NIS2 gamybos įmonėms Lietuvoje: elektronika, mašinos, transporto priemonės ir medicinos priemonės

Trumpas atsakymas: taip, gamyba patenka į įstatymo taikymo sritį

Taip. Kompiuterinių, elektroninių ir optinių gaminių, elektros įrangos, mašinų ir įrangos, motorinių transporto priemonių bei medicinos priemonių gamyba yra tiesiogiai išvardyta Lietuvos Respublikos kibernetinio saugumo įstatymo (Nr. XII-1428) 2 priede, skyriuje „Gamyba“.

Pagal 11 str. 4 d. 1 p. tokia įmonė identifikuojama kaip svarbus subjektas, jeigu viršija mažų įmonių darbuotojų skaičių ir finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme, ir jeigu šios veiklos metinės pajamos viršija 50 procentų visų įmonės metinių pajamų.

Pirmas žingsnis vadovui — pasitikrinti, ar įmonės pagrindinė gamybos veikla atitinka 2 priede nurodytą subjekto rūšį ir ar viršijamos dydžio ribos, o tada pasiruošti registracijai Kibernetinio saugumo informacinėje sistemoje. Tai svarbu, nes pagal 11 str. 2 d. kibernetinio saugumo subjektai pareigas įgyja tik nuo įregistravimo šioje sistemoje momento.

Kaip įstatymas įvardija gamybos sektorių (2 priedas)

Įstatymo 2 priedas vadinasi „Kiti itin svarbūs sektoriai“. Jo 5 skyriuje „Gamyba“ išskirti šie subsektoriai (formuluotės iš įstatymo teksto):

• „Medicinos priemonių ir in vitro diagnostikos medicinos priemonių gamyba“ — medicinos priemones, kaip apibrėžta reglamento (ES) 2017/745 2 straipsnio 1 punkte, gaminantys subjektai ir in vitro diagnostikos medicinos priemones, kaip apibrėžta reglamento (ES) 2017/746 2 straipsnio 2 punkte, gaminantys subjektai, išskyrus 1 priede nurodytas ypatingos svarbos ekstremaliosios visuomenės sveikatos situacijos atveju medicinos priemones gaminančius subjektus.
• „Kompiuterinių, elektroninių ir optinių gaminių gamyba“ — subjektai, vykdantys atitinkamą ekonominę veiklą, nurodytą Ekonominės veiklos rūšių klasifikatoriaus C skirsnyje.
• „Elektros įrangos gamyba“ — subjektai, vykdantys atitinkamą ekonominę veiklą, nurodytą to paties klasifikatoriaus C skirsnyje.
• „Niekur kitur nepriskirtų mašinų ir įrangos gamyba“.
• „Motorinių transporto priemonių, priekabų ir puspriekabių gamyba“.
• „Kitos transporto įrangos gamyba“.

Už subjektų identifikavimą kiekviename subsektoriuje atsakinga skirtinga ministerija:

Jeigu įmonė kartu gamina ar platina chemines medžiagas arba mišinius, atkreipkite dėmesį, kad 2 priede atskirai nurodytas ir cheminių medžiagų gamybos ir platinimo sektorius.

Esminis ar svarbus subjektas: kokios ribos lemia patekimą

Įstatymas kibernetinio saugumo subjektus skirsto į esminius subjektus ir svarbius subjektus (11 str. 1 d.). Gamybos įmonėms svarbu žinoti tris dalykus.

1. Bendrasis kriterijus gamybai. Kadangi gamybos subsektoriai yra 2 priede, taikomas 11 str. 4 d. 1 p.: subjektas yra svarbus subjektas, jei vykdo 2 priede nurodytą veiklą, viršija mažų įmonių darbuotojų skaičiaus ir finansinių duomenų ribas ir šios veiklos metinės pajamos sudaro daugiau kaip 50 procentų visų metinių pajamų.

