17 priedas

ELEKTROS ENERGETIKOS ĮSTATYMO 733 STRAIPSNIO 1 DALYJE ĮTVIRTINTO REIKALAVIMO ĮGYVENDINIMO DEKLARACIJA

(data)

I SKYRIUS

OBJEKTO INFORMACIJA

1. Prijungimo sąlygų numeris: _________________________ (pildoma, jei deklaracija teikiama dėl objekto, neprijungto prie elektros tinklų nuolatiniam eksploatavimui).

2. Objekto numeris: _________________________ (pildoma, jei deklaracija teikiama dėl objekto, prijungto prie elektros tinklų).

3. Elektros įrenginiai, dėl kurių teikiama deklaracija (palikti vieną):

☐ saulės šviesos energijos elektrinė;

☐ vėjo elektrinė;

☐ hibridinė elektrinė, kurią sudaro kelios skirtingas atsinaujinančių išteklių energijos rūšis naudojančios elektrinės;

☐ hibridinė elektrinė, kurią sudaro kelios skirtingas atsinaujinančių išteklių energijos rūšis naudojančios elektrinės ir energijos kaupimo įrenginys;

☐ saulės šviesos energijos elektrinė, prijungiama/prijungta kartu su energijos kaupimo įrenginiu;

☐ vėjo elektrinė, prijungiama/prijungta kartu su energijos kaupimo įrenginiu;

☐ energijos kaupimo įrenginys.

4. Objekto pavadinimas: _________________________.

5. Operatoriaus objekto, prie kurio jungiamas ar yra prijungtas Objektas, pavadinimas: _________________________.

II SKYRIUS

TINKLŲ NAUDOTOJO ĮSIPAREIGOJIMAI

6. ______________________________________________ (nurodomas tinklų naudotojo pavadinimas, kai tai juridinis asmuo, arba vardas ir pavardė, kai tai fizinis asmuo) (toliau – Tinklų naudotojas) deklaruoja, kad elektros energijos gamybos ir (ar) energijos kaupimo įrenginiai yra įrengti vadovaujantis Elektros energetikos įstatymo 733 straipsnio 1 dalimi, kuri nustato, kad didesnės kaip 100 kW įrengtosios galios elektros energijos gamybos ir (ar) energijos kaupimo įrenginių informacijos valdymo sistemos ir gamybos valdymo sistemos saugumas turi būti užtikrinamas taip, kad prie šių sistemų nebūtų galima valstybių, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, subjektų prieiga, leidžianti nuotoliniu būdu valdyti elektros energijos gamybos ir (ar) energijos kaupimo įrenginių galios keitimo parametrus ir įjungti ar išjungti šiuos įrenginius, ir Pasinaudojimo elektros perdavimo tinklais tvarkos apraše nurodytomis šio reikalavimo įgyvendinimo sąlygomis bei atitiks juos visą eksploatavimo laikotarpį.

7. Patvirtinu, kad ši deklaracija taikoma elektros energijos gamybos ir (ar) energijos kaupimo įrenginių valdymo sistema informacijos valdymo sistemoms, gamybos valdymo sistemoms, kaip jos suprantamos vadovaujantis Pasinaudojimo elektros perdavimo tinklais tvarkos aprašu (toliau – Valdymo sistemos).

8. Deklaruoju, kad:

Eil. Nr.

Deklaruojama reikšmė

Atitikties patvirtinimas

1.

Atitiktis Valdymo sistemai galinčių kilti kibernetinių rizikų valdymo ir sistemos apsaugojimo nuo neteisėto poveikio, kurio metu galėtų būti realizuota nesankcionuota (neleistina, nepatvirtinta) nuotolinio valdymo galimybė, reikalavimams:

-

1.1.

Valdymo sistemai, išskyrus jos duomenų perdavimo tinklo perimetro ugniasienę, uždrausta tiesiogiai pasiekti interneto resursus

☐

1.2.

nenaudojami Valdymo sistemos ir jos duomenų perdavimo tinklo įrenginių loginiai prievadai ir fizinės jungtys yra deaktyvuotos

☐

1.3.

Bevielis duomenų perdavimas valdymo sistemoje draudžiamas (nėra naudojamas), išskyrus ryšio operatorių privataus duomenų perdavimo tinklo paslaugas, neturinčias sąlyčio su viešojo interneto tinklais

☐

1.4.

