 239 6891, el. p. [email protected] E. Mušinskis, tel. (8 5) 239 635 6, el. p. [email protected] [1] Sąvoka „nusikalstamai veikai“ apima, be kita ko, ir sukčiavimo nusikalstamą veiką.
2023-03-16 Nr. XIVP-1855(2) Vilnius Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šią pastabą. Atsižvelgiant į tai, kad įstatymo įgyvendinimui reikėtų keisti Kibernetinio saugumo informacinio tinklo nuostatus, projekto 3 straipsnį siūlome papildyti 2 dalimi, nustatančia pareigą krašto apsaugos ministrui iki 2024 m. balandžio 30 d. parengti ir patvirtinti įstatymo įgyvendinimui reikalingus teisės aktus (šio straipsnio 1 dalyje turėtų būti numatyta minėtos dalies ankstesnio įsigaliojimo išlyga). Atitinkamai projekto 3 straipsnio pavadinimas turėtų būti dėstomas taip: „Įstatymo įsigaliojimas ir įgyvendinimas“. Departamento direktorius Dainius Zebleckis E. Mušinskis, tel. (8 5) 239 6356, el. p. [email protected]
LIETUVOS RESPUBLIKOS SEIMO nacionalinio saugumo ir gynybos komitetas paGRINDINIO KOMITETO I Š V A D a DĖL LIETUVOS RESPUBLIKOS KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 8 STRAIPSNIO PAKEITIMO ĮSTATYMO PROJEKTO NR. XIVP-1855 2023 m. vasario
1Komiteto posėdyje dalyvavo :
Komiteto pirmininkas Laurynas Kasčiūnas, Komiteto nariai: Virgilijus Alekna, Raimundas Lopata, Andrius Mazuronis, Arvydas Pocius, Valdas Rakutis, Saulius Skvernelis, Dovilė Šakalienė. Komiteto biuro vedėjas Evaldas Sinkevičius, patarėjai: Justas Gaidys, Vilma Greckaitė, Vilma Kaminskienė, Mantas Lapinskas , padėjėja Vilma Pesliakienė.
Kviestieji asmenys: Seimo narys Kasparas Adomaitis, Krašto apsaugos ministerijos (toliau – KAM) Kibernetinio saugumo ir informacinių technologijų politikos grupės vadovas Antanas Aleknavičius, KAM kibernetinio saugumo ir informacinių technologijų politikos grupės vyriausiasis patarėjas Rimgaudas Gamulis, Nacionalinio kibernetinio saugumo centro prie KAM direktorius Liudas Ališauskas, Lietuvos kriminalinės policijos biuro, sunkaus ir organizuoto nusikalstamumo tyrimo 5-osios valdybos 1-ojo skyriaus viršininkas Andrejus Rimanas, Ryšių reguliavimo tarnybos (toliau – RRT) tarybos narė Kristina Mikoliūnienė, RRT Teisės departamento vyresnioji patarėja Dovilė Sereičikaitė, Lietuvos banko teisės ir licencijavimo departamento direktorius Arūnas Raišutis, Lošimų priežiūros tarnybos prie Lietuvos Respublikos finansų ministerijos, lošimo įrenginių tipų tvirtinimo ir registro skyriaus vedėja Živilė Laurinaitienė, Žurnalistų etikos inspektoriaus tarnybos, viešosios informacijos stebėsenos ir ekspertizės skyriaus vedėja Aliona Gaidarovič, Lietuvos radijo ir televizijos komisijos pirmininko pavaduotojas Ričardas Slapšys, Valstybinės vartotojų teisių apsaugos tarnybos (toliau – VVTAT) direktorė Goda Aleksaitė, VVTAT Nuotolinės prekybos skyriaus vedėja Aida Gasiūnaitė-Stavginskienė, Narkotikų, tabako ir alkoholio kontrolės departamento (toliau – NTAKD) direktoriaus pavaduotoja Gražina Belian, NTAKD Tabako ir alkoholio kontrolės skyriaus vedėjas Gintaras Karanda. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos (toliau
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
Respublikos Seimo kanceliarijos Teisės departamentas, 2022-06-281
11 Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas: Projektu siekiama praplėsti Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos įgaliojimus ir nustatyti, kad privalomus nurodymus viešųjų elektroninių ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikėjams jis gali duoti ne tik tuo atveju, kai atitinkamų paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams incidentams vykdyti, tačiau ir tuo atveju, kai paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams sukčiavimams vykdyti. Siūlomas reguliavimas ginčytinas dėl kelių priežasčių. Pirma, nei keičiamas įstatymas, nei kiti galiojantys įstatymai