KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428, LIETUVOS RESPUBLIKOS AVIACIJOS ĮSTATYMO NR. VIII-2066
479,480 ir589 STRAIPSNIŲ bei priedo pakeitimo
, LIETUVOS RESPUBLIKOS ELEKTRONINĖS ATPAŽINTIES IR ELEKTRONINIŲ OPERACIJŲ PATIKIMUMO UŽTIKRINIMO PASLAUGŲ ĮSTATYMO
, LIETUVOS RESPUBLIKOS PIRKIMŲ, ATLIEKAMŲ VANDENTVARKOS, ENERGETIKOS, TRANSPORTO AR PAŠTO PASLAUGŲ SRITIES PERKANČIŲJŲ SUBJEKTŲ, ĮSTATYMO
raštas
1. Įstatymų projektų rengimą paskatinusios priežastys, parengtų projektų tikslai ir uždaviniai Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo projektas (toliau – KSĮ projektas) parengtas siekiant įgyvendinti 2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyvą (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr.
910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148 (toliau – TIS 2 direktyva), ir
(ES) Nr. 2021/887 , kuriuo įsteigiamas Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras ir Nacionalinių koordinavimo centrų tinklas (toliau – Reglamentas). TIS 2 direktyva nustato priemones, kuriomis siekiama užtikrinti aukštą bendrą kibernetinio saugumo lygį visoje Europos Sąjungoje (toliau – ES), kad būtų pagerintas vidaus rinkos veikimas, o įgyvendinant šį tikslą, TIS 2 direktyva:1 ) valstybėms narėms nustatoma pareiga priimti nacionalinę kibernetinio saugumo strategiją;2 ) nustatomos valstybių narių pareigos paskirti nacionalines kompetentingas institucijas, kibernetinių krizių valdymo institucijas, bendrąjį kibernetinio saugumo kontaktinį punktą ir reagavimo į kompiuterių saugumo incidentus tarnybas;3 ) apibrėžiamos kibernetinio saugumo rizikos valdymo priemonės ir pareigos pranešti apie kibernetinius incidentus esminiams ir svarbiems subjektams, taip pat subjektams, identifikuotiems kaip ypatingos svarbos subjektai pagal Direktyvą (ES) 2022/2557;4 ) nustatomos valstybių narių pareigos priežiūros ir vykdymo užtikrinimo srityse, taip pat pareigos keistis kibernetinio saugumo informacija. TIS 2 direktyva įpareigoja valstybes nares priimti ir paskelbti su šios direktyvos laikymusi susijusias nacionalinės teisės nuostatas iki 2024 m. spalio 17 d. Reglamentu įsteigiamas Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras ir Nacionalinių koordinavimo centrų tinklas. Jame nustatomos nacionalinių koordinavimo centrų skyrimo ir Kibernetinio saugumo kompetencijos bendruomenės įsteigimo taisyklės.
Kompetencijos centrui tenka esminis vaidmuo įgyvendinant Skaitmeninės Europos programos kibernetinio saugumo elementus. KSĮ projekto tikslas – įgyvendinti TIS 2 direktyvą ir Reglamentą Lietuvos Respublikoje , kad būtų užtikrinta nacionalinių teisės aktų atitiktis TIS 2 direktyvai ir Reglamentui, o įgyvendinant šį tikslą, nustatomi šie KSĮ projekto uždaviniai:1 ) patikslinti institucijų, atsakingų už kibernetinio saugumo politikos formavimą ir įgyvendinimą, funkcijas, taip pat nustatyti kibernetinio saugumo subjektų identifikavimo kriterijus bei registravimo tvarką;2 ) apibrėžti kibernetinio saugumo rizikos valdymo priemones ir pareigas kibernetinio saugumo subjektams pranešti apie kibernetinius incidentus ;3 ) nustatyti asmenų, atsakingų už kibernetinį saugumą, pareigas;4 ) nustatyti priežiūros ir vykdymo užtikrinimo priemones ir pareigas;5 ) nustatyti Kibernetinio saugumo kompetencijos bendruomenės registravimo, išregistravimo ir sprendimo apskundimo tvarką. Įgyvendinant išdėstytus uždavinius, KSĮ dėstomas nauja redakcija, o siekiant siūlomo teisinio reguliavimo suderinamumo, kartu su KSĮ projektu teikiami kiti įstatymų projektai (toliau kartu – Įstatymų projektai), susiję su ypatingos svarbos informacinės infrastruktūros sąvokos keitimu, informacinių išteklių saugos konsolidavimu, administracinių baudų nustatymu KSĮ projekte, taip pat atsižvelgiant į TIS 2 direktyvos 42 ir 43 straipsnius, kuriais panaikinami kitų ES teisės aktų straipsniai ( Reglamento (ES) Nr. 910/2014 19 straipsnis ir Direktyvos (ES) 2018/1972 40 ir 41 straipsniai išbraukiami nuo 2024 m. spalio 18 d. ):
1. Lietuvos Respublikos aviacijos įstatymo Nr. VIII-2066 41 straipsnio pakeitimo įstatymo projektas ;2 .
Lietuvos Respublikos administracinių nusižengimų kodekso 479, 480 ir 589 straipsnių bei priedo pakeitimo įstatymo projektas (toliau – ANK projektas);
3. Lietuvos Respublikos elektroninių ryšių įstatymo Nr. IX-2135 3, 8, 36, 45, 51, 74, 82 ir 98 straipsnių pakeitimo įstatymo projektas;
4. Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo Nr. IX-1132 1, 2, 13 ir 18 straipsnių pakeitimo įstatymo projektas;
5. Lietuvos Respublikos elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų įstatymo Nr. XIII-1120 4 straipsnio pakeitimo įstatymo projektas;
6. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo Nr. XI-1807 1, 3, 7, 14, 15, 26, 27, 39, 41, 42 ir 43 straipsnių pakeitimo įstatymo projektas;
7. Lietuvos Respublikos viešųjų pirkimų įstatymo Nr. I-1491 2, 17, 37, 47 ir 87 straipsnių pakeitimo įstatymo projektas;
8. Lietuvos Respublikos pirkimų, atliekamų vandentvarkos, energetikos, transporto ar pašto paslaugų srities perkančiųjų subjektų, įstatymo Nr. XIII-328 29, 50 ir 95 straipsnių pakeitimo įstatymo projektas;
9. Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymo Nr. VIII-1443 4 ir 7 straipsnių pakeitimo įstatymo projektas. 2 . Įstatymų projektų iniciatoriai (institucija, asmenys ar piliečių įgalioti atstovai) ir rengėjai Įstatymų projektus rengė Lietuvos Respublikos krašto apsaugos ministerijos Kibernetinio saugumo ir informacinių technologijų politikos grupės (grupės vadovė Inga Sūnelaitienė, tel. +370 706 80 800, el. p. [email protected] ) patarėjas mjr.
Miroslavas Tribockis (tel. +370 706 80 813, el. p. [email protected] ), patarėja Sigita Laurinčiukaitė (tel. +370 706 80 804, el. p. [email protected] ), vyresn. patarėja Aušra Pipirienė (tel. +370 706 80 808, el. p. [email protected] ) ir Krašto apsaugos ministerijos Teisės departamento (direktorė Judita Nagienė, tel. +370 706 80 545, el. p. [email protected] ) Teisėkūros skyriaus (vedėjas Tomas Vainius, tel. +370 706 80 563, el. p. [email protected] ) patarėjas mjr. Mantas Keliotis (tel. +370 706 80 597, el. p. [email protected] ). 3 . Kaip šiuo metu yra reguliuojami įstatymų projektuose aptarti teisiniai santykiai Galiojančiu KSĮ yra įgyvendinama Direktyva (ES) 2016/1148, kuri keičiama TIS 2 direktyva. Atsižvelgiant į Direktyvoje (ES) 2016/1148 nustatytus reikalavimus, galiojančiame KSĮ:
1. Nustatytas įpareigojimas Lietuvos Respublikos Vyriausybei nustatyti kibernetinio saugumo politikos strateginius tikslus ir (arba) pažangos uždavinius tvirtinant Nacionalinį pažangos planą (KSĮ 5 straipsnio 1 punktas). 2 . Nustatytas įpareigojimas Vyriausybei tvirtinti ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką ir ypatingos svarbos informacinės infrastruktūros ir jos valdytojų sąrašą (KSĮ 5 straipsnio 3 punktas). Pažymėtina, kad TIS 2 direktyva nustatomas kur kas platesnis subjektų, kuriems turėtų būti taikomas reguliavimas, spektras, todėl y patingos svarbos informacinės infrastruktūros identifikavimo procesas ir identifikavimo kriterijai neatitinka TIS 2 direktyvos subjektų identifikavimo kriterijų ir tikslų, kuriais vadovaujantis būtų nustatytos dvi subjektų grupės – esminių ir svarbių subjektų. 3 .
3. Nustatytos diferencijuotos subjektų, kuriems taikomi KSĮ reikalavimai (kibernetinio saugumo subjektų), pareigos atsižvelgiant į kibernetinio saugumo subjekto tipą , įskaitant pareigą įgyvendinti Vyriausybės tvirtinamus organizacinius ir techninius kibernetinio saugumo reikalavimus ir pareigą pranešti apie kibernetinius incidentus Nacionalinio kibernetinio saugumo incidento valdymo plano, tvirtinamo Vyriausybės, nustatyta tvarka ( KSĮ 11 ir 12 straipsniai). Už šių pareigų nevykdymą numatoma atsakomybė Lietuvos Respublikos administracinių nusižengimo kodekso 479 ir 480 straipsniuose. Pažymėtina, kad TIS 2 direktyva nustato išsamesnius tiek kibernetinio saugumo rizikos valdymo, tiek pranešimo apie incidentus valdymo reikalavimus, be to, skirtingai nuo Direktyvos (ES) 2016/1148, nustato ir konkrečius įpareigojamus tiriant TIS 2 direktyvos reikalavimų pažeidimus, taip pat numato ir atsakomybę už pažeidimus. Galiojantis KSĮ reguliavimas neatspindi šių TIS 2 direktyvos nuostatų. 4 . Nacionaliniam kibernetinio saugumo centrui (toliau – NKSC) suteikti įgaliojimai veikti kaip nacionalinei tinklų ir informacinių sistemų saugumo kompetentingai institucijai, bendrajam informaciniam centrui ir reagavimo į kompiuterinius saugumo incidentus tarnybai (KSĮ 8 straipsnis). Pažymėtina, kad TIS 2 direktyvoje išplečiami šių institucijų įgaliojimai, ypač dėl TIS 2 direktyvos reikalavimų pažeidimų tyrimo, kurie neatsispindi galiojančiame KSĮ. Galiojančiame KSĮ taip pat nustatomas ir nacionalinis kibernetinio saugumo teisinis reguliavimas:
1. Nustatomas kibernetinio saugumo politikos formavimo ir įgyvendinimo modelis – politiką formuojančios ir įgyvendinančios institucijos (Vyriausybė, Krašto apsaugos ministerija, Kibernetinio saugumo taryba, NKSC, Valstybinė duomenų apsaugos inspekcija, policija) ir jų funkcijos (KSĮ 4–10 straipsniai).
Šioms institucijoms siūlymus teikia patariamoji institucija – Kibernetinio saugumo taryba (KSĮ 7 straipsnis), tačiau praktikoje pastebėta, kad kai kurios Kibernetinio saugumo tarybos funkcijos dubliuojasi su NKSC veikla (kibernetinio saugumo užtikrinimo būklės analizė, siūlymų teikimas kitoms institucijoms ar kibernetinio saugumo subjektams), todėl Kibernetinio saugumo tarybos funkcijos turėtų būti tikslinamos, atitinkamai keičiant ir kitus susijusius aspektus (Kibernetinio saugumo tarybos sudarymo principus). 2 . Subjektų, kuriems taikomi KSĮ reikalavimai (kibernetinio saugumo subjektai), grupė galiojančiame KSĮ yra didesnė nei subjektų, kuriems taikoma Direktyva (ES) 2016/1148, grupė. Be ypatingos svarbos informacinės infrastruktūros valdytojų (pagal Direktyvą (ES) 2016/1148 suprantamų kaip esminių paslaugų operatoriai ) ir skaitmeninių paslaugų teikėjų, galiojančiame KSĮ kibernetinio saugumo subjektais taip pat laikomi ir subjektai, valdantys ir (arba) tvarkantys valstybės informacinius išteklius, viešųjų elektroninių ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų teikėjai (KSĮ 2 straipsnio 8 dalis). Pažymėtina, kad kibernetinio saugumo subjektais nelaikomi au kščiausio lygio domenų vardų registravimo ir domenų vardų registravimo paslaugas teikiantys subjektai, kuriems TIS 2 direktyvoje nustatomi išskirtiniai reikalavimai. Taip pat KSĮ 1 straipsnio 2 dalyje nustatyta, kad KSĮ netaikomas patikimumo užtikrinimo paslaugų teikėjams, tačiau, vadovaujantis TIS 2 direktyva, p atikimumo užtikrinimo paslaugų teikėjai, kuriems taikomas Europos Parlamento ir Tarybos reglamentas (ES) Nr.
910/2014 , turėtų būti įtraukti į TIS 2 direktyvos taikymo sritį, kad būtų užtikrintas toks pat saugumo reikalavimų ir priežiūros lygis, koks anksčiau Reglamente Nr. 910/2014 buvo nustatytas patikimumo užtikrinimo paslaugų teikėjams. 3 . Nustatomas Kibernetinio saugumo informacinis tinklas (toliau – KSIT), kurio pagrindinė paskirtis – informacinių technologijų priemonėmis tvarkyti duomenis, surinktus techninėmis kibernetinio saugumo priemonėmis, siekiant užkardyti ir valdyti kibernetinius incidentus, keistis informacija apie galimus ir įvykusius kibernetinius incidentus, taip pat kita su kibernetinio saugumo užtikrinimu susijusia informacija. Atkreiptinas dėmesys, kad 2024 m. gegužės 1 d. įsigalioja papildomos KSĮ nuostatos, susijusios su KSIT naudojimu teikiant privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, tačiau šie pakeitimai nesusiję su TIS 2 direktyvos įgyvendinimu. 4 . Nustatomas ryšių ir informacinių sistemų spragų atskleidimo modelis (KSĮ 17 straipsnis) – nustatomas spragų paieškos ir atskleidimo procesas, apribojimai, kurių turi būti laikomasi atliekant spragų paiešką. Pažymėtina, kad TIS 2 direktyvoje nustatomi papildomi reikalavimai ir sąlygos, susijusios su spragų atskleidimo procesu, tačiau tai nesukuria pagrindo iš esmės keisti spragų paieškos ir atskleidimo proceso ir apribojimų. 5 . Nustatomos valstybės informacinių išteklių saugos nuostatos. Subjektams, valdantiems ir (arba) tvarkantiems valstybės informacinius išteklius, galiojančio KSĮ VII skyriuje yra numatytos išskirtinės pareigos, susijusios su valstybės informacinių išteklių sauga.
Pažymėtina, kad TIS 2 direktyvos reikalavimai turi būti taikomi ir viešojo administravimo subjektams, kurie laikomi esminiais subjektais, todėl šios galiojančios valstybės informacinių išteklių saugos nuostatos atitinkamai turi būti tikslinamos pagal TIS 2 direktyvos reikalavimus. KSĮ 22 straipsnyje apibrėžtos saugos įgaliotinio funkcijos, kuris atsako už saugos reikalavimų vykdymą ir atlieka informacinės sistemos saugos nuostatuose ir kituose valstybės informacinių išteklių saugą reglamentuojančiuose teisės aktuose nustatytas funkcijas, o KSĮ 11 straipsnio 1 dalies 5 punkte nustatyta, kad kibernetinio saugumo subjektai paskiria kompetentingą asmenį ar padalinį, atsakingą už kibernetinio saugumo organizavimą ir užtikrinimą, ir NKSC pateikia šio asmens ar padalinio kontaktinę informaciją, tačiau nėra apibrėžtos kompetentingo asmens ar padalinio funkcijos ir pareigos. Išanalizavus KSĮ 22 straipsnio ir 11 straipsnio 1 dalies 5 punkto nuostatas darytina išvada, kad nėra aiškios atskirties tarp šių nurodytų pareigybių. 6 . Sudarant sąlygas taikyti Reglamentą (ES) 2019/881 , galiojančio KSĮ VI skyriuje nustatomi nacionalinės kibernetinio saugumo sertifikavimo institucijos įgaliojimai. Šiame skyriuje nustatytos nuostatos yra pakankamos Reglamentui (ES) 2019/881 taikyti, KSĮ projektu jų keisti neketinama. 7 . Krašto apsaugos ministerija, vadovaudamasi Lietuvos Respublikos Vyriausybės 1998 m. liepos 23 d. nutarimu Nr. 924 „Dėl Lietuvos Respublikos krašto apsaugos ministerijos nuostatų patvirtinimo“, vykdo Reglamento 7 straipsnyje nustatytas Nacionalinio koordinavimo centro (toliau – NKC) užduotis, tačiau KSĮ nėra nustatytos Kibernetinio saugumo kompetencijos bendruomenės, jos registravimo, išregistravimo, sprendimo apskundimo nuostatos, kaip to reikalaujama Reglamente. 4 .
4. Kokios siūlomos naujos teisinio reguliavimo nuostatos ir kokių teigiamų rezultatų laukiama Perkeliant TIS 2 direktyvą KSĮ projekte atlikti tokie pakeitimai:
1. Priėmus TIS 2 direktyvą, kartu keičiami ir kiti ES teisės aktai – iš Reglamento (ES) Nr. 910/2014 išbraukiamas 19 straipsnis, kadangi patikimumo užtikrinimo paslaugų teikėjai, kuriems taikomas Reglamentas (ES) Nr. 910/2014 , įtraukti į TIS 2 direktyvos taikymo sritį. 2 . TIS 2 direktyvos 4 straipsnyje numatoma, kad jeigu tam tikruose sektoriuose veikiantiems esminiams ir svarbiems subjektams pagal konkretiems sektoriams taikomus ES teisės aktus numatomos priežiūros ir vykdymo užtikrinimo priemonės yra lygiavertės TIS 2 direktyvoje numatytoms priemonėms, šiems subjektams netaikomos TIS 2 direktyvos nuostatos, susijusios su priežiūra ir vykdymo užtikrinimu. Atsižvelgiant į tai, KSĮ projekto 1 straipsnio 3 dalyje siūloma numatyti tam tikrų įstatymo nuostatų (susijusių su kibernetinio saugumo rizikos valdymo priemonių įgyvendinimu, pranešimu apie didelius kibernetinius incidentus) netaikymo išimtis tais atvejais, jei konkrečiam sektoriui taikomame ES teisės akte yra lygiavertį poveikį turinčios nuostatos. Kriterijai, kuriais vadovaujantis nustatomas nuostatų lygiavertiškumas, numatomi KSĮ projekto 1 straipsnio 4 dalyje. Šie kriterijai atitinka TIS 2 direktyvos 4 straipsnio 2 dalyje numatomus lygiavertiškumo vertinimo kriterijus, juos papildžius pagal
gairėse dėl TIS 2 direktyvos 4 straipsnio 1 ir 2 dalių taikymo pateiktą išaiškinimą dėl TIS 2 direktyvos 4 straipsnio 1 ir 2 dalių taikymo. Be to, atsižvelgiant į Reglamento (ES) 2022/2554 5 straipsnio 3 dalį, nustatomos analogiškos išimtys iš reikalavimų skirti už kibernetinį saugumą atsakingus asmenis.
Atsižvelgiant į tai, kad TIS 2 direktyvos 4 straipsnio 2 dalyje nurodyti lygiavertiškumo vertinimo kriterijai yra vertinamojo pobūdžio, ir siekiant nesukurti situacijos, kai kaskart ES priėmus naują konkrečiam sektoriui taikomą ES teisės aktą būtų keičiamas KSĮ dėl išimties nustatymo, KSĮ projektu siūloma numatyti, kad lygiavertį poveikį turinčių konkrečiam sektoriui taikomų ES teisės aktų sąrašą patvirtintų Vyriausybė nutarimu (KSĮ projekto 1 straipsnio 5 dalis). Siūloma numatyti, kad nurodytas Vyriausybės nutarimas būtų tvirtinamas atskiruose sektoriuose politiką formuojančių ministerijų teikimu, atsižvelgiant į tai, kad konkretiems sektoriams taikomus ES teisės aktus pagal kompetenciją geriausiai išmano šiuose sektoriuose politiką formuojančios institucijos. TIS 2 direktyvos 2 straipsnyje numatoma TIS 2 direktyvos netaikymo išimtis subjektams, vykdantiems veiklą nacionalinio saugumo, visuomenės saugumo, gynybos ar teisėsaugos srityse, todėl siūloma KSĮ netaikyti žvalgybos tarnyboms įvertinus Lietuvos Respublikos žvalgybos įstatymo nuostatas. Atsižvelgiant į besiformuojančią praktiką įgyvendinant Reglamento (ES) 2022/2554 2 straipsnio 4 dalyje valstybėms narėms nustatytą pasirinkimo galimybę netaikyti Reglamento (ES) 2022/2554 nuostatų Direktyvos 2013/36/ES 2 straipsnio 5 dalies 4–23 punktuose nurodytiems subjektams, esantiems jų atitinkamose teritorijose (Lietuvoje tokie subjektai yra kredito unijos), nustatomos dalinės išimtys centrinėmis kredito unijomis nelaikomoms kredito unijoms. 3 . Į nacionalinę teisę perkeliant TIS 2 direktyvos 6 straipsnyje pateiktas sąvokas atsižvelgta į tai, kad TIS 2 direktyvoje pateikiamos sąvokos yra glaudžiai susijusios su kitais ES teisės aktais (Reglamentu (ES) 2019/881 , Reglamentu (ES) Nr. 1025/2012 , Reglamentu (ES) Nr.
910/2014 , Reglamentu (ES) 2019/1150 ), todėl pasirinkta šiuose teisės aktuose apibrėžtų sąvokų, kiek įmanoma, iš naujo neapibrėžti, o vartoti jau kituose teisės aktuose apibrėžtas sąvokas. Atkreiptinas dėmesys, kad nors TIS 2 direktyvoje pateikiamose sąvokose yra nemažai techninio pobūdžio formuluočių ( aukščiausio lygio domenas, kintamo masto pritaikoma bendrų ir paskirstytų kompiuterijos išteklių bazė, interneto maršruto parinkimo ir junglumo paslaugos, rekursinio domenų vardų keitimo paslaugos, šakninių vardų serveriai ), šios formuluotės vartojamos ir kituose ES teisės aktuose jų neapibrėžiant, todėl siekiant neiškreipti kituose ES teisės aktuose pateikiamų sąvokų sampratos ir atsižvelgiant į tai, kad informacinių technologijų srityje veikiantiems asmenims šios formuluotės yra aiškios ir suprantamos, šių formuluočių įstatyme siūloma neapibrėžti. 4 . Nors Kibernetinio saugumo taryba nėra TIS 2 direktyvos reguliavimo sritis, tačiau, atsižvelgus į naujai atsiradusius sektorius TIS 2 direktyvoje, siūloma KSĮ projekto 6 straipsnio 2 dalyje išplėsti Kibernetinio saugumo tarybos sudėtį, kurią sudarytų politiką formuojančių, dalyvaujančių formuojant ir ją įgyvendinančių institucijų atstovai, KSĮ projekto 1 ir 2 priede nurodytų institucijų, atsakingų už kibernetinio saugumo subjektų identifikavimą, atstovai, kibernetinio saugumo subjektams atstovaujančių asociacijų, mokslo ir studijų institucijų atstovai ir šio KSĮ projekto 23 straipsnyje nurodyti Kibernetinio saugumo bendruomenės nariai. Toks pakeitimas leistų objektyviau sudaryti personalinę kibernetinio saugumo tarybos sudėtį bei įtraukti daugiau suinteresuotų subjektų atstovų. Taip pat iš naujo įvertintos Kibernetinio saugumo tarybos funkcijos.
Atsižvelgiant į veiklos praktiką, kai Kibernetinio saugumo tarybos siūlymus gauna, juos analizuoja ir jais vadovaujasi Krašto apsaugos ministerija, siūloma nustatyti, kad Kibernetinio saugumo taryba siūlymus teikia Krašto apsaugos ministerijai (KSĮ projekto 6 straipsnio 1 dalis) . Atsižvelgiant į Kibernetinio saugumo tarybos kompetencijas ir žinias, nustatomos funkcijos dėl keitimosi gerąja praktika ir žiniomis kibernetinio saugumo srityje bei pasiūlymų teikimo dėl kibernetinio saugumo prioritetų, plėtros krypčių, viešojo sektoriaus, verslo ir mokslo bendradarbiavimo galimybių, kibernetinio saugumo rizikos valdymo priemonių ir kibernetinių incidentų valdymo ir kibernetinio saugumo stiprinimo krypčių . 5 . NKSC funkcijos nustatomos KSĮ projekto 7 straipsnyje. KSĮ projekto 7 straipsnio 2 dalies 1–3, 6, 10, 12, 13, 16, 18, 19 punktuose išlaikomos KSĮ jau nustatytos funkcijos, 4, 5, 8, 9, 11, 14, 15 punktuose perkeltos TIS 2 direktyvoje nustatytos kompetentingų institucijų funkcijos. KSĮ projekto 7 straipsnio 2 dalies 14 ir 15 punktuose nustatytos funkcijos, susijusios su veiksmais krizių atveju. Nors krizių atveju bus vadovaujamasi Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatymu, NKSC dalyvaus valdant krizes, susijusias su kibernetiniais incidentais, bei teiks pranešimus ES institucijoms. Tuo tarpu KSĮ projekto 8 straipsnyje siūloma nustatyti pagalbos valdant kibernetinius incidentus modelį. Šiais atvejais NKSC tvarkytų duomenis apie kibernetinio saugumo subjektus, kitas įstaigas ir ūkio subjektus, kuriems, vadovaujantis Krizių valdymo ir civilinės saugos įstatymu, būtų pavedamos būtinosios užduotys valdant kibernetinius incidentus , joms reguliariai organizuotų kibernetinio saugumo pratybas ir mokymus.
KSĮ projekto 7 straipsnio 2 dalies 15, 18 ir 19 punktuose nustatant funkcijas, susijusias su bendradarbiavimu kibernetinio saugumo srityje, be bendradarbiavimo su ES, įtraukiamos Šiaurės Atlanto sutarties organizacijos (toliau – NATO) ir kitų valstybių, taip pat ES, NATO institucijos ir tarptautinės organizacijos. Pažymėtina, kad TIS 2 direktyva kalba tik apie ES institucijas ir organizacijas, tačiau siekiant sukonstruoti bendrą sistemą siūloma nustatyti platesnio bendradarbiavimo modelį. KSĮ projekto 7 straipsnio 2 dalies 16 ir 17 punktuose bei V skyriuje nustatytos funkcijos, apimančios atitikties kibernetinio saugumo rizikos valdymo priemonėms stebėseną, subjektų konsultavimą kibernetinio saugumo rizikos valdymo priemonių taikymo klausimais, subjektų patikrinimų vykdymą bei vykdymo užtikrinimo priemonių parinkimą ir taikymą. Pažymėtina, kad atsižvelgiant į TIS 2 direktyvos 32 straipsnio 2 dalies b punktą KSĮ projekto 7 straipsnio 3 dalyje siūloma nustatyti naują teisę NKSC pasitelkti nustatytas sąlygas atitinkantį nepriklausomą auditorių, audito įmonę ar kitą instituciją, atitinkančią NKSC nustatytus nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus, kibernetinio saugumo auditui atlikti, kai yra vykdoma atitikties kibernetinio saugumo rizikos valdymo priemonėms stebėsena. Atliekant kibernetinio saugumo auditą turės būti užtikrinamas kibernetinio saugumo subjekto valdomų ir (ar) tvarkomų tinklų ir informacinių sistemų kibernetinis saugumas.
Atkreiptinas dėmesys, kad nors Valstybės informacinių išteklių valdymo įstatymo 20 straipsnyje nustatomos valstybės informacinių išteklių valdymo audito nuostatos, kibernetinio saugumo auditas savo prasme skiriasi nuo valstybės informacinių išteklių valdymo audito, todėl šių auditų nuostatos tarpusavyje nesiejamos. Siekiant laiku pašalinti kibernetines grėsmes ar stabdyti jų plitimą, siūloma KSĮ projekto 7 straipsnio 2 dalies 7 punkte nustatyti naują teisę NKSC duoti nurodymą viešųjų elektroninių ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų teikėjui ir (ar) domeno vardų paslaugų teikėjui blokuoti interneto svetainių, platinančių kenkimo kodus, apgaulės būdu renkančius prisijungimus prie tinklų ir informacinių sistemų ir (ar) naudojamus siekiant koordinuoti ir vykdyti kibernetinius incidentus, domenų vardus, taip pat kitus domenų vardus, sukurtus minėtoms interneto svetainių veikloms vykdyti. Papildomai KSĮ 7 straipsnio 4 dalyje nustatoma teisė skųsti teismui NKSC pritaikytas priemones ir nurodymus Administracinių bylų teisenos įstatymo nustatyta tvarka. Pažymėtina, kad šio straipsnio 2 dalies 7 punkte numatoma apskundimo išimtis – nurodymus blokuoti interneto domenų vardus būtų galima skųsti Lietuvos Respublikos civilinio proceso kodekso nustatyta tvarka, atsižvelgiant į tai, kad domeno vardo blokavimas apribotų asmenų teises į jų turtą – domeno vardą. Atsižvelgiant į TIS 2 direktyvos 11 straipsnio 1 ir 2 dalyse nustatytus reikalavimus reagavimo į kompiuterių saugumo incidentus tarnyboms (šią funkcija vykdo NKSC), KSĮ projekto 7 straipsnio 5 ir 6 dalyse nustatomi atitinkami reikalavimai. 6 .
6. Kibernetinio saugumo subjektai , kurie patenka į KSĮ projekto taikymo sritį, yra skirstomi į dvi kategorijas: esminių subjektų ir svarbių subjektų, atspindint jų svarbos mastą jų sektoriaus arba jų teikiamų paslaugų rūšies, taip pat jų dydžio požiūriais. Abiejų kategorijų subjektams taikomos priežiūros ir vykdymo užtikrinimo priemonės yra diferencijuojamos siekiant užtikrinti tinkamą rizika grindžiamų reikalavimų ir pareigų ir administracinės naštos, atsirandančios dėl atitikties priežiūros, pusiausvyrą. Siekiant įgyvendinti TIS 2 direktyvos 3 straipsnyje nustatytus identifikavimo kriterijus ir tikslus, siūloma KSĮ projekto 11 straipsnyje nustatyti e sminių ir svarbių subjektų identifikavimo kriterijus. TIS 2 direktyvos 2 straipsnio 1 dalis nustato, kad į esminių ir svarbių subjektų kategorijas patenka viešieji ar privatieji subjektai, kurie laikomi vidutinėmis įmonėmis pagal Rekomendacijos 2003/361/EB priedo 2 straipsnį arba kurie viršija to straipsnio 1 dalyje nustatytas viršutines ribas ir kurie teikia paslaugas arba vykdo veiklą ES. Atitinkamai TIS 2 direktyvos 3 straipsnio 1 dalies a punktas ir 2 dalis nustato, kad minėtieji viešieji ar privatieji subjektai turi veikti TIS 2 direktyvos I ir II priede nurodytuose sektoriuose. Atsižvelgiant į šias nuostatas, KSĮ projekto 11 straipsnio 3 dalies 1 punkte bei 4 dalies 1 ir 2 punktuose siūloma nustatyti atitinkamus esminių kibernetinio saugumo subjektų (toliau – esminiai subjektai) ir svarbių kibernetinio saugumo subjektų (toliau – svarbūs subjektai) identifikavimo kriterijus. TIS 2 direktyvos 3 straipsnio 1 dalies b ir c punktai nustato, kad esminiais subjektais laikomi kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir aukščiausio lygio domenų vardų registrų teikėjai, taip pat DNS paslaugų teikėjai, nepriklausomai nuo jų dydžio, bei viešųjų elektroninių ryšių tinklų arba viešai prieinamų elektroninių ryšių paslaugų teikėjai.
Atsižvelgiant į šias nuostatas, KSĮ projekto 11 straipsnio 3 dalies 2 ir 3 punktuose siūloma nustatyti atitinkamus esminių subjektų identifikavimo kriterijus. Vadovaujantis TIS 2 direktyvos 3 straipsnio 2 dalimi, nustatančia, kad subjektai, kurie nelaikomi esminiais subjektais, yra laikomi svarbiais subjektais, KSĮ projekto 11 straipsnio 4 dalies 3 ir 4 punktuose nustatyti svarbių subjektų identifikavimo kriterijai, susiję su nekvalifikuotas patikimumo užtikrinimo paslaugas teikiančių bei viešųjų elektroninių ryšių tinklų paslaugas ar viešai prieinamų elektroninių ryšių paslaugas teikiančių subjektų identifikavimu. TIS 2 direktyvos 3 straipsnio 1 dalies d punktas nustato, kad esminiais subjektais laikomi centrinės valdžios, kaip valstybė narė apibrėžė pagal nacionalinę teisę, viešojo administravimo subjektas. Atsižvelgiant į šią nuostatą, KSĮ projekto 11 straipsnio 3 dalies 5 punkte siūloma nustatyti atitinkamą esminių subjektų identifikavimo kriterijų. Pažymėtina, kad atsižvelgiant į TIS 2 direktyvos 2 straipsnio 5 dalies a punktą, kuriuo valstybei nustatoma teisė į esminių ir svarbių subjektų kategorijas įtraukti viešojo administravimo subjektus vietos lygmeniu ir atsižvelgus į poreikį stiprinti kibernetinį saugumą sistemiškai, KSĮ projekto 11 straipsnio 3 dalies 5 punkte nustatomas esminių subjektų identifikavimo kriterijus, susijęs su regioninio administravimo subjektais ir savivaldybių administravimo subjektais pagal Viešojo administravimo įstatymą.
TIS 2 direktyvos 3 straipsnio 1 dalies f punktas nustato, kad esminiais subjektais laikomi pagal Direktyvą (ES) 2022/2557 identifikuoti ypatingos svarbos subjektai. Atsižvelgiant į šią nuostatą, KSĮ projekto 11 straipsnio 3 dalies 4 punkte siūloma nustatyti atitinkamą esminių subjektų identifikavimo kriterijų. Pažymėtina, kad subjektų pripažinimas ypatingos svarbos subjektais numatytas Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatymo Nr. VIII-971 1, 2, 7, 9, 11, 12, 13, 22, 50, 52 straipsnių ir priedo pakeitimo, įstatymo papildymo VI1 skyriumi ir nauju 1 priedu įstatymo projekte, pateiktame derinti Lietuvos Respublikos vidaus reikalų ministerijos. TIS 2 direktyvos 2 straipsnio 4 dalis nustato, kad TIS 2 direktyva yra taikoma subjektams, teikiantiems domenų vardų registravimo paslaugas. Atsižvelgiant į šią nuostatą, KSĮ projekto 11 straipsnio 4 dalies 6 punkte siūloma nustatyti atitinkamą svarbių subjektų identifikavimo kriterijų. Siekiant užtikrinti tinkamą valstybės informacinių išteklių kibernetinį saugumą, KSĮ projekto 11 straipsnio 3 dalies 6 punkte ir 4 dalies 5 punkte nustatomi esminių ir svarbių subjektų identifikavimo kriterijai, susiję su Valstybės informacinių išteklių valdymo įstatymo nustatyta tvarka valdomais ir (ar) tvarkomais valstybės informaciniais ištekliais.
Siekiant užtikrinti tinkamą nacionaliniam saugumui užtikrinti svarbios įmonės kibernetinį saugumą, KSĮ projekto 11 straipsnio 3 dalies 7 punkte nustatomas esminių subjektų identifikavimo kriterijus, susijęs su nacionaliniam saugumui užtikrinti svarbia įmone arba asmens valdoma ir (ar) tvarkoma tinklų ir informacinė sistema. Siekiant užtikrinti tinkamą elektroninės informacijos prieglobos paslaugas teikiančių subjektų kibernetinį saugumą , KSĮ projekto 11 straipsnio 4 dalies 7 punkte nustatomas atitinkamas svarbių subjektų identifikavimo kriterijus. TIS 2 direktyvos 2 straipsnio 2 dalies b–e punktai nustato esminių ir svarbių subjektų identifikavimo kriterijus, kurie leidžia nacionalinei valstybei įvertinti subjekto svarbą per jo teikiamų paslaugų poveikio mastą viešajam saugumui, visuomenės saugumui, visuomenės sveikatai, sutrikimų keliamai rizikai. Šio vertinamojo pobūdžio esminių ir svarbių subjektų identifikavimo kriterijai KSĮ projekte vadinami specialiaisiais identifikavimo kriterijais ir yra nustatyti KSĮ projekto 11 straipsnio 5 dalyje. KSĮ projekto 11 straipsnio 5 dalyje 1–4 punktuose nustatyti minėtieji TIS 2 direktyvos 2 straipsnio 2 dalies b–e punktuose nustatyti identifikavimo kriterijai.
Dėl intensyvėjančių kibernetinių grėsmių ir didėjančio jų sudėtingumo siūloma nustatyti ir papildomus nacionalinius kriterijus, kurių nėra numatyta TIS 2 direktyvoje ir pagal kuriuos subjektai būtų priskiriami esminių arba svarbių subjektų grupėms, turint tikslą pasiekti aukštą kibernetinio saugumo lygį ir remti lygiaverčių kibernetinio saugumo rizikos valdymo priemonių, atspindinčių jautrų šių subjektų pobūdį, įgyvendinimą. KSĮ projekto 11 straipsnio 5 dalies 5–6 punktuose teikimo grandinių kibernetiniam saugumui stiprinti nustatyti identifikavimo kriterijai, susiję su trečiųjų šalių paslaugų teikimu viešojo administravimo sektoriui ir esminiams subjektams. KSĮ projekto 11 straipsnio 5 dalies 7 punkte, siekiant užtikrinti kibernetinį saugumą gyvybiškai svarbias valstybės funkcijas atliekantiems ir valstybinės mobilizacines užduotis vykdantiems subjektams , nustatyti atitinkami identifikavimo kriterijai. KSĮ projekto 11 straipsnio 5 dalies 8 punkte, atsižvelgiant į TIS 2 direktyvos 2 straipsnio 5 dalies b punktą, nustatytas identifikavimo kriterijus, susijęs su subjektais, mokslinių tyrimų sektoriuje vykdančiais ypatingos svarbos mokslinių tyrimų ir eksperimentinės plėtros veiklą. Atsižvelgiant į specialiųjų identifikavimo kriterijų vertinamąjį pobūdį, siūlytina, kad Vyriausybė tvirtintų identifikavimo pagal specialiuosius kriterijus metodiką.
Mažinant subjektams tenkančią administracinę naštą pateikti esminiams ir svarbiems subjektams identifikuoti reikalingus duomenis, siekiant sudaryti palankesnes sąlygas atsakingoms institucijoms sukurti ir atnaujinti esminių ir svarbių subjektų sąrašą bei fiksuoti subjekto tapimo esminiu ir svarbiu subjektu faktą, su juo susiejant esminiam ir svarbiam subjektui atsirandančias pareigas ir pasekmes, siūloma įsteigti Kibernetinio saugumo subjektų registrą (KSĮ projekto 13 straipsnis), kuriame būtų registruojami esminiai ir svarbūs subjektai ir su subjektais susiję pagrindiniai duomenys (KSĮ projekto 13 straipsnio 3 dalis). Kibernetinio saugumo subjektų registro objektas ir jį apibūdinantys duomenys būtų tvarkomi
(KSĮ projekto 13 straipsnio 2 dalis). Siūloma nustatyti, kad subjektai identifikavimo tikslams reikalingus duomenis teiktų
nuostatuose nustatyta tvarka ( KSĮ projekto 13 straipsnio 4 dalis), o Kibernetinio saugumo subjektus registruotų ir išregistruotų
tvarkytojas ( KSĮ projekto 13 straipsnio 5 dalis) . Taip pat siūloma, kad esminių ir svarbių subjektų identifikavimo procese dalyvautų atsakingos institucijos, nurodytos KSĮ projekto 1 ir 2 prieduose ( KSĮ projekto 13 straipsnio 6 dalis) . Siūloma nustatyti, kad
tvarkytojas,
nuostatuose nustatytais atvejais ir tvarka identifikuodamas ir registruodamas esminius ir svarbius subjektus, turėtų teisę neatlygintinai gauti iš identifikuojamų asmenų, kitų valstybės institucijų, valstybės įstaigų, valstybės valdomų įmonių, viešųjų įstaigų, savivaldybių įmonių ir savivaldybių įstaigų duomenis, reikalingus esminiams ir svarbiems subjektams registruoti (KSĮ projekto 13 straipsnio 7 dalis).
Tuo tikslu NKSC, kaip
tvarkytojas, panaudodamas atvirus duomenų šaltinius ir duomenis, gautus iš kitų duomenų šaltinių ir valstybės valdomų registrų apie asmenis ( KSĮ projekto 13 straipsnio 10 dalyje nustatyta, kad sektoriai, subsektoriai ir subjekto rūšis nustatomi pagal Ekonominės veiklos rūšių klasifikatorių ), bei pritaikydamas KSĮ projekte nustatytus kriterijus, sudarys esminių ir svarbių subjektų sąrašus. Subjektai atitinkamai bus informuojami elektroniniu pranešimu apie patekimą į sąrašą ir turės galimybę tikslinti duomenų tikrumą. Išsamesnis subjektų identifikavimo procesas bus nustatytas
nuostatuose. Kibernetinio saugumo subjektų išregistravimo iš Kibernetinio saugumo subjektų registro sąlygos nustatytos KSĮ projekto 13 straipsnio 9 dalyje. Subjektai turi teisę skųsti sprendimą juos registruoti Kibernetinio saugumo subjektų registre (KSĮ projekto 13 straipsnio 8 dalis). KSIT duomenų teikimo apribojimai yra nustatyti KSĮ projekto 19 straipsnio 5 dalyje, o specialiųjų asmens duomenų tvarkymo sąlygų nustatyti neketinama. 6 . TIS 2 direktyvos 21 straipsnis nustato kibernetinio saugumo valdymo priemones bei nurodo šių priemonių elementus. Nustatomos kibernetinio saugumo rizikos valdymo priemonės, grindžiamos visų rūšių pavojus apimančiu požiūriu, tarp jų ir fiziniu ir aplinkos saugumu. TIS 2 direktyvos 1 dalyje nurodoma, kad valstybės narės turi užtikrinti, kad esminiai ir svarbūs subjektai imtųsi tinkamų ir proporcingų techninių, operatyvinių ir organizacinių priemonių.
Šiuo metu KSĮ taip pat nustatyta, kad kibernetinio saugumo subjektai atsako už jų valdomų ryšių ir informacinių sistemų ar teikiamų paslaugų kibernetinį saugumą, užtikrina jų atitiktį organizaciniams ir techniniams kibernetinio saugumo reikalavimams , todėl, siekiant išlaikyti dabartinės praktikos tęstinumą ir toliau plėtoti įgytas žinias ir patirtis , siūloma KSĮ projekto 14 straipsnio 1 dalyje nustatyti, kad kibernetinio saugumo subjektai užtikrintų veiklai vykdyti ar paslaugoms teikti naudojamų tinklų ir informacinių sistemų atitiktį kibernetinio saugumo rizikos valdymo priemonėms, t. y. kibernetinio saugumo reikalavimams, tvirtinamiems Vyriausybės, ir Europos Komisijos priimtiems įgyvendinimo aktams, taikomiems konkretiems sektoriams, jei toks reguliavimas nustatytas . Siūloma nustatyti, kad kibernetinio saugumo subjektai įgyvendintų kibernetinio saugumo reikalavimus per Vyriausybės nustatytą ne trumpesnį nei 12 mėn. terminą. Šį terminą Vyriausybė nustatytų tvirtindama kibernetinio saugumo reikalavimų aprašą, o šiuo terminu būtų siekiama sudaryti palankesnes sąlygas kibernetinio saugumo subjektams suplanuoti būtinus finansinius išteklius ir pajėgumus kibernetinio saugumo reikalavimams įgyvendinti ( KSĮ projekto 14 straipsnio 2 dalis ) . Siūloma įtvirtinti, kad kibernetinio saugumo reikalavimai apimtų elementus , kaip to reikalaujama TIS 2 direktyvos 21 straipsnio 2 dalyje.
