12 priedas

ELEKTROS ENERGETIKOS ĮSTATYMO 733 STRAIPSNIO 1 DALYJE NURODYTO REIKALAVIMO ĮGYVENDINIMO DEKLARACIJA

(data)

I SKYRIUS

OBJEKTO INFORMACIJA

1. Prijungimo sąlygų numeris: _________________________ (pildoma, jei deklaracija teikiama dėl objekto, neprijungto prie elektros tinklų nuolatiniam eksploatavimui).

2. Objekto numeris: _________________________ (pildoma, jei deklaracija teikiama dėl objekto, prijungto prie elektros tinklų).

3. Elektros įrenginiai, dėl kurių teikiama deklaracija (palikti vieną):

☐ saulės šviesos energijos elektrinė;

☐ vėjo elektrinė;

☐ hibridinė elektrinė, kurią sudaro kelios skirtingas atsinaujinančių išteklių energijos rūšis naudojančios elektrinės;

☐ hibridinė elektrinė, kurią sudaro kelios skirtingas atsinaujinančių išteklių energijos rūšis naudojančios elektrinės arba šios elektrinės ir energijos kaupimo įrenginys;

☐ saulės šviesos energijos elektrinė, prijungiama/prijungta kartu su energijos kaupimo įrenginiu;

☐ vėjo elektrinė, prijungiama/prijungta kartu su energijos kaupimo įrenginiu;

☐ energijos kaupimo įrenginys;

☐ hidroelektrinė;

☐ kiti (nurodoma kita elektros energijos gamybos įrenginio rūšis, nenurodyta šio punkto sąraše): ____________________________.

4. Objekto pavadinimas: _________________________.

5. Operatoriaus objekto, prie kurio jungiamas ar yra prijungtas Objektas, pavadinimas: _________________________.

II SKYRIUS

TINKLŲ NAUDOTOJO ĮSIPAREIGOJIMAI

6. ______________________________________________ (nurodomas tinklų naudotojo pavadinimas, kai tai juridinis asmuo, arba vardas ir pavardė, kai tai fizinis asmuo) (toliau – Tinklų naudotojas) deklaruoja, kad elektros energijos gamybos ir (ar) energijos kaupimo įrenginiai yra įrengti vadovaujantis Elektros energetikos įstatymo 733 straipsnio 1 dalimi, kuri nustato, kad didesnės kaip 100 kW įrengtosios galios elektros energijos gamybos ir (ar) energijos kaupimo įrenginių informacijos valdymo sistemos ir gamybos valdymo sistemos saugumas turi būti užtikrinamas taip, kad prie šių sistemų nebūtų galima valstybių, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, subjektų prieiga, leidžianti nuotoliniu būdu valdyti elektros energijos gamybos ir (ar) energijos kaupimo įrenginių galios keitimo parametrus ir įjungti ar išjungti šiuos įrenginius, ir Pasinaudojimo elektros skirstomaisiais tinklais tvarkos apraše nurodytomis šio reikalavimo įgyvendinimo sąlygomis bei atitiks juos visą eksploatavimo laikotarpį.

7. Patvirtinu, kad ši deklaracija taikoma elektros energijos gamybos ir (ar) energijos kaupimo įrenginių valdymo sistema informacijos valdymo sistemoms, gamybos valdymo sistemoms, kaip jos suprantamos vadovaujantis Pasinaudojimo elektros skirstomaisiais tinklais tvarkos aprašu (toliau – Valdymo sistemos).

8. Deklaruoju, kad:

Eil. Nr.

Deklaruojama reikšmė

Atitikties patvirtinimas

1.

Atitiktis Valdymo sistemai galinčių kilti kibernetinių rizikų valdymo ir sistemos apsaugojimo nuo neteisėto poveikio, kurio metu galėtų būti realizuota nesankcionuota (neleistina, nepatvirtinta) nuotolinio valdymo galimybė, reikalavimams:

-

1.1.

