2014-06-25 Nr. XIIP-1936 Vilnius Vertinant projekto atitiktį Konstitucijai, galiojantiems įstatymams ir juridinės technikos taisyklėms, teikiame šias pastabas:
punkte prie žodžius „teisės aktų“ įrašytinas žodis „kitų“. Taip pat atkreiptinas dėmesys, kad nėra aiškus šio punkto formuluotės „įstatymų bei teisės aktų nuostatos vienodai vertinamos tiek fiziniame, tiek skaitmeniniame pasaulyje“ turinys. Pažymėtina, kad formuluotė „teisės normų vertinimas“ neturi jokio teisinio krūvio, nes teisės vertinimas nėra teisės realizavimo forma. 2. Atsižvelgiant į projekto 7 straipsnyje numatytus Vidaus reikalų ministerijos įgaliojimus kibernetinio saugumo srityje siūlytina Vidaus reikalų ministeriją įrašyti į projekto 4 straipsnio 3 dalyje numatytą kibernetinio saugumo politiką įgyvendinančių institucijų sąrašą. 3. Siekiant projekto terminijos suderinamumo tarpusavyje, projekto 6 straipsnio 1 punkte po žodžio
„rengia“ įrašytini žodžiai „ir teikia Vyriausybei tvirtinti“. 4. Siekiant teisinio aiškumo
bei atsižvelgiant į projekto aiškinamąjį raštą, kuriame nurodoma, kad Nacionalinio kibernetinio saugumo centro funkcijas vykdys naujai įsteigta valstybės įstaiga, siūlome projekto 10 straipsnio 1 dalyje po žodžio „vykdo“ įrašyti žodžius „šio įstatymo pagrindu įsteigta“. Taip pat siūlome papildyti projekto 21 straipsnio 2 dalį, nurodant, kad Vyriausybė iki įstatymo įsigaliojimo priima Nacionalinio kibernetinio saugumo centro funkcijas vykdysiančios biudžetinės įstaigos steigimui ir veiklai reikalingus teisės aktus. Neaiškumą įtakoja ir tai, kad kai kuriose projekto nuostatose įstaiga įvardijama konkrečiai – Nacionalinis kibernetinio saugumo centras, tuo tarpu minimoje projekto 10 straipsnio 1 dalyje nustatoma, kad nacionalinio kibernetinio saugumo centro funkcijas vykdo įstaiga prie Krašto apsaugos ministerijos. 5.
5Siekiant teisinio aiškumo,
projekto siūlome apibrėžti 12 straipsnio 3 punkte minimos „viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų, elektroninės informacijos prieglobos paslaugų suteikimo vietos“ nustatymo kriterijus. 6. Projekto 12 straipsnio 3 punkte numatyta Policijos departamento teisė duoti nurodymus apriboti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų ir elektroninės informacijos prieglobos paslaugų teikimą paslaugos gavėjui, kai paslaugos gavėjas ar jo naudojama informacinė ir ryšių technologijų įranga dalyvauja nusikalstamoje veikoje vertintina kaip procesinė prievartos priemonė, taikytina tiriant nusikalstamas veikas. Atsižvelgiant į tai, ji turėtų būti reglamentuota kartu su kitomis procesinėmis prievartos priemonėmis Lietuvos Respublikos baudžiamojo proceso kodekse. Teisės departamento direktorius Andrius Kabišaitis E. Mušinskis D. Valatkevičius
2014-12-02 Nr. XIIP-1936(2) Vilnius Vertinant projekto atitiktį Konstitucijai, galiojantiems įstatymams ir teisės technikos taisyklėms, teikiame šias pastabas:
dalyje brauktini pertekliniai žodžiai „Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymas“. 2. Projekto 2 straipsnio 2 dalyje nėra aiškus formuluotės „valstybės subjektas“ turinys. Galbūt tikslinga būtų vartoti teisės aktuose vartotiną terminą „viešasis subjektas“. 3. Projekto 10 straipsnio 1 dalyje reikia nurodyti subjektą, įgaliotą nustatyti nacionalinio kibernetinio saugumo centro funkcijas vykdysiančią įstaigą prie Krašto apsaugos ministerijos. 4. Siekiant teisinio aiškumo, projekto 10 straipsnio 2 dalies 10 punkte reikėtų atskleisti nacionalinio kibernetinio saugumo centro reakcijos į kibernetinius incidentus valstybės informaciniuose ištekliuose turinį, t.y. nėra aišku, kaip pasireikštų šios įstaigos reagavimas į minėtus incidentus. 5. Nėra pakankamai aišku, ką pagal projekto 10 straipsnio 3 dalies 1 punktą turėtų reguliuoti „krašto apsaugos ministro nustatyta tvarka“. Pažymėtina, kad projekto 6 straipsnyje tokia tvarka nėra minima. 6. Turėtų būti patikslinta projekto 10 straipsnio 3 dalies punktų numeracija (praleistas 9 punktas). 7. Projekto 11 straipsnio 3 punkte vietoj žodžio „tvarką“ įrašytini žodžiai „tvarkos aprašą“. 8.
punkte numatoma teisė policijai teisės pažeidimų, galimai turinčių nusikalstamos veikos požymių, užkardymo ir tyrimo tikslais duoti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų ar elektroninės informacijos prieglobos paslaugų teikėjams motyvuotus nurodymus laikinai, bet ne ilgiau kaip 90 dienų, išsaugoti informaciją, susijusią su jų paslaugų abonentais, iš kurios galima nustatyti: naudotos ryšio paslaugos tipą, taikytas technines priemones ir naudojimo laiką, abonento tapatybę, pašto ar geografinės padėties adresą, telefono ir bet kokį kitą prieigos numerį, taip pat išsaugoti informaciją apie sąskaitas ir atliktus mokėjimus, gaunamą paslaugos sutarties arba susitarimo pagrindu, ir bet kurią kitą informaciją ryšių aparatūros įrengimo vietoje, turimą pagal paslaugos sutartį arba susitarimą (abonentinę informaciją), taip pat elektroninius duomenis, įskaitant srauto duomenis ir
(ar) turinį. Šio straipsnio 2 punkto formuluotė suponuoja, kad informacijos, reikalingos kibernetiniams incidentams, galimai turintiems nusikalstamos veikos požymių, užkardyti ir tirti, pateikimo tvarką nustatys policija. Analizuojant šias nuostatas tarpusavyje, galima daryti išvadą, kad policijos nustatytoje tvarkoje bus reguliuojamas ir 1 straipsnio punkte numatytos informacijos pateikimas. Nors 12 straipsnio 5 punkte numatyta, kad iš paslaugų teikėjų jų tvarkoma abonentinė informacija ir (ar) srauto duomenys bus gaunami pagal motyvuotą nurodymą, galima preziumuoti, kad visa apimtimi šios informacijos teikimo policijai procedūra bus numatyta būtent policijos nustatytoje tvarkoje. Pažymėtina, kad pagal Kriminalinės žvalgybos įstatymo 9 ir 10 straipsnių, Baudžiamojo proceso kodekso 154 straipsnio nuostatas, norint gauti informaciją apie elektroninių ryšių paslaugų naudotojų srauto duomenis, kontroliuoti elektroninių ryšių tinklais perduodamą informaciją ir ją fiksuoti bei kaupti yra būtina teismo sankcija.
Konstitucijos 22 straipsnio 3 dalis numato, kad informacija apie privatų asmens gyvenimą gali būti renkama tik motyvuotu teismo sprendimu ir tik pagal įstatymą. Atsižvelgiant į išdėstyta ir tai, kad pagal projekto 12 straipsnio 1 punkto nuostatas informacija apie privatų asmens gyvenimą (elektroninių ryšių paslaugų naudotojų srauto ir turinio duomenys) bus nurodoma išsaugoti be teismo sankcijos, o informacijos pateikimo tvarka bus nustatyta poįstatyminiais teisės aktais, manome, kad minėtos nuostatos nesiderina su konstituciniais teisinės valstybės bei privataus gyvenimo apsaugos principais. 9. Projekto 12 straipsnio 1 pastraipa derintina su šio straipsnio 2 punkto formuluote (reikėtų atsisakyti tautologinių formuluočių „Policija, policijos generalinio komisaro nustatyta tvarka, turi teisę <...> nustatyti informacijos pateikimo tvarką“). 10. Siekiant teisinio aiškumo, projekto 12 straipsnio 3 punkte reikėtų tikslinti formuluotės „paslaugos teikėjo vieta“ turinį, nes nėra aišku, ar turima omenyje, juridinio asmens, teikiančio informacinės visuomenės paslaugas, buveinės vieta, ar, vis dėlto, turima omenyje, faktinė paslaugų teikėjo, t.y. jo įrangos, užtikrinančios šių paslaugų teikimą, buvimo vieta. 11.
punkte numatoma teisė policijai duoti motyvuotus nurodymus viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams, elektroninės informacijos prieglobos paslaugų teikėjams laikinai apriboti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų ir elektroninės informacijos prieglobos paslaugų teikimą paslaugų gavėjui, kai paslaugų gavėjas ar jo naudojama informacinė ir ryšių technologijų įranga galbūt dalyvauja nusikalstamoje veikoje. Svarstytina, ar ši nuostata ta apimtimi, kad paslaugų teikimas gali būti apribotas paslaugų gavėjams, kurie ar jų naudojama įranga tik galbūt dalyvauja nusikalstamoje veikoje, atitinka proporcingumo reikalavimus. 12. Projekto 15 straipsnio 4 punkte ir 16 straipsnio 4 punkte žodžiai „ne ilgiau“ keistini žodžiais „ne vėliau“. Taip pat pažymėtina, kad panašaus pobūdžio teisę (duoti motyvuotą nurodymą viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams laikinai apriboti paslaugų teikimą) pagal projekto 10 straipsnio 3 dalies 6 punktą turės ir Nacionalinis kibernetinio saugumo centras, tačiau analogiškų nuostatų dėl nurodymo įvykdymo laiko projekte nenumatoma. 13. Atsižvelgiant į tai, kad ministerijos kompetencijai priklausančius klausimus sprendžia bei privalomos galios administracinius aktus (įsakymus) kaip valstybės pareigūnas tvirtina ministras, o ne ministerija, teikiamo projekto 20 straipsnio 2 dalyje vietoj žodžio “ministerija” įrašytinas žodis “ministras“. 14. Atsižvelgiant į tai, kad iki įstatymo įsigaliojimo Nacionalinio kibernetinio saugumo centro funkcijas vykdysianti įstaiga turės parengti įstatymo įgyvendinamuosius teisės aktus, svarstytina, ar projekto 20 straipsnis neturėtų būti papildytas nuostata, kad iki šio įstatymo įsigaliojimo turi būti pavesta ir atitinkamai institucija vykdyti Nacionalinio kibernetinio saugumo centro funkcijas. Teisės departamento direktorius Andrius Kabišaitis D. Valatkevičius E. Mušinskis
VISUOMENĖS PLĖTROS komitetaS
DĖL
1Komiteto posėdyje dalyvavo:
Komiteto pirmininkas Mindaugas Bastys, Komiteto nariai: Viktoras Fiodorovas, Sergejus Jovaiša, Irena Šiaulienė, Pranas Žeimys, Komiteto biuro vedėjas Vidas Ramanavičius, biuro patarėjos Rita Beinorienė, Irina Jurkšuvienė, biuro padėjėja Lina Giriūnienė. Kviestieji asmenys: Vidaus reikalų viceministras Elvinas Jankevičius, Ryšių reguliavimo tarnybos atstovė Gintarė Lapkauskienė, Vidaus reikalų ministerijos atstovas Adomas Puidokas, Lietuvos kriminalinės policijos biuro atstovas Darius Žvironas, asociacijos „Infobalt“ atstovas Darius Štitilis. 2. Ekspertų, konsultantų, specialistų išvados, pasiūlymai, pataisos, pastabos :
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę Str. Str. d. P. 1. Seimo kanceliarijos Teisės departamentas 2014-06-25 Vertinant projekto atitiktį Konstitucijai, galiojantiems įstatymams ir juridinės technikos taisyklėms, teikiame šias pastabas:
straipsnio 1 punkte prie žodžius „teisės aktų“ įrašytinas žodis „kitų“. Taip pat atkreiptinas dėmesys, kad nėra aiškus šio punkto formuluotės
„įstatymų bei teisės aktų nuostatos vienodai vertinamos tiek fiziniame, tiek
skaitmeniniame pasaulyje“ turinys. Pažymėtina, kad formuluotė „teisės normų vertinimas“ neturi jokio teisinio krūvio, nes teisės vertinimas nėra teisės realizavimo forma. Pritarti Įstatymo projekto 2 str. 1 dalį dėstyti taip:
„1) kibernetinės erdvės nediskriminavimo –
įstatymų bei kitų teisės aktų nuostatos bei saugomi gėriai vienodai vertinami tiek fiziniame, tiek skaitmeniniame pasaulyje;“
2014-06-25 2.
