LegalizeLietuvos Respublikos valstybės ir tarnybos paslapčių įstatymo pakeitimo įstatymas
31 straipsnis. Saugumo zonos
Teritorijos ir patalpos, kuriose dirbama arba kuriose saugoma įslaptinta informacija, pagal informacijos slaptumo žymas, saugojimo pobūdį ir nesankcionuoto susipažinimo su įslaptinta informacija tikimybę skirstomos į atskiras saugumo zonas.
Administracinė saugumo zona – apibrėžta teritorija ir (ar) patalpos, kuriose kontroliuojamas asmenų ir transporto priemonių judėjimas. Patekti į I ar II klasės saugumo zoną galima tik per administracinę zoną. Administracinėje zonoje gali būti saugoma tik informacija, žymima slaptumo žyma „Riboto naudojimo“, arba su tokia informacija dirbama. Administracinėje saugumo zonoje saugoma įslaptinta informacija turi būti laikoma metalinėse spintose arba seifuose.
II klasės saugumo zona – teritorijos ir patalpos, kuriose saugoma informacija, žymima slaptumo žyma „Konfidencialiai“ ir aukštesnėmis slaptumo žymomis, arba su tokia informacija dirbama, taip pat patalpos, į kurias patekus galima tiesiogiai prieiti prie šios saugumo zonos elektroninių apsaugos priemonių centrinio valdymo. II klasės saugumo zonoje saugoma įslaptinta informacija, žymima slaptumo žyma „Slaptai“ arba „Visiškai slaptai“, turi būti laikoma seifuose, turinčiuose individualius vartotojų kodinius bei mechaninius užraktus, ar specialiai tokiai informacijai saugoti skirtose saugyklose. II klasės saugumo zonoje saugoma įslaptinta informacija, žymima slaptumo žyma „Konfidencialiai“, turi būti laikoma metalinėse spintose arba seifuose.
II klasės saugumo zonai keliami šie reikalavimai:
1) turi būti nustatyti, saugomi bei kontroliuojami visi įėjimai į zoną ir išėjimai iš jos;
2) į zoną gali patekti tik asmenys, turintys leidimą dirbti ar susipažinti su įslaptinta informacija, žymima slaptumo žyma „Konfidencialiai“. Visus kitus asmenis turi lydėti apsaugos darbuotojas arba paslapčių subjekto vadovo įgaliotas asmuo;
3) jei zonoje saugoma informacija, žymima slaptumo žymomis „Slaptai“ arba „Visiškai slaptai“, asmens tapatybei nustatyti prie įėjimų į zoną arba atskiras jos patalpas turi būti įkurtas kontrolės postas arba turi būti įdiegta asmens tapatybę padedanti nustatyti sistema;
4) prieigos iki pastatų visą tamsų paros metą turi būti apšviestos;
5) zonai priskirtos patalpos turi turėti apsaugos, pavojaus ir priešgaisrinę signalizacijas;
6) elektroninės apsaugos priemonės turi perduoti dubliuojantį signalą apie bandymą įsibrauti į zoną arba neteisėtą buvimą joje ne vienai reagavimo sistemai;
7) jei zonoje saugoma informacija, žymima slaptumo žyma „Visiškai slaptai“, įėjimas į zoną arba įėjimai į zonoje esančias patalpas turi būti stebimi vaizdo kameromis, turi būti kaupiamas 30 kalendorinių dienų vaizdo archyvas.
I klasės saugumo zona – patalpos, kuriose dirbama ar saugoma informacija, žymima slaptumo žyma „Konfidencialiai“ ir aukštesnėmis slaptumo žymomis. Į jas patekus galima tiesiogiai prieiti prie jose saugomos informacijos, taip pat prie šios saugumo zonos elektroninių apsaugos priemonių centrinio valdymo.
I klasės saugumo zonai keliami šie reikalavimai:
1) šio straipsnio 4 dalyje nustatyti reikalavimai;
2) prieigos iki šios saugumo zonos turi būti kontroliuojamos elektroninėmis apsaugos priemonėmis;
3) gali būti tikrinami asmenų įnešami ir išnešami daiktai;
4) į šią saugumo zoną paslapčių subjekto vadovo ar jo įgalioto asmens sprendimu įleidžiami tik asmenys, turintys leidimus dirbti ar susipažinti su įslaptinta informacija, žymima aukščiausia toje saugumo zonoje saugomos informacijos slaptumo žyma;
5) į zoną negali būti įnešami jokie pašaliniai elektromagnetiniai spinduliavimo šaltiniai;
6) turi būti naudojama apsauginė įsilaužimo signalizacija, perimetro signalizacija, apsauginė gaisro signalizacija;
7) taikomos mechaninės apsaugos priemonės turi užkirsti kelią nesankcionuotam patekimui į saugomas patalpas.