Valdymo sistemai, išskyrus jos duomenų perdavimo tinklo perimetro ugniasienę, uždrausta tiesiogiai pasiekti interneto resursus

☐

1.2.

nenaudojami Valdymo sistemos ir jos duomenų perdavimo tinklo įrenginių loginiai prievadai ir fizinės jungtys yra deaktyvuotos

☐

1.3.

bevielis duomenų perdavimas valdymo sistemoje draudžiamas (nėra naudojamas), išskyrus ryšio operatorių privataus duomenų perdavimo tinklo paslaugas, neturinčias sąlyčio su viešojo interneto tinklais

☐

1.4.

Valdymo sistema yra apsaugota unikaliais (nestandartiniais / negamykliniais) identifikatoriais ir slaptažodžiais

☐

1.5.

patekimas prie Valdymo sistemos yra kontroliuojamas: Valdymo sistemos patalpos ir spintos turi būti rakinamos, o raktų išdavimas yra kontroliuojamas, t. y., apskaitomas ir raktai išduodami tik asmenims, kuriems jie yra reikalingi funkcijoms vykdyti. Jeigu Valdymo sistema ar jos komponentai yra lauke (ne patalpoje), patekimas į teritoriją, kurioje yra Valdymo sistema ar jos komponentai, yra kontroliuojamas, t. y. rakinamas, o raktų išdavimas yra kontroliuojamas, t. y., apskaitomas ir raktai išduodami tik asmenims, kuriems jie yra reikalingi funkcijoms vykdyti

☐

1.6.

prieigos prie Valdymo sistemos valdymui, kibernetinio saugumo reikalavimų įgyvendinimui ir stebėsenai, kibernetinio saugumo spragų ir operatyviam kibernetinių incidentų šalinimui yra paskirtas atsakingas asmuo arba tinklų naudotojo pasirinktas paslaugos teikėjas. Jei tinklų naudotojas šioms funkcijoms užtikrinti renkasi paslaugų teikėją, tai šiame papunktyje nurodytų funkcijų įgyvendinimas turi būti numatytas su šiuo paslaugų teikėju sudaromoje paslaugų teikimo sutartyje

☐

1.7.

ne anksčiau kaip prieš 6 mėnesius iki deklaracijos pateikimo yra atliktas ir dokumentuotas Valdymo sistemos kibernetinio saugumo auditas, skirtas nustatyti Valdymo sistemos atitiktį Apraše nustatytiems reikalavimams ir identifikuoti galimas saugumo spragas. Audito ataskaitoje yra pateikta atitiktį Pasinaudojimo elektros skirstomaisiais tinklais tvarkos aprašo reikalavimams pagrindžianti informacija ir aptiktos saugumo spragos. Aptiktos saugumo spragos yra pašalintos iki šios deklaracijos pateikimo. Nesant galimybės spragos pašalinti šiame papunktyje nurodytais terminais, arba, jei nėra galimybės jos pašalinti, privaloma taikyti, dokumentuoti ir periodiškai peržiūrėti pagalbines priemones, mažinančias spragos išnaudojimo galimybę ir išnaudojimo neigiamą poveikį. Sąsają su internetu turinčių Valdymo sistemos įrenginių kritinio ir aukšto lygio kibernetinio saugumo spragos šalinamos lentelės 1.10 papunktyje nurodyta tvarka. Valdymo sistemos kibernetinio saugumo auditą atliko: (nurodyti).

☐

1.8.

įsipareigoju visu elektros energijos gamybos ir (ar) energijos kaupimo įrenginių eksploatavimo laikotarpiu periodiškai, tačiau ne rečiau nei kartą per 3 metus (šį terminą skaičiuojant nuo šios deklaracijos pateikimo), atlikti ir dokumentuoti Valdymo sistemos kibernetinio saugumo auditą, kaip numatyta Pasinaudojimo elektros skirstomaisiais tinklais tvarkos apraše

☐

1.9.

