raštas
tikslai ir uždaviniai Europos Parlamentas ir Europos Sąjungos Taryba, atsižvelgdami į Europos Komisijos pasiūlymą, 2016 m. liepos 6 d. priėmė direktyvą (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (toliau – TIS direktyva). TIS direktyva siekiama nustatyti priemones aukštam bendram tinklų ir informacinių sistemų saugumo lygiui Sąjungoje užtikrinti, kad būtų pagerintas vidaus rinkos veikimas, o įgyvendinant šį tikslą TIS direktyva:
informacinių sistemų saugumo strategiją;
narių strateginis bendradarbiavimas ir keitimasis informacija, taip pat didinama jų atsakomybė ir tarpusavio pasitikėjimas;
būtų prisidedama prie valstybių narių atsakomybės ir tarpusavio pasitikėjimo didinimo ir skatinamas greitas bei veiksmingas operatyvinis bendradarbiavimas;
skaitmeninių paslaugų teikėjams;
institucijas, bendruosius informacinius centrus ir reagavimo į kibernetinius incidentus tarnybas, kuriems pavedamos užduotys, susijusios su tinklų ir informacinių sistemų saugumu.
TIS direktyvos nuostatos turi būti perkeltos į nacionalinę teisę ne vėliau kaip 2018 m. gegužės 9 d. Siekdama įgyvendinti TIS direktyvos nuostatas, Lietuvos Respublikos krašto apsaugos ministerija parengė šiuos įstatymų pakeitimų projektus: Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo projektą (toliau – Kibernetinio saugumo įstatymo projektas) ir Lietuvos Respublikos administracinių nusižengimų kodekso 479, 480, 589 straipsnių ir priedo pakeitimo įstatymo projektą (toliau
lygmeniu, ir sukurti sąlygas nuostatoms įgyvendinti įgyvendinamųjų teisės aktų lygmeniu. Pastebėtina, kad Įstatymų projektais nesiekiama įgyvendinti TIS direktyvos nuostatų visa direktyvos apimtimi.
Pirma, tam tikros TIS direktyvos nuostatos savo esme sutampa su jau galiojančiomis Kibernetinio saugumo įstatymo nuostatomis, todėl neturi būti iš naujo perkeltos į nacionalinę teisę. Antra, Kibernetinio saugumo įstatymas nėra vienintelė priemonė TIS direktyvos nuostatoms įgyvendinti, šiuo tikslu keičiami ir kiti nacionaliniai teisės aktai. Platesnė informacija pateikiama pridedamoje atitikties lentelėje. Įgyvendinant nurodytą Įstatymų projektų tikslą, nustatomi šie Kibernetinio saugumo įstatymo pakeitimo projekto uždaviniai:
subjektą, tvirtinantį nacionalinę kibernetinio saugumo strategiją. 2. Apibrėžti kibernetinio saugumo subjektus ir nustatyti jų pareigas. 3. Įtvirtinti nuostatas dėl kibernetinio saugumo rizikos valdymo. 4. Stiprinti tarptautinį bendradarbiavimą Europos Sąjungos (toliau
asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas), nustatantis reikalavimus dėl pranešimų priežiūros institucijoms apie asmens duomenų saugumo pažeidimus ir priežiūros institucijų kompetenciją, užduotis ir įgaliojimus. Įsigaliojus nurodytam reglamentui, esamas Kibernetinio saugumo įstatymo reguliavimas dėl Valstybinės duomenų apsaugos inspekcijos įgaliojimų tampa perteklinis.
Atsižvelgiant į tai ir turint galvoje atliekamų Kibernetinio saugumo įstatymo pakeitimų, įgyvendinant TIS direktyvą, aprėptį, Kibernetinio saugumo įstatymo projektu siekiama persvarstyti Kibernetinio saugumo įstatymą iš esmės. Siekiant nurodyto tikslo, nustatomi šie Kibernetinio saugumo įstatymo pakeitimo projekto uždaviniai:
saugumo įstatymo nuostatų. 2. Tiksliau apibrėžti kibernetinio saugumo politiką formuojančių ir įgyvendinančių institucijų kompetenciją. 3. Patikslinti Kibernetinio saugumo įstatymą teisės technikos aspektu. 2. Įstatymų projektų iniciatoriai (institucija, asmenys ar piliečių įgalioti atstovai) ir rengėjai Kibernetinio saugumo įstatymo pakeitimo projekto rengimą inicijavo Krašto apsaugos ministerija. Šį projektą parengė Krašto apsaugos ministerijos Kibernetinio saugumo ir informacinių technologijų departamento (direktorius Jonas Skardinskas, tel. 8 706 80 800, el. p. [email protected]) Kibernetinio saugumo ir elektroninės informacijos saugos skyriaus viršininkas Artūras Litvaitis (tel. 8 706 80 806, el. p. [email protected]) ir Krašto apsaugos ministerijos Teisės departamento (direktorė Judita Nagienė, tel. (8 5) 273 5545, el. p. [email protected]) Teisėkūros skyriaus (viršininkė Inga Šilinytė, tel. (8 5) 273 5563, el. p. [email protected]) vyr. specialistas Mantas Keliotis (tel. (8 5) 273 5597, el. p. mantas[email protected]). 3. Kaip šiuo metu yra reguliuojami įstatymų projektuose aptarti teisiniai santykiai Dėl Nacionalinės kibernetinio saugumo strategijos 1.
Kibernetinio saugumo įstatymo 4 straipsnio 1 dalyje numatoma, kad kibernetinio saugumo politikos strateginius tikslus ir jiems pasiekti būtinas priemones nustato Lietuvos Respublikos Vyriausybė, tačiau nenustatyta, kuri institucija tvirtina nacionalinę kibernetinio saugumo strategiją, kaip to reikalauja TIS direktyvos
kibernetinio saugumo subjektų
saugumo dalyvius. Jais laikomi: valstybės institucijos, formuojančios ir įgyvendinančios kibernetinio saugumo politiką, viešojo administravimo subjektai, valdantys ir (arba) tvarkantys valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojai, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjai ir elektroninės informacijos prieglobos paslaugų teikėjai, informacinių technologijų srityje veiklą vykdantys verslo subjektai, mokslo ir studijų institucijos. Nors TIS direktyvos 1 straipsnio 2 dalies d punktas ir numato pareigas skaitmeninių paslaugų teikėjams, toks subjektas Kibernetinio saugumo įstatyme nenumatytas. 3. Kibernetinio saugumo įstatymo 2 straipsnio 2 dalis ir 14 straipsnis nustato ypatingos svarbos informacinės infrastruktūros valdytojus, kaip subjektų grupę, kuriai keliami aukštesni nei kitiems subjektams kibernetinio saugumo reikalavimai. TIS direktyvos 1 straipsnio 2 dalies d punktas nustato saugumo reikalavimus esminių paslaugų operatoriams, kurie pagal identifikavimo kriterijus ir jiems keliamus saugumo reikalavimus nacionalinėje teisėje atitinka ypatingos svarbos informacinės infrastruktūros valdytojus. Pažymėtina, kad nacionalinėje teisėje tikslinga toliau vartoti tarptautinėje praktikoje plačiau naudojamą ypatingos svarbos (kritinės) informacinės infrastruktūros sąvoką.
direktyvos 14 straipsnio 1 dalyje nurodoma, kad valstybės narės turi užtikrinti, kad esminių paslaugų operatoriai imtųsi tinkamų ir proporcingų techninių ir organizacinių priemonių, kad galėtų valdyti riziką, kylančią tinklų ir informacinių sistemų, kuriais jie naudojasi vykdydami savo veiklą, saugumui. Kibernetinio saugumo įstatymo III skyriuje viešojo administravimo subjektams, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir
(arba) viešųjų elektroninių ryšių paslaugų teikėjams, elektroninės informacijos prieglobos paslaugų teikėjams nustatoma pareiga įgyvendinti kibernetinio saugumo reikalavimus. Kibernetinio saugumo įstatymo įgyvendinamieji teisės aktai nustato, kad kibernetinio saugumo dalyviai gali taikyti ir papildomas kibernetinio saugumo priemones, tačiau pažymėtina, kad nenustatoma pareiga įvertinti kibernetinio saugumo riziką ir taikyti proporcingas įvertintai rizikai kibernetinio saugumo priemones. Dėl tarptautinio bendradarbiavimo stiprinimo ES lygmeniu
saugumo įstatymo 17 ir 18 straipsniuose nustatoma sąveika tarp nacionalinių institucijų, tačiau TIS direktyva (14 straipsnio 5 dalis) ir kiti ES teisės aktai akcentuoja tarpvalstybinio ir ES lygmens bendradarbiavimo svarbą valdant didelio poveikio kibernetinius incidentus, kurių šalis negali savarankiškai suvaldyti, arba incidentus, kurių neigiamas poveikis apima daugiau nei vieną valstybę narę, o tai pagal esamą teisinį reguliavimą nenumatyta. Kibernetinio saugumo įstatymo 2 straipsnio 4 dalis nustato kibernetinio incidento sąvoką, tačiau plačiau kibernetinių incidentų samprata nedetalizuojama, kas yra didelio poveikio kibernetinis incidentas, neaiškinama. Dėl kibernetinio saugumo principų 6.
Kibernetinio saugumo įstatymo 3 straipsnyje yra įtvirtinti trys kibernetinio saugumo principai (kibernetinės erdvės nediskriminavimo, kibernetinio saugumo proporcingumo ir viešojo intereso viršenybės). Nors TIS direktyva tiesiogiai ir nenustato pareigos įtvirtinti naujus kibernetinio saugumo principus, atsižvelgiant į besikeičiantį kibernetinio saugumo teisinį reguliavimą, esamų principų nebepakanka. Dėl subjektų, kuriems taikoma administracinė atsakomybė už administracinių nusižengimų, susijusių su ryšių sistema
valstybėms narėms nustatyti sankcijas, taikomas pažeidus TIS direktyvos nuostatas. Administracinių nusižengimo kodekso 479 straipsnio 3 dalyje atsakomybė už informacijos, reikalingos vertinti šių kibernetinio saugumo subjektų ir jų ryšių ir informacinių sistemų atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams ir kibernetinio saugumo būklę, nepateikimą nustatoma tik viešųjų ryšių tinklų ir viešųjų elektroninių ryšių paslaugų, elektroninės prieglobos paslaugų teikėjams, o 480 straipsnio 4 dalyje atsakomybė už ryšių ir informacinių sistemų neatitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams nustatoma tik ypatingos svarbos informacinės infrastruktūros valdytojams ir elektroninės informacijos prieglobos paslaugų teikėjams. Galiojantis teisinis reguliavimas neapima visų kibernetinio saugumo subjektų, kuriems taikomos Kibernetinio saugumo įstatymo nuostatos, įgyvendinančios TIS direktyvą. Dėl papildomų įgaliojimų policijai
yra nustatoma administracinė atsakomybė už teisėtų Nacionalinio kibernetinio saugumo centro nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymą laiku, tačiau tokia atsakomybė už policijos nurodymų nevykdymą nėra nustatoma. Dėl perteklinių Kibernetinio saugumo įstatymo nuostatų 9.
Kibernetinio saugumo įstatymo 11 straipsnyje nustatomi įgaliojimai Valstybinei duomenų apsaugos inspekcijai atlikti juridinių asmenų patikrinimus, kai yra rizikos, kad kibernetiniai incidentai gali turėti įtakos asmens duomenų apsaugai, tikrinti asmens duomenų tvarkymo teisėtumą ir priimti sprendimus dėl asmens duomenų tvarkymo pažeidimų kibernetinėje erdvėje, teikti visuomenei ir suinteresuotoms institucijoms informaciją apie kibernetinio saugumo, susijusio su asmens duomenų apsauga, rizikos veiksnius, pavojus ir grėsmes kibernetinėje erdvėje, nustatyti informacijos apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones pateikimo tvarką. Kibernetinio saugumo įstatymas taip pat nustato pareigą viešojo administravimo subjektams, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams teikti Valstybinei duomenų apsaugos inspekcijai informaciją apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones šios institucijos nustatyta tvarka ir sąlygomis. Atsižvelgiant į tai, kad 2018 m. gegužės 25 d. įsigalioja tiesioginio taikymo teisės aktas Bendrasis duomenų apsaugos reglamentas, nustatantis reikalavimus dėl pranešimų priežiūros institucijoms apie asmens duomenų saugumo pažeidimus ir priežiūros institucijų kompetenciją, užduotis ir įgaliojimus, esamos teisinio reguliavimo nuostatos tampa perteklinės. 10. Kibernetinio saugumo įstatymo 9 straipsnyje nustatomos Nacionalinio kibernetinio saugumo centro, kaip įstaigos prie ministerijos, funkcijos, teisės ir pareigos.
