Suvestinė redakcija nuo 2018-11-15 iki 2019-07-12

Įsakymas paskelbtas: Žin. 2012, Nr. 107-5425, i. k. 1122050ISAK001K-297

LIETUVOS RESPUBLIKOS FINANSŲ MINISTRO

Į S A K Y M A S

DĖL informacinĖS sistemOS „E. SĄSKAITA“ NUOSTATŲ PATVIRTINIMO

2012 m. rugsėjo 6 d. Nr. 1K-297

Vilnius

Vadovaudamasis Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 30 straipsnio 1 ir 2 dalimis, Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“, 11 punktu ir Bendrųjų elektroninės informacijos saugos reikalavimų aprašu, Saugos dokumentų turinio gairių aprašu ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašu, patvirtintais Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“:

Preambulės pakeitimai:

Nr. 1K-343, 2014-10-31, paskelbta TAR 2014-11-11, i. k. 2014-16639

Nr. 1K-166, 2016-05-04, paskelbta TAR 2016-05-26, i. k. 2016-14091

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

1. T v i r t i n u (pridedamus):

1.1. Informacinės sistemos „E. sąskaita“ nuostatus;

1.2. Informacinės sistemos „E. sąskaita“ duomenų saugos nuostatus.

2. S k i r i u valstybės įmonę Registrų centrą informacinės sistemos „E. sąskaita“ tvarkytoju.

3. P a v e d u informacinės sistemos „E. sąskaita“ tvarkytojui:

3.1. paskirti informacinės sistemos „E. sąskaita“ saugos įgaliotinį ir administratorius;

3.2. iki 2016 m. gegužės 15 d. parengti ir pateikti Lietuvos Respublikos finansų ministerijai informacinės sistemos „E. sąskaita“ duomenų saugos politikos įgyvendinimo dokumentus:

3.2.1. Informacinės sistemos „E. sąskaita“ saugaus elektroninės informacijos tvarkymo taisyklių projektą;

3.2.2. Informacinės sistemos „E. sąskaita“ veiklos tęstinumo valdymo plano projektą;

3.2.3. Informacinės sistemos „E. sąskaita“ naudotojų administravimo taisyklių projektą.

Punkto pakeitimai:

Nr. 1K-166, 2016-05-04, paskelbta TAR 2016-05-26, i. k. 2016-14091

FINANSŲ MINISTRĖ                                                                         INGRIDA ŠIMONYTĖ

PATVIRTINTA

Lietuvos Respublikos finansų ministro

2012 m. rugsėjo 6 d. įsakymu Nr. 1K-297

(Lietuvos Respublikos finansų ministro

2014 m. spalio 31 d. įsakymo Nr. 1K-343

redakcija)

INFORMACINĖS SISTEMOS „E. SĄSKAITA“ NUOSTATAI

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Informacinės sistemos „E. sąskaita“ nuostatai (toliau – Nuostatai) reglamentuoja valstybės informacinės sistemos „E. sąskaita“ (toliau – informacinė sistema) veikimo uždavinius, funkcijas ir tikslus, nustato informacinės sistemos valdytoją, tvarkytoją, jų teises ir pareigas, duomenų teikėjus, gavėjus, informacinės sistemos organizacinę, informacinę ir funkcinę struktūras, duomenų teikimo, naudojimo, finansavimo, modernizavimo ir likvidavimo tvarką, duomenų saugos reikalavimus.

2. Nuostatuose vartojamos sąvokos:

2.1. Informacinės sistemos paslaugų vartotojas (toliau – paslaugų vartotojas) – fizinis asmuo arba juridinio asmens darbuotojas, turintys teisę tiesiogiai jungtis prie informacinės sistemos ir pateikti, gauti pridėtinės vertės mokesčio sąskaitas faktūras, kreditinius ir debetinius dokumentus bei avansines sąskaitas (toliau – sąskaitos), patikrinti jų duomenis ar apmokėjimo būseną, arba įstaigos, kurios kontrolės funkcijoms vykdyti reikalingas prisijungimas prie informacinės sistemos, darbuotojas;

2.2. kitos Nuostatuose vartojamos sąvokos atitinka Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos pridėtinės vertės mokesčio įstatyme, Lietuvos Respublikos viešųjų pirkimų įstatyme, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme, Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180 „Dėl Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašo patvirtinimo“ (toliau – aprašas), Bendrųjų elektroninės informacijos saugos reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo ir elektroninės informacijos svarbos nustatymo gairių aprašo patvirtinimo“, vartojamas sąvokas.

3. Informacinės sistemos steigimo pagrindas – Lietuvos Respublikos finansų ministerijos nuostatų, patvirtintų Lietuvos Respublikos Vyriausybės 1998 m. rugsėjo 8 d. nutarimu Nr. 1088 „Dėl Lietuvos Respublikos finansų ministerijos nuostatų patvirtinimo“, 8.1.12 ir 8.1.15 papunkčiai.

4. Informacinės sistemos veiklą reglamentuojantys teisės aktai:

4.1. Lietuvos Respublikos pridėtinės vertės mokesčio įstatymas;

4.2. Lietuvos Respublikos buhalterinės apskaitos įstatymas;

4.3. Lietuvos Respublikos viešųjų pirkimų įstatymas;

4.4. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymas;

4.5. Lietuvos Respublikos teisės gauti informaciją iš valstybės ir savivaldybių institucijų ir įstaigų įstatymas;

4.6. Lietuvos Respublikos kibernetinio saugumo įstatymas;

4.7. Valstybės informacinių sistemų steigimo, kūrimo, modernizavimo ir likvidavimo tvarkos aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2013 m. vasario 27 d. nutarimu Nr. 180;

4.8. Bendrųjų elektroninės informacijos saugos reikalavimų aprašas, Saugos dokumentų turinio gairių aprašas ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašas, patvirtinti Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716;

4.9. Lietuvos Respublikos Vyriausybės 2002 m. gegužės 29 d. nutarimas Nr. 780 „Dėl Mokesčiams apskaičiuoti naudojamų apskaitos dokumentų išrašymo ir pripažinimo taisyklių patvirtinimo“;

4.10. Elektroninių paslaugų kūrimo metodika, patvirtinta Lietuvos Respublikos susisiekimo ministro 2015 m. spalio 7 d. įsakymu Nr. 3-416(1.5E) „Dėl metodinių dokumentų patvirtinimo“.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

5. Fizinių asmenų asmens duomenys informacinėje sistemoje tvarkomi vadovaujantis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL 2016 L 119, p. 1) (toliau – Reglamentas (ES) 2016/679), Lietuvos Respublikos civiliniu kodeksu, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

6. Asmens duomenų tvarkymo informacinėje sistemoje tikslas – identifikuoti ir autentifikuoti paslaugų vartotojus, elektroniniu būdu tvarkyti informacinės sistemos duomenis, teikti informaciją duomenų gavėjams apie sąskaitas ir jų apmokėjimą.

7. Informacinės sistemos tikslas – informacinių technologijų priemonėmis parengti, perkančiosioms organizacijoms pateikti ir išsaugoti su viešųjų pirkimų sutarčių vykdymu susijusias sąskaitas už įsigyjamas prekes, paslaugas ir darbus, operatyviai gauti informaciją apie pateiktų sąskaitų apmokėjimą.

8. Informacinės sistemos uždaviniai:

8.1. automatizuotai kaupti duomenis, skirtus viešųjų pirkimų sutarčių vykdymo kontrolei ir skaidrumui didinti, apie viešųjų pirkimų sutarčių vykdymą;

8.2. automatizuoti sąskaitų, kurios apmokamos iš valstybės biudžeto, apmokėjimo kontrolės procesus;

8.3. kompiuterizuoti  perkančiųjų organizacijų veiklos ir valstybės pinigų srautų valdymą.

9. Pagrindinės informacinės sistemos funkcijos:

9.1. rengti, teikti, tvarkyti, priimti ir išsaugoti sąskaitas teisės aktų nustatytais terminais;

9.2. analizuoti sąskaitų duomenis, formuoti ataskaitas;

9.3. teikti sąskaitų duomenis informacinės sistemos duomenų gavėjams elektroniniu būdu;

9.4. teikti informaciją apie pateiktų sąskaitų apmokėjimą paslaugos vartotojams;

9.5. teikti informaciją apie perkančiųjų organizacijų gautas sąskaitas, kurių pagrindu parengtos mokėjimo paraiškos, Lietuvos Respublikos finansų ministerijos Valstybės iždo departamentui;

9.6. teikti informaciją apie pateiktų sąskaitų pagrindu parengtų mokėjimo paraiškų apmokėjimą paslaugų vartotojams;

9.7. gauti iš Viešųjų pirkimų tarnybos sąskaitoms parengti reikalingą informaciją apie viešųjų pirkimų sutartis;

9.8. užtikrinti sąskaitų kilmės autentiškumą, turinio vientisumą ir įskaitomumą.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

II SKYRIUS

INFORMACINĖS SISTEMOS ORGANIZACINĖ STRUKTŪRA

10. Informacinės sistemos valdytoja yra Lietuvos Respublikos finansų ministerija.

11. Informacinės sistemos valdytojas atlieka šias funkcijas:

11.1. priima teisės aktus, susijusius su informacinės sistemos tvarkymu, ir prižiūri, kaip jų laikomasi;

11.2. koordinuoja informacinės sistemos tvarkytojo darbą ir paveda jam vykdyti informacinės sistemos techninės ir programinės įrangos priežiūros funkcijas;

11.3. tvirtina informacinės sistemos kūrimo ir plėtros planus, analizuoja pasiūlymus dėl informacinės sistemos veikimo, priima sprendimus dėl informacinės sistemos tobulinimo ir modernizavimo, kontroliuoja jų vykdymą;

11.4. užtikrina, kad informacinė sistema būtų tvarkoma vadovaujantis Lietuvos Respublikos įstatymais, Nuostatais ir kitais teisės aktais;

11.5. organizuoja duomenų saugos užtikrinimą;

11.6. organizacinėmis priemonėmis užtikrina informacinės sistemos prieinamumą, vientisumą, konfidencialumą;

11.7. organizuoja informacinės sistemos tobulinimo darbus;

11.8. vadovauja informacinės sistemos tvarkytojui informacinės sistemos tvarkymo klausimais;

11.9. nagrinėja suinteresuotų asmenų siūlymus tobulinti informacinę sistemą;

11.10. nustato duomenų, kurie teikiami informacinės sistemos duomenų gavėjams, kategorijas;

11.11. vykdo kitas Nuostatuose, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme ir kituose teisės aktuose nurodytas funkcijas.

