NIS2 valdymo atsakomybe įmonėms
NIS2 direktyva nustato griežtus reikalavimus įmonėms, atsakingoms už esmines paslaugas ir skaitmeninę infrastruktūrą. Įmonės privalo užtikrinti, kad jų kibernetinio saugumo priemonės būtų veiksmingos ir atitiktų direktyvos standartus.
Apie Veriva UAB
Dauguma Lietuvos verslų neturi BDAR problemos — jie turi neaiškumo problemą. Veriva UAB sujungia teisinę ir IT kompetenciją vienoje komandoje, kad atitiktis būtų ne popierius stalčiuje, o realiai veikianti sistema.
Neteikiame bendrų rekomendacijų ar skaidrių. Atliekame auditus, rengiame dokumentus ir prižiūrime atitiktį realiose įmonės sistemose — nuo duomenų tvarkymo registro iki incidentų valdymo. Jei dokumentas neatitinka realios praktikos, jis nepadeda per VDAI patikrinimą.
Kiekviena paslauga baigiasi konkrečiu, naudojamu rezultatu — audito ataskaita, pasirašyta sutartimi ar paskirtu pareigūnu. Rankinis atitikties valdymas nespėja su reglamentų pokyčiais; mūsų sistema tai daro nuosekliai.
- BDAR atitiktis — auditas, RoPA, privatumo politikos, DPA sutartys
- DPO funkcija — išorinis duomenų apsaugos pareigūnas, mėnesinė stebėsena
- Kibernetinis saugumas — IT auditas, NIS2 atitiktis, phishing mokymai
NIS2 direktyvos pagrindiniai reikalavimai
NIS2 direktyva nustato griežtus reikalavimus įmonėms, atsakingoms už esmines paslaugas ir skaitmeninę infrastruktūrą. Įmonės privalo užtikrinti, kad jų kibernetinio saugumo priemonės būtų veiksmingos ir atitiktų direktyvos standartus. Kiekvienas subjektas turi įdiegti tinkamas technines ir organizacines priemones, kad užkirstų kelią kibernetinėms grėsmėms. Teigiama, kad 70% kibernetinių incidentų gali būti užkirsta, jei taikomos tinkamos saugumo priemonės. Be to, įmonės privalo pranešti apie bet kokius incidentus, kurie gali turėti įtakos paslaugų teikimui, per 24 valandas. Nepaisant to, kad šios taisyklės galioja visoms esminėms ir svarbioms įmonėms, 9 iš 14 subjektų jau nesilaiko šio reikalavimo. Baudos už nesilaikymą gali siekti iki 10 mln. EUR arba 2% metinės apyvartos, todėl laikymasis šių reikalavimų yra būtinas. NIS2 direktyva taip pat reikalauja, kad subjektai atliktų rizikos vertinimus ir sukurtų incidentų valdymo planus. Tai apima ne tik techninius sprendimus, bet ir darbuotojų mokymus bei sąmoningumo didinimą. Įmonės turi pasiruošti periodinėms ataskaitoms apie kibernetinio saugumo strategijas ir jų veiksmingumą. Tai ne tik padeda išvengti nuobaudų, bet ir stiprina pasitikėjimą klientų ir partnerių atžvilgiu. NIS2 direktyvos reikalavimai skatina organizacijas būti proaktyvioms, o ne reaguoti tik į incidentus. Tai esminis žingsnis siekiant stiprinti bendrą kibernetinį saugumą Europos Sąjungoje.
Atsakomybės pasiskirstymas įmonėse
Tinkamas atsakomybių pasiskirstymas tarp vadovų ir IT skyriaus yra esminis veiksnys, užtikrinantis sėkmingą NIS2 direktyvos įgyvendinimą. Vadovai turėtų būti atsakingi už strateginius sprendimus, kurie apima organizacijos kibernetinio saugumo politiką. Jų vaidmuo yra nustatyti prioritetus ir skirti reikiamus išteklius kibernetinio saugumo iniciatyvoms. IT skyrius, savo ruožtu, atsako už praktinį sprendimų įgyvendinimą. Jie turi gebėti įvertinti rizikas, diegti technologinius sprendimus ir užtikrinti, kad organizacija atitiktų nustatytus saugumo standartus.
