NIS2 kontrolinis sąrašas: 34 punktų

Vadovų pareigos KSĮ 14 str. 6–7 d., 15 str.

1. Ar vadovas patvirtino kibernetinio saugumo politikos dokumentą ir rizikos valdymo planą (su data ir registracijos numeriu)?
   Patvirtinimo duomenys per 5 darbo dienas pateikiami į KSIS (Kibernetinio saugumo reikalavimų aprašo 5 ir 13 p.).
2. Ar vadovas reguliariai prižiūri, kaip įgyvendinami kibernetinio saugumo reikalavimai, pavyzdžiui, gaudamas nuolatinę ataskaitą?
3. Ar valdymo organų nariai ir vadovas per pastaruosius 2 metus išklausė kibernetinio saugumo mokymus?
   KSĮ 14 straipsnio 7 dalis: ne rečiau kaip kartą per 2 metus, NKSC vadovo nustatyta tvarka.
4. Ar paskirtas kibernetinio saugumo vadovas, tiesiogiai atskaitingas įmonės vadovui, ir saugos įgaliotinis?
   Jie negali kartu administruoti sistemų (Kibernetinio saugumo reikalavimų aprašo 19 p.).

Daugiau gide

Registras ir pranešimai KSĮ 13, 18 str.

1. Ar žinote, ar Jūsų įmonė įrašyta į Kibernetinio saugumo subjektų registrą KSIS, ir ar ten pateikti duomenys teisingi?
   Pareigos atsiranda nuo įregistravimo (KSĮ 11 str. 2 d.). Pirmuosius subjektus NKSC į KSIS įtraukė iki 2025 m. balandžio 17 d.
2. Ar nustatyta tvarka, kaip laiku pranešti NKSC apie didelį kibernetinį incidentą?
   Ankstyvasis perspėjimas per 24 val., pranešimas per 72 val., galutinė ataskaita per vieną mėnesį (KSĮ 18 str. 4 d.).
3. Ar žinote, kada incidentas laikomas dideliu pagal Nacionalinio kibernetinių incidentų valdymo plano kriterijus?
   Pavyzdžiui, sistemų veikla sutrikdyta 2 val. ar ilgiau arba paveikta 1 000 ar 25 % paslaugų gavėjų (Plano 9 p.).
4. Ar NKSC pranešate ir apie nedidelius kibernetinius incidentus per 72 valandas?
   Lietuvoje pranešama ir apie incidentus, kurie neatitinka didelio incidento kriterijų (KSĮ 18 str. 1 d. 2 p., Plano 13 p.).

Daugiau gide

Rizikos analizė ir saugumo politika KSĮ 14 str. 5 d. 1 p.

1. Ar tinklų ir informacinių sistemų rizikos vertinimas atliekamas ne rečiau kaip kartą per metus ir dokumentuojamas ataskaita?
2. Ar kibernetinio saugumo politika nustato tikslus, taikomus teisės aktus ir darbuotojų bei trečiųjų šalių pareigas?
3. Ar kibernetinio saugumo priemones valdote kaip sistemą, pavyzdžiui, pagal ISO/IEC 27001?

Kibernetinių incidentų valdymas KSĮ 14 str. 5 d. 3 p.

1. Ar vadovas patvirtino kibernetinių incidentų valdymo planą, atitinkantį Nacionalinį kibernetinių incidentų valdymo planą?
2. Ar žurnaliniai įrašai (logai) renkami, saugomi ir analizuojami nustatytu periodiškumu?
3. Ar per pastaruosius 12 mėnesių išbandėte incidentų valdymo planą, pavyzdžiui, stalo pratybomis?

Veiklos tęstinumas KSĮ 14 str. 5 d. 4 p.

1. Ar atsarginės kopijos daromos reguliariai, laikomos geografiškai nutolusioje vietoje ir ar atkūrimas iš jų tikrinamas?
2. Ar yra patvirtintas veiklos tęstinumo valdymo planas su atkūrimo laiku (RTO) ir leistinu duomenų praradimu (RPO)?
3. Ar sudaryta veiklos tęstinumo valdymo grupė, į kurią įeina kibernetinio saugumo vadovas, ir ar žinomi jos kontaktai?

Tiekimo grandinės saugumas KSĮ 14 str. 5 d. 5 p.

1. Ar turite saugumui svarbių tiekėjų ir paslaugų teikėjų sąrašą bei nustatytą tiekimo grandinės saugumo valdymo tvarką?
2. Ar sutartyse su tiekėjais numatyta pareiga pranešti apie incidentus ir Jūsų teisė atlikti auditą?
3. Ar renkantis tiekėjus taikomi saugumo kriterijai ir ar svarbūs tiekėjai reguliariai vertinami?

Daugiau gide

Įsigijimas, plėtojimas ir priežiūra KSĮ 14 str. 5 d. 6 p.

1. Ar saugumo atnaujinimai sistemoms ir programinei įrangai diegiami laiku ir atsekamai?
2. Ar sistemos reguliariai tikrinamos dėl spragų (skenavimas, įsiskverbimo testai)?
3. Ar perkant ar kuriant naujas sistemas taikomi saugumo reikalavimai?

Priemonių veiksmingumo vertinimas KSĮ 14 str. 5 d. 7 p., 8 d.

1. Ar ne rečiau kaip kartą per metus vertinate atitiktį reikalavimams ir ar suplanuotas auditas ne rečiau kaip kas 3 metus?
2. Ar vertinimų ir auditų metu nustatytos neatitiktys sekamos, kol pašalinamos?

Kibernetinė higiena ir mokymai KSĮ 14 str. 5 d. 8 p.

1. Ar visi darbuotojai ne rečiau kaip kartą per metus išklauso kibernetinės higienos mokymus?
2. Ar yra privalomos saugaus IT naudojimo taisyklės (slaptažodžiai, įrenginiai, el. paštas)?

Kriptografija ir šifravimas KSĮ 14 str. 5 d. 9 p.

1. Ar nešiojamųjų kompiuterių, mobiliųjų įrenginių ir laikmenų duomenys šifruojami?
2. Ar nustatyta kriptografijos ir šifravimo naudojimo tvarka, įskaitant raktų valdymą ir atsarginių kopijų šifravimą?

Personalas, prieiga ir turtas KSĮ 14 str. 5 d. 10 p.

1. Ar prieigos teisės suteikiamos pagal mažiausių teisių principą ir reguliariai peržiūrimos?
2. Ar priimant, perkeliant ir atleidžiant darbuotojus prieigos suteikiamos ir panaikinamos pagal nustatytą tvarką?
3. Ar turite atnaujintą IT sistemų ir programų sąrašą (turto apskaitą)?

Tapatumo nustatymas ir saugūs ryšiai KSĮ 14 str. 5 d. 11 p.

1. Ar kelių veiksnių tapatumo nustatymas įdiegtas nuotolinei prieigai, debesijos paslaugoms ir administratorių paskyroms?
2. Ar yra saugus avarinio ryšio kanalas, jei sutriktų el. paštas ir telefonija?