nereglamentuoja „kibernetinio sukčiavimo“ veikos turinio, todėl projektas šiuo požiūriu tikslintinas. Antra, sistemiškai vertinant visas keičiamo įstatymo nuostatas bei projekto aiškinamąjį raštą, galima daryti išvadą, kad vartojant formuluotę „kibernetinis sukčiavimas“ projekto iniciatoriai omenyje turi sukčiavimo nusikalstamą veiką. Jeigu taip, tuomet pažymėtina, kad nusikalstamų veikų ikiteisminį tyrimą atlieka Baudžiamojo proceso kodekse numatytos įstaigos, dažniausiai – policija. Nacionalinio kibernetinio saugumo centras nėra numatyta kaip ikiteisminio tyrimo įstaiga, kuri gali tirti nusikalstamą veiką, išaiškėjusią jai atliekant tiesiogines funkcijas.
Be to, keičiamo įstatymo 10 straipsnio 3 punkte jau nustatyta analogiško turinio policijos funkcija, t. y. tuo atveju, kai paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama nusikalstamai veikai[ ], policija turi teisę be teismo sankcijos duoti nurodymą viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjui, elektroninės informacijos prieglobos paslaugų teikėjui ir skaitmeninių paslaugų teikėjui ne ilgiau kaip 48 valandoms, o ilgesniam laikui – su apylinkės teismo sankcija apriboti viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų ir skaitmeninių paslaugų teikimą paslaugų gavėjui ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis. Atsižvelgiant į tai, kas išdėstyta, ginčytina, kad Nacionalinis kibernetinio saugumo centras galėtų duoti privalomus nurodymus atitinkamų paslaugų teikėjams dėl galimai nusikalstamų paslaugų gavėjų veikų, kurių tirti įstatymai jam nesuteikia įgaliojimų. Taip pat reikia pabrėžti, kad keičiamo įstatymo 14 straipsnio 1 dalyje jau įtvirtinta tarpinstitucinio bendradarbiavimo pareiga, pagal kurią Nacionalinis kibernetinio saugumo centras ir policija konsultuojasi ir bendradarbiauja tiriant kibernetinius incidentus, keičiasi su kibernetinių incidentų tyrimu susijusia informacija, reikalinga pagal kompetenciją šių institucijų funkcijoms atlikti. Pritarti Atsižvelgiant į gautą Vyriausybės išvadą dėl šio įstatymo projekto, kurios pagrindu koreguojamas įstatymo projektas, pastaba tampa nebeaktuali. 2.
Respublikos Seimo kanceliarijos Teisės departamentas, 2022-06-281
11 Keičiamo įstatymo
sukčiavimą priskiria išimtinai nusikalstamų veikų kategorijai, yra netiksli. Atkreiptinas dėmesys, kad tuo atveju, kai sukčiavimo dalyko piniginė vertė neviršija 3 MGL (BBND) dydžio, tuomet sukčiavimo veika užtraukia ne baudžiamąją, o administracinę atsakomybę (Administracinių nusižengimų kodekso
būtų tiksliau sakyti, kad Nacionalinis kibernetinio saugumo centras turi teisę duoti nurodymą taikyti priemones, šalinančias ne nusikalstamų veikų, o teisės pažeidimų (past. – sąvoka „teisės pažeidimas” apima tiek nusikalstamas veikas, tiek administracinius nusižengimus) kibernetinėje erdvėje priežastis. Pritarti Atsižvelgiant į gautą Vyriausybės išvadą dėl šio įstatymo projekto, kurios pagrindu koreguojamas įstatymo projektas, pastaba tampa nebeaktuali. 3. Lietuvos Respublikos Seimo kanceliarijos Teisės departamentas, 2022-06-281
11 Derinant projekto ir keičiamo įstatymo nuostatas tarpusavyje, keičiamo įstatymo 8 straipsnio 2 dalies 11 punkte vietoj formuluotės „viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių” įrašytina formuluotė „viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų”. Pritarti Atsižvelgiant į gautą Vyriausybės išvadą dėl šio įstatymo projekto, kurios pagrindu koreguojamas įstatymo projektas, pastaba tampa nebeaktuali. 4. Lietuvos Respublikos Seimo kanceliarijos Teisės departamentas, 2022-06-281
Projekto 1 straipsnio 2 dalies pakeitimų esmė dėstytina taip: „Papildyti 8 straipsnį nauju 17 punktu“. Pritarti Atsižvelgiant į gautą Vyriausybės išvadą dėl šio įstatymo projekto, kurios pagrindu koreguojamas įstatymo projektas, pastaba tampa nebeaktuali. 5.
