Projektas
2, 11, 12, 13 , 19, 23, 28, 30, 31, 38 STRAIPSNIŲ ir ANTRO PRIEDO pakeitimo
Vilnius
1Pakeisti 2 straipsnio 20 dalį ir ją išdėstyti taip :
„ 20 . Šakninis domenų vardų serveris – aukščiausio lygio domenų vardų sistemos struktūroje esantis domenų vardų serveris, kuris atsako į užklausas pateikdamas atitinkamo aukščiausio lygio domeno vardų serverių sąrašą.“
2Pakeisti 2 straipsnio 27 dalį ir ją išdėstyti taip:
„27
. Šiame įstatyme vartojamos sąvokos „Europos kibernetinio saugumo sertifikavimo schema“, „Europos kibernetinio saugumo sertifikatas“, „akreditavimas“ ir „atitikties vertinimo įstaiga“, „informacinių ir ryšių technologijų produktas“, „informacinių ir ryšių technologijų paslauga“, „informacinių ir ryšių technologijų procesas“, „kibernetinė grėsmė“, „kibernetinis saugumas“ suprantamos taip, kaip jos apibrėžiamos Reglamente (ES) 2019/881 su paskutiniais pakeitimais, padarytais Reglamentu
. Sąvokos „Kibernetinio saugumo kompetencijos bendruomenė“, „Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras“, „Nacionalinių koordinavimo centrų tinklas“ šiame įstatyme suprantamos taip, kaip jos vartojamos Reglamente (ES) 2021/887
. Sąvokos „patikimumo užtikrinimo paslauga“, „patikimumo užtikrinimo paslaugų teikėjas“, „kvalifikuota patikimumo užtikrinimo paslauga“, „kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas“ šiame įstatyme suprantamos taip, kaip jos apibrėžiamos 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamente (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB , su visais pakeitimais, su paskutiniais pakeitimais, padarytais Reglamentu
. Sąvoka „interneto paieškos sistema“ šiame įstatyme suprantama taip, kaip ji apibrėžiama 2019 m. birželio 20 d. Europos Parlamento ir Tarybos reglamente (ES) 2019/1150
dėl verslo klientams teikiamų internetinių tarpininkavimo paslaugų sąžiningumo ir skaidrumo didinimo. Sąvokos „standartas“, „techninė specifikacija“ šiame įstatyme suprantamos taip, kaip jos apibrėžiamos 2012 m. spalio 25 d. Europos Parlamento ir Tarybos reglamente (ES) 1025/2012 dėl Europos standartizacijos, kuriuo iš dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos Parlamento ir Tarybos direktyvos 94/9/EB , 94/25/EB , 95/16/EB , 97/23/EB , 98/34/EB , 2004/22/EB , 2007/23/EB , 2009/23/EB ir 2009/105/EB ir panaikinamas Tarybos sprendimas 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas Nr. 1673/2006/EB
, su visais pakeitimais. Sąvoka „duomenys“ suprantama taip, kaip ji apibrėžiama Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme. Sąvoka „mokesčių administratorius“ šiame įstatyme suprantama taip, kaip ji apibrėžiama Lietuvos Respublikos mokesčių administravimo įstatyme. Sąvokos „ pardavimo grynosios pajamos“, „įmonės finansinių ataskaitų rinkinys“, „įmonių grupės konsoliduotųjų finansinių ataskaitų rinkinys“ šiame įstatyme suprantamos taip, kaip jos apibrėžiamos Lietuvos Respublikos įmonių ir įmonių grupių atskaitomybės įstatyme. Sąvoka „apdraustieji asmenys“ šiame įstatyme suprantama taip, kaip ji apibrėžiama Lietuvos Respublikos valstybinio socialinio draudimo įstatyme.“
1
. Pakeisti 11 straipsnio 3 dalies 1 punktą ir jį išdėstyti taip: „1 ) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 1 priede nurodytuose sektoriuose ir viršija vidutinių įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme;“.
2. Pakeisti 11 straipsnio 3 dalies 2 punktą ir jį išdėstyti taip:2 ) subjektas šio įstatymo 1 priede nurodytame skaitmeninės infrastruktūros sektoriuje teikia kvalifikuotas patikimumo užtikrinimo paslaugas, aukščiausio lygio domeno vardų registravimo paslaugas ar domenų vardų sistemos (toliau – DNS) paslaugas, išskyrus šakninių domenų vardų serverių operatorius;“.
3. Pakeisti 11 straipsnio 4 dalies 1 punktą ir jį išdėstyti taip: „1
) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 2 priede nurodytuose sektoriuose, viršija mažų įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme, ir šio subjekto šiame punkte nurodytų teikiamų paslaugų ir (ar) vykdomos veiklos metinių pajamų suma viršija 50 procentų visų subjekto metinių pajamų;“.
4. Pakeisti 11 straipsnio 4 dalies 2 punktą ir jį išdėstyti taip: „2
) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 1 priede nurodytuose sektoriuose ir viršija mažų įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, tačiau neviršija vidutinių įmonių darbuotojų skaičiaus ir bent vienos iš finansinių duomenų ribos, nustatytos Smulkiojo ir vidutinio verslo plėtros įstatyme;“.
5. Papildyti 11 straipsnį 8 dalimi: „
8. Identifikuojant kibernetinio saugumo subjektus pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytą vidutinių įmonių darbuotojų skaičiaus
kriterijų, remiamasi Valstybinio socialinio draudimo fondo valdybos prie Socialinės apsaugos ir darbo ministerijos turimais duomenimis apie apdraustuosius asmenis. Jei identifikuojant kibernetinio saugumo subjektus apskaičiuotas subjekto vidutinis darbuotojų skaičius nesutampa su apskaičiuotu Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio 7 dalyje nustatyta tvarka, remiamasi subjekto pateiktais duomenimis, apskaičiuotais vadovaujantis Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio 7 dalyje nustatyta tvarka.“6 .
