NACIONALINĖS ŽEMĖS TARNYBos
prie APLINKOS ministerijos
direktoriUS
ĮSAKYMAS
DĖL NACIONALINĖS ŽEMĖS TARNYBOS PRIE ŽEMĖS ŪKIO MINISTERIJOS DIREKTORIAUS 2011 M. LAPKRIČIO 22 D. ĮSAKYMO NR. 1P-(1.3.)-267 „DĖL ŽEMĖS INFORMACINĖS SISTEMOS NUOSTATŲ IR ŽEMĖS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO“ PAKEITIMO
2023 m. birželio 20 d. Nr. 1P-441-(1.3 E.)
Vilnius
Pakeičiu Nacionalinės žemės tarnybos prie Žemės ūkio ministerijos direktoriaus 2011 m. lapkričio 22 d. įsakymą Nr. 1P-(1.3.)-267 „Dėl Žemės informacinės sistemos nuostatų ir Žemės informacinės sistemos duomenų saugos nuostatų patvirtinimo“:
1. Pakeičiu preambulę ir ją išdėstau taip:
„Vadovaudamasis Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo
8 straipsnio 3 dalimi, 30 ir 31 straipsniais, Lietuvos Respublikos žemės įstatymo 34 straipsnio
3 dalimi, Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“, 11 punktu, Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, 7.1 papunkčiu, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, 5.3 papunkčiu ir Nacionalinės žemės tarnybos prie Aplinkos ministerijos, patvirtintų Lietuvos Respublikos Aplinkos ūkio ministro 2022 m. gruodžio 8 d. įsakymu Nr. D1-393 „Dėl Nacionalinės žemės tarnybos prie Aplinkos ministerijos nuostatų patvirtinimo“, 13.1 papunkčiu:“.
2. Pakeičiu nurodytu įsakymu patvirtintus:
3. P a v e d u:
3.1. valstybės įmonės Žemės ūkio duomenų centro direktoriui per 10 darbo dienų nuo šio įsakymo įsigaliojimo dienos paskirti Žemės informacinės sistemos duomenų valdymo įgaliotinį;
PATVIRTINTA
Nacionalinės žemės tarnybos prie
Žemės ūkio ministerijos direktoriaus
2011 m. lapkričio 22 d. įsakymu
Nr. 1P-(1.3.)-267
(Nacionalinės žemės tarnybos prie
Aplinkos ministerijos direktoriaus
2023 m. birželio 20 d. įsakymo
Nr. 1P-441-(1.3 E.) redakcija)
ŽEMĖS INFORMACINĖS SISTEMOS NUOSTATAI
i SKYRIUS
Bendrosios nuostatos
1. Žemės informacinės sistemos nuostatai (toliau – Nuostatai) reglamentuoja Žemės informacinės sistemos (toliau – ŽIS) steigimo teisinį pagrindą, tikslą, uždavinius, pagrindines funkcijas, ŽIS organizacinę, informacinę ir funkcinę struktūras, ŽIS duomenų teikimą, naudojimą ir bendruosius duomenų saugos reikalavimus, ŽIS finansavimą, modernizavimą ir likvidavimą.
2. ŽIS kuriama ir tvarkoma vadovaujantis:
2.1. 2010 m. lapkričio 23 d. Komisijos reglamentu (ES) Nr. 1089/2010, kuriuo įgyvendinamos Europos Parlamento ir Tarybos direktyvos 2007/2/EB nuostatos dėl erdvinių duomenų rinkinių ir paslaugų sąveikumo;
2.8. Lietuvos Respublikos Vyriausybės 2010 m. spalio 13 d. nutarimu Nr. 1460 „Dėl Lietuvos erdvinės informacijos infrastruktūros erdvinių duomenų temų patvirtinimo“;
2.9. Lietuvos Respublikos žemės ūkio ministro 2017 m. spalio 24 d. įsakymu Nr. 3D-670 „Dėl Lietuvos erdvinės informacijos infrastruktūros erdvinių duomenų rinkinių kūrimo tvarkos aprašo patvirtinimo“;
2.10. Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“;
2.11. Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“;
2.12. Lietuvos Respublikos Vyriausybės 2018 m. vasario 7 d. nutarimu Nr. 134 „Dėl Priemonių, kurių reikia prašomam valstybės ar žinybinio registro (kadastro) ar valstybės informacinės sistemos duomenų, valstybės ar žinybinio registro (kadastro) informacijos formatui ir (ar) turiniui parengti ir (ar) apdoroti, užsakymo, sukūrimo ir atlyginimo už jas tvarkos aprašo patvirtinimo“ (toliau – Aprašas);
2.13. Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“;
2.14. Lietuvos Respublikos susisiekimo ministro 2015 m. spalio 7 d. įsakymu Nr. 3-416(1.5 E) „Dėl metodinių dokumentų patvirtinimo“;
2.15. Informacinės visuomenės plėtros komiteto prie Susisiekimo ministerijos direktoriaus 2014 m. vasario 25 d. įsakymu Nr. T-29 „Dėl Valstybės informacinių sistemų gyvavimo ciklo valdymo metodikos patvirtinimo“;
2.16. Lietuvos Respublikos žemės ūkio ministro 2018 m. birželio 1 d. įsakymu Nr. 3D-350 „Dėl Lietuvos erdvinės informacijos portalo nuostatų ir Lietuvos erdvinės informacijos portalo duomenų saugos nuostatų patvirtinimo“;
3. Nuostatuose vartojamos sąvokos atitinka šių Nuostatų 2 punkte nurodytuose teisės aktuose apibrėžtas sąvokas.
5. ŽIS tikslas – naudojantis atskiruose teminiuose erdvinių duomenų rinkiniuose sukauptais ir į vieną sistemą susietais erdviniais duomenimis apie žemę, tvarkyti ir teikti gavėjams informaciją apie Lietuvos Respublikos žemės fondą, žemės naudmenų sudėtį, žemės kiekybines ir kokybines savybes, žemės naudojimo sąlygas, kitas žemės naudojimui turinčias įtakos charakteristikas.
6. ŽIS uždavinys – informacinių technologijų priemonėmis sudaryti valstybinius teminius erdvinių duomenų rinkinius (toliau – Erdvinių duomenų apie žemę rinkiniai) ir žemėlapius, kuriuose būtų kaupiama ir atvaizduojama informacija apie apleistų žemių plotus, sausinamos žemės plotus, sausinamos žemės plotų būklę, dirvožemių išdėstymą, jų fizines ir agrochemines savybes ir kitas žemės naudojimui turinčias įtakos charakteristikas.
7. Pagrindinės ŽIS funkcijos yra:
7.1. tvarkyti Erdvinių duomenų apie žemę rinkinius, kuriuose kaupiama informacija apie:
7.3. užtikrinti ŽIS sąveiką su valstybės registrais (kadastrais), valstybės informacinėmis sistemomis ir kitomis informacinėmis sistemomis;
7.4. užtikrinti prieigą prie Erdvinių duomenų apie žemę rinkinių ir Erdvinių duomenų apie žemę rinkinių metaduomenų;
II SKYRIUS
ŽIS organizacinė struktūra
10. ŽIS valdytojas ir ŽIS tvarkytojas atlieka Valstybės informacinių išteklių valdymo įstatyme nustatytas funkcijas, turi šiame įstatyme nurodytas teises ir pareigas.