Atsižvelgiant į projekto 7 straipsnyje numatytus Vidaus reikalų ministerijos įgaliojimus kibernetinio saugumo srityje siūlytina Vidaus reikalų ministeriją įrašyti į projekto 4 straipsnio 3 dalyje numatytą kibernetinio saugumo politiką įgyvendinančių institucijų sąrašą. Nepritarti Argumentai: Įstatymo projekte nustatytos VRM funkcijos yra priskiriamos prie kibernetinio saugumo politikos formavimo, o ne prie politikos įgyvendinimo, todėl manome, kad nėra tikslinga VRM priskirti prie kibernetinio saugumo politiką įgyvendinančių institucijų, nes ministerija tiesiogiai neįgyvendina politikos. 3. Seimo kanceliarijos Teisės departamentas
tvirtinti“. Pritarti Įstatymo projekto 6 str. 1 p. dėstyti taip: „1) rengia ir teikia Vyriausybei tvirtinti organizacinius ir techninius kibernetinio saugumo reikalavimus ypatingos svarbos informacinei infrastruktūrai ir organizacinius ir techninius kibernetinio saugumo reikalavimus valstybės informaciniams ištekliams;“
teisinio aiškumo bei atsižvelgiant į projekto aiškinamąjį raštą, kuriame nurodoma, kad Nacionalinio kibernetinio saugumo centro funkcijas vykdys naujai įsteigta valstybės įstaiga, siūlome projekto 10 straipsnio 1 dalyje po žodžio „vykdo“ įrašyti žodžius „šio įstatymo pagrindu įsteigta“. Taip pat siūlome papildyti projekto 21 straipsnio 2 dalį, nurodant, kad Vyriausybė iki įstatymo įsigaliojimo priima Nacionalinio kibernetinio saugumo centro funkcijas vykdysiančios biudžetinės įstaigos steigimui ir veiklai reikalingus teisės aktus.
Neaiškumą įtakoja ir tai, kad kai kuriose projekto nuostatose įstaiga įvardijama konkrečiai – Nacionalinis kibernetinio saugumo centras, tuo tarpu minimoje projekto 10 straipsnio 1 dalyje nustatoma, kad nacionalinio kibernetinio saugumo centro funkcijas vykdo įstaiga prie Krašto apsaugos ministerijos. Nepritarti Argumentai: Įstatymo projekto 10 str. 1 d. nustato Nacionalinio kibernetinio saugumo centro teisinę formą. Siūloma formuluotė „funkcijas vykdo įstaiga prie KAM“ palieka KAM ministrui diskrecijos teisę vadovaujantis įstatymo nuostatomis ir atsižvelgiant į turimus bei planuojamus resursus bei siekiant viešojo administravimo efektyvumo principo, arba įsteigti naują įstaigą prie KAM, arba pertvarkyti jau veikiančias įstaigas taip, kad tinkamai būtų atliekamos NKSC funkcijos. Kitose projekto nuostatose vartojamas NKSC pavadinimas nesietinas su 10 str. nustatyta jo teisine forma, jis sietinas su NKSC (nepriklausomai nuo to, ar centras bus įsteigtas kaip atskira įstaiga, ar kaip kitos įstaigos struktūrinis padalinys) įstatymo projektu nustatomais įgaliojimais, teisėmis ir pareigomis. Siūlytina patikslinti aiškinamąjį raštą, nurodant, kad Nacionalinio kibernetinio saugumo centro funkcijas atliks įstaiga prie KAM ir paliekant KAM ministrui galimybę apsispręsti dėl centro juridinio statuso atsižvelgiant į turimus resursus ir poreikį. 5. Seimo kanceliarijos Teisės departamentas
teisinio aiškumo, projekto siūlome apibrėžti 12 straipsnio 3 punkte minimos
„viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų,
elektroninės informacijos prieglobos paslaugų suteikimo vietos“ nustatymo kriterijus. Pritarti Įstatymo projekto 12 str.
3 p. dėstyti taip: „3) duoda nurodymus viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams, elektroninės informacijos prieglobos paslaugų teikėjams laikinai (ne ilgiau kaip 48 val. be teismo sankcijos, ilgesniam laikui – su paslaugos suteikimo vietos (paslaugos gavėjo vietos) apylinkės teismo sankcija) apriboti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų ir elektroninės informacijos prieglobos paslaugų teikimą paslaugos gavėjui, kai paslaugos gavėjas ar jo naudojama informacinė ir ryšių technologijų įranga dalyvauja nusikalstamoje veikoje, ir (ar) nurodo viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjui taikyti priemones, šalinančias teisės pažeidimų kibernetinėje erdvėje ir nusikalstamų veikų priežastis;“
straipsnio 3 punkte numatyta Policijos departamento teisė duoti nurodymus apriboti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų ir elektroninės informacijos prieglobos paslaugų teikimą paslaugos gavėjui, kai paslaugos gavėjas ar jo naudojama informacinė ir ryšių technologijų įranga dalyvauja nusikalstamoje veikoje vertintina kaip procesinė prievartos priemonė, taikytina tiriant nusikalstamas veikas. Atsižvelgiant į tai, ji turėtų būti reglamentuota kartu su kitomis procesinėmis prievartos priemonėmis Lietuvos Respublikos baudžiamojo proceso kodekse. Pritarti
ir kitų suinteresuotų asmenų pasiūlymai: Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę Str. Str. d. P. 1. Asociacija „INFOBALT“ 2014-10-06 Infobalt nuomone parengtas ir Seimui teikiamas įstatymo projektas kibernetinį saugumą apibrėžia per siaurai.
Esamu projektu nustatomos tik kibernetinio saugumo politiką formuojančios institucijos, jų teisės ir pareigos, bei kibernetinio saugumo dalyvių atsakomybė, tačiau nesukuriama aiški kibernetinės erdvės saugumo sistema: politika bei apsaugos priemonės. Projektas nenustato kaip konkrečiai yra vykdoma kibernetinės erdvės apsauga ir nesuteikia koordinuojančiai institucijai – Kibernetinio saugumo centrui pakankamai galių. Taip pat įstatymu valstybė negarantuoja pagalbos ir nenumato galimybių piliečių ir verslo įmonių gynimui. Viena reikšmingiausių kibernetinio saugumo sudedamųjų dalių – ypatingos svarbos informacinė infrastruktūra, apibrėžiama taip, kad priėmus įstatymą verslo sektoriaus valdoma šalies kritinė infrastruktūra gali būti ir neginama. Projektas yra orientuotas į valstybinio sektoriaus organizacijų ir valstybinių kritinių infostruktūrų valdomos skaitmeninės erdvės gynimą. Tuo tarpu valstybei priklausančių informacinių išteklių struktūra yra kompleksinė – joje didelę dalį funkcijų vykdo ir privačios struktūros, taip pat kai kurios kritinės infrastruktūros yra valdomos išimtinai privataus sektoriaus (pvz. finansų). Įstatymo projektas numato teisę valstybei įrengti techninę įrangą įvairių subjektų infrastruktūroje. Tačiau niekaip nedetalizuoja kaip nustatomas techninių kibernetinio saugumo priemonių poreikis ir kokia tvarka vadovaujantis bei kieno lėšomis įranga diegiama. Taip pat, neužtikrina, kad valstybės įrengtos techninės priemonės nesukurs kliūčių verslo procesams ir tinkamų verslo paslaugų teikimui. Įstatymo projektas kuria naujas biurokratines procedūras – kibernetinių incidentų atveju proceso dalyviams numatoma pareiga teikti informaciją ir ataskaitas Nacionaliniam kibernetinio saugumo centrui, Ryšių reguliavimo tarybai, Valstybinei duomenų apsaugos inspekcijai bei Policijos departamentui.
Vieno langelio principo įtvirtinimas užtikrintų, kad informaciją Nacionalinis kibernetinio saugumo centras turi gauti tiesiogiai iš subjektų, o ne per tarpines institucijas. Įstatymu siekiama įtvirtinti viešųjų elektroninių ryšių duomenų srautų mainų sistema kelia rimtas dvejones dėl šios sistemos tikslų ir naudos kibernetiniam saugumui. Elektroninių ryšių paslaugų teikėjai, jau šiuo metu sėkmingai keičiasi elektroninių ryšių duomenų srautais. Infobalt tikisi, kad bus atsižvelgta į konsoliduotą informacinių ir ryšių technologijų praktikų nuomonę ir pateikia konkrečius siūlymus įstatymo tobulinimui. 1. Papildyti Projekto 1 straipsnio 1 dalį ir ją išdėstyti taip:
„1. Šis įstatymas nustato kibernetinio saugumo sistemos organizavimą, valdymą
ir kontrolę, apibrėžia kibernetinio saugumo politiką formuojančias ir įgyvendinančias institucijas, jų kompetenciją, funkcijas, teises ir pareigas, valstybės informacinių išteklių valdytojų ir (arba) tvarkytojų, ypatingos svarbos informacinės infrastruktūros valdytojų, viešųjų ryšių tinklų ir
(arba) viešųjų elektroninių ryšių paslaugų teikėjų ir elektroninės informacijos prieglobos paslaugų teikėjų pareigas bei atsakomybę ir kibernetinio saugumo užtikrinimo priemones.”. Pritarti
išdėstyti taip: „2.