Papildyti 11 straipsnį 9 dalimi: „9
. Identifikuojant kibernetinio saugumo subjektus pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytus kriterijus, juridinių asmenų atveju remiamasi duomenimis apie metines pajamas bei įmonės balanse nurodyto turto vertę. Šie duomenys nustatomi pagal Juridinių asmenų registro duomenų tvarkytojui pateiktą įmonės metinių finansinių ataskaitų rinkinį ar įmonių grupės metinių finansinių konsoliduotųjų ataskaitų rinkinį, kai jų teikimas privalomas, arba pagal mokesčių administratoriaus turimus duomenis, kai finansinių ataskaitų rinkinių teikimas neprivalomas. Fizinių asmenų atveju remiamasi mokesčių administratoriaus turimais duomenimis apie fizinio asmens individualios veiklos pajamas, kaip jos suprantamos pagal Lietuvos Respublikos gyventojų pajamų mokesčio įstatymą.“
Pakeisti 12 straipsnio 2 dalį ir ją išdėstyti taip: „2
. Laikoma, kad šio straipsnio 1 dalies 3 punkte nurodyta pagrindinė buveinė yra Lietuvos Respublikoje, jeigu su kibernetinio saugumo rizikos valdymo priemonėmis susiję sprendimai yra priimami Lietuvos Respublikoje. Jeigu Europos Sąjungos valstybė narė, kurioje priimami tokie sprendimai, nenustatoma arba tokie sprendimai Europos Sąjungoje nepriimami, laikoma, kad pagrindinė buveinė yra Lietuvos Respublikoje, kai Lietuvos Respublikoje įgyvendinamos kibernetinio saugumo rizikos valdymo priemonės. Jeigu nenustatoma Europos Sąjungos valstybė narė, kurioje įgyvendinamos kibernetinio saugumo rizikos valdymo priemonės, laikoma, kad pagrindinė buveinė yra Lietuvos Respublikoje, jeigu subjektas Lietuvos Respublikoje turi padalinį, kuriame dirba daugiausia jo darbuotojų Europos Sąjungoje.“
Pakeisti 13 straipsnio 3 dalies 1 punktą ir jį išdėstyti taip: „1
) jeigu kibernetinio saugumo subjektas yra juridinis asmuo – kibernetinio saugumo subjekto pavadinimas, juridinio asmens kodas, teisinė forma, ekonominės veiklos rūšis (rūšys), pagrindinės buveinės adresas, o jeigu kibernetinio saugumo subjektas nėra įsisteigęs Europos Sąjungoje – pagal šio įstatymo 12 straipsnio 3 dalį paskirto atstovo pavadinimas, teisinė forma, ekonominės veiklos rūšis (rūšys), adresas. Jeigu kibernetinio saugumo subjektas yra DNS paslaugų teikėjas, aukščiausio lygio domenų vardų registravimo paslaugas teikiantis subjektas, debesijos paslaugų teikėjas, duomenų centrų paslaugų teikėjas, paskirstytojo turinio teikimo tinklo paslaugų teikėjas, valdomų paslaugų teikėjas, valdomų kibernetinio saugumo paslaugų teikėjas, elektroninės prekyvietės paslaugų teikėjas, interneto paieškos sistemų, socialinių tinklų paslaugų platformų paslaugų teikėjas ir patikimumo užtikrinimo paslaugų teikėjas (toliau – specialusis subjektas) ar yra domenų vardų registravimo paslaugas teikiantis subjektas – ir kitų juridinių padalinių Europos Sąjungoje adresai;“.
1. Pakeisti 19 straipsnio 1 dalies 5 punktą ir jį išdėstyti taip: „5 ) keistis su subjektais, atitinkančiais Kibernetinio saugumo informacinės sistemos nuostatuose nustatytus reikalavimus ir turinčiais teisę prisijungti prie Kibernetinio saugumo informacinės sistemos (toliau – Kibernetinio saugumo informacinės sistemos nariai), duomenimis, susijusiais su kibernetiniais incidentais, kibernetinėmis grėsmėmis, vos neįvykusiais kibernetiniais incidentais, taip pat kita su kibernetinio saugumo užtikrinimu susijusia informacija;“.
2. Pakeisti 19 straipsnio 3 dalį ir ją išdėstyti taip: „3
. Kibernetinio saugumo informacinės sistemos nariai yra subjektai, atitinkantys Kibernetinio saugumo informacinės sistemos nuostatuose nurodytus reikalavimus. Šio straipsnio 1 dalies 6 punkte nustatytus nurodymus duodančios institucijos ir juos įgyvendinantys kibernetinio saugumo subjektai privalo naudotis Kibernetinio saugumo informacinės sistemos dalimi, kurioje tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, nepriklausomai nuo kibernetinio saugumo subjektų atitikties Kibernetinio saugumo informacinės sistemos nuostatuose nurodytiems reikalavimams.“
3. Pakeisti 19 straipsnio 4 dalį ir ją išdėstyti taip: „4
. Kibernetinio saugumo subjektai turi teisę tapti Kibernetinio saugumo informacinės sistemos nariais, įgyvendindami tarpusavio dalijimosi kibernetinio saugumo informacija susitarimus. Nepriklausomai nuo to, ar naudojamasi Kibernetinio saugumo informacine sistema, kibernetinio saugumo subjektai privalo pranešti Nacionaliniam kibernetinio saugumo centrui apie tokių susitarimų sudarymą, taip pat apie pasitraukimą iš tokių susitarimų per 20 darbo dienų nuo šių aplinkybių atsiradimo dienos.“
4. Pakeisti 19 straipsnio 5 dalies 1 punktą ir jį išdėstyti taip: „1 ) Kibernetinio saugumo informacinės sistemos nariams tiek, kiek tai susiję su jų valdomomis ir (ar) tvarkomomis tinklų ir informacinėmis sistemomis;“.
Pakeisti 23 straipsnį ir jį išdėstyti taip: „
1. Bent vienoje iš Reglamento (ES) 2021/887 8 straipsnio 3 dalyje nurodytų sričių kibernetinio saugumo ekspertinių žinių turintys Lietuvos Respublikoje registruoti juridiniai asmenys, galintys prisidėti prie Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centro ir Nacionalinių koordinavimo centrų tinklo misijos, turi teisę tapti Kibernetinio saugumo kompetencijos bendruomenės, sudaromos Reglamento (ES) 2021/887 8 straipsnio pagrindu, (toliau – Bendruomenė) nariais. Bendruomenės nariais negali būti nacionalinio saugumo interesams grėsmę keliantys asmenys.
2. Kaip Bendruomenės narius
juridinius asmenis registruoja Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras (toliau – Kompetencijos centras) Reglamento (ES) 2021/887
8 straipsnyje nustatyta tvarka, Nacionaliniam koordinavimo centrui atlikus vertinimą, ar šie juridiniai asmenys atitinka šio straipsnio 1 dalyje nustatytus reikalavimus. Kaip Bendruomenės nariai neregistruojami juridiniai asmenys, jeigu jie kelia grėsmę nacionalinio saugumo interesams. Informaciją, ar šie asmenys galėtų kelti grėsmę nacionalinio saugumo interesams, pagal Nacionalinio koordinavimo centro kreipimąsi teikia institucijos, nurodytos Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, vadovaudamosi Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme nurodytais investuotojų patikros dėl atitikties nacionalinio saugumo interesams vertinimo kriterijais.
Nurodytos institucijos išvadas dėl investuotojo atitikties nacionalinio saugumo interesams pateikia ne vėliau kaip per 15 darbo dienų nuo Nacionalinio kibernetinio saugumo centro kreipimosi gavimo dienos. Jeigu per šioje dalyje nurodytą terminą institucijos nepateikia išvadų, laikoma, kad institucijos neturi informacijos apie juridinio asmens keliamą grėsmę nacionalinio saugumo interesams.