5Lietuvos Respublikos Seimo kanceliarijos Teisės departamentas, 2022-06-28 Atsižvelgiant į tai, jog projektu siekiama įstaigai prie Krašto apsaugos ministerijos – Nacionaliniam kibernetinio saugumo centrui nustatyti naujas funkcijas, siūlytina dėl projekto paprašyti Vyriausybės išvados. Pritarti Yra gauta Vyriausybės išvada, kurios pagrindu koreguojamas įstatymo projektas. 3. Piliečių, asociacijų, politinių partijų, lobistų ir kitų suinteresuotų asmenų pasiūlymai:
negauta. 4. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai: Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pastabos Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę str. str. d. p. 1. Lietuvos Respublikos Teisingumo ministerija 2022-07-12 Įvertinę Lietuvos Respublikos Seimo pateikto derinti Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 8 straipsnio pakeitimo įstatymo projekto Nr. XIVP-1855 atitiktį Europos Sąjungos teisei pažymime, kad pastabų ir pasiūlymų neturime. Pritarti
5Subjektų, turinčių įstatymų leidybos iniciatyvos teisę, pasiūlymai:
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pastabos Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę str. str. d. p. 1. Lietuvos Respublikos Vyriausybė 2022-12-291 (13) 4 Argumentai: Vadovaudamasi Lietuvos Respublikos Seimo statuto 138 straipsnio 3 dalimi ir atsižvelgdama į Lietuvos Respublikos Seimo valdybos 2022 m. liepos 5 d. sprendimo Nr. SV-S-599 „Dėl įstatymų projektų išvadų“ 11 punktą, Lietuvos Respublikos Vyriausybė nutaria:
Iš esmės pritarti Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 8 straipsnio pakeitimo įstatymo projekto Nr.
XIVP-1855 (toliau – Projektas) pagrindiniam tikslui užkirsti kelią kibernetiniams incidentams ir sumažinti jų daroma poveikį, tačiau pasiūlyti Projektą tobulinti: Projektu siūlant keisti Lietuvos Respublikos kibernetinio saugumo įstatymo 8 straipsnio 2 dalies 11 punktą, numatomi nauji Nacionalinio kibernetinio saugumo centro įgaliojimai: nustačius, kad viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams incidentams vykdyti ir (arba) kibernetiniam sukčiavimui, duoti nurodymą viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjui, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikėjui apriboti šių paslaugų teikimą minėtam paslaugų gavėjui ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis. Atsižvelgiant į Projekto aiškinamajame rašte pateiktus argumentus, šie įgaliojimai grindžiami poreikiu stabdyti nusikalstamas sukčiavimo veikas, atliekamas kibernetinėje erdvėje. Atkreiptinas dėmesys, kad Kibernetinio saugumo įstatyme tokio pobūdžio įgaliojimai nėra nauji – 10 straipsnio 3 punkte iš esmės tokie patys įgaliojimai yra numatyti Lietuvos policijai. Vadovaujantis Lietuvos Respublikos policijos įstatymo 5 straipsniu, policijos uždaviniai, be kita ko, yra ir nusikalstamų veikų atskleidimas, tyrimas ir prevencija, todėl tokio pobūdžio įgaliojimai Kibernetinio saugumo įstatyme atitinka policijos veiklos kryptis, nes policijai yra sudaromos sąlygos užsiimti sukčiavimo kibernetinėje erdvėje prevencija.
