Projekto lyginamasis variantas
KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 1, 2, 6, 8, 9, 13 STRAIPSNIų, V skyriaus pavadinimo, priedo PAKEITIMO ir ĮSTATYMO PAPILDYMO 17 STRAIPSNIU IR VI SKYRIUMI
Pakeisti 1 straipsnį ir jį išdėstyti taip:
„1 straipsnis. Įstatymo paskirtis ir taikymas
1Šis įstatymas nustato kibernetinio saugumo principus, kibernetinio saugumo politikos formavimo ir įgyvendinimo institucijas, šių institucijų įgaliojimus kibernetinio saugumo srityje, kibernetinio saugumo subjektų pareigas, taip pat tarpinstitucinį bendradarbiavimą, ryšių ir informacinių sistemų spragų paieškos ir pranešimo apie jas ir kibernetinius incidentus pagrindus, taip pat nacionalinę kibernetinio saugumo sertifikavimo instituciją ir jos įgaliojimus. 2. Šis įstatymas netaikomas patikimumo užtikrinimo paslaugų teikėjams, kuriems taikomi 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB, (OL 2014 L 257, p. 73) 19 straipsnyje nustatyti reikalavimai. 3. Šio įstatymo nuostatos suderintos su Europos Sąjungos teisės aktais, nurodytais šio įstatymo priede.“
1Papildyti 2 straipsnį 12¹dalimi:
„12¹. Ryšių ir informacinės sistemos spraga (toliau – spraga) – ryšių ir informacinės sistemos trūkumas, dėl kurio gali įvykti kibernetinis incidentas.“
2Papildyti 2 straipsnį 17¹dalimi:
„17¹. Sąvokos „Europos kibernetinio saugumo sertifikavimo schema“, „Europos kibernetinio saugumo sertifikatas“, „akreditavimas“ ir „atitikties vertinimo įstaiga“ šiame įstatyme suprantamos taip, kaip jos apibrėžtos Reglamente (ES) 2019/881.“
3Pakeisti 2 straipsnio 19 dalį ir ją išdėstyti taip:
„19.
Kitos šiame įstatyme vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos elektroninių ryšių įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos informacinės visuomenės paslaugų įstatyme, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme, Lietuvos Respublikos žvalgybos įstatyme, Lietuvos Respublikos kriminalinės žvalgybos įstatyme, Lietuvos Respublikos nesąžiningos komercinės veiklos vartotojams draudimo įstatyme, Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme ir 2012 m. spalio 25 d. Europos Parlamento ir Tarybos reglamente (ES) Nr. 1025/2012 dėl Europos standartizacijos, kuriuo iš dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos Parlamento ir Tarybos direktyvos 94/9/EB, 94/25/EB, 95/16/EB, 97/23/EB, 98/34/EB, 2004/22/EB, 2007/23/EB, 2009/23/EB ir 2009/105/EB ir panaikinamas Tarybos sprendimas Nr. 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas Nr. 1673/2006/EB(OL 2012 L 316, p. 12).“
1Pakeisti 6 straipsnio 9 punktą ir jį išdėstyti taip:
„9) tvirtina techninių kibernetinio saugumo priemonių sąrašą, kuriame nurodoma kibernetinio saugumo priemonių paskirtis ir tvarkomi duomenys (jei jie yra tvarkomi), techninių kibernetinio saugumo priemonių diegimo planą, nustato jų diegimo ir valdymo valstybės informaciniuose ištekliuose ir ypatingos svarbos informacinėje infrastruktūroje tvarką;“. 2. Papildyti 6 straipsnį 13 punktu:
„13) tvirtina nacionalinės spragų atskleidimo tvarkos aprašą.“
Papildyti 8 straipsnio 2 dalį 16¹punktu:
„16¹) analizuoja informaciją apie spragas, duoda nurodymus subjektams, valdantiems ir (ar) tvarkantiems valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų teikėjams ir elektroninės informacijos prieglobos paslaugų teikėjams dėl spragų patvirtinimo ir informavimo apie jas;“. 5 straipsnis. 9 straipsnio pakeitimas
Pakeisti 9 straipsnį ir jį išdėstyti taip:
„9 straipsnis. Valstybinės duomenų apsaugos inspekcijos įgaliojimai kibernetinio saugumo srityje
Valstybinė duomenų apsaugos inspekcija įgyvendina kibernetinio saugumo politiką asmens duomenų apsaugos srityje ir atlieka 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) nustatytas priežiūros institucijos užduotis.“
1Pakeisti 13 straipsnio 1 dalį ir ją išdėstyti taip:
„1. Kibernetinio saugumo informacinio tinklo informacinis tinklas yra valstybės informacinė sistema, kurios paskirtis – informacinių technologijų priemonėmis tvarkyti duomenis, surinktus techninėmis kibernetinio saugumo priemonėmis, siekiant užkardyti ir valdyti kibernetinius incidentus, dalytis keistis informacija apie galimus ir įvykusius kibernetinius incidentus šio straipsnio 4 dalyje nustatytais atvejais, taip pat rekomendacijomis, nurodymais, techniniais sprendimais ir kitomis priemonėmis, užtikrinančiomis kibernetinį saugumą ir kibernetinio saugumo informacinio tinklo narių tarpusavio bendradarbiavimą kibernetinio saugumo srityje kita, su kibernetinio saugumo užtikrinimu susijusia, informacija.“
2.
Papildyti 13 straipsnį 4 dalimi:
„4. Kibernetinio saugumo informacinio tinklo duomenys, susiję su kibernetiniais incidentais, yra konfidencialūs ir teikiami tik šiais atvejais:
1) Kibernetinio saugumo informacinio tinklo naudotojams tiek, kiek tai susiję su jų valdomomis ir (ar) tvarkomomis ryšių ir informacinėmis sistemomis;
2) Nacionaliniam kibernetinio saugumo centrui vykdant šio įstatymo 8 straipsnio 2 dalies 13 punkte nustatytą funkciją;
3) jeigu galimybė teikti šiuos duomenis yra nustatyta įstatymuose ar jų pagrindu priimtuose teisės aktuose.“
Pakeisti V skyriaus pavadinimą ir jį išdėstyti taip:
Papildyti Įstatymą 17 straipsniu:
„17 straipsnis. Spragų paieška ir atskleidimas
1Spragų paieška ir atskleidimas laikomi teisėtais ir tokius veiksmus atlikusiam asmeniui neužtraukia teisinės atsakomybės tik tais atvejais, kai spragų paieška atliekama laikantis šio straipsnio 2 dalyje, nacionalinės spragų atskleidimo tvarkos apraše ir (ar) kibernetinio saugumo subjekto nustatytos spragų atskleidimo tvarkos apraše, taip pat šio straipsnio 5 dalyje numatytų apribojimų. 2.
2Spragų paieškos apribojimai:
1) negali būti trikdomas ar keičiamas ryšių ir informacinės sistemos darbas, funkcionalumas, teikiamos paslaugos bei duomenų prieinamumas ar vientisumas;
2) įsitikinus, kad spraga yra, nutraukiama spragos paieškos veikla, susijusi su rasta spraga;
3) asmuo, vykdęs spragų paiešką, ne vėliau kaip per 24 val. nuo paieškos pradžios (paiešką tęsiant ilgiau kaip 24 val. – kas 24 val.), turi parengti nacionalinės spragų atskleidimo tvarkos apraše ar kibernetinio saugumo subjekto nustatytos spragų atskleidimo tvarkos apraše nustatyto turinio informaciją apie spragų paieškos rezultatus ir ją pateikti Nacionaliniam kibernetinio saugumo centrui nacionalinės spragų atskleidimo tvarkos apraše nustatyta tvarka ir (arba) kibernetinio saugumo subjektui, kurio ryšių ir informacinėje sistemoje vykdyta paieška, šio kibernetinio saugumo subjekto nustatyta spragų atskleidimo tvarkos apraše nustatyta tvarka;
4) nesiekiama be reikalo, daugiau, nei reikia patvirtinti spragai, stebėti, fiksuoti, perimti, įgyti, atskleisti, kopijuoti, keisti, naikinti kibernetinio saugumo subjekto valdomų ir (ar) tvarkomų duomenų;
5) nespėjami slaptažodžiai, nenaudojami neteisėtu būdu gauti slaptažodžiai ir nėra manipuliuojama kibernetinio saugumo subjekto darbuotojais ar kitais asmenimis, turinčiais teisę naudotis viešai neskelbtina informacija, reikšminga spragų paieškai;
6) nesidalijama informacija apie rastą spragą, išskyrus šio straipsnio 2 dalies 3 punkte ir 5 dalyje nustatytais atvejais. 3. Spragų atskleidimo Nacionaliniam kibernetinio saugumo centrui tvarka, Nacionaliniam kibernetinio saugumo centrui teikiamos informacijos apie spragas turinys, trumpesnių informacijos apie aptiktą spragą atskleidimo kitiems asmenims, nei nurodyta šio straipsnio 2 dalies 3 punkte, terminų nustatymo tvarka nustatomi nacionalinės spragų atkleidimo tvarkos apraše. 4.
4Kibernetinio saugumo subjektas turi teisę nustatyti spragų jo valdomose ir (ar) tvarkomose ryšių ir informacinėse sistemose atskleidimo tvarką ir nustatyti kitus spragų paieškos apribojimus, nei numatyta šio straipsnio 2 dalyje, arba jų atsisakyti. Kibernetinio saugumo subjekto nustatytame spragų atskleidimo tvarkos apraše numatyti spragų paieškos apribojimai negali būti griežtesni, nei nurodyti šio straipsnio 2 dalyje. Kibernetinio saugumo subjekto nustatytame spragų atskleidimo tvarkos apraše negali būti nustatoma informacijos apie spragas pateikimo Nacionaliniam kibernetinio saugumo centrui tvarka ir numatomos šio straipsnio 5 dalyje nustatyto reguliavimo išimtys. 5. Asmuo, nustatęs spragą, laikydamasis šio straipsnio 1 dalyje nurodytų reikalavimų, turi teisę informaciją apie aptiktą spragą, ne daugiau, nei buvo pateikta Nacionaliniam kibernetinio saugumo centrui ir (ar) kibernetinio saugumo subjektui, atskleisti kitiems asmenims, nei nurodyta šio straipsnio 2 dalies 3 punkte, ne anksčiau kaip po 90 kalendorinių dienų nuo informacijos apie spragą pateikimo. Nacionalinis kibernetinio saugumo centras, įvertinęs spragos sudėtingumą ir ištaisymo galimybes, nacionalinės spragų atskleidimo tvarkos apraše nustatyta tvarka turi teisę nustatyti trumpesnį informacijos apie aptiktą spragą atskleidimo kitiems asmenims, nei nurodyta šio straipsnio 2 dalies 3 punkte, terminą, tačiau ne trumpesnį nei 3 kalendorinės dienos.“
Papildyti Įstatymą VI skyriumi:
1Nacionalinis kibernetinio saugumo centras vykdo Reglamento (ES) 2019/881 nustatytas nacionalinės kibernetinio saugumo sertifikavimo institucijos funkcijas, turi nacionalinės kibernetinio saugumo sertifikavimo institucijos įgaliojimus. 2.