11. ŽIS tvarkytojas, be Valstybės informacinių išteklių valdymo įstatyme nustatytų funkcijų, teisių ir pareigų, taip pat atlieka šias funkcijas:
11.1. rengia ir teikia ŽIS valdytojui ŽIS specifikacijos, Erdvinių duomenų apie žemę rinkinių specifikacijų ar jų pakeitimų projektus ir kitus su ŽIS palaikymu, vystymu ar modernizavimu susijusių dokumentų projektus;
11.2. organizuoja ir užtikrina prieigą prie ŽIS duomenų ir ŽIS elektroninių paslaugų per Lietuvos erdvinės informacijos portalą;
11.6. kas pusmetį, iki liepos 31 d. ir iki sausio 31 d., teikia ŽIS valdytojui ŽIS veiklos ataskaitą, pagal poreikį – pasiūlymus dėl ŽIS duomenų turinio ir jų objektus atitinkančių identifikavimo kodų ir aprašomosios informacijos bei rekomendacijas dėl ŽIS duomenų tvarkymo, ŽIS eksploatavimo ir tobulinimo;
11.8. organizuoja ir užtikrina ŽIS reikalingų duomenų gavimą iš valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų;
12. ŽIS duomenų teikėjai:
12.1. valstybės įmonė – Žemės ūkio duomenų centras teikia:
12.1.1. Georeferencinio pagrindo kadastro (valdytojas – Lietuvos Respublikos aplinkos ministerija) duomenis;
12.2. valstybės įmonė Registrų centras teikia Lietuvos Respublikos nekilnojamojo turto registro (valdytojas – Lietuvos Respublikos teisingumo ministerija) duomenis;
12.3. Žemės ūkio ministerija teikia Agrocheminių dirvožemių savybių duomenų rinkinį DirvAgroch_DR10LT;
12.4. Valstybinė miškų tarnyba teikia Lietuvos Respublikos miškų valstybės kadastro (valdytojas – Lietuvos Respublikos aplinkos ministerija) duomenis;
12.5. Valstybinė saugomų teritorijų tarnyba prie Aplinkos ministerijos teikia Lietuvos Respublikos saugomų teritorijų valstybės kadastro (valdytojas – Aplinkos ministerija) duomenis;
12.6. ŽIS valdytojas teikia Lietuvos Respublikos teritorijos M 1:10 000 skaitmeninį rastrinį ortofotografinį žemėlapį ORT10LT;
12.7. savivaldybių administracijos teikia archyvinę melioracijos projektų medžiagą ir naujai įgyvendintų melioracijos projektų inžinerinių statinių planus;
13. ŽIS duomenų teikėjų funkcijos:
13.1. pagal duomenų teikimo sutartyse nurodytus terminus ir periodiškumą teikti duomenis ŽIS tvarkytojui;
14. ŽIS duomenų gavėjai – Lietuvos Respublikos ir užsienio fiziniai, juridiniai asmenys, kitos užsienio valstybių organizacijos, susiję registrai ir valstybės informacinės sistemos, kurie naudojasi Nuostatų 15 punkte nurodytais ŽIS duomenimis ir Nuostatų 22 punkte nurodytomis ŽIS elektroninėmis paslaugomis.
III SKYRIUS
ŽIS informacinė struktūra
15. ŽIS duomenis sudaro:
15.1. Erdvinių duomenų apie žemę rinkiniai:
15.1.1. valstybinių teminių erdvinių duomenų rinkinių, nurodytų šių Nuostatų 16 punkte, objektų grafiniai (vektoriniai) duomenys, šių objektų identifikavimo kodai ir aprašomoji informacija (kiekybiniai ir kokybiniai rodikliai). Valstybinių teminių erdvinių duomenų rinkinių turinys, jų objektų identifikavimo kodai ir aprašomoji informacija detaliai aprašomi specifikacijose, kurias tvirtina ŽIS valdytojas;
15.1.2. teminių erdvinių duomenų rinkinių, kuriuose kaupiama informacija apie žemės naudojimui turinčias įtakos charakteristikas, objektų grafiniai (vektoriniai) duomenys, šių objektų identifikavimo kodai ir aprašomoji informacija. Teminių erdvinių duomenų rinkinių turinys, jų objektų identifikavimo kodai ir aprašomoji informacija detaliai aprašomi specifikacijose, kurias tvirtina ŽIS valdytojas;
15.2. valstybinių teminių erdvinių duomenų rinkinių, nurodytų šių Nuostatų 16 punkte, ir teminių erdvinių duomenų rinkinių, nurodytų šių Nuostatų 15.1.2 papunktyje, metaduomenys tvarkomi Lietuvos erdvinės informacijos portale Lietuvos Respublikos žemės ūkio ministro nustatyta tvarka;
15.3. Erdvinių duomenų apie žemę rinkinių, nurodytų Nuostatų 15.1 papunktyje, apdorojimo procesų rezultatai, t. y. teminiai žemėlapiai, ataskaitos, suvestinės, statistinė ir kita vieša informacija apie Lietuvos Respublikos žemės fondą, žemės naudmenų sudėtį, žemės kiekybines ir kokybines savybes, žemės naudojimo sąlygas, kitas žemės naudojimui turinčias įtakos charakteristikas.
16. Valstybiniai teminiai erdvinių duomenų rinkiniai yra:
16.1. Lietuvos Respublikos teritorijos M 1:10 000 dirvožemio erdvinių duomenų rinkinys Dirv_DR10LT, kurį sudaro pagal Lietuvos dirvožemių klasifikaciją LTDK-99 ir Lietuvos dirvožemio tipologinių vienetų bendrąjį sistematinį sąrašą LT_DTV96 susisteminti ir koduoti duomenys apie Lietuvos dirvožemių išsidėstymą, jų fizines ir agrochemines savybes ir kitas charakteristikas;
16.2. Lietuvos Respublikos teritorijos M 1:10 000 žemių melioracinės būklės ir užmirkimo erdvinių duomenų rinkinys Mel_DR10LT, kuriame saugoma informacija apie nusausintų (geros ir blogos melioracinės būklės) žemių plotus, nurašytos melioruotos žemės plotus ir nesausintų žemių plotus, hidrotechnikos (melioracijos) statinius;
17. Tvarkant ŽIS duomenis naudojami šie ŽIS duomenų teikėjų duomenys:
17.1. Lietuvos Respublikos teritorijos M 1:10 000 skaitmeninis rastrinis ortofotografinis žemėlapis ORT10LT;
17.3. Lietuvos Respublikos adresų registro duomenys:
17.4. Lietuvos Respublikos miškų valstybės kadastro duomenys:
17.5. Lietuvos Respublikos saugomų teritorijų valstybės kadastro duomenys:
17.7. Nekilnojamojo turto registro duomenys:
17.7.1. Nekilnojamojo turto kadastro žemėlapio duomenys:
17.7.2. duomenys apie į žemės sklypą įregistruotą nuosavybės teisę (privati, valstybės, savivaldybės, nuosavybės teisių dalys), turto patikėjimo teisė (patikėjimo teisių dalys, patikėtinio pavadinimas);
17.8. Paraiškų priėmimo informacinės sistemos duomenys:
17.9. Lietuvos Respublikos teritorijos M 1:2 000 melioruotos žemės ir melioracijos statinių erdvinių duomenų rinkinys Mel_DR2LT;
17.10. archyvinė melioracijos projektų medžiaga ir naujai įgyvendintų melioracijos projektų inžinerinių statinių planai;
IV SKYRIUS
ŽIS funkcinė struktūra
19. ŽIS sudaro šios posistemės:
19.1. Erdvinių duomenų rinkinių tvarkymo posistemė, skirta Erdvinių duomenų apie žemę rinkiniams kaupti, tikslinti, atnaujinti, įkelti iš ŽIS duomenų teikėjų ir ŽIS kaupiamų duomenų šaltinių gautus duomenis, duomenų loginei kontrolei atlikti;
19.2. Erdvinių duomenų saugojimo posistemė, skirta Erdvinių duomenų apie žemę rinkiniams (visoms jų versijoms) nuolat saugoti;
19.3. Erdvinių duomenų apdorojimo posistemė, skirta Erdvinių duomenų apie žemę rinkinių analizei atlikti, žemės našumo balui ir kitoms žemės naudojimui turinčių įtakos charakteristikų reikšmėms apskaičiuoti pagal ŽIS duomenų gavėjų nurodytus parametrus ir kitoms suvestinėms ir ataskaitoms formuoti;
19.4. Erdvinių duomenų sąsajos su Lietuvos erdvinės informacijos portalu posistemė, skirta prieigai prie ŽIS duomenų ŽIS tvarkytojui ir ŽIS duomenų gavėjams, ŽIS duomenų mainams su kitomis valstybės informacinėmis sistemomis per Lietuvos erdvinės informacijos portalą užtikrinti;
20. ŽIS duomenų apdorojimo procesai:
20.1. duomenų įrašymas iš ŽIS kaupiamų duomenų šaltinių, duomenų tikrinimas ir jungimas su ŽIS duomenų teikėjų duomenimis, duomenų klasifikavimas;
V SKYRIUS
ŽIS duomenų teikimas ir naudojimas
21. ŽIS duomenys yra vieši ir ŽIS duomenų gavėjams pasiekiami per ŽIS elektronines paslaugas, kurios teikiamos per Lietuvos erdvinės informacijos portalą.