Pažymėtina, kad Lietuvos Respublikos civilinio kodekso 2.47 straipsnyje, Lietuvos Respublikos biudžetinių įstaigų 6 straipsnyje įtvirtinta, kad būtent biudžetinės įstaigos nuostatuose turėtų būti nurodomi biudžetinės įstaigos veiklos tikslai ir funkcijos, o Konstitucinis teismas savo jurisprudencijoje yra pažymėjęs, kad įstatymais turi būti reguliuojami tik svarbiausi visuomenės gyvenimo klausimai. Atsižvelgiant į tai, siūlytina atsisakyti Nacionalinio kibernetinio saugumo centro funkcijų, kurios nesusijusios su svarbiausiais visuomenės gyvenimo klausimais. Dėl kibernetinio saugumo politiką formuojančių ir įgyvendinančių institucijų
duomenų apsaugos inspekcija ir Policijos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos (toliau – Policijos departamentas) formuojant kibernetinio saugumo politiką dalyvauja tiek, kiek šiame Kibernetinio saugumo įstatyme nustatytoms funkcijoms atlikti reikia nustatyti viešojo administravimo subjektų, valdančių valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojų, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjų ir elektroninės informacijos prieglobos paslaugų teikėjų veiklos teisinį reguliavimą. Lietuvos Respublikos valstybės tarnybos įstatymo 2 priede išaiškinama, kad dalyvavimas formuojant valstybės politiką suprantamas kaip valstybės institucijų ir įstaigų veikla, vykdoma darant poveikį rengiamų sprendimų projektų kokybei, vykdant vieną ar kelias aiškiai apibrėžtas funkcijas (siūlymų teikimo, sprendimų derinimo, sprendimų nagrinėjimo, išvadų formulavimo, analizių atlikimo), susijusias su sprendimų projektų rengimu.
Analizuojant pateiktą išaiškinimą ir lyginant jį su Valstybinės duomenų apsaugos inspekcijos ir Policijos departamento atliekamomis funkcijomis kibernetinio saugumo srityje matyti, kad šios institucijos nedalyvauja formuojant kibernetinio saugumo politiką. 12. Kibernetinio saugumo įstatymo 4 straipsnio 3 dalyje nustatoma, kad viena iš kibernetinio saugumo politiką įgyvendinančių institucijų yra Policijos departamentas. Atsižvelgiant į tai, kad praktikoje kibernetinių incidentų tyrimu užsiima Lietuvos kriminalinės policijos biuras, kuris neįeina į Policijos departamento sudėtį, daroma išvada, kad esamas teisinis reguliavimas nėra tikslus. 13. Kibernetinio saugumo įstatymo 5 straipsnio 5 punktas nustato, kad Vyriausybė tvirtina tipinius kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planus. Tipinis kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planas yra metodinė priemonė ypatingos svarbos informacinės infrastruktūros valdytojams rengiant savo kibernetinių incidentų valdymo planus, todėl laikytina, kad tokio pobūdžio teisės aktas neturėtų būti nustatomas Vyriausybės nutarimu. 4. Kokios siūlomos naujos teisinio reguliavimo nuostatos ir kokių teigiamų rezultatų laukiama Dėl Nacionalinės kibernetinio saugumo strategijos 1.
Kibernetinio saugumo įstatymo 5 straipsnio 1 punkte siūloma nustatyti pareigą Lietuvos Respublikos Vyriausybei nustatyti kibernetinio saugumo politikos strateginius tikslus, prioritetus ir jiems pasiekti būtinas priemones, pavedant Vyriausybei tvirtinti Nacionalinę kibernetinio saugumo strategiją. Taip būtų apibrėžiama Vyriausybės pareiga nustatyti kibernetinio saugumo politikos strateginius tikslus, prioritetus ir jiems pasiekti būtinas priemones. Dėl kibernetinio saugumo subjektų
dalimi, kuria būtų nustatoma kibernetinio saugumo subjektų sąvoka. Taip būtų tiksliau apibrėžiami kibernetinio saugumo procese dalyvaujantys subjektai, nustatoma atskirtis tarp kibernetinio saugumo politiką formuojančių, įgyvendinančių institucijų ir subjektų, kuriems nustatomi reikalavimai, užtikrinantys kibernetinį saugumą. 3. Kibernetinio saugumo įstatyme siūloma nustatyti papildomą kibernetinio saugumo subjektų – skaitmeninių paslaugų teikėjų – kategoriją (2 straipsnio 17 dalyje), taip pat skaitmeninių paslaugų tiekėjams nustatyti TIS direktyvos nuostatas atitinkančias pareigas (11 straipsnis ir 12 straipsnio 5 dalis). Atsižvelgiant į tai, kad TIS direktyvoje skaitmeninių paslaugos suprantamos kaip elektroninės prekyvietės, paieškos internete, debesijos paslaugų visuma, Kibernetinio saugumo įstatymą siūloma papildyti debesijos paslaugų (2 straipsnio 1 dalis), elektroninės prekyvietės paslaugos (2 straipsnio 3 dalis), paieškos internete paslaugos (2 straipsnio 4 dalis) sąvokomis, nenustatytomis kituose nacionaliniuose teisės aktuose. 4. TIS direktyvoje numatoma pareiga skaitmeninių paslaugų teikėjams turėti oficialų atstovą tuo atveju, jei skaitmeninių paslaugų teikėjas, kuris nėra įsisteigęs ES, teikia skaitmenines paslaugas ES teritorijoje.
Atstovas turi būti įsisteigęs vienoje iš tų valstybių narių, kuriose teikiamos paslaugos. Atsižvelgiant į tai, Kibernetinio saugumo įstatyme siūloma nustatyti pareigą skaitmeninių paslaugų teikėjams, kurie nėra įsisteigę ES, bet teikia skaitmenines paslaugas Lietuvos Respublikos teritorijoje, skirti oficialų atstovą ES skaitmeninių paslaugų teikėjo vardu (12 straipsnio 5 dalies 2 punktas). Pastebėtina, kad šios pareigos vykdymą planuojama užtikrinti tiesiogiai neveikiant skaitmeninio paslaugų teikėjo. TIS direktyvoje nustatoma, kad skaitmeninių paslaugų teikėjų atžvilgiu turėtų būti vykdoma negriežta ir reaguojamoji ex post priežiūra, todėl atitinkama kompetentinga institucija veiksmų turėtų imtis po įvykusio incidento. Atsižvelgiant į tai, organizaciniuose ir techniniuose kibernetinio saugumo reikalavimuose planuojama nustatyti pareigą subjektams, valdantiems ir (arba) tvarkantiems valstybės informacinius išteklius, ir ypatingos svarbos informacinės infrastruktūros valdytojams nesinaudoti paslaugomis to skaitmeninių paslaugų teikėjo, kuris neįsteigęs oficialaus atstovo ES. 5. Siekiant išvengti incidentų arba efektyviau valdyti vykstančius incidentus ir įgyvendinant TIS direktyvos nuostatas (16 straipsnio 7 dalis), Kibernetinio saugumo įstatyme siūloma nustatyti pareigą Nacionaliniam kibernetinio saugumo centrui, pasikonsultavus su apie kibernetinį incidentą pranešančiu kibernetinio saugumo subjektu, informuoti visuomenę apie pavienius incidentus arba reikalauti, kad tai padarytų kibernetinio saugumo subjektas (8 straipsnio 2 dalies 13 punktas). 6.
nustatyti Nacionalinio kibernetinio saugumo centro teisę reikalauti, kad kibernetinio saugumo subjektai teiktų informaciją, reikalingą jų ryšių ir informacinių sistemų kibernetiniam saugumui įvertinti ir duoti privalomus nurodymus pašalinti kibernetinio saugumo reikalavimų įgyvendinimo trūkumus (8 straipsnio
kibernetinio saugumo subjektų pareigos įvertinti kibernetinio saugumo riziką ir taikyti proporcingas įvertintai rizikai kibernetinio saugumo priemones
įtvirtinti naują – kibernetinio saugumo rizikos valdymo principą. Principo esmė, kad taikomos kibernetinio saugumo priemonės turi užtikrinti kibernetinio saugumo subjektų reguliariai įvertinamos rizikos suvaldymą. Kibernetinio saugumo įstatyme papildomų reikalavimų, nustatančių pareigą atlikti rizikos vertinimą ir taikyti juo pagrįstas papildomų techninių ir organizacinių kibernetinio saugumo priemones, nenumatoma. Tokio pobūdžio reikalavimą siūloma nustatyti organizaciniuose ir techniniuose kibernetinio saugumo reikalavimuose. 8. Papildomai prie jau nustatytos kibernetinio saugumo subjektų pareigos užtikrinti šių subjektų valdomų ir tvarkomų ryšių ir informacinių sistemų atitiktį Vyriausybės nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams siūloma nustatyti pareigą atlikti rizikos vertinimą ir, atsižvelgiant į rizikos vertinimo rezultatus, įdiegti kitas naujausiais technikos laimėjimais paremtas ir proporcingas nustatytai rizikai technines ir organizacines kibernetinio saugumo priemones. Dėl tarptautinio bendradarbiavimo stiprinimo ES lygmeniu 9.
Siekiant nustatyti teisinį pagrindą nacionalinių ir tarptautinių organizacijų, kurių narė yra Lietuvos Respublika, krizių valdymo sistemų sąveikai didelio masto kibernetinių incidentų metu, siūloma Kibernetinio saugumo įstatymą papildyti kibernetinio saugumo krizės sąvoka (2 straipsnio 11 dalis) ir suteikti įgaliojimus Vyriausybei vadovauti kibernetinio saugumo krizių valdymui (5 straipsnio 6 punktas), o Krašto apsaugos ministerijai ir nacionaliniam kibernetinio saugumo centrui – dalyvauti valdant kibernetinio saugumo krizes (atitinkamai 6 straipsnio 10 punktas ir 8 straipsnio 2 dalies 12 punktas). Dėl kibernetinio saugumo principų
kibernetinio saugumo riziką ir taikyti proporcingas įvertintai rizikai kibernetinio saugumo priemones, TIS direktyva skatinama, kad valstybės narės šią pareigą įgyvendintų vienodai (19 straipsnio 1 dalis). Atsižvelgiant į tai, Kibernetinio saugumo įstatymo 3 straipsnyje nustatomi kibernetinio saugumo principai papildomi standartizacijos ir technologinio neutralumo principu, skatinančiu vadovautis nacionaliniais, ES ir kitais tarptautiniais ryšių ir informacinių sistemų kibernetinio saugumo standartais ir specifikacijomis, nereikalaujant taikyti kokios nors konkrečios rūšies technologijos ir nesuteikiant jai pirmenybės. 11.