Valdymo sistema yra fiziškai ir (ar) logiškai atskirta (segmentuota) nuo įrenginių ir (ar) sistemų, kurios nėra Valdymo sistemos dalis

☐

1.10.

sąsają su internetu turinčių Valdymo sistemos įrenginių kritinio ir aukšto lygio kibernetinio saugumo spragos (kaip jos suprantamos pagal bendros pažeidžiamumo vertinimo sistemos (angl. Common Vulnerability Scoring System, CVSS) metodiką) yra nuolat stebimos ir šalinamos nedelsiant, bet ne vėliau kaip per 5 kalendorines dienas nuo naujinio, skirto spragai pašalinti, paskelbimo

☐

2.

Patvirtiname, kad:

-

2.1.

Valdymo sistemos gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys nėra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys nėra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui. Pažymėjus pildyti atitiktį deklaracijos 3 punkte nurodytiems reikalavimams.

☐

2.2.

Valdymo sistemos gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys yra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys yra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui arba nėra įrodoma ar nėra žinoma, kad Valdymo sistemos gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys nėra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys nėra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui. Pažymėjus pildyti atitiktį deklaracijos 4 punkte nurodytiems reikalavimams.

☐

3.

Reikalavimai, keliami Valdymo sistemos nuotolinio valdymo keliamų kibernetinių rizikų suvaldymui, jei Valdymo sistemų gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys nėra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys nėra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui:

-

3.1.

visos nuotolinės prieigos prie Valdymo sistemos yra dokumentuotos aprašant konkrečius leistinus vartotojus ir (ar) sistemas, jų IP adresus arba pilnuosius srities vardus (angl. Fully Qualified Domain Name, FQDN), tinklo prievadų numerius ir protokolus. Sesijas kontroliuojanti ugniasienė turi būti sukonfigūruota pagal šį dokumentuotą leistinų ryšių sąrašą

☐

3.2.

Valdymo sistema yra atskirta nuo viešųjų ryšių tinklų (interneto) naudojant duomenų perdavimo tinklo ugniasienę, kuri palaiko įsiskverbimų aptikimo (angl. „intrusion detection system“, IDS), įsiskverbimo užkardymo (angl. „intrusion prevention system“, IPS) ir antivirusinės programos ir funkcijas. Visas iš interneto įeinantis ir į internetą išeinantis srautas tikrinamas remiantis išvardintais funkcionalumais

☐

3.3.

viešaisiais tinklais (internetu) pasiekiamų vartotojo sąsajų (svetainių) komunikacija yra šifruojama naudojant saugų transporto lygmens saugumo (angl. Transport Layer Security, TLS) standarto protokolą

☐

3.4.

viešaisiais tinklais (internetu) pasiekiamos Valdymo sistemos vartotojo sąsajos (angl. user interface, UI) ir (ar) kiti prieigos prie Valdymo sistemos būdai naudoja dviejų faktorių autentifikaciją

☐

3.5.

nuotolinė prieiga prie Valdymo sistemos nėra ir nebus suteikta asmenims, esantiems valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui

☐

4.

Reikalavimai, kuriuos taikant ribojamas nuotolinis valdymas išorės tinklais ir valdomos Valdymo sistemos, kurios gamintojus, tiekėjus ir (ar) Valdymo sistemos komponentų priežiūrą atliekančius juridinius asmenis kontroliuojantys asmenys yra registruoti ar nuolat gyvenantys arba Valdymo sistemų gamintojai, tiekėjai ir (ar) Valdymo sistemos komponentų priežiūrą atliekantys fiziniai asmenys yra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, keliamos rizikos:

-

4.1.

Valdymo sistema atitinka šiuos reikalavimas (turi atitikti bent vieną iš nurodytų 4.1.1 arba 4.1.2 papunkčiuose):

-

4.1.1.

neprijungta prie išorės duomenų perdavimo tinklo ir nenaudoja nuotolinio valdymo (išskyrus būtiną elektros sistemos operatorių valdymą), t. y. Valdymo sistema sukonfigūruota taip, kad visos pagrindinės funkcijos (nuotolinis elektros energijos gamybos valdymas ir (ar) energijos kaupimo įrenginių galios parametrų keitimas, įrenginių įjungimas ar išjungimas) yra vykdomos tik vietiniu (angl. off-line) režimu;

