NIS2 reikalavimai: ką reikia žinoti įmonėms
Sužinokite apie NIS2 reikalavimus Lietuvoje ir kaip jie veikia jūsų įmonę. Išvengti 10 mln. EUR baudų ir užtikrinti atitiktį.
Sužinokite apie NIS2 reikalavimus Lietuvoje ir kaip jie veikia jūsų įmonę. Išvengti 10 mln. EUR baudų ir užtikrinti atitiktį.
NIS2 direktyvos esmė ir tikslai
NIS2 direktyva, priimta Europos Parlamento 2022 metais, siekia sustiprinti kibernetinį saugumą visoje ES. Jos tikslai apima didesnį tiekimo grandinės saugumą, geresnį incidentų valdymą ir didesnę atsakomybę už kibernetinius incidentus. Verslui tai reiškia, kad organizacijos, priklausančios esminiams ir svarbiems sektoriams, turi atitikti griežtesnius reikalavimus. Pavyzdžiui, įmonės privalo turėti kibernetinio saugumo strategijas, o incidentų valdymo procesai turi būti skaidrūs ir efektyvūs. NIS2 direktyva ne tik nustato reikalavimus, bet ir numato sankcijas už jų nesilaikymą. Įmonėms, kurios nesilaiko reikalavimų, gali būti skiriamos baudos iki 10 mln. EUR arba 2% metinių pajamų, priklausomai nuo to, kuri suma yra didesnė. Tai gali turėti didelį finansinį poveikį verslui. Be to, direktyva reikalauja, kad organizacijos praneštų apie kibernetinius incidentus per 24 valandas, kas yra esminis pokytis, lyginant su ankstesne NIS direktyva. Tyrimai rodo, kad dauguma organizacijų dar nesuvokia šių reikalavimų rimtumo. Iš 14 mūsų konsultuotų subjektų 9 nesilaiko 24 valandų pranešimo prievolės. Tai kelia didelę riziką ne tik joms, bet ir visai tiekimo grandinei. NIS2 direktyva taip pat skatina bendradarbiavimą tarp valstybių narių, siekiant geresnio informacijos keitimosi apie kibernetinius incidentus. Tokiu būdu, NIS2 ne tik stiprina atskirų organizacijų saugumą, bet ir didina visos ES kibernetinio saugumo lygį.
Kaip NIS2 įtakoja Lietuvos įmones
NIS2 direktyva, perkelta į Lietuvos teisę, paveikia daug sektorių. Ypač svarbūs yra energijos, transporto, sveikatos, vandens tiekimo ir skaitmeninių infrastruktūrų sektoriai. Šių sektorių įmonės privalo užtikrinti tinkamą kibernetinį saugumą. Tai apima incidentų pranešimą per 24 valandas, kas gali būti iššūkis daugeliui organizacijų. Lietuvoje, iš 14 konsultuotų subjektų, 9 nesilaiko šios prievolės. Tai kelia rimtų klausimų dėl jų pasirengimo reikalavimams. Įmonės, veikiančios šiuose sektoriuose, turi ne tik laikytis NIS2 reikalavimų, bet ir įgyvendinti nuolatinį kibernetinio saugumo vertinimą. Pavyzdžiui, energijos sektorius turi užtikrinti, kad energijos tiekimas nebūtų sutrikdytas dėl kibernetinių atakų. Baudos už reikalavimų nesilaikymą gali siekti iki 10 mln. EUR, todėl įmonės turi investuoti į saugumo priemones. Be to, sveikatos sektorius, ypač ligoninės ir klinikos, privalo apsaugoti pacientų duomenis. Incidentai, susiję su duomenų nutekėjimu, gali turėti rimtų pasekmių tiek pacientams, tiek pačioms įstaigoms. NIS2 reikalauja, kad organizacijos vykdytų rizikos vertinimus ir įgyvendintų kibernetinio saugumo strategijas. Pavyzdžiui, skaitmeninių paslaugų sektorius turi būti pasirengęs greitai reaguoti į incidentus, kad būtų užtikrintas paslaugų tęstinumas. Apibendrinant, NIS2 direktyva reikalauja, kad Lietuvos įmonės ne tik atitiktų teisinius standartus, bet ir aktyviai dirbtų, kad užtikrintų savo sistemų saugumą ir patikimumą. Tai reikalauja nuolatinio investavimo ir inovacijų, kad būtų išvengta rimtų finansinių pasekmių ir reputacijos nuostolių.
NIS2 direktyvos reikalavimai ir BDAR
NIS2 direktyva ir BDAR (Bendrasis duomenų apsaugos reglamentas) sudaro svarbų teisinį pagrindą, kuris užtikrina kibernetinę ir duomenų apsaugą Europos Sąjungoje. NIS2 reikalavimai apima griežtesnius saugumo standartus, o BDAR užtikrina asmens duomenų apsaugą. Šių dviejų teisės aktų sąsaja yra ypač svarbi organizacijoms, kurios dirba su jautriais duomenimis ir kibernetinėmis sistemomis. NIS2 direktyva, įsigaliojusi 2024-10-17, numato, kad kibernetinio saugumo priemonės turi būti integruotos į organizacijos valdymo sistemas. Tai apima rizikos vertinimus, incidentų valdymą ir nuolatinį saugumo praktikų atnaujinimą. Tuo tarpu BDAR reikalauja, kad organizacijos užtikrintų asmens duomenų saugumą ir praneštų apie duomenų pažeidimus per 72 valandas. Pavyzdžiui, jei organizacija patiria kibernetinį incidentą, kuris paveikia asmens duomenis, ji privalo laikytis tiek NIS2, tiek BDAR reikalavimų. Tai reiškia, kad pranešimas apie incidentą turi būti pateiktas per 24 valandas NIS2 kontekste, o BDAR reikalauja pranešti apie asmens duomenų pažeidimus per 72 valandas. Šis laiko skirtumas gali sukelti painiavą ir reikalauja, kad organizacijos turėtų aiškias procedūras, kaip reaguoti į incidentus. Be to, NIS2 direktyva taikoma ne tik viešajam sektoriui, bet ir privačioms įmonėms, kurios teikia esmines paslaugas. Tai reiškia, kad visi subjektai, kurie dirba su kritiniais infrastruktūros elementais, turi užtikrinti atitiktį šiems reikalavimams. Nepaisant to, kad BDAR ir NIS2 gali turėti skirtingas taikymo sritis, jų sinergija yra būtina siekiant užtikrinti visapusišką duomenų ir kibernetinį saugumą Europoje.