reguliavimą, kibernetinio saugumo principų sąrašą siūloma papildyti ir subsidiarumo principu, kurio esmė: už ryšių ir informacinių sistemų ir jomis teikiamų paslaugų kibernetinį saugumą yra atsakingi šias sistemas valdantys ir paslaugas teikiantys kibernetinio saugumo subjektai, o srityse, kurios priklauso išimtinai kibernetinio saugumo subjektų kompetencijai, kibernetinio saugumo politiką formuojančios ir įgyvendinančios institucijos veiksmų imasi tik tada, kai ryšių ir informacinių sistemų ir jomis teikiamų paslaugų kibernetinio saugumo negali užtikrinti šias sistemas valdantys ir paslaugas teikiantys kibernetinio saugumo subjektai. Dėl subjektų, kuriems taikoma administracinė atsakomybė už administracinius nusižengimus, susijusius su ryšių ir informacinių sistemų atitiktimi kibernetinio saugumo reikalavimams
nusižengimų kodekso 479 straipsnio 3 dalyje siūloma nustatyti administracinę atsakomybę už informacijos, reikalingos vertinant šių kibernetinio saugumo subjektų ir jų ryšių ir informacinių sistemų atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams ir kibernetinio saugumo būklę, nepateikimą visiems kibernetinio saugumo subjektams, kuriems yra duodamas nurodymas pateikti informaciją, ir jie tokios informacijos nepateikia. 13. Siūloma pakeisti Administracinių nusižengimų kodekso 480 straipsnio 4 dalį ir nustatyti administracinę atsakomybę visiems kibernetinio saugumo subjektams už nustatytų organizacinių ir techninių kibernetinio saugumo reikalavimų nesilaikymą. 14. Atsižvelgiant į siūlomus Administracinių nusižengimų kodekso 479 ir 480 straipsnių pakeitimus, siūloma keisti Administracinių nusižengimų kodekso 589 straipsnį, kuriame atsispindėtų 479 ir 480 straipsniuose atliekami pakeitimai. 15. Siūlomomis priemonėmis tikimasi užtikrinti kibernetinio saugumo reikalavimų, nustatomų kibernetinio saugumo subjektams, laikymąsi.
nusižengimų kodekso 479 straipsnio 1 dalį siūloma papildyti, nustatant atsakomybę ne tik už Nacionalinio kibernetinio saugumo centro, bet ir policijos nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymą laiku. Papildymas grindžiamas tuo, kad šiuo metu yra nustatoma atsakomybė už informacijos nepateikimą policijai, tačiau atsakomybė už nurodymų nevykdymą nėra nustatoma. Atsižvelgiant į tai, kad šiuo atveju yra nustatoma pareiga be sankcijos už pareigos nevykdymą, siūloma suteikti policijai papildomų poveikio įrankių. Dėl perteklinių Kibernetinio saugumo įstatymo nuostatų
reglamentas, jam įsigaliojus esamas Kibernetinio saugumo įstatymo reguliavimas dėl Valstybinės duomenų apsaugos inspekcijos įgaliojimų tampa perteklinis, o TIS direktyvos nuostatas būtina įgyvendinti iki 2018 m. gegužės 9 d., taigi susidaro situacija, kad neilgai trukus po įstatymo įsigaliojimo tam tikros Kibernetinio saugumo įstatymo nuostatos taptų perteklinės, nes būtų reguliuojamos tiesioginio taikymo Bendrajame duomenų apsaugos reglamente. Atsižvelgiant į tai, į Kibernetinio saugumo įstatymo pakeitimo projektą siūloma įtraukti papildomas kai kurių įstatymo straipsnių įsigaliojimo nuostatas, kuriomis būtų panaikinti reikalavimai dėl pranešimų priežiūros institucijoms apie asmens duomenų saugumo pažeidimus ir priežiūros institucijų kompetenciją, užduotis ir įgaliojimus. 18. Kibernetinio saugumo įstatymą dėstant nauja redakcija, siūloma atsisakyti Nacionalinio kibernetinio saugumo centro funkcijų, kurios pagal savo svarbą neturėtų būti reguliuojamos įstatymu.
Įstatyme siūloma reguliuoti tik nuostatas, susijusias su kibernetinio saugumo užtikrinimo priemonių naudojimu, kibernetinio saugumo subjektų kontrole, asmens duomenų tvarkymu, tarptautiniu bendradarbiavimu ir bendradarbiavimu plėtojant projektus, stiprinančius nacionalinį kibernetinį saugumą. Dėl kibernetinio saugumo politiką formuojančių ir įgyvendinančių institucijų
reguliavimą dėl dalyvavimo formuojant kibernetinio saugumo politiką ir nustatyti, kad tai atlieka tik Nacionalinis kibernetinio saugumo centras (4 straipsnio
incidentų tyrimu užsiima Lietuvos kriminalinės policijos biuras, kuris neįeina į Policijos departamento sudėtį, siūloma keisti esamą teisinį reguliavimą dėl kibernetinio saugumo politiką įgyvendinančių institucijų, nustatant, kad tai atlieka ne Policijos departamentas, o policija (4 straipsnio 3 dalis). Lietuvos Respublikos policijos įstatymo 2 straipsnio 4 dalyje nustatyta, kad policija – tai asmens, visuomenės saugumą ir viešąją tvarką užtikrinanti policijos įstaigų ir policijos pareigūnų sistema. Atsižvelgiant į tai, policijos samprata yra platesnė, apimanti visas policijos įstaigas, teisiškai tiksliau būtų laikyti policiją kibernetinio saugumo politiką įgyvendinančia institucija. 21. Atsižvelgiant į tai, kad tipinis kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planas yra metodinė priemonė ypatingos svarbos informacinės infrastruktūros valdytojams rengiant savo kibernetinių incidentų valdymo planus, siūloma tipinio kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose plano tvirtinimą perduoti Krašto apsaugos ministerijai (6 straipsnio 6 punktas). 5.
rengiant įstatymų projektus toks vertinimas turi būti atliktas ir jo rezultatai nepateikiami atskiru dokumentu), galimos neigiamos priimtų įstatymų pasekmės ir kokių priemonių reikėtų imtis, kad tokių pasekmių būtų išvengta Numatomo teisinio reguliavimo poveikio vertinimas neatliekamas. Priėmus Įstatymų projektus, galima situacija, kad dėl nustatytos pareigos atlikti rizikos vertinimą ir diegti papildomas kibernetinio saugumo priemones išaugs kai kurių kibernetinio saugumo subjektų išlaidos užtikrinant jų valdomų ir (ar) tvarkomų ryšių ir informacinių sistemų kibernetinį saugumą. 6. Kokią įtaką priimti įstatymai turės kriminogeninei situacijai, korupcijai Įstatymų projektai neturės įtakos kriminogeninei situacijai ir korupcijai. 7. Kaip įstatymų įgyvendinimas atsilieps verslo sąlygoms ir jo plėtrai Įstatymų įgyvendinimas turės įtakos kuriant saugesnę kibernetinę erdvę Lietuvos Respublikoje, todėl turėtų sukurti palankesnes verslo sąlygas ir skatinti verslo, naudojančio ryšių ir informacines technologijas, plėtrą. 8. Įstatymų pakeitimo projektų inkorporavimas į teisinę sistemą, kokius teisės aktus būtina priimti, kokius galiojančius teisės aktus reikia pakeisti ar pripažinti netekusiais galios Kartu su Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo projektu teikiamas ir Lietuvos Respublikos administracinių nusižengimų kodekso 479, 480, 589 straipsnių ir priedo pakeitimo įstatymo projektas. 9. Ar įstatymų projektai parengti laikantis Lietuvos Respublikos valstybinės kalbos, Teisėkūros pagrindų įstatymų reikalavimų, o įstatymų projektų sąvokos ir jas įvardijantys terminai įvertinti Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka Įstatymų projektai parengti laikantis Lietuvos Respublikos valstybinės kalbos įstatymo, Lietuvos Respublikos teisėkūros pagrindų įstatymo reikalavimų.
Įstatymų projektuose keičiamos ir nustatomos sąvokos yra įvertintos Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka. 10. Ar įstatymų projektai atitinka Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir Europos Sąjungos dokumentus Įstatymų projektai atitinka Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir ES dokumentus. 11. Jeigu įstatymui įgyvendinti reikia įgyvendinamųjų teisės aktų, – kas ir kada juos turėtų priimti Krašto apsaugos ministerija iki 2018 m. gegužės 8 d. parengs šiuos teisės aktų projektus:
1) Lietuvos Respublikos Vyriausybės 2016 m. sausio 25 d. nutarimo Nr. 87
„Dėl Nacionalinio kibernetinių incidentų valdymo plano patvirtinimo“ pakeitimo
projektą;
2) Lietuvos Respublikos Vyriausybės 2016 m. liepos 20 d. nutarimo Nr. 742 „Dėl Ypatingos svarbos informacinės infrastruktūros identifikavimo metodikos patvirtinimo“ pakeitimo projektą;
3) Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimo Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“ pakeitimo projektą;
4) Lietuvos Respublikos Vyriausybės 2016 m. liepos 20 d. nutarimo Nr. 746 „Dėl Tipinio kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose plano patvirtinimo“ pripažinimo netekusiu galios projektą;
5) krašto apsaugos ministro įsakymu tvirtinamą Tipinį kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planą.
lėšų prireiks įstatymams įgyvendinti, ar bus galima sutaupyti (pateikiami prognozuojami rodikliai einamaisiais ir artimiausiais 3 biudžetiniais metais) Įstatymams įgyvendinti papildomų valstybės biudžeto lėšų nereikės. Įstatymų projektuose siūlomų pakeitimų įgyvendinimas neturės įtakos žmogiškųjų, infrastruktūros ar finansinių išteklių pokyčiams, nes Nacionaliniam kibernetinio saugumo centrui nustatomas funkcijas numatoma vykdyti naudojantis turimais krašto apsaugos sistemos ištekliais. 13. Įstatymų projektų rengimo metu gauti specialistų vertinimai ir išvados Įstatymų projektų rengimo metu specialistų vertinimų ir išvadų negauta. 14. Reikšminiai žodžiai, kurių reikia šiems projektams įtraukti į kompiuterinę paieškos sistemą, įskaitant Europos žodyno „Eurovoc“ terminus, temas bei sritis „Kibernetinis saugumas“, „kibernetinis incidentas“, „kibernetinių incidentų valdymas“, „ryšių ir informacinė sistema“, „skaitmeninės paslaugos“. 15. Kiti, iniciatorių nuomone, reikalingi pagrindimai ir paaiškinimai TIS direktyvos 25 straipsnio 1 dalis nustato, kad valstybės narės ne vėliau kaip 2018 m. gegužės 9 d. priima ir paskelbia įstatymus ir kitus teisės aktus, būtinus, kad būtų laikomasi TIS direktyvos nuostatų, todėl siūloma įstatymo įsigaliojimo data yra 2018 m. balandžio 9 d. Atsižvelgiant į tai, kad Lietuvos Respublikos teisingumo ministerija, ruošdamasi 2016 m. balandžio 27 d.
Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas) įsigaliojimui 2018 m. gegužės 25 d., pateikė Lietuvos Respublikos administracinių nusižengimų kodekso 479, 480, 589 straipsnių pakeitimo ir kodekso priedo papildymo įstatymo projektą, kuriuo keičiamas
keičiamas 589 straipsnio 29 punktas, siekiant, kad keičiamos nuostatos būtų suderintos tarpusavyje, formuluotės vienodinamos.
DĖL LIETUVOS RESPUBLIKOS KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 PAKEITIMO ĮSTATYMO PROJEKTO
Vilnius Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas:
redakcija dėstomo Lietuvos Respublikos kibernetinio saugumo įstatymo (toliau – įstatymas; keičiamas įstatymas) pavadinime žodis „įstatymas“ turi būti dėstomas naujos eilutės centre. 2. Įstatymo projekto 2 straipsnyje apibrėžiamos pagrindinės įstatymo sąvokos turi būti išdėstytos abėcėlės tvarka. 3. Siekiant teisės akto nuostatų aiškumo ir jų dėstymo nuoseklumo, įstatymo projekto 2 straipsnio 18 dalyje dėstomą 2 straipsnio 5 dalyje vartojamos formuluotės „didelis neigiamas poveikis“ turinio paaiškinimą siūlome atskiru sakiniu dėstyti pačioje 2 straipsnio 5 dalyje. 4. Svarstytina, ar keičiamo įstatymo 2 straipsnio 6 dalyje pateikiamas apibrėžimas nėra perteklinis ir ar atitinka apibrėžimo konstravimo loginius reikalavimus. 5. Keičiamo įstatymo 2 straipsnio 11 dalyje pateikiamoje kibernetinio saugumo krizės apibrėžtyje prieš žodžius „sukelto neigiamo poveikio“ vartojamas jungtukas „kurių“ koreguotinas į – „kurio (-ių)“; o prieš žodžius „Lietuvos Respublikai“ vartojamas jungtukas „kurie“ keistinas į – „kuris (-ie)“. Be to, atkreiptinas dėmesys, kad atitinkamas apibrėžimas stokoja tikslumo ir aiškumo, nes jame vartojama santykinai daug abstrakčių formuluočių – pavyzdžiui, „tokio masto neigiamas poveikis“; „tokios techninės arba politinės reikšmės neigiamas poveikis“; „poreikis koordinuoti politiką ir reaguoti tarptautiniu lygmeniu“ ir kt. 6. Keičiamo įstatymo 3 straipsnio 1 dalies 2 punkte apibrėžiamas kibernetinio saugumo rizikos valdymo principas – „taikomos kibernetinio saugumo priemonės turi užtikrinti kibernetinio saugumo subjektų reguliariai įvertinamos rizikos suvaldymą“.
