Kibernetinio saugumo aplinka Lietuvoje

Nacionalinis kibernetinio saugumo centras 2016–2017 metais (vykdyta ir 2015 m.) vykdė valstybės informacinių išteklių valdytojų ir ypatingos svarbos infrastruktūros valdytojų apklausas. Remiantis surinkta informacija formuluojamos nacionalinės kibernetinio saugumo būklės ataskaitos (2015 m. ir 2016 m.), teikiamos atitinkamos konsultacijos ir rekomendacijos valstybės informacinių išteklių valdytojams ir ypatingos svarbos infrastruktūros valdytojams, pagal kompetenciją rengiami ir teikiami pasiūlymai krašto apsaugos ministrui. 2017 m. kovo 30 d. Krašto apsaugos ministerija visuomenei pristatė ir paviešino Nacionalinio kibernetinio saugumo centro parengtą 2016 metų Nacionalinio kibernetinio saugumo būklės ataskaitą (toliau - ataskaita). Ataskaitoje pateikta ir informacija apie 2016 m. atliktos valstybės informacinių išteklių valdytojų ir tvarkytojų apklausos rezultatus.

Lietuvos Respublikos Seimas 2017 m. lapkričio 21 d. posėdyje priėmė Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo Nr. XI-1807 5, 6, 43 ir 431 straipsnių pakeitimo įstatymą, kuris sukūrė teisinį pagrindą konsoliduoti el. informacijos saugos valdymą ir integruoti elektroninės informacijos saugą į kibernetinį saugumą. Krašto apsaugos ministerija nuo 2018 m. sausio 1 d. pradės formuoti politiką valstybės informacinių išteklių saugos srityje.

Įgyvendinant 1.1 rekomendaciją numatyta įgyvendinti 2 priemones. Įgyvendinant 1.1.1 priemonę, patvirtinta Nacionalinė kibernetinio saugumo strategija (Vyriausybės nutarimas, 2018-08-13 Nr. 818), siekiant įgyvendinti Europos Parlamento ir Tarybos direktyvą 2016/1148 „Dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti“ ir Vyriausybės programos įgyvendinimo planą (Vyriausybės nutarimas, 2017-03-13 Nr. 167, 5.2.1 darbo 3 papunktis). Priemonė įgyvendinta. Įgyvendinant 1.1.2 priemonę, Nacionalinėje saugumo strategijoje į nacionalinio saugumo politikos prioritetus įtrauktas kibernetinio saugumo stiprinimas. XVII Vyriausybės programos įgyvendinimo plane numatytos priemonės kibernetinio saugumo stiprinimui (5.2.1 darbas). Krašto apsaugos ministerija informavo, kad patvirtinus Nacionalinę kibernetinio saugumo strategiją, buvo peržiūrėti kiti planavimo dokumentai ir įtrauktos nuostatos dėl kibernetinio saugumo į Krašto apsaugos sistemos 2018-2020 metų ir 2019-2020 metų strateginius veiklos planus. Vyriausybė 2019-07-03 nutarimu Nr. 709 „Dėl Nacionalinės kibernetinio saugumo strategijos įgyvendinimo tarpinstitucinio veiklos plano patvirtinimo“ patvirtino Nacionalinės kibernetinio saugumo strategijos įgyvendinimo tarpinstitucinį veiklos planą ir pripažino netekusiu galios Vyriausybės 2011-06-29 nutarimą Nr. 796 „Dėl Elektroninės informacijos saugos (kibernetinio saugumo) plėtros 2011‑2019 metais programos patvirtinimo“. Priemonė įgyvendinta.