Valdymo sistema yra apsaugota unikaliais (nestandartiniais / negamykliniais) identifikatoriais ir slaptažodžiais

☐

1.5.

patekimas prie Valdymo sistemos yra kontroliuojamas: Valdymo sistemos patalpos ir spintos yra rakinamos, o raktų išdavimas yra kontroliuojamas, t. y., apskaitomas, raktai išduodami tik asmenims, kurie jie yra reikalingi funkcijos vykdyti.

☐

1.6.

prieigos prie Valdymo sistemos valdymui, kibernetinio saugumo reikalavimų įgyvendinimui ir stebėsenai, kibernetinio saugumo spragų ir operatyviam kibernetinių incidentų šalinimui yra paskirtas atsakingas asmuo arba tinklų naudotojo pasirinktas paslaugos teikėjas. Jei tinklų naudotojas šioms funkcijoms užtikrinti pasirinko paslaugų teikėją, tai yra numatyta su šiuo paslaugų teikėju sudaromoje paslaugų teikimo sutartyje

☐

1.7.

ne anksčiau kaip prieš 6 mėnesius iki deklaracijos pateikimo yra atliktas ir dokumentuotas Valdymo sistemos saugumo auditas, skirtas identifikuoti galimas saugumo spragas. Valdymo sistemos saugumo audito ataskaitoje yra pateikta atitiktį Pasinaudojimo elektros perdavimo tinklais tvarkos aprašo reikalavimams pagrindžianti informacija. Aptiktos saugumo spragos yra pašalintos iki šios deklaracijos pateikimo. Iki saugumo spragos pašalinimo, jei nėra galimybės spragos pašalinti šiame papunktyje nurodytais terminais, arba, jei nėra galimybės jos pašalinti, privaloma taikyti, dokumentuoti ir periodiškai peržiūrėti pagalbines priemones, mažinančias spragos išnaudojimo galimybę ir išnaudojimo neigiamą poveikį. Sąsają su internetu turinčių Valdymo sistemos įrenginių kritinio ir aukšto lygio kibernetinio saugumo spragos šalinamos lentelės 1.10 papunktyje nurodyta tvarka. Valdymo sistemos saugumo auditą atliko: (nurodyti).

☐

1.8.

įsipareigoju visu elektros energijos gamybos ir (ar) kaupimo įrenginių eksploatavimo laikotarpiu periodiškai, tačiau ne rečiau nei kartą per 3 metus (šį terminą skaičiuojant nuo šios deklaracijos pateikimo), atlikti Valdymo sistemos saugumo auditą, kaip numatyta Pasinaudojimo elektros perdavimo tinklais tvarkos apraše.

☐

1.9.

Valdymo sistema yra fiziškai ir (ar) logiškai atskirta (segmentuota) nuo įrenginių ir (ar) sistemų, kurios nėra Valdymo sistemos dalis

1.10.

sąsają su internetu turinčių Valdymo sistemos įrenginių kritinio ir aukšto lygio kibernetinio saugumo spragos (kaip jos suprantamos pagal bendros pažeidžiamumo vertinimo sistemos (angl. Common Vulnerability Scoring System, CVSS) metodiką) yra nuolat stebimos ir šalinamos nedelsiant, bet ne vėliau kaip per 5 kalendorines dienas nuo naujinio, skirto spragai pašalinti, paskelbimo

2.

Patvirtiname, kad:

-

2.1.

Valdymo sistemos gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys nėra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys asmenys, jei tai fiziniai asmenys, nėra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui. Pažymėjus pildyti atitiktį deklaracijos 3 punkte nurodytiems reikalavimams.

☐

2.2.

Valdymo sistemos gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys yra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys yra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui arba nėra įrodoma ar žinoma, kad Valdymo sistemos gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys nėra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys nėra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui. Pažymėjus pildyti atitiktį deklaracijos 4 punkte nurodytiems reikalavimams.

☐

3.