Pasak ENISA, 60% organizacijų, nesugebėjusių tinkamai paskirstyti atsakomybių, patyrė rimtų kibernetinių incidentų. Tai rodo, kad aiškus atsakomybių pasiskirstymas yra būtinas ne tik siekiant atitikti teisės aktus, bet ir apsaugoti organizaciją nuo galimų grėsmių. Be to, svarbu, kad vadovai ir IT skyrius bendrautų nuolat. Tai padeda greitai reaguoti į incidentus ir užtikrinti, kad visi būtų informuoti apie galimas problemas.
Vadovai turėtų reguliariai dalyvauti kibernetinio saugumo mokymuose ir seminaruose, kad geriau suprastų kylančias grėsmes ir galimus sprendimus. IT skyrius turėtų teikti ataskaitas apie incidentus ir kibernetinio saugumo būklę, kad vadovai galėtų priimti informuotus sprendimus. Taip pat, pasitelkiant ataskaitas ir analizes, galima identifikuoti silpnąsias vietas ir tobulinti esamas politikos gaires. Tinkamai paskirstyta atsakomybė ne tik sumažina riziką, bet ir didina organizacijos pasitikėjimą savo gebėjimu valdyti kibernetinius iššūkius.
Incidentų pranešimo prievolės
Pagal NIS2 direktyvą, organizacijos privalo pranešti apie incidentus, kurie gali turėti reikšmingą poveikį jų paslaugoms ar vartotojams. Incidentas laikomas reikšmingu, kai jis gali sukelti daugiau nei 5% paslaugų sutrikimų per 24 valandas. Pranešimai turi būti teikiami per 24 valandas nuo incidento nustatymo. Tai reiškia, kad įmonės turi sukurti efektyvią vidinę procedūrą incidentų stebėjimui ir pranešimui, kad atitiktų šiuos reikalavimus. Jeigu incidentas sukelia didelį poveikį, gali būti reikalaujama teikti išsamesnę ataskaitą per 72 valandas.
Be to, organizacijos privalo užtikrinti, kad incidentų valdymo procesai būtų dokumentuojami ir atnaujinami, kad būtų galima analizuoti incidentų tendencijas ir imtis prevencinių priemonių. Šie veiksmai padeda ne tik laikytis įstatymų, bet ir stiprina organizacijos saugumo struktūrą.
Kaip pabrėžia ekspertai, "organizacijos, kurios greitai praneša apie incidentus, sumažina savo galimų nuostolių riziką iki 30% ". Tai rodo, kad efektyvus incidentų valdymas yra neatskiriama verslo strategijos dalis. Taip pat svarbu, kad darbuotojai būtų apmokyti atpažinti ir pranešti apie incidentus, nes tai padeda greitai reaguoti ir užkirsti kelią didesnėms problemoms.
Organizacijos, nesilaikančios šių reikalavimų, gali susidurti su griežtomis baudomis, kurios gali siekti iki 10 mln. EUR arba 2% metinės apyvartos. Todėl būtina investuoti į incidentų valdymo sistemas ir procesus, kad būtų užtikrinta atitiktis NIS2 direktyvai.
Atitikties užtikrinimo praktikos
Atitikties užtikrinimo praktikos reikalauja nuolatinio stebėjimo ir efektyvių metodų diegimo. Pirmiausia, organizacijos turėtų investuoti į automatizuotas sistemas, kurios padeda stebėti atitikties reikalavimus realiuoju laiku. Pavyzdžiui, automatizuoti audito įrankiai gali sumažinti atitikties tikrinimo laiką iki 30% . Tai leidžia greičiau identifikuoti ir spręsti problemas, o tai yra esminis aspektas, siekiant išvengti didelių baudų už pažeidimus.
Kitas svarbus metodas yra nuolatinio mokymo programų diegimas darbuotojams. Mokymai turėtų apimti ne tik teisinius aspektus, bet ir praktinius atvejus, kaip teisingai reaguoti į incidentus. Tyrimai rodo, kad organizacijos, kurios investuoja į darbuotojų mokymus, sumažina saugumo incidentų skaičių iki 60% .