12. Informacinės sistemos tvarkytojas yra valstybės įmonė Registrų centras (toliau – Registrų centras). Registrų centras turi teisę pasitelkti kitus duomenų tvarkytojus tik gavęs išankstinį informacinės sistemos valdytojo sutikimą ir sudaręs su kitu duomenų tvarkytoju sutartį.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

13. Informacinės sistemos tvarkytojas atlieka šias funkcijas:

13.1. organizuoja informacinės sistemos kūrimą;

13.2. tvarko ir administruoja informacinę sistemą ir joje kaupiamus duomenis ir teikia kaupiamus duomenis duomenų gavėjams;

13.3. užtikrina informacinės sistemos funkcionavimą, techninės ir programinės įrangos priežiūrą ir plėtrą;

13.4. techninėmis ir organizacinėmis priemonėmis užtikrina informacinės sistemos duomenų apsaugą nuo neteisėto sunaikinimo, pakeitimo, atskleidimo;

13.5. užtikrina centralizuotą duomenų patekimą į informacinę sistemą ir duomenų teikimą iš jos;

13.6. teikia pasiūlymus informacinės sistemos valdytojui dėl informacinės sistemos tvarkymo ir tobulinimo, rengia ir įgyvendina techninių ir programinių priemonių kūrimo ir plėtros planus, investicinius projektus;

13.7. tvarko informacinės sistemos duomenų archyvą ir užtikrina jo saugą;

13.8. tvarko paslaugų vartotojų duomenis;

13.9. sudaro sutartis su duomenų teikėjais ir gavėjais;

13.10. suderinęs su informacinės sistemos valdytoju nustato duomenų gavėjams teikiamų duomenų apimtis;

13.11. reikalauja iš duomenų teikėjų, kad jų duomenys būtų tinkami, kokybiški, teisingi ir teikiami nustatytais terminais;

13.12. atsako, kad informacinės sistemos priemonėmis pateiktos sąskaitos ir duomenys, užtikrinantys sąskaitų kilmės autentiškumą, turinio vientisumą ir įskaitomumą, būtų saugomi vadovaujantis Lietuvos Respublikos teisės aktuose nustatyta dokumentų saugojimo tvarka;

13.13. vykdo kitas Nuostatuose, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme ir kituose teisės aktuose nurodytas funkcijas.

14. Informacinės sistemos asmens duomenų valdytoja yra Lietuvos Respublikos finansų ministerija, o asmens duomenų tvarkytojas – Registrų centras. Asmens duomenų valdytojas ir asmens duomenų tvarkytojas atlieka Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme ir Reglamente (ES) 2016/679 nustatytas funkcijas, turi Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme ir Reglamente (ES) 2016/679 nurodytas teises ir pareigas.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

15. Informacinės sistemos valdytojas ir tvarkytojas turi teisę su asmens duomenimis susijusią informaciją teisėtai gauti ir tvarkyti tokia apimtimi, kokia yra reikalinga informacinės sistemos tikslams įgyvendinti ir funkcijoms užtikrinti.

16. Informacinės sistemos duomenų teikėjai yra:

16.1. Viešųjų pirkimų tarnyba – teikia duomenis iš Centrinės viešųjų pirkimų informacinės sistemos;

16.2. Valstybinė mokesčių inspekcija prie Lietuvos Respublikos finansų ministerijos – teikia duomenis iš Mokesčių mokėtojų registro;

16.3. Informacinės visuomenės plėtros komitetas prie Susisiekimo ministerijos – perduoda duomenis iš Valstybės informacinių išteklių sąveikumo platformos;

16.4. Registrų centras – teikia duomenis iš Juridinių asmenų registro, Elektroninių dokumentų archyvo informacinės sistemos, Mokėjimų ir audito informacinės sistemos, autentifikavimo platformos, Adresų registro, Gyventojų registro.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

17. Informacinės sistemos pirminių duomenų teikėjai yra tiekėjai (prekių tiekėjai, paslaugų teikėjai, rangovai) – tiekiantys prekes, teikiantys paslaugas ar vykdantys darbus fiziniai asmenys, privatieji juridiniai ir viešieji juridiniai asmenys (toliau – tiekėjas). Tiekėjo darbuotojas, kuris yra paslaugų vartotojas, įveda Nuostatų 23 punkte išvardytus duomenis į informacinę sistemą.

18. Informacine sistema naudojasi paslaugų vartotojai, kurių teisės ir pareigos yra nustatytos informacinės sistemos naudojimosi sąlygų apraše.

19. Paslaugų vartotojų, kurie yra tiekėjo darbuotojai, teisės:

19.1. gauti informacinės sistemos teikiamas paslaugas;

19.2. įgalioti asmenis tvarkyti ir (ar) peržiūrėti informacinėje sistemoje esančius (tik jo paties) sąskaitų duomenis, pateikti, peržiūrėti sąskaitas, keisti, naikinti šiuos įgaliojimus;

19.3. gauti informaciją apie neteisingus jo sąskaitų duomenis;

19.4. atsisakyti informacinės sistemos paslaugų.

20. Paslaugų vartotojų, kurie yra perkančiosios organizacijos darbuotojai, teisės:

20.1. gauti informacinės sistemos teikiamas paslaugas;

20.2. įgalioti asmenis tvarkyti ir (ar) peržiūrėti perkančiajai organizacijai į informacinę sistemą pateiktus sąskaitų duomenis, pateikti, gauti ir peržiūrėti sąskaitas, keisti, naikinti šiuos įgaliojimus;

20.3. gauti informaciją apie neteisingus gautų sąskaitų duomenis;

20.4. atsisakyti informacinės sistemos paslaugų.

21. Paslaugų vartotojų pareigos:

21.1. tvarkyti (teikti, tikslinti, papildyti, naikinti) informacinėje sistemoje esančius sąskaitų ir savo asmens duomenis;

21.2. gavus informaciją apie neteisingus sąskaitų duomenis, juos ištaisyti, patikslinti.

III SKYRIUS

INFORMACINĖS SISTEMOS INFORMACINĖ STRUKTŪRA

22. Informacinės sistemos duomenų bazėje tvarkomi ir kaupiami sąskaitų duomenys ir paslaugų vartotojų duomenys.

23. Informacinėje sistemoje tvarkomi ir kaupiami šie fizinių ir juridinių asmenų sąskaitų duomenys:

23.1. sąskaitos išrašymo data;

23.2. sąskaitos serija ir numeris;

23.3. tiekėjo PVM mokėtojo kodas;

23.4. pirkėjo (kliento) PVM mokėtojo kodas, kurį jis nurodė įsigydamas prekes, paslaugas ar darbus;

23.5. tiekėjo pavadinimas arba vardas, pavardė (jeigu tai fizinis asmuo) ir buveinė arba nuolatinė gyvenamoji vieta (jeigu tai fizinis asmuo);

23.6. pirkėjo (kliento) pavadinimas arba vardas, pavardė (jeigu tai fizinis asmuo) ir adresas;

23.7. tiekiamų prekių arba teikiamų paslaugų pavadinimas ir jų kiekis;

23.8. prekių tiekimo, paslaugų teikimo ar darbų atlikimo data, jeigu ji nesutampa su sąskaitos išrašymo data;

23.9. avanso gavimo diena (jeigu sąskaita įforminamas avanso gavimas), kai ji nesutampa su sąskaitos išrašymo data;

23.10. tiekiamos prekės, teikiamos paslaugos ar atliekamų darbų vieneto kaina (be PVM), taip pat nuolaidos, neįtrauktos į vieneto kainą;

23.11. tiekiamų prekių, teikiamų paslaugų ar atliekamų darbų, apmokestinamų taikant vienodą tarifą, apmokestinamoji vertė;

23.12. PVM tarifas (tarifai);

23.13. PVM suma nacionaline valiuta;

23.14. kai įforminamas prekių ir (arba) paslaugų, kurios neapmokestinamos ar apmokestinamos taikant 0 procentų PVM tarifą, tiekimas (teikimas), – nuoroda į atitinkamą Lietuvos Respublikos pridėtinės vertės mokesčio įstatymo (toliau – PVM įstatymas) arba Direktyvos 2006/112/EB „Dėl pridėtinės vertės mokesčio bendros sistemos“ nuostatą, arba bet kokia kita nuoroda, kad prekės (paslaugos) neapmokestinamos ar apmokestinamos taikant 0 procentų PVM tarifą;