Kartu toks teisinis reguliavimas atskleidžia ir funkcijų tarp Nacionalinio kibernetinio saugumo centro ir policijos atskirtį: galiojančio Kibernetinio saugumo įstatymo 8 straipsnio 2 dalies 11 punkte numatomi Nacionalinio kibernetinio saugumo centro įgaliojimai duoti nurodymą viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjui stabdyti šių paslaugų teikimą tik pačiais pavojingiausiais atvejais
Nacionalinis kibernetinio saugumo centras veikdamas savarankiškai nepakenktų tyrimo sėkmei, pavyzdžiui, duodamas nurodymą apriboti šių paslaugų teikimą subjektui, dėl kurio veiksmų policija realiu laiku renka nusikalstamą veiką įrodančius duomenis, kartu sudaromos sąlygos taikyti vienodą praktiką. Kibernetinio saugumo įstatymo 14 straipsnio 1 dalyje numatoma, kad Nacionalinis kibernetinio saugumo centras ir policija konsultuojasi ir bendradarbiauja tirdami kibernetinius incidentus, keičiasi su kibernetinių incidentų tyrimu susijusia informacija, reikalinga pagal kompetenciją šių institucijų funkcijoms atlikti.
Tai reiškia, kad jei Nacionaliniam kibernetinio saugumo centrui prireiktų apriboti šių paslaugų teikimą, to jis galėtų siekti ir pagal galiojantį teisinį reguliavimą bendradarbiaudamas su policija. Atsižvelgiant į tai, turėtų būti išlaikoma esama atskirtis tarp Nacionalinio kibernetinio saugumo centro ir policijos įgaliojimų ir šiuo aspektu nauji įgaliojimai Nacionaliniam kibernetinio saugumo centrui neturėtų būti numatomi. Siekiant efektyvesnės sukčiavimo kibernetinėje erdvėje prevencijos, turėtų būti tobulinamos kitos Kibernetinio saugumo įstatyme numatytos priemonės. Kibernetinio saugumo įstatymo 13 straipsnyje nurodytas Kibernetinio saugumo informacinis tinklas, kurio paskirtis – informacinių technologijų priemonėmis tvarkyti duomenis, surinktus techninėmis kibernetinio saugumo priemonėmis, siekiant užkardyti ir valdyti kibernetinius incidentus, keistis informacija apie galimus ir įvykusius kibernetinius incidentus, taip pat kita su kibernetinio saugumo užtikrinimu susijusia informacija. Pažymėtina, kad, vadovaujantis Kibernetinio saugumo įstatymo 13 straipsnio 4 dalimi, Kibernetinio saugumo informacinio tinklo duomenys, susiję su kibernetiniais incidentais, yra konfidencialūs ir teikiami tik šioje dalyje nurodytais atvejais.
Siekiant teisinio aiškumo nustatant, kad Kibernetinio saugumo informaciniu tinklu būtų galima naudotis ir užtikrinant sukčiavimo kibernetinėje erdvėje prevenciją, Kibernetinio saugumo įstatymo 13 straipsnio
tinklo duomenys galėtų būti teikiami: „valdant ir tiriant kibernetinius incidentus tiek, kiek tai būtina šio įstatymo 14 straipsnio 1 ir 2 dalyse nustatytoms institucijų funkcijoms atlikti“. Pritarti Žr. Komiteto pasiūlymą Nr. 2. 2. Lietuvos Respublikos Vyriausybė 2022-12-29 Projektu siūlant keisti Kibernetinio saugumo įstatymo
Nacionalinio kibernetinio saugumo centro funkcija: tikrinti, kaip viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas vykdo privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę (toliau – nurodymas), jeigu to prašo nurodymą davusi institucija, ir apie patikrinimo rezultatus ją informuoti . Pažymėtina, kad domeno vardo, identifikuojančio interneto svetainę, blokavimas daugeliu atveju yra sietinas su neskelbtinos informacijos kontrole, o ne kibernetiniu saugumu, nes neskelbtinos informacijos prieinamumas pats savaime nesuponuoja kibernetinio incidento. Tai reiškia, kad Projektu Nacionaliniam kibernetinio saugumo centrui siūloma numatyti funkciją, kurios tikslas daugeliu atveju nebūtų susijęs su Nacionalinio kibernetinio saugumo centro kompetencija.