Taip pat siekiant išlaikyti dabartinės praktikos tęstinumą ir toliau plėtoti įgytas žinias ir patirtis, būtų siekiama išlaikyti šiuo metu galiojančių kibernetinio saugumo reikalavimų apimtis, į jas integruojant Bendrųjų elektroninės informacijos saugos reikalavimų aprašo ir Saugos dokumentų turinio gairių aprašo nuostatas, taip pat papildant atskiriems sektoriams arba atskiroms kibernetinio saugumo subjektų grupėms taikomomis kibernetinio saugumo rizikos valdymo priemonėmis, kurios būtų nustatytos atsižvelgiant į atskiruose sektoriuose identifikuotas kibernetinio saugumo rizikas. Kadangi grėsmė tinklų ir informacinių sistemų saugumui gali būti įvairios kilmės, kibernetinio saugumo reikalavimai turėtų būti grindžiami visų rūšių pavojus apimančiu požiūriu, kuriuo siekiama apsaugoti tinklų ir informacines sistemas bei jų fizinę aplinką nuo tokių įvykių kaip vagystė, gaisras, potvynis, telekomunikacijų ar elektros energijos tiekimo triktys, arba nuo neleistinos fizinės prieigos prie kibernetinio saugumo subjekto informacijos ir informacijos tvarkymo objektų ir žalos jiems, ir jų trikdžių, kurie galėtų kelti pavojų saugomų, perduodamų ar tvarkomų duomenų arba per tinklų ir informacines sistemas teikiamų ar prieinamų paslaugų prieinamumui, autentiškumui, vientisumui arba konfidencialumui, s iūloma, kad kibernetinio saugumo reikalavimuose būtų detaliau aprašomos priemonės bei numatytos papildomos kibernetinio saugumo rizikos valdymo priemonės , taikomos atskiriems sektoriams arba atskiroms esminių ar svarbių subjektų grupėms , atsižvelgiant į atskiruose sektoriuose identifikuotas kibernetinio saugumo rizikas ( KSĮ projekto 14 straipsnio 5 dalies 13 punktas ).
Siekiant įgyvendinti TIS 2 direktyvos 20 straipsnio 2 dalį, siūloma KSĮ projekto 14 straipsnio 7 dalyje nustatyti, kad kibernetinio saugumo subjekto valdymo organų nariai, vadovas ir jo įgaliotas asmuo (taip pat galioja, jei jis yra fizinis asmuo) privalo ne rečiau kaip kartą per 2 metus NKSC vadovo nustatyta tvarka išklausyti kibernetinio saugumo mokymus bei užtikrinti kibernetinio saugumo subjekto darbuotojų nuolatinį švietimą kibernetinio saugumo srityje . Dalyvavimas mokymuose leistų įgyti pakankamai žinių ir įgūdžių nustatyti rizikas ir įvertinti kibernetinio saugumo rizikos valdymo praktiką bei jos poveikį subjekto teikiamoms paslaugoms.
Pažymėtina, kad šis reikalavimas padėtų kibernetinio saugumo subjekto vadovui arba jo įgaliotam asmeniui užtikrinti KSĮ projekto 14 straipsnio 6 dalyje nustatytos pareigos – užtikrinti, kad kibernetinio saugumo subjektas laikytųsi įstatyme jam nustatytų pareigų, ir prižiūrėti jų laikymąsi – vykdymą. KSĮ projekto 14 straipsnio 8 dalyje išlaikoma galiojančio KSĮ nuostata, kad k ibernetinio saugumo subjektai ne rečiau kaip kartą per 3 metus atlieka kibernetinio saugumo auditą. Kibernetinio saugumo auditą gali atlikti nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų auditoriai, audito įmonės ar kitos institucijos, kurios atitinka NKSC metodikoje nustatytus nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus, ar asmenys, NKSC vadovo nustatyta tvarka išklausę mokymus ir išlaikę kvalifikacinius žinių ir praktinių įgūdžių patikrinimo egzaminą. 7 . Nuostatos dėl asmenų, atsakingų už kibernetinį saugumą, įtraukiamos siekiant užtikrinti dabartinės praktikos tęstinumą ir toliau plėtoti įgytas žinias ir patirtis, taip pat siekiant, kad kibernetinio saugumo subjektai patvirtintų kibernetinio saugumo rizikos valdymo priemones ir prižiūrėtų jų įgyvendinimą subjekto veikloje. Siūloma nustatyti du už kibernetinį saugumą atsakingų asmenų lygius, skiriant kibernetinio saugumo vadovą ir saugos įgaliotinį, ir nustatyti jų pagrindines pareigas. Siūloma nustatyti, kad kibernetinio saugumo vadovas būtų tiesiogiai atskaitingas kibernetinio saugumo subjekto vadovui ir būtų atsakingas už reikalavimų, nustatytų kibernetinio saugumo subjektui (arba keliems subjektams) dėl kibernetinio saugumo rizikų valdymo priemonių ir pranešimų apie incidentus, įgyvendinimą ( KSĮ projekto 15 straipsnio 1 dalis ).
Kibernetinio saugumo vadovą būtų tikslinga skirti didelėse organizacijose, turinčiose nutolusių padalinių ir valdančiose ir (ar) tvarkančiose daugiau nei vieną tinklų ir informacinę sistemą arba kompleksines tinklų ir informacines sistemas. Kibernetinio saugumo vadovui galėtų būti pavaldūs kiti asmenys organizacijoje, kurie įgyvendina atskiras kibernetinio saugumo priemones arba yra atsakingi už pavienių tinklų ir informacinių sistemų saugumą. Tuo tarpu saugos įgaliotinis, kaip ir pagal galiojančias KSĮ nuostatas, būtų atsakingas už konkrečios ryšių ir informacinės sistemos (arba kelių informacinių sistemų) kibernetinio saugumo rizikų valdymo priemonių ir pranešimų apie incidentus įgyvendinimą ( KSĮ projekto 15 straipsnio 2 dalis ). Siūloma taip pat įtvirtinti, kad kibernetinio saugumo vadovas galėtų vykdyti saugos įgaliotinio funkcijas, o sprendimą dėl asmenų, atsakingų už kibernetinį saugumą, skyrimo turėtų priimti esminio ir svarbaus subjekto vadovas, atsižvelgdamas į kibernetinio saugumo subjekto organizacinę struktūrą ir dydį ( KSĮ projekto 15 straipsnio 3 dalis ). Pažymėtina, kad kibernetinės saugos organizavimo tęstinumui išlaikyti valstybės informacinių išteklių atveju numatoma, kad tinklų ir informacinės sistemos valdytojas turi teisę pavesti tinklų ir informacinės sistemos tvarkytojui paskirti saugos įgaliotinį. Kibernetinio saugumo subjektui taip pat leidžiama iš tiekėjo įsigyti paslaugas, kurių metu būtų vykdomos u ž kibernetinį saugumą atsakingų asmenų funkcijos ( KSĮ projekto 15 straipsnio 4 dalis ).
KSĮ projekto 15 straipsnio 5 dalimi nustatomi reikalavimai asmenims, atsakingiems už kibernetinį saugumą, išlaikant KSĮ jau nustatytus esminius reikalavimus ( skiriant u ž kibernetinį saugumą atsakingus asmenis, jie neturėtų neišnykusio ar nepanaikinto teistumo už nusikaltimą ir negali turėti paskirtos administracinės nuobaudos tam tikrose srityse) bei siūlant įtvirtinti papildomus (įvedamas nepriekaištingos reputacijos kriterijus bei žinių ir kvalifikacijos reikalavimai ). Atkreiptinas dėmesys, kad galiojančiame KSĮ esantis reikalavimas s augos įgaliotiniui neturėti neišnykusio ar nepanaikinto teistumo už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui yra integruotas į Lietuvos Respublikos valstybės tarnybos įstatyme nustatytus nepriekaištingos reputacijos kriterijus (5 straipsnio 2 dalis). Nauji siūlomi įvesti reikalavimai turėtų sustiprinti asmenų, atsakingų už kibernetinį saugumą, pozicijas kompetencijos požiūriu, mažinti riziką tapatinti informacinių technologijų valdymą su kibernetiniu saugumu bei užtikrinti, kad su kibernetiniu saugumu dirbantys asmenys būtų mažiau asmeniškai pažeidžiami. Reikalavimai už kibernetinį saugumą atsakingiems asmenims nustatomi bendri, kadangi visi minėti asmenys neturėtų turėti administracinių nuobaudų, turi būti nepriekaištingos reputacijos, taip pat turi turėti nustatytą būtinąjį kompetencijų lygį. Pažymėtina, kad atsižvelgiant į tai, kad kibernetinio saugumo vadovas galėtų vykdyti saugos įgaliotinio funkcijas, nėra tikslinga diferencijuoti reikalavimų už kibernetinį saugumą atsakingiems asmenims. KSĮ projekto 15 straipsnio 6 dalimi nustatoma, kad fiziniam asmeniui netaikomi šiame straipsnyje nustatyti reikalavimai .
Šia nuostata siekiama nesudaryti administracinės naštos fiziniam asmeniui, kuris nevykdo veiklos kaip juridinis asmuo, įsigyti rinkoje asmenų, atsakingų už kibernetinį saugumą, paslaugas. Dėl fizinio asmens veiklos būdo išskirtinumo jis pats, būdamas kibernetinio saugumo subjektas, turėtų užtikrinti kibernetinį saugumą. 8 . TIS 2 direktyvos 23 straipsnyje esminiams ir svarbiems subjektams numatoma pareiga pranešti apie bet kokį incidentą, darantį didelį poveikį subjektų vykdomai veiklai ir (ar) teikiamoms paslaugoms . Taip pat pažymėtina, kad šiuo metu KSĮ nustatyta, kad kibernetinio saugumo subjektai praneša NKSC apie jų valdomose ir (arba) tvarkomose ryšių ir informacinėse sistemose įvykusius kibernetinius incidentus ir taikytas kibernetinių incidentų valdymo priemones Nacionaliniame kibernetinių incidentų valdymo plane nustatytomis sąlygomis ir tvarka, o esama incidentų klasifikavimo sistema taip pat suskirstyta į kelias kibernetinių incidentų kategorijas, atsižvelgiant į kibernetinių incidentų poveikį.
Atsižvelgus į tai, kad Nacionaliniame kibernetinių incidentų valdymo plane yra nustatytos keturios kibernetinių incidentų kategorijos (pavojingi kibernetiniai incidentai, didelio poveikio kibernetiniai incidentai, vidutinio poveikio kibernetiniai incidentai, nereikšmingo poveikio kibernetiniai incidentai), bei į tai, kad kibernetinių incidentų skaičius, mastas, sudėtingumas, dažnumas ir poveikis didėja bei kelia didelę grėsmę tinklų ir informacinių sistemų veikimui , taip pat siekiant, k ad būtų užtikrintas dabartinės praktikos tęstinumas ir toliau plėtojamos įgytos žinios ir patirtis , siūloma KSĮ projekto 18 straipsnio 1 dalyje nustatyti, kad esminiai ir svarbūs subjektai praneštų NKSC ne tik apie didelį kibernetinį incidentą, bet ir apie kitus kibernetinius incidentus, nustatyti išsamų pranešimo turinį, taip pat nustatyti, kad atitinkamai praneštų apie kibernetinį incidentą ir kibernetinę grėsmę Nacionalinio kibernetinių incidentų valdymo plano, tvirtinamo Vyriausybės, nustatyta tvarka. Numatoma peržiūrėti šiuo metu nustatytas kibernetinių incidentų kategorijas ir kriterijus ir apibrėžti kibernetinius incidentus, apie kuriuos subjektai privalėtų pranešti. KSĮ projekto 18 straipsnio 2 dalyje siūloma apibrėžti didelį kibernetinį incidentą taip, kaip numatyta TIS 2 direktyvos 23 straipsnyje.
Kibernetinis incidentas dideliu būtų laikomas, jeigu dėl jo atitinkamas subjektas patyrė arba gali patirti didelių paslaugų teikimo sutrikimų arba finansinių nuostolių arba jeigu kibernetinis incidentas paveikė arba gali paveikti kitus fizinius ar juridinius asmenis sukeldamas didelę turtinę arba neturtinę žalą. Pažymėtina, kad TIS 2 direktyvos 23 straipsnio 11 dalyje numatoma galimybė Europos Komisijos priimamuose įgyvendinimo aktuose išsamiau nustatyti pateikiamos informacijos apie didelius kibernetinius incidentus rūšis, formatus ir procedūras. Atsižvelgiant į tai, KSĮ projekte daugiau nei TIS 2 direktyvoje neplėtojama didelio kibernetinio incidento samprata, tačiau paliekama galimybė Vyriausybei tai padaryti Nacionaliniame kibernetinių incidentų valdymo plane (KSĮ projekto 18 straipsnio 6 dalies 5 punktas), jeigu nebūtų priimti atitinkami Europos Komisijos įgyvendinimo aktai. KSĮ projekto 18 straipsnio 4 dalyje siūloma nustatyti išsamų pranešimo apie kibernetinį incidentą turinį. Siūloma nustatyti, kad kai esminiai ar svarbūs subjektai sužino apie didelį incidentą, jie nepagrįstai nedelsdami per 24 valandas turi pateikti ankstyvąjį perspėjimą. Po ankstyvojo perspėjimo turėtų būti pateikiamas pranešimas apie incidentą. Subjektai turėtų nepagrįstai nedelsdami per 72 valandas nuo tada, kai sužinojo apie didelį incidentą, pateikti pranešimą apie incidentą, visų pirma siekdami atnaujinti ankstyvuoju perspėjimu pateiktą informaciją, ir pateikti didelio incidento, įskaitant jo rimtumą ir poveikį, pradinį vertinimą, taip pat užvaldymo rodiklius, jei tokių yra. Galutinis pranešimas turėtų būti pateiktas ne vėliau kaip per vieną mėnesį nuo pranešimo apie incidentą.
Ankstyvajame perspėjime turėtų būti pateikta tik ta informacija, kurios reikia, kad NKSC būtų informuotas apie didelį incidentą, o atitinkamas subjektas prireikus galėtų kreiptis pagalbos. Tokiame ankstyvajame perspėjime, turėtų būti nurodyta, ar įtariama, kad didelį incidentą sukėlė neteisėti arba piktavališki veiksmai, ir ar tikėtina, kad jis turės tarpvalstybinį poveikį. Tuo atveju, jei galutinio pranešimo pateikimo metu incidentas tebevyksta, siūloma nustatyti, kad subjektai tuo metu pateiktų tarpinę pažangos ataskaitą, o galutinę ataskaitą – per vieną mėnesį nuo tada, kai suvaldė didelį incidentą. Kadangi reguliuojami teisiniai santykiai susiję su dideliais incidentais, priklausomai nuo aplinkybių tarpinių pažangos ataskaitų teikimo terminas galėtų būti ir labai trumpas, todėl jį numatyti įstatyme netikslinga. KSĮ projekto 18 straipsnio 6 dalyje siūloma apibrėžti išsamesnes nuostatas apie kitus kibernetinius incidentus , kurios turi būti detaliau nustatytos Nacionaliniame kibernetinių incidentų valdymo plane (pranešimo terminai, pranešimo turinys, informacijos apie kibernetinį incidentą pateikimo būdai ir priemonės, institucijų veiksmai).
Taip pat pažymėtina, kad nors galiojančiame KSĮ 16 straipsnyje yra nustatyta galimybė a smenims, kuriems KSĮ nėra nustatytos pareigos pranešti apie kibernetinius incidentus, savanoriškai pranešti apie kibernetinius incidentus, tačiau papildomai įvertinus tai, kad požiūris į kibernetines grėsmes yra nepaprastai svarbus kibernetinio saugumo rizikos valdymo priemonių elementas, kuris turėtų sudaryti sąlygas kompetentingoms institucijoms veiksmingai užkirsti kelią kibernetinių grėsmių tapimui incidentais, dėl kurių gali būti patiriama didelė turtinė ar neturtinė žala, ir siekiant įgyvendinti TIS 2 direktyvos 30 straipsnį dėl savanoriško pranešimo ne tik apie kibernetinius incidentus, siūloma papildyti KSĮ projekto 24 straipsnį, kad subjektams , kuriems KSĮ projekte nėra nustatytos pareigos pranešti apie kibernetinius incidentus, kibernetines grėsmes, vos neįvykusius incidentus ir (ar) taikytas kibernetinių incidentų valdymo priemones, turėtų teisę savanoriškai apie juos pranešti NKSC. 9 . KSIT paskirtį siūloma plėsti. KSIT yra sistema, skirta kibernetinio saugumo subjektams, ir kurios pagrindinės funkcijos yra automatizuotai tvarkyti duomenis apie kibernetinius incidentus, apdoroti, formuoti ir paskirstyti techninių kibernetinio saugumo priemonių fiksuojamus kibernetinius incidentus pagal jų svarbos kategorijas, vykdyti kibernetinių incidentų paiešką, kaupti duomenis apie kibernetinius incidentus ir (arba) kibernetines grėsmes, tikrinti pateiktus failus dėl kenksmingo kodo ir pan.
Siekiant užtikrinti dabartinės praktikos tęstinumą, kibernetinio saugumo subjektams teikti daugiau paslaugų, automatizuoti naujas NKSC atsirandančias funkcijas ir optimizuoti informacijos mainus, integraciją ir sklaidą, siūloma KSĮ projekto 19 straipsnio 1 dalies 1, 3, 4, 7 punktais praplėsti KSIT paskirtį. Siūloma patikslinti esamą reglamentavimą , kad KSIT galima būtų keistis duomenimis, susijusiais su kibernetinėmis grėsmėmis ir vos neįvykusiais incidentais (KSĮ projekto 19 straipsnio 1 dalies 5 punktas), kaip to reikalauja TIS 2 direktyva, ir atitinkamai KSIT galėtų naudotis asmenys, kurie atitinka KSIT nuostatuose nurodytus reikalavimus (KSĮ projekto 19 straipsnio 3 dalis). Atsižvelgiant į tai, kad NKSC tampa KSIT tvarkytoju (KSĮ projekto 19 straipsnio 2 dalis), KSĮ projekto 19 straipsnio 1 dalies 1 punkte siūloma nustatyti, kad K ibernetinio saugumo subjektų registro objektai registruojami ir tvarkomi KSIT. Siekiant integruoti KSĮ nustatytą valstybės informacinių išteklių atitikties saugos reikalavimams stebėsenos sistemą į
KSĮ projekto 19 straipsnio 1 dalies 3 punkte siūloma nustatyti, kad KSIT tvarkomi duomenys, susiję su kibernetinio saugumo rizikos valdymo priemonių įgyvendinimo stebėsena. KSIT praplėtimas stebėsenos tikslui ypač svarbus ir automatizuojant duomenų iš kibernetinio saugumo subjektų surinkimą, siekiant įvertinti jų atitiktį kibernetinio saugumo reikalavimams.
Siekiant kaupti duomenis apie kibernetinio saugumo subjektus, kitas įstaigas ir ūkio subjektus, kurie galėtų prisidėti prie kibernetinių incidentų valdymo, siūloma atitinkamą nuostatą dėl duomenų kaupimo KSIT nustatyti KSĮ projekto 19 straipsnio 1 dalies 4 punkte. Taip pat, siekiant įgalinti NKSC kibernetinio saugumo subjektams teikti nemokamas kibernetinio saugumo paslaugas ir priemones, siūloma atitinkamą nuostatą dėl tokių paslaugų ir priemonių teikimo per KSIT nustatyti KSĮ projekto 19 straipsnio 1 dalies 7 punkte. Siekiant įgyvendinti TIS 2 direktyvos 29 straipsnį, siūloma KSĮ projekto 19 straipsnio 4 dalyje nustatyti, kad kibernetinio saugumo subjektai turi teisę naudotis KSIT įgyvendindami tarpusavio dalijimosi kibernetinio saugumo informacija susitarimus. Taip pat nustatyti, kad, nepriklausomai nuo to, ar naudojamasi KSIT, kibernetinio saugumo subjektai privalėtų pranešti NKSC apie tokių susitarimų sudarymą, taip pat apie pasitraukimą iš tokių susitarimų per 20 darbo dienų nuo šių aplinkybių atsiradimo. KSĮ projekto 19 straipsnio 5 dalyje nustatomi atvejai, kada KSIT duomenys gali būti teikiami. Išlaikant KSĮ nuostatas ir siekiant sudaryti sąlygas kibernetinį saugumą įgyvendinančioms institucijoms efektyviai atlikti joms priskirtas funkcijas, papildomai nustatomos išimtys, susijusios su incidentų tyrimu ir kibernetinio saugumo subjektų registravimu (KSĮ projekto 19 straipsnio 5 dalies 3, 4, 6 punktai). Papildymai, susiję su KSIT, turėtų padėti subjektams bendrai naudotis savo asmeninėmis žiniomis ir praktika strateginiu, taktiniu ir operatyviniu lygmenimis, kad sustiprintų savo gebėjimus tinkamai užkirsti kelią kibernetiniams incidentams, juos atskleisti, į juos reaguoti, atkurti veiklą po jų arba sumažinti jų poveikį. 10 .
10. Esminių spragų paieškos ir atskleidimo reglamentavimo pakeitimų nenumatoma. TIS 2 direktyvos 12 straipsnio reikalavimai iš esmės buvo įgyvendinti dar 2019 m., KSĮ 17 straipsnyje įtvirtinus atsakingo spragų atskleidimo modelį ir pavedus NKSC koordinuoti spragų atskleidimą. KSĮ projekte siekiama patikslinti galiojančias nuostatas. KSĮ projekto 7 straipsnio 2 dalies 10 punkte nustatoma, kad NKSC koordinuoja spragų atskleidimą. Siekiant įgyvendinti TIS 2 direktyvos 12 straipsnio 1 dalies 2 paragrafą, KSĮ projekto 25 straipsnio 3 dalyje nustatoma, kad asmuo, surinkęs informaciją apie spragą, turi teisę šią informaciją anonimiškai pateikti NKSC ( NKSC užtikrina apie spragą pranešusio subjekto anonimiškumą) , išsaugodamas nacionalinės spragų atskleidimo tvarkos apraše nurodytą informaciją apie spragų paieškos rezultatų pateikimą. Atsižvelgiant į TIS 2 direktyvos reikalavimą dėl anonimiškumo ir siekiant išlaikyti siekį spragų ieškoti teisėtu būdu pagal KSĮ nustatytas sąlygas, nustatoma, kad anonimiškai spragą atskleidžiantis asmuo turi saugoti informaciją apie spragų paieškos rezultatų pateikimą 12 metų nuo pranešimo NKSC pateikimo dienos . Šis informacijos saugojimo reikalavimas nustatomas atsižvelgiant į KSĮ nustatytas spragų ieškojimo sąlygas ir Lietuvos Respublikos baudžiamojo kodekso XXX skyriuje numatytoms nusikalstamoms veikoms taikomus senaties terminus. Kadangi KSĮ nustatytų spragų ieškojimo sąlygų nesilaikymas sukuria pagrindą taikyti baudžiamąją atsakomybę, asmuo turėtų išsaugoti duomenis, įrodančius, kad spragų buvo ieškoma teisėtai. Pavyzdžiui, KSĮ projekto 25 straipsnio 2 dalies 3 punkte numatoma pareiga visiems asmenims, ieškojusiems spragų, apie vykdytą spragų paieška pranešti NKSC arba atitinkamam subjektui, kurio tinklų ir informacinėse sistemose buvo ieškoma spragų, – to nepadarius formaliai kyla pagrindas taikyti baudžiamąją atsakomybę.
NKSC užtikrinus galimybę apie spragas informuoti anonimiškai, NKSC negalėtų patvirtinti, kad būtent konkretus asmuo įgyvendino KSĮ projekto 25 straipsnio 2 dalies 3 punkte numatytą pareigą. Dėl vienokių ar kitokių priežasčių pradėjus ikiteisminį tyrimą ir kitais būdais (nesusijusiais su galimybe pranešti apie spragą anonimiškai) nustačius asmenį, ieškojusi spragų, turėtų būti sudarytos prielaidos šiam asmeniui apsiginti nuo nepagrįsto baudžiamojo persekiojimo. Šios prielaidos ir sukuriamos nustatant įpareigojimą pačiam asmeniui saugoti informaciją apie jo atliktą spragų paiešką. Siekiant apriboti spragą atskleidusio asmens galimybes imtis bet kokių veiksmų su atskleistais asmens duomenimis, KSĮ projekto 25 straipsnio 2 dalies 5 punkte nustatoma papildoma sąlyga nenaudoti pastebėtų, užfiksuotų, perimtų, atskleistų asmens duomenų. Siekiant įgyvendinti TIS 2 direktyvos 12 straipsnio 2 dalį, KSĮ projekto 25 straipsnio 2 dalies 7 punkto sąlyga nesidalinti informacija apie aptiktą spragą papildoma išlyga, kad informacija dalintis galima, kai informacija apie aptiktą spragą yra registruojama Europos pažeidžiamumų duomenų bazėje. 11 . Dėl tarpinstitucinio bendradarbiavimo ir savitarpio pagalbos. Atsižvelgus į tai, kad tarpinstitucinis ir taprvalstybinis bendradarbiavimas ypač svarbus siekiant veiksmingai įgyvendinti KSĮ projekto nuostatas, taip pat siekiant sudaryti sąlygas sklandžiam tarpsektoriniam bendradarbiavimui su kitomis kompetentingomis institucijomis, KSĮ projekto 20 straipsnyje numatoma nustatyti bendradarbiavimo pagrindus.
KSĮ projekto 20 straipsnio 1 dalyje siūloma nustatyti, kad kibernetinio saugumo politiką formuojančios ir įgyvendinančios institucijos bendradarbiauja tarpusavyje bei su kitomis valstybės institucijomis, įskaitant Ryšių reguliavimo tarnybą, kompetentingas institucijas pagal Reglamentą (ES) Nr. 910/2014 ir Reglamentą (ES) 2022/2554 , taip pat su Krizių valdymo centru, įgyvendindamos šiame įstatyme nustatytus tikslus, įskaitant keitimąsi informacija apie incidentus, kibernetines grėsmes ir vos neįvykusius incidentus. KSĮ projekto 20 straipsnio 2 dalyje siūloma nustatyti, kad NKSC teikia pagalbą ar informuoja Nacionalinį krizių valdymo centrą (KSĮ projekto 20 straipsnio 2 dalies 1 punktas), kompetentingą instituciją, paskirtą pagal Reglamentą 2022/2554 (KSĮ projekto 20 straipsnio 2 dalies 2 ir 3 punktai), Valstybinę duomenų apsaugos inspekciją (KSĮ projekto 20 straipsnio 2 dalies 4 punktas) dėl vykdymo užtikrinimo priemonių taikymo tam tikrų subjektų atžvilgiu, siekiant užtikrinti, kad laikytųsi KSĮ projekto reikalavimų. KSĮ projekto 20 straipsnio
bendradarbiauja su Ryšių reguliavimo tarnyba dėl patikimumo užtikrinimo paslaugų teikėjų kibernetinio saugumo audito srityje .
KSĮ projekto 20 straipsnio
siūloma nustatyti, kad NKSC bendradarbiauja su kitų valstybių narių kompetentingomis institucijomis, kai kibernetinio saugumo subjektas teikia paslaugas daugiau nei vienoje valstybėje narėje arba teikia paslaugas vienoje ar daugiau valstybių narių, o jo tinklų ir informacinės sistemos yra vienoje ar daugiau kitų valstybių narių, vykdydami savitarpio pagalbos prašymus ir informuodami apie taikytiną vykdymo užtikrinimo priemonę. Siekiant įgyvendinti TIS 2 direktyvos 37 straipsnį, siūloma KSĮ projekto 21 straipsnyje nustatyti, kad NKSC , gavęs kitos valstybės narės kompetentingos institucijos pagrįstą savitarpio pagalbos prašymą, vykdo KSĮ projekto 26 ir 28 straipsniuose numatytus kibernetinio saugumo subjektų patikrinimo ir (ar) vykdymo užtikrinimo priemonių veiksmus. Siūloma taip pat nustatyti, kokiais atvejais NKSC, gavęs kitos valstybės narės kompetentingos institucijos savitarpio pagalbos prašymą, galėtų atmesti tokį prašymą arba, jeigu prašymas pateiktas ne pagal kompetenciją, perduoti šį prašymą kitai valstybės institucijai. KSĮ projekto 22 straipsnyje detalizuojamos KSĮ nuostatos dėl nacionalinių ir tarptautinių informacijos mainų sąlygų, siekiant užtikrinti tiek asmens duomenų, tiek subjektų valdomos konfidencialios informacijos saugumą. Atsižvelgiant į tai, kad šiuo metu nėra prašymų nagrinėjimo praktikos, sudėtinga įvertinti, kiek laiko gali prireikti nagrinėjant prašymuose nurodytas aplinkybes, todėl savitarpio pagalbos prašymų nagrinėjimo, persiuntimo, pranešimo apie persiuntimą bei atsisakymo nagrinėti (atmetimo) ir grąžinimo terminai įstatymu nenustatomi. 12 .
12. Kibernetinio saugumo subjektų patikrinimo reglamentavimas, atsižvelgiant į TIS 2 direktyvos 32 straipsnio 2 dalį bei 33 straipsnio 2 dalį, detalizuojamas ir plečiamas. Siūloma KSĮ projekto 26 straipsnyje nustatyti NKSC teisę pradėti esminio subjekto patikrinimą bet kokiu klausimu, susijusiu su KSĮ projekte nustatytais reikalavimais, kurių nevykdymas laikomas pažeidimu. Esminiams ir svarbiems subjektams taikomi patikrinimo režimai diferencijuojami siekiant nedidinti administracinės naštos. Esminiams subjektams taikoma išsami ex ante ir ex post priežiūros tvarka, o svarbiems subjektams taikoma negriežta, tik ex post , priežiūros tvarka. Svarbių subjektų patikrinimas turėtų būti pradedamas tik gavus duomenų ar informacijos, kad svarbus subjektas, kaip įtariama, padarė KSĮ nustatytų reikalavimų pažeidimą. KSĮ 27 straipsnyje siūloma nustatyti bendrąsias kibernetinio saugumo subjektų patikrinimų atlikimo taisykles, susijusias su patikrinimo trukme, NKSC ir jo darbuotojų teisėmis. NKSC patikrinimus atliktų KSĮ 27 straipsnyje ir NKSC nustatyta tvarka.
Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 2 dalį bei 33 straipsnio 2 dalį, siūloma KSĮ projekto 27 straipsnio 3 dalyje nustatyti šias NKSC teises:
1) įgalioti asmenis, turinčius teisę įeiti į kibernetinio saugumo subjektų patalpas, ne ilgesniam kaip 30 kalendorinių dienų terminui paimti dokumentų kopijas ir nuorašus, duomenų kopijas bei kitus daiktus, reikalingus atliekant patikrinimus; 2) duoti nurodymus kibernetinio saugumo subjektams savo lėšomis atlikti nepriklausomą tinklų ir informacinių sistemų arba jomis vykdomos veiklos ar teikiamų paslaugų tikslinį saugumo auditą; 3) duoti nurodymus pateikti visą reikalingą informaciją, dokumentų kopijas ir išrašus; 4) duoti nurodymus pateikti žodinius ir rašytinius paaiškinimus; 5) patikrinimui atlikti savo lėšomis pasitelkti specialistų ir ekspertų; 6) sudaryti sutartis su audito įmonėmis, kitais subjektais, kurių paslaugomis NKSC naudosis atlikdamas patikrinimą; 7) naudoti visą NKSC turimą informaciją; 8) naudotis kitomis įstatymų suteiktomis teisėmis. Siekiant užtikrinti patikrinimų veiksmingumą ir efektyvumą
atliekant patikrinimus, siūloma to paties straipsnio 4 dalyje nustatyti teises įeiti į kibernetinio saugumo subjektų patalpas , užfiksuoti faktines aplinkybes, naudoti technines priemones, tikrinti asmenų tapatybę patvirtinančius dokumentus. KSĮ 27 straipsnio 7 ir 8 dalyse siūloma nustatyti patikrinimo pabaigoje priimamus sprendimus bei nustatyti sąlygas, kada taikyti teisę taikyti KSĮ 28 straipsnyje nustatytas vykdymo užtikrinimo priemones. 13 . Dėl vykdymo užtikrinimo priemonių. Siekiant įgyvendinti TIS 2 direktyvos 32 straipsnio 4 ir 5 dalis bei 33 straipsnio 4 dalį, siūloma KSĮ projekto 28 straipsnyje nustatyti toliau aprašomas vykdymo užtikrinimo priemones, kurios būtų taikomos NKSC nustačius KSĮ projekto 29 straipsnyje nurodytus pažeidimus.
Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies a punktą bei 33 straipsnio 4 dalies a punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą t eikti įspėjimus, kai atitinkami subjektai pažeidžia nustatytus reikalavimus, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 1 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies b punktą bei 33 straipsnio 4 dalies b punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą priimti privalomus nurodymus, kuriuo reikalaujama, kad atitinkami subjektai pašalintų nustatytus trūkumus arba ištaisytų pažeidimą, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 2 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies c punktą bei 33 straipsnio 4 dalies c punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą nurodyti atitinkamiems subjektams nutraukti veiksmus, kurie pažeidžia KSĮ, ir tokių veiksmų nebekartoti, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 3 punkte.
Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies d punktą bei 33 straipsnio 4 dalies d punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą nurodyti atitinkamiems subjektams konkrečiu būdu ir per nustatytą laikotarpį užtikrinti, kad jų kibernetinio saugumo rizikos valdymo priemonės atitiktų TIS 2 direktyvos 21 straipsnį arba kad jie įvykdytų TIS 2 direktyvos 23 straipsnyje nustatytas pareigas nurodyti atitinkamiems subjektams konkrečiu būdu ir per nustatytą laikotarpį užtikrinti, kad jų kibernetinio saugumo rizikos valdymo priemonės atitiktų TIS 2 direktyvos 21 straipsnį arba kad jie įvykdytų TIS 2 direktyvos 23 straipsnyje nustatytas pareigas pranešti, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 4 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies e punktą bei 33 straipsnio 4 dalies e punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą įpareigoti atitinkamus subjektus informuoti subjektus, kuriems jie teikia paslaugas arba vykdo veiklą ir kuriuos gali paveikti didelė kibernetinė grėsmė, apie grėsmės pobūdį, taip pat apie visas galimas apsaugos ar taisomąsias priemones, kurių gali imtis tie fiziniai ar juridiniai asmenys, reaguodami į tą grėsmę, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 5 punkte.
Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies f punktą bei 33 straipsnio 4 dalies f punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą įpareigoti atitinkamus subjektus per pagrįstą terminą įgyvendinti saugumo audito metu pateiktas rekomendacijas, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 6 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies h punktą bei 33 straipsnio 4 dalies g punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą įpareigoti atitinkamus subjektus konkrečiu būdu viešai paskelbti KSĮ pažeidimo aspektus, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 8 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies g punktą, kuriame nustatoma, kad kompetentinga institucija turi turėti įgaliojimą paskirti stebėsenos pareigūną, kuriam per nustatytą laikotarpį pavestos aiškiai apibrėžtos užduotys, prižiūrėti, kaip atitinkami subjektai laikosi TIS 2 direktyvos 21 ir 23 straipsnių, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 7 punkte.
Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 4 dalies i punktą bei 33 straipsnio 4 dalies h punktą, kuriuose nustatoma, kad kompetentinga institucija turi turėti įgaliojimą skirti arba prašyti, kad atitinkamos įstaigos ar teismai pagal nacionalinę teisę skirtų administracinę baudą pagal TIS 2 direktyvos 34 straipsnį, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 9 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 5 dalies a punktą, kuriame nustatoma, kad kompetentinga institucija turi turėti įgaliojimą laikinai sustabdyti arba prašyti, kad sertifikavimo arba leidimus išduodanti įstaiga, arba teismas pagal nacionalinę teisę laikinai sustabdytų sertifikavimą arba įgaliojimą, susijusį su dalimi arba visomis esminio subjekto teikiamomis atitinkamomis paslaugomis ar vykdoma veikla, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 10 punkte bei
. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 5 dalies b punktą, kuriame nustatoma, kad kompetentinga institucija turi turėti įgaliojimą reikalauti, kad atitinkamos įstaigos arba teismai pagal nacionalinę teisę nustatytų laikiną draudimą bet kuriam esminiame subjekte generalinio direktoriaus ar teisinio atstovo lygmens vadovaujamas pareigas einančiam fiziniam asmeniui eiti vadovaujamas pareigas tame subjekte, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 1 dalies 11 punkte bei
su išimtimi Lietuvos Respublikos Seimo, Vyriausybės ir Prezidento sprendimu skiriamiems viešojo administravimo subjektų vadovams.
Nurodyta išimtimi, iš dalies taikant TIS 2 direktyvos 32 straipsnio 5 dalyje numatytą išimtį viešojo administravimo subjektams, siekiama užtikrinti, kad nebūtų įsiterpta iš aukščiausiųjų valstybės valdymo subjektų įgaliojimus, kylančius tiek iš Lietuvos Respublikos Konstitucijos (pavyzdžiui, ministrų skyrimas), tiek iš ES teisės kildinamų reikalavimų (pavyzdžiui, reikalavimai užtikrinti nacionalinio centrinio banko nepriklausomumą). Taip pat KSĮ projekto 28 straipsnio 7 dalyje nustatoma, kad sprendimas dėl vykdymo užtikrinimo priemonės skyrimo gali būti priimtas, jeigu praėjo ne daugiau kaip 2 metai nuo pažeidimo dienos. TIS 2 direktyvos 32 straipsnio 7 dalyje bei 33 straipsnio 5 dalyje nustatomos aplinkybės, kurios vertinamos patikrinimo metu parenkant efektyviausią vykdymo užtikrinimo priemonę. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies a punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į pažeidimo sunkumą ir pažeistų nuostatų svarbą siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 1 punkte ir 5 dalyje.
TIS 2 direktyvos 32 straipsnio 7 dalies a punkto papunkčiuose nustatoma , kad sunkiais pažeidimais laikomi pakartotiniai pažeidimai, nepranešimas apie didelius incidentus, trūkumų pagal kompetentingų institucijų privalomus vykdyti nurodymus neištaisymas, trukdymas vykdyti audito ar stebėsenos veiklą, kurią įpareigojo atlikti kompetentinga institucija nustačius pažeidimą, neteisingos ar labai netikslios informacijos, susijusios su kibernetinio saugumo rizikos valdymo priemonėmis arba pareigomis pranešti, nustatytomis TIS 2 direktyvos 21 ir 23 straipsniuose, pateikimas. Šios aplinkybės nustatomos KSĮ projekto 28 straipsnio 5 dalyje kaip atsakomybę sunkinančiomis. Atitinkamai, atsižvelgiant į Konstitucinio Teismo doktriną bei TIS 2 direktyvoje nustatytą pareigą atsižvelgti į kiekvieno konkretaus atvejo aplinkybes numatomos ir atsakomybę lengvinančios aplinkybės skatinančios kibernetinio saugumo subjektus mažinti žalą, bendradarbiauti su NKSC, taip pat kitas aplinkybes susijusias su subjekto tyčios nebuvimu. Pažymėtina, kad siekiant nustatyti aiškias sąlygas, kada pažeidimas laikomas padarytas pakartotinai, nustatomas 12 mėnesių terminas nuo sprendimo, kuriuo buvo paskirta vykdymo užtikrinimo priemonė, įsigaliojimo dienos. Šiuo laikotarpiu įvykdytas toks pat pažeidimas laikomas padarytu pakartotinai. Taip pat, siekiant mažinti riziką, kai kibernetinio saugumo subjektai ignoruoja ar nepaiso NKSC įspėjimų ir nurodymų, siūloma nustatyti, kad sunkiu pažeidimu laikomas padaryto pažeidimo slėpimas, pažeidimo tęsimas, nepaisant to, kad NKSC buvo atkreipęs dėmesį į pažeidimus ar veiklos trūkumus ( KSĮ projekto 28 straipsnio 4 dalies 6 punktas ).
Atsižvelgiant į pažeidimų suskirstymą pagal sunkumą (aprašoma tekste žemiau), sunkiais pažeidimais taip pat laikomi KSĮ projekto 29 straipsnio 2 dalyje nustatyti pažeidimai. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies b punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į pažeidimo trukmę, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 2 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies c punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į atitinkamo subjekto įvykdytus svarbius ankstesnius pažeidimus, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 3 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies d punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į padarytą turtinę arba neturtinę žalą, įskaitant finansinius ar ekonominius nuostolius, poveikį kitoms paslaugoms ir paveiktų naudotojų skaičių, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 4 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies e punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į tai, ar pažeidimą įvykdęs asmuo veikė tyčia ar dėl neatsargumo, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 5 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies f punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į priemones, kurių subjektas ėmėsi siekdamas užkirsti kelią turtinei ar neturtinei žalai arba ją sumažinti, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 6 punkte.
Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies g punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į patvirtintų elgesio kodeksų arba patvirtintų sertifikavimo mechanizmų laikymąsi, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 7 punkte. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies h punktą, kuriame nustatoma, kad patikrinimo metu turi būti atsižvelgiama į atsakingais laikomų fizinių ar juridinių asmenų bendradarbiavimo su kompetentingomis institucijomis lygį, siūloma atitinkamą nuostatą nustatyti KSĮ projekto 28 straipsnio 3 dalies 8 punkte. KSĮ projekto 28 straipsnio 3 dalies 9 punkte nustatoma aplinkybė dėl pažeidimo masto. Atsižvelgiant į TIS 2 direktyvos 36 straipsnio nuostatą, pagal kurią v alstybės narės turi nustatyti sankcijas, taikomas pažeidus pagal TIS 2 direktyvą priimtas nacionalines nuostatas, taisykles ir turi imtis visų būtinų priemonių užtikrinti, kad šios sankcijos būtų įgyvendinamos, KSĮ projekte p ažeidimai suskirstomi pagal pavojingumą, tai sudaro sąlygas diferencijuoti reikalavimų įgyvendinimo svarbą ir nustatyti priežiūros prioritetus.
Pažymėtina, kad TIS 2 direktyvoje prioritetu laikomas 21 ir 23 straipsniuose nustatytų reikalavimų dėl kibernetinio saugumo rizikos valdymo priemonių ir pranešimų apie didelius incidentus įgyvendinimas, todėl KSĮ projekto 29 straipsnyje nustatytų pavojingų pažeidimų grupei priskiriami atitikties kibernetinio saugumo rizikos valdymo priemonėms nevykdymas ar netinkamas vykdymas, informacijos apie didelį kibernetinį incidentą neteikimas Vidutinio pavojingumo pažeidimais laikomi pažeidimai, susiję su kibernetinio saugumo politiką įgyvendinančių institucijų nurodymų nevykdymu ar netinkamu vykdymu. KSĮ projekto 7 straipsnio 2 dalies 6 ir 7 punktuose nustatytas NKSC nurodymo teikimas tam tikrai kibernetinio saugumo subjektų grupei. Šie nurodymai kritiškai svarbūs siekiant laiku sustabdyti vykstantį kibernetinį incidentą ar kitą žalingą veiklą kibernetinėje erdvėje ir sudaro sąlygas maksimaliai mažinti keliamą žalą. KSĮ projekto 27 straipsnio 3 dalyje nustatytos NKSC teisės, taikomos patikrinimų metu. Šių reikalavimų nevykdymas ar netinkamas vykdymas, nesudarymas sąlygų NKSC įgyvendinti teises laikomi vidutinio pavojingumo pažeidimais, kadangi sudaro sąlygas kibernetinio saugumo subjektams sutrukdyti NKSC laiku identifikuoti didesnio masto ir didesnę žalą sukeliančius pažeidimus.