Reikalavimai, keliami Valdymo sistemos nuotolinio valdymo keliamų kibernetinių rizikų suvaldymui, jei Valdymo sistemų gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys nėra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys nėra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui:

-

3.1.

visos nuotolinės prieigos prie Valdymo sistemos yra dokumentuotos aprašant konkrečius leistinus vartotojus ir (ar) sistemas, jų IP adresus arba pilnuosius srities vardus (angl. Fully Qualified Domain Name, FQDN), tinklo prievadų numerius ir protokolus. Sesijas kontroliuojanti ugniasienė turi būti sukonfigūruota pagal šį dokumentuotą leistinų ryšių sąrašą

☐

3.2.

valdymo sistema yra atskirta nuo viešųjų ryšių tinklų (interneto) naudojant duomenų perdavimo tinklo, kuri palaiko įsiskverbimų aptikimo (angl. „intrusion detection system“, IDS) ir įsiskverbimo užkardymo (angl. „intrusion prevention system“, IPS) ir antivirusinės programos ir funkcijas. Visas iš interneto įeinantis ir į internetą srautas tikrinamas remiantis išvardintais funkcionalumais

☐

3.3.

viešaisiais tinklais (nternetu) pasiekiamų vartotojo sąsajų (svetainių) komunikacija yra šifruojama naudojant saugų transporto lygmens saugumo (angl. Transport Layer Security, TLS) standarto protokolą)

☐

3.4.

viešaisiais tinklais (internetu) pasiekiamos Valdymo sistemos vartotojo sąsajos (angl. user interface, UI) ir (ar) kiti prieigos prie Valdymo sistemos būdai naudoja dviejų faktorių autentifikaciją

☐

3.5.

nuotolinė prieiga prie Valdymo sistemos nėra ir nebus suteikta asmenims, esantiems valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui

☐

4.

Reikalavimai, kuriuos taikant ribojamas nuotolinis valdymas išorės tinklais ir valdomos Valdymo sistemos, kurios gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys yra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys yra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, keliamos rizikos:

-

4.1.

Valdymo sistema atitinka šiuos reikalavimus (turi atitikti bent vieną iš jų):

-

4.1.1.

neprijungta prie išorės duomenų perdavimo tinklo ir nenaudoja nuotolinio valdymo (išskyrus būtiną elektros sistemos operatorių valdymą), t. y. Valdymo sistema sukonfigūruota taip, kad visos pagrindinės funkcijos (nuotolinis elektros energijos gamybos valdymas ir (ar) energijos kaupimo įrenginių galios parametrų keitimas, įrenginių įjungimas ar išjungimas) yra vykdomos tik vietiniu (angl. off-line) režimu;

☐

4.1.2.

veikia be priklausomybės nuo išorinių nuotolinių paslaugų, kurias teikia asmenys, registruoti arba nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui. Tuo atveju, jeigu Valdymo sistema veikia be priklausomybės nuo išorinių nuotolinių paslaugų, kurias teikia asmenys, registruoti arba nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, tokia Valdymo sistema atitinka 3.1–3.5 papunkčių reikalavimus

☐

4.2.

taikomos šios rizikos valdymo priemonės:

-

4.2.1.

visą įrangos naudojimosi laikotarpį bus diegiami tik būtini Valdymo sistemos atnaujinimai, o Valdymo sistemos atnaujinimų būtinumo vertinimas– dokumentuotas;

☐

4.2.2.

ne anksčiau kaip prieš 6 mėnesius iki deklaracijos pateikimo yra atliktas ir periodiškai, bet ne rečiau kaip kartą per metus, bus atnaujinamas gamintojų ir tiekėjų rizikos vertinimas (vertinimas, kurio metu vertinama atitinkamų gamintojų ir tiekėjų Valdymo sistemos naudojimo įtaka tinklų naudotojo veiklos, susijusios su elektros energijos gamyba ir (ar) kaupimu, tęstinumui).

☐

5.

Raštu supažindinau (jei prieiga bus suteikiama po deklaracijos pateikimo, supažindinsiu ateityje, visu elektros energijos gamybos ir (ar) kaupimo įrenginių eksploatavimo laikotarpiu) su Elektros energetikos įstatymo 733 straipsnio 1 dalyje nurodytu reikalavimu ir Pasinaudojimo elektros perdavimo tinklais tvarkos apraše nurodytomis šio reikalavimo įgyvendinimo sąlygomis asmenis, kurie turi prieigą prie energijos gamybos ir (ar) energijos kaupimo įrenginių Valdymo sistemų ar gali būti susiję su prieigos suteikimu ar šių sistemų naudojimu, iki jiems suteikiant prieigą prie Valdymo sistemos ir saugau tai įrodančius duomenis.

☐

6.

