Kibernetinio saugumo reikalavimų aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818
Nr. 818
Šiandien (2026-10-30): galioja: 71 iš jų keisis vėliau: 1šiandieninio teksto nėra (tik būsimas): 1
I skyrius – Bendrosios nuostatos
- 1 p. Kibernetinio saugumo reikalavimų apraše (toliau – Aprašas) nustatomi kibernetinio…
- 2 p. Apraše vartojamos sąvokos apibrėžtos Lietuvos Respublikos elektroninių ryšių įstatyme,…
- 3 p. Kibernetinio saugumo subjektas, įgyvendindamas Aprašo reikalavimus, susijusius su…
II skyrius – Kibernetinio saugumo reikalavimai
1 skirsnis – Tinklų ir informacinių sistemų saugumo politika
- 4 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi patvirtinti tinklų…
- 5 p. Kibernetinio saugumo subjektai turi pateikti ir (ar) atnaujinti kibernetinio saugumo…
- 6 p. NKSC, atlikdamas kibernetinio saugumo subjekto patikrinimą, turi teisę pareikalauti…
2 skirsnis – Kibernetinio saugumo rizikos analizė
- 7 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti…
- 8 p. Rizikos vertinimo ir valdymo procesas turi apimti bent šiuos elementus: 8.1. tinklų ir…
- 9 p. Rizikos vertinimas turi būti atliekamas ne rečiau kaip kartą per metus, įvykus…
- 10 p. Atlikus rizikos vertinimą, kibernetinio saugumo subjektai turi parengti rizikos…
- 11 p. Rizikos vertinimo ataskaita turi apimti bent tinklų ir informacinių sistemų turto…
- 12 p. Rizikos valdymo planas turi apimti bent priemonių nepriimtinoms rizikoms valdyti…
- 13 p. Kibernetinio saugumo subjektas teikia rizikos vertinimo ataskaitos ir rizikos valdymo…
- 14 p. Kibernetinio saugumo subjekto vadovo arba jo įgalioto asmens patvirtintos rizikos…
- 15 p. NKSC, atlikdamas kibernetinio saugumo subjekto patikrinimą, turi teisę pareikalauti…
3 skirsnis – Už kibernetinį saugumą atsakingų asmenų ir kibernetinio saugumo subjekto vadovo ar jo įgalioto asmens pareigos
- 16 p. Kibernetinio saugumo subjekto vadovas ar jo įgaliotas asmuo turi paskirti už…
- 17 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi užtikrinti, kad NKSC…
- 18 p. Kibernetinio saugumo subjekto darbuotojai turi būti informuoti apie paskirtus už…
- 19 p. Kibernetinio saugumo vadovas ir (ar) saugos įgaliotinis negali vykdyti funkcijų,…
- 20 p. Kibernetinio saugumo vadovas ir (ar) saugos įgaliotinis, koordinuodami ir prižiūrėdami…
- 21 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi paskirti atsakingą…
4 skirsnis – Kibernetinių incidentų valdymas
- 22 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi patvirtinti…
- 23 p. Tais atvejais, kai kibernetinio saugumo subjektui tinklų ir informacinių sistemų…
- 24 p. Kibernetinių incidentų valdymo plane turi būti nurodyta: 24.1. kibernetinių incidentų…
- 25 p. Kibernetinio saugumo subjektas turi nustatyti žurnalinių įrašų (angl. log)…
- 26 p. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 1 lentelėje.
5 skirsnis – Veiklos tęstinumas
- 27 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi patvirtinti tinklų…
- 28 p. Kibernetinio saugumo subjektas turi nustatyti atsarginių duomenų kopijų kūrimo,…
- 29 p. Kibernetinio saugumo subjektas teikia tinklų ir informacinių sistemų veiklos tęstinumo…
- 30 p. NKSC, atlikdamas kibernetinio saugumo subjekto patikrinimą, turi teisę pareikalauti…
- 31 p. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 2 lentelėje.