Kita vertus, atkreiptinas dėmesys, kad šio principo pavadinimas (past.
viršenybė, bet ir šio principo taikymo sąlygotumas (proporcingumas). 9. Atkreipiame dėmesį, kad jei teisės akto, institucijos, pareigų ir pan. pavadinimas, kuris prasideda žodžiais „Lietuvos Respublika“, minimas ne kartą, pirmą kartą parašius visą pavadinimą, toliau jis gali būti rašomas be žodžių „Lietuvos Respublika“ ir neįvedus trumpinio.
Atsižvelgiant į tai, įstatymo projekto 4 straipsnio 1 dalyje įvesti Lietuvos Respublikos Vyriausybės santrumpos nereikia. Atitinkamai, siekiant teisės akto glaustumo, įstatymo projekto tekste dėstant pasikartojančių įstatymų pavadinimus, juose galima neberašyti žodžių „Lietuvos Respublikos“ (pvz., įstatymo projekto 8 straipsnio 1 dalies 15 punkte, 11 straipsnio 2 dalyje). 10. Keičiamo įstatymo 10 straipsnio 1 punkte įtvirtintas policijos įgaliojimas rinkti, analizuoti ir apibendrinti informaciją apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių. Atkreiptinas dėmesys, kad šioje nuostatoje nėra suderinta kibernetinio incidento ir nusikalstamos veikos skaičiaus gramatinė kategorija, kurią rekomenduotina suvienodinti (t. y. minimas sąvokas vartoti tik vienaskaita, tik daugiskaita arba tiek vienaskaita, tiek daugiskaita[¹]
informacinėse infrastruktūrose plano tvirtinimas.
Atsižvelgiant į tai, įstatymo projekto nuostatos derintinos tarpusavyje. 12. Derinant projekto nuostatas tarpusavyje, įstatymo projekto 12 straipsnio 1 dalies 3 punkte po žodžių „incidentų valdymo“ įrašytini žodžiai
„ypatingos svarbos informacinėse infrastruktūrose“. 13. Įstatymo projekto 12 straipsnio 5 dalies 2 punkte siūloma
nustatyti skaitmeninių paslaugų teikėjų, kurie nėra įsisteigę Europos Sąjungos valstybėje narėje, pareigą skirti atstovą vykdyti veiklą Europos Sąjungoje skaitmeninių paslaugų teikėjų vardu bei nurodoma, kad atstovu turi būti fizinis arba juridinis asmuo, įsisteigęs vienoje iš tų Europos Sąjungos valstybių narių, kuriose yra teikiamos skaitmeninės paslaugos. Vertinant šią nuostatą, atkreiptinas dėmesys, kad užsienio asmenys bei šių asmenų veiklos reguliavimas už Lietuvos Respublikos ribų nepatenka į Lietuvos Respublikos jurisdikciją. Norime pažymėti, kad Lietuvos Respublikos kibernetinio saugumo įstatymas reglamentuoja kibernetinio saugumo subjektų veiklos sąlygas Lietuvos Respublikoje. Tuo tarpu atitinkamus teisinius santykius bei skaitmeninių paslaugų teikėjo atstovų veiklos sąlygas užsienio valstybėse reglamentuoja atitinkamų valstybių nacionaliniai teisės aktai.
Atsižvelgiant į tai, minėtas įstatymo projekto 12 straipsnio
teikėjų atstovų skyrimo būtent Lietuvos Respublikoje tvarką bei kibernetinio saugumo politiką įgyvendinančių Lietuvos institucijų teisę kreiptis į juos dėl skaitmeninių paslaugų teikėjo pareigų vykdymo. Taip pat turėtų būti nustatyta, kad Lietuvos Respublikos jurisdikcijai priklauso tas skaitmeninių paslaugų teikėjas, kurio atstovas vykdyti veiklą Europos Sąjungoje yra įsisteigęs Lietuvoje. Departamento direktorius Andrius Kabišaitis E. Mušinskis, tel. (8 5) 239 6356, el. p. [email protected] P. Veršekys, tel. (8 5) 239 6353, el. p. [email protected] [1] Past. – vienas kibernetinis incidentas gali turėti kelių nusikalstamų veikų požymių ir atvirkščiai – keli kibernetiniai incidentai gali turėti vienos nusikalstamos veikos požymių.
DĖL LIETUVOS RESPUBLIKOS KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 PAKEITIMO ĮSTATYMO PROJEKTO
Vilnius Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas:
projekto 1 straipsnyje nauja redakcija dėstomo Lietuvos Respublikos kibernetinio saugumo įstatymo (toliau – keičiamas įstatymas) 2 straipsnio 18 dalyje dėstomą 2 straipsnio 4 dalyje vartojamos formuluotės „didelis neigiamas poveikis“ turinio paaiškinimą atskiru sakiniu reikėtų dėstyti pačioje 2 straipsnio 4 dalyje. Pažymėtina, kad šio įstatymo kontekste keičiamo įstatymo 2 straipsnio 18 dalis yra susijusi išimtinai tik su 2 straipsnio 4 dalyje vartojama „didelio neigiamo poveikio“ sąvoka, todėl pagal bendruosius teisės aktų rengimo principus, tą patį objektą ar dalyką reguliuojančios nuostatos turi būti dėstomos nuosekliai ir iš eilės. 2. Keičiamo įstatymo 2 straipsnio 7 dalyje pateikiamoje kibernetinio saugumo krizės apibrėžtyje prieš žodžius „sukelto neigiamo poveikio“ vartojamas jungtukas „kurių“ koreguotinas į – „kurio (-ių)“; o prieš žodžius „Lietuvos Respublikai“ vartojamas jungtukas „kurie“ keistinas į – „kuris (-ie)“. 3. Keičiamo įstatymo 2 straipsnio 14 ir 15 dalys sukeistinos vietomis, laikantis principo, jog pagrindinės įstatymo sąvokos dėstomos abėcėlės tvarka. 4. Derinant projekto nuostatas tarpusavyje, keičiamo įstatymo 3 straipsnio 1 dalies 4 punkte vietoje žodžio „naudojamos“ įrašytinas žodis „taikomos“. 5.
nustatyti skaitmeninių paslaugų teikėjų, kurie nėra įsisteigę Europos Sąjungos valstybėje narėje, pareigą skirti atstovą vykdyti veiklą Europos Sąjungoje skaitmeninių paslaugų teikėjų vardu bei nurodoma, kad atstovu turi būti fizinis arba juridinis asmuo, įsisteigęs vienoje iš tų Europos Sąjungos valstybių narių, kuriose yra teikiamos skaitmeninės paslaugos. Vertinant šią nuostatą, atkreiptinas dėmesys, kad užsienio asmenys bei šių asmenų veiklos reguliavimas už Lietuvos Respublikos ribų nepatenka į Lietuvos Respublikos jurisdikciją. Norime pažymėti, kad Lietuvos Respublikos kibernetinio saugumo įstatymas reglamentuoja kibernetinio saugumo subjektų veiklos sąlygas Lietuvos Respublikoje. Atitinkamus teisinius santykius bei skaitmeninių paslaugų teikėjo atstovų veiklos sąlygas užsienio valstybėse reglamentuoja atitinkamų valstybių nacionaliniai teisės aktai. Atsižvelgiant į tai, minėtas keičiamo įstatymo 12 straipsnio 5 dalies 2 punktas tikslintinas, jame reguliuojant galimo skaitmeninių paslaugų teikėjų atstovų skyrimo būtent Lietuvos Respublikoje tvarką bei kibernetinio saugumo politiką įgyvendinančių Lietuvos institucijų teisę kreiptis į juos dėl skaitmeninių paslaugų teikėjo pareigų vykdymo. Kitaip sakant Lietuvos Respublikos kibernetinio saugumo įstatymas neturi reguliuoti skaitmeninių paslaugų teikėjų, kurie nėra įsisteigę Europos Sąjungoje, paskirtų atstovų veiklos tuo atveju, jeigu jie nėra skiriami veiklai Lietuvos Respublikoje vykdyti. 6. Projekto 2 straipsnio nuostatos, nustatančios įstatymo įgyvendinimą, suponuoja, kad tinkamam įstatymo taikymui reikės priimti įstatymo įgyvendinamuosius teisės aktus. Vadovaujantis Teisėkūros pagrindų įstatymo 3 straipsnio 2 dalies 7 punktu, įstatymo įgyvendinamieji teisės aktai turi būti rengiami ir priimami taip, kad įsigaliotų kartu su įstatymu ar atskiromis jo nuostatomis, kurias šie teisės aktai įgyvendina.
Atsižvelgiant į tai, projekto 2 straipsnis pildytinas nauja struktūrine dalimi, nustatant vėlesnę įstatymo įsigaliojimo datą ir pasiūlant Vyriausybei ir krašto apsaugos ministrui iki įstatymo įsigaliojimo parengti įstatymo įgyvendinimui reikalingus teisės aktus. Departamento direktorius Andrius Kabišaitis E. Mušinskis, tel. (8 5) 239 6356, el. p. [email protected] P. Veršekys, tel. (8 5) 239 6353, el. p. [email protected]
komitetaS
dalyvavo: Komiteto pirmininkas – Rimantas Sinkevičius, Komiteto pirmininko pavaduotojas Dainius Kreivys, Komiteto nariai: Antanas Baura, Eugenijus Gentvilas, Bronislavas Matelis, Rūta Miliūtė, Jurgis Razma. Komiteto biuro vedėja Rima Petkūnienė, Komiteto biuro patarėjai: Raimonda Danė, Rasa Ona Duburaitė, Laura Jasiukėnienė, Irina Jurkšuvienė, Darius Šaltmeris. Kviestieji asmenys: Edvinas Kerza - Krašto apsaugos viceministras, Artūras Litvaitis – Krašto apsaugos ministerijos Kibernetinio saugumo ir informacinių technologijų departamento Kibernetinio saugumo ir elektroninės informacijos saugos sk. viršininkas, Mantas Keliotis – Krašto apsaugos ministerijos Teisės departamento Teisėkūros skyriaus specialistas. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos:
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę Str. Str. d. P. 1. Seimo kanceliarijos Teisės departamentas 2018-04-09 Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas:
redakcija dėstomo Lietuvos Respublikos kibernetinio saugumo įstatymo (toliau
departamentas
pagrindinės įstatymo sąvokos turi būti išdėstytos abėcėlės tvarka. Pritarti
departamentas 2018-04-092 5,18 3.
Siekiant teisės akto nuostatų aiškumo ir jų dėstymo nuoseklumo, įstatymo projekto 2 straipsnio 18 dalyje dėstomą 2 straipsnio 5 dalyje vartojamos formuluotės „didelis neigiamas poveikis“ turinio paaiškinimą siūlome atskiru sakiniu dėstyti pačioje 2 straipsnio 5 dalyje. Nepritarti Argumentai: Įstatymo pr. 2 strps. 5 d. yra dėstoma sąvoka, o įstatymo pr. 2 strps. 18 d. yra nurodoma, kad viena iš sąvokos turinio reikšmių detaliau yra atskleidžiama įgyvendinamajame teisės akte. Atkreiptinas dėmesys, kad nurodyta sąvoka nėra apribota vien tik Kibernetinio saugumo įstatymo. Sąvoka yra aprobuota, pateikta Lietuvos Respublikos terminų banke ir teiktina vartoti visuose Lietuvos Respublikos teisės aktuose. Atsižvelgiant į tai, siūlytina į sąvokos apibrėžimą neįtraukti nukreipiančių nuorodų, kurios būtų suprantamos tik vieno teisės akto kontekste. 4. Seimo kanceliarijos Teisės departamentas
6
keičiamo įstatymo 2 straipsnio 6 dalyje pateikiamas apibrėžimas nėra perteklinis ir ar atitinka apibrėžimo konstravimo loginius reikalavimus. Nepritarti Argumentai: Įstatymo projekto 2 strps. 6 d. pateikiamas apibrėžimas yra vartojamas apibrėžiant ir įstatymo projekto 2 strps. 12 d. nurodytą sąvoką. Siekiant teisinio aiškumo, atskleidžiant įstatymo projekto 2 strps. 12 d. nurodytos sąvokos turinį, siūloma palikti nurodytą apibrėžimą. 5. Seimo kanceliarijos Teisės departamentas
11
įstatymo 2 straipsnio 11 dalyje pateikiamoje kibernetinio saugumo krizės apibrėžtyje prieš žodžius „sukelto neigiamo poveikio“ vartojamas jungtukas
„kurių“ koreguotinas į – „kurio (-ių)“; o prieš žodžius „Lietuvos
Respublikai“ vartojamas jungtukas „kurie“ keistinas į – „kuris (-ie)“.