Be to, reikėtų įdiegti griežtas vidines politikos gaires. Tai apima aiškias procedūras, kaip tvarkyti duomenis ir informuoti apie incidentus. Pavyzdžiui, organizacijos turėtų turėti planą, kaip pranešti apie incidentus per 24 valandas, kaip nurodyta NIS2 direktyvoje.
Galiausiai, bendradarbiavimas su trečiosiomis šalimis, tokiomis kaip kibernetinio saugumo ekspertai, gali padėti sustiprinti atitikties užtikrinimo praktiką. Šie ekspertai gali atlikti nepriklausomus auditus ir pateikti rekomendacijas, kaip gerinti saugumo praktiką. Organizacijos, kurios pasinaudojo tokių ekspertų paslaugomis, dažnai praneša apie reikšmingą saugumo lygio padidėjimą, kartu sumažinant galimų rizikų poveikį.
Rizikų valdymo strategijos
Rizikų valdymo strategijos yra esminis aspektas, siekiant užtikrinti veiklos tęstinumą ir sumažinti galimų nuostolių riziką. Organizacijos turi įdiegti sistemingus metodus, kad galėtų identifikuoti, analizuoti ir valdyti rizikas. Pirmiausia, reikalinga atlikti išsamią rizikos vertinimą, kuris apima visus galimus pavojus, nuo kibernetinių atakų iki gamybos sutrikimų. Pavyzdžiui, organizacijos, kurios investuoja į modernias IT sistemas, gali sumažinti kibernetinių incidentų tikimybę iki 50% . Be to, svarbu turėti aiškias atsargines strategijas, kurios leis greitai reaguoti į nenumatytas situacijas. Tai gali apimti ir veiklos nutraukimo planus, ir išteklių paskirstymo strategijas, kad būtų užtikrinta, jog kritinė veikla gali tęstis net ir esant nenumatytiems iššūkiams.
Kitas svarbus aspektas yra darbuotojų mokymai. Reguliarūs mokymai gali padėti darbuotojams suprasti, kaip atpažinti rizikas ir reaguoti į jas. Tyrimai rodo, kad organizacijos, kurios investuoja į darbuotojų mokymus, sumažina klaidų skaičių iki 30% . Taip pat būtina nuolat atnaujinti rizikų valdymo planus, kad jie atitiktų kintančias verslo aplinkybes ir teisės aktų reikalavimus. Nuo 2024 metų NIS2 direktyvos taikymas reikalauja, kad visos įmonės, dirbančios su kritinėmis infrastruktūromis, būtų pasirengusios greitai reaguoti į incidentus ir pranešti apie juos per 24 valandas. Todėl efektyvus rizikų valdymas ne tik užtikrina veiklos tęstinumą, bet ir padeda išvengti didelių finansinių nuostolių organizacijai.
Jaučiatės įklimpę į kasdienę rutiną?
Nuolat traukiami į operatyvinius darbus, nors žinote, kad reikia dirbti SU verslu kaip savininkas. Metas turėti komandą, kuri padengs rutiną.
Gauti pilną BDAR auditą nemokamai →
Freedom With a Team
Your customers are unique and so are your challenges. That is why we offer solutions, not formulas — we tailor the system to your business so it fits how you actually operate.
Yes, I want to scale my business. Book a chat to learn more
Let’s Get You There
You are investing in your business and we want you to get results. That is why we focus on managing the work so you can focus on growth. You don’t just get a back-end team — you get your time back.
Yes, I want to scale my business. Book a chat to learn more
You Are Not Alone
It is challenging at the beginning, especially when shifting your mindset to not fulfilling the work yourself. But our team is with you from the very start — through onboarding, launch, and beyond.
Yes, I want to scale my business. Book a chat to learn moreMūsų paslaugos
Dešimt paslaugų, apimančių BDAR atitiktį, duomenų apsaugą ir kibernetinį saugumą. Kiekviena orientuota į rezultatą — audito ataskaitą, paruoštą dokumentą arba VDAI patikrai atlaikyti gebančią sistemą.
BDAR atitikties auditas
BDAR atitikties auditas patikrina, kaip jūsų įmonė tvarko asmens duomenis, ir palygina esamą praktiką su BDAR reikalavimais. Aprėpiama visa organizacija — nuo svetainės slapukų iki personalo duomenų ir tvarkytojų sutarčių, kiekviena sritis įvertinama pagal rizikos lygį.