3. Lietuvos Respublikoje registruotas juridinis asmuo, reiškiantis norą tapti Bendruomenės nariu, (toliau – pareiškėjas) prašymą įregistruoti kaip Bendruomenės narį Kompetencijos centrui perduoda per Nacionalinį koordinavimo centrą. Prašyme nurodoma:1
) juridinio asmens pavadinimas, juridinio asmens kodas, buveinės adresas ir kontaktiniai duomenys (elektroninio pašto adresas, ryšio numeris); 2 ) juridinio asmens atstovo kontaktiniai duomenys (elektroninio pašto adresas, ryšio numeris); 3 ) patvirtinimas, kad pareiškėjui netaikomas nė vienas iš 2018 m. liepos 18 d. Europos Parlamento ir Tarybos reglamento (ES, Euratomas) 2018/1046 dėl Sąjungos bendrajam biudžetui taikomų finansinių taisyklių, kuriuo iš dalies keičiami reglamentai (ES) Nr. 1296/2013 , (ES) Nr. 1301/2013 , (ES) Nr. 1303/2013 , (ES) Nr. 1304/2013 , (ES) Nr. 1309/2013 , (ES) Nr. 1316/2013 , (ES) Nr. 223/2014 , (ES) Nr. 283/2014 ir Sprendimas Nr. 541/2014/ES , bei panaikinamas Reglamentas (ES, Euratomas) Nr. 966/2012
, su visais pakeitimais 136 straipsnyje nustatytų pašalinimo kriterijų;4 ) informacija apie pareiškėjo turimas bent vienos iš Reglamento (ES) 2021/887 8 straipsnio 3 dalyje nurodytų sričių kibernetinio saugumo ekspertines žinias.4 .
Nacionalinis koordinavimo centras įvertina pareiškėją ir jo pateiktą informaciją, taip pat atsižvelgia į kompetentingų institucijų informaciją, pateiktą pagal šio straipsnio 2 dalį, ir per 2 mėnesius nuo pareiškėjo prašymo gavimo dienos Kompetencijos centrui perduoda pareiškėjo prašymą ir Nacionalinio koordinavimo centro vertinimą dėl pareiškėjo atitikties šio straipsnio 1 dalyje nustatytiems reikalavimams. Nacionalinis koordinavimo centras pareiškėją apie jo įregistravimą kaip Bendruomenės nario ar neįregistravimą informuoja per 10 darbo dienų nuo Kompetencijos centro patvirtinimo apie priimtą spendimą gavimo dienos.
5. Nacionalinis koordinavimo centras teikia informaciją Kompetencijos centrui dėl Bendruomenės nario pašalinimo, gavęs:1
) Bendruomenės nario prašymą pašalinti jį iš Bendruomenės narių;2 ) informaciją, kad Bendruomenės narys nebeatitinka šio straipsnio 1 dalies nuostatų.6
. Šio straipsnio 5 dalies 1 punkte nurodytu atveju Nacionalinis koordinavimo centras pateikia Kompetencijos centrui Bendruomenės nario prašymą per 10 darbo dienų nuo Bendruomenės nario prašymo būti pašalintam gavimo dienos, o šio straipsnio 5 dalies 2 punkte nurodytu atveju – informaciją ir Nacionalinio koordinavimo centro vertinimą pagal institucijų, nurodytų Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, pateiktas išvadas Nacionaliniam koordinavimo centrui, kad Bendruomenės narys nebeatitinka šio straipsnio 1 dalies nuostatų, per 2 mėnesius nuo to momento, kai gaunama informacijos apie šio įstatymo 23 straipsnio 5 dalies 2 punkte nurodytas aplinkybes.
Sprendimą dėl Bendruomenės nario pašalinimo priima Kompetencijos centras pagal
Reglamento (ES) 2021/887
. Nacionalinis koordinavimo centras apie Kompetencijos centrui pateiktą informaciją dėl Bendruomenės nario pašalinimo informuoja Bendruomenės narį per 5 darbo dienas nuo informacijos pateikimo dienos. Nacionalinis koordinavimo centras Bendruomenės narį apie jo išregistravimą ar neiš registravimą iš Bendruomenės informuoja per 5 darbo dienas nuo Kompetencijos centro priimto spendimo patvirtinimo gavimo dienos.7 .
Kompetencijos centrui atsisakius registruoti pareiškėją kaip Bendruomenės narį, pareiškėjas turi teisę dar kartą pateikti prašymą tapti Bendruomenės nariu. Nacionalinis koordinavimo centras turi teisę pakartotinai neatlikti vertinimo, jeigu:1
) nepraėjo 2 mėnesiai nuo paskutinio vertinimo, kuriuo konstatuota pareiškėjo neatitiktis šio straipsnio 1 dalyje nustatytiems reikalavimams, dienos ir2 ) pareiškėjas nepateikė duomenų, patvirtinančių, kad pasikeitė faktinės aplinkybės, dėl kurių pareiškėjas neatitiko šio straipsnio 1 dalyje nustatytų reikalavimų.
8. Pareiškėjas turi teisę skųsti teismui Administracinių bylų teisenos įstatymo nustatyta tvarka šio straipsnio 4 dalyje, 5 dalies 2 punkte ir 7 dalyje nurodytus Nacionalinio koordinavimo centro veiksmus.“
Pakeisti 28 straipsnio 6 dalį ir ją išdėstyti taip: „6
. Šio straipsnio 1 dalyje nurodytos vykdymo užtikrinimo priemonės taikomos Vyriausybės nustatyta vykdymo užtikrinimo priemonių taikymo kibernetinio saugumo subjektams tvarka.“
Pakeisti 30 straipsnio 1 dalį ir ją išdėstyti taip: „
1. Baudas skiria Nacionalinio kibernetinio saugumo centro vadovas ar jo įgaliotas asmuo Vyriausybės nustatyta vykdymo užtikrinimo priemonių taikymo kibernetinio saugumo subjektams tvarka.“
Pakeisti 31 straipsnio 9 dalies pirmą pastraipą ir ją išdėstyti taip: „
9. Nacionalinio kibernetinio saugumo centro sprendimas dėl baudos skyrimo turi būti motyvuotas. Jame nurodoma Viešojo administravimo įstatymo 10 straipsnio 5 dalyje nurodyta informacija, įskaitant:“.
