Pasikeitęs kibernetinio saugumo įstatymas - kaip pasikeitęs jungtukas gali pasiekti jūsų įmonę?

Liepos 3-iąją, penktadienį, Teisės aktų registre buvo paskelbtas įstatymas Nr. XV-1076. Jau kitą dieną, šeštadienį, jis įsigaliojo. Nė vieno pranešimo spaudai, žiniasklaidos straipsnio, ar advokatų kontoros komentaro. Įmonės, kurių padėtis nuo tos dienos pasikeitė, apie tai greičiausiai dar nežino.

Taigi - ką iš tikrųjų keičia kibernetinio saugumo įstatymo pakeitimai, įsigalioję liepos 4 d.? Pakeisti dešimt straipsnių ir du priedai, bet devyni iš tų dešimties vidutinei Lietuvos įmonei nieko nereiškia. Reikšmingas yra vienas - 11 straipsnis, nustatantis, kurios įmonės tampa kibernetinio saugumo subjektais ir turi įgyvendinti taikomus reikalavimus; jame pasikeitė vienas jungtukas.

Buvo „ir", tapo „ir (ar) abi"

Štai kaip 11 straipsnio 3 dalies 1 punktas skambėjo iki liepos 4 d.:

„...ir viršija vidutinių įmonių darbuotojų skaičių ir finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme"

Ir kaip jis skamba dabar (XV-1076):

„...ir viršija vidutinių įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme"

Skaitant seną tekstą pažodžiui, esminiu subjektu buvo galima tapti tik peržengus abi ribas kartu: ir darbuotojų skaičių, ir finansinius rodiklius. Dabar užtenka vienos - arba darbuotojų skaičiaus, arba abiejų finansinių rodiklių iš karto. Toks pats pakeitimas padarytas ir svarbių subjektų kriterijuose.

• 

• 

Tikėtina, kad tai greičiau yra redakcinės spragos užtaisymas nei nauja politika, nes NKSC ir Krašto apsaugos ministerija ir anksčiau aiškino kriterijų per įmonių kategorijas („didelė ar vidutinė įmonė"), tad praktikoje daug kas nesikeičia. Bet įmonei, kuri rėmėsi pažodiniu senuoju tekstu, rezultatas vienodas - argumento, kad ji nepatenka, nebeliko.

Vežėjas, kuris prasprūsdavo pro abu tinklus

Paimkime konkretų pavyzdį. Geležinkelių vežėjas - subjekto rūšis, aiškiai įrašyta KSĮ 1 priedo transporto sektoriuje. Tarkime, 400 darbuotojų, 35 mln. eurų metinių pajamų ir 30 mln. eurų turto balanse (riedmenys nuomojami, ne nuosavi - todėl balansas kuklesnis, nei tikėtumėtės).

Pagal seną tekstą jis nepateko į esminius subjektus, nes viršijo tik darbuotojų ribą (400 daugiau nei 250), o pajamos ir turtas liko žemiau 50 ir 43 mln. eurų. Bet nepateko ir į svarbius subjektus, nes ten reikalauta neviršyti vidutinės įmonės darbuotojų skaičiaus - o jis viršijo. Įmonė prasprūsdavo pro abu tinklus vien dėl to, kaip buvo sudėti jungtukai.

Nuo liepos 4 d. jis viršija vidutinių įmonių darbuotojų skaičių - ir to pakanka. Tai esminis subjektas, kuriam taikoma griežtesnė priežiūra nei svarbiam.

Veikia ir priešinga kryptis: nedidelė komanda, didelė apyvarta. Degalų ar energijos prekyba, grūdų supirkimas, didmeninis platinimas, ekspedijavimas - keliasdešimt žmonių ir dešimtys milijonų eurų. Jei tokios įmonės ir pajamos viršija 50 mln., ir turtas viršija 43 mln., ji dabar taip pat yra esminis subjektas, nors darbuotojų riba nė iš tolo neperžengta.

(Skaičiai pavyzdyje - iliustraciniai, o sektorių sąrašas antroje pastraipoje yra mūsų pačių vertinimas, ne įstatymo tekstas. Ar konkreti įmonė patenka, priklauso nuo to, ar jos veiklos rūšis įrašyta KSĮ 1 arba 2 priede.)