Įgyvendinant 1.4 rekomendaciją numatyta įgyvendinti 3 priemones. Įgyvendinant 1.4.1 - 1.4.3 priemones, Nacionalinė kibernetinio saugumo strategija buvo priimta Vyriausybės 2018-08-13 nutarimu Nr. 818. Strategijoje nustatyta, kad Vyriausybė tvirtina tarpinstitucinį veiklos planą, kuriame nustatomos Strategijos įgyvendinimo priemonės ir lėšos joms įgyvendinti. Šio plano rengimą koordinuoja Krašto apsaugos ministerija, dalyvaujant Nacionaliniam kibernetinio saugumo centrui. Įgyvendinant Strategiją, pagal savo kompetenciją dalyvauja ministerijos, kitos valstybės ir (ar) savivaldybių institucijos, įstaigos ir (ar) organizacijos, nurodytos Strategijos tarpinstituciniame veiklos plane (toliau – Strategijos vykdytojai). Strategija įgyvendinama iš atitinkamų metų Lietuvos Respublikos valstybės biudžeto asignavimų, savivaldybių biudžetų lėšų, Europos Sąjungos ir kitos tarptautinės finansinės paramos lėšų ir kitų teisėtai gautų lėšų. Už reikalingų finansinių išteklių planavimą, vadovaujantis Kibernetinio saugumo įstatyme įtvirtintu subsidiarumo principu, pagal kompetenciją atsako Strategijos vykdytojai. Strategijos tikslų pasiekimas vertinamas pagal Strategijos įgyvendinimo vertinimo kriterijus ir siekiamas jų reikšmes, nurodytus Strategijos priede. Atliekant Strategijos įgyvendinimo stebėseną ir vertinimą taip pat bus naudojami viešai skelbiami Lietuvos statistikos departamento, Eurostato, sociologinių apklausų ir tyrimų duomenys. Strategijos įgyvendinimo rezultatų stebėseną atlieka Krašto apsaugos ministerija, Nacionalinis kibernetinio saugumo centras ir Kibernetinio saugumo taryba. Strategijos vykdytojai, pasibaigus metams, ne vėliau kaip iki kitų metų sausio 15 d. Nacionaliniam kibernetinio saugumo centrui pateikia informaciją apie Strategijos įgyvendinimo eigą, veiksmingumą ir tai pagrindžiančius duomenis. Kartu su šia informacija gali būti pateikti siūlymai dėl Strategijos ir (arba) jos įgyvendinamųjų dokumentų tikslinimo. Nacionalinio kibernetinio saugumo centro prašymu Strategijos vykdytojai privalo pateikti ir kitą Strategijos įgyvendinimo rezultatų stebėsenai būtiną informaciją. Visi suinteresuoti subjektai gali teikti pasiūlymus dėl Strategijos nuostatų atnaujinimo visą jos įgyvendinimo laikotarpį. Gavęs Strategijos informaciją, Nacionalinis kibernetinio saugumo centras ne vėliau kaip iki einamųjų metų vasario 1 d. Krašto apsaugos ministerijai pateikia susistemintus duomenis apie praėjusių metų Strategijos tikslų ir uždavinių įgyvendinimo būklę, gautus pasiūlymus ir problemines sritis, trukdančias įgyvendinti Strategiją. Krašto apsaugos ministerija kasmet iki kovo 1 d. apibendrina gautą praėjusių metų informaciją ir duomenis apie Strategijos įgyvendinimo eigą, veiksmingumą, susistemintus duomenis apie Strategijos metinį įgyvendinimą pristato Kibernetinio saugumo tarybai ir pateikia Vyriausybei. Vyriausybė dėl Strategijos įgyvendinimo kiekvienais metais atsiskaito Seimui pateikdama Nacionalinio saugumo būklės ir plėtros metinę ataskaitą. Vyriausybė 2019-07-03 nutarimu Nr. 709 „Dėl Nacionalinės kibernetinio saugumo strategijos įgyvendinimo tarpinstitucinio veiklos plano patvirtinimo“ patvirtino Nacionalinės kibernetinio saugumo strategijos įgyvendinimo tarpinstitucinį veiklos planą (toliau – planas). Nacionalinėje kibernetinio saugumo strategijoje išvardyti prioritetiniai kibernetinio saugumo politikos plėtros uždaviniai, kuriuos įgyvendinančios priemonės numatytos 2019-2021 m. laikotarpio plane. Planas bus tikslinamas ir pildomas naujomis priemonėmis kasmet, iki Nacionalinės kibernetinio saugumo strategijos galiojimo pabaigos (iki 2023 m. ). Atsižvelgiant į tai, Vyriausybė (siūlant plano koordinatoriui – Krašto apsaugos ministerijai ir plane dalyvaujančioms valstybės institucijoms ir įstaigoms) kasmet tvirtindama atitinkamo laikotarpio planus, priims sprendimus dėl kibernetiniam saugumui ir el. informacijos saugai reikalingų lėšų naudojimo prioritetų. Įgyvendinant 1.4.3 priemonę, šio nutarimo 7 p. numatyta, kad plane dalyvaujančios institucijos per 15 kalendorinių dienų nuo kiekvieno ketvirčio pabaigos stebėsenos informacinėje sistemoje, o Vyriausybei neatskaitingos ir prieigos prie stebėsenos informacinės sistemos neturinčios institucijos – raštu Krašto apsaugos ministerijai pateikia informaciją apie Plano įgyvendinimo eigą ir rezultatus, atsižvelgdamos į patvirtintus Plano tikslus, uždavinius, priemones ir jiems vykdyti numatytus asignavimus, taip pat vertinimo kriterijų planuojamas reikšmes. Informacija apie vertinimo kriterijus, kurių negalima apskaičiuoti kiekvieną ketvirtį, teikiama atsižvelgiant į duomenų gavimo terminus. Vadovaujantis Strategijos 49 p. Krašto apsaugos ministerija kasmet iki kovo 1 d. apibendrina gautą praėjusių metų informaciją ir duomenis apie Nacionalinės kibernetinio saugumo strategijos įgyvendinimo eigą, veiksmingumą, susistemintus duomenis apie Strategijos metinį įgyvendinimą pristato Kibernetinio saugumo tarybai ir pateikia Vyriausybei.

