Ar TIS2 (NIS2) taikoma mano įmonei?
Taikoma, jei tenkinamos dvi sąlygos: veikiate viename iš 18 Kibernetinio saugumo įstatyme išvardytų sektorių ir esate vidutinė arba didelė įmonė, tai yra turite 50 ir daugiau darbuotojų arba viršijate mažos įmonės finansines ribas. Yra ir išimčių į abi puses.
Sektorius
Įstatymas skirsto sektorius į dvi grupes. Priskyrimas vyksta pagal įmonės ekonominės veiklos rūšies kodą (EVRK), ir vertinama visa veikla, ne tik pagrindinė. Jei įmonė vykdo bent vieną veiklą, patenkančią į sąrašą, ji priskiriama atitinkamai kategorijai.
Ypatingos svarbos sektoriai
- Energetika: elektra, centralizuotas šildymas ir vėsinimas, nafta, dujos, vandenilis
- Transportas: oro, geležinkelio, vandens, kelių
- Bankininkystė
- Finansų rinkų infrastruktūros objektai
- Sveikatos priežiūra
- Geriamasis vanduo
- Nuotekos
- Skaitmeninė infrastruktūra
- Informacinių ir ryšių technologijų paslaugų valdymas
- Viešasis administravimas
- Kosmosas
Kiti itin svarbūs sektoriai
- Pašto paslaugos
- Atliekų tvarkymas
- Cheminių medžiagų gamyba ir platinimas
- Maisto gamyba, perdirbimas ir platinimas
- Gamyba
- Informacinės visuomenės paslaugos
- Moksliniai tyrimai
Dažniausia klaida. Vadovai mano, kad įstatymas liečia tik energetiką, bankus ir ligonines. Gamyba ir maisto perdirbimas yra antrajame sąraše, o tai Lietuvoje reiškia labai daug vidutinio dydžio įmonių. Registre jau yra apie 1 500 organizacijų iš 18 sektorių.
Įmonės dydis
Įstatymas taikomas vidutinėms ir didelėms įmonėms pagal Smulkiojo ir vidutinio verslo plėtros įstatymą. Mažos ir labai mažos įmonės į taikymo sritį paprastai nepatenka.
Maža ir labai maža įmonė
- Labai maža: mažiau nei 10 darbuotojų, pajamos ir balanso turto vertė iki 2 mln. Eur
- Maža: mažiau nei 50 darbuotojų, pajamos ir balanso turto vertė iki 10 mln. Eur
Vidutinė ir didelė įmonė
- Vidutinė: mažiau nei 250 darbuotojų, pajamos iki 50 mln. Eur, balanso turto vertė iki 43 mln. Eur
- Didelė: 250 ir daugiau darbuotojų arba didesnės už vidutinės įmonės ribas
Praktiškai tai reiškia, kad slenkstis prasideda ties 50 darbuotojų. Jei jų turite mažiau, bet pajamos ir turtas viršija mažai įmonei nustatytas ribas, įmonė taip pat nebelaikoma maža.
Dar vienas niuansas, kurį pamiršta dauguma: įmonė nelaikoma smulkiuoju ar vidutiniu verslu, jei daugiau kaip 25 procentai jos kapitalo ar balsų priklauso valstybei arba savivaldybei. Tokiu atveju dydžio kriterijai skaičiuojami kitaip.
Kai dydis nesvarbus
Nepriklausomai nuo darbuotojų skaičiaus įstatymas taikomas kvalifikuotiems patikimumo užtikrinimo paslaugų teikėjams, aukščiausio lygio domenų vardų registrams, DNS paslaugų teikėjams, centrinio ir regioninio lygmens viešajam administravimui.
Į kitą pusę išimtis veikia taip: maža arba labai maža įmonė gali patekti, jei ji vienintelė teikia paslaugą tam tikroje teritorijoje arba jei jos veiklos sutrikimas reikšmingai paveiktų visuomenės saugumą ar sveikatą.
Esminis ar svarbus subjektas
Patekusios įmonės skirstomos į dvi kategorijas. Organizaciniai reikalavimai abiem iš esmės vienodi, skiriasi priežiūra ir baudų ribos.
Griežtesnė priežiūra
- Išankstinė ir paskesnė priežiūra. NKSC gali pradėti patikrinimą bet kuriuo klausimu
- Galimas laikinas veiklos sustabdymas teismo sprendimu
- Galimas laikinas vadovo nušalinimas teismo sprendimu NKSC prašymu
- Kasmet pildoma savideklaracija KSIS sistemoje
- Bauda iki 10 mln. Eur arba 2 proc. pasaulinės metinės apyvartos, taikoma didesnė suma
Lengvesnė priežiūra
- Tik paskesnė priežiūra. Patikrinimas pradedamas tik esant duomenų apie pažeidimą
- Veiklos stabdymas netaikomas
- Vadovo nušalinimas netaikomas
- Savideklaracija netaikoma
- Bauda iki 7 mln. Eur arba 1,4 proc. pasaulinės metinės apyvartos, taikoma didesnė suma
Biudžetinėms įstaigoms ribos kitos: esminiam subjektui iki 1 procento biudžeto, bet ne daugiau kaip 60 000 Eur, svarbiam subjektui iki 0,5 procento, bet ne daugiau kaip 30 000 Eur.
