NIS2, Kibernetinio saugumo įstatymas ir programinės įrangos tiekėjai: ką turi daryti abi pusės

01NIS2 padėtis 2026 m. rudenį

TIS 2 direktyva (atidaroma išorinė svetainė), Direktyva (ES) 2022/2555, paskelbta Oficialiajame leidinyje 2022 m. gruodžio 27 d. ir įsigaliojo 2023 m. sausio 16 d. Valstybės narės nacionalines priemones turėjo priimti ir paskelbti iki 2024 m. spalio 17 d. ir taikyti nuo 2024 m. spalio 18 d., kai buvo panaikinta pirmoji TIS direktyva.

Kadangi NIS2 yra direktyva, organizaciją įpareigoja ją perkeliantis nacionalinis įstatymas. Perkėlimas vyko netolygiai: vienos valstybės narės įstatymą taikė laiku, kitos tik 2025 ar 2026 m., o Europos Komisija pradėjo pažeidimo procedūras prieš terminą praleidusias valstybes nares. Todėl registracijos pareigos, pranešimų portalai ir priežiūros institucijos kiekvienoje šalyje skiriasi.

02Lietuvoje: Kibernetinio saugumo įstatymas

Lietuvoje direktyvą perkelia Kibernetinio saugumo įstatymas, pakeistas 2024 m. liepos 11 d. Pakeitimai įsigaliojo 2024 m. spalio 18 d., t. y. nuo direktyvoje nustatytos taikymo dienos. 2024 m. lapkričio 6 d. Vyriausybė priėmė nutarimą, kuriuo nustatyti kibernetinio saugumo reikalavimai. Kompetentinga institucija yra Nacionalinis kibernetinio saugumo centras (atidaroma išorinė svetainė) (NKSC) prie Krašto apsaugos ministerijos; jo sudėtyje veikia CERT-LT, kompiuterių saugumo incidentų tyrimo tarnyba (CSIRT).

Įstatymas numato ir vaidmenų, kurių direktyvoje nėra: kibernetinio saugumo vadovą ir saugumo pareigūną. Kas tiksliai turi juos paskirti ir kokios jų funkcijos, nustato įstatymas ir jį įgyvendinantys teisės aktai.

03Esminiai ir svarbūs subjektai

NIS2 taikoma viešiesiems ir privatiesiems subjektams, veikiantiems I priedo sektoriuose (ypatingos svarbos sektoriai: energetika, transportas, bankininkystė, finansų rinkų infrastruktūra, sveikatos priežiūra, geriamasis vanduo, nuotekos, skaitmeninė infrastruktūra, IRT paslaugų valdymas, viešasis administravimas ir kosmosas) ir II priedo sektoriuose (kiti itin svarbūs sektoriai: pašto ir kurjerių paslaugos, atliekų tvarkymas, chemikalai, maisto produktai, gamyba, skaitmeninių paslaugų teikėjai ir moksliniai tyrimai). Paprastai ji taikoma vidutinėms ir didelėms organizacijoms. Kai kurie subjektai patenka į taikymo sritį nepriklausomai nuo dydžio, pavyzdžiui, patikimumo užtikrinimo paslaugų teikėjai, DNS paslaugų teikėjai ir centrinės valdžios subjektai.

3 straipsnis šias organizacijas skirsto į dvi kategorijas:

• Esminiai subjektai: daugiausia didelės organizacijos I priedo sektoriuose ir subjektai, kurie yra esminiai nepriklausomai nuo dydžio, pavyzdžiui, kvalifikuotų patikimumo užtikrinimo paslaugų teikėjai, aukščiausio lygio domenų registrai, DNS paslaugų teikėjai ir centrinės valdžios subjektai. Jie prižiūrimi aktyviai, o priežiūra gali apimti auditus ir patikrinimus vietoje.
• Svarbūs subjektai: kitos I ir II priedų taikymo sričiai priskirtos organizacijos. Priežiūra vykdoma ex post: institucija imasi veiksmų, kai yra požymių, kad subjektas reikalavimų nesilaiko.

Abiem kategorijoms taikomos tos pačios pagrindinės pareigos: rizikos valdymo priemonės (21 straipsnis), pranešimas apie incidentus (23 straipsnis) ir vadovybės atsakomybė (20 straipsnis). Skiriasi priežiūra ir baudos. Direktyva reikalauja, kad už 21 ar 23 straipsnio pažeidimus nacionalinė teisė numatytų didžiausias baudas, siekiančias bent 10 mln. EUR arba 2 % pasaulinės metinės apyvartos esminiams subjektams ir bent 7 mln. EUR arba 1,4 % svarbiems subjektams, taikant didesnę sumą. Valstybės narės sprendžia, ar ir kiek baudos taikomos viešojo administravimo subjektams.

