Pereiti prie turinio 
NIS2 / TIS2
Kibernetinio saugumo reikalavimai – ne vien IT klausimas. TIS2 apima organizacijos rizikų valdymą, atsakomybes, incidentų valdymą, veiklos tęstinumą, tiekėjų saugumą ir darbuotojų pasirengimą.
Padedame įvertinti esamą situaciją, parengti reikalingą dokumentaciją ir praktiškai pasiruošti organizacijai taikomų kibernetinio saugumo reikalavimų įgyvendinimui.
TIS2 DIREKTYVA
Kas yra NIS2 / TIS2?
NIS2 – tarptautiniu mastu vartojamas Europos Sąjungos Direktyvos (ES) 2022/2555 pavadinimas. Lietuviškoje teisėje ir oficialiuose Lietuvos institucijų šaltiniuose vartojamas pavadinimas TIS 2 direktyva.
Jos tikslas – didinti svarbiausių viešojo ir privataus sektoriaus organizacijų kibernetinį atsparumą ir užtikrinti, kad kibernetinio saugumo rizikos būtų valdomos sistemiškai, o ne tik reaguojant į jau įvykusius incidentus.
Lietuvoje pagrindinės TIS2 nuostatos įgyvendintos atnaujintu Kibernetinio saugumo įstatymu, įsigaliojusiu 2024 m. spalį, ir jį detalizuojančiais teisės aktais.
TIS2 reikalavimai
KAM TAIKOMI?
TIS2 reikalavimai taikomi ne visoms Lietuvos įmonėms vienodai. Kibernetinio saugumo įstatymas išskiria esminius ir svarbius kibernetinio saugumo subjektus. Jų identifikavimas priklauso nuo organizacijos veiklos sektoriaus, dydžio ir kitų įstatyme nustatytų bendrųjų ar specialiųjų kriterijų. Tam tikrais atvejais kriterijai gali būti taikomi ir nepriklausomai nuo įmonės dydžio.
Kibernetinio saugumo subjektus identifikuoja NKSC ir įtraukia juos į Kibernetinio saugumo subjektų registrą. Registras peržiūrimas ne rečiau kaip kartą per metus, tačiau TIS2 poveikis gali būti juntamas ir organizacijoms, kurios pačios nėra tiesiogiai įtrauktos į registrą. Kibernetinio saugumo subjektams nustatyti tiekimo grandinės saugumo reikalavimai reiškia, kad papildomų kibernetinio saugumo priemonių gali būti prašoma ir iš jų tiekėjų bei paslaugų teikėjų.
NIS2 / TIS2 KONSULTACIJOS IR DOKUMENTACIJOS RENGIMAS
DARBŲ PLANAS
1. Esamos situacijos įvertinimas. Įvertiname organizacijos veiklą, jau taikomas kibernetinio saugumo priemones, atsakomybes, procesus ir turimą dokumentaciją. Tikslas – suprasti ne tai, kiek dokumentų organizacija turi, o kaip šiandien realiai valdomos kibernetinio saugumo rizikos.
2. Reikalavimų ir spragų analizė. Esama situacija palyginama su organizacijai aktualiais Kibernetinio saugumo įstatymo ir Kibernetinio saugumo reikalavimų aprašo reikalavimais. Nustatome, kas jau įgyvendinta, ko trūksta ir kokie darbai turėtų būti atliekami pirmiausia.
3. Kibernetinio saugumo dokumentacijos rengimas. Pagal organizacijos veiklos specifiką padedame parengti ar atnaujinti reikalingas politikas, procedūras, atsakomybių aprašymus ir kitą vadybinę dokumentaciją. Dokumentacija kuriama taip, kad ji atspindėtų realiai organizacijoje veikiančius procesus, o ne taptų formaliu dokumentų rinkiniu.
4. Rizikų, incidentų ir veiklos tęstinumo procesai. Padedame aiškiai apibrėžti kibernetinio saugumo rizikų vertinimo, incidentų valdymo, veiklos tęstinumo ir atsakomybių procesus. Tai ypač svarbu todėl, kad TIS2 reikalauja ne tik prevencijos, bet ir organizacijos gebėjimo tinkamai reaguoti incidentui įvykus.
5. Tiekėjų ir trečiųjų šalių valdymas. Įvertiname, kaip kibernetinio saugumo reikalavimai perkeliami tiekėjams ir paslaugų teikėjams bei kaip organizacija kontroliuoja su tiekimo grandine susijusias rizikas. Tiekimo grandinės saugumas yra viena iš sričių, kuriai TIS2 skiria aiškų dėmesį.
6. Darbuotojų ir vadovų pasirengimas. Padedame įtraukti kibernetinio saugumo reikalavimus į kasdienę organizacijos veiklą ir darbuotojų atsakomybes. Vadovybės įsitraukimas čia ypač svarbus – už kibernetinio saugumo reikalavimų įgyvendinimą organizacijoje tiesiogiai atsakingas jos vadovas, o vadovams ir valdymo organų nariams taip pat nustatyta periodinių kibernetinio saugumo mokymų pareiga.