2Nacionalinis kibernetinio saugumo centras, vykdydamas nacionalinės kibernetinio saugumo sertifikavimo institucijos funkcijas:
1) turi teisę neatlygintinai iš atitikties vertinimo įstaigų, Europos kibernetinio saugumo sertifikatų turėtojų, Europos Sąjungos atitikties pareiškimus išduodančių subjektų, valstybės ir savivaldybių institucijų ir įstaigų gauti visą reikalingą informaciją, dokumentų kopijas ir nuorašus, duomenų kopijas, taip pat susipažinti su visais duomenimis ir dokumentais;
2) nustato įgaliojimų atitikties vertinimo įstaigoms pagal Reglamento (ES) 2019/881 60 straipsnio 3 dalį (toliau – papildomi įgaliojimai) suteikimo, apribojimo ir sustabdymo, papildomų įgaliojimų apribojimo ir sustabdymo panaikinimo, papildomų įgaliojimų atšaukimo tvarką, teikia papildomus įgaliojimus, juos apriboja, sustabdo arba atšaukia šio įstatymo 19 straipsnio nustatytais atvejais;
3) Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka nagrinėja Reglamento (ES) 2019/881 58 straipsnio 7 dalies f punkte nurodytus skundus;
4) Reglamento (ES) 2019/881, šio įstatymo 19 straipsnio ir Nacionalinio kibernetinio saugumo centro nustatyta tvarka atlieka tyrimus, kaip laikomasi Reglamento (ES) 2019/881 III antraštinės dalies ar Europos kibernetinio saugumo sertifikavimo schemų nuostatų;
5) vykdydamas šio straipsnio 2 dalies 4 punkte nurodytus tyrimus, įgalioja pavaldžius asmenis, kurie turi teisę įeiti į atitikties vertinimo įstaigų ir Europos kibernetinio saugumo sertifikatų turėtojų patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) ir ne ilgiau kaip 30 dienų paimti dokumentų kopijas ir nuorašus, duomenų kopijas bei kitus daiktus, reikalingus atliekant tyrimus. Įeiti į juridinio asmens patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik juridinio asmens darbo laiku, pateikus tarnybinį pažymėjimą.
Įeiti į fiziniam asmeniui priklausančias patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik pateikus teismo nutartį dėl leidimo įeiti į fiziniam asmeniui priklausančias patalpas;
6) vykdydamas šio straipsnio 2 dalies 4 punkte nurodytus tyrimus, turi teisę gauti žodinius ir rašytinius paaiškinimus iš tikrinamų juridinių ir fizinių asmenų ir reikalauti, kad jie atvyktų į nacionalinės kibernetinio saugumo sertifikavimo institucijos patalpas duoti paaiškinimų;
7) atlieka kitas Lietuvos Respublikos teisės aktuose nustatytas funkcijas kibernetinio saugumo sertifikavimo srityje. 3. Nacionalinio kibernetinio saugumo centro prašymai dėl teismo leidimo įeiti į fiziniam asmeniui priklausančias patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) nagrinėjami Lietuvos Respublikos civilinio proceso kodekso XXXIX skyriuje nustatyta tvarka. 19 straipsnis. Papildomų įgaliojimų atitikties vertinimo įstaigoms teikimas, apribojimas ir sustabdymas, papildomų įgaliojimų apribojimo ir sustabdymo panaikinimas, papildomų įgaliojimų atšaukimas
1Papildomi įgaliojimai suteikiami, apribojami ir sustabdomi, papildomų įgaliojimų apribojimas ir sustabdymas panaikinamas, papildomi įgaliojimai atšaukiami šiame straipsnyje ir 18 straipsnio 2 dalies 2 punkte nurodyto teisės akto nustatyta tvarka. 2. Papildomi įgaliojimai suteikiami atitikties vertinimo įstaigoms užduotims atlikti pagal Europos kibernetinio saugumo sertifikavimo schemas, kai tenkinamos visos šios sąlygos:
1) atitikties vertinimo įstaiga atitinka Reglamento (ES) 2019/881 priede nustatytus reikalavimus ir turi tai patvirtinantį galiojantį akreditavimo pažymėjimą;
2) atitikties vertinimo įstaiga atitinka Europos kibernetinio saugumo sertifikavimo schemoje nustatytus specialiuosius ar papildomus reikalavimus. 3.
3Sprendimas dėl papildomų įgaliojimų suteikimo priimamas per 30 kalendorinių dienų nuo visų tinkamai užpildytų dokumentų, įrodančių atitikties vertinimo įstaigų atitiktį šio straipsnio 2 dalyje nurodytoms sąlygoms, gavimo. 4. Papildomus įgaliojimus suteikti atsisakoma, jeigu Nacionalinis kibernetinio saugumo centras nustato, kad atitikties vertinimo įstaiga neatitinka šio straipsnio 2 dalyje nurodytų sąlygų. 5. Papildomi įgaliojimai apribojami Nacionalinio kibernetinio saugumo centro sprendimu, kuriame nurodomas papildomų įgaliojimų apribojimo pagrindas, taikomi apribojimai ir, jeigu papildomi įgaliojimai apribojami šios dalies 2 punkte nustatytu pagrindu, terminas, kuris negali būti ilgesnis kaip 6 mėnesiai ir per kurį atitikties įvertinimo įstaiga turi pašalinti pažeidimus, dėl kurių apribojami papildomi įgaliojimai, esant bent vienai iš šių sąlygų:
1) pasikeitė Europos kibernetinio saugumo sertifikavimo schemos specialieji ar papildomi reikalavimai;
2) Nacionalinis kibernetinio saugumo centras, atlikdamas tyrimą, nustato, kad atitikties vertinimo įstaiga nesilaiko Reglamento (ES) 2019/881 reikalavimų arba pažeidė Europos kibernetinio saugumo sertifikavimo schemos, dėl kurios buvo suteikti papildomi įgaliojimai, reikalavimus;
3) Lietuvos Respublikos atitikties vertinimo įstatymo nustatyta tvarka pakeistas akreditavimo pažymėjimas. 6. Priėmus sprendimą apriboti papildomus įgaliojimus, atitikties vertinimo įstaigai draudžiama vykdyti sprendime nurodytas užduotis pagal Europos kibernetinio saugumo sertifikavimo schemą, dėl kurios buvo išduoti papildomi įgaliojimai. 7.
7Papildomų įgaliojimų apribojimas panaikinamas, kai atitikties vertinimo įstaiga ne vėliau kaip per 7 mėnesius nuo sprendimo apriboti įgaliojimus priėmimo dienos pateikia prašymą, o Nacionalinis kibernetinio saugumo centras atlieka tyrimą šio įstatymo 20 straipsnio nustatyta tvarka ir nustato, kad:
1) atitikties vertinimo įstaiga atitinka Europos kibernetinio saugumo sertifikavimo schemos reikalavimus, jei papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 1 punkte nustatytu pagrindu;
2) atitikties vertinimo įstaiga per Nacionalinio kibernetinio saugumo centro nustatytą terminą pašalino pažeidimus, dėl kurių papildomi įgaliojimai buvo apriboti;
3) Atitikties vertinimo įstatymo nustatyta tvarka keičiant akreditavimo pažymėjimą nėra susiaurinta akreditavimo sritis, dėl kurios buvo išduoti papildomi įgaliojimai, jei papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 3 punkte nustatytu pagrindu. 8. Papildomi įgaliojimai sustabdomi Nacionalinio kibernetinio saugumo centro sprendimu, kuriame nurodomas papildomų įgaliojimų sustabdymo pagrindas ir, jeigu papildomi įgaliojimai sustabdomi šios dalies 2 punkte nustatytu pagrindu, terminas, kuris negali būti ilgesnis kaip 6 mėnesiai ir per kurį atitikties įvertinimo įstaiga turi pašalinti pažeidimus, dėl kurių sustabdomi papildomi įgaliojimai, esant bent vienai iš šių sąlygų:
1) atitikties vertinimo įstaiga pateikė prašymą Nacionaliniam kibernetinio saugumo centrui sustabdyti jai suteiktus papildomus įgaliojimus prašyme nurodytam terminui, kuris negali būti ilgesnis nei 6 mėnesiai;
2) Nacionalinis kibernetinio saugumo centras, atlikdamas tyrimą, nustato, kad atitikties vertinimo įstaiga, kurios papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 2 punkte nustatytu pagrindu, per Nacionalinio kibernetinio saugumo centro nustatytą terminą nepašalino pažeidimų, dėl kurių papildomi įgaliojimai buvo apriboti;
3) Atitikties vertinimo įstatymo nustatyta tvarka sustabdomas akreditavimo pažymėjimo galiojimas.
9Papildomų įgaliojimų sustabdymas panaikinamas, kai atitikties vertinimo įstaiga ne vėliau kaip per 7 mėnesius nuo sprendimo sustabdyti įgaliojimus priėmimo dienos pateikia prašymą, o Nacionalinis kibernetinio saugumo centras atlieka tyrimą šio įstatymo 20 straipsnio nustatyta tvarka ir nustato, kad:
1) atitikties vertinimo įstaiga atitinka Europos kibernetinio saugumo sertifikavimo schemos reikalavimus, jei suteikti įgaliojimai buvo sustabdyti šio straipsnio 8 dalies 1 punkte nustatytu pagrindu;
2) atitikties vertinimo įstaiga per Nacionalinio kibernetinio saugumo centro nustatytą terminą pašalino pažeidimus, dėl kurių papildomi įgaliojimai buvo sustabdyti;
3) Atitikties vertinimo įstatymo nustatyta tvarka panaikintas akreditavimo pažymėjimo galiojimo sustabdymas, jei papildomi įgaliojimai buvo sustabdyti šio straipsnio 8 dalies 3 punkte nustatytu pagrindu. 10.
