Projekto lyginamasis variantas
STRAIPSNIų ir priedo pakeitimo
2018 m. d. Nr. Vilnius
1Pakeisti 479 straipsnio 3 dalį ir ją išdėstyti taip:
„3. Informacijos, reikalingos vertinti viešųjų ryšių tinklų, viešųjų
elektroninių ryšių paslaugų ir (arba) elektroninės informacijos prieglobos paslaugų kibernetinio saugumo būseną, nepateikimas Nacionaliniam kibernetinio saugumo centrui arba šios informacijos pateikimo tvarkos pažeidimas Nacionalinio kibernetinio saugumo centro nurodymų kibernetinio saugumo subjektams pateikti informaciją, būtiną kibernetinio saugumo subjektų ir jų valdomų ryšių ir informacinių sistemų atitikties organizaciniams ir techniniams kibernetinio saugumo reikalavimams, taikomiems kibernetinio saugumo subjektams, ir kibernetinio saugumo būklei įvertinti, nevykdymas laiku užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų.“
2Pakeisti 479 straipsnio 4 dalį ir ją išdėstyti taip:
„4. Informacijos apie kibernetinius incidentus, galimai turinčius nusikalstamos
veikos požymių, nepateikimas Policijos departamentui prie Vidaus reikalų ministerijos policijai arba šios informacijos teikimo tvarkos pažeidimas užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų.“
Pakeisti 479 straipsnį ir jį išdėstyti taip:
kibernetinio saugumo įstatyme nustatytos informacijos teikimo pareigos atlikimo pažeidimai
taikytas kibernetinių incidentų valdymo priemones nepateikimas Nacionaliniam kibernetinio saugumo centrui arba šios informacijos teikimo tvarkos pažeidimas užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų.
2Informacijos apie kibernetinius incidentus,
susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones nepateikimas Valstybinei duomenų apsaugos inspekcijai arba šios informacijos teikimo tvarkos pažeidimas užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų. 3. Nacionalinio kibernetinio saugumo centro nurodymų kibernetinio saugumo subjektams pateikti informaciją, būtiną kibernetinio saugumo subjektų ir jų valdomų ryšių ir informacinių sistemų atitikties organizaciniams ir techniniams kibernetinio saugumo reikalavimams, taikomiems kibernetinio saugumo subjektams, ir kibernetinio saugumo būklei įvertinti, nevykdymas laiku užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų. 4. Informacijos apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių, nepateikimas policijai arba šios informacijos teikimo tvarkos pažeidimas užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų. 5. Šio straipsnio 1, 2, 3, 4 dalyse numatyti administraciniai nusižengimai, padaryti pakartotinai, užtraukia baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trijų šimtų iki vieno tūkstančio keturių šimtų keturiasdešimt eurų. „479 straipsnis. Lietuvos Respublikos kibernetinio saugumo įstatyme nustatytos informacijos teikimo pareigos atlikimo pažeidimai 1.
Informacijos apie kibernetinius incidentus ir taikytas kibernetinių incidentų valdymo priemones nepateikimas Nacionaliniam kibernetinio saugumo centrui arba šios informacijos teikimo tvarkos pažeidimas užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų. 2. Nacionalinio kibernetinio saugumo centro nurodymų kibernetinio saugumo subjektams pateikti informaciją, būtiną kibernetinio saugumo subjektų ir jų valdomų ryšių ir informacinių sistemų atitikties organizaciniams ir techniniams kibernetinio saugumo reikalavimams, taikomiems kibernetinio saugumo subjektams, ir kibernetinio saugumo būklei įvertinti, nevykdymas laiku užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų. 3. Informacijos apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių, nepateikimas policijai arba šios informacijos teikimo tvarkos pažeidimas užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki trijų šimtų eurų. 4. Šio straipsnio 1, 2, 3 dalyse numatyti administraciniai nusižengimai, padaryti pakartotinai, užtraukia baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trijų šimtų iki vieno tūkstančio keturių šimtų keturiasdešimt eurų.“
1Pakeisti 480 straipsnio pavadinimą ir jį išdėstyti taip:
„480 straipsnis. Lietuvos Respublikos kibernetinio
saugumo įstatymo įstatyme nustatytų kibernetinio saugumo užtikrinimo pareigų atlikimo pažeidimai, susiję su ypatingos svarbos informacine infrastruktūra ir elektroninės informacijos prieglobos paslaugomis“
2Pakeisti 480 straipsnio 1 dalį ir ją išdėstyti taip:
„1.
Teisėtų Nacionalinio kibernetinio saugumo centro ar policijos nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymas laiku užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo septyniasdešimt iki vieno šimto penkiasdešimt eurų.“
3Pakeisti 480 straipsnio 4 dalį ir ją išdėstyti taip:
„4. Nustatytų organizacinių ir techninių kibernetinio saugumo reikalavimų,
taikomų kibernetinio saugumo subjektams, kibernetinio saugumo subjektų ir jų valdomų ryšių ir informacinių sistemų kibernetiniam saugumui užtikrinti nevykdymas ypatingos svarbos informacinei infrastruktūrai arba elektroninės informacijos prieglobos paslaugų kibernetiniam saugumui užtikrinti nesilaikymas užtraukia įspėjimą arba baudą juridinių asmenų vadovams ar kitiems atsakingiems asmenims nuo trisdešimt iki vieno tūkstančio keturių šimtų eurų.“
1Pakeisti 589 straipsnio 29 punktą ir jį išdėstyti taip:
„29) Valstybinės duomenų apsaugos inspekcijos – dėl šio kodekso 82, 83 straipsniuose straipsnyje, 224 straipsnio 1 dalyje, 479 straipsnio 2, 5 dalyse, 505, 507 straipsniuose numatytų administracinių nusižengimų;“. 2. Pakeisti 589 straipsnio 46 punktą ir jį išdėstyti taip: „46) Nacionalinio kibernetinio saugumo centro – dėl šio kodekso 479 straipsnio 1, 32,
nusižengimų;“. 3.
3Pakeisti 589 straipsnio 49 punktą ir jį išdėstyti taip:
„49) policijos – dėl šio kodekso 48, 62, 63, 65, 69, 71, 72, 73, 74 straipsniuose,
1 dalyje, 108, 109, 115, 122, 125, 127, 130, 131, 133, 134, 137, 142, 143, 150, 151, 152, 153, 154, 155, 159, 160, 161, 162, 163, 164, 166, 167, 168, 169, 170, 171 straipsniuose, 172 straipsnio 1, 2 dalyse, 173, 174, 176, 182, 183, 192, 206, 207, 208, 209, 214, 219, 220, 224, 225, 226, 227, 228, 229, 230, 231, 232, 233, 234, 234¹, 234² straipsniuose, 281 straipsnio 1, 2 dalyse, 282, 290, 306, 307, 321, 336, 339, 340, 342, 346, 366, 367, 368 straipsniuose, 369 straipsnio 5, 6 dalyse, 414, 415, 416, 417, 420, 421, 422, 423, 424 straipsniuose, 426 straipsnio 1, 2, 3, 5 dalyse, 427, 428, 429, 430, 431, 432, 433 straipsniuose, 434 straipsnio 1, 3 dalyse, 436, 438 straipsniuose, 439 straipsnio 2 dalyje, 450, 451, 452, 453, 454, 455, 456, 458, 459, 460, 461, 462, 463, 473, 474 straipsniuose, 479 straipsnio 43, 54 dalyse, 480 straipsnio 1 dalyje, 481, 482, 483, 484, 484¹, 485, 486, 487, 488, 489, 490, 491, 492, 493, 494, 495 straipsniuose, 496 straipsnio 1, 2 dalyse, 506 straipsnio 1, 2, 4, 5, 6 dalyse, 507, 508, 511, 512, 513, 518, 519, 520, 521, 523, 524, 527, 528, 530, 532, 534, 535, 538, 539, 540, 541 straipsniuose, 542 straipsnio 1, 2, 3 dalyse, 543, 546, 553 straipsniuose numatytų administracinių nusižengimų;“. 5 straipsnis. Kodekso priedo pakeitimas Papildyti Kodekso priedą nauju 95 punktu:
„95. 2016 m. liepos 6 d. Europos Parlamento ir Tarybos direktyva (ES)
2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (OL 2016, L 194, p. 1.)“
1Šis įstatymas, išskyrus šio įstatymo 2 ir 4 straipsnius,
įsigalioja 2018 m. gegužės 9 d. 2. Šio įstatymo 2 ir 4 straipsniai įsigalioja 2018 m. gegužės 25 d. Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą.