23.15. tiekiant prekes į kitą valstybę narę, – duomenys apie naują transporto priemonę:

23.15.1. transporto priemonės eksploatavimo pradžios data;

23.15.2. rida, km;

23.15.3. važiuotų (plauktų, skristų) valandų skaičius;

23.16. fiskalinio agento PVM mokėtojo kodas, pavadinimas arba vardas, pavardė (jeigu tai fizinis asmuo) ir adresas – kai pagal PVM įstatymą prievolė apskaičiuoti PVM tenka užsienio apmokestinamojo asmens paskirtam fiskaliniam agentui;

23.17. nuoroda „Maržos apmokestinimo schema. Kelionių agentūros“ – kai taikoma speciali turizmo paslaugų apmokestinimo PVM schema, nurodyta PVM įstatymo XII skyriaus antrajame skirsnyje, arba nuoroda „Maržos apmokestinimo schema. Naudotos prekės“ arba „Maržos apmokestinimo schema. Meno kūriniai“, arba „Maržos apmokestinimo schema. Kolekcionavimo objektai ir antikvariniai daiktai“ – kai taikoma speciali naudotų prekių, meno kūrinių, kolekcinių ir antikvarinių daiktų apmokestinimo PVM schema, nurodyta PVM įstatymo XII skyriaus trečiajame skirsnyje;

23.18. nuoroda „Atvirkštinis apmokestinimas“ – kai įforminamas prekių, darbų ir (arba) paslaugų, už kurias prievolė apskaičiuoti (arba išskaityti) ir sumokėti PVM tenka pirkėjui (klientui), tiekimas (atlikimas, teikimas);

23.19. nuoroda „Pinigų apskaitos sistema“ – kai prievolė apskaičiuoti PVM atsiranda gavus atlygį už patiektas prekes, įvykdytus darbus ar suteiktas paslaugas;

23.20. nuoroda „Sąskaitų faktūrų išsirašymas“ – kai sąskaitą prekių tiekėjo ar paslaugų teikėjo vardu įformina pirkėjas;

23.21. nuoroda „Avansinė sąskaita“ – kai sąskaitą išrašo prekių tiekėjas ir (arba) paslaugų teikėjas, ir (arba) rangovas, t. y. avanso gavėjas, ir nurodo, kad PVM skaičiuojamas nuo avansinio mokesčio;

23.22. už prekes apskaičiuoto akcizo suma – nurodoma  perkančiosios organizacijos pageidavimu, jei perkančioji organizacija nusiperka akcizais apmokestinamų prekių, kurių akcizą ji turi teisę susigrąžinti;

23.23. tikslinamos sąskaitos išrašymo data, serija, numeris ir kiti tikslinamų apskaitos dokumentų duomenys (laikotarpis, kuriuo buvo patiektos prekės, įvykdyti darbai ar suteiktos paslaugos ir kt.);

23.24. bendras kodas, jei tiekėjas yra užsienio įmonė;

23.25. viešojo pirkimo numeris;

23.26. viešojo pirkimo sutarties numeris arba viešojo pirkimo sutarties identifikatorius (jei yra);

23.27. nuoroda dėl pirkimo tipo;

23.28. tiekėjo juridinio asmens kodas ir pirkimo objekto rūšis: darbai, prekė, paslauga ir juos detalizuojančios kategorijos;

23.29. bendrojo viešųjų pirkimų žodyno pagrindinis kodas pirkimui apibūdinti.

24. Informacinėje sistemoje tvarkomi (kaupiami) duomenys gaunami iš:

24.1. Valstybės biudžeto, apskaitos ir mokėjimų sistemos:

24.1.1. mokėjimo paraiškos duomenys:

24.1.1.1. sąskaitos serija ir numeris;

24.1.1.2. mokėjimo paraiškos numeris;

24.1.1.3. tiekėjo juridinio arba fizinio asmens kodas;

24.1.1.4. perkančiosios organizacijos juridinio asmens kodas;

24.1.1.5. mokėjimo paraiškos būsenos;

24.1.1.6. mokėjimo paraiškos suma;

24.1.2. užklausos gauti elektroninę sąskaitą duomenys:

24.1.2.1. sąskaitos serija ir numeris;

24.1.2.2. perkančiosios organizacijos juridinio asmens kodas;

24.1.2.3. tiekėjo juridinio arba fizinio asmens kodas;

24.2. Centrinės viešųjų pirkimų informacinės sistemos:

24.2.1. registruotų perkančiųjų organizacijų duomenys:

24.2.1.1. juridinio asmens kodas;

24.2.1.2. juridinio asmens pavadinimas;

24.2.1.3. juridinio asmens adresas;

24.2.2. viešųjų pirkimų sutarčių duomenys:

24.2.2.1. viešojo pirkimo numeris;

24.2.2.2. viešojo pirkimo sutarties numeris arba identifikacinis numeris (jei yra);

24.2.2.3. faktinė viešojo pirkimo sutarties įvykdymo arba nutraukimo data (ar kita informacija apie pasikeitusią sutarties būklę);

24.2.2.4. perkančiosios organizacijos juridinio asmens kodas;

24.2.2.5. tiekėjo juridinio arba fizinio asmens kodas;

24.2.2.6. bendrasis tiekėjo kodas;

24.2.2.7. viešojo pirkimo sutarties būsena;

24.2.2.8. tiekėjo šalies kodas;

24.2.2.9. sutarties sudarymo data;

24.2.2.10. požymis, nusakantis, kad viešųjų pirkimų sutartis yra sudaryta tarpininkaujant CPO LT;

24.2.2.11. bendrojo viešųjų pirkimų žodyno pagrindinis kodas;

24.2.2.12. bendrojo viešųjų pirkimų žodyno pagrindinio kodo pavadinimas;

24.3. Neteko galios nuo 2018-09-06

Punkto naikinimas:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

24.4. Juridinių asmenų registro:

24.4.1. juridinio asmens kodas;

24.4.2. juridinio asmens pavadinimas;

24.4.3. juridinio asmens teisinė forma;

24.4.4. juridinio asmens buveinė (adresas);

24.4.5. informacija apie asmenis, įgaliotus patvirtinti naudojimo sąlygas juridinio asmens vardu (vardas, pavardė, pareigos);

24.5. Registrų centro Elektroninio dokumentų archyvo informacinės sistemos – elektroninių sąskaitų išsaugojimo elektroniniame archyve data;

24.6. Registrų centro Sertifikatų centro:

24.6.1. elektroninės sąskaitos laiko žymos identifikatorius;

24.6.2. laiko reikšmė, nustatoma pagal informacinės sistemos serverio laiką;

24.6.3. vienkrypčio šifravimo būdu sudaryta žymimų duomenų santrauka;

24.7. Mokesčių mokėtojų registro:

24.7.1. mokesčių mokėtojų duomenys:

24.7.1.1. PVM mokėtojo kodo prefiksas;

24.7.1.2. PVM mokėtojo kodas;

24.7.1.3. mokesčių mokėtojo identifikacinis numeris;

24.7.1.4. PVM mokėtojo kodo galiojimo pradžios data;

24.7.1.5. PVM mokėtojo kodo galiojimo pabaigos data (jei yra).

24.8. tiekėjų ir perkančiųjų organizacijų finansų valdymo ir apskaitos informacinių sistemų:

24.8.1. elektroninių sąskaitų duomenys pagal parengtą ir suderintą elektroninių sąskaitų duomenų modelį;

24.9. valstybės informacinių išteklių sąveikumo platformos:

24.9.1. fizinio asmens vardas;

24.9.2. fizinio asmens pavardė;

24.9.3. fizinio asmens kodas;

24.10. Registro centro mokėjimų ir audito informacinės sistemos:

24.10.1. informacija apie laiku neapmokėtą sumą (pagal kiekvieną informacinės sistemos paskyrą);

24.11. Registrų centro autentifikavimo platformos:

24.11.1. fizinio asmens vardas;

24.11.2. fizinio asmens pavardė;

24.11.3. fizinio asmens kodas;

24.11.4. požymis, nusakantis, kad fizinis asmuo yra užsienietis;

24.11.5. fizinio asmens šalis (taikoma užsienio šalių fiziniams asmenims);

24.11.6. fizinio asmens gimimo data (taikoma užsienio šalių fiziniams asmenims);

24.11.7. juridinio asmens kodas;

24.11.8. juridinio asmens pavadinimas;

24.11.9. požymis, nusakantis, ar tai užsienio šalies juridinis asmuo;

24.11.10. juridinio asmens šalis (taikoma užsienio šalių juridiniams asmenims).

25. Informacinėje sistemoje kaupiami paslaugų vartotojų duomenys:

25.1. vardas (vardai);

25.2. pavardė (pavardės);

25.3. pareigos;

25.4. suteiktos prieigos teisės.

