32 straipsnis. Kibernetinio saugumo valdymo sistema

1. Per 24 mėnesius nuo kompetentingos institucijos pranešimo, kad pagal 24 straipsnio 6 dalį subjektas identifikuotas kaip didelio poveikio arba ypatingos svarbos poveikio subjektas, kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas sukuria kibernetinio saugumo valdymo sistemą ir po to ją kas trejus metus peržiūri, siekdamas:

a) nustatyti kibernetinio saugumo valdymo sistemos taikymo sritį, atsižvelgdamas į sąsajas su kitais subjektais ir priklausomybę nuo jų;

b) užtikrinti, kad visa jo vyresnioji vadovybė būtų informuota apie atitinkamas teisines pareigas ir aktyviai prisidėtų prie kibernetinio saugumo valdymo sistemos įgyvendinimo laiku priimdama sprendimus ir greitai reaguodama;

c) užtikrinti kibernetinio saugumo valdymo sistemai būtinų išteklių prieinamumą;

d) nustatyti kibernetinio saugumo politiką, kuri dokumentuojama ir apie kurią pranešama subjekto viduje ir šalims, kurias veikia saugumo rizika;

e) priskirti atsakomybę už su kibernetiniu saugumu susijusias funkcijas ir apie ją pranešti;

f) vykdyti subjekto lygmens kibernetinio saugumo rizikos valdymą, kaip apibrėžta 26 straipsnyje;

g) nustatyti ir teikti išteklius, kurių reikia kibernetinio saugumo valdymo sistemai įgyvendinti, prižiūrėti ir nuolat tobulinti, atsižvelgdamas į būtiną kompetenciją ir informuotumą apie kibernetinio saugumo išteklius;

h) nustatyti vidaus ir išorės komunikaciją, kuri yra aktuali kibernetiniam saugumui;

i) kurti, atnaujinti ir kontroliuoti dokumentais pagrįstą informaciją, aktualią kibernetinio saugumo valdymo sistemai;

j) vertinti kibernetinio saugumo valdymo sistemos veikimą ir veiksmingumą;

k) planiniais intervalais atlikti vidaus auditą, siekdamas užtikrinti, kad kibernetinio saugumo valdymo sistema būtų veiksmingai įgyvendinama ir prižiūrima;

l) planiniais intervalais peržiūrėti kibernetinio saugumo valdymo sistemos įgyvendinimą ir kontroliuoti ir ištaisyti išteklių ir veiklos neatitiktį kibernetinio saugumo valdymo sistemos politikai, procedūroms ir gairėms.

2. Kibernetinio saugumo valdymo sistemos taikymo sritis apima visą turtą didelio poveikio ir ypatingos svarbos poveikio subjekto didelio poveikio ir ypatingos svarbos poveikio perimetre.

3. Kompetentingos institucijos, neprimesdamos ir nediskriminuodamos tam tikros rūšies technologijų naudojimo, skatina naudoti Europos ar tarptautinius standartus ir specifikacijas, susijusias su valdymo sistemomis ir aktualias tinklų ir informacinių sistemų saugumui.