Interneto paslaugai skirtas (-i) išorinis (-iai) IP adresas (-ai) (visos objekte naudojamos išorinių tinklų prieigos):

Nurodyti adresą

III SKYRIUS

PATIKRINIMAI

9. Tinklų naudotojas suteikia tinklų operatoriui ar tinklų operatoriaus pasirinktai trečiajai šaliai, veikiančiai tinklų operatoriaus pavedimu, galimybę patikrinti šioje deklaracijoje nurodytų duomenų atitiktį Elektros energetikos įstatymo 733 straipsnio 1 dalyje nurodytam reikalavimui ir Pasinaudojimo elektros perdavimo tinklais tvarkos apraše nurodytoms šio reikalavimo įgyvendinimo sąlygoms. Atliekant tokį vertinimą, tinklų naudotojas turi visapusiškai bendradarbiauti, t. y. suteikti galimybę gauti reikalingą patikrinimui informaciją, susipažinti dokumentais, infrastruktūra, aparatine ir programine įranga, kuri naudojama apdorojant, saugant ar perduodant elektros energijos gamybos ir energijos kaupimo įrenginių informacijos valdymo sistemų duomenis. Reikiamą informaciją tinklų naudotojas pateikia ne vėliau nei per 5 darbo dienas nuo prašymo gavimo dienos.

10. Tinklų naudotojas tinklų operatoriui ar tinklų operatoriaus pasirinktai trečiajai šaliai, veikiančiai tinklų operatoriaus pavedimu, pareikalavus, suteikia šią informaciją:

10.1. naudojamos elektros energijos gamybos ir kaupimo įrenginių Valdymo sistemos komponentų sąrašą, jų gamintojų, tiekėjų, Valdymo sistemos komponentų priežiūrą atliekančių juridinių asmenų pavadinimus arba fizinių asmenų vardus ir pavardes ir duomenis apie tai, kokioje valstybėje šie fiziniai asmenys yra nuolat gyvenantys bei tai, kokioje valstybėje yra registruoti ar nuolat gyvenantys šiuos juridinius asmenis kontroliuojantys asmenys;

10.2. Valdymo sistemų duomenų perdavimo tinklo schemas;

10.3. ugniasienės gamintoją ir naudojamų licencijų pavadinimus;

10.4. aktualius asmenų, turinčių nuotolinę ir fizinę prieigą prie Valdymo sistemos, sąrašus;

10.5. tinklų naudotojo atliktų Valdymo sistemos auditų rezultatus, jų metu nustatytų trūkumų pašalinimo planus ir šių planų įgyvendinimo rezultatus;

10.6. jeigu Valdymo sistema naudoja komponentus, kurių tiekėjus, gamintojus ir (ar) priežiūrą vykdančius juridinius asmenis kontroliuojantys asmenys yra registruoti ar nuolat gyvenantys arba kurių tiekėjai, gamintojai ir (ar) priežiūrą vykdantys fiziniai asmenys yra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, turi būti pateikiamas Valdymo sistemos komponentų atnaujinimų diegimo žurnalas su kiekvieno atnaujinimo diegimo būtinumo vertinimu ir saugumo analize, taip pat metiniai gamintojų ir tiekėjų rizikos vertinimai (vertinimai, kurių metu vertinama atitinkamų gamintojų ir tiekėjų Valdymo sistemos naudojimo įtaka tinklų naudotojo veiklos, susijusios su elektros energijos gamyba ir (ar) kaupimu, tęstinumui);

10.7. gamintojų ir tiekėjų rizikos vertinimo rezultatus;

10.8. kitą informaciją, reikalingą atitikčiai Elektros energetikos įstatymo 733 straipsnio 1 dalyje nurodytam reikalavimui ir Pasinaudojimo elektros perdavimo tinklais tvarkos apraše nurodytoms šio reikalavimo įgyvendinimo sąlygoms pagrįsti.

PRIDEDAMA: Dokumentai, įrodantys, kad Valdymo sistemos saugumo auditas buvo atliktas Pasinaudojimo elektros perdavimo tinklais tvarkos apraše nurodytus reikalavimus atitinkančio asmens arba dokumentai, įrodantys deklaracijos 9 punkte nurodytas aplinkybes, jei 9 punktas buvo pažymėtas (nereikalingą išbraukti).

Pareigos Parašas Vardas ir pavardė

Pareigos Parašas Vardas ir pavardė

Pasinaudojimo elektros perdavimo tinklais tvarkos aprašo