Kibernetinio saugumo įstatymas (KSĮ) ir NIS2 — reikalavimai, baudos ir atitiktis

Kam privaloma: vidutinėms ir didelėms įmonėms energetikos, transporto, sveikatos, IT, finansų, gamybos ir viešojo sektoriaus srityse (NIS2 esminiai ir svarbūs subjektai). Ką daro KSG: atitikties auditas, rizikos vertinimas, dokumentacija, techninės priemonės (SOC, EDR, atsarginės kopijos), vCISO ir darbuotojų mokymai – iki pilnos atitikties NKSC reikalavimams.

12 mėn.

organizaciniai reikalavimai nuo KSIS registracijos

10 mln. €

maksimali bauda esminiams subjektams

3 metai

nepriklausomo KS audito periodiškumas

Pasikonsultuoti dėl KSI

Sudėtinės paslaugos: Kibernetinis saugumas

← Kibernetinis saugumas

SOC 24/7

Grėsmių stebėsena ir incidentų valdymas

vCISO

Virtualus saugumo vadovas jūsų įmonei

EDR sprendimai

Įrenginių apsauga ir reagavimas

DLP apsauga

Duomenų nutekėjimo prevencija

KSĮ auditas

Nepriklausomas auditas pagal NKSC metodiką

Kibernetinio saugumo įstatymas (NIS2) · šiuo metu žiūrite

Kam privaloma, reikalavimai, baudos

CISO

CISO (Chief Information Security Officer) – tai kibernetinio saugumo vadovas, kuris atsako už visos saugumo programos kr

Kibernetinio saugumo centras

Jei ieškote atsakymo kas yra kibernetinio saugumo centras arba svarstote išorinį kibernetinio saugumo centrą, šiame pusl

KSI Atitikties Čeklistas

30 punktų, suskirstytų į 5 blokus: KS vadovas ir atsakomybės, dokumentacija, techninės priemonės, auditas, incidentų val

KSI Dokumentacija

KSI 14 str. reikalauja konkrečių dokumentų. Ne pakanka „turėti politiką kažkur serveryje" — dokumentai turi galioti, būt

Kursai

kibernetinio saugumo kursai – tai struktūruota programa, skirta nuosekliai kelti komandos kompetenciją. Jei jums reikali

Mokymai

kibernetinio saugumo mokymai sumažina incidentų tikimybę, nes dauguma atakų prasideda nuo žmogaus klaidos. Siūlome darbu

Saulės Elektrinių Saugumas

VERT reikalavimas pagal Elektros energetikos įstatymą (EEĮ 73³ str.) ir PESTA nuostatus (XVI sk., 185–198 p.). Kiekviena

Ar jums taikomas KSI?

KSI taikomas organizacijoms, kurios priklauso esminiams arba svarbiesiems subjektams (KSI 11 str.). Valstybinis sektorius — beveik visada esminis subjektas.

Kriterijus (KSI 11 str.)	Šaltinis
Centrinis / regioninis / savivaldybių administravimo subjektas	KSI 11 str. 3 d. 5 p.
Valdo ypatingos svarbos arba svarbius valstybės informacinius išteklius	KSI 11 str. 3 d. 6 p.
Paskelbtas ypatingos svarbos subjektu (Krizių valdymo įstatymas)	KSI 11 str. 3 d. 4 p.
Laikomas nacionaliniam saugumui svarbia įmone	KSI 11 str. 3 d. 7 p.

Pastaba: KSI reikalavimai atsiranda nuo registracijos NKSC KSIS sistemoje. Registruotis privalu savarankiškai — NKSC gali identifikuoti subjektus savarankiškai ir nesant registracijos.

Ko reikalauja KSI — terminai ir reikalavimai

Terminai nuo KSIS registracijos

Terminas	Ką reikia įgyvendinti	Str.
12 mėn.	Organizaciniai reikalavimai: KS vadovas, politikos, procedūros, mokymai	14 str. 2 d.
24 mėn.	Techniniai reikalavimai: SIEM, logų rinkimas, IDS/IPS	14 str. 2 d.
Kas 2 metus	KS mokymai vadovams ir valdymo organų nariams	14 str. 7 d.
Kas 3 metus	Nepriklausomas kibernetinio saugumo auditas	14 str. 8 d.

12 privalomų KSI rizikos valdymo priemonių (KSI 14 str. 5 d.)

Rizikos analizė ir KS politika

14 str. 5 d. 1 p.

KS vadovas ir saugos įgaliotinis

KSI 15 str.

Incidentų valdymo planas ir procedūros

14 str. 5 d. 3 p.