Kur esame 2026 m. spalį
Ką tai reiškia praktiškai. Organizacinių reikalavimų terminas baigėsi prieš pusmetį. Techninių reikalavimų terminas ateina po pusmečio. Įmonė, kuri iki šiol nieko nedarė, dabar vėluoja su pirmąja dalimi ir turi apie šešis mėnesius antrajai. Tai įmanoma, bet laiko derėtis su savimi nebeliko.
Kiti įpareigojimai
- Rizikos vertinimas ne rečiau kaip kartą per metus, taip pat po esminių pokyčių ar didelio incidento
- Atitikties vertinimas ne rečiau kaip kartą per metus
- Kibernetinio saugumo auditas ne rečiau kaip kartą per trejus metus, jį atlieka nepriklausomi sertifikuoti auditoriai
- Vadovo kibernetinio saugumo mokymai ne rečiau kaip kartą per dvejus metus
- Dokumentų duomenys teikiami į KSIS per 5 darbo dienas nuo patvirtinimo, dokumentai saugomi ne mažiau kaip 3 metus
Pranešimo terminai
- Didelis incidentas: pirminis pranešimas per 24 valandas
- Didelis incidentas: išsamus įvertinimas per 72 valandas
- Mažesnis incidentas: informacija per 72 valandas
- Galutinė ataskaita: per 1 mėnesį nuo incidento registravimo
Dažniausi klausimai
Negavome jokio pranešimo iš NKSC. Vadinasi, mums netaikoma?
Nebūtinai. NKSC subjektus identifikavo iš valstybės registrų, tad duomenys galėjo būti netikslūs arba veiklos kodas neatspindi to, ką įmonė realiai daro. Registras peržiūrimas ne rečiau kaip kartą per metus, tad patekti galima ir vėliau. Be to, įmonė gali kreiptis dėl įtraukimo pati. Praktikoje dažnesnis scenarijus kitoks: įmonė reikalavimus pajunta ne per NKSC, o per užsakovą, kuris atsiunčia tiekėjo saugumo klausimyną ir laukia atsakymų per savaitę.
Turime mažiau nei 50 darbuotojų. Ar tikrai esame už ribos?
Dažniausiai taip, bet patikrinti verta dėl trijų dalykų. Pirma, ar pajamos ir balanso turto vertė neviršija mažai įmonei nustatytų 10 mln. Eur ribų. Antra, ar įmonė nėra vienintelė tam tikros paslaugos teikėja. Trečia, ar daugiau kaip 25 procentai kapitalo nepriklauso valstybei ar savivaldybei. Kiekvienas iš jų keičia atsakymą.
Kaip sužinoti, ar esame esminis, ar svarbus subjektas?
Tai nustato NKSC pagal sektorių ir įmonės dydį, o informaciją matote Kibernetinio saugumo informacinėje sistemoje (KSIS), kai prisijungiate. Ypatingos svarbos sektorių didelės įmonės paprastai priskiriamos esminiams subjektams, likusios dažniausiai svarbiems. Praktinis skirtumas jums reiškia vieną dalyką: esminį subjektą NKSC gali tikrinti bet kada ir be priežasties, svarbų tik turėdamas duomenų apie pažeidimą.
Ar pakanka nusipirkti programinę įrangą?
Ne. Didžioji reikalavimų dalis yra valdymo, ne technologijų: rizikos vertinimas, atsakomybių paskirstymas, tiekėjų valdymas, incidentų tvarka, vadovybės įsitraukimas. Įrankis gali padėti dokumentuoti, bet jis už jus nepriims sprendimų ir neprisiims atsakomybės. Patikrinimo metu NKSC žiūri, ar sprendimai priimti ir ar yra įrodymų, ne kokią licenciją nusipirkote.
Ar ISO 27001 reiškia, kad TIS2 reikalavimai įvykdyti?
Ne automatiškai, bet persidengimas didelis. ISO 27001 valdymo sistema uždengia didelę dalį organizacinių reikalavimų, o kas lieka, dažniausiai yra incidentų pranešimo NKSC tvarka, registravimasis KSIS ir vadovybės mokymų įrodymai. Įmonei, kuri jau turi veikiančią ISO 27001 sistemą, trūkstamą dalį realu uždaryti per kelias savaites.
Kiek laiko atima pasirengimas?
Vidutinio dydžio įmonėje nuo vertinimo iki veikiančios sistemos praeina apie 10 savaičių. Vadovo laiko tai atima apie 4 valandas, paskirtam darbuotojui apie 24 valandas. Jei reikia tik dokumentų atsakyti užsakovui, dalis jų parengiama greičiau.
Pasitikrinkite per 2 minutes
Atsakysite į kelis klausimus apie veiklą ir dydį ir gausite atsakymą, ar įstatymas jums taikomas, o jei taip, kokioje kategorijoje atsiduriate.
Šaltiniai: Lietuvos Respublikos kibernetinio saugumo įstatymas (1 ir 2 priedai), Smulkiojo ir vidutinio verslo plėtros įstatymas, NKSC ir Krašto apsaugos ministerijos informacija. Puslapis skirtas orientacijai, o ne teisinei išvadai dėl konkrečios įmonės.