10Papildomi įgaliojimai atšaukiami Nacionalinio kibernetinio saugumo centro sprendimu, esant bent vienai iš šių sąlygų:
1) atitikties vertinimo įstaiga pateikė prašymą Nacionaliniam kibernetinio saugumo centrui atšaukti jai suteiktus papildomus įgaliojimus;
2) atitikties vertinimo įstaiga nepateikė prašymo dėl papildomų įgaliojimų apribojimo ar sustabdymo panaikinimo per šio straipsnio 7 ir 9 dalyse nurodytus terminus;
3) atitikties vertinimo įstaiga per Nacionalinio kibernetinio saugumo centro nustatytą terminą nepašalino pažeidimų, dėl kurių papildomi įgaliojimai buvo sustabdyti;
4) atitikties vertinimo įstaiga, kurios papildomi įgaliojimai apriboti ar sustabdyti, toliau atlieka užduotis pagal Europos kibernetinio saugumo sertifikavimo schemą, dėl kurios papildomi įgaliojimai buvo apriboti ar sustabdyti;
5) Atitikties vertinimo įstatymo nustatyta tvarka panaikintas akreditavimo pažymėjimo galiojimas arba yra susiaurinta akreditavimo sritis, dėl kurios buvo išduoti papildomi įgaliojimai. 20 straipsnis. Tyrimo atlikimo tvarka
1Nacionalinis kibernetinio saugumo centras turi teisę pradėti tyrimą bet kokiu klausimu, susijusiu su Reglamento (ES) 2019/881 III antraštinės dalies ar Europos kibernetinio saugumo sertifikavimo schemų nuostatų galimu pažeidimu ar laikymosi stebėsena. 2. Pagrindas pradėti tyrimą gali būti skundai, teikiami pagal Reglamento (ES) 2019/881 58 straipsnio 7 dalies f punktą, atitikties vertinimo įstaigų prašymai, teikiami pagal šio įstatymo 19 straipsnį, ir kiti šaltiniai. Nacionalinis kibernetinio saugumo centras turi teisę pradėti tyrimą ir savo iniciatyva. 3. Tyrimas turi būti atliktas per kuo trumpesnį laiką, bet ne vėliau kaip per 4 mėnesius nuo šio straipsnio 2 dalyje nurodyto skundo ar prašymo gavimo dienos arba sprendimo atlikti tyrimą kitų šaltinių, nurodytų šio straipsnio 2 dalyje, pagrindu priėmimo dienos. 4.
4Atsižvelgiant į tyrimo sudėtingumą, tyrimo mastą, atitikties vertinimo įstaigų, Europos kibernetinio saugumo sertifikatų turėtojų ir Europos Sąjungos atitikties pareiškimų išdavėjų veiklos pobūdį bei vengimą vykdyti Nacionalinio kibernetinio saugumo centro reikalavimus, tyrimo metu paaiškėjusias naujas aplinkybes arba kitas objektyvias priežastis, šio straipsnio 3 dalyje nustatytas terminas Nacionalinio kibernetinio saugumo centro sprendimu gali būti pratęstas, bet ne ilgiau kaip 2 mėnesiams. Bendras tyrimo atlikimo terminas negali būti ilgesnis negu 6 mėnesiai nuo šio straipsnio 2 dalyje nurodyto skundo ar prašymo gavimo dienos arba sprendimo atlikti tyrimą kitų šaltinių, nurodytų šio straipsnio 2 dalyje, pagrindu priėmimo dienos. Apie tyrimo termino pratęsimą ir priežastis, dėl kurių šis terminas pratęstas, Nacionalinis kibernetinio saugumo centras privalo nedelsdamas, bet ne vėliau kaip iki šio straipsnio 3 dalyje nurodyto termino pabaigos pranešti atitikties vertinimo įstaigai, Europos kibernetinio saugumo sertifikatų turėtojui ar Europos Sąjungos atitikties pareiškimų išdavėjui. 5.
5Nacionalinis kibernetinio saugumo centras, baigęs tyrimą, priima bent vieną iš šių sprendimų:
1) konstatuoti, kad pažeidimų nenustatyta;
2) pateikti atitikties vertinimo įstaigai, Europos kibernetinio saugumo sertifikatų turėtojui ar Europos Sąjungos atitikties pareiškimų išdavėjui nurodymus ir rekomendacijas, jei nustatomi netinkami veiklos būdai ar praktikos;
3) pradėti administracinio nusižengimo teiseną;
4) pripažinti Europos Sąjungos atitikties pareiškimą, išduotą pagal Reglamento (ES) 2019/881 53 straipsnio 2 dalį, negaliojančiu, jeigu tyrimo metu nustatoma, kad nesilaikoma Reglamento (ES) 2019/881 arba Europos kibernetinio saugumo sertifikavimo schemos reikalavimų;
5) panaikinti savo paties arba pagal Reglamento (ES) 2019/881 56 straipsnio 6 dalį atitikties vertinimo įstaigos išduoto Europos kibernetinio saugumo sertifikato galiojimą, jeigu atlikus tyrimą nustatoma, kad Europos kibernetinio saugumo sertifikatas neatitinka Reglamento (ES) 2019/881 arba Europos kibernetinio saugumo sertifikavimo schemos reikalavimų;
6) apriboti, sustabdyti, atšaukti atitikties vertinimo įstaigų papildomus įgaliojimus arba panaikinti papildomų įgaliojimų apribojimą ar sustabdymą šio įstatymo 19 straipsnio nustatytais atvejais. 6. Šio straipsnio 5 dalies 2 punkte numatyti nurodymai ir rekomendacijos pateikiami per 20 darbo dienų nuo sprendimo priėmimo dienos. 7. Nacionalinio kibernetinio saugumo centro sprendimai, išskyrus sprendimą, nurodytą šio straipsnio 5 dalies 3 punkte, gali būti skundžiami teismui Lietuvos Respublikos administracinių bylų teisenos įstatymo nustatyta tvarka.“
Pakeisti Įstatymo priedą ir jį išdėstyti taip: „Lietuvos Respublikos kibernetinio saugumo įstatymo priedas
12018 m. gruodžio 11 d. Europos Parlamento ir Tarybos direktyva (ES) 2018/1972, kuria nustatomas Europos elektroninių ryšių kodeksas (nauja redakcija). 2002 m. kovo 7 d.
2002 m. kovo 7 d. Europos Parlamento ir Tarybos direktyva 2002/21/EB dėl elektroninių ryšių tinklų ir paslaugų bendrosios reguliavimo sistemos (Pagrindų direktyva) (OL 2004 m. specialusis leidimas, 13 skyrius, 29 tomas, p. 349) su paskutiniais pakeitimais, padarytais 2009 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyva 2009/140/EB (OL 2009 L 337, p. 37). 12. 2016 m. liepos 6 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti(OL 2016 L 194, p. 1). 2. 2018 m. gruodžio 11 d. Europos Parlamento ir Tarybos direktyva (ES) 2018/1972, kuria nustatomas Europos elektroninių ryšių kodeksas (nauja redakcija). 3. 2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentas (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013.“
1Šis įstatymas, išskyrus šio straipsnio 2 dalį, įsigalioja 2021 m. birželio 28 d. 2. Lietuvos Respublikos krašto apsaugos ministras ir Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos iki 2021 m. birželio 27 d. priima šio įstatymo įgyvendinamuosius teisės aktus. Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą. Respublikos Prezidentas
Projekto lyginamasis variantas
KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 1, 2, 6, 8, 9, 13 STRAIPSNIų, V skyriaus pavadinimo, priedo PAKEITIMO ir ĮSTATYMO PAPILDYMO 17 STRAIPSNIU IR VI SKYRIUMI
Pakeisti 1 straipsnį ir jį išdėstyti taip:
„1 straipsnis. Įstatymo paskirtis ir taikymas
1Šis įstatymas nustato kibernetinio saugumo principus, kibernetinio saugumo politikos formavimo ir įgyvendinimo institucijas, šių institucijų įgaliojimus kibernetinio saugumo srityje, kibernetinio saugumo subjektų pareigas, taip pat tarpinstitucinį bendradarbiavimą, ryšių ir informacinių sistemų spragų paieškos ir pranešimo apie jas ir kibernetinius incidentus pagrindus, taip pat nacionalinės kibernetinio saugumo sertifikavimo institucijos funkcijas ir įgaliojimus. 2. Šis įstatymas netaikomas patikimumo užtikrinimo paslaugų teikėjams, kuriems taikomi 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB, (OL 2014 L 257, p. 73) 19 straipsnyje nustatyti reikalavimai. 3. Šio įstatymo nuostatos suderintos su Europos Sąjungos teisės aktais, nurodytais šio įstatymo priede.“
1Papildyti 2 straipsnį 14¹dalimi:
„14¹. Ryšių ir informacinės sistemos spraga (toliau – spraga) – ryšių ir informacinės sistemos trūkumas, dėl kurio gali įvykti kibernetinis incidentas.“
2Papildyti 2 straipsnį 17¹dalimi:
„17¹. Sąvokos „Europos kibernetinio saugumo sertifikavimo schema“, „Europos kibernetinio saugumo sertifikatas“, „akreditavimas“ ir „atitikties vertinimo įstaiga“ šiame įstatyme suprantamos taip, kaip jos apibrėžtos Reglamente (ES) 2019/881.“
3Pakeisti 2 straipsnio 19 dalį ir ją išdėstyti taip:
„19.
