11 straipsnis. Kibernetinio saugumo subjektai

1. Kibernetinio saugumo subjekto statusą įgyja ir Kibernetinio saugumo informacinėje sistemoje registruojami subjektai, atitinkantys bent vieną iš šio straipsnio 3–5 dalyse nurodytų bendrųjų ar specialiųjų kibernetinio saugumo subjektų identifikavimo kriterijų ir šiose dalyse nurodytoms paslaugoms teikti ar veiklai vykdyti valdantys ir (ar) tvarkantys tinklų ir informacines sistemas. Atsižvelgiant į galimą neigiamą poveikį, kurį kibernetinis incidentas gali padaryti kibernetinio saugumo subjektų valdomoms ir (ar) tvarkomoms tinklų ir informacinėms sistemoms, kibernetinio saugumo subjektai skirstomi į esminius kibernetinio saugumo subjektus (toliau – esminiai subjektai) ir svarbius kibernetinio saugumo subjektus (toliau – svarbūs subjektai).

2. Kibernetinio saugumo subjektai įgyja pareigas, nustatytas kibernetinio saugumo subjektams, tik nuo jų įregistravimo Kibernetinio saugumo informacinėje sistemoje.

3. Bendrieji esminių subjektų identifikavimo kriterijai:

1) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 1 priede nurodytuose sektoriuose ir viršija vidutinių įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme;

2) subjektas šio įstatymo 1 priede nurodytame skaitmeninės infrastruktūros sektoriuje teikia kvalifikuotas patikimumo užtikrinimo paslaugas, aukščiausio lygio domeno vardų registravimo paslaugas ar domenų vardų sistemos (toliau – DNS) paslaugas, išskyrus šakninių domenų vardų serverių operatorius;

3) subjektas šio įstatymo 1 priede nurodytame skaitmeninės infrastruktūros sektoriuje teikia viešąsias elektroninių ryšių tinklų ar viešąsias elektroninių ryšių paslaugas ir yra laikomas vidutine įmone pagal Smulkiojo ir vidutinio verslo plėtros įstatymą;

4) subjektas Krizių valdymo ir civilinės saugos įstatymo nustatyta tvarka yra pripažintas ypatingos svarbos subjektu;

5) subjektas šio įstatymo 1 priede nurodytame viešojo administravimo sektoriuje teikia paslaugas ir (ar) vykdo veiklą ir yra laikomas centriniu valstybinio administravimo subjektu ar regioninio administravimo subjektu, ar savivaldybių administravimo subjektu pagal Viešojo administravimo įstatymą;

6) subjektas Valstybės informacinių išteklių valdymo įstatymo nustatyta tvarka valdo ir (ar) tvarko ypatingos svarbos ir (ar) svarbius valstybės informacinius išteklius;

7) subjektas yra laikomas nacionaliniam saugumui užtikrinti svarbia įmone arba subjekto valdoma ir (ar) tvarkoma tinklų ir informacinė sistema yra įrašyta į nacionaliniam saugumui užtikrinti svarbių įrenginių ir turto sąrašą.

4. Bendrieji svarbių subjektų identifikavimo kriterijai:

1) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 2 priede nurodytuose sektoriuose, viršija mažų įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme, ir šio subjekto šiame punkte nurodytų teikiamų paslaugų ir (ar) vykdomos veiklos metinių pajamų suma viršija 50 procentų visų subjekto metinių pajamų;

2) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 1 priede nurodytuose sektoriuose ir viršija mažų įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, tačiau neviršija vidutinių įmonių darbuotojų skaičiaus ir bent vienos iš finansinių duomenų ribos, nustatytos Smulkiojo ir vidutinio verslo plėtros įstatyme;

3) subjektas teikia nekvalifikuotas patikimumo užtikrinimo paslaugas šio įstatymo 1 priede nurodytame skaitmeninės infrastruktūros sektoriuje ir yra laikomas vidutine, maža ar labai maža įmone pagal Smulkiojo ir vidutinio verslo plėtros įstatymą;

4) subjektas teikia viešąsias elektroninių ryšių tinklų ar viešąsias elektroninių ryšių paslaugas šio įstatymo 1 priede nurodytame skaitmeninės infrastruktūros sektoriuje ir yra laikomas maža ar labai maža įmone pagal Smulkiojo ir vidutinio verslo plėtros įstatymą;

5) subjektas valdo ir (ar) tvarko valstybės informacinius išteklius;

6) subjektas teikia domenų vardų registravimo paslaugas;

7) subjektas teikia elektroninės informacijos prieglobos paslaugas.

