NIS2 ir KSIS Lietuvoje: ar tai taikoma jūsų įmonei ir ką reikia padaryti

NIS2 Lietuvoje reiškia du tekstus: direktyvą (ES) 2022/2555 ir ją perkeliantį Kibernetinio saugumo įstatymą. Klausimas „ar tai taikoma mums“ turi tikslų atsakymą tik įstatyme, todėl kiekvienas teiginys čia nurodo straipsnį. Skaitėme suvestinę redakciją nuo 2026-07-04 ir NKSC paskelbtą informaciją (patikrinta 2026-10-25).

Kaip NIS2 veikia Lietuvoje

Direktyvos 41 straipsnis įpareigojo valstybes nares priimti perkėlimo nuostatas iki 2024 m. spalio 17 d. ir taikyti jas nuo 2024 m. spalio 18 d. Lietuvoje tai padaryta nauja Kibernetinio saugumo įstatymo redakcija (Nr. XIV-2902), galiojančia nuo 2024-10-18.

Paskutiniai pakeitimai (Nr. XV-1076, 2026-06-25) galioja nuo 2026-07-04 ir, be kita ko, pakeitė 11 straipsnio identifikavimo kriterijus, 13 straipsnio registro duomenis ir 2 bei 3 priedus.

Svarbiausia įstatymo ypatybė – 11 straipsnio 2 dalis: kibernetinio saugumo subjektai pareigas įgyja tik nuo jų įregistravimo Kibernetinio saugumo informacinėje sistemoje. Įmonė pati savęs „nepaskiria“ NIS2 subjektu – už identifikavimą atsako prieduose nurodyta sektoriaus ministerija, o registruoja ir išregistruoja KSIS duomenų tvarkytojas NKSC (13 straipsnio 5 ir 6 dalys).

NKSC DUK apie Kibernetinio saugumo reikalavimų aprašą (KSRA) rašoma, kad į registrą neįtraukta organizacija NIS2 reikalavimų įgyvendinti neprivalo, tačiau įtraukimas yra nenutrūkstamas procesas ir duomenys nuolat peržiūrimi.

Ar tai taikoma jūsų įmonei: sektorius ir dydis

Bendrieji kriterijai (11 straipsnio 3 ir 4 dalys) jungia du dalykus: sektorių iš įstatymo 1 arba 2 priedo ir įmonės dydį pagal Smulkiojo ir vidutinio verslo plėtros įstatymą.

To įstatymo 3 straipsnyje (suvestinė redakcija nuo 2025-07-01) vidutinė įmonė – mažiau kaip 250 darbuotojų ir metinės pajamos, neviršijančios 50 mln. Eur, arba balanse nurodyto turto vertė, neviršijanti 43 mln. Eur; maža įmonė – mažiau kaip 50 darbuotojų ir pajamos arba turtas, neviršijantys 10 mln. Eur.

Tos pačios ribos yra Rekomendacijos 2003/361/EB priedo 2 straipsnyje, į kurį nukreipia direktyvos 2 ir 3 straipsniai.

Dydį skaičiuoja ne įmonė: pagal 11 straipsnio 8 ir 9 dalis darbuotojų skaičius imamas iš „Sodros“ duomenų apie apdraustuosius, o pajamos ir turtas – iš Juridinių asmenų registrui pateiktų finansinių ataskaitų (kai jų teikti neprivaloma – iš mokesčių administratoriaus duomenų).

Be dydžio yra specialieji kriterijai (11 straipsnio 5 dalis): vienintelis būtinos paslaugos teikėjas, paslauga, kurios sutrikimas paveiktų visuomenės saugumą ar esminio subjekto veiklą, ir panašūs. Pagal juos gali būti identifikuota ir maža įmonė; metodiką nustato Vyriausybė.

Pavyzdys iš priedų: mašinų ir įrangos gamintojas (EVRK C 28) su 60 darbuotojų, kuriam ši gamyba duoda daugiau kaip pusę pajamų, atitinka svarbaus subjekto kriterijų. Krovinių vežėjai keliais į priedus nepatenka – 1 priedo kelių transporto subsektoriuje nurodytos kelių direkcijos ir intelektinių transporto sistemų operatoriai.