Respublikos Prezidentas
raštas
tikslai ir uždaviniai Europos Parlamentas ir Europos Sąjungos Taryba, atsižvelgdami į Europos Komisijos pasiūlymą, 2016 m. liepos 6 d. priėmė direktyvą (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (toliau – TIS direktyva). TIS direktyva siekiama nustatyti priemones aukštam bendram tinklų ir informacinių sistemų saugumo lygiui Sąjungoje užtikrinti, kad būtų pagerintas vidaus rinkos veikimas, o įgyvendinant šį tikslą TIS direktyva:
informacinių sistemų saugumo strategiją;
narių strateginis bendradarbiavimas ir keitimasis informacija, taip pat didinama jų atsakomybė ir tarpusavio pasitikėjimas;
būtų prisidedama prie valstybių narių atsakomybės ir tarpusavio pasitikėjimo didinimo ir skatinamas greitas bei veiksmingas operatyvinis bendradarbiavimas;
skaitmeninių paslaugų teikėjams;
institucijas, bendruosius informacinius centrus ir reagavimo į kibernetinius incidentus tarnybas, kuriems pavedamos užduotys, susijusios su tinklų ir informacinių sistemų saugumu.
TIS direktyvos nuostatos turi būti perkeltos į nacionalinę teisę ne vėliau kaip 2018 m. gegužės 9 d. Siekdama įgyvendinti TIS direktyvos nuostatas, Lietuvos Respublikos krašto apsaugos ministerija parengė šiuos įstatymų pakeitimų projektus: Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo projektą (toliau – Kibernetinio saugumo įstatymo projektas) ir Lietuvos Respublikos administracinių nusižengimų kodekso 479, 480, 589 straipsnių ir priedo pakeitimo įstatymo projektą (toliau
lygmeniu, ir sukurti sąlygas nuostatoms įgyvendinti įgyvendinamųjų teisės aktų lygmeniu. Pastebėtina, kad Įstatymų projektais nesiekiama įgyvendinti TIS direktyvos nuostatų visa direktyvos apimtimi.
Pirma, tam tikros TIS direktyvos nuostatos savo esme sutampa su jau galiojančiomis Kibernetinio saugumo įstatymo nuostatomis, todėl neturi būti iš naujo perkeltos į nacionalinę teisę. Antra, Kibernetinio saugumo įstatymas nėra vienintelė priemonė TIS direktyvos nuostatoms įgyvendinti, šiuo tikslu keičiami ir kiti nacionaliniai teisės aktai. Platesnė informacija pateikiama pridedamoje atitikties lentelėje. Įgyvendinant nurodytą Įstatymų projektų tikslą, nustatomi šie Kibernetinio saugumo įstatymo pakeitimo projekto uždaviniai:
subjektą, tvirtinantį nacionalinę kibernetinio saugumo strategiją. 2. Apibrėžti kibernetinio saugumo subjektus ir nustatyti jų pareigas. 3. Įtvirtinti nuostatas dėl kibernetinio saugumo rizikos valdymo. 4. Stiprinti tarptautinį bendradarbiavimą Europos Sąjungos (toliau
asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas), nustatantis reikalavimus dėl pranešimų priežiūros institucijoms apie asmens duomenų saugumo pažeidimus ir priežiūros institucijų kompetenciją, užduotis ir įgaliojimus. Įsigaliojus nurodytam reglamentui, esamas Kibernetinio saugumo įstatymo reguliavimas dėl Valstybinės duomenų apsaugos inspekcijos įgaliojimų tampa perteklinis.
Atsižvelgiant į tai ir turint galvoje atliekamų Kibernetinio saugumo įstatymo pakeitimų, įgyvendinant TIS direktyvą, aprėptį, Kibernetinio saugumo įstatymo projektu siekiama persvarstyti Kibernetinio saugumo įstatymą iš esmės. Siekiant nurodyto tikslo, nustatomi šie Kibernetinio saugumo įstatymo pakeitimo projekto uždaviniai:
saugumo įstatymo nuostatų. 2. Tiksliau apibrėžti kibernetinio saugumo politiką formuojančių ir įgyvendinančių institucijų kompetenciją. 3. Patikslinti Kibernetinio saugumo įstatymą teisės technikos aspektu. 2. Įstatymų projektų iniciatoriai (institucija, asmenys ar piliečių įgalioti atstovai) ir rengėjai Kibernetinio saugumo įstatymo pakeitimo projekto rengimą inicijavo Krašto apsaugos ministerija. Šį projektą parengė Krašto apsaugos ministerijos Kibernetinio saugumo ir informacinių technologijų departamento (direktorius Jonas Skardinskas, tel. 8 706 80 800, el. p. [email protected]) Kibernetinio saugumo ir elektroninės informacijos saugos skyriaus viršininkas Artūras Litvaitis (tel. 8 706 80 806, el. p. [email protected]) ir Krašto apsaugos ministerijos Teisės departamento (direktorė Judita Nagienė, tel. (8 5) 273 5545, el. p. [email protected]) Teisėkūros skyriaus (viršininkė Inga Šilinytė, tel. (8 5) 273 5563, el. p. [email protected]) vyr. specialistas Mantas Keliotis (tel. (8 5) 273 5597, el. p. mantas[email protected]). 3. Kaip šiuo metu yra reguliuojami įstatymų projektuose aptarti teisiniai santykiai Dėl Nacionalinės kibernetinio saugumo strategijos 1.
Kibernetinio saugumo įstatymo 4 straipsnio 1 dalyje numatoma, kad kibernetinio saugumo politikos strateginius tikslus ir jiems pasiekti būtinas priemones nustato Lietuvos Respublikos Vyriausybė, tačiau nenustatyta, kuri institucija tvirtina nacionalinę kibernetinio saugumo strategiją, kaip to reikalauja TIS direktyvos
kibernetinio saugumo subjektų
saugumo dalyvius. Jais laikomi: valstybės institucijos, formuojančios ir įgyvendinančios kibernetinio saugumo politiką, viešojo administravimo subjektai, valdantys ir (arba) tvarkantys valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojai, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjai ir elektroninės informacijos prieglobos paslaugų teikėjai, informacinių technologijų srityje veiklą vykdantys verslo subjektai, mokslo ir studijų institucijos. Nors TIS direktyvos 1 straipsnio 2 dalies d punktas ir numato pareigas skaitmeninių paslaugų teikėjams, toks subjektas Kibernetinio saugumo įstatyme nenumatytas. 3. Kibernetinio saugumo įstatymo 2 straipsnio 2 dalis ir 14 straipsnis nustato ypatingos svarbos informacinės infrastruktūros valdytojus, kaip subjektų grupę, kuriai keliami aukštesni nei kitiems subjektams kibernetinio saugumo reikalavimai. TIS direktyvos 1 straipsnio 2 dalies d punktas nustato saugumo reikalavimus esminių paslaugų operatoriams, kurie pagal identifikavimo kriterijus ir jiems keliamus saugumo reikalavimus nacionalinėje teisėje atitinka ypatingos svarbos informacinės infrastruktūros valdytojus. Pažymėtina, kad nacionalinėje teisėje tikslinga toliau vartoti tarptautinėje praktikoje plačiau naudojamą ypatingos svarbos (kritinės) informacinės infrastruktūros sąvoką.