Be to, atkreiptinas dėmesys, kad atitinkamas apibrėžimas stokoja tikslumo ir aiškumo, nes jame vartojama santykinai daug abstrakčių formuluočių – pavyzdžiui, „tokio masto neigiamas poveikis“; „tokios techninės arba politinės reikšmės neigiamas poveikis“; „poreikis koordinuoti politiką ir reaguoti tarptautiniu lygmeniu“ ir kt. Pritarti iš dalies Argumentai:
Pritarti pirmai daliai ir išdėstyti sąvokos apibrėžti taip: „Kibernetinio saugumo krizė – kibernetinis incidentas arba incidentai, kurio (-ių) sukelto neigiamo poveikio Lietuvos Respublika negali pašalinti viena pati arba kuris (-ie) Lietuvos Respublikai ir kitoms
<...>“
Pažymime, kas kibernetinio saugumo krizės sąvoka yra apibrėžta 2017 m. rugsėjo 13 d. Europos Komisijos rekomendacijoje (ES) 2017/1584 dėl koordinuoto atsako į didelio masto kibernetinio saugumo incidentus ir krizes. Rekomendacijoje pateiktas
„politinio lygmens“ ir kitų formuluočių išaiškinimas yra pernelyg platus, kad
jį būtų galima perkelti į sąvoką. Atsižvelgiant į tai, sąvokoje siūlytina palikti tik bendro pobūdžio formuluotes, kurias, iškilus neaiškumams, būtų galima išaiškinti vadovaujantis nurodyta rekomendacija. 6. Seimo kanceliarijos Teisės departamentas
12
įstatymo 3 straipsnio 1 dalies 2 punkte apibrėžiamas kibernetinio saugumo rizikos valdymo principas – „taikomos kibernetinio saugumo priemonės turi užtikrinti kibernetinio saugumo subjektų reguliariai įvertinamos rizikos suvaldymą“.
Kita vertus, atkreiptinas dėmesys, kad šio principo pavadinimas (past.
Argumentai: Kibernetinio saugumo rizikos valdymo principas apibūdina ne proceso rezultatą, o patį procesą, t. y. akcentuojama, koks turi būti rizikos valdymas. Proceso rezultatas, nors ir esminė principo sąlyga, yra tik vienas iš principo turinio dėmenų, apibrėžiančių principo turinį. Atsižvelgiant į tai, siūlytina nesiaurinti principo pavadinimo, akcentuojant tik proceso rezultatą. 7. Seimo kanceliarijos Teisės departamentas
13
įstatymo 3 straipsnio 1 dalies 3 punkte pateiktam kibernetinio saugumo proporcingumo principo apibrėžimui („<...> taikomos teisinės, organizacinės ir techninės kibernetinio saugumo priemonės neturi apriboti kibernetinio saugumo subjektų veiklos kibernetinėje erdvėje labiau, negu tai būtina <...>“) trūksta tikslumo. Iš pateikto apibrėžimo nėra aišku, dėl kokios priežasties (-ių) ar dėl kokio (-ių) tikslo (-ų) yra būtina riboti kibernetinio saugumo subjektų veiklą kibernetinėje erdvėje. Nepritarti Argumentai:
Įstatymo projekto 3 straipsnio
priemonių ir būtinumo riboti. Būtinumas riboti veiklą nėra esminis kibernetinio saugumo proporcingumo principo dėmuo, kurį būtų siekiama atskleisti šiuo principu. 8. Seimo kanceliarijos Teisės departamentas
14 8.
Keičiamo įstatymo 3 straipsnio 1 dalies 3 punkte apibrėžiamas viešojo intereso viršenybės principas („<...> viešojo intereso viršenybės – naudojamos kibernetinio saugumo priemonės pirmiausia turi užtikrinti visuomenės viešojo intereso apsaugą, tačiau neturi iš esmės pažeisti atskirų vartotojų teisių ar neproporcingai apriboti jų laisvės kibernetinėje erdvėje <...>“). Tačiau atkreiptinas dėmesys, kad šio principo pavadinimas tik iš dalies atitinka aprašomą jo turinį. Principo apibrėžtyje akcentuojama ne tik viešojo intereso viršenybė, bet ir šio principo taikymo sąlygotumas (proporcingumas). Nepritarti Argumentai:
Viešojo intereso viršenybės principo turinys yra visapusiškai susijęs su viešojo intereso viršenybe, t. y. akcentuojama tiek viešojo intereso viršenybė, tiek viešojo intereso viršenybės ribos. Atsižvelgiant į tai, laikytina, kad principo pavadinimas visiškai atitinka principo turinį
dėmesį, kad jei teisės akto, institucijos, pareigų ir pan. pavadinimas, kuris prasideda žodžiais „Lietuvos Respublika“, minimas ne kartą, pirmą kartą parašius visą pavadinimą, toliau jis gali būti rašomas be žodžių „Lietuvos Respublika“ ir neįvedus trumpinio. Atsižvelgiant į tai, įstatymo projekto 4 straipsnio 1 dalyje įvesti Lietuvos Respublikos Vyriausybės santrumpos nereikia. Atitinkamai, siekiant teisės akto glaustumo, įstatymo projekto tekste dėstant pasikartojančių įstatymų pavadinimus, juose galima neberašyti žodžių „Lietuvos Respublikos“ (pvz., įstatymo projekto 8 straipsnio 1 dalies
Pasiūlymas:
dalį išdėstyti taip: „1.
Kibernetinio saugumo politikos strateginius tikslus, prioritetus ir jiems pasiekti būtinas priemones nustato Lietuvos Respublikos Vyriausybė (toliau – Vyriausybė).“
dalies 15 punktą išdėstyti taip: „15) tvarko asmens duomenis, būtinus funkcijoms kibernetinio saugumo užtikrinimo srityje atlikti; Nacionalinis kibernetinio saugumo centras asmens duomenis tvarko Lietuvos Respublikos asmens Asmens duomenų teisinės apsaugos įstatymo nustatyta tvarka;“
2 dalį išdėstyti taip: „2. Šiame straipsnyje nustatytos pareigos netaikomos mažoms ir labai mažoms įmonėms, kurios yra apibrėžtos Lietuvos Respublikos smulkiojo Smulkiojo ir vidutinio verslo plėtros įstatyme, teikiančioms skaitmenines paslaugas Lietuvos Respublikoje ir (arba) kitoje Europos Sąjungos valstybėje narėje.“)
įstatymo 10 straipsnio 1 punkte įtvirtintas policijos įgaliojimas rinkti, analizuoti ir apibendrinti informaciją apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių. Atkreiptinas dėmesys, kad šioje nuostatoje nėra suderinta kibernetinio incidento ir nusikalstamos veikos skaičiaus gramatinė kategorija, kurią rekomenduotina suvienodinti (t. y. minimas sąvokas vartoti tik vienaskaita, tik daugiskaita arba tiek vienaskaita, tiek daugiskaita[¹] – pavyzdžiui – „<...> turinčius nusikalstamos (-ų) veikos (-ų) požymių“). Analogiška pastaba teiktina ir dėl šios straipsnio 2 punkto bei įstatymo 11 straipsnio 1 dalies 5 punkto.
Pritarti Pasiūlymas:
1 punktą išdėstyti taip: „1) renka, analizuoja ir apibendrina informaciją apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos nusikalstamų veikų požymių;“
2 punktą išdėstyti taip: „2) nustato kibernetinio saugumo subjektams informacijos, reikalingos kibernetiniams incidentams, galimai turintiems nusikalstamos veikos nusikalstamų veikų požymių, užkardyti ir tirti, pateikimo policijai tvarką;“
1 dalies 5 punktą išdėstyti taip:
5) policijos generalinio komisaro nustatyta tvarka teikia policijai informaciją, reikalingą teisės pažeidimams, turintiems nusikalstamos veikos nusikalstamų veikų požymių, kibernetinėje erdvėje užkardyti ir tirti, ir vykdo kitus policijos nurodymus, duotus šio įstatymo nustatytais pagrindais. Policijos nurodymus dėl paslaugų teikimo jų gavėjui apribojimo privaloma įvykdyti ne vėliau kaip per 8 valandas nuo policijos nurodymo gavimo;“
departamentas
6
projekto 12 straipsnio 1 dalies 1 punkte minimas krašto apsaugos ministro tvirtinamas tipinis kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planas, tačiau įstatymo projekto 6 straipsnio, reglamentuojančio Krašto apsaugos ministerijos įgaliojimus kibernetinio saugumo srityje, 6 ir 7 punktuose minimi tipinis kibernetinių incidentų valdymo planas bei ypatingos svarbos informacinių infrastruktūrų kibernetinės gynybos planas, t. y. prie Krašto apsaugos ministerijos įgaliojimų nepriskirtas 12 straipsnyje minimo tipinio kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose plano tvirtinimas. Atsižvelgiant į tai, įstatymo projekto nuostatos derintinos tarpusavyje.
Pritarti Pasiūlymas:
išdėstyti taip:
„6) tvirtina tipinį kibernetinių incidentų valdymo
ypatingos svarbos informacinėse infrastruktūrose planą;“
departamentas
13
projekto nuostatas tarpusavyje, įstatymo projekto 12 straipsnio 1 dalies 3 punkte po žodžių „incidentų valdymo“ įrašytini žodžiai „ypatingos svarbos informacinėse infrastruktūrose“. Pritarti Pasiūlymas:
punktą išdėstyti taip:
„3) ne rečiau kaip kartą per kalendorinius metus išbando kibernetinių
incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planų veikimą, o bandymų rezultatus organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, nustatyta tvarka pateikia Nacionaliniam kibernetinio saugumo centrui;“
departamentas
52
dalies 2 punkte siūloma nustatyti skaitmeninių paslaugų teikėjų, kurie nėra įsisteigę Europos Sąjungos valstybėje narėje, pareigą skirti atstovą vykdyti veiklą Europos Sąjungoje skaitmeninių paslaugų teikėjų vardu bei nurodoma, kad atstovu turi būti fizinis arba juridinis asmuo, įsisteigęs vienoje iš tų Europos Sąjungos valstybių narių, kuriose yra teikiamos skaitmeninės paslaugos. Vertinant šią nuostatą, atkreiptinas dėmesys, kad užsienio asmenys bei šių asmenų veiklos reguliavimas už Lietuvos Respublikos ribų nepatenka į Lietuvos Respublikos jurisdikciją. Norime pažymėti, kad Lietuvos Respublikos kibernetinio saugumo įstatymas reglamentuoja kibernetinio saugumo subjektų veiklos sąlygas Lietuvos Respublikoje. Tuo tarpu atitinkamus teisinius santykius bei skaitmeninių paslaugų teikėjo atstovų veiklos sąlygas užsienio valstybėse reglamentuoja atitinkamų valstybių nacionaliniai teisės aktai.