22. Per Lietuvos erdvinės informacijos portalą ŽIS duomenų gavėjams teikiamos šios ŽIS elektroninės paslaugos:
22.1. objektų paieškos pagal valstybinės koordinačių sistemos koordinates elektroninė paslauga suteikia galimybę atlikti erdvinių objektų padėties paiešką pagal įvestas X ir Y koordinates. Įvestos koordinatės žemėlapyje atvaizduojamos taškais, linijomis arba plotais;
22.2. objektų paieškos pagal plotą elektroninė paslauga suteikia galimybę nurodytoje teritorijoje atlikti plotinių erdvinių objektų apie žemę paiešką pagal nurodytą ploto intervalą;
22.3. objektų statistikos elektroninė paslauga suteikia galimybę nurodytoje teritorijoje atlikti erdvinių duomenų apie žemę analizę, kurios rezultatas yra nurodytų objektų statistiniai duomenys (bendras kiekis, bendras plotas, bendras ilgis). Taip pat nurodytam žemės sklypui galima atlikti vidutinio žemės ūkio naudmenų našumo balo skaičiavimus;
22.4. žemėlapių palyginimo elektroninė paslauga suteikia galimybę atlikti skirtingų žemėlapių palyginimą dviejuose vienodo dydžio žemėlapių languose;
22.5. žemėlapių spausdinimo šablono (maketo) sudarymo ir išsaugojimo elektroninė paslauga suteikia galimybę suformuoti pageidaujamos atspausdinti žemėlapių ištraukos šabloną (maketą), išsaugoti juos ir parsisiųsti nustatytais (PDF, PNG, JPG, BMP) duomenų formatais;
22.6. žemės ūkio paskirties, miškų ūkio paskirties ir kitos paskirties žemės sklypų (toliau – Sklypai) nuomos ir pardavimo elektroninė paslauga suteikia galimybę atlikti Sklypų nuomos ir pardavimo aukcionuose skelbiamų arba anksčiau skelbtų Sklypų paiešką pagal pasirinktus kriterijus (žemės sklypo paskirtis, aukciono tipas (nuoma / pardavimas), aukciono būsena (įvykęs / neįvykęs / vykdomas) nurodytoje teritorijoje;
22.7. planų paieškos elektroninė paslauga suteikia galimybę pagal įvairius kriterijus (administracinės ribos, nurodyta aprėptis, plano pavadinimas) atlikti geografiškai orientuotų (susietų su koordinatėmis) melioracijos projektinės medžiagos, melioracijos statinių planų, žemės reformos žemėtvarkos projektų arba kameralinio žemės našumo vertinimo planų paiešką ir atsisiųsti surastus planus nustatytais (TIFF, PDF arba MrSID) formatais, juos peržiūrėti ŽIS žemėlapių naršyklėje.
23. Nuostatų 22 punkte nurodytos ŽIS elektroninės paslaugos ir duomenys ŽIS duomenų gavėjams teikiamos neatlygintinai.
24. ŽIS duomenys, išskyrus Nuostatų 15.1 papunktyje nurodytus duomenis, duomenų gavėjams teikiami Valstybės informacinių išteklių valdymo įstatyme ir Apraše nustatyta tvarka.
25. Erdvinių duomenų apie žemę rinkiniai, nurodyti Nuostatų 15.1 papunktyje, teikiami Geodezijos ir kartografijos įstatymo, Valstybės informacinių išteklių valdymo įstatyme, ir Teisės gauti informaciją ir duomenų pakartotinio naudojimo įstatyme nustatyta tvarka.
26. ŽIS duomenų gavėjas, registro ar kitos valstybės informacinės sistemos tvarkytojas, kiti asmenys turi teisę reikalauti ištaisyti pastebėtus klaidingus, netikslius, papildyti neišsamius duomenis (toliau – duomenų netikslumai). Apie pastebėtus duomenų netikslumus ŽIS tvarkytojas informuojamas raštu.
27. ŽIS tvarkytojas, gavęs reikalavimą ištaisyti duomenų netikslumus ir patikrinęs jo pagrįstumą, privalo ištaisyti duomenis per 5 darbo dienas nuo reikalavimo gavimo dienos arba gali reikalavimą atmesti kaip nepagrįstą. Šis terminas gali būti pratęsiamas iki 30 darbo dienų, kai dėl netikslių duomenų ištaisymo būtina kreiptis į duomenų teikėją ar atlikti patikrą vietovėje. Apie reikalavimo ištaisyti netikslumus atmetimą ir reikalavimo atmetimo motyvus ŽIS tvarkytojas raštu informuoja reikalavimą ištaisyti netikslumus pateikusį asmenį. Apie duomenų ištaisymą ŽIS tvarkytojas nedelsdamas (bet ne ilgiau kaip per 3 darbo dienas) raštu informuoja reikalavimą ištaisyti netikslumus pateikusį asmenį, registro ar kitos valstybės informacinės sistemos tvarkytoją. Elektroninėmis ryšio priemonėmis ŽIS tvarkytojas apie ŽIS duomenų ištaisymą informuoja ŽIS duomenų gavėjus, kurie jau naudoja ŽIS duomenis.
VI SKYRIUS
ŽIS duomenų sauga
29. Už ŽIS duomenų saugą pagal kompetenciją atsako ŽIS valdytojas ir ŽIS tvarkytojas Lietuvos Respublikos įstatymų nustatyta tvarka.
30. Tvarkant ir saugant ŽIS duomenis turi būti įgyvendintos duomenų saugos organizacinės ir techninės priemonės, skirtos ŽIS duomenų konfidencialumui, prieinamumui teisėtam ŽIS tvarkytojui, vientisumui ir autentiškumui užtikrinti bei apsaugoti nuo atsitiktinio ar neteisėto sunaikinimo, naudojimo, atskleidimo, taip pat bet kokio kito neteisėto tvarkymo. Minėtos priemonės turi užtikrinti tokio lygio saugumą, kuris atitiktų saugotinų ŽIS duomenų pobūdį.
31. ŽIS duomenų sauga organizuojama vadovaujantis Lietuvos Respublikos kibernetinio saugumo įstatymu, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, ir ŽIS duomenų saugos nuostatais.
ViI SKYRIUS
ŽIS finansavimas
VIII SKYRIUS
ŽIS modernizavimas ir likvidavimas
33. ŽIS modernizuojama arba likviduojama Valstybės informacinių išteklių valdymo įstatymo, Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“, ir kitų teisės aktų, reglamentuojančių valstybės informacinių sistemų kūrimą ir naudojimą, nustatyta tvarka.
