Nuo 2024 m. spalio 18 d. Lietuvoje pradėtos taikyti NIS2 direktyvos nuostatos, nustatančios naujus kibernetinio saugumo standartus daugeliui įmonių. Tai reikšmingas pokytis, nes NIS2 ne tik įpareigoja stiprinti saugumą, bet ir numato aiškias sankcijas už neatitiktį.
Nustatytų reikalavimų nesilaikančios įmonės rizikuoja ne tik reputacija ar pasitikėjimu rinkoje, bet ir didelėmis finansinėmis baudomis. Šiame straipsnyje aptarsime, kokios NIS2 baudos gresia, kaip jos taikomos ir ką gali padaryti Lietuvos įmonės, kad jų išvengtų.
NIS2 direktyva Lietuvoje – tai ne tik teisinis įsipareigojimas, bet ir griežta atsakomybės sistema, kurią būtina suprasti iš anksto.
Kokio dydžio baudos numatytos pagal NIS2?
Remiantis NIS2 direktyva, sankcijos yra vienos griežčiausių, lyginant su ankstesniu NIS reglamentu:
- Esminiams subjektams: baudos iki 10 mln. eurų arba 2 % metinių pajamų (priklausomai nuo to, kuri suma yra didesnė).
- Svarbiems subjektams: baudos iki 7 mln. eurų arba 1,4 % metinių pajamų.
Tai reiškia, kad net ir vidutinio dydžio įmonės gali susidurti su milijoninėmis sankcijomis, jei nebus pasiruošusios.
Už ką yra skiriamos baudos?
Baudos yra taikomos ne tik už visišką NIS2 nevykdymą, bet ir už konkrečius pažeidimus:
- Nepranešimą apie kibernetinį incidentą laiku (per 24–72 val.).
- Tiekimo grandinės saugumo neužtikrinimą.
- Vadovybės neveikimą. Jei valdyba nežinojo apie rizikas arba nepriėmė sprendimų dėl investicijų.
- Netinkamą procesų dokumentaciją. Jei nėra aiškių procedūrų ar jie neveikia praktikoje.
- Techninių priemonių trūkumą, pvz., neužtikrintas prieigos valdymas, nesegmentuoti tinklai, neatlikti testai.
Kokios papildomos rizikos gresia Lietuvos įmonėms?
Finansinė rizika
Be tiesioginių baudų, neatitiktis gali sukelti klientų ir partnerių praradimą. Daugeliui sektorių (pvz., finansų, energetikos, logistikos) saugumo užtikrinimas yra privaloma sąlyga tęsti veiklą.
Reputacinė rizika
Incidentai tampa vieši. Vienas įsilaužimas ar nepaskelbtas incidentas gali pakenkti prekės ženklui ir jo reputacijai daugiau nei pati bauda.
Teisinė atsakomybė
Vadovai gali būti laikomi asmeniškai atsakingais už neužtikrintą atitiktį. Kai kuriais atvejais gali būti taikomi laikini vadovavimo apribojimai.
Konkurencinis pranašumas
Įmonės, kurios nesilaiko reikalavimų, atsiduria silpnesnėje pozicijoje konkurentų atžvilgiu. Partneriai ir klientai renkasi tuos, kurie gali įrodyti, jog atitinka standartus.
Todėl svarbu suprasti, kad NIS2 Lietuvoje – tai ne vien teisinis reikalavimas, bet ir konkurencinės aplinkos dalis.
Dažniausios klaidos, lemiančios NIS2 baudas
- Pasikliaujama vien tik dokumentais. Politika parengta, bet realūs procesai neveikia.
- Incidentai nepranešami laiku. Įmonė bijo reputacinės žalos ir slepia problemas.
- Nevertinama tiekimo grandinė. Paliekamos spragos partnerių sistemose.
- Vadovybė neįtraukta. Saugumas tampa tik IT skyriaus užduotimi.
- Neatliekami testai. Sistemos nepatikrintos, todėl spragos aptinkamos tik po įsilaužimo.
Kaip išvengti baudų?
Yra keli aiškūs žingsniai, padedantys užtikrinti, kad įmonei nebūtų taikomos NIS2 sankcijos:
- Atlikti spragų analizę. Kur nesilaikoma NIS2 reikalavimų?
- Parengti incidentų valdymo planą. Kas atsakingas, kaip pranešama, kokia reagavimo seka?
- Įdiegti technines priemones. Tinklų segmentavimą, prieigos valdymą, šifravimą, testavimą.
- Įtraukti vadovybę. Vadovai turi priimti sprendimus dėl investicijų į saugumą.
- Vertinti tiekimo grandinę. Visi partneriai turi atitikti saugumo standartus.
Pavyzdys: kas nutinka, jei įmonė nespėja pasiruošti?
Vidutinė logistikos įmonė Lietuvoje nesuspėja užbaigti pasirengimo NIS2 direktyvai. Įvyksta incidentas – įsilaužta į duomenų bazę, nuteka klientų informacija.
- Incidentas nepranešamas laiku, nes nėra aiškaus plano.
- Paaiškėja, kad tiekėjas neturėjo reikiamų apsaugos priemonių.
- Valdyba nebuvo informuota apie rizikas.
Rezultatas: bauda iki 2 % metinių pajamų, viešas reputacijos smūgis ir prarasti partneriai.
Kaip padeda Baltic Amadeus?
Baltic Amadeus komanda įvertina atitikties spragas ir padeda jų išvengti, užtikrindama, kad įmonės ne tik pasiruoštų auditui, bet ir sustiprintų bendrą kibernetinį atsparumą.
Baltic Amadeus paslaugos apima:
- NIS2 atitikties analizę.
- Incidentų valdymo planų rengimą.
- Techninių priemonių diegimą.
- Tiekėjų rizikos vertinimą.
- Vadovų ir dedikuotų komandų mokymus.
Dažniausiai užduodami klausimai apie NIS2 baudas
➤ Ar mažoms įmonėms gresia tokios pačios baudos kaip didelėms?
Taip, baudos dydis priklauso nuo įmonės statuso (esminė ar svarbi), ne nuo darbuotojų skaičiaus.
➤ Kas nustato, ar įmonė privalo laikytis NIS2?
Tai apibrėžta direktyvos priede. Įmonė priskiriama pagal veiklos sektorių ir svarbą visuomenei.
➤ Ar užtenka ISO 27001 sertifikato?
Ne. Sertifikatas padeda, bet NIS2 kelia papildomus reikalavimus.
➤ Ar įmonė gali būti baudžiama, jei įvyksta incidentas, bet viską darė teisingai?
Ne. Baudos yra taikomos už neatitiktį, o ne už patį incidentą. Jei įrodyta, kad procesai veikė, atsakomybė mažėja.
➤ Kada verta pradėti ruoštis?
Nedelsiant. Pasiruošimas gali trukti 6–12 mėnesių, todėl pradėti 2025 m. pabaigoje – per vėlu.
NIS2 direktyva Lietuvoje yra daugiau nei formalumas – tai rimta atsakomybės sistema. Baudos gali siekti milijonus, tačiau dar didesnė rizika slypi reputacijos praradime.
Įmonės, kurios pradės ruoštis dabar, išvengs ne tik sankcijų, bet ir sustiprins savo konkurencinę poziciją rinkoje.
Užs. R1106