direktyvos 14 straipsnio 1 dalyje nurodoma, kad valstybės narės turi užtikrinti, kad esminių paslaugų operatoriai imtųsi tinkamų ir proporcingų techninių ir organizacinių priemonių, kad galėtų valdyti riziką, kylančią tinklų ir informacinių sistemų, kuriais jie naudojasi vykdydami savo veiklą, saugumui. Kibernetinio saugumo įstatymo III skyriuje viešojo administravimo subjektams, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir
(arba) viešųjų elektroninių ryšių paslaugų teikėjams, elektroninės informacijos prieglobos paslaugų teikėjams nustatoma pareiga įgyvendinti kibernetinio saugumo reikalavimus. Kibernetinio saugumo įstatymo įgyvendinamieji teisės aktai nustato, kad kibernetinio saugumo dalyviai gali taikyti ir papildomas kibernetinio saugumo priemones, tačiau pažymėtina, kad nenustatoma pareiga įvertinti kibernetinio saugumo riziką ir taikyti proporcingas įvertintai rizikai kibernetinio saugumo priemones. Dėl tarptautinio bendradarbiavimo stiprinimo ES lygmeniu
saugumo įstatymo 17 ir 18 straipsniuose nustatoma sąveika tarp nacionalinių institucijų, tačiau TIS direktyva (14 straipsnio 5 dalis) ir kiti ES teisės aktai akcentuoja tarpvalstybinio ir ES lygmens bendradarbiavimo svarbą valdant didelio poveikio kibernetinius incidentus, kurių šalis negali savarankiškai suvaldyti, arba incidentus, kurių neigiamas poveikis apima daugiau nei vieną valstybę narę, o tai pagal esamą teisinį reguliavimą nenumatyta. Kibernetinio saugumo įstatymo 2 straipsnio 4 dalis nustato kibernetinio incidento sąvoką, tačiau plačiau kibernetinių incidentų samprata nedetalizuojama, kas yra didelio poveikio kibernetinis incidentas, neaiškinama. Dėl kibernetinio saugumo principų 6.
Kibernetinio saugumo įstatymo 3 straipsnyje yra įtvirtinti trys kibernetinio saugumo principai (kibernetinės erdvės nediskriminavimo, kibernetinio saugumo proporcingumo ir viešojo intereso viršenybės). Nors TIS direktyva tiesiogiai ir nenustato pareigos įtvirtinti naujus kibernetinio saugumo principus, atsižvelgiant į besikeičiantį kibernetinio saugumo teisinį reguliavimą, esamų principų nebepakanka. Dėl subjektų, kuriems taikoma administracinė atsakomybė už administracinių nusižengimų, susijusių su ryšių sistema
valstybėms narėms nustatyti sankcijas, taikomas pažeidus TIS direktyvos nuostatas. Administracinių nusižengimo kodekso 479 straipsnio 3 dalyje atsakomybė už informacijos, reikalingos vertinti šių kibernetinio saugumo subjektų ir jų ryšių ir informacinių sistemų atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams ir kibernetinio saugumo būklę, nepateikimą nustatoma tik viešųjų ryšių tinklų ir viešųjų elektroninių ryšių paslaugų, elektroninės prieglobos paslaugų teikėjams, o 480 straipsnio 4 dalyje atsakomybė už ryšių ir informacinių sistemų neatitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams nustatoma tik ypatingos svarbos informacinės infrastruktūros valdytojams ir elektroninės informacijos prieglobos paslaugų teikėjams. Galiojantis teisinis reguliavimas neapima visų kibernetinio saugumo subjektų, kuriems taikomos Kibernetinio saugumo įstatymo nuostatos, įgyvendinančios TIS direktyvą. Dėl papildomų įgaliojimų policijai
yra nustatoma administracinė atsakomybė už teisėtų Nacionalinio kibernetinio saugumo centro nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymą laiku, tačiau tokia atsakomybė už policijos nurodymų nevykdymą nėra nustatoma. Dėl perteklinių Kibernetinio saugumo įstatymo nuostatų 9.
Kibernetinio saugumo įstatymo 11 straipsnyje nustatomi įgaliojimai Valstybinei duomenų apsaugos inspekcijai atlikti juridinių asmenų patikrinimus, kai yra rizikos, kad kibernetiniai incidentai gali turėti įtakos asmens duomenų apsaugai, tikrinti asmens duomenų tvarkymo teisėtumą ir priimti sprendimus dėl asmens duomenų tvarkymo pažeidimų kibernetinėje erdvėje, teikti visuomenei ir suinteresuotoms institucijoms informaciją apie kibernetinio saugumo, susijusio su asmens duomenų apsauga, rizikos veiksnius, pavojus ir grėsmes kibernetinėje erdvėje, nustatyti informacijos apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones pateikimo tvarką. Kibernetinio saugumo įstatymas taip pat nustato pareigą viešojo administravimo subjektams, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams teikti Valstybinei duomenų apsaugos inspekcijai informaciją apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones šios institucijos nustatyta tvarka ir sąlygomis. Atsižvelgiant į tai, kad 2018 m. gegužės 25 d. įsigalioja tiesioginio taikymo teisės aktas Bendrasis duomenų apsaugos reglamentas, nustatantis reikalavimus dėl pranešimų priežiūros institucijoms apie asmens duomenų saugumo pažeidimus ir priežiūros institucijų kompetenciją, užduotis ir įgaliojimus, esamos teisinio reguliavimo nuostatos tampa perteklinės. 10. Kibernetinio saugumo įstatymo 9 straipsnyje nustatomos Nacionalinio kibernetinio saugumo centro, kaip įstaigos prie ministerijos, funkcijos, teisės ir pareigos.
Pažymėtina, kad Lietuvos Respublikos civilinio kodekso 2.47 straipsnyje, Lietuvos Respublikos biudžetinių įstaigų 6 straipsnyje įtvirtinta, kad būtent biudžetinės įstaigos nuostatuose turėtų būti nurodomi biudžetinės įstaigos veiklos tikslai ir funkcijos, o Konstitucinis teismas savo jurisprudencijoje yra pažymėjęs, kad įstatymais turi būti reguliuojami tik svarbiausi visuomenės gyvenimo klausimai. Atsižvelgiant į tai, siūlytina atsisakyti Nacionalinio kibernetinio saugumo centro funkcijų, kurios nesusijusios su svarbiausiais visuomenės gyvenimo klausimais. Dėl kibernetinio saugumo politiką formuojančių ir įgyvendinančių institucijų
duomenų apsaugos inspekcija ir Policijos departamentas prie Lietuvos Respublikos vidaus reikalų ministerijos (toliau – Policijos departamentas) formuojant kibernetinio saugumo politiką dalyvauja tiek, kiek šiame Kibernetinio saugumo įstatyme nustatytoms funkcijoms atlikti reikia nustatyti viešojo administravimo subjektų, valdančių valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojų, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjų ir elektroninės informacijos prieglobos paslaugų teikėjų veiklos teisinį reguliavimą. Lietuvos Respublikos valstybės tarnybos įstatymo 2 priede išaiškinama, kad dalyvavimas formuojant valstybės politiką suprantamas kaip valstybės institucijų ir įstaigų veikla, vykdoma darant poveikį rengiamų sprendimų projektų kokybei, vykdant vieną ar kelias aiškiai apibrėžtas funkcijas (siūlymų teikimo, sprendimų derinimo, sprendimų nagrinėjimo, išvadų formulavimo, analizių atlikimo), susijusias su sprendimų projektų rengimu.
