Nutarimas netenka galios 2018-10-01:

Lietuvos Respublikos Vyriausybė, Nutarimas

Nr. 820, 2018-08-13, paskelbta TAR 2018-08-21, i. k. 2018-13260

Dėl Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymo įgyvendinimo

Suvestinė redakcija nuo 2018-05-08 iki 2018-09-30

Nutarimas paskelbtas: Žin. 2013, Nr. 92-4568, i. k. 1131100NUTA00000759

Nauja redakcija nuo 2018-05-08:

Nr. 427, 2018-05-02, paskelbta TAR 2018-05-07, i. k. 2018-07344

Lietuvos Respublikos Vyriausybė

nutarimas

Dėl ĮSLAPTINTOS INFORMACIJOS RYŠIŲ IR INFORMACINIŲ SISTEMŲ STEIGIMO IR ĮTEISINIMO TAISYKLIŲ PATVIRTINIMO

2013 m. rugpjūčio 21 d. Nr. 759

Vilnius

Vadovaudamasi Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymo 11 straipsnio 8 punktu ir siekdama užtikrinti 2013 m. rugsėjo 23 d. Tarybos sprendimo 2013/488/ES dėl ES įslaptintos informacijos apsaugai užtikrinti skirtų saugumo taisyklių (OL 2013 L 274, p. 1) nuostatų įgyvendinimą, Lietuvos Respublikos Vyriausybė nutaria:

Patvirtinti Įslaptintos informacijos ryšių ir informacinių sistemų steigimo ir įteisinimo taisykles (pridedama).

Ministras Pirmininkas	Algirdas Butkevičius

Vidaus reikalų ministras	Dailis Alfonsas Barakauskas

PATVIRTINTA
Lietuvos Respublikos Vyriausybės
2018 m. gegužės 2 d. nutarimu Nr. 427

ĮSLAPTINTOS INFORMACIJOS RYŠIŲ IR INFORMACINIŲ SISTEMŲ

STEIGIMO IR ĮTEISINIMO TAISYKLĖS

I SKYRIUS

BENDROSIOS NUOSTATOS

1.	Įslaptintos informacijos ryšių ir informacinių sistemų steigimo ir įteisinimo taisyklėse (toliau – Taisyklės) nustatyta įslaptintos informacijos ryšių ir informacinių sistemų (toliau – ĮIRIS), kuriose apdorojama ir (arba) kuriomis perduodama Lietuvos Respublikos įslaptinta informacija, Lietuvos Respublikai perduota užsienio valstybių, Europos Sąjungos ir tarptautinių organizacijų įslaptinta informacija, steigimo, kūrimo, įteisinimo, modernizavimo ir likvidavimo tvarka.

2.	Taisyklės taikomos paslapčių subjektams, jiems pavaldžioms ir jų reguliavimo sričiai priskirtoms įstaigoms, įmonėms ir jų tiekėjams, steigiantiems, kuriantiems ir eksploatuojantiems ĮIRIS. Jeigu ĮIRIS, kuriose apdorojama ir (arba) kuriomis perduodama Lietuvos Respublikai perduota užsienio valstybių, Europos Sąjungos ar tarptautinių organizacijų įslaptinta informacija, Lietuvos Respublikos tarptautinėse sutartyse ir (ar) jas įgyvendinančiuose tarptautinių organizacijų sprendimuose, Europos Sąjungos teisės aktuose yra nustatyti kitokie reikalavimai nei Taisyklėse, taikomos šių sutarčių, sprendimų ir Europos Sąjungos teisės aktų nuostatos.

3.	Taisyklėse vartojamos sąvokos apibrėžtos Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatyme.

4.	ĮIRIS apdorojamos ir (arba) perduodamos įslaptintos informacijos, ĮIRIS sujungimais (perduodant informaciją tarp kelių ĮIRIS arba iš kitų informacinių sistemų arba tinklų į ĮIRIS) perduodamos įslaptintos informacijos saugumas užtikrinamas vadovaujantis Valstybės ir tarnybos paslapčių įstatymu, Lietuvos Respublikos Vyriausybės nustatytais ĮIRIS saugumo reikalavimais (toliau – ĮIRIS saugumo reikalavimai), ĮIRIS telekomunikacijų apsaugos reikalavimais, ĮIRIS apsaugos nuo elektromagnetinės spinduliuotės priemonėms keliamais reikalavimais, kriptografinių priemonių administravimo tvarka ir kitais Lietuvos Respublikos teisės aktais, reglamentuojančiais įslaptintos informacijos apsaugą, o ĮIRIS, kuriose apdorojama ir (arba) kuriomis perduodama Lietuvos Respublikai perduota užsienio valstybių, Europos Sąjungos ar tarptautinių organizacijų įslaptinta informacija, – ir Lietuvos Respublikos tarptautinėmis sutartimis ir (ar) jas įgyvendinančiais tarptautinių organizacijų sprendimais, Europos Sąjungos teisės aktais, reglamentuojančiais šių valstybių, Europos Sąjungos ar tarptautinių organizacijų įslaptintos informacijos apsaugą.

II SKYRIUS

ĮIRIS STEIGIMAS

5.	Steigiant ĮIRIS, rengiamas ĮIRIS nuostatų projektas, kuriame turi būti nurodyta:

5.1.	teisės aktai, kuriems įgyvendinti steigiama ĮIRIS, įstatymai ir kiti teisės aktai, reglamentuojantys veiklos sritis, kurių informaciją numatoma tvarkyti ĮIRIS, ĮIRIS tikslas, asmens duomenų tvarkymo tikslas (jeigu tvarkomi asmens duomenys), uždaviniai, steigiamos ĮIRIS pagrindinės funkcijos;