Rezultatas — prioritetizuotas veiksmų planas, ne abstraktus sąrašas. Žinote tiksliai, ką taisyti pirma prieš VDAI patikrinimą, o ne veikiate nuojauta.
Kiek laiko trunka BDAR auditas?
Pilnas auditas paprastai trunka 2-4 savaites, priklausomai nuo įmonės dydžio ir duomenų tvarkymo procesų skaičiaus.
Ką tikrina BDAR auditas?
8-12 sričių: teisinį pagrindą, sutikimus, subjektų teises, saugumo priemones, tvarkytojų sutartis ir dokumentaciją (RoPA).
DPO funkcijos perdavimas
Duomenų apsaugos pareigūno (DPO) funkciją atlieka išorinis ekspertas pagal BDAR 37 str., o ne etatinis darbuotojas. Nepriklausomas pareigūnas be interesų konflikto stebi atitiktį, konsultuoja ir palaiko ryšį su VDAI.
Paslauga apima nuolatinę stebėseną, darbuotojų mokymus ir reagavimą į duomenų subjektų užklausas — už dalį etatinio DPO kainos.
Kada įmonei privalomas DPO?
Viešojo sektoriaus subjektams ir organizacijoms, dideliu mastu tvarkančioms specialių kategorijų duomenis ar vykdančioms sistemingą stebėseną (BDAR 37 str.).
Kiek kainuoja išorinis DPO?
Mėnesinis principas, gerokai pigiau nei etatinis specialistas. Tikslią kainą pateikiame per 24 val.
Kibernetinio saugumo auditas
IT infrastruktūros auditas įvertina kibernetines rizikas ir parengia saugumo politikos dokumentus jūsų verslui. Auditas apima phishing simuliacijas, incidentų reagavimo planą ir, jei reikia, pen-testavimą.
Rezultatas — konkretus rizikų sumažinimo planas, ne bendros rekomendacijos. Tęstinis mėnesinis monitoringas užtikrina, kad apsauga liktų aktuali.
Kiek trunka kibernetinio saugumo auditas?
Pats auditas — 2-3 savaitės, tęstinis monitoringas vyksta mėnesiniu principu.
Ar auditas apima phishing mokymus?
Taip. Phishing simuliacijos ir mokymai darbuotojams yra standartinė audito dalis, nes žmogiškasis faktorius yra dažniausia pažeidimų priežastis.
NIS2/TIS2 atitikties konsultacija
NIS2 atitikties konsultacija paruošia jūsų įmonę pagal LT TIS2 perkėlimą (nuo 2025-10-17). Atliekame atotrūkio analizę, registruojame įmonę NKSC ir parengiame 10 priemonių įgyvendinimo planą.
Apima incidentų pranešimo procedūras ir tiekimo grandinės saugumo vertinimą — pilnas pasiruošimas per 3-6 mėnesius.
Kam taikoma NIS2 Lietuvoje?
18 sektorių sąrašas, apimantis energetiką, sveikatos apsaugą, skaitmenines paslaugas ir kitus — atotrūkio analizė nustato, ar jūsų įmonė patenka į sąrašą.
Kiek trunka pilnas NIS2 pasiruošimas?
3-6 mėnesiai, priklausomai nuo pradinės atitikties būklės ir įmonės technologinės infrastruktūros sudėtingumo.
Duomenų tvarkymo registras
Duomenų tvarkymo veiklos įrašai (RoPA) pagal BDAR 30 str. fiksuoja, kokius duomenis tvarkote, kokiu tikslu ir kokiu teisiniu pagrindu. Tai pirmas dokumentas, kurio VDAI paprašo per patikrinimą.
Rengiame registrą per interviu su jūsų komanda, ne kaip tuščią šabloną — rezultatas atspindi realius duomenų srautus jūsų sistemose.
Kas privalo turėti duomenų tvarkymo registrą?
Beveik visi valdytojai ir tvarkytojai pagal BDAR 30 str. — mažiau nei 250 darbuotojų išimtis praktiškai netaikoma reguliariam tvarkymui.
Kuo RoPA skiriasi nuo privatumo politikos?