Analizuojant pateiktą išaiškinimą ir lyginant jį su Valstybinės duomenų apsaugos inspekcijos ir Policijos departamento atliekamomis funkcijomis kibernetinio saugumo srityje matyti, kad šios institucijos nedalyvauja formuojant kibernetinio saugumo politiką. 12. Kibernetinio saugumo įstatymo 4 straipsnio 3 dalyje nustatoma, kad viena iš kibernetinio saugumo politiką įgyvendinančių institucijų yra Policijos departamentas. Atsižvelgiant į tai, kad praktikoje kibernetinių incidentų tyrimu užsiima Lietuvos kriminalinės policijos biuras, kuris neįeina į Policijos departamento sudėtį, daroma išvada, kad esamas teisinis reguliavimas nėra tikslus. 13. Kibernetinio saugumo įstatymo 5 straipsnio 5 punktas nustato, kad Vyriausybė tvirtina tipinius kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planus. Tipinis kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planas yra metodinė priemonė ypatingos svarbos informacinės infrastruktūros valdytojams rengiant savo kibernetinių incidentų valdymo planus, todėl laikytina, kad tokio pobūdžio teisės aktas neturėtų būti nustatomas Vyriausybės nutarimu. 4. Kokios siūlomos naujos teisinio reguliavimo nuostatos ir kokių teigiamų rezultatų laukiama Dėl Nacionalinės kibernetinio saugumo strategijos 1.
Kibernetinio saugumo įstatymo 5 straipsnio 1 punkte siūloma nustatyti pareigą Lietuvos Respublikos Vyriausybei nustatyti kibernetinio saugumo politikos strateginius tikslus, prioritetus ir jiems pasiekti būtinas priemones, pavedant Vyriausybei tvirtinti Nacionalinę kibernetinio saugumo strategiją. Taip būtų apibrėžiama Vyriausybės pareiga nustatyti kibernetinio saugumo politikos strateginius tikslus, prioritetus ir jiems pasiekti būtinas priemones. Dėl kibernetinio saugumo subjektų
dalimi, kuria būtų nustatoma kibernetinio saugumo subjektų sąvoka. Taip būtų tiksliau apibrėžiami kibernetinio saugumo procese dalyvaujantys subjektai, nustatoma atskirtis tarp kibernetinio saugumo politiką formuojančių, įgyvendinančių institucijų ir subjektų, kuriems nustatomi reikalavimai, užtikrinantys kibernetinį saugumą. 3. Kibernetinio saugumo įstatyme siūloma nustatyti papildomą kibernetinio saugumo subjektų – skaitmeninių paslaugų teikėjų – kategoriją (2 straipsnio 17 dalyje), taip pat skaitmeninių paslaugų tiekėjams nustatyti TIS direktyvos nuostatas atitinkančias pareigas (11 straipsnis ir 12 straipsnio 5 dalis). Atsižvelgiant į tai, kad TIS direktyvoje skaitmeninių paslaugos suprantamos kaip elektroninės prekyvietės, paieškos internete, debesijos paslaugų visuma, Kibernetinio saugumo įstatymą siūloma papildyti debesijos paslaugų (2 straipsnio 1 dalis), elektroninės prekyvietės paslaugos (2 straipsnio 3 dalis), paieškos internete paslaugos (2 straipsnio 4 dalis) sąvokomis, nenustatytomis kituose nacionaliniuose teisės aktuose. 4. TIS direktyvoje numatoma pareiga skaitmeninių paslaugų teikėjams turėti oficialų atstovą tuo atveju, jei skaitmeninių paslaugų teikėjas, kuris nėra įsisteigęs ES, teikia skaitmenines paslaugas ES teritorijoje.
Atstovas turi būti įsisteigęs vienoje iš tų valstybių narių, kuriose teikiamos paslaugos. Atsižvelgiant į tai, Kibernetinio saugumo įstatyme siūloma nustatyti pareigą skaitmeninių paslaugų teikėjams, kurie nėra įsisteigę ES, bet teikia skaitmenines paslaugas Lietuvos Respublikos teritorijoje, skirti oficialų atstovą ES skaitmeninių paslaugų teikėjo vardu (12 straipsnio 5 dalies 2 punktas). Pastebėtina, kad šios pareigos vykdymą planuojama užtikrinti tiesiogiai neveikiant skaitmeninio paslaugų teikėjo. TIS direktyvoje nustatoma, kad skaitmeninių paslaugų teikėjų atžvilgiu turėtų būti vykdoma negriežta ir reaguojamoji ex post priežiūra, todėl atitinkama kompetentinga institucija veiksmų turėtų imtis po įvykusio incidento. Atsižvelgiant į tai, organizaciniuose ir techniniuose kibernetinio saugumo reikalavimuose planuojama nustatyti pareigą subjektams, valdantiems ir (arba) tvarkantiems valstybės informacinius išteklius, ir ypatingos svarbos informacinės infrastruktūros valdytojams nesinaudoti paslaugomis to skaitmeninių paslaugų teikėjo, kuris neįsteigęs oficialaus atstovo ES. 5. Siekiant išvengti incidentų arba efektyviau valdyti vykstančius incidentus ir įgyvendinant TIS direktyvos nuostatas (16 straipsnio 7 dalis), Kibernetinio saugumo įstatyme siūloma nustatyti pareigą Nacionaliniam kibernetinio saugumo centrui, pasikonsultavus su apie kibernetinį incidentą pranešančiu kibernetinio saugumo subjektu, informuoti visuomenę apie pavienius incidentus arba reikalauti, kad tai padarytų kibernetinio saugumo subjektas (8 straipsnio 2 dalies 13 punktas). 6.
nustatyti Nacionalinio kibernetinio saugumo centro teisę reikalauti, kad kibernetinio saugumo subjektai teiktų informaciją, reikalingą jų ryšių ir informacinių sistemų kibernetiniam saugumui įvertinti ir duoti privalomus nurodymus pašalinti kibernetinio saugumo reikalavimų įgyvendinimo trūkumus (8 straipsnio
kibernetinio saugumo subjektų pareigos įvertinti kibernetinio saugumo riziką ir taikyti proporcingas įvertintai rizikai kibernetinio saugumo priemones
įtvirtinti naują – kibernetinio saugumo rizikos valdymo principą. Principo esmė, kad taikomos kibernetinio saugumo priemonės turi užtikrinti kibernetinio saugumo subjektų reguliariai įvertinamos rizikos suvaldymą. Kibernetinio saugumo įstatyme papildomų reikalavimų, nustatančių pareigą atlikti rizikos vertinimą ir taikyti juo pagrįstas papildomų techninių ir organizacinių kibernetinio saugumo priemones, nenumatoma. Tokio pobūdžio reikalavimą siūloma nustatyti organizaciniuose ir techniniuose kibernetinio saugumo reikalavimuose. 8. Papildomai prie jau nustatytos kibernetinio saugumo subjektų pareigos užtikrinti šių subjektų valdomų ir tvarkomų ryšių ir informacinių sistemų atitiktį Vyriausybės nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams siūloma nustatyti pareigą atlikti rizikos vertinimą ir, atsižvelgiant į rizikos vertinimo rezultatus, įdiegti kitas naujausiais technikos laimėjimais paremtas ir proporcingas nustatytai rizikai technines ir organizacines kibernetinio saugumo priemones. Dėl tarptautinio bendradarbiavimo stiprinimo ES lygmeniu 9.
Siekiant nustatyti teisinį pagrindą nacionalinių ir tarptautinių organizacijų, kurių narė yra Lietuvos Respublika, krizių valdymo sistemų sąveikai didelio masto kibernetinių incidentų metu, siūloma Kibernetinio saugumo įstatymą papildyti kibernetinio saugumo krizės sąvoka (2 straipsnio 11 dalis) ir suteikti įgaliojimus Vyriausybei vadovauti kibernetinio saugumo krizių valdymui (5 straipsnio 6 punktas), o Krašto apsaugos ministerijai ir nacionaliniam kibernetinio saugumo centrui – dalyvauti valdant kibernetinio saugumo krizes (atitinkamai 6 straipsnio 10 punktas ir 8 straipsnio 2 dalies 12 punktas). Dėl kibernetinio saugumo principų
kibernetinio saugumo riziką ir taikyti proporcingas įvertintai rizikai kibernetinio saugumo priemones, TIS direktyva skatinama, kad valstybės narės šią pareigą įgyvendintų vienodai (19 straipsnio 1 dalis). Atsižvelgiant į tai, Kibernetinio saugumo įstatymo 3 straipsnyje nustatomi kibernetinio saugumo principai papildomi standartizacijos ir technologinio neutralumo principu, skatinančiu vadovautis nacionaliniais, ES ir kitais tarptautiniais ryšių ir informacinių sistemų kibernetinio saugumo standartais ir specifikacijomis, nereikalaujant taikyti kokios nors konkrečios rūšies technologijos ir nesuteikiant jai pirmenybės. 11.