Iškilus būtinybei, kai nėra asmens, kuriam patikėta įslaptinta informacija, atidaryti dokumentų saugyklas, asmeninius seifus, metalines spintas gali tik paslapčių subjekto vadovo tam įgalioti asmenys. Paslapčių subjektai turi nustatyti tokių veiksmų atlikimo ir užfiksavimo tvarką.
Kilus įtarimui, kad į dokumentų saugyklas galėjo patekti arba asmeninius seifus, metalines spintas atidaryti pašaliniai asmenys, apie tai nedelsiant pranešama atsakingam asmeniui, paslapčių subjekto vadovui ir Valstybės saugumo departamentui. Kol atvyks Valstybės saugumo departamento pareigūnai, atsakingas asmuo ir paslapčių subjekto vadovas imasi reikiamų priemonių įvykio vietos neliečiamumui išsaugoti.
32 straipsnis. Atsakingo asmens funkcijos įgyvendinant įslaptintos informacijos fizinę apsaugą
Atsakingas asmuo:
1) užtikrina, kad teritorijose ir patalpose, kuriose dirbama su įslaptinta informacija ar kuriose ji saugoma, būtų įdiegtos ir tinkamai veiktų reikiamos fizinės apsaugos priemonės;
2) rengia fizinės apsaugos procedūras reglamentuojančius dokumentus, kontroliuoja, kaip laikomasi nustatytų procedūrų, periodiškai atlieka taikomų fizinės apsaugos priemonių patikrinimus;
3) organizuoja darbuotojų apmokymus;
4) teikia paslapčių subjekto vadovui ar jo įgaliotam asmeniui siūlymus dėl patalpų suskirstymo į saugumo zonas;
5) praneša paslapčių subjekto vadovui apie pastebėtus saugyklų, patalpų, seifų, metalinių spintų apsaugos priemonių bei instaliacijų pažeidimus ir imasi priemonių jiems pašalinti.
SEPTINTASIS SKIRSNIS
ĮSLAPTINTŲ SANDORIŲ SAUGUMAS
33 straipsnis. Įslaptinti sandoriai
Paslapčių subjektai, atlikdami jiems pavestas funkcijas, turi teisę sudaryti įslaptintus sandorius. Įslaptintų sandorių sudarymo tvarką nustato Vyriausybė.
Rangovas iki sandorio pasirašymo dienos šio Įstatymo 35 straipsnio nustatyta tvarka turi gauti įmonės patikimumą patvirtinantį pažymėjimą. Rangovas (subrangovas), jo darbuotojai, kuriems vykdant įslaptintą sandorį reikės susipažinti su įslaptinta informacija, iki sandorio pasirašymo dienos turi gauti leidimą dirbti ar susipažinti su įslaptinta informacija. Leidimą išduoda paslapčių subjektas, sudarantis įslaptintą sandorį. Rangovas, gavęs paslapčių subjekto sutikimą, turi teisę įslaptinto sandorio daliai vykdyti pasitelkti subrangovą, kuris šio Įstatymo 35 straipsnio nustatyta tvarka turi gauti įmonės patikimumą patvirtinantį pažymėjimą.
Juridiniams asmenims, dalyvaujantiems užsienio valstybių ar tarptautinių organizacijų paskelbtuose konkursuose dėl įslaptinto sandorio sudarymo, jei užsienio valstybė arba tarptautinė organizacija reikalauja jų patikimumą patvirtinančių pažymėjimų, taikomi šio Įstatymo 35 straipsnio reikalavimai.
Užsienio valstybėse veikiančios ir ten registruotos įmonės, įstaigos ar organizacijos gali dalyvauti Lietuvos Respublikos paslapčių subjektų paskelbtuose konkursuose sudaryti įslaptintą sandorį, kurį vykdant bus perduodama Lietuvos Respublikos įslaptinta informacija, žymima slaptumo žymomis „Visiškai slaptai“, „Slaptai“ arba „Konfidencialiai“, jeigu jos atitinka tose valstybėse keliamus įslaptintų sandorių saugumo reikalavimus ir atsakinga užsienio valstybės institucija pateikia atitinkamą išvadą.
34 straipsnis. Įslaptintos informacijos apsauga įslaptinto sandorio vykdymo metu
Paslapčių subjektai, sudarę įslaptintą sandorį, privalo kontroliuoti, kaip rangovas ar subrangovas vykdo perduotos ar sandorio metu sukurtos įslaptintos informacijos apsaugos reikalavimus.
Įslaptintas sandoris gali būti vienašališkai nutrauktas, jei rangovas ar subrangovas nevykdo nustatytų įslaptintos informacijos apsaugos reikalavimų.
Nesudarius sandorio, įvykdžius įslaptintą sandorį ar jį nutraukus, rangovas bei subrangovas privalo grąžinti visą jiems perduotą ir perduoti sandorio metu sukurtą įslaptintą informaciją.
