Kam taikomas Kibernetinio saugumo įstatymas

Du statusai: esminis ir svarbus subjektas

Įstatymas kalba apie kibernetinio saugumo subjektus. Tai subjektai, kurie atitinka bent vieną KSĮ 11 straipsnio 3–5 dalių kriterijų ir yra įregistruoti Kibernetinio saugumo informacinėje sistemoje (KSIS). Pagal galimą incidento poveikį jie skirstomi į esminius subjektus ir svarbius subjektus (KSĮ 11 str. 1 d.).

Skirtumas svarbus praktikai. Esminiams subjektams gresia didesnės baudos, NKSC juos gali tikrinti savo iniciatyva, o svarbius subjektus tikrina tik gavęs duomenų apie galimą pažeidimą (KSĮ 26 str. 3 d.). Esminių subjektų tinkluose NKSC diegia ir valdo technines kibernetinio saugumo priemones (KSĮ 16 str.). Jei subjektas atitinka bent vieną esminio subjekto kriterijų, jis laikomas esminiu, net jei atitinka ir svarbaus subjekto kriterijus (KSĮ 11 str. 7 d.).

Sektoriai pagal 1 ir 2 priedus

Įstatymo 1 priede išvardyti ypatingos svarbos sektoriai, 2 priede kiti itin svarbūs sektoriai. Prie kiekvienos subjekto rūšies nurodyta ministerija, atsakinga už identifikavimą.

Lemia faktinė veikla, ne įrašas registre. Subjektai sektoriams priskiriami pagal Ekonominės veiklos rūšių klasifikatorių (KSĮ 13 str. 5 d.). 2 priedo sektoriuose yra papildoma sąlyga: šios veiklos pajamos turi sudaryti daugiau nei 50 procentų visų subjekto metinių pajamų (KSĮ 11 str. 4 d. 1 p.).

Dydžio ribos

Dydis nustatomas pagal Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnį. Vidutinė įmonė turi mažiau kaip 250 darbuotojų, o jos metinės pajamos neviršija 50 mln. Eur arba balanse nurodyto turto vertė neviršija 43 mln. Eur. Maža įmonė turi mažiau kaip 50 darbuotojų, o pajamos arba balanse nurodyto turto vertė neviršija 10 mln. Eur.

• Esminis subjektas: 1 priedo sektorius ir įmonė viršija vidutinės įmonės ribas (KSĮ 11 str. 3 d. 1 p.).
• Svarbus subjektas: 1 priedo sektorius ir vidutinė įmonė (11 str. 4 d. 2 p.) arba 2 priedo sektorius ir įmonė viršija mažos įmonės ribas (11 str. 4 d. 1 p.).

Nuo 2026 m. liepos 4 d. vidutinis darbuotojų skaičius identifikuojant nustatomas pagal „Sodros“ duomenis apie apdraustuosius, o pajamos ir turtas pagal Juridinių asmenų registrui pateiktas finansines ataskaitas arba mokesčių administratoriaus duomenis (KSĮ 11 str. 8 ir 9 d.). Jei Jūsų pačių apskaičiuotas darbuotojų skaičius skiriasi, remiamasi Jūsų pateiktais duomenimis.

Kada dydis nesvarbus

Kai kurie subjektai patenka į įstatymo taikymo sritį nepriklausomai nuo dydžio. Esminiai yra kvalifikuotų patikimumo užtikrinimo paslaugų teikėjai, aukščiausio lygio domenų registrai, DNS paslaugų teikėjai, viešųjų elektroninių ryšių teikėjai nuo vidutinės įmonės dydžio, subjektai, pripažinti ypatingos svarbos subjektais pagal Krizių valdymo ir civilinės saugos įstatymą, centrinio, regioninio ir savivaldybių administravimo subjektai, ypatingos svarbos ar svarbių valstybės informacinių išteklių valdytojai ir nacionaliniam saugumui svarbios įmonės (KSĮ 11 str. 3 d.).

Svarbūs, nepriklausomai nuo dydžio, yra nekvalifikuotų patikimumo užtikrinimo paslaugų teikėjai, mažieji elektroninių ryšių teikėjai, valstybės informacinių išteklių valdytojai, domenų vardų registravimo paslaugų teikėjai ir elektroninės informacijos prieglobos (hostingo) paslaugų teikėjai (KSĮ 11 str. 4 d.). Paskutinis punktas dažnai nustebina mažas IT įmones: net nedidelis prieglobos paslaugų teikėjas gali būti svarbus subjektas.

Be to, Vyriausybės patvirtinta metodika leidžia identifikuoti subjektus pagal specialiuosius kriterijus, pavyzdžiui, jei subjektas yra vienintelis būtinos paslaugos teikėjas arba jo paslaugos sutrikimas galėtų turėti didelį poveikį visuomenės saugumui ar sveikatai (KSĮ 11 str. 5 ir 6 d.).

Išimtys ir DORA

Įstatymas, išskyrus VII skyrių, netaikomas žvalgybos institucijoms, taip pat kredito unijoms, kurios savo tinklų ir informacinių sistemų nevaldo nepriklausomai nuo centrinių kredito unijų (KSĮ 1 str. 2 d.). Jei Europos Sąjungos teisės aktuose subjektui keliami bent lygiaverčiai reikalavimai, KSĮ 14, 15 ir 18 straipsniai jam netaikomi (KSĮ 1 str. 3 ir 4 d.). Tai ypač aktualu finansų įmonėms, kurioms taikomas DORA reglamentas.

Kaip patikrinti savo statusą

Lietuvoje statusą galutinai nustato įrašas registre: pareigos atsiranda tik nuo įregistravimo KSIS (KSĮ 11 str. 2 d.). Pirmąjį identifikavimą NKSC turėjo atlikti iki 2025 m. balandžio 17 d. Todėl pirmiausia išsiaiškinkite, ar Jūsų įmonė jau įregistruota ir kokiu statusu. Kaip tai veikia, aprašyta puslapyje apie registravimą KSIS.

Preliminarų statusą pagal sektorių ir dydį per kelias minutes parodys NIS2 vertinimas. Net jei įstatymas Jums netaikomas, klientai gali reikalauti panašių priemonių; apie tai puslapyje NIS2 tiekėjams.