IV SKYRIUS

INFORMACINĖS SISTEMOS FUNKCINĖ STRUKTŪRA

26. Informacinės sistemos funkcinę struktūrą sudaro funkciniai komponentai:

26.1.  bendras portalas, kurio funkcija – informacinės sistemos pagrindinio turinio saugojimas. Portale pateikiama bendra informacija: naujienos, teisinė informacija, dažniausiai užduodami klausimai ir atsakymai. Per šį portalą inicijuojamas prisijungimas prie paslaugų vartotojų posistemio arba prie administratorių posistemio;

26.2.  paslaugų vartotojo posistemis, kurio funkcija – pagrindinių veiksmų su sąskaitomis atlikimas. Posistemis sudarytas iš 4 modulių:

26.2.1. sąskaitų įvedimo ir tvarkymo modulis, kurio funkcija – sąskaitų paruošimas, peržiūrėjimas ir pateikimas;

26.2.2. sąskaitų valdymo modulis, kurio funkcija – pateiktų sąskaitų tvirtinimas, grąžinimas jas tikslinti ar atmesti, kitų susijusių valdymo veiksmų atlikimas;

26.2.3. dokumentų formavimo modulis, kurio funkcija – PDF/A-3 formatą atitinkančių elektroninių dokumentų generavimas ir su jais susijusios laiko žymos suformavimo inicijavimas;

26.2.4. paskyrų tvarkymo modulis, kurio funkcija – paslaugų vartotojams paskyrų tvarkymas;

26.3.  administratorių posistemis, kurio funkcija – informacinės sistemos konfigūravimo bei valdymo veiksmų vykdymas. Posistemį sudaro 13 modulių:

26.3.1. klasifikatorių modulis, kurio funkcija – informacinėje sistemoje numatytų klasifikatorių tvarkymas;

26.3.2. sutarčių tvarkymo modulis, kurio funkcija – paslaugų vartotojų tvirtinamo informacinės sistemos naudojimo sąlygų aprašo tvarkymas ir pakeisto informacinės sistemos naudojimo sąlygų aprašo šablono įkėlimas;

26.3.3. parametrų tvarkymo modulis, kurio funkcija – informacinėje sistemoje numatytų parametrų tvarkymas;

26.3.4. klaidų ir įvykių modulis, kurio funkcija – informacinėje sistemoje įvykusių klaidų žurnalo peržiūrėjimas ir galimų sistemos įvykių sąrašo tvarkymas;

26.3.5. duomenų mainų valdymo modulis, kurio funkcija – naujų duomenų mainuose dalyvausiančių išorinių sistemų užregistravimas ir jų prisijungimo sertifikatų generavimo inicijavimas;

26.3.6. paskyrų tvarkymo modulis, kurio funkcija – visų informacinės sistemos paslaugų vartotojų paskyrų tvarkymas, naujų paskyrų kūrimas;

26.3.7. sesijų valdymo modulis, kurio funkcija – prie informacinės sistemos besijungiančių paslaugų vartotojų skaičiaus kontroliavimas ir informacijos apie paskutinį paslaugų vartotojo prisijungimą prie informacinės sistemos pateikimas;

26.3.8. asmens identifikavimo modulis, kurio funkcija – informacinės sistemos paslaugų vartotojų identifikavimas;

26.3.9. duomenų archyvavimo modulis, kurio funkcija – įvedamų bei tvarkomų duomenų automatinis archyvavimas;

26.3.10. ataskaitų modulis, kurio funkcija – informacinėje sistemoje numatytų ataskaitų formavimas;

26.3.11. vartotojo veiksmų auditavimo modulis, kurio funkcija – užtikrinimas, kad informacinės sistemos paslaugų vartotojų veiksmai būtų užregistruoti ir išsaugoti;

26.3.12. duomenų mainų modulis, kurio funkcija – visų duomenų mainų tiek su vidinėmis, tiek su išorinėmis informacinėmis sistemomis užtikrinimas;

26.3.13. informavimo modulis, kurio funkcija – informacinis žinučių formavimas ir pateikimas adresatams.

V SKYRIUS

INFORMACINĖS SISTEMOS DUOMENŲ TEIKIMAS IR NAUDOJIMAS

27. Informacinės sistemos duomenų gavėjai yra:

27.1. Lietuvos Respublikos finansų ministerija;

27.2. Valstybinė mokesčių inspekcija prie Lietuvos Respublikos finansų ministerijos;

27.3. Viešųjų pirkimų tarnyba;

27.4. CPO LT.

28. Duomenys teikiami vykdant duomenų valdytojui pavestas funkcijas. Visi informacinės sistemos duomenys yra teikiami juridiniams ir fiziniams asmenims, jeigu Lietuvos Respublikos ar Europos Sąjungos teisės aktuose nenustatyta kitaip. Informacinės sistemos duomenys teikiami pagal informacinės sistemos tvarkytojo ir duomenų gavėjo sudarytą duomenų teikimo sutartį (daugkartinio teikimo atveju) arba duomenų gavėjo prašymą (vienkartinio teikimo atveju). Sutartyje turi būti nurodytas duomenų naudojimo tikslas, teikimo ir gavimo teisinis pagrindas, sąlygos, tvarka ir teikiamų duomenų apimtis. Prašyme turi būti nurodytas duomenų naudojimo tikslas, teikimo bei gavimo teisinis pagrindas ir prašomų pateikti duomenų apimtis. Kai duomenys tvarkomi automatiniu būdu ir taikomos tinkamos duomenų saugumą užtikrinančios priemonės, teikiant duomenis pagal duomenų valdytojo ir duomenų gavėjo sudarytą duomenų teikimo sutartį prioritetas teikiamas automatiniam duomenų teikimo būdui, o teikiant duomenis pagal duomenų gavėjo prašymą, – duomenų teikimui elektroninių ryšių priemonėmis.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

29. Fizinio asmens, kurio asmens duomenys tvarkomi sistemoje, teisės įgyvendinamos Reglamento (ES) 2016/679 12–22 straipsniuose nustatyta tvarka. Reglamento (ES) 2016/679 15 straipsnio 1 dalies c punkte nurodyta informacija teikiama už paskutinius vienus metus.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

30. Informacinės sistemos duomenų naudojimo sąlygos ir tvarka nustatyta informacinės sistemos naudojimosi sąlygų apraše, kuris yra viešai prieinamas informacinės sistemos tvarkytojo internetinėje svetainėje adresu www.registrucentras.lt ir informacinėje sistemoje. Laikoma, kad paslaugų vartotojas sutinka su informacinės sistemos naudojimosi sąlygomis, kai jis informacinėje sistemoje paspaudžia ant nuorodos (mygtuko) „Sutinku“, esančios naudojimosi sąlygų teksto apačioje.

31. Informacinės sistemos duomenys informacinės sistemos valdytojui, tvarkytojui ir duomenų gavėjams, nurodytiems Nuostatų  27 punkte, teikiami neatlygintinai.  Už informacinės sistemos priemonėmis pateikiamas sąskaitas gali būti imamas atlygis, kurio dydį ir tvarką nustato informacinės sistemos valdytojas.

32. Duomenys Europos Sąjungos valstybių narių ir (arba) Europos ekonominės erdvės valstybių, trečiųjų šalių fiziniams ir juridiniams asmenims, juridinio asmens statuso neturintiems subjektams, jų filialams ir atstovybėms teikiami Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo nustatyta tvarka.

33. Duomenų gavėjas, informacinės sistemos tvarkytojas, duomenų subjektas ir paslaugų vartotojai turi teisę reikalauti ištaisyti netikslius duomenis. Informacinės sistemos tvarkytojas apie pastebėtus netikslumus turi būti informuojamas elektroniniu paštu. Informacinės sistemos tvarkytojas įsipareigoja elektroniniu paštu ir (ar) informacinės sistemos priemonėmis informuoti duomenų gavėjus ir kitus susijusius asmenis apie netikslių duomenų ištaisymą.

VI SKYRIUS

INFORMACINĖS SISTEMOS DUOMENŲ SAUGA

34. Informacinės sistemos duomenų saugą reglamentuoja informacinės sistemos valdytojo patvirtinti informacinės sistemos duomenų saugos nuostatai ir kiti saugos politikos įgyvendinimo dokumentai, kurie rengiami, derinami ir tvirtinami vadovaujantis Reglamento (ES) 2016/679, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo ir Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“, nuostatomis.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

35. Už informacinės sistemos duomenų saugą pagal kompetenciją atsako informacinės sistemos valdytojas ir informacinės sistemos tvarkytojas.

36. Atsarginės duomenų kopijos daromos vadovaujantis Duomenų rezervinio kopijavimo ir laikmenų saugojimo tvarka, patvirtinta Registrų centro direktoriaus 2008 m. birželio 20 d. įsakymu Nr. v-148 „Dėl Nešiojamųjų įrenginių saugumo patvirtinimo tvarkos ir Duomenų rezervinio kopijavimo ir laikmenų saugojimo tvarkos patvirtinimo“ (2011 m. lapkričio 18 d. įsakymo Nr. v-221 redakcija).

37. Informacinės sistemos paslaugų vartotojai, tvarkantys informacinės sistemos duomenis, informaciją, dokumentus ir jų kopijas, yra įpareigoti saugoti duomenų ir informacijos paslaptį. Įpareigojimas saugoti paslaptį galioja ir nutraukus su duomenų, informacijos, dokumentų ir jų kopijų tvarkymu susijusią veiklą. Informacinės sistemos paslaugų vartotojai, kurie tvarko asmens duomenis, privalo saugoti asmens duomenų paslaptį. Ši pareiga galioja ir jiems pasitraukus iš valstybės tarnybos, perėjus dirbti į kitas pareigas, pasibaigus jų darbo ar sutartiniams santykiams.