Šis įstatymas jame nustatytomis sąlygomis ir apimtimi taikomas valstybės institucijoms, formuojančioms ir įgyvendinančioms kibernetinio saugumo politiką, taip pat viešojo administravimo subjektams, valdantiems ir (arba) tvarkantiems valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams ir elektroninės informacijos prieglobos paslaugų teikėjams, informacinių technologijų srityje veiklą vykdančių verslo subjektams, mokslo ir studijų institucijoms
išdėstyti taip:
„3. Šis įstatymas taikomas tiek, kiek šiame
įstatyme reglamentuojamų visuomeninių santykių nereglamentuoja Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas, Lietuvos Respublikos elektroninių ryšių įstatymas, ir Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymas ir Nacionalinio saugumo pagrindų įstatymas.“. Pritarti
jį išdėstyti taip: „4) vieno langelio
Nepritarti Argumentai: Įvertinę vis didėjančią įvairios informacijos ir ataskaitų teikimo skirtingais būdais ir formatais naštą tiek privataus, tiek valstybinio sektoriaus paslaugų teikėjams, suprantame, kad problema turi būti sprendžiama ir prašome Vyriausybės pateikti atitinkamų teisės aktų pataisas. Manome, kad KSĮ projektas yra labai svarbus ir priimtas be šios pataisos galėtų būti pradėtas įgyvendinti, kad ir ne visai efektyviai. Vyriausybės parengtos reikiamos įstatymų pataisos dėl vieningo kontaktinio centro informacijos mainams galėtų būti priimtos skubos tvarka ir pradėtos įgyvendinti vėliau nei įsigalios KSĮ. 5. Asociacija „INFOBALT“
išdėstyti taip:
„2. Ypatingos svarbos informacinė infrastruktūra –
elektroninių ryšių tinklas, informacinė sistema ar pramoninių procesų valdymo sistema, nepriklausomai nuo to, ar jos valdytojas yra privatus ar valstybės subjektas, kuriuose įvykęs kibernetinis incidentas gali padaryti didelę žalą nacionaliniam saugumui, šalies ūkiui, valstybės ir visuomenės interesams.“. Pritarti
straipsnio dalių numeraciją: „7. Viešųjų elektroninių ryšių duomenų srautų mainų sistema – techninė infrastruktūra, prie kurios prisijungę viešųjų elektroninių ryšių duomenų srautų mainų dalyviai (viešųjų, žinybinių ir tarpžinybinių ryšių tinklai) gali tiesiogiai keistis viešųjų elektroninių ryšių duomenų srautais.“. Pritarti Argumentai:
Pritariame išbraukimui, nes ši nuostata yra perteklinė, nes jos dalykas yra reguliuojamas Valstybės informacinių išteklių valdymo įstatymu. 7. Asociacija „INFOBALT“
išdėstyti taip: „4.
Kibernetinį saugumą ir atsparumą užtikrina ir reagavimą į kibernetinius incidentus, vykdo Nacionalinis kibernetinio saugumo centras. Kiti kibernetinio saugumo dalyviai padeda Nacionaliniam kibernetinio saugumo centrui vykdyti reagavimą į kibernetinius incidentus.“. Nepritarti Argumentai: Žr. argumentus asociacijos „Infobalt“ 4 siūlymui. 8. Asociacija „INFOBALT“
straipsnio dalių numeraciją ir šį straipsnį išdėstyti taip:
„7 straipsnis. Vidaus reikalų ministerijos
įgaliojimai kibernetinio saugumo srityje Vidaus reikalų ministerija:
1) rengia ir teikia Vyriausybei tvirtinti ypatingos svarbos informacinės infrastruktūros identifikavimo metodiką ir sąrašą;
2) steigia, valdo viešųjų elektroninių ryšių duomenų srautų mainų sistemą;
3) rengia ir tvirtina viešųjų elektroninių ryšių duomenų srautų mainų sistemos paslaugų teikimo tvarkos aprašą; 4)2) atlieka kitas Lietuvos Respublikos teisės aktų numatytas funkcijas kibernetinio saugumo užtikrinimo srityje.“. Pritarti Argumentai: Žr. argumentus asociacijos „Infobalt“ 6 siūlymui. 9. Asociacija „INFOBALT“
išdėstyti taip:
„1. Kibernetinio saugumo taryba yra nuolatinė
kolegiali institucija, analizuojanti kibernetinio saugumo užtikrinimo būklę Lietuvos Respublikoje ir teikianti pasiūlymus kibernetinio saugumo dalyviams dėl šios būklės gerinimo. Kibernetinio saugumo taryba yra sudaroma iš kibernetinio saugumo politiką formuojančių ir įgyvendinančių valstybės institucijų, informacinių technologijų srityje veiklą vykdančių verslo subjektų atstovų, mokslo ir studijų institucijų atstovų, ypatingos svarbos informacinės infrastruktūros valdytojų, viešųjų ryšių tinklų ir
(arba) viešųjų elektroninių ryšių paslaugų teikėjų, elektroninės informacijos prieglobos paslaugų teikėjų atstovų, o prireikus ir kitų asmenų.“. Pritarti 10.
punktą ir jį išdėstyti taip: „10) reaguoja į kibernetinius incidentus, nukreiptus į ypatingos svarbos informacinę infrastruktūrą bei atlieka kitas Lietuvos Respublikos teisės aktų numatytas funkcijas kibernetinio saugumo užtikrinimo srityje.“. Pritarti iš dalies Siūlome pritarti iš dalies ir nuostatą formuluoti taip:
„10) reaguoja į kibernetinius incidentus valstybės informaciniuose
ištekliuose ir ypatingos svarbos informacinėse infrastruktūrose;
11) atlieka kitas Lietuvos Respublikos teisės aktų numatytas funkcijas kibernetinio saugumo užtikrinimo srityje.“
punktą ir jį išdėstyti taip:
„10) kartu su verslo subjektais, mokslo ir
studijų institucijomis ir kibernetinio saugumo dalyviais plėtoti bendrus kibernetinio saugumo projektus.“. Pritarti
Projekto straipsnių numeraciją ir šį straipsnį išdėstyti taip:
„13 straipsnis. Techninių kibernetinio saugumo
priemonių valstybės informaciniuose ištekliuose ir ypatingos svarbos informacinėse infrastruktūrose diegimas ir valdymas
valdyti Nacionalinio kibernetinio saugumo centro technines kibernetinio saugumo priemones, naudojamas išimtinai tik kibernetiniam saugumui užtikrinti, valstybės informaciniuose ištekliuose ar ypatingos svarbos informacinėje infrastruktūroje pagal su valstybės informacinių išteklių valdytojais ar ypatingos svarbos informacinės infrastruktūros valdytojais suderintą diegimo planą. 2. Nacionalinio kibernetinio saugumo centro techninės kibernetinio saugumo priemonės diegiamos Nacionalinio kibernetinio saugumo centro lėšomis.
Įdiegtų Nacionalinio kibernetinio saugumo centro techninių kibernetinio saugumo priemonių eksploatacijos išlaidas (vietos techninėms kibernetinio saugumo priemonėms diegti paruošimas ir pritaikymas, elektros energija, šildymas, vėdinimas, patalpų išlaikymas ir pan., išskyrus Nacionalinio kibernetinio saugumo centro techninės kibernetinio saugumo priemonių nusidėvėjimas, techninis aptarnavimas) ir išlaidas, patirtas sudarant kitas sąlygas Nacionalinio kibernetinio saugumo centro techninių kibernetinio saugumo priemonių diegimui, padengia valstybės informacinių išteklių ar ypatingos svarbos informacinės infrastruktūros valdytojas, kurio valdomus valstybės informacinius išteklius ar ypatingos svarbos informacinę infrastruktūrą siekiama apsaugoti. 3. Nacionaliniam kibernetinio saugumo centrui priklausančios techninės kibernetinio saugumo priemonės diegiamos ir valdomos valstybės informaciniuose ištekliuose ir ypatingos svarbos informacinėse infrastruktūrose krašto apsaugos ministro nustatyta tvarka.”. Pritarti
straipsniu, atitinkamai pakeisti Projekto skyrių ir straipsnių numeraciją ir juos išdėstyti taip: „III
erdvės saugumo užtikrinimas ir reagavimo į kibernetinius incidentus vykdymas
kibernetinio incidento atveju, Nacionalinis kibernetinio saugumo centras privalo būti pasirengęs greitam ir tinkamam reagavimui, gerai sąveikai su kitais asmenimis ir viešojo administravimo subjektais netikėto. Didžiausias dėmesys didelio mąsto kibernetinio incidento atveju skiriamas ypatingos svarbos informacinės infrastruktūros apsaugai. 2.
saugumo centras, užtikrindamas kibernetinės erdvės sauugmą ir reaguodamas į kibernetinius incidentus, ypatingą reikšmę skiria žvalgybai, informacijos analizei ir veiksmingam operatyviam vadovavimui. 3. Nacionalinio kibernetinio saugumo centras užtikrina kibernetinės erdvės saugumą ir atsparumą veikdamas savarankiškai ir kartu su kitomis institucijomis. 4. Vykdydamas kibernetinės erdvės apsaugą Nacionalinis kibernetinio saugumo centras privalo vykdyti jau esamų bei naujų jungčių, jungiančių kibernetinę erdvę su išorės (kitų šalių, regionų) erdvėmis, sertifikavimą bei periodinę kontrolę. 5. Vykdydamas kibernetinės erdvės apsaugą Nacionalinis kibernetinio saugumo centras privalo vykdyti jau esamų bei naujų jungčių, jungiančių kibernetinę erdvę su išorės (kitų šalių, regionų) erdvėmis, sertifikavimą bei periodinę kontrolę.“ Nepritarti Argumentai:
Nacionalinis kibernetinio saugumo centro funkcijos, tiesės ir pareigos yra nustatytos svarstomo įstatymo projekto 10 straipsnyje. Nustačius, kad kažkokia funkcija, teisė ar pareiga nėra numatyta tinkamai, turėtų būti koreguojamas, pildomas, tikslinamas šis 10 straipsnis. 14. Asociacija „INFOBALT“
Projekto straipsnių numeraciją ir šį straipsnį išdėstyti taip: „16 straipsnis. Informacijos, sudarančios paslaptį, gautos vykdant įstatymą apsauga
1Paslaptį sudarančios informacijos detalius sąrašus tvirtina Nacionalinio kibernetinio saugumo centro vadovas. Valstybės ir tarnybos paslaptis sudarančios informacijos detalūs sąrašai tvirtinami ir keičiami Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymo nustatyta tvarka. 2. Paslaptį sudaranti
informacija, gauta iš subjektų vykdant šį įstatymą, negali būti naudojama kitiems tikslams, skelbiama viešai, kam nors perduodama ar kitokiu būdu padaroma prieinama, išskyrus šiame įstatyme nustatytus atvejus. 3.