Nurodymus duodančių institucijų (Lietuvos banko, Policijos departamento prie Lietuvos Respublikos vidaus reikalų ministerijos, Lošimų priežiūros tarnybos prie Lietuvos Respublikos finansų ministerijos, Žurnalistų etikos inspektoriaus tarnybos, Lietuvos radijo ir televizijos komisijos, Valstybinės vartotojų teisių apsaugos tarnybos, Narkotikų, tabako ir alkoholio kontrolės departamento) teisės ir pareigos, susijusios su nurodymų teikimu ir įgyvendinimu, įskaitant ir teisę skirti sankcijas už nurodymų nevykdymą, yra numatytos atitinkamą jų veiklą reglamentuojančiuose įstatymuose, pavyzdžiui, Lietuvos Respublikos visuomenės informavimo įstatyme, Lietuvos Respublikos vartotojų teisių apsaugos įstatyme, Lietuvos Respublikos azartinių lošimų įstatyme, Lietuvos Respublikos Lietuvos banko įstatyme ir kt. Pritariant nurodymų davimo ir jų įgyvendinimo kontrolės efektyvumo didinimui, taip pat atsižvelgiant į tai, kad nurodymus įgyvendinantys subjektai kartu yra ir kibernetinio saugumo subjektai, veikiantys kibernetinėje erdvėje, efektyviausias būdas būtų ne numatyti dar vieną papildomą šiame procese dalyvaujančią instituciją, o didinti nurodymų davimo ir priežiūros efektyvumą, suteikiant nurodymus duodančioms institucijoms galimybę naudotis centralizuotu techniniu sprendimu, leisiančiu efektyviau vykdyti joms pavestas funkcijas, susijusias su nurodymų davimu ir jų įgyvendinimu. Toks techninis sprendimas galėtų būti Kibernetinio saugumo informacinio tinklo komponentas, kuris leistų keistis informacija tarp nurodymus duodančių institucijų ir šiuos nurodymus įgyvendinančių kibernetinio saugumo subjektų.
Pažymėtina, kad Nacionalinis kibernetinio saugumo centras kartu su Kauno technologijos universiteto padaliniu Interneto paslaugų centru (DOMREG) kovai su kibernetiniais incidentais, ypač su žaibiškomis kibernetinėmis sukčiavimo atakomis, sukūrė domenų vardų sistemos rekursinio sprendiklio su užkarda (toliau – DNS užkarda) paslaugą Lietuvos interneto naudotojams. DNS užkarda nuo įprastos rekursinės DNS paslaugų teikėjo teikiamos paslaugos skiriasi tuo, kad joje yra įdiegta papildoma saugos funkcija, skirta interneto naudotojams ir organizacijoms apsaugoti nuo kibernetinių grėsmių, tokių kaip netikros bankų svetainės, nesąžiningos e. prekybos platformos, kenkimo kodą platinančios svetainės ir kitos Nacionalinio kibernetinio saugumo centro patvirtintos žalingos svetainės. Šia paslauga, kaip alternatyva tarptautiniams ir nacionaliniams interneto paslaugų teikėjų domenų vardų sistemos rekursiniams sprendikliams, galėtų naudotis visi Lietuvos interneto paslaugų naudotojai. Atsižvelgiant į tai, kad nurodyto techninio sprendimo suteikimas nurodymus duodančioms institucijoms nepatektų į įprastą kibernetinio saugumo sampratą, siūlytina nustatyti specialų teisinį reguliavimą ir Kibernetinio saugumo įstatymą papildyti 131 straipsniu, kuriame būtų reguliuojami teisiniai santykiai, susiję su Kibernetinio saugumo informacinio tinklo ypatumais: „131 straipsnis. Duomenų apie privalomus nurodymus tvarkymas Kibernetinio saugumo informaciniame tinkle
nustatytais atvejais tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę. 2.
