LIETUVOS RESPUBLIKOS
KIBERNETINIO SAUGUMO ĮSTATYMO NR. XII-1428 2, 11, 12, 13, 19, 23, 28, 30, 31, 38 STRAIPSNIŲ IR 2, 3 PRIEDŲ PAKEITIMO
ĮSTATYMAS
2026 m. birželio 25 d. Nr. XV-1076
Vilnius
1 straipsnis. 2 straipsnio pakeitimas
1. Pakeisti 2 straipsnio 20 dalį ir ją išdėstyti taip:
2. Pakeisti 2 straipsnio 27 dalį ir ją išdėstyti taip:
„27. Šiame įstatyme vartojamos sąvokos „Europos kibernetinio saugumo sertifikavimo schema“, „Europos kibernetinio saugumo sertifikatas“, „akreditavimas“ ir „atitikties vertinimo įstaiga“, „informacinių ir ryšių technologijų produktas“, „informacinių ir ryšių technologijų paslauga“, „informacinių ir ryšių technologijų procesas“, „kibernetinė grėsmė“, „kibernetinis saugumas“ suprantamos taip, kaip apibrėžiamos Reglamente (ES) 2019/881. Sąvokos „Kibernetinio saugumo kompetencijos bendruomenė“, „Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras“, „Nacionalinių koordinavimo centrų tinklas“ šiame įstatyme suprantamos taip, kaip jos vartojamos Reglamente (ES) 2021/887. Sąvokos „patikimumo užtikrinimo paslauga“, „patikimumo užtikrinimo paslaugų teikėjas“, „kvalifikuota patikimumo užtikrinimo paslauga“, „kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas“ šiame įstatyme suprantamos taip, kaip apibrėžiamos 2014 m. liepos 23 d. Europos Parlamento ir Tarybos reglamente (ES) Nr. 910/2014 dėl elektroninės atpažinties ir elektroninių operacijų patikimumo užtikrinimo paslaugų vidaus rinkoje, kuriuo panaikinama Direktyva 1999/93/EB, su visais pakeitimais. Sąvoka „interneto paieškos sistema“ šiame įstatyme suprantama taip, kaip apibrėžiama 2019 m. birželio 20 d. Europos Parlamento ir Tarybos reglamente (ES) 2019/1150 dėl verslo klientams teikiamų internetinių tarpininkavimo paslaugų sąžiningumo ir skaidrumo didinimo. Sąvokos „standartas“, „techninė specifikacija“ šiame įstatyme suprantamos taip, kaip apibrėžiamos 2012 m. spalio 25 d. Europos Parlamento ir Tarybos reglamente (ES) 1025/2012 dėl Europos standartizacijos, kuriuo iš dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos Parlamento ir Tarybos direktyvos 94/9/EB, 94/25/EB, 95/16/EB, 97/23/EB, 98/34/EB, 2004/22/EB, 2007/23/EB, 2009/23/EB ir 2009/105/EB ir panaikinamas Tarybos sprendimas 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas Nr. 1673/2006/EB, su visais pakeitimais. Sąvoka „duomenys“ suprantama taip, kaip apibrėžiama Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme. Sąvoka „mokesčių administratorius“ šiame įstatyme suprantama taip, kaip apibrėžiama Lietuvos Respublikos mokesčių administravimo įstatyme. Sąvokos „pardavimo grynosios pajamos“, „įmonės finansinių ataskaitų rinkinys“, „įmonių grupės konsoliduotųjų finansinių ataskaitų rinkinys“ šiame įstatyme suprantamos taip, kaip apibrėžiamos Lietuvos Respublikos įmonių ir įmonių grupių atskaitomybės įstatyme. Sąvoka „apdraustieji asmenys“ šiame įstatyme suprantama taip, kaip apibrėžiama Lietuvos Respublikos valstybinio socialinio draudimo įstatyme.“
2 straipsnis. 11 straipsnio pakeitimas
1. Pakeisti 11 straipsnio 3 dalies 1 punktą ir jį išdėstyti taip:
2. Pakeisti 11 straipsnio 3 dalies 2 punktą ir jį išdėstyti taip:
„2) subjektas šio įstatymo 1 priede nurodytame skaitmeninės infrastruktūros sektoriuje teikia kvalifikuotas patikimumo užtikrinimo paslaugas, aukščiausio lygio domeno vardų registravimo paslaugas ar domenų vardų sistemos (toliau – DNS) paslaugas, išskyrus šakninių domenų vardų serverių operatorius;“.