☐

4.1.2.

veikia be priklausomybės nuo išorinių nuotolinių paslaugų, kurias teikia asmenys, registruoti arba nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui. Tuo atveju, jeigu Valdymo sistema veikia be priklausomybės nuo išorinių nuotolinių paslaugų, kurias teikia asmenys, registruoti arba nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, tokia Valdymo sistema atitinka 3.1–3.5 papunkčių reikalavimus

☐

4.2.

taikomos šios rizikos valdymo priemonės:

-

4.2.1.

visą įrangos naudojimo laikotarpį bus diegiami tik būtini Valdymo sistemos atnaujinimai, o Valdymo sistemos atnaujinimų būtinumo vertinimas – dokumentuotas

☐

4.2.2.

ne anksčiau kaip prieš 6 mėnesius iki deklaracijos pateikimo yra atliktas ir periodiškai, bet ne rečiau kaip kartą per 3 metus, bus atnaujinamas gamintojų ir tiekėjų rizikos vertinimas (vertinimas, kurio metu vertinama atitinkamų gamintojų ir tiekėjų Valdymo sistemos naudojimo įtaka tinklų naudotojo veiklos, susijusios su elektros energijos gamyba ir (ar) kaupimu, tęstinumui). Šis vertinimas gali būti atliktas kartu su kibernetinio saugumo auditu ir įtrauktas į audito apimtį

☐

5.

Raštu supažindinau (jei prieiga bus suteikiama po deklaracijos pateikimo, supažindinsiu ateityje, visu elektros energijos gamybos ir (ar) energijos kaupimo įrenginių eksploatavimo laikotarpiu) su Elektros energetikos įstatymo 733 straipsnio 1 dalyje nurodytu reikalavimu ir Pasinaudojimo elektros skirstomaisiais tinklais tvarkos apraše nurodytomis šio reikalavimo įgyvendinimo sąlygomis asmenis, kuriems suteikiama prieiga prie energijos gamybos ir (ar) energijos kaupimo įrenginių Valdymo sistemų ar kurie gali būti susiję su prieigos suteikimu ar šių sistemų naudojimu, iki jiems suteikiant prieigą prie Valdymo sistemos ir saugau tai įrodančius duomenis.

☐

6.

Interneto paslaugai skirtas (-i) išorinis (-iai) IP adresas (-ai) (visos objekte naudojamos išorinių tinklų prieigos):

Nurodyti adresą

9. Deklaruoju, kad:

Eil. Nr.

Deklaruojama reikšmė

Atitikties patvirtinimas

1.

Hidroelektrinė neturi informacijos valdymo sistemos ir įrenginio gamybos valdymas yra išimtinai mechaninis (elektros energijos gamybos įrenginyje nėra elektroninio valdymo komponentų), užtikrinamas lokaliai įrenginyje, be jokios nuotolinio valdymo galimybės, taip:________________________ (nurodomas arba pridedamas detalus paaiškinimas, kaip užtikrinamas gamybos valdymas). Šiame punkte nurodytas aplinkybes patvirtinantys dokumentai pateikiami kartu su deklaracija. Įsipareigoju visu elektros energijos gamybos įrenginio eksploatavimo laikotarpiu periodiškai, tačiau ne rečiau nei 1 kartą per 3 metus (šį terminą skaičiuojant nuo paskutinės deklaracijos pateikimo), pateikti tinklų operatoriui atnaujintą deklaraciją ir patvirtinančius dokumentus. Pažymėjus šį punktą taip pat privalo būti pildomas 8 punkto lentelės 1.5 papunktis.