Įgyvendinant 1.3 rekomendaciją, numatyta įgyvendinti 4 priemones. Įgyvendinant 1.3.1 priemonę, Į nacionalinę teisę perkėlus 2016-07-06 Europos Parlamento ir Tarybos direktyvą (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje sąjungoje užtikrinti (OL 2016 L 194, p. 1), taip pat nuo 2018-01-01 įsigaliojus Valstybės informacinių išteklių valdymo įstatymo Nr. XI-1807 5, 6, 43 ir 43-1 straipsnių pakeitimo įstatymui ir Kibernetinio saugumo įstatymo Nr. XII-1428 4, 6 straipsnių pakeitimo ir 7 straipsnio pripažinimo netekusiu galios įstatymui, buvo patobulintas kibernetinio saugumo teisinis reguliavimas, organizavimas, valdymas ir kontrolė. Vyriausybė, vadovaudamasi Kibernetinio saugumo įstatymo 5 straipsnio 1 ir 3–5 punktais, 2018-12-05 nutarimu Nr. 1209 „Dėl Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimo Nr. 818 „Dėl Nacionalinės kibernetinio saugumo strategijos patvirtinimo“ pakeitimo“ patvirtino: - Ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką; - Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašą; - Nacionalinį kibernetinių incidentų valdymo planą. Priemonė įgyvendinta. Įgyvendinant 1.3.2 priemonę, buvo atnaujinti Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimų stebėsenos sistemos (ARSIS) nuostatai. Patvirtinus naujos redakcijos ARSIS nuostatus, Krašto apsaugos ministerija tapo ARSIS valdytoja, o Nacionalinis kibernetinio saugumo centras buvo paskirtas ARSIS tvarkytoju. Taip sudarytos sąlygos konsoliduoti valstybės informacinių išteklių saugos kontrolę. Priemonė įgyvendinta. Įgyvendinant priemonę 1.3.3, Nacionalinis kibernetinio saugumo centras 2016–2017 metais vykdė valstybės informacinių išteklių valdytojų ir ypatingos svarbos infrastruktūros valdytojų apklausas ir prašė jų pateikti atitinkamą informaciją kibernetinio saugumo klausimais. Remiantis surinkta informacija, formuluojamos nacionalinės kibernetinio saugumo būklės ataskaitos (2015 m. ir 2016 m.), teikiamos atitinkamos konsultacijos ir rekomendacijos valstybės informacinių išteklių valdytojams ir ypatingos svarbos infrastruktūros valdytojams, pagal kompetenciją rengiami ir teikiami pasiūlymai Krašto apsaugos ministrui. Priemonė įgyvendinta. Įgyvendinant 1.3.4 priemonę, Vyriausybės 2019-07-03 nutarimu Nr. 709 „Dėl Nacionalinės kibernetinio saugumo strategijos įgyvendinimo tarpinstitucinio veiklos plano patvirtinimo“ patvirtintas Nacionalinės kibernetinio saugumo strategijos įgyvendinimo tarpinstitucinis veiklos planas (toliau – planas). Plano 3.2 p. uždaviniui „Ugdyti kūrybiškumą, pažangius gebėjimus ir rinkos poreikius atitinkančius kibernetinio saugumo įgūdžius ir kvalifikaciją“ įgyvendinti 2019-2021 m. laikotarpiu numatytos priemonės: 3.2.1. p. „sukurti Valstybės tarnautojų registro ir valstybės tarnybos valdymo informacinės sistemos modulį, skirtą valstybės tarnautojų ir darbuotojų, dirbančių pagal darbo sutartis, mokymams, tarp jų – kibernetinio saugumo“; 3.2.2. p. „įgyvendinti projektą „Kompleksiniai kibernetinės saugos mokymai valstybės ir savivaldybių institucijų ir įstaigų dirbantiesiems“; 3.2.3. p. „atnaujinti ir plėsti saugesnio interneto ambasadorių tinklą Lietuvoje“ Įgyvendinat plano 3.2 p. numatyto uždavinio priemones 2019 – 2021 m. ir vėlesniuose planavimo laikotarpiuose bus užtikrinamas kibernetinio saugumo ir el. informacijos saugos žinių bazės kaupimas ir jos nuolatinis atnaujinimas. Priemonė įgyvendinta.

Siekiant gerinti kibernetinio saugumo reglamentavimo kokybę ir efektyvumą, mažinti administracinę naštą šiuos reikalavimus įgyvendinančioms ir jų įgyvendinimą stebinčioms įstaigoms Krašto apsaugos ministerija peržiūrėjo esamus kibernetinio saugumo, el. informacijos saugos reikalavimus ir parengė atitinkamus pasiūlymus jų tobulinimui. LRV 2023-07-19 nutarimais Nr. 573, 574, 575 priimti teisės aktų pakeitimai, kuriais numatytas aiškesnis ir integruotas techninių reikalavimų, skirtų valstybės informacinių išteklių valdytojams ir (ar) tvarkytojams, taikymas, geresnis kibernetinio saugumo rizikų valdymas.