Atsižvelgiant į tai, minėtas įstatymo projekto 12 straipsnio 5 dalies 2 punktas tikslintinas, jame reguliuojant skaitmeninių paslaugų teikėjų atstovų skyrimo būtent Lietuvos Respublikoje tvarką bei kibernetinio saugumo politiką įgyvendinančių Lietuvos institucijų teisę kreiptis į juos dėl skaitmeninių paslaugų teikėjo pareigų vykdymo. Taip pat turėtų būti nustatyta, kad Lietuvos Respublikos jurisdikcijai priklauso tas skaitmeninių paslaugų teikėjas, kurio atstovas vykdyti veiklą Europos Sąjungoje yra įsisteigęs Lietuvoje. Pritarti iš dalies Argumentai:
Parlamento ir Tarybos direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (toliau – TIS direktyva) 18 strps. 2 d. nustato, kad skaitmeninių paslaugų teikėjas, kuris nėra įsisteigęs Europos Sąjungoje, bet teikia Europos Sąjungoje paslaugas, vienoje iš tų valstybių narių, kuriose teikiamos paslaugos, turi paskirti atstovą. Taigi, TIS Direktyva reikalauja, kad tokiu atveju skaitmeniniu paslaugų teikėjas turėtų atstovą bent vienoje iš Europos Sąjungos valstybių narių, tačiau kartu draudžia skaitmeninių paslaugų teikėjams nustatyti griežtesnius saugumo ar pranešimo reikalavimus skaitmeniniu paslaugų teikėjams (TIS Direktyvos 16 strps. 10 d.). Atsižvelgiant į tai, griežtesnio reikalavimo steigti atstovą tik Lietuvos Respublikoje, nustatyti negalima. Pastebėtina, kad Kibernetinio saugumo įstatymo kontekste, pareiga skaitmeninių paslaugų teikėjams atsiranda tik tokiu atveju, jei jie pradeda vykdyti veiklą Lietuvos Respublikoje, todėl negalima teigti, kad yra reguliuojami santykiai išeinantys už Lietuvos Respublikos jurisdikcijos ribų.
Pasiūlymas:
išdėstyti taip: „2) skiria atstovą vykdyti veiklą Europos Sąjungoje skaitmeninių paslaugų teikėjo vardu. Atstovas skiriamas, jei skaitmeninių paslaugų teikėjas nėra įsisteigęs Europos Sąjungos valstybėje narėje. Atstovas turi būti fizinis arba juridinis asmuo, įsisteigęs vienoje iš tų Europos Sąjungos valstybių narių, kuriose yra teikiamos skaitmeninės paslaugos. Kibernetinio saugumo politiką įgyvendinančios institucijos turi teisę kreiptis į skaitmeninių paslaugų teikėjo atstovą dėl šiuo įstatymu nustatytų skaitmeninių paslaugų teikėjo pareigų vykdymo. Jei skaitmeninių paslaugų teikėjas skiria atstovą vykdyti veiklą Lietuvos Respublikoje, laikoma, kad skaitmeninių paslaugų teikėjas priklauso Lietuvos Respublikos jurisdikcijai. Laikoma, kad skaitmeninių paslaugų teikėjas priklauso valstybės narės, kurioje yra įsisteigęs jo atstovas, jurisdikcijai.“ 2. Piliečių, asociacijų, politinių partijų ir kitų suinteresuotų asmenų pasiūlymai: negauta. 3. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai: negauta. 5. Subjektų, turinčių įstatymų leidybos iniciatyvos teisę, pasiūlymai: negauta. 6. Komiteto sprendimas ir pasiūlymai:
esmės pritarti iniciatorių pateiktam įstatymo projektui ir Komiteto išvadoms. 6.2. Pasiūlymai: siūlyti pagrindiniam Nacionalinio saugumo ir gynybos komitetui tobulinti įstatymo projektą, atsižvelgiant į Seimo kanceliarijos Teisės departamento pasiūlymus, kuriems pritarė Komitetas. 7. Balsavimo rezultatai: pritarta bendru sutarimu. 8. Komiteto paskirti pranešėjai: Rūta Miliūtė. 9. Komiteto narių atskiroji nuomonė: nepareikšta.
Komiteto pirmininkas Rimantas Sinkevičius Ekonomikos komiteto biuro patarėja Irina Jurkšuvienė
nacionalinio saugumo ir gynybos komitetas
I Š V A D a
dalyvavo: Komiteto pirmininkas Vytautas Bakas, Komiteto pirmininko pavaduotoja Rasa Juknevičienė, Komiteto nariai: Virgilijus Alekna, Arvydas Anušauskas, Algirdas Butkevičius, Laurynas Kasčiūnas, Michal Mackevič, Juozas Olekas, Audrys Šimas. Komiteto biuro patarėjai: Evaldas Sinkevičius, Agnija Tumkevič, Jolita Vasiliauskaitė, padėjėja Vilma Lukoševičiūtė. Kviestieji asmenys: krašto apsaugos viceministras Edvinas Kerza, Krašto apsaugos ministerijos Teisės departamento direktorė Judita Nagienė, Teisės departamento vyr. specialistas Mantas Keliotis, Kibernetinio saugumo ir informacinių technologijų departamento skyriaus vyr. specialistė Aušra Pipirienė, Teisingumo ministerijos Teisinių institucijų departamento direktorė Jolita Sinkevičiūtė, Teisinės veiklos koordinavimo skyriaus vyriausioji specialistė Indrė Skersytė, Valstybės kontrolieriaus pavaduotoja Živilė Simonaitytė, Valdymo audito departamento vyriausioji valstybinė auditorė Venera Michalovska, vyresnysis specialistas Paulius Jankauskas, Valstybinės duomenų apsaugos inspekcijos direktorius Raimondas Andrijauskas. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos (toliau – pasiūlymai):
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę Str. Str. d. P. 1. Seimo kanceliarijos Teisės departamentas, 2018-04-09 Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas: 1.
Teikiamo projekto pavadinime bei projekto 1 straipsnyje nauja redakcija dėstomo Lietuvos Respublikos kibernetinio saugumo įstatymo (toliau – įstatymas; keičiamas įstatymas) pavadinime žodis
„įstatymas“ turi būti dėstomas naujos eilutės centre. Pritarti
2Seimo kanceliarijos Teisės departamentas,
straipsnyje apibrėžiamos pagrindinės įstatymo sąvokos turi būti išdėstytos abėcėlės tvarka. Pritarti
3Seimo kanceliarijos Teisės departamentas,
2018-04-092 5,18
nuostatų aiškumo ir jų dėstymo nuoseklumo, įstatymo projekto 2 straipsnio 18 dalyje dėstomą 2 straipsnio 5 dalyje vartojamos formuluotės „didelis neigiamas poveikis“ turinio paaiškinimą siūlome atskiru sakiniu dėstyti pačioje 2 straipsnio 5 dalyje. Nepritarti Argumentai: Įstatymo projekto 2 str. 5 d. yra dėstoma sąvoka, o įstatymo projekto 2 str. 18 d. yra nurodoma, kad viena iš sąvokos turinio reikšmių detaliau yra atskleidžiama įgyvendinamajame teisės akte. Atkreiptinas dėmesys, kad nurodyta sąvoka nėra apribota vien tik Kibernetinio saugumo įstatymo. Sąvoka yra aprobuota, pateikta Lietuvos Respublikos terminų banke ir teiktina vartoti visuose Lietuvos Respublikos teisės aktuose. Atsižvelgiant į tai, siūlytina į sąvokos apibrėžimą neįtraukti nukreipiančių nuorodų, kurios būtų suprantamos tik vieno teisės akto kontekste. 4. Seimo kanceliarijos Teisės departamentas,
6
keičiamo įstatymo 2 straipsnio 6 dalyje pateikiamas apibrėžimas nėra perteklinis ir ar atitinka apibrėžimo konstravimo loginius reikalavimus. Nepritarti Argumentai: Įstatymo projekto 2 str. 6 d. pateikiamas apibrėžimas yra vartojamas apibrėžiant ir įstatymo projekto 2 str. 12 d. nurodytą sąvoką. Siekiant teisinio aiškumo, atskleidžiant įstatymo projekto 2 str.
12 d. nurodytos sąvokos turinį, siūloma palikti nurodytą apibrėžimą. 5. Seimo kanceliarijos Teisės departamentas,
11
straipsnio 11 dalyje pateikiamoje kibernetinio saugumo krizės apibrėžtyje prieš žodžius „sukelto neigiamo poveikio“ vartojamas jungtukas „kurių“ koreguotinas į – „kurio (-ių)“; o prieš žodžius „Lietuvos Respublikai“ vartojamas jungtukas „kurie“ keistinas į – „kuris (-ie)“. Be to, atkreiptinas dėmesys, kad atitinkamas apibrėžimas stokoja tikslumo ir aiškumo, nes jame vartojama santykinai daug abstrakčių formuluočių – pavyzdžiui, „tokio masto neigiamas poveikis“; „tokios techninės arba politinės reikšmės neigiamas poveikis“; „poreikis koordinuoti politiką ir reaguoti tarptautiniu lygmeniu“ ir kt. Pritarti iš dalies Argumentai:
Pritarti pastabos pirmai pastraipai dėl kibernetinio saugumo krizės apibrėžties patikslinimo ir tobulinti pagal papildomo komiteto pateiktą pasiūlymą. Dėl pastabos antros pastraipos pažymėtina, kad kibernetinio saugumo krizės sąvoka yra apibrėžta 2017 m. rugsėjo 13 d. Europos Komisijos rekomendacijoje (ES) 2017/1584 dėl koordinuoto atsako į didelio masto kibernetinio saugumo incidentus ir krizes. Rekomendacijoje pateiktas „politinio lygmens“ ir kitų formuluočių išaiškinimas yra pernelyg platus, kad jį būtų galima perkelti į sąvoką. Atsižvelgiant į tai, sąvokoje siūlytina palikti tik bendro pobūdžio formuluotes, kurias, iškilus neaiškumams, būtų galima išaiškinti vadovaujantis nurodyta rekomendacija. 6. Seimo kanceliarijos Teisės departamentas,
12
straipsnio 1 dalies 2 punkte apibrėžiamas kibernetinio saugumo rizikos valdymo principas – „taikomos kibernetinio saugumo priemonės turi užtikrinti kibernetinio saugumo subjektų reguliariai įvertinamos rizikos suvaldymą“.
Kita vertus, atkreiptinas dėmesys, kad šio principo pavadinimas (past. – vartojama sąvoka „rizikos valdymas“ – t. y. žymi tam tikrą procesą) neatitinka šio principo turinio, siejamo ne su rizikos valdymo procesu, o su šio proceso rezultatu – rizikos suvaldymu. Atsižvelgiant į tai, tikslintinas teikiamo principo pavadinimas arba jo apibrėžimas. Nepritarti Argumentai:
Kibernetinio saugumo rizikos valdymo principas apibūdina ne proceso rezultatą, o patį procesą, t. y. akcentuojama, koks turi būti rizikos valdymas. Proceso rezultatas, nors ir esminė principo sąlyga, yra tik vienas iš principo turinio dėmenų, apibrėžiančių principo turinį. Atsižvelgiant į tai, siūlytina nesiaurinti principo pavadinimo, akcentuojant tik proceso rezultatą. 7. Seimo kanceliarijos Teisės departamentas,
13
straipsnio 1 dalies 3 punkte pateiktam kibernetinio saugumo proporcingumo principo apibrėžimui („<...> taikomos teisinės, organizacinės ir techninės kibernetinio saugumo priemonės neturi apriboti kibernetinio saugumo subjektų veiklos kibernetinėje erdvėje labiau, negu tai būtina <...>“) trūksta tikslumo. Iš pateikto apibrėžimo nėra aišku, dėl kokios priežasties (-ių) ar dėl kokio (-ių) tikslo (-ų) yra būtina riboti kibernetinio saugumo subjektų veiklą kibernetinėje erdvėje. Nepritarti Argumentai:
Įstatymo projekto 3 straipsnio 1 dalies 3 punkte įtvirtintu principu formuluojamas santykis tarp ribojimo priemonių ir būtinumo riboti. Būtinumas riboti veiklą nėra esminis kibernetinio saugumo proporcingumo principo dėmuo, kurį būtų siekiama atskleisti šiuo principu. 8. Seimo kanceliarijos Teisės departamentas,
14 8.