Trys skaičiai, pagal kuriuos galite pasitikrinti šiandien

Sektoriai, kurių įmonės patenka į kibernetinetinio saugumo subjektų registrą

Ribos ateina iš Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio (redakcija galioja nuo 2025 m. liepos 1 d.):

Esminis subjektas - jei veikiate KSĮ 1 priedo sektoriuje (energetika, transportas, bankininkystė, sveikatos priežiūra, geriamasis vanduo, nuotekos, skaitmeninė infrastruktūra, IRT paslaugų valdymas, viešasis administravimas, kosmosas) ir peržengiate bent vieną iš šių:

• 250 darbuotojų, arba

• 50 mln. eurų metinių pajamų kartu su 43 mln. eurų turto balanse.

Svarbus subjektas - riba žemesnė:

• 50 darbuotojų, arba

• 10 mln. eurų pajamų kartu su 10 mln. eurų turto.

Ir sąlyga, kurią dažniausiai pamiršta 2 priedo sektorių įmonės (paštas, atliekų tvarkymas, cheminės medžiagos, maistas, gamyba, informacinės visuomenės paslaugos, moksliniai tyrimai): iš tos veiklos turi ateiti daugiau nei 50 procentų visų įmonės metinių pajamų. Jei gamyba jums yra trečdalis apyvartos, kriterijus netenkinamas.

Svarbu ir tai, kas nesikeičia: pareigos atsiranda tik nuo įregistravimo Kibernetinio saugumo informacinėje sistemoje (KSĮ 11 str. 2 d.), o patiems reikalavimams įgyvendinti Vyriausybė turi duoti ne trumpesnį kaip 12 mėnesių terminą (14 str. 2 d.). Niekas nereikalauja atitikties rytoj.

Iš kur NKSC gauna informaciją apie įmonę?

Antras svarbus dalykas šiame įstatyme - dvi visiškai naujos 11 straipsnio dalys, kurios pirmą kartą aiškiai pasako, kuo remiantis įmonė yra identifikuojama:

• Darbuotojų skaičius - „Sodros" duomenimis apie apdraustuosius asmenis.

• Finansiniai duomenys - Registrų centrui pateiktu metinių finansinių ataskaitų rinkiniu (arba įmonių grupės konsoliduotuoju), o kur jo teikti neprivaloma - mokesčių administratoriaus turimais duomenimis.

• Individualią veiklą vykdantiems fiziniams asmenims - VMI duomenimis apie individualios veiklos pajamas.

Tame pačiame punkte įrašyta ir teisė nesutikti. Jeigu iš „Sodros" duomenų apskaičiuotas vidutinis metinis darbuotojų skaičius nesutampa su tuo, kuris gaunamas SVV plėtros įstatymo 3 straipsnio 7 dalyje nustatyta tvarka, remiamasi jūsų pateiktais duomenimis. Apdraustųjų asmenų skaičius ir vidutinis metinis darbuotojų skaičius nėra tas pats dydis, o skirtumas didžiausias būtent ten, kur dirbama sezoniškai, nepilnu etatu arba per įmonių grupę. Jei jūsų įmonė balansuoja ties 50 arba 250 riba, verta tą skaičių susiskaičiuoti pačiai įmonei - dabar, o ne tada, kai ateis pranešimas.

Kokie būna NKSC pranešimai? Skaitykite mūsų įraše.

Antras pakeitimas: gamintojams, kurie nebuvo pastebėti

Yra ir tylus, bet visiškai realus pakeitimas 2 priede. Jo 5.6 papunktis - „Kitos transporto įrangos gamyba" - nurodydavo Ekonominės veiklos rūšių klasifikatoriaus C skirsnio 29 skyrių. Bėda ta, kad 29 skyrius yra variklinių transporto priemonių gamyba, ir į jį jau nurodė gretimas 5.5 papunktis. Kitos transporto įrangos gamyba yra 30 skyrius. Nuo liepos 4 d. taip ir parašyta.

Praktinė pasekmė: laivų statyba ir remontas, geležinkelio riedmenys, orlaiviai, motociklai ir dviračiai iki šiol pagal pažodinį priedo tekstą į šį subsektorių nepateko, tačiau nuo liepos 4 d. tai pasikeitė.