35 straipsnis. Įmonės patikimumą patvirtinančio pažymėjimo išdavimas
Įslaptintų sandorių saugumą užtikrinanti institucija atlieka tikrinimą dėl rangovo (subrangovo) patikimumo, išduoda įmonės patikimumo pažymėjimą, išduotą pažymėjimą panaikina ir kontroliuoja, kaip rangovai ar subrangovai atitinka įslaptintų sandorių saugumo reikalavimus iki pasirašant įslaptintą sandorį, kaip laikosi šių reikalavimų įslaptintą sandorį vykdydami ir baigdami.
Įmonės patikimumo tikrinimo tikslas – nustatyti, ar su rangovu gali būti sudarytas įslaptintas sandoris užtikrinant tinkamą įslaptintos informacijos apsaugą. Šio tikrinimo metu negali būti naudojami operatyvinės veiklos metodai ir priemonės, išskyrus operatyvinę apklausą ir duomenų, esančių operatyvinėje įskaitoje, peržiūrą.
Atlikus šio straipsnio 8–10 dalyse nustatytą tikrinimą, įmonės patikimumą patvirtinančius pažymėjimus išduoda šios įslaptintų sandorių saugumą užtikrinančios institucijos:
1) jei įslaptintą sandorį sudaro Krašto apsaugos sistemos institucijos – Antrasis operatyvinių tarnybų departamentas prie Krašto apsaugos ministerijos, įvertinęs kitų įslaptintų sandorių saugumą užtikrinančių institucijų pateiktą informaciją;
2) jei įslaptintą sandorį sudaro Vidaus reikalų sistemos institucijos – vidaus reikalų ministro įgaliotos institucijos, įvertinusios kitų įslaptintų sandorių saugumą užtikrinančių institucijų pateiktą informaciją;
3) jei įslaptintą sandorį sudaro Specialiųjų tyrimų tarnyba – Specialiųjų tyrimų tarnyba, įvertinusi kitų įslaptintų sandorių saugumą užtikrinančių institucijų pateiktą informaciją;
4) jei įslaptintą sandorį sudaro kiti paslapčių subjektai – Valstybės saugumo departamentas, įvertinęs kitų įslaptintų sandorių saugumą užtikrinančių institucijų pateiktą informaciją.
Rangovo (subrangovo) darbuotojų patikimumą tikrina Valstybės saugumo departamentas, vadovaudamasis šio Įstatymo 16 ir 17 straipsnių nuostatomis.
Paslapčių subjektai įslaptintų sandorių saugumą užtikrinančioms institucijoms pateikia:
1) duomenis apie rangovui ar subrangovui numatomos perduoti įslaptintos informacijos pobūdį, apimtis bei tokios informacijos slaptumo žymas, taip pat įslaptintame sandoryje numatytas teikti paslaugas;
2) rangovo ar subrangovo užpildytą įslaptintų sandorių saugumo klausimyną ir jo rašytinį sutikimą būti tikrinamam;
3) rangovo ar subrangovo darbuotojų, pretenduojančių gauti leidimus dirbti ar susipažinti su įslaptinta informacija ar asmens patikimumo pažymėjimus, užpildytus klausimynus, tokių asmenų rašytinius sutikimus būti tikrinamiems ir išsamias autobiografijas.
Paslapčių subjektas, ketinantis sudaryti įslaptintą sandorį, privalo:
1) paskirti asmenis, atsakingus už įslaptinto sandorio vykdymo metu perduotos įslaptintos informacijos bei įslaptinto sandorio reikalavimų vykdymo kontrolę;
2) teikti būtiną metodinę pagalbą įslaptintos informacijos apsaugos klausimais;
3) prireikus parengti ir pateikti įslaptinto sandorio vykdymui būtinus įslaptinimo žinynus, kuriuose įvardijama įslaptinto sandorio vykdymui perduodama arba numatoma sukurti įslaptinta informacija, jos slaptumo žymos, įslaptinimo terminai, šios informacijos išslaptinimo sąlygos.
Rangovas, su kuriuo sudarytas įslaptintas sandoris, taip pat subrangovas privalo:
1) šio Įstatymo bei kitų teisės aktų, reglamentuojančių įslaptintos informacijos apsaugą, nustatyta tvarka organizuoti ir vykdyti patikėtos ar įslaptinto sandorio metu sukurtos įslaptintos informacijos apsaugą;
2) užtikrinti, kad su įslaptinta informacija dirbs ar susipažins leidimus turintys asmenys ir tik vadovaudamiesi principu „Būtina žinoti“;
3) paskirti asmenį, atsakingą už įslaptinto sandorio vykdymą, įslaptintos informacijos apsaugos organizavimą, vykdymą ir kontrolę;
4) įslaptintą sandorį įvykdžius ar jo vykdymą nutraukus prieš terminą, paslapčių subjektui perduoti visus gautus ir įslaptinto sandorio vykdymo metu sukurtus dokumentus ar gaminius, kuriuose yra įslaptintos informacijos.