Keičiamo įstatymo 3 straipsnio 1 dalies 3 punkte apibrėžiamas viešojo intereso viršenybės principas („<...> viešojo intereso viršenybės – naudojamos kibernetinio saugumo priemonės pirmiausia turi užtikrinti visuomenės viešojo intereso apsaugą, tačiau neturi iš esmės pažeisti atskirų vartotojų teisių ar neproporcingai apriboti jų laisvės kibernetinėje erdvėje <...>“). Tačiau atkreiptinas dėmesys, kad šio principo pavadinimas tik iš dalies atitinka aprašomą jo turinį. Principo apibrėžtyje akcentuojama ne tik viešojo intereso viršenybė, bet ir šio principo taikymo sąlygotumas (proporcingumas). Nepritarti Argumentai:
Viešojo intereso viršenybės principo turinys yra visapusiškai susijęs su viešojo intereso viršenybe, t. y. akcentuojama tiek viešojo intereso viršenybė, tiek viešojo intereso viršenybės ribos. Atsižvelgiant į tai, laikytina, kad principo pavadinimas visiškai atitinka principo turinį
9Seimo kanceliarijos Teisės departamentas,
81111215
9Atkreipiame dėmesį,
kad jei teisės akto, institucijos, pareigų ir pan. pavadinimas, kuris prasideda žodžiais „Lietuvos Respublika“, minimas ne kartą, pirmą kartą parašius visą pavadinimą, toliau jis gali būti rašomas be žodžių „Lietuvos Respublika“ ir neįvedus trumpinio. Atsižvelgiant į tai, įstatymo projekto 4 straipsnio 1 dalyje įvesti Lietuvos Respublikos Vyriausybės santrumpos nereikia. Atitinkamai, siekiant teisės akto glaustumo, įstatymo projekto tekste dėstant pasikartojančių įstatymų pavadinimus, juose galima neberašyti žodžių „Lietuvos Respublikos“ (pvz., įstatymo projekto 8 straipsnio 1 dalies
Tobulinti pagal papildomo komiteto pateiktą pasiūlymą. 10. Seimo kanceliarijos Teisės departamentas,
111 1, 2,5 10.
Keičiamo įstatymo
apibendrinti informaciją apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių. Atkreiptinas dėmesys, kad šioje nuostatoje nėra suderinta kibernetinio incidento ir nusikalstamos veikos skaičiaus gramatinė kategorija, kurią rekomenduotina suvienodinti (t. y. minimas sąvokas vartoti tik vienaskaita, tik daugiskaita arba tiek vienaskaita, tiek daugiskaita[1] – pavyzdžiui – „<...> turinčius nusikalstamos (-ų) veikos (-ų) požymių“). Analogiška pastaba teiktina ir dėl šios straipsnio 2 punkto bei įstatymo 11 straipsnio 1 dalies 5 punkto. Pritarti Tobulinti pagal papildomo komiteto pateiktą pasiūlymą. 11. Seimo kanceliarijos Teisės departamentas,
6
tipinis kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planas, tačiau įstatymo projekto 6 straipsnio, reglamentuojančio Krašto apsaugos ministerijos įgaliojimus kibernetinio saugumo srityje, 6 ir 7 punktuose minimi tipinis kibernetinių incidentų valdymo planas bei ypatingos svarbos informacinių infrastruktūrų kibernetinės gynybos planas, t. y. prie Krašto apsaugos ministerijos įgaliojimų nepriskirtas 12 straipsnyje minimo tipinio kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose plano tvirtinimas. Atsižvelgiant į tai, įstatymo projekto nuostatos derintinos tarpusavyje. Pritarti Tobulinti pagal papildomo komiteto pateiktą pasiūlymą. 12. Seimo kanceliarijos Teisės departamentas,
13
nuostatas tarpusavyje, įstatymo projekto 12 straipsnio 1 dalies 3 punkte po žodžių „incidentų valdymo“ įrašytini žodžiai „ypatingos svarbos informacinėse infrastruktūrose“. Pritarti Tobulinti pagal papildomo komiteto pateiktą pasiūlymą. 13.
13Seimo kanceliarijos Teisės departamentas,
52
projekto 12 straipsnio 5 dalies 2 punkte siūloma nustatyti skaitmeninių paslaugų teikėjų, kurie nėra įsisteigę Europos Sąjungos valstybėje narėje, pareigą skirti atstovą vykdyti veiklą Europos Sąjungoje skaitmeninių paslaugų teikėjų vardu bei nurodoma, kad atstovu turi būti fizinis arba juridinis asmuo, įsisteigęs vienoje iš tų Europos Sąjungos valstybių narių, kuriose yra teikiamos skaitmeninės paslaugos. Vertinant šią nuostatą, atkreiptinas dėmesys, kad užsienio asmenys bei šių asmenų veiklos reguliavimas už Lietuvos Respublikos ribų nepatenka į Lietuvos Respublikos jurisdikciją. Norime pažymėti, kad Lietuvos Respublikos kibernetinio saugumo įstatymas reglamentuoja kibernetinio saugumo subjektų veiklos sąlygas Lietuvos Respublikoje. Tuo tarpu atitinkamus teisinius santykius bei skaitmeninių paslaugų teikėjo atstovų veiklos sąlygas užsienio valstybėse reglamentuoja atitinkamų valstybių nacionaliniai teisės aktai. Atsižvelgiant į tai, minėtas įstatymo projekto 12 straipsnio 5 dalies 2 punktas tikslintinas, jame reguliuojant skaitmeninių paslaugų teikėjų atstovų skyrimo būtent Lietuvos Respublikoje tvarką bei kibernetinio saugumo politiką įgyvendinančių Lietuvos institucijų teisę kreiptis į juos dėl skaitmeninių paslaugų teikėjo pareigų vykdymo. Taip pat turėtų būti nustatyta, kad Lietuvos Respublikos jurisdikcijai priklauso tas skaitmeninių paslaugų teikėjas, kurio atstovas vykdyti veiklą Europos Sąjungoje yra įsisteigęs Lietuvoje. Pritarti iš dalies Tobulinti pagal papildomo komiteto pateiktą pasiūlymą. Argumentai:
direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (toliau – TIS direktyva) 18 strps.
įsisteigęs Europos Sąjungoje, bet teikia Europos Sąjungoje paslaugas, vienoje iš tų valstybių narių, kuriose teikiamos paslaugos, turi paskirti atstovą. Taigi, TIS Direktyva reikalauja, kad tokiu atveju skaitmeninių paslaugų teikėjas turėtų atstovą bent vienoje iš Europos Sąjungos valstybių narių, tačiau kartu draudžia skaitmeninių paslaugų teikėjams nustatyti griežtesnius saugumo ar pranešimo reikalavimus skaitmeninių paslaugų teikėjams (TIS Direktyvos 16 str. 10 d.). Atsižvelgiant į tai, griežtesnio reikalavimo steigti atstovą tik Lietuvos Respublikoje, nustatyti negalima. Pastebėtina, kad Kibernetinio saugumo įstatymo kontekste, pareiga skaitmeninių paslaugų teikėjams atsiranda tik tokiu atveju, jei jie pradeda vykdyti veiklą Lietuvos Respublikoje, todėl negalima teigti, kad yra reguliuojami santykiai išeinantys už Lietuvos Respublikos jurisdikcijos ribų. 3. Piliečių, asociacijų, politinių partijų, lobistų ir kitų suinteresuotų asmenų pasiūlymai: negauta. 4. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai: negauta. 5. Subjektų, turinčių įstatymų leidybos iniciatyvos teisę, pasiūlymai: negauta. 6. Seimo paskirtų papildomų komitetų /komisijų pasiūlymai:
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pastabos Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
p. 1. Ekonomikos komitetas, 2018-04-18 Siūlyti pagrindiniam Nacionalinio saugumo ir gynybos komitetui tobulinti įstatymo projektą, atsižvelgiant į
7Komiteto sprendimas ir pasiūlymai:
svarstomu Kibernetinio saugumo įstatymo Nr.
XII-1428 4, 11, 13, 14, 15 ir 18 straipsnių pakeitimo įstatymo projektu Nr. XIIIP-2101 į vieną įstatymo projektą ir siūlyti Seimui toliau svarstyti vieną bendrą įstatymo projektą Nr. XIIIP-1925. 7.2. Pritarti Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo projektui Nr. XIIIP-1925 (nauja redakcija) ir Nacionalinio saugumo ir gynybos komiteto išvadai. Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pastabos Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
p. 1. Nacionalinio saugumo ir gynybos komitetas,
1617 Argumentai: Atsižvelgiant į tai, kad sąvokos „skaitmeninė paslauga“ ir „skaitmeninės paslaugos teikėjas“ Lietuvos Respublikos terminų banke yra aprobuotas skaitmenines paslaugas įvardijant daugiskaita, siūlytina tikslinti nurodytas sąvokas. Pasiūlymas: Pakeisti įstatymo projekto 2 straipsnio 16 dalį ir ją išdėstyti taip: „16. Skaitmeninės paslauga paslaugos
Pakeisti įstatymo projekto 2 straipsnio 17 dalį ir ją išdėstyti taip: „17. Skaitmeninės paslaugos Skaitmeninių paslaugų teikėjas – juridinis asmuo, teikiantis skaitmenines paslaugas Lietuvoje Respublikoje ir (arba) kitose Europos Sąjungos valstybėse narėse.“
2Nacionalinio saugumo ir gynybos komitetas,
25 Argumentai: Siūloma tikslinti keičiamo įstatymo 8 straipsnio 2 dalies 5 punktą nurodant, kad nepriklausomas saugumo auditas turėtų būti atliekamas ne viešųjų ryšių tinklų ar viešųjų elektroninių ryšių paslaugų atžvilgiu, bet ryšių ir informacinių sistemų ar jomis teikiamų paslaugų atžvilgių.
Pastebėtina, kad nurodymas atlikti auditą būtų duodamas visiems kibernetinio saugumo dalyviais (išskyrus skaitmeninių paslaugų teikėjus), tačiau ne visi kibernetinio saugumo dalyviai teikia viešųjų ryšių tinklų ar viešųjų elektroninių ryšių paslaugas, todėl esant dabartiniai formuluotei, nurodymas galėtų būti duodamas tik vienai kibernetinio saugumo subjektų grupei – viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams. Atsižvelgiant į tai, 8 straipsnio 2 dalies 5 punktu siekiama nustatyti galimybę duoti nurodymą būtent visiems kibernetinio saugumo subjektams (išskyrus skaitmeninių paslaugų teikėjus), siūlytina nurodytą formuluotę tikslinti. Pasiūlymas:
Pakeisti įstatymo projekto 8 straipsnio 2 dalies 5 punktą ir jį išdėstyti taip: „5) duoda nurodymus kibernetinio saugumo subjektams, išskyrus skaitmeninių paslaugų teikėjus, savo lėšomis atlikti nepriklausomą viešųjų ryšių tinklų ar viešųjų elektroninių ryšių ir informacinių sistemų arba jomis teikiamų paslaugų saugumo auditą ir pateikti šio audito rezultatus, jei jie organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, nustatyta tvarka nepateikia techninės informacijos, reikalingos ryšių ir informacinių sistemų ar jomis teikiamų paslaugų kibernetinio saugumo būklei įvertinti;“ Pritarti 3.
Nacionalinio saugumo ir gynybos komitetas,
214 Argumentai:
patvirtino 17 Nuolatinio struktūrizuoto bendradarbiavimo saugumo ir gynybos politikos (angl., PESCO) srityje projektų sąrašą, kurie bus vykdomi pagal Nuolatinio struktūrizuoto bendradarbiavimo formatą. Lietuvos Respublikos krašto apsaugos ministerija inicijavo ir vadovauja vienam PESCO projektui
„Greitojo reagavimo į kibernetinius incidentus pajėgos ir savitarpio pagalbos
kibernetinio saugumo srityje“ (angl., Cyber Rapid Response Teams (CRRT) and Mutual Assistance in Cyber Security). Greitojo reagavimo į kibernetinius incidentus pajėgų projektas padės dalyvaujančioms ES šalims mobilizuoti savo sukauptą patirtį siekiant bendrai sustiprinti kibernetinį šalių saugumą. Projektas turi du pagrindinius tikslus. Pirmasis yra plėtoti ir glaudinti bendradarbiavimą kovoje su kibernetinėmis grėsmėmis teikiant savitarpio pagalbą. Bendradarbiavimas numato dalinimąsi informacija, bendras pratybas, operacinio lygmens pagalbą, tyrimus ir pajėgumų plėtojimą bei bendrų įrankių sukūrimą. Antrasis tikslas yra Greitojo reagavimo į kibernetinius incidentus pajėgų sukūrimas, kurios galėtų padėti dalyvėms patyrusioms ataką arba incidentą.