reguliavimą, kibernetinio saugumo principų sąrašą siūloma papildyti ir subsidiarumo principu, kurio esmė: už ryšių ir informacinių sistemų ir jomis teikiamų paslaugų kibernetinį saugumą yra atsakingi šias sistemas valdantys ir paslaugas teikiantys kibernetinio saugumo subjektai, o srityse, kurios priklauso išimtinai kibernetinio saugumo subjektų kompetencijai, kibernetinio saugumo politiką formuojančios ir įgyvendinančios institucijos veiksmų imasi tik tada, kai ryšių ir informacinių sistemų ir jomis teikiamų paslaugų kibernetinio saugumo negali užtikrinti šias sistemas valdantys ir paslaugas teikiantys kibernetinio saugumo subjektai. Dėl subjektų, kuriems taikoma administracinė atsakomybė už administracinius nusižengimus, susijusius su ryšių ir informacinių sistemų atitiktimi kibernetinio saugumo reikalavimams
nusižengimų kodekso 479 straipsnio 3 dalyje siūloma nustatyti administracinę atsakomybę už informacijos, reikalingos vertinant šių kibernetinio saugumo subjektų ir jų ryšių ir informacinių sistemų atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams ir kibernetinio saugumo būklę, nepateikimą visiems kibernetinio saugumo subjektams, kuriems yra duodamas nurodymas pateikti informaciją, ir jie tokios informacijos nepateikia. 13. Siūloma pakeisti Administracinių nusižengimų kodekso 480 straipsnio 4 dalį ir nustatyti administracinę atsakomybę visiems kibernetinio saugumo subjektams už nustatytų organizacinių ir techninių kibernetinio saugumo reikalavimų nesilaikymą. 14. Atsižvelgiant į siūlomus Administracinių nusižengimų kodekso 479 ir 480 straipsnių pakeitimus, siūloma keisti Administracinių nusižengimų kodekso 589 straipsnį, kuriame atsispindėtų 479 ir 480 straipsniuose atliekami pakeitimai. 15. Siūlomomis priemonėmis tikimasi užtikrinti kibernetinio saugumo reikalavimų, nustatomų kibernetinio saugumo subjektams, laikymąsi.
nusižengimų kodekso 479 straipsnio 1 dalį siūloma papildyti, nustatant atsakomybę ne tik už Nacionalinio kibernetinio saugumo centro, bet ir policijos nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymą laiku. Papildymas grindžiamas tuo, kad šiuo metu yra nustatoma atsakomybė už informacijos nepateikimą policijai, tačiau atsakomybė už nurodymų nevykdymą nėra nustatoma. Atsižvelgiant į tai, kad šiuo atveju yra nustatoma pareiga be sankcijos už pareigos nevykdymą, siūloma suteikti policijai papildomų poveikio įrankių. Dėl perteklinių Kibernetinio saugumo įstatymo nuostatų
reglamentas, jam įsigaliojus esamas Kibernetinio saugumo įstatymo reguliavimas dėl Valstybinės duomenų apsaugos inspekcijos įgaliojimų tampa perteklinis, o TIS direktyvos nuostatas būtina įgyvendinti iki 2018 m. gegužės 9 d., taigi susidaro situacija, kad neilgai trukus po įstatymo įsigaliojimo tam tikros Kibernetinio saugumo įstatymo nuostatos taptų perteklinės, nes būtų reguliuojamos tiesioginio taikymo Bendrajame duomenų apsaugos reglamente. Atsižvelgiant į tai, į Kibernetinio saugumo įstatymo pakeitimo projektą siūloma įtraukti papildomas kai kurių įstatymo straipsnių įsigaliojimo nuostatas, kuriomis būtų panaikinti reikalavimai dėl pranešimų priežiūros institucijoms apie asmens duomenų saugumo pažeidimus ir priežiūros institucijų kompetenciją, užduotis ir įgaliojimus. 18. Kibernetinio saugumo įstatymą dėstant nauja redakcija, siūloma atsisakyti Nacionalinio kibernetinio saugumo centro funkcijų, kurios pagal savo svarbą neturėtų būti reguliuojamos įstatymu.
Įstatyme siūloma reguliuoti tik nuostatas, susijusias su kibernetinio saugumo užtikrinimo priemonių naudojimu, kibernetinio saugumo subjektų kontrole, asmens duomenų tvarkymu, tarptautiniu bendradarbiavimu ir bendradarbiavimu plėtojant projektus, stiprinančius nacionalinį kibernetinį saugumą. Dėl kibernetinio saugumo politiką formuojančių ir įgyvendinančių institucijų
reguliavimą dėl dalyvavimo formuojant kibernetinio saugumo politiką ir nustatyti, kad tai atlieka tik Nacionalinis kibernetinio saugumo centras (4 straipsnio
incidentų tyrimu užsiima Lietuvos kriminalinės policijos biuras, kuris neįeina į Policijos departamento sudėtį, siūloma keisti esamą teisinį reguliavimą dėl kibernetinio saugumo politiką įgyvendinančių institucijų, nustatant, kad tai atlieka ne Policijos departamentas, o policija (4 straipsnio 3 dalis). Lietuvos Respublikos policijos įstatymo 2 straipsnio 4 dalyje nustatyta, kad policija – tai asmens, visuomenės saugumą ir viešąją tvarką užtikrinanti policijos įstaigų ir policijos pareigūnų sistema. Atsižvelgiant į tai, policijos samprata yra platesnė, apimanti visas policijos įstaigas, teisiškai tiksliau būtų laikyti policiją kibernetinio saugumo politiką įgyvendinančia institucija. 21. Atsižvelgiant į tai, kad tipinis kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planas yra metodinė priemonė ypatingos svarbos informacinės infrastruktūros valdytojams rengiant savo kibernetinių incidentų valdymo planus, siūloma tipinio kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose plano tvirtinimą perduoti Krašto apsaugos ministerijai (6 straipsnio 6 punktas). 5.
rengiant įstatymų projektus toks vertinimas turi būti atliktas ir jo rezultatai nepateikiami atskiru dokumentu), galimos neigiamos priimtų įstatymų pasekmės ir kokių priemonių reikėtų imtis, kad tokių pasekmių būtų išvengta Numatomo teisinio reguliavimo poveikio vertinimas neatliekamas. Priėmus Įstatymų projektus, galima situacija, kad dėl nustatytos pareigos atlikti rizikos vertinimą ir diegti papildomas kibernetinio saugumo priemones išaugs kai kurių kibernetinio saugumo subjektų išlaidos užtikrinant jų valdomų ir (ar) tvarkomų ryšių ir informacinių sistemų kibernetinį saugumą. 6. Kokią įtaką priimti įstatymai turės kriminogeninei situacijai, korupcijai Įstatymų projektai neturės įtakos kriminogeninei situacijai ir korupcijai. 7. Kaip įstatymų įgyvendinimas atsilieps verslo sąlygoms ir jo plėtrai Įstatymų įgyvendinimas turės įtakos kuriant saugesnę kibernetinę erdvę Lietuvos Respublikoje, todėl turėtų sukurti palankesnes verslo sąlygas ir skatinti verslo, naudojančio ryšių ir informacines technologijas, plėtrą. 8. Įstatymų pakeitimo projektų inkorporavimas į teisinę sistemą, kokius teisės aktus būtina priimti, kokius galiojančius teisės aktus reikia pakeisti ar pripažinti netekusiais galios Kartu su Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo projektu teikiamas ir Lietuvos Respublikos administracinių nusižengimų kodekso 479, 480, 589 straipsnių ir priedo pakeitimo įstatymo projektas. 9. Ar įstatymų projektai parengti laikantis Lietuvos Respublikos valstybinės kalbos, Teisėkūros pagrindų įstatymų reikalavimų, o įstatymų projektų sąvokos ir jas įvardijantys terminai įvertinti Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka Įstatymų projektai parengti laikantis Lietuvos Respublikos valstybinės kalbos įstatymo, Lietuvos Respublikos teisėkūros pagrindų įstatymo reikalavimų.