2. Kada gamybos įmonė gali būti esminis subjektas. Ne dėl gamybos veiklos kaip tokios, o dėl kitų 11 str. 3 d. kriterijų — pavyzdžiui, jei subjektas Krizių valdymo ir civilinės saugos įstatymo nustatyta tvarka pripažintas ypatingos svarbos subjektu, arba jei jis laikomas nacionaliniam saugumui užtikrinti svarbia įmone ar jo tinklų ir informacinė sistema įrašyta į nacionaliniam saugumui užtikrinti svarbių įrenginių ir turto sąrašą.

3. Specialieji kriterijai. Pagal 11 str. 5 d. subjektas gali būti identifikuotas ir tada, kai, pavyzdžiui, jis yra vienintelis būtinos paslaugos teikėjas Lietuvos Respublikoje arba kai jo paslaugos sutrikimas galėtų daryti didelį poveikį esminio subjekto teikiamai paslaugai ar vykdomai veiklai. Identifikavimo pagal specialiuosius kriterijus metodiką nustato Vyriausybė (11 str. 6 d.). Jeigu subjektas atitinka bent vieną esminio subjekto kriterijų, jis laikomas esminiu subjektu nepriklausomai nuo atitikties svarbaus subjekto kriterijams (11 str. 7 d.).

Konkrečios darbuotojų skaičiaus ir finansinių duomenų ribos nustatytos Smulkiojo ir vidutinio verslo plėtros įstatyme — jas patikrinkite pagal Nacionalinio kibernetinio saugumo centro (NKSC) paskelbtas gaires kaip oficialų šaltinį. Greitai orientacijai padeda nemokama taikymo patikra ir įsivertinimas.

Pagrindinės pareigos: rizikos valdymo priemonės ir vadovo atsakomybė

Svarbu suprasti: įstatymas nenustato atskirų, tik gamybos sektoriui skirtų kibernetinio saugumo pareigų. Tie patys 14 str. reikalavimai taikomi visiems kibernetinio saugumo subjektams (14 str. 5 d. 13 p. tik numato galimybę ateityje nustatyti papildomus reikalavimus atskiriems sektoriams pagal identifikuotas rizikas).

Kibernetinio saugumo reikalavimai apima (14 str. 5 d.):

• rizikos analizės ir tinklų bei informacinių sistemų kibernetinio saugumo politiką;
• už kibernetinį saugumą atsakingų asmenų ir įmonės vadovo pareigas;
• kibernetinių incidentų valdymą ir veiklos tęstinumą;
• tiekimo grandinės saugumą, įskaitant santykius su tiesioginiais tiekėjais ar paslaugų teikėjais;
• sistemų įsigijimo, plėtojimo ir priežiūros saugumą, įskaitant pažeidžiamumo valdymą ir atskleidimą;
• politiką ir procedūras reikalavimų veiksmingumui įvertinti;
• kibernetinės higienos praktiką ir reguliarius mokymus;
• kriptografijos ir šifravimo naudojimo politiką;
• žmogiškųjų išteklių saugumą, prieigos kontrolės politiką ir turto valdymą;
• kelių veiksnių tapatumo nustatymą, saugius balso, vaizdo ir teksto ryšius bei saugias avarinių ryšių sistemas;
• naudotojų, administratorių, tiekėjų ir subtiekėjų prieigos teisių suteikimo ir valdymo politiką.

Svarbiausi terminai ir asmenys:

• reikalavimus reikia įgyvendinti per Vyriausybės nustatytą ne trumpesnį kaip 12 mėnesių terminą nuo įregistravimo Kibernetinio saugumo informacinėje sistemoje (14 str. 2 d.);
• duomenys apie priemonių įgyvendinimą teikiami NKSC (14 str. 3 d.);
• vadovas ar jo įgaliotas asmuo privalo užtikrinti pareigų laikymąsi ir jį prižiūrėti (14 str. 6 d.);
• valdymo organų nariai ir vadovas ne rečiau kaip kartą per 2 metus išklauso kibernetinio saugumo mokymus (14 str. 7 d.);
• kibernetinio saugumo auditas atliekamas ne rečiau kaip kartą per 3 metus (14 str. 8 d.);
• skiriamas kibernetinio saugumo vadovas, tiesiogiai atskaitingas įmonės vadovui, ir saugos įgaliotinis (15 str. 1–2 d.); šias funkcijas leidžiama įsigyti kaip paslaugą iš tiekėjo (15 str. 4 d.).