Ar Jūsų programinės įrangos tiekėjui NIS2 taikoma tiesiogiai?

Programinės įrangos kūrimas pats savaime nėra NIS2 sektorius. Vis dėlto tiekėjas gali patekti į taikymo sritį tiesiogiai. I priedas apima valdomų paslaugų teikėjus, o NIS2 juos apibrėžia plačiai: tai subjektai, kurie klientams diegia, valdo, eksploatuoja ar prižiūri IRT produktus, tinklus, infrastruktūrą ar taikomąsias programas, vietoje arba nuotoliniu būdu. Todėl vidutinis ar didesnis tiekėjas, eksploatuojantis ar prižiūrintis klientų taikomąsias programas, pats gali būti NIS2 subjektas, kaip ir debesijos bei duomenų centrų paslaugų teikėjai. Šiems teikėjams techninius reikalavimus išsamiai nustato Įgyvendinimo reglamentas (ES) 2024/2690 (atidaroma išorinė svetainė).

Vis dėlto dauguma programinės įrangos tiekėjų su NIS2 susiduria per savo klientus, kurie savo tiekimo grandinės pareigą paverčia sutarčių sąlygomis, klausimynais ir auditais. Programinės įrangos gaminiams taip pat taikomas Kibernetinio atsparumo aktas (atidaroma išorinė svetainė), Reglamentas (ES) 2024/2847: jo pareigos pranešti apie aktyviai išnaudojamus pažeidžiamumus ir didelius incidentus, darančius poveikį produktų saugumui, taikomos nuo 2026 m. rugsėjo 11 d., o kitos pareigos nuo 2027 m. gruodžio 11 d.

04Dešimt būtinųjų 21 straipsnio priemonių

21 straipsnis reikalauja tinkamų ir proporcingų techninių, veiklos ir organizacinių priemonių, grindžiamų visų pavojų principu. Jos turi atspindėti naujausius technikos pasiekimus ir atitinkamus Europos bei tarptautinius standartus, būti proporcingos subjekto rizikai, dydžiui ir galimam incidentų sunkumui. Jos apima bent:

1. 01rizikos analizės ir informacinių sistemų saugumo politiką;
2. 02incidentų valdymą;
3. 03veiklos tęstinumą, pavyzdžiui, atsarginių kopijų valdymą ir veiklos atkūrimą po nelaimių, ir krizių valdymą;
4. 04tiekimo grandinės saugumą, įskaitant saugumo aspektus, susijusius su santykiais su tiesioginiais tiekėjais ir paslaugų teikėjais;
5. 05saugumą įsigyjant, kuriant ir prižiūrint tinklų ir informacines sistemas, įskaitant pažeidžiamumų valdymą ir atskleidimą;
6. 06politiką ir procedūras šių priemonių veiksmingumui vertinti;
7. 07pagrindinę kibernetinę higieną ir kibernetinio saugumo mokymus;
8. 08kriptografijos ir, kai tinka, šifravimo politiką ir procedūras;
9. 09žmogiškųjų išteklių saugumą, prieigos kontrolės politiką ir turto valdymą;
10. 10kelių veiksnių arba nuolatinį autentifikavimą ir, kai tinka, apsaugotą balso, vaizdo, teksto ir avarinį ryšį.

4 ir 5 punktuose įsitraukia tiekėjai. 21 straipsnio 3 dalis reikalauja, kad subjektai atsižvelgtų į kiekvienam tiesioginiam tiekėjui būdingus pažeidžiamumus, bendrą jo produktų kokybę ir kibernetinio saugumo praktiką bei saugaus kūrimo procedūras. Iš Jūsų klientų tikimasi, kad jie vertins, kaip kuriate programinę įrangą, o ne tik tai, ką pristatote.

05Vadovybė tvirtina, prižiūri ir atsako

Pagal 20 straipsnį esminių ir svarbių subjektų valdymo organai turi patvirtinti kibernetinio saugumo rizikos valdymo priemones, prižiūrėti jų įgyvendinimą ir gali būti patraukti atsakomybėn už pažeidimus. Jų nariai turi dalyvauti mokymuose, o subjektai skatinami reguliariai mokyti ir darbuotojus. Viešojo sektoriaus institucijoms toliau taikomos nacionalinės viešųjų institucijų ir pareigūnų atsakomybės taisyklės.