NIS2 direktyvos įgyvendinimo terminai
NIS2 direktyvos įgyvendinimas reikalauja, kad įmonės, priklausančios esminiams ir svarbiems sektoriams, prisitaikytų iki 2024 metų spalio 17 dienos. Šios įmonės privalo užtikrinti, kad jų sistemų saugumas atitiktų naujus reikalavimus. Tai apima tinklų ir informacinių sistemų saugumo stiprinimą, incidentų valdymą, bei pranešimų apie incidentus teikimą. Nuo 2024 metų, organizacijos turės pranešti apie saugumo incidentus per 24 valandas, o už šios prievolės nesilaikymą gali būti taikomos didelės baudos. Pavyzdžiui, esminiams sektoriams baudų suma gali siekti iki 10 mln. EUR arba 2% metinių pajamų, priklausomai nuo to, kuri suma yra didesnė. Taip pat, svarbu atkreipti dėmesį, kad kiekviena šalis turi sukurti nacionalinę kompetencijų centrą, kuris koordinuos šių reikalavimų įgyvendinimą. Lietuvoje tai bus NACIONALINĖ KIBERSAUGOS CENTRAS, kuris padės įmonėms prisitaikyti prie NIS2 direktyvos reikalavimų. Be to, įmonės turėtų atlikti rizikos vertinimus, kad nustatytų silpnąsias vietas savo sistemose. Tai padės ne tik atitikti reikalavimus, bet ir užtikrinti geresnę informacinių sistemų apsaugą. NIS2 direktyva yra žingsnis link geresnio skaitmeninio saugumo visoje Europoje. Svarbu, kad įmonės pradėtų rengti planus ir strategijas, kaip įgyvendinti šiuos reikalavimus, kad išvengtų galimų finansinių nuostolių ir reputacijos praradimo.
Baudos ir sankcijos už NIS2 nesilaikymą
NIS2 direktyvos nesilaikymas gali sukelti rimtų pasekmių. Europos Sąjunga nustatė griežtas baudas už pažeidimus, įskaitant finansines sankcijas. Esminiams sektoriams, tokiems kaip energetika ar transportas, baudos gali siekti iki 10 mln. EUR arba 2 % metinių pajamų, priklausomai nuo to, kuri suma yra didesnė. Pavyzdžiui, jei įmonė, dirbanti kritinėje infrastruktūroje, nesilaiko reikalavimų dėl incidentų pranešimo, gali sulaukti rimtų finansinių pasekmių. Be to, NIS2 direktyva numato, kad valstybės narės turi įgyvendinti sankcijas už nesilaikymą, įskaitant administracines baudas ir galimus veiklos apribojimus. Nesilaikymas gali turėti ir reputacinių pasekmių. Įmonės, kurios nesilaiko NIS2 reikalavimų, gali patirti vartotojų pasitikėjimo praradimą. Tai gali paveikti jų rinkos poziciją ir ilgalaikį pelningumą. Taip pat gali būti taikomos teisinės sankcijos, jei pažeidimai sukels žalą trečiųjų šalių interesams. Nors baudos yra svarbus aspektas, NIS2 direktyva pabrėžia bendradarbiavimo svarbą tarp valstybių narių. Tai reiškia, kad valstybės narės privalo keistis informacija apie incidentus ir pažeidimus, kad būtų užtikrinta didesnė kibernetinė sauga visoje ES. Taigi, laikantis NIS2 reikalavimų, organizacijos ne tik išvengs finansinių sankcijų, bet ir prisidės prie bendro saugumo didinimo. Nors baudos už NIS2 nesilaikymą yra griežtos, jos yra būtinos siekiant užtikrinti, kad įmonės ir organizacijos rimtai žiūrėtų į kibernetinę saugą.
Įvertinkite savo BDAR atitiktį
120 audituotų įmonių, €0 VDAI baudų klientams. Užsisakykite nemokamą BDAR audito pasiūlymą.
Gauti pilną BDAR auditą nemokamai →Dažniausi klausimai
Šaltiniai
- Europos Parlamentas. (2022). europarl.europa.eu (accessed May 2026)
- ENISA (Europos kibernetinio saugumo agentūra). lrv.lt (2023). enisa.europa.eu (accessed May 2026)
- VDAI. (2023). vdai.lrv.lt (accessed May 2026)
- NACIONALINĖ KIBERSAUGOS CENTRAS. (2023). nksc.lt (accessed May 2026)
- Nacionalinis kibernetinio saugumo centras (NKSC). europa.eu (2022). nksc.lt (accessed May 2026)