38. Informacinėje sistemoje tvarkomų fizinių asmenų duomenų saugumas užtikrinamas Reglamento (ES) 2016/679 ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme nustatyta tvarka.

Punkto pakeitimai:

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

39. Informacinės sistemos duomenys kaupiami ir sąskaitų duomenų bazėje saugomi, kol tvarkomi sąskaitų duomenys. Skaitmeniniame sąskaitų archyve duomenys saugomi 10 metų. Pasibaigus šiam terminui, duomenys sunaikinami Lietuvos vyriausiojo archyvaro nustatyta tvarka. Paslaugų vartotojų asmens duomenys informacinėje sistemoje ir archyve saugomi, kol saugomi tvarkomi (tvarkyti) jo sąskaitų duomenys arba kol paslaugų vartotojui kontrolės funkcijoms vykdyti reikalingas prisijungimas prie informacinės sistemos.

VII SKYRIUS

INFORMACINĖS SISTEMOS FINANSAVIMAS

40. Informacinė sistema finansuojama:

40.1. informacinės sistemos kūrimas ir įdiegimas – iš Europos Sąjungos struktūrinių fondų ir Lietuvos Respublikos valstybės biudžeto lėšų;

40.2. informacinės sistemos priežiūra – iš Lietuvos Respublikos valstybės biudžeto ir kitų finansavimo šaltinių;

40.3. informacinės sistemos tvarkymas – iš Lietuvos Respublikos valstybės biudžeto, Europos Sąjungos struktūrinių fondų ir kitų finansavimo šaltinių lėšų, taip pat lėšų, gautų už naudojimąsi informacinės sistemos duomenimis.

VIII SKYRIUS

INFORMACINĖS SISTEMOS MODERNIZAVIMAS IR LIKVIDAVIMAS

41. Informacinė sistema modernizuojama ir likviduojama Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo nustatyta tvarka.

42. Likviduojant informacinę sistemą, jos duomenys perduodami kitai informacinei sistemai arba sunaikinami, arba perduodami valstybės archyvui Lietuvos Respublikos dokumentų ir archyvų įstatymo nustatyta tvarka.

IX SKYRIUS

BAIGIAMOSIOS NUOSTATOS

43. Duomenų subjekto teisės ir jų įgyvendinimo tvarka nustatoma vadovaujantis Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu.

_______________________________

Priedo pakeitimai:

Nr. 1K-343, 2014-10-31, paskelbta TAR 2014-11-11, i. k. 2014-16639

PATVIRTINTA

Lietuvos Respublikos finansų ministro

2012 m. rugsėjo 6 d. įsakymu Nr. 1K-297

(2018 m. spalio 24 d. įsakymo Nr. 1K-357 redakcija)

INFORMACINĖS SISTEMOS „E. SĄSKAITA“ DUOMENŲ SAUGOS NUOSTATAI

I SKYRIUS

BENDROSIOS NUOSTATOS

1.  Informacinės sistemos „E. sąskaita“ (toliau – informacinė sistema) duomenų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja informacinės sistemos elektroninės informacijos saugos politiką ir kibernetinio saugumo politiką.

2.  Saugos nuostatuose vartojamos sąvokos:

2.1. Informacinės sistemos administratorius (toliau – administratorius) – valstybės įmonės Registrų centro (toliau – Registrų centras) darbuotojas, dirbantis pagal darbo sutartį, arba Lietuvos Respublikos teisingumo ministerijos valstybės tarnautojas ar pagal darbo sutartį dirbantis darbuotojas, prižiūrintys informacinę sistemą ir (ar) jos infrastruktūrą, užtikrinantys jų veikimą, elektroninės informacijos saugą ir kibernetinį saugumą, ar kitas asmuo (asmenų grupė), kuriam (kuriai) Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 41 straipsnyje nustatytomis sąlygomis ir tvarka perduotos informacinės sistemos ir (ar) jos infrastruktūros priežiūros funkcijos.

2.2. Informacinės sistemos elektroninė informacija (toliau – elektroninė informacija) – duomenys, dokumentai ir informacija, tvarkomi Registrų centro tvarkomoje informacinėje sistemoje.

2.3. Informacinės sistemos kibernetinio saugumo ir elektroninės informacijos saugos dokumentai (toliau – saugos dokumentai) – Saugos nuostatai, Informacinės sistemos „E. sąskaita“ saugaus elektroninės informacijos tvarkymo taisyklės, Informacinės sistemos „E. sąskaita“ veiklos tęstinumo valdymo planas, Informacinės sistemos „E. sąskaita“ naudotojų administravimo taisyklės.

2.4. Informacinės sistemos kibernetinio saugumo vadovas (toliau – kibernetinio saugumo vadovas) – informacinės sistemos tvarkytojo paskirtas kompetentingas darbuotojas, atsakingas už informacinės sistemos kibernetinio saugumo organizavimą ir užtikrinimą. Kibernetinio saugumo vadovo funkcijas gali atlikti paskirtas Registrų centro padalinys.

2.5. Informacinės sistemos komponentai – kompiuteriai, operacinės sistemos, duomenų bazės ir jų valdymo sistemos, taikomųjų programų sistemos, užkardos, įsilaužimų aptikimo ir prevencijos sistemos, elektroninės informacijos perdavimo tinklai, duomenų saugyklos, serveriai ir kita techninė ir programinė įranga, reikalinga informacinei sistemai funkcionuoti ir joje tvarkomos elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti.

2.6.      Informacinės sistemos naudotojas (toliau – naudotojas) – Registrų centro darbuotojas, dirbantis pagal darbo sutartį, arba Lietuvos Respublikos finansų ministerijos valstybės tarnautojas ar pagal darbo sutartį dirbantis darbuotojas, arba kitas asmuo, informacinės sistemos veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudojantys ir (ar) tvarkantys elektroninę informaciją.

2.7.      Informacinės sistemos saugos įgaliotinis (toliau – saugos įgaliotinis) – informacinės sistemos tvarkytojo paskirtas darbuotojas, dirbantis pagal darbo sutartį, koordinuojantis ir prižiūrintis elektroninės informacijos saugos ir kibernetinio saugumo politikos įgyvendinimą informacinėje sistemoje.

2.8. Vidinis informacinės sistemos naudotojas (toliau – vidinis naudotojas) – Registrų centro darbuotojas, dirbantis pagal darbo sutartį, arba Lietuvos Respublikos finansų ministerijos valstybės tarnautojas ar pagal darbo sutartį dirbantis darbuotojas, informacinės sistemos veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudojantys ir (ar) tvarkantys elektroninę informaciją.

2.9.    Kitos Saugos nuostatuose vartojamos sąvokos suprantamos taip, kaip jos apibrėžtos Lietuvos Respublikos kibernetinio saugumo įstatyme, Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatyme, Bendrųjų elektroninės informacijos saugos reikalavimų apraše, Saugos dokumentų turinio gairių apraše, Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinės sistemos, registrų ir kitų informacinės sistemos klasifikavimo gairių apraše (toliau – Klasifikavimo gairių aprašas), patvirtintuose Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinės sistemos, registrų ir kitų informacinės sistemos klasifikavimo gairių aprašo patvirtinimo“, Techniniuose valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinės sistemos ir kitų informacinės sistemos elektroninės informacijos saugos reikalavimuose, patvirtintuose Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinės sistemos ir kitų informacinės sistemos elektroninės informacijos saugos reikalavimų patvirtinimo“, ir kituose teisės aktuose bei Lietuvos ir tarptautiniuose „Informacijos technologija. Saugumo metodai“ grupės standartuose.

3.  Saugos dokumentų taikymas ir naudojimas:

3.1. Saugos dokumentai taikomi:

3.1.1. Lietuvos Respublikos finansų ministerijai (Lukiškių g. 2, 01104 Vilnius) – informacinės sistemos valdytojai;

3.1.2. Registrų centrui (Vinco Kudirkos g. 18-3, 03105 Vilnius) – informacinės sistemos tvarkytojui;

3.1.3. saugos įgaliotiniui, kibernetinio saugumo vadovui, administratoriams, naudotojams, informacinei sistemai funkcionuoti reikalingų paslaugų teikėjams;

3.2. Saugos nuostatai yra vieši ir skelbiami Lietuvos Respublikos teisės aktų registre. Informacinės sistemos „E. sąskaita“ saugaus elektroninės informacijos tvarkymo taisyklių, Informacinės sistemos „E. sąskaita“ veiklos tęstinumo valdymo plano, Informacinės sistemos „E. sąskaita“ naudotojų administravimo taisyklių naudojimas yra ribojamas – naudotojams, informacinei sistemai funkcionuoti reikalingų paslaugų teikėjams ir kitiems tretiesiems asmenims suteikiama teisė susipažinti tik su šių saugos dokumentų santrauka Saugos nuostatų V skyriuje „Naudotojų supažindinimo su saugos dokumentais principai“ nustatyta tvarka;

3.3. vadovaujantis būtinumo žinoti principu rengiama saugos dokumentų santrauka, už jos parengimą atsakingas kibernetinio saugumo vadovas;

3.4. Informacinės sistemos „E. sąskaita“ saugaus elektroninės informacijos tvarkymo taisyklės, Informacinės sistemos „E. sąskaita“ veiklos tęstinumo valdymo planas, Informacinės sistemos „E. sąskaita“ naudotojų administravimo taisyklės turi būti saugiai platinami ir prieinami su jais turinčioms teisę susipažinti suinteresuotoms šalims visais elektroninės informacijos saugos ar kibernetinio saugumo incidentų ar avarijų atvejais.