IX SKYRIUS
Baigiamosios nuostatos
35. ŽIS valdytojas atnaujina (tikslina ar papildo) ŽIS nuostatus atsižvelgdamas į susijusių teisės aktų ir (arba) ŽIS funkcionalumų pasikeitimus.
PATVIRTINTA
Nacionalinės žemės tarnybos prie
Žemės ūkio ministerijos direktoriaus
2011 m. lapkričio 22 d. įsakymu
Nr. 1P-(1.3.)-267
(Nacionalinės žemės tarnybos prie
Aplinkos ministerijos direktoriaus
2023 m. birželio 20 d. įsakymo
Nr. 1P-441-(1.3) redakcija)
ŽEMĖS INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATAI
I Skyrius
BENDROSIOS NUOSTATOS
1. Žemės informacinės sistemos duomenų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Žemės informacinės sistemos (toliau – ŽIS) elektroninės informacijos saugos ir kibernetinio saugumo politiką, nustato organizacines, technines, programines, teisines ir kitas priemones, užtikrinančias saugų ŽIS duomenų ir ŽIS informacijos (toliau – ŽIS elektroninė informacija) tvarkymą.
2. ŽIS saugos politika įgyvendinama pagal ŽIS valdytojo tvirtinamus ŽIS saugos politiką įgyvendinančius teisės aktus: ŽIS naudotojų administravimo taisykles, ŽIS saugaus elektroninės informacijos tvarkymo taisykles, ŽIS veiklos tęstinumo valdymo planą (toliau visi kartu – ŽIS saugos dokumentai).
3. Saugos nuostatai parengti vadovaujantis Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu, Lietuvos Respublikos kibernetinio saugumo įstatymu, Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ (toliau – Kibernetinio saugumo reikalavimų aprašas), Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu
Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“ (toliau – Techniniai informacinių sistemų elektroninės informacijos saugos reikalavimai), Žemės informacinės sistemos nuostatais, patvirtintais Nacionalinės žemės tarnybos prie Žemės ūkio ministerijos direktoriaus
2011 m. lapkričio 22 d. įsakymu Nr. 1P-(1.3.)-267 „Dėl Žemės informacinės sistemos nuostatų ir Žemės informacinės sistemos duomenų saugos nuostatų patvirtinimo“ (toliau – ŽIS nuostatai), ir kitais teisės aktais, reglamentuojančiais elektroninės informacijos saugą.
4. Saugos nuostatuose vartojamos sąvokos:
4.1. ŽIS administratorius – ŽIS tvarkytojo vadovo ar jo įgalioto asmens įsakymu paskirtas darbuotojas, dirbantis pagal darbo sutartį, prižiūrintis ŽIS ir jos infrastruktūrą, užtikrinantis jos veikimą ir elektroninės informacijos saugą.
4.2. ŽIS saugos įgaliotinis – ŽIS valdytojo vadovo ar jo įgalioto asmens įsakymu paskirtas valstybės tarnautojas arba darbuotojas, dirbantis pagal darbo sutartį, koordinuojantis ir prižiūrintis ŽIS saugos politikos įgyvendinimą.
4.3. ŽIS naudotojas – ŽIS valdytojo valstybės tarnautojas arba darbuotojas, dirbantis pagal darbo sutartį, arba ŽIS tvarkytojo darbuotojas, dirbantis pagal darbo sutartį, ar kitas asmuo, informacinių sistemų veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudojantis ir (ar) tvarkantis ŽIS elektroninę informaciją.
4.4. Kitos Saugos nuostatuose vartojamos sąvokos atitinka Saugos nuostatų 3 punkte išvardytuose teisės aktuose, Lietuvos standarte LST EN ISO/IEC 27001:2017 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“ ir Lietuvos standarte LST EN ISO/IEC 27002:2017 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“, kituose Lietuvos ir tarptautiniuose standartuose, apibūdinančiuose saugų informacinės sistemos duomenų tvarkymą, apibrėžtas sąvokas.
5. ŽIS elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo tikslai:
5.2. užtikrinti ŽIS elektroninės informacijos konfidencialumą, prieinamumą, vientisumą ir tinkamą kompiuterizuotų darbo vietų bei tinklo įrangos funkcionavimą;
5.3. užtikrinti, kad ŽIS elektroninė informacija būtų patikima ir apsaugota nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, praradimo, taip pat nuo bet kokio kito neteisėto tvarkymo;
6. ŽIS elektroninės informacijos ir kibernetinio saugumo užtikrinimo prioritetinės kryptys:
6.1. organizacinių, techninių, programinių, teisinių ir kitų priemonių, skirtų ŽIS elektroninės informacijos saugai užtikrinti, įgyvendinimas ir kontrolė;
6.4. ŽIS elektroninės informacijos saugos – konfidencialumo, prieinamumo ir vientisumo užtikrinimas;
7. Saugos nuostatų reikalavimai taikomi:
7.1. ŽIS valdytojui – Nacionalinei žemės tarnybai prie Aplinkos ministerijos, Gedimino pr. 19, LT-01103 Vilnius;
7.2. ŽIS tvarkytojui – valstybės įmonei Žemės ūkio duomenų centrui, Vinco
Kudirkos g. 18-1, LT-03105 Vilnius;
8. ŽIS valdytojas atlieka šias funkcijas:
8.1. tvirtina Saugos nuostatus, ŽIS saugos dokumentus ir kitus teisės aktus, susijusius su ŽIS elektroninės informacijos sauga ir kibernetiniu saugumu;
8.2. tvirtina ŽIS rizikos įvertinimo ataskaitą, ŽIS rizikos įvertinimo ir rizikos valdymo priemonių planą ir ŽIS saugos atitikties vertinimo metu nustatytų trūkumų šalinimo planą;
8.3. prižiūri ir kontroliuoja, kaip laikomasi ŽIS nuostatuose, Saugos nuostatuose, ŽIS saugos dokumentuose ir kituose elektroninės informacijos saugą ir kibernetinį saugumą reglamentuojančiuose teisės aktuose nustatytų reikalavimų;
8.4. koordinuoja ŽIS tvarkytojo darbą įgyvendinant ŽIS elektroninės informacijos saugos ir kibernetinio saugumo reikalavimus;
8.5. priima sprendimus dėl ŽIS techninių ir programinių priemonių, būtinų ŽIS elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti, įsigijimo, įdiegimo ir modernizavimo;
8.7. priima sprendimą dėl ŽIS informacinių technologijų saugos reikalavimų atitikties vertinimo atlikimo;
8.8. nagrinėja ŽIS tvarkytojo pasiūlymus dėl ŽIS elektroninės informacijos saugos ir kibernetinio saugumo priemonių tobulinimo ir priima dėl jų sprendimus;
8.9. atsako už ŽIS elektroninės informacijos saugos politikos formavimą ir įgyvendinimo organizavimą, priežiūrą ir ŽIS elektroninės informacijos tvarkymo teisėtumą;
9. ŽIS tvarkytojas atlieka šias funkcijas:
9.1. pagal kompetenciją įgyvendina ŽIS nuostatų, Saugos nuostatų, ŽIS saugos dokumentų ir kitų elektroninės informacijos saugą ir kibernetinį saugumą reglamentuojančių teisės aktų reikalavimus;
9.2. užtikrina, kad ŽIS elektroninė informacija būtų apsaugota nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, praradimo, taip pat nuo bet kokio neteisėto veiksmo;
9.3. vykdo ŽIS techninę priežiūrą, užtikrina nepertraukiamą ŽIS veikimą, ŽIS elektroninės informacijos saugą ir kibernetinį saugumą ir saugų ŽIS elektroninės informacijos perdavimą elektroninių ryšių tinklais;
9.4. rengia ŽIS rizikos įvertinimo ir rizikos valdymo priemonių planą ir ŽIS saugos atitikties vertinimo metu nustatytų trūkumų šalinimo planą;