5. Specialieji kibernetinio saugumo subjektų identifikavimo kriterijai:

1) subjektas yra vienintelis paslaugos, kuri yra būtina siekiant užtikrinti ypatingos svarbos visuomeninės ar ekonominės veiklos vykdymą Lietuvos Respublikoje, teikėjas;

2) paslaugos, kurią teikia subjektas, sutrikimas galėtų daryti didelį poveikį viešajam saugumui, visuomenės saugumui arba visuomenės sveikatai;

3) paslaugos, kurią teikia subjektas, sutrikimas galėtų kelti didelę sisteminę riziką sektoriuose, kuriuose toks sutrikimas galėtų daryti tarpvalstybinį poveikį;

4) subjektas yra ypatingos svarbos atsižvelgiant į jo svarbą konkrečiam sektoriui ar paslaugos rūšiai arba kitiems tarpusavyje priklausomiems sektoriams nacionaliniu ar regioniniu lygmeniu;

5) subjektas šio įstatymo 1 priede nurodytame viešojo administravimo sektoriuje teikia paslaugas ir (ar) vykdo veiklą, kuriai sutrikus galėtų kilti didelis poveikis valstybei, institucijoms ar gyventojams, ir yra laikomas teritoriniu valstybinio administravimo subjektu ar regioniniu administravimo subjektu, ar savivaldybių administravimo subjektu pagal Viešojo administravimo įstatymą;

6) paslaugos, kurią teikia subjektas, sutrikimas galėtų daryti didelį poveikį esminio subjekto teikiamai paslaugai ir (ar) vykdomai veiklai;

7) subjektas yra paslaugos, kuri yra būtina gyvybiškai svarbioms valstybės funkcijoms atlikti ir valstybinėms mobilizacinėms užduotims vykdyti, teikėjas;

8) subjektas šio įstatymo 2 priede nurodytame mokslinių tyrimų sektoriuje vykdo ypatingos svarbos mokslinių tyrimų ir eksperimentinės plėtros veiklą.

6. Vyriausybė nustato identifikavimo pagal specialiuosius kriterijus metodiką, pagal kurią subjektas priskiriamas esminiams arba svarbiems subjektams. Pagal šio straipsnio 5 dalies 5 punkte nurodytą kriterijų identifikuojami tik esminiai subjektai, o pagal šio straipsnio 5 dalies 8 punkte nurodytą kriterijų identifikuojami tik svarbūs subjektai.

7. Jeigu subjektas atitinka bent vieną šio straipsnio 3 ar 5 dalyje nurodytą kriterijų, pagal kurį identifikuojamas esminis subjektas, laikoma, kad subjektas yra esminis subjektas nepriklausomai nuo jo atitikties svarbaus subjekto kriterijams.

8. Identifikuojant kibernetinio saugumo subjektus pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytus kriterijus, vidutinis metinis subjekto darbuotojų skaičius nustatomas remiantis Valstybinio socialinio draudimo fondo valdybos prie Socialinės apsaugos ir darbo ministerijos turimais duomenimis apie apdraustuosius asmenis. Jeigu identifikuojant kibernetinio saugumo subjektus apskaičiuotas subjekto vidutinis metinis darbuotojų skaičius nesutampa su skaičiumi, apskaičiuotu Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio 7 dalyje nustatyta tvarka, remiamasi subjekto pateiktais duomenimis, apskaičiuotais vadovaujantis Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio 7 dalyje nustatyta tvarka.

9. Identifikuojant kibernetinio saugumo subjektus juridinius asmenis pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytus kriterijus, remiamasi duomenimis apie juridinio asmens metines pajamas bei įmonės balanse nurodyto turto vertę. Šie duomenys nustatomi pagal Juridinių asmenų registro informacinės sistemos duomenų tvarkytojui pateiktą įmonės metinių finansinių ataskaitų rinkinį ar įmonių grupės metinių finansinių konsoliduotųjų ataskaitų rinkinį, kai jų teikimas privalomas, arba pagal mokesčių administratoriaus turimus duomenis, kai finansinių ataskaitų rinkinių teikimas neprivalomas. Identifikuojant kibernetinio saugumo subjektus fizinius asmenis pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytus kriterijus, remiamasi mokesčių administratoriaus turimais duomenimis apie fizinio asmens individualios veiklos pajamas, kaip jos suprantamos pagal Lietuvos Respublikos gyventojų pajamų mokesčio įstatymą.