Pagalba reikštų, kad gali būti pasitelktos ir ES institucijos įtraukiant Bendras saugumo ir gynybos misijas, kai kuriais atvejais veikiant ir partnerystę su ES turinčiose šalyse. Atsižvelgiant į tai, kad Lietuva, kaip projektui vadovaujanti valstybė, visų pirma, pati turėtų turėti aiškiai išreikštą galimybę pasitelkti užsienio valstybių pagalbą užtikrinant kibernetinį saugumą, siūlytina tikslinti įstatymo projekto 8 straipsnio 2 dalies 14 punktą, aiškiai ir nedviprasmiškai išreiškiant, kad Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos priskirta bendradarbiavimo su užsienio valstybių kompetentingomis institucijomis, vykdant teisės aktų nustatytas funkcijas kibernetinio saugumo srityje, funkcija, apimtų ir galimybę pasitelkti užsienio valstybių kompetentingų institucijų pagalbą vykdant teisės aktų nustatytas funkcijas kibernetinio saugumo srityje. Pasiūlymas:
Pakeisti įstatymo projekto 8 straipsnio 2 dalies 14 punktą ir jį išdėstyti taip:
„14) bendradarbiauja su tarptautinių organizacijų
kompetentingomis institucijomis, jų įsteigtomis bendradarbiavimo grupėmis bei užsienio valstybių kompetentingomis institucijomis ir tarnybomis, turi teisę jas pasitelkti, kartu vykdant vykdydamas šio įstatymo ir kitų teisės aktų nustatytas funkcijas kibernetinio saugumo srityje;“
4Nacionalinio saugumo ir gynybos komitetas,
2018-06-069 Argumentai: Atsižvelgiant į tai, kad įstatymo pakeitimo įstatymo projekto 2 straipsnyje nurodyti įstatymo įsigaliojimo terminai bei 9 ir 11 straipsnių įsigaliojimo terminai yra pasibaigę ir neaktualūs, siūloma pakeisti 9 straipsnį, dėstant jį įsigaliojimo termino metu nustatyta redakcija. Be to, siekiant suvienodinti formuluotes su 2016 m. balandžio 27 d.
Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) siūlytina vartoti reglamente vartojamas formuluotes. Pasiūlymas: Pakeisti įstatymo projekto 9 straipsnį ir jį išdėstyti taip: „9 straipsnis. Valstybinės duomenų apsaugos inspekcijos įgaliojimai kibernetinio saugumo srityje Valstybinė duomenų apsaugos inspekcija įgyvendina kibernetinio saugumo politiką asmens duomenų apsaugos srityje ir vykdo 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) jai priežiūros institucijai pavestas užduotis.“
5Nacionalinio saugumo ir gynybos komitetas,
4 Argumentai: Įstatymo projekto 10 straipsnio 4 punkte vartojama formuluotė ,,perduodamos informacijos turinys“ paprastai suprantama kaip bet kokia informacija, kuria keičiasi šalys naudodamos elektroninių ryšių tinklus (informacijos turinio duomenimis laikomas pokalbio telefonu ar susirašinėjimo elektroniniu paštu turinys). Pastebėtina, kad perduodamos informacijos turinio kontrolė, jos fiksavimas ir kaupimas vykdomas vadovaujantis Lietuvos Respublikos baudžiamojo proceso kodekso (toliau – BPK) 154 straipsniu ir Lietuvos Respublikos kriminalinės žvalgybos įstatymo (toliau – KŽĮ) 10 straipsniu. Šiuose įstatymuose detaliai reglamentuojama šių priemonių taikymo tvarka, terminai, asmenų procesinės garantijos ir kita.
Nepaisant to, kad įstatymo projekto 10 straipsnio 4 punkto pradžioje yra išvardijama kokio pobūdžio informacijos kontekste yra suteikiamos teisės policijai, formuluotė ,,kontroliuoti perduodamos informacijos turinį“ gali sudaryti klaidingą įspūdį, kad aptariamo įstatymo pagrindu policijai suteikta teisė atlikti elektroninių ryšių tinklais perduodamos informacijos faktinio turinio kontrolę ne BPK ar KŽĮ nustatyta tvarka, bet alternatyvia – įstatymo projekto
reguliavimo siūlytina tikslinti formuluotę. Pasiūlymas: Pakeisti įstatymo projekto 10 straipsnio 4 punktą ir jį išdėstyti taip:
„4) turi teisę duoti nurodymą viešųjų ryšių tinklų
ir (arba) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų teikėjui ir skaitmeninių paslaugų teikėjui išsaugoti informaciją, susijusią su jų teikiamomis paslaugomis, iš kurios galima nustatyti naudotos ryšio paslaugos tipą, taikytas technines priemones ir naudojimo laiką, paslaugos gavėjo tapatybę, pašto, geografinės padėties adresą, telefono ir bet kokį kitą prieigos numerį, informaciją apie sąskaitas ir atliktus mokėjimus paslaugos sutarties arba susitarimo pagrindu ir kitą informaciją ryšių aparatūros įrengimo vietoje, turimą pagal paslaugos sutartį arba susitarimą, šią informaciją gauti ir, kai yra motyvuota teismo nutartis, gauti paslaugų gavėjo srauto duomenis ir kontroliuoti šiame punkte nurodytos perduodamos informacijos turinį.“
6Nacionalinio saugumo ir gynybos komitetas,
2018-06-0611 P Argumentai: Atsižvelgiant į tai, kad įstatymo pakeitimo įstatymo projekto 2 straipsnyje nurodyti įstatymo įsigaliojimo terminai bei 9 ir 11 straipsnių įsigaliojimo terminai yra pasibaigę ir neaktualūs, siūloma pakeisti 11 straipsnį, dėstant jį įsigaliojimo termino metu nustatyta redakcija.
Pasiūlymas: Pakeisti įstatymo projekto 11 straipsnį ir jį išdėstyti taip: „11 straipsnis. Bendrosios kibernetinio saugumo subjektų pareigos
1Kibernetinio saugumo subjektai:
1) atsako už jų valdomų ryšių ir informacinių sistemų ar teikiamų paslaugų kibernetinį saugumą, užtikrina jų atitiktį organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, nuostatoms;
2) organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo nustatyta tvarka atlieka rizikos vertinimą ir įdiegia kitas, naujausiais technikos laimėjimais paremtas ir proporcingas nustatytai rizikai suvaldyti, technines ir organizacines kibernetinio saugumo priemones;
3) Nacionaliniame kibernetinių incidentų valdymo plane nustatytomis sąlygomis ir tvarka informuoja kibernetinio saugumo instituciją apie jų valdomose ir (arba) tvarkomose ryšių ir informacinėse sistemose įvykusius kibernetinius incidentus ir taikytas kibernetinių incidentų valdymo priemones;
4) policijos generalinio komisaro nustatyta tvarka teikia policijai informaciją, reikalingą teisės pažeidimams, turintiems nusikalstamos veikos požymių, kibernetinėje erdvėje užkardyti ir tirti, ir vykdo kitus policijos nurodymus, duotus šio įstatymo nustatytais pagrindais.
Policijos nurodymus dėl paslaugų teikimo jų gavėjui apribojimo privaloma įvykdyti ne vėliau kaip per 8 valandas nuo policijos nurodymo gavimo;
5) paskiria kompetentingą asmenį ar padalinį, atsakingą už kibernetinio saugumo organizavimą ir užtikrinimą, ir Nacionaliniam kibernetinio saugumo centrui pateikia paskirto asmens ar padalinio kontaktinę informaciją;
6) vykdo Nacionalinio kibernetinio saugumo centro nurodymus, nustatytus šio įstatymo 8 straipsnyje. 2. Šiame straipsnyje nustatytos pareigos netaikomos mažoms ir labai mažoms įmonėms, kurios yra apibrėžtos Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, teikiančioms skaitmenines paslaugas Lietuvos Respublikoje ir (arba) kitoje Europos Sąjungos valstybėje narėje.“ Pritarti 7.
Nacionalinio saugumo ir gynybos komitetas, 2018-06-062 Argumentai: Atsižvelgiant į tai, kad įstatymo pakeitimo įstatymo projekto 2 straipsnyje nurodyti įstatymo įsigaliojimo terminai bei 9 ir 11 straipsnių įsigaliojimo terminai yra pasibaigę ir neaktualūs, siūloma naujai išdėstyti įstatymo pakeitimo įstatymo projekto 2 straipsnį, kartu pakeičiant ir straipsnio pavadinimą. Pasiūlymas:
Pakeisti įstatymo pakeitimo įstatymo projekto 2 straipsnį ir jį išdėstyti taip: „2 straipsnis. Įstatymo įsigaliojimas ir įgyvendinimas
straipsnio 2, 3, 4 dalis, įsigalioja 2018 m. gegužės 9 d. 2. Lietuvos Respublikos Vyriausybė ir Lietuvos Respublikos krašto apsaugos ministras priima šio įstatymo įgyvendinamuosius teisės aktus. 3. 2018 m. gegužės 25 d. įsigalioja tokia šio įstatymo 1 straipsnyje išdėstyto Lietuvos Respublikos kibernetinio saugumo įstatymo 9 straipsnio redakcija: „9 straipsnis. Valstybinės duomenų apsaugos inspekcijos įgaliojimai kibernetinio saugumo srityje Valstybinė duomenų apsaugos inspekcija įgyvendina kibernetinio saugumo politiką asmens duomenų apsaugos srityje ir vykdo 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) jai pavestas užduotis.“
42018 m. gegužės 25 d.
įsigalioja tokia šio įstatymo 1 straipsnyje išdėstyto Lietuvos Respublikos kibernetinio saugumo įstatymo 11 straipsnio redakcija: „11 straipsnis. Bendrosios kibernetinio saugumo subjektų pareigos 1.
Kibernetinio saugumo subjektai:
1) atsako už jų valdomų ryšių ir informacinių sistemų ar teikiamų paslaugų kibernetinį saugumą, užtikrina jų atitiktį organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, nuostatoms;
2) organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo nustatyta tvarka atlieka rizikos vertinimą ir įdiegia kitas, naujausiais technikos laimėjimais paremtas ir proporcingas nustatytai rizikai suvaldyti, technines ir organizacines kibernetinio saugumo priemones;
3) Nacionaliniame kibernetinių incidentų valdymo plane nustatytomis sąlygomis ir tvarka informuoja kibernetinio saugumo instituciją apie jų valdomose ir (arba) tvarkomose ryšių ir informacinėse sistemose įvykusius kibernetinius incidentus ir taikytas kibernetinių incidentų valdymo priemones;
4) policijos generalinio komisaro nustatyta tvarka teikia policijai informaciją, reikalingą teisės pažeidimams, turintiems nusikalstamos veikos požymių, kibernetinėje erdvėje užkardyti ir tirti, ir vykdo kitus policijos nurodymus, duotus šio įstatymo nustatytais pagrindais. Policijos nurodymus dėl paslaugų teikimo jų gavėjui apribojimo privaloma įvykdyti ne vėliau kaip per 8 valandas nuo policijos nurodymo gavimo;
5) paskiria kompetentingą asmenį ar padalinį, atsakingą už kibernetinio saugumo organizavimą ir užtikrinimą, ir Nacionaliniam kibernetinio saugumo centrui pateikia paskirto asmens ar padalinio kontaktinę informaciją;
6) vykdo Nacionalinio kibernetinio saugumo centro nurodymus, nustatytus šio įstatymo 8 straipsnyje. 2. Šiame straipsnyje nustatytos pareigos netaikomos mažoms ir labai mažoms įmonėms, kurios yra apibrėžtos Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, teikiančioms skaitmenines paslaugas Lietuvos Respublikoje ir (arba) kitoje Europos Sąjungos valstybėje narėje.“ Pritarti 8.
Balsavimo rezultatai: pritarta bendru sutarimu. 9. Komiteto paskirti pranešėjai: Vytautas Bakas. 10. Komiteto narių atskiroji nuomonė: nepareikšta. Komiteto pirmininkas Vytautas Bakas Komiteto biuro patarėjas Evaldas Sinkevičius