9.6. vykdo kibernetinio saugumo organizavimo ir užtikrinimo funkcijas, nustatytas Kibernetinio saugumo įstatyme, Kibernetinio saugumo reikalavimų apraše ir kituose kibernetinį saugumą reglamentuojančiuose teisės aktuose;
9.7. teikia pasiūlymus ŽIS valdytojui dėl ŽIS elektroninės informacijos saugos ir kibernetinio saugumo tobulinimo, ŽIS techninių ir programinių priemonių, būtinų ŽIS elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti, įsigijimo, įdiegimo ir modernizavimo;
9.9. atsako už ŽIS elektroninės informacijos saugos ir kibernetinio saugumo įgyvendinimą, reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi Saugos nuostatuose ir ŽIS saugos dokumentuose nustatyta tvarka;
10. ŽIS saugos įgaliotinis atlieka šias funkcijas:
10.2. teikia ŽIS valdytojo vadovui pasiūlymus dėl:
10.3. koordinuoja saugos incidentų, įvykusių ŽIS, tyrimą ir bendradarbiauja su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugos incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka elektroninės informacijos saugos darbo grupės;
10.4. kasmet organizuoja ŽIS rizikos įvertinimą ir rengia ŽIS rizikos įvertinimo ataskaitą, o prireikus – ŽIS rizikos įvertinimo ir rizikos valdymo priemonių planą, taip pat prireikus organizuoja neeilinį ŽIS rizikos įvertinimą;
10.5. teikia ŽIS administratoriui ir ŽIS naudotojams, prireikus ir kitiems ŽIS valdytojo ir tvarkytojo darbuotojams, privalomus vykdyti nurodymus ir pavedimus, susijusius su ŽIS elektroninės informacijos saugos politikos įgyvendinimu;
10.6. periodiškai inicijuoja ŽIS administratoriaus ir ŽIS naudotojų mokymus ŽIS elektroninės informacijos saugos klausimais, įvairiais būdais informuoja juos apie ŽIS elektroninės informacijos saugos problematiką (priminimai elektroniniu paštu, teminių seminarų rengimas, atmintinių priimtiems naujiems darbuotojams rengimas ir pan.);
10.7. supažindina ŽIS administratorių ir ŽIS naudotojus su Saugos nuostatais ir ŽIS saugos dokumentais ir atsakomybe, kylančia dėl jų pažeidimo;
10.8. užtikrina tinkamą ŽIS saugos dokumentuose nustatytų reikalavimų įgyvendinimo ir ŽIS elektroninės informacijos saugos politikos laikymosi kontrolę;
10.9. koordinuoja ir prižiūri ŽIS elektroninės informacijos saugos politikos įgyvendinimą ŽIS saugos dokumentuose nustatyta tvarka;
11. ŽIS administratorius atlieka šias funkcijas:
11.1. rengia ir teikia pasiūlymus ŽIS tvarkytojo vadovui ir ŽIS saugos įgaliotiniui dėl ŽIS palaikymo, tobulinimo ir plėtros bei ŽIS elektroninės informacijos saugos;
11.2. sukuria (suteikia prisijungimo vardus ir slaptažodžius), keičia ir panaikina ŽIS naudotojų atitinkamas teises, jas administruoja;
11.3. suteikdamas prieigos prie ŽIS elektroninės informacijos teisę, ŽIS naudotojus supažindina su ŽIS naudojimo taisyklėmis, kuriose nurodomos ŽIS naudotojų teisės, pareigos ir atsakomybė;
11.4. pagal kompetenciją reaguoja į saugos incidentus ir juos valdo, atlieka įsilaužimų į ŽIS aptikimo funkcijas;
11.5. registruoja saugos incidentus, informuoja apie juos ŽIS saugos įgaliotinį ir teikia pasiūlymus dėl šių incidentų pašalinimo;
11.6. užtikrina ŽIS techninės ir programinės įrangos, infrastruktūros ir informacinių technologijų paslaugų funkcionavimą;
11.7. pagal kompetenciją daro atsargines ŽIS elektroninės informacijos kopijas, tikrina šių kopijų atkuriamumą;
11.8. vykdo ŽIS infrastruktūros (kompiuterių, tarnybinių stočių, operacinių sistemų, duomenų bazių valdymo sistemų, taikomųjų programų sistemų, ugniasienių, įsilaužimų aptikimo sistemų, duomenų perdavimo tinklų) ir ŽIS sudarančių posistemių priežiūrą;
11.9. nustato ŽIS pažeidžiamas vietas ir rizikos veiksnius, galinčius pažeisti ŽIS elektroninės informacijos saugą;
11.10. dalyvauja atliekant ŽIS saugumo reikalavimų atitikties vertinimą ir dalyvauja rengiant ŽIS informacinių technologijų saugos atitikties vertinimo ataskaitą, o prireikus – ŽIS trūkumų šalinimo planą;
11.11. dalyvauja atliekant ŽIS rizikos įvertinimą ir rengiant ŽIS rizikos įvertinimo ataskaitą, o prireikus – ŽIS rizikos įvertinimo ir rizikos valdymo priemonių planą, taip pat prireikus dalyvauja atliekant neeilinį ŽIS rizikos vertinimą;
11.12. reguliariai, ne rečiau kaip kartą per metus ir (arba) po ŽIS pokyčio, patikrina (peržiūri) ŽIS sąranką ir ŽIS būsenos rodiklius;
11.13. parenka ŽIS techninės ir programinės įrangos saugos priemones bei nustato jų atitiktį Saugos nuostatų ir ŽIS saugos dokumentų reikalavimams;
11.14. kontroliuoja, kad tvarkant ŽIS ir ŽIS elektroninę informaciją nebūtų pažeisti Saugos nuostatų reikalavimai;
11.15. atsako už ŽIS infrastruktūros funkcionavimą ir ŽIS saugos dokumentuose nustatytų funkcijų atlikimą;
12. Tvarkant ŽIS elektroninę informaciją ir užtikrinant jos saugą, vadovaujamasi šiais teisės aktais ir standartais:
12.1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB;
12.4. Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Bendrųjų elektroninės informacijos saugos reikalavimų aprašas);
12.5. Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašas);
12.9. Lietuvos standartu LST EN ISO/IEC 27001:2017 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“, Lietuvos standartu
LST EN ISO/IEC 27002:2017 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“, kitais Lietuvos Respublikos ir tarptautiniais grupės „Informacijos technologija. Saugumo metodai“ standartais, naudojamais kaip elektroninės informacijos saugos užtikrinimo rekomendacinės priemonės;
II Skyrius
ŽIS ELEKTRONINĖS INFORMACIJOS SAUGOS VALDYMAS
13. Vadovaujantis Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo 10 punktu, ŽIS tvarkoma elektroninė informacija priskiriama mažiausios svarbos informacijos kategorijai.
14. Vadovaujantis Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo 12.4 papunkčiu ŽIS, pagal joje tvarkomą elektroninės informacijos svarbą, yra priskiriama ketvirtajai informacinių sistemų kategorijai.
15. ŽIS rizikos vertinimas, kurio metu išanalizuojami rizikos veiksniai, galimos jų pašalinimo arba neigiamo poveikio sumažinimo priemonės, atliekamas kasmet atsižvelgiant į Nacionalinio kibernetinio saugumo centro prie Lietuvos Respublikos krašto apsaugos ministerijos interneto svetainėje skelbiamą metodinę priemonę „Rizikos analizės vadovas“ ir Saugos nuostatų 12.10 papunktyje nurodytus standartus. ŽIS rizikos vertinimas gali būti atliekamas kartu su informacinių technologijų saugos atitikties vertinimu.