saugumo centras turi teisę gauti informaciją sudarančią paslaptį, kiek tai yra būtina užtikrinti kibernetinį saugumą. 4. Nacionalinio kibernetinio saugumo centro tarnautojai, darbuotojai bei kiti asmenys, kuriems suteikta teisė susipažinti su paslaptis sudarančia informacija arba kurie sužino ją be tokios teisės, privalo saugoti paslaptis sudarančią informaciją. Ši pareiga išlieka ir pasibaigus šių tarnautojų, darbuotojų darbo santykiams su Nacionaliniu kibernetiniu saugumo centru ar kitų asmenų bet kokiems kitiems ryšiams, susijusiems su Nacionaliniu kibernetiniu saugumo centru
informacija gali būti perduota:
1) Baudžiamojo proceso kodekse nustatytais pagrindais, jeigu ji reikalinga ikiteisminiam tyrimui atlikti ar baudžiamajai bylai teisme nagrinėti;
2) kitoms valstybės institucijoms, jei tokia informacija reikalinga jų funkcijoms, susijusioms su kibernetiniu saugumu, atlikti. 5. Nacionalinio kibernetinio saugumo centro vadovas tvirtina paslaptį sudarančios informacijos perdavimo šio straipsnio 4 dalyje nurodytoms institucijoms tvarką. Šio straipsnio 4 dalies 2 punkte nurodytoms institucijoms kibernetinio saugumo užtikrinimo tikslui gauta informacija gali būti perduodama, jei joms taikomi reikalavimai saugoti informaciją yra ne mažesni, negu numatyta šiame Įstatyme.“. Nepritarti Argumentai: šis siūlymas nėra šio teisės akto projekto dalykas. 15. Asociacija „INFOBALT“
15Papildyti Projekto 14 straipsnį nauja 4 dalimi,
atitinkamai pakeisti straipsnio dalių numeraciją, naują dalį išdėstyti taip: „4. Ypatingos svarbos informacinės infrastruktūros valdytojai privalo periodiškai testuoti kibernetinių incidentų valdymo planus, o testavimo rezultatus pateikti Nacionaliniam kibernetinio saugumo centrui.“. Pritarti iš dalies Pritarti iš dalies patikslinant formuluotę: „4.
Ypatingos svarbos informacinės infrastruktūros valdytojai privalo periodiškai išbandyti kibernetinių incidentų valdymo planus, o bandymų rezultatus pateikti Nacionaliniam kibernetinio saugumo centrui.“
16Papildyti Projekto 14 straipsnį nauja 7 dalimi:
„7. Ypatingos svarbos kritines infrastruktūras
valdantys subjektai kibernetinių incidentų prevencijos tikslu turi teisę be išankstinio asmens duomenų subjekto sutikimo bei tokio subjekto informavimo keistis tarpusavyje informacija apie kibernetiniam saugumui pavojų keliančius arba galinčius kelti asmenis, įskaitant perduoti ir gauti tokių asmenų asmens duomenis (vardą, pavardę, asmens kodą (jeigu asmens kodas nesuteiktas, asmens dokumento duomenis ir/arba gimimo datą), adresą, telefono ryšio numerį, IP adresą, taip pat bet kokius kitus jo duomenis, kurie padėtų šį asmenį identifikuoti, rasti kibernetinėje erdvėje).“. Nepritarti Argumentai:
Šiam tikslui pasiekti yra keičiamas asmens duomenų tvarkymą reglamentuojantis teisės aktas – Asmens duomenų teisinės apsaugos įstatymas. 17. Asociacija „INFOBALT“
dalis ir šį straipsnį išdėstyti taip: „15 straipsnis.
Viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjų pareigos Viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjai privalo:
1) viešai skelbti paslaugų gavėjams rekomendacijas apie priemones kibernetiniam saugumui užtikrinti naudojantis viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjų teikiamomis paslaugomis;
2) teikti Ryšių reguliavimo tarnybai Nacionaliniam kibernetinio saugumo centrui informaciją apie nacionaliniame kibernetinių incidentų valdymo plane nustatytus kibernetinius incidentus, nukreiptus prieš ypatingos svarbos informacinę infrastruktūrą, ir taikytas šių incidentų valdymo priemones bei techninę informaciją, reikalingą vertinti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų kibernetinio saugumo būseną, šios institucijos nustatyta tvarka ir sąlygomis;
3) teikti Valstybinei duomenų apsaugos inspekcijai informaciją apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones šios institucijos nustatyta tvarka ir sąlygomis;
informaciją, reikalingą kibernetinių incidentų, turinčių nusikalstamos veikos požymių, prevencijai ir tyrimui, Policijos departamento nustatyta tvarka ir sąlygomis;
5) 4) paskirti kompetentingą asmenį ar padalinį, atsakingą už kibernetinio saugumo organizavimą ir užtikrinimą, bei Ryšių reguliavimo tarnybai Nacionaliniam kibernetinio saugumo centrui pateikti paskirto asmens ar padalinio kontaktinę informaciją.“. Nepritarti Argumentai: Žr. argumentus asociacijos „Infobalt“ 4 siūlymui. 18. Asociacija „INFOBALT“
šį straipsnį išdėstyti taip: „16 straipsnis.
Elektroninės informacijos prieglobos paslaugų teikėjų pareigos Elektroninės informacijos prieglobos paslaugų teikėjai privalo:
1) įgyvendinti kibernetinio saugumo užtikrinimo technines ir organizacines priemones, nustatytas Ryšių reguliavimo tarnybos, kiek tai susiję su jų teikiamomis paslaugomis, prireikus kartu su viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjais imtis reikiamų priemonių kibernetiniam saugumui užtikrinti;
2) viešai skelbti elektroninės informacijos prieglobos paslaugų gavėjams rekomendacijas apie priemones kibernetiniam saugumui užtikrinti naudojantis elektroninės informacijos prieglobos paslaugomis;
3) teikti Ryšių reguliavimo tarnybai Nacionaliniam kibernetinio saugumo centrui informaciją apie nacionaliniame kibernetinių incidentų valdymo plane nustatytus kibernetinius incidentus, nukreiptus prieš ypatingos svarbos informacinę infrastruktūrą, ir taikytas šių incidentų valdymo priemones bei techninę informaciją, reikalingą vertinti elektroninės informacijos prieglobos paslaugų kibernetinio saugumo būseną, šios institucijos nustatyta tvarka ir sąlygomis;
4) teikti policijai informaciją, reikalingą kibernetinių incidentų, turinčių nusikalstamos veikos požymių, prevencijai ir tyrimui, Policijos departamento nustatyta tvarka ir sąlygomis;
5) paskirti kompetentingą asmenį ar padalinį, atsakingą už kibernetinio saugumo organizavimą ir užtikrinimą, bei Ryšių reguliavimo tarnybai Nacionaliniam kibernetinio saugumo centrui pateikti paskirto asmens ar padalinio kontaktinę informaciją.“. Nepritarti Argumentai: Žr. argumentus asociacijos „Infobalt“ 4 siūlymui. 19. Asociacija „INFOBALT“
19Išbraukti Projekto 19 straipsnį:
„19 straipsnis. Duomenų mainai tarp viešųjų
ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjų 1.
Viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjai, teikiantys paslaugas Lietuvos Respublikoje, gali savanoriškai prisijungti prie viešųjų elektroninių ryšių duomenų srautų mainų sistemos ir užtikrinti tarpusavio duomenų mainus su viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjais, teikiančiais paslaugas Lietuvos Respublikoje, viešųjų elektroninių ryšių duomenų srautų mainų sistemos nuostatuose nustatyta tvarka. 2. Kiti ūkio subjektai gali naudoti viešųjų elektroninių ryšių duomenų srautų mainų sistemą, jei jie atitinka viešųjų elektroninių ryšių duomenų srautų mainų sistemos paslaugų teikimo tvarkos apraše nustatytas sąlygas.“. Pritarti Argumentai:
Žr. argumentus asociacijos „Infobalt“ 6 siūlymui. 20. Asociacija „INFOBALT“
šį straipsnį išdėstyti taip: „1. Už šio įstatymo ar jį įgyvendinančių teisės aktų nustatytų reikalavimų pažeidimus atsakomybėn traukiami subjektai atsako Administracinių teisės pažeidimų kodekso nustatyta tvarka. viešųjų ryšių tinklų ir
(arba) viešųjų elektroninių ryšių paslaugų teikėjų, elektroninės informacijos prieglobos paslaugų teikėjų ir ypatingos svarbos informacinės infrastruktūros valdytojų administracijos vadovai atsako Administracinių teisės pažeidimų kodekso nustatyta tvarka, išskyrus šio straipsnio 2 dalyje nurodytus atvejus. 2. Viešųjų ryšių tinklų ir
(arba) viešųjų elektroninių ryšių paslaugų teikėjai, nevykdantys šio įstatymo
mutandis Lietuvos Respublikos elektroninių ryšių įstatymo 72 ir 74–76 straipsniuose nustatyta tvarka.“.
Nepritarti Argumentai: Kibernetinis incidentas apibrėžiamas per saugumo incidentą, apibrėžtą Elektroninių ryšių įstatyme, todėl atsakomybė numatoma Kibernetinio saugumo įstatymo projekte ir Elektroninių ryšių įstatyme turi būti analogiška. Taip pat, jeigu pažeidžiami el. ryšių veiklą reglamentuojantys teisės aktai, atsakomybė kyla pagal Elektroninių ryšių įstatymą, o ne pagal Administracinių teisės pažeidimų kodeksą. 21. Mykolo Romerio universitetas 2014-09-09 Siūlytina Projekte kibernetinės erdvės terminą pakeisti į elektroninės erdvės terminą (2 straipsnio 1, 2, 3 punktai, 3 straipsnio 3 dali ir kt.). Pastebėtina, kad elektroninės erdvės terminas sutinkamas ir kituose įstatymuose, pavyzdžiui, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo (Žin., 2011, Nr. 163-7739) 40 straipsnio 1 dalies 2 punkte, kuriame nurodoma, kad valstybės informacinių išteklių sąveikumo platformos tvarkytojas institucijoms teikia, be kita ko, tapatybės nustatymo elektroninėje erdvėje paslaugą. Be to, šiuo aspektu galima būtų atkreipti dėmesį ir į tai, kad Projekte vartojamas ne kibernetinės, o elektroninės informacijos terminas (pavyzdžiui, 3 straipsnio
gali būti apdorojama informacine sistema (toliau – IS). Atitinkamai, užtikrinant vienodą Projekto terminiją, siūlytina kibernetinės erdvės nediskriminavimo principą vadinti elektroninės erdvės nediskriminavimo principu, jo apibrėžime (2 straipsnio 1 punktas) skaitmeninio pasaulio terminą keisti į elektroninės erdvės terminą. Kadangi įstatymai ir yra teisės aktai, todėl netiksli šio principo apibrėžime vartojama formuluotė „įstatymų bei teisės aktų nuostatos“.
