Kibernetinio saugumo auditas privalomas kas 3 metus: ką numato įstatymas

Kibernetinio saugumo reikalavimai Lietuvos organizacijoms tampa vis konkretesni: neužtenka įsidiegti techninių apsaugos priemonių ar turėti parengtų saugumo politikų – jų veiksmingumą reikia periodiškai įvertinti. Vienas svarbiausių reikalavimų Kibernetinio saugumo subjektams – kibernetinio saugumo auditas ne rečiau kaip kartą per trejus metus. Ši prievolė nustatyta Lietuvos Respublikos kibernetinio saugumo įstatyme ir taikoma organizacijoms, įtrauktoms į Kibernetinio saugumo subjektų registrą. 

Tai svarbus pokytis verslui, kadangi kibernetinio saugumo vertinimas nebėra vien pasirengimas galimam incidentui ar reguliuotojo patikrinimui. Periodinis auditas leidžia nepriklausomai įvertinti, ar organizacijoje įdiegtos saugumo priemonės iš tiesų veikia, ar laikomasi teisės aktų reikalavimų ir kur dar gali būti likusių spragų.

Kam taikomas reikalavimas atlikti kibernetinio saugumo auditą?

Kibernetinio saugumo audito prievolė taikoma Kibernetinio saugumo subjektų registre esantiems subjektams. Į šį registrą patenka organizacijos, atitinkančios įstatyme nustatytus kriterijus ir veikiančios reguliuojamuose sektoriuose. Tarp jų – energetikos, transporto, finansų, sveikatos priežiūros, skaitmeninės infrastruktūros ir kitų sričių organizacijos. Subjektams pareigos pagal Kibernetinio saugumo įstatymą atsiranda nuo jų įregistravimo. 

Svarbu ir tai, kad auditas nėra vienintelis periodinis reikalavimas. Organizacijos turi nuolat valdyti kibernetinio saugumo riziką, užtikrinti nustatytų priemonių veikimą, o vadovybė turi prižiūrėti, kaip įgyvendinamos įstatyme nustatytos pareigos. Todėl trejų metų ciklo nereikėtų suprasti kaip trejų metų laikotarpio, per kurį galima nieko nedaryti. Priešingai – kibernetinio saugumo auditas yra vienas iš nuolatinio saugumo valdymo proceso etapų.

Ką iš tikrųjų vertina kibernetinio saugumo auditas?

Kibernetinio saugumo audito tikslas nėra vien surasti technines spragas. Jo užduotis – įvertinti, ar organizacijos kibernetinio saugumo rizikos valdymo priemonės atitinka nustatytus reikalavimus ir ar yra efektyvios praktikoje.

2026 m. Nacionalinis kibernetinio saugumo centras (NKSC) patvirtino Kibernetinio saugumo auditų atlikimo metodiką, kurioje apibrėžiami audito principai, procesas, atitikties vertinimas bei auditoriams taikomi reikalavimai. Metodika numato, kad audito metu vertinamos įvairios organizacijos saugumo sritys, įskaitant technines priemones, tinklo segmentavimą, sistemų atnaujinimus, apsaugą nuo kenkėjiškos programinės įrangos ir internetu pasiekiamų sistemų apsaugą. 

Tačiau vien tik nustatyti neatitikimus nepakanka. Audito rezultatas turėtų tapti pagrindu konkrečiam veiksmų planui: nustatyti, ką reikia ištaisyti, kas už tai atsakingas ir iki kada priemonės turi būti įgyvendintos. NKSC metodikoje taip pat numatyta neatitikčių šalinimo ir jų įgyvendinimo stebėsena. 

Kodėl vienkartinio patikrinimo neužtenka?

Technologinė organizacijos aplinka per trejus metus gali pasikeisti iš esmės. Įmonės diegia naujas sistemas, migruoja į debesijos infrastruktūrą, pasitelkia naujus tiekėjus, keičia darbuotojų prieigos teises ir integruoja išorines paslaugas. Kartu keičiasi ir grėsmių aplinka.

Todėl auditas, atliktas prieš kelerius metus, negali būti laikomas dabartinės saugumo būklės garantija. Jo vertė atsiranda tada, kai nustatytos išvados vėliau panaudojamos saugumo procesams tobulinti, o organizacija tarp auditų nuolat stebi rizikas.

„Praktikoje didžiausia vertė atsiranda ne tada, kai organizacija gauna audito ataskaitą, o tada, kai jos išvados virsta konkrečiais sprendimais. Trejų metų ciklas suteikia pakankamai laiko įgyvendinti pokyčius, tačiau neturėtų reikšti, kad iki kito audito saugumo klausimai atidedami į šalį“, – teigia „Baltic Amadeus“ informacijos saugumo ekspertas.

Kas gali atlikti kibernetinio saugumo auditą?