5.2.	ĮIRIS organizacinė struktūra: paslapčių subjektas, jam pavaldi arba jo reguliavimo sričiai priskirta įstaiga, įmonė arba tiekėjas, kurie, siekdami apdoroti ir (arba) perduoti įslaptintą informaciją, inicijuoja ĮIRIS steigimą, nustato ĮIRIS tikslus ir atlieka kitas ĮIRIS saugumo reikalavimuose nurodytas funkcijas (toliau – ĮIRIS steigėjas), paslapčių subjektas, jam pavaldi arba jo reguliavimo sričiai priskirta įstaiga, įmonė arba tiekėjas, valdantys ĮIRIS ir atliekantys kitas ĮIRIS saugumo reikalavimuose nurodytas funkcijas (toliau – ĮIRIS valdytojas), paslapčių subjektas, jam pavaldi arba jo reguliavimo sričiai priskirta įstaiga, įmonė arba tiekėjas, tvarkantys ĮIRIS duomenis ir atliekantys kitas ĮIRIS saugumo reikalavimuose nurodytas funkcijas (toliau – ĮIRIS tvarkytojas), jų funkcijos, teisės ir pareigos, ĮIRIS naudotojų skyrimo nuostatos, jų kompetencija, subjektai, teikiantys duomenis iš kitų ĮIRIS, kitų informacinių sistemų, valstybės ir (arba) žinybinių registrų (toliau – duomenų teikėjai), ĮIRIS perduodamos įslaptintos informacijos gavėjai. Jeigu ĮIRIS tvarkomi asmens duomenys, nurodomas asmens duomenų valdytojas (valdytojai), asmens duomenų tvarkytojas (tvarkytojai) ir jų funkcijos, teisės ir pareigos, susijusios su asmens duomenų tvarkymu ĮIRIS;

5.3.	ĮIRIS informacinė struktūra: ĮIRIS apdorojami ir (arba) perduodami įslaptinti duomenys ir (arba) informacija, aukščiausia šios informacijos ir (arba) duomenų slaptumo žyma, visi iš valstybės informacinių sistemų, valstybės ir (arba) žinybinių registrų, kitų ĮIRIS ir (arba) informacinių sistemų teikiami duomenys, visi fizinių ir juridinių asmenų (asmenų grupių) teikiami duomenys, taip pat visi jų teikiami asmens duomenys (jeigu jų yra), duomenų bazės, duomenų srautai tarp steigiamos ĮIRIS ir kitų ĮIRIS arba kitų informacinių sistemų, tinklų bei valstybės ir (arba) žinybinių registrų, įslaptintos informacijos apdorojimo procesų rezultatai;

5.4.	ĮIRIS funkcinė struktūra: ĮIRIS sudedamosios dalys (komponentės, posistemiai), jų atliekamos funkcijos, naudotojams teikiamos elektroninės paslaugos ir kitos ĮIRIS funkcijos, susijusios su ĮIRIS ir jose esančių duomenų bazių administravimu, duomenų sauga, apskaita, ĮIRIS sujungimai;

5.5.	ĮIRIS duomenų teikimo ir naudojimo, netikslių, klaidingų, neišsamių duomenų taisymo tvarka;

5.6.	ĮIRIS duomenų archyvavimo ir saugojimo, ĮIRIS duomenų saugos nuostatos: nurodomas duomenų saugojimo ĮIRIS terminas, kada ir kaip ĮIRIS duomenys perkeliami į ĮIRIS archyvą, kiek laiko jame saugomi, taip pat veiksmai pasibaigus saugojimo terminui, atsakingi už ĮIRIS duomenų saugą asmenys, teisės aktai ir kiti dokumentai, kuriais vadovaujantis užtikrinama ĮIRIS duomenų sauga;

5.7.	ĮIRIS finansavimo šaltinis;

5.8.	ĮIRIS modernizavimo ir likvidavimo tvarka;

5.9.	kita steigiamą ĮIRIS apibūdinanti informacija.

6.	ĮIRIS nuostatų projektą rengia ĮIRIS steigėjas ar jo pavedimu ĮIRIS valdytojas. Parengtą ĮIRIS nuostatų projektą ĮIRIS steigėjas derina su:

6.1.	žinybine saugumo priežiūros tarnyba (toliau – žinybinė SPT) arba, jeigu ji neįsteigta, su Saugumo priežiūros tarnybos funkcijas atliekančia institucija (toliau – SPT);

6.2.	Nacionalinės komunikacijų apsaugos tarnybos funkcijas atliekančia institucija (toliau – Nacionalinė komunikacijų apsaugos tarnyba);

6.3.	Valstybine duomenų apsaugos inspekcija, jeigu ĮIRIS numatoma tvarkyti asmens duomenis (išskyrus atvejus, kai tokia informacija ĮIRIS tvarkoma valstybės saugumo arba gynybos tikslais);

6.4.	ĮIRIS ir kitų informacinių sistemų, iš kurių bus gaunami ar kurioms bus teikiami duomenys, valdytojais;

6.5.	Paslapčių apsaugos koordinavimo komisija, jeigu steigiama bendra su užsienio valstybe ar tarptautine organizacija ĮIRIS arba jeigu numatoma nacionalinę ĮIRIS sujungti su užsienio valstybės arba tarptautinės organizacijos ĮIRIS.

7.	ĮIRIS steigėjas, kuris yra tiekėjas, parengtą ĮIRIS nuostatų projektą pateikia įslaptintų sandorių saugumą užtikrinančiai institucijai, kuri šį projektą ne vėliau kaip per 5 darbo dienas nuo jo gavimo dienos perduoda paslapčių subjekto, su kuriuo sudaromas įslaptintas sandoris, žinybinei SPT arba, jeigu ji neįsteigta, SPT ir kitiems Taisyklių 6 punkte nurodytiems subjektams.

8.	ĮIRIS nuostatų projektas teikiamas pakartotinai derinti visiems Taisyklių 6 punkte nurodytiems subjektams, jeigu bent vienas iš šių subjektų pateikė pastabų arba pasiūlymų dėl šio projekto arba keičiamas jau suderintas ĮIRIS nuostatų projektas.

9.	Subjektai, gavę derinti ĮIRIS nuostatų projektą, pastabas ir pasiūlymus dėl nuostatų projekto pateikia ne vėliau kaip per 20 darbo dienų nuo projekto gavimo dienos, o jeigu ĮIRIS nuostatų projektas teikiamas derinti pakartotinai, – ne vėliau kaip per 15 darbo dienų nuo projekto gavimo dienos.

10.	ĮIRIS steigėjas, nuostatų projektą suderinęs su Taisyklių 6 punkte nurodytais subjektais, patvirtina ĮIRIS nuostatus.