KSĮ projekto 14 straipsnio 6 ir 8 dalyse nustatytas įpareigojimas kibernetinio saugumo subjekto vadovui arba jo įgaliotam asmeniui užtikrinti, kad kibernetinio saugumo subjektas laikytųsi įstatyme jam nustatytų pareigų, ir prižiūrėti jų laikymąsi bei prievolė ne rečiau kaip kartą per 3 metus atlikti kibernetinio saugumo auditą. KSĮ projekto 15 straipsnio 1, 2 ir 3 dalyse nustatyti reikalavimai paskirti už kibernetinį saugumą atsakingus asmenis. Šių reikalavimų pažeidimai priskiriami vidutinio pavojingumo pažeidimams, nes jų nevykdymas ar netinkamas vykdymas kelia riziką dėl didesnio masto ir didesnę žalą sukeliančių pasekmių atsiradimo. Kibernetinio saugumo subjekto vadovo atsakomybės už kibernetinį saugumą suvokimas, už kibernetinį saugumą atsakingų asmenų paskyrimas, reguliarus kibernetinių rizikų identifikavimas auditų metu yra esminė ir būtinoji sąlygą užtikrinti nuoseklios, tęstinės kibernetinio saugumo politikos organizacijoje palaikymą ir brandos didinimą. KSĮ projekto 17 straipsnyje nustatytų reikalavimų aukščiausio lygio domenų vardų registravimo paslaugas teikiantiems subjektams pažeidimai priskiriami vidutinio pavojingumo pažeidimams dėl jų teikiamos paslaugos kritiškumo. Nedidelio pavojingumo pažeidimais laikomi pažeidimai, susiję su informuotumo, nedarančio įtakos kibernetinio saugumo būklės ir rizikų vertinimui, neužtikrinimu ar netinkamu užtikrinimu. KSĮ projekto 14 straipsnio 3 dalyje numatytas įpareigojimas kibernetinio saugumo subjektams pateikti duomenis apie kibernetinio saugumo rizikos valdymo priemonių įgyvendinimą, to paties straipsnio 7 dalyje nustatytas reikalavimas dėl kibernetinio saugumo subjekto vadovo mokymosi.
Šių reikalavimų pažeidimai tiesiogiai nekelia rizikų kibernetinio saugumo būklei organizacijoje, nėra susiję su kritinėse situacijose atliktinais veiksmais. KSĮ projekto 18 straipsnio 1 dalies 2 punkte nustatytas įpareigojimas k ibernetinio saugumo subjektams pranešti NKSC apie kitus, ne didelius, kibernetinius incidentus. Esamame reglamentavime nėra reikalaujama skubiai pranešti apie tokio pobūdžio incidentus, todėl pranešimas apie juos laikomas ne skubiu, bet svarbiu veiksniu bendram grėsmių situacijos vaizdui konstruoti. KSĮ projekto 19 straipsnio 4 dalyje nustatytas įpareigojimas k ibernetinio saugumo subjektams pranešti NKSC apie tarpusavio dalijimosi kibernetinio saugumo informacija susitarimus taip pat laikomas informaciniu įpareigojimu, skirtu bendram žinojimui konstruoti. KSĮ projekto 17 straipsnyje nustatytų reikalavimų domenų vardų registravimo paslaugas teikiantiems subjektams pažeidimai priskiriami nedidelio pavojingumo pažeidimams, nes TIS 2 direktyva nėra linkusi nustatyti didelės apimties reikalavimų, atitinkamai vykdymo užtikrinimo veiksmų šiems subjektams. Siekiant įgyvendinti TIS 2 direktyvos 34 ir 36 straipsnius, siūloma KSĮ projekto 30 straipsnyje nustatyti baudų dydžius, juos susiejant su pažeidimo pavojingumu. KSĮ projekto 30 straipsnio 1 dalyje siūloma nustatyti, kad baudas skiria NKSC vadovas ar jo įgaliotas asmuo pagal vykdymo užtikrinimo priemonių taikymo esminiams ir svarbiems subjektams tvarką, tvirtinamą Vyriausybės. Viena iš NKSC taikomų vykdymo užtikrinimo priemonių yra baudų skyrimas.
TIS 2 direktyvos 34 straipsnyje esminiams subjektams nustatoma bauda iki 10 000 000 Eur arba iki 2 proc. juridinio asmens bendros pasaulinės metinės apyvartos per praėjusį finansinį laikotarpį, atsižvelgiant į tai, kuri yra didesnė, svarbiems subjektams nustatoma bauda iki 7 000 000 Eur arba iki 1,4 proc. juridinio asmens bendros pasaulinės metinės apyvartos per praėjusį finansinį laikotarpį, atsižvelgiant į tai, kuri yra didesnė. Šios nuostatos išdėstomos atitinkamai KSĮ projekto 30 straipsnio 2 dalies 1 ir 2 punktuose. Vertinant administracinių baudų skyrimą valdžios institucijoms ir įstaigoms buvo vertinti keli galimi modeliai: valdžios institucijoms ir įstaigoms neskirti TIS 2 direktyvos numatytų administracinių baudų (pvz., taip savo įstatymuose ketina nustatyti Kroatija, Belgija); skirti tokias pačias, kaip ir kitiems subjektams; nustatyti kitokio dydžio baudas. KSĮ 30 straipsnio 3 dalies 3 ir 4 punktuose siūloma nustatyti mažesnes baudų valdžios institucijoms ir įstaigoms viršutines ribas, siekiant turėti priemonę drausminti valdžios institucijas ir įstaigas, bet kartu nesukelti didelio pavojaus, kad, pritaikius maksimalų baudos dydį, bus sutrikdyta jų veikla ir prireiks perskirstyti valstybės biudžetą (institucija galimai įstengtų tokio dydžio baudas sumokėti iš jai skirtų asignavimų). Valdžios institucijoms ar įstaigoms KSĮ projekto
nustatomas baudos dydis iki 1 procento valdžios institucijos ar įstaigos einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų dydžio, bet ne didesnė negu 60 000 Eur esminiam subjektui, ir KSĮ projekto
iki 0,5 procento valdžios institucijos ar įstaigos einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų dydžio, bet ne didesnė negu 30 000 Eur svarbiam subjektui.
Vertinant administracinių baudų skyrimo modelį buvo vertinti keli galimi variantai: KSĮ nustatyti tik maksimalias baudas arba labiau detalizuojant susieti baudų dydžius su pažeidimų pavojingumu. Siekiant nustatyti aiškesnį baudų skyrimo reglamentavimą, pasirinkta baudų dydžius sieti su pažeidimų pavojingumu. Baudų skyrimo modelis remiasi baudų dydžio nustatymu atsižvelgiant į pažeidimo pavojingumą. Nustatomos trys pažeidimų pavojingumo kategorijos, kiekvienai iš kategorijų nustatant maksimalią baudos ribą. Atsižvelgiant į tai, kad nustatomos trys pažeidimų pavojingumo kategorijos, maksimalios baudos ribos kiekvienai kategorijai išdėstomos proporcingai: 100 proc. skalėje pavojingiems pažeidimams nustatoma iki 100 proc. TIS 2 direktyvos 34 straipsnyje nustatytos maksimalios baudos, vidutinio pavojingumo pažeidimams nustatoma iki 50 proc. TIS 2 direktyvos 34 straipsnyje nustatytos maksimalios baudos ir nedidelio pavojingumo pažeidimams nustatoma iki 10 proc. TIS 2 direktyvos 34 straipsnyje nustatytos maksimalios baudos. Šios nuostatos išdėstomos KSĮ 30 straipsnio 3 dalies 1–3 punktuose. KSĮ 30 straipsnio 1 dalyje nustatyta, kad b audas skiria NKSC vadovas ar jo įgaliotas asmuo pagal Vykdymo užtikrinimo priemonių taikymo esminiams ir svarbiems subjektams tvarką, tvirtinamą Vyriausybės .
TIS 2 direktyvos 32 straipsnio 6 dalyje ir 33 straipsnio 6 dalyje nustatyti reikalavimai , kad fizinis asmuo, atsakingas už esminį ar svarbų subjektą arba veikiantis kaip jo teisinis atstovas, remdamasis jam suteiktais įgaliojimais atstovauti tam subjektui, įgaliojimu priimti sprendimus jo vardu arba įgaliojimu vykdyti jo kontrolę, turėtų įgaliojimus užtikrinti, kad subjektas laikytųsi TIS 2 direktyvos, bei numatyta galimybė šiuos asmenis traukti atsakomybėn už jų pareigų nesilaikymą . Atsižvelgiant į tai, ANK projekte juridinių asmenų vadovams ar kitiems atsakingiems asmenims nustatoma bauda už KSĮ nustatytų reikalavimų pažeidimą nuo 250 iki 3000 Eur, o nusižengimas, padarytas pakartotinai, užtraukia baudą nuo 2000 iki 6000 Eur. KSĮ projekte taip pat būtina nustatyti baudos skyrimo procedūrą. KSĮ projekto 31 straipsnio 1–13 dalyse nustatomos baudos skyrimo procedūra bei sprendimo dėl baudos skyrimo vykdymo tvarka. Nustatoma, kad baudos skyrimas gali būti svarstomas rašytinės procedūros tvarka (KSĮ projekto 31 straipsnio 1 ir 8 dalys) arba žodinės procedūros tvarka rengiant posėdį (KSĮ projekto 31 straipsnio 2–7 dalys). Nustatoma, kad administracinės baudos skyrimo svarstymas yra viešas arba uždaras (KSĮ projekto 31 straipsnio 5 dalis), posėdis vyksta lietuvių kalba (KSĮ projekto 31 straipsnio 6 dalis), daromas posėdžio garso įrašas (KSĮ projekto 31 straipsnio 7 dalis), nustatomos sprendimo dėl administracinės baudos skyrimo sudėtinės dalys (KSĮ projekto 31 straipsnio 9 dalis ), nustatomas sprendimo dėl administracinės baudos skyrimo įvykdymo terminas ( KSĮ projekto 31 straipsnio 11 dalis), sprendimo dėl administracinės baudos skyrimo apskundimo tvarka ( KSĮ projekto 31 straipsnio 10 dalis).
KSĮ projekto 31 straipsnio 12 dalyje nustatoma, kad sprendimas dėl administracinės baudos skyrimo yra vykdomasis dokumentas, vykdomas Lietuvos Respublikos civilinio proceso kodekso nustatyta tvarka. Atsižvelgiant į TIS 2 direktyvos 35 straipsnį, siūloma KSĮ projekto 31 straipsnio 13 dalyje nustatyti, kad bauda neskiriama, jeigu k ibernetinio saugumo subjektui už tą patį pažeidimą jau buvo skirta bauda vadovaujantis Reglamento 2016/679 58 straipsnio 2 dalies i punktu. Atsižvelgiant į TIS 2 direktyvos 32 straipsnio 5 dalį, siūloma KSĮ projekto 32 ir 33 straipsniuose nustatyti atitinkamai laikino teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar paslaugų teikimu sustabdymo tvarką ir esminio subjekto vadovo laikino nušalinimo nuo pareigų tvarką. Pažymėtina, kad laikinas sustabdymas teise užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas bei laikinai nušalinti esminio subjekto vadovą nuo pareigų gali būti taikomi tik pavojingų pažeidimų atvejais. Šios vykdymo užtikrinimo priemonės įgyvendinamos teismo nutartimi, NKSC pateikus prašymą teismui. Atsižvelgiant į numatomų apribojimų pobūdį, susijusį su asmenų teisėmis pasirinkti darbą bei verslą, šios vykdymo užtikrinimo priemonės būtų taikomos kreipiantis į bendrosios kompetencijos teismus.
KSĮ projekto 32 straipsnio 4 dalyje numatytas laikino juridinio asmens veiklos sustabdymo terminas, kuris negali būti ilgesnis kaip 4 mėnesiai su galimu pratęsimu. Šis terminas sietinas su KSĮ projekto 27 straipsnio 1 dalyje nurodytu patikrinimo atlikimo terminu, kuris taip pat yra 4 mėnesiai nuo skundo gavimo dienos ar sprendimo atlikti patikrinimą dienos. Papildomai pažymėtina, kad laikinas teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymas įstatymo kontekste jau pats savaime yra numatytas kaip ultima ratio priemonė, kai kitos priemonės neveikia. Įvertinus tai, laikytina, kad papildomai atskiros nuostatos dėl vienos vykdymo užtikrinimo priemonės keitimo kita nereikia – sustabdymas bet kokiu atveju bus naikinamas, kai ši priemonė pasidarys nebereikalinga. 14 . Siekiant įgyvendinti Reglamento nuostatas, susijusias su Kibernetinio saugumo kompetencijos bendruomenės narių registravimu (Reglamento 8 str. 3 d.), siūloma KSĮ projekto 23 straipsnio 1 dalyje nustatyti, kad Kibernetinio saugumo kompetencijos bendruomenės nariais gali tapti tik Lietuvos Respublikoje registruoti juridiniai asmenys . Jie turi įrodyti galintys prisidėti vykdant misiją ir turi turėti kibernetinio saugumo ekspertinių žinių bent vienoje iš Reglamente išvardytų sričių. Be to, NKC, atlikdamas subjektų vertinimą, taip pat atsižvelgia į bet kokį aktualų nacionalinių kompetentingų institucijų saugumo tikslais atliktą nacionalinį vertinimą (Reglamento 8 str. 4 d.). Taip pat registracija bet kuriuo metu gali būti atšaukta dėl tam tikrų pagrįstų saugumo priežasčių.
Atsižvelgiant į tai, KSĮ projekto 23 straipsnyje siūloma sudaryti galimybę NKC užduotis vykdančiai institucijai kreiptis į institucijas, nurodytas Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, kurios, vadovaudamosi Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme nurodytais investuotojų patikros dėl atitikties nacionalinio saugumo interesams vertinimo kriterijais, galėtų įvertinti, ar subjektai, potencialūs bendruomenės nariai, nekelia grėsmės nacionalinio saugumo interesams. Atsižvelgiant į tai, kad Reglamentas susijęs su kibernetinio saugumo srities inovacijų skatinimu, modelis buvo pasirinktas atsižvelgiant į gerąją praktiką, kuri nustatyta Lietuvos Respublikos krašto apsaugos sistemos organizavimo ir karo tarnybos įstatymo 9 straipsnio 4 dalies 10 punkte. Pagal minėtą įstatymo nuostatą Krašto apsaugos ministerija turi teisę finansuoti eksperimentinę plėtrą ir inovacinę veiklą gynybos ir saugumo srityje Lietuvos Respublikos technologijų ir inovacijų įstatymo ir Lietuvos Respublikos nacionalinių plėtros įstaigų įstatymo nustatyta tvarka. Krašto apsaugos ministerija nefinansuoja eksperimentinės plėtros ar inovacinės veiklos, jeigu tai prieštarauja nacionalinio saugumo interesams. Institucijos, nurodytos Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, jau vykdo tokią patikrą nuo 2021 m. liepos 1 d., todėl pats procesas šioms institucijoms yra žinomas ir yra susiformavusi tokios veiklos praktika. Atsižvelgiant į tai, kad numatomas Lietuvos kibernetinio saugumo kompetencijos bendruomenės narių skaičius nebūtų itin didelis (apie 170) ir jų registracijos procesas intensyviausias būtų tik įsigaliojus atitinkamam KSĮ projekto straipsniui, sukuriama administracinė našta šioms institucijoms neturėtų būti itin didelė.
KSĮ projekto 23 straipsnio 5 dalyje siūloma nustatyti sąlygas, kokiais atvejais NKC išbraukia Kibernetinio saugumo kompetencijos bendruomenės narį iš bendruomenės, susijusias su reikalavimų, taikomų bendruomenės nariams, neatitikimu ar savanorišku pasitraukimu iš bendruomenės. 15 . Siekiant užtikrinti domenų vardų sistemos saugumą, stabilumą ir atsparumą, būtina turėti tikslias ir išsamias domenų vardų registracijos duomenų bazes ir suteikti teisėtą prieigą prie tokių duomenų, o tai savo ruožtu prisidėtų prie aukšto bendro kibernetinio saugumo lygio Lietuvos Respublikoje ir visoje ES. Šiuo konkrečiu tikslu TIS 2 direktyvoje reikalaujama, kad aukščiausio lygio domenų vardų registro paslaugas ir domenų vardų registravimo paslaugas teikiantys subjektai tvarkytų tam tikrus duomenis, būtinus tam tikslui pasiekti. Aukščiausio lygio domenų vardų registro paslaugas ir domenų vardų registravimo paslaugas teikiantys subjektai turėtų bendradarbiauti tarpusavyje, kad būtų išvengta tos užduoties dubliavimosi, todėl siekiant įgyvendinti TIS 2 direktyvos 28 straipsnyje nustatytus reikalavimus aukščiausio lygio domenų vardų registravimo ir domenų vardų registravimo paslaugoms, siūloma KSĮ projekto 17 straipsnyje nustatyti TIS 2 direktyvos 28 straipsnio reikalavimus. 16 . Atsižvelgus į tai, kad TIS 2 direktyvos reikalavimai turi būti taikomi ir viešojo administravimo subjektams, kurie laikomi esminiais subjektais, būtina tikslinti galiojančias valstybės informacinių išteklių saugos nuostatas, kad atitiktų TIS 2 direktyvos reikalavimus.
Taip pat siekiant bendro kibernetinio saugumo reguliavimo, siūloma KSĮ projektu atsisakyti valstybės informacinių išteklių saugos užtikrinimo nuostatų ir jas integruoti į nuoseklią kibernetinio saugumo subjektams taikomų reikalavimų sistemą. Pirmiausia KSĮ projektu siūloma nustatyti, kad asmuo, kuris Valstybės informacinių išteklių valdymo įstatymo nustatyta tvarka valdo ir (ar) tvarko ypatingos svarbos ir (ar) svarbius valstybės informacinius išteklius, būtų registruojamas kaip esminis subjektas, o asmuo, kuris valdo ir (ar) tvarko mažesnės svarbos kitus valstybės informacinius išteklius, būtų registruojamas kaip svarbus subjektus. Visi kartu šie subjektai (kibernetinio saugumo subjektai) privalės užtikrinti valdomų ir (ar) tvarkomų tinklų ir informacinių sistemų atitiktį kibernetinio saugumo rizikos valdymo priemonėms, tvirtinamoms Vyriausybės, pranešti NKSC apie kibernetinius incidentus ir įgyvendinti kitas kibernetinio saugumo subjektams KSĮ projekte nustatytas pareigas. KSĮ 22 straipsnyje apibrėžtas saugos įgaliotinio funkcijas siūloma išlaikyti ir taikyti asmenims, atsakingiems už kibernetinį saugumą (KSĮ projekto 15 straipsnis). Atsižvelgus į privačiajame sektoriuje plačiai taikomą praktiką už kibernetinį saugumą skirti vyriausiąjį informacijos saugumo vadovą (angl. CISO) ar kitą informacijos saugumo specialistą, turintį tarptautiniu mastu pripažįstamą sertifikatą informacijos ar kibernetinio saugumo srityje, atitinkamai siūloma KSĮ projekte nustatyti reikalavimą asmenims, atsakingiems už kibernetinį saugumą, turėti patirties šioje srityje.
Už kibernetinį saugumą atsakingų asmenų pareigos, kaip nustatyta KSĮ projekto 14 straipsnio 5 dalies 2 punkte, būtų nustatytos kibernetinio saugumo rizikos valdymo priemonėse , tvirtinamose Vyriausybės. 17 . KSĮ projektas taip pat tikslinamas dėl naujų nuostatų, kurios nesusijusios su TIS 2 direktyvos perkėlimu. Siekiant prisidėti prie bendro ES diplomatinio atsako į kibernetines atakas, ypač vertinant, kokių bendros užsienio ir saugumo politikos priemonių, įskaitant atsakomąsias priemones, galima imtis siekiant sustiprinti ES atsaką į veiklą, kuria kenkiama ES politiniams, saugumo ir ekonominiams interesams, pirmiausia būtina stiprinti ir Lietuvos Respublikos gebėjimus priskirti kibernetinę kenkimo veiklą atitinkamiems subjektams, ir politinį atsaką, siekiant daryti įtaką potencialių agresorių elgesiui, taip pat užtikrinti, kad atsakas būtų proporcingas. Šiuo metu ES veikia Kibernetinio saugumo diplomatijos priemonių rinkinys [1] , tačiau siekiant reaguoti į didelio masto kibernetinius incidentus Lietuvos Respublikoje būtina daryti pažangą šioje srityje, todėl siūloma KSĮ projekte numatyti Lietuvos Respublikos užsienio reikalų ministerijai dalyvauti formuojant kibernetinio saugumo politiką, nustatant teisinį diplomatinių priemonių taikymo reguliavimą reaguojant į kibernetines grėsmes ir kibernetinius incidentus. Policijos įgaliojimai kibernetinio saugumo srityje KSĮ projekto 10 straipsnyje išlaikomi iš esmės nepakitę – praktika yra pakankamai nusistovėjusi, policija šiuos įgaliojimus įgyvendina bendrosios kompetencijos teismuose. KSĮ projekto 10 straipsnio 1 dalies 3 punkte nurodytais atvejais, Policija į teismą kreipiasi Civilinio proceso kodekso nustatyta tvarka.
Nurodymai yra susiję su paslaugų teikimo apribojimu, be to, orientuoti į nusikalstamų veikų užkardymą ir žalos sumažinimą, todėl administracinis ar baudžiamasis procesai dar nebūna pradedami. Atkreiptinas dėmesys, kad KSĮ projekto 10 straipsnio 1 dalies 3 punkte nustatyta nuostata dėl viešųjų elektroninių ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų, elektroninių prekyviečių, interneto paieškos sistemų, debesijos kompiuterijos paslaugų teikimo apribojimo 48 valandoms perkeliama iš galiojančio KSĮ. Siekiant sumažinti galimą kenkimo programinės įrangos žalą, būtina kuo skubiau užkirsti kelią jos plitimui. Pagrindinė nuostata, kad paslaugų teikimas turi būti ribojamas tik teismo sprendimu, tačiau teismo sankcijos gavimas užtrunka ir skubos atvejais ne visada galima tokią sankciją greitai gauti. Siekdama išvengti didesnės žalos ir užfiksuoti tyrimui reikalingus duomenis, policija duoda nurodymą dėl paslaugų teikimo ribojimo, o teismui pateikia teikimą dėl veiksmų pagrįstumo patvirtinimo. KSĮ projekto 10 straipsnio 2 dalis papildoma nuostatomis dėl policijos nurodymo įvykdymo termino. Atsižvelgiant į Reglamento (ES) 2021/784
rieglobos paslaugų teikėjai pašalina teroristinį turinį ar visose valstybėse narėse panaikina prieigą prie jo kaip įmanoma greičiau ir bet kuriuo atveju per vieną valandą nuo nurodymo pašalinti turinį gavimo, KSĮ projekto 10 straipsnio 2 dalis papildoma nauju nurodymo įvykdymo terminu. Pažymėtina, kad KSĮ projekto 10 straipsnio 2 dalyje nustatyti skubos atvejai apima ne tik teroristinį turinį, nurodymai gali būti duodami atsižvelgiant į nusikalstamų veikų daromą žalą. Įvairių formų nusikaltimai elektroninėje erdvėje kelia vis didesnę grėsmę.
Kibernetinės atakos, seksualinis vaikų išnaudojimas internete ir sukčiavimas internete yra labai sudėtingi nusikaltimai ir pasireiškia įvairiomis formomis. Grėsmę keliančių subjektų naudojama taktika, metodai ir procedūros nuolat vystosi, tačiau aiškūs tokių išpuolių motyvai beveik nekinta: vertingos konfidencialios informacijos vagystės, pinigų pritraukimas, manipuliavimas viešąja nuomone ar kenkimas skaitmeninei infrastruktūrai. Jų kibernetinių išpuolių vykdymo tempas vis didėja, o jų kampanijos tampa vis sudėtingesnės, automatizuotos, išpuolių perimetras plečiasi, išnaudojamos tinklų ir informacinių sistemų spragos. Grėsmę keliantys subjektai ir toliau demonstruoja didelį gebėjimą prisitaikyti prie naujų technologijų ir visuomenės raidos, nuolat stiprindami tarpusavio ryšius ir specializaciją. Kibernetines atakas sunku ištirti, nes jas sudaro keli žingsniai nuo pradinio įsibrovimo, jungiantis per šifruotas ir anonimines prieigas, iki duomenų gavimo ir panaudojimo. Policijos nurodymai dėl paslaugų teikimo jų gavėjui apribojimo ar (ir) nurodymai paslaugų teikėjams išsaugoti su jų teikiamomis paslaugomis susijusią informaciją dažniausiai susiję su išpirkos reikalaujančia kenkimo programine įranga (angl. ransomware ), siekiant užkirsti kelią kenkimo programinės įrangos plitimui ar (ir) išsaugoti tyrimui reikalingus duomenis, taip pat tokio pobūdžio nurodymai aktualūs įvykus įsibrovimui į informacines sistemas, duomenų nutekinimui, vykstant paskirstytos paslaugos trikdymo atakoms prieš Lietuvos Respublikos infrastruktūrą. Delsimas taikyti atitinkamas priemones gali lemti žalos dydį ir nusikalstamos veikos mastą, svarbių duomenų praradimą.
Be esminių pakeitimų išlaikomos KSĮ 9 straipsnio ( Valstybinės duomenų apsaugos inspekcijos įgaliojimai kibernetinio saugumo srityje), VI skyriaus (Nacionalinės kibernetinio saugumo sertifikavimo institucijos įgaliojimai), 25 straipsnio ( Saugusis tinklas) , 26 straipsnio (D uomenų centrų naudojimas) nuostatos . 18 . Siekiant užtikrinti sklandų naujos redakcijos KSĮ įsigaliojimą, nustatomos pereinamojo pobūdžio nuostatos pakeitimo įstatymo 2 straipsnyje:
iki 2025 m. balandžio 17 d. identifikuoti KSĮ 1 ir 2 prieduose nurodytuose sektoriuose veikiančius kibernetinio saugumo subjektus ir juos įtraukti į Kibernetinio saugumo subjektų registrą – taip įgyvendinama pareiga, numatyta TIS 2 direktyvos 3 straipsnio 5 dalyje. Atsižvelgiant į šiuo metu identifikuotų ypatingos svarbos informacinės infrastruktūros valdytojų svarbą, 4 dalyje numatoma pareiga ypatingos svarbos informacinės infrastruktūros valdytojams toliau užtikrinti šiuo metu galiojančius kibernetinio saugumo reikalavimus tol, kol bus sudarytas naujas Kibernetinio saugumo subjektų registras ( iki 2025 m. balandžio 17 d.). Ypatingos svarbos informacinės infrastruktūros valdytojai, kurie nebūtų identifikuoti kaip kibernetinio saugumo subjektai, turėtų teisę netaikyti kibernetinio saugumo reikalavimų. Pažymėtina, kad tai yra labiau teorinio pobūdžio teisė, nes numatoma, kad visi ypatingos svarbos informacinės infrastruktūros valdytojai bus įtraukti į Kibernetinio saugumo subjektų registrą. Atsižvelgiant į tai, nuo registracijos Kibernetinio saugumo subjektų registre tik bus pradėtas skaičiuoti 14 straipsnio 2 dalyje nurodytas kibernetinio saugumo rizikos valdymo priemonių įgyvendinimo terminas, kuris numatomas ne mažesnis nei 12 mėn.
Atsižvelgiant į tai, kad negalima sukurti tokios situacijos, kai ypatingos svarbos informacinės infrastruktūros valdytojams netaikomos jokios kibernetinio saugumo rizikos valdymo priemones, 5 dalyje nustatoma iš esmės analogiška kaip ir 4 dalyje pareiga atitikti iki įstatymo įsigaliojimo galiojusius reikalavimus tol, kol Vyriausybės nustatyta tvarka pradės galioti kiti reikalavimai. 6 dalyje numatomos pereinamojo pobūdžio priemonės saugos įgaliotiniams. Esminė taisyklė – nustatomas 2 metų terminas atitikti naujos redakcijos KSĮ 15 straipsnio 5 dalies 3 punkte nustatytus reikalavimus. 7 ir 8 dalyse numatoma, kad NKSC 4 ir 5 dalyje numatytais atvejais priežiūrą atliktų iki šio įstatymo įsigaliojimo galiojusia tvarka. Pažymėtina, kad naujos redakcijos KSĮ numatoma daugiau ir veiksmingesni NKSC įgaliojimai atliekant kibernetinio saugumo subjektų priežiūrą. Atsižvelgiant į tai ir siekiant nebloginti ypatingos svarbos informacinės infrastruktūros valdytojų padėties, iki naujos redakcijos įstatymo įsigaliojimo galiojusių reikalavimų priežiūrą numatoma atlikti iki šio įstatymo įsigaliojimo galiojusia tvarka. 9 dalyje numatoma, kad iki įstatymo įsigaliojimo pradėtos procedūros tęsiamos ir baigiamos vadovaujantis iki įstatymo įsigaliojimo galiojusiomis nuostatomis. 5 . Numatomo teisinio reguliavimo poveikio vertinimo rezultatai (jeigu rengiant įstatymų projektus toks vertinimas turi būti atliktas ir jo rezultatai nepateikiami atskiru dokumentu), galimos neigiamos priimtų įstatymų pasekmės ir kokių priemonių reikėtų imtis, kad tokių pasekmių būtų išvengta Kartu su Įstatymų projektais yra teikiamas atskiras dokumentas – numatomo teisinio reguliavimo poveikio vertinimo pažyma. 6 .
6. Kokią įtaką priimti įstatymai turės kriminogeninei situacijai, korupcijai KSĮ projektas neturės įtakos kriminogeninei situacijai ir korupcijai. 7 . Kaip įstatymų įgyvendinimas atsilieps verslo sąlygoms ir jo plėtrai Įstatymo projekto įgyvendinimas ilguoju laikotarpiu teigiamai atsilieps verslo sąlygoms ir jo plėtrai, kadangi KSĮ projekto įgyvendinimas turės įtakos kuriant saugesnę kibernetinę erdvę paslaugoms teikti Lietuvos Respublikoje. Sustiprinti kibernetinio saugumo pajėgumai organizacijose galėtų daryti įtaką ir paskatinti šias organizacijas naudoti naujausios kartos informacinių ir ryšių tinklų infrastruktūrą ir paslaugas, kurios taip pat būtų ekologiškesnės, pakeistų neefektyvią ir mažiau saugią pasenusią įrangą. Tikimasi, kad KSĮ projektas padės sumažinti kibernetinių incidentų skaičių ir jų poveikį bei atitinkamai atlaisvins organizacijų finansinius išteklius tvarioms investicijoms. 8 . Įstatymo projekto atitiktis strateginio lygmens planavimo dokumentams KSĮ projektas neprieštarauja strateginio lygmens planavimo dokumentams ir prisideda prie Aštuonioliktosios Lietuvos Respublikos Vyriausybės programos 238.1 papunktyje nurodyto siekio stiprinti nacionalinius kibernetinio saugumo pajėgumus ir valstybės informacinių išteklių, kritinės infrastruktūros kibernetinę apsaugą, taip pat užtikrina kibernetinio saugumo funkcijų konsolidavimą. 9 . Įstatymų pakeitimo projektų inkorporavimas į teisinę sistemą, kokius teisės aktus būtina priimti, kokius galiojančius teisės aktus reikia pakeisti ar pripažinti netekusiais galios Siekiant KSĮ projekte siūlomus pakeitimus įtraukti į teisinę sistemą, reikės priimti, pakeisti ir pripažinti netekusiais galios aiškinamojo rašto 12 punkte nurodytus teisės aktus. 10 .
10. Ar įstatymų projektai parengti laikantis Lietuvos Respublikos valstybinės kalbos, Teisėkūros pagrindų įstatymų reikalavimų, o įstatymų projektų sąvokos ir jas įvardijantys terminai įvertinti Terminų banko įstatymo ir jo įgyvendinamųjų teisės aktų nustatyta tvarka KSĮ projektas parengtas laikantis Lietuvos Respublikos valstybinės kalbos įstatymo, Lietuvos Respublikos teisėkūros pagrindų įstatymo reikalavimų. KSĮ projektu apibrėžiamos sąvokos ir juos įvardijantys terminai vertinami Lietuvos Respublikos terminų banko įstatymo nustatyta tvarka. 11 . Ar įstatymų projektai atitinka Žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir Europos Sąjungos dokumentus KSĮ projektas atitinka Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos nuostatas ir ES dokumentus. 12 . Jeigu įstatymui įgyvendinti reikia įgyvendinamųjų teisės aktų, – kas ir kada juos turėtų priimti 12.1 . Priėmus KSĮ projektą, Vyriausybė iki 2024 m. spalio 17 d. turės priimti šiuos teisės aktus: 12.1.1 . K ibernetinio saugumo subjektų identifikavimo pagal specialiuosius kriterijus metodiką (rengėja – Krašto apsaugos ministerija); 12.1.2 . Kibernetinio saugumo įstatymo 1 ir 2 prieduose nurodytiems sektoriams taikomų ES teisės aktų (jeigu yra), kurių poveikis yra lygiavertis Kibernetinio saugumo įstatymo reikalavimams , sąrašą (rengėjos – sektoriuose politiką formuojančios ministerijos); 12.1.3 . Vykdymo užtikrinimo priemonių taikymo esminiams ir svarbiems subjektams tvarkos aprašą (rengėja – Krašto apsaugos ministerija). 12.2 . Priėmus KSĮ projektą, Vyriausybė iki 2024 m. spalio 17 d. turės pakeisti Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimą Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (rengėja – Krašto apsaugos ministerija): 12.2.1 . Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašą (rengėja – Krašto apsaugos ministerija); 12.2.2 .
Nacionalinį kibernetinių incidentų valdymo planą (rengėja – Krašto apsaugos ministerija); 12.2.3 . Nacionalinę kibernetinio saugumo strategiją (rengėja – Krašto apsaugos ministerija); 12.2.4 . Ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką (rengėja – Krašto apsaugos ministerija). 12.3 . Priėmus KSĮ projektą, Krašto apsaugos ministerija iki 2024 m. spalio 17 d. turės pakeisti šiuos teisės aktus: 12.3.1 . Lietuvos Respublikos krašto apsaugos ministro 2021 m. rugpjūčio 9 d. įsakymą Nr. V-484 „Dėl Nacionalinės ryšių ir informacinių sistemų spragų atskleidimo tvarkos aprašo patvirtinimo“; 12.3.2 . Lietuvos Respublikos krašto apsaugos ministro 2019 m. lapkričio 27 d. įsakymą Nr. V-998 „Dėl Kibernetinio saugumo informacinio tinklo nuostatų patvirtinimo“; 12.3.3 . Lietuvos Respublikos krašto apsaugos ministro 2017 m. rugpjūčio 31 d. įsakymą Nr. V-804 „Dėl Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos nuostatų ir struktūros patvirtinimo“; 12.3.4 . Lietuvos Respublikos krašto apsaugos ministro 2015 m. gegužės 5 d. įsakymą Nr. V-461 „Dėl Techninių kibernetinio saugumo priemonių diegimo ir valdymo valstybės informaciniuose ištekliuose ir ypatingos svarbos informacinėje infrastruktūroje tvarkos aprašo patvirtinimo“; 12.3.5 . Lietuvos Respublikos krašto apsaugos ministro 2015 m. gegužės 26 d. įsakymą Nr. V-535 „Dėl Kibernetinio saugumo tarybos reglamento ir personalinės sudėties patvirtinimo“; 12.3.6 . Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymą Nr. V-941 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“. 12.4 . Priėmus KSĮ projektą, Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos iki 2024 m. spalio 17 d. turės priimti: 12.4.1 .
Mokymų tvarkos aprašą kibernetinio saugumo subjektų vadovams, už kibernetinį saugumą atsakingiems asmenims, kibernetinio saugumo auditą atliekantiems asmenims; 12.4.2 . Kibernetinio saugumo auditų atlikimo metodiką . 12.5 . Priėmus KSĮ projektą ir patvirtinus susijusius teisės aktus, iki 2024 m. spalio 17 d. reikės pripažinti netekusiu galios Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimą Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo ir Saugos dokumentų turinio gairių aprašo patvirtinimo“ (rengėja – Krašto apsaugos ministerija). 13 . Kiek valstybės, savivaldybių biudžetų ir kitų valstybės įsteigtų fondų lėšų prireiks įstatymams įgyvendinti, ar bus galima sutaupyti (pateikiami prognozuojami rodikliai einamaisiais ir artimiausiais 3 biudžetiniais metais) Kartu su Įstatymų projektais yra teikiamas atskiras dokumentas – numatomo teisinio reguliavimo poveikio vertinimo pažyma, kurioje pateikti skaičiavimai, k iek valstybės, savivaldybių biudžetų lėšų prireiks Įstatymams įgyvendinti. 14 . Įstatymų projektų rengimo metu gauti specialistų vertinimai ir išvados Įstatymo projekto rengimo metu gautos išvados suderintos darbo tvarka. 15 . Reikšminiai žodžiai, kurių reikia šiems projektams įtraukti į kompiuterinę paieškos sistemą, įskaitant Europos žodyno „Eurovoc“ terminus, temas bei sritis Kibernetinis saugumas, kibernetinis incidentas, kibernetinio saugumo rizikos valdymo priemonės, TIS 2 direktyva, esminis subjektas, svarbus subjektas. 16 . Kiti, iniciatorių nuomone, reikalingi pagrindimai ir paaiškinimai Nėra. [1] https://data.consilium.europa.eu/doc/document/ST-10289-2023-INIT/en/pdf
2024-06-03 Nr. XIVP-3815 Vilnius Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas. 1. Projekto 1 straipsniu nauja redakcija dėstomo Kibernetinio saugumo įstatymo (toliau – keičiamas įstatymas) 1 straipsnio 2 dalies formuluotė suponuoja, kad keičiamo įstatymo VII skyriaus nuostatos taikomos ne tik žvalgybos institucijoms, tačiau ir kredito unijoms. Atsižvelgiant į tai bei siekiant teisinio aiškumo, keičiamo įstatymo 1 straipsnio 2 dalį siūlome dėstyti dviem sakiniais, iš kurių pirmasis nustatytų įstatymo netaikymą (išskyrus VII skyrių) žvalgybos institucijoms, o antrasis – apie įstatymo netaikymą tam tikroms kredito unijoms. 2. Nėra aiškus keičiamo įstatymo 1 straipsnio 3 dalyje vartojamos formuluotės „ atskirai taikomi Europos Sąjungos teisės aktai“ turinys. Jeigu turimi omenyje šio straipsnio 5 dalyje nurodyti atskiriems ūkio sektoriams taikomi Europos Sąjungos teisės aktai, taip reikėtų ir nurodyti. Be to, siekiant teisinio aiškumo aptariamoje keičiamo įstatymo nuostatoje prieš žodžius „keliami reikalavimai“ įrašytinas žodis „yra“. 3.
straipsnio 3 dalyje yra nurodyta, kad „ Šio įstatymo
nuostatos netaikomos kibernetinio saugumo subjektams, jeigu jiems atskirai taikomuose Europos Sąjungos teisės aktuose keliami reikalavimai įgyvendinti kibernetinio saugumo rizikos valdymo priemones, pranešti apie didelius kibernetinius incidentus ar skirti atsakingus už kibernetinį saugumą asmenis, kurių poveikis yra bent lygiavertis šio įstatymo
pagrindu priimtuose įgyvendinamuosiuose teisės aktuose, 15 straipsnyje, 18 straipsnio 1 dalies 1 punkte ir 4 dalyje ir (ar) 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui“. Pastebėtina, kad k eičiamo įstatymo 1 straipsnio 4 dalies punktuose yra nurodoma kokių „šio straipsnio 3 dalyje nurodytų reikalavimų poveikis yra laikomas lygiaverčiu“ ir šios dalies 3 punkte detalizuojama kas laikytina „šio įstatymo
nustatytų reikalavimų poveikiui“, o 4 punkte – kas laikytina „
dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui“. Atsižvelgus į tai, siūlytina keičiamo įstatymo1 straipsnio 3 dalies nuostatą „ Šio įstatymo
nuostatos <...>“ papildyti nuoroda į keičiamo įstatymo 18 straipsnio 1 dalies 2 punktą. 4. Iš keičiamo įstatymo 1 straipsnio 4 dalies 2 punkto nuostatos nėra pakankamai aišku, kokių reikalavimų poveikis būtų laikomas lygiaverčiu keičiamo įstatymo 15 straipsnyje nustatytų reikalavimų poveikiui – reikalavimų, keliamų už kibernetinį saugumą atsakingiems asmenims, ar vis tik reikalavimų kibernetinio saugumo subjektams paskirti atsakingus už kibernetinį saugumą asmenis. Nuostata tikslintina. 5.
straipsnio 4 dalies 4 punkte siūloma nustatyti, kad Europos Sąjungos teisės aktuose nurodytų reikalavimų poveikis yra laikomas lygiaverčiu šio įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui, jeigu yra numatyta reagavimo į kibernetinius incidentus tarnybos neatidėliotina prieiga, kai tinkama, automatinė ir tiesioginė, prie pateiktų pranešimų apie incidentus, o nustatyti reikalavimai pranešti apie didelius incidentus pagal poveikį yra bent lygiaverčiai šio įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytiems reikalavimams. Tačiau pažymėtina, kad keičiamo įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje minimi ne dideli incidentai, t.y. incidentai, nenurodyti keičiamo įstatymo 18 straipsnio 1 dalies 1 punkte, būtent kuriame ir nurodyti dideli kibernetiniai incidentai. Atsižvelgiant į tai, minėtos keičiamo įstatymo nuostatos derintinos tarpusavyje. 6. Keičiamo įstatymo 1 straipsnio 5 dalyje siūloma nustatyti: „ Lietuvos Respublikos Vyriausybė šio įstatymo 1 ir 2 prieduose nurodytuose atskiruose sektoriuose politiką formuojančių ministerijų teikimu patvirtina konkrečių šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams taikomų Europos Sąjungos teisės aktų, atitinkančių šio straipsnio 4 dalyje nurodytus kriterijus , sąrašą. Šiame sąraše nustatomi šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams taikomi Europos Sąjungos teisės aktai, atitinkantys bent vieną šio straipsnio 4 dalyje nurodytą kriterijų .“ Manytume, kad reikėtų atsisakyti aptariamos nuostatos antrojo sakinio, pirmajame sakinyje vietoj formuluotės
„atitinkančių šio straipsnio 4 dalyje nurodytus kriterijus“ įrašant formuluotę
„atitinkančių bent vieną šio straipsnio 4 dalyje nurodytą kriterijų“. 7. Svarstytina, ar keičiamo
įstatymo 1 straipsnio 5 dalyje prieš žodžius „sektoriuose“ ir „sektoriams“ neturėtų būti įrašyti žodžiai „ūkio ar instituciniai“.