Išduodant įmonės patikimumą patvirtinantį pažymėjimą, tikrinama:
1) rangovo (subrangovo) kapitalo ir valdymo struktūra, kapitalo kilmė, savininkai bei teisinė registracija;
2) rangovo (subrangovo) administracija;
3) rangovo (subrangovo) finansinė būklė ir padaryti įstatymų pažeidimai, rangovo (subrangovo) darbuotojų ar savininkų padarytos korupcinės veikos;
4) rangovo (subrangovo) verslo ryšiai, ryšiai su kriminaliniais elementais ir užsienio valstybių specialiosiomis tarnybomis, kurių veikla yra priešiška Lietuvos valstybės interesams;
5) įslaptintos informacijos apsaugos užtikrinimo galimybės;
6) darbuotojų, kurie pretenduoja gauti leidimus dirbti ar susipažinti su įslaptinta informacija ar asmens patikimumo pažymėjimus, patikimumas.
Rangovas ar subrangovas įslaptintų sandorių saugumą užtikrinančioms institucijoms turi pateikti duomenis apie praėjusių finansinių metų finansinę veiklą, taip pat kitą įslaptintų sandorių saugumą užtikrinančių institucijų prašomą informaciją.
Duomenis apie rangovo ar subrangovo finansinius įsiskolinimus, padarytus finansinius pažeidimus įslaptintų sandorių saugumą užtikrinančioms institucijoms teikia mokesčių administratoriai.
Įslaptintų sandorių saugumą užtikrinančios institucijos turi teisę gauti iš valstybės, savivaldybės institucijų, bankų ir kitų juridinių asmenų visą reikiamą informaciją, susijusią su rangovo ar subrangovo bei jo darbuotojų tikrinimu dėl įmonės patikimumo pažymėjimo išdavimo.
Įmonės patikimumą patvirtinantis pažymėjimas galioja tik konkretaus įslaptinto sandorio vykdymo metu. Įmonės patikimumą patvirtinantis pažymėjimas gali būti atnaujintas neatliekant įmonės patikrinimo, jei nuo paskutinio įmonės patikrinimo praėjo ne daugiau kaip 36 mėnesiai ir nėra pagrindo abejoti rangovo (subrangovo) patikimumu.
Rangovo ar subrangovo darbuotojams išduoti leidimai dirbti ar susipažinti su įslaptinta informacija galioja tik konkretaus įslaptinto sandorio vykdymo metu, tačiau ne ilgiau, negu nustatyta šio Įstatymo 16 straipsnio 5 dalyje. Leidimas dirbti ar susipažinti su įslaptinta informacija gali būti atnaujinamas neatliekant papildomo asmens tikrinimo, jei nuo tokio leidimo išdavimo praėjo ne daugiau kaip 36 mėnesiai ir nėra pagrindo abejoti asmens patikimumu.
36 straipsnis. Įmonės patikimumą patvirtinančio pažymėjimo neišdavimo sąlygos
Įmonės patikimumą patvirtinantis pažymėjimas neišduodamas, jei patikrinimo metu nustatoma, kad:
1) rangovas (subrangovas) yra nemokus ar nevykdo savo sutartinių įsipareigojimų fiziniams ar juridiniams asmenims;
2) rangovui (subrangovui) yra taikomos sankcijos už įstatymų pažeidimus arba yra atliekamas tyrimas dėl jų, jei dėl tokių pažeidimų gali kilti įslaptintos informacijos praradimo ar neteisėto atskleidimo grėsmė;
3) rangovas (subrangovas) vykdo ar vykdė neteisėtą veiklą;
4) rangovas (subrangovas) įslaptintų sandorių saugumą užtikrinančiai institucijai pateikė suklastotus arba neteisingus duomenis;
5) rangovas (subrangovas) neturi galimybių užtikrinti numatytos perduoti ar sukurti įslaptintos informacijos apsaugos;
6) rangovui (subrangovui) dėl jo kaltės anksčiau buvo atsisakyta išduoti įmonės patikimumą patvirtinantį pažymėjimą, buvo panaikintas išduotas įmonės patikimumą patvirtinantis pažymėjimas ir nėra pašalintos tokio pažymėjimo neišdavimo arba panaikinimo priežastys;
7) rangovo (subrangovo) darbuotojams, kuriems bus patikima įslaptinta informacija, vadovaujantis šio Įstatymo 16 straipsnio 2 dalimi leidimas dirbti ar susipažinti su įslaptinta informacija negali būti išduodamas ir tokių asmenų negalima pakeisti kitais.
Įslaptintų sandorių saugumą užtikrinančių institucijų sprendimą neišduoti įmonės patikimumą patvirtinančio pažymėjimo per 30 darbo dienų nuo tokio sprendimo gavimo dienos rangovas (subrangovas) turi teisę apskųsti Paslapčių apsaugos koordinavimo komisijai, o ši priima įslaptinto sandorio saugumą užtikrinančiai institucijai privalomą sprendimą.