11.	Jeigu ĮIRIS steigiama kelių institucijų, nesiejamų bendro pavaldumo, funkcijoms atlikti, ĮIRIS steigiančios institucijos rengia bendrą teisės akto, kuriuo tvirtinami ĮIRIS nuostatai, projektą ir viena iš ĮIRIS steigiančių institucijų skiriama ĮIRIS valdytoja. Projektas rengiamas ir derinamas šiame Taisyklių skyriuje nustatyta tvarka. Jeigu nėra galimybių priimti kelių ĮIRIS steigiančių ir bendru pavaldumu nesusijusių institucijų bendro teisės akto, rengiamas Lietuvos Respublikos Vyriausybės nutarimo, kuriuo tvirtinami ĮIRIS nuostatai, projektas ir viena iš ĮIRIS steigiančių institucijų skiriama ĮIRIS valdytoja. Šis projektas rengiamas ir derinamas šiame Taisyklių skyriuje nustatyta tvarka ir Lietuvos Respublikos Vyriausybei teikiamas Lietuvos Respublikos Vyriausybės darbo reglamento, patvirtinto Lietuvos Respublikos Vyriausybės 1994 m. rugpjūčio 11 d. nutarimu Nr. 728 Nr. „Dėl Lietuvos Respublikos Vyriausybės darbo reglamento patvirtinimo“, nustatyta tvarka.

12.	ĮIRIS laikoma įsteigta nuo ĮIRIS nuostatų įsigaliojimo dienos. ĮIRIS valdytojas ne vėliau kaip per 5 darbo dienas nuo ĮIRIS nuostatų patvirtinimo jų kopijas pateikia Nacionalinei komunikacijų apsaugos tarnybai, žinybinei SPT arba, jeigu ji neįsteigta, SPT ir Taisyklių 6.5 papunktyje nustatytais atvejais – Paslapčių apsaugos koordinavimo komisijai.

III SKYRIUS

ĮIRIS KŪRIMAS

13.	Patvirtinus ĮIRIS nuostatus, rengiamas ĮIRIS specifikacijos (toliau – specifikacija) projektas. Specifikacijos projektą rengia ĮIRIS nuostatuose nurodytas ĮIRIS valdytojas arba jo pavedimu – ĮIRIS tvarkytojas. Rengiant specifikacijos projektą, vadovaujamasi Nacionalinės komunikacijų apsaugos tarnybos vadovo nustatytais reikalavimais ĮIRIS specifikacijoms.

14.	Parengtą ĮIRIS, išskyrus ĮIRIS, kurios valdytojas yra žvalgybos institucija, specifikacijos projektą ĮIRIS valdytojas derina su:

14.1.	Nacionaline komunikacijų apsaugos tarnyba;

14.2.	žinybine SPT arba, jeigu ji neįsteigta, su SPT;

14.3.	ĮIRIS, iš kurių bus gaunami ar kurioms bus teikiami duomenys, valdytojais.

15.	ĮIRIS, kurių valdytojas yra žvalgybos institucija, specifikacijos projektą jų valdytojas derina tik su žinybine SPT arba, jeigu ji neįsteigta, su SPT.

16.	ĮIRIS valdytojas, kuris yra tiekėjas, parengtą ĮIRIS specifikacijos projektą pateikia įslaptintų sandorių saugumą užtikrinančiai institucijai, kuri šį projektą ne vėliau kaip per 5 darbo dienas nuo jo gavimo dienos perduoda paslapčių subjekto, su kuriuo sudaromas įslaptintas sandoris, žinybinei SPT arba, jeigu ji neįsteigta, SPT ir Nacionalinei komunikacijų apsaugos tarnybai.

17.	Subjektai, gavę derinti Specifikacijos projektą, pastabas ir pasiūlymus dėl jo pateikia ne vėliau kaip per 20 darbo dienų nuo projekto gavimo dienos, o dėl didelės apimties specifikacijos projekto (daugiau kaip 80 puslapių) – ne vėliau kaip per 30 darbo dienų nuo projekto gavimo dienos. Jeigu specifikacijos projektas pateikiamas derinti pakartotinai, projektą gavę subjektai pastabas ir pasiūlymus dėl jo pateikia ne vėliau kaip per 15 darbo dienų nuo projekto gavimo dienos, o jeigu pakartotinai pateikiamas didelės apimties specifikacijos projektas (daugiau kaip 80 puslapių), – ne vėliau kaip per 20 darbo dienų nuo projekto gavimo dienos.

18.	ĮIRIS valdytojas, specifikacijos projektą suderinęs su Taisyklių 14 arba 15 punktuose nurodytais subjektais, specifikaciją patvirtina. Specifikacijos projektas laikomas suderintu, kai Taisyklių 14 arba 15 punktuose nurodyti subjektai pritaria jam be pastabų ir pasiūlymų arba nepateikia pastabų ir pasiūlymų per Taisyklių 17 punkte nurodytus terminus.

19.	ĮIRIS valdytojas, kuris nėra žvalgybos institucija, ne vėliau kaip per 5 darbo dienas nuo specifikacijos patvirtinimo dienos pateikia jos kopiją Nacionalinei komunikacijų apsaugos tarnybai ir žinybinei SPT arba, jeigu ji neįsteigta, SPT.

20.	ĮIRIS valdytojas, kuris yra žvalgybos institucija, ne vėliau kaip per 5 darbo dienas nuo specifikacijos patvirtinimo dienos pateikia jos kopiją žinybinei SPT arba, jeigu ji neįsteigta, SPT.

21.	ĮIRIS kuriama vadovaujantis patvirtinta specifikacija. ĮIRIS kūrimą organizuoja ir vykdo ĮIRIS steigėjas arba jo pavedimu ĮIRIS valdytojas ir (arba) ĮIRIS tvarkytojas. ĮIRIS kurti ir eksploatuoti gali būti pasitelkiamas tiekėjas.

