191 punktas

191. Valdymo sistemai galinčių kilti kibernetinių rizikų valdymo ir sistemos apsaugojimo nuo neteisėto poveikio, kurio metu galėtų būti realizuota nesankcionuota (neleistina, nepatvirtinta) nuotolinio valdymo galimybė, reikalavimai:

191.1. Valdymo sistemai, išskyrus jos duomenų perdavimo tinklo perimetro ugniasienę, turi būti uždrausta tiesiogiai pasiekti interneto resursus;

191.2. nenaudojami Valdymo sistemos ir jos duomenų perdavimo tinklo įrenginių loginiai prievadai ir fizinės jungtys yra deaktyvuotos;

191.3. bevielis duomenų perdavimas valdymo sistemoje draudžiamas, išskyrus ryšio operatorių privataus duomenų perdavimo tinklo paslaugas, neturinčias sąlyčio su viešojo interneto tinklais;

191.4. Valdymo sistema turi būti apsaugota unikaliais (nestandartiniais, negamykliniais) identifikatoriais ir slaptažodžiais;

191.5. patekimas prie Valdymo sistemos turi būti kontroliuojamas: Valdymo sistemos patalpos ir spintos turi būti rakinamos, o raktų išdavimas yra kontroliuojamas, t. y., apskaitomas ir raktai išduodami tik asmenims, kuriems jie yra reikalingi funkcijoms vykdyti. Jeigu Valdymo sistema ar jos komponentai yra lauke (ne patalpoje), patekimas į teritoriją, kurioje yra Valdymo sistema ar jos komponentai, turi būti kontroliuojamas, t. y. rakinamas, o raktų išdavimas yra kontroliuojamas, t. y., apskaitomas ir raktai išduodami tik asmenims, kuriems jie yra reikalingi funkcijoms vykdyti;

191.6. prieigos prie Valdymo sistemos valdymui, kibernetinio saugumo reikalavimų įgyvendinimui ir stebėsenai, kibernetinio saugumo spragų ir operatyviam kibernetinių incidentų šalinimui turi būti paskirtas atsakingas asmuo arba tinklų naudotojo pasirinktas paslaugos teikėjas. Jei tinklų naudotojas šiame papunktyje nurodytoms funkcijoms užtikrinti renkasi paslaugų teikėją, tai šiame papunktyje nurodytų funkcijų įgyvendinimas turi būti numatytas su šiuo paslaugų teikėju sudaromoje paslaugų teikimo sutartyje;

191.7. ne anksčiau kaip prieš 6 mėnesius iki Deklaracijos pateikimo turi būti atliktas ir dokumentuotas Valdymo sistemos kibernetinio saugumo auditas, skirtas nustatyti Valdymo sistemos atitiktį Apraše nustatytiems reikalavimams ir identifikuoti galimas saugumo spragas. Audito ataskaitoje turi būti pateikta atitiktį Aprašo reikalavimams pagrindžianti informacija ir aptiktos saugumo spragos. Aptiktos saugumo spragos turi būti pašalintos iki Deklaracijos pateikimo. Nesant galimybės spragos pašalinti šiame papunktyje nurodytais terminais, arba, jei nėra galimybės jos pašalinti, privaloma taikyti, dokumentuoti ir periodiškai peržiūrėti pagalbines priemones, mažinančias spragos išnaudojimo galimybę ir išnaudojimo neigiamą poveikį. Sąsają su internetu turinčių Valdymo sistemos įrenginių kritinio ir aukšto lygio kibernetinio saugumo spragos šalinamos Aprašo ‎191.10 papunktyje nurodyta tvarka;

191.8. tinklų naudotojas yra įsipareigojęs visu elektros energijos gamybos ir (ar) kaupimo įrenginių eksploatavimo laikotarpiu periodiškai, tačiau ne rečiau nei kartą per 3 metus (šį terminą skaičiuojant nuo Deklaracijos pateikimo), atlikti Valdymo sistemos kibernetinio saugumo auditą, siekiant:

191.8.1. įvertinti Valdymo sistemos žurnalinius įrašus, komunikacijas ir nustatyti, ar Valdymo sistema nėra kompromituota, t. y. ar nėra įvykęs kibernetinis incidentas (vertinami žurnaliniai įrašai nuo paskutinio Valdymo sistemos kibernetinio saugumo audito);

191.8.2. įvertinti, ar pritaikytos saugumo priemonės (pavyzdžiui, ugniasienių taisyklės) yra aktualios ir veikia, bei atitinka Elektros energetikos įstatymo 733 straipsnio 1 dalyje ir Apraše elektros energijos gamybos ir kaupimo įrenginiams nurodytus reikalavimus;

191.8.3. pašalinti Valdymo sistemos programinės įrangos saugumo spragas, vadovaujantis programinės arba aparatinės įrangos gamintojų rekomendacijomis. Šios spragos turi būti pašalintos ne vėliau kaip iki kito Valdymo sistemos kibernetinio saugumo audito pradžios. Iki saugumo spragos pašalinimo, jei nėra galimybės spragos pašalinti šiame papunktyje nurodytais terminais, arba, jei nėra galimybės jos pašalinti, privaloma taikyti, dokumentuoti ir periodiškai peržiūrėti pagalbines priemones, mažinančias spragos išnaudojimo galimybę ir išnaudojimo neigiamą poveikį. Sąsają su internetu turinčių Valdymo sistemos įrenginių kritinio ir aukšto lygio kibernetinio saugumo spragos šalinamos Aprašo ‎191.10 papunktyje nurodyta tvarka;

191.9. Valdymo sistema turi būti fiziškai ir (ar) logiškai atskirta (segmentuota) nuo įrenginių ir (ar) sistemų, kurios nėra Valdymo sistemos dalis;

191.10. sąsają su internetu turinčių Valdymo sistemos įrenginių kritinio ir aukšto lygio kibernetinio saugumo spragos (kaip jos suprantamos pagal bendros pažeidžiamumo vertinimo sistemos (angl. Common Vulnerability Scoring System, CVSS) metodiką) turi būti nuolat stebimos ir šalinamos nedelsiant, bet ne vėliau kaip per 5 kalendorines dienas nuo naujinio, skirto spragai pašalinti, paskelbimo.