3. Pakeisti 11 straipsnio 4 dalies 1 punktą ir jį išdėstyti taip:
„1) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 2 priede nurodytuose sektoriuose, viršija mažų įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, nustatytas Smulkiojo ir vidutinio verslo plėtros įstatyme, ir šio subjekto šiame punkte nurodytų teikiamų paslaugų ir (ar) vykdomos veiklos metinių pajamų suma viršija 50 procentų visų subjekto metinių pajamų;“.
4. Pakeisti 11 straipsnio 4 dalies 2 punktą ir jį išdėstyti taip:
„2) subjektas teikia paslaugas ir (ar) vykdo veiklą šio įstatymo 1 priede nurodytuose sektoriuose ir viršija mažų įmonių darbuotojų skaičių ir (ar) abi finansinius duomenis apibrėžiančias ribas, tačiau neviršija vidutinių įmonių darbuotojų skaičiaus ir bent vienos iš finansinių duomenų ribos, nustatytos Smulkiojo ir vidutinio verslo plėtros įstatyme;“.
5. Papildyti 11 straipsnį 8 dalimi:
„8. Identifikuojant kibernetinio saugumo subjektus pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytus kriterijus, vidutinis metinis subjekto darbuotojų skaičius nustatomas remiantis Valstybinio socialinio draudimo fondo valdybos prie Socialinės apsaugos ir darbo ministerijos turimais duomenimis apie apdraustuosius asmenis. Jeigu identifikuojant kibernetinio saugumo subjektus apskaičiuotas subjekto vidutinis metinis darbuotojų skaičius nesutampa su skaičiumi, apskaičiuotu Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio 7 dalyje nustatyta tvarka, remiamasi subjekto pateiktais duomenimis, apskaičiuotais vadovaujantis Smulkiojo ir vidutinio verslo plėtros įstatymo 3 straipsnio 7 dalyje nustatyta tvarka.“
6. Papildyti 11 straipsnį 9 dalimi:
„9. Identifikuojant kibernetinio saugumo subjektus juridinius asmenis pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytus kriterijus, remiamasi duomenimis apie juridinio asmens metines pajamas bei įmonės balanse nurodyto turto vertę. Šie duomenys nustatomi pagal Juridinių asmenų registro informacinės sistemos duomenų tvarkytojui pateiktą įmonės metinių finansinių ataskaitų rinkinį ar įmonių grupės metinių finansinių konsoliduotųjų ataskaitų rinkinį, kai jų teikimas privalomas, arba pagal mokesčių administratoriaus turimus duomenis, kai finansinių ataskaitų rinkinių teikimas neprivalomas. Identifikuojant kibernetinio saugumo subjektus fizinius asmenis pagal šio straipsnio 3 dalies 1 ir 3 punktuose, 4 dalies 1–4 punktuose nustatytus kriterijus, remiamasi mokesčių administratoriaus turimais duomenimis apie fizinio asmens individualios veiklos pajamas, kaip jos suprantamos pagal Lietuvos Respublikos gyventojų pajamų mokesčio įstatymą.“
3 straipsnis. 12 straipsnio pakeitimas
Pakeisti 12 straipsnio 2 dalį ir ją išdėstyti taip:
„2. Laikoma, kad šio straipsnio 1 dalies 3 punkte nurodyta pagrindinė buveinė yra Lietuvos Respublikoje, jeigu su kibernetinio saugumo rizikos valdymo priemonėmis susiję sprendimai yra priimami Lietuvos Respublikoje. Jeigu Europos Sąjungos valstybė narė, kurioje priimami tokie sprendimai, nenustatoma arba tokie sprendimai Europos Sąjungoje nepriimami, laikoma, kad pagrindinė buveinė yra Lietuvos Respublikoje, kai Lietuvos Respublikoje įgyvendinamos kibernetinio saugumo rizikos valdymo priemonės. Jeigu nenustatoma Europos Sąjungos valstybė narė, kurioje įgyvendinamos kibernetinio saugumo rizikos valdymo priemonės, laikoma, kad pagrindinė buveinė yra Lietuvos Respublikoje, jeigu subjektas Lietuvos Respublikoje turi padalinį, kuriame dirba daugiausia jo darbuotojų Europos Sąjungoje.“