Tikslią registravimosi Kibernetinio saugumo informacinėje sistemoje tvarką ir kanalą tikslinkite pagal NKSC paskelbtas gaires.

Pranešimai apie incidentus: terminai ir institucija

Pranešimai teikiami Nacionaliniam kibernetinio saugumo centrui — įstaigai prie Krašto apsaugos ministerijos, kuri įgyvendina kibernetinio saugumo politiką ir vykdo subjektų atitikties stebėseną (7 str.).

Kibernetinis incidentas laikomas dideliu bent vienu iš šių atvejų (18 str. 2 d.): kai dėl jo įmonė patyrė arba gali patirti didelių paslaugų teikimo sutrikimų ar finansinių nuostolių; arba kai jis paveikė ar gali paveikti kitus fizinius ar juridinius asmenis, sukeldamas didelę turtinę arba neturtinę žalą.

Pranešant apie didelį kibernetinį incidentą pateikiama (18 str. 4 d.):

• ankstyvasis perspėjimas — nedelsiant, bet ne vėliau kaip per 24 valandas nuo sužinojimo apie didelį kibernetinį incidentą momento, nurodant, ar įtariama, kad jį sukėlė neteisėti ar piktavališki veiksmai ir ar galimas tarpvalstybinis poveikis;
• pranešimas apie kibernetinį incidentą — nedelsiant, bet ne vėliau kaip per 72 valandas nuo sužinojimo momento, su pradiniu incidento sunkumo ir poveikio vertinimu bei įsilaužimo įrodymais, jeigu tokių yra;
• tarpinė ataskaita — NKSC prašymu, per jo nurodytą terminą;
• galutinė ataskaita — ne vėliau kaip per vieną mėnesį nuo pranešimo pateikimo dienos, su išsamiu incidento aprašymu, grėsmės ar pagrindinės priežasties rūšimi, taikomomis poveikio mažinimo priemonėmis ir tarpvalstybiniu poveikiu;
• jeigu incidentas tebevyksta, pateikiama pažangos ataskaita, o galutinė — per vieną mėnesį nuo incidento suvaldymo dienos.

Apie didelio incidento kriterijų neatitinkančius kibernetinius incidentus taip pat pranešama — nacionaliniame kibernetinių incidentų valdymo plane nustatytais terminais ir apimtimi (18 str. 1 d. 2 p. ir 5 d.).

Baudos už pažeidimus

Baudas skiria Nacionalinio kibernetinio saugumo centro vadovas ar jo įgaliotas asmuo Vyriausybės nustatyta tvarka (30 str. 1 d.).

Maksimalūs baudų dydžiai (30 str. 2 d.):

Konkretus dydis priklauso nuo pažeidimo pavojingumo (30 str. 3 d.): iki 100 procentų maksimalios baudos už pavojingą pažeidimą, iki 50 procentų — už vidutinio pavojingumo, iki 10 procentų — už nedidelio pavojingumo pažeidimą. Bauda turi būti veiksminga, proporcinga ir atgrasanti (30 str. 4 d.).

Praktinė išvada gamybos įmonei: pirmiausia išsiaiškinkite, ar patenkate į 2 priedo „Gamyba“ subsektorių ir ar viršijate dydžio ribas, tada planuokite 14 str. reikalavimų įgyvendinimą ir incidentų pranešimo procedūras. Pradėti verta nuo nemokamos taikymo patikros ir įsivertinimo.