16. ŽIS rizikos vertinimo metu turi būti:
16.1. nustatomos grėsmės ir pažeidžiamumai, galintys turėti įtakos ŽIS elektroninės informacijos saugai ir kibernetiniams saugumui;
17. Atlikęs ŽIS rizikos įvertinimą, ŽIS saugos įgaliotinis parengia ŽIS rizikos įvertinimo ataskaitą, kurioje išdėstomi rizikos įvertinimo rezultatai. ŽIS rizikos įvertinimo ataskaita pateikiama ŽIS valdytojo vadovui ir ŽIS tvarkytojo vadovui.
ŽIS rizikos įvertinimo ataskaita rengiama atsižvelgiant į rizikos veiksnius, galinčius turėti įtakos ŽIS elektroninės informacijos saugai ir kibernetiniam saugumui, jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus ir rizikos priimtinumo kriterijus. Svarbiausieji rizikos veiksniai, kurie gali turėti įtakos ŽIS elektroninės informacijos saugai, yra:
17.1. subjektyvūs netyčiniai (ŽIS elektroninės informacijos tvarkymo klaidos ir apsirikimai, ŽIS elektroninės informacijos ištrynimas, klaidingas ŽIS elektroninės informacijos teikimas, fiziniai elektroninės informacijos technologijų sutrikimai, elektroninės informacijos perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);
17.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis ŽIS elektroninei informacijai gauti, ŽIS elektroninės informacijos pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugumo pažeidimai, vagystės ir kita);
17.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.
18. Pagrindiniai ŽIS elektroninės informacijos saugos ir kibernetinio saugumo valdymo priemonių parinkimo principai yra šie:
18.2. ŽIS elektroninės informacijos saugos priemonės diegimo kaina turi būto tapati tvarkomos elektroninės informacijos vertei;
19. Atsižvelgdamas į ŽIS rizikos įvertinimo ataskaitą, ŽIS saugos įgaliotinis prireikus, t. y. jeigu ŽIS rizikos įvertinimo ataskaitoje nustatyti rizikos veiksniai yra nepriimtini, parengia ŽIS rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame, be kita ko, numatomas techninių, administracinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti. ŽIS rizikos įvertinimo ataskaita, ŽIS rizikos įvertinimo ir rizikos valdymo priemonių planas teikiamas tvirtinti ŽIS valdytojo vadovui.
ŽIS rizikos įvertinimo ataskaitos, ŽIS rizikos įvertinimo ir rizikos valdymo priemonių plano kopijas ŽIS valdytojas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo turi pateikti Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemai Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų, patvirtintų Lietuvos Respublikos krašto apsaugos ministro 2018 m. gruodžio 11 d. įsakymu Nr. V-1183 „Dėl Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų patvirtinimo“ (toliau – Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatai), nustatyta tvarka.
20. ŽIS informacinių technologijų saugos atitikties vertinimo organizavimas:
20.1. siekiant užtikrinti Saugos nuostatuose ir ŽIS saugos dokumentuose nustatytų ŽIS elektroninės informacijos saugos ir kibernetinio saugumo įgyvendinimo organizavimą ir kontrolę, ne rečiau kaip kartą per dvejus metus, organizuojamas ŽIS informacinių technologijų saugos atitikties vertinimas;
20.2. ŽIS informacinių technologijų saugos atitikties vertinimas atliekamas Informacinių technologijų saugos atitikties vertinimo metodikoje, patvirtintoje Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimų aprašo ir Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“, ir Kibernetinio saugumo reikalavimų apraše nustatyta tvarka;
20.3. atlikus ŽIS informacinių technologijų saugos atitikties vertinimą, rengiama ŽIS informacinių technologijų saugos atitikties vertinimo ataskaita, kuri pateikiama susipažinti ŽIS valdytojo vadovui.
Jeigu atlikus ŽIS informacinių technologijų saugos atitikties vertinimą buvo nustatyta informacinių technologijų saugos neatitikčių Bendrųjų elektroninės informacijos saugos reikalavimų aprašo nuostatoms, ŽIS administratorius parengia ŽIS pastebėtų trūkumų šalinimo planą, kuriame numatomos trūkumų šalinimo priemonės, atsakingi vykdytojai, įgyvendinimo terminai, techninių, administracinių, finansinių ar kitų išteklių poreikis, ir, kurį įsakymu tvirtina ŽIS valdytojo vadovas.
21. ŽIS informacinių technologijų saugos atitikties vertinimo ataskaitas, pastebėtų trūkumų šalinimo plano kopijas ŽIS valdytojas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo turi pateikti Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemai Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų nustatyta tvarka.
III skyrius
ŽIS ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI
22. Organizaciniai ir techniniai ŽIS elektroninės informacijos saugos kibernetinio saugumo reikalavimai nustatomi pagal Saugos nuostatų 13 punkte nustatytą ŽIS svarbos kategoriją, vadovaujantis Saugos nuostatų 12 punkte nurodytais teisės aktais ir standartais.
23. Kibernetinio saugumo priemonės, nurodytos Kibernetinio saugumo reikalavimų aprašo priede, turi būti diegiamos atsižvelgiant į naujausius technologinius sprendimus, vadovaujantis gamintojo pateikiama bent viena gerosios saugumo praktikos rekomendacija.
24. Organizacinių ir techninių ŽIS elektroninės informacijos saugos ir kibernetinio saugumo priemonių užtikrinimas turi būti grindžiamas grėsmių ir pažeidžiamumo, galinčio turėti įtakos ŽIS elektroninės informacijos saugai ir kibernetiniam saugumui, rizikos vertinimu, atsižvelgiant į naujausius technikos laimėjimus.
25. Programinės įrangos, skirtos ŽIS apsaugoti nuo kenksmingos programinės įrangos (virusų, šnipinėjimo programinės įrangos, nepageidaujamo elektroninio pašto ir pan.), naudojimo nuostatos ir jos atnaujinimo reikalavimai:
25.1. tarnybinėse stotyse ir kompiuterizuotose darbo vietose turi būti naudojamos centralizuotai valdomos ir atnaujinamos kenksmingosios programinės įrangos aptikimo, stebėjimo realiu laiku priemonės, nuolat ieškančios ir blokuojančios kenksmingąją programinę įrangą, kurios turi būti reguliariai atnaujinamos automatiniu būdu ne rečiau kaip kartą per 10 dienų;
25.2. ŽIS informacinės sistemos komponentai (kompiuteriai, operacinės sistemos, duomenų bazės ir jų valdymo sistemos, taikomųjų programų sistemos, užkardos, elektroninės informacijos perdavimo tinklai, duomenų saugyklos, serveriai ir kita techninė ir programinė įranga, kurios pagrindu funkcionuoja ŽIS) be kenksmingo programinės įrangos aptikimo priemonių gali būti eksploatuojami, jeigu rizikos vertinimo metu patvirtinama, kad šių komponentų rizika yra priimtina;
25.3. ŽIS administratorius turi būti automatiškai informuojamas elektroniniu paštu apie tai, kuriems ŽIS posistemiams, funkciškai savarankiškosioms sudedamosioms dalims, vidinių ŽIS naudotojų kompiuteriams ir kitiems ŽIS komponentams yra pradelstas kenksmingosios programinės įrangos aptikimo priemonių atsinaujinimo laikas, taip pat jei kenksmingos programinės įrangos aptikimo priemonės netinkamai veikia arba yra išjungtos;
26. Priemonės ir metodai, kurie taikomi užtikrinant prieigą prie ŽIS, nurodant leistiną šios prieigos laiką ir būdą, nustatomi ŽIS naudotojų administravimo taisyklėse.
27. Programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo nuostatos:
27.1. ŽIS tarnybinėse stotyse, ŽIS naudotojų kompiuteriuose turi būti diegiama ir naudojama tik legali, saugi ir darbo funkcijoms atlikti reikalinga programinė įranga;
27.2. ŽIS saugos įgaliotinis turi parengti, su ŽIS valdytojo vadovu suderinti ir ne rečiau kaip kartą per metus peržiūrėti bei prireikus atnaujinti leistinos programinės įrangos sąrašą;
27.3. ŽIS tarnybinių stočių, ŽIS naudotojų kompiuterių operacinių sistemų ir taikomųjų programų struktūra sudaroma tokiu būdu, kad būtų užtikrintas didžiausias saugumo lygis (išjungiami nereikalingi darbui procesai ir reikmenys (angl. services), ribojamas priėjimas prie operacinės sistemos prievadų);
27.5. ŽIS programinis kodas privalo būti apsaugotas nuo atskleidimo neturintiems teisės su juo susipažinti asmenims, t. y. asmenims, nenurodytiems ŽIS naudotojų administravimo taisyklėse;
27.6. ŽIS naudotojų kompiuteriuose draudžiama naudoti programinę įrangą, nesusijusią su jų tiesiogine veikla ir funkcijomis;
27.8. ŽIS funkcionuoti būtina programinė įranga (operacinės sistemos, duomenų bazių ir aplikacijų valdymo programinė įranga, interneto naršyklės, interneto naršyklių priedai ir kita) turi būti konfigūruojama laikantis programinės įrangos gamintojų saugaus konfigūravimo rekomendacijų. Programinės įrangos konfigūravimą atlieka ŽIS administratorius;
27.9. ŽIS funkcionuoti būtina programinė įranga turi būti atnaujinama ne vėliau kaip per 5 darbo dienas nuo programinės įrangos gamintojų pranešimo apie programinės įrangos atnaujinimą gavimą dienos. Programinės įrangos atnaujinimą atlieka ŽIS administratorius;
27.10. programinės įrangos testavimas turi būti atliekamas naudojant atskirą tam skirtą testavimo aplinką. Programinės įrangos testavimą atlieka ŽIS administratorius;
27.11. programinė įranga turi būti apsaugota nuo pagrindinių per tinklą vykdomų atakų: struktūrizuotų užklausų kalbos įskverbties (angl. SQL injection), XSS (angl. Cross-site scripting), atkirtimo nuo paslaugos (angl. DOS), paskirstyto atsisakymo aptarnauti (angl. DDOS) ir kitų. Pagrindinių per tinklą vykdomų atakų sąrašas skelbiamas Atviro tinklo programų saugumo projekto (angl. The Open Web Application Security Project (OWASP) interneto svetainėje www.owasp.org .
28. Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių (angl. proxy) ir kita) pagrindinės naudojimo nuostatos:
28.1. kompiuterių tinklas, prie kurio prijungtos ŽIS tarnybinės stotys, nuo viešųjų elektroninių ryšių tinklų (interneto) turi būti atskirtas tinklo užkarda (angl. firewall), automatine įsilaužimų aptikimo ir prevencijos įranga, atkirtimo nuo paslaugos įranga. Už tinklo užkardos priežiūrą atsako ŽIS administratorius;
28.2. kompiuterių tinklų perimetro apsaugai turi būti naudojami filtrai, apsaugantys elektroniniame pašte ir viešuose ryšių tinkluose naršančių ŽIS naudotojų kompiuterinę įrangą nuo kenksmingo kodo. Visas duomenų srautas į internetą ir iš jo turi būti filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingos programinės įrangos;
28.3. prieiga prie ŽIS elektroninės informacijos ŽIS naudotojams suteikiama ŽIS naudotojų administravimo taisyklėse nustatyta tvarka ir sąlygomis;
28.4. ŽIS elektroninė informacija automatiniu būdu į ŽIS teikiama ir (ar) per ŽIS gaunama tik duomenų teikimo sutartyse nustatyta tvarka ir sąlygomis, naudojant TCP (angl. Transmission Control Protocol) / IP (angl. Internet Protocol) protokolą realiu laiku („on-line“ režimu) arba asinchroniniu režimu;
29. Leistinos kompiuterių naudojimo ribos:
29.1. nešiojamųjų kompiuterių ir kitų mobiliųjų įrenginių, naudojamų ŽIS naudotojų tarnybinėms ar darbo funkcijos vykdyti, naudojimo tvarka nustatyta ŽIS saugaus elektroninės informacijos tvarkymo taisyklėse;
29.2. stacionariuosius kompiuterius leidžiama naudoti tik ŽIS valdytojo ir ŽIS tvarkytojo patalpose;
30. Užtikrinant saugų ŽIS elektroninės informacijos teikimą ir (ar) gavimą, turi būti naudojamas šifravimas, virtualus privatus tinklas (angl. VPN), skirtinės linijos, saugus elektroninių ryšių tinklas ar kitos priemonės, kuriomis užtikrinamas saugus ŽIS elektroninės informacijos perdavimas. Metodai, kuriais leidžiama užtikrinti saugų ŽIS elektroninės informacijos teikimą ir (ar) gavimą (ŽIS naudotojų autentifikavimo priemonės, prieigos prie informacinių sistemų suteikimas tik registruotiems ŽIS naudotojams, nuotolinio prisijungimo prie ŽIS būdai, protokolai, ŽIS elektroninės informacijos keitimosi formatai, šifravimo, ŽIS elektroninės informacijos kopijų skaičiaus reikalavimai, reikalavimai teikti ir (ar) gauti ŽIS elektroninę informaciją automatiniu būdu tik pagal duomenų teikimo sutartyse nustatytas specifikacijas ir sąlygas, ir panašiai), nustatyti ŽIS saugaus elektroninės informacijos tvarkymo taisyklėse.
31. Pagrindiniai atsarginių elektroninės informacijos kopijų darymo ir atkūrimo reikalavimai:
31.1. atsarginių ŽIS elektroninės informacijos kopijų darymo strategija turi būti pasirenkama atsižvelgiant į priimtiną elektroninės informacijos praradimą (angl. recovery point objective) ir priimtiną ŽIS neveikimo laikotarpį (angl. recovery time objective);
31.2. atsarginės ŽIS elektroninės informacijos kopijos turi būti daromos ir saugomos tokiu mastu, kad ŽIS veiklos sutrikimo, saugos incidentų ar ŽIS elektroninės informacijos vientisumo praradimo atvejais ŽIS neveikimo laikotarpis nebūtų ilgesnis nei 16 val., o ŽIS elektroninės informacijos praradimas atitiktų priimtinumo kriterijus;
31.3. atsarginės ŽIS elektroninės informacijos kopijos į rezervinio kopijavimo juostų biblioteką turi būti daromos automatiškai periodiškai vieną kartą per 24 valandas;
31.4. ŽIS elektroninė informacija atsarginėse kopijose turi būti užšifruota (šifravimo raktai turi būti saugomi atskirai nuo kopijų) arba turi būti imtasi kitų priemonių, neleidžiančių panaudoti kopijas neteisėtai atkuriant ŽIS elektroninę informaciją;
31.5. ŽIS elektroninės informacijos kopijos turi būti saugomos užrakintoje nedegioje spintoje, esančioje kitose patalpose nei yra ŽIS tarnybinių stočių įrenginys, kurio elektroninė informacija buvo nukopijuota, arba kitame pastate;
31.6. už atsarginių ŽIS elektroninės informacijos kopijų darymą, ŽIS elektroninės informacijos atkūrimą ir atsarginių ŽIS elektroninės informacijos kopijų apsaugą yra atsakingas ŽIS administratorius, kurio funkcijos aprašytos ŽIS naudotojų administravimo taisyklėse ir kituose teisės aktuose, reglamentuojančiuose ŽIS veiklą;
31.7. ŽIS administratorius ne rečiau kaip kartą per metus atlieka atsarginių kopijų tinkamumo ir saugojimo kontrolę;
31.8. periodiškai, bet ne rečiau kaip kartą per metus, turi būti atliekami išsamūs ir (ar) daliniai ŽIS elektroninės informacijos atkūrimo iš atsarginių kopijų bandymai;
31.9. patekimas į patalpas, kuriose saugomos atsarginės ŽIS elektroninės informacijos kopijos, turi būti kontroliuojamas;
IV KYRIUS
REIKALAVIMAI PERSONALUI
33. ŽIS saugos įgaliotinis privalo išmanyti ŽIS elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo principus, tobulinti ŽIS elektroninės informacijos saugos srities kvalifikaciją, savo darbe vadovautis Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, Saugos nuostatais, ŽIS saugos dokumentais ir kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais saugų elektroninės informacijos tvarkymą ir kibernetinį saugumą informacinėje sistemoje, ir sugebėti prižiūrėti saugos politikos įgyvendinimą.