Ką galima praleisti?

Likusi įstatymo dalis vidutinei įmonei nieko nekeičia:

• 23 straipsnis perrašytas beveik visas - tai Kibernetinio saugumo kompetencijos bendruomenės narių registravimo tvarka. Aktualu kibernetinio saugumo paslaugų įmonėms, siekiančioms ES finansavimo. Tekstinės apimties tai didžiausias pakeitimas.

• 12 straipsnis - pagrindinės buveinės taisyklė. Iš jos išbrauktas sakinys, sakęs, kad buveinė yra Lietuvoje vien dėl to, kad įmonė čia registruota. Bet taikoma tik skaitmeninių paslaugų teikėjams: debesijos, duomenų centrų, valdomų paslaugų, elektroninių prekyviečių ir panašiai. Jei jūsų IT partneris yra tarptautinės grupės dalis, jį dabar gali prižiūrėti kita valstybė.

• 28, 30 ir 31 straipsniai - vykdymo užtikrinimo priemonių ir baudų taikymas nukreipiamas į Vyriausybės nustatytą tvarką. Baudų dydžiai šiuo įstatymu nekeičiami. Verta stebėti, kada ta Vyriausybės tvarka bus patvirtinta.

• 19 ir 38 straipsniai, 2 straipsnio sąvokos - terminologija ir valstybės institucijų duomenų centrai.

Vienas priminimas iš 19 straipsnio, kuris nėra naujas, bet apie kurį mažai kas žino: jei įmonė sudaro dalijimosi kibernetinio saugumo informacija susitarimą arba iš jo pasitraukia, apie tai reikia pranešti NKSC per 20 darbo dienų. Ši pareiga galiojo ir anksčiau.

Trys klausimai, kurių atsakymus verta žinoti

1. Koks buvo mūsų vidutinis metinis darbuotojų skaičius pernai - ir ar jis sutampa su „Sodros" apdraustųjų skaičiumi? Jei buhalterija atsako „maždaug tiek pat", tai dar ne atsakymas. Skirtumas ties 50 arba 250 riba nusprendžia jūsų kategoriją (svarbus ar esminis subjektas).

2. Ar pernykštės pajamos viršijo 10/50 mln. eurų? Jei ne, šis kriterijus netenkinamas - bet gali būti tenkinamas darbuotojų kriterijus, ir tai reikia pasitikrinti atskirai.

3. Ar mūsų pagrindinė veikla yra KSĮ 1 ar 2 priedo sektoriuje, ir jei 2 priedo - ar iš jos gauname daugiau nei pusę pajamų? Blogas atsakymas: „turbūt ne". Priedai yra vieši, o veiklos rūšis nustatoma pagal klasifikatorių, ne pagal tai, kaip įmonė save vadina.

Jei bent į vieną klausimą atsakymo nėra - tai ne priekaištas, o dabartinės situacijos žemėlapis. Šie trys skaičiai per pusvalandį randami buhalterijoje.

Pasikeitęs kibernetinio saugumo įstatymas ir patekimas į registrą

Kibernetinio saugumo įstatymas įsigalioja nepriklausomai nuo to, ar apie jo pakeitimus kas nors parašė straipsnį, ar ne. Šiuo atveju pokyčiai įvyko tyliai, todėl verta pasitikrinti, ar įmonė patenka į kibernetinio saugumo subjektų registrą, o ne laukti laiško iš NKSC. Patekimas į registrą nėra katastrofa: nuo jo prasideda dvylikos mėnesių laikotarpis, per kurį reikalavimus reikia įgyvendinti. Katastrofa yra sužinoti apie tai likus trims mėnesiams iki termino.

Jei perskaitę tris klausimus supratote, kad atsakymų neturite, arba turite juos, bet nežinote, ką su jais daryti - pasikalbėkime. Teikiame pagal Kibernetinio saugumo įstatymą reikalingas kibernetinio saugumo vadovo, SOC stebėjimo paslaugas, dirbame su daugiau nei 60 klientų iš visos Lietuvos sveikatos, komunalinio ūkio ir kituose sektoriuose.

Aptarkime Jūsų įmonės poreikius