818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ pakeitimo

Lietuvos Respublikos Vyriausybė

nutarimas

DĖL LIETUVOS RESPUBLIKOS VYRIAUSYBĖS 2018 m. RUGPJŪČIO 13 d. nutarimo nr. 818 „DĖL LIETUVOS RESPUBLIKOS KIBERNETINIO SAUGUMO ĮSTATYMO ĮGYVENDINIMO“ PAKEITIMO

2026 m. kovo 25 d. Nr. 185

Vilnius

Lietuvos Respublikos Vyriausybė n u t a r i a:

1. Pakeisti Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimą Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“:

1.1. Pakeisti nurodytu nutarimu patvirtintą Kibernetinio saugumo reikalavimų aprašą:

1.1.1. Papildyti 55.3 papunkčiu: „55.3. kriptografijos taikymo inventorizacijos atlikimo ir jos rezultatų dokumentavimo reikalavimus, taip pat inventorizacijos atlikimo periodiškumą – ne rečiau kaip kartą per trejus metus. Kriptografijos taikymo inventorizacija turi apimti ne mažiau kaip:

55.3.1. naudojamų kriptografinių algoritmų, protokolų ir šifravimo priemonių identifikavimą;

55.3.2. kriptografijos taikymo paskirtį tinklų ir informacinėse sistemose;

55.3.3. naudojamus kriptografinius parametrus, įskaitant raktų ilgius, protokolų versijas ir sertifikatų galiojimo terminus;“.

1.1.2. Papildyti 55.4 papunkčiu: „55.4. aukštos kvantinės rizikos tinklų ir informacinių sistemų (toliau – aukštos kvantinės rizikos sistemos) identifikavimą. Aukštos kvantinės rizikos sistemos suprantamos kaip tinklų ir informacinės sistemos, atitinkančios bent vieną iš šių kriterijų:

55.4.1. jų veiklos sutrikimas ar duomenų praradimas sutrikdytų kibernetinio saugumo subjekto esminių funkcijų vykdymą taip, kad kibernetinio saugumo subjekto veiklos tęstinumas taptų neįmanomas;

55.4.2. jų veiklos sutrikimas, neteisėta prieiga, duomenų atskleidimas, pakeitimas ar praradimas turėtų neigiamą poveikį Lietuvos Respublikos nacionaliniam saugumui, viešajam saugumui arba valstybės institucijų ir įstaigų funkcijų vykdymui;

55.4.3. jų veiklos sutrikimas ar jose tvarkomų duomenų saugumo pažeidimas sukeltų arba galėtų sukelti kibernetinio saugumo subjektui teisinę atsakomybę, įskaitant atsakomybę už asmens duomenų apsaugos, finansinių ar sutartinių įsipareigojimų vykdymo ar intelektinės nuosavybės teisių pažeidimus;

55.4.4. jose tvarkomų ar saugomų duomenų konfidencialumas pagal duomenų apsaugą nustatančių teisės aktų reikalavimus turi būti užtikrintas ne trumpiau kaip 10 metų;

55.4.5. postkvantinės kriptografijos algoritmų diegimas jose dėl tinklų ir informacinių sistemų techninių, architektūrinių ar suderinamumo apribojimų truktų ilgiau kaip 8 metus.“

1.1.3. Pripažinti netekusiu galios 55.4 papunktį.

1.1.4. Papildyti 4 lentelę 501 punktu: „501. Aukštos kvantinės rizikos sistemose, kuriose naudojama asimetrinė kriptografija, turi būti naudojami postkvantinės kriptografijos algoritmai, kurie yra standartizuoti ir visuotinai pripažinti tarptautinių standartizacijos organizacijų, tokių kaip Jungtinių Amerikos Valstijų nacionalinis standartų ir technologijų institutas (angl. National Institute of Standards and Technology) ar Tarptautinė standartizacijos organizacija (angl. International Organization for Standardization), arba taikomi hibridiniai sprendimai, kai postkvantinės kriptografijos algoritmai naudojami kartu su tuo metu taikomais asimetrinės kriptografijos algoritmais. x “.

1.1.5. Pakeisti 4 lentelės 501 punktą ir jį išdėstyti taip: „501. Tinklų ir informacinėse sistemose, kuriose naudojama asimetrinė kriptografija, turi būti naudojami postkvantinės kriptografijos algoritmai, kurie yra standartizuoti ir visuotinai pripažinti tarptautinių standartizacijos organizacijų, tokių kaip Jungtinių Amerikos Valstijų nacionalinis standartų ir technologijų institutas (angl. National Institute of Standards and Technology) ar Tarptautinė standartizacijos organizacija (angl. International Organization for Standardization). x x“.

