Kibernetinio saugumo įstatymas ir NIS2: prievolės talpinimo paslaugų teikėjams ir klientams

Trumpas atsakymas

1. 1Atnaujintas Kibernetinio saugumo įstatymas (Nr. XIV-2902, priimtas 2024-07-11) perkelia NIS2 direktyvą (ES) 2022/2555 į Lietuvos teisę ir įsigaliojo 2024-10-18.
2. 2Prievoles turi ne kiekviena įmonė, o tik kibernetinio saugumo subjektas: esminis arba svarbus subjektas, įregistruotas Kibernetinio saugumo informacinėje sistemoje (11 str. 2 d.).
3. 3Atsakomybė lieka jūsų organizacijai ir jos vadovui (14 str. 6 d.): talpinimo paslaugų teikėjas suteikia infrastruktūrą ir duomenis, bet jūsų prievolių neperima.
4. 4Apie didelį kibernetinį incidentą Nacionaliniam kibernetinio saugumo centrui (NKSC) pranešama per 24 valandas (ankstyvasis perspėjimas) ir per 72 valandas (pranešimas) nuo sužinojimo (18 str. 4 d.).
5. 54hosting yra Rumunijos bendrovė, serveriai Frankfurte, ji nėra sertifikavimo įstaiga ir neatestuoja jūsų atitikties įstatymui.

Ką sako įstatymas: esminiai ir svarbūs subjektai

Kibernetinio saugumo subjektai skirstomi į esminius ir svarbius (11 str. 1 d.). Kriterijai priklauso nuo sektoriaus (1 ir 2 priedai) bei įmonės dydžio pagal Smulkiojo ir vidutinio verslo plėtros įstatymą: pavyzdžiui, 1 priedo sektoriuje veikianti įmonė, viršijanti vidutinės įmonės ribas, yra esminis subjektas (11 str. 3 d. 1 p.). NKSC pagal 2 straipsnio 3 dalį turėjo iki 2025-04-17 identifikuoti subjektus ir įtraukti juos į sistemą.

Šaltinis: e-seimas.lrs.lt, įstatymas Nr. XIV-2902. Ar jūsų organizacija yra subjektas, sprendžia NKSC ir įstatymo kriterijai, o ne talpinimo paslaugų teikėjas.

Ką įstatymas sako apie debesijos ir duomenų centrų paslaugų teikėjus

1 priedo 8 punkte (skaitmeninė infrastruktūra) tiesiogiai išvardyti debesijos paslaugų teikėjai (8.1.4) ir duomenų centrų paslaugų teikėjai (8.1.5). Pagal 12 straipsnio 1 dalies 3 punktą tokie teikėjai, taip pat valdomų paslaugų teikėjai, priklauso Lietuvos jurisdikcijai, jei jų pagrindinė buveinė yra Lietuvoje.

4hosting veikia iš Rumunijos, o serveriai yra Frankfurte. Ar konkretus teikėjas patenka po Lietuvos įstatymu, vertinama pagal šiuos kriterijus, todėl tai pasitikrinkite su teisininku. Jums svarbiau tai, kad kaip klientas patys atsakote už savo priemones ir pranešimus.

Ką privalo subjektai: priemonės, vadovas, mokymai, auditas

• Rizikos valdymo priemonės apima, be kita ko, incidentų valdymą, veiklos tęstinumą ir tiekimo grandinės saugumą (14 str. 5 d.). Terminas reikalavimams įgyvendinti yra ne trumpesnis kaip 12 mėnesių nuo įregistravimo (14 str. 2 d.).
• Vadovas arba jo įgaliotas asmuo užtikrina ir prižiūri pareigų laikymąsi (14 str. 6 d.) ir skiria kibernetinio saugumo vadovą bei saugos įgaliotinį (15 str. 1–2 d.).
• Valdymo organų nariai ir vadovas ne rečiau kaip kartą per 2 metus išklauso kibernetinio saugumo mokymus (14 str. 7 d.).
• Kibernetinio saugumo auditas atliekamas ne rečiau kaip kartą per 3 metus (14 str. 8 d.).
• Maksimali bauda esminiam subjektui: iki 10 000 000 Eur arba iki 2 % pasaulinės apyvartos, svarbiam: iki 7 000 000 Eur arba iki 1,4 % (30 str. 2 d.).