Analogiško turinio pastaba taikytina ir keičiamo įstatymo 11 straipsnio 3 dalies 1 punktui, 4 dalies 1 ir 2 punktams, 5 dalies 3 ir 4 punktams, 13 straipsnio 3 dalies 6 ir 8 punktams,
bei vengiant daugybinių išlygų tam pačiame sakinyje, keičiamo įstatymo 2 straipsnio 1 dalyje paskutinę išlygą, prasidedančią žodžiai „neįskaitant atvejų“ siūlome dėstyti atskiru sakiniu, nurodant kokiu atveju subjektas nelaikomas aukščiausio lygio domenų vardų registro paslaugas teikiančiu subjektu. 9. Keičiamo įstatymo 2 straipsnio 2 dalyje vietoj formuluotės „kuri pagal poreikį suteikia administravimo paslaugas ir plataus masto nuotolinę prieigą“ įrašytina formuluotė „kuria pagal poreikį suteikiamos administravimo paslaugos ir plataus masto nuotolinė prieiga“. 10. Keičiamo įstatymo 2 straipsnio 3 dalyje prieš žodį „paslaugų“ įrašytinas žodis „teikiamų“, o 8 dalyje prieš žodį
„informacijos“ – žodis „elektroninės“. 11. Derinant keičiamo įstatymo terminiją su Valstybės
informacinių išteklių valdymo įstatymu, keičiamo įstatymo 2 straipsnio 14 dalyje vietoj žodžio „registre“ įrašytina formuluotė „registro informacinėje sistemoje“. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 11 straipsnio 1 ir 2 dalims, 32 straipsnio 5 daliai bei projekto 2 straipsnio 3 daliai. 12. Atsižvelgiant į tai, kad keičiamo įstatymo 2 straipsnio 27 dalyje pateikiamos nuorodos į Reglamentą (ES) Nr. 910/2014, Reglamentą (ES) 2019/1150 bei Reglamentą (ES) Nr. 1025/2012, kurie teikiamu projektu nėra įgyvendinami, taip pat į tai, kad šie reglamentai keičiamo įstatymo tekste minimi pirmą kartą, vadovaujantis Nuorodų į Europos Sąjungos teisės aktus teikimo teisės aktuose reikalavimų aprašo, patvirtinto teisingumo ministro 2020 m. kovo 6 d. įsakymu Nr. 1R-72 (2022 m. birželio 20 d. įsakymo Nr.
1R-241 redakcija), 20 ir 21 punktuose nustatytomis taisyklėmis, turi būti rašomi visi (pilni) nurodytųjų reglamentų pavadinimai, o jei jie buvo pakeisti, turi būti pažymima, kad atitinkamas reglamentas nurodomas su visais pakeitimais. Analogiška pastaba taikytina ir keičiamo įstatymo 9 straipsnyje pateikiamai nuorodai į Reglamentą (ES) 2016/679, 20 straipsnio 1 dalyje pateikiamai nuorodai į Reglamentą (ES) 2022/2554 ir 23 straipsnio 3 dalies 3 punkte pateikiamai nuorodai į Reglamentą (ES, Euratomas) 2018/1046. 13. Siūlytina keičiamo įstatymo 2 straipsnio 28 dalyje esančias blanketines nuorodas į kitus įstatymus dėstyti abėcėlės tvarka. 14. Keičiamo įstatymo 5 straipsnyje tarp žodžių
„bei Europos Sąjungos“ ir „ir NATO“ įrašytinas žodis „institucijų“, o po žodžių
„Europos Sąjungos valstybių“ – žodis „narių“ (pastaroji pastaba taikytina ir
keičiamo įstatymo 12 straipsnio 2 daliai). 15. Nėra aiškus keičiamo įstatymo 6 straipsnio 1 dalyje įtvirtintos nuostatos, pagal kurią Taryba - kolegiali institucija, sudaryta iš Tarybos narių - keičiasi gerąja praktika ir žiniomis su tais pačiais Tarybos nariais, būtent kurie ir sudaro Tarybą ir per kuriuos Taryba ir vykdo savo veiklą. Kitaip sakant, Tarybos negalima vertinti kaip atskiro teisinių santykių subjekto, kuris būtų kažkaip atsietas nuo pačių Tarybos narių. Atsižvelgiant į tai, minėtą nuostatą reikėtų tikslinti, nurodant, kad Taryba ne keičiasi su Tarybos atstovais žiniomis ir gerąja praktika, o savo veikloje remiasi Tarybos narių turimomis žiniomis ir gerąja praktika. Be to, derinant šio straipsnio nuostatas tarpusavyje, 1 dalyje vietoj žodžių „Tarybos atstovais“ įrašytini žodžiai „Tarybos nariais“. 16. Keičiamo įstatymo 6 straipsnio 2 dalyje vietoj žodžių „Tarybą sudaro“ įrašytini žodžiai „Tarybos nariais tvirtinami“ (nes Tarybą pagal šio straipsnio 4 dalį sudaro krašto apsaugos ministras). 17.
brauktina perteklinė formuluotė „jos narių skaičių tvirtina“ (nes tvirtinant institucinę bei personalinę sudėtį Tarybos narių skaičius ir bus atskleistas) bei žodis „nustato“ (nes ministras įsakymu tvirtins, o ne nustatys, Tarybos sudėtį). 18. Keičiamo įstatymo 6 straipsnio 6 dalies 1 punkte siūloma nustatyti, kad Taryba, t. y. visuomeniniais pagrindais veikianti patariamoji institucija, turi teisę gauti iš valstybės ir savivaldybių institucijų, įstaigų bei kitų juridinių asmenų reikalingą informaciją Tarybos kompetencijai priskirtiems klausimams spręsti. Vertindami šią nuostatą, norime pastebėti, kad tuo atveju, jeigu nuostatoje siekiama reguliuoti teisinius santykius, susijusius su privačių juridinių asmenų valdomais ar kitaip disponuojamais duomenimis, dokumentais ar kita informacija (kuriems jų veiklą reguliuojantys įstatymai dėl jų veiklos pobūdžio nenustato pareigos kaupti ir tvarkyti tokią informaciją bei pateikti ją valstybės institucijoms), ir nustatyti Tarybos imperatyvią teisę neatlygintinai gauti iš tokių privačių asmenų jų nusistatytais tikslais tvarkomus ir kaupiamus duomenis ar dokumentus, turėtų būti svarstomas nuostatos derėjimas su konstituciniu nuosavybės teisės apsaugos principu. Atsižvelgiant į tai, manytina, kad tuo atveju, jeigu nuostatoje siekiama reguliuoti teisinius santykius, susijusius su teise gauti reikalingus duomenis iš privačių juridinių asmenų, kurie įstatymais dėl jų veiklos pobūdžio yra įpareigoti kaupti atitinkamą informaciją ir pateikti ją valstybės institucijoms, tai turėtų būti aiškiai nurodyta. Priešingu atveju, siūlytume projekte aiškiau reglamentuoti duomenų ar informacijos gavimo iš privačių juridinių asmenų sąlygas ir (ar) atlygintinumą už tokių duomenų (informacijos) teikimą. 19.
punkte siūloma nustatyti, kad Nacionalinis kibernetinio saugumo centras, siekdamas pašalinti kibernetines grėsmes ar stabdyti jų plitimą gali duoti tam tikrą nurodymą domenų vardų paslaugų teikėjams. Pažymėtina, kad keičiamame įstatyme nėra apibrėžta „domenų vardų paslaugų teikėjo“ sąvoka. Keičiamo įstatymo 2 straipsnyje yra apibrėžtos tik „domenų vardų registravimo paslaugas teikiančio subjekto“ bei „domenų vardų sistemos paslaugų teikėjo“ sąvokos. 20. Siekiant teisinio aiškumo bei vengiant nereikalingų dispozicinių nuorodų, keičiamo įstatymo 7 straipsnio 2 dalies 14 punkte vietoj formuluotės „šio straipsnio 2 dalies 13 punkte nurodytas krizes“ siūlytina įrašyti formuluotę „krizes, susijusias su kibernetiniais incidentais“. 21. Siekiant teisinio aiškumo, siūlytina papildyti keičiamo įstatymo 7 straipsnio 3 dalį, joje nurodant konkretų Nacionalinio kibernetinio saugumo centro priimtą dokumentą, kuriame yra nustatyti šioje dalyje minimi nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimai. 22. Siekiant teisinio aiškumo, keičiamo įstatymo 7 straipsnio 5 dalies 2 punkte turėtų būti aiškiai identifikuoti „kiti subjektai“, susisiekti su kuriais bet kuriuo metu turi būti nustatomi net keletas būdų. Atsižvelgiant į tai, kad šis reikalavimas betarpiškai susijęs su Nacionaliniam kibernetinio saugumo centrui keliamais reikalavimais, turėtų būti aiškiai atskleistas šio reikalavimo turinys. 23. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 7 straipsnio 5 dalies 3 punkte patikslinti, kaip suprantamos jame minimos „saugios vietos“. 24. Kadangi visos Nacionalinio kibernetinio saugumo centro funkcijos yra dėstomos keičiamo įstatymo 7 straipsnyje, siūlytina keičiamo įstatymo 8 straipsnio nuostatas taip pat perkelti į keičiamo įstatymo 7 straipsnį. Neatsižvelgus į šią pastabą, svarstytinas šio straipsnio pavadinimo tikslinimas, atsižvelgiant į šio straipsnio 2 dalies nuostatas. 25.
įstatymo 8 straipsnio 2 dalies normą dėstyti taip: „ Nacionalinis kibernetinio saugumo centras tvirtina kibernetinio saugumo pratybų planą, kuriuo remiantis šio straipsnio 1 dalyje nurodytiems kibernetinio saugumo subjektams, kitoms įstaigoms ir ūkio subjektams organizuoja kibernetinio saugumo pratybas ir mokymus, siekdamas užtikrinti pasirengimą krizėms, ekstremaliosioms situacijoms kibernetinio saugumo srityje“. 26. Svarstytina, ar keičiamo įstatymo 10 straipsnio 1 dalies 2 punkto antrojo sakinio nereikėtų įtvirtinti atskira šio straipsnio dalimi, joje kartu numatant ir terminus, per kuriuos kibernetinio saugumo subjektai privalėtų pateikti policijai reikalingą informaciją. 27. Svarstytina, ar keičiamo įstatymo 11 straipsnio 2 dalies nuostatų nereikėtų dėstyti keičiamo įstatymo 13 straipsnyje, kuriame išdėstytos nuostatos dėl kibernetinio saugumo subjektų įregistravimo ir išregistravimo. 28. Nėra aiškus keičiamo įstatymo 11 straipsnio 7 dalies nuostatos, nustatančios, kad tuo atveju, kai subjektas atitinka bent vieną šio straipsnio 4 dalyje nurodytą kriterijų, kuriuo identifikuojamas esminis subjektas , laikoma, kad subjektas yra esminis subjektas, turinys. Pažymėtina, kad šio straipsnio 4 dalyje yra įtvirtinti bendrieji būtent svarbių subjektų identifikavimo kriterijai , todėl pagal šiuos kriterijus identifikuoti esminio subjekto tiesiog objektyviai nėra pagrindo. Kitaip sakant, jeigu kibernetinio saugumo subjektas atitiks bent vieną iš 4 dalyje nustatytų bendrųjų svarbių subjektų identifikavimo kriterijų, jis bus identifikuojamas būtent kaip svarbus, o ne esminis subjektas (šioje dalyje nėra jokių sąlygų, įgalinančių tik 4 dalyje nurodytus kriterijus atitinkančius subjektus laikyti esminiais subjektais). 29.
12 straipsnio 1 dalies 1 punkte minimų dviejų sąlygų – 1) subjektai, registruoti Lietuvos Respublikoje bei 2) subjektai, įsisteigę Lietuvos Respublikoje, nes visi be išimties ūkio subjektai (ar tai būtų savarankiški juridiniai asmenys, ar juridinių asmenų filialai ir atstovybės, ar užsienio juridinių asmenų ir kitų organizacijų filialai ir atstovybės) yra registruojami Juridinių asmenų registre. 30. Pagal keičiamo įstatymo 12 straipsnio 1 punkto a papunktį Lietuvos Respublikos jurisdikcijai nepriklausytų tik subjektai, kurie yra įsteigti kitos valstybės . Šiame kontekste svarstytina, ar Lietuvos Respublikos jurisdikcijai galėtų būti priskiriami Europos Sąjungos, kitų tarptautinių organizacijų įsteigti subjektai, pavyzdžiui Europos lyčių lygybės institutas ir pan. 31. Keičiamo įstatymo 12 straipsnio 1 dalies 1 punkto b papunktyje įtvirtinta išlyga dėl šios dalies 3 punkte nurodytų subjektų, kurių pagrindinė buveinė yra ne Lietuvos Respublikoje, yra perteklinė ir nesuprantama, nes minėtame 3 punkte būtent ir vardijami tik tie subjektai, kurių pagrindinė buveinė yra Lietuvos Respublikoje. 32. Keičiamo įstatymo 12 straipsnio 3 dalies sakinyje, prasidedančiame žodžiais „Šioje dalyje nurodytas atstovas“ prieš žodžius „valstybių narių“ įrašytini žodžiai „Europos Sąjungos“. Analogiška pastaba taikytina keičiamo įstatymo 20 straipsnio 2 dalies 6 ir 7 punktams, 21 straipsnio 1 daliai, 2 dalies nuostatai iki dvitaškio ir šio straipsnio 4 daliai. 33. Keičiamo įstatymo 13 straipsnį, reglamentuojantį Kibernetinio saugumo subjektų registrą, reikėtų suderinti su Valstybės informacinių išteklių valdymo įstatymu, kuriame nustatyta, kad registro objektams registruoti yra steigiamas ne registras, o registro informacinė sistema. 34.
dalies nuostatos, nustatančios, kad Kibernetinio saugumo subjektų registro objektas ir jį apibūdinantys duomenys tvarkomi Kibernetinio saugumo informaciniame tinkle, turinys ir paskirtis, nes keičiamo įstatymo 13 straipsnio 1 dalis implikuoja, kad kibernetinio saugumo subjektų duomenys bus tvarkomi specialiai tam įsteigtoje Kibernetinio saugumo subjektų registro informacinėje sistemoje. Jeigu siekiama nustatyti, kad kibernetinio saugumo subjektų registro objektas ir jį apibūdinantys duomenys tvarkomi Kibernetinio saugumo informaciniame tinkle (kuris taip pat yra valstybės informacinė sistema), lieka neaiškus pačios Kibernetinio saugumo subjektų registro informacinės sistemos steigimo tikslas. Jeigu siūloma nustatyti, kad Kibernetinio saugumo subjektų registras yra būtent Kibernetinio saugumo informaciniame tinkle tvarkomas kibernetinio saugumo subjektus apibūdinantis duomenų rinkinys, taip reikėtų ir nurodyti, t.y. reikėtų aiškiai nustatyti, kad steigiama ne Kibernetinio saugumo subjektų registro informacinė sistema, o Kibernetinio saugumo informacinio tinklo informacinė sistema, kurioje ir bus tvarkomi kibernetinio saugumo subjektų duomenys. Jeigu, vis dėlto, siekiama nustatyti abiejų valstybės informacinių sistemų steigimą ir jų tarpusavio sąveiką, reikėtų aiškiau atskleisti registro informacinės sistemos ir Kibernetinio saugumo informacinio tinklo (kitos valstybės informacinės sistemos) objektų registravimo ir jas apibūdinančių duomenų tvarkymo sąlygas. 35. Keičiamo įstatymo 13 straipsnio 3 dalies 1 punkte vietoj formuluotės „teisinis statusas, ekonominės veiklos forma“ įrašytina formuluotė „teisinė forma, ekonominės veiklos sritis (sritys) ir rūšis (rūšys)“. 36. Nėra aiškus keičiamo įstatymo 13 straipsnio 3 dalies 1 punkte minimos formuluotės „registracijos numeris“ turinys (nėra aišku kokia registracija ir kokioje informacinėje sistemoje turima omenyje).
Be to, siekiant teisinio aiškumo, šiame punkte nustatytą išlygą (prasidedančią žodžiais „ir kitų juridinių padalinių Europos Sąjungoje adresai“) siūlome dėstyti atskiru sakiniu, kuriame būtų reglamentuojamos tik šioje išlygoje minimų subjektų duomenų tvarkymo nuostatos. 37. Siekiant keičiamo įstatymo nuostatų dėstymo nuoseklumo, keičiamo įstatymo 13 straipsnio 3 dalies 1 punkte siūlome atsisakyti kibernetinio saugumo subjektų atstovų kontaktinių duomenų dėstymo (tokių duomenų nurodymas nustatytas šios dalies 3 punkte). 38. Atkreiptinas dėmesys, kad nei keičiamame įstatyme, nei kituose įstatymuose nėra apibrėžtas keičiamo įstatymo 13 straipsnio 3 dalies 5 punkte minimos sąvokos „interneto protokolo (IP) adresų rėžiai“ turinys. 39. Nėra aiškus keičiamo įstatymo 13 straipsnio 3 dalies 8 punkte įtvirtintos formuluotės „subjekto rūšis kibernetinio saugumo subjekto sektorius, subsektorius, subjekto rūšis“, turinys, nes keičiamame įstatyme nėra atskleistos jokios kibernetinio saugumo subjektų rūšį kibernetinio saugumo subjekto sektoriuje ar subsektoriuje apibrėžiančios nuostatos. 40. Atsižvelgiant į tai, kad ministerijos kompetencijai priklausančiais klausimais privalomos galios administracinius teisės aktus priima ministras, o ne ministerija, keičiamo įstatymo 13 straipsnio 4 dalyje vietoj formuluotės „Krašto apsaugos ministerijos“ įrašytina formuluotė „krašto apsaugos ministro“. 41. Siekiant teisinio aiškumo, reikėtų nurodyti keičiamo įstatymo 13 straipsnio 6 dalyje numatyto institucijų, atsakingų už kibernetinio saugumo subjektų identifikavimą, dalyvavimo kibernetinio saugumo subjektų registravimo procese turinį ir apimtį, nes už registro informacinės sistemos objektų registravimą ir objektų duomenų tvarkymą yra atsakingas būtent šios informacinės sistemos tvarkytojas. 42.
straipsnio 7 dalies nuostatų nereikėtų suformuluoti kaip pareigos šioje dalyje minimiems subjektams teikti minimą informaciją Kibernetinio saugumo informacinio tinklo duomenų tvarkytojui. Be to, siūlytina šioje dalyje vietoje žodžio „identifikuojamų“ rašyti formuluotę „identifikuojamų ir registruojamų“, vietoje žodžio „registruoti“ rašyti formuluotę „identifikuoti ir registruoti“. 43. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 13 straipsnio 8 dalyje po žodžių „juos registruoti“ įrašyti žodžius „arba jų neregistruoti“. 44. Keičiamo įstatymo 13 straipsnio 9 dalyje vietoj žodžių „nuo momento“ įrašytini žodžiai „nuo dienos“. Svarstytina, ar šios dalies paskutinio sakinio nereikėtų dėstyti atskira šio straipsnio dalimi. Taip pat siūlytina šį straipsnį papildyti nuostata dėl galimybės apskųsti sprendimą dėl išregistravimo iš Kibernetinio saugumo subjektų registro. 45. Svarstytina, ar keičiamo įstatymo13 straipsnio 10 dalies nuostatos neturėtų būti dėstomos šio straipsnio 5 dalyje. 46. Keičiamo įstatymo 14 straipsnio 1 dalies 1 punkte nurodytos išlygos „išskyrus šio straipsnio 2 dalyje nurodytus atvejus“ turinys yra neaiškus, nes minėtoje 14 straipsnio 2 dalyje nėra nustatyta jokia išlyga, pagrindžianti Vyriausybės tvirtinamų kibernetinio saugumo reikalavimų netaikymą kibernetinio saugumo subjektams. 47. Keičiamo įstatymo 14 straipsnio 1 dalies 2 punkto nuostata tikslinta, atsižvelgiant į tai, kad Europos Sąjungos teisės aktai negali būti priimami pagal nacionaliniame teisės akte nustatytus reikalavimus. 48. Keičiamo įstatymo 14 straipsnio 2 dalyje vietoj žodžio „įtraukimo“ įrašytinas žodis „įregistravimo“, o prieš žodį
„žmogiškuosius“ įrašytina formuluotė „kibernetinio saugumo subjekto“. Be to,
vietoj trumpinio „mėn.“ vartotinas žodis „mėnesių“. 49.
įstatymo 14 straipsnio 3 dalies nuostatas dėstyti taip: „ Kibernetinio saugumo subjektai privalo Nacionaliniam kibernetinio saugumo centrui Kibernetinio saugumo informacinio tinklo nuostatuose nustatyta tvarka pateikti šiuose nuostatuose nurodytus duomenis apie kibernetinio saugumo rizikos valdymo priemonių įgyvendinimą“. 50. Keičiamo įstatymo 14 straipsnio 4 dalyje brauktinas žodis „tik“, nes Lietuvos Respublikos jurisdikcijai priklausantys subjektai turi laikytis ne tik Europos Sąjungos, tačiau ir Lietuvos Respublikos teisės aktų. 51. Siekiant teisinio aiškumo, reikėtų atskleisti keičiamo įstatymo 14 straipsnio 5 dalies 12 punkte nustatytos formuluotės „kibernetinio saugumo subjektų naudotojų, administratorių, tiekėjų, jų subtiekėjų ir kitų ūkio subjektų“ turinį, nes nėra aišku, kas turėtų būti laikomi kibernetinio saugumo subjektų naudotojais (galbūt turima omenyje kibernetinio saugumo subjektų teikiamų paslaugų vartotojus), administratoriais ar teikėjais. 52. Kadangi kibernetinio saugumo subjektu gali būti ir fizinis asmuo, keičiamo įstatymo 14 straipsnio 7 dalies nuostatą apie darbuotojų nuolatinį švietimą kibernetinio saugumo srityje reikėtų papildyti, po žodžio „darbuotojų“ įrašant formuluotę „jei tokių yra“. 53. Svarstytina, ar keičiamo įstatymo 14 straipsnio 8 dalies nuostatą nereikėtų performuluoti taip, kad joje minimi nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimai būtų taikomi ir asmenims, Nacionalinio kibernetinio saugumo centro vadovo nustatyta tvarka išklausiusiems mokymus ir išlaikiusiems kvalifikacinius žinių ir praktinių įgūdžių patikrinimo egzaminą. Be to, prieš žodį „toliau“ įrašytinas skliaustelis. 54. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 15 straipsnio 1 dalyje aiškiai nurodyti subjektą, kuris turi atitikti šio įstatymo 14 ir 18 straipsniuose nustatytiems reikalavimams. 55.
vietoj žodžio „gyvendinimą“ rašytinas žodis „įgyvendinimą“. Be to, manytina, kad šios dalies antrajame sakinyje esanti nuoroda į keičiamo įstatymo 14 straipsnį turėtų būti papildyta nuoroda ir į keičiamo įstatymo 18 straipsnį, o šios dalies paskutiniame sakinyje po žodžio „vadovas“ įrašytina formuluotė „ar jo įgaliotas asmuo“. Taip pat svarstytina, ar šios dalies paskutinio sakinio nereikėtų atsisakyti kaip perteklinio, nes keičiamo įstatymo 15 straipsnio 1 ir 2 dalyse yra nurodyta, kas skiria šiuos asmenis. 56. Kadangi keičiamo įstatymo 15 straipsnio 4 ir 5 dalyse vartojama sąvoka „už kibernetinį saugumą atsakingi asmenys“, siūlytina šiame straipsnyje konkrečiai įvardinti, kas tokiais asmenimis yra laikomi. 57. Keičiamo įstatymo 15 straipsnio 5 dalies 2 punkto nuostata turėtų būti tikslinama, tiesiog nustatant, kad už kibernetinį saugumą atsakingais asmenimis negali būti skiriami asmenys, kuriems nuo nuobaudos už teisės aktų pažeidimus tinklų ir informacinių sistemų ir asmens duomenų tvarkymo ir privatumo apsaugos srityse paskyrimo praėję mažiau kaip vieneri metai. 58. Keičiamo įstatymo 16 straipsnio 3 dalis tikslintina kalbiniu požiūriu. 59. Keičiamo įstatymo 17 straipsnio 3 punkte nurodyta, kad šiame straipsnyje įvardinti kibernetinio saugumo subjektai privalo „ skelbti šio straipsnio 2 ir 5 punktuose nurodytą politiką ir procedūras viešai savo interneto svetainėse ar, jeigu jie interneto svetainės neturi, kitomis visuomenės informavimo priemonėmis“. Šioje nuostatoje esantis žodis „skelbti“ suponuoja, kad minėta informacija turi būti nuolat skelbiama viešai šių subjektų interneto svetainėse arba, jeigu jie jų neturi, kitomis visuomenės informavimo priemonėmis. Jeigu tokios intencijos projekto rengėjai neturėjo, siūlytina šią nuostatą atitinkamai pakoreguoti. Taip pat svarstytina, ar nereikėtų patikslinti kokiomis visuomenės informavimo priemonėmis ši informacija turi būti skelbiama. 60.
formuluotė „savo interneto svetainėse“. Taip pat svarstytina, ar vietoj šiame punkte vartojamos formuluotės „nepagrįstai nedelsdami“ nereikėtų nurodyti konkretaus termino, per kurį turi būti paskelbiami domeno registracijos duomenys. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 17 straipsnio 5 punktui. 61. Pažymėtina, kad keičiamo įstatymo 18 straipsnio 1 dalies 1 ir 2 punktuose nėra nurodyti jokie objektyvūs kriterijai, įgalinantys atskirti šios dalies 1 punkte nurodytus didelius kibernetinius incidentus nuo „nedidelių“ kibernetinių incidentų, nurodytų šios dalies
nacionalinio kibernetinių incidentų valdymo plano, tvirtinamo Vyriausybės, nustatytais terminais ir pateikti Vyriausybės nustatytą informaciją“ turėtų būti dėstoma prie keičiamo įstatymo 18 straipsnio 1 dalies nuostatos iki dvitaškio. 63. Keičiamo įstatymo 18 straipsnio 1 dalies 2 punkte bei 5 dalyje brauktini pertekliniai žodžiai „tvirtinamo Vyriausybės“, nes tai, kad Vyriausybė tvirtina nacionalinį kibernetinių incidentų valdymo planą jau nustatyta keičiamo įstatymo 7 straipsnio 2 dalies 3 punkte. Taip pat nėra aiškus keičiamo įstatymo 18 straipsnio 1 dalies 2 punkto bei 5 dalies nuostatų santykis, nes abiejose nuostatose yra reglamentuojama ta pati pranešimų apie kibernetiniu incidentus teikimo tvarka. 64. Pastebėtina, kad keičiamo įstatymo 18 straipsnio 2 dalies 1 ir 2 punktuose esantys žodžiai „didelių“ ir „didelę“ yra vertinamojo pobūdžio. Kadangi įstatymas yra norminio pobūdžio teisės aktas, jame negali ir neturi būti vertinamojo pobūdžio teisės normų, kartu nenustatant sąlygų ar kriterijų, kurie lemtų įstatyminės nuostatos taikymą ar netaikymą. Priešingu atveju, būtų pažeidžiamas konstitucinis įstatymų viršenybės principas, nes įstatymo nuostatos taikymą ar netaikymą lemtų išimtinai poįstatyminių teisės aktų turinys. Konstitucinio Teismo oficialiojoje doktrinoje nurodoma, kad „Teisinis reguliavimas visais atvejais turi būti aiškus, jis negali kelti dviprasmybių <...>“. (2000 m. vasario 10 d., 2001 m. sausio 25 d. ir kt. nutarimai). Todėl siūlytina aiškiai nurodyti, kokios konkrečios sąlygos ar kriterijai atitinka nuostatos reikalavimus. 65. Siekiant teisinio aiškumo, keičiamo įstatymo
priimamus įgyvendinančiuosius teisės aktus, apibrėžiančius atvejus, kai kibernetinis incidentas laikomas dideliu. 66.
dalies 5 punkte vartojamos formuluotės „Europos Komisijos įgyvendinimo aktai“ turinys. 67. Keičiamo įstatymo 20 straipsnio 1 dalyje prieš žodį „Krizių“ įrašytinas žodis „Nacionaliniu“. 68. Keičiamo įstatymo 20 straipsnio 2 dalies 5 punkte esantis trumpinys „val.“ keistinas žodžiu „valandas“. 69. Keičiamo įstatymo 23 straipsnio 1 dalies pirmajame sakinyje reikėtų tikslinti nuorodą į „šio straipsnio 1 dalyje nustatytus reikalavimus“, nes keičiamo įstatymo 23 straipsnio 1 dalyje yra nustatytas vienintelis reikalavimas, kad Bendruomenės nariais negali būti nacionalinio saugumo interesams grėsmę keliantys asmenys. 70. Pagal keičiamo įstatymo 23 straipsnio 2 dalį informaciją, ar Bendruomenės nariais siekiantys tapti asmenys galėtų kelti grėsmę nacionalinio saugumo interesams pagal Nacionalinio koordinavimo centro kreipimąsi teikia institucijos, nurodytos Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo
objektų apsaugos įstatyme nurodytais investuotojų patikros dėl atitikties nacionalinio saugumo interesams vertinimo kriterijais. Manytume, kad toks teisinis reguliavimas nėra pakankamas, nes skirtingai nei Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme, į kurį nurodoma aptariamoje keičiamo įstatymo nuostatoje, keičiamame įstatyme nėra jokių nuostatų, reglamentuojančių atitinkamos informacijos pateikimo tvarką, terminus ir pan. 71. Siūlytina keičiamo įstatymo 23 straipsnio 2 dalyje keisti vartojamą formuluotę „kaip Bendruomenės narius“ formuluote
„Bendruomenės nariais“. Analogiško turinio pastaba taikytina ir šio straipsnio
straipsnio 7 dalies punktų nereikėtų sujungti jungtuku „ir“. 73. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 26 straipsnio 4 dalies sakinius apjungti į vieną.
Be to, vietoje žodžio „nustatytame“ vartotinas žodis „patvirtintame“. 74. Keičiamo įstatymo 27 straipsnio 1 ir 2 dalyse brauktina perteklinė formuluotė „šio įstatymo 26 straipsnio 2 dalyje nurodyto“, nes ir taip suprantama kokie skundai turimi omenyje (kitose keičiamo įstatymo nuostatose nėra minimi jokie kitokie skundai, todėl dispozicinė nuoroda tiesiog nereikalinga). Be to, siūlytina vietoje formuluotės „centro sprendimu“ vartoti formuluotę „centro direktoriaus sprendimu“. 75. Nėra aišku, kodėl keičiamo įstatymo 27 straipsnio 4 dalyje nustatytos Nacionalinio kibernetinio saugumo centro teisės (atliekant patikrinimus) nėra dėstomos šio straipsnio 3 dalyje, kurioje būtent ir numatytos visos Nacionalinio kibernetinio saugumo centro su atliekamais patikrinimais susijusios teisės. Be to, siūlome atsisakyti keičiamo įstatymo 27 straipsnio 4 dalies 1 punkto, kuriame numatyta teisė atlikti veiksmus, nurodytus šio straipsnio 3 dalies 1 punkte (nes Nacionalinis kibernetinio saugumo centras turi teisę atlikti visus 3 dalyje, o ne tik šios dalies 1 punkte, numatytus veiksmus). 76. Keičiamo įstatymo 27 straipsnio 5 dalyje vietoj formuluotės „Taikydamas šio straipsnio 3 dalies 3 punktą“ įrašytina formuluotė „Duodamas šio straipsnio 3 dalies 3 punkte nustatytą nurodymą“. 77. Svarstytina, ar keičiamo įstatymo 27 straipsnis neturėtų būti papildytas nuostatomis dėl šio straipsnio 6 dalies 2 punkte minimo Nacionalinio kibernetinio saugumo centro sprendimo apskundimo galimybės. 78. Siekiant teisinio aiškumo, keičiamo įstatymo
vykdymo užtikrinimo priemonę ar jų grupę“ siūlome įrašyti formuluotę „taiko vieną ar kelias vykdymo užtikrinimo priemonę (priemones)“. 79.
punkto formuluotė turėtų būti patikslinta, nes siūloma redakcija implikuoja, kad baudos privalo būti skiriamos kartu su bet kuriomis šios dalies 1–8,
gali būti skiriamos kartu su šios dalies 1–8, 10 ir 11 punktuose nurodytomis priemonėmis. 80. Keičiamo įstatymo 28 straipsnio 3 dalies 1 punkte vartojama formuluotė „pažeistų nuostatų pavojingumas“ turėtų būti patikslinta, nes pavojingos ne įstatyminės nuostatos, o būtent veikla, kuria buvo įvykdyti įstatymo pažeidimai. 81. Keičiamo įstatymo 28 straipsnio 4 ir 5 dalyse atsisakytina perteklinės formuluotės „Šio straipsnio 3 dalies 1 punkte nurodytomis“. 82. Nelogiškas atrodo keičiamo įstatymo 28 straipsnio 4 dalies 5 punkte ir 5 dalies 7 punkte nustatytas reguliavimas, pagal kurį bet kuris įstatymo nuostatų pažeidimas yra laikomas arba atsakomybę lengvinančia (jei padarytas dėl neatsargumo), arba atsakomybę sunkinančia aplinkybe (jei padarytas tyčia). Atsižvelgiant į tai, kad visi pažeidimai apskritai gali būti padaromi tik tyčia arba neatsargiai, svarstytina, ar pažeidimo padarymo tyčia turėtų būti laikomas atsakomybę sunkinančia aplinkybe. 83. Nėra aiškus keičiamo įstatymo 28 straipsnio 7 dalies nuostatos, nustatančios, kad sprendimas dėl vykdymo užtikrinimo priemonės skyrimo gali būti priimtas, jeigu praėjo ne daugiau kaip 2 metai nuo pažeidimo dienos ( išskyrus atvejus, kai sprendimo dėl vykdymo užtikrinimo priemonės skyrimo metu pažeidimas ar trūkumas jau yra ištaisytas ), turinys ir jos praktinis taikymas. Kitaip sakant, nėra aiški šios išlygos esmė bei sprendimo dėl vykdymo užtikrinimo priemonės skyrimo galimybė bei jo terminas tuo atveju, kai sprendimo priėmimo metu pažeidimas jau nutrauktas ar trūkumas pašalintas. Be to, šioje dalyje prieš formuluotę „nuo jo paaiškėjimo dienos“ įrašytina formuluotė „jeigu praėjo ne daugiau kaip 2 metai“. 84.
straipsnis neturėtų būti papildytas nuostatomis dėl šio straipsnio 7 dalyje minimo Nacionalinio kibernetinio saugumo centro sprendimo apskundimo galimybės. 85. Keičiamo įstatymo 29 straipsnio 3 dalyje turėtų būti patikslinta dispozicinė nuoroda į šio įstatymo 7 straipsnio 2 dalies 6 ir 7 punktus (o ne 2 dalies 6 ir 7 dalis). 86. Nors keičiamo įstatymo 29 straipsnio 1 dalyje ir nurodyta, kad pažeidimais laikomi ir trukdymas šio įstatymo 4 straipsnio 2 ir 3 dalyse nurodytoms institucijoms, įskaitant jų pasitelktus subjektus, atlikti joms priskirtas funkcijas, tačiau kitose šio straipsnio nuostatose, kuriose nurodomi pažeidimų pavojingumo lygiai bei vardijami šiems lygiams priskirtini pažeidimai, nėra nurodyta kokiam pavojingumo lygiui būtų priskiriamas trukdymas institucijoms atlikti joms priskirtas funkcijas. 87. Derinant keičiamo įstatymo nuostatas tarpusavyje, keičiamo įstatymo 30 straipsnio 2 dalies nuostatoje iki dvitaškio prieš žodį „dydžiai“ įrašytinas žodis „maksimalūs“. Be to, šioje dalyje po žodžio „Už“ įrašytina formuluotė „šio įstatymo“. 88. Nelogiškas ir teisiškai ydingas yra keičiamo įstatymo 30 straipsnio 2 dalies 3 ir 4 punktuose nustatytas reguliavimas, pagal kurį Nacionalinis kibernetinio saugumo centras turėtų teisę skirti baudą valstybės biudžetinėms įstaigoms. Nesuprantama būtų tokios baudos paskirtis, nes biudžetinei įstaigai, valstybės funkcijų vykdymui gaunančiai valstybės biudžeto asignavimus, sumokėjusi baudą į tą patį valstybės biudžetą, būtų apribotos galimybės tinkamam jos funkcijų vykdymui. Būtų logiška ir suprantama galima administracinė ar tarnybinė atsakomybė biudžetinės įstaigos vadovui, tačiau ne finansinė atsakomybė valstybės biudžetinei įstaigai. Taip pat nėra aiškus formuluotės „valstybės biudžetinės įstaigos bendros metinės pajamos“ turinys (galbūt turimi omenyje valstybės biudžeto asignavimai). 89.
būti pateikta nuoroda ne į šio įstatymo 28 straipsnio 3 dalį, o į 28 straipsnio 3-5 dalis. 90. Siekiant teisinio aiškumo, keičiamo įstatymo 31 straipsnio 8 dalyje po žodžių „nustatyto termino“ įrašytini žodžiai
„paaiškinimams pateikti“. 91. Atsižvelgus į keičiamo įstatymo 31 straipsnio
12 dalių nuostatas dėstyti atitinkamai 11 – 13 dalimis. 92. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 32 straipsnyje aiškiai nurodyti kokios jurisdikcijos ir kokios pakopos teismas priima šiame straipsnyje nurodytas nutartis laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsniui. 93. Derinant keičiamo įstatymo nuostatas tarpusavyje, keičiamo įstatymo 32 straipsnio 1 dalyje (o taip pat ir kitose atitinkamose šio straipsnio nuostatose) po formuluotės „laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla“ įrašytina formuluotė „ar teikti paslaugas“. 94. Keičiamo įstatymo 32 straipsnio 4, 5, 8 ir 9 dalyse vietoje sąvokos „juridinis asmuo“ vartotina sąvoka „esminis subjektas“. 95. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 32 straipsnio 4 dalies nuostatą „Pratęsimų skaičius neribojamas“ papildyti nuostata „bet visais atvejais laikinas teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymas negali trukti ilgiau, nei to reikia, kad būtų užtikrinamas šio įstatymo nuostatų laikymasis“. 96. Siekiant teisinio aiškumo, keičiamo įstatymo 32 straipsnio 5 dalyje vietoj žodžio „vykyti“ rašytinas žodis
„vykdyti“, o po žodžio „nutartis“ vietoje formuluotės „kuria laikinai
sustabdoma dalis ar visa juridinio asmens veikla“ įrašytina formuluotė „kuria laikinai sustabdoma teisė užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas“.
Be to, siūlytina šia formuluote papildyti ir keičiamo įstatymo 32 straipsnio 6 dalį. 97. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 32 straipsnio 7 dalyje po žodžio „veiklą“ įrašyti formuluotę „taip pat nutartį pratęsti šios priemonės taikymo terminą“. Taip pat siūlytina šią dalį papildyti sakiniu „Šio teismo priimta nutartis yra galutinė ir neskundžiama“. 98. Keičiamo įstatymo 32 straipsnio 7 dalyje reikėtų nurodyti konkretų teismą (turbūt apygardos), kuriam gali būti skundžiama teismo nutartis dėl laikino teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymo. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsnio 8 daliai. 99. Atkreiptinas dėmesys, kad nei keičiamo įstatymo 32 straipsnio 7 dalyje, nei šio straipsnio 8 dalyje nėra numatyta galimybė teismui panaikinti esminio subjekto veiklos paslaugų teikimo laikino sustabdymo. Atsižvelgus į tai, projektas koreguotinas. 100. Siūlytina keičiamo įstatymo 32 straipsnio 8 dalies pirmajame sakinyje vietoje formuluotės „privalo panaikinti“ įrašyti žodį „panaikina“, nes Lietuvos Respublikos teisinėje sistemoje, atsižvelgiant, be kita ko, į teismų nepriklausomumo reikalavimą, reguliuojant teismų priimamų procesinių sprendimų pobūdį tokia terminologija nėra naudojama. Be to, atsižvelgus į šios dalies turinį, siūlytina jos sakinius sukeisti vietomis. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsnio 9 daliai. 101.
101Siekiant teisinio aiškumo,
siūlytina keičiamo įstatymo 32 straipsnio 9 dalyje numatyti kiek laiko turi būti skelbiama šioje dalyje minima informacija apie esminį subjektą, taip pat prieš žodį „subjektą“ įrašytinas žodis „esminį“. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsnio 10 daliai. 102. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 33 straipsnio 5 dalyje po žodžio „nutartis“ įrašyti formuluotę „kuria esminio subjekto vadovas laikinai nušalinamas nuo pareigų“. 103. Siekiant teisini aiškumo, vietoj keičiamo įstatymo 33 straipsnio 6 dalyje esančios formuluotės „fizinis asmuo“ įrašytina formuluotė „esminio subjekto vadovas“. 104. Keičiamo įstatymo 33 straipsnio 7 dalyje esantys žodžiai „šešis“ ir „trijų“ keistini skaičiais. 105. Keičiamo įstatymo 33 straipsnio 9 dalies nuostatos tikslintinos, nes 33 straipsnyje reglamentuojamas esminio subjekto vadovo laikinas nušalinimo nuo pareigų, o ne laikino teisės užsiimti tam tikra veikla sustabdymo klausimas. Be to, siūlytina pirmąjį šios dalies sakinį papildyti formuluote „kai ši priemonė yra nebereikalinga“. 106. Siekiant teisinio aiškumo, keičiamo įstatymo 35 straipsnio 5 dalies iki dvitaškio nuostatą, nustatančią Nacionalinio kibernetinio saugumo centro sprendimo dėl papildomų įgaliojimų apribojimų turinį, siūlome dėstyti atskiroje naujoje dalyje. Taip pat siūlytina po formuluotės „6 mėnesiai“ įrašyti nuo kurios datos jie bus skaičiuojami. Analogiško turinio pastaba taikytina ir šio straipsnio 8 dalies nuostatai iki dvitaškio. 107. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 35 straipsnį papildyti nuostatomis dėl šiame straipsnyje numatytų Nacionalinio kibernetinio saugumo centro sprendimų apskundimo tvarkos. 108. Keičiamo įstatymo 1 priedo 1.1.6 papunktyje, atsižvelgiant į tai, kad pilnas direktyvos pavadinimas jau yra nurodytas šio priedo 1.1.5 papunktyje, nurodytinas sutrumpintas direktyvos pavadinimas.
Analogiška pastaba taikytina ir keičiamo įstatymo priedo 2.3.2 papunkčiui. 109. Keičiamo įstatymo 3 priedo 1 punkte brauktina perteklinė nuostata „2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentas“ (ES) 2019/881 dėl ENISA (Be to, šio punkto pabaigoje po žodžių ir skaičių „Reglamentas (ES) Nr. 526/2013“ įrašytina
„(Kibernetinio saugumo aktas)“. 110. Keičiamo
įstatymo 3 priedo 3 punkte po žodžių ir skaičių „Direktyva (ES) 2016/1148“ įrašytina „(TIS 2 direktyva)“. 111. Projekto 2 straipsnio nuostatos tikslintinos taip:
žodžių „identifikuoja šio“ įrašytina formuluotė „įstatymo 1 straipsnyje išdėstyto Lietuvos Respublikos kibernetinio saugumo“;
vietoj formuluotės „šiuo įstatymu nauja redakcija išdėstyto Lietuvos Respublikos kibernetinio saugumo įstatymo“ įrašytina formuluotė „šio įstatymo 1 straipsnyje išdėstyto Kibernetinio saugumo įstatymo“;
vietoj žodžio „centas“ įrašytinas žodis „centras“;
vietoj žodžio „galiojusio“ įrašytinas žodis „galiojusiu“;
vietoj žodžių „šiame įstatyme“ įrašytina formuluotė „šio įstatymo 1 straipsnyje išdėstytame Kibernetinio saugumo įstatyme“. 112. Projekto 3 straipsnio 1 ir 2 dalyse vietoj žodžių „šiame įstatyme“ įrašytina formuluotė „šio įstatymo 1 straipsnyje išdėstytame Kibernetinio saugumo įstatyme“. Departamento direktorius Dainius Zebleckis R. Dirgėlienė, tel. (0 5) 209 6350, el.