7. Pasirengimo peržiūra. Prieš užbaigiant projektą įvertiname, ar numatyti procesai ir dokumentacija realiai veikia, ar paskirtos atsakomybės ir ar organizacija gali pagrįsti, kaip įgyvendina jai aktualius reikalavimus. Techninių kibernetinio saugumo priemonių įgyvendinimas, kai reikalingos specifinės IT kompetencijos, derinamas su organizacijos IT ar kibernetinio saugumo specialistais.
KIEK LAIKO SKIRIAMA TIS2 REIKALAVIMAMS ĮGYVENDINTI?
Kibernetinio saugumo subjektams nacionaliniuose teisės aktuose nustatytas pereinamasis laikotarpis skaičiuojamas nuo organizacijos įtraukimo į Kibernetinio saugumo subjektų registrą.
Organizaciniams kibernetinio saugumo reikalavimams įgyvendinti numatyta 12 mėnesių, o atitinkamiems techniniams reikalavimams – 24 mėnesiai. Specialiesiems subjektams, kuriems tiesiogiai taikomas Komisijos įgyvendinimo reglamentas (ES) 2024/2690, taikymo sąlygos skiriasi, todėl pasirengimo termino nereikėtų vertinti vien pagal bendrą „12 ar 24 mėnesių“ taisyklę – pirmiausia reikia nustatyti, kokie reikalavimai taikomi konkrečiai organizacijai.
Ar ISO/IEC 27001 padeda pasiruošti TIS2?
Taip – tarp ISO/IEC 27001 informacijos saugumo vadybos sistemos ir TIS2 reikalavimų yra nemažai bendrų sričių. Abi sistemos remiasi rizikų valdymu ir dėmesį skiria tokioms sritims kaip informacijos saugumo politika, prieigos kontrolė, incidentų valdymas, veiklos tęstinumas, darbuotojų saugumo kultūra bei tiekėjų valdymas. Pati TIS2 direktyva kibernetinio saugumo priemonių kontekste nurodo ir tarptautinius ISO/IEC 27000 serijos standartus, tačiau ISO/IEC 27001 sertifikatas savaime nereiškia visiškos atitikties TIS2 reikalavimams. Organizacijai, jau turinčiai ISO/IEC 27001 sistemą, ji gali tapti labai stipriu pagrindu, tačiau vis tiek reikia įvertinti konkrečius Lietuvos Kibernetinio saugumo įstatymo ir kitų taikomų teisės aktų reikalavimus.
Dažniausiai užduodami klausimai
Kuo skiriasi NIS2 ir TIS2?
Tai ta pati Europos Sąjungos direktyva. NIS2 yra tarptautiniu mastu plačiai vartojamas angliškas pavadinimas, o oficialiame lietuviškame direktyvos tekste vartojamas pavadinimas TIS 2 direktyva.
Kaip sužinoti, ar TIS2 reikalavimai taikomi mūsų organizacijai?
Taikymas priklauso nuo organizacijos veiklos sektoriaus, dydžio bei Kibernetinio saugumo įstatyme nustatytų bendrųjų ir specialiųjų kriterijų. Kibernetinio saugumo subjektus identifikuoja NKSC ir įtraukia į Kibernetinio saugumo subjektų registrą. Registras peržiūrimas bent kartą per metus. Jei kyla abejonių dėl konkrečios situacijos, pirmiausia verta įvertinti organizacijos veiklą ir jai taikomus kriterijus.
Per kiek laiko reikia įgyvendinti reikalavimus?
Į Kibernetinio saugumo subjektų registrą įtrauktiems subjektams nacionaliniams organizaciniams reikalavimams įgyvendinti nustatytas 12 mėnesių, o atitinkamiems techniniams reikalavimams – 24 mėnesių terminas nuo įtraukimo į registrą. Kai kurioms specialiosioms subjektų kategorijoms taikomos kitokios taisyklės.
Ar TIS2 reiškia tik naujos dokumentacijos parengimą?
Ne. Dokumentacija yra svarbi, tačiau reikalavimai turi būti realiai įgyvendinti organizacijos procesuose. Tai apima rizikų valdymą, incidentų valdymą, veiklos tęstinumą, tiekėjų saugumą, darbuotojų mokymus ir technines kibernetinio saugumo priemones.
Ar ISO 27001 sertifikato pakanka TIS2 atitikčiai?
Ne. ISO/IEC 27001 gali suteikti stiprų informacijos saugumo valdymo pagrindą ir apima nemažai su TIS2 susijusių sričių, tačiau pats sertifikatas automatiškai nepatvirtina visų Lietuvos teisės aktuose nustatytų TIS2 reikalavimų įgyvendinimo.
Ar TIS2 gali paveikti įmonę, kuri nėra kibernetinio saugumo subjektas?
Taip, netiesioginis poveikis galimas. Kibernetinio saugumo subjektai turi vertinti ir savo tiesioginių tiekėjų bei paslaugų teikėjų keliamas rizikas. Todėl tiekimo grandinėje veikiančių įmonių gali būti prašoma laikytis papildomų kibernetinio saugumo sąlygų, pateikti informaciją apie taikomas priemones ar įsipareigoti laikytis kliento saugumo reikalavimų.
Susisiekime!
Kyla daugiau klausimų, norėtųsi patarimo ar aiškaus
rekomenduojamų žingsnių plano?