☐

III SKYRIUS

PATIKRINIMAI

10. Tinklų naudotojas suteikia tinklų operatoriui ar tinklų operatoriaus pasirinktai trečiajai šaliai, veikiančiai tinklų operatoriaus pavedimu, galimybę patikrinti šioje deklaracijoje nurodytų duomenų atitiktį Elektros energetikos įstatymo 733 straipsnio 1 dalyje nurodytam reikalavimui ir Pasinaudojimo elektros skirstomaisiais tinklais tvarkos apraše nurodytoms šio reikalavimo įgyvendinimo sąlygoms. Atliekant tokį vertinimą, tinklų naudotojas turi visapusiškai bendradarbiauti, t. y. suteikti galimybę gauti reikalingą patikrinimui informaciją, susipažinti su dokumentais, infrastruktūra, aparatine ir programine įranga, kuri naudojama apdorojant, saugant ar perduodant elektros energijos gamybos ir energijos kaupimo įrenginių informacijos valdymo sistemų duomenis. Reikiamą informaciją tinklų naudotojas pateikia ne vėliau nei per 5 darbo dienas nuo prašymo gavimo dienos.

11. Tinklų naudotojas tinklų operatoriui ar tinklų operatoriaus pasirinktai trečiajai šaliai, veikiančiai tinklų operatoriaus pavedimu, pareikalavus, suteikia šią informaciją:

11.1. naudojamos elektros energijos gamybos ir energijos kaupimo įrenginių Valdymo sistemos komponentų sąrašą, jų gamintojų, tiekėjų, Valdymo sistemos komponentų priežiūrą atliekančių juridinių asmenų pavadinimus arba fizinių asmenų vardus ir pavardes ir duomenis apie tai, kokioje valstybėje šie fiziniai asmenys yra nuolat gyvenantys bei tai, kokioje valstybėje yra registruoti ar nuolat gyvenantys šiuos juridinius asmenis kontroliuojantys asmenys;

11.2. Valdymo sistemų duomenų perdavimo tinklo schemas;

11.3. ugniasienės gamintoją ir naudojamų licencijų pavadinimus;

11.4. aktualius asmenų, turinčių nuotolinę ir fizinę prieigą prie Valdymo sistemos, sąrašus;

11.5. tinklų naudotojo atliktų Valdymo sistemos auditų rezultatus, jų metu nustatytų trūkumų pašalinimo planus ir šių planų įgyvendinimo rezultatus;

11.6. jeigu Valdymo sistema naudoja komponentus, kurių tiekėjus, gamintojus ir (ar) priežiūrą vykdančius juridinius asmenis kontroliuojantys asmenys yra registruoti ar nuolat gyvenantys arba kurių tiekėjai, gamintojai ir (ar) priežiūrą vykdantys fiziniai asmenys yra nuolat gyvenantys valstybėse, kurios pagal Lietuvos Respublikos Seimo tvirtinamą nacionalinio saugumo strategiją kelia grėsmę Lietuvos Respublikos nacionaliniam saugumui ir nacionalinio saugumo interesų užtikrinimui, turi būti pateikiamas Valdymo sistemos komponentų atnaujinimų diegimo žurnalas su kiekvieno atnaujinimo diegimo būtinumo vertinimu ir saugumo analize, taip pat metiniai gamintojų ir tiekėjų rizikos vertinimai (vertinimai, kurių metu vertinama atitinkamų gamintojų ir tiekėjų Valdymo sistemos naudojimo įtaka tinklų naudotojo veiklos, susijusios su elektros energijos gamyba ir (ar) kaupimu, tęstinumui);

11.7. gamintojų ir tiekėjų rizikos vertinimo rezultatus;

11.8. kitą informaciją, reikalingą atitikčiai Elektros energetikos įstatymo 733 straipsnio 1 dalyje nurodytam reikalavimui ir Pasinaudojimo elektros skirstomaisiais tinklais tvarkos apraše nurodytoms šio reikalavimo įgyvendinimo sąlygoms pagrįsti.

PRIDEDAMA: Dokumentai, įrodantys, kad kibernetinio saugumo auditas buvo atliktas Pasinaudojimo elektros skirstomaisiais tinklais tvarkos apraše nurodytus reikalavimus atitinkančio asmens arba dokumentai, įrodantys deklaracijos 9 punkte nurodytas aplinkybes, jei 9 punktas buvo pažymėtas (nereikalingą išbraukti).

Pareigos Parašas Vardas ir pavardė

Pasinaudojimo elektros skirstomaisiais tinklais tvarkos aprašo