Tokiais atvejais tikslesnis būtų teisės normų terminas, kuris, apibrėžiant principus, vartojamas ir Lietuvos Respublikos elektroninių ryšių įstatymo (Žin., 2004, Nr. 69-2382) (toliau – Elektroninių ryšių įstatymas) 2 straipsnyje. Atsižvelgiant į tai, siūlytina elektroninės erdvės nediskriminavimo principą apibrėžti taip: „teisės normos ir saugomi gėriai vienodai vertinami tiek fizinėje, tiek elektroninėje erdvėje“. Nepritarti Argumentai:
Įstatymo projekte vartojama elektroninės informacijos sąvoka minint prieglobos paslaugų teikėjus, o daugiau visame tekste vartojami žodžiai kibernetinis. Terminas kibernetinė erdvė plačiai vartojamas ir tarptautiniuose dokumentuose, pvz. Kibernetinio saugumo strategija „Atvira, saugi ir patikima kibernetinė erdvė“, todėl siekiant nuoseklumo, reikėtų vartoti terminą kibernetinė erdvė. 22. Mykolo Romerio universitetas 2014-09-09 Svarstytina, ar nėra tikslinga kibernetinio saugumo proporcingumą (2 straipsnio 2 punktas) susieti ne tik su organizacinių ir techninių, bet taip pat su teisinių priemonių reikalavimų proporcingumu, t. y. numatyti, kad ir teisiniai saugumo reikalavimai neturi apriboti veiklos elektroninėje erdvėje dalyvių labiau, nei tai būtina. Tuo labiau, kad tiek organizaciniams ir techniniams reikalavimams diegti pirmiausia yra reikalingas teisinis pagrindimas. Pastebėtina, kad Projekte apibrėžiant kibernetinį saugumą, teisinės priemonės yra minimos atskirai šalia organizacinių ir techninių (3 straipsnio 5 dalis). Tokių teisinių priemonių pavyzdys galėtų būti Projekto 5 straipsnio 3 punkte nurodyti Lietuvos Respublikos Vyriausybės tvirtinami organizaciniai ir techniniai kibernetinio saugumo reikalavimai ypatingos svarbos informacinei infrastruktūrai. Pritarti žr. 1 IVPK pasiūlymą 23.
2014-09-09 Elektroninių ryšių įstatymo 2 straipsnyje, nurodžius elektroninių ryšių veiklos reguliavimo principus, skirtas dėmesys ir šių principų taikymo ypatumams – jų tarpusavio derinimui, jų taikymui atsižvelgiant į įstatymo paskirtį ir tikslus, draudimui teikti pirmenybę kažkuriam vienam iš jų ir pan. Svarstytina, ar panaši nuostata neturėtų būti numatyta ir
žr. 2 IVPK pasiūlymą
2014-09-09 1.1 Projekto 3 straipsnio 1 dalyje yra apibrėžiama elektroninės informacijos prieglobos paslauga. Atkreiptinas dėmesys į tai, kad informacinių technologijų srityje duomenų ir informacijos sąvokos nėra tapačios, šie terminai kaip sinonimai nevartotini. Duomenys virsta informacija kai tam tikram subjektui jie tampa suprantami, tuo tarpu elektroninėje erdvėje daugelis veiksmų yra atliekama būtent su duomenimis, o ne informacija (ypač tuomet kai duomenų apdorojime žmogus tiesiogiai nedalyvauja). Duomenų tvarkymas apima įvairius veiksmus: jų rinkimą, saugojimą, klasifikavimą, grupavimą, jungimą, naudojimą, logines ir (arba) aritmetines operacijas, paiešką, naikinimą ir pan. Kadangi akivaizdu, kad dalis šių veiksmų gali būti atliekami būtent su duomenimis, o ne informacija, todėl svarstytina, ar nėra tiksliau Projekto 3 straipsnio 1 dalyje kalbėti apie elektroninių duomenų prieglobos paslaugas ir elektroninių duomenų kūrimo ir tvarkymo priemones. Pritarti žr. 3 IVPK pasiūlymą
2014-09-09 Taip pat keistinas Projekto 3 dalyje minimas elektroninės informacijos terminas į elektroninių duomenų terminą. Pritarti žr. 3 IVPK pasiūlymą
2014-09-09 Lietuvos Respublikos Vyriausybės 2011 m. birželio 29 d. nutarimo Nr. 796 „Dėl elektroninės informacijos saugos (kibernetinio saugumo) plėtros 2011–2019 metais programos patvirtinimo (Žin., 2011, Nr.
83-4033) 4 punkte ypatingos svarbos informacinė infrastruktūra apibrėžta kaip elektroninių ryšių tinklas, informacinė sistema ar informacinių sistemų grupė, kurioje įvykęs incidentas padaro ar gali padaryti didelę žalą nacionaliniam saugumui, šalies ūkiui ar visuomenės gerovei. Ši sąvoka yra tikslesnė tuo aspektu, kad joje, be kita ko, yra minimos informacinių sistemų grupės. Pažymėtina, kad ypatingos svarbos informacinė infrastruktūra gali būti ne tik pavienė IS, bet ir keletas jų, kai dėl incidento jos ne pavieniui, o sąveikaudamos tarpusavyje, gali sukelti didelio masto neigiamus padarinius. Taip pat svarstytina, ar ypatingos svarbos informacinė infrastruktūra negali būti tik dalis IS. Pritarti žr. 4 IVPK pasiūlymą
2014-09-09 Iš Projekto 3 straipsnio 2 dalies nėra aišku, ar didelė žala nacionaliniam saugumui, šalies ūkiui, valstybės ir visuomenės interesams apima ir žalą finansų sistemai bei valstybės valdymui. Atsižvelgti
2014-09-09 Kibernetinę erdvę (elektroninę erdvę) paprastai sukuria ne tik elektroninių ryšių tinklais sujungti kompiuteriai, bet taip pat pavienis kompiuteris, kuriame yra apdorojami duomenys jais nesikeičiant su kitomis IS. Šiuo aspektu svarbu tai, kad IS, kuri ir sukuria elektroninę erdvę apibūdinama ne tik kaip tarpusavyje sujungtų ar susijusių prietaisų grupė, bet ir kaip pavienis prietaisas, kuris vykdo elektroninių duomenų tvarkymą. Atsižvelgiant į tai, tikslintina Projekto 3 straipsnio 3 dalyje numatyta kibernetinės erdvės sąvoka. Pritarti žr. 5 IVPK pasiūlymą 29.
2014-09-09 Projekte numatomos prievartos priemonės, kuriomis būtų apribojamas viešųjų elektroninių paslaugų teikimas (10 straipsnio 3 dalies 6 punktas) arba prieglobos paslaugų teikimas paslaugos gavėjui (12 straipsnio 3 punktas), tačiau jų reglamentavimas yra nepakankamas. Pirmuoju atveju, kai nurodymą duoda nacionalinis kibernetinio saugumo centras, nėra aišku kaip turėtų būti elgiamasi, jei ribojimo reiktų ilgiau nei 48 valandom, nenumatyta galimybė tokį nurodymą skųsti, taip pat keltinas klausimas, kada tokiam nurodymui yra būtina teismo sankcija ir pan. Antruoju atveju, kai nurodymą duoda Policijos departamentas, ši priemonė tampa procesine prievartos priemone, kurios reglamentavimui yra būtini Lietuvos Respublikos baudžiamojo proceso kodekso pakeitimai. Atsižvelgti Siūlome pagrindiniam komitetui atkreipti dėmesį, kad procesinės priemonės yra numatomos kituose teisės aktuose. 4. Valstybės ir savivaldybių institucijų ir įstaigų pasiūlymai:
Eil. Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę Str. Str. d. P. 1. Policijos departamentas prie LR VRM 2014-09-10 Projekte
„kibernetinis incidentas“ apibrėžiamas kaip „saugumo incidentas ir (arba) tie
patys įvykiai (ar veikos) pramoninių procesų valdymo sistemoje“.
Sąvoka
„saugumo incidentas“ paaiškinta Elektroninių ryšių įstatymo 3
straipsnio 53 dalyje: „įvykis, veiksmas ar neveikimas, kuris sukelia ar gali sukelti neteisėtą prisijungimą ar sudaryti sąlygas neteisėtai prisijungti prie informacinės sistemos ar elektroninių ryšių tinklo, sutrikdyti ar pakeisti, įskaitant valdymo perėmimą, informacinės sistemos ar elektroninių ryšių tinklo veikimą, sunaikinti, sugadinti, ištrinti ar pakeisti elektroninius duomenis, panaikinti ar apriboti galimybę naudotis elektroniniais duomenimis, taip pat sudaryti sąlygas pasisavinti ar kitaip panaudoti neviešus elektroninius duomenis tokios teisės neturintiems asmenims.“ Pastebėtina, kad Lietuvos Respublikos baudžiamajame kodekse (toliau – BK) sąvoka „kibernetinis incidentas“ nevartojama, o jos turiniui iš esmės galima priskirti ir nusikalstamas veikas, nurodytas BK XXX skyriuje „Nusikaltimai elektroninių duomenų ir informacinių sistemų saugumui“. Pastarosios veikos atskleidžiamos ir tiriamos atliekant kriminalinę žvalgybą arba ikiteisminį tyrimą. Kriminalinės žvalgybos tyrimo pradėjimo pagrindu gali būti kriminalinės žvalgybos subjekto gauta ar surinkta informacija apie rengiamą, daromą ar padarytą labai sunkų ar sunkų nusikaltimą, arba apie apysunkį nusikaltimą, numatytą Kriminalinės žvalgybos įstatymo (toliau – KŽĮ) 8 straipsnio 1 dalyje.
Atkreiptinas dėmesys į tai, kad kriminalinės žvalgybos tyrimas galimas tik dėl nusikaltimo, numatyto BK 198 straipsnio „Neteisėtas elektroninių duomenų perėmimas ir panaudojimas“ 2 dalyje („Tas, kas neteisėtai stebėjo, fiksavo, perėmė, įgijo, laikė, pasisavino, paskleidė ar kitaip panaudojo strateginę reikšmę nacionaliniam saugumui arba didelę reikšmę valstybės valdymui, ūkiui ar finansų sistemai turinčius neviešus elektroninius duomenis“), o dėl kitų nusikalstamų veikų, nurodytų BK XXX skyriuje, galimas tik ikiteisminis tyrimas. Ikiteisminis tyrimas dėl minėtų veikų pradedamas vadovaujantis Lietuvos Respublikos baudžiamojo proceso kodekso (toliau – BPK) 166 straipsnio 1 dalyje nurodytais pagrindais – gavus skundą, pareiškimą ar pranešimą apie nusikalstamą veiką, arba prokurorui ar ikiteisminio tyrimo pareigūnui patiems nustačius nusikalstamos veikos požymius. Jeigu gaunamas skundas, pareiškimas ar pranešimas apie galimai padarytą nusikalstamą veiką, policija atlieka gautos informacijos patikrinimą (patikslinimą) ir prireikus pradeda ikiteisminį tyrimą ir atlieka procesinius veiksmus, tačiau jeigu skundas, pareiškimas ar pranešimas negaunamas, neturima informacijos iš nukentėjusio asmens ir (ar) elektroninių ryšių paslaugų teikėjo, nustatyti nusikalstamos veikos požymius yra labai sudėtinga arba neįmanoma. Tokią situaciją lemia keletas veiksnių. Pirma, tai pirminės informacijos apie padarytą (patirtą) žalą stoka.