Privatumo politika yra išorinis dokumentas subjektams; RoPA yra vidinis, detalesnis registras priežiūros institucijai.
Poveikio duomenų apsaugai vertinimas
PDAV pagal BDAR 35 str. įvertina, kaip planuojamas duomenų tvarkymas paveiks fizinių asmenų teises — privalomas, kai tvarkymas kelia didelę riziką (stebėsena, specialių kategorijų duomenys, naujos technologijos).
Vertiname ir teisinį pagrindą, ir realią techninę architektūrą, todėl rezultatas yra naudojamas dokumentas, ne formalumas dėl varnelės.
Kada PDAV yra privalomas?
Kai tvarkymas kelia didelę riziką — sistemingai stebint, dideliu mastu tvarkant specialių kategorijų duomenis ar naudojant naujas technologijas (BDAR 35 str.).
Kiek laiko užtrunka poveikio vertinimas?
Paprastai 1-3 savaitės, priklausomai nuo sistemos sudėtingumo ir duomenų srautų apimties.
Privatumo politika svetainei
Privatumo politika pagal BDAR 13-14 str. informuoja lankytojus, kaip tvarkomi jų duomenys. Dažniausia klaida — nukopijuota svetimo verslo politika, kuri neatitinka realių procesų ir tampa įrodymu prieš jus.
Rengiame tekstą, suderintą su jūsų duomenų tvarkymo registru — aiškia kalba, atitinkantį BDAR 12 str. skaidrumo principą.
Ar galiu nukopijuoti kitos įmonės privatumo politiką?
Ne. Nukopijuota politika beveik niekada neatitinka jūsų realių procesų ir tampa įrodymu prieš jus per VDAI patikrinimą.
Ką privaloma nurodyti privatumo politikoje?
Valdytojo tapatybę, tvarkymo tikslus ir pagrindą, gavėjus, saugojimo terminus ir duomenų subjekto teises (BDAR 13-14 str.).
Duomenų tvarkytojo sutartis
Duomenų tvarkytojo sutartis (DPA) pagal BDAR 28 str. privaloma kaskart, kai perduodate duomenis IT tiekėjui, debesijos platformai ar buhalterijos biurui. Sutarties nebuvimas yra savarankiškas pažeidimas, net jei nutekėjimo neįvyko.
Rengiame sutartis, atitinkančias BDAR 28 str., ir tikriname jau gautas tiekėjų sutartis, kurios dažnai neapsaugo valdytojo.
Kada privaloma tvarkytojo sutartis?
Kaskart, kai perduodate asmens duomenis kitam subjektui, kuris juos tvarko jūsų vardu — IT paslaugoms, debesijai, buhalterijai.
Kas nutinka be DPA sutarties?
Tai savarankiškas BDAR 28 str. pažeidimas — VDAI patikrinimo metu reikalauja pateikti visas tvarkytojo sutartis.
Duomenų pažeidimo valdymas
Duomenų pažeidimo (data breach) reagavimo planas apibrėžia žingsnius, kai įvyksta saugumo incidentas — nuo aptikimo iki pranešimo VDAI per 72 val. (BDAR 33 str.) ir, jei reikia, duomenų subjektams.
Paruoštas planas sumažina reagavimo laiką ir riziką, kad pavėluotas ar netinkamas pranešimas taps papildomu pažeidimu.
Per kiek laiko reikia pranešti apie duomenų pažeidimą?
VDAI turi būti informuota per 72 valandas nuo sužinojimo apie pažeidimą, jei jis kelia riziką asmenų teisėms (BDAR 33 str.).
Ar visada reikia informuoti duomenų subjektus?
Tik kai pažeidimas kelia didelę riziką jų teisėms ir laisvėms (BDAR 34 str.) — planas nustato, kada šis slenkstis pasiektas.
BDAR mokymai darbuotojams
Darbuotojų BDAR ir kibernetinio saugumo mokymai sumažina dažniausią pažeidimų priežastį — žmogiškąjį faktorių. Apima phishing simuliacijas, duomenų tvarkymo praktikos apžvalgą ir incidentų atpažinimą.
Mokymai pritaikomi jūsų komandos realioms situacijoms, ne bendroms skaidrėms — darbuotojai išeina žinodami, ką konkrečiai daryti.
