Baudos ir NKSC priežiūra

Kas prižiūri

Priežiūrą vykdo Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos (NKSC). Jis tikrina subjektų atitiktį įstatymui savo iniciatyva, gavęs skundą ar kitų šaltinių pagrindu (KSĮ 26 str. 1 ir 2 d.). Esminius ir svarbius subjektus tikrina skirtingai: svarbūs subjektai tikrinami tik gavus duomenų ar informacijos, kad jie, kaip įtariama, padarė pažeidimą (KSĮ 26 str. 3 d.). Esminius subjektus NKSC gali tikrinti ir be tokios priežasties.

Patikrinimas atliekamas kuo greičiau, bet ne ilgiau kaip per 4 mėnesius (KSĮ 27 str. 1 d.). Atlikdamas stebėseną, NKSC gali pasitelkti nepriklausomą auditorių (KSĮ 7 str. 3 d.).

Didžiausios baudos

Procentinė riba skaičiuojama nuo juridinio asmens bendros pasaulinės metinės apyvartos per praėjusį finansinį laikotarpį. Tikroji bauda priklauso nuo pažeidimo pavojingumo ir aplinkybių.

Trys pažeidimų pavojingumo lygiai

Lietuvos įstatymas suskirsto pažeidimus pagal pavojingumą (KSĮ 29 str.) ir nuo to priklauso, kokia didžiausios baudos dalis gali būti skirta (KSĮ 30 str. 3 d.):

• Pavojingi, iki 100 %: rizikos valdymo priemonių neįgyvendinimas (14 str. 1 d.) ir nepranešimas apie didelį incidentą (18 str. 1 d. 1 p.).
• Vidutinio pavojingumo, iki 50 %: vadovo priežiūros pareiga (14 str. 6 d.), auditas kas 3 metus (14 str. 8 d.), atsakingų asmenų paskyrimas (15 str. 1–3 d.), trukdymas patikrinimui ir kai kurie NKSC nurodymai.
• Nedidelio pavojingumo, iki 10 %: duomenų apie priemones teikimas į KSIS (14 str. 3 d.), vadovų mokymai (14 str. 7 d.), pranešimai apie nedidelius incidentus (18 str. 1 d. 2 p.).

Konkretų dydį NKSC nustato atsižvelgdamas į pažeidimo trukmę, mastą, padarytą žalą, ankstesnius pažeidimus per 2 metus, bendradarbiavimą, elgesio kodeksų ar sertifikavimo mechanizmų laikymąsi ir tai, ar veikta tyčia (KSĮ 28 str. 3 d., 30 str. 4 d.). Atsakomybę lengvina, pavyzdžiui, savanoriškas žalos atlyginimas ar pažeidimo pripažinimas; sunkina pakartotinis pažeidimas per 12 mėnesių ar neteisingos informacijos pateikimas (KSĮ 28 str. 4 ir 5 d.).

Kitos vykdymo užtikrinimo priemonės

KSĮ 28 straipsnio 1 dalis numato šias priemones, kurias galima derinti:

1. įspėjimas;
2. nurodymai pašalinti trūkumus, esminiams subjektams ir dėl incidentų prevencijos;
3. nurodymas nutraukti pažeidžiančius veiksmus;
4. nurodymas per nustatytą laiką įgyvendinti priemones ar pranešti apie incidentus;
5. nurodymas informuoti paslaugų gavėjus apie didelę grėsmę;
6. nurodymas įgyvendinti audito rekomendacijas;
7. stebėsenos pareigūno skyrimas esminiam subjektui;
8. nurodymas viešai paskelbti pažeidimo aspektus;
9. bauda;
10. veiklos laikinas sustabdymas per teismą, tik esminiam subjektui, iki 4 mėnesių (32 str.);
11. esminio subjekto vadovo laikinas nušalinimas per teismą (33 str.).

Daugiau apie nušalinimą rasite puslapyje apie vadovų pareigas.

Kaip skiriama bauda

Prieš skirdamas priemonę, NKSC informuoja subjektą ir nustato ne trumpesnį kaip 20 darbo dienų terminą paaiškinimams (KSĮ 27 str. 7 d.). Bauda paprastai svarstoma rašytinės procedūros tvarka; subjekto prašymu ar savo iniciatyva NKSC gali surengti posėdį (KSĮ 31 str. 1 ir 2 d.). Sprendimas priimamas per 20 darbo dienų, turi būti motyvuotas ir gali būti skundžiamas teismui (KSĮ 31 str. 8, 9 ir 11 d.). Bauda sumokama į valstybės biudžetą per 3 mėnesius (31 str. 12 d.).

Sprendimas gali būti priimtas, jei nuo pažeidimo praėjo ne daugiau kaip 2 metai (KSĮ 28 str. 7 d.). Bauda neskiriama, jei už tą patį pažeidimą jau skirta bauda pagal BDAR (KSĮ 31 str. 10 d.).

Kaip sumažinti riziką

Didžiausia rizika yra pavojingi pažeidimai. Todėl pirmiausia įgyvendinkite kibernetinio saugumo reikalavimus ir parenkite veikiančią pranešimų tvarką. Dokumentuokite, ką padarėte ir kodėl: bendradarbiavimas su NKSC ir įrodytos pastangos įstatyme įvardyti kaip aplinkybės, į kurias atsižvelgiama. Kur šiandien stovite, parodys NIS2 vertinimas. Įstatymo tekstą rasite e-seimas.lrs.lt.