KSĮ ir BDAR: kodėl tas pats incidentas Lietuvoje šiandien vertinamas dviem teisiniais matais

2024 m. spalio 18 d. įsigaliojus atnaujintam Kibernetinio saugumo įstatymui (KSĮ), Lietuvoje susiklostė padėtis, kurios anksčiau nebuvo: vienas kibernetinis incidentas gali užtraukti atsakomybę pagal du atskirus režimus — BDAR ir KSĮ — o juos prižiūri dvi skirtingos institucijos.

Esmė trumpai

• BDAR taikomas praktiškai visoms asmens duomenis tvarkančioms organizacijoms; KSĮ — tik registruotiems esminiams ir svarbiems subjektams.
• Baudų „lubos“: BDAR — iki 20 mln. € arba 4 % pasaulinės apyvartos; KSĮ esminiams subjektams — iki 10 mln. € arba 2 %, svarbiems — iki 7 mln. € arba 1,4 %.
• Net įmonėms, kurioms KSĮ netaikomas tiesiogiai, jo reikalavimai tampa atskaitos tašku vertinant, ar BDAR reikalaujama „tinkama“ apsauga buvo įgyvendinta.

Kodėl atsirado antras režimas

Iki 2024 m. kibernetinis incidentas verslui pirmiausia reiškė veiklos sutrikimą, atkūrimo kaštus ir reputacijos žalą. Jei nutekėdavo asmens duomenys, prisidėdavo atsakomybė pagal BDAR. Kibernetinis saugumas kaip savarankiška teisinė pareiga daugumai privačių įmonių praktiškai neegzistavo.

Tai pakeitė ES NIS2 direktyva (2022/2555), lietuviškai dažnai vadinama TIS2. Ji pakeitė pirmąją, 2016 m. NIS direktyvą ir gerokai išplėtė subjektų ratą bei sugriežtino reikalavimus. Valstybės narės direktyvą turėjo perkelti iki 2024 m. spalio 17 d. — Lietuva tai padarė laiku (viena iš nedaugelio ES valstybių) atnaujintu KSĮ, įsigaliojusiu 2024 m. spalio 18 d.

Nuo tos dienos Lietuvoje veikia du lygiagretūs reikalavimų sluoksniai:

• BDAR — sauganti fizinių asmenų duomenis ir jų teises, prižiūrima Valstybinės duomenų apsaugos inspekcijos (VDAI);
• KSĮ — sauganti tinklų, informacinių sistemų ir paslaugų atsparumą, prižiūrima Nacionalinio kibernetinio saugumo centro (NKSC).

Kam KSĮ taikomas: esminiai ir svarbūs subjektai

KSĮ nėra visuotinis — jis taikomas organizacijoms, veikiančioms įstatymo prieduose išvardytuose sektoriuose ir atitinkančioms dydžio kriterijus. NKSC tokius subjektus identifikuoja ir įtraukia į Kibernetinio saugumo subjektų registrą. Pagal KAM viešą informaciją, registre šiuo metu yra apie 1 443 organizacijas.

Supaprastintai, esminiais subjektais tampa didelės organizacijos ypatingos svarbos sektoriuose, svarbiais — vidutinės arba veikiančios kituose svarbiuose sektoriuose. KSĮ apima 11 ypatingos svarbos ir 7 kitus svarbius sektorius: energetiką, transportą, bankininkystę ir finansų rinkų infrastruktūrą, sveikatos priežiūrą, geriamojo vandens ir nuotekų tvarkymą, skaitmeninę infrastruktūrą, viešąjį administravimą, pašto ir kurjerių paslaugas, atliekų tvarkymą, maisto gamybą bei platinimą ir kt.

Pereinamieji terminai

Į registrą įtraukti subjektai organizacinius kibernetinio saugumo reikalavimus turi įgyvendinti per 12 mėnesių, o techninius — per 24 mėnesius nuo įtraukimo. Tai reiškia, kad daliai 2025 m. registruotų organizacijų pilnos atitikties terminai tebeeina — tačiau incidento atveju pareiga pranešti galioja iškart.

Kaip tas pats incidentas virsta dviem procesais

Kai įvyksta kibernetinis incidentas, kurio metu nuteka ar tampa neprieinami asmens duomenys, KSĮ subjektui gali kilti lygiagreti pareiga pranešti abiem institucijoms — ir skiriasi net terminai:

• BDAR (VDAI): apie riziką teisėms ir laisvėms keliantį duomenų saugumo pažeidimą pranešama per 72 val. nuo sužinojimo (BDAR 33 str.); esant didelei rizikai, informuojami ir patys duomenų subjektai (34 str.).
• KSĮ (NKSC): apie didelį incidentą — ankstyvasis įspėjimas per 24 val., išsamesnis pranešimas per 72 val., galutinė ataskaita — per 1 mėnesį nuo incidento registravimo.

Vienas įvykis tokiu būdu gali sukelti visą grandinę: pareigą pranešti VDAI, pareigą pranešti NKSC, VDAI tyrimą dėl BDAR, NKSC atliekamą KSĮ reikalavimų patikrinimą, administracinę baudą, nukentėjusių asmenų reikalavimus atlyginti žalą, sutartinę atsakomybę klientams bei veiklos atkūrimo ir reputacijos kaštus.