Pakeisti 38 straipsnio 1 dalį ir ją išdėstyti taip: „
1. Institucijos, įrašytos į Saugiojo tinklo naudotojų sąrašą, išskyrus žvalgybos institucijas bei institucijas, valstybės informacinius išteklius tvarkančias Valstybės informacinių išteklių valdymo įstatymo 1 straipsnio 5 dalyje nurodytais tikslais (toliau – specialius tikslus įgyvendinančios institucijos) savo valdomus valstybės informacinius išteklius laiko valstybiniuose duomenų centruose arba Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) NATO valstybėse narėse esančiuose duomenų centruose, vadovaudamosi Valstybės informacinių išteklių valdymo įstatymo 45 straipsnio 1–4 ir 6 dalių nuostatomis. Į Saugiojo tinklo naudotojų sąrašą įrašytos specialius tikslus įgyvendinančios institucijos savo valdomus valstybės informacinius išteklius laiko savo valdomuose duomenų centruose, o valstybės informacinius išteklius sudarančių duomenų ir informacinių sistemų, kuriose šie duomenys tvarkomi, kopijos specialius tikslus įgyvendinančios
institucijos vadovo sprendimu gali būti laikomos Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) NATO valstybėse narėse esančiuose duomenų centruose.“
Pakeisti Kibernetinio saugumo įstatymo 2 priedo 5.6.1 papunktį ir jį išdėstyti taip: „ 5.6.1 . Subjektai, vykdantys bet kurią ekonominę veiklą, nurodytą Ekonominės veiklos rūšių klasifikatoriaus 2 redakcijos C skirsnio 30 skyriuje.“
Iki šio įstatymo įsigaliojimo pradėtos Kibernetinio saugumo kompetencijos bendruomenės, sudaromos Reglamento (ES) 2021/887
8 straipsnio pagrindu, narių registravimo procedūros tęsiamos vadovaujantis šio įstatymo 6 straipsnyje išdėstytomis Kibernetinio saugumo įstatymo 23 straipsnio nuostatomis. Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą. Respublikos Prezidentas
2, 11, 12, 13 , 19, 23, 28, 30, 31, 38 STRAIPSNIŲ ir
raštas
1. Įstatymų projektų rengimą paskatinusios priežastys, parengtų projektų tikslai ir uždaviniai 2024 m. liepos 11 d. priėmus Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymą Nr. XIV-2902 į nacionalinę teisę buvo perkeltos 2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyvos (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva
(ES) 2016/1148 (TIS 2 direktyva), nuostatos ir sudarytos sąlygos taikyti
(ES) 2021/887 , kuriuo įsteigiamas Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras ir Nacionalinių koordinavimo centrų tinklas, 8 straipsnio nuostatas. Įstatymo taikymo metu išryškėjo poreikis tikslinti kai kurias nuostatas, siekiant suderinti jas su kitais teisės aktais ir užtikrinti nuoseklų taikymą praktikoje. Atsižvelgiant į tai, buvo parengtas Lietuvos Respublikos kibernetinio saugumo įstatymo Nr.
XII-1428 2, 11, 12, 13 , 19, 23, 28, 30, 31, 38 straipsnių ir antro priedo pakeitimo įstatymo projektas (toliau – KSĮ projektas). KSĮ projekto tikslas – užtikrinti nuoseklų Lietuvos Respublikos
kibernetinio saugumo įstatymo (toliau – KSĮ) taikymą praktikoje . KSĮ projekto uždavinys – atlikti tikslinamojo pobūdžio įstatymo pakeitimus.
2. Įstatymų projektų iniciatoriai (institucija, asmenys ar piliečių įgalioti atstovai) ir rengėjai
KSĮ projektą rengė Lietuvos Respublikos krašto apsaugos ministerijos Kibernetinio saugumo ir informacinių technologijų politikos grupės (grupės vadovas (laikinai vykdo funkcijas) Darius Adomaitis, tel. +370 706 80 800, el. p. [email protected] ) patarėja Sigita Laurinčiukaitė (tel. +370 706 80 804, el. p. [email protected] ), patarėja Gabija Tamulevičienė (tel. +370 706 80 814, el. p. [email protected] ), Krašto apsaugos ministerijos Teisės departamento (direktorė Judita Nagienė, tel. +370 706 80 545, el. p. [email protected] ) Teisėkūros skyriaus (vedėjas Tomas Vainius, tel. +370 706 80 563, el. p. [email protected] ) patarėjas mjr. Mantas Keliotis (tel. +370 706 80 597, el. p. [email protected] ) ir Įstaigų teisinės priežiūros skyriaus (vedėja Jūratė Bakšytė-Lozorkevičienė, tel. +370 706 80 908, el. p. jurate.baksyte-lozorkeviciene
@kam.lt) patar ėja Irena Jeruščenkė (tel. +370 680 65 564, el. p. [email protected] ).
3. Kaip šiuo metu yra reguliuojami įstatymų projektuose aptarti teisiniai santykiai Galiojančiame KSĮ:
1. KSĮ 2 straipsnio 20 dalyje pateiktos sąvokos „ šakninis vardų serveris“ apibrėžime objektas yra ne paprastų vardų serveriai, tačiau domenų vardų serveriai. Tai reiškia, kad sąvoka „ šakninis vardų serveris“ yra netiksli, nes
omenų vardų sistemos paslaugų teikėjas“ apibrėžtyje jau vartojama kaip „šakninis domenų vardų serveris“. Sąvoka „ šakninis vardų serveris“ taisytina ir KSĮ 11 straipsnio 3 dalies 2 punkte.
2. KSĮ 11 straipsnio 3 dalies 1 punkte, 4 dalies 1 ir 2 punktuose nustatant kibernetinio saugumo
subjektų identifikavimo kriterijus teikiama nuoroda į Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme nurodytas vidutinių /mažų įmonių darbuotojų skaičių ir finansinius duomenis apibrėžiančias ribas, nurodant, kad šį kriterijų atitinkančiais laikomi šias ribas viršijantys subjektai.
Pagal Smulkiojo ir vidutinio verslo plėtros įstatymo nuostatas, tam, kad subjektai nebebūtų laikomi atitinkamai vidutinėmis ar mažomis įmonėmis, užtenka viršyti darbuotojų skaičių ar finansinius duomenis apibrėžiančias ribas, t. y. nebūtina viršyti abiejų šių kriterijų.3 . KSĮ 11 straipsnyje apibrėžiant kibernetinio saugumo subjektų identifikavimo kriterijus, susijusius su
Smulkiojo ir vidutinio verslo plėtros įstatymo taikymu, nėra nustatyta, kokių institucijų kokių duomenų pagrindu turi būti priimami sprendimai. Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnyje nustatyti kriterijai, kuriais remiantis nustatoma, ar įmonė yra vidutinė, maža ar labai maža. Šiais kriterijais laikomi: 1) darbuotojų skaičius ir 2) įmonės balansas ar įmonės metinės pajamos. Pagal Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio 7 dalį, įmonės darbuotojų skaičių atitinka vidutinis metinis darbuotojų skaičius. Vidutinis metinis darbuotojų skaičius nustatomas pagal paskutinių metų arba, jeigu įmonė veikia ilgiau kaip dvejus metus, pagal paskutinių dvejų metų įmonės duomenis.
Smulkiojo ar vidutinio verslo subjekto vidutinio metinio darbuotojų skaičiaus nustatymo tvarkos aprašas yra patvirtintas Lietuvos Respublikos ūkio ministro 2008 m. kovo 31 d. įsakymu Nr. 4-126 „Dėl Smulkiojo ir vidutinio verslo subjektų vidutinio metų sąrašinio darbuotojų skaičiaus apskaičiavimo tvarkos aprašo patvirtinimo“. Pagal šį aprašą, darbuotojų skaičius išreiškiamas metiniais darbo vienetais (ne visą darbo laiką išdirbę darbuotojai skaičiuojant išreiškiami vieneto dalimis). Tuo tarpu pagal Lietuvos Respublikos įmonių ir įmonių grupių finansinės atskaitomybės įstatymo 4 straipsnio 5 dalį, Vidutinio metinio darbuotojų skaičiaus apskaičiavimo taisykles, patvirtintas Lietuvos Respublikos finansų ministro 2022 m. gegužės 15 d. įsakymu Nr.