Kitos šiame įstatyme vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme, Lietuvos Respublikos elektroninių ryšių įstatyme, Lietuvos Respublikos informacinės visuomenės paslaugų įstatyme, Lietuvos Respublikos kriminalinės žvalgybos įstatyme, Lietuvos Respublikos nesąžiningos komercinės veiklos vartotojams draudimo įstatyme, Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos žvalgybos įstatyme ir 2012 m. spalio 25 d. Europos Parlamento ir Tarybos reglamente (ES) Nr. 1025/2012 dėl Europos standartizacijos, kuriuo iš dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos Parlamento ir Tarybos direktyvos 94/9/EB, 94/25/EB, 95/16/EB, 97/23/EB, 98/34/EB, 2004/22/EB, 2007/23/EB, 2009/23/EB ir 2009/105/EB ir panaikinamas Tarybos sprendimas Nr. 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas Nr. 1673/2006/EB(OL 2012 L 316, p. 12).“
1Pakeisti 6 straipsnio 9 punktą ir jį išdėstyti taip:
„9) tvirtina techninių kibernetinio saugumo priemonių sąrašą, kuriame nurodoma kibernetinio saugumo priemonių paskirtis ir tvarkomi duomenys (jeigu jie yra tvarkomi), techninių kibernetinio saugumo priemonių diegimo planą, nustato jų diegimo ir valdymo valstybės informaciniuose ištekliuose ir ypatingos svarbos informacinėje infrastruktūroje tvarką;“. 2. Papildyti 6 straipsnį 13 punktu:
„13) tvirtina nacionalinės spragų atskleidimo tvarkos aprašą.“
Papildyti 8 straipsnio 2 dalį 16¹punktu:
„16¹) analizuoja informaciją apie spragas, duoda nurodymus subjektams, valdantiems ir (ar) tvarkantiems valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (ar) viešųjų elektroninių ryšių paslaugų teikėjams ir elektroninės informacijos prieglobos paslaugų teikėjams dėl spragų patvirtinimo ir informavimo apie jas;“. 5 straipsnis. 9 straipsnio pakeitimas
Pakeisti 9 straipsnį ir jį išdėstyti taip:
„9 straipsnis. Valstybinės duomenų apsaugos inspekcijos įgaliojimai kibernetinio saugumo srityje
Valstybinė duomenų apsaugos inspekcija įgyvendina kibernetinio saugumo politiką asmens duomenų apsaugos srityje ir atlieka 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) nustatytas priežiūros institucijos užduotis.“
1Pakeisti 13 straipsnio 1 dalį ir ją išdėstyti taip:
„1. Kibernetinio saugumo informacinio tinklo informacinis tinklas yra valstybės informacinė sistema, kurios paskirtis – informacinių technologijų priemonėmis tvarkyti duomenis, surinktus techninėmis kibernetinio saugumo priemonėmis, siekiant užkardyti ir valdyti kibernetinius incidentus, dalytis keistis informacija apie galimus ir įvykusius kibernetinius incidentus šio straipsnio 4 dalyje nustatytais atvejais, taip pat rekomendacijomis, nurodymais, techniniais sprendimais ir kitomis priemonėmis, užtikrinančiomis kibernetinį saugumą ir kibernetinio saugumo informacinio tinklo narių tarpusavio bendradarbiavimą kibernetinio saugumo srityje kita su kibernetinio saugumo užtikrinimu susijusia informacija.“
2.
Papildyti 13 straipsnį 4 dalimi:
„4. Kibernetinio saugumo informacinio tinklo duomenys, susiję su kibernetiniais incidentais, yra konfidencialūs ir teikiami tik šiais atvejais:
1) Kibernetinio saugumo informacinio tinklo naudotojams tiek, kiek tai susiję su jų valdomomis ir (ar) tvarkomomis ryšių ir informacinėmis sistemomis;
2) Nacionaliniam kibernetinio saugumo centrui vykdant šio įstatymo 8 straipsnio 2 dalies 13 punkte nustatytą funkciją;
3) jeigu galimybė teikti šiuos duomenis yra nustatyta įstatymuose ar jų pagrindu priimtuose teisės aktuose.“
Pakeisti V skyriaus pavadinimą ir jį išdėstyti taip:
Papildyti Įstatymą 17 straipsniu:
„17 straipsnis. Spragų paieška ir atskleidimas
1Spragų paieška ir atskleidimas laikomi teisėtais ir tokius veiksmus atlikusiam asmeniui neužtraukia teisinės atsakomybės tik tais atvejais, kai spragų paieška atliekama laikantis šio straipsnio 2 dalyje, nacionalinės spragų atskleidimo tvarkos apraše ir (ar) kibernetinio saugumo subjekto nustatytos spragų atskleidimo tvarkos apraše, taip pat šio straipsnio 5 dalyje numatytų apribojimų. 2.
2Atliekant spragų paiešką laikomasi šių apribojimų:
1) negali būti trikdomas ar keičiamas ryšių ir informacinės sistemos darbas, funkcionalumas, teikiamos paslaugos bei duomenų prieinamumas ar vientisumas;
2) įsitikinus, kad spraga yra, nutraukiama spragos paieškos veikla, susijusi su aptikta spraga;
3) asmuo, atlikęs spragų paiešką, ne vėliau kaip per 24 valandas nuo spragų paieškos pradžios (paiešką tęsiant ilgiau kaip 24 valandas – kas 24 valandas), turi parengti nacionalinės spragų atskleidimo tvarkos apraše ar kibernetinio saugumo subjekto nustatytos spragų atskleidimo tvarkos apraše nustatyto turinio informaciją apie spragų paieškos rezultatus ir ją pateikti Nacionaliniam kibernetinio saugumo centrui nacionalinės spragų atskleidimo tvarkos apraše nustatyta tvarka ir (arba) kibernetinio saugumo subjektui, kurio ryšių ir informacinėje sistemoje atlikta paieška, šio kibernetinio saugumo subjekto nustatyta spragų atskleidimo tvarkos apraše nustatyta tvarka;
4) nesiekiama be reikalo, daugiau, negu reikia spragai patvirtinti, stebėti, fiksuoti, perimti, įgyti, laikyti, atskleisti, kopijuoti, keisti, naikinti, gadinti, šalinti kibernetinio saugumo subjekto valdomų ir (ar) tvarkomų duomenų;
5) nebandoma atspėti slaptažodžių, nenaudojami neteisėtu būdu gauti slaptažodžiai ir nėra manipuliuojama kibernetinio saugumo subjekto darbuotojais ar kitais asmenimis, turinčiais teisę naudotis viešai neskelbtina informacija, reikšminga spragų paieškai;
6) nesidalijama informacija apie aptiktą spragą, išskyrus šios dalies 3 punkte ir 5 dalyje nustatytus atvejus. 3. Spragų atskleidimo Nacionaliniam kibernetinio saugumo centrui tvarka, Nacionaliniam kibernetinio saugumo centrui teikiamos informacijos apie spragas turinys, trumpesnio negu 90 kalendorinių dienų informacijos apie aptiktą spragą atskleidimo kitiems, negu nurodyti šio straipsnio 2 dalies 3 punkte, asmenims termino nustatymo tvarka nustatomi nacionalinės spragų atkleidimo tvarkos apraše. 4.
4Kibernetinio saugumo subjektas turi teisę nustatyti spragų jo valdomose ir (ar) tvarkomose ryšių ir informacinėse sistemose atskleidimo tvarką ir nustatyti kitus spragų paieškos apribojimus, negu numatyta šio straipsnio 2 dalyje, arba jų atsisakyti. Kibernetinio saugumo subjekto nustatytame spragų atskleidimo tvarkos apraše numatyti spragų paieškos apribojimai negali būti griežtesni, negu nurodyti šio straipsnio 2 dalyje. Kibernetinio saugumo subjekto nustatytame spragų atskleidimo tvarkos apraše negali būti nustatoma informacijos apie spragas pateikimo Nacionaliniam kibernetinio saugumo centrui tvarka ir numatomos šio straipsnio 5 dalyje nustatyto reguliavimo išimtys. 5. Asmuo, nustatęs spragą, laikydamasis šio straipsnio 1 dalyje nurodytų reikalavimų, turi teisę informaciją apie aptiktą spragą, tačiau ne daugiau informacijos, negu buvo pateikta Nacionaliniam kibernetinio saugumo centrui ir (ar) kibernetinio saugumo subjektui, atskleisti kitiems negu nurodyti šio straipsnio 2 dalies 3 punkte, asmenims ne anksčiau kaip po 90 kalendorinių dienų nuo informacijos apie spragą pateikimo Nacionaliniam kibernetinio saugumo centrui ir (ar) kibernetinio saugumo subjektui. Nacionalinis kibernetinio saugumo centras, įvertinęs spragos sudėtingumą ir jos ištaisymo galimybes, nacionalinės spragų atskleidimo tvarkos apraše nustatyta tvarka turi teisę nustatyti trumpesnį informacijos apie aptiktą spragą atskleidimo kitiems, negu nurodyti šio straipsnio 2 dalies 3 punkte, asmenims terminą, tačiau ne trumpesnį kaip 3 kalendorinės dienos.“
Papildyti Įstatymą VI skyriumi:
1.
Nacionalinis kibernetinio saugumo centras vykdo Reglamente (ES) 2019/881 nustatytas nacionalinės kibernetinio saugumo sertifikavimo institucijos funkcijas, turi nacionalinės kibernetinio saugumo sertifikavimo institucijos įgaliojimus. 2. Nacionalinis kibernetinio saugumo centras, vykdydamas nacionalinės kibernetinio saugumo sertifikavimo institucijos funkcijas:
1) turi teisę neatlygintinai iš atitikties vertinimo įstaigų, Europos kibernetinio saugumo sertifikatų turėtojų, Europos Sąjungos atitikties pareiškimus išduodančių subjektų, valstybės ir savivaldybių institucijų ir įstaigų gauti visą reikalingą informaciją, dokumentų kopijas ir nuorašus, duomenų kopijas, taip pat susipažinti su visais duomenimis ir dokumentais;
2) nustato įgaliojimų atitikties vertinimo įstaigoms pagal Reglamento (ES) 2019/881 60 straipsnio 3 dalį (toliau – papildomi įgaliojimai) suteikimo, apribojimo ir sustabdymo, papildomų įgaliojimų apribojimo ir sustabdymo panaikinimo, papildomų įgaliojimų atšaukimo tvarką, teikia papildomus įgaliojimus, juos apriboja, sustabdo arba atšaukia šio įstatymo 19 straipsnyje nustatytais atvejais;
3) Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka nagrinėja Reglamento (ES) 2019/881 58 straipsnio 7 dalies f punkte nurodytus skundus;
4) Reglamento (ES) 2019/881, šio įstatymo 19 straipsnio ir Nacionalinio kibernetinio saugumo centro nustatyta tvarka atlieka tyrimus, kaip laikomasi Reglamento (ES) 2019/881 III antraštinės dalies ar Europos kibernetinio saugumo sertifikavimo schemų nuostatų;
5) atlikdamas šios dalies 4 punkte nurodytus tyrimus, įgalioja asmenis, turinčius teisę įeiti į atitikties vertinimo įstaigų ir Europos kibernetinio saugumo sertifikatų turėtojų patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais), ne ilgesniam kaip 30 dienų terminui paimti dokumentų kopijas ir nuorašus, duomenų kopijas bei kitus daiktus, reikalingus atliekant tyrimus.