Įstatymas nustato ir reikalavimus auditoriams. Kibernetinio saugumo auditą gali atlikti nepriklausomi tarptautiniu mastu pripažintų organizacijų sertifikuoti informacinių sistemų saugumo atitikties auditoriai, atitinkamos audito įmonės ar kitos institucijos, taip pat specialistai, atitinkantys NKSC nustatytus kvalifikacijos ir kitus reikalavimus. Auditoriams taip pat taikomi nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos kriterijai. 

Tai reiškia, kad organizacija negali pasirinkti bet kokio vidinio darbuotojo ir tokiu būdu formaliai „užsidėti varnelę“. Auditorius negali vertinti sistemų, kurias pats valdo ar tvarko toje pačioje organizacijoje. Tokiu principu siekiama užtikrinti objektyvesnį saugumo būklės įvertinimą. 

Renkantis partnerį verta vertinti ne tik formalią jo kvalifikaciją, bet ir praktinę patirtį bei gebėjimą suprasti konkrečios organizacijos veiklos kontekstą. Tokie kibernetinio saugumo paslaugų teikėjai kaip „Baltic Amadeus“, turintys ISO/IEC 27001 sertifikavimą ir patyrusių specialistų komandą, gali padėti auditą susieti su platesniu IT bei kibernetinio saugumo rizikų valdymu, o ne apsiriboti vien galutinės ataskaitos parengimu. Vertinant specialistų kompetenciją, taip pat verta atkreipti dėmesį į tarptautiniu mastu pripažįstamus CISA ir CISSP sertifikatus, kurie gali būti vienas iš profesionalios kvalifikacijos ir patirties rodiklių.

Ką organizacijoms verta pasiruošti iš anksto?

Laukti paskutinių metų ar mėnesių prieš auditą – rizikinga strategija. Pirmiausia verta susidėlioti, kokios informacinės sistemos patenka į audito apimtį, kas už jas atsakingas ir kokie saugumo procesai organizacijoje jau veikia.

Praktinis pasirengimas gali prasidėti nuo kelių žingsnių:

• įvertinti, kokie Kibernetinio saugumo įstatymo reikalavimai taikomi organizacijai;
• susisteminti informaciją apie pagrindines sistemas, infrastruktūrą ir duomenis;
• įsivertinti esamas saugumo priemones ir jų veiksmingumą;
• patikrinti, kaip valdomos nustatytos spragos ir rizikos;
• peržiūrėti tiekėjų bei trečiųjų šalių saugumo reikalavimus;
• iš anksto suplanuoti kibernetinio saugumo auditą ir numatyti laiką nustatytiems trūkumams pašalinti.

Toks pasirengimas leidžia auditą paversti ne stresą keliančiu formaliu procesu, o realiu organizacijos saugumo būklės patikrinimu. Minėtas praktikas taiko ir kibernetinio saugumo srityje veikiančios įmonės „Baltic Amadeus“ komanda.

Auditas – ne pabaiga, o atspirties taškas

Vienas svarbiausių aspektų yra tai, ką organizacija daro gavusi audito išvadas. NKSC metodika numato neatitikčių valdymo ir trūkumų šalinimo stebėseną, todėl audito rezultatai turėtų būti naudojami kaip pagrindas tolesniems veiksmams. Audito ataskaita turi būti saugoma ne trumpiau kaip trejus metus. 

Tai leidžia matyti ne tik vieno momento situaciją, bet ir saugumo brandos pokytį. Jei per laiką nustatytos rizikos mažėja, procesai tampa aiškesni, o techninės priemonės nuosekliai tobulinamos, auditas tampa naudingu valdymo įrankiu.

„Geriausias rezultatas yra ne kuo mažesnis neatitikimų skaičius audito ataskaitoje, o aiškus supratimas, ką organizacija turi pagerinti ir kaip tai padaryti. Kibernetinio saugumo auditas turėtų padėti vadovybei priimti pagrįstus sprendimus dėl rizikos, technologijų ir investicijų, o ne būti tik dokumentu, kurio prireikia patikrinimo metu“, – pabrėžia „Baltic Amadeus“ ekspertas.

Treji metai praeina greičiau, nei atrodo

Kibernetinio saugumo auditas pagal įstatymą turi būti atliekamas ne rečiau kaip kartą per trejus metus, tačiau šio termino nereikėtų vertinti kaip priežasties atidėti pasirengimą. Įstatymas aiškiai nustato pareigą Kibernetinio saugumo subjektams organizuoti auditą, o NKSC patvirtinta metodika detalizuoja, kaip šis procesas turi būti vykdomas. 

Todėl organizacijoms verta jau dabar įtraukti kibernetinio saugumo auditą į ilgalaikį veiklos ir biudžeto planavimą. Nuoseklus pasirengimas, patikimas kibernetinio saugumo partneris ir reguliarus rizikos vertinimas leidžia ne tik lengviau užtikrinti atitiktį, bet ir sustiprinti organizacijos atsparumą realioms kibernetinėms grėsmėms.