134 „Dėl Vidutinio metinio darbuotojų skaičiaus apskaičiavimo taisyklių patvirtinimo“, Lietuvos Respublikos darbo kodekso 22 straipsnio 4 dalį ir Vidutinio darbdavio ir darbovietės darbuotojų skaičiaus nustatymo taisykles, patvirtintas Lietuvos Respublikos socialinės apsaugos ir darbo ministro 2017 m. birželio 5 d. įsakymu Nr. A1-280 „Dėl Vidutinio darbdavio ir darbovietės darbuotojų skaičiaus nustatymo taisyklių patvirtinimo“,
darbuotojų skaičius apskaičiuojamas sumuojant visus darbuotojus, neatsižvelgiant į jų darbo laiko normą. Skirtingais tikslais nustatytas reglamentavimas ir tai, kad informacija apie vidutinį darbuotojų skaičiaus išreiškimą metiniais darbo vienetais yra prienami tik pačiam ūkio subjektui, nesudaro galimybės priimti aiškų sprendimą dėl kibernetinio saugumo subjekto identifikavimo.4
. KSĮ 12 straipsnyje nustatyta, kokie subjektai priklauso Lietuvos Respublikos jurisdikcijai. Pagrindinė taisyklė, įtvirtinta 12 straipsnio 1 dalies 1 punkte, – Lietuvos Respublikos jurisdikcijai priklauso subjektai, registruoti Lietuvos Respublikoje. 12 straipsnio 1 dalies 1 punkto b papunktyje nustatyta išimtis iš šios taisyklės – tam tikra veikla užsiimantys subjektai, kurių pagrindinė buveinė ne Lietuvos Respublikoje. Ši išimtis vėliau detalizuojama 12 straipsnio 2 dalyje nustatant kriterijus, kuriais vadovaujantis nustatoma įmonės pagrindinės buveinės
valstybė, tačiau šios dalies pirmu sakiniu yra iš esmės atkartojama pagrindinė taisyklė, iš kurios ir turėtų būti nustatoma išimtis: „ Laikoma, kad šio straipsnio 1 dalies 3 punkte nurodyta pagrindinė buveinė yra Lietuvos Respublikoje, jeigu šio straipsnio 1 dalies 3 punkte nurodyti subjektai yra registruoti ar įsisteigę Lietuvos Respublikoje.“5 .
Europos Komisija 2024 m. spalio 17 d. įgyvendinimo reglamentu
nustatė TIS 2 direktyvos taikymo taisykles, susijusias su kibernetinio saugumo rizikos valdymo priemonių techniniais ir metodiniais reikalavimais ( TIS 2 direktyvos 21 straipsnio 2 dalis) ir išsamesniu atvejų, kuriais incidentas laikomas dideliu ( TIS 2 direktyvos 23 straipsnio 3 dalis)
, apibūdinimu, skirtais domenų vardų sistemos (DNS) paslaugų teikėjams, aukščiausio lygio domenų vardų registrams, debesijos kompiuterijos paslaugų teikėjams, duomenų centrų paslaugų teikėjams, turinio teikimo tinklų teikėjams, valdomų paslaugų teikėjams, valdomų saugumo paslaugų teikėjams, elektroninių prekyviečių, interneto paieškos sistemų ir socialinių tinklų paslaugų platformų teikėjams ir patikimumo užtikrinimo paslaugų teikėjams.
Pažymėtina, kad nors TIS 2 direktyvoje nebuvo planuota, kad patikimumo užtikrinimo paslaugų teikėjams būtų pateiktas jiems skirtas išsamesnis atvejų, kuriais incidentas turi būti laikomas dideliu, apibūdinimas, vis dėl to siekiant taikyti nuoseklią sistemą Reglamente 2024/2690
nustatyti jiems skirti ne tik kibernetinio saugumo rizikos valdymo priemonių techniniai ir metodiniai reikalavimai, bet ir pateiktas jiems skirtas išsamesnis atvejų, kuriais incidentas turi būti laikomas dideliu, apibūdinimas. P atikimumo užtikrinimo paslaugų teikėjai nėra įtraukti į KSĮ 13 straipsnio 3 dalies 1 punktą, kuriame apibrėžiama specialiųjų subjektų grupė, todėl jiems pagal KSĮ 14 straipsnio 4 dalį nėra nustatomas įpareigojimas laikytis Europos Komisijos priimtų įgyvendinamųjų teisės aktų.6 .
KSĮ 13 straipsnio 3 dalies 1 punkte nurodyta, kokie duomenys apie kibernetinio saugumo subjektus sudaro Kibernetinio saugumo subjektų registrą. Tokiais duomenimis laikoma ekonominės veiklos sritis (sritys) ir rūšis (rūšys), tačiau
Ekonominės veiklos rūšių klasifikatoriuje nėra vartojama formuluotė „ ekonominės veiklos sritis (sritys)“.7 . KSĮ 19 straipsnyje nurodomi Kibernetinio saugumo informacinės sistemos (toliau – KSIS) naudotojai savo esme suprantami kaip kibernetinio saugumo subjektai, turintys prieigą prie KSIS, tačiau įgyvendinant Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymą galima manyti, kad informacinės sistemos naudotojais yra laikomi konkretūs fiziniai asmenys, turintys konkrečias prisijungimo prie informacinės sistemos teises ir atliekantys jiems leidžiamus veiksmus informacinėje sistemoje.8 .
KSĮ 23 straipsnyje nustatytos Kibernetinio saugumo kompetencijos bendruomenės (toliau – Bendruomenė) narių
registravimo, pašalinimo procedūros, atsisakymo įregistruoti Bendruomenės narius sąlygos, sprendimą priimančio subjekto – Nacionalinio koordinavimo centro apskundimo nuostatos.
9. KSĮ 28 straipsnio 6 dalyje nustatyta, kad vykdymo užtikrinimo priemonės taikomos „Vyriausybės nustatyta vykdymo užtikrinimo priemonių taikymo tvarka“, o 30 straipsnio 1 dalyje nurodyta, kad baudas skiria Nacionalinio kibernetinio saugumo centro vadovas ar jo įgaliotas asmuo „Vyriausybės nustatyta vykdymo užtikrinimo priemonių taikymo esminiams ir svarbiems subjektams tvarka“. Pažymėtina, kad šiais atvejais kalbama apie tą pačią tvarką.10 .
KSĮ 31 straipsnio 9 dalyje nustatyta, kad sprendime dėl baudos skyrimo nurodoma Lietuvos Respublikos valstybės tarnybos įstatymo 10 straipsnio 5 punkte nurodyta informacija, tačiau turėtų būti teikiama nuoroda į Lietuvos Respublikos viešojo administravimo įstatymą .