4 straipsnis. 13 straipsnio pakeitimas
Pakeisti 13 straipsnio 3 dalies 1 punktą ir jį išdėstyti taip:
„1) jeigu kibernetinio saugumo subjektas yra juridinis asmuo – kibernetinio saugumo subjekto pavadinimas, juridinio asmens kodas, teisinė forma, ekonominės veiklos rūšis (-ys), pagrindinės buveinės adresas, o jeigu kibernetinio saugumo subjektas nėra įsisteigęs Europos Sąjungoje – pagal šio įstatymo 12 straipsnio 3 dalį paskirto atstovo pavadinimas, teisinė forma, ekonominės veiklos rūšis (-ys), adresas. Jeigu kibernetinio saugumo subjektas yra DNS paslaugų teikėjas, aukščiausio lygio domenų vardų registravimo paslaugas teikiantis subjektas, debesijos paslaugų teikėjas, duomenų centrų paslaugų teikėjas, paskirstytojo turinio teikimo tinklo paslaugų teikėjas, valdomų paslaugų teikėjas, valdomų kibernetinio saugumo paslaugų teikėjas, elektroninės prekyvietės paslaugų teikėjas, interneto paieškos sistemų, socialinių tinklų paslaugų platformų paslaugų teikėjas ir patikimumo užtikrinimo paslaugų teikėjas (toliau – specialusis subjektas) ar yra domenų vardų registravimo paslaugas teikiantis subjektas – ir kitų juridinių padalinių Europos Sąjungoje adresai;“.
5 straipsnis. 19 straipsnio pakeitimas
1. Pakeisti 19 straipsnio 1 dalies 5 punktą ir jį išdėstyti taip:
„5) keistis su subjektais, atitinkančiais Kibernetinio saugumo informacinės sistemos nuostatuose nustatytus reikalavimus ir turinčiais teisę prisijungti prie Kibernetinio saugumo informacinės sistemos, (toliau – Kibernetinio saugumo informacinės sistemos nariai), duomenimis, susijusiais su kibernetiniais incidentais, kibernetinėmis grėsmėmis, vos neįvykusiais kibernetiniais incidentais, taip pat kita su kibernetinio saugumo užtikrinimu susijusia informacija;“.
2. Pakeisti 19 straipsnio 3 dalį ir ją išdėstyti taip:
„3. Šio straipsnio 1 dalies 6 punkte nustatytus nurodymus duodančios institucijos ir juos įgyvendinantys kibernetinio saugumo subjektai privalo naudotis Kibernetinio saugumo informacinės sistemos dalimi, kurioje tvarkomi duomenys apie privalomus nurodymus blokuoti domeno vardą, identifikuojantį interneto svetainę, nepriklausomai nuo kibernetinio saugumo subjektų atitikties Kibernetinio saugumo informacinės sistemos nuostatuose nurodytiems reikalavimams.“
3. Pakeisti 19 straipsnio 4 dalį ir ją išdėstyti taip:
„4. Kibernetinio saugumo subjektai turi teisę tapti Kibernetinio saugumo informacinės sistemos nariais, įgyvendindami tarpusavio dalijimosi kibernetinio saugumo informacija susitarimus. Nepriklausomai nuo to, ar naudojamasi Kibernetinio saugumo informacine sistema, kibernetinio saugumo subjektai privalo pranešti Nacionaliniam kibernetinio saugumo centrui apie tokių susitarimų sudarymą, taip pat apie pasitraukimą iš tokių susitarimų per 20 darbo dienų nuo šių aplinkybių atsiradimo dienos.“
6 straipsnis. 23 straipsnio pakeitimas
Pakeisti 23 straipsnį ir jį išdėstyti taip:
„23 straipsnis. Kibernetinio saugumo kompetencijos bendruomenė
1. Bent vienoje iš Reglamento (ES) 2021/887 8 straipsnio 3 dalyje nurodytų sričių kibernetinio saugumo ekspertinių žinių turintys Lietuvos Respublikoje registruoti juridiniai asmenys, galintys prisidėti prie Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centro ir Nacionalinių koordinavimo centrų tinklo misijos, turi teisę tapti Kibernetinio saugumo kompetencijos bendruomenės, sudaromos Reglamento (ES) 2021/887 8 straipsnio pagrindu, (toliau – Bendruomenė) nariais. Bendruomenės nariais negali būti nacionalinio saugumo interesams grėsmę keliantys asmenys.
2. Kaip Bendruomenės narius juridinius asmenis registruoja Europos kibernetinio saugumo pramonės, technologijų ir mokslinių tyrimų kompetencijos centras (toliau – Kompetencijos centras) Reglamento (ES) 2021/887 8 straipsnyje nustatyta tvarka, Nacionaliniam koordinavimo centrui atlikus vertinimą, ar šie juridiniai asmenys atitinka šio straipsnio 1 dalyje nustatytus reikalavimus. Nacionalinis koordinavimo centras teikia išvadą Kompetencijos centrui, kad prašymą pateikęs juridinis asmuo negali būti registruojamas Bendruomenės nariu, jeigu prašymą pateikęs juridinis asmuo kelia grėsmę Lietuvos nacionalinio saugumo interesams. Informaciją, ar šis asmuo galėtų kelti grėsmę nacionalinio saugumo interesams, pagal Nacionalinio koordinavimo centro kreipimąsi teikia institucijos, nurodytos Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, vadovaudamosi Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatyme nurodytais investuotojų patikros dėl atitikties nacionalinio saugumo interesams vertinimo kriterijais. Nurodytos institucijos išvadas dėl investuotojo atitikties nacionalinio saugumo interesams pateikia ne vėliau kaip per 15 darbo dienų nuo Nacionalinio kibernetinio saugumo centro kreipimosi gavimo dienos. Jeigu per šioje dalyje nurodytą terminą institucijos nepateikia išvadų, laikoma, kad institucijos neturi informacijos apie juridinio asmens keliamą grėsmę nacionalinio saugumo interesams.
3. Lietuvos Respublikoje registruotas juridinis asmuo, reiškiantis norą tapti Bendruomenės nariu, (toliau – pareiškėjas) prašymą įregistruoti jį kaip Bendruomenės narį Kompetencijos centrui perduoda per Nacionalinį koordinavimo centrą. Prašyme nurodoma:
1) juridinio asmens pavadinimas, juridinio asmens kodas, buveinės adresas ir kontaktiniai duomenys (elektroninio pašto adresas, ryšio numeris);
3) patvirtinimas, kad pareiškėjui netaikomas nė vienas iš 2024 m. rugsėjo 23 d. Europos Parlamento ir Tarybos reglamento (ES, Euratomas) 2024/2509 dėl Sąjungos bendrajam biudžetui taikomų finansinių taisyklių 138 straipsnyje nustatytų pašalinimo kriterijų;
4) informacija apie pareiškėjo turimas bent vienos iš Reglamento (ES) 2021/887 8 straipsnio 3 dalyje nurodytų sričių kibernetinio saugumo ekspertines žinias.
4. Nacionalinis koordinavimo centras įvertina pareiškėją ir jo pateiktą informaciją, taip pat atsižvelgia į kompetentingų institucijų informaciją, pateiktą pagal šio straipsnio 2 dalį, ir per 2 mėnesius nuo pareiškėjo prašymo gavimo dienos Kompetencijos centrui perduoda pareiškėjo prašymą ir Nacionalinio koordinavimo centro vertinimą dėl pareiškėjo atitikties šio straipsnio 1 dalyje nustatytiems reikalavimams. Nacionalinis koordinavimo centras pareiškėją apie jo kaip Bendruomenės nario įregistravimą ar atsisakymą jį įregistruoti informuoja per 10 darbo dienų nuo Kompetencijos centro patvirtinimo apie priimtą spendimą gavimo dienos.
5. Nacionalinis koordinavimo centras teikia informaciją Kompetencijos centrui dėl Bendruomenės nario pašalinimo, gavęs:
6. Šio straipsnio 5 dalies 1 punkte nurodytu atveju Nacionalinis koordinavimo centras pateikia Kompetencijos centrui Bendruomenės nario prašymą per 10 darbo dienų nuo Bendruomenės nario prašymo būti pašalintam gavimo dienos, o šio straipsnio 5 dalies 2 punkte nurodytu atveju – informaciją ir Nacionalinio koordinavimo centro vertinimą pagal institucijų, nurodytų Nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo 12 straipsnio 7 dalyje, Nacionaliniam koordinavimo centrui pateiktas išvadas, kad Bendruomenės narys nebeatitinka šio straipsnio 1 dalies nuostatų, per 2 mėnesius nuo to momento, kai gaunama informacijos apie šio straipsnio 5 dalies 2 punkte nurodytas aplinkybes. Sprendimą dėl Bendruomenės nario pašalinimo priima Kompetencijos centras pagal Reglamento (ES) 2021/887 8 straipsnio 4 dalį. Nacionalinis koordinavimo centras apie Kompetencijos centrui pateiktą informaciją dėl Bendruomenės nario pašalinimo informuoja Bendruomenės narį per 5 darbo dienas nuo šios informacijos pateikimo Kompetencijos centrui dienos. Nacionalinis koordinavimo centras Bendruomenės narį apie jo išregistravimą ar atsisakymą jį išregistruoti iš Bendruomenės informuoja per 5 darbo dienas nuo Kompetencijos centro priimto spendimo patvirtinimo gavimo dienos.
7. Kompetencijos centrui atsisakius registruoti pareiškėją kaip Bendruomenės narį, pareiškėjas turi teisę dar kartą pateikti prašymą tapti Bendruomenės nariu. Nacionalinis koordinavimo centras turi teisę pakartotinai neatlikti vertinimo, jeigu:
1) nepraėjo 2 mėnesiai nuo paskutinio vertinimo, kuriuo konstatuota pareiškėjo neatitiktis šio straipsnio 1 dalyje nustatytiems reikalavimams, dienos ir
7 straipsnis. 28 straipsnio pakeitimas
8 straipsnis. 30 straipsnio pakeitimas
9 straipsnis. 31 straipsnio pakeitimas
10 straipsnis. 38 straipsnio pakeitimas
Pakeisti 38 straipsnio 1 dalį ir ją išdėstyti taip:
„1. Institucijos, įrašytos į Saugiojo tinklo naudotojų sąrašą, išskyrus žvalgybos institucijas ir institucijas, valstybės informacinius išteklius tvarkančias Valstybės informacinių išteklių valdymo įstatymo 1 straipsnio 5 dalyje nurodytais tikslais, (toliau – specialius tikslus įgyvendinančios institucijos), savo valdomus valstybės informacinius išteklius laiko valstybiniuose duomenų centruose arba Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) NATO valstybėse narėse esančiuose duomenų centruose, vadovaudamosi Valstybės informacinių išteklių valdymo įstatymo 45 straipsnio 1–4 ir 6 dalių nuostatomis. Į Saugiojo tinklo naudotojų sąrašą įrašytos specialius tikslus įgyvendinančios institucijos savo valdomus valstybės informacinius išteklius laiko savo valdomuose duomenų centruose, o valstybės informacinius išteklius sudarančių duomenų ir informacinių sistemų, kuriose šie duomenys tvarkomi, kopijos specialius tikslus įgyvendinančios institucijos vadovo sprendimu gali būti laikomos Lietuvos Respublikoje ar kitose Europos Sąjungos valstybėse narėse, Europos ekonominės erdvės valstybėse ir (ar) NATO valstybėse narėse esančiuose duomenų centruose.“
11 straipsnis. Įstatymo 2 priedo pakeitimas
12 straipsnis. Įstatymo 3 priedo pakeitimas
Pakeisti Įstatymo 3 priedo 1 punktą ir jį išdėstyti taip:
„1. 2019 m. balandžio 17 d. Europos Parlamento ir Tarybos reglamentas (ES) 2019/881 dėl ENISA (Europos Sąjungos kibernetinio saugumo agentūros) ir informacinių ir ryšių technologijų kibernetinio saugumo sertifikavimo, kuriuo panaikinamas Reglamentas (ES) Nr. 526/2013 (Kibernetinio saugumo aktas) su pakeitimais, padarytais 2024 m. gruodžio 19 d. Europos Parlamento ir Tarybos reglamentu (ES) 2025/37.“
13 straipsnis. Įstatymo taikymas
Pagal ankstesnio teisinio reguliavimo nuostatas pradėtos Kibernetinio saugumo kompetencijos bendruomenės, sudaromos Reglamento (ES) 2021/887 8 straipsnio pagrindu, narių registravimo procedūros tęsiamos vadovaujantis šio įstatymo 6 straipsnyje išdėstytomis Lietuvos Respublikos kibernetinio saugumo įstatymo 23 straipsnio nuostatomis.