Įstatymų projektuose keičiamos ir nustatomos sąvokos yra įvertintos Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka. 10. Ar įstatymų projektai atitinka Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir Europos Sąjungos dokumentus Įstatymų projektai atitinka Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir ES dokumentus. 11. Jeigu įstatymui įgyvendinti reikia įgyvendinamųjų teisės aktų, – kas ir kada juos turėtų priimti Krašto apsaugos ministerija iki 2018 m. gegužės 8 d. parengs šiuos teisės aktų projektus:
1) Lietuvos Respublikos Vyriausybės 2016 m. sausio 25 d. nutarimo Nr. 87
„Dėl Nacionalinio kibernetinių incidentų valdymo plano patvirtinimo“ pakeitimo
projektą;
2) Lietuvos Respublikos Vyriausybės 2016 m. liepos 20 d. nutarimo Nr. 742 „Dėl Ypatingos svarbos informacinės infrastruktūros identifikavimo metodikos patvirtinimo“ pakeitimo projektą;
3) Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimo Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“ pakeitimo projektą;
4) Lietuvos Respublikos Vyriausybės 2016 m. liepos 20 d. nutarimo Nr. 746 „Dėl Tipinio kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose plano patvirtinimo“ pripažinimo netekusiu galios projektą;
5) krašto apsaugos ministro įsakymu tvirtinamą Tipinį kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planą.
lėšų prireiks įstatymams įgyvendinti, ar bus galima sutaupyti (pateikiami prognozuojami rodikliai einamaisiais ir artimiausiais 3 biudžetiniais metais) Įstatymams įgyvendinti papildomų valstybės biudžeto lėšų nereikės. Įstatymų projektuose siūlomų pakeitimų įgyvendinimas neturės įtakos žmogiškųjų, infrastruktūros ar finansinių išteklių pokyčiams, nes Nacionaliniam kibernetinio saugumo centrui nustatomas funkcijas numatoma vykdyti naudojantis turimais krašto apsaugos sistemos ištekliais. 13. Įstatymų projektų rengimo metu gauti specialistų vertinimai ir išvados Įstatymų projektų rengimo metu specialistų vertinimų ir išvadų negauta. 14. Reikšminiai žodžiai, kurių reikia šiems projektams įtraukti į kompiuterinę paieškos sistemą, įskaitant Europos žodyno „Eurovoc“ terminus, temas bei sritis „Kibernetinis saugumas“, „kibernetinis incidentas“, „kibernetinių incidentų valdymas“, „ryšių ir informacinė sistema“, „skaitmeninės paslaugos“. 15. Kiti, iniciatorių nuomone, reikalingi pagrindimai ir paaiškinimai TIS direktyvos 25 straipsnio 1 dalis nustato, kad valstybės narės ne vėliau kaip 2018 m. gegužės 9 d. priima ir paskelbia įstatymus ir kitus teisės aktus, būtinus, kad būtų laikomasi TIS direktyvos nuostatų, todėl siūloma įstatymo įsigaliojimo data yra 2018 m. balandžio 9 d. Atsižvelgiant į tai, kad Lietuvos Respublikos teisingumo ministerija, ruošdamasi 2016 m. balandžio 27 d.
Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas) įsigaliojimui 2018 m. gegužės 25 d., pateikė Lietuvos Respublikos administracinių nusižengimų kodekso 479, 480, 589 straipsnių pakeitimo ir kodekso priedo papildymo įstatymo projektą, kuriuo keičiamas
keičiamas 589 straipsnio 29 punktas, siekiant, kad keičiamos nuostatos būtų suderintos tarpusavyje, formuluotės vienodinamos.
Vilnius Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas:
projekto 2 straipsniu keičiamas Administracinių nusižengimų kodekso (toliau – ANK; kodeksas) 479 straipsnis. Tačiau atkreiptinas dėmesys, kad šio straipsnio 1, 2 ir 3 dalių sankcijos yra identiškos (t. y. atitinkamos administracinių nusižengimų sudėtys nėra viena kitą kvalifikuojančios). Atsižvelgiant į tai, šios trys dispozicijos turėtų būti konstruojamos vienoje dispozicijoje arba skirtinguose ANK straipsniuose. 2. Teikiamo projekto 2 straipsniu keičiamoje 479 straipsnio 3 dalyje administracinė atsakomybė nustatoma už informacijos apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių, nepateikimas policijai arba šios informacijos teikimo tvarkos pažeidimą. Visų pirma, atkreiptinas dėmesys, kad šioje dispozicijoje nėra suderinta kibernetinio incidento ir nusikalstamos veikos skaičiaus gramatinė kategorija, kurią rekomenduotina suvienodinti (t. y. minimas sąvokas vartoti tik vienaskaita, tik daugiskaita arba tiek vienaskaita, tiek daugiskaita[¹]
Asmens padarytą veiką kaip nusikalstamą gali kvalifikuoti tik tam įgalioti subjektai (pavyzdžiui, ikiteisminio tyrimo pareigūnas, prokuroras ar teismas), o bet kurio kito asmens atliktas veikos kvalifikavimas nėra profesionalus ir gali būti iš esmės klaidingas. 3. Teikiamo projekto 3 straipsniu siūloma pakeisti kodekso 480 straipsnio 1 dalį, joje nustatant atsakomybę ne tik už teisėtų Nacionalinio kibernetinio saugumo centrų, bet ir už teisėtų policijos nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymą laiku. Atkreiptinas dėmesys, kad nors šio kodekso pakeitimo įsigaliojimas numatytas 2018 m. gegužės 9 d., projekto
įgaliojama tirti būtent šiuos administracinius nusižengimus, t.y. numatytus kodekso 480 straipsnio 1 dalyje, ir dėl jų surašyti protokolus, įsigaliojimas numatytas tik 2018 m. gegužės 25 d. Taigi, priėmus siūlomą reguliavimą susiklostytų teisiškai ydinga situacija, kada policijos pareigūnai negalėtų tirti administracinių nusižengimų dėl jų teisėtų nurodymų nevykdymo. Atsižvelgiant į tai, projektu keičiamų kodekso 480 straipsnio 1 dalies bei 589 straipsnio 49 punkto įsigaliojimas derintinas tarpusavyje. 4. Projekto 5 straipsnio pakeitimų esmėje brauktinas žodis „nauju“. Departamento direktorius Andrius Kabišaitis E. Mušinskis, tel. (8 5) 239 6356, el. p. [email protected] P. Veršekys, tel. (8 5) 239 6353, el. p. [email protected] [1] Past. – vienas kibernetinis incidentas gali turėti kelių nusikalstamų veikų požymių ir atvirkščiai – keli kibernetiniai incidentai gali turėti vienos nusikalstamos veikos požymių.
Teisės ir teisėtvarkos komitetas
2018-06-13
pavaduotojas Stasys Šedbaras, nariai: Rimas Andrikis, Vitalijus Gailius, Arvydas Nekrošius, Česlav Olševski, Julius Sabatauskas, Lauras Stacevičius, Irena Šiaulienė, Petras Valiūnas. Komiteto biuro vedėja Dalia Komparskienė, patarėjos: Martyna Civilkienė, Jurgita Janušauskienė, Rita Karpavičiūtė, Dalia Latvelienė, Irma Leonavičiūtė, Rita Varanauskienė, Loreta Zdanavičienė, padėjėja Aidena Bacevičienė, Meilė Čeputienė. LRV Politikos įgyvendinimo grupės patarėjas Audrius Kasinskas, LRSTA prezidentė Inga Blažienė, Valstybinės duomenų apsaugos inspekcijos Teisės skyriaus vedėja Danguolė Morkūnienė, inspekcijos direktorius Raimondas Andrijauskas, Teisingumo viceministrė Irma Gudžiūnaitė, LR teisingumo ministerijos Teisinių institucijų departamento direktoriaus pavaduotoja Asta Godienė, LR teisingumo ministerijos Teisinių institucijų departamento Teisinės veiklos koordinavimo skyriaus vyr. specialistė Indrė Skersytė, Muitinės departamento generalinis direktorius Arūnas Adomėnas, Krašto apsaugos ministerijos Teisės departamento, Teisėkūros skyriaus vyr.specialistas Mantas Keliotis, Kibernetinio saugumo ir informacinių technologijų departamento vyresnysis patarėjas Jonas Skardinskas, Kibernetinio saugumo ir informacinių technologijų Saugos skyriaus patarėjas Rimgaudas Gamulis. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos (toliau – pasiūlymai):
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
p. 1.