duodančios institucijos ir juos įgyvendinantys kibernetinio saugumo subjektai privalo naudotis Kibernetinio saugumo informacinio tinklo dalimi, kurioje tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, nepriklausomai nuo jų atitikties Kibernetinio saugumo informacinio tinklo nuostatuose nurodytiems reikalavimams. 3. Kibernetinio saugumo informaciniame tinkle viešai skelbiami duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę.“ Atsižvelgiant į tai, kad tokio pobūdžio pakeitimams įgyvendinti reikėtų modernizuoti Kibernetinio saugumo informacinį tinklą, pritarus siūlomiems pakeitimams turėtų būti koreguojama ir keičiamo įstatymo įsigaliojimo data – numatoma, kad tokio pobūdžio pakeitimai galėtų būti atliekami ne anksčiau kaip per vienerius metus nuo įstatymo priėmimo. Taip pat pažymėtina, kad siūlymams įgyvendinti 2023 m. ir kiekvienais ateinančiais metais Lietuvos Respublikos krašto apsaugos ministerijai iš valstybės biudžeto papildomai reikėtų skirti po 100 tūkst. Eur per metus. Pritarti Žr. Komiteto pasiūlymus Nr. 3 ir Nr. 4. 3. Lietuvos Respublikos Vyriausybė 2022-12-29 Papildomai atkreiptinas dėmesys, kad įgyvendinus tokį techninį sprendimą įstatymuose, numatančiuose nurodymų davimą, turėtų būti numatyta, kad institucijos nurodymus operatoriams teikia per Kibernetinio saugumo informacinį tinklą.
Kartu pažymėtina, kad įstatymų, nustatančių institucijų įgaliojimus duoti nurodymus, nuostatos dėl šių įgaliojimų įgyvendinimo, teismo sankcionavimo ir blokavimo įgyvendinimo tvarkos yra skirtingos, jų visų pakeitimas tik didintų teisėkūros apimtį, bet nepadidintų teisinio reguliavimo nuoseklumo, sistemingumo ir teisinio saugumo, todėl tokių įgaliojimų įgyvendinimo, teismo sankcionavimo ir blokavimo įgyvendinimo tvarka turėtų būti nustatoma bendrajame įstatyme, specialiuose įstatymuose nustatant tik nurodymų davimo teisinius pagrindus. Pritarti Šiuo metu Seime yra įregistruoti įstatymų pakeitimo projektai Nr. XIVP-2346(2)
XIVP-2408, XIVP-2409, kuriuose siūlomais pakeitimais atsirastų vieningas privalomųjų nurodymų pašalinti ar panaikinti galimybę pasiekti informaciją teikimo, vykdymo, teismo sankcionavimo bei blokavimo įgyvendinimo tvarkos teisinis reguliavimas, nuoseklumas bei sistemiškumas. 6. Seimo paskirtų papildomų komitetų pasiūlymai: negauta. 7. Komiteto sprendimas ir pasiūlymai: 7.1. Sprendimas: pritarti Komiteto patobulintam įstatymo projektui bei komiteto išvadai. 7.2 Komiteto pasiūlymai:
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pastabos Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
saugumo ir gynybos komitetas, 2023-02-081 Argumentai: Atsižvelgiant į Vyriausybės išvadoje pateiktus pasiūlymus dėl projekto tobulinimo, siūloma atsisakyti keičiamo įstatymo 8 straipsnio pakeitimų. Pasiūlymas:
1.