Veiklos tęstinumo planas (BCP) su RTO/RPO

14 str. 5 d. 4 p.

Tiekimo grandinės saugumo tvarka

14 str. 5 d. 5 p.

Spragų valdymo politika

14 str. 5 d. 6 p.

Kibernetinės higienos taisyklės ir mokymai

14 str. 5 d. 8 p.

Kriptografijos ir šifravimo politika

14 str. 5 d. 9 p.

Prieigos kontrolės politika

14 str. 5 d. 10 p.

IT turto valdymo tvarka ir registras

14 str. 5 d. 10 p.

Logų rinkimas, saugojimas ir analizė (SIEM)

NKSC req. 6, 11

MFA administratoriams ir kritinėms sistemoms

14 str. 5 d. 11 p.

Baudos ir teisinė atsakomybė (KSI 30 str.)

⚠️ Dažna klaida: manoma, kad baudos taikomos tik „didelėms privačioms įmonėms". Biudžetinėms įstaigoms taip pat taikomos realios baudos. Baudos kaupiamos už kiekvieną atskirą pažeidimą.

Baudų skalė pagal subjekto tipą (KSI 30 str. 2 d.)

Subjekto tipas	Maksimali bauda	Pagrindas
Esminis subjektas (privatus)	iki 10 000 000 € arba 2 % apyvartos	30 str. 2 d. 1 p.
Svarbus subjektas (privatus)	iki 7 000 000 € arba 1,4 % apyvartos	30 str. 2 d. 2 p.
Biudžetinė įstaiga — esminis subjektas	iki 1 % biudžeto, bet ne daugiau 60 000 €	30 str. 2 d. 3 p.
Biudžetinė įstaiga — svarbus subjektas	iki 0,5 % biudžeto, bet ne daugiau 30 000 €	30 str. 2 d. 4 p.

Baudos dydis pagal pažeidimo pavojingumą (KSI 30 str. 3 d.)

Pavojingas pažeidimas

100%

maksimalios baudos. Sistemiškas nevykdymas, tyčinis neveikimas, didelis incidentas be pranešimo.

Vidutinio pavojingumo

50%

maksimalios baudos. Pvz., neatliktas auditas, nėra KS vadovo, reikšmingas trūkumas.

Nedidelio pavojingumo

10%

maksimalios baudos. Formalus pažeidimas, nedidelio poveikio neatitiktis.

💡 Praktiniai baudų pavyzdžiai

Biudžetinė įstaiga (4 mln. € biudžetas)

Vidutinio pavojingumo (nebuvo audito) → iki 20 000 €
Pavojingas pažeidimas → iki 40 000 €

Privati įmonė (10 mln. € apyvarta, svarbus subjektas)

Vidutinio pavojingumo → iki 70 000 €
Pavojingas pažeidimas → iki 140 000 €

⚠️ Baudos kaupiamos už kiekvieną atskirą pažeidimą. Jei tuo pačiu metu nebuvo KS vadovo (15 str.), nebuvo pranešta apie incidentą (18 str.) ir nebuvo atliktas auditas (14 str. 8 d.) — tai trys atskiri pažeidimai, trys atskiros baudos.

Kokios priemonės padeda atitikti reikalavimus?

Praktikoje atitiktis remiasi į tris sluoksnius: (1) valdymas ir atsakomybės, (2) techninės priemonės, (3) nuolatinė stebėsena ir incidentų valdymas.

Reikalavimų sritis	Ką organizuoti	Tipinė paslauga
Governance (atsakomybės)	KS vadovas, politikos, rizikų registras, planai	vCISO / CISO
Techninės priemonės	MFA, ugniasienė, EDR, atsarginės kopijos, VPN	IT sauga
Stebėsena ir incidentai	SIEM/SOC, logų analizė, incidentų valdymas	SOC 24/7
Dokumentacija	13 privalomų dokumentų pagal KSI 14 str.	KSI dokumentacija
Nepriklausomas auditas	Kas 3 metus pagal NKSC metodiką	KSI auditas
Mokymai	Vadovai kas 2 m.; darbuotojai nuolat	KS mokymai

NIS2 / TIS2 / KSI — ryšys ir skirtumai

NIS2

ES kibernetinio saugumo direktyva. Nustato minimalius reikalavimus valstybėms narėms. Tiesiogiai netaikoma įmonėms — taikoma per nacionalinius įstatymus.

KSI (Lietuva)

Lietuvos kibernetinio saugumo įstatymas — NIS2 įgyvendinimas nacionaliniu lygmeniu. Nuo 2024-10-18 nauja redakcija. Kontroliuoja NKSC.