E. Mušinskis, tel. (0 5) 209 6356, el. p. [email protected] L. Schulte-Ebbert, tel. (0 5) 209 6055, el. p. [email protected]
2024-07-01 Nr. XIVP-3815(2) Vilnius Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas. 1. Projekto 1 straipsniu nauja redakcija dėstomo Kibernetinio saugumo įstatymo (toliau – keičiamas įstatymas) 1 straipsnio 2 dalies formuluotė suponuoja, kad keičiamo įstatymo VII skyriaus nuostatos taikomos ne tik žvalgybos institucijoms, tačiau ir kredito unijoms. Tačiau keičiamo įstatymo 37 ir 38 straipsnio nuostatos neimplikuoja, kad kredito unijoms (kurios niekaip nepatenka į valstybės ir savivaldybių institucijų ir įstaigų, valstybės valdomų įmonių ir viešųjų įstaigų ratą) taikomi VII skyriuje nustatyti saugiojo valstybinio duomenų perdavimo tinklo naudojimo pagrindai. Atsižvelgiant į tai bei siekiant teisinio aiškumo, keičiamo įstatymo 1 straipsnio 2 dalį siūlome dėstyti dviem sakiniais, iš kurių pirmasis nustatytų įstatymo netaikymą (išskyrus VII skyrių) žvalgybos institucijoms, o antrasis – įstatymo taikymą tik toms kredito unijoms, kurios paslaugoms teikti ar veiklai vykdyti valdo ir (ar) tvarko tinklų ir informacines sistemas, nepriklausomai nuo centrinių kredito unijų (jeigu to ir siekiama). Jeigu vis dėlto siekiama nustatyti kažkokias kitas įstatymo nuostatų taikymo kredito unijoms nuostatas, jas reikėtų dėstyti aiškiai. 2. Pažymėtina, kad keičiamo įstatymo 2 straipsnio 8 dalyje apibrėžiama „elektroninės informacijos prieglobos paslaugos“ sąvoka, kai tuo tarpu 2022 m. spalio 19 d. Europos Parlamento ir Tarybos reglamento (ES) 2022/2065 dėl bendrosios skaitmeninių paslaugų rinkos, kuriuo iš dalies keičiama Direktyva 2000/31/EB (Skaitmeninių paslaugų aktas), iš kurio ši sąvoka perkeliama, 3 straipsnio g punkto iii papunktyje apibrėžta „prieglobos paslaugos“ sąvoka. 3.
straipsnio 1 ir 2 dalis, reglamentuojančias Kibernetinio saugumo subjektų registro objektus ir registro tvarkymą, reikėtų suderinti su Valstybės informacinių išteklių valdymo įstatymu, kuriame nustatyta, kad registro objektams registruoti yra steigiamas ne registras, o registro informacinė sistema. Pažymėtina, kad pagal minėto įstatymo 2 straipsnio 32 dalį, kibernetinio saugumo subjektai būtų ne registro, o registro informacinės sistemos objektai. Taip pat atkreiptinas dėmesys, kad pagal Valstybės informacinių išteklių valdymo įstatymo 9 straipsnį, registrų informacinės sistemos steigiamos registruoti objektams, tvarkyti objektų ir jų registravimo duomenis, tuo tarpu valstybės informacinės sistemos skirtos subjektų teisės aktuose nustatytoms funkcijoms atlikti reikalingų duomenų tvarkymui. Atsižvelgiant į tai, kad keičiamame įstatyme siekiama nustatyti kibernetinio saugumo subjektų registravimą (ir būtent su šiuo juridiniu faktu būtų siejamos šių subjektų teisių ir pareigų atsiradimas) ir su registravimu susijusių duomenų tvarkymą, manytina, kad pagal Valstybės informacinių išteklių valdymo įstatymą turėtų būti steigiama registro informacinė sistema, o ne valstybės Kibernetinio saugumo informacinė sistema. Atsižvelgus į šią pastabą, atitinkamai koreguotinas visas projektas. 4. Nėra aiškus keičiamo įstatymo 13 straipsnio 4 dalyje įvedamo trumpinio „Kibernetinio saugumo informacinės sistemos nuostatai“ paskirtis, nes šiuo trumpiniu iš esmės trumpinama ir to paties turinio formuluotė „krašto apsaugos ministro tvirtinami Kibernetinio saugumo informacinės sistemos nuostatai“. Pažymėtina, kad vieną kartą nurodžius nuostatus tvirtinantį subjektą, to kartoti ir taip nebereikia. 5. Keičiamo įstatymo 14 straipsnio 2 dalis tikslintina, nes subjektai registruojami ne į registrą, o registro informacinėje sistemoje. 6. Siekiant teisinio aiškumo, keičiamo įstatymo 15 straipsnio 5 dalies 2 punkte prieš žodį „nuobaudos“ įrašytinas žodis „administracinės“. 7.
straipsnio 3 dalies 3 punkte brauktinas perteklinis skaičius „136“. 8. Nėra aiškus keičiamo įstatymo 30 straipsnio 2 dalies 3 ir 4 punktuose nustatytos formuluotės
„valstybės biudžetinės įstaigos bendros metinės pajamos“ turinys (galbūt turimi
omenyje jai skiriami valstybės biudžeto asignavimai). 9. Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 32 straipsnyje (o ne projekto aiškinamajame rašte) aiškiai nurodyti kokios jurisdikcijos ir kokios pakopos teismas priima šiame straipsnyje nurodytas nutartis laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla (taip pat nurodant ir kokiam teismui gali būti skundžiama teismo nutartis dėl laikino teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymo), nes iš keičiamo įstatymo nuostatų net nėra aišku, kokios jurisdikcijos (administracinis ar bendrosios jurisdikcijos) teismas tokius prašymus turėtų nagrinėti. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsniui. 10. Keičiamo įstatymo 37 straipsnio 5 dalyje brauktina perteklinė formuluotė „4) sąveika“. 11. Projekto 2 straipsnio 11 dalyje po žodžio „parengia“ įrašytini žodžiai „ir Lietuvos Respublikos Seimui pateikia“. Departamento direktorius Dainius Zebleckis R. Dirgėlienė, tel. (0 5) 209 6350, el.
E. Mušinskis, tel. (0 5) 209 6356, el. p. [email protected] L. Schulte-Ebbert, tel. (0 5) 209 6055, el. p. [email protected]
ekonomikos komitetas
Nr. XIVP-3815 2024-06-19
1Komiteto posėdyje (nuotoliniu būdu) dalyvavo:
Komiteto pirmininkas Kazys Starkevičius, Komiteto pirmininko pavaduotojas Gintautas Paluckas, Komiteto nariai: Viktoras Fiodorovas, Andrius Kupčinskas, Deividas Labanavičius , Laima Mogenienė, Ieva Pakarklytė, Jonas Pinskus, Lukas Savickas, Mindaugas Skritulskas. Komiteto biuro vedėja Rima Petkūnienė, patarėjai: Raimonda Danė, Rasa Ona Duburaitė, Laura Jasiukėnienė, Irina Jurkšuvienė, Darius Šaltmeris, padėjėja Zita Jodkonienė. Kviestieji asmenys : Ekonomikos ir inovacijų ministerijos Skaitmeninės darbotvarkės departamento direktorė Diana Seredokaitė ; Krašto apsaugos viceministrė Greta Monika Tučkutė, Kibernetinio saugumo ir informacinių technologijų politikos grupės vadovė Inga Sūnelaitienė, Sigita Laurinčiukaitė, patarėja Gabija Tamulevičienė, patarėjas mjr. Miroslavas Tribockis, Teisės departamento patarėjas mrj. Mantas Keliotis, Lietuvos prekybos įmonių asociacijos vadovė Rūta Vainienė; Lietuvos verslo konfederacijos atstovai: Andrius Romanovskis, Vilius Kriaučiūnas. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos :
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
p. 1. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(1)2 Įvertinę projekto atitiktį Konstitucijai, įstatymams, teisėkūros principams ir teisės technikos taisyklėms, teikiame šias pastabas. 1. Projekto 1 straipsniu nauja redakcija dėstomo Kibernetinio saugumo įstatymo (toliau – keičiamas įstatymas) 1 straipsnio 2 dalies formuluotė suponuoja, kad keičiamo įstatymo VII skyriaus nuostatos taikomos ne tik žvalgybos institucijoms, tačiau ir kredito unijoms.
Atsižvelgiant į tai bei siekiant teisinio aiškumo, keičiamo įstatymo 1 straipsnio 2 dalį siūlome dėstyti dviem sakiniais, iš kurių pirmasis nustatytų įstatymo netaikymą (išskyrus VII skyrių) žvalgybos institucijoms, o antrasis – apie įstatymo netaikymą tam tikroms kredito unijoms. Pritarti Pasiūlymas:
Projekto 1 straipsnio 2 dalį išdėstyti taip: „
skyrių, netaikomas:
kredito unijoms, išskyrus kredito unijas, kurios paslaugoms teikti ar veiklai vykdyti valdo ir (ar) tvarko tinklų ir informacines sistemas nepriklausomai nuo centrinių kredito unijų.“
2Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(1)3
atskirai taikomi Europos Sąjungos teisės aktai“ turinys. Jeigu turimi omenyje šio straipsnio 5 dalyje nurodyti atskiriems ūkio sektoriams taikomi Europos Sąjungos teisės aktai, taip reikėtų ir nurodyti. Be to, siekiant teisinio aiškumo aptariamoje keičiamo įstatymo nuostatoje prieš žodžius „keliami reikalavimai“ įrašytinas žodis „yra“. Pritarti iš dalies Argumentai:
Atsisakyta žodžio
„atskirai“ kaip perteklinio. Siūlytina netikslinti dėl sektorių atsižvelgiant
į tai, kad kai kurie kibernetinio saugumo subjektai būtų identifikuojami nepriklausomai nuo to, ar jie veikia prieduose nurodytuose sektoriuose, tačiau nurodytos išimtys jiems turėtų būti taikoma. Pasiūlymas: Projekto 1 straipsnio 3 dalį išdėstyti taip: „ 3.
Šio įstatymo
ir (ar)2 punkto punktų nuostatos netaikomos kibernetinio saugumo subjektams, jeigu jiems atskirai taikomuose Europos Sąjungos teisės aktuose yra keliami reikalavimai įgyvendinti kibernetinio saugumo rizikos valdymo priemones, pranešti apie didelius kibernetinius incidentus ar skirti atsakingus už kibernetinį saugumą asmenis, kurių poveikis yra bent lygiavertis šio įstatymo 14 straipsnyje ar jo pagrindu priimtuose įgyvendinamuosiuose teisės aktuose, 15 straipsnyje straipsnio 1-4 dalyse,
straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui.“
3Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(1)3
įstatymo 1 straipsnio 3 dalyje yra nurodyta, kad „Šio įstatymo14 straipsnio, 15 straipsnio ir 18 straipsnio 1 dalies 1 punkto nuostatos netaikomos kibernetinio saugumo subjektams, jeigu jiems atskirai taikomuose Europos Sąjungos teisės aktuose keliami reikalavimai įgyvendinti kibernetinio saugumo rizikos valdymo priemones, pranešti apie didelius kibernetinius incidentus ar skirti atsakingus už kibernetinį saugumą asmenis, kurių poveikis yra bent lygiavertis šio įstatymo
pagrindu priimtuose įgyvendinamuosiuose teisės aktuose, 15 straipsnyje, 18 straipsnio 1 dalies 1 punkte ir 4 dalyje ir (ar) 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui“. Pastebėtina, kad keičiamo įstatymo 1 straipsnio 4 dalies punktuose yra nurodoma kokių „šio straipsnio 3 dalyje nurodytų reikalavimų poveikis yra laikomas lygiaverčiu“ ir šios dalies 3 punkte detalizuojama kas laikytina „šio įstatymo
nustatytų reikalavimų poveikiui“, o 4 punkte – kas laikytina „18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui“.
Atsižvelgus į tai, siūlytina keičiamo įstatymo 1 straipsnio 3 dalies nuostatą „Šio įstatymo 14 straipsnio, 15 straipsnio ir 18 straipsnio 1 dalies 1 punkto nuostatos <...>“ papildyti nuoroda į keičiamo įstatymo 18 straipsnio 1 dalies 2 punktą. Pritarti Žr. pasiūlymą prie 2 TD pastabos. 4. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(1) 3,42
4Iš keičiamo įstatymo 1 straipsnio 4 dalies 2 punkto nuostatos nėra pakankamai aišku, kokių reikalavimų poveikis būtų laikomas lygiaverčiu keičiamo įstatymo 15 straipsnyje nustatytų reikalavimų poveikiui – reikalavimų, keliamų už kibernetinį saugumą atsakingiems asmenims, ar vis tik reikalavimų kibernetinio saugumo subjektams paskirti atsakingus už kibernetinį saugumą asmenis. Nuostata tikslintina. Pritarti Žr. pasiūlymą prie 2 TD pastabos. Pasiūlymas:
Projekto 1 straipsnio 4 dalies 2 punktą išdėstyti taip: „
2) šio įstatymo 15 straipsnyje straipsnio 1–4 dalyse nustatytų reikalavimų poveikiui, jeigu yra numatytos numatytas atsakingų už kibernetinį saugumą asmenų skyrim o as pareigos, kurių kurio poveikis yra bent lygiavertis šio įstatymo 15 straipsn yje io 1–4 dalyse nustatytiems reikalavimams;“
4 4 5.
Keičiamo įstatymo 1 straipsnio 4 dalies 4 punkte siūloma nustatyti, kad Europos Sąjungos teisės aktuose nurodytų reikalavimų poveikis yra laikomas lygiaverčiu šio įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui, jeigu yra numatyta reagavimo į kibernetinius incidentus tarnybos neatidėliotina prieiga, kai tinkama, automatinė ir tiesioginė, prie pateiktų pranešimų apie incidentus, o nustatyti reikalavimai pranešti apie didelius incidentus pagal poveikį yra bent lygiaverčiai šio įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytiems reikalavimams. Tačiau pažymėtina, kad keičiamo įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje minimi ne dideli incidentai, t.y. incidentai, nenurodyti keičiamo įstatymo 18 straipsnio 1 dalies 1 punkte, būtent kuriame ir nurodyti dideli kibernetiniai incidentai. Atsižvelgiant į tai, minėtos keičiamo įstatymo nuostatos derintinos tarpusavyje. Pritarti Pasiūlymas:
Projekto 1 straipsnio 4 dalies 4 punktą išdėstyti taip: „4) š io įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytų reikalavimų poveikiui, jeigu yra numatyta reagavimo į kibernetinius incidentus tarnybos neatidėliotina prieiga, kai tinkama, automatinė ir tiesioginė, prie pateiktų pranešimų apie incidentus, o nustatyti reikalavimai pranešti apie didelius incidentus pagal poveikį yra bent lygiaverčiai šio įstatymo 18 straipsnio 1 dalies 2 punkte ir 5 dalyje nustatytiems reikalavimams.“
6Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(1)5
įstatymo 1 straipsnio 5 dalyje siūloma nustatyti: „Lietuvos Respublikos Vyriausybė šio įstatymo 1 ir 2 prieduose nurodytuose atskiruose sektoriuose politiką formuojančių ministerijų teikimu patvirtina konkrečių šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams taikomų Europos Sąjungos teisės aktų, atitinkančių šio straipsnio 4 dalyje nurodytus kriterijus , sąrašą.
Šiame sąraše nustatomi šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams taikomi Europos Sąjungos teisės aktai, atitinkantys bent vieną šio straipsnio 4 dalyje nurodytą kriterijų .“ Manytume, kad reikėtų atsisakyti aptariamos nuostatos antrojo sakinio, pirmajame sakinyje vietoj formuluotės „atitinkančių šio straipsnio 4 dalyje nurodytus kriterijus“ įrašant formuluotę „atitinkančių bent vieną šio straipsnio 4 dalyje nurodytą kriterijų“. Pritarti Pasiūlymas:
Projekto 1 straipsnio 5 dalį išdėstyti taip:
„5. Lietuvos Respublikos Vyriausybė šio įstatymo
ministerijų teikimu patvirtina konkrečių šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams taikomų Europos Sąjungos teisės aktų, atitinkančių bent vieną šio straipsnio 4 dalyje nurodytus kriterijus, sąrašą. Šiame sąraše nustatomi šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams taikomi Europos Sąjungos teisės aktai, atitinkantys bent vieną šio straipsnio 4 dalyje nurodytą kriterijų “
7Seimo kanceliarijos Teisės departamentas,
ar keičiamo įstatymo 1 straipsnio 5 dalyje prieš žodžius „sektoriuose“ ir
„sektoriams“ neturėtų būti įrašyti žodžiai „ūkio ar instituciniai“. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 11 straipsnio 3
dalies 1 punktui, 4 dalies 1 ir 2 punktams, 5 dalies 3 ir 4 punktams, 13 straipsnio 3 dalies 6 ir 8 punktams, 10 daliai ir įstatymo priedui.
Nepritarti Argumentai: Pažymėtina, sektoriai yra įvardijami Projekto prieduose – papildomas sektorių apibūdinimas įstatymo tekste pridėtinis vertės nesukurtų. 8. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(2)1
teisinio aiškumo bei vengiant daugybinių išlygų tam pačiame sakinyje, keičiamo įstatymo 2 straipsnio 1 dalyje paskutinę išlygą, prasidedančią žodžiai „neįskaitant atvejų“ siūlome dėstyti atskiru sakiniu, nurodant kokiu atveju subjektas nelaikomas aukščiausio lygio domenų vardų registro paslaugas teikiančiu subjektu. Pritarti Pasiūlymas:
Projekto 2 straipsnio 1 dalį išdėstyti taip:
„1. Aukščiausio lygio domenų vardų registro paslaugas
teikiantis subjektas
9Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(2)2
įstatymo 2 straipsnio 2 dalyje vietoj formuluotės „kuri pagal poreikį suteikia administravimo paslaugas ir plataus masto nuotolinę prieigą“ įrašytina formuluotė „kuria pagal poreikį suteikiamos administravimo paslaugos ir plataus masto nuotolinė prieiga“. Pritarti Pasiūlymas: Projekto 2 straipsnio 2 dalį išdėstyti taip: „2.
Debesijos kompiuterijos paslauga
10Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(2) 3,8
įstatymo 2 straipsnio 3 dalyje prieš žodį „paslaugų“ įrašytinas žodis
„teikiamų“, o 8 dalyje prieš žodį „informacijos“ – žodis „elektroninės“. Pritarti iš dalies
Argumentai: Nepritarti 2 straipsnio 8 dalies papildymui, nes „Prieglobos paslaugos“ samprata perkelta iš 2022 m. spalio 19 d. Europos Parlamento ir Tarybos reglamento (ES) 2022/2065 dėl bendrosios skaitmeninių paslaugų rinkos, kuriuo iš dalies keičiama Direktyva 2000/31/EB (Skaitmeninių paslaugų aktas) 3 straipsnio g punkto iii papunkčio. Pasiūlymas:
Projekto 2 straipsnio 3 dalį išdėstyti taip: „3. Didelė kibernetinė grėsmė
11Seimo kanceliarijos Teisės departamentas,
keičiamo įstatymo terminiją su Valstybės informacinių išteklių valdymo įstatymu, keičiamo įstatymo 2 straipsnio 14 dalyje vietoj žodžio „registre“ įrašytina formuluotė „registro informacinėje sistemoje“. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 11 straipsnio 1 ir 2 dalims, 32 straipsnio 5 daliai bei projekto 2 straipsnio 3 daliai.
Pritarti iš dalies Argumentai: Atsižvelgiant į tai, kad numatoma, jog registro duomenys bus tvarkomi bendroje Kibernetinio saugumo informacinėje sistemoje, 2 straipsnio 14 dalis tikslinama nurodant šią informacinę sistemą. Pasiūlymas 1: Projekto 2 straipsnio 14 dalį patikslinti taip:
„14. Kibernetinio saugumo subjektas – subjektas, registruotas Kibernetinio saugumo subjektų registre informacinėje sistemoje .“ Pasiūlymas 2:
Projekto 11 straipsnio 1 ir 2 dalis išdėstyti taip: „
1Kibernetinio saugumo subjekto statusą įgyja ir Kibernetinio saugumo subjektų registre informacinėje sistemoje registruojami subjektai, atitinkantys bent vieną iš šio straipsnio 3–5 dalyse nurodytų bendrųjų ar specialiųjų kibernetinio saugumo subjektų identifikavimo kriterijų ir šiuose kriterijuose nurodytoms paslaugoms teikti ar veiklai vykdyti valdantys ir (ar) tvarkantys tinklų ir informacines sistemas. <...>. 2. Kibernetinio saugumo subjektai įgyja pareigas, numatytas kibernetinio saugumo subjektams, tik nuo jų įregistravimo Kibernetinio saugumo subjektų registre informacinėje sistemoje .“ Pasiūlymas 3:
Projekto 13 straipsnio 2 dalį išdėstyti taip:
„2. Kibernetinio saugumo subjektų registras registro objektas ir jį apibūdinantys duomenys tvarkomi tvarkomas Kibernetinio saugumo informacinėje sistemoje informaciniame tinkle.
“ Pasiūlymas 4: Projekto 32 straipsnio 5 dalį išdėstyti taip:
„5. Nutartis, kuria laikinai sustabdoma teisė užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas dalis ar visa juridinio asmens veikla , nedelsiant nusiunčiama antstoliui vyk d yti, Nacionaliniam kibernetinio saugumo centrui ir, prireikus, atitinkamo viešo registro informacinės sistemos tvarkytojui.
“ Pasiūlymas 5: Projekto 2 straipsnio 3 dalį išdėstyti taip: „3.
Nacionalinis kibernetinio saugumo centras iki 2025 m. balandžio 17 d. identifikuoja šio įstatymo 1 straipsnyje išdėstyto Lietuvos Respublikos kibernetinio saugumo įstatymo
subjektus, atitinkančius šiuo įstatymu nauja redakcija išdėstyto Kibernetinio saugumo įstatymo 11 straipsnyje nustatytus reikalavimus, ir juos įtraukia į Kibernetinio saugumo subjektų registro informacinę sistemą .“
12Seimo kanceliarijos Teisės departamentas,
nuorodos į Reglamentą (ES) Nr. 910/2014, Reglamentą (ES) 2019/1150 bei Reglamentą (ES) Nr. 1025/2012, kurie teikiamu projektu nėra įgyvendinami, taip pat į tai, kad šie reglamentai keičiamo įstatymo tekste minimi pirmą kartą, vadovaujantis Nuorodų į Europos Sąjungos teisės aktus teikimo teisės aktuose reikalavimų aprašo, patvirtinto teisingumo ministro 2020 m. kovo 6 d. įsakymu Nr. 1R-72 (2022 m. birželio 20 d. įsakymo Nr. 1R-241 redakcija), 20 ir 21 punktuose nustatytomis taisyklėmis, turi būti rašomi visi (pilni) nurodytųjų reglamentų pavadinimai, o jei jie buvo pakeisti, turi būti pažymima, kad atitinkamas reglamentas nurodomas su visais pakeitimais. Analogiška pastaba taikytina ir keičiamo įstatymo 9 straipsnyje pateikiamai nuorodai į Reglamentą (ES) 2016/679, 20 straipsnio 1 dalyje pateikiamai nuorodai į Reglamentą (ES) 2022/2554 ir 23 straipsnio 3 dalies 3 punkte pateikiamai nuorodai į Reglamentą (ES, Euratomas) 2018/1046.
Pritarti Pasiūlymas 1: Projekto 2 straipsnio 27 dalį išdėstyti taip:
„27. Šiame įstatyme vartojamos sąvokos „Europos
kibernetinio saugumo sertifikavimo schema“, „Europos kibernetinio saugumo sertifikatas“, „akreditavimas“ ir „atitikties vertinimo įstaiga“,
„informacinių ir ryšių technologijų produktas“, „informacinių ir ryšių technologijų
paslauga“, „informacinių ir ryšių technologijų procesas“, „ kibernetinė grėsmė “,
„kibernetinis saugumas“ suprantamos taip, kaip jos apibrėžtos Reglamente
(ES) 2019/881 . Sąvokos
„Kibernetinio saugumo kompetencijos bendruomenė“, „Europos kibernetinio
saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras“, „Nacionalinių koordinavimo centrų tinklas“ šiame įstatyme suprantamos taip, kaip jos vartojamos Reglamente (ES) 2021/887 . Sąvokos „patikimumo užtikrinimo paslauga“, „patikimumo užtikrinimo paslaugų teikėjas“,
„kvalifikuota patikimumo užtikrinimo paslauga“, „kvalifikuotas patikimumo
užtikrinimo paslaugų teikėjas“ šiame įstatyme suprantamos taip, kaip jos apibrėžtos
(ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB su visais pakeitimais Reglamente (ES) Nr. 910/2014 . Sąvoka „interneto paieškos sistema“ šiame įstatyme suprantama taip, kaip ji apibrėžta
(ES) 2019/1150 dėl verslo klientams teikiamų internetinių tarpininkavimo paslaugų sąžiningumo ir skaidrumo didinimo Reglamente (ES) 2019/1150 .
Sąvokos „standartas“, „techninė specifikacija“ šiame įstatyme suprantamos taip, kaip jos apibrėžtos
ir Tarybos Reglamente reglamente
dėl Europos standartizacijos, kuriuo iš dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos Parlamento ir Tarybos direktyvos 94/9/EB, 94/25/EB, 95/16/EB, 97/23/EB, 98/34/EB, 2004/22/EB, 2007/23/EB, 2009/23/EB ir 2009/105/EB i r panaikinamas Tarybos sprendimas 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas Nr. 1673/2006/EB su visais pakeitimais. Sąvoka „duomenys“ suprantama taip, kaip apibrėžta Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme.“ Pasiūlymas 2:
Projekto 9 straipsnį išdėstyti taip: „ Valstybinė duomenų apsaugos inspekcija įgyvendina kibernetinio saugumo politiką asmens duomenų apsaugos srityje ir atlieka
reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) su visais pakeitimais Reglamente (ES) 2016/679 nustatytas priežiūros institucijos užduotis.“ Pasiūlymas 3:
Projekto 20 straipsnio 1 dalį išdėstyti taip:
„1. Kibernetinio saugumo politiką formuojančios ir įgyvendinančios
institucijos bendradarbiauja tarpusavyje bei su kitomis valstybės institucijomis, įskaitant Ryšių reguliavimo tarnybą, kompetentingas institucijas pagal Reglamentą
ir 2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos reglamentą (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje, kuriuo iš dalies keičiami reglamentai (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr.
600/2014, (ES) Nr. 909/2014 ir (ES) 2016/1011 Reglamentą (ES) 2022/2554 , taip pat Nacionaliniu K k rizių valdymo centru, įgyvendindamos šiame įstatyme nustatytus tikslus, įskaitant keitimąsi informacija ir duomenimis apie kibernetinius incidentus, kibernetines grėsmes ir vos neįvykusius kibernetinius incidentus, taip pat informacijos perdavimą pagal šio straipsnio 2 dalį.“ Pasiūlymas 4:
Projekto 23 straipsnio 3 dalies 3 punktą išdėstyti taip: „
3) patvirtinimas, kad pareiškėjui netaikomas nė vienas iš
(ES, Euratomas) 2018/1046 dėl Sąjungos bendrajam biudžetui taikomų finansinių taisyklių, kuriuo iš dalies keičiami reglamentai (ES) Nr. 1296/2013, (ES) Nr. 1301/2013, (ES) Nr. 1303/2013, (ES) Nr. 1304/2013, (ES) Nr. 1309/2013, (ES) Nr. 1316/2013, (ES) Nr. 223/2014, (ES) Nr. 283/2014 ir Sprendimas Nr. 541/2014/ES, bei panaikinamas Reglamentas (ES, Euratomas) Nr. 966/2012 su visais pakeitimais
136 straipsnyje nustatytų pašalinimo kriterijų;“
13Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(2)28
nuorodas į kitus įstatymus dėstyti abėcėlės tvarka. Pritarti Pasiūlymas: Projekto 2 straipsnio 28 dalį išdėstyti taip: „28.
Kitos šiame įstatyme vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos alternatyviųjų degalų įstatyme, Lietuvos Respublikos atliekų tvarkymo įstatyme, Lietuvos Respublikos atsinaujinančių išteklių energetikos įstatyme, Lietuvos Respublikos civiliniame kodekse, Lietuvos Respublikos elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų įstatyme , Lietuvos Respublikos elektroninių ryšių įstatyme , Lietuvos Respublikos elektros energetikos įstatyme, Lietuvos Respublikos farmacijos įstatyme, Lietuvos Respublikos finansinių priemonių rinkų įstatyme, Lietuvos Respublikos gamtinių dujų įstatyme, Lietuvos Respublikos geležinkelių transporto kodekse, Lietuvos Respublikos geriamojo vandens įstatyme, Lietuvos Respublikos geriamojo vandens tiekimo ir nuotekų tvarkymo įstatyme, Lietuvos Respublikos informacinės visuomenės paslaugų įstatyme, Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatyme, Lietuvos Respublikos mokslo ir studijų įstatyme, Lietuvos Respublikos viešojo administravimo įstatyme, Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme, Lietuvos Respublikos naftos produktų ir naftos valstybės atsargų įstatyme, Lietuvos Respublikos nesąžiningos komercinės veiklos vartotojams draudimo įstatyme, Lietuvos Respublikos pašto įstatyme, Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos žvalgybos įstatyme, Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatyme, Lietuvos Respublikos informacinės visuomenės įstatyme, Lietuvos Respublikos elektros energetikos įstatyme, Lietuvos Respublikos alternatyviųjų degalų įstatyme, Lietuvos Respublikos atsinaujinančių išteklių energetikos įstatyme, Lietuvos Respublikos naftos produktų ir naftos valstybės atsargų įstatyme, Lietuvos Respublikos gamtinių dujų įstatyme, Lietuvos Respublikos geležinkelių transporto kodekse, Lietuvos Respublikos saugios laivybos įstatyme, Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, Lietuvos Respublikos transporto veiklos pagrindų įstatyme, Lietuvos Respublikos finansinių priemonių rinkų įstatyme, Lietuvos Respublikos farmacijos įstatyme, Lietuvos Respublikos geriamojo vandens įstatyme, Lietuvos Respublikos geriamojo vandens tiekimo ir nuotekų tvarkymo įstatyme, Lietuvos Respublikos elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų įstatyme, Lietuvos Respublikos pašto įstatyme, Lietuvos Respublikos atliekų tvarkymo įstatyme, Lietuvos Respublikos mokslo ir studijų įstatyme, Lietuvos Respublikos civiliniame kodekse, Lietuvos Respublikos informacinės visuomenės paslaugų įstatyme Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos viešojo administravimo įstatyme, Lietuvos Respublikos žvalgybos įstatyme .“ 14.
Kitos šiame įstatyme vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos alternatyviųjų degalų įstatyme, Lietuvos Respublikos atliekų tvarkymo įstatyme, Lietuvos Respublikos atsinaujinančių išteklių energetikos įstatyme, Lietuvos Respublikos civiliniame kodekse, Lietuvos Respublikos elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų įstatyme , Lietuvos Respublikos elektroninių ryšių įstatyme , Lietuvos Respublikos elektros energetikos įstatyme, Lietuvos Respublikos farmacijos įstatyme, Lietuvos Respublikos finansinių priemonių rinkų įstatyme, Lietuvos Respublikos gamtinių dujų įstatyme, Lietuvos Respublikos geležinkelių transporto kodekse, Lietuvos Respublikos geriamojo vandens įstatyme, Lietuvos Respublikos geriamojo vandens tiekimo ir nuotekų tvarkymo įstatyme, Lietuvos Respublikos informacinės visuomenės paslaugų įstatyme, Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatyme, Lietuvos Respublikos mokslo ir studijų įstatyme, Lietuvos Respublikos viešojo administravimo įstatyme, Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme, Lietuvos Respublikos naftos produktų ir naftos valstybės atsargų įstatyme, Lietuvos Respublikos nesąžiningos komercinės veiklos vartotojams draudimo įstatyme, Lietuvos Respublikos pašto įstatyme, Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos žvalgybos įstatyme, Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatyme, Lietuvos Respublikos informacinės visuomenės įstatyme, Lietuvos Respublikos elektros energetikos įstatyme, Lietuvos Respublikos alternatyviųjų degalų įstatyme, Lietuvos Respublikos atsinaujinančių išteklių energetikos įstatyme, Lietuvos Respublikos naftos produktų ir naftos valstybės atsargų įstatyme, Lietuvos Respublikos gamtinių dujų įstatyme, Lietuvos Respublikos geležinkelių transporto kodekse, Lietuvos Respublikos saugios laivybos įstatyme, Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, Lietuvos Respublikos transporto veiklos pagrindų įstatyme, Lietuvos Respublikos finansinių priemonių rinkų įstatyme, Lietuvos Respublikos farmacijos įstatyme, Lietuvos Respublikos geriamojo vandens įstatyme, Lietuvos Respublikos geriamojo vandens tiekimo ir nuotekų tvarkymo įstatyme, Lietuvos Respublikos elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų įstatyme, Lietuvos Respublikos pašto įstatyme, Lietuvos Respublikos atliekų tvarkymo įstatyme, Lietuvos Respublikos mokslo ir studijų įstatyme, Lietuvos Respublikos civiliniame kodekse, Lietuvos Respublikos informacinės visuomenės paslaugų įstatyme Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos viešojo administravimo įstatyme, Lietuvos Respublikos žvalgybos įstatyme .“
14Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(5) 1(12)2 14.
Keičiamo įstatymo 5 straipsnyje tarp žodžių „bei Europos Sąjungos“ ir „ir NATO“ įrašytinas žodis „institucijų“, o po žodžių „Europos Sąjungos valstybių“ – žodis „narių“ (pastaroji pastaba taikytina ir keičiamo įstatymo 12 straipsnio
Pasiūlymas 1: Projekto 5 straipsnį išdėstyti taip:
„5 straipsnis. Krašto apsaugos ministerijos įgaliojimai kibernetinio
saugumo srityje Krašto apsaugos ministerija, be šio įstatymo 4 straipsnio 2 dalyje numatyto kibernetinio saugumo politikos formavimo ir kitų šio įstatymo nustatytų funkcijų vykdymo, taip pat bendradarbiauja su atitinkamomis Šiaurės Atlanto sutarties organizacijos (toliau – NATO) bei Europos Sąjungos institucijomis ir NATO bei Europos Sąjungos valstybių narių institucijomis, tarptautinėmis institucijomis kibernetinio saugumo klausimais. “ Pasiūlymas 2:
Projekto 12 straipsnio 2 dalį išdėstyti taip:
„2. <...> Jeigu Europos Sąjungos valstybė
narė , kurioje priimami tokie sprendimai, nenustatoma arba tokie sprendimai Europos Sąjungoje nepriimami, laikoma, kad pagrindinė buveinė yra Lietuvos Respublikoje, kai Lietuvos Respublikoje įgyvendinamos kibernetinio saugumo rizikos valdymo priemonės. Jeigu nenustatoma Europos Sąjungos valstybė narė, kurioje įgyvendinamos kibernetinio saugumo rizikos valdymo priemonės, laikoma, kad pagrindinė buveinė yra Lietuvos Respublikoje, jeigu subjektas Lietuvos Respublikoje turi padalinį, kuriame dirba daugiausia jo darbuotojų Europos Sąjungoje.“
15Seimo kanceliarijos Teisės departamentas,
6 )1
aiškus keičiamo įstatymo 6 straipsnio 1 dalyje įtvirtintos nuostatos, pagal kurią Taryba - kolegiali institucija, sudaryta iš Tarybos narių - keičiasi gerąja praktika ir žiniomis su tais pačiais Tarybos nariais, būtent kurie ir sudaro Tarybą ir per kuriuos Taryba ir vykdo savo veiklą.
Kitaip sakant, Tarybos negalima vertinti kaip atskiro teisinių santykių subjekto, kuris būtų kažkaip atsietas nuo pačių Tarybos narių. Atsižvelgiant į tai, minėtą nuostatą reikėtų tikslinti, nurodant, kad Taryba ne keičiasi su Tarybos atstovais žiniomis ir gerąja praktika, o savo veikloje remiasi Tarybos narių turimomis žiniomis ir gerąja praktika. Be to, derinant šio straipsnio nuostatas tarpusavyje, 1 dalyje vietoj žodžių „Tarybos atstovais“ įrašytini žodžiai „Tarybos nariais“. Pritarti Pasiūlymas:
Projekto 6 straipsnio 1 dalį išdėstyti taip:
„1. Kibernetinio saugumo taryba (toliau – Taryba)
yra nuolatinė kolegiali nepriklausoma visuomeniniais pagrindais veikianti patariamoji institucija, kuri savo veikloje remiasi Tarybos narių turimomis žiniomis ir gerąja praktika besikeičianti su Tarybos atstovais gerąja praktika ir žiniomis kibernetinio saugumo srityje bei teikia nti pasiūlymus Krašto apsaugos ministerijai dėl:“
16Seimo kanceliarijos Teisės departamentas,
6 )2
įstatymo 6 straipsnio 2 dalyje vietoj žodžių „Tarybą sudaro“ įrašytini žodžiai „Tarybos nariais tvirtinami“ (nes Tarybą pagal šio straipsnio 4 dalį sudaro krašto apsaugos ministras). Pritarti Pasiūlymas: Projekto 6 straipsnio 2 dalį išdėstyti taip: „2.
Tarybą sudaro Tarybos nariais tvirtinami kibernetinio saugumo politiką formuojančių, dalyvaujančių formuojant ir ją įgyvendinančių institucijų atstovai, šio įstatymo 1 ir 2 prieduose nurodytų institucijų, atsakingų už kibernetinio saugumo subjektų identifikavimą, atstovai, kibernetinio saugumo subjektams atstovaujančių asociacijų, mokslo ir studijų institucijų atstovai ir šio įstatymo 23 straipsnyje nurodyti Kibernetinio saugumo bendruomenės nariai.“
17Seimo kanceliarijos Teisės departamentas,
6 )4
įstatymo 6 straipsnio 4 dalyje brauktina perteklinė formuluotė „jos narių skaičių tvirtina“ (nes tvirtinant institucinę bei personalinę sudėtį Tarybos narių skaičius ir bus atskleistas) bei žodis „nustato“ (nes ministras įsakymu tvirtins, o ne nustatys, Tarybos sudėtį). Pritarti Pasiūlymas: Projekto 6 straipsnio 4 dalį išdėstyti taip: „
4Tarybą sudaro,
jos narių skaičių tvirtina, institucinę ir personalinę sudėtį nustato ir jos darbo reglamentą tvirtina krašto apsaugos ministras.“
18Seimo kanceliarijos Teisės departamentas,
6 )61
įstatymo 6 straipsnio 6 dalies 1 punkte siūloma nustatyti, kad Taryba, t. y. visuomeniniais pagrindais veikianti patariamoji institucija, turi teisę gauti iš valstybės ir savivaldybių institucijų, įstaigų bei kitų juridinių asmenų reikalingą informaciją Tarybos kompetencijai priskirtiems klausimams spręsti.
Vertindami šią nuostatą, norime pastebėti, kad tuo atveju, jeigu nuostatoje siekiama reguliuoti teisinius santykius, susijusius su privačių juridinių asmenų valdomais ar kitaip disponuojamais duomenimis, dokumentais ar kita informacija (kuriems jų veiklą reguliuojantys įstatymai dėl jų veiklos pobūdžio nenustato pareigos kaupti ir tvarkyti tokią informaciją bei pateikti ją valstybės institucijoms), ir nustatyti Tarybos imperatyvią teisę neatlygintinai gauti iš tokių privačių asmenų jų nusistatytais tikslais tvarkomus ir kaupiamus duomenis ar dokumentus, turėtų būti svarstomas nuostatos derėjimas su konstituciniu nuosavybės teisės apsaugos principu. Atsižvelgiant į tai, manytina, kad tuo atveju, jeigu nuostatoje siekiama reguliuoti teisinius santykius, susijusius su teise gauti reikalingus duomenis iš privačių juridinių asmenų, kurie įstatymais dėl jų veiklos pobūdžio yra įpareigoti kaupti atitinkamą informaciją ir pateikti ją valstybės institucijoms, tai turėtų būti aiškiai nurodyta. Priešingu atveju, siūlytume projekte aiškiau reglamentuoti duomenų ar informacijos gavimo iš privačių juridinių asmenų sąlygas ir (ar) atlygintinumą už tokių duomenų (informacijos) teikimą. Pritarti Pasiūlymas:
Projekto 6 straipsnio 6 dalies 1 punktą išdėstyti taip: „
1) gauti iš valstybės ir savivaldybių institucijų ir , įstaigų bei kitų juridinių asmenų reikalingą informaciją Tarybos kompetencijai priskirtiems klausimams spręsti;“
19Seimo kanceliarijos Teisės departamentas,
Keičiamo įstatymo 7 straipsnio 2 dalies 7 punkte siūloma nustatyti, kad Nacionalinis kibernetinio saugumo centras, siekdamas pašalinti kibernetines grėsmes ar stabdyti jų plitimą gali duoti tam tikrą nurodymą domenų vardų paslaugų teikėjams. Pažymėtina, kad keičiamame įstatyme nėra apibrėžta „domenų vardų paslaugų teikėjo“ sąvoka. Keičiamo įstatymo 2 straipsnyje yra apibrėžtos tik
„domenų vardų registravimo paslaugas teikiančio subjekto“ bei „domenų vardų
sistemos paslaugų teikėjo“ sąvokos. Pritarti Pasiūlymas 1: Projekto 7 straipsnio 2 dalies 7 punktą išdėstyti taip:
„7) siekdamas pašalinti kibernetines grėsmes ar stabdyti jų plitimą,
duoda nurodymą viešųjų elektroninių ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų teikėjams ir (ar) domenų vardų registravimo paslaugų paslaugas teikėjams teikiantiems subjektams blokuoti interneto svetainių, platinančių kenkimo kodus, apgaulės būdu renkančius prisijungimus prie tinklų ir informacinių sistemų ir (ar) naudojamus siekiant koordinuoti ir vykdyti kibernetinius incidentus, domenų vardus, taip pat kitus domenų vardus, sukurtus minėtoms interneto svetainių veikloms vykdyti. <...>;“ Pasiūlymas 2:
Projekto 29 straipsnio 4 dalį išdėstyti taip:
„4. Pažeidimais, priskiriamais nedidelio pavojingumo pažeidimams, yra
laikomi šio įstatymo 14 straipsnio 3 ir 7 dalyse, 18 straipsnio 1 dalies 2 punkte, 19 straipsnio 4 dalyje nustatytų reikalavimų pažeidimai, taip pat šio įstatymo 17 straipsnyje nustatytų reikalavimų pažeidimai, jeigu juos atliko domenų vardų registr avimo o paslaugas teikiantis teikiantys subjektai.“
20Seimo kanceliarijos Teisės departamentas,
7 )214 20.