11. KSĮ 38 straipsnio 1 dalyje nustatyta tvarka dėl
valstybės informacinių išteklių laikymo valstybiniuose duomenų centruose arba Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) NATO valstybėse narėse esančiuose duomenų centruose. Išimtis nustatyta žvalgybos institucijoms, kurios savo valdomus valstybės informacinius išteklius laiko savo valdomuose duomenų centruose, o valstybės informacinius išteklius sudarančių duomenų ir informacinių sistemų, kuriose šie duomenys tvarkomi, kopijos žvalgybos institucijos vadovo sprendimu gali būti laikomos Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) NATO valstybėse narėse esančiuose duomenų centruose.12 .
KSĮ 2 priedo 5.6.1 papunktyje nurodytas
Ekonominės veiklos rūšių klasifikatoriaus 2 redakcijos C skirsnio 29 skyrius.
4. Kokios siūlomos naujos teisinio reguliavimo nuostatos ir kokių teigiamų rezultatų laukiama KSĮ projekte atlikti tokie pakeitimai:1 . Siūloma KSĮ 2 straipsnio 20 dalyje apibrėžtą sąvoką „ šakninis vardų serveris“ keisti į „ šakninis domenų vardų serveris“, atsižvelgiant ir į tai, kad kitose KSĮ sąvokose žodis „domenų“ (kalbant apie vardus) taip pat vartojamas („domenų vardų registravimo paslaugas teikiantis subjektas“, „domenų vardų sistema, domenų vardų sistemos paslaugų teikėjas“). Analogiškai siūloma patikslinti KSĮ 11 straipsnio 3 dalies 2 punkte vartojamą sąvoką „ šakninis vardų serveris“ ir vietoje jos vartoti „ šakninis domenų vardų serveris“.2 .
Siekiant užtikrinti KSĮ suderinamumą su Smulkiojo ir vidutinio verslo plėtros įstatymu, siūloma tikslinti KSĮ
subjektų identifikavimo kriterijus, susijusius su Smulkiojo ir vidutinio verslo plėtros įstatymu. Smulkiojo ir vidutinio verslo plėtros įstatymas apibrėžia kriterijus, kaip priskirti įmonę vidutinei, mažai arba labai mažai įmonei. KSĮ, įgyvendinant TIS 2
direktyvos reikalavimus, turi būti nustatomi kriterijai, apibrėžiantys įmones, be kita ko, viršijančias Smulkiojo ir vidutinio verslo plėtros įstatyme nustatytus kriterijus. Smulkiojo ir vidutinio verslo plėtros įstatyme nustatomi kriterijai priskirti įmonę vienai ar kitai kategorijai yra formuluojami nurodant tam tikras lubas kiekvienai kategorijai, tuo tarpu vadovaujantis TIS 2 direktyva, kriterijai KSĮ turėtų būti formuluojami kaip šias lubas viršijantys. Smulkiojo ir vidutinio verslo plėtros įstatymas taip pat neapibrėžia kriterijų, kaip priskirti įmonę didesnei nei vidutinė kategorijai. Taigi, siūloma aiškiai numatyti, kad kibernetinio saugumo subjektams identifikuoti pakaktų nustatyti ne tik įmonių
darbuotojų skaičių ir finansinius duomenis apibrėžiančių ribų konjunkciją (identifikuoti darbuotojų skaičių ir finansinių rodiklių viršijimą), bet ir disjunkciją (identifikuoti darbuotojų skaičių ar finansinių rodiklių viršijimą). Atkreiptinas dėmesys, kad pagal Smulkiojo ir vidutinio verslo plėtros įstatymą, kalbant apie finansinius rodiklius, numatomi du alternatyvūs rodikliai, kurių bent vieną reikia atitikti, kad įmonė būtų laikoma vidutine ar maža, todėl atitinkamai KSĮ numatomas reikalavimas, kad, kalbant apie finansinius rodiklius, turėtų būti viršijami abu,
pvz., tam, kad įmonė būtų priskirta vidutinei įmonei, ji turi atitikti bent vieną finansinį rodiklį, ir atvirkščiai – kad įmonė būtų laikoma viršijančia vidutinei įmonei nustatomus kriterijus, ji turi neatitikti abiejų finansinių rodiklių. Siūlomas reguliavimas tiesiogiai atitinka TIS 2 direktyvos
2 straipsnio 1 dalies nuostatas, kuriose nurodoma, kad „ši direktyva taikoma I ar II priede nurodytos rūšies viešiesiems ar privatiesiems subjektams, kurie laikomi vidutinėmis įmonėmis pagal Rekomendacijos 2003/361/EB priedo 2 straipsnį arba kurie viršija to straipsnio 1 dalyje nustatytas viršutines ribas, ir kurie teikia paslaugas arba vykdo veiklą Sąjungoje“, ir TIS 2 direktyvos 3 straipsnio 2 dalies nuostatas, kad „šios direktyvos I arba II priede nurodytos rūšies subjektai, kurie nelaikomi esminiais subjektais pagal šio straipsnio 1 dalį, laikomi svarbiais subjektais.“ Atkreiptinas dėmesys, kad TIS 2 direktyvoje nurodoma Rekomendacija 2003/361/EB yra tiesiogiai įgyvendinama Smulkiojo ir vidutinio verslo plėtros įstatymu.3 .
KSĮ
nustatyti patikslintą vidutinio darbuotojų skaičiaus identifikavimo modelį, aiškiai nurodant, kad vidutinis darbuotojų skaičius nustatomas remiantis Valstybinio socialinio draudimo fondo valdybos prie Socialinės apsaugos ir darbo ministerijos turimais duomenimis, su galimybe šiuos duomenis tikslinti atsižvelgiant į subjekto pateiktus duomenis.
Šis siūlymas remiasi faktine situacija, kai atliekant kibernetinio saugumo subjektų identifikavimą
vidutinio darbuotojų skaičiaus pagal Smulkiojo ir vidutinio verslo plėtros įstatymą nebuvo įmanoma nustatyti, nes nė viena valstybės institucija centralizuotai nekaupia tokių duomenų, subjektai nėra įpareigoti tokios informacijos teikti (Smulkiojo ir vidutinio verslo plėtros įstatymas yra skirtas verslui skatinti, o ne kontroliuoti). Kibernetinio saugumo subjektų pagal šį kriterijų praktiškai negalima identifikuoti. Pažymėtina, kad Smulkiojo ir vidutinio verslo plėtros įstatymo pagrindu nustatyta vidutinio darbuotojų skaičiaus nustatymo tvarka nėra pritaikyta tam, kad šiuos duomenis nustatytų pačios valstybės institucijos, remdamosi pačių turimais duomenimis, šiuo metu suformuotas toks principas, kad šio įstatymo pagrindu vidutinį darbuotojų skaičių, siekdamos skatinti verslą, nusistato pačios įmonės.