1.2. Pakeisti nurodytu nutarimu patvirtintą Saugiojo valstybinio duomenų perdavimo tinklo naudotojų sąrašą:

1.2.1. Pakeisti 54 punktą ir jį išdėstyti taip: „54. Priėmimo ir integracijos agentūra“. 1.2.2. Pripažinti netekusiu galios 84 punktą. 1.2.3. Pripažinti netekusiu galios 95 punktą. 1.2.4. Pripažinti netekusiu galios 118 punktą. 1.2.5. Pakeisti 146 punktą ir jį išdėstyti taip: „146. Lietuvos akreditacijos ir standartizacijos agentūra“. 1.2.6. Pripažinti netekusiu galios 154 punktą.

1.2.7. Papildyti skyrių „Kita“ 2421 ir 2422 punktais: „2421. Lietuvos gyventojų genocido ir rezistencijos tyrimo centras 2422. Lietuvos Respublikos konkurencijos taryba“.

1.2.8. Pripažinti netekusiu galios 247 punktą. 1.2.9. Pripažinti netekusiu galios 281 punktą. 1.2.10. Pripažinti netekusiu galios 284 punktą. 1.2.11. Pripažinti netekusiu galios 286 punktą. 1.2.12. Pakeisti 289 punktą ir jį išdėstyti taip: „289. Viešoji įstaiga Kaišiadorių rajono savivaldybės sveikatos centras“. 1.2.13. Pakeisti 319 punktą ir jį išdėstyti taip: „319. Viešoji įstaiga Klaipėdos rajono savivaldybės sveikatos centras“. 1.2.14. Pakeisti 333 punktą ir jį išdėstyti taip: „333. Viešoji įstaiga Lazdijų rajono savivaldybės sveikatos centras“. 1.2.15. Pakeisti 349 punktą ir jį išdėstyti taip: „349. Viešoji įstaiga Pakruojo sveikatos centras“. 1.2.16. Papildyti 3591 punktu: „3591. Panevėžio rajono socialinių paslaugų centras“. 1.2.17. Papildyti 3871 punktu: „3871. Skemų socialinės globos namai“. 1.2.18. Pripažinti netekusiu galios 392 punktą. 1.2.19. Pakeisti 425 punktą ir jį išdėstyti taip: „425. Švenčionių rajono savivaldybės priešgaisrinė tarnyba“. 1.2.20. Pakeisti 439 punktą ir jį išdėstyti taip: „439. Viešoji įstaiga Trakų rajono sveikatos centras“. 1.2.21. Pripažinti netekusiu galios 467 punktą. 1.2.22. Pakeisti 475 punktą ir jį išdėstyti taip: „475. Viešoji įstaiga Vilniaus rajono poliklinika“.

2. Nustatyti, kad:

2.1. šio nutarimo 1.2.18 papunktis įsigalioja 2026 m. balandžio 1 d.;

2.2. šio nutarimo 1.1.1 ir 1.1.2 papunkčiai įsigalioja 2027 m. sausio 1 d.;

2.3. šio nutarimo 1.1.4 papunktis įsigalioja 2031 m. sausio 1 d.;

2.4. šio nutarimo 1.1.3 ir 1.1.5 papunkčiai įsigalioja 2036 m. sausio 1 d.

3. Pavesti:

3.1. Lietuvos Respublikos krašto apsaugos ministerijai iki 2026 m. gegužės 1 d. parengti ir viešai paskelbti Krašto apsaugos ministerijos ir Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos interneto svetainėse:

3.1.1. perėjimo prie postkvantinės kriptografijos gaires;

3.1.2. kriptografijos taikymo inventorizacijos gaires;

3.2. esminiams kibernetinio saugumo subjektams iki 2027 m. gegužės 1 d.:

3.2.1. atlikti kriptografijos taikymo inventorizaciją;

3.2.2. nustatyti aukštos kvantinės rizikos tinklų ir informacines sistemas;

3.2.3. parengti postkvantinės kriptografijos diegimo aukštos kvantinės rizikos tinklų ir informacinėse sistemose planą.

4. Rekomenduoti:

4.1. kibernetinio saugumo subjektams planuojant ir įgyvendinant perėjimą prie postkvantinės kriptografijos vadovautis šio nutarimo 3.1 papunktyje nurodytomis gairėmis;

4.2. kitiems viešiesiems ir privatiems subjektams, kuriems šis nutarimas netaikomas, atsižvelgti į šio nutarimo 3.1 papunktyje nurodytas gaires ir, atsižvelgiant į savo veiklos pobūdį bei rizikos lygį, naudoti postkvantinės kriptografijos algoritmus.

Ministrė Pirmininkė Inga Ruginienė

Krašto apsaugos ministras Robertas Kaunas