Siekiant teisinio aiškumo bei vengiant nereikalingų dispozicinių nuorodų, keičiamo įstatymo 7 straipsnio 2 dalies 14 punkte vietoj formuluotės „šio straipsnio 2 dalies 13 punkte nurodytas krizes“ siūlytina įrašyti formuluotę „krizes, susijusias su kibernetiniais incidentais“. Pritarti Pasiūlymas: Projekto 7 straipsnio 2 dalies 14 punktą išdėstyti taip: „
14) koordinuojant Nacionaliniam krizių valdymo centrui praneša Europos Sąjungos institucijoms apie šio straipsnio
krizes, susijusias su kibernetiniais incidentais, kurių viena Lietuvos Respublika nepajėgia suvaldyti;“
21Seimo kanceliarijos Teisės departamentas,
7 )3 21.Siekiant teisinio aiškumo, siūlytina papildyti keičiamo įstatymo 7 straipsnio 3 dalį, joje nurodant konkretų Nacionalinio kibernetinio saugumo centro priimtą dokumentą, kuriame yra nustatyti šioje dalyje minimi nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimai. Pritarti Pasiūlymas:
Projekto 7 straipsnio 3 dalį išdėstyti taip: „
saugumo centras, atlikdamas šio straipsnio 2 dalies 16 punkte nurodytas funkcijas, kibernetinio saugumo auditui atlikti turi teisę pasitelkti nepriklausomą auditorių, audito įmonę ar kitą instituciją, kuri atitinka Nacionalinio kibernetinio saugumo centro nustatytus nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus, nustatytus šio įstatymo
saugumo auditą turi būti užtikrinamas kibernetinio saugumo subjekto valdomų ir (ar) tvarkomų tinklų ir informacinės sistemos kibernetinis saugumas.“
22Seimo kanceliarijos Teisės departamentas,
7 )52
teisinio aiškumo, keičiamo įstatymo 7 straipsnio 5 dalies 2 punkte turėtų būti aiškiai identifikuoti „kiti subjektai“, susisiekti su kuriais bet kuriuo metu turi būti nustatomi net keletas būdų.
Atsižvelgiant į tai, kad šis reikalavimas betarpiškai susijęs su Nacionaliniam kibernetinio saugumo centrui keliamais reikalavimais, turėtų būti aiškiai atskleistas šio reikalavimo turinys. Pritarti Pasiūlymas: Projekto 7 straipsnio 5 dalies 2 punktą išdėstyti taip:
„2) turi būti nustatoma keletas būdų, kaip bet kuriuo metu susisiekti
su Nacionaliniu kibernetinio saugumo centru ir su kitais subjektais , apie šiuos būdus ir ryšių kanalus informuojant kibernetinio saugumo subjektus ir kitas šio įstatymo 20 straipsnyje nurodytas institucijas;“
23Seimo kanceliarijos Teisės departamentas,
7 )53
teisinio aiškumo, siūlytina keičiamo įstatymo 7 straipsnio 5 dalies 3 punkte patikslinti, kaip suprantamos jame minimos „saugios vietos“. Pritarti Pasiūlymas: Projekto 7 straipsnio 5 dalies 3 punktą išdėstyti taip:
„3) Nacionalinio kibernetinio saugumo centro patalpos ir pagalbinės
informacinės sistemos turi būti įrengtos saugiose vietose , kurios nekeltų grėsmės Nacionalinio kibernetinio saugumo centro vykdomų funkcijų tęstinumui ;“
24Seimo kanceliarijos Teisės departamentas,
8 )
visos Nacionalinio kibernetinio saugumo centro funkcijos yra dėstomos keičiamo įstatymo 7 straipsnyje, siūlytina keičiamo įstatymo 8 straipsnio nuostatas taip pat perkelti į keičiamo įstatymo 7 straipsnį. Neatsižvelgus į šią pastabą, svarstytinas šio straipsnio pavadinimo tikslinimas, atsižvelgiant į šio straipsnio 2 dalies nuostatas. Pritarti iš dalies Argumentai:
Projekto 8 straipsnis paliekamas atskiras, siekiant atliepti TIS2 direktyvos tikslą plėtoti ir stiprinti kibernetinių krizių valdymą – ateityje atsiradus poreikiui šį reguliavimą plėtoti, tam jau būtų numatytas dedikuotas straipsnis.
Pasiūlymas: Projekto 8 straipsnio pavadinimą išdėstyti taip: „
krizėms, ekstremaliosioms situacijoms kibernetinio saugumo srityje Pagalba valdant kibernetinius incidentus“
25Seimo kanceliarijos Teisės departamentas,
8 )2
teisinio aiškumo, siūlytina keičiamo įstatymo 8 straipsnio 2 dalies normą dėstyti taip: „Nacionalinis kibernetinio saugumo centras tvirtina kibernetinio saugumo pratybų planą, kuriuo remiantis šio straipsnio 1 dalyje nurodytiems kibernetinio saugumo subjektams, kitoms įstaigoms ir ūkio subjektams organizuoja kibernetinio saugumo pratybas ir mokymus, siekdamas užtikrinti pasirengimą krizėms, ekstremaliosioms situacijoms kibernetinio saugumo srityje“. Pritarti Pasiūlymas:
Projekto 8 straipsnio 2 dalį išdėstyti taip: „
tvirtina kibernetinio saugumo pratybų planą, kuriuo remiantis šio straipsnio 1 dalyje nurodytiems kibernetinio saugumo subjektams, kitoms įstaigoms ir ūkio subjektams organizuoja kibernetinio saugumo pratybas ir mokymus, siekdamas užtikrinti pasirengimą krizėms, ekstremaliosioms situacijoms kibernetinio saugumo srityje , tvirtina pratybų planą .“
26Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(10)12
26Svarstytina,
ar keičiamo įstatymo 10 straipsnio 1 dalies 2 punkto antrojo sakinio nereikėtų įtvirtinti atskira šio straipsnio dalimi, joje kartu numatant ir terminus, per kuriuos kibernetinio saugumo subjektai privalėtų pateikti policijai reikalingą informaciją. Nepritarti Argumentai: Nuostata yra sistemiškai suderinta su Lietuvos Respublikos policijos įstatymo 8 straipsniu, kuriame numatoma policijos teisė gauti informacija.
Pažymėtina, kad Policijos įstatymo 8 straipsnyje terminai nenumatomi. 27. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(11)2
27Svarstytina,
ar keičiamo įstatymo 11 straipsnio 2 dalies nuostatų nereikėtų dėstyti keičiamo įstatymo 13 straipsnyje, kuriame išdėstytos nuostatos dėl kibernetinio saugumo subjektų įregistravimo ir išregistravimo. Nepritarti Argumentai: Projekto 11 straipsnio 2 dalyje nuostatų esmė yra aiškiai ir nedviprasmiškai nurodyti momentą nuo kurio kibernetinio saugumo subjektai įgyja pareigas. Svarbu, kad ši nuostata liktų šalia kibernetinio saugumo subjektų identifikavimo kriterijų, nes tokiu būdu aiškiau akcentuojama, kad nepaisant galimos atitikties numatytiems kriterijams, pareigos bet kokiu atveju atsirastų tik nuo registravimo fakto. 28. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(11)7
aiškus keičiamo įstatymo 11 straipsnio 7 dalies nuostatos, nustatančios, kad tuo atveju, kai subjektas atitinka bent vieną šio straipsnio 4 dalyje nurodytą kriterijų, kuriuo identifikuojamas esminis subjektas , laikoma, kad subjektas yra esminis subjektas, turinys. Pažymėtina, kad šio straipsnio
būtent svarbių subjektų identifikavimo kriterijai , todėl pagal šiuos kriterijus identifikuoti esminio subjekto tiesiog objektyviai nėra pagrindo. Kitaip sakant, jeigu kibernetinio saugumo subjektas atitiks bent vieną iš 4 dalyje nustatytų bendrųjų svarbių subjektų identifikavimo kriterijų, jis bus identifikuojamas būtent kaip svarbus, o ne esminis subjektas (šioje dalyje nėra jokių sąlygų, įgalinančių tik 4 dalyje nurodytus kriterijus atitinkančius subjektus laikyti esminiais subjektais). Pritarti Pasiūlymas:
Projekto 11 straipsnio 7 dalį išdėstyti taip: „ 7.
straipsnio43 ar 5 dalyse nurodytą kriterijų, kuriuo identifikuojamas esminis subjektas, laikoma, kad subjektas yra esminis subjektas nepriklausomai nuo jo atitikties svarbaus subjekto kriterijams.“
29Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(12)11
aiškus skirtumas tarp keičiamo įstatymo 12 straipsnio 1 dalies 1 punkte minimų dviejų sąlygų – 1) subjektai, registruoti Lietuvos Respublikoje bei 2) subjektai, įsisteigę Lietuvos Respublikoje, nes visi be išimties ūkio subjektai (ar tai būtų savarankiški juridiniai asmenys, ar juridinių asmenų filialai ir atstovybės, ar užsienio juridinių asmenų ir kitų organizacijų filialai ir atstovybės) yra registruojami Juridinių asmenų registre. Pritarti Pasiūlymas:
Projekto 12 straipsnio 1 dalies 1 punktą išdėstyti taip: „
1) subjektai, registruoti ar įsisteigę Lietuvos Respublikoje, išskyrus:“
30Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(12)1 a
keičiamo įstatymo 12 straipsnio 1 punkto a papunktį Lietuvos Respublikos jurisdikcijai nepriklausytų tik subjektai, kurie yra įsteigti kitos valstybės . Šiame kontekste svarstytina, ar Lietuvos Respublikos jurisdikcijai galėtų būti priskiriami Europos Sąjungos, kitų tarptautinių organizacijų įsteigti subjektai, pavyzdžiui Europos lyčių lygybės institutas ir pan. Nepritarti Argumentai:
Kibernetinio saugumo subjektų identifikavimo kriterijai suformuluoti taip, kad jeigu subjektas juos atitiktų, turėtų būti pagrįstai laikoma, kad juos atitinkantis subjektas priklauso Lietuvos Respublikos jurisdikcijai. 31. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(12)1 b 31.
Keičiamo įstatymo 12 straipsnio 1 dalies 1 punkto b papunktyje įtvirtinta išlyga dėl šios dalies 3 punkte nurodytų subjektų, kurių pagrindinė buveinė yra ne Lietuvos Respublikoje, yra perteklinė ir nesuprantama, nes minėtame 3 punkte būtent ir vardijami tik tie subjektai, kurių pagrindinė buveinė yra Lietuvos Respublikoje. Nepritarti Argumentai:
Išlyga yra būtina, nes Direktyvos 26 straipsnio 1 dalies b punkte nurodytų subjektų atžvilgiu jurisdikcija nustatoma ne pagal registracijos valstybę, bet pagal jų pagrindinės buveinės vietą. Tai reiškia, kad būtina: 1) atskira nuostata dėl jurisdikcijos pagal pagrindinės buveinės vietą; 2) atskira nuostata, kuria atsisakoma jurisdikcijos, jeigu pagrindinė buveinė yra ne Lietuvos Respublikoje (be šios nuostatos subjektas registruotas Lietuvos Respublikoje, bet turintis pagrindinę buveinę kitoje valstybėje, patektų ir į Lietuvos ir tos kitos valstybės jurisdikciją). 32. Seimo kanceliarijos Teisės departamentas,
įstatymo 12 straipsnio 3 dalies sakinyje, prasidedančiame žodžiais „Šioje dalyje nurodytas atstovas“ prieš žodžius „valstybių narių“ įrašytini žodžiai
„Europos Sąjungos“. Analogiška pastaba taikytina keičiamo įstatymo 20
straipsnio 2 dalies 6 ir 7 punktams, 21 straipsnio 1 daliai, 2 dalies nuostatai iki dvitaškio ir šio straipsnio 4 daliai.
Pritarti Pasiūlymas 1: Projekto 12 straipsnio 3 dalį išdėstyti taip:
„3. <...> Šioje dalyje nurodytas atstovas turi būti įsisteigęs vienoje iš tų Europos Sąjungos valstybių narių, kuriose siūlomos paslaugos. <...>.“ Pasiūlymas 2:
Projekto 20 straipsnio 2 dalies 6 ir 7 punktus išdėstyti taip:
„6) ne vėliau kaip per 20 darbo dienų nuo sprendimo taikyti šio įstatymo 28 straipsnio 1 dalyje vykdymo užtikrinimo priemonę priėmimo apie tai informuoja kitos Europos Sąjungos valstybės narės kompetentingą instituciją, atsakingą už kibernetinio saugumo reikalavimų vykdymo užtikrinimą, jeigu kibernetinio saugumo subjektas teikia paslaugas arba jo tinklų ir informacinės sistemos yra toje Europos Sąjungos valstybėje narėje;
7) bendradarbiauja su kitų Europos Sąjungos valstybių narių kompetentingomis institucijomis, atsakingomis už kibernetinio saugumo reikalavimų vykdymo užtikrinimą, kai kibernetinio saugumo subjektas teikia paslaugas daugiau nei vienoje Europos Sąjungos valstybėje narėje arba teikia paslaugas vienoje ar daugiau Europos Sąjungos valstybių narių, o jo tinklų ir informacinės sistemos yra vienoje ar daugiau kitų Europos Sąjungos valstybių narių, vykdydamos savitarpio pagalbos prašymus šios įstatymo 21 straipsnio nustatyta tvarka;“ Pasiūlymas 3: Projekto 21 straipsnio 1 dalį, 2 dalies nuostatą iki dvitaškio išdėstyti taip: „
1Nacionalinis kibernetinio saugumo centras, gavęs kitos Europos Sąjungos valstybės narės kompetentingos institucijos pagrįstą savitarpio prašymą, vykdo šio įstatymo 26 ir 28 straipsniuose numatytus kibernetinio saugumo subjektų patikrinimo ir (ar) vykdymo užtikrinimo priemonių veiksmus, taip pat kitus prašomus veiksmus, kuriuos vykdyti suteikia teisę šis įstatymas. <...>. 2.
2Nacionalinis kibernetinio saugumo centras kitos Europos Sąjungos valstybės narės kompetentingos institucijos savitarpio pagalbos prašymą gali atmesti tik tais atvejais, kai:“ Pasiūlymas 3:
Projekto 21 straipsnio 4 dalį išdėstyti taip:
„4. Nacionalinis kibernetinio saugumo centras, negalėdamas įvykdyti kitos Europos Sąjungos valstybės narės kompetentingos institucijos savitarpio pagalbos prašymo, apie tai privalo ją informuoti, nurodydamas negalėjimo įgyvendinti prašymo priežastis, ir, jeigu yra kitos Europos Sąjungos valstybės narės prašymas, prieš atmesdamas tokį prašymą, konsultuojasi su Europos Komisija ir (ar) Europos Sąjungos kibernetinio saugumo agentūra.“
2
33Keičiamo įstatymo 13 straipsnį, reglamentuojantį Kibernetinio saugumo subjektų registrą, reikėtų suderinti su Valstybės informacinių išteklių valdymo įstatymu, kuriame nustatyta, kad registro objektams registruoti yra steigiamas ne registras, o registro informacinė sistema. Pritarti Pasiūlymas 1:
Projekto 13 straipsnio 2 išdėstyti taip: „
2Kibernetinio saugumo subjektų registr o as objektas ir jį apibūdinantys duomenys tvarkom i as Kibernetinio saugumo subjektų registro informacinėje sistemoje, kuri yra integruota Kibernetinio saugumo informaciniametinkle informacinėje sistemoje .
<...>“ Pasiūlymas 2: Visame Projekte vietoje žodžių „Kibernetinio saugumo informacinis tinklas“ naudoti „ Kibernetinio saugumo informacinė sistema“ . 34. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(
2 1 34.
Nėra aiškus keičiamo įstatymo 13 straipsnio 2 dalies nuostatos, nustatančios, kad Kibernetinio saugumo subjektų registro objektas ir jį apibūdinantys duomenys tvarkomi Kibernetinio saugumo informaciniame tinkle, turinys ir paskirtis, nes keičiamo įstatymo 13 straipsnio 1 dalis implikuoja, kad kibernetinio saugumo subjektų duomenys bus tvarkomi specialiai tam įsteigtoje Kibernetinio saugumo subjektų registro informacinėje sistemoje. Jeigu siekiama nustatyti, kad kibernetinio saugumo subjektų registro objektas ir jį apibūdinantys duomenys tvarkomi Kibernetinio saugumo informaciniame tinkle (kuris taip pat yra valstybės informacinė sistema), lieka neaiškus pačios Kibernetinio saugumo subjektų registro informacinės sistemos steigimo tikslas. Jeigu siūloma nustatyti, kad Kibernetinio saugumo subjektų registras yra būtent Kibernetinio saugumo informaciniame tinkle tvarkomas kibernetinio saugumo subjektus apibūdinantis duomenų rinkinys, taip reikėtų ir nurodyti, t.y. reikėtų aiškiai nustatyti, kad steigiama ne Kibernetinio saugumo subjektų registro informacinė sistema, o Kibernetinio saugumo informacinio tinklo informacinė sistema, kurioje ir bus tvarkomi kibernetinio saugumo subjektų duomenys. Jeigu, vis dėlto, siekiama nustatyti abiejų valstybės informacinių sistemų steigimą ir jų tarpusavio sąveiką, reikėtų aiškiau atskleisti registro informacinės sistemos ir Kibernetinio saugumo informacinio tinklo (kitos valstybės informacinės sistemos) objektų registravimo ir jas apibūdinančių duomenų tvarkymo sąlygas. Pritarti Žr. Pasiūlymus prie 33 TD pastabos. Pasiūlymas:
Projekto 19 straipsnio 1 dalį išdėstyti taip: „1. Kibernetinio saugumo informacinis tinklas informacinės sistemos yra valstybės informacinė sistema, kurios paskirtis:“
35Seimo kanceliarijos Teisės departamentas,
13 )31 35.
Keičiamo įstatymo 13 straipsnio 3 dalies 1 punkte vietoj formuluotės „teisinis statusas, ekonominės veiklos forma“ įrašytina formuluotė „teisinė forma, ekonominės veiklos sritis (sritys) ir rūšis (rūšys)“. Pritarti Pasiūlymas: Projekto 13 straipsnio 3 dalies 1 punktą išdėstyti taip: „1) jeigu kibernetinio saugumo subjektas yra juridinis asmuo – kibernetinio saugumo subjekto pavadinimas, juridinio asmens kodas, teisinė forma, ekonominės veiklos sritis (sritys) ir rūšis (rūšys) , teisinis statusas, ekonominės veiklos forma, pagrindinės buveinės adresas (jeigu kibernetinio saugumo subjektas nėra įsisteigęs Europos Sąjungoje – pagal šio įstatymo 12 straipsnio 3 dalį paskirto atstovo pavadinimas, teisinė forma, ekonominės veiklos sritis (sritys) ir rūšis (rūšys) teisinis statusas, ekonominės veiklos forma, registracijos numeris ir adresas) . kontaktiniai duomenys (elektroninio pašto adresas, ryšio numeris ir adresas) ir kitų juridinių padalinių Europos Sąjungoje adresai, jei Jei kibernetinio saugumo subjektas yra DNS paslaugų teikėjas, aukščiausio lygio domenų vardų registro paslaugas teikiantis subjektas, debesijos kompiuterijos paslaugų teikėjas, duomenų centrų paslaugų teikėjas, turinio teikimo tinklo paslaugų teikėjas, valdomų paslaugų teikėjas, valdomų saugumo paslaugų teikėjas, internetines prekyvietes, interneto paieškos sistemų ir socialinių tinklų paslaugų platformų paslaugų teikėjas (toliau – specialusis subjektas) ar yra domenų vardų registravimo paslaugas teikiantis subjektas , ir kitų juridinių padalinių Europos Sąjungoje adresai ;“
36Seimo kanceliarijos Teisės departamentas,
13 )31
aiškus keičiamo įstatymo 13 straipsnio 3 dalies 1 punkte minimos formuluotės „registracijos numeris“ turinys (nėra aišku kokia registracija ir kokioje informacinėje sistemoje turima omenyje).
Be to, siekiant teisinio aiškumo, šiame punkte nustatytą išlygą (prasidedančią žodžiais „ir kitų juridinių padalinių Europos Sąjungoje adresai“) siūlome dėstyti atskiru sakiniu, kuriame būtų reglamentuojamos tik šioje išlygoje minimų subjektų duomenų tvarkymo nuostatos. Pritarti Žr. pasiūlymą prie 35 TD pastabos. 37. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(
3 1,3
37Siekiant keičiamo įstatymo nuostatų dėstymo nuoseklumo, keičiamo įstatymo 13 straipsnio 3 dalies 1 punkte siūlome atsisakyti kibernetinio saugumo subjektų atstovų kontaktinių duomenų dėstymo (tokių duomenų nurodymas nustatytas šios dalies 3 punkte). Pritarti Žr. pasiūlymą prie 35 TD pastabos. Pasiūlymas:
Projekto 13 straipsnio 3 dalies 3 punktą išdėstyti taip:
„3) kibernetinio saugumo subjekto (jeigu nėra įsisteigęs Europos Sąjungoje – taip pat ir pagal šio įstatymo 12 straipsnio 3 dalį paskirto atstovo) kontaktiniai duomenys (elektroninio pašto adresas, ryšio numeris);“
35
38Atkreiptinas dėmesys, kad nei keičiamame įstatyme, nei kituose įstatymuose nėra apibrėžtas keičiamo įstatymo 13 straipsnio 3 dalies 5 punkte minimos sąvokos „interneto protokolo (IP) adresų rėžiai“ turinys. Pritarti Pasiūlymas:
Projekto 13 straipsnio 3 dalie 5 punktą išdėstyti taip:
„5) kibernetinio saugumo subjekto naudojami interneto protokolo (IP) adresai adresųrėžiai ;“
3 8 39.
Nėra aiškus keičiamo įstatymo 13 straipsnio 3 dalies 8 punkte įtvirtintos formuluotės „subjekto rūšis kibernetinio saugumo subjekto sektorius, subsektorius, subjekto rūšis“, turinys, nes keičiamame įstatyme nėra atskleistos jokios kibernetinio saugumo subjektų rūšį kibernetinio saugumo subjekto sektoriuje ar subsektoriuje apibrėžiančios nuostatos. Pritarti Pasiūlymas:
Projekto 13 straipsnio 3 dalies 8 punktą išdėstyti taip:
„8) šio įstatymo 1 ir 2 prieduose nurodytas sektorius, kuriame kibernetinio saugumo subjektas veikia ar teikia paslaugas, subsektorius, subjekto rūšis kibernetinio saugumo subjekto sektorius, subsektorius, subjekto rūšis .“
4
40Atsižvelgiant į tai, kad ministerijos kompetencijai priklausančiais klausimais privalomos galios administracinius teisės aktus priima ministras, o ne ministerija, keičiamo įstatymo 13 straipsnio 4 dalyje vietoj formuluotės „Krašto apsaugos ministerijos“ įrašytina formuluotė „krašto apsaugos ministro“. Pritarti Pasiūlymas:
Projekto 13 straipsnio 4 dalį išdėstyti taip:
„4. Subjektas, atitinkantis šio įstatymo 11 straipsnio 3–5 dalyse nustatytus kibernetinio saugumo subjektų identifikavimo kriterijus, Kibernetinio saugumo informacinio tinklo informacinės sistemos duomenų tvarkytojui pateikia duomenis, nurodytus K ibernetinio saugumo informacinio tinklo informacinės sistemos nuostatuose, tvirtinamuose Krašto krašto apsaugos ministerijos ministro. Duomenys teikiami šiuose nuostatuose nustatyta tvarka.
“
6 41.
Siekiant teisinio aiškumo, reikėtų nurodyti keičiamo įstatymo 13 straipsnio 6 dalyje numatyto institucijų, atsakingų už kibernetinio saugumo subjektų identifikavimą, dalyvavimo kibernetinio saugumo subjektų registravimo procese turinį ir apimtį, nes už registro informacinės sistemos objektų registravimą ir objektų duomenų tvarkymą yra atsakingas būtent šios informacinės sistemos tvarkytojas. Pritarti Pasiūlymas:
Projekto 13 straipsnio 6 dalį išdėstyti taip
„6. Šio įstatymo 1 ir 2 prieduose nurodytos institucijos, atsakingos
už kibernetinio saugumo subjektų identifikavimą, dalyvauja kibernetinio saugumo subjektų registravimo procese patvirtin t a šio straipsnio 3 dalyje nurodytus Kibernetinio saugumo informacinės sistemos duomenų tvarkytojo duomenis apie kibernetinio saugumo subjektus, taip pat pagal Vyriausybės nustatytą identifikavimo pagal specialiuosius kriterijus metodiką identifikuotus kibernetinio saugumo subjektus K ibernetinio saugumo informacinio tinklo informacinės sistemos nuostatuose nustatyta tvarka.“
42Seimo kanceliarijos Teisės departamentas,
13 )7
42Svarstytina,
ar keičiamo įstatymo 13 straipsnio 7 dalies nuostatų nereikėtų suformuluoti kaip pareigos šioje dalyje minimiems subjektams teikti minimą informaciją Kibernetinio saugumo informacinio tinklo duomenų tvarkytojui. Be to, siūlytina šioje dalyje vietoje žodžio „identifikuojamų“ rašyti formuluotę
„identifikuojamų ir registruojamų“, vietoje žodžio „registruoti“ rašyti
formuluotę „identifikuoti ir registruoti“. Pritarti Pasiūlymas: Projekto 13 straipsnio 7 dalį išdėstyti taip: „7.
Kibernetinio saugumo informacinio tinklo duomenų tvarkytojas K ibernetinio saugumo informacinio tinklo informacinės sistemos nuostatuose nustatytais atvejais ir tvarka identifikuodamas ir registruodamas kibernetinio saugumo subjektus turi teisę neatlygintinai gauti iš identifikuojamų subjektų identifikuojami ir registruojami subjektai, taip pat kitos kitų valstybės institucijų institucijos , valstybės įstaigų įstaigos , valstybės valdomų valdomos įmonių įmonės , viešųjų viešosios įstaigų įstaigos , savivaldybių valdomų valdomos įmonių įmonės ir savivaldybių įstaigos neatlygintinai teikia Kibernetinio saugumo informacinės sistemos duomenų tvarkytojui šio straipsnio 3 dalyje nurodytus duomenis ir kitą šiuos duomenis apibūdinančią informaciją, reikalingą kibernetinio saugumo subjektams registruoti.“
8
43Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 13 straipsnio 8 dalyje po žodžių „juos registruoti“ įrašyti žodžius „arba jų neregistruoti“. Pritarti Pasiūlymas:
Projekto 13 straipsnio 8 dalį išdėstyti taip: „
8Subjektai turi teisę skųsti sprendimą juos registruoti Kibernetinio saugumo subjektų registre Lietuvos Respublikos administracinių bylų teisenos įstatymo nustatyta tvarka. 9 . Jei kibernetinio saugumo subjektas neatitinka šio įstatymo 11 straipsnio 3–5 dalyse nurodytų kriterijų, jis išregistruojamas iš Kibernetinio saugumo subjektų registro informacinės sistemos . K ibernetinio saugumo subjektas išregistruojamas iš Kibernetinio saugumo subjektų registro informacinės sistemos per 20 darbo dienų nuo momento dienos, kai K ibernetinio saugumo informacinio tinklo informacinės sistemos duomenų tvarkytojas gauna informacijos, kad kibernetinio saugumo subjektas nebeatitinka šio įstatymo 11 straipsnio 3–5 dalyse nurodytų kriterijų.“
13 ) 9, 10 44.
Keičiamo įstatymo 13 straipsnio 9 dalyje vietoj žodžių „nuo momento“ įrašytini žodžiai „nuo dienos“. Svarstytina, ar šios dalies paskutinio sakinio nereikėtų dėstyti atskira šio straipsnio dalimi. Taip pat siūlytina šį straipsnį papildyti nuostata dėl galimybės apskųsti sprendimą dėl išregistravimo iš Kibernetinio saugumo subjektų registro. Pritarti Žr. Pasiūlymą prie 43 TD pastabos. Pasiūlymas:
Projekto 13 straipsnio 9 ir 10 dalis išdėstyti taip: „
9Subjektai turi teisę skųsti sprendimą juos registruoti arba neregistruoti Kibernetinio saugumo informacinėje sistemoje, taip pat iš jos išregistruoti Lietuvos Respublikos administracinių bylų teisenos įstatymo nustatyta tvarka. Jei kibernetinio saugumo subjektas neatitinka šio įstatymo 11 straipsnio 3–5 dalyse nurodytų kriterijų, jis išregistruojamas iš Kibernetinio saugumo subjektų registro. K ibernetinio saugumo subjektas išregistruojamas iš Kibernetinio saugumo subjektų registro per 20 darbo dienų nuo momento, kai Kibernetinio saugumo informacinio tinklo duomenų tvarkytojas gauna informacijos, kad kibernetinio saugumo subjektas nebeatitinka šio įstatymo 11 straipsnio 3–5 dalyse nurodytų kriterijų. Kibernetinio saugumo subjektas netenka šiame įstatyme nurodytų kibernetinio saugumo subjektams taikomų pareigų nuo jo išregistravimo iš K ibernetinio saugumo subjektų registro. 10. Kibernetinio saugumo subjektas netenka šiame įstatyme nurodytų kibernetinio saugumo subjektams taikomų pareigų nuo jo išregistravimo iš K ibernetinio saugumo subjektų registro informacinės sistemos. Kibernetinio saugumo subjektai šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams, subsektoriams ir subjekto rūšiai priskiriami pagal Ekonominės veiklos rūšių klasifikatorių K ibernetinio saugumo informacinio tinklo nuostatuose nustatyta tvarka. 45. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(
5 45.
Svarstytina, ar keičiamo įstatymo 13 straipsnio 10 dalies nuostatos neturėtų būti dėstomos šio straipsnio 5 dalyje. Pritarti Pasiūlymas: Projekto 13 straipsnio 5 dalį išdėstyti taip:
„5. Kibernetinio saugumo subjektus registruoja ir išregistruoja Kibernetinio saugumo informacin io ės tinklo sistemos duomenų tvarkytojas Kibernetinio saugumo informacin io ės tinklo sistemos nuostatuose nustatyta tvarka. Kibernetinio saugumo subjektai šio įstatymo 1 ir 2 prieduose nurodytiems sektoriams, subsektoriams ir subjekto rūšiai priskiriami pagal Ekonominės veiklos rūšių klasifikatorių K ibernetinio saugumo informacinės sistemos nuostatuose nustatyta tvarka.“
11
46Keičiamo įstatymo 14 straipsnio 1 dalies 1 punkte nurodytos išlygos „išskyrus šio straipsnio 2 dalyje nurodytus atvejus“ turinys yra neaiškus, nes minėtoje 14 straipsnio 2 dalyje nėra nustatyta jokia išlyga, pagrindžianti Vyriausybės tvirtinamų kibernetinio saugumo reikalavimų netaikymą kibernetinio saugumo subjektams. Pritarti Pasiūlymas:
Projekto 14 straipsnio 1 dalies 1 punktą išdėstyti taip:
„1) kibernetinio saugumo reikalavimams, tvirtinamiems Vyriausybės, išskyrus šio straipsnio
4
12
47Keičiamo įstatymo 14 straipsnio 1 dalies 2 punkto nuostata tikslinta, atsižvelgiant į tai, kad Europos Sąjungos teisės aktai negali būti priimami pagal nacionaliniame teisės akte nustatytus reikalavimus. Pritarti Pasiūlymas:
Projekto 14 straipsnio 1 dalies 2 punktą išdėstyti taip:
„2) Europos Komisijos priimtiems įgyvendinimo aktams , pagal šio straipsnio 3 dalyje nurodytas priemones nustatantiems techninius ir metodinius reikalavimus.
“
2 48.
Keičiamo įstatymo 14 straipsnio 2 dalyje vietoj žodžio „įtraukimo“ įrašytinas žodis
„įregistravimo“, o prieš žodį „žmogiškuosius“ įrašytina formuluotė
„kibernetinio saugumo subjekto“. Be to, vietoj trumpinio „mėn.“ vartotinas
žodis „mėnesių“. Pritarti Pasiūlymas: Projekto 14 straipsnio 2 dalį išdėstyti taip: „
saugumo subjektai privalo šio straipsnio 1 dalies 1 punkte nurodytus kibernetinio saugumo reikalavimus įgyvendinti per Vyriausybės nustatytą ne trumpesnį nei 12 mėn esių terminą nuo jų įtraukimo įregistravimo į Kibernetinio saugumo subjektų registrą. Nustatydama terminą Vyriausybė privalo atsižvelgti į kibernetinio saugumo reikalavimams įgyvendinti reikalingus kibernetinio saugumo subjekto žmogiškuosius ir finansinius išteklius.“
49Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(
teisinio aiškumo, siūlytina keičiamo įstatymo 14 straipsnio 3 dalies nuostatas dėstyti taip: „Kibernetinio saugumo subjektai privalo Nacionaliniam kibernetinio saugumo centrui Kibernetinio saugumo informacinio tinklo nuostatuose nustatyta tvarka pateikti šiuose nuostatuose nurodytus duomenis apie kibernetinio saugumo rizikos valdymo priemonių įgyvendinimą“. Pritarti Pasiūlymas:
Projekto 14 straipsnio 3 dalį išdėstyti taip: „3. Kibernetinio saugumo subjektai privalo Nacionaliniam kibernetinio saugumo centrui Kibernetinio saugumo informacinės sistemos nuostatuose nustatyta tvarka pateikti šiuose nuostatuose nurodytus duomenis apie kibernetinio saugumo rizikos valdymo priemonių įgyvendinimą. Kibernetinio saugumo subjektai privalo Nacionaliniam kibernetinio saugumo centrui pateikti duomenis apie kibernetinio saugumo rizikos valdymo priemonių įgyvendinimą. Kibernetinio saugumo informacinio tinklo nuostatuose nurodyti duomenys apie kibernetinio saugumo rizikos valdymo priemonių įgyvendinimą teikiami šiuose nuostatuose nustatyta tvarka “ 50.
Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(
įstatymo 14 straipsnio 4 dalyje brauktinas žodis „tik“, nes Lietuvos Respublikos jurisdikcijai priklausantys subjektai turi laikytis ne tik Europos Sąjungos, tačiau ir Lietuvos Respublikos teisės aktų. Pritarti iš dalies Patikslinta formuluotė, numatant, kad specialieji subjektai turėtų laikytis tik14 straipsnio 1 dalies 2 punkte nurodytų kibernetinio saugumo rizikos valdymo priemonių. Vadovaujantis TIS2 direktyvos 21 straipsnio 5 dalimi, specialiesiems subjektams numatoma taikyti Europos Komisijos priimtus įgyvendinimo aktus. Siūloma nesukurti situacijos, kai subjektams taikomi to paties pobūdžio reguliavimas tiek pagal nacionalinius teisės aktus, tiek pagal Europos Komisijos priimtus įgyvendinimo aktus. Pasiūlymas:
Projekto 14 straipsnio 4 dalį išdėstyti taip: „4. Specialusis subjektas privalo užtikrinti jų naudojamų tinklų ir informacinių sistemų atitiktį tik šio straipsnio 1 dalies 2 punkte nurodytiems teisės aktams nurodytoms kibernetinio saugumo rizikos valdymo priemonėms . “
51Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(
12
teisinio aiškumo, reikėtų atskleisti keičiamo įstatymo 14 straipsnio 5 dalies 12 punkte nustatytos formuluotės „kibernetinio saugumo subjektų naudotojų, administratorių, tiekėjų, jų subtiekėjų ir kitų ūkio subjektų“ turinį, nes nėra aišku, kas turėtų būti laikomi kibernetinio saugumo subjektų naudotojais (galbūt turima omenyje kibernetinio saugumo subjektų teikiamų paslaugų vartotojus), administratoriais ar teikėjais.
Pritarti Pasiūlymas: Projekto 14 straipsnio 5 dalies 12 punktą išdėstyti taip:
„12) kibernetinio saugumo subjektų valdomų ir (ar) tvarkomų tinklų ir informacinių sistemų naudotojų, administratorių, kibernetinio saugumo subjektų tiekėjų, jų subtiekėjų ir kitų ūkio subjektų teisių ir prieigos prie kibernetinio saugumo subjektų valdomų ir (ar) tvarkomų tinklų ir informacinių sistemų ir (ar) skaitmeninių duomenų suteikimo ir valdymo politiką;“
7
52Kadangi kibernetinio saugumo subjektu gali būti ir fizinis asmuo, keičiamo įstatymo 14 straipsnio 7 dalies nuostatą apie darbuotojų nuolatinį švietimą kibernetinio saugumo srityje reikėtų papildyti, po žodžio „darbuotojų“ įrašant formuluotę „jei tokių yra“. Pritarti Pasiūlymas:
Projekto 14 straipsnio 7 dalį išdėstyti taip:
„7. Kibernetinio saugumo subjekto valdymo organų nariai, vadovas ir jo įgaliotas asmuo, jeigu toks yra, ar kibernetinio saugumo subjektas, jei jis yra fizinis asmuo, privalo ne rečiau kaip kartą per 2 metus Nacionalinio kibernetinio saugumo centro vadovo nustatyta tvarka išklausyti kibernetinio saugumo mokymus bei užtikrinti kibernetinio saugumo subjekto darbuotojų , jei tokių yra, nuolatinį švietimą kibernetinio saugumo srityje.“
8 53.
Svarstytina, ar keičiamo įstatymo 14 straipsnio 8 dalies nuostatą nereikėtų performuluoti taip, kad joje minimi nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimai būtų taikomi ir asmenims, Nacionalinio kibernetinio saugumo centro vadovo nustatyta tvarka išklausiusiems mokymus ir išlaikiusiems kvalifikacinius žinių ir praktinių įgūdžių patikrinimo egzaminą. Be to, prieš žodį „toliau“ įrašytinas skliaustelis. Pritarti Pasiūlymas:
Projekto 14 straipsnio 8 dalį išdėstyti taip: „8. Kibernetinio saugumo subjektai ne rečiau kaip kartą per 3 metus atlieka kibernetinio saugumo auditą pagal Nacionalinio kibernetinio saugumo centro patvirtintą kibernetinio saugumo auditų atlikimo metodiką. Kibernetinio saugumo auditą atlieka nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų saugumo atitikties auditoriai, audito įmonės ar kitos institucijos , kurios atitinka Nacionalinio kibernetinio saugumo centro metodikoje nustatytus nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus, ar asmenys, Nacionalinio kibernetinio saugumo centro vadovo nustatyta tvarka išklausę mokymus ir išlaikę kvalifikacinius žinių ir praktinių įgūdžių patikrinimo egzaminą ( toliau kartu – auditoriai) ir kurie atitinka Nacionalinio kibernetinio saugumo centro kibernetinio saugumo auditų atlikimo metodikoje nustatytus nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus . Auditoriams negali būti pavedama vertinti tinklų ir informacinių sistemų, kurias valdo ir (ar) tvarko subjektas, kuriame dirba auditorius, saugos. “
54Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(15 )1
teisinio aiškumo, siūlytina keičiamo įstatymo 15 straipsnio 1 dalyje aiškiai nurodyti subjektą, kuris turi atitikti šio įstatymo 14 ir 18 straipsniuose nustatytiems reikalavimams.
Pritarti Pasiūlymas: Projekto 15 straipsnio 1 dalį išdėstyti taip:
„1. Kibernetinio saugumo subjekto vadovas ar jo įgaliotas asmuo
privalo paskirti kibernetinio saugumo vadovą, tiesiogiai atskaitingą kibernetinio saugumo subjekto vadovui, atsakingą už kibernetinio saugumo subjekto atitikties šio įstatymo 14 ir 18 straipsniuose nustatytiems reikalavimams įgyvendinimą ir atliekantį kitas kibernetinį saugumą reglamentuojančiuose teisės aktuose nustatytas funkcijas.“
55Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(15 )3
įstatymo 15 straipsnio 3 dalyje vietoj žodžio „gyvendinimą“ rašytinas žodis
„įgyvendinimą“. Be to, manytina, kad šios dalies antrajame sakinyje esanti
nuoroda į keičiamo įstatymo 14 straipsnį turėtų būti papildyta nuoroda ir į keičiamo įstatymo 18 straipsnį, o šios dalies paskutiniame sakinyje po žodžio
„vadovas“ įrašytina formuluotė „ar jo įgaliotas asmuo“. Taip pat svarstytina,
ar šios dalies paskutinio sakinio nereikėtų atsisakyti kaip perteklinio, nes keičiamo įstatymo 15 straipsnio 1 ir 2 dalyse yra nurodyta, kas skiria šiuos asmenis. Pritarti Pasiūlymas: Projekto 15 straipsnio 3 dalį išdėstyti taip: „
saugos įgaliotinio funkcijas. Kibernetinio saugumo vadovas gali būti paskirtas atsakingas už šio įstatymo
straipsniuose nustatytų reikalavimų, taikomų keliems kibernetinio saugumo subjektams, į gyvendinimą. Saugos įgaliotinis gali būti paskirtas atsakingas už kelių tinklų ir informacinių sistemų atitiktį šio įstatymo 14 ir 18 straipsnyje straipsniuose nustatytiems reikalavimams . Tinklų ir informacinės sistemos valdytojas turi teisę pavesti šios tinklų ir informacinės sistemos tvarkytojui paskirti saugos įgaliotinį.
Sprendimą dėl šioje dalyje numatytų už kibernetinį saugumą atsakingų asmenų skyrimo priima kibernetinio saugumo subjekto vadovas, atsižvelgdamas į kibernetinio saugumo subjekto organizacinę struktūrą ir dydį. “
56Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(15 ) 4,5
keičiamo įstatymo 15 straipsnio 4 ir 5 dalyse vartojama sąvoka „už kibernetinį saugumą atsakingi asmenys“, siūlytina šiame straipsnyje konkrečiai įvardinti, kas tokiais asmenimis yra laikomi. Pritarti Pasiūlymas: Projekto 15 straipsnio 4 ir 5 dalis išdėstyti taip: „
saugumo subjektui leidžiama iš tiekėjo įsigyti paslaugas, kurių metu būtų vykdomos kibernetinio saugumo vadovo ir (ar) saugos įgaliotinio u ž kibernetinį saugumą atsakingų asmenų funkcijos. Įsigyjant šioje dalyje numatytas paslaugas, turi būti užtikrinamas šio įstatymo 14 ir 18 straipsniuose nustatytų reikalavimų įgyvendinimas. 5. Už kibernetinį saugumą atsakingi asmenys Kibernetinio saugumo vadovas ir saugos įgaliotinis :“
57Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(15 )52
įstatymo 15 straipsnio 5 dalies 2 punkto nuostata turėtų būti tikslinama, tiesiog nustatant, kad už kibernetinį saugumą atsakingais asmenimis negali būti skiriami asmenys, kuriems nuo nuobaudos už teisės aktų pažeidimus tinklų ir informacinių sistemų ir asmens duomenų tvarkymo ir privatumo apsaugos srityse paskyrimo praėję mažiau kaip vieneri metai.
Pritarti Pasiūlymas: Projekto 15 straipsnio 5 dalies 2 punktą išdėstyti taip: „2) negali turėti paskirtos administracinės nuobaudos už teisės aktų pažeidimus tinklų ir informacinių sistemų ir asmens duomenų tvarkymo ir privatumo apsaugos srityse arba nuo nuobaudos paskyrimo turi būti praėję ne mažiau kaip vieni metai; nuobaudos už teisės aktų pažeidimus tinklų ir informacinių sistemų ir asmens duomenų tvarkymo ir privatumo apsaugos srityse, nuo kurios paskyrimo praėję mažiau kaip vieneri metai; “
58Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(16 )3
įstatymo 16 straipsnio 3 dalis tikslintina kalbiniu požiūriu. Pritarti Pasiūlymas: Projekto 16 straipsnio 3 dalį išdėstyti taip:
„3. Nacionalinio kibernetinio saugumo centro lėšomis įdiegtos
techninės kibernetinio saugumo priemonės prižiūrimos, jų diegimas, naudojimas, remontas ir aptaranavimas atliekamas Nacionalinio kibernetinio saugumo centro lėšomis Techninės kibernetinio saugumo priemonės, įdiegtos Nacionalinio kibernetinio saugumo centro, prižiūrimos, naudojamos, remontuojamos ir aptarnaujamos Nacionalinio kibernetinio saugumo centro lėšomis .“
59Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(17 )3
59Keičiamo įstatymo 17 straipsnio 3 punkte nurodyta,
kad šiame straipsnyje įvardinti kibernetinio saugumo subjektai privalo
„skelbti šio straipsnio 2 ir 5 punktuose nurodytą politiką ir procedūras
viešai savo interneto svetainėse ar, jeigu jie interneto svetainės neturi, kitomis visuomenės informavimo priemonėmis“.