Tai keičia pokalbį su tiekėjais. Valdyba, kuri turi patvirtinti priemones, nori įrodymų, kuriuos galėtų suprasti: kurie tiekėjai palaiko kurias paslaugas, kokia rizika lieka ir kas iš tikrųjų išbandyta.

06Pranešimas apie incidentus: 24 valandos, 72 valandos, vienas mėnuo

23 straipsnis įpareigoja subjektus pranešti apie didelius incidentus savo CSIRT arba kompetentingai institucijai. Lietuvoje kompetentinga institucija yra NKSC, o CSIRT funkcijas atlieka jo sudėtyje veikianti CERT-LT. Incidentas yra didelis, jei jis sukėlė ar gali sukelti rimtų veiklos sutrikimų ar finansinių nuostolių subjektui arba didelę turtinę ar neturtinę žalą kitiems. Pranešama etapais:

Kai tinka, subjektai taip pat turi nedelsdami informuoti savo paslaugų gavėjus apie didelius incidentus, kurie gali paveikti tas paslaugas. Nacionalinė teisė prideda savo formas ir kanalus; Lietuvoje jų ieškokite NKSC skelbiamoje informacijoje.

Laikas pradedamas skaičiuoti nuo to momento, kai subjektas sužino apie incidentą. Jei incidentas prasideda tiekėjo sistemoje, klientas 24 valandų termino gali laikytis tik tada, kai tiekėjas jį aptinka, atpažįsta ir perduoda per kelias valandas. Todėl aptikimas, registravimas ir suderintas pranešimo kanalas yra sutarties sąlygos, o ne vien inžinerinės detalės.

07Ko NIS2 klientas paprašys iš savo programinės įrangos tiekėjo

Praktikoje 21 straipsnis virsta techninėmis priemonėmis ir įrodymais, kuriuos tiekėjas turėtų galėti parodyti nepradėdamas atskiro projekto. Dažniausiai matome šiuos:

• Saugaus kūrimo ciklas. Grėsmių modeliavimas reikšmingiems pakeitimams, kolegų peržiūra, automatiniai saugumo testai ir priklausomybių skenavimas kūrimo grandinėje, pasirašyti paketai ir kiekvieno leidimo programinės įrangos medžiagų žiniaraštis (SBOM).
• Pažeidžiamumų valdymas ir atskleidimas. Paskelbtas būdas pranešti apie pažeidžiamumus, pagal sunkumą suderinti reagavimo terminai ir pranešimas klientui, kai pažeidžiamumas paveikia jo aplinką.
• Prieigos kontrolė tiekėjo darbuotojams. Asmeninės paskyros, kelių veiksnių autentifikavimas, mažiausios būtinos teisės, laikinai suteikiama padidinta prieiga ir kiekvieno administracinio veiksmo kliento aplinkoje žurnalas.
• Žurnalai ir incidentų įrodymai. Su saugumu susiję įvykiai registruojami su patikimomis laiko žymomis, saugomi suderintą laikotarpį ir gali būti eksportuoti, kad klientas galėtų atsakyti į ankstyvojo perspėjimo ir galutinės ataskaitos klausimus.
• Bendradarbiavimas per incidentus. Paskirtas kontaktinis asmuo ir kanalas, pranešimo laikas gerokai trumpesnis už kliento 24 valandas ir pagalba nustatant pagrindinę priežastį.
• Tęstinumas ir atkūrimas. Atsarginės kopijos, kurių tinkamumas įrodytas jas atkuriant, su kliento suderinti atkūrimo tikslai ir išbandyta procedūra.
• Tiekimo grandinės dokumentacija. Aktualus subrangovų ir prieglobos vietų sąrašas bei pagrindiniai trečiųjų šalių komponentai ir paslaugos, nuo kurių priklauso sprendimas.
• Pasitraukimo planas. Duomenų eksportas tinkamais formatais, dokumentacija ir pagalba perduodant, kad klientas galėtų pakeisti tiekėją neprarasdamas paslaugos kontrolės.

Brandžioms inžinierių komandoms tai nėra nauja. NIS2 keičia tai, kad klientas turi gebėti tai įrodyti. Puslapyje Patikimumas ir atitiktis aprašome, kaip dirbame kaip tiekėjas, įskaitant mūsų informacijos saugumo valdymo sistemą, sertifikuotą pagal ISO/IEC 27001.