Žala yra nusikalstamų veikų, nurodytų BK 196 straipsnyje „Neteisėtas poveikis elektroniniams duomenims“ ir 197 straipsnyje
„Neteisėtas poveikis informacinei sistemai“, privalomasis požymis, kurį
būtina nustatyti visais atvejais, tačiau dažnai žalos dydis nežinomas, o vėliau gali paaiškėti, kad jos ir visai nepadaryta. Pavyzdžiui, vienas iš dažnų Lietuvoje kibernetinių incidentų yra elektroninės paslaugos trikdymo ataka (angl. Denial of Service, trump. DoS arba DDos) – tai veiksmas, kuriuo siekiama sutrikdyti elektroninių ryšių tinklo ir (ar) informacinės sistemos darbą arba elektroninių ryšių tinklu teikiamas paslaugas. DoS atakos metu į tam tikrą informacinę sistemą (tarnybinę stotį, kompiuterį ir pan.) siunčiamas didelis kiekis užklausų, o jos efektyvumas priklauso nuo siunčiamų užklausų kiekio, jų siuntimo spartos ir atakuojamos informacinės sistemos pajėgumo per tą laiką apdoroti gaunamas užklausas. Padidinto užklausų kiekio siuntimas informacinei sistemai gali sutrikdyti ar nutraukti jos darbą, todėl gali būti suprantamas kaip pasikėsinimas padaryti nusikalstamą veiką, nurodytą BK 197 straipsnyje „Neteisėtas poveikis informacinei sistemai“, tačiau kol neatsiranda padariniai – kol nesutrikdomas ar nenutraukiamas informacinės sistemos darbas ir nepadaroma žalos, nėra objektyvaus pagrindo, kuris leistų pagrįstai kvalifikuoti veiką, nes būtina informacija apie padarytą žalą ir jos dydį. Antra, tai dažnas pirminės informacijos apie veiksmų neteisėtą pobūdį trūkumas ir jos greito gavimo problema. BK 197 straipsnyje „Neteisėtas poveikis informacinei sistemai“, BK 198 straipsnyje „Neteisėtas elektroninių duomenų perėmimas ir panaudojimas“ ir 198¹ straipsnyje
„Neteisėtas prisijungimas prie informacinės sistemos“ nurodytų nusikalstamų
veikų privalomasis požymis yra poveikio informacinei sistemai, elektroninių duomenų perėmimo ar panaudojimo, prisijungimo prie informacinės sistemos „neteisėtumas“.
Norint konstatuoti prisijungimo ar kitų minėtų veiksmų
„neteisėtumo“ faktą, būtina nustatyti juos atlikusio asmens tapatybę ir
išsiaiškinti, ar tas asmuo turėjo teisę atlikti tuos veiksmus. Jeigu nepavyksta nustatyti konkretaus asmens tapatybės, norint pagrįstai pradėti ikiteisminį tyrimą, policijai prireikia kreiptis į informacinių sistemų administratorius ar kitus subjektus, įgaliotus suteikti konkretiems asmenims teisę prisijungti prie informacinės sistemos ar atlikti kitus veiksmus, siekiant išsiaiškinti visų teisėtų naudotojų, galėjusių atlikti minėtus veiksmus, tapatybes bei juos apklausti. Kadangi tokią informaciją policijai prireikia skubiai surinkti nepradėjus kriminalinės žvalgybos tyrimo ar ikiteisminio tyrimo, dėl šios veiklos aiškaus teisinio reglamentavimo trūkumo policija kasdieniniame darbe susiduria su prieštaringais policijos veiksmų teisėtumo ir pagrįstumo vertinimais ir su tuo susijusiomis informacijos gavimo kliūtimis. Teikiame aktualias pastabas ir siūlymus KSĮ projektui tobulinti:
nuostatų (pvz., 4 str. 2 d., 8 str. 1 d. ir 2 d, 9 str. 1 d., 11 str. 3 p., 12 str. 2 p. ir 3 p., 17 str. 3 d., 20 str. 1 d.) vartojamos sąvokos viešųjų ryšių tinklų, viešųjų elektroninių ryšių paslaugų ir (ar) elektroninės informacijos prieglobos paslaugos, jų teikimas, teikėjai ir gavėjai.
Siekiant išvengti bereikalingo šių sąvokų pasikartojimo KSĮ projekte, sukuriančio teksto perteklių ir apsunkinančio jo suvokimą, tikslinga tose KSĮ projekto nuostatose, kuriose jos vartojamos kartu, vartoti apibendrintas sąvokas
„paslauga“, „paslaugos teikėjas“ ir „paslaugos gavėjas“, todėl jomis
siūlytume papildyti KSĮ projekto 3 straipsnį „Pagrindinės šio įstatymo sąvokos“ ir jas išdėstyti taip:
„Paslauga – viešųjų ryšių tinklų, viešųjų
elektroninių ryšių paslaugų ir (ar) elektroninės informacijos prieglobos paslaugų teikimas. Paslaugos teikėjas – ūkio subjektas, teikiantis viešųjų ryšių tinklus, viešųjų elektroninių ryšių paslaugas ir (ar) elektroninės informacijos prieglobos paslaugas Lietuvos Respublikoje. Paslaugos gavėjas – fizinis ar juridinis asmuo, kuriam ūkio subjektas teikia viešųjų ryšių tinklus, viešųjų elektroninių ryšių paslaugas ir (ar) elektroninės informacijos prieglobos paslaugas Lietuvos Respublikoje.“ Atsižvelgiant į šias sąvokas atliktini KSĮ projekto nuostatų, kuriose jos vartojamos, pakeitimai. Nepritarti Argumentai:
Manome, kad siūlomi apibrėžimai pridėtinės vertės įstatymo projektui nesuteikia, o tik sutrumpina jau vartojamus terminus, todėl esant poreikiui siūlome pačiame tekste įvesti trumpinius po to, kai terminai pirmą kartą yra pavartoti. 2. Policijos departamentas prie LR VRM 2014-09-10 Siekdami sukurti teisines prielaidas, reikalingas norint užtikrinti veiksmingesnę policijos veiklą įgyvendinant kibernetinio saugumo politiką, siūlytume pakeisti KSĮ projekto 12 straipsnį ir jį išdėstyti taip: „12 straipsnis. Policijos įgaliojimai kibernetinio saugumo srityje 1.
Policijos įstaigos pagal kompetenciją įgyvendindamos kibernetinio saugumo politiką, Policijos departamento nustatyta tvarka vykdo teisės pažeidimų kibernetinėje erdvėje prevenciją ir atlieka kibernetinių incidentų, turinčių teisės pažeidimų požymių, tyrimus. 2. Policijos įstaigos pagal kompetenciją vykdydamos šio straipsnio 1 dalyje nurodytas funkcijas:
1) renka, analizuoja, vertina, saugo, teikia ir kitaip tvarko informaciją teisės pažeidimų kibernetinėje erdvėje prevencijos ir kibernetinių incidentų, turinčių teisės pažeidimų požymių, tyrimo tikslais;
2) duoda paslaugų teikėjams motyvuotus nurodymus laikinai, ne ilgiau kaip 90 dienų, teisės pažeidimų kibernetinėje erdvėje prevencijos ir kibernetinių incidentų, turinčių teisės pažeidimų požymių, tyrimo tikslais išsaugoti abonentinę informaciją, srauto duomenis ir kitą reikiamą informaciją, išskyrus turinio duomenis;
3) duoda paslaugų teikėjams motyvuotus nurodymus laikinai, ne ilgiau kaip 48 valandas, apriboti paslaugų (-os) teikimą paslaugų gavėjui, kuriam priklausančia ir (arba) naudojama informacine ir ryšių technologijų įranga galimai daromas teisės pažeidimas. Paslaugos teikėjas šį nurodymą privalo įvykdyti ne vėliau kaip per 2 valandas nuo nurodymo gavimo.
Policijos įstaigos apie paslaugų teikėjams pagal šį punktą duotus nurodymus ne vėliau kaip kitą darbo dieną informuoja Ryšių reguliavimo tarnybą;
4) duoda paslaugų teikėjams motyvuotus nurodymus dėl priemonių teisės pažeidimų elektroninėje erdvėje sąlygoms ir (ar) kibernetiniam saugumui pavojingiems padariniams šalinti;
5) prireikus naudojasi specialistų ir ekspertų pagalba teisės pažeidimų elektroninėje erdvėje ir kibernetinių incidentų, turinčių nusikalstamų veikų požymių, tyrimo uždaviniams įgyvendinti;
6) duoda paslaugų teikėjams motyvuotus nurodymus pateikti jų tvarkomą abonentinę informaciją – informaciją, susijusią su jų paslaugų abonentais, iš kurios galima nustatyti: naudotos ryšio paslaugos tipą, taikytas technines priemones ir naudojimo laiką; abonento tapatybę, pašto ar geografinės padėties adresą, telefono ir bet kokį kitą prieigos numerį, informaciją apie sąskaitas ir mokėjimus, gaunamą paslaugos sutarties arba susitarimo pagrindu; bet kurią kitą informaciją ryšių aparatūros įrengimo vietoje, turimą pagal paslaugos sutartį arba susitarimą, taip pat srauto duomenis ir kitą susijusią informaciją, išskyrus turinio duomenis;
7) apylinkės teismo sprendimu gauna iš paslaugų teikėjų kibernetinio incidento, turinčio teisės pažeidimo požymių, tyrimui reikalingą informaciją apie elektroninių ryšių tinklais perduodamų pranešimų turinį;
8) prireikus duoda nurodymus, įpareigojančius paslaugų teikėjus ir (ar) kitus asmenis neskelbti informacijos, kol nebaigtas kibernetinio incidento, turinčio teisės pažeidimo požymių, tyrimas;
9) atlieka kitas Lietuvos Respublikos teisės aktuose nustatytas kibernetinio saugumo užtikrinimo funkcijas. 3.