2018-04-093 Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas:
Administracinių nusižengimų kodekso (toliau – ANK; kodeksas) 479 straipsnis. Tačiau atkreiptinas dėmesys, kad šio straipsnio 1, 2 ir 3 dalių sankcijos yra identiškos (t. y. atitinkamos administracinių nusižengimų sudėtys nėra viena kitą kvalifikuojančios). Atsižvelgiant į tai, šios trys dispozicijos turėtų būti konstruojamos vienoje dispozicijoje arba skirtinguose ANK straipsniuose. Nepritarti Iš esmės nauja straipsnio redakcija konstruojama galiojančio straipsnio pagrindu, tik atsisakoma buvusios 2 dalies. Nepritartina ir dėl to, kad skirtingi subjektai yra įgalioti nagrinėti administracinius nusižengimus pagal atskiras šio straipsnio dalis, pvz. Nacionalinio kibernetinio saugumo centrui suteikiama teisė nagrinėti 479 str. 1, 2 ir 4 dalyse numatytus nusižengimus, tuo tarpu policijos pareigūnams – 479 str. 3, 4 d. 2. Seimo kanceliarijos Teisės departamentas 2018-04-093
apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių, nepateikimas policijai arba šios informacijos teikimo tvarkos pažeidimą. Visų pirma, atkreiptinas dėmesys, kad šioje dispozicijoje nėra suderinta kibernetinio incidento ir nusikalstamos veikos skaičiaus gramatinė kategorija, kurią rekomenduotina suvienodinti (t. y. minimas sąvokas vartoti tik vienaskaita, tik daugiskaita arba tiek vienaskaita, tiek daugiskaita[¹] – pavyzdžiui – „<...> turinčius nusikalstamos (-ų) veikos (-ų) požymių“).
Antra, pabrėžtina, kad negali būti nustatytos administracinės atsakomybės, kuri yra pagrįsta prielaidomis (galimybėmis), nes tą draustų administracinėje teisėje galiojantis abejonių vertinimo atsakomybėn traukiamo asmens naudai principas. Akcentuotina, kad nei juridinio asmens vadovas, nei kitas atsakingas asmuo nėra kompetentingi nusikalstamos veikos kvalifikavimo subjektai. Asmens padarytą veiką kaip nusikalstamą gali kvalifikuoti tik tam įgalioti subjektai (pavyzdžiui, ikiteisminio tyrimo pareigūnas, prokuroras ar teismas), o bet kurio kito asmens atliktas veikos kvalifikavimas nėra profesionalus ir gali būti iš esmės klaidingas. Nepritarti Kibernetinio saugumo įstatymo naujoje redakcijoje yra vartojama vienaskaita. Įstatymuose ir pareiga, ir atsakomybė už pareigos nevykdymą turėtų būti formuluojama vienodai. Iš esmės nauja straipsnio redakcija konstruojama galiojančio straipsnio pagrindu. Siūlomo ANK 479 str. 3 d. redakcija identiška galiojančio ANK to paties straipsnio 4 daliai. 3. Seimo kanceliarijos Teisės departamentas 2018-04-09 4,8
projekto 3 straipsniu siūloma pakeisti kodekso 480 straipsnio 1 dalį, joje nustatant atsakomybę ne tik už teisėtų Nacionalinio kibernetinio saugumo centrų, bet ir už teisėtų policijos nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymą laiku.
Atkreiptinas dėmesys, kad nors šio kodekso pakeitimo įsigaliojimas numatytas 2018 m. gegužės 9 d., projekto 4 straipsniu keičiamo kodekso 589 straipsnio pakeitimo, kuriuo policija yra įgaliojama tirti būtent šiuos administracinius nusižengimus, t.y. numatytus kodekso 480 straipsnio 1 dalyje, ir dėl jų surašyti protokolus, įsigaliojimas numatytas tik 2018 m. gegužės 25 d. Taigi, priėmus siūlomą reguliavimą susiklostytų teisiškai ydinga situacija, kada policijos pareigūnai negalėtų tirti administracinių nusižengimų dėl jų teisėtų nurodymų nevykdymo. Atsižvelgiant į tai, projektu keičiamų kodekso 480 straipsnio 1 dalies bei
Atsižvelgiant į tai, kad 6 str. nurodyta įsigaliojimo data yra jau praėjusi, siūlytina – jungtiniame projekte šio įstatymo nuostatas išskirti iš viso jungtinio projekto nuostatų ir numatyti, kad jos įsigalioja nuo paskelbimo. Taip pat manytina, kad nebėra tikslingas projekto 1 straipsnis, nes skirtingų šio ANK straipsnio redakcijų įsigaliojimas buvo aktualus iki gegužės 25 d. 4. Seimo kanceliarijos Teisės departamentas
straipsnio pakeitimų esmėje brauktinas žodis „nauju“. Nepritarti Atkreiptinas dėmesys, kad Seime po svarstymo yra pritarta jungtiniam projektui Nr. XIIIP-1755(3), kuris turėtų įsigalioti 2018-07-01. Šiame projekte yra pildomas Kodekso priedas naujais 97, 98 punktais, o buvęs 97 punktas laikomas 99-tuoju. Jeigu projektas bus priimtas, šiuo projektu Priedas turėtų būti pildomas ne nauju 95, bet nauju 99 punktu, o buvęs 99 punktas laikomas 100.
Kol minėtas projektas nėra priimtas, jungtiniame projekte reikėtų Kodekso priedą pildyti ne nauju 95, bet nauju 97 punktu, o buvusį 97 punktą laikyti 98 punktu. 5. Teisės ir teisėtvarkos komiteto biuro patarėja L.Zdanavičienė53 Projekto 5 straipsniu yra siūloma keisti Kodekso
projekte Nr. XIIIP-1393(2), kurio likęs priėmimas Seime ir kuris įsigalios 2019-05-01. Taip pat atkreiptinas dėmesys, kad priėmus šias pataisas būtina bus keisti Seimo 2018-05-17 priimtą įstatymą Nr. XIII-1162, įsigaliosiantį 2018-11-01, kuriame taip pat keičiamas Kodekso 589 straipsnio
patarėja L.Zdanavičienė Komitetui yra pavesta svarstyti Administracinių nusižengimų kodekso 79, 479 ir 589 straipsnių pakeitimo ir 82 straipsnio pripažinimo netekusiu galios įstatymo projektą Nr. XIIIP-2097. Šiame projekte bei projekte Nr. XIIIP-1926 keičiami tie patys ANK straipsniai ar jų dalys, todėl siūlytina projektus Nr. XIIIP-2097 ir XIIIP-1926 sujungti. Pritarti
3Piliečių, asociacijų,
politinių partijų, lobistų ir kitų suinteresuotų asmenų pasiūlymai: negauta. 4. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai: negauta. 5. Subjektų, turinčių įstatymų leidybos iniciatyvos teisę, pasiūlymai: negauta. 6. Seimo paskirtų papildomų komitetų / komisijų pasiūlymai: Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pastabos Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
p. 1. Nacionalinio saugumo ir gynybos komitetas 2018-06-06 * Pritarti iniciatorių pateiktam Administracinių nusižengimų kodekso 479, 480, 589 straipsnių ir priedo pakeitimo įstatymo projektui XIIIP-1926 ir jį tobulinti atsižvelgiant į Teisės departamento pastabas.