6 skirsnis – Tiekimo grandinės saugumas
- 32 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti tiekimo…
- 33 p. Kibernetinio saugumo subjektas, nustatydamas tiekimo grandinės saugumo valdymo tvarką,…
- 34 p. Kibernetinio saugumo subjektas sutartyse su tiekėjais (įskaitant subtiekėjus), kiek tai…
- 35 p. Kibernetinio saugumo subjektas, tvirtindamas tiekimo grandinės saugumo valdymo tvarką,…
- 36 p. Esminis kibernetinio saugumo subjektas su interneto paslaugos, jei duomenų perdavimo…
- 37 p. Svarbus kibernetinio saugumo subjektas su interneto paslaugos, jei duomenų perdavimo…
- 38 p. Kibernetinio saugumo subjektas turi vykdyti sutartyje su tiekėju nurodytų kibernetinio…
- 39 p. Kibernetinio saugumo subjektas turi būti sudaręs tiekėjų sąrašą, jį tvarkyti ir…
7 skirsnis – Tinklų ir informacinių sistemų įsigijimas, plėtojimas ir priežiūros saugumas, įskaitant spragų valdymą ir atskleidimą
- 40 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti tinklų ir…
- 41 p. Programinę įrangą diegia tik kibernetinio saugumo subjekto įgalioti asmenys. Sistemų…
- 42 p. Kibernetinio saugumo subjektas turi nustatyti tinklų ir informacinių sistemų pokyčių…
- 43 p. Visi pokyčiai, galintys sutrikdyti ar sustabdyti kibernetinio saugumo subjekto veiklą,…
- 44 p. Kibernetinio saugumo subjektas turi nustatyti pataisų valdymo tvarką. Saugos pataisos…
- 45 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi patvirtinti spragų…
- 46 p. Spragų tvarkymas turi būti suderintas su kibernetinio saugumo subjekto pokyčių ir…
- 47 p. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 3 lentelėje.
8 skirsnis – Kibernetinio saugumo reikalavimų veiksmingumo vertinimas
- 48 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti…
- 49 p. Kibernetinio saugumo subjektas, atsižvelgdamas į rizikų vertinimo rezultatus, įvykusius…
- 50 p. NKSC, atlikdamas kibernetinio saugumo subjekto patikrinimą, turi teisę pareikalauti…
- 51 p. Esminis kibernetinio saugumo subjektas ne rečiau kaip kartą per metus teikia atitikties…
9 skirsnis – Kibernetinės higienos praktika ir kibernetinio saugumo mokymai
- 52 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti…
- 53 p. Kibernetinio saugumo subjektas turi užtikrinti darbuotojų informavimą apie kibernetinio…
- 54 p. Per tris mėnesius po kibernetinio saugumo klausimais organizuotų mokymų turi būti…
10 skirsnis – Kriptografijos ir šifravimo naudojimo politika ir procedūros
- 55 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti…
- 56 p. Praradus kriptografinį raktą turi būti informuojamas atsakingas asmuo.
- 57 p. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 4 lentelėje. Įsigalios 2031-01-01
11 skirsnis – Žmogiškųjų išteklių saugumas, fizinės prieigos politika ir turto valdymas
- 58 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti žmogiškųjų…
- 59 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi patvirtinti tinklų…
- 60 p. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 5 lentelėje.
- 61 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti…
- 62 p. Tinklų ir informacinės sistemos įrangos priežiūrą ir gedimų šalinimą turi atlikti…
- 63 p. Tinklų ir informacinių sistemų techninės įrangos gedimai turi būti registruojami.
- 64 p. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 6 lentelėje.
12 skirsnis – Prieigos valdymas ir kelių veiksnių tapatumo nustatymo priemonės
- 65 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi nustatyti prieigos…
- 66 p. Kibernetinio saugumo subjektas turi patvirtinti asmenų, kuriems suteiktos…
- 67 p. Slaptažodžiai negali būti saugomi ar perduodami atviru tekstu. Tik laikinas slaptažodis…
- 68 p. Kibernetinio saugumo subjekto vadovas arba jo įgaliotas asmuo turi patvirtinti kelių…
- 69 p. Kibernetinio saugumo subjektams taikomi techniniai reikalavimai nurodyti 7 lentelėje.
III skyrius – Baigiamosios nuostatos
- 70 p. Aprašo reikalavimų įgyvendinimas kibernetinio saugumo subjektų neatleidžia nuo pareigos…
- 71 p. Kibernetinio saugumo subjektai kibernetinio saugumo reikalavimus privalo įgyvendinti ne…
- 72 p. Kibernetinio saugumo subjektai techninius kibernetinio saugumo reikalavimus, nustatytus…
Nutarimas, kuriuo patvirtintos kibernetinio saugumo reikalavimų aprašas
Lietuvos Respublikos Vyriausybės nutarimas Nr. 818.