straipsnio 2 dalies 11 punktą ir jį išdėstyti taip: „11) siekdamas stabdyti kibernetinio incidento poveikį valstybės informacinių išteklių ar ypatingos svarbos informacinių infrastruktūrų kibernetiniam saugumui, taip pat nustatęs, kad viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų gavėjas galimai dalyvauja ar jo naudojama ryšių ir informacinių technologijų įranga galimai yra naudojama kibernetiniams incidentams ir (arba) kibernetiniams sukčiavimams vykdyti, bei atsižvelgęs į vykdomos veiklos pavojingumą ar kitas reikšmingas aplinkybes, turi teisę, be teismo sankcijos duoti nurodymą viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių teikėjui, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikėjui ne ilgiau negu 48 valandoms, o ilgesniam laikui – su apylinkės teismo sankcija apriboti viešųjų elektroninių ryšių tinklų, viešųjų elektroninių ryšių, elektroninės informacijos prieglobos ir (arba) skaitmeninių paslaugų teikimą šių paslaugų gavėjui ir (arba) nurodyti taikyti priemones, šalinančias nusikalstamų veikų kibernetinėje erdvėje priežastis. Šiais atvejais apylinkės teismo pirmininkui ar jo įgaliotam teisėjui pateikiamas teikimas dėl veiksmų teisėtumo ar pagrįstumo patvirtinimo motyvuota nutartimi. Jeigu šiame punkte nurodytas paslaugų teikimo apribojimo terminas baigiasi poilsio ar švenčių dieną, teikimas pateikiamas ne vėliau kaip kitą darbo dieną po poilsio ar švenčių dienos. Jeigu teisėjas motyvuota nutartimi nepatvirtina teikime nurodytų veiksmų teisėtumo ar pagrįstumo, nurodymas nedelsiant stabdomas. Nacionalinis kibernetinio saugumo centras apie viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams pagal šį punktą duotus nurodymus ne vėliau kaip kitą darbo dieną praneša Lietuvos Respublikos ryšių reguliavimo tarnybai;“ 2.
Pakeisti 8 straipsnio 2 dalies 17 punktą ir jį išdėstyti taip: „17) tikrina kaip viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjas vykdo privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, jeigu to prašo privalomą nurodymą davusi institucija, ir apie patikrinimo rezultatus ją informuoja;“
straipsnio 2 dalies 17 punktą laikyti 18 punktu. Pritarti
saugumo ir gynybos komitetas, 2023-02-081
Argumentai: Atsižvelgiant į Vyriausybės išvadoje pateiktus pasiūlymus dėl projekto tobulinimo, siūloma papildyti keičiamo įstatymo 13 straipsnio 4 dalį nauju punktu. Pasiūlymas: Papildyti keičiamo įstatymo 13 straipsnio 4 dalį nauju punktu: „1 straipsnis. 13 straipsnio pakeitimas
3) valdant ir tiriant kibernetinius incidentus tiek, kiek tai būtina šio įstatymo 14 straipsnio 1 ir 2 dalyse nustatytoms institucijų funkcijoms atlikti;
pasiūlymus dėl projekto tobulinimo, siūloma papildyti keičiamą įstatymą nauju131 straipsniu. Pasiūlymas: Papildyti keičiamą įstatymą 131 straipsniu: „2 straipsnis. Įstatymo papildymas 131 straipsniu131 straipsnis. Duomenų apie privalomus nurodymus tvarkymas Kibernetinio saugumo informaciniame tinkle
įstatymų nustatytais atvejais tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę. 2.
nurodymus duodančios institucijos ir juos įgyvendinantys kibernetinio saugumo subjektai privalo naudotis Kibernetinio saugumo informacinio tinklo dalimi, kurioje tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, nepriklausomai nuo jų atitikties Kibernetinio saugumo informacinio tinklo nuostatuose nurodytiems reikalavimams. 3. Kibernetinio saugumo informaciniame tinkle viešai skelbiami duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę. “
saugumo ir gynybos komitetas, 2023-02-083 Argumentai: Atsižvelgiant į Vyriausybės išvadoje pateiktus pasiūlymus dėl projekto tobulinimo ir tai, kad įstatymo pakeitimo įgyvendinimui reikėtų modernizuoti Kibernetinio saugumo informacinį tinklą, siūloma projektą papildyti nauju straipsniu. Pasiūlymas:
Papildyti įstatymo projektą nauju straipsniu: „
įsigalioja 2024 m. gegužės 1 d. Pritarti
saugumo ir gynybos komitetas, 2023-02-08 Argumentai: Atsižvelgiant į Vyriausybės išvadoje pateiktus pasiūlymus dėl projekto tobulinimo, siūloma atitinkamai patikslinti projekto pavadinimą. Pasiūlymas: Pakeisti įstatymo projekto pavadinimą ir jį išdėstyti taip:
13
IR
8Balsavimo rezultatai:
už – 8, prieš – 0, susilaikė – 0
9Komiteto paskirti pranešėjai:
Laurynas Kasčiūnas Komiteto pirmininkas Laurynas Kasčiūnas Komiteto biuro patarėjas Justas Gaidys