Pritarti iš dalies Komitetas įstatymo projektą patobulino iš dalies pritardamas Teisės departamento pastaboms ir sujungdamas projektą su kitu ANK projektu Nr. XIIIP-2097. 7. Komiteto sprendimas ir pasiūlymai:
įstatymo projektui;
ir teikti Seimui svarstyti patobulintą jungtinį įstatymo projektą Nr. XIIIP-2097(2). 8. Balsavimo rezultatai: už – 9, prieš – nėra, susilaikė – nėra. 9. Komiteto paskirti pranešėjai: Agnė Širinskienė, Stasys Šedbaras. 10. Komiteto narių atskiroji nuomonė: negauta. PRIDEDAMA. Komiteto patobulintas jungtinis įstatymo projektas Nr. XIIIP-2097(2), jo lyginamasis variantas. Komiteto pirmininkė Agnė Širinskienė Komiteto biuro patarėja Loreta Zdanavičienė
nacionalinio saugumo ir gynybos komitetas
I Š V A D a
dalyvavo: Komiteto pirmininkas Vytautas Bakas, Komiteto pirmininko pavaduotoja Rasa Juknevičienė, Komiteto nariai: Virgilijus Alekna, Arvydas Anušauskas, Algirdas Butkevičius, Laurynas Kasčiūnas, Michal Mackevič, Juozas Olekas, Audrys Šimas. Komiteto biuro patarėjai: Evaldas Sinkevičius, Agnija Tumkevič, Jolita Vasiliauskaitė, padėjėja Vilma Lukoševičiūtė. Kviestieji asmenys: krašto apsaugos viceministras Edvinas Kerza, Krašto apsaugos ministerijos Teisės departamento direktorė Judita Nagienė, Teisės departamento vyr. specialistas Mantas Keliotis, Kibernetinio saugumo ir informacinių technologijų departamento skyriaus vyr. specialistė Aušra Pipirienė, Teisingumo ministerijos Teisinių institucijų departamento direktorė Jolita Sinkevičiūtė, Teisinės veiklos koordinavimo skyriaus vyriausioji specialistė Indrė Skersytė, Valstybės kontrolieriaus pavaduotoja Živilė Simonaitytė, Valdymo audito departamento vyriausioji valstybinė auditorė Venera Michalovska, vyresnysis specialistas Paulius Jankauskas, Valstybinės duomenų apsaugos inspekcijos direktorius Raimondas Andrijauskas. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos (toliau – pasiūlymai):
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę Str. Str. d. P. 1. Lietuvos Respublikos Seimo kanceliarijos Teisės departamentas,
Administracinių nusižengimų kodekso (toliau – ANK; kodeksas) 479 straipsnis. Tačiau atkreiptinas dėmesys, kad šio straipsnio 1, 2 ir 3 dalių sankcijos yra identiškos (t. y. atitinkamos administracinių nusižengimų sudėtys nėra viena kitą kvalifikuojančios).
konstruojamos vienoje dispozicijoje arba skirtinguose ANK straipsniuose. Pritarti
Respublikos Seimo kanceliarijos Teisės departamentas,
apie kibernetinius incidentus, galimai turinčius nusikalstamos veikos požymių, nepateikimas policijai arba šios informacijos teikimo tvarkos pažeidimą. Visų pirma, atkreiptinas dėmesys, kad šioje dispozicijoje nėra suderinta kibernetinio incidento ir nusikalstamos veikos skaičiaus gramatinė kategorija, kurią rekomenduotina suvienodinti (t. y. minimas sąvokas vartoti tik vienaskaita, tik daugiskaita arba tiek vienaskaita, tiek daugiskaita[1] – pavyzdžiui – „<...> turinčius nusikalstamos (-ų) veikos (-ų) požymių“). Antra, pabrėžtina, kad negali būti nustatytos administracinės atsakomybės, kuri yra pagrįsta prielaidomis (galimybėmis), nes tą draustų administracinėje teisėje galiojantis abejonių vertinimo atsakomybėn traukiamo asmens naudai principas. Akcentuotina, kad nei juridinio asmens vadovas, nei kitas atsakingas asmuo nėra kompetentingi nusikalstamos veikos kvalifikavimo subjektai. Asmens padarytą veiką kaip nusikalstamą gali kvalifikuoti tik tam įgalioti subjektai (pavyzdžiui, ikiteisminio tyrimo pareigūnas, prokuroras ar teismas), o bet kurio kito asmens atliktas veikos kvalifikavimas nėra profesionalus ir gali būti iš esmės klaidingas. Pritarti iš dalies Atkreiptinas dėmesys, kad abejonių vertinimo atsakomybėn traukiamo asmens naudai principas yra proceso principas, laikomas nekaltumo prezumpcijos dalimi.
Nors kvalifikuojant veiką šis principas negalėtų būti taikomas ir pats savaime nedraudžia nustatyti administracinės atsakomybės, įstatymo normos turėtų būti kaip įmanoma tikslesnės, siekiant kad nebūtų iš anksto programuojamos problemos įrodinėjimo procese. Kibernetinio saugumo įstatymo pakeitimo projekto 11 straipsnio 1 dalies 5 punkte, kurio pagrindu ir nustatoma atsakomybė ANK, tvirtinama pareiga policijai teikti informaciją tik policijos generalinio komisaro nustatyta tvarka. Laikytina, kad kibernetinio saugumo subjektams yra nustatoma atsakomybė už informacijos teikimo tvarkos pažeidimą, o ne už informacijos nepateikimą, grindžiamą savarankišku kvalifikavimu. 3. Lietuvos Respublikos Seimo kanceliarijos Teisės departamentas,
projekto 3 straipsniu siūloma pakeisti kodekso 480 straipsnio 1 dalį, joje nustatant atsakomybę ne tik už teisėtų Nacionalinio kibernetinio saugumo centrų, bet ir už teisėtų policijos nurodymų, susijusių su kibernetinio saugumo užtikrinimu, neįvykdymą laiku. Atkreiptinas dėmesys, kad nors šio kodekso pakeitimo įsigaliojimas numatytas 2018 m. gegužės 9 d., projekto 4 straipsniu keičiamo kodekso 589 straipsnio pakeitimo, kuriuo policija yra įgaliojama tirti būtent šiuos administracinius nusižengimus, t. y. numatytus kodekso 480 straipsnio 1 dalyje, ir dėl jų surašyti protokolus, įsigaliojimas numatytas tik 2018 m. gegužės 25 d. Taigi, priėmus siūlomą reguliavimą susiklostytų teisiškai ydinga situacija, kada policijos pareigūnai negalėtų tirti administracinių nusižengimų dėl jų teisėtų nurodymų nevykdymo. Atsižvelgiant į tai, projektu keičiamų kodekso 480 straipsnio 1 dalies bei
Respublikos Seimo kanceliarijos Teisės departamentas, 2018-04-095 4.
brauktinas žodis „nauju“. Pritarti
3Piliečių, asociacijų, politinių partijų,
lobistų ir kitų suinteresuotų asmenų pasiūlymai: negauta. 4. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai: negauta. 5. Subjektų, turinčių įstatymų leidybos iniciatyvos teisę, pasiūlymai: negauta. 6. Komiteto sprendimas ir pasiūlymai: pritarti iniciatorių pateiktam Administracinių nusižengimų kodekso 479, 480, 589 straipsnių ir priedo pakeitimo įstatymo projektui XIIIP-1926 ir jį tobulinti atsižvelgiant į Teisės departamento pastabas. 7. Balsavimo rezultatai: pritarta bendru sutarimu. 8. Komiteto paskirti pranešėjai: Vytautas Bakas. 9. Komiteto narių atskiroji nuomonė: nepareikšta. Komiteto pirmininkas Vytautas Bakas Komiteto biuro patarėjas Evaldas Sinkevičius