37 straipsnis. Įmonės patikimumą patvirtinančio pažymėjimo panaikinimas
Išduotas įmonės patikimumą patvirtinantis pažymėjimas panaikinamas ir sudarytas sandoris nutraukiamas, jei:
1) dėl rangovo ar subrangovo kaltės buvo atskleista ar prarasta jiems patikėta įslaptinta informacija;
2) rangovas ar subrangovas ne vieną kartą pažeidė nustatytus įslaptintos informacijos apsaugos reikalavimus arba juos šiurkščiai pažeidžia, sukeldamas įslaptintos informacijos praradimo ar neteisėto atskleidimo grėsmę;
3) nustatoma, kad rangovas ar subrangovas nuslėpė duomenis apie save ar savo veiklą arba pateikė klaidingus duomenis, turėjusius reikšmę sprendimui dėl įmonės patikimumą patvirtinančio pažymėjimo išdavimo;
4) atsiranda bent viena 36 straipsnio 1 dalyje nurodyta aplinkybė.
Įslaptintų sandorių saugumą užtikrinančių institucijų sprendimą panaikinti išduotą įmonės patikimumą patvirtinantį pažymėjimą per 30 darbo dienų nuo tokio sprendimo pasirašymo dienos rangovas turi teisę apskųsti Paslapčių apsaugos koordinavimo komisijai, o ši priima įslaptinto sandorio saugumą užtikrinančiai institucijai privalomą sprendimą.
38 straipsnis. Įmonės patikimumą patvirtinančių pažymėjimų apskaita
Įslaptintų sandorių saugumą užtikrinanti institucija per 10 darbo dienų privalo raštu pranešti Valstybės saugumo departamentui apie išduotus ar panaikintus įmonės patikimumą patvirtinančius pažymėjimus. Valstybės saugumo departamentas tvarko įmonių, kurioms išduoti įmonės patikimumo pažymėjimai, apskaitą.
39 straipsnis. Atsakingų asmenų funkcijos sudarant ir vykdant įslaptintus sandorius
Paslapčių subjekto atsakingas asmuo:
1) įslaptintų sandorių saugumą užtikrinančioms institucijoms pateikia šio Įstatymo 35 straipsnio 5 dalyje nurodytą informaciją;
2) organizuoja leidimų dirbti ar susipažinti su įslaptinta informacija išdavimą rangovo ar subrangovo darbuotojams, tvarko išduotų leidimų apskaitą;
3) organizuoja įslaptintos informacijos perdavimą rangovui ar subrangovui;
4) kontroliuoja, kaip rangovas ar subrangovas užtikrina įslaptintos informacijos apsaugą;
5) subjekto vadovo ar jo įgalioto asmens sprendimu rengia ir pateikia sandoriui vykdyti būtinus įslaptinimo žinynus;
6) rangovui ar subrangovui teikia metodinę pagalbą įslaptintos informacijos apsaugos klausimais.
Rangovo ar subrangovo atsakingas asmuo:
1) teikia paslapčių subjekto atsakingam asmeniui šio Įstatymo 35 straipsnio 5 dalies 2 ir 3 punktuose nurodytą informaciją;
2) užtikrina personalo patikimumo procedūrų įgyvendinimą;
3) užtikrina įslaptintos informacijos administravimo reikalavimų įgyvendinimą;
4) užtikrina fizinę įslaptintos informacijos apsaugą;
5) užtikrina ADA sistemų ir tinklų apsaugą.
AŠTUNTASIS SKIRSNIS
AUTOMATIZUOTŲ DUOMENŲ APDOROJIMO SISTEMŲ IR TINKLŲ, KURIUOSE YRA SAUGOMA, APDOROJAMA AR KURIAIS PERDUODAMA ĮSLAPTINTA INFORMACIJA, APSAUGA
40 straipsnis. Leidimų apdoroti įslaptintą informaciją ADA sistemomis ir tinklais išdavimas
ADA sistemų ir tinklų apsaugą paslapčių subjektai užtikrina vadovaudamiesi šio Įstatymo, Paslapčių apsaugos koordinavimo komisijos, institucijų, atliekančių Saugumo priežiūros tarnybos, Nacionalinės komunikacijų apsaugos tarnybos ir Nacionalinės šifrų paskirstymo tarnybos funkcijas, nustatyta tvarka ir reikalavimais.
ADA sistemų ir tinklų, kuriuose bus saugoma, apdorojama ar kuriais bus perduodama įslaptinta informacija, žymima slaptumo žymomis „Visiškai slaptai“, „Slaptai“, „Konfidencialiai“, projektus paslapčių subjektai turi suderinti su Saugumo priežiūros tarnyba ar jos įgaliota institucija, kuri išduoda leidimą naudoti tokius tinklus ar sistemas.