Kaip dažnai reikia atnaujinti BDAR mokymus?
Rekomenduojama bent kartą per metus, papildomai — įdiegus naują procesą ar po incidento.
Ar mokymai apima phishing simuliacijas?
Taip, tai standartinė dalis — realistiškos simuliacijos parodo, kiek darbuotojų atpažįsta grėsmę praktikoje, ne tik teorijoje.
Mūsų sertifikatai
Mūsų komanda sujungia teisininkus ir IT specialistus, kurie kasdien dirba su BDAR, NIS2 ir kibernetinio saugumo reikalavimais. Bet kokiu klausimu galite paklausti tiesiogiai konsultacijos metu.
Norite pasitikrinti savo atitiktį?
Tiesiogiai užsisakykite konsultaciją mygtuku žemiau. Turite klausimų? Užpildykite formą — komandos narys susisieks per 24 val.
Susisiekite
DUK
Kas yra NIS2 valdymo atsakomybe ir kodėl ji svarbi?
NIS2 valdymo atsakomybė apima organizacijų pareigą užtikrinti kibernetinį saugumą ir reaguoti į incidentus. Ji svarbi, nes padeda apsaugoti kritinę infrastruktūrą ir duomenis, sumažinant kibernetinių atakų poveikį.
Kaip NIS2 direktyva veikia įmonių atsakomybę?
NIS2 direktyva nustato griežtesnius reikalavimus įmonėms, įskaitant privalomą incidentų pranešimą ir rizikos valdymo strategijas. Įmonės, nesilaikančios šių reikalavimų, gali susidurti su didelėmis baudomis ir reputacijos praradimu.
Kada įmonė turi pranešti apie incidentą pagal NIS2?
Įmonė privalo pranešti apie incidentą per 24 valandas nuo jo nustatymo. Šis reikalavimas taikomas, kai incidentas gali turėti rimtų pasekmių kibernetiniam saugumui.
Kokios yra pagrindinės NIS2 direktyvos reikalavimų pasekmės?
Pagrindinės pasekmės apima didesnę atsakomybę už kibernetinio saugumo valdymą ir galimas finansines baudas. Įmonės taip pat gali patirti reputacijos nuostolius, jei nesilaikys nustatytų standartų.
Kaip paskirstyti atsakomybę už NIS2 atitiktį įmonėje?
Atsakomybę už NIS2 atitiktį galima paskirstyti per kibernetinio saugumo komitetą, kuris apima IT specialistus, teisės ekspertus ir vadybą. Aiškiai apibrėžtos rolės ir atsakomybės padeda užtikrinti veiksmingą atitiktį.
Kokie sektoriai labiausiai paveikti NIS2 direktyvos?
Labiausiai paveikti sektoriai yra energetika, transportas, sveikatos apsauga ir finansai. Šie sektoriai yra laikomi kritiniais ir jų saugumas yra prioritetinis.
Kaip sumažinti riziką nesilaikant NIS2 reikalavimų?
Riziką galima sumažinti investuojant į kibernetinio saugumo technologijas, reguliariai apmokant darbuotojus ir vykdant saugumo auditą. Taip pat svarbu sukurti incidentų valdymo planą.
Kuo skiriasi NIS2 atsakomybė nuo kitų kibernetinio saugumo reikalavimų?
NIS2 atsakomybė yra orientuota į kritinės infrastruktūros saugumą ir reikalauja greito incidentų pranešimo. Kiti reikalavimai gali būti labiau orientuoti į bendrą duomenų apsaugą ir vartotojų privatumą.
Kodėl svarbu laikytis NIS2 direktyvos terminų?
Laikymasis NIS2 direktyvos terminų padeda užtikrinti kibernetinį saugumą ir išvengti baudų. Be to, greitas reagavimas į incidentus gali sumažinti jų poveikį organizacijai.
Kaip įmonės gali užtikrinti veiklos tęstinumą pagal NIS2?
Įmonės gali užtikrinti veiklos tęstinumą, rengdamos išsamius veiklos tęstinumo planus ir testuodamos juos reguliariai. Taip pat svarbu turėti atsargines sistemas ir alternatyvius tiekimo šaltinius.