NIS2 ir Kibernetinio saugumo įstatymo atitiktis
Vertiname organizacijos kibernetines rizikas, esamas saugumo priemones ir pasirengimą Lietuvoje taikomiems NIS2 reikalavimams. Nustatome, ko dar trūksta, aprašome reikalingus procesus ir parengiame dokumentaciją.
Organizacijoms, kurioms taikomi Kibernetinio saugumo įstatymo reikalavimai
Reikalavimai taikomi esminiams ir svarbiems kibernetinio saugumo subjektams įvairiuose sektoriuose – energetikos, transporto, sveikatos, skaitmeninės infrastruktūros, viešojo valdymo, atliekų ir nuotekų tvarkymo, mokslinių tyrimų ir kituose įstatyme nustatytuose sektoriuose.
Jeigu organizacija jau įtraukta į Kibernetinio saugumo subjektų registrą, galime padėti įvertinti, kurie reikalavimai jau įgyvendinti ir ką dar reikia atlikti per jai taikomą pereinamąjį laikotarpį.
Nuo taikomų reikalavimų nustatymo iki pasirengimo vertinimui
Nustatome taikomus reikalavimus
Nustatome organizacijai aktualius Kibernetinio saugumo įstatymo reikalavimus ir peržiūrime esamą situaciją.
Rizikos ir spragos
Įvertiname kibernetines rizikas, esamas priemones ir išskiriame trūkumus, kuriuos reikia pašalinti.
Reikalavimų įgyvendinimas
Parengiame arba atnaujiname reikalingą politiką, procedūras, rizikų, incidentų ir tiekėjų valdymo procesus.
Pasirengimo peržiūra
Patikriname atliktus veiksmus ir likusias spragas prieš tolesnį atitikties vertinimą ar priežiūrą.
Dažniausi klausimai apie NIS2
Ar NIS2 jau taikoma Lietuvoje?
Taip. Pagrindinės NIS2 direktyvos nuostatos Lietuvoje perkeltos į atnaujintą Kibernetinio saugumo įstatymą, kuris įsigaliojo 2024 m. spalio 18 d. Reikalavimus taip pat detalizuoja Kibernetinio saugumo reikalavimų aprašas ir kiti įgyvendinamieji teisės aktai.
Kaip sužinoti, ar mūsų organizacijai taikomi šie reikalavimai?
Taikymas priklauso nuo organizacijos veiklos srities, dydžio, teikiamų paslaugų ir kitų Kibernetinio saugumo įstatyme nustatytų kriterijų. Lietuvoje esminiai ir svarbūs subjektai įtraukiami į Kibernetinio saugumo subjektų registrą.
Kuo NIS2 skiriasi nuo ISO 27001?
NIS2 reikalavimai Lietuvoje įgyvendinami per teisės aktus ir yra privalomi į jų taikymo sritį patenkantiems subjektams. ISO/IEC 27001 yra sertifikuojamas informacijos saugumo vadybos sistemos standartas. ISO 27001 vadybos sistema gali padėti įgyvendinti dalį kibernetinio saugumo reikalavimų, tačiau jos nepakanka visiems NIS2 ir Kibernetinio saugumo įstatymo reikalavimams įgyvendinti.
Ar organizacijai būtinas rizikų vertinimas?
Taip, kibernetinio saugumo rizikų vertinimas yra svarbi reikalavimų įgyvendinimo dalis. Lietuvoje NKSC taip pat numato pareigą pateikti rizikos vertinimo metu nustatytus apibendrintus rezultatus į Kibernetinio saugumo informacinę sistemą pagal taikomą tvarką.
Kiek laiko turime reikalavimams įgyvendinti?
Pereinamasis laikotarpis skaičiuojamas nuo organizacijos įtraukimo į Kibernetinio saugumo subjektų registrą. NKSC nurodo, kad organizaciniams reikalavimams įgyvendinti numatyta 12 mėnesių, o atitinkamiems techniniams reikalavimams – 24 mėnesiai.
Ar vadovybei taikomos atskiros pareigos?
Taip. Kibernetinio saugumo valdymas nėra vien IT padalinio atsakomybė. NIS2 nustato valdymo organų atsakomybės ir mokymų reikalavimus, todėl vadovybė turi suprasti organizacijos kibernetines rizikas ir jų valdymo priemones.
Kas prižiūri reikalavimų įgyvendinimą Lietuvoje?
Kibernetinio saugumo įstatymo ir jį įgyvendinančių teisės aktų priežiūrą Lietuvoje vykdo Nacionalinis kibernetinio saugumo centras prie Krašto apsaugos ministerijos.
Norite įvertinti pasirengimą NIS2 reikalavimams?
Trumpai papasakokite apie savo organizaciją ir esamą kibernetinio saugumo situaciją. Įvertinsime taikomus reikalavimus, pagrindines spragas ir nuo ko tikslinga pradėti.