41 straipsnis. ADA sistemų ir tinklų apsaugos reikalavimai
ADA sistemų ir tinklų saugumui garantuoti naudojamos apsaugos priemonės turi užtikrinti:
1) saugomos, apdorojamos ar perduodamos įslaptintos informacijos slaptumą;
2) galimybę nustatyti sistemų ir tinklų vartotojų tapatybę;
3) saugomos, apdorojamos ar perduodamos informacijos bei sistemos paslaugų ir išteklių vientisumą;
4) saugomos, apdorojamos ar perduodamos informacijos bei sistemos paslaugų ir išteklių prieinamumą teisėtiems vartotojams;
5) tyčinių ar atsitiktinių ADA sistemose ir tinkluose saugomos, apdorojamos, perduodamos įslaptintos informacijos bei ADA sistemos ir tinklų paslaugų bei išteklių slaptumo, vientisumo arba prieinamumo pažeidimų fiksavimą;
6) ADA sistemų ir tinklų sujungimo kontrolę;
7) ADA sistemose ir tinkluose esančių apsaugos mechanizmų tinkamumo įvertinimą bei patikrinimą.
ADA sistemose ir tinkluose turi būti įdiegti apsaugos mechanizmai ir saugumo valdymo procedūros, trukdančios atsirasti saugumo pažeidimams, aptinkančios atsiradusius saugumo pažeidimus, atkuriančios saugumo pažeidimų paveiktą įslaptintos informacijos ir ADA sistemų bei tinklų paslaugų ir išteklių slaptumą, vientisumą ir prieinamumą teisėtiems vartotojams.
ADA sistemose ir tinkluose turi būti įdiegtos apsaugos priemonės, leidžiančios apsaugoti įslaptintą informaciją, žymimą slaptumo žyma „Konfidencialiai“ ar aukštesne slaptumo žyma, nuo atskleidimo pavojaus dėl elektromagnetinio spinduliavimo. Taikomos apsaugos priemonės turi atitikti informacijos neteisėto atskleidimo riziką ir žalą, kuri būtų patirta tokią informaciją atskleidus.
Visi ADA sistemų ir tinklų įrengimo ir pakeitimo darbai turi būti atliekami dalyvaujant ir darbus prižiūrint atsakingam asmeniui. Asmenys, atliekantys ryšio priemonių, kompiuterinės įrangos, kurioje saugoma ar kuria perduodama įslaptinta informacija, ADA sistemų bei tinklų techninę priežiūrą, privalo turėti leidimus dirbti ar susipažinti su įslaptinta informacija, žymima aukščiausia tokioje įrangoje ar sistemoje apdorojamos, saugomos ar perduodamos informacijos slaptumo žyma.
Įslaptintą informaciją apdorojančiose ADA sistemose ir tinkluose draudžiama įrengti ADA sistemų ir tinklų dokumentacijoje nenumatytą techninę ar programinę įrangą.
42 straipsnis. Įslaptintos informacijos perdavimas ADA sistemomis ir tinklais
Perduodant įslaptintą informaciją ADA sistemomis ir tinklais, turi būti užtikrintas perduodamos įslaptintos informacijos slaptumas, vientisumas, prieinamumas teisėtiems vartotojams.
ADA sistemomis ir tinklais perduodant įslaptintą informaciją, jos slaptumas turi būti užtikrintas vadovaujantis Nacionalinės šifrų paskirstymo tarnybos patvirtintais kriptografiniais metodais ir produktais bei Nacionalinės komunikacijų apsaugos tarnybos patvirtintais telekomunikacijų apsaugos reikalavimais.
Įslaptintą informaciją, žymimą slaptumo žymomis „Riboto naudojimo“, „Konfidencialiai“, „Slaptai“, draudžiama perduoti viešais telekomunikacijų tinklais neužšifruotą, išskyrus šio straipsnio 4 dalyje nustatytus atvejus. Įslaptintą informaciją, žymimą slaptumo žyma „Visiškai slaptai“, perduoti telekomunikacijų tinklais draudžiama.
Paslapčių subjekto struktūrinio padalinio, disponuojančio įslaptinta informacija, vadovo sprendimu įslaptinta informacija, žymima slaptumo žymomis „Riboto naudojimo“, „Konfidencialiai“ ir „Slaptai“, gali būti perduodama neužšifruota, jeigu paskelbta karo ar nepaprastoji padėtis ir nėra galimybių užšifruoti informaciją, o pristatymo greitis yra svarbesnis nei galimas tokios informacijos atskleidimo pavojus.
Kriptografiniams produktams, mechanizmams ir įslaptintai informacijai teikiama apsauga turi atitikti žalos, kurią gali sukelti įslaptintos informacijos neteisėtas atskleidimas, dydį.
43 straipsnis. Kompiuterių informacijos laikmenų apsauga
Visos įslaptintos kompiuterių informacijos laikmenos turi būti tinkamai identifikuotos, laikomos ir saugomos pagal jose esančios aukščiausia slaptumo žyma žymimos informacijos apsaugos reikalavimus.
Įslaptinta informacija, laikoma daugkartinio naudojimo kompiuterių informacijos laikmenose, gali būti ištrinama ir tokios laikmenos išslaptinamos tik vadovaujantis šio Įstatymo 40 straipsnio 1 dalyje nurodytų institucijų nustatytomis procedūromis.