Vadovaudamasi Lietuvos Respublikos kibernetinio saugumo įstatymo 1 straipsnio 5 dalimi, 7 straipsnio 2 dalies 3 punktu, 11 straipsnio 6 dalimi, 14 straipsnio 1 dalies 1 punktu ir 2 dalimi, 28 straipsnio 6 dalimi, 30 straipsnio 1 dalimi, 37 straipsnio 1 dalimi, 2 dalies 3 punktu, 4, 6, 8 ir 9 dalimis ir įgyvendindama 2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos direktyvą (ES) 2022/2555 dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 ir Direktyva (ES) 2018/1972 ir panaikinama Direktyva (ES) 2016/1148, Lietuvos Respublikos Vyriausybė nutaria:
1. Patvirtinti pridedamus:
1.1. Nacionalinį kibernetinių incidentų valdymo planą;
1.2. Kibernetinio saugumo subjektų identifikavimo pagal specialiuosius kriterijus metodiką;
1.3. Kibernetinio saugumo reikalavimų aprašą;
1.4. Vykdymo užtikrinimo priemonių taikymo kibernetinio saugumo subjektams tvarkos aprašą;
1.5. Saugiojo valstybinio duomenų perdavimo tinklo naudotojų sąrašą;
1.6. Atlyginimo už naudojimąsi Saugiuoju valstybiniu duomenų perdavimo tinklu teikiamomis papildomomis elektroninių ryšių ir kibernetinio saugumo paslaugomis dydžių nustatymo kriterijų ir atlyginimo apskaičiavimo tvarkos aprašą;
1.7. Europos Sąjungos teisės aktų, atitinkančių bent vieną Lietuvos Respublikos kibernetinio saugumo įstatymo 1 straipsnio 4 dalyje nurodytą kriterijų, sąrašą.
2. Įgalioti:
2.1. krašto apsaugos ministrą patvirtinti:
2.1.1. Saugiuoju valstybiniu duomenų perdavimo tinklu teikiamų elektroninių ryšių ir kibernetinio saugumo paslaugų teikimo sąlygas ir taisykles;
2.1.2. Saugiojo valstybinio duomenų perdavimo tinklo naudotojų prisijungimo prie Saugiojo valstybinio duomenų perdavimo tinklo ir atsijungimo nuo jo sąlygas, planą ir terminus, jungimosi prie viešųjų elektroninių ryšių tinklų ne per Saugųjį valstybinį duomenų perdavimo tinklą atvejų sąrašą ir tvarkos aprašą;
2.2. Lietuvos Respublikos krašto apsaugos ministeriją vertinti, ar atlyginimo už naudojamosi Saugiuoju valstybiniu duomenų perdavimo tinklu teikiamomis papildomomis elektroninių ryšių ir kibernetinio saugumo paslaugomis dydžiai nustatyti atsižvelgiant į atlyginimo už naudojimąsi Saugiuoju valstybiniu duomenų perdavimo tinklu teikiamomis papildomomis elektroninių ryšių ir kibernetinio saugumo paslaugomis dydžių nustatymo kriterijus, ir teikti išvadą Saugiojo valstybinio duomenų perdavimo tinklo tvarkytojui;
2.3. Nacionalinį kibernetinio saugumo centrą prie Krašto apsaugos ministerijos teikti išvadas krašto apsaugos ministrui dėl valstybės ir savivaldybių institucijų ir įstaigų, valstybės valdomų įmonių ir viešųjų įstaigų (toliau – institucijos) priskyrimo prie būtinų nacionaliniam saugumui, gynybai ar gyvybiškai svarbioms valstybės funkcijoms užtikrinti institucijų.
3. Pavesti kibernetinio saugumo subjektams per 12 mėnesių nuo jų įregistravimo Kibernetinių saugumo subjektų registre pritaikyti kibernetinio saugumo įvykių ir kibernetinių incidentų valdymo tinklų ir informacines sistemas taip, kad kibernetiniai incidentai Kibernetinio saugumo informacinėje sistemoje veikiančioje Nacionalinėje kibernetinių incidentų valdymo platformoje būtų registruojami automatiniu būdu. Kibernetinio saugumo subjektui dėl objektyvių priežasčių nespėjus įgyvendinti šiame punkte nustatyto reikalavimo ir pateikus motyvuotą prašymą, Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos turi teisę vieną kartą pratęsti terminą, bet ne ilgiau kaip 12 mėnesių.
Straipsnių sąrašas JSON formatu · visas aktas JSON formatu · šio akto pakeitimai (Atom)