Šioje nuostatoje esantis žodis
„skelbti“ suponuoja, kad minėta informacija turi
būti nuolat skelbiama viešai šių subjektų interneto svetainėse arba, jeigu jie jų neturi, kitomis visuomenės informavimo priemonėmis. Jeigu tokios intencijos projekto rengėjai neturėjo, siūlytina šią nuostatą atitinkamai pakoreguoti. Taip pat svarstytina, ar nereikėtų patikslinti kokiomis visuomenės informavimo priemonėmis ši informacija turi būti skelbiama. Pritarti iš dalies Direktyva nustato, kad „Valstybės narės reikalauja, kad tokia politika ir procedūros būtų skelbiamos viešai“, todėl, manytina, kad jos vartotojams turi būti pasiekiamos bet kada. Siekiama neapriboti kibernetinio saugumo subjektų galimybių ir nenustatyti perteklinės administracinės naštos nurodant konkrečią visuomenės informavimo priemonę. Pasiūlymas:
Projekto 17 straipsnio 3 dalį išdėstyti taip: „3) nuolat skelbti šio straipsnio 2 ir 5 punktuose nurodytą politiką ir procedūras viešai savo interneto svetainėse ar, jeigu jie interneto svetainės neturi, kitomis visuomenės informavimo priemonėmis;“
60Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(17 ) 4,5
teisinio aiškumo, keičiamo įstatymo 17 straipsnio 4 punkte vietoj formuluotės
„jų interneto svetainėse“ rašytina formuluotė „savo interneto svetainėse“. Taip pat svarstytina, ar vietoj šiame punkte vartojamos formuluotės
„nepagrįstai nedelsdami“ nereikėtų nurodyti konkretaus termino, per kurį turi
būti paskelbiami domeno registracijos duomenys. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 17 straipsnio 5 punktui.
Pritarti Pasiūlymas: Projekto 17 straipsnio 4 ir 5 dalis išdėstyti taip: „4) ne vėliau kaip per 72 valandas nepagrįstai nedelsdami po domeno vardo užregistravimo paskelbti viešai jų savo interneto svetainėse ar, jeigu jie interneto svetainės neturi, kitomis visuomenės informavimo priemonėmis domeno vardo registracijos duomenis, kurie nėra asmens duomenys;
5) gavę teisėtus ir pagrįstus teisėtos prieigos prie domenų vardų registracijos duomenų, kurie yra asmens duomenys, prašančių subjektų prašymus, pagal taikomą duomenų atskleidimo politiką ir procedūras suteikti prieigą prie konkrečių domenų vardų registracijos duomenų, laikydamiesi Reglamento (ES) 2016/679 nustatytos tvarkos . Atsakymai prašančiam subjektui turi būti teikiami nepagrįstai nedelsiant ir bet kuriuo atveju ne vėliau kaip per 72 valandas nuo tada, kai gaunamas prašymas suteikti prieigą;“
61Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(18 )1 1,2
nėra nurodyti jokie objektyvūs kriterijai, įgalinantys atskirti šios dalies 1 punkte nurodytus didelius kibernetinius incidentus nuo „nedidelių“ kibernetinių incidentų, nurodytų šios dalies 2 punkte (nes abiejuose punktuose incidentus apibrėžiantis požymis yra tas pats – incidentas, darantis poveikį šio įstatymo 11 straipsnio 3–5 dalyse nurodytus kriterijus atitinkančiai vykdomai veiklai ir (ar) teikiamoms paslaugoms). Galbūt turima omenyje, kad kibernetinio saugumo subjektai nacionalinio kibernetinių incidentų valdymo plano, tvirtinamo Vyriausybės, nustatytais terminais turi pateikti Vyriausybės nustatytą informaciją apie šio straipsnio 2 ir 3 dalyje nurodytus didelio kibernetinio incidento kriterijus neatitinkančius kibernetinius incidentus.
Taip pat neaišku, ar 18 straipsnio 1 dalies 2 punkte taip pat turimi omenyje kibernetiniai incidentai, darantys poveikį subjektų šio įstatymo 11 straipsnio 3–5 dalyse nurodytus kriterijus atitinkančiai vykdomai veiklai ir
(ar) teikiamoms paslaugoms, ar vis dėlto siekiama nustatyti, kad šiame punkte minimi incidentai, kurie neatitinka didelių kibernetinių incidentų (kuriems esant daromas poveikis jų šio įstatymo 11 straipsnio 3–5 dalyse nurodytus kriterijus atitinkančiai vykdomai veiklai ir (ar) teikiamoms paslaugoms) kriterijų. Pritarti Pasiūlymas:
Projekto 18 straipsnio 1 dalies 1 ir 2 punktus išdėstyti taip: „1. Kibernetinio saugumo subjektai privalo pranešti Nacionaliniam kibernetinio saugumo centrui apie:
1) didelį kibernetinį incidentą, darantį poveikį jų šio įstatymo 11 straipsnio 3–5 dalyse nurodytus kriterijus atitinkančiai vykdomai veiklai ir
(ar) teikiamoms paslaugoms;
kriterijų neatitinkančius šios dalies 1 punkte nenurodytus kibernetinius incidentus, darančius poveikį jų šio įstatymo 11 straipsnio 3–5 dalyse nurodytus kriterijus atitinkančiai vykdomai veiklai ir (ar) teikiamoms paslaugoms nacionalinio kibernetinių incidentų valdymo plano tvirtinamo Vyriausybės nustatytais terminais ir pateikti šiame plane Vyriausybės nustatytą informaciją.“
62Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(18 )12 62.
Atsižvelgus į keičiamo įstatymo 18 straipsnio 1 dalies 2 punkto turinį, manytina, kad nuostata „nacionalinio kibernetinių incidentų valdymo plano, tvirtinamo Vyriausybės, nustatytais terminais ir pateikti Vyriausybės nustatytą informaciją“ turėtų būti dėstoma prie keičiamo įstatymo 18 straipsnio 1 dalies nuostatos iki dvitaškio. Nepritarti Argumentai:
Atsižvelgiant į tai, kad apie didelius incidentus, nurodytus 18 straipsnio 1 dalies 1 punkte būtų praneša šio straipsnio 4 dalies nustatyta tvarka (nustatytais terminais pateikiant nurodyta informaciją), nuoroda į nacionalinį kibernetinių incidentų valdymo planą negalėtų būti perkeliama į 18 straipsnio 1 dalį, nes tai suponuotų, kad ir apie didelius incidentus pranešama plane nustatytais terminais, pateikiant plane nustatytą informaciją. 63. Seimo kanceliarijos Teisės departamentas,
įstatymo 18 straipsnio 1 dalies 2 punkte bei 5 dalyje brauktini pertekliniai žodžiai „tvirtinamo Vyriausybės“, nes tai, kad Vyriausybė tvirtina nacionalinį kibernetinių incidentų valdymo planą jau nustatyta keičiamo įstatymo 7 straipsnio 2 dalies 3 punkte. Taip pat nėra aiškus keičiamo įstatymo 18 straipsnio 1 dalies 2 punkto bei 5 dalies nuostatų santykis, nes abiejose nuostatose yra reglamentuojama ta pati pranešimų apie kibernetiniu incidentus teikimo tvarka. Pritarti Žr. Pasiūlymas prie TD 61 pastabos. Pasiūlymas:
Išbraukti Projekto 18 straipsnio 5 dalį: „5. Kibernetinio saugumo subjektai privalo pranešti apie kibernetinį incidentą ir kibernetinę grėsmę nacionalinio kibernetinių incidentų valdymo plano , tvirtinamo Vyriausybės, nustatyta tvarka.“ Buvusią Projekto 18 straipsnio 6 dalį laikyti atitinkamai 5 dalimi . 64. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(18 )212
64Pastebėtina,
kad keičiamo įstatymo 18 straipsnio 2 dalies 1 ir 2 punktuose esantys žodžiai
„didelių“ ir „didelę“ yra vertinamojo pobūdžio.
Kadangi įstatymas yra norminio pobūdžio teisės aktas, jame negali ir neturi būti vertinamojo pobūdžio teisės normų, kartu nenustatant sąlygų ar kriterijų, kurie lemtų įstatyminės nuostatos taikymą ar netaikymą. Priešingu atveju, būtų pažeidžiamas konstitucinis įstatymų viršenybės principas, nes įstatymo nuostatos taikymą ar netaikymą lemtų išimtinai poįstatyminių teisės aktų turinys. Konstitucinio Teismo oficialiojoje doktrinoje nurodoma, kad „Teisinis reguliavimas visais atvejais turi būti aiškus, jis negali kelti dviprasmybių <...>“. (2000 m. vasario 10 d., 2001 m. sausio 25 d. ir kt. nutarimai). Todėl siūlytina aiškiai nurodyti, kokios konkrečios sąlygos ar kriterijai atitinka nuostatos reikalavimus. Nepritarti Argumentai:
Pažymėtina, kad pagal TIS2 direktyvos 23 straipsnio 11 dalį Europos Komisijai paliekama teisė spręsti (įgyvendinamaisiais aktais) dėl išsamesnių atvejų, kada kibernetinis incidentas laikomas dideliu, todėl, siekiant reaguoti į galimai atsirasiantį ES teisinį reguliavimą manome, kad išsamesni atvejai neturėtų būti reguliuojami įstatyme, o tai daroma lankstesniu teisiniu reguliavimu, pritaikant analogiją TIS2 direktyvoje kuriamam reguliavimui. 65. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(18 )3
teisinio aiškumo, keičiamo įstatymo 18 straipsnio 3 dalyje reikėtų aiškiau identifikuoti Europos Komisijos priimamus įgyvendinančiuosius teisės aktus, apibrėžiančius atvejus, kai kibernetinis incidentas laikomas dideliu. Nepritarti Argumentai: Europos Komisija įgyvendinančiuosius teisės aktus ketina priimti 2024 m. rudenį. 66. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(18 )65
aiškus keičiamo įstatymo 18 straipsnio 6 dalies 5 punkte vartojamos formuluotės „Europos Komisijos įgyvendinimo aktai“ turinys.
Nepritarti Argumentai: Europos Komisija įgyvendinančiuosius teisės aktus ketina priimti 2024 m. rudenį. 67. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(20 )1
įstatymo 20 straipsnio 1 dalyje prieš žodį „Krizių“ įrašytinas žodis „Nacionaliniu“. Pritarti Pasiūlymas: Projekto 20 straipsnio 1 dalį išdėstyti taip:
„1. Kibernetinio saugumo politiką formuojančios ir įgyvendinančios institucijos
bendradarbiauja tarpusavyje bei su kitomis valstybės institucijomis, įskaitant Ryšių reguliavimo tarnybą, kompetentingas institucijas pagal Reglamentą
ir 2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos reglamentą (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje, kuriuo iš dalies keičiami reglamentai (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 ir (ES) 2016/1011 Reglamentą (ES) 2022/2554 , taip pat Nacionaliniu K k rizių valdymo centru, įgyvendindamos šiame įstatyme nustatytus tikslus, įskaitant keitimąsi informacija ir duomenimis apie kibernetinius incidentus, kibernetines grėsmes ir vos neįvykusius kibernetinius incidentus, taip pat informacijos perdavimą pagal šio straipsnio 2 dalį.“
68Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(20 )25
įstatymo 20 straipsnio 2 dalies 5 punkte esantis trumpinys „val.“ keistinas žodžiu „valandas“. Pritarti Pasiūlymas: Projekto 20 straipsnio 2 dalies 5 punktą išdėstyti taip:
„5) bendradarbiauja su Ryšių reguliavimo tarnyba patikimumo
užtikrinimo paslaugų teikėjų kibernetinio saugumo audito srityje, taip pat nedelsdamas, bet ne vėliau kaip per 24 val. andas informuoja Ryšių reguliavimo tarnybą apie patikimumo užtikrinimo paslaugų teikėjų praneštus kibernetinius incidentus;“
69Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(23 )2 69.
Keičiamo įstatymo 23 straipsnio 1 dalies pirmajame sakinyje reikėtų tikslinti nuorodą į „šio straipsnio 1 dalyje nustatytus reikalavimus“, nes keičiamo įstatymo 23 straipsnio 1 dalyje yra nustatytas vienintelis reikalavimas, kad Bendruomenės nariais negali būti nacionalinio saugumo interesams grėsmę keliantys asmenys. Nepritarti Argumentai:
dalyje nustatytas reikalavimas ir dėl galėjimo prisidėti prie Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centro ir Nacionalinių koordinavimo centrų tinklo misijos. 70. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(23 )2
keičiamo įstatymo 23 straipsnio 2 dalį informaciją, ar Bendruomenės nariais siekiantys tapti asmenys galėtų kelti grėsmę nacionalinio saugumo interesams pagal Nacionalinio koordinavimo centro kreipimąsi teikia institucijos, nurodytos Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, vadovaudamosi Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme nurodytais investuotojų patikros dėl atitikties nacionalinio saugumo interesams vertinimo kriterijais. Manytume, kad toks teisinis reguliavimas nėra pakankamas, nes skirtingai nei Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme, į kurį nurodoma aptariamoje keičiamo įstatymo nuostatoje, keičiamame įstatyme nėra jokių nuostatų, reglamentuojančių atitinkamos informacijos pateikimo tvarką, terminus ir pan. Pritarti Pasiūlymas:
Projekto 23 straipsnio 2 dalį išdėstyti taip: „
Bendruomenės nari us ais juridinius asmenis registruoja Reglamento (ES) 2021/8876 straipsnyje nustatyta tvarka paskirtas Nacionalinis koordinavimo centras, atlikęs vertinimą, patvirtinantį, kad šie juridiniai asmenys atitinka šio straipsnio 1 dalyje nustatytus reikalavimus.
Nacionalinis koordinavimo centras neregistruoja juridinių asmenų kaip Bendruomenės nari ų ais, jei jie kelia grėsmę nacionalinio saugumo interesams. Informaciją, ar šie asmenys galėtų kelti grėsmę nacionalinio saugumo interesams, pagal Nacionalinio koordinavimo centro kreipimąsi teikia institucijos, nurodytos Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje vadovaudamosi Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme nurodytais investuotojų patikros dėl atitikties nacionalinio saugumo interesams vertinimo kriterijais. Nurodytos institucijos išvadas dėl investuotojo atitikties nacionalinio saugumo interesams pateikia ne vėliau kaip per 15 darbo dienų nuo Nacionalinio kibernetinio saugumo centro kreipimosi gavimo. Jeigu per šioje dalyje nurodytą terminą institucijos nepateikia išvadų, laikoma, kad institucijos neturi informacijos juridinio asmens keliamą grėsmę nacionalinio saugumo interesams .“
71Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(23 )247
formuluotę „kaip Bendruomenės narius“ formuluote „Bendruomenės nariais“. Analogiško turinio pastaba taikytina ir šio straipsnio 4 bei 7 dalims. Pritarti Žr. pasiūlymą prie 70 TD pastabos. Pasiūlymas: Projekto 23 straipsnio 4 ir 7 dalyse vartojamą formuluotę „kaip Bendruomenės narius“ keisti formuluote „ Bendruomenės nariais
“. 72. Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(23 )7
sujungti jungtuku „ir“. Pritarti Pasiūlymas: Projekto 23 straipsnio 7 dalį išdėstyti taip: „ 7.
Nacionaliniam koordinavimo centrui atsisakius registruoti pareiškėją kaip Bendruomenės narį nariu , pareiškėjas turi teisę dar kartą pateikti prašymą tapti Bendruomenės nariu. Nacionalinis koordinavimo centras turi teisę nenagrinėti pakartotinai pateikto prašymo, jeigu:
1) nepraėjo du mėnesiai nuo anksčiau priimto sprendimo atsisakyti registruoti pareiškėją kaip Bendruomenės nariu, ir ;
2) nepasikeitė faktinės aplinkybės, kurios buvo pagrindas priimti sprendimą atsisakyti registruoti pareiškėją kaip Bendruomenės narį nariu .“
73Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(26 )4
teisinio aiškumo, siūlytina keičiamo įstatymo 26 straipsnio 4 dalies sakinius apjungti į vieną. Be to, vietoje žodžio „nustatytame“ vartotinas žodis „patvirtintame“. Pritarti iš dalies Argumentai: 26 straipsnio 4 dalies sakiniai neapjungiami, nes:
1) patikrinimai atliekami pagal NKSC tvarką;
2) NKSC tvarkoje numatoma ir prioritetų nustatymo tvarka. Dėstant vienu sakiniu klaidingai suponuojame, kad NKSC tvarka yra tik apie prioritetus. Pasiūlymas: Projekto 26 straipsnio 4 dalį išdėstyti taip:
„4. Šio straipsnio 1 dalyje nurodyti patikrinimai atliekami šio
įstatymo 27 straipsnyje ir Nacionalinio kibernetinio saugumo centro nustatyta tvarka. Nacionalinio kibernetinio saugumo centro nustatytame patvirtintame patikrinimų atlikimo tvarkos apraše turi būti numatoma kibernetinio saugumo rizikos požiūriu prioritetinių patikrinimų nustatymo tvarka.“
74Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(27 ) 1,2
įstatymo 27 straipsnio 1 ir 2 dalyse brauktina perteklinė formuluotė „šio įstatymo 26 straipsnio 2 dalyje nurodyto“, nes ir taip suprantama kokie skundai turimi omenyje (kitose keičiamo įstatymo nuostatose nėra minimi jokie kitokie skundai, todėl dispozicinė nuoroda tiesiog nereikalinga).
Be to, siūlytina vietoje formuluotės „centro sprendimu“ vartoti formuluotę „centro direktoriaus sprendimu“. Pritarti Pasiūlymas: Projekto 27 straipsnio 1 ir 2 dalis išdėstyti taip:
„1. Patikrinimas turi būti atliktas per kuo trumpesnį terminą, bet ne
vėliau kaip per 4 mėnesius nuo šio įstatymo 26 straipsnio 2 dalyje nurodyto skundo gavimo dienos arba Nacionalinio kibernetinio saugumo centro direktoriaus ar jo įgalioto asmens sprendimo atlikti patikrinimą savo iniciatyva arba kitų šaltinių pagrindu priėmimo dienos. 2. <...>, šio straipsnio 1 dalyje nustatytas terminas Nacionalinio kibernetinio saugumo centro direktoriaus sprendimu gali būti pratęstas, bet ne ilgiau kaip 2 mėnesiams. Bendras patikrinimo atlikimo terminas negali būti ilgesnis kaip 6 mėnesiai nuo šio įstatymo 26 straipsnio 2 dalyje nurodyto skundo gavimo dienos arba sprendimo atlikti patikrinimą savo iniciatyva ar kitų šaltinių pagrindu priėmimo dienos. <...>.“
75Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(27 )4
aišku, kodėl keičiamo įstatymo 27 straipsnio 4 dalyje nustatytos Nacionalinio kibernetinio saugumo centro teisės (atliekant patikrinimus) nėra dėstomos šio straipsnio 3 dalyje, kurioje būtent ir numatytos visos Nacionalinio kibernetinio saugumo centro su atliekamais patikrinimais susijusios teisės. Be to, siūlome atsisakyti keičiamo įstatymo 27 straipsnio 4 dalies 1 punkto, kuriame numatyta teisė atlikti veiksmus, nurodytus šio straipsnio 3 dalies
(nes Nacionalinis kibernetinio saugumo centras turi teisę atlikti visus 3 dalyje, o ne tik šios dalies 1 punkte, numatytus veiksmus). Pritarti Pasiūlymas: Išbraukti projekto 27 straipsnio 4 dalį: „4.
Nacionalinis kibernetinio saugumo centras , užtikrindamas jam pavestų uždavinių ir funkcijų vykdymą atliekant patikrinimus, turi teisę:
veiksmus, nurodytus šio straipsnio 3 dalies 1 punkte;
2) užfiksuoti faktines aplinkybes;
3) patikrinimo metu savo lėšomis naudoti technines priemones;
4) tikrinti asmenų tapatybę patvirtinančius dokumentus.“ Buvusias Projekto 27 straipsnio 5, 6, 7, 8 dalis laikyti atitinkamai 4, 5, 6, 7 dalimis. 76. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(27 )5
įstatymo 27 straipsnio 5 dalyje vietoj formuluotės „Taikydamas šio straipsnio
punkte nustatytą nurodymą“. Pritarti Pasiūlymas: Projekto 27 straipsnio 5 dalį išdėstyti taip: „5
4. Duodamas šio straipsnio 3 dalies 3 punkte nustatytą nurodymą Taikydamas šio straipsnio 3 dalies 3 punktą, Nacionalinis kibernetinio saugumo centras privalo nurodyti konkretų prašymo tikslą, pagrindą ir tiksliai apibrėžti prašomą informaciją.“
77Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(27 )
77Svarstytina,
ar keičiamo įstatymo 27 straipsnis neturėtų būti papildytas nuostatomis dėl šio straipsnio 6 dalies 2 punkte minimo Nacionalinio kibernetinio saugumo centro sprendimo apskundimo galimybės. Nepritarti Argumentai: Nacionalinio kibernetinio saugumo centro sprendimo apskundimo galimybės nustatytos Projekto 7 straipsnio 4 dalyje. 78. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(28 )1
teisinio aiškumo, keičiamo įstatymo 28 straipsnio 1 dalies nuostatoje iki dvitaškio vietoj formuluotės „taiko vykdymo užtikrinimo priemonę ar jų grupę“ siūlome įrašyti formuluotę „taiko vieną ar kelias vykdymo užtikrinimo priemonę (priemones)“. Pritarti Pasiūlymas: Projekto 28 straipsnio 1 dalį išdėstyti taip: „1.
Nacionalinis kibernetinio saugumo centras, šio įstatymo 26 straipsnio 1 dalyje nurodyto patikrinimo metu nustatęs šio įstatymo pažeidimą, taiko vieną ar kelias vykdymo užtikrinimo priemonę (priemones) taiko vykdymo užtikrinimo priemonę ar jų grupę :“
19
79Keičiamo įstatymo 28 straipsnio 1 dalies 9 punkto formuluotė turėtų būti patikslinta, nes siūloma redakcija implikuoja, kad baudos privalo būti skiriamos kartu su bet kuriomis šios dalies 1–8, 10 ir 11 punktuose nurodytomis priemonėmis. Galbūt turima omenyje, kad baudos gali būti skiriamos kartu su šios dalies 1–8, 10 ir 11 punktuose nurodytomis priemonėmis. Nepritarti Argumentai:
TIS 2 direktyvos 34 straipsnio 2 dalyje numatoma, kad:
„2. Administracinės baudos skiriamos kartu su
32 straipsnio 4 dalies a–h punktuose, 32 straipsnio 5 dalyje ir 33 straipsnio 4 dalies a–g punktuose nurodytomis priemonėmis.“
31
80Keičiamo įstatymo 28 straipsnio 3 dalies 1 punkte vartojama formuluotė „pažeistų nuostatų pavojingumas“ turėtų būti patikslinta, nes pavojingos ne įstatyminės nuostatos, o būtent veikla, kuria buvo įvykdyti įstatymo pažeidimai. Pritarti Pasiūlymas:
Projekto 28 straipsnio 3 dalies 1 punktą išdėstyti taip:
„1) atsakomybę lengvinančias aplinkybes, nustatytas šio straipsnio 4 dalyje, atsakomybę sunkinančias aplinkybės, nustatytas šio straipsnio 5 dalyje, ir pažeistų nuostatų pažeidimo pavojingumą, nurodytą šio įstatymo 29 straipsnyje;“
81Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(28 ) 4,
5
81Keičiamo įstatymo 28 straipsnio 4 ir 5 dalyse atsisakytina perteklinės formuluotės „Šio straipsnio 3 dalies 1 punkte nurodytomis“. Pritarti Pasiūlymas:
Projekto 28 straipsnio 4 ir 5 dalis iki dvitaškio išdėstyti taip: „4.
Šio straipsnio 3 dalies 1 punkte nurodytomis a A tsakomybę lengvinančiomis aplinkybėmis laikoma:
<...>
a A tsakomybę sunkinančiomis aplinkybėmis laikoma:“
82Seimo kanceliarijos Teisės departamentas,
atrodo keičiamo įstatymo 28 straipsnio 4 dalies 5 punkte ir 5 dalies 7 punkte nustatytas reguliavimas, pagal kurį bet kuris įstatymo nuostatų pažeidimas yra laikomas arba atsakomybę lengvinančia (jei padarytas dėl neatsargumo), arba atsakomybę sunkinančia aplinkybe (jei padarytas tyčia). Atsižvelgiant į tai, kad visi pažeidimai apskritai gali būti padaromi tik tyčia arba neatsargiai, svarstytina, ar pažeidimo padarymo tyčia turėtų būti laikomas atsakomybę sunkinančia aplinkybe. Pritarti Atsisakyta tyčios ir neatsargumo kaip atsakomybę sunkinančių ir lengvinančių aplinkybių. Projektas patikslintas, kad atsižvelgiant į TIS 2 direktyvos 32 straipsnio 7 dalies e punktą, į šias aplinkybes būtų atsižvelgiama, tačiau jos nebūtų laikomos atsakomybę sunkinančiomis ar lengvinančiomis aplinkybėmis. Pasiūlymas 1:
Projekto 28 straipsnio 3 dalį papildyti nauju 9 papunkčiu: „
9) t ai, ar pažeidimą įvykdęs subjektas veikė tyčia, ar pažeidimas padarytas dėl neatsargumo . “ Pasiūlymas 2: Išbraukti Projekto
83Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(28 )7
aiškus keičiamo įstatymo 28 straipsnio 7 dalies nuostatos, nustatančios, kad sprendimas dėl vykdymo užtikrinimo priemonės skyrimo gali būti priimtas, jeigu praėjo ne daugiau kaip 2 metai nuo pažeidimo dienos ( išskyrus atvejus, kai sprendimo dėl vykdymo užtikrinimo priemonės skyrimo metu pažeidimas ar trūkumas jau yra ištaisytas ), turinys ir jos praktinis taikymas.
Kitaip sakant, nėra aiški šios išlygos esmė bei sprendimo dėl vykdymo užtikrinimo priemonės skyrimo galimybė bei jo terminas tuo atveju, kai sprendimo priėmimo metu pažeidimas jau nutrauktas ar trūkumas pašalintas. Be to, šioje dalyje prieš formuluotę „nuo jo paaiškėjimo dienos“ įrašytina formuluotė „jeigu praėjo ne daugiau kaip 2 metai“. Pritarti Pasiūlymas:
Projekto 28 straipsnio 7 dalį išdėstyti taip:
„7. Sprendimas dėl vykdymo užtikrinimo priemonės skyrimo gali būti
priimtas, jeigu praėjo ne daugiau kaip 2 metai nuo pažeidimo dienos (išskyrus atvejus, kai sprendimo dėl vykdymo užtikrinimo priemonės skyrimo metu pažeidimas ar trūkumas jau yra ištaisytas) , o kai pažeidimas trunkamasis
nuo jo paaiškėjimo dienos.“
84Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(28 )
84Svarstytina,
ar keičiamo įstatymo 28 straipsnis neturėtų būti papildytas nuostatomis dėl šio straipsnio 7 dalyje minimo Nacionalinio kibernetinio saugumo centro sprendimo apskundimo galimybės. Nepritarti Argumentai: Nacionalinio kibernetinio saugumo centro sprendimo apskundimo galimybės nustatytos Projekto 7 straipsnio 4 dalyje.. 85. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(29 )3
įstatymo 29 straipsnio 3 dalyje turėtų būti patikslinta dispozicinė nuoroda į šio įstatymo 7 straipsnio 2 dalies 6 ir 7 punktus (o ne 2 dalies 6 ir 7 dalis). Pritarti Pasiūlymas: Projekto 29 straipsnio 3 dalį išdėstyti taip: „3.
Pažeidimais, priskiriamais vidutinio pavojingumo pažeidimams, yra laikomi šio įstatymo 7 straipsnio 2 dalies 6 ir 7 dalyse punktuose ,
reikalavimų pažeidimai ar trukdymas institucijoms atlikti šio įstatymo 27 straipsnio 3 dalyje joms priskirtas funkcijas, taip pat šio įstatymo 17 straipsnyje nustatytų reikalavimų pažeidimai, jeigu juos atliko aukščiausio lygio domenų vardų registro paslaugas teikiantis subjektai.“
86Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(29 )1
keičiamo įstatymo 29 straipsnio 1 dalyje ir nurodyta, kad pažeidimais laikomi ir trukdymas šio įstatymo 4 straipsnio 2 ir 3 dalyse nurodytoms institucijoms, įskaitant jų pasitelktus subjektus, atlikti joms priskirtas funkcijas, tačiau kitose šio straipsnio nuostatose, kuriose nurodomi pažeidimų pavojingumo lygiai bei vardijami šiems lygiams priskirtini pažeidimai, nėra nurodyta kokiam pavojingumo lygiui būtų priskiriamas trukdymas institucijoms atlikti joms priskirtas funkcijas. Nepritarti Argumentai:
Trukdymas nustatytas šio straipsnio 3 dalyje. Kitose dalyse trukdymas kaip pažeidimas nenustatomas, nes neidentifikuota, kad tai turėtų būti laikoma pažeidimu. 87. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(30 )2
keičiamo įstatymo nuostatas tarpusavyje, keičiamo įstatymo 30 straipsnio 2 dalies nuostatoje iki dvitaškio prieš žodį „dydžiai“ įrašytinas žodis
„maksimalūs“. Be to, šioje dalyje po žodžio „Už“ įrašytina formuluotė „šio
įstatymo“. Pritarti Pasiūlymas: Projekto 30 straipsnio 2 dalį išdėstyti taip: „2. Už šio įstatymo
skiriamų baudų maksimalūs dydžiai:“
88Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(30 )2 3,4 88.
Nelogiškas ir teisiškai ydingas yra keičiamo įstatymo 30 straipsnio 2 dalies 3 ir 4 punktuose nustatytas reguliavimas, pagal kurį Nacionalinis kibernetinio saugumo centras turėtų teisę skirti baudą valstybės biudžetinėms įstaigoms. Nesuprantama būtų tokios baudos paskirtis, nes biudžetinei įstaigai, valstybės funkcijų vykdymui gaunančiai valstybės biudžeto asignavimus, sumokėjusi baudą į tą patį valstybės biudžetą, būtų apribotos galimybės tinkamam jos funkcijų vykdymui. Būtų logiška ir suprantama galima administracinė ar tarnybinė atsakomybė biudžetinės įstaigos vadovui, tačiau ne finansinė atsakomybė valstybės biudžetinei įstaigai. Taip pat nėra aiškus formuluotės
„valstybės biudžetinės įstaigos bendros metinės pajamos“ turinys (galbūt
turimi omenyje valstybės biudžeto asignavimai). Nepritarti Argumentai: Vertinant administracinių baudų skyrimą valdžios institucijoms ir įstaigoms buvo vertinti keli galimi modeliai: valdžios institucijoms ir įstaigoms neskirti TIS 2 direktyvos numatytų administracinių baudų (pvz., taip savo įstatymuose ketina nustatyti Kroatija, Belgija); skirti tokias pačias, kaip ir kitiems subjektams; nustatyti kitokio dydžio baudas. Siūloma nustatyti mažesnes baudų valdžios institucijoms ir įstaigoms viršutines ribas, siekiant turėti priemonę drausminti valdžios institucijas ir įstaigas, bet kartu nesukelti didelio pavojaus, kad, pritaikius maksimalų baudos dydį, bus sutrikdyta jų veikla ir prireiks perskirstyti valstybės biudžetą (institucija galimai įstengtų tokio dydžio baudas sumokėti iš jai skirtų asignavimų). Papildomai pažymėtina, kad pasirinkta analogija kaip su Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme numatytų teisiniu reguliavimu, kuriame už asmens duomenų apsaugos pažeidimus numatomos baudos ir biudžetinės įstaigoms.
Atsižvelgiant į tai, kad Kibernetinio saugumo įstatyme numatomos baudos už reikalavimų susijusių su kibernetiniu saugumu (kas savaime taip pat laikoma duomenų apsauga) pažeidimus, laikytina, kad panašūs teisiniai santykiai turi būti reguliuojami laikantis tų pačių principų. 89. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(30 )4
įstatymo 30 straipsnio 4 dalyje turi būti pateikta nuoroda ne į šio įstatymo
Pasiūlymas: Projekto 30 straipsnio 4 dalį išdėstyti taip:
„4. Nustatomas konkretus baudos dydis turi būti
veiksmingas, proporcingas padarytam pažeidimui ir atgrasantis nuo pažeidimų darymo ateityje. Nustatant konkretų baudos dydį atsižvelgiama į 28 straipsnio 3 –5 daly se je nurodytas aplinkybes, išskyrus 28 straipsnio 5 dalies 2 punkte nurodytą aplinkybę.“
90Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(31 )8
teisinio aiškumo, keičiamo įstatymo 31 straipsnio 8 dalyje po žodžių
„nustatyto termino“ įrašytini žodžiai „paaiškinimams pateikti“. Pritarti
Pasiūlymas: Projekto 31 straipsnio 8 dalį išdėstyti taip:
„8. Kai baudos skyrimas svarstomas rašytinės
procedūros tvarka, Nacionalinis kibernetinio saugumo centras sprendimą dėl baudos skyrimo priima per 20 darbo dienų nuo šio įstatymo 27 straipsnio87 dalyje nustatyto termino paaiškinimams pateikti pabaigos. Jei baudos skyrimas svarstomas žodinės procedūros tvarka posėdyje, Nacionalinis kibernetinio saugumo centras sprendimą dėl baudos skyrimo priima per 20 darbo dienų nuo posėdžio dienos.
<...>
.“
91Seimo kanceliarijos Teisės departamentas,
Atsižvelgus į keičiamo įstatymo 31 straipsnio 10 - 13 dalių turinį, siūlytina
atitinkamai 11 – 13 dalimis. Pritarti Pasiūlymas: Projekto 31 straipsnio 10-13 dalis išdėstyti taip: „10. Bauda neskiriama, jeigu kibernetinio saugumo subjektui už tą patį pažeidimą jau buvo skirta bauda vadovaujantis Reglamento (ES) 2016/679
. Nacionalinio kibernetinio saugumo centro sprendimas dėl baudos skyrimo gali būti skundžiamas teismui Administracinių bylų teisenos įstatymo nustatyta tvarka“
sprendimas dėl baudos skyrimo gali būti skundžiamas teismui Administracinių bylų teisenos įstatymo nustatyta tvarka . turi būti įvykdytas ne vėliau kaip per 3 mėnesius nuo dienos, kurią jis buvo įteiktas subjektui, kuriam bauda paskirta. Apskundus Nacionalinio kibernetinio saugumo centro sprendimą dėl baudos skyrimo, jis turi būti įvykdytas ne vėliau kaip per 3 mėnesius nuo teismo sprendimo, kuriuo baudos skyrimas pripažįstamas pagrįstu, įsiteisėjimo dienos. Bauda turi būti sumokėta į valstybės biudžetą. 12. Nacionalinio kibernetinio saugumo centro sprendimas dėl baudos skyrimo turi būti įvykdytas ne vėliau kaip per 3 mėnesius nuo dienos, kurią jis buvo įteiktas subjektui, kuriam bauda paskirta. Apskundus Nacionalinio kibernetinio saugumo centro sprendimą dėl baudos skyrimo, jis turi būti įvykdytas ne vėliau kaip per 3 mėnesius nuo teismo sprendimo, kuriuo baudos skyrimas pripažįstamas pagrįstu, įsiteisėjimo dienos. Bauda turi būti sumokėta į valstybės biudžetą . Nacionalinio kibernetinio saugumo centro sprendimas dėl baudos skyrimo yra vykdomasis dokumentas, vykdomas Civilinio proceso kodekso nustatyta tvarka. Jis gali būti pateiktas vykdyti ne vėliau kaip per 3 metus nuo priėmimo dienos. 13.
vykdomasis dokumentas, vykdomas Civilinio proceso kodekso nustatyta tvarka. Jis gali būti pateiktas vykdyti ne vėliau kaip per 3 metus nuo priėmimo dienos . Bauda neskiriama, jeigu kibernetinio saugumo subjektui už tą patį pažeidimą jau buvo skirta bauda vadovaujantis Reglamento (ES) 2016/679
.“
92Seimo kanceliarijos Teisės departamentas,
2024-06-03 1( 32), 1(
nurodyti kokios jurisdikcijos ir kokios pakopos teismas priima šiame straipsnyje nurodytas nutartis laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsniui. Nepritarti Argumentai: Atsižvelgiant į tai, kad kituose įstatymuose panašūs santykiai (nurodymas viešojo administravimo subjektui į kurį teismą kreiptis) nereguliuojami nurodant teismingumą, projekte siūlome nurodyti kokios jurisdikcijos ir kokios pakopos teismas turėtų priimti 32 straipsnyje nurodytas nutartis – atitinkama informacija nurodoma Projekto aiškinamajame rašte. Ši pozicija priimta konsultuojantis su Lietuvos Respublikos teisingumo ministerija ir Nacionaline teismų administracija. 93. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(
keičiamo įstatymo nuostatas tarpusavyje, keičiamo įstatymo 32 straipsnio 1 dalyje (o taip pat ir kitose atitinkamose šio straipsnio nuostatose) po formuluotės „laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla“ įrašytina formuluotė „ar teikti paslaugas“. Pritarti Pasiūlymas:
Projekto 32 straipsnį išdėstyti taip: „1.
Teismas, gavęs Nacionalinio kibernetinio saugumo centro prašymą, nutartimi turi teisę laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas , jeigu nustatoma, kad šio įstatymo 28 straipsnio 1 dalies 1–4 ir 6 punktuose numatytų vykdymo užtikrinimo priemonių taikymas yra neveiksmingas.<...>. 2. Nacionalinis kibernetinio saugumo centras, prieš kreipdamasis į teismą su prašymu laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas šio straipsnio 1 dalyje nurodytu pagrindu, privalo esminį subjektą informuoti pateikdamas esminę informaciją apie teisės aktų nuostatas ir nustatytus faktinius duomenis, kurie sudaro laikino teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymo pagrindus, ir nustatyti terminą, kuris negali būti trumpesnis kaip 10 darbo dienų nuo pranešimo įteikimo dienos, iki kurio esminis subjektas turi imtis būtinų veiksmų nustatytiems trūkumams pašalinti ar reikalavimams įvykdyti. <...>. 3. Nacionalinio kibernetinio saugumo centro prašyme teismui dėl teisės laikinai sustabdyti teisę užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas turi būti nurodyta:
<...>
esminio subjekto vykdoma veikla ar teikti paslaugas esminis subjektas juridinis asmuo įpareigojamas laikinai nutraukti visą steigimo dokumentuose numatytą ūkinę, komercinę, finansinę, profesinę veiklą ar jos dalį ir uždaryti visus šia veikla ar jos dalimi susijusius padalinius.
Nutartyje nurodomas laikino esminio subjekto juridinio asmens veiklos sustabdymo terminas, kuris negali būti ilgesnis kaip 4 mėnesiai. <...> Pratęsimu skaičius neribojamas , bet visais atvejais laikinas teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymas negali trukti ilgiau, nei to reikia, kad būtų užtikrinamas šio įstatymo nuostatų laikymasis . 5. Nutartis, kuria laikinai sustabdoma teisė užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas dalis ar visa juridinio asmens veikla , nedelsiant nusiunčiama antstoliui vyk d yti, Nacionaliniam kibernetinio saugumo centrui ir, prireikus, atitinkamo viešo registro informacinės sistemos tvarkytojui. 6. Nutartis , kuria laikinai sustabdoma teisė užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas, esminiam subjektui ar jo atstovui paskelbiama Civilinio proceso kodekso nustatyta tvarka. 7. Esminis subjektas teismo nutartį laikinai sustabdyti esminio subjekto veiklą ar teikti paslaugas, taip pat nutartį pratęsti šios priemonės taikymo terminą gali apskųsti aukštesnės instancijos teismui per
teismo priimta nutartis yra galutinė ir neskundžiama. 8. Teismas privalo panaikinti juridinio asmens veiklos laikiną sustabdymą, kai ši priemonė pasidaro nebereikalinga ir Nacionalinis kibernetinio saugumo centras prašo panaikinti laikiną sustabdymą.
Nacionalinis kibernetinio saugumo centras, gavęs motyvuotą esminio subjekto, kurio visa ar dalis veiklos ar paslaugų teikimas buvo sustabdyta, prašymą ir nustatęs, kad esminio subjekto juridinio asmens veiklos ar paslaugų teikimo laikinas sustabdymas yra nebereikalingas, ne vėliau kaip per 7 darbo dienas nuo prašymo gavimo dienos kreipiasi į teismą dėl laikino sustabdymo panaikinimo. Teismas panaikina esminio subjekto veiklos ar paslaugų teikimo laikiną sustabdymą, kai ši priemonė pasidaro nebereikalinga ir Nacionalinis kibernetinio saugumo centras prašo panaikinti laikiną sustabdymą . 9. Nacionalinis kibernetinio saugumo centras informaciją apie esminį subjektą, kuriam laikinai sustabdyta teisė užsiimti dalimi ar visa esminio subjekto juridinio asmens vykdoma veikla ar teikti paslaugas, skelbia savo interneto svetainėje visu šios vykdymo užtikrinimo priemonės taikymo laikotarpiu . “
94Seimo kanceliarijos Teisės departamentas,
įstatymo 32 straipsnio 4, 5, 8 ir 9 dalyse vietoje sąvokos „juridinis asmuo“ vartotina sąvoka „esminis subjektas“. Pritarti Žr. Pasiūlymą prie 92 TD pastabos . 95. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(
nuostatą „Pratęsimų skaičius neribojamas“ papildyti nuostata „bet visais atvejais laikinas teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymas negali trukti ilgiau, nei to reikia, kad būtų užtikrinamas šio įstatymo nuostatų laikymasis“. Pritarti
prie 92 TD pastabos
96Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(
6 96.
Siekiant teisinio aiškumo, keičiamo įstatymo 32 straipsnio 5 dalyje vietoj žodžio
„vykyti“ rašytinas žodis „vykdyti“, o po žodžio „nutartis“ vietoje
formuluotės „kuria laikinai sustabdoma dalis ar visa juridinio asmens veikla“ įrašytina formuluotė „kuria laikinai sustabdoma teisė užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas“. Be to, siūlytina šia formuluote papildyti ir keičiamo įstatymo 32 straipsnio 6 dalį. Pritarti
prie 92 TD pastabos
97Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(
teisinio aiškumo, siūlytina keičiamo įstatymo 32 straipsnio 7 dalyje po žodžio „veiklą“ įrašyti formuluotę „taip pat nutartį pratęsti šios priemonės taikymo terminą“. Taip pat siūlytina šią dalį papildyti sakiniu „Šio teismo priimta nutartis yra galutinė ir neskundžiama“. Pritarti
prie 92 TD pastabos
98Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(
įstatymo 32 straipsnio 7 dalyje reikėtų nurodyti konkretų teismą (turbūt apygardos), kuriam gali būti skundžiama teismo nutartis dėl laikino teisės užsiimti dalimi ar visa esminio subjekto vykdoma veikla ar teikti paslaugas sustabdymo. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsnio 8 daliai. Nepritarti Argumentai:
Atsižvelgiant į tai, kad kituose įstatymuose panašūs santykiai reguliuojami nenurodant konkretaus teismo, siūlytina reguliavimo nurodant konkretų teismą netikslinti. 99. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1(
8
dėmesys, kad nei keičiamo įstatymo 32 straipsnio 7 dalyje, nei šio straipsnio
paslaugų teikimo laikino sustabdymo. Atsižvelgus į tai, projektas koreguotinas. Nepritarti Argumentai: Jau yra nustatyta 32 straipsnio 7 dalyje.