44 straipsnis. Atsakingo asmens funkcijos organizuojant ADA sistemų ir tinklų apsaugą
Atsakingas asmuo privalo:
1) užtikrinti apsaugos priemonių įdiegimą, veikimą ir priežiūrą darbo vietose, turinčiose ADA elementų;
2) sudaryti telekomunikacijų planus ir schemas ir juose nurodyti laidų, kabelių lokalizacijos vietą, jų kiekį, tipus, numeraciją;
3) vadovaudamasis Saugumo priežiūros tarnybos nustatytais reikalavimais, rengti, įgyvendinti ir kontroliuoti paslapčių subjekto, rangovo (subrangovo) ADA sistemų ir tinklų saugumo valdymo procedūras ir su jomis periodiškai supažindinti ADA sistemų ir tinklų administratorius bei vartotojus;
4) parengti dokumentus apie ADA sistemas ir tinklus, reikalingus gauti leidimui saugoti, apdoroti ar perduoti įslaptintą informaciją, žymimą slaptumo žymomis „Visiškai slaptai“, „Slaptai“, „Konfidencialiai“;
5) užtikrinti, kad ADA sistemose ir tinkluose dirbtų vartotojai, kuriems suteikta teisė susipažinti su ADA sistemose ar tinkluose saugoma, apdorojama, perduodama informacija, kuri susijusi su jų pareigų vykdymu, taip pat kontroliuoti vartotojų veiksmus;
6) vykdyti vartotojams suteiktų slaptažodžių ir (ar) vartotojų tapatybės nustatymo įrenginių administravimo kontrolę;
7) organizuoti įslaptintų kompiuterinės informacijos laikmenų administravimą bei fizinę tokių laikmenų apsaugą;
8) įvertinti rangovo ar subrangovo pasirengimą įvykdyti jam numatytos perduoti įslaptintos informacijos, žymimos slaptumo žyma „Riboto naudojimo“, aparatūrinės ar programinės įrangos apsaugos reikalavimus, kontroliuoti tokių reikalavimų įgyvendinimą;
9) organizuoti ir tikrinti sisteminį rezervinį ADA sistemų ir tinklų informacijos kopijavimą ir atkūrimą;
10) tikrinti surinktą informaciją apie įvykius (procesų klaidas, neteisėtus vartotojus ir sistemos veiklą);
11) pranešti paslapčių subjekto vadovui ar jo įgaliotam asmeniui apie bet kokias paslapčių subjekto, rangovo (subrangovo) ADA sistemų ir tinklų apsaugos spragas, įvykusius pažeidimus ir imtis priemonių jiems pašalinti.
DEVINTASIS SKIRSNIS
ĮSLAPTINTOS INFORMACIJOS APSAUGOS KONTROLĖ
45 straipsnis. Įslaptintos informacijos apsaugos kontrolė
Lietuvos Respublikos įslaptintos informacijos apsaugos politikos įgyvendinimą ir įslaptintos informacijos apsaugos veiksmų įgyvendinimą visose institucijose šalies viduje ir užsienyje kontroliuoja Valstybės saugumo departamentas. Šis departamentas:
1) kontroliuoja, kaip laikomasi įslaptintos informacijos, žymimos slaptumo žymomis „Visiškai slaptai“, „Slaptai“, „Konfidencialiai“, įslaptinimo, naudojimo, saugojimo, naikinimo bei išslaptinimo nustatytos tvarkos. Valstybės saugumo departamento tikrinimo metu nustatytus trūkumus paslapčių subjektas privalo pašalinti per šio departamento nustatytą terminą ir apie tai raštu pranešti Valstybės saugumo departamentui;
2) teikia pasiūlymus Vyriausybei, Paslapčių apsaugos koordinavimo komisijai dėl įslaptintos informacijos apsaugos sistemos tobulinimo;
3) atlieka ikiteisminio tyrimo veiksmus dėl neteisėto disponavimo įslaptinta informacija, įslaptintos informacijos atskleidimo, praradimo, pagrobimo ar kitokio neteisėto įgijimo;
4) teikia metodinę pagalbą paslapčių subjektams dėl įslaptintos informacijos apsaugos.
Įslaptintos informacijos, žymimos slaptumo žyma „Riboto naudojimo“, apsaugos kontrolę vykdo šia informacija disponuojantys paslapčių subjektai.
Asmenys, kontroliuojantys įslaptintos informacijos apsaugą, privalo turėti leidimus dirbti ar susipažinti su įslaptinta informacija, žymima slaptumo žyma „Visiškai slaptai“. Asmenys, kontroliuojantys kitų valstybių ar tarptautinių organizacijų Lietuvos Respublikai perduotos įslaptintos informacijos apsaugą, privalo turėti atitinkamus asmens patikimumo pažymėjimus.
Įslaptintos informacijos apsaugą kontroliuojantys asmenys tikrinimų metu su įslaptintų dokumentų turiniu supažindinami tik paslapčių subjekto vadovo sutikimu.