Siekiant, kad įmonės nebūtų įpareigotos identifikavimo metu persiskaičiuoti vidutinio darbuotojų skaičiaus, KSĮ siūloma nustatyti patikslintą vidutinio darbuotojų skaičiaus identifikavimo modelį. Šio modelio esmė ta, kad valstybės institucijos pirminį vidutinio darbuotojų skaičiaus apskaičiavimą atlieka Socialinės apsaugos ir darbo ministerijos centralizuotai ir sistemingai kaupiamų duomenų apie apdraustuosius asmenis pagrindu (į skaičiavimą įtraukiamų apdraustųjų asmenų kategorijas nustatant įstatymą įgyvendinančiuose teisės aktuose), o jeigu subjektas mano, kad valstybės turimi duomenys nesutampa su duomenimis, kurie būtų gauti atliekant skaičiavimus Smulkiojo ir vidutinio verslo plėtros įstatymo pagrindu, suteikiama teisė bet kuriam subjektui identifikavimo metu pateikti jo paties Smulkiojo ir vidutinio verslo plėtros įstatymo nustatyta tvarka apskaičiuotą vidutinį darbuotojų skaičių, kuris būtų laikomas prioritetiniu.
4 . Pagal Smulkiojo ir vidutinio verslo plėtros įstatymo 2 straipsnio 6 ir 10 dalis, vertinant įmonės balansą ar metines pajamas, turi būti vertinama: 1) balansas ar 2) pardavimo grynosios pajamos , kaip jos suprantamos pagal Lietuvos Respublikos įmonių ir įmonių grupių atskaitomybės įstatymą, ar individualios veiklos pajamos, kaip jos apibrėžtos Lietuvos Respublikos gyventojų pajamų mokesčio įstatyme. Siekiant tiksliau nustatyti duomenų šaltinį, pagal kurį priimamas sprendimas dėl įmonės metinių pajamų dydžio, remiantis finansiniais duomenimis, siūloma KSĮ projekto 11 straipsnį papildyti nauja 9 dalimi, kurioje būtų tiksliai nustatyta, kad sprendžiant
apie pardavimo grynąsias pajamas, kaip jos apibrėžtos Įmonių ir įmonių grupių atskaitomybės įstatyme, būtų vertinami Juridinių asmenų registro duomenų tvarkytojo finansinių ataskaitų rinkinyje turimi duomenys arba mokesčių administratoriaus turimi duomenys apie fizinio asmens individualios veiklos pajamas, kaip jos apibrėžtos Gyventojų pajamų mokesčio įstatyme.
Nustatant įmonės balanse nurodyto turto vertę, vertinami Juridinių asmenų registro duomenų tvarkytojui pateikti finansinių ataskaitų rinkinyje nurodyti duomenys, tokie kaip ilgalaikis ir trumpalaikis turtas.5 . KSĮ 12 straipsnio 2 dalyje siūloma šalinti perteklinį pirmą sakinį, kadangi jis atkartoja taisyklę, iš kurios ir turėtų būti nustatoma išimtis KSĮ 12 straipsnio 2 dalyje.6 .
KSĮ
patikimumo užtikrinimo paslaugų teikėjus, taip užtikrinti, kad jiems būtų taikomas
ekonominės veiklos sritis (sritys)“, kadangi Ekonominės veiklos rūšių klasifikatoriuje ši formuluotė nėra vartojama.8 .
KSĮ 19 straipsnyje siūloma atskirti prieigos prie KSIS suteikimą kaip kibernetinio saugumo subjektui ir kaip kibernetinio saugumo subjekto darbuotojui ar kitam atstovui (konkrečiam fiziniam asmeniui). Kadangi formuluotė „informacinės sistemos naudotojas“ būtų siejama su prieigos prie KSIS suteikimu fiziniam asmeniui, KSĮ 19 straipsnyje vartojamą formuluotę „Kibernetinio saugumo informacinės sistemos naudotojas“ siūlome keisti į „Kibernetinio saugumo informacinės sistemos narys“.
9. KSĮ 23 straipsnio nuostatos derinamos su Reglamento (ES) 2021/887 , kuriuo įsteigiamas Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras (toliau – Kompetencijos centras) ir Nacionalinių koordinavimo centrų tinklas, nuostatomis. Reglamente (ES) 2021/887
nustatyta, kad Kompetencijos centras subjektų prašymu juos registruoja kaip Bendruomenės narius, Nacionaliniam koordinavimo centrui atlikus vertinimą ir patvirtinus, kad tie subjektai atitinka nustatytus kriterijus, ir gavus nacionalinių kompetentingų institucijų saugumo sumetimais atliktą nacionalinį vertinimą, taip pat priima sprendimą dėl esamų Bendruomenės narių pašalinimo. KSĮ 23 straipsnis dėstomas nauja redakcija patikslinant subjektą, kuris priima sprendimą dėl Bendruomenės narių registracijos ir pašalinimo (tai Kompetencijos centras), atitinkamai ir pareiškėjo prašymo dėl jo registravimo kaip Bendruomenės nario nagrinėjimo procedūras (Nacionalinis koordinavimo centras, gavęs juridinio asmens prašymą tapti Bendruomenės nariu,
atlieka juridinio asmens vertinimo procedūras, siekdamas nustatyti jo atitiktį Reglamento (ES) 2021/887 8 straipsnyje nustatytiems reikalavimams, įskaitant dėl atitikties nacionalinio saugumo interesams, ir informaciją sprendimui priimti perduoda Kompetencijos centrui), Bendruomenės nario pašalinimo atvejus ir tvarką. Siūlomais pakeitimais pareiškėjams papildoma administracinė našta nėra sukuriama.
KSĮ 23 straipsnio 6 dalyje nustatytas 2 mėnesių terminas sprendimui priimti laikytinas racionaliu ir proporcingu, užtikrinančiu sprendimų pagrįstumą ir atitiktį nacionalinio saugumo interesams, kadangi Nacionalinis koordinavimo centras pirmiausia atlieka pirminį ekspertinį vertinimą, ar pareiškėjas atitinka Reglamente (ES) Nr. 2021/887
nustatytus kompetencijų ir veiklos reikalavimus. Šis vertinimas apima pareiškėjo pateiktos informacijos analizę ir, esant poreikiui, jos tikslinimą. Atlikęs pirminį vertinimą, Nacionalinis koordinavimo centras rengia ir teikia oficialius paklausimus kompetentingoms institucijoms, nurodytoms Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, tokioms kaip Lietuvos Respublikos valstybės saugumo departamentas, Lietuvos Respublikos užsienio reikalų ministerija, Lietuvos Respublikos vidaus reikalų ministerija, Policijos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos, Lietuvos Respublikos generalinė prokuratūra.
Kartu pažymėtina, kad sprendimų perdavimas Kompetencijos centrui ir jų gavimas vykdomas per Europos kibernetinio saugumo platformą ATLAS, kuri pradėjo veikti tik 2025 m. gruodžio mėnesio pradžioje ir šiuo metu dar vystoma. Praktikoje duomenų perdavimas per šią platformą gali užtrukti, o kai kuriais atvejais reikalingas papildomas informacijos tikslinimas.