IV SKYRIUS

ĮIRIS ĮTEISINIMAS

PIRMASIS SKIRSNIS

LEIDIMŲ NAUDOTI ĮIRIS IŠDAVIMO PROCEDŪRA

22.	ĮIRIS valdytojas, išskyrus ĮIRIS valdytoją, kuris yra tiekėjas, siekdamas gauti leidimą naudoti ĮIRIS, pateikia prašymą dėl leidimo naudoti ĮIRIS išdavimo (toliau – Prašymas) žinybinei SPT arba, jeigu ji neįsteigta, SPT. Prašyme turi būti pateikta informacija apie įteisinamos ĮIRIS nuostatų suderinimą su Taisyklių 6 punkte nurodytais subjektais ir specifikacijos suderinimą su Taisyklių 14 arba 15 punktuose nurodytais subjektais, taip pat nurodytas pageidaujamas leidimo naudoti ĮIRIS galiojimo laikotarpis, jeigu jis neviršija 3 mėnesių. Kartu su Prašymu turi būti pateikti šie ĮIRIS valdytojo patvirtinti ĮIRIS saugos dokumentai (toliau – ĮIRIS saugos dokumentai), parengti vadovaujantis ĮIRIS saugumo reikalavimais:

22.1.	ĮIRIS specifinių saugumo reikalavimų aprašas;

22.2.	ĮIRIS saugumo valdymo procedūrų aprašas;

22.3.	ĮIRIS rizikos analizės ataskaita;

22.4.	ĮIRIS saugumo reikalavimų įgyvendinimo patikrinimo ataskaita.

23.	ĮIRIS valdytojas, kuris yra tiekėjas, Taisyklių 22 punkte nurodytus dokumentus pateikia įslaptintų sandorių saugumą užtikrinančiai institucijai, kuri, vadovaudamasi Lietuvos Respublikos Vyriausybės nustatyta tiekėjų patikimumo vertinimo tvarka, juos perduoda paslapčių subjekto, su kuriuo sudaromas įslaptintas sandoris, žinybinei SPT arba, jeigu ji neįsteigta, SPT.

24.	Žinybinė SPT arba, jeigu ji neįsteigta, SPT ne vėliau kaip per 3 mėnesius nuo Taisyklių 22 punkte nurodytų visų dokumentų gavimo dienos atlieka ĮIRIS saugos dokumentų vertinimą, ĮIRIS patikrinimą ir priima sprendimą dėl leidimo naudoti ĮIRIS išdavimo arba neišdavimo (toliau – Sprendimas). Į anksčiau nurodytą Sprendimo priėmimo terminą Taisyklių 27 ir 28 punktuose nurodytas leidimo naudoti ĮIRIS išdavimo procedūrų sustabdymo laikas neįskaičiuojamas.

25.	Žinybinė SPT arba, jeigu ji neįsteigta, SPT ne vėliau kaip per 5 darbo dienas nuo Taisyklių 22 punkte nurodytų dokumentų gavimo dienos informuoja ĮIRIS valdytoją apie jų gavimą ir, jeigu pateikti ne visi dokumentai, – apie trūkstamus dokumentus.

26.	Vertindama ĮIRIS saugos dokumentus, žinybinė SPT arba, jeigu ji neįsteigta, SPT patikrina, ar jų turinys atitinka ĮIRIS saugumo reikalavimuose nurodytus ĮIRIS saugos dokumentų turinio reikalavimus, ar juose nurodytos saugumo užtikrinimo priemonės atitinka Taisyklių 4 punkte nurodytuose teisės aktuose nustatytus reikalavimus.

27.	Žinybinė SPT arba, jeigu ji neįsteigta, SPT, įvertinusi ĮIRIS saugos dokumentus ir nustačiusi, kad jų turinys neatitinka ĮIRIS saugumo reikalavimuose nurodytų ĮIRIS saugos dokumentų turinio reikalavimų arba juose nurodytos saugumo užtikrinimo priemonės neatitinka Taisyklių 4 punkte nurodytuose teisės aktuose nustatytų reikalavimų, ne ilgesniam nei 30 kalendorinių dienų terminui sustabdo leidimo naudoti ĮIRIS išdavimo procedūrą, informuoja apie tai ĮIRIS valdytoją, nurodo trūkumus ir leidimo naudoti ĮIRIS išdavimo procedūros sustabdymo terminą, per kurį trūkumai turi būti pašalinti. ĮIRIS valdytojui per nustatytą leidimo naudoti ĮIRIS išdavimo procedūros sustabdymo terminą nepašalinus nurodytų trūkumų, išskyrus trūkumus, nekeliančius grėsmės ĮIRIS apdorojamos ir (arba) perduodamos įslaptintos informacijos saugumui, žinybinė SPT arba, jeigu ji neįsteigta, SPT nutraukia leidimo naudoti ĮIRIS išdavimo procedūrą.

28.	Įvertinusi ĮIRIS saugos dokumentus, žinybinė SPT arba, jeigu ji neįsteigta, SPT atlieka ĮIRIS patikrinimą, kurio metu įsitikinama, ar visos ĮIRIS saugos dokumentuose nurodytos saugumo užtikrinimo priemonės yra įdiegtos ĮIRIS, taip pat patikrinamas jų veikimas. Nustačiusi minėtų priemonių veikimo trūkumų arba kad ne visos ĮIRIS saugos dokumentuose nurodytos saugumo užtikrinimo priemonės yra įdiegtos ĮIRIS, žinybinė SPT arba, jeigu ji neįsteigta, SPT ne ilgesniam nei 30 kalendorinių dienų terminui sustabdo leidimo naudoti ĮIRIS išdavimo procedūrą, informuoja apie tai ĮIRIS valdytoją, nurodo trūkumus ir leidimo naudoti ĮIRIS išdavimo procedūros sustabdymo terminą, per kurį trūkumai turi būti pašalinti. ĮIRIS valdytojui per nustatytą leidimo naudoti ĮIRIS išdavimo procedūros sustabdymo terminą nepašalinus nurodytų trūkumų, išskyrus trūkumus, nekeliančius grėsmės ĮIRIS apdorojamos ir (arba) perduodamos įslaptintos informacijos saugumui, žinybinė SPT arba, jeigu ji neįsteigta, SPT nutraukia leidimo naudoti ĮIRIS išdavimo procedūrą.

29.	Žinybinė SPT arba, jeigu ji neįsteigta, SPT, vertindama ĮIRIS saugos dokumentus ir (arba) atlikdama ĮIRIS patikrinimą, turi teisę prašyti ĮIRIS valdytoją papildomų dokumentų, reikalingų ĮIRIS taikomoms saugumo užtikrinimo priemonėms įvertinti ir (arba) ĮIRIS patikrinti, o per nustatytą terminą jų negavusi – nutraukti leidimo naudoti ĮIRIS išdavimo procedūrą.

30.	Žinybinė SPT arba, jeigu ji neįsteigta, SPT, atlikusi ĮIRIS saugos dokumentų vertinimą ir ĮIRIS patikrinimą, priima vieną iš šių Sprendimų:

30.1.	išduoti Taisyklių 1 priede nustatytos formos leidimą naudoti ĮIRIS ne ilgiau kaip trejus metus, atliekant visas ĮIRIS nuostatuose nurodytas funkcijas ir veiksmus (toliau – leidimas), jeigu atliekant ĮIRIS saugos dokumentų vertinimą ir ĮIRIS patikrinimą nenustatoma trūkumų arba nustatyti trūkumai pašalinami per žinybinės SPT arba, jeigu ji neįsteigta, SPT nustatytą terminą. ĮIRIS saugos dokumentų vertinimo ir ĮIRIS patikrinimo rezultatai pateikiami Sprendime;

30.2.	išduoti Taisyklių 1 priede nustatytos formos leidimą naudoti ĮIRIS ne ilgiau kaip vienerius metus (toliau – laikinas leidimas), jeigu atliekant ĮIRIS saugos dokumentų vertinimą trūkumų nenustatoma arba nustatyti trūkumai buvo pašalinti, bet atliekant ĮIRIS patikrinimą nustatoma trūkumų, nekeliančių grėsmės ĮIRIS apdorojamos ir (arba) perduodamos įslaptintos informacijos saugumui. Atitiktis nustatytiems reikalavimams, nustatyti trūkumai ir ĮIRIS leidžiamų atlikti veiksmų ir funkcijų apimtis, atsižvelgiant į nustatytus trūkumus, nurodomi Sprendime;

30.3.	išduoti Taisyklių 1 priede nustatytos formos leidimą naudoti ĮIRIS ne ilgiau kaip tris mėnesius (toliau – ribotas leidimas), jeigu ĮIRIS valdytojas numato naudoti ĮIRIS ne ilgiau kaip 3 mėnesius ir jeigu atliekant ĮIRIS saugos dokumentų vertinimą ir ĮIRIS patikrinimą trūkumų nenustatoma arba nustatoma trūkumų, nekeliančių grėsmės ĮIRIS apdorojamos ir (arba) perduodamos įslaptintos informacijos saugumui. ĮIRIS leidžiamų atlikti funkcijų ir veiksmų apimtis nurodoma Sprendime. Ribotas leidimas išduodamas ĮIRIS valdytojo Prašyme nurodytam ne ilgesniam nei 3 mėnesių terminui arba, jeigu Prašyme pageidaujamas terminas nebuvo nurodytas, – 3 mėnesiams;

30.4.	neišduoti leidimo naudoti ĮIRIS, jeigu atliekant ĮIRIS saugos dokumentų vertinimą ir ĮIRIS patikrinimą nustatoma trūkumų, išskyrus Taisyklių 30.1, 30.2 ir 30.3 papunkčiuose nurodytus atvejus.

31.	Leidimą naudoti ĮIRIS išdavusi žinybinė SPT ne vėliau kaip per 5 darbo dienas nuo minėto leidimo išdavimo dienos jo kopiją pateikia SPT.

32.	Leidimus naudoti ĮIRIS išdavusi žinybinė SPT arba, jeigu ji neįsteigta, SPT ne vėliau kaip per 5 darbo dienas nuo šių leidimų išdavimo dienos jų kopijas pateikia Lietuvos Respublikos valstybės saugumo departamentui, o leidimų naudoti ĮIRIS, kurių valdytojai – tiekėjai, kopijas – ir įslaptintų sandorių saugumą užtikrinančiai institucijai.

33.	ĮIRIS valdytojui, kuris yra tiekėjas, išduotas leidimas naudoti ĮIRIS galioja Taisyklių 30.1–30.3 papunkčiuose nustatytą terminą, bet ne ilgiau nei tiekėjo patikimumo pažymėjimas, įslaptintos informacijos, žymimos slaptumo žyma „Riboto naudojimo“, apsaugos reikalavimų atitiktį patvirtinanti pažyma arba tiekėjo leidimas dirbti arba susipažinti su įslaptinta informacija.

ANTRASIS SKIRSNIS

LEIDIMO NAUDOTI ĮIRIS ĮIRIS KŪRIMO IR ĮTEISINIMO ĮSLAPTINTIEMS DOKUMENTAMS PARENGTI IŠDAVIMO PROCEDŪRA

34.	ĮIRIS, skirta ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti, turi atitikti ĮIRIS saugumo reikalavimuose tokioms ĮIRIS nustatytus saugumo reikalavimus. Šiose ĮIRIS gali būti apdorojama tik ĮIRIS kūrimo ir įteisinimo dokumentams parengti reikalinga įslaptinta informacija.

35.	ĮIRIS valdytojas, siekdamas gauti leidimą naudoti ĮIRIS ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti, žinybinei SPT arba, jeigu ji neįsteigta, SPT pateikia:

35.1.	Taisyklių 2 priede nustatytos formos prašymą išduoti leidimą naudoti ĮIRIS ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti;

35.2.	dokumento, patvirtinančio, kad patalpos, teritorijos ar kitos vietos, kuriose įrengta ĮIRIS, yra pripažintos tinkamomis įslaptintai informacijai saugoti ar su ja dirbti, kopiją;

35.3.	dokumentų, kuriuose nurodyti asmenys, įgalioti naudoti ĮIRIS, kopijas;

35.4.	dokumentų, kuriais Taisyklių 35.3 papunktyje nurodytiems asmenims suteikta teisė dirbti ar susipažinti su įslaptinta informacija, kopijas.

36.	Žinybinė SPT arba, jeigu ji neįsteigta, SPT ne vėliau kaip per 15 darbo dienų nuo Taisyklių 35 punkte nurodytų dokumentų gavimo dienos įvertina juos ir patikrina, ar ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti naudojama ĮIRIS atitinka ĮIRIS saugumo reikalavimuose tokioms ĮIRIS nustatytus saugumo reikalavimus, ir priima sprendimą dėl leidimo naudoti ĮIRIS ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti išdavimo. Išduotas Taisyklių 1 priede nustatytos formos leidimas naudoti ĮIRIS ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti galioja iki leidimo naudoti ĮIRIS, kurios kūrimo ir įteisinimo įslaptintiems dokumentams parengti ši ĮIRIS buvo naudojama, išdavimo dienos, bet ne ilgiau kaip devynis mėnesius. Leidimas naudoti ĮIRIS ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti neišduodamas, jeigu nustatoma, kad ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti naudojama ĮIRIS neatitinka ĮIRIS saugumo reikalavimuose tokioms ĮIRIS nustatytų saugumo reikalavimų.

TREČIASIS SKIRSNIS

IŠDUOTŲ LEIDIMŲ NAUDOTI ĮIRIS GALIOJIMO SUSTABDYMAS IR (ARBA) PANAIKINIMAS

37.	Sprendimą dėl leidimo naudoti ĮIRIS galiojimo sustabdymo minėtą leidimą išdavusi žinybinė SPT arba, jeigu ji neįsteigta, SPT priima nustačiusi, kad ĮIRIS valdytojas, apdorodamas ir (arba) perduodamas įslaptintą informaciją ĮIRIS arba naudodamas ĮIRIS sujungimą, nevykdo Taisyklių 4 punkte nurodytuose teisės aktuose nustatytų reikalavimų.

38.	Sprendimą dėl leidimo naudoti ĮIRIS galiojimo sustabdymo minėtą leidimą išdavusi žinybinė SPT arba, jeigu ji neįsteigta, SPT turi priimti nedelsdama, bet ne vėliau kaip per 3 darbo dienas nuo Taisyklių 37 punkte nurodytų aplinkybių nustatymo dienos. Informuodama apie leidimo naudoti ĮIRIS galiojimo sustabdymą, žinybinė SPT arba, jeigu ji neįsteigta, SPT ĮIRIS valdytojui nurodo nustatytus trūkumus ir minėto leidimo galiojimo sustabdymo terminą, per kurį trūkumai turi būti pašalinti.

39.	Leidimą naudoti ĮIRIS išdavusi žinybinė SPT arba, jeigu ji neįsteigta, SPT, atsižvelgdama į nustatytų trūkumų pobūdį ir įsitikinusi, kad jie nekelia grėsmės saugiam visos ĮIRIS funkcionavimui, turi teisę, nesustabdydama leidimo naudoti ĮIRIS galiojimo, nustatyti trūkumų pašalinimo terminą, uždrausti apdoroti ir (arba) perduoti įslaptintą informaciją dalyje ĮIRIS, uždrausti naudoti ĮIRIS sujungimą ir (arba) nustatyti kitų ĮIRIS leidžiamų atlikti veiksmų ir funkcijų ribojimus, būtinus įslaptintos informacijos saugumui užtikrinti.

40.	ĮIRIS valdytojui pašalinus Taisyklių 37 punkte nurodytus trūkumus ir informavus apie tai šiuos trūkumus nustačiusią žinybinę SPT arba, jeigu ji neįsteigta, SPT, žinybinė SPT arba, jeigu ji neįsteigta, SPT ne vėliau kaip per 5 darbo dienas nuo šios informacijos gavimo dienos patikrina, ar nurodyti trūkumai yra pašalinti, ir, jeigu trūkumai pašalinti, atnaujina sustabdyto leidimo naudoti ĮIRIS galiojimą ar panaikina kitus Taisyklių 39 punkte nurodytus ribojimus, būtinus įslaptintos informacijos saugumui užtikrinti.

41.	Leidimą naudoti ĮIRIS išdavusi žinybinė SPT arba, jeigu ji neįsteigta, SPT jį panaikina šiais atvejais:

41.1.	nustačius ĮIRIS apdorojamos ir (arba) perduodamos arba ĮIRIS sujungimu perduodamos įslaptintos informacijos slaptumo, vientisumo ir (arba) prieinamumo teisėtiems naudotojams praradimo faktą;

41.2.	jeigu ĮIRIS valdytojas per Taisyklių 38 punkte nurodytą leidimo naudoti ĮIRIS galiojimo sustabdymo terminą ar Taisyklių 39 punkte nurodytą trūkumų pašalinimo terminą nepašalino nurodytų trūkumų arba nesilaikė Taisyklių 39 punkte nurodytų ribojimų, būtinų įslaptintos informacijos saugumui užtikrinti.

42.	Sprendimą dėl leidimo naudoti ĮIRIS panaikinimo jį išdavusi žinybinė SPT arba SPT turi priimti nedelsdama, bet ne vėliau kaip per 3 darbo dienas nuo Taisyklių 41 punkte nurodytų aplinkybių nustatymo dienos.

KETVIRTASIS SKIRSNIS

ĮIRIS MODERNIZAVIMAS

43.	ĮIRIS, išskyrus ĮIRIS, kurioms išduotas ribotas leidimas, modernizuojamos:

43.1.	pasikeitus teisės aktuose nustatytoms ĮIRIS valdytojo funkcijoms, kurioms atlikti reikalingą įslaptintą informaciją apdoroja ir (arba) perduoda ĮIRIS;

43.2.	atsiradus papildomų poreikių, kurie iš esmės keičia įslaptintos informacijos apdorojimo procesus, teikiamas elektronines paslaugas;

43.3.	nustačius grėsmių, galinčių paveikti įslaptintos informacijos apdorojimo procesų ir teikiamų elektroninių paslaugų saugumą.

44.	Sprendimą modernizuoti ĮIRIS priima ĮIRIS steigėjas. Priėmęs sprendimą modernizuoti ĮIRIS, ĮIRIS steigėjas arba jo pavedimu ĮIRIS valdytojas rengia ĮIRIS nuostatų pakeitimo projektą. Patvirtinus ĮIRIS nuostatų pakeitimo projektą, ĮIRIS valdytojas arba jo pavedimu ĮIRIS tvarkytojas rengia specifikacijos pakeitimo projektą.

45.	ĮIRIS nuostatų ir specifikacijų pakeitimo projektai rengiami, derinami (išskyrus tuos atvejus, kai atliekami redakciniai pakeitimai), tvirtinami ir patvirtinti kitiems subjektams pateikiami mutatis mutandis, vadovaujantis Taisyklių II ir III skyriuose nustatyta tvarka. Pakeitus Taisyklių 22.1 ir 22.2 papunkčiuose nurodytus ĮIRIS saugos dokumentus, išskyrus tuos atvejus, kai atliekami redakciniai pakeitimai, ĮIRIS įteisinamos Taisyklių IV skyriaus pirmajame skirsnyje nustatyta tvarka.

V SKYRIUS

ĮIRIS LIKVIDAVIMAS

46.	Sprendimą dėl ĮIRIS likvidavimo priima ĮIRIS steigėjas.

47.	ĮIRIS valdytojas ne vėliau kaip per 5 darbo dienas nuo sprendimo dėl ĮIRIS likvidavimo priėmimo dienos apie tai raštu turi informuoti ĮIRIS tvarkytoją (tvarkytojus), leidimą naudoti ĮIRIS išdavusią žinybinę SPT arba, jeigu ji neįsteigta, SPT, duomenų teikėjus ir ĮIRIS perduodamos įslaptintos informacijos gavėjus, kitas institucijas, kurios naudojasi likviduojamomis ĮIRIS, institucijas, kurioms numatoma perduoti likviduojamų ĮIRIS duomenis, ir, jeigu likviduojamos ĮIRIS yra sujungtos su kitomis informacinėmis sistemomis ar ĮIRIS, jų valdytojus.

48.	Steigėjo sprendimas likviduoti bendras su užsienio valstybe ar tarptautine organizacija ĮIRIS arba nacionalinę ĮIRIS, sujungtą su užsienio valstybės arba tarptautinės organizacijos ĮIRIS, turi būti suderintas su Paslapčių apsaugos koordinavimo komisija.

49.	Sprendime dėl ĮIRIS likvidavimo turi būti nurodyta:

49.1.	ĮIRIS likvidavimo terminas (likvidavimo procedūrų pradžios ir pabaigos datos);

49.2.	ĮIRIS duomenų perdavimo kitai ĮIRIS arba informacinei sistemai ir (arba) valstybės archyvams ir (arba) susijusiems paslapčių subjektams (arba atitinkamai užsienio šalims arba tarptautinėms organizacijoms) arba sunaikinimo tvarka;

49.3.	už ĮIRIS likvidavimą atsakingi asmenys, struktūriniai padaliniai ir (arba) institucijos, jų teisės ir pareigos ĮIRIS likvidavimo laikotarpiu;

49.4.	likviduojamos ĮIRIS techninės ir programinės įrangos tolesnio panaudojimo arba likvidavimo tvarka.

50.	Likviduojamų ĮIRIS duomenys perduodami kitoms ĮIRIS arba valstybės archyvams, sunaikinami arba saugomi Valstybės ir tarnybos paslapčių įstatymo ir Lietuvos Respublikos dokumentų ir archyvų įstatymo nustatyta tvarka.

VI SKYRIUS

BAIGIAMOSIOS NUOSTATOS

51.	Apie atitinkamus sprendimus dėl leidimo naudoti ĮIRIS išdavimo procedūrų sustabdymo ar nutraukimo, leidimo naudoti ĮIRIS išdavimo ar neišdavimo, leidimo naudoti ĮIRIS galiojimo sustabdymo, trūkumų pašalinimo termino ir kitų ĮIRIS leidžiamų atlikti veiksmų ir funkcijų ribojimų, būtinų įslaptintos informacijos saugumui užtikrinti, nustatymo, sustabdyto leidimo naudoti ĮIRIS galiojimo atnaujinimo, ĮIRIS leidžiamų atlikti veiksmų ir funkcijų ribojimų, būtinų įslaptintos informacijos saugumui užtikrinti, panaikinimo ir leidimo naudoti ĮIRIS panaikinimo ĮIRIS valdytoją informuoja tuos sprendimus priėmusi žinybinė SPT arba, jeigu ji neįsteigta, SPT Lietuvos Respublikos viešojo administravimo įstatymo nustatyta tvarka.

––––––––––––––––––––

Įslaptintos informacijos ryšių ir informacinių sistemų steigimo ir įteisinimo taisyklių

1 priedas

(Leidimo naudoti įslaptintos informacijos ryšių ir informacinę sistemą forma)

LEIDIMAS NAUDOTI ĮSLAPTINTOS INFORMACIJOS RYŠIŲ IR INFORMACINĘ SISTEMĄ

20 m. d. Nr.

Vilnius

Šis leidimas naudoti įslaptintos informacijos ryšių ir informacinę sistemą (toliau – ĮIRIS) išduotas
(Paslapčių subjekto arba jam pavaldžios ar jo reguliavimo sričiai priskirtos įstaigos, įmonės pavadinimas arba tiekėjo pavadinimas)
ir patvirtina, kad ĮIRIS
,
(ĮIRIS pavadinimas)
valdomoje
(ĮIRIS nuostatuose nurodyto paslapčių subjekto, jam pavaldžios ar jo reguliavimo sričiai priskirtos įstaigos, įmonės arba tiekėjo, valdančio ĮIRIS (toliau – ĮIRIS valdytojas), pavadinimas)
,
(ĮIRIS valdytojo adresas)
(Slaptumo žyma ar žymos) leidžiama atlikti šio leidimo 1 punkte nurodytame sprendime nustatytas funkcijas, nurodytos apimties veiksmus nurodytomis sąlygomis ir naudoti ĮIRIS įslaptintai informacijai, žymimai slaptumo žyma (žymomis)______________________ ir žemesne (žemesnėmis), apdoroti ir (arba) perduoti.
Šis leidimas naudoti ĮIRIS išduotas vadovaujantis Lietuvos Respublikos valstybės ir tarnybos paslapčių įstatymu ir šiais teisės aktais ir dokumentais:
1.
(Saugumo priežiūros tarnybos (toliau – SPT) ar žinybinės SPT funkcijas atliekančios institucijos, parengusios sprendimą dėl leidimo naudoti ĮIRIS išdavimo, pavadinimas, sprendimo data ir numeris)
21 2–5 punktai nepildomi, jei leidimas naudoti ĮIRIS išduodamas ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti. .
(Specifinių saugumo reikalavimų aprašo pavadinimas, teisės aktą, kuriuo jis patvirtintas, priėmusio subjekto pavadinimas, teisės akto priėmimo data, rūšis ir numeris)
3⃰.
(Saugumo valdymo procedūrų aprašo pavadinimas, teisės aktą, kuriuo jis patvirtintas, priėmusio subjekto pavadinimas, teisės akto priėmimo data, rūšis ir numeris)
4⃰.
(Rizikos analizės pavadinimas, teisės aktą, kuriuo jis patvirtintas, priėmusio subjekto pavadinimas, teisės akto priėmimo data, rūšis ir numeris)
5⃰.
(Saugumo reikalavimų įgyvendinimo patikrinimo ataskaita, teisės aktą, kuriuo ji patvirtinta, priėmusio subjekto pavadinimas, teisės akto priėmimo data, rūšis ir numeris)
6.
(Kiti teisės aktai ar dokumentai)
Leidimas naudoti ĮIRIS galioja iki
(Leidimo naudoti ĮIRIS galiojimo terminas)
(Leidimą naudoti ĮIRIS išdavusios SPT ar žinybinės SPT funkcijas atliekančios institucijos vadovo pareigos)	(Parašas)	(Vardas ir pavardė)

Įslaptintos informacijos ryšių ir informacinių sistemų steigimo ir įteisinimo taisyklių
2 priedas

(Prašymo išduoti leidimą naudoti įslaptintos informacijos ryšių ir informacinę sistemą įslaptintos informacijos ryšių ir informacinės sistemos kūrimo ir įteisinimo įslaptintiems dokumentams parengti forma)

PRAŠYMAS

IŠDUOTI LEIDIMĄ NAUDOTI ĮSLAPTINTOS INFORMACIJOS RYŠIŲ IR INFORMACINĘ SISTEMĄ ĮSLAPTINTOS INFORMACIJOS RYŠIŲ IR INFORMACINĖS SISTEMOS KŪRIMO IR ĮTEISINIMO ĮSLAPTINTIEMS DOKUMENTAMS PARENGTI

20 m. d. Nr.

........................................................................................................

(vieta)

(Įslaptintos informacijos ryšių ir informacinės sistemos (toliau – ĮIRIS) nuostatuose nurodyto paslapčių subjekto, jam pavaldžios ar jo reguliavimo sričiai priskirtos įstaigos, įmonės arba tiekėjo, valdančio ĮIRIS (toliau – ĮIRIS valdytojas), pavadinimas ir adresas)

Prašo išduoti leidimą naudoti ĮIRIS

(ĮIRIS pavadinimas, ĮIRIS įrengimo vietos adresas, patalpos, kurioje įrengta ĮIRIS, numeris ar kita įrengimo vietos identifikavimo informacija. Jei įteisinamą ĮIRIS sudaro dvi ar daugiau darbo vietų, nurodomi vienos pasirinktos ĮIRIS darbo vietos, kurioje bus rengiami ĮIRIS kūrimo ir įteisinimo dokumentai, įrengimo vietos duomenys)

ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti ir patvirtina, kad yra įgyvendinęs šiuos ĮIRIS saugumo reikalavimus:

1. ĮIRIS sudaro viena kompiuterinė darbo vieta, neturinti sujungimų su kitomis ĮIRIS, valstybės informacinėmis sistemomis, informacinėmis sistemomis ir tinklais;

2. ĮIRIS įdiegta kenksmingos programinės įrangos aptikimo programinė įranga

;
(Įdiegtos įrangos pavadinimas)

3. ĮIRIS įdiegta programinė įranga, reikalinga ĮIRIS kūrimo ir įteisinimo įslaptintiems dokumentams parengti (operacinė sistema, biuro programinės įrangos paketas)

;
(Įdiegtos įrangos pavadinimas)

4. ĮIRIS naudojasi tik ĮIRIS valdytojo įsakymu įgalioti asmenys, naudotojų tapatybei patvirtinti naudojami ne trumpesni nei 9 simbolių slaptažodžiai;

5. ĮIRIS nenaudojamos išorinės laikmenos, turinčios USB sąsajas, ĮIRIS kompiuterinėje duomenų apdorojimo įrangoje išjungta automatinė laikmenų, įdedamų į joje esantį nuskaitymo įrenginį, paleistis.

___________________	_________________	__________________

(Pareigų pavadinimas)	(Parašas)	(Vardas ir pavardė)

Pakeitimai:

1.

Lietuvos Respublikos Vyriausybė, Nutarimas

Nr. 1292, 2013-12-31, Žin., 2013, Nr. 141-7122 (2013-12-31); paskelbta TAR 2013-12-31, i. k. 2013-00314

Dėl Lietuvos Respublikos Vyriausybės 2013 m. rugpjūčio 21 d. nutarimo Nr. 759 "Dėl Automatizuoto duomenų apdorojimo sistemų ir tinklų, kuriuose saugoma, apdorojama ar kuriais perduodama įslaptinta informacija, steigimo ir įteisinimo taisyklių patvirtinimo" pakeitimo

2.

Lietuvos Respublikos Vyriausybė, Nutarimas

Nr. 427, 2018-05-02, paskelbta TAR 2018-05-07, i. k. 2018-07344

Dėl Lietuvos Respublikos Vyriausybės 2013 m. rugpjūčio 21 d. nutarimo Nr. 759 „Dėl Automatizuoto duomenų apdorojimo sistemų ir tinklų, kuriuose saugoma, apdorojama ar kuriais perduodama įslaptinta informacija, steigimo ir įteisinimo taisyklių patvirtinimo“ pakeitimo