informacijos, reikalingos teisės pažeidimų kibernetinėje erdvėje prevencijai ir (ar) kibernetinių incidentų, turinčių teisės pažeidimų požymių, tyrimui, neatlygintino teikimo policijos įstaigoms tvarką nustato Policijos departamentas.“ Nepritarti Argumentai: šis įstatymas yra skirtas ypatingos svarbos informacinės infrastruktūros kibernetinei saugai plačiąja prasme. Specializuoti įstatymai, tokie kaip Asmens duomenų apsaugos, Valstybės informacinių išteklių, Žvalgybos, Elektroninių ryšių ir kt. – nustato kaip veikia atskirose srityse veikiantys subjektai, kokios yra jų teisės ir pareigos. Konkrečiai ir ERĮ įstatyme yra nustatyta tvarka, kaip teisėsaugoms institucijoms, prokurorams, žvalgybai ir kt. yra teikiama abonentinė informacija, srauto duomenis ir kt informacija. Šiame įstatyme įtvirtintose nuostatos yra rastas balansas tarp asmens privatumo, jo teisių apsaugos ir teisėtvarkos sistemos veiklos. Pateiktame pasiūlyme didžiąją dalimi parašytos konkrečios policijos įstaigų funkcijos, tvarka, kaip jos atliekamos, kurios manytume, turi būti išvardytos kituose teisės aktuose ir neturi prieštarauti jau galiojantiems įstatymams. Šio įstatymo projekto kontekste jos yra perteklinės. 3. Policijos departamentas prie LR VRM
„srauto duomenys“. Atsižvelgdami į tai, kad šiuo metu galiojančiuose Lietuvos
Respublikos teisės aktuose, nurodytuose KSĮ projekto 3 straipsnio
„Pagrindinės šio įstatymo sąvokos“ 8 dalyje, minėtų sąvokų turinys
kibernetinių incidentų prevencijai ir tyrimui aktualiais aspektais neapibrėžtas, jų tinkamam supratimui galima vadovautis Konvencijos dėl elektroninių nusikaltimų 1 straipsnio d) punkto ir 18 straipsnio 3 dalies nuostatomis, kuriose jos aiškiai apibrėžtos.
Į tai atsižvelgdami, siūlytume papildyti KSĮ projekto 3 straipsnio „Pagrindinės šio įstatymo sąvokos“ 8 dalį sąvoka
„Konvencija dėl elektroninių nusikaltimų“. Nepritarti
Argumentai: šios sąvokos yra apibrėžtos LR elektroninių ryšių įstatyme. 4. Policijos departamentas prie LR VRM
kibernetinius incidentus, policijai būtina laiku gauti viešųjų ryšių tinklų, viešųjų elektroninių ryšių paslaugų ir elektroninės informacijos prieglobos paslaugų teikėjų tvarkomą informaciją, susijusią su konkrečiais paslaugų gavėjais ir jiems teikiamomis paslaugomis. Policijos veiklos įstatymo (toliau
Siekdami užtikrinti informacijos teikimą policijai ir KSĮ projekte numatytų policijos nurodymų vykdymą, siūlytume pakeisti KSĮ projekto 15 straipsnio „Viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjų pareigos“ ir 16 straipsnio
„Elektroninės informacijos prieglobos paslaugų teikėjų pareigos“ 4 punktus ir
juos išdėstyti taip: „4) Policijos departamento nustatyta tvarka ir sąlygomis teikti policijai informaciją, reikalingą teisės pažeidimų kibernetinėje erdvėje prevencijai ir (ar) kibernetinių incidentų, turinčių teisės pažeidimo požymių, tyrimui bei vykdyti kitus policijos nurodymus, duotus šio įstatymo ar kitų teisės aktų, reglamentuojančių kibernetinį saugumą, nustatytais pagrindais. Policijos nurodymus dėl paslaugų teikimo jų gavėjui apribojimo įvykdyti ne ilgiau kaip per 2 valandas nuo policijos nurodymo gavimo.“ Nepritarti Argumentai:
Žr. argumentus Policijos departamento prie VRM 2 siūlymui. 5. Policijos departamentas prie LR VRM 2014-09-10 5.
Papildyti KSĮ projekto 15 straipsnio
„Viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjų
pareigos“ ir 16 straipsnio „Elektroninės informacijos prieglobos paslaugų teikėjų pareigos“ naujais punktais ir juos išdėstyti taip:
„Informuoti policiją apie įvykius ar veiksmus,
keliančius grėsmę kibernetiniam saugumui:
a) apie įvykius ar veiksmus, galinčius sutrikdyti, pakeisti ar nutraukti informacinių išteklių ar elektroninių ryšių tinklų, ar ypatingos svarbos informacinės infrastruktūros veikimą;
b) apie sistemingus veiksmus, kuriais siekiama neteisėtai prisijungti ar sudaryti sąlygas neteisėtai prisijungti prie informacinių išteklių ar elektroninių ryšių tinklo, sutrikdyti ar pakeisti informacinių išteklių ar elektroninių ryšių tinklo veikimą, sunaikinti, sugadinti, pašalinti ar pakeisti elektroninius duomenis.“ Nepritarti Argumentai: ši informaciją jau yra valdoma RRT, o vadovaujantis svarstomu įstatymo projektu bus teikiama ir Nacionaliniam kibernetinio saugumo centrui, todėl siekiant nepadidinti administracinės naštos privačiam sektoriui kelis kartus tą pačią informaciją teikiant kelioms skirtingoms valstybės institucijoms, prašomą informaciją turėtų pateikti valstybės institucijos viena kitai. Informacijos apimtys ir teikimo tvarka nustatoma institucijų bendradarbiavimo tvarkoje. 6. Policijos departamentas prie LR VRM
tobulinti, siūlytume papildyti Lietuvos Respublikos administracinių teisės pažeidimų kodekso 224, 259¹ straipsnių pakeitimo ir kodekso papildymo 154¹¹, 154¹² straipsniais įstatymo projektą (Nr. XIIP-1937) (toliau – ATPK projektas) nuostatomis, nustatančiomis administracinę atsakomybę ne tik už informacijos policijai teikimo pareigos pažeidimą, bet ir už kitų policijos nurodymų, reikalingų kibernetiniam saugumui užtikrinti, nevykdymą.
Siūlytume pakeisti ATPK projekto 154¹¹straipsnio 6 dalį ir ją išdėstyti taip: „Policijos departamento prie Vidaus reikalų ministerijos nustatytos informacijos teikimo tvarkos apie kibernetinius incidentus, turinčius nusikalstamos veikos požymių, pažeidimas ar policijos nurodymų, duotų Kibernetinio saugumo įstatyme ir (ar) kitų teisės aktų, reglamentuojančių kibernetinį saugumą, nustatytais pagrindais, nevykdymas užtraukia juridinių asmenų vadovams įspėjimą arba baudą iki vieno tūkstančio litų.“ Siūlomi projektų pakeitimai ir papildymai padėtų išspręsti policijos veiklos teisines problemas, atsirandančias prireikus užkardyti kibernetinius incidentus tais atvejais, kai nenustatyti pakankami pagrindai kriminalinės žvalgybos tyrimui ar ikiteisminiam tyrimui pradėti, t. y. greitai reaguoti ir skubiai nutraukti neteisėtą veiklą kibernetinėje erdvėje, laiku imtis priemonių gresiančiam žalos atsiradimui išvengti, nustatyti galimus pažeidėjus, sumažinti policijos veiklos sąnaudas bei padidinti jos efektyvumą. Pritarti
įstatymų leidybos iniciatyvos teisę, pasiūlymai: negauta. 6. Komiteto sprendimas ir pasiūlymai: 6.1. Sprendimas: Iš esmės pritarti Lietuvos Respublikos kibernetinio saugumo įstatymo projektui Nr. XIIP-1936. 6.2. Pasiūlymai: Siūlyti pagrindiniam komitetui pritarti Seimo Informacinės visuomenės komiteto sprendimui dėl Lietuvos Respublikos kibernetinio saugumo įstatymo projektui Nr. XIIP-1936, pakoregavus įstatymo projektą pagal Teisės departamento išvadoje pateiktas pastabas, asociacijos „INFOBALT“ , Policijos departamento pasiūlymus, kuriems pritarė Seimo Informacinės visuomenės komitetas ir Seimo Informacinės visuomenės plėtros komiteto siūlymus:
Eil. Nr.
Nr. Pasiūlymo teikėjas, data Siūloma keisti Pasiūlymo turinys Komiteto nuomonė Argumentai, pagrindžiantys nuomonę
212 Pasiūlymas: Patikslinti įstatymo projekto 2 str. 1 dalies 2 p. ir jį išdėstyti taip: „2) kibernetinio saugumo proporcingumo – taikomos kibernetinio saugumo užtikrinimo priemonės negali būti griežtesnės nei būtina kibernetiniam saugumui užtikrinti, o taikomi teisiniai, organizaciniai ir techniniai kibernetinio saugumo reikalavimai neturi apriboti veiklos kibernetinėje erdvėje dalyvių labiau, nei tai būtina;“ Pritarti Argumentai:
Žr. Mykolo Riomerio universiteto pastabas – išvados 22 punktą. 2. IVPK22 N Pasiūlymas: Įstatymo projekto 2 str. papildyti nauja 2 dalimi ir ją išdėstyti taip: „2. Taikant kibernetinį saugumą reglamentuojančias teisės normas, turi būti tinkamai atsižvelgiama į visus šio straipsnio 1 dalyje nurodytus principus. Šie principai turi būti derinami tarpusavyje, nė vienam iš jų iš anksto nesuteikiama pirmenybė.“ Pritarti Argumentai:
Žr. Mykolo Riomerio universiteto pastabas – išvados 23 punktą. 3. IVPK31 Pasiūlymas: Pakeisti įstatymo projekto 3 str. 1 d. ir ją išdėstyti taip:
„1. Elektroninės informacijos prieglobos paslaugos – informacinės visuomenės paslaugos,
apimančios galimybės naudotis elektroninės informacijos ir elektroninių duomenų (toliau – elektroninė informacija) kūrimo ir tvarkymo priemonėmis sudarymą ir (arba) paslaugos gavėjo pateiktos elektroninės informacijos saugojimą.“ Pritarti Argumentai: Žr. Mykolo Riomerio universiteto pastabas – išvados 24 punktą. 4. IVPK32 Pasiūlymas:
Pakeisti įstatymo projekto 3 str. 2 d. ir ją išdėstyti taip: „2.
Ypatingos svarbos informacinė infrastruktūra – elektroninių ryšių tinklas ar jo dalis, informacinė sistema ar jos dalis, informacinių sistemų grupė ar pramoninių procesų valdymo sistema ar jos dalis, nepriklausomai nuo to, ar jos valdytojas yra privatus ar valstybės subjektas, kuriuose įvykęs kibernetinis incidentas gali padaryti didelę žalą nacionaliniam saugumui, šalies ūkiui, valstybės ir visuomenės interesams.“ Pritarti Argumentai:
Žr. Mykolo Riomerio universiteto pastabas – išvados 26 punktą ir asociacijos „Infobalt“ pasiūlymus. 5. IVPK33 Pasiūlymas: Pakeisti įstatymo projekto 3 str. 3 d. ir ją išdėstyti taip: „3. Kibernetinė erdvė – aplinka, kurioje pavieniuose kompiuteriuose ar kitoje informacinėje ir ryšių technologijų įrangoje sukuriama elektroninė informacija ir (arba) perduodama per elektroninių ryšių tinklu sujungtus kompiuterius ar kitą informacinių ir ryšių technologijų įrangą.“ Pritarti Argumentai:
Žr. Mykolo Riomerio universiteto pastabas – išvados 28 punktą.