10. Pažymėtina, kad siekiant KSĮ numatytų Bendruomenės narių registravimo procedūrų suderinamumo su Reglamentu (ES) 2021/887 numatoma, kad iki KSĮ pakeitimo įsigaliojimo pradėtos procedūros būtų tęsiamos vadovaujantis jau po įstatymo įsigaliojimo patvirtintu teisiniu reguliavimu. Tai užtikrins teisinį skaidrumą ir aiškumą, leidžiant užbaigti jau pradėtas procedūras dėl Bendruomenės narių registracijos, laikantis Reglamento
(ES) 2021/887 nustatytos tvarkos, taip pat užtikrins, kad visi procesai būtų suderinti su Reglamentu (ES) 2021/887 , išlaikant teisinių įsipareigojimų tęstinumą ir efektyvumą.
11. KSĮ
vykdymo užtikrinimo priemonių taikymo kibernetinio saugumo subjektams tvarką, kadangi skirtingose KSĮ nuostatose (KSĮ 28 straipsnio 6 dalis ir 30 straipsnio 1 dalis) ir Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarime Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ ( Vykdymo užtikrinimo priemonių taikymo kibernetinio saugumo subjektams tvarkos aprašas) ta pati tvarka vadinama skirtingai.12 .
KSĮ
31 straipsnio 9 dalies pirmojoje pastraipoje siūloma tikslinti nuorodą ir vietoj Lietuvos Respublikos valstybės tarnybos įstatymo nurodyti Lietuvos Respublikos viešojo administravimo įstatymą .
13. Atliekant Lietuvos Respublikos valstybės informacinių išteklių įstatymo pakeitimą ir perkeliant 2024 m. pradžioje galiojusio Valstybės informacinių išteklių valdymo įstatymo 44 ir 45 straipsnių nuostatas į KSĮ
, nebuvo perkelta tuo metu galiojusio Valstybės informacinių išteklių valdymo įstatymo 1 straipsnio 5 dalyje numatyta išimtis, kad šio įstatymo 44 ir 45 straipsnių nuostatos netaikomos valstybės informaciniams ištekliams, tvarkomiems korupcinių nusikaltimų ikiteisminių tyrimų, korupcijos rizikos ir jos prevencijos vertinimo, analitinės antikorupcinės žvalgybos, korupcijai atsparios aplinkos kūrimo, teisėsaugos ir viešojo saugumo užtikrinimo tikslais. Šiuo metu KSĮ
38 straipsnio nuostatos įpareigoja minėtas institucijas, įrašytas į Saugiojo valstybinio duomenų perdavimo tinklo naudotojų sąrašą, savo valdomus valstybės informacinius išteklius laikyti valstybiniuose duomenų centruose arba Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) NATO valstybėse narėse esančiuose duomenų centruose, vadovaujantis Valstybės informacinių išteklių valdymo įstatymo 45 straipsnio 1–4 ir 6 dalių nuostatomis. Siūloma, atsižvelgiant į galiojusį reguliavimą, KSĮ 38 straipsnio 1 dalyje nustatyti išimtį institucijoms, kurios valstybės informacinius išteklius tvarko Valstybės informacinių išteklių valdymo įstatymo 1 straipsnio 5 dalyje nurodytais tikslais.14 .
KSĮ 2 priedo 5.6.1 papunktyje klaidingai nurodytas Ekonominės veiklos rūšių klasifikatoriaus 2 redakcijos C skirsnio 29 skyrius. Atsižvelgiant į TIS 2 direktyvos II priede nurodyto „Gamybos“ sektoriaus f subsektoriaus rūšį, Ekonominės veiklos rūšių klasifikatoriaus 2 redakcijos C skirsnio 29 skyrius turi būti pakeistas į Ekonominės veiklos rūšių klasifikatoriaus 2 redakcijos C skirsnio 30 skyrių.
KSĮ projektu nenumatomas įstatymo įsigaliojimo terminas, atsižvelgiant į tai, kad KSĮ projektu siekiama atlikti tikslinamojo pobūdžio pakeitimus, kurie turėtų būti taikomi kaip įmanoma greičiau.5
. Numatomo teisinio reguliavimo poveikio vertinimo rezultatai (jeigu rengiant įstatymų projektus toks vertinimas turi būti atliktas ir jo rezultatai nepateikiami atskiru dokumentu), galimos neigiamos priimtų įstatymų pasekmės ir kokių priemonių reikėtų imtis, kad tokių pasekmių būtų išvengta KSĮ projektas neigiamų pasekmių neturės.
6. Kokią įtaką priimti įstatymai turės kriminogeninei situacijai, korupcijai KSĮ projektas neturės įtakos kriminogeninei situacijai ir korupcijai.
7. Kaip įstatymų įgyvendinimas atsilieps verslo sąlygoms ir jo plėtrai
KSĮ projekto įgyvendinimas ilguoju laikotarpiu teigiamai atsilieps verslo sąlygoms ir jo plėtrai, nes turės įtakos kuriant saugesnę kibernetinę erdvę paslaugoms teikti Lietuvos Respublikoje, o nustatytas reguliavimas bus aiškesnis ir tikslesnis.
8. Įstatymo projekto atitiktis strateginio lygmens planavimo dokumentams KSĮ projektas neprieštarauja strateginio lygmens planavimo dokumentams .
9. Įstatymų pakeitimo projektų inkorporavimas į teisinę sistemą, kokius teisės aktus būtina priimti, kokius galiojančius teisės aktus reikia pakeisti ar pripažinti netekusiais galios Teisės aktų keisti ar naujų priimti nereikės.10
. Ar įstatymų projektai parengti laikantis Lietuvos Respublikos valstybinės kalbos, Teisėkūros pagrindų įstatymų reikalavimų, o įstatymų projektų sąvokos ir jas įvardijantys terminai įvertinti Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka KSĮ projektas parengtas laikantis Lietuvos Respublikos valstybinės kalbos įstatymo, Lietuvos Respublikos teisėkūros pagrindų įstatymo reikalavimų. Terminai įvertinti Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka.
11. Ar įstatymų projektai atitinka Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir Europos Sąjungos dokumentus KSĮ projektas atitinka Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir Europos Sąjungos dokumentus.12
. Jeigu įstatymui įgyvendinti reikia įgyvendinamųjų teisės aktų, – kas ir kada juos turėtų priimti Teisės aktų priimti nereikės.
13. Kiek valstybės, savivaldybių biudžetų ir kitų valstybės įsteigtų fondų lėšų prireiks įstatymams įgyvendinti, ar bus galima sutaupyti (pateikiami prognozuojami rodikliai einamaisiais ir artimiausiais 3 biudžetiniais metais) Biudžeto lėšų KSĮ projektui įgyvendinti nereikės.
14. Įstatymų projektų rengimo metu gauti specialistų vertinimai ir išvados KSĮ projekto rengimo metu gautos išvados suderintos darbo tvarka.
15. Reikšminiai žodžiai, kurių reikia šiems projektams įtraukti į kompiuterinę paieškos sistemą, įskaitant Europos žodyno „Eurovoc“ terminus, temas bei sritis
Kibernetinis saugumas, kibernetinis incidentas, kibernetinio saugumo rizikos valdymo priemonės, TIS 2 direktyva, esminis subjektas, svarbus subjektas.
16. Kiti, iniciatorių nuomone, reikalingi pagrindimai ir paaiškinimai Nėra.