4.  Elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo prioritetinės kryptys:

4.1. elektroninės informacijos konfidencialumo, vientisumo ir prieinamumo užtikrinimas;

4.2. informacinės sistemos veiklos tęstinumo užtikrinimas;

4.3. asmens duomenų apsauga;

4.4. naudotojų mokymas;

4.5. organizacinių, techninių, programinių, teisinių, informacijos sklaidos ir kitų priemonių, skirtų elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti, įgyvendinimas ir kontrolė.

5.  Elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo tikslai:

5.1. sudaryti sąlygas saugiai automatiniu būdu tvarkyti informacinės sistemos elektroninę informaciją;

5.2. užtikrinti, kad elektroninė informacija būtų patikima ir apsaugota nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo;

5.3. vykdyti elektroninės informacijos saugos ir kibernetinių incidentų prevenciją, reaguoti į elektroninės informacijos saugos ir kibernetinius incidentus ir juos operatyviai suvaldyti, atkuriant įprastinę informacinės sistemos veiklą.

6.  Informacinės sistemos valdytojo funkcijos:

6.1. metodiškai vadovauti Registrų centrui, koordinuoti Registrų centro veiksmus užtikrinant informacinės sistemos funkcionavimą;

6.2. vertinti Registrų centro ir techninės bei programinės įrangos priežiūros paslaugas teikiančio paslaugų teikėjo, veikiančio Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 41 straipsnyje nustatytomis sąlygomis ir tvarka, paslaugas ir atlikti jo veiklos priežiūrą;

6.3. atlikti elektroninės informacijos tvarkymo ir elektroninės informacijos saugos bei kibernetinio saugumo reikalavimų laikymosi priežiūrą;

6.4. nagrinėti Registrų centro pasiūlymus dėl informacinės sistemos veiklos, elektroninės informacijos saugos ir kibernetinio saugumo tobulinimo;

6.5. priimti sprendimus:

6.5.1. dėl informacinės sistemos veiklos, elektroninės informacijos saugos ir kibernetinio saugumo tobulinimo;

6.5.2. dėl informacinės sistemos techninių ir programinių priemonių, būtinų elektroninės informacijos saugai ir kibernetiniam saugumui užtikrinti, įsigijimo, diegimo ir modernizavimo;

6.5.3. dėl elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo;

6.6. planuoti veiksmingą ir spartų informacinės sistemos pokyčių valdymą;

6.7. pavesti informacinės sistemos tvarkytojui paskirti saugos įgaliotinį ir administratorius;

6.8. prireikus tvirtinti:

6.8.1. rizikos vertinimo ir rizikos valdymo priemonių planą;

6.8.2. informacinės sistemos informacinių technologijų saugos atitikties vertinimo metu pastebėtų trūkumų šalinimo planą;

6.9. atlikti kitas Saugos nuostatuose ir kituose teisės aktuose nustatytas funkcijas.

7.  Informacinės sistemos tvarkytojo funkcijos:

7.1. užtikinti:

7.1.1. informacinės sistemos nepertraukiamą veiklą;

7.1.2. elektroninės informacijos saugą, kibernetinį saugumą ir saugų elektroninės informacijos perdavimą elektroninių ryšių tinklais (automatiniu būdu);

7.1.3. informacinės sistemos sąveiką su susijusiais registrais ir susijusiomis informacinėmis sistemomis;

7.1.4. informacinės sistemos valdytojo sprendimų ir rekomendacijų tinkamą įgyvendinimą elektroninės informacijos saugos ir kibernetinio saugumo srityje;

7.2. teikti informacinės sistemos valdytojui pasiūlymus dėl elektroninės informacijos saugos ir kibernetinio saugumo gerinimo;

7.3. rengti ir įgyvendinti techninių ir programinių priemonių kūrimo ir plėtros planus, investicinius projektus;

7.4. skirti saugos įgaliotinį, kibernetinio saugumo vadovą ir administratorius;

7.5. ne rečiau kaip kartą per metus organizuoti saugos dokumentų peržiūrą;

7.6. organizuoti naudotojams mokomuosius ir pažintinius kursus elektroninės informacijos tvarkymo klausimais;

7.7. tvirtinti:

7.7.1. rizikos vertinimo ir rizikos valdymo priemonių planą;

7.7.2. informacinės sistemos informacinių technologijų saugos atitikties vertinimo metu pastebėtų trūkumų šalinimo planą;

7.8. atlikti kitas Saugos nuostatuose ir kituose teisės aktuose nustatytas funkcijas.

8.  Už elektroninės informacijos saugą ir kibernetinį saugumą pagal kompetenciją atsako informacinės sistemos valdytojas ir tvarkytojas.

9.    Informacinės sistemos valdytojas atsako už elektroninės informacijos saugos ir kibernetinio saugumo politikos formavimą, jos įgyvendinimo organizavimą bei priežiūrą ir elektroninės informacijos tvarkymo teisėtumą.

10.  Informacinės sistemos tvarkytojas atsako už reikiamų administracinių, techninių ir organizacinių saugos priemonių įgyvendinimą, užtikrinimą ir laikymąsi saugos dokumentuose nustatyta tvarka.

11.  Saugos įgaliotinio funkcijos:

11.1.  teikti informacinės sistemos tvarkytojo vadovui pasiūlymus dėl:

11.1.1. administratorių paskyrimo ir reikalavimų jiems nustatymo;

11.1.2. organizuoti informacinių technologijų saugos atitikties vertinimą pagal Informacinių technologijų saugos atitikties vertinimo metodiką, patvirtintą Lietuvos Respublikos vidaus reikalų ministro 2004 m. gegužės 6 d. įsakymu Nr. 1V-156 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“;

11.2.  teikti informacinės sistemos valdytojo vadovui pasiūlymus dėl saugos dokumentų priėmimo, keitimo;

11.3.  koordinuoti elektroninės informacijos saugos ir kibernetinio saugumo incidentų tyrimą, bendradarbiauti su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugos ir kibernetinio saugumo incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos ir kibernetinio saugumo incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka elektroninės informacijos saugos ar kibernetinio saugumo darbo grupės;

11.4.  teikti administratoriams ir naudotojams privalomus vykdyti nurodymus ir pavedimus dėl elektroninės informacijos saugos ir kibernetinio saugumo politikos įgyvendinimo;

11.5.  organizuoti rizikos ir informacinių technologijų saugos atitikties vertinimą;

11.6.  atlikti kitas Saugos nuostatuose, kituose teisės aktuose nustatytas ir Bendrųjų elektroninės informacijos saugos reikalavimų apraše saugos įgaliotiniui priskirtas funkcijas.

12.  Kibernetinio saugumo vadovas atlieka Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2016 m. balandžio 20 d. nutarimu Nr. 387 „Dėl Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo patvirtinimo“, ir kituose teisės aktuose nustatytas funkcijas. Kibernetinio saugumo vadovas ir saugos įgaliotinis gali būti tas pats asmuo.

13.  Saugos įgaliotinis ir kibernetinio saugumo vadovas negali atlikti administratoriaus funkcijų.

14.  Administratoriai yra šie:

14.1.  koordinuojantysis administratorius – administratorius, kontroliuojantis administratorių veiklą, siekdamas užtikrinti tinkamą administratorių funkcijų vykdymą;

14.2.  naudotojų administratorius – administratorius, atliekantis naudotojų teisių valdymo funkcijas (naudotojų duomenų administravimas, klasifikatorių tvarkymas, naudotojų veiksmų registracijos žurnalų įrašų analizė ir kt.);

14.3.  informacinės sistemos komponentų administratorius – administratorius, atliekantis funkcijas, susijusias su informacinės sistemos komponentais ir jų sąranka. Informacinės sistemos komponentų administratoriai ir jų funkcijos:

14.3.1. kompiuterių tinklų administratorius:

14.3.1.1. užtikrina kompiuterių tinklų veikimą;

14.3.1.2. projektuoja kompiuterių tinklus;

14.3.1.3. diegia, konfigūruoja ir prižiūri kompiuterių tinklų aktyviąją įrangą;

14.3.1.4. užtikrina kompiuterių tinklų saugumą;

14.3.2. tarnybinių stočių administratorius:

14.3.2.1. užtikrina tarnybinių stočių veikimą;

14.3.2.2. konfigūruoja tarnybinių stočių tinklo prieigą;

14.3.2.3. kuria ir administruoja tarnybinių stočių naudotojų registracijos duomenis;

14.3.2.4. stebi ir analizuoja tarnybinių stočių veiklą;

14.3.2.5. diegia ir konfigūruoja tarnybinių stočių programinę įrangą;

14.3.2.6. diegia tarnybinių stočių programinės įrangos atnaujinimus;

14.3.2.7. užtikrina tarnybinių stočių saugą;

14.3.3. duomenų bazių administratorius:

14.3.3.1. užtikrina duomenų bazių veikimą;

14.3.3.2. tvarko duomenų bazių programinę įrangą;

14.3.3.3. kuria ir administruoja duomenų bazių naudotojų registracijos duomenis;

14.3.3.4.                 kuria ir atkuria atsargines elektroninės informacijos kopijas;

14.3.3.5. stebi duomenų bazes ir optimizuoja jų veikimą;

14.4.  saugos administratorius – administratorius, atliekantis funkcijas, susijusias su informacinės sistemos pažeidžiamų vietų nustatymu, saugumo reikalavimų atitikties nustatymu ir stebėsena.