34. ŽIS saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinių sistemų saugumui, taip pat paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai.
35. ŽIS administratorius privalo išmanyti ŽIS elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo principus, mokėti užtikrinti ŽIS ir joje tvarkomos elektroninės informacijos saugą ir kibernetinį saugumą, administruoti ir prižiūrėti ŽIS komponentus ir komponentų sąranką (stebėti ŽIS komponentų veikimą, atlikti jų profilaktinę priežiūrą, trikčių diagnostiką ir šalinimą, gebėti užtikrinti nepertraukiamą VIPVIS komponentų funkcionavimą).
36. ŽIS administratorius turi būti susipažinęs su Saugos nuostatais ir ŽIS saugos dokumentais bei raštu sutikęs laikytis juose nustatytų reikalavimų.
37. ŽIS administratorius turi būti susipažinęs su duomenų bazių administravimo ir priežiūros pagrindais ir kontroliuoti paslaugų teikėją (jei toks yra), administruojantį ir prižiūrintį ŽIS techninę ir programinę įrangą.
38. ŽIS naudotojai privalo turėti darbo kompiuteriu įgūdžių, būti susipažinę su Saugos nuostatais, ŽIS saugos dokumentais ir atsakomybe už jų reikalavimų nesilaikymą bei raštu sutikę laikytis juose nustatytų reikalavimų.
39. ŽIS tvarkytojo darbuotojai (išskyrus ŽIS saugos įgaliotinį ir ŽIS administratorių), kurie dalyvauja prižiūrint, valdant ir tobulinant ŽIS, privalo gerai išmanyti ŽIS veiklos principus, būti susipažinę ir vykdyti ŽIS saugos dokumentuose nustatytus reikalavimus bei atlikti ŽIS saugos dokumentuose nurodytas procedūras.
40. ŽIS saugos įgaliotinis periodiškai privalo organizuoti ŽIS naudotojų mokymą elektroninės informacijos saugos klausimais, įvairiais būdais informuoti juos apie elektroninės informacijos saugos problemas.
41. ŽIS saugos įgaliotinio, ŽIS administratoriaus ir ŽIS naudotojų mokymo planavimo, organizavimo ir vykdymo tvarka, mokymo dažnumo reikalavimai:
41.1. ŽIS naudotojai turi būti periodiškai įvairiais būdais informuojami apie elektroninės informacijos saugos ir kibernetinio saugumo problemas (pvz., priminimai elektroniniu paštu, teminių seminarų organizavimas, atmintinės naujiems ŽIS naudotojams, ŽIS administratoriui ir pan.);
41.2. mokymai elektroninės informacijos saugos ir kibernetinio saugumo klausimais turi būti planuojami ir mokymo būdai parenkami atsižvelgiant į elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo prioritetines kryptis ir tikslus, įdiegtas ar planuojamas įdiegti technologijas (techninę ir programinę įrangą), ŽIS saugos įgaliotinio, ŽIS naudotojų ir ŽIS administratoriaus poreikius;
41.3. mokymai gali būti vykdomi tiesioginiu (pvz., paskaitos, seminarai, konferencijos ir kiti teminiai renginiai) ar nuotoliniu (pvz., vaizdo konferencijos, mokomosios medžiagos pateikimas elektroninėje erdvėje ir pan.) būdu;
41.4. mokymai ŽIS naudotojams turi būti organizuojami periodiškai, bet ne rečiau kaip kartą per dvejus metus;
V SKYRIUS
ŽIS NAUDOTOJŲ SUPAŽINDINIMO SU SAUGOS DOKUMENTAIS PRINCIPAI
43. Tvarkyti ŽIS elektroninę informaciją gali tik tie asmenys, kurie yra susipažinę su Saugos nuostatais, ŽIS saugos dokumentais ir kitais teisės aktais, kuriais vadovaujamasi tvarkant ŽIS elektroninę informaciją, užtikrinant jos saugą, bei susipažinę su atsakomybe už šių teisės aktų reikalavimų nesilaikymą ir sutikę jų laikytis.
44. ŽIS naudotojų supažindinimą su Saugos nuostatais ir ŽIS saugos dokumentais ar jų santrauka bei atsakomybe už jų reikalavimų nesilaikymą organizuoja ŽIS saugos įgaliotinis.
45. ŽIS naudotojų supažindinimo su Saugos nuostatais ir ŽIS saugos dokumentais ar jų santrauka būdai turi būti pasirenkami atsižvelgiant į ŽIS specifiką (pvz., ŽIS ir jos buvimo vietą organizacinių ir (ar) techninių priemonių, leidžiančių identifikuoti su Saugos nuostatais ir ŽIS saugos dokumentais ar jų santrauka susipažinusį asmenį ir užtikrinančių supažindinimo procedūros įrodomąją (teisinę) galią, panaudojimo galimybes ir panašiai). ŽIS naudotojai su Saugos nuostatais ir ŽIS saugos dokumentais ar jų santrauka turi būti supažindinami pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodomumą. Saugos nuostatų ir ŽIS saugos dokumentų santrauka ŽIS naudotojams skelbiama ŽIS tvarkomoje interneto svetainėje ir (ar) ŽIS taikomosiose programose.
VI SKYRIUS
BAIGIAMOSIOS NUOSTATOS
48. Saugos nuostatai ir ŽIS saugos dokumentai turi būti persvarstomi (peržiūrimi) ne rečiau kaip kartą per metus po ŽIS rizikos įvertinimo ar ŽIS informacinių technologijų saugos reikalavimų atitikties vertinimo atlikimo arba įvykus esminiams organizaciniams, sisteminiams ar kitiems ŽIS valdytojo ir ŽIS tvarkytojo pokyčiams. Prireikus, Saugos nuostatai ir ŽIS saugos dokumentai turi būti tikslinami.
49. ŽIS saugos įgaliotinis, ŽIS administratorius ir ŽIS naudotojai privalo saugoti ir neatskleisti ŽIS elektroninės informacijos, įsipareigojimas saugoti ir neatskleisti ŽIS elektroninės informacijos galioja ir nutraukus su ŽIS elektroninės informacijos tvarkymu susijusią veiklą.
50. ŽIS saugos įgaliotinis, ŽIS administratorius, ŽIS naudotojai ir kiti asmenys, pažeidę Saugos nuostatus, ŽIS saugos dokumentus ar kitų elektroninės informacijos saugą ir kibernetinį saugumą reglamentuojančių teisės aktų nuostatas, atsako Lietuvos Respublikos įstatymų ir kitų teisės aktų nustatyta tvarka.