Didmeninė prekyba 2 priede minima tik dviem atvejais: maisto verslo įmonės pagal Reglamentą (EB) Nr. 178/2002, vykdančios didmeninį platinimą, ir chemines medžiagas ar mišinius platinančios įmonės pagal Reglamentą (EB) Nr. 1907/2006 (REACH).

Ką reikalauja 21 straipsnis paprastais žodžiais

Direktyvos 21 straipsnio 2 dalis nurodo dešimt privalomų elementų. Paprastais žodžiais:

1. Rizikos analizės ir informacinių sistemų saugumo politika – surašyta, patvirtinta, peržiūrima.
2. Incidentų valdymas – kas, ką ir per kiek laiko daro, kai kas nors įvyksta.
3. Veiklos tęstinumas – atsarginės kopijos, atkūrimo bandymai, krizių valdymas.
4. Tiekimo grandinės saugumas – reikalavimai tiesioginiams tiekėjams.
5. Saugus sistemų įsigijimas, kūrimas ir priežiūra, įskaitant spragų valdymą.
6. Procedūros priemonių veiksmingumui vertinti.
7. Kibernetinė higiena ir mokymai darbuotojams.
8. Kriptografijos ir šifravimo taisyklės.
9. Žmogiškųjų išteklių saugumas, prieigos kontrolė, turto valdymas.
10. Daugiaveiksnis tapatumo nustatymas (MFA), saugūs ryšiai ir avarinio ryšio kanalai.

Lietuvoje šie elementai išdėstyti įstatymo 14 straipsnio 5 dalyje (trylika punktų), o konkretūs reikalavimai – Vyriausybės tvirtinamame KSRA. Įstatymas prideda tai, ko direktyvoje nėra:

• 15 straipsnis: vadovas privalo paskirti kibernetinio saugumo vadovą, tiesiogiai jam atskaitingą, ir saugos įgaliotinį. Reikalavimas – ne mažiau kaip 2 metų patirtis arba diplomas, tarptautinis sertifikatas ar NKSC egzaminas. Šias funkcijas leidžiama pirkti iš tiekėjo.
• 14 straipsnio 8 dalis: nepriklausomas kibernetinio saugumo auditas pagal NKSC metodiką ne rečiau kaip kartą per 3 metus.
• 14 straipsnio 7 dalis: valdymo organų nariai ir vadovas ne rečiau kaip kartą per 2 metus išklauso kibernetinio saugumo mokymus.

Incidentai: 24 valandos, 72 valandos, mėnuo

Direktyvos 23 straipsnio 3 ir 4 dalys ir įstatymo 18 straipsnio 2 ir 4 dalys iš esmės sutampa. Incidentas laikomas dideliu, kai subjektas patyrė ar gali patirti didelių paslaugų teikimo sutrikimų arba finansinių nuostolių, arba kai jis paveikė ar gali paveikti kitus asmenis, sukeldamas didelę turtinę ar neturtinę žalą.

Vienas skirtumas: direktyvoje galutinės ataskaitos mėnuo skaičiuojamas nuo 72 valandų pranešimo, o įstatymo 18 straipsnio 4 dalies 4 punkte – nuo šios dalies 1 punkte nurodyto pranešimo pateikimo dienos, todėl saugiau skaičiuoti nuo ankstesnės datos. Jei pateikiant galutinę ataskaitą incidentas tebevyksta, teikiama pažangos ataskaita, o galutinė – per mėnesį nuo suvaldymo.

Apie mažesnius incidentus pranešama nacionalinio kibernetinių incidentų valdymo plano terminais.

Vadovo atsakomybė ir baudos

Direktyvos 20 straipsnis: valdymo organai tvirtina rizikos valdymo priemones, prižiūri jų įgyvendinimą ir gali būti patraukti atsakomybėn už 21 straipsnio pažeidimus; jų nariai privalo dalyvauti mokymuose. Įstatymo 14 straipsnio 6 dalis tą pačią pareigą priskiria subjekto vadovui arba jo įgaliotam asmeniui.

Baudų ribos (įstatymo 30 straipsnis, direktyvos 34 straipsnis): esminiam subjektui – iki 10 000 000 Eur arba iki 2 % bendros pasaulinės metinės apyvartos, svarbiam – iki 7 000 000 Eur arba iki 1,4 %, atsižvelgiant į tai, kuri suma didesnė; biudžetinėms įstaigoms – iki 1 % (esminis subjektas) arba 0,5 % (svarbus subjektas) metinio biudžeto ir pajamų, bet ne daugiau kaip 60 000 Eur ir 30 000 Eur.

Pagal 29 straipsnį rizikos valdymo priemonių (14 straipsnio 1 dalis) ir pranešimo apie didelį incidentą pareigos pažeidimai laikomi pavojingais – už juos gali būti skiriama iki 100 % maksimalios baudos, už vidutinio pavojingumo – iki 50 %, už nedidelio – iki 10 %.

33 straipsnis numato ir esminio subjekto vadovo laikiną nušalinimą nuo pareigų – teismo nutartimi, NKSC prašymu ir tik dėl pavojingų pažeidimų, kai kitos priemonės neveiksmingos.

Kas yra KSIS ir kaip vyksta registracija

Kibernetinio saugumo informacinė sistema (KSIS) pagal įstatymo 19 straipsnį tvarko subjektų registrą, techninėmis priemonėmis surinktus duomenis ir informaciją apie grėsmes; valdytoja – Krašto apsaugos ministerija, tvarkytojas – NKSC. NKSC ją apibūdina kaip saugią uždarą įrankių, grėsmių stebėjimo ir informacijos apsikeitimo platformą.

Registracijos eiga pagal NKSC puslapį ir įstatymo 13 straipsnį:

1. Įmonės vadovas užpildo formą „Tapti KSIS nariu“ – pildyti ją gali tik vadovas.
2. Pateikiami registro duomenys (įstatymo 13 straipsnio 3 dalis): pavadinimas ir kodas, teisinė forma, EVRK veiklos, buveinės adresas, kontaktai, kriterijus atitinkančios paslaugos, naudojami IP adresai, valstybės, kuriose veikiama, veiklai reikšmingos sistemos, sektorius ir subsektorius.
3. Pirmą kartą prisijungus NKSC rekomenduoja skiltyse nurodyti visas valdomas svetaines, kontaktinius asmenis, IP rėžius ir ASN, o baigus – patvirtinti organizacijos informaciją.

Sprendimą registruoti ar neregistruoti galima skųsti administraciniam teismui (13 straipsnio 9 dalis).

Kokius įrodymus verta kaupti mažai ir vidutinei įmonei

Priežiūra remiasi dokumentais, todėl kiekvienai pareigai verta turėti po įrodymą:

• Įtraukimo į registrą pranešimas ir KSIS informacijos patvirtinimai.
• Kibernetinio saugumo vadovo ir saugos įgaliotinio paskyrimo įsakymai su kvalifikacijos įrodymais arba sutartis su tiekėju.
• Patvirtintų politikos dokumentų sąrašas su datomis ir numeriais, pateiktais KSIS per 5 darbo dienas.
• Vadovų mokymų pažymėjimai (kas 2 metus) ir darbuotojų mokymų žurnalas.
• Turto ir sistemų sąrašas, IP rėžiai, prieigos teisių peržiūros.
• Spragų vertinimo ataskaitos kas 6 mėnesius – pavyzdžiui, svetainės ir PHP būklės fiksavimas su data.
• Incidentų žurnalas su laiko žymomis, įrodantis 24 ir 72 valandų terminus.
• Tiekėjų sutarčių saugumo sąlygos ir atsarginių kopijų atkūrimo bandymų protokolai.
• Audito ataskaita ne senesnė kaip 3 metų.

Northwestern Tideline saugumo patikros metu įvertiname, ar įmonė atitinka priedų ir dydžio kriterijus, ir surašome išvadą su šaltiniais; nuolatinės priežiūros ataskaitos šiuos įrodymus kaupia kas mėnesį. Platesnis kontekstas – gide apie kibernetinį saugumą įmonei dirbtinio intelekto amžiuje.

Jei gavote NKSC laišką ir nežinote, nuo ko pradėti, parašykite mums – atsakome per vieną darbo dieną.