113 Pasiūlymas: Patikslinti Įstatymo 11 straipsnio 3 punktą ir išdėstyti jį taip:
„3) nustato viešojo administravimo subjektams,
valdantiems valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams, elektroninės informacijos prieglobos paslaugų teikėjams informacijos apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones pateikimo tvarką;“ Pritarti Argumentai:
Siekiant užtikrinti lygiateisiškumo principą, šio įstatymo kontekste nustatant pareigas viešajam ir privačiam sektoriui, siūlome nustatyti pareigą viešojo administravimo subjektams, valdantiems valstybės informacinius išteklius, ir ypatingos svarbos informacinės infrastruktūros valdytojams teikti Valstybinei duomenų apsaugos inspekcijai informaciją apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones, kaip tai įstatyme nustatyta viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams, elektroninės informacijos prieglobos paslaugų teikėjams. 7. IVPK122 Pasiūlymas:
Patikslinti Įstatymo 12 straipsnio 2 punktą ir išdėstyti jį taip:
„2) nustato viešojo administravimo subjektams,
valdantiems valstybės informacinius išteklius, ypatingos svarbos informacinės infrastruktūros valdytojams, viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų teikėjams, elektroninės informacijos prieglobos paslaugų teikėjams informacijos, reikalingos kibernetinių incidentų, turinčių nusikalstamos veikos požymių, prevencijai ir tyrimui, pateikimo tvarką;“ Pritarti Argumentai: žr. IVPK 6 punkto argumentus. 8. IVPK13 Pasiūlymas:
Patikslinti įstatymo 13 straipsnį ir išdėstyti jį taip:
„13 straipsnis. Viešojo administravimo subjektų
pareigos 1.
Viešojo administravimo subjektai atsako už valdomų valstybės informacinių išteklių kibernetinį saugumą ir privalo užtikrinti valdomų valstybės informacinių išteklių atitiktį Vyriausybės nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams. 2. Viešojo administravimo subjektai privalo informuoti Nacionalinį kibernetinio saugumo centrą apie nacionaliniame kibernetinių incidentų valdymo plane organizaciniuose ir techniniuose kibernetinio saugumo reikalavimuose nustatytus kibernetinius incidentus, įvykusius valdomuose valstybės informaciniuose ištekliuose, ir taikytas kibernetinių incidentų valdymo priemones Vyriausybės ar jos įgaliotos institucijos nustatyta tvarka. 3. Viešojo administravimo subjektai privalo teikti Valstybinei duomenų apsaugos inspekcijai informaciją apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones šios institucijos nustatyta tvarka ir sąlygomis;
subjektai privalo teikti policijai informaciją, reikalingą kibernetinių incidentų, turinčių nusikalstamos veikos požymių, prevencijai ir tyrimui, Policijos departamento nustatyta tvarka ir sąlygomis;
subjektai, valdantys valstybės informacinius išteklius, turi paskirti kompetentingą asmenį ar padalinį, atsakingą už kibernetinio saugumo organizavimą ir užtikrinimą, bei Nacionaliniam kibernetinio saugumo centrui pateikti paskirto asmens ar padalinio kontaktinę informaciją. 46. Viešojo administravimo subjektai, valdantys valstybės informacinius išteklius, turi sudaryti sąlygas Nacionaliniam kibernetinio saugumo centrui diegti ir valdyti technines kibernetinio saugumo priemones valstybės informaciniuose ištekliuose.“ Pritarti Argumentai: žr. IVPK 6 punkto argumentus.
IVPK 6 punkto argumentus. Taip pat atsižvelgiant į tai, kad LRV nutarimu tvirtinamas nacionalinis kibernetinių incidentų valdymo planas yra skirtas užtikrinti sėkmingą kibernetinių incidentų valdymą nacionaliniu lygmeniu, kuriame taip pat bus nustatyta valstybės institucijų bendradarbiavimo tvarka tiriant kibernetinius incidentus, manytina, kad nėra tikslinga dar labiau praplėsti teisės akto paskirtį ir jame nustatyti kokiais atvejais Nacionalinis kibernetinio saugumo centras turi būti informuojamas apie nustatytus kibernetinius incidentus, įvykusius valdomuose valstybės informaciniuose ištekliuose, ir taikytas kibernetinių incidentų valdymo priemones. Atitinkamai siūlome, kad šios nuostatos būtų nustatytos
saugumo reikalavimuose. 9. IVPK14 Pasiūlymas: Patikslinti įstatymo 14 straipsnį ir išdėstyti jį taip:
„14 straipsnis. Ypatingos svarbos informacinės
infrastruktūros valdytojų pareigos
valdytojai atsako už valdomos informacinės infrastruktūros kibernetinį saugumą ir privalo užtikrinti valdomos ypatingos svarbos informacinės infrastruktūros atitiktį Vyriausybės nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams. 2. Ypatingos svarbos informacinės infrastruktūros valdytojai privalo informuoti Nacionalinį kibernetinio saugumo centrą apie nacionaliniame kibernetinių incidentų valdymo plane organizaciniuose ir techniniuose kibernetinio saugumo reikalavimuose nustatytus kibernetinius incidentus ypatingos svarbos informacinėje infrastruktūroje ir taikytas kibernetinių incidentų valdymo priemones Vyriausybės ar jos įgaliotos institucijos nustatyta tvarka. 3.
informacinės infrastruktūros valdytojai privalo teikti Valstybinei duomenų apsaugos inspekcijai informaciją apie kibernetinius incidentus, susijusius su asmens duomenų saugumo pažeidimais, ir taikytas šių incidentų valdymo priemones šios institucijos nustatyta tvarka ir sąlygomis;
informacinės infrastruktūros valdytojai privalo teikti policijai informaciją, reikalingą kibernetinių incidentų, turinčių nusikalstamos veikos požymių, prevencijai ir tyrimui, Policijos departamento nustatyta tvarka ir sąlygomis;
informacinės infrastruktūros valdytojai privalo, vadovaudamiesi Vyriausybės patvirtintais tipiniais kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planais, parengti, patvirtinti ir Nacionaliniam kibernetinio saugumo centrui pateikti kibernetinių incidentų valdymo ypatingos svarbos informacinėse infrastruktūrose planus. 46. Ypatingos svarbos informacinės infrastruktūros valdytojai turi paskirti kompetentingą asmenį ar padalinį, atsakingą už kibernetinio saugumo organizavimą ir užtikrinimą, bei Nacionaliniam kibernetinio saugumo centrui pateikti paskirto asmens ar padalinio kontaktinę informaciją. 57. Ypatingos svarbos informacinės infrastruktūros valdytojai turi sudaryti sąlygas Nacionaliniam kibernetinio saugumo centrui diegti ir valdyti technines kibernetinio saugumo priemones ypatingos svarbos informacinėje infrastruktūroje.“ Pritarti Argumentai: žr. IVPK 8 punkto argumentus. 10.
1512 Pasiūlymas: Patikslinti Įstatymo 15 straipsnio 1 dalies 2 punktą ir išdėstyti jį taip:
„2) teikti Ryšių reguliavimo tarnybai informaciją
apie nacionaliniame kibernetinių incidentų valdymo plane Ryšių reguliavimo tarnybos nustatytose viešųjų ryšių tinklų ir viešųjų elektroninių ryšių paslaugų saugumo ir vientisumo užtikrinimo taisyklėse nustatytus kibernetinius incidentus ir taikytas šių incidentų valdymo priemones bei techninę informaciją, reikalingą vertinti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų kibernetinio saugumo būseną, šios institucijos nustatyta tvarka ir sąlygomis;“ Pritarti Argumentai:
Atsižvelgiant į tai, kad Vyriausybės nutarimu tvirtinamas nacionalinis kibernetinių incidentų valdymo planas yra skirtas užtikrinti sėkmingą kibernetinių incidentų valdymą nacionaliniu lygmeniu, kuriame taip pat bus nustatyta valstybės institucijų bendradarbiavimo tvarka tiriant kibernetinius incidentus, manytina, kad nėra tikslinga dar labiau praplėsti teisės akto paskirtį ir jame nustatyti kokiais atvejais RRT turi būti informuojama apie nustatytus kibernetinius incidentus ir taikytas šių incidentų valdymo priemones bei techninę informaciją, reikalingą vertinti viešųjų ryšių tinklų ir (arba) viešųjų elektroninių ryšių paslaugų kibernetinio saugumo būseną. Atitinkamai siūlome, kad šios nuostatos būtų nustatytos RRT tvirtinamose viešųjų ryšių tinklų ir viešųjų elektroninių ryšių paslaugų saugumo ir vientisumo užtikrinimo taisyklėse. 11.
1613 Pasiūlymas: Patikslinti Įstatymo 16 straipsnio 1 dalies 3 punktą ir išdėstyti jį taip:
„3) teikti Ryšių reguliavimo tarnybai informaciją
apie nacionaliniame kibernetinių incidentų valdymo plane organizaciniuose ir techniniuose reikalavimuose elektroninės informacijos prieglobos paslaugų saugumui ir vientisumui užtikrinti nustatytus kibernetinius incidentus ir taikytas šių incidentų valdymo priemones bei techninę informaciją, reikalingą vertinti elektroninės informacijos prieglobos paslaugų kibernetinio saugumo būseną, šios institucijos nustatyta tvarka ir sąlygomis;“ Pritarti Argumentai:
Atsižvelgiant į tai, kad Vyriausybės nutarimu tvirtinamas nacionalinis kibernetinių incidentų valdymo planas yra skirtas užtikrinti sėkmingą kibernetinių incidentų valdymą nacionaliniu lygmeniu, kuriame taip pat bus nustatyta valstybės institucijų bendradarbiavimo tvarka tiriant kibernetinius incidentus, manytina, kad nėra tikslinga dar labiau praplėsti teisės akto paskirtį ir jame nustatyti kokiais atvejais RRT turi būti informuojama apie nustatytus kibernetinius incidentus ir taikytas šių incidentų valdymo priemones bei techninę informaciją, reikalingą vertinti elektroninės informacijos prieglobos paslaugų kibernetinio saugumo būseną. Atitinkamai siūlome, kad šios nuostatos būtų nustatytos RRT tvirtinamuose organizaciniuose ir techniniuose reikalavimuose elektroninės informacijos prieglobos paslaugų saugumui ir vientisumui užtikrinti. 7. Balsavimo rezultatai: bendru sutarimu. 8. Komiteto paskirti pranešėjai: M. Bastys. Komiteto pirmininkas Mindaugas Bastys