Kodėl KSĮ svarbus net tiems, kam netaikomas tiesiogiai

Čia slypi dažniausiai nesuprantama dalis. BDAR 24 ir 32 straipsniai reikalauja įgyvendinti „rizikas atitinkančias technines ir organizacines priemones“, bet nepateikia baigtinio kontrolės sąrašo. Tai ilgą laiką leido ginčytis, kas laikytina „pakankama“ apsauga.

KSĮ ir jį įgyvendinančios NKSC metodikos šį neapibrėžtumą pildo labai konkrečiu turiniu: rizikos vertinimu, prieigų ir tapatybių kontrole, MFA, atsarginių kopijų valdymu, pažeidžiamumų valdymu, tiekimo grandinės saugumu, įvykių žurnalais, incidentų valdymu, mokymais ir periodiniu nepriklausomu auditu.

Kai valstybėje jau egzistuoja oficialiai patvirtintas, detalus „tinkamo“ kibernetinio saugumo aprašas, organizacijai, net nesančiai KSĮ subjektu, darosi sunkiau pagrįsti, kodėl ji netaikė bazinių priemonių. VDAI 2026 m. sprendime „InMedica“ byloje šią logiką išsakė tiesiai — KSĮ reikalavimų aprašas apibūdintas kaip „visuotinai pripažįstamos gerosios praktikos“ atspindys, taikytinas vertinant visų duomenų valdytojų priemonių pakankamumą. Kitaip tariant, KSĮ tampa matu, kuriuo matuojama BDAR pareiga.

Ką rodo jau skirtos baudos

Nors KSĮ baudų praktikos dar nėra, VDAI sprendimai pastaraisiais metais aiškiai parodo kryptį — baudžiama ne tik už patį įsilaužimą, bet ir už tai, kad iki incidento nebuvo įdiegta tai, kas šiandien laikoma elementaru.

Pamokos organizacijoms

1. Pirmiausia išsiaiškinkite savo statusą

Reikia atsakyti į du klausimus: ar veikiame KSĮ priede nurodytame sektoriuje ir ar esame (būsime) NKSC registre. Nuo atsakymo priklauso, ar taikomas vienas režimas, ar du. Neapibrėžtumas pats savaime yra rizika — incidento metu aiškintis jau vėlu.

2. Turėkite abu pranešimo scenarijus paruoštus iš anksto

24 val. KSĮ ankstyvojo įspėjimo langas yra trumpas. Kas, kam ir kokia forma praneša VDAI ir NKSC, turi būti nuspręsta ramiu metu, o ne krizės naktį. Skirtingi terminai (24/72 val. NKSC, 72 val. VDAI) reikalauja vieno suderinto proceso.

3. Priemonės turi veikti, ne gulėti dokumente

VDAI praktika nuosekli: politika be įgyvendinimo nuo baudos neapsaugo. MFA turi būti įjungtas, administratorių teisės apribotos, nereikalingos paskyros pašalintos, kopijos tikrinamos. Dokumentas įrodo ketinimą, bet ne apsaugą.

4. Kaupkite įrodymus, kol dar nieko neįvyko

Po incidento organizacijai gali tekti įrodyti, kokias rizikas ji vertino, kodėl pasirinko konkrečias priemones ir ar tikrino jų veiksmingumą. Tokių įrodymų atgaline data nesukursi — juos reikia kaupti nuolat (žurnalai, rizikos vertinimai, mokymų įrašai, audito radiniai).

5. Vadovybė nebėra nuošalyje

KSĮ aiškiai numato, kad organizacijos vadovas privalo užtikrinti atitiktį, o esminių subjektų vadovai gali būti laikinai nušalinti nuo pareigų. Kibernetinis saugumas tampa valdysenos, o ne vien IT skyriaus klausimu.

6. Įvertinkite tiekimo grandinę

KSĮ atskirai akcentuoja tiekėjų saugumą, o BDAR praktika (pvz., duomenų tvarkytojų atvejai) rodo, kad atsakomybės perkelti tiekėjui ne visada pavyksta. „Serverį prižiūri tiekėjas“ nėra atsakomybės paskirstymas — reikia sutartinių saugumo reikalavimų ir jų kontrolės.

Galutinis vertinimas

2024 m. spalį Lietuvos verslui pasikeitė ne tik reikalavimų kiekis, bet ir pati atskaitos logika. Anksčiau užtekdavo klausti „ar mums taikomas šis įstatymas?“. Dabar net neigiamas atsakymas nebeapsaugo, nes KSĮ reikalavimai tampa etalonu, kuriuo matuojama ir bendroji BDAR pareiga įgyvendinti tinkamą apsaugą.

Klausimas šiandien skamba ne „Ar mums taikomas KSĮ?“, o „Ar po incidento galėsime įrodyti, kad buvome įdiegę realią, riziką atitinkančią ir veikiančią apsaugą?“