Pažymėtina, kad kaip visiškai savarankiška teismo pareiga tai nenumatoma, atsižvelgiant į tai, kad teismas neturi pareigas rinkti informacijos dėl priemonės reikalingumo. 100. Seimo kanceliarijos Teisės departamentas, 2024-06-03 1( 32), 1(33 )89
formuluotės „privalo panaikinti“ įrašyti žodį „panaikina“, nes Lietuvos Respublikos teisinėje sistemoje, atsižvelgiant, be kita ko, į teismų nepriklausomumo reikalavimą, reguliuojant teismų priimamų procesinių sprendimų pobūdį tokia terminologija nėra naudojama. Be to, atsižvelgus į šios dalies turinį, siūlytina jos sakinius sukeisti vietomis. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsnio 9 daliai. Pritarti Žr. Pasiūlymą prie 92 TD pastabos Pasiūlymas:
Projekto 33 straipsnio 9 dalį išdėstyti taip: „
esminio subjekto vadovo nušalinimą nuo pareigų ar laikiną teisės užsiimti tam tikra veikla sustabdymą, kai Nacionalinis kibernetinio saugumo centras prašo panaikinti laikiną sustabdymą. Nacionalinis kibernetinio saugumo centras, gavęs motyvuotą nušalinto esminio subjekto vadovo prašymą ir nustatęs, kad esminio subjekto vadovo nušalinimas yra nebereikalingas, ne vėliau kaip per 7 darbo dienas nuo prašymo gavimo dienos privalo prašyti teismo panaikinti laikiną esminio subjekto vadovo nušalinimą nuo pareigų sustabdymą . Teismas panaikina laikiną esminio subjekto vadovo nušalinimą nuo pareigų, kai ši priemonė pasidaro nebereikalinga ir Nacionalinis kibernetinio saugumo centras prašo panaikinti laikiną esminio subjekto vadovo nušalinimą nuo pareigų . “
101Seimo kanceliarijos Teisės departamentas,
Siekiant teisinio aiškumo, siūlytina keičiamo įstatymo 32 straipsnio 9 dalyje numatyti kiek laiko turi būti skelbiama šioje dalyje minima informacija apie esminį subjektą, taip pat prieš žodį „subjektą“ įrašytinas žodis „esminį“. Analogiško turinio pastaba taikytina ir keičiamo įstatymo 33 straipsnio 10 daliai. Pritarti Žr. Pasiūlymą prie 92 TD pastabos Pasiūlymas:
Projekto 33 straipsnio 10 dalį išdėstyti taip:
„10. Nacionalinis kibernetinio saugumo centras informaciją apie
esminį subjektą, kurio vadovas laikinai nušalintas nuo pareigų, skelbia savo interneto svetainėje visu šios vykdymo užtikrinimo priemonės taikymo laikotarpiu. “
102Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(33 )5
po žodžio „nutartis“ įrašyti formuluotę „kuria esminio subjekto vadovas laikinai nušalinamas nuo pareigų“. Pritarti Pasiūlymas: Projekto 33 straipsnio 5 dalį išdėstyti taip: „5. Nutartis, kuria esminio subjekto vadovas laikinai nušalinamas nuo pareigų , esminio subjekto vadovui ar jo atstovui paskelbiama Civilinio proceso kodekso nustatyta tvarka.“
103Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(33 )6
esančios formuluotės „fizinis asmuo“ įrašytina formuluotė „esminio subjekto vadovas“. Pritarti Pasiūlymas: Projekto 33 straipsnio 6 dalį išdėstyti taip:
„6. Nuo teismo nutarties laikinai nušalinti esminio subjekto vadovą
nuo pareigų paskelbimo dienos nušalintas nuo pareigų esminio subjekto vadovas fizinis asmuo neturi teisės atlikti savo funkcijų ir visi po tokio teismo sprendimo paskelbimo dienos jo priimti sprendimai yra negaliojantys.“
104Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(33 )7
keistini skaičiais.
Pritarti Pasiūlymas: Projekto 33 straipsnio 7 dalį išdėstyti taip:
„7. Laikinas esminio subjekto vadovo nušalinimas nuo pareigų negali
trukti ilgiau kaip šešis6 mėnesius. Prireikus šios priemonės taikymas gali būti pratęstas dar iki trijų3 mėnesių. Pratęsimų skaičius neribojamas, bet visais atvejais nušalinimas nuo pareigų negali trukti ilgiau, nei to reikia, kad būtų užtikrinamas šio įstatymo nuostatų laikymasis.“
105Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(33 )9
straipsnyje reglamentuojamas esminio subjekto vadovo laikinas nušalinimo nuo pareigų, o ne laikino teisės užsiimti tam tikra veikla sustabdymo klausimas. Be to, siūlytina pirmąjį šios dalies sakinį papildyti formuluote „kai ši priemonė yra nebereikalinga“. Pritarti Pasiūlymas: Projekto 33 straipsnio 9 dalį išdėstyti taip:
„9. Teismas privalo panaikinti laikiną esminio subjekto vadovo
nušalinimą nuo pareigų ar laikiną teisės užsiimti tam tikra veikla sustabdymą, kai Nacionalinis kibernetinio saugumo centras prašo panaikinti laikiną sustabdymą Nacionalinis kibernetinio saugumo centras, gavęs motyvuotą nušalinto esminio subjekto vadovo prašymą ir nustatęs, kad esminio subjekto vadovo nušalinimas yra nebereikalingas, ne vėliau kaip per 7 darbo dienas nuo prašymo gavimo dienos privalo prašyti teismo panaikinti laikiną esminio subjekto vadovo nušalinimą nuo pareigų. Teismas panaikina laikiną esminio subjekto vadovo nušalinimą nuo pareigų, kai ši priemonė pasidaro nebereikalinga ir Nacionalinis kibernetinio saugumo centras prašo panaikinti laikiną esminio subjekto vadovo nušalinimą nuo pareigų .“
106Seimo kanceliarijos Teisės departamentas,
Siekiant teisinio aiškumo, keičiamo įstatymo 35 straipsnio 5 dalies iki dvitaškio nuostatą, nustatančią Nacionalinio kibernetinio saugumo centro sprendimo dėl papildomų įgaliojimų apribojimų turinį, siūlome dėstyti atskiroje naujoje dalyje. Taip pat siūlytina po formuluotės „6 mėnesiai“ įrašyti nuo kurios datos jie bus skaičiuojami. Analogiško turinio pastaba taikytina ir šio straipsnio 8 dalies nuostatai iki dvitaškio. Pritarti Pasiūlymas:
Projekto 35 straipsnio 5,6,7,8 ir 9 dalis išdėstyti taip: atliekant pernumeravimą taip:
„5. Papildomi įgaliojimai apribojami Nacionalinio
kibernetinio saugumo centro sprendimu, kuriame nurodomas papildomų įgaliojimų apribojimo pagrindas, taikomi apribojimai ir, jeigu papildomi įgaliojimai apribojami šio s straipsnio 6 dalies 2 punkte nustatytu pagrindu, terminas, kuris negali būti ilgesnis kaip 6 mėnesiai sprendimo apriboti papildomus įgaliojimus priėmimo dienos ir per kurį atitikties vertinimo įstaiga turi pašalinti pažeidimus, dėl kurių apribojami papildomi įgaliojimai. kai yra bent viena iš šių sąlygų: <...>. 6. Papildomi įgaliojimai apribojami, kai yra bent viena iš šių sąlygų Priėmus sprendimą apriboti papildomus įgaliojimus, atitikties vertinimo įstaigai draudžiama vykdyti sprendime nurodytas užduotis pagal Europos kibernetinio saugumo sertifikavimo schemą, dėl kurios buvo išduoti papildomi įgaliojimai. :
1) pasikeitė Europos kibernetinio saugumo sertifikavimo schemoje nustatyti specialieji ar papildomi reikalavimai;
2) Nacionalinis kibernetinio saugumo centras, atlikdamas tyrimą, nustato, kad atitikties vertinimo įstaiga nesilaiko Reglamento (ES) 2019/881 reikalavimų arba pažeidė Europos kibernetinio saugumo sertifikavimo schemoje, dėl kurios buvo suteikti papildomi įgaliojimai, nustatytus reikalavimus;
3) Lietuvos Respublikos atitikties įvertinimo įstatymo nustatyta tvarka pakeistas akreditavimo pažymėjimas. 7.
atitikties vertinimo įstaiga ne vėliau kaip per 7 mėnesius nuo sprendimo apriboti papildomus įgaliojimus priėmimo dienos pateikia prašymą, o Nacionalinis kibernetinio saugumo centras atlieka tyrimą šio įstatymo 36 straipsnyje nustatyta tvarka ir nustato šio straipsnio 9 dalyje nustatytas sąlygas. , kad:. 1) atitikties įvertinimo įstaiga atitinka Europos kibernetinio saugumo sertifikavimo schemoje nustatytus reikalavimus, jeigu papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 1 punkte nustatytu pagrindu;
2) atitikties įvertinimo įstaiga per Nacionalinio kibernetinio saugumo centro nustatytą terminą pašalino pažeidimus, dėl kurių papildomi įgaliojimai buvo apriboti;
3) Lietuvos Respublikos atitikties vertinimo įstatymo nustatyta tvarka keičiant akreditavimo pažymėjimą nėra susiaurinta akreditavimo sritis, dėl kurios buvo išduoti papildomi įgaliojimai, jeigu papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 3 punkte nustatytu pagrindu. 8. Papildomų įgaliojimų apribojimas panaikinamas, kai atitikties vertinimo įstaiga ne vėliau kaip per 7 mėnesius nuo sprendimo apriboti papildomus įgaliojimus priėmimo dienos pateikia prašymą, o Nacionalinis kibernetinio saugumo centras atlieka tyrimą šio įstatymo 36 straipsnyje nustatyta tvarka ir nustato šio straipsnio 9 dalyje nustatytas sąlygas. Papildomi įgaliojimai sustabdomi Nacionalinio kibernetinio saugumo centro sprendimu.
Šiame sprendime nurodomas papildomų įgaliojimų sustabdymo pagrindas ir, jeigu papildomi įgaliojimai sustabdomi šios dalies 2 punkte nustatytu pagrindu, terminas, kuris negali būti ilgesnis kaip 6 mėnesiai ir per kurį atitikties vertinimo įstaiga turi pašalinti pažeidimus, dėl kurių sustabdomi papildomi įgaliojimai, kai yra bent viena iš šių sąlygų:
vertinimo įstaiga pateikė prašymą Nacionaliniam kibernetinio saugumo centrui sustabdyti jai suteiktus papildomus įgaliojimus prašyme nurodytam terminui, kuris negali būti ilgesnis kaip 6 mėnesiai;
kibernetinio saugumo centras, atlikdamas tyrimą, nustato, kad atitikties vertinimo įstaiga, kurios papildomi įgaliojimai buvo apriboti šio straipsnio
centro nustatytą terminą nepašalino pažeidimų, dėl kurių papildomi įgaliojimai buvo apriboti;
vertinimo įstatymo nustatyta tvarka sustabdomas akreditavimo pažymėjimo galiojimas . 9. Papildomų įgaliojimų apribojimo panaikinimo sąlygos sustabdymas panaikinamas, kai atitikties vertinimo įstaiga ne vėliau kaip per 7 mėnesius nuo sprendimo sustabdyti papildomus įgaliojimus priėmimo dienos pateikia prašymą, o Nacionalinis kibernetinio saugumo centras atlieka tyrimą šio įstatymo
: <...>.“
107Seimo kanceliarijos Teisės departamentas,
2024-06-03 1(35 )
nuostatomis dėl šiame straipsnyje numatytų Nacionalinio kibernetinio saugumo centro sprendimų apskundimo tvarkos. Nepritarti Argumentai: Nacionalinio kibernetinio saugumo centro sprendimų apskundimo tvarka jau yra nustatyta 7 straipsnio 4 dalyje. 108. Seimo kanceliarijos Teisės departamentas, 2024-06-031 priedas 1.1.6, 2.3.2 108.
Keičiamo įstatymo 1 priedo 1.1.6 papunktyje, atsižvelgiant į tai, kad pilnas direktyvos pavadinimas jau yra nurodytas šio priedo 1.1.5 papunktyje, nurodytinas sutrumpintas direktyvos pavadinimas. Analogiška pastaba taikytina ir keičiamo įstatymo priedo 2.3.2 papunkčiui. Pritarti Pasiūlymas 1: Projekto 1 priedo 1.1.6 papunktį išdėstyti taip:
„1.1.6. Elektros energijos rinkos dalyviai, kaip
apibrėžta
Tarybos r R eglamento (ES) 2019/ (ES) 2019/943 dėl elektros energijos vidaus rinkos 2 straipsnio 25 punkte, teikiantys elektros energijos paklausos telkimo, energijos kaupimo paslaugas, , bei teikiantys elektros energijos reguliavimo apkrovos paslaugas.“ Pasiūlymas 2: Projekto 1 priedo 2.3.2 papunktį išdėstyti taip:
„2.3.2. Uostus, , įskaitant jų uosto įrenginius,
kaip apibrėžta
R eglamento (EB) Nr. 725/2004 dėl laivų ir uostų įrenginių apsaugos stiprinimo
subjektai, eksploatuojantys uostuose esančias įmones ir įrenginius.“
109Seimo kanceliarijos Teisės departamentas,
priedas1
109Keičiamo įstatymo 3 priedo 1 punkte brauktina perteklinė nuostata „2019 m.
balandžio 17 d. Europos Parlamento ir Tarybos reglamentas“ (ES) 2019/881 dėl ENISA (Be to, šio punkto pabaigoje po žodžių ir skaičių „Reglamentas (ES) Nr. 526/2013“ įrašytina „(Kibernetinio saugumo aktas)“. Pritarti Pasiūlymas: Projekto
išdėstyti taip:
„1. 2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentas
(ES) 2019/881 dėl ENISA (2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentas (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013 (Kibernetinio saugumo aktas) .“ 110.
Seimo kanceliarijos Teisės departamentas,
priedas3
2016/1148“ įrašytina „(TIS 2 direktyva)“. Pritarti Pasiūlymas: Projekto
išdėstyti taip:
„3. 2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyva
(ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148 (TIS 2 direktyva) .“
111Seimo kanceliarijos Teisės departamentas,
2024-06-032 3, 5, 6, 7, 9,10 111.Projekto 2 straipsnio nuostatos tikslintinos taip:
Pasiūlymas: Projekto
išdėstyti taip: „ 3.
Nacionalinis kibernetinio saugumo centras iki 2025 m. balandžio 17 d. identifikuoja šio įstatymo
įstatymo 1 ir 2 prieduose nurodytuose sektoriuose veikiančius kibernetinio saugumo subjektus, atitinkančius šiuo įstatymu nauja redakcija išdėstyto Kibernetinio saugumo įstatymo 11 straipsnyje nustatytus reikalavimus, ir juos įtraukia į Kibernetinio saugumo subjektų registro informacinę sistemą .
<...>
užtikrinti jų valdomų tinklų ir informacinių sistemų atitiktį šio įstatymo
šiuo įstatymu nauja redakcija išdėstyto Lietuvos Respublikos kibernetinio saugumo įstatymo14 straipsnio 1 dalyje nurodytoms kibernetinio saugumo rizikos valdymo priemonėms. 6. <...> Kibernetinio saugumo įstatymo 22 straipsnio nuostatos dėl saugos įgaliotinio skyrimo ir atitikimo reikalavimams, toliau savo pareigas vykdo šio įstatymo 1 straipsnyje išdėstyto Kibernetinio saugumo įstatymo šiuo įstatymu nauja redakcija išdėstyto Lietuvos Respublikos kibernetinio saugumo įstatymo15 straipsnio nustatyta tvarka. <...>
r as šio straipsnio 4 ir 5 dalyje nurodytais atvejais atlieka ryšių ir informacinių sistemų atitikties organizaciniams ir techniniams kibernetinio saugumo reikalavimams,
<...>
galiojusio galiojusiu Kibernetinio saugumo įstatymu pradėtos procedūros, tęsiamos ir baigiamos vadovaujantis iki šio įstatymo įsigaliojimo galiojusiomis Kibernetinio saugumo įstatymo ir jį įgyvendinančių teisės aktų nuostatomis. 10. Kituose teisės aktuose vartojama sąvoka „ryšių ir informacinė sistema“ atitinka šio įstatymo 1 straipsnyje išdėstytame Kibernetinio saugumo įstatyme šiame įstatyme vartojamą sąvoką „tinklų ir informacinė sistema“.“ 112.
Seimo kanceliarijos Teisės departamentas, 2024-06-033 1,2
112Projekto 3 straipsnio 1 ir 2 dalyse vietoj žodžių „šiame įstatyme“ įrašytina formuluotė „šio įstatymo 1 straipsnyje išdėstytame Kibernetinio saugumo įstatyme“. Pritarti Pasiūlymas:
Projekto 3 straipsnio 1 ir 2 dalis išdėstyti taip:
„1. Krašto apsaugos ministerija atlieka šio įstatymo 1 straipsnyje išdėstytame Kibernetinio saugumo įstatyme šiame įstatyme nustatyto galiojančio teisinio reguliavimo, susijusio su kibernetiniu saugumu, poveikio ex post vertinimą (toliau – ex post vertinimas). 2. Atliekant ex post vertinimą, turi būti nustatyta, kokį poveikį šio įstatymo 1 straipsnyje išdėstytame Kibernetinio saugumo įstatyme šiame įstatyme nustatytos priemonės, susijusios su kibernetiniu saugumu, turėjo kibernetinio saugumo subjektams.“
3Piliečių, asociacijų, politinių partijų, lobistų ir kitų suinteresuotų asmenų pasiūlymai:
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę str. str. d. p. 1. Lietuvos bankų asociacija , 2024-06-03 DĖL LIETUVOS RESPUBLIKOS KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 PAKEITIMO ĮSTATYMO PROJEKTO NR. XIVP-3815 <...> Dėl Įstatymo projekto 15 straipsnio taikymo. Bankininkystės sektoriaus kibernetinį saugumą Europos Sąjungos lygiu reguliuoja keletas teisės aktų, kai kurie iš jų yra tiesioginio taikymo dokumentai, o kai kurie direktyvos, kurios turi būti perkeliamos į nacionalinę teisę:
1Europos Parlamento ir Tarybos 2022 m. gruodžio 14 d. reglamentas (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje (toliau – DORA reglamentas);
2.
Europos Parlamento ir Tarybos 2022 m. gruodžio 14 d. direktyva (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti (toliau – NIS2 direktyva). DORA reglamente (5 straipsnis) finansų sektoriui jau yra nustatyti konkretūs valdymo ir organizavimo reikalavimai bei atsakomybės IRT srityje. Pvz. DORA reglamento 5 straipsnyje nustatyta, kad finansų sektoriaus subjektai įdiegia vidaus valdymo ir kontrolės sistemą, kuria užtikrinamas veiksmingas ir prudencinis IRT rizikos valdymas, kad būtų užtikrintas aukšto lygio skaitmeninės veiklos atsparumas. Taip pat nurodyta, kad finansų sektoriaus subjekto valdymo organas nustato, tvirtina, prižiūri visų priemonių, susijusių su IRT rizikos valdymo sistema, įgyvendinimą ir už jį atsako. Papildomai, finansų sektoriaus subjektai turi sukurti pareigybę, skirtą susitarimų, sudarytų su IRT paslaugas teikiančiomis trečiosiomis šalimis dėl IRT paslaugų naudojimo, stebėsenai, arba paskirti vyresniosios vadovybės narį, atsakingą už gresiančios susijusios rizikos ir atitinkamų dokumentų priežiūrą. DORA reglamento 5 straipsnio 2 dalyje detaliai išvardinta, kokias funkcijas (pareigas) turi vykdyti valdymo organas, kad užtikrintų skaitmeninės veiklos atsparumą. Be to, DORA reglamento 6 straipsnyje numatyta pareiga turėti IRT rizikos valdymo sistemą. Minėto straipsnio 1 dalyje reikalaujama, kad finansų sektoriaus subjektai kaip savo bendros rizikos valdymo sistemos dalį turėtų patikimą, išsamią ir gerai dokumentais pagrįstą IRT rizikos valdymo sistemą, kuri jiems leistų greitai, veiksmingai ir išsamiai mažinti IRT riziką ir užtikrinti aukšto lygio skaitmeninės veiklos atsparumą Įstatymo projekto 1 str. 3 ir 4 dalyse numatyta dalinė išimtis dėl Kibernetinio saugumo įstatymo taikymo finansų sektoriui.
Tačiau ši išimtis yra ribota ir siauresnė nei leidžia DORA reglamentas ir NIS 2 direktyva. Išimtis apsiriboja tik Kibernetinio saugumo valdymo priemonėmis (Įstatymo projekto 14 str.), už kibernetinį saugumą atsakingų asmenų veiklos reglamentavimu (Įstatymo projekto 15 str.) ir pranešimu apie didelius kibernetinius incidentus (Įstatymo projekto 18 str. 1 d. 1 p.). Tuo tarpu, savo 2023-09-18 gairėse 2023/C 328/02 dėl NIS2 direktyvos taikymo (NIS2 direktyvos ir DORA reglamento santykio) Europos Komisija patvirtino, kad: „ DORA 1 straipsnio 2 dalyje nustatyta, kad finansų sektoriaus subjektų, kuriems taikoma NIS2 direktyva ir jos atitinkamos perkėlimo į nacionalinę teisę taisyklės, atžvilgiu DORA laikomas konkrečiam sektoriui skirtu Sąjungos teisės aktu NIS2 direktyvos 4 straipsnio tikslais. Šis teiginys atsispindi NIS2 direktyvos 28 preambulės punkte, kuriame teigiama, kad DORA turėtų būti laikoma konkrečiam sektoriui skirtu Sąjungos teisės aktu, susijusiu su NIS2 direktyva, kiek tai susiję su finansų sektoriaus subjektais. Todėl DORA nuostatos, susijusios su informacinių ir ryšių technologijų (IRT) rizikos valdymu (6 ir tolesni straipsniai), su IRT susijusių incidentų valdymu ir visų pirma pranešimu apie didelius su IRT susijusius incidentus (17 ir tolesni straipsniai), taip pat su skaitmeninės veiklos atsparumo testavimu (24 ir tolesni straipsniai), dalijimosi informacija susitarimais (25 straipsnis) ir trečiosios šalies keliama IRT rizika (28 ir tolesni straipsniai) taikomos vietoj NIS2 direktyvoje numatytų nuostatų.
Todėl valstybės narės neturėtų taikyti NIS2 direktyvos nuostatų dėl kibernetinio saugumo rizikos valdymo ir pranešimo pareigų, taip pat priežiūros ir vykdymo užtikrinimo finansų sektoriaus subjektams, kuriems taikoma DORA .“ Atkreipiame dėmesį, kad NIS2 direktyvos 30 straipsnio 2 dalyje kibernetinio saugumo subjektams nustatoma teisė savanoriškai teikti pranešimus apie kitus nei didelius incidentus, kibernetines grėsmes ir vos neįvykusius incidentus, o Įstatymo projekto projekto 18 straipsnio 1 dalies 2 punkte ir 2 dalyje nustatoma tokių pranešimų teikimo pareiga , tai reiškia, jog griežtinamas teisinis reguliavimas, palyginti su nustatytuoju NIS2 direktyvoje. Abejotina, ar siūlomos nacionalinio teisinio reguliavimo priemonės yra proporcingos ir būtinos, siekiant direktyvos tikslų, bei atitinka minėtą Europos Komisijos išaiškinimą kalbant apie finansų sektoriaus subjektus, kurie jau patenka į DORA reglamento reguliavimo apimtį.
Taip pat manome, kad Įstatymo projekto 18 straipsnio 1 dalies 2 punkto ir 2 dalies nuostatomis būtų sukurtas ydingas teisinis reguliavimas, pagal kurį finansų sektoriaus subjektai, vykdydami tiek DORA reglamento, tiek KSĮ projektu nustatytas pareigas ar naudodamiesi juose įtvirtintomis teisėmis, duomenis apie kibernetinius incidentus, kibernetines grėsmes turėtų skirtinga tvarka teikti dviem institucijoms , o tai neatitiktų nei NIS2 direktyvoje ir DORA reglamente atitinkamoms kompetentingoms institucijoms nustatyto reikalavimo bendradarbiauti ir keistis informacija, gerosios viešojo administravimo praktikos principų (pvz., vieno langelio principo, pareigos institucijoms keistis turima informacija) bei būtų nesuderinama su Lietuvos Respublikos administracinės naštos mažinimo įstatyme nustatytais tikslais (pvz., nauju reguliavimu nesukurti neproporcingos papildomos administracinės naštos, sudaryti geriausias verslo aplinkos sąlygas). Atkreipiame dėmesį, kad analogišką poziciją dėl perteklinių reikalavimų 2024 m. gegužės 10 d. raštu Nr. S 2024/(34.74.E-4200)-12-20044 pateikė ir Lietuvos bankas. Atsižvelgiant į tai kas išdėstyta, prašome Įstatymo projektą pakoreguoti nustatant atitinkamą išimtį, jog viso Įstatymo projekto 18 straipsnio nuostatos (ne tik Įstatymo projekto 18 straipsnio 1 dalies 1 punktas, kaip siūloma) netaikomos finansų sektoriaus subjektams, kuriems taikomas DORA reglamentas , kaip tai pateikta Europos Komisijos išaiškinime lex specialis taisyklę įtvirtinant pilna apimtimi. Pažymėtina, kad tokio susiaurinimo nedaro ir Estijos bei Latvijos įstatymo leidėjai.
Harmonizuotas požiūris per šias tris šalis yra itin svarbus, nes didžiausi rinkoje veikiantys bankai savo veiklą vykdo visose Baltijos šalių jurisdikcijose, todėl skirtingas minėtų ES teisės aktų įgyvendinimas sukeltų ženklius sunkumus bankų veikloje, kas padidintų Lietuvos subjektams administracinę naštą. Atsižvelgti
asociacija , 2024-06-03
Iš Įstatymo projekto nuostatų nėra aišku, kuri institucija - ar Lietuvos bankas ar Krašto apsaugos ministerija, įgyvendins priežiūrines įstatymo laikymosi funkcijas bankų atžvilgiu. Atsižvelgiant į tai, prašome papildyti įstatymo projektą ir finansų sektoriui aktualius įstatymus nustatant, kokia priežiūros institucija vykdys priežiūrą, kaip kredito įstaigos laikosi Kibernetinio saugumo įstatyme nustatytų joms taikomų reikalavimų bei užtikrinti, kad DORA reglamentą įgyvendinančiuose teisės aktuose ir Kibernetinio saugumo įstatyme numatyti priežiūros procesai ir poveikio priemonės būtų suderinti, t.y. nebūtų perteklinių ar prieštaraujančių nuostatų, dvigubų sankcijų ir pan. <...>
asociacija, 2024-06-11 1(11)41 <...> 3. KSĮ 11 str. 4 d. 1 p. siūloma nustatyti, kad svarbių subjektų kategorijai priskiriami asmenys, kurie teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 2 priede nurodytuose sektoriuose ir viršija mažoms įmonėms apibrėžtas ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme („SVVPĮ“).
Asociacijos nuomone, ši Projekto nuostata, ta apimtimi, kuria priskyrimo svarbių subjektų kategorijai kriterijai apibrėžiami vertinant ne KSĮ 2 priede nurodytos veiklos pajamas, o bendrąsias ūkio subjekto pajamas , neatitinka Direktyvos tikslo, prieštarauja konstituciniam asmenų lygiateisiškumo principui ir teisėkūros proporcingumo principui, reiškiančiam, kad pasirinktos teisinio reguliavimo priemonės turi sudaryti kuo mažesnę administracinę ir kitokią naštą, nevaržyti teisinių santykių subjektų daugiau, negu to reikia teisinio reguliavimo tikslams pasiekti. 4. Direktyvoje priskyrimo svarbių subjektų kategorijai kriterijus apibrėžiamas vartojant subjekto rūšies apibrėžtį. Direktyvos 2 str. 1 d. nurodoma, kad Direktyva taikoma I ar II priede nurodytos rūšies viešiesiems ar privatiesiems subjektams, kurie laikomi vidutinėmis įmonėmis, o II priede detalizuojama, kad Direktyva taikoma ne visam maisto gamybos, perdirbimo ir platinimo sektoriui, o tik subjektams, vykdantiems didmeninio platinimo ir pramoninės gamybos bei perdirbimo veiklą. Akivaizdu, kad Direktyvos tikslas nebuvo svarbių subjektų kategorijai priskirti maisto MPĮ . 5.
mažmeninės prekybos nespecializuotose parduotuvėse, kuriose vyrauja maistas, gėrimai ir tabakas, veiklą, beveik visas pajamas generuoja būtent iš mažmeninės prekybos veiklos, ir nedidelę jų pajamų dalį sudaro pajamos iš didmeninio platinimo ir pramoninės gamybos veiklos: parduotuvėse prekes įsigyja ir asmenys verslo poreikiams ar kitokiems su asmeniniais, šeimos ar namų ūkio poreikiais nesusijusiems poreikiams tenkinti, kas atitinka didmeninio pirkimo–pardavimo sutarties sampratą (LR CK 6.371 straipsnis), be to, minėtos MPĮ turi savo gamybos cechus, kuriuose pagaminti /perdirbti maisto produktai platinami šių įmonių parduotuvėse. Tačiau, kaip minėta, tokia didmeninio platinimo ir pramoninės gamybos bei perdirbimo veikla nėra pagrindinė aptariamų MPĮ veikla ir sudaro nereikšmingą šių MPĮ pajamų dalį, lyginant su pagrindinės mažmeninės prekybos maistu nespecializuotose parduotuvėse veiklos pajamomis. 6. Dėl prieš tai nurodytos aplinkybės, būtų neproporcinga ir nepagrįsta MPĮ, kurių pagrindinė veikla yra mažmeninė prekyba nespecializuotose parduotuvėse, kuriose vyrauja maistas, gėrimai ir tabakas, priskirti svarbių subjektų kategorijai vien dėl didmeninio platinimo ir pramoninės gamybos bei perdirbimo veiklos vykdymo fakto, neatsižvelgiant į pastarosios veiklos mastą (generuojamas pajamas). 7.
Teismas, aiškindamas Konstitucijos 29 straipsnio nuostatas, yra ne kartą konstatavęs, kad Konstitucijos 29 straipsnio 1 dalyje yra įtvirtinta formali visų asmenų lygybė, šio straipsnio 2 dalyje įtvirtintas asmenų nediskriminavimo ir privilegijų neteikimo principas; konstitucinis asmenų lygybės įstatymui principas reikalauja, kad teisėje pagrindinės teisės ir pareigos būtų įtvirtintos visiems vienodai; konstitucinis asmenų lygiateisiškumo principas būtų pažeistas, jeigu tam tikri asmenys ar jų grupės būtų traktuojami skirtingai, nors tarp jų nėra tokio pobūdžio ir tokios apimties skirtumų, kad toks nevienodas traktavimas būtų objektyviai pateisinamas [1] . Vertinant, ar pagrįstai yra nustatytas skirtingas reguliavimas, būtina atsižvelgti į konkrečias teisines aplinkybes; pirmiausia turi būti įvertinti asmenų ir objektų, kuriems taikomas skirtingas teisinis reguliavimas, teisinės padėties skirtumai [2] . 8. Asmenų, kurių vykdoma didmeninio platinimo ir pramoninės gamybos bei perdirbimo veikla yra pagrindinė, ir kurių iš šios veiklos generuojamos pajamos viršija mažoms įmonėms apibrėžtas ribas, nustatytas SVVPĮ, t.y. 10 mln. EUR (didesni gamintojai ir perdirbėjai), Direktyvos prasme niekaip negalima vienodai traktuoti su MPĮ, kurių vykdomos didmeninio platinimo ir pramoninės gamybos bei perdirbimo veikla nėra pagrindinė MPĮ veikla ir sudaro nereikšmingą šių MPĮ pajamų dalį, nes, akivaizdu, kad tarp šių subjektų yra skirtumai, dėl kurių toks vienodas traktavimas būtų objektyviai pateisinamas. 9. MPĮ, vykdančių nedidėlės apimties didmeninio platinimo ir pramoninės gamybos bei perdirbimo veiklą, priskyrimas svarbių subjektų kategorijai KSĮ prasme prieštarautų ne tik konstituciniam asmenų lygiateisiškumo principui, tačiau ir teisėkūros proporcingumo principui, nes sudarytų MPĮ administracinę ir finansinę naštą, kuri yra neproporcinga Direktyvos tikslams pasiekti. 10. Atsižvelgiant į aukščiau nurodytos argumentus, siūlome patikslinti KSĮ 11 str. 4 d.
4 d. 1 p. taip: Esama KSĮ 11 str. 4 d. 1 p. nuostata:
1) asmuo teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 2 priede nurodytuose sektoriuose ir viršija mažoms įmonėms apibrėžtas ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme. Asociacijos siūloma KSĮ 11 str. 4 d. 1 p. nuostata
1) asmuo teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 2 priede nurodytuose sektoriuose ir asmens metinės pajamos iš tokios veiklos viršija 50 procentų visų asmens metinių pajamų. Pritarti Pasiūlymas: Projekto 11 straipsnio 4 dalies 1 punktą išdėstyti taip: „1) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 2 priede nurodytuose sektoriuose, viršija mažų įmonių darbuotojų skaičių ir finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme ir šio subjekto šiame punkte nurodytų teikiamų paslaugų ir (ar) vykdomos veiklos metinių pajamų suma viršija 50 procentų visų subjekto metinių pajamų;
kriterijus, papildant KSĮ 12 straipsnį nauja 4 dalimi: „ 4.Identifikuojant kibernetinio saugumo subjektus laikoma, kad Lietuvos Respublikos jurisdikcijai nepriklauso pagrindinė patronuojanti įmonė ir/ar kitos įmonės, tiesiogiai ar netiesiogiai kontroliuojančios asmenį, kuriam yra taikomas įstatymo 11 straipsnis, jei pagrindinė patronuojanti įmonė ir/ar kitos įmonės nėra registruotos ar įsisteigusios Lietuvos Respublikoje .“ Nepritarti Argumentai:
Valstybių jurisdikcija yra nustatyta NIS 2 direktyvos 26 straipsnyje, kuriame siūlomos išimtys nenumatytos. Priėmus siūlomą reguliavimą būtų sukuriama situacija, kad siūlyme nurodytos įmonės nepriklausytų nei Lietuvos, nei bet kurios kitos Europos Sąjungos valstybės narės kompetencijai. Tokios situacijos sukurti negalima. 5. Lietuvos prekybos įmonių asociacija, 2024-06-11 1(30)34 12.
KSĮ 30 straipsnio 3 dalies 4 punktas numato baudas esminio subjekto vadovui ir svarbaus subjekto vadovui. Fizinių asmenų (juridinių asmenų vadovų ar kitų atsakingų asmenų) administracinė atsakomybė reglamentuojama LR administracinių nusižengimų kodekse. Todėl siūlytina KSĮ 30 straipsnio 3 dalies 4 punktą panaikinti, o esminio subjekto ir svarbaus subjekto vadovo ar kito atsakingo asmens administracinę atsakomybę reglamentuoti ANK . Pritarti Pažymėtina, kad Projekte 30 straipsnio 3 dalies 4 punkto nėra. Atsakomybė reglamentuoja ANK. 6. Lietuvos verslo konfederacija,
11 N <...> Galiojančiu Kibernetinio saugumo įstatymu, kaip ir siūlomu Įstatymo projektu, greta kitų teisinio reguliavimo sričių, reglamentuojami Saugiojo valstybinio duomenų perdavimo tinklo (toliau – Saugusis tinklas) naudojimo pagrindai. Nors Saugusis tinklas nėra vienintelis valstybės valdomas neviešas elektroninių ryšių tinklas, tačiau sistemiško tokių tinklų teisinio reguliavimo mechanizmo šiuo metu nėra. Bendro teisinio reguliavimo nebuvimas, pirmiausia, turi neigiamų pasekmių valstybės interesams – nesudaromos sąlygos naujinti valstybės valdomų neviešų elektroninių ryšių tinklų infrastruktūrą ir teikti laikmečio poreikius atliepiančias paslaugas, kurios būtinos valstybės vidaus saugumo, skubios pagalbos tarnybų, taip pat mobilizacinių užduočių atlikimui. Šiame kontekste, paminėtina, kad valstybės institucijos jau deklaravo siekį ir pristatė aiškią viziją valstybės valdomos neviešų elektroninių ryšių tinklų infrastruktūros bei teikiamų paslaugų naujinimui. 2022 m. lapkritį Seime pristatytas darbo grupės atstovų iš Krašto apsaugos ministerijos (KAM), Vidaus reikalų ministerijos (VRM) ir Susisiekimo ministerijos (SM) parengtas mišrus valstybinio kritinio ryšio tinklo (VKRT) modelis.
Šis tikslas – VKRT diegimas
stiprinimo programoje vienu prioritetų numatė naujo plačiajuosčio mobiliojo ryšio technologijomis paremto VKRT, pakeisiančio Lietuvos viešojo saugumo ir pagalbos tarnybų skaitmeninio mobiliojo radijo ryšio tinklą, kūrimą. Džiugina tai, kad Vyriausybė mato teisinio reguliavimo nustatymo būtinybę ir priėmė sprendimus deleguoti konkrečias užduotis strateginiams tikslams pasiekti. 2023 m. lapkričio 14 d. Vyriausybė protokoliniu sprendimu pavedė KAM kartu su SM ir VRM (prireikus pakvietus kitas suinteresuotas institucijas) ne vėliau kaip per 6 mėnesius priimti suderintą sprendimą bei parengti įstatymo, kuris nustatytų valstybės valdomų neviešų elektroninių ryšių tinklų, kuriais neperduodama įslaptinta informacija, veiklos teisinį reguliavimą, projektą ir pateikti jį svarstyti Vyriausybei. 2023 m. lapkričio 21 d. LVK raštu išreiškė palaikymą tikslui atskiru įstatymu apibrėžti tik valstybės reikšmės skirtų ir komercinių paslaugų neteikiančių valstybės valdomų tinklų teisinį reguliavimą. Vertinant tai, kad valstybė valdo įvairius neviešus elektroninių ryšių tinklus, LVK nuomone, rengiant tokių tinklų valdysenos principus reglamentuojantį įstatymo projektą, svarbu remtis geriausios praktikos atvejais. Šiame kontekste, LVK nuomone, svarbu paminėti ir pasidžiaugti, kad valstybė tokių sektinų teisinio reguliavimo atvejų jau turi – pirmiausia paminėtinas Saugusis tinklas.
Praktikoje pasiteisinęs Saugiojo tinklo valdysenos modelis, LVK manymu, galėtų tapti sektinu valstybės valdomų ar planuojamų neviešų elektroninių ryšių tinklų valdysenos principų reglamentavimo standartu ir rengiamame įstatymo projekte. Vis dėlto, kol kas toks įstatymo projektas nebuvo registruotas, nors aiškaus reguliavimo poreikio aktualumas išlieka. Sistemiškas valstybės valdomų neviešų elektroninių ryšių tinklų reguliavimas operatoriams yra būtinas tinkamai įgyvendinti turimas pareigas. 2021-2022 m. 5G radijo dažnių aukcionų teisės aktai operatoriams numato pareigas, susijusias su VKRT: pavyzdžiui, kad operatoriai atitinkamų institucijų prašymu privalo teikti nacionalinio tarptinklinio ryšio (angl. roaming) paslaugas VKRT Atsižvelgiant į visa tai, siekiant įgyvendinti išsikeltus tikslus, LVK prašo pildyti Įstatymo projekto baigiamąsias nuostatas. Atitinkamai, Įstatymo projektu siūloma numatyti, kad Vyriausybė iki 2024 m. spalio 18 d. pateiktų Seimui Lietuvos Respublikos valstybės valdomų neviešų elektroninių ryšių įstatymo projektą, kuris nustatytų valstybės valdomų neviešų elektroninių ryšių tinklų, kuriais neperduodama įslaptinta informacija, veiklos teisinį reguliavimą. Siekiant teisinio nuoseklumo ir vertinant tai, kad Kibernetinio saugumo įstatymas reglamentuoja Saugiojo tinklo veiklos pagrindus, taip pat siūlytina numatyti, kad rengtinas įstatymo projektas būtų suderintas su Įstatymo projektu dėstomomis Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo nuostatomis. Pasiūlymas:
Pasiūlymas:
straipsnio pakeitimas Pildyti 2 straipsnį
„Įstatymo įsigaliojimas, įgyvendinimas ir taikymas“ 11 punktu:
„Lietuvos Respublikos Vyriausybė iki 2024 m. spalio 18 d. pateikia Lietuvos Respublikos Seimui Lietuvos Respublikos valstybės valdomų neviešų elektroninių ryšių įstatymo projektą, kuris nustatytų valstybės valdomų neviešų elektroninių ryšių tinklų, kuriais neperduodama įslaptinta informacija, veiklos teisinį reguliavimą ir būtų suderintas su šiame įstatyme išdėstytomis Lietuvos Respublikos kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo nuostatomis. Pritarti iš dalies Pasiūlymas:
Papildyti įstatymo projekto 2 straipsnį nauja 11 dalimi ir ją išdėstyti taip:
„11. Vyriausybė iki 2025 m. birželio 1 d. parengia įstatymo projektą
reglamentuojantį valstybės valdomų neviešų elektroninių ryšių tinklų veiklos teisinį reguliavimą.“
7Lietuvos verslo konfederacija,
2024-06-17
<...>
Lietuvos verslo konfederacija, viena didžiausių verslo organizacijų Lietuvoje, išanalizavo Lietuvos prekybos įmonių asociacijos pateiktą pasiūlymą Kibernetinio saugumo įstatymo Nr. XII-1428 pakeitimo įstatymo projektui Nr. XIVP-3815 (toliau – Įstatymo projektas), kuriuo siūloma tikslinti numatomus bendruosius svarbių subjektų identifikavimo kriterijus, kad svarbiais būtų laikomi tik tie subjektai, kurių metinės veiklos pajamos iš Įstatymo projekto 2 priede nurodytos veiklos viršija 50 procentų visų subjekto metinių pajamų, ir informuoja Komitetą, kad jam pritaria. Pritarti Žr. Pasiūlymas prie Lietuvos prekybos įmonių asociacijos pasiūlymo Projekto 11 straipsnio 4 dalies 1 punktui. 4. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai: negauta.. 5. Subjektų, turinčių įstatymų leidybos iniciatyvos teisę, pasiūlymai: negauta. 6. Seimo paskirtų papildomų komitetų, komisijų pasiūlymai: nepaskirta . 7. Komiteto sprendimas ir pasiūlymai: pritarti Komiteto patobulintam įstatymo projektui Nr. XIVP-3815
(2) ir Komiteto išvadoms. 8.
8Balsavimo rezultatai:
pritarta bendru sutarimu (dalyvavo 10 Komiteto narių). 9. Komiteto paskirti pranešėjai: Andrius Kupčinskas, Deividas Labanavičius . 10. Komiteto narių atskiroji nuomonė: negauta. PRIDEDAMA. Komiteto siūlomas įstatymo projektas Nr. XIVP-3815 (2). Komiteto pirmininkas Kazys Starkevičius Komiteto biuro patarėja Irina Jurkšuvienė [1] Konstitucinio Teismo 2012 m. vasario 6 d., 2012 m. vasario 27 d. nutarimai. [2] Konstitucinio Teismo 2010 m. balandžio 20 d. sprendimas, 2010 m. birželio 29 d., 2012 m. vasario 6 d. nutarimai.