08Kontrolinis sąrašas sutartims ir pirkimams

1. 01Susiekite tiekėjus su paslaugomis. Užfiksuokite, kurie tiekėjai palaiko kurias taikymo sričiai priskirtas paslaugas ir kurie turi prieigą prie Jūsų sistemų ar duomenų.
2. 02Klasifikuokite pagal svarbą. Griežčiausius reikalavimus taikykite tiekėjams, kurie eksploatuoja ar gali keisti ypatingos svarbos sistemas.
3. 03Įrašykite priemones į sutartį. Saugumo reikalavimai, pranešimo apie incidentus laikas ir kanalas, pažeidžiamumų valdymas, žurnalai ir jų saugojimas, audito ar įrodymų teisės, subrangos taisyklės ir vietos.
4. 04Prašykite įrodymų, ne deklaracijų. Sertifikatai su jų taikymo sritimi, testų rezultatai, SBOM, paskutinio atkūrimo testo data.
5. 05Pasitraukimą suderinkite iš anksto. Duomenų grąžinimas, pagalba pereinant ir laikotarpis, kurį tiekėjas toliau teikia paslaugą.
6. 06Repetuokite kartu. Su ypatingos svarbos tiekėjais surenkite incidento pratybas, įskaitant 24 valandų ankstyvąjį perspėjimą.
7. 07Peržiūrėkite reguliariai. Tiekėjai, paslaugos ir grėsmės keičiasi; kartą per metus atnaujinamas tiekėjų registras didžiąją metų dalį yra pasenęs.

Perkančiosios organizacijos šiuos reikalavimus gali įtraukti į pirkimo dokumentus ir techninę specifikaciją, o tiekėjai į juos atsakyti punktas po punkto.

09Detales lemia nacionalinė teisė

Registracija, pranešimų portalai, formos, kompetentinga institucija ir papildomi reikalavimai kyla iš nacionalinės teisės. Lietuvoje tai Kibernetinio saugumo įstatymas, Vyriausybės nutarimas su kibernetinio saugumo reikalavimais ir NKSC skelbiama informacija. Kai kurios valstybės narės 21 straipsnio priemones sieja su nacionaline sistema ar sertifikavimu. Paprastai subjektui taikoma valstybės narės, kurioje jis įsisteigęs, teisė. 26 straipsnis numato išimčių: viešųjų elektroninių ryšių paslaugų teikėjams taikoma kiekvienos šalies, kurioje jie teikia paslaugas, teisė, debesijos, duomenų centrų, valdomų paslaugų ir kai kuriems kitiems skaitmeninių paslaugų teikėjams pagrindinės buveinės šalies teisė, o viešojo administravimo subjektams juos įsteigusios valstybės teisė.

10Ką stebėti artimiausiais mėnesiais

• Nacionalinį įgyvendinimą: Lietuvoje Kibernetinio saugumo įstatymą įgyvendinančius teisės aktus ir NKSC skelbiamą informaciją, kitose šalyse, kuriose veikiate, registracijos terminus ir institucijų rekomendacijas.
• Komisijos skaitmeninio omnibuso pasiūlymą (atidaroma išorinė svetainė) (oficialus pavadinimas „Skaitmeninio sektoriaus bendrasis rinkinys“, angl. Digital Omnibus), pateiktą 2025 m. lapkričio 19 d., COM(2025) 837, pagal kurį pranešimai apie incidentus pagal NIS2, BDAR, DORA ir kitus teisės aktus būtų teikiami per vieną ENISA valdomą prieigos tašką. 2026 m. spalį jis dar buvo svarstomas Europos Parlamente (atidaroma išorinė svetainė)); kol jis nepriimtas ir netaikomas, galioja dabartiniai kanalai ir terminai.
• Koordinuotus ES ypatingos svarbos IRT tiekimo grandinių rizikos vertinimus pagal 22 straipsnį, į kuriuos subjektai turi atsižvelgti rinkdamiesi priemones tiekėjams.
• Kibernetinio atsparumo akto terminus programinės įrangos produktams; visa apimtimi jis bus taikomas nuo 2027 m. gruodžio 11 d.

Finansų sektoriaus subjektams Reglamentas dėl skaitmeninės veiklos atsparumo finansų sektoriuje (DORA) pakeičia NIS2 taisykles dėl IRT rizikos valdymo, pranešimo apie incidentus ir priežiūros; žr. mūsų straipsnį DORA ir IRT paslaugas teikiančios trečiosios šalys. Komisija NIS2 ir jos įgyvendinimo aktų apžvalgą skelbia TIS 2 direktyvos politikos puslapyje (atidaroma išorinė svetainė).