Asmenys, vykdantys įslaptintos informacijos apsaugos kontrolę, turi teisę:
1) paslapčių subjekto nustatyta tvarka patekti į teritorijas ir patalpas, kuriose įslaptinta informacija yra apdorojama, saugoma arba perduodama;
2) susipažinti su paslapčių subjekto dokumentais, reglamentuojančiais įslaptintos informacijos apsaugą;
3) atlikti įslaptintų dokumentų ar jų kopijų saugojimo kontrolinius tikrinimus, kai reikia nustatyti, ar dokumentas (jo kopija) tikrai nedingęs ir saugomas apskaitos dokumentuose nurodytoje vietoje;
4) susipažinti su fizinės apsaugos priemonėmis;
5) susipažinti su ADA sistemomis ir tinklais, skirtais įslaptintai informacijai apdoroti, saugoti ar perduoti;
6) iš atsakingų asmenų bei asmenų, dirbančių su įslaptinta informacija, reikalauti žodinių bei rašytinių paaiškinimų apie įslaptintos informacijos apsaugos tvarkos laikymąsi ar šios tvarkos pažeidimus;
7) pasitelkti atitinkamų sričių specialistus, jeigu kontrolės metu būtinos specialios žinios.
Kilus įtarimams, kad yra prarasta ar neteisėtai atskleista įslaptinta informacija, paslapčių subjekto vadovo sprendimu atliekamas patikrinimas. Patikrinimo metu turi būti:
1) nustatyta ir patvirtinta prarastos ar atskleistos įslaptintos informacijos slaptumo žyma, turinys bei apimtis;
2) nustatyti asmenys, kurių veiksmai galėjo lemti įslaptintos informacijos praradimą ar atskleidimą;
3) įvardyti asmenys, kurie šia informacija disponavo ar kurie buvo su ja susipažinę;
4) nustatytos įslaptintos informacijos praradimo ar atskleidimo aplinkybės.
Jei atlikus šio straipsnio 6 dalyje ar šio Įstatymo 27 straipsnyje numatytą patikrinimą paaiškėja, kad įslaptinta informacija tikrai prarasta ar neteisėtai atskleista, paslapčių subjekto vadovas nedelsdamas apie tai praneša Valstybės saugumo departamentui, o šio įgalioti pareigūnai atlieka ikiteisminį tyrimą.
Jeigu atlikus patikrinimą paaiškėja, kad Lietuvos Respublikai užsienio valstybių ar tarptautinių organizacijų perduota įslaptinta informacija buvo tikrai prarasta ar neteisėtai atskleista, nedelsiant pranešama Paslapčių apsaugos koordinavimo komisijai, informaciją perdavusios valstybės ar tarptautinės organizacijos atitinkamoms tarnyboms ir Valstybės saugumo departamentui, o šis atlieka ikiteisminį tyrimą.
DEŠIMTASIS SKIRSNIS
ATSAKOMYBĖ
46 straipsnis. Atsakomybė už neteisėtą disponavimą įslaptinta informacija, įslaptintos informacijos atskleidimą, praradimą, pagrobimą ar kitokį neteisėtą įgijimą
Asmuo už neteisėtą disponavimą įslaptinta informacija, įslaptintos informacijos atskleidimą, praradimą, pagrobimą ar kitokį neteisėtą įgijimą arba kitus įslaptintos informacijos apsaugos reikalavimų pažeidimus atsako teisės aktų nustatyta tvarka.“
2 straipsnis. Įstatymo įsigaliojimas ir įgyvendinimas
Šis Įstatymas įsigalioja nuo 2004 m. gegužės 1 d.
Šio Įstatymo įgyvendinimo tvarką nustato Valstybės ir tarnybos paslapčių įstatymo pakeitimo įstatymo įgyvendinimo įstatymas.
Skelbiu šį Lietuvos Respublikos Seimo priimtą įstatymą.
RESPUBLIKOS PREZIDENTAS ROLANDAS PAKSAS
Lietuvos Respublikos
2003 m. gruodžio 16 d.
įstatymo Nr. IX-1908
priedas
ĮGYVENDINIMAS EUROPOS SĄJUNGOS TEISĖS AKTAS
2001 m. kovo 19 d. Europos Tarybos sprendimas 2001/264/EB dėl Europos Sąjungos Tarybos saugumo nuostatų.
Šis dokumentas nepakeičia oficialaus paskelbimo Teisės aktų registre. Neprisiimame atsakomybės už galimus netikslumus, atsiradusius perkeliant originalą į šį formatą.
Šis tekstas skelbiamas pagal paties šaltinio TAR pakartotinio naudojimo sąlygas, o ne pagal Legalize ar viešosios srities licenciją.
TAR
Creative Commons Priskyrimas 4.0 tarptautinė (CC BY 4.0)
Duomenų šaltinis: Teisės aktų registras (TAR), Lietuvos atvirų duomenų portalas (data.gov.lt). Licencija: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/deed.lt). Duomenys gali būti pakeisti (konvertuoti į Markdown formatą).