Nacionalinis kibernetinio saugumo centras, vykdydamas nacionalinės kibernetinio saugumo sertifikavimo institucijos funkcijas:
1) turi teisę neatlygintinai iš atitikties vertinimo įstaigų, Europos kibernetinio saugumo sertifikatų turėtojų, Europos Sąjungos atitikties pareiškimus išduodančių subjektų, valstybės ir savivaldybių institucijų ir įstaigų gauti visą reikalingą informaciją, dokumentų kopijas ir nuorašus, duomenų kopijas, taip pat susipažinti su visais duomenimis ir dokumentais;
2) nustato įgaliojimų atitikties vertinimo įstaigoms pagal Reglamento (ES) 2019/881 60 straipsnio 3 dalį (toliau – papildomi įgaliojimai) suteikimo, apribojimo ir sustabdymo, papildomų įgaliojimų apribojimo ir sustabdymo panaikinimo, papildomų įgaliojimų atšaukimo tvarką, teikia papildomus įgaliojimus, juos apriboja, sustabdo arba atšaukia šio įstatymo 19 straipsnyje nustatytais atvejais;
3) Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka nagrinėja Reglamento (ES) 2019/881 58 straipsnio 7 dalies f punkte nurodytus skundus;
4) Reglamento (ES) 2019/881, šio įstatymo 19 straipsnio ir Nacionalinio kibernetinio saugumo centro nustatyta tvarka atlieka tyrimus, kaip laikomasi Reglamento (ES) 2019/881 III antraštinės dalies ar Europos kibernetinio saugumo sertifikavimo schemų nuostatų;
5) atlikdamas šios dalies 4 punkte nurodytus tyrimus, įgalioja asmenis, turinčius teisę įeiti į atitikties vertinimo įstaigų ir Europos kibernetinio saugumo sertifikatų turėtojų patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais), ne ilgesniam kaip 30 dienų terminui paimti dokumentų kopijas ir nuorašus, duomenų kopijas bei kitus daiktus, reikalingus atliekant tyrimus. Įeiti į juridinio asmens patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik juridinio asmens darbo laiku, pateikus tarnybinį pažymėjimą.
Įeiti į fiziniam asmeniui priklausančias patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik pateikus teismo nutartį dėl leidimo įeiti į fiziniam asmeniui priklausančias patalpas;
6) vykdydamas šios dalies 4 punkte nurodytus tyrimus, turi teisę gauti žodinius ir rašytinius paaiškinimus iš tikrinamų juridinių ir fizinių asmenų ir reikalauti, kad jie atvyktų į nacionalinės kibernetinio saugumo sertifikavimo institucijos patalpas duoti paaiškinimų;
7) atlieka kitas Lietuvos Respublikos teisės aktuose nustatytas funkcijas kibernetinio saugumo sertifikavimo srityje. 3. Nacionalinio kibernetinio saugumo centro prašymai dėl teismo leidimo įeiti į fiziniam asmeniui priklausančias patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) nagrinėjami Lietuvos Respublikos civilinio proceso kodekso XXXIX skyriuje nustatyta tvarka. 19 straipsnis. Papildomų įgaliojimų atitikties vertinimo įstaigoms suteikimas, apribojimas ir sustabdymas, papildomų įgaliojimų apribojimo ir sustabdymo panaikinimas, papildomų įgaliojimų atšaukimas
1Papildomi įgaliojimai suteikiami, apribojami ir sustabdomi, papildomų įgaliojimų apribojimas ir sustabdymas panaikinamas, papildomi įgaliojimai atšaukiami šiame straipsnyje ir 18 straipsnio 2 dalies 2 punkte nurodytame teisės akte nustatyta tvarka. 2. Papildomi įgaliojimai suteikiami atitikties vertinimo įstaigoms užduotims atlikti pagal Europos kibernetinio saugumo sertifikavimo schemas, kai tenkinamos visos šios sąlygos:
1) atitikties vertinimo įstaiga atitinka Reglamento (ES) 2019/881 priede nustatytus reikalavimus ir turi tai patvirtinantį galiojantį akreditavimo pažymėjimą;
2) atitikties vertinimo įstaiga atitinka Europos kibernetinio saugumo sertifikavimo schemoje nustatytus specialiuosius ar papildomus reikalavimus. 3.
3Sprendimas dėl papildomų įgaliojimų suteikimo priimamas per 30 kalendorinių dienų nuo visų tinkamai užpildytų dokumentų, įrodančių atitikties vertinimo įstaigų atitiktį šio straipsnio 2 dalyje nurodytoms sąlygoms, gavimo. 4. Papildomus įgaliojimus suteikti atsisakoma, jeigu Nacionalinis kibernetinio saugumo centras nustato, kad atitikties vertinimo įstaiga neatitinka šio straipsnio 2 dalyje nurodytų sąlygų. 5. Papildomi įgaliojimai apribojami Nacionalinio kibernetinio saugumo centro sprendimu, kuriame nurodomas papildomų įgaliojimų apribojimo pagrindas, taikomi apribojimai ir, jeigu papildomi įgaliojimai apribojami šios dalies 2 punkte nustatytu pagrindu, terminas, kuris negali būti ilgesnis kaip 6 mėnesiai ir per kurį atitikties vertinimo įstaiga turi pašalinti pažeidimus, dėl kurių apribojami papildomi įgaliojimai, kai yra bent viena iš šių sąlygų:
1) pasikeitė Europos kibernetinio saugumo sertifikavimo schemos specialieji ar papildomi reikalavimai;
2) Nacionalinis kibernetinio saugumo centras, atlikdamas tyrimą, nustato, kad atitikties vertinimo įstaiga nesilaiko Reglamento (ES) 2019/881 reikalavimų arba pažeidė Europos kibernetinio saugumo sertifikavimo schemos, dėl kurios buvo suteikti papildomi įgaliojimai, reikalavimus;
3) Lietuvos Respublikos atitikties įvertinimo įstatymo nustatyta tvarka pakeistas akreditavimo pažymėjimas. 6. Priėmus sprendimą apriboti papildomus įgaliojimus, atitikties vertinimo įstaigai draudžiama vykdyti sprendime nurodytas užduotis pagal Europos kibernetinio saugumo sertifikavimo schemą, dėl kurios buvo išduoti papildomi įgaliojimai. 7.
7Papildomų įgaliojimų apribojimas panaikinamas, kai atitikties vertinimo įstaiga ne vėliau kaip per 7 mėnesius nuo sprendimo apriboti papildomus įgaliojimus priėmimo dienos pateikia prašymą, o Nacionalinis kibernetinio saugumo centras atlieka tyrimą šio įstatymo 20 straipsnyje nustatyta tvarka ir nustato, kad:
1) atitikties vertinimo įstaiga atitinka Europos kibernetinio saugumo sertifikavimo schemos reikalavimus, jeigu papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 1 punkte nustatytu pagrindu;
2) atitikties vertinimo įstaiga per Nacionalinio kibernetinio saugumo centro nustatytą terminą pašalino pažeidimus, dėl kurių papildomi įgaliojimai buvo apriboti;
3) Atitikties vertinimo įstatymo nustatyta tvarka keičiant akreditavimo pažymėjimą nėra susiaurinta akreditavimo sritis, dėl kurios buvo išduoti papildomi įgaliojimai, jei papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 3 punkte nustatytu pagrindu. 8. Papildomi įgaliojimai sustabdomi Nacionalinio kibernetinio saugumo centro sprendimu.
Šiame sprendime kuriame nurodomas papildomų įgaliojimų sustabdymo pagrindas ir, jeigu papildomi įgaliojimai sustabdomi šios dalies 2 punkte nustatytu pagrindu, terminas, kuris negali būti ilgesnis kaip 6 mėnesiai ir per kurį atitikties įvertinimo įstaiga turi pašalinti pažeidimus, dėl kurių sustabdomi papildomi įgaliojimai, esant kai yra bent vienai iš šių sąlygų:
1) atitikties vertinimo įstaiga pateikė prašymą Nacionaliniam kibernetinio saugumo centrui sustabdyti jai suteiktus papildomus įgaliojimus prašyme nurodytam terminui, kuris negali būti ilgesnis nei kaip 6 mėnesiai;
2) Nacionalinis kibernetinio saugumo centras, atlikdamas tyrimą, nustato, kad atitikties vertinimo įstaiga, kurios papildomi įgaliojimai buvo apriboti šio straipsnio 5 dalies 2 punkte nustatytu pagrindu, per Nacionalinio kibernetinio saugumo centro nustatytą terminą nepašalino pažeidimų, dėl kurių papildomi įgaliojimai buvo apriboti;
3) Atitikties įvertinimo įstatymo nustatyta tvarka sustabdomas akreditavimo pažymėjimo galiojimas. 9.
9Papildomų įgaliojimų sustabdymas panaikinamas, kai atitikties vertinimo įstaiga ne vėliau kaip per 7 mėnesius nuo sprendimo sustabdyti papildomus įgaliojimus priėmimo dienos pateikia prašymą, o Nacionalinis kibernetinio saugumo centras atlieka tyrimą šio įstatymo 20 straipsnyje nustatyta tvarka ir nustato, kad:
1) atitikties vertinimo įstaiga atitinka Europos kibernetinio saugumo sertifikavimo schemos reikalavimus, jeigu jai suteikti papildomi įgaliojimai buvo sustabdyti šio straipsnio 8 dalies 1 punkte nustatytu pagrindu;
2) atitikties vertinimo įstaiga per Nacionalinio kibernetinio saugumo centro nustatytą terminą pašalino pažeidimus, dėl kurių papildomi įgaliojimai buvo sustabdyti;
3) Atitikties įvertinimo įstatymo nustatyta tvarka panaikintas akreditavimo pažymėjimo galiojimo sustabdymas, jeigu papildomi įgaliojimai buvo sustabdyti šio straipsnio 8 dalies 3 punkte nustatytu pagrindu. 10. Papildomi įgaliojimai atšaukiami Nacionalinio kibernetinio saugumo centro sprendimu, esant kai yra bent vienai iš šių sąlygų:
1) atitikties vertinimo įstaiga pateikė prašymą Nacionaliniam kibernetinio saugumo centrui atšaukti jai suteiktus papildomus įgaliojimus;
2) atitikties vertinimo įstaiga nepateikė prašymo dėl papildomų įgaliojimų apribojimo ar sustabdymo panaikinimo per šio straipsnio 7 ir 9 dalyse nurodytus terminus;
3) atitikties vertinimo įstaiga per Nacionalinio kibernetinio saugumo centro nustatytą terminą nepašalino pažeidimų, dėl kurių papildomi įgaliojimai buvo sustabdyti;
4) atitikties vertinimo įstaiga, kurios papildomi įgaliojimai apriboti ar sustabdyti, toliau atlieka užduotis pagal Europos kibernetinio saugumo sertifikavimo schemą, dėl kurios papildomi įgaliojimai buvo apriboti ar sustabdyti;
5) Atitikties įvertinimo įstatymo nustatyta tvarka panaikintas akreditavimo pažymėjimo galiojimas arba yra susiaurinta akreditavimo sritis, dėl kurios buvo išduoti papildomi įgaliojimai. 20 straipsnis. Tyrimo atlikimo tvarka 1.
1Nacionalinis kibernetinio saugumo centras turi teisę pradėti tyrimą bet kokiu klausimu, susijusiu su Reglamento (ES) 2019/881 III antraštinės dalies ar Europos kibernetinio saugumo sertifikavimo schemų nuostatų galimu pažeidimu ar jų laikymosi stebėsena. 2. Pagrindas pradėti tyrimą gali būti skundai, teikiami pagal Reglamento (ES) 2019/881 58 straipsnio 7 dalies f punktą, atitikties vertinimo įstaigų prašymai, teikiami pagal šio įstatymo 19 straipsnį, ir kiti šaltiniai. Nacionalinis kibernetinio saugumo centras turi teisę pradėti tyrimą ir savo iniciatyva. 3. Tyrimas turi būti atliktas per kuo trumpesnį laiką, bet ne vėliau kaip per 4 mėnesius nuo šio straipsnio 2 dalyje nurodyto skundo ar prašymo gavimo dienos arba sprendimo atlikti tyrimą kitų šaltinių, nurodytų šio straipsnio 2 dalyje, pagrindu priėmimo dienos. 4. Atsižvelgiant į tyrimo sudėtingumą, tyrimo mastą, atitikties vertinimo įstaigų, Europos kibernetinio saugumo sertifikatų turėtojų ir Europos Sąjungos atitikties pareiškimų išdavėjų veiklos pobūdį bei vengimą vykdyti Nacionalinio kibernetinio saugumo centro reikalavimus, tyrimo metu paaiškėjusias naujas aplinkybes arba kitas objektyvias priežastis, šio straipsnio 3 dalyje nustatytas terminas Nacionalinio kibernetinio saugumo centro sprendimu gali būti pratęstas, bet ne ilgiau kaip 2 mėnesiams. Bendras tyrimo atlikimo terminas negali būti ilgesnis kaip 6 mėnesiai nuo šio straipsnio 2 dalyje nurodyto skundo ar prašymo gavimo dienos arba sprendimo atlikti tyrimą kitų šaltinių, nurodytų šio straipsnio 2 dalyje, pagrindu priėmimo dienos. Apie tyrimo termino pratęsimą ir priežastis, dėl kurių šis terminas pratęstas, Nacionalinis kibernetinio saugumo centras privalo nedelsdamas, bet ne vėliau kaip iki šio straipsnio 3 dalyje nurodyto termino pabaigos pranešti atitikties vertinimo įstaigai, Europos kibernetinio saugumo sertifikatų turėtojui ar Europos Sąjungos atitikties pareiškimų išdavėjui. 5.
5Nacionalinis kibernetinio saugumo centras, baigęs tyrimą, priima bent vieną iš šių sprendimų:
1) konstatuoti, kad pažeidimų nenustatyta;
2) pateikti atitikties vertinimo įstaigai, Europos kibernetinio saugumo sertifikatų turėtojui ar Europos Sąjungos atitikties pareiškimų išdavėjui nurodymus ir rekomendacijas, jeigu tyrimo metu nustatoma, kad taikomi netinkami veiklos būdai ar praktikos;
3) pradėti administracinio nusižengimo teiseną;
4) pripažinti Europos Sąjungos atitikties pareiškimą, išduotą pagal Reglamento (ES) 2019/881 53 straipsnio 2 dalį, negaliojančiu, jeigu tyrimo metu nustatoma, kad nesilaikoma Reglamento (ES) 2019/881 arba Europos kibernetinio saugumo sertifikavimo schemos reikalavimų;
5) panaikinti savo paties arba pagal Reglamento (ES) 2019/881 56 straipsnio 6 dalį atitikties vertinimo įstaigos išduoto Europos kibernetinio saugumo sertifikato galiojimą, jeigu tyrimo metu nustatoma, kad Europos kibernetinio saugumo sertifikatas neatitinka Reglamento (ES) 2019/881 arba Europos kibernetinio saugumo sertifikavimo schemos reikalavimų;
6) apriboti, sustabdyti, atšaukti atitikties vertinimo įstaigų papildomus įgaliojimus arba panaikinti papildomų įgaliojimų apribojimą ar sustabdymą šio įstatymo 19 straipsnyje nustatytais atvejais. 6. Šio straipsnio 5 dalies 2 punkte numatyti nurodymai ir rekomendacijos pateikiami per 20 darbo dienų nuo sprendimo priėmimo dienos. 7. Nacionalinio kibernetinio saugumo centro sprendimai, išskyrus sprendimą, nurodytą šio straipsnio 5 dalies 3 punkte, gali būti skundžiami teismui Lietuvos Respublikos administracinių bylų teisenos įstatymo nustatyta tvarka.“
Pakeisti Įstatymo priedą ir jį išdėstyti taip: „Lietuvos Respublikos kibernetinio saugumo įstatymo priedas
12018 m. gruodžio 11 d. Europos Parlamento ir Tarybos direktyva (ES) 2018/1972, kuria nustatomas Europos elektroninių ryšių kodeksas (nauja redakcija). 2002 m. kovo 7 d.
2002 m. kovo 7 d. Europos Parlamento ir Tarybos direktyva 2002/21/EB dėl elektroninių ryšių tinklų ir paslaugų bendrosios reguliavimo sistemos (Pagrindų direktyva) (OL 2004 m. specialusis leidimas, 13 skyrius, 29 tomas, p. 349) su paskutiniais pakeitimais, padarytais 2009 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyva 2009/140/EB (OL 2009 L 337, p. 37). 12. 2016 m. liepos 6 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti(OL 2016 L 194, p. 1). 2. 2018 m. gruodžio 11 d. Europos Parlamento ir Tarybos direktyva (ES) 2018/1972, kuria nustatomas Europos elektroninių ryšių kodeksas (nauja redakcija). 3. 2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentas (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013.“
1Šis įstatymas, išskyrus šio straipsnio 2 dalį, įsigalioja 2021 m. birželio 28 d. 2. Lietuvos Respublikos krašto apsaugos ministras ir Nacionalinis kibernetinio saugumo centro prie Krašto apsaugos ministerijos direktorius iki 2021 m. birželio 27 d. priima šio įstatymo įgyvendinamuosius teisės aktus. Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą. Respublikos Prezidentas
2021-04-08 Nr. XIVP-388 Vilnius Įvertinę teikiamo įstatymo projekto atitiktį Konstitucijai, galiojantiems įstatymams, teisėkūros principams ir teisės technikos taisyklių reikalavimams, teikiame šias pastabas:
straipsnyje apibrėžiamos sąvokos dėstomos abėcėlės tvarka, projekto 2 straipsnio 1 dalimi keičiamo įstatymo 2 straipsnis turėtų būti pildomas 14¹, o ne 12¹ dalimi. 2. Atkreiptinas dėmesys, kad vadovaujantis Teisės aktų projektų rengimo rekomendacijų, patvirtintų Lietuvos Respublikos teisingumo ministro 2013 m. gruodžio 23 d. įsakymu Nr. 1R-298 45 punktu, įstatyme vartojamos sąvokos aiškinamos atskiromis straipsnio dalimis. Atsižvelgiant į tai, siūlytina projekto 2 straipsnio 2 dalimi keičiamo įstatymo 2 straipsnį pildančioje 17¹ dalyje išvardintas sąvokas dėstyti atskiromis dalimis, nurodant kuriame teisės akte jos yra apibrėžiamos. 3. Projekto 2 straipsnio 3 dalimi keičiamo įstatymo 2 straipsnio 19 dalyje nurodytus įstatymų pavadinimus, siūlytina dėstyti abėcėlės tvarka. 4. Iš projekto aiškinamojo rašto[1] matyti, kad projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalyje siekiama įtvirtinti tokius spragų paieškos reikalavimus, kurie apsaugotų spragų ieškančius asmenis nuo baudžiamosios atsakomybės pagal atitinkamus Baudžiamojo kodekso (toliau – BK)
SAUGUMUI” straipsnius.
Vis tik atkreiptinas dėmesys, jog projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalies nuostatos neapima tam tikrų BK XXX skyriaus straipsniuose įtvirtintų nusikalstamų veikų sudėčių objektyviosios pusės požymių, todėl abejotina, ar projekte numatomas teisinis reguliavimas sudarytų visapusiškas prielaidas teisėtai spragų paieškai. Pavyzdžiui, BK 196 straipsnis numato baudžiamąją atsakomybę už neteisėtą elektroninių duomenų sunaikinimą, pakeitimą, sugadinimą ar pašalinimą. Tuo tarpu projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalies 4 punkte siūloma leisti spragų ieškantiems asmenims kibernetinio saugumo subjekto valdomus ir (ar) tvarkomus duomenis naikinti ir keisti, tačiau nenumatoma, kad spragų ieškantys asmenys tokius duomenis galėtų, be kita ko, gadinti ir šalinti. Taip pat pastebėtina, jog projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalis nepilnai apima ir BK 198 straipsnyje aprašytos nusikalstamos veikos sudėties objektyviosios pusės požymius – pvz., projekto 8 straipsniu keičiamo įstatymo
asmeniui kibernetinio saugumo subjekto valdomus ir (ar) tvarkomus duomenis ne tik stebėti, fiksuoti, perimti, įgyti ar atskleisti, bet ir juos laikyti[2] tam tikrą laiko tarpą. 5. Projekto
turėtų būti rašomas nesutrumpintai. 6.
straipsnio 2 dalies 6 punkte vietoj žodžių ir skaičiaus „šio straipsnio 2 dalies” įrašytini žodžiai „šios dalies”, o prieš formuluotę „5 dalyje“ įrašytini žodžiai „šio straipsnio“. 7. Projekto 8 straipsniu pildomo įstatymo 17 straipsnio 3 dalyje siūloma nustatyti, kad trumpesnių informacijos apie aptiktą spragą atskleidimo kitiems asmenims, nei nurodyta šio straipsnio 2 dalies 3 punkte, terminų nustatymo tvarka nustatomi nacionalinės spragų atkleidimo tvarkos apraše. Vertinant šią nuostatą, nėra aišku, kokie dar „kiti subjektai“ turimi omenyje, nes šio straipsnio 2 dalies 3 punkte numatytas baigtinis institucijų, kurioms teikiama informacija apie rastą spragą, ratas - Nacionaliniam kibernetinio saugumo centras ir (arba) kibernetinio saugumo subjektas, kurio ryšių ir informacinėje sistemoje vykdyta spragos paieška. Be to, manome, kad poįstatyminiais teisės aktais negali būti keičiamas (siaurinamas) įstatymo turinys bei spragą ieškantiems asmenims nustatomas griežtesnis (t.y. trumpesnio termino) nei nustatyta pačiame įstatyme įpareigojimas dėl informacijos pateikimo. Jeigu, vis dėlto, ši nuostata skirta reglamentuota būtent atvejį, numatytą šios straipsnio 5 dalyje, nustatančioje, kad Nacionalinis kibernetinio saugumo centras, įvertinęs spragos sudėtingumą ir ištaisymo galimybes, nacionalinės spragų atskleidimo tvarkos apraše nustatyta tvarka turi teisę nustatyti trumpesnį informacijos apie aptiktą spragą atskleidimo kitiems asmenims, nei nurodyta šio straipsnio 2 dalies 3 punkte, terminą, tačiau ne trumpesnį nei 3 kalendorinės dienos, siekiant teisinio aiškumo, šias nuostatas reikėtų suderinti tarpusavyje, pildomo įstatymo 17 straipsnio 3 dalyje po žodžio „trumpesnių“ įrašytini žodžiai „nei 90 kalendorinių dienų“. 8. Projekto 9 straipsniu pildomo įstatymo 18 straipsnio 2 dalies 5 ir 6 punktuose vietoj žodžių ir skaičiaus „šio straipsnio 2 dalies” įrašytini žodžiai „šios dalies”. 9.
straipsniu pildomo įstatymo 18 straipsnio 2 dalies 5 punkte tikslinti nurodytą „30 dienų“ terminą, jį atitinkamai susiejant su kalendorinėmis arba darbo dienomis. 10. Projekto 9 straipsniu pildomo įstatymo 19 straipsnio pavadinime žodis „teikimas“ keistinas žodžiu „suteikimas“, kadangi 19 straipsnio nuostatose papildomi įgaliojimai yra suteikiami. 11. Projekto 9 straipsniu pildomo įstatymo 19 straipsnio 1 dalyje prieš žodžius „18 straipsnio 2 dalies 2 punkte” įrašytini žodžiai „šio įstatymo“. 12. Projekto 11 straipsnio 2 dalyje vietoje žodžių
„Nacionalinio kibernetinio saugumo centras“ reikėtų įrašyti žodžius „
Nacionalinio kibernetinio saugumo centro direktorius“, kadangi institucijos kompetencijai priklausančius klausimus sprendžia bei privalomos galios administracinius aktus kaip valstybės pareigūnas priima direktorius, o ne centras. Departamento direktorius Andrius Kabišaitis M. Griščenko, tel. (8 5) 239 6552, el. p. [email protected] S. Mikšys, tel. (8 5) 239 6891, el. p. [email protected] E. Mušinskis, tel. (8 5) 239 6356, el. p. [email protected] [1] Jame nurodoma, kad „Baudžiamojo kodekso XXX skyriaus straipsniuose taip pat nustatomos nusikalstamos veikos sudėtys, kurių būtinasis požymis yra veikos neteisėtumas. Atsižvelgiant į tai, kad tiek nacionaliniu, tiek tarptautiniu aspektu viena iš esminių sąlygų kilti baudžiamajai atsakomybei yra atliekamų veiksmų neteisėtumas, siūloma Kibernetinio saugumo įstatyme numatyti sąlygas, kurių laikantis spragų paieška būtų teisėta”. [2] BK 198 straipsnio 1 dalyje numatyta, kad „Tas, kas neteisėtai stebėjo, fiksavo, perėmė, įgijo, laikė, <…> paskleidė <…> neviešus elektroninius duomenis, baudžiamas bauda arba laisvės atėmimu iki ketverių metų”.
2021-06-11 Nr. XIVP-388(2) Vilnius Įvertinę teikiamo įstatymo projekto atitiktį Konstitucijai, galiojantiems įstatymams, teisėkūros principams ir teisės technikos taisyklių reikalavimams, pastabų neturime. Departamento direktorius Andrius Kabišaitis M. Griščenko, tel. (8 5) 239 6552, el. p. [email protected] S. Mikšys, tel. (8 5) 239 6891, el. p. [email protected] E. Mušinskis, tel. (8 5) 239 6356, el. p. [email protected]
Nacionalinio saugumo ir gynybos komitetas
2021-05-19
1Komiteto posėdyje dalyvavo:
Komiteto pirmininkas Laurynas Kasčiūnas, komiteto pirmininko pavaduotojas Dainius Gaižauskas, komiteto nariai: Virgilijus Alekna, Vytautas Bakas, Jonas Jarutis, Raimundas Lopata, Andrius Mazuronis, Arvydas Pocius, Dovilė Šakalienė, Valdas Rakutis, Saulius Skvernelis. Komiteto biuras: vedėjas Evaldas Sinkevičius, patarėjai Agnija Tumkevič, Vilma Greckaitė, Vilma Kaminskienė, Mantas Lapinskas, Nortautas Statkus, padėjėjas Justas Gaidys. Kviestieji asmenys: Seimo narys Kasparas Adomaitis, Kibernetinio saugumo ir informacinių technologijų politikos grupės vadovas Jonas Skardinskas, Kibernetinio saugumo ir informacinių technologijų politikos grupės patarėja Sigita Laurinčiukaitė, Nacionalinio kibernetinio saugumo centro direktorius Rytis Rainys, Kibernetinio saugumo valdymo departamento direktorius Viktoras Pinkevičius. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos (toliau – pasiūlymai):
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
kanceliarijos Teisės departamentas, 2021-04-082 Įvertinę teikiamo įstatymo projekto atitiktį Konstitucijai, galiojantiems įstatymams, teisėkūros principams ir teisės technikos taisyklių reikalavimams, teikiame šias pastabas: Atsižvelgiant į tai, kad keičiamo įstatymo 2 straipsnyje apibrėžiamos sąvokos dėstomos abėcėlės tvarka, projekto 2 straipsnio 1 dalimi keičiamo įstatymo 2 straipsnis turėtų būti pildomas 14¹, o ne 12¹ dalimi. Pritarti
14¹ dalimi: „12¹.
14¹ Ryšių ir informacinės sistemos spraga (toliau – spraga) – ryšių ir informacinės sistemos trūkumas, dėl kurio gali įvykti kibernetinis incidentas.“
kanceliarijos Teisės departamentas,
2 Atkreiptinas dėmesys, kad vadovaujantis Teisės aktų projektų rengimo rekomendacijų, patvirtintų Lietuvos Respublikos teisingumo ministro 2013 m. gruodžio 23 d. įsakymu Nr. 1R-298 45 punktu, įstatyme vartojamos sąvokos aiškinamos atskiromis straipsnio dalimis. Atsižvelgiant į tai, siūlytina projekto 2 straipsnio 2 dalimi keičiamo įstatymo 2 straipsnį pildančioje 17¹ dalyje išvardintas sąvokas dėstyti atskiromis dalimis, nurodant kuriame teisės akte jos yra apibrėžiamos. Nepritarti Atkreiptinas dėmesys, kad keičiamo įstatymo 2 straipsnio 17¹ dalyje pateikiamos sąvokos nėra aiškinamos, o tiesiog teikiama nuoroda į kitą teisės aktą. Pažymėtina, kad Teisės aktų projektų rengimo rekomendacijų 45 punktas yra taikytinas tais atvejais, kai pačiame įstatyme nustatomi sąvokų terminai ir jų apibrėžtys, tačiau keičiamo įstatymo 2 straipsnio 17¹ dalyje tai nėra daroma. 3. Seimo kanceliarijos Teisės departamentas,
3 Projekto 2 straipsnio 3 dalimi keičiamo įstatymo 2 straipsnio 19 dalyje nurodytus įstatymų pavadinimus, siūlytina dėstyti abėcėlės tvarka. Pritarti „19. Kitos šiame įstatyme vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme, Lietuvos Respublikos elektroninių ryšių įstatyme, Lietuvos Respublikos informacinės visuomenės paslaugų įstatyme, Lietuvos Respublikos kriminalinės žvalgybos įstatyme, Lietuvos Respublikos nesąžiningos komercinės veiklos vartotojams draudimo įstatyme, Lietuvos Respublikos smulkiojo ir vidutinio verslo plėtros įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme ir Lietuvos Respublikos žvalgybos įstatyme, 2012 m. spalio 25 d. Europos Parlamento ir Tarybos reglamente (ES) Nr.
1025/2012 dėl Europos standartizacijos, kuriuo iš dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos Parlamento ir Tarybos direktyvos 94/9/EB, 94/25/EB, 95/16/EB, 97/23/EB, 98/34/EB, 2004/22/EB, 2007/23/EB, 2009/23/EB ir2009/105/EB ir panaikinamas Tarybos sprendimas Nr. 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas Nr. 1673/2006/EB.“
kanceliarijos Teisės departamentas,
projekto aiškinamojo rašto matyti, kad projekto 8 straipsniu pildomo įstatymo
reikalavimus, kurie apsaugotų spragų ieškančius asmenis nuo baudžiamosios atsakomybės pagal atitinkamus Baudžiamojo kodekso (toliau – BK) XXX skyriaus
straipsnius. Vis tik atkreiptinas dėmesys, jog projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalies nuostatos neapima tam tikrų BK XXX skyriaus straipsniuose įtvirtintų nusikalstamų veikų sudėčių objektyviosios pusės požymių, todėl abejotina, ar projekte numatomas teisinis reguliavimas sudarytų visapusiškas prielaidas teisėtai spragų paieškai. Pavyzdžiui, BK 196 straipsnis numato baudžiamąją atsakomybę už neteisėtą elektroninių duomenų sunaikinimą, pakeitimą, sugadinimą ar pašalinimą. Tuo tarpu projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalies 4 punkte siūloma leisti spragų ieškantiems asmenims kibernetinio saugumo subjekto valdomus ir (ar) tvarkomus duomenis naikinti ir keisti, tačiau nenumatoma, kad spragų ieškantys asmenys tokius duomenis galėtų, be kita ko, gadinti ir šalinti.
Taip pat pastebėtina, jog projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalis nepilnai apima ir BK 198 straipsnyje aprašytos nusikalstamos veikos sudėties objektyviosios pusės požymius – pvz., projekto 8 straipsniu keičiamo įstatymo
asmeniui kibernetinio saugumo subjekto valdomus ir (ar) tvarkomus duomenis ne tik stebėti, fiksuoti, perimti, įgyti ar atskleisti, bet ir juos laikyti tam tikrą laiko tarpą. Pritarti Siūloma formuluotė: „4) nesiekiama be reikalo, daugiau, negu reikia spragai patvirtinti, stebėti, fiksuoti, perimti, įgyti, laikyti, atskleisti, kopijuoti, keisti, gadinti, šalinti, naikinti kibernetinio saugumo subjekto valdomų ir (ar) tvarkomų duomenų;“
kanceliarijos Teisės departamentas, 2021-04-088 Projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalies 3 punkte žodis „val.” turėtų būti rašomas nesutrumpintai. Pritarti Siūloma formuluotė: „3) asmuo, atlikęs spragų paiešką, ne vėliau kaip per 24 val. valandas nuo spragų paieškos pradžios (paiešką tęsiant ilgiau kaip 24 val. valandas – kas 24 val. valandas), turi parengti nacionalinės spragų atskleidimo tvarkos apraše ar kibernetinio saugumo subjekto nustatytos spragų atskleidimo tvarkos apraše nustatyto turinio informaciją apie spragų paieškos rezultatus ir ją pateikti Nacionaliniam kibernetinio saugumo centrui nacionalinės spragų atskleidimo tvarkos apraše nustatyta tvarka ir (arba) kibernetinio saugumo subjektui, kurio ryšių ir informacinėje sistemoje atlikta paieška, šio kibernetinio saugumo subjekto nustatytoa spragų atskleidimo tvarkos apraše nustatyta tvarka;“. 6.
kanceliarijos Teisės departamentas, 2021-04-088 Projekto 8 straipsniu pildomo įstatymo 17 straipsnio 2 dalies 6 punkte vietoj žodžių ir skaičiaus
„šio straipsnio 2 dalies” įrašytini žodžiai „šios dalies”, o prieš formuluotę
„5 dalyje“ įrašytini žodžiai „šio straipsnio“. Pritarti
Siūloma formuluotė: „6) nesidalijama informacija apie aptiktą spragą, išskyrus šio straipsnio 2 dalies šios dalies 3 punkte ir šio straipsnio 5 dalyje nustatytus atvejus.“
kanceliarijos Teisės departamentas, 2021-04-088 Projekto
trumpesnių informacijos apie aptiktą spragą atskleidimo kitiems asmenims, nei nurodyta šio straipsnio 2 dalies 3 punkte, terminų nustatymo tvarka nustatomi nacionalinės spragų atkleidimo tvarkos apraše. Vertinant šią nuostatą, nėra aišku, kokie dar „kiti subjektai“ turimi omenyje, nes šio straipsnio 2 dalies
rastą spragą, ratas - Nacionaliniam kibernetinio saugumo centras ir (arba) kibernetinio saugumo subjektas, kurio ryšių ir informacinėje sistemoje vykdyta spragos paieška. Be to, manome, kad poįstatyminiais teisės aktais negali būti keičiamas (siaurinamas) įstatymo turinys bei spragą ieškantiems asmenims nustatomas griežtesnis (t.y. trumpesnio termino) nei nustatyta pačiame įstatyme įpareigojimas dėl informacijos pateikimo.
Jeigu, vis dėlto, ši nuostata skirta reglamentuota būtent atvejį, numatytą šios straipsnio 5 dalyje, nustatančioje, kad Nacionalinis kibernetinio saugumo centras, įvertinęs spragos sudėtingumą ir ištaisymo galimybes, nacionalinės spragų atskleidimo tvarkos apraše nustatyta tvarka turi teisę nustatyti trumpesnį informacijos apie aptiktą spragą atskleidimo kitiems asmenims, nei nurodyta šio straipsnio 2 dalies 3 punkte, terminą, tačiau ne trumpesnį nei 3 kalendorinės dienos, siekiant teisinio aiškumo, šias nuostatas reikėtų suderinti tarpusavyje, pildomo įstatymo 17 straipsnio 3 dalyje po žodžio
„trumpesnių“ įrašytini žodžiai „nei 90 kalendorinių dienų“. Pritarti
Siūloma formuluotė: „3. Spragų atskleidimo Nacionaliniam kibernetinio saugumo centrui tvarka, Nacionaliniam kibernetinio saugumo centrui teikiamos informacijos apie spragas turinys, trumpesnio negu 90 kalendorinių dienų informacijos apie aptiktą spragą atskleidimo kitiems, negu nurodyti šio straipsnio 2 dalies 3 punkte asmenims termino nustatymo tvarka nustatomi nacionalinės spragų atkleidimo tvarkos apraše.“
kanceliarijos Teisės departamentas, 2021-04-089 Projekto
žodžių ir skaičiaus „šio straipsnio 2 dalies” įrašytini žodžiai „šios dalies”.
Pritarti Siūloma formuluotė: „5) vykdydamas šio straipsnio 2 dalies šios dalies 4 punkte nurodytus tyrimus, įgalioja asmenis, turinčius teisę įeiti į atitikties vertinimo įstaigų ir Europos kibernetinio saugumo sertifikatų turėtojų patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais), ir ne ilgesniam kaip 30 kalendorinių dienų terminui paimti dokumentų kopijas ir nuorašus, duomenų kopijas bei kitus daiktus, reikalingus atliekant tyrimus. Įeiti į juridinio asmens patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik juridinio asmens darbo laiku, pateikus tarnybinį pažymėjimą. Įeiti į fiziniam asmeniui priklausančias patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik pateikus teismo nutartį dėl leidimo įeiti į fiziniam asmeniui priklausančias patalpas;
6) vykdydamas šio straipsnio 2 dalies šios dalies 4 punkte nurodytus tyrimus, turi teisę gauti žodinius ir rašytinius paaiškinimus iš tikrinamų juridinių ir fizinių asmenų ir reikalauti, kad jie atvyktų į nacionalinės kibernetinio saugumo sertifikavimo institucijos patalpas duoti paaiškinimų;“. 9. Seimo kanceliarijos Teisės departamentas, 2021-04-089 Siekiant teisinio aiškumo, siūlytina projekto 9 straipsniu pildomo įstatymo 18 straipsnio 2 dalies 5 punkte tikslinti nurodytą „30 dienų“ terminą, jį atitinkamai susiejant su kalendorinėmis arba darbo dienomis.
Pritarti Siūloma formuluotė: „5) vykdydamas šio straipsnio 2 dalies 4 punkte nurodytus tyrimus, įgalioja asmenis, turinčius teisę įeiti į atitikties vertinimo įstaigų ir Europos kibernetinio saugumo sertifikatų turėtojų patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais), ir ne ilgesniam kaip 30 kalendorinių dienų terminui paimti dokumentų kopijas ir nuorašus, duomenų kopijas bei kitus daiktus, reikalingus atliekant tyrimus. Įeiti į juridinio asmens patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik juridinio asmens darbo laiku, pateikus tarnybinį pažymėjimą. Įeiti į fiziniam asmeniui priklausančias patalpas (tarp jų ir nuomojamas ar naudojamas kitais pagrindais) galima tik pateikus teismo nutartį dėl leidimo įeiti į fiziniam asmeniui priklausančias patalpas;“. 10. Seimo kanceliarijos Teisės departamentas, 2021-04-089 Projekto
keistinas žodžiu „suteikimas“, kadangi 19 straipsnio nuostatose papildomi įgaliojimai yra suteikiami. Pritarti Siūloma formuluotė:
„19 straipsnis. Papildomų įgaliojimų atitikties vertinimo įstaigoms suteikimas teikimas,
apribojimas ir sustabdymas, papildomų įgaliojimų apribojimo ir sustabdymo panaikinimas, papildomų įgaliojimų atšaukimas“. 11. Seimo kanceliarijos Teisės departamentas, 2021-04-089 Projekto 9 straipsniu pildomo įstatymo 19 straipsnio 1 dalyje prieš žodžius „18 straipsnio 2 dalies 2 punkte” įrašytini žodžiai „šio įstatymo“. Pritarti Siūloma formuluotė: „1.
Papildomi įgaliojimai suteikiami, apribojami ir sustabdomi, papildomų įgaliojimų apribojimas ir sustabdymas panaikinamas, papildomi įgaliojimai atšaukiami šiame straipsnyje ir šio įstatymo 18 straipsnio 2 dalies 2 punkte nurodytame teisės akte nustatyta tvarka.“
kanceliarijos Teisės departamentas,
2 Projekto 11 straipsnio 2 dalyje vietoje žodžių „Nacionalinio kibernetinio saugumo centras“ reikėtų įrašyti žodžius „Nacionalinio kibernetinio saugumo centro direktorius“, kadangi institucijos kompetencijai priklausančius klausimus sprendžia bei privalomos galios administracinius aktus kaip valstybės pareigūnas priima direktorius, o ne centras. Pritarti Siūloma formuluotė: „2. Lietuvos Respublikos krašto apsaugos ministras ir Nacionalinios kibernetinio saugumo centroas prie Krašto apsaugos ministerijos direktorius iki 2021 m. birželio 27 d. priima šio įstatymo įgyvendinamuosius teisės aktus.“
kitų suinteresuotų asmenų pasiūlymai: negauta. 4. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai: negauta. 5. Subjektų, turinčių įstatymų leidybos iniciatyvos teisę, pasiūlymai: negauta. 6. Seimo paskirtų papildomų komitetų /komisijų pasiūlymai: nepaskirta. 7. Komiteto sprendimas ir pasiūlymai:
Nr. XII-1428 1, 2, 6, 8, 9, 13 straipsnių, V skyriaus pavadinimo, priedo pakeitimo ir įstatymo papildymo 17 straipsniu ir VI skyriumi įstatymo projektui, patobulintam pagal Teisės departamento pastabas. 8. Balsavimo rezultatai: 11-už, 0 – prieš, 0 – susilaikiusių. Pritarta bendru sutarimu. 9. Komiteto paskirti pranešėjai: L. Kasčiūnas, D. Šakalienė. 10. Komiteto narių atskiroji nuomonė: nėra. PRIDEDAMA. Seimo teisės akto projektas, jo lyginamasis variantas. Komiteto pirmininkas (Parašas) Laurynas Kasčiūnas Nacionalinio saugumo ir gynybos komiteto biuro patarėja Agnija Tumkevič