ISO/IEC 27001

Savanoriškas tarptautinis standartas. Palengvina KSI atitiktį, bet jos nepakeičia. KSI auditas atskirai privalomas (kas 3 metus).

Susijusios paslaugos

vCISO — KSI 15 str. reikalavimams KSI auditas (kas 3 metus) KSI dokumentai (13 dok.) KSI atitikties čeklistas SOC 24/7 stebėsena KS mokymai vadovams

Ar jums taikomas KSI? Pasitikrinkite nemokama konsultacija.

Per 30 min. įvertinsime: ar esate KSI subjektas, kokie terminai, kaip efektyviausiai pradėti.

Susisiekti

Ieškote paslaugų NIS2 direktyvai įgyvendinti? Žr. NIS2 direktyvos atitikties paslaugas (auditas, gap analysis, diegimas) arba visą kibernetinio saugumo paslaugų sąrašą.

Ieškote paslaugų NIS2 direktyvai įgyvendinti? Žr. NIS2 direktyvos atitikties paslaugas (auditas, gap analysis, diegimas).

NIS2 paslaugos →

Susijusios paslaugos

NIS2 atitikties paslaugos

Gap analysis, diegimas, dokumentacija

KSĮ auditas

Nepriklausomas auditas pagal NKSC metodiką

vCISO

Virtualus saugumo vadovas jūsų įmonei

Dažniausi klausimai: Kibernetinio saugumo įstatymas (NIS2)

Kam privalomas Kibernetinio saugumo įstatymas?

Įstatymas taikomas esminiams ir svarbiems subjektams pagal NIS2: vidutinėms ir didelėms įmonėms energetikos, transporto, bankų ir finansų, sveikatos, vandens, skaitmeninės infrastruktūros, IT paslaugų, pašto, atliekų, chemijos, maisto, gamybos ir viešojo administravimo sektoriuose. Konkretų sąrašą sudaro Nacionalinis kibernetinio saugumo centras (NKSC) – mes padedame patikrinti, ar į jį patenkate.

Kuo skiriasi NIS2 ir Kibernetinio saugumo įstatymas (KSĮ)?

NIS2 yra ES direktyva, o KSĮ – Lietuvos įstatymas, kuris ją perkelia į nacionalinę teisę ir nustato konkrečius reikalavimus, priežiūros instituciją (NKSC) ir baudas. Įmonėms Lietuvoje privalomas būtent KSĮ ir jo įgyvendinamieji teisės aktai.

Kokios baudos už KSĮ reikalavimų nesilaikymą?

Esminiams subjektams – iki 10 mln. € arba 2 % metinės apyvartos, svarbiems – iki 7 mln. € arba 1,4 % apyvartos (taikoma didesnė suma). Numatyta ir asmeninė vadovų atsakomybė. Baudos skiriamos po NKSC patikrinimo ar incidento tyrimo.

Nuo ko pradėti atitiktį?

1) Nustatyti, ar esate subjektas; 2) atlikti KSĮ atitikties auditą (gap analysis); 3) paskirti atsakingą asmenį (CISO / vCISO); 4) parengti dokumentaciją ir rizikos valdymo procesus; 5) įdiegti technines priemones (SOC, EDR, atsarginės kopijos, MFA); 6) apmokyti darbuotojus. Pasitikrinkite su 30 punktų čeklistu.

Ar KSG gali užtikrinti pilną atitiktį?

Taip – teikiame visą ciklą: auditą, dokumentaciją, techninių priemonių diegimą ir nuolatinę priežiūrą (SOC, vCISO). Esame ISO/IEC 27001 sertifikuoti ir turime PECB ISO 27001 Lead Auditor kompetenciją. Paslaugų aprašymas – NIS2 atitikties paslaugos.

Ar galima atidėti registraciją KSIS?

Techniškai — taip. Praktiškai — ne. NKSC aktyviai identifikuoja subjektus pagal sektoriaus kriterijus. Baudos prasideda nuo neatitikties momento, ne nuo NKSC radimo.

Ar ISO27001 sertifikatas pakeičia KSI auditą?

Ne. ISO27001 palengvina pasiruošimą, bet KS audito pagal NKSC metodiką nepakeičia. Tai du atskiri procesai, du atskiri dokumentai.

Kam taikoma kaip esminiams subjektams?

Esminiai subjektai: energetika, transportas, sveikata, skaitmeninė infrastruktūra, finansai, valstybinis sektorius. Svarbūs subjektai — platesnis spektras MVĮ ir paslaugų teikėjų.

Reikia KSĮ / NIS2 atitikties?

Įvertinsime, ar įstatymas jums taikomas, ir parengsime atitikties planą.

Susisiekti +370 657 66523 [email protected]