Pranešimai apie incidentus

Subjektai praneša NKSC apie didelį kibernetinį incidentą (18 str. 1 d.). Didelis jis laikomas, kai subjektas patyrė ar gali patirti didelių paslaugų sutrikimų ar finansinių nuostolių arba incidentas paveikė ar gali paveikti kitus asmenis (18 str. 2 d.). Ankstyvasis perspėjimas teikiamas nedelsiant, bet ne vėliau kaip per 24 valandas, pranešimas per 72 valandas nuo sužinojimo (18 str. 4 d.). Tikslią tvarką savo atvejui patikrinkite įstatymo tekste ir NKSC.

Ko prašyti iš hostingo tiekėjo

• Centralizuotus žurnalus su greita prieiga: pagrindas incidento vertinimui ir pranešimui.
• Kasdienes atsargines kopijas ir išbandytą atkūrimą.
• Apsaugą nuo DDoS tinklo lygiu ir galimybę naudoti WAF programos lygiu.
• Duomenų tvarkymo sutartį pagal BDAR 28 straipsnį ir aiškią duomenų vietą ES.
• Žmones, kurie padeda incidento metu ir ruošiant pranešimą.

Trys tipinės situacijos Lietuvoje

• Vilniaus programinės įrangos bendrovė, teikianti SaaS klientams iš reguliuojamų sektorių: klientai pirkimo grandinėje prašys įrodymų apie atsargines kopijas ir prieigos valdymą.
• Kauno el. parduotuvė: turi pastebėti ataką savaitgalį ir turėti žurnalus, kad suprastų, kas įvyko, per 24 valandų langą.
• Klaipėdos logistikos įmonė su klientų portalu: vadovybė turi suprasti ir patvirtinti priemones, o ne tik deleguoti jas išoriniam administratoriui.

Dažnos klaidos

• Manyti, kad „sertifikuotas hostingas“ įvykdo įstatymą už jus. Atitiktis yra jūsų pareiga, tiekėjas duoda įrankius ir duomenis.
• Nepasitikrinti, ar esate subjektas. Pareigos atsiranda tik nuo įregistravimo sistemoje (11 str. 2 d.), todėl pirmiausia sužinokite savo statusą iš NKSC.
• Neturėti centralizuotų žurnalų (log): be jų sunku per 24 valandas nustatyti, ar incidentas didelis ir ką jis palietė.
• Atsarginių kopijų niekada neatkurti bandymo tvarka. Nepatikrinta kopija nėra priemonė.
• Palikti saugumą vien IT skyriui, nors įstatymas pareigą prižiūrėti atitiktį priskiria vadovui (14 str. 6 d.).

Kaip padeda 4hosting

4hosting yra „hostingas su įtraukta DevOps pagalba“: nuo cPanel Advanced plano, taip pat VPS, dedikuotų ir GPU serverių planuose yra įtrauktos mėnesinės DevOps, kibernetinio saugumo ir programavimo valandos, kurias užsakote kliento skydelyje. Su jomis galime sukonfigūruoti centralizuotus žurnalus (Grafana, Prometheus, Loki), įspėjimus, WAF su OWASP taisyklėmis, serverių ir konteinerių sustiprinimą (hardening) bei atsargines kopijas, atsparias išpirkos programoms.

DDoS apsauga L3/L4 lygiu įtraukta. Serveriai yra ES, Frankfurte, o ne Lietuvoje. Dirbame pagal BDAR su duomenų tvarkymo sutartimi ir laikomės ISO 27001 suderintų principų (suderinimas, ne sertifikatas).

Svarbu: 4hosting neturi NIS2 ar ISO 27001 sertifikato, nėra sertifikavimo įstaiga ir neatestuoja jūsų atitikties įstatymui. Subjektu ir atsakingu už pranešimus išliekate jūs.

Klausimai ir atsakymai

Taip pat žiūrėkite

• BDAR ir ADTAĮ talpinant duomenis ES serveriuose →
• 4hosting privatumo politika →
• DevOps, programavimas ir kibernetinis saugumas →