15.  Administratoriai yra atsakingi už tinkamą saugos dokumentuose nustatytų funkcijų vykdymą.

16.  Administratoriai privalo vykdyti visus saugos įgaliotinio ir kibernetinio saugumo vadovo nurodymus ir pavedimus dėl informacinės sistemos saugos ir kibernetinio saugumo užtikrinimo, pagal kompetenciją reaguoti į elektroninės informacijos saugos ir kibernetinio saugumo incidentus ir nuolat teikti saugos įgaliotiniui ir kibernetinio saugumo vadovui informaciją apie pagrindinių saugos užtikrinimo komponentų būklę.

17.  Atlikdami informacinės sistemos sąrankos pakeitimus, informacinės sistemos komponentų administratoriai turi laikytis informacinės sistemos pokyčių valdymo tvarkos, nustatytos informacinės sistemos valdytojo tvirtinamose Informacinės sistemos „E. sąskaita“ saugaus elektroninės informacijos tvarkymo taisyklėse.

18.  Informacinės sistemos komponentų administratoriai privalo patikrinti (peržiūrėti) informacinės sistemos sąranką ir informacinės sistemos būsenos rodiklius reguliariai – ne rečiau kaip kartą per metus ir (arba) po informacinės sistemos pokyčio.

19.  Teisės aktai, kuriais vadovaujamasi tvarkant elektroninę informaciją ir užtikrinant jos saugą:

19.1.  Lietuvos Respublikos kibernetinio saugumo įstatymas;

19.2.  Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymas;

19.3.  Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas;

19.4.  Bendrųjų elektroninės informacijos saugos reikalavimų aprašas;

19.5.  Klasifikavimo gairių aprašas; 

19.6.  Techniniai valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinės sistemos ir kitų informacinės sistemos elektroninės informacijos saugos reikalavimai, patvirtinti Lietuvos Respublikos vidaus reikalų ministro 2013 m. spalio 4 d. įsakymu Nr. 1V-832 „Dėl Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinės sistemos ir kitų informacinės sistemos elektroninės informacijos saugos reikalavimų patvirtinimo“;

19.7.  Bendrieji reikalavimai organizacinėms ir techninėms duomenų saugumo priemonėms, patvirtinti Valstybinės duomenų apsaugos inspekcijos direktoriaus 2008 m. lapkričio 12 d. įsakymu Nr. 1T-71(1.12) „Dėl Bendrųjų reikalavimų organizacinėms ir techninėms duomenų saugumo priemonėms patvirtinimo“;

19.8.  Lietuvos standartai LST ISO/IEC 27002 ir LST ISO/IEC 27001 bei kiti Lietuvos ir tarptautiniai standartai, reglamentuojantys informacijos saugą;

19.9.  kiti teisės aktai, reglamentuojantys elektroninės informacijos tvarkymą, elektroninės informacijos saugą, kibernetinį saugumą bei informacinės sistemos valdytojo ir tvarkytojų veiklą.

II skyrius

Elektroninės informacijos saugos valdymas

20.  Informacinėje sistemoje tvarkoma elektroninė informacija priskiriama svarbios elektroninės informacijos kategorijai. Elektroninė informacija šiai kategorijai priskiriama vadovaujantis Klasifikavimo gairių aprašo 8.2 ir 8.3 papunkčiais.

21.  Informacinė sistema pagal joje tvarkomos informacijos svarbą, vadovaujantis Klasifikavimo gairių aprašo 12.2 papunkčiu, priskiriama antrajai kategorijai.

22.  Informacinėje sistemoje automatiniu būdu tvarkomi asmens duomenys priskiriami antrajam saugos lygiui, vadovaujantis Bendrųjų reikalavimų organizacinėms ir techninėms asmens duomenų saugumo priemonėms 11.2 papunkčiu.

23.  Saugos įgaliotinis, atsižvelgdamas į Vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“ ir Lietuvos ir tarptautinius „Informacijos technologija. Saugumo technika“ grupės standartus, kasmet organizuoja informacinės sistemos rizikos vertinimą. Prireikus saugos įgaliotinis gali organizuoti neeilinį informacinės sistemos rizikos vertinimą. Informacinės sistemos tvarkytojo rašytiniu pavedimu informacinės sistemos rizikos vertinimą gali atlikti pats saugos įgaliotinis. Kartu su informacinės sistemos rizikos vertinimu ir (arba) Saugos nuostatų 31 punkte nurodytu informacinių technologijų saugos atitikties vertinimu turi būti atliekamas grėsmių ir pažeidžiamų vietų, galinčių turėti įtakos informacinės sistemos kibernetiniam saugumui, vertinimas.

24.  Informacinės sistemos rizikos vertinimo rezultatai išdėstomi rizikos vertinimo ataskaitoje, kuri pateikiama informacinės sistemos valdytojo vadovui ir informacinės sistemos tvarkytojo vadovui. Rizikos vertinimo ataskaita rengiama vertinant rizikos veiksnius, galinčius turėti įtakos elektroninės informacijos saugai, jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus. Svarbiausi rizikos veiksniai yra šie:

24.1.  subjektyvūs netyčiniai (elektroninės informacijos tvarkymo klaidos ir apsirikimai, elektroninės informacijos ištrynimas, klaidingai pateikta elektroninė informacija, fiziniai elektroninės informacijos technologijų sutrikimai, elektroninės informacijos perdavimo tinklais triktys, programinės įrangos klaidos ar netinkamas veikimas ir kita);

24.2.  subjektyvūs tyčiniai (nesankcionuotas naudojimasis informacine sistema elektroninei informacijai gauti, elektroninės informacijos pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugumo pažeidimai, vagystės ir kita);

24.3.  veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.

25.  Atsižvelgdamas į rizikos vertinimo ataskaitą, informacinės sistemos valdytojas prireikus tvirtina rizikos vertinimo ir rizikos valdymo priemonių planą, kuriame, be kita ko, numatomas techninių, administracinių, organizacinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti.

26.  Rizikos vertinimo ataskaitos, rizikos vertinimo ir rizikos valdymo priemonių plano kopijas informacinės sistemos valdytojas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo dienos pateikia į Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemą Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatuose, patvirtintuose Lietuvos Respublikos vidaus reikalų ministro 2012 m. spalio 16 d. įsakymu Nr. 1V-740 „Dėl Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų patvirtinimo“, nustatyta tvarka.

27.  Siekiant užtikrinti saugos dokumentuose nustatytų elektroninės informacijos saugos ir kibernetinio saugumo reikalavimų įgyvendinimo organizavimą ir kontrolę, turi būti organizuojami informacinės sistemos informacinių technologijų saugos atitikties vertinimai:

27.1.  informacinės sistemos informacinių technologijų saugos atitikties vertinimas turi būti organizuojamas ne rečiau kaip kartą per metus, jei teisės aktuose nenustatyta kitaip. Ne rečiau kaip kartą per trejus metus informacinės sistemos informacinių technologijų saugos atitikties vertinimą turi atlikti nepriklausomi, visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinės sistemos auditoriai;

27.2.  informacinės sistemos atitikties Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, apraše nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams vertinimas turi būti organizuojamas ne rečiau kaip kartą per metus.

28.  Informacinių sistemų informacinių technologijų saugos atitikties vertinimo metu turi būti atliekamas kibernetinių atakų imitavimas ir vykdomos kibernetinių incidentų imitavimo pratybos. Imituojant kibernetines atakas, rekomenduojama vadovautis tarptautiniu mastu pripažintų organizacijų (pvz., EC-COUNCIL, ISACA, NIST ir kt.) rekomendacijomis ir gerąja praktika. 

29.  Kibernetinių atakų imitavimas atliekamas šiais etapais:

29.1.  planavimo etapas. Parengiamas kibernetinių atakų imitavimo planas, kuriame nurodomi kibernetinių atakų imitavimo tikslai ir darbų apimtis, pateikiamas darbų grafikas, aprašomi planuojamų imituoti kibernetinių atakų tipai (išorinės ir (ar) vidinės), kibernetinių atakų imitavimo būdai (juodosios dėžės, baltosios dėžės ir (arba) pilkosios dėžės), galima neigiama įtaka veiklai, kibernetinių atakų imitavimo metodologija, programiniai ir (arba) techniniai įrankiai ir priemonės, nurodomi už plano vykdymą atsakingi asmenys ir jų kontaktai. Kibernetinių atakų imitavimo planas turi būti suderintas su informacinių sistemų tvarkytojo vadovu ir vykdomas tik gavus jo raštišką pritarimą;

29.2.  žvalgybos ir aptikimo etapas. Surenkama informacija apie tinklo perimetrą, tinklo mazgus, tinklo mazguose veikiančių serverių ir kitų tinklo įrenginių operacines sistemas ir programinę įrangą, paslaugas, pažeidžiamas vietas, konfigūracijas ir kitą sėkmingai kibernetinei atakai įvykdyti reikalingą informaciją. Šiame etape turi būti teikiamos tarpinės vykdomų veiklų ir jų rezultatų ataskaitos;

29.3.  kibernetinių atakų imitavimo etapas. Atliekami kibernetinių atakų imitavimo plane numatyti darbai. Šiame etape turi būti teikiamos tarpinės vykdomų veiklų ir jų rezultatų ataskaitos;

29.4.  ataskaitos parengimo etapas. Kibernetinių atakų imitavimo rezultatai turi būti išdėstomi informacinių technologijų saugos atitikties vertinimo ataskaitoje: darbų rezultatai turi būti detalizuojami ir palyginami su planuotais kibernetinių atakų imitavimo plane, kiekviena aptikta pažeidžiama vieta turi būti detalizuojama ir pateikiamos rekomendacijos pažeidžiamumui pašalinti. Kibernetinių atakų imitavimo rezultatai turi būti pagrįsti patikimais įrodymais ir rizikos vertinimu. Jeigu nustatoma incidentų valdymo ir šalinimo ar organizacijos nepertraukiamos veiklos užtikrinimo trūkumų, turi būti tobulinami veiklos tęstinumo planai.

30.  Informacinės sistemos saugos atitikties vertinimas atliekamas Informacinių technologijų saugos atitikties vertinimo metodikoje nustatyta tvarka.

31.  Atlikus informacinių technologijų saugos atitikties vertinimą, saugos įgaliotinis rengia ir informacinės sistemos tvarkytojo vadovui teikia informacinių technologijų saugos atitikties vertinimo ataskaitą. Atsižvelgdamas į informacinių technologijų saugos atitikties vertinimo ataskaitą, saugos įgaliotinis prireikus parengia pastebėtų trūkumų šalinimo planą, kurį tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato informacinės sistemos valdytojo vadovas.

32.  Informacinių technologijų saugos atitikties vertinimo ataskaitos, pastebėtų trūkumų šalinimo plano kopijas informacinės sistemos valdytojas ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo pateikia į Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemą Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemos nuostatų nustatyta tvarka.

33.  Siekiant gerinti elektroninės informacijos saugos ir kibernetinio saugumo būklę, techninės, programinės, organizacinės ir kitos elektroninės informacijos saugos ir kibernetinio saugumo priemonės pasirenkamos atsižvelgiant į informacinės sistemos valdytojo turimus išteklius ir vadovaujantis šiais principais:

33.1.  liekamoji rizika turi būti sumažinta iki priimtino lygio;

33.2.  priemonės diegimo kaina turi būti adekvati tvarkomos elektroninės informacijos vertei;

33.3.  atsižvelgiant į priemonių efektyvumą ir taikymo tikslingumą, turi būti įdiegtos prevencinės, detekcinės ir korekcinės elektroninės informacijos saugos ir kibernetinio saugumo priemonės.

III skyrius

Organizaciniai ir techniniai reikalavimai

34.  Informacinėje sistemoje naudojamų svetainių saugos valdymo reikalavimai:

34.1.  svetainės turi atitikti Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo reikalavimus, Techninių valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinių sistemų ir kitų informacinių sistemų elektroninės informacijos saugos reikalavimus;

34.2.  svetainių užkardos turi būti sukonfigūruotos taip, kad prie svetainių turinio valdymo sistemų būtų galima jungtis tik iš vidinio informacinės sistemos tvarkytojo kompiuterių tinklo arba nustatytų IP adresų;

34.3.  turi būti pakeisti numatytieji (angl. default) prisijungimo prie svetainių turinio valdymo sistemų ir administravimo skydų (angl. panel) slaptažodžiai ir nuorodos (angl. default path);

34.4.  turi būti užtikrinama, kad prie svetainių turinio valdymo sistemų ir administravimo skydų būtų galima jungtis tik naudojantis šifruotuoju ryšiu;

34.5.  informacinėje sistemoje naudojamų svetainių sauga turi būti vertinama informacinės sistemos rizikos įvertinimo ir (arba) informacinės sistemos informacinių technologijų saugos atitikties vertinimo, atliekamų Saugos nuostatų II skyriuje nustatyta tvarka, metu.

35.  Programinės įrangos, skirtos informacinėms sistemoms apsaugoti nuo kenksmingos programinės įrangos (virusų, šnipinėjimo programinės įrangos, nepageidaujamo elektroninio pašto ir panašiai), naudojimo nuostatos ir jos atnaujinimo reikalavimai:

35.1.  tarnybinėse stotyse ir vidinių naudotojų kompiuteriuose turi būti naudojamos centralizuotai valdomos ir atnaujinamos kenksmingos programinės įrangos aptikimo, stebėjimo realiuoju laiku priemonės;

35.2.  informacinės sistemos komponentai be kenksmingos programinės įrangos aptikimo priemonių gali būti eksploatuojami, jeigu rizikos vertinimo metu yra patvirtinama, kad šių komponentų rizika yra priimtina;

35.3.  kenksmingos programinės įrangos aptikimo priemonės turi atsinaujinti automatiškai ne rečiau kaip kartą per 24 valandas. Informacinės sistemos komponentų administratorius turi būti automatiškai informuojamas elektroniniu paštu apie tai, kurių informacinės sistemos posistemių, funkciškai savarankiškų sudedamųjų dalių, vidinių naudotojų kompiuterių ir kitų informacinės sistemos komponentų kenksmingos programinės įrangos aptikimo priemonių atsinaujinimo laikas yra pradelstas, ir apie tai, kad kenksmingos programinės įrangos aptikimo priemonės funkcionuoja netinkamai arba yra išjungtos.

36.  Programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo nuostatos:

36.1.  informacinės sistemos tarnybinėse stotyse ir vidinių naudotojų kompiuteriuose turi būti naudojama tik legali programinė įranga;

36.2.  vidinių naudotojų kompiuteriuose naudojama programinė įranga turi būti įtraukta į su informacinės sistemos valdytoju suderintą Leidžiamos naudoti programinės įrangos sąrašą, kurį turi parengti ir ne rečiau kaip kartą per metus peržiūrėti bei prireikus atnaujinti saugos įgaliotinis;

36.3.  tarnybinių stočių ir vidinių naudotojų kompiuterių operacinės sistemos kibernetiniam saugumui užtikrinti naudojamų priemonių ir kitos naudojamos programinės įrangos gamintojų rekomenduojami atnaujinimai, klaidų pataisymai turi būti operatyviai išbandomi ir įdiegiami;

36.4.  saugos administratorius reguliariai, ne rečiau kaip kartą per savaitę, turi įvertinti informaciją apie neįdiegtus rekomenduojamus gamintojų atnaujinimus ir susijusius saugos pažeidžiamumo svarbos lygius informacinės sistemos posistemiuose, funkciškai savarankiškose sudedamosiose dalyse, vidinių naudotojų kompiuteriuose. Apie įvertinimo rezultatus saugos administratorius turi informuoti saugos įgaliotinį ir kibernetinio saugumo vadovą;

36.5.  programinė įranga turi būti prižiūrima ir atnaujinama laikantis gamintojo reikalavimų ir rekomendacijų;

36.6.  programinės įrangos diegimą, konfigūravimą, priežiūrą ir gedimų šalinimą turi atlikti kvalifikuoti specialistai – informacinės sistemos komponentų administratoriai arba tokias paslaugas teikiantys paslaugų teikėjai;

36.7.  programinė įranga turi būti testuojama naudojant atskirą testavimo aplinką, kurioje esantys asmens duomenys turi būti naudojami vadovaujantis Bendraisiais reikalavimais organizacinėms ir techninėms duomenų saugumo priemonėms;

36.8.  informacinės sistemos programinė įranga turi turėti apsaugą nuo pagrindinių per tinklą vykdomų atakų: SQL intarpų įterpimas, įterptinių instrukcijų (XSS) atakų, internetinės paslaugos sutrikdymo (DoS) atakų, srautinių internetinės paslaugos sutrikdymo (DDoS) atakų ir kitų. Pagrindinių per tinklą vykdomų atakų sąrašas skelbiamas Atviro tinklo programų saugumo projekto interneto svetainėje www.owasp.org.

37.  Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių ir kt.) pagrindinės naudojimo nuostatos:

37.1. kompiuterių tinklai turi būti atskirti nuo viešųjų elektroninių ryšių tinklų (interneto) naudojant užkardas, automatinę įsilaužimų aptikimo ir prevencijos įrangą, apsaugos nuo internetinės paslaugos sutrikdymo atakų ir srautinių internetinės paslaugos sutrikdymo atakų įrangą;

37.2.  kompiuterių tinklų perimetro apsaugai turi būti naudojami filtrai, apsaugantys elektroniniame pašte ir viešuosiuose ryšių tinkluose naršančių vidinių naudotojų kompiuterinę įrangą nuo kenksmingo kodo. Visas duomenų srautas į internetą ir iš jo turi būti filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingos programinės įrangos;

37.3.  apsaugai nuo elektroninės informacijos nutekinimo turi būti naudojama duomenų srautų analizės ir kontrolės įranga;

37.4.  turi būti naudojamos turinio filtravimo sistemos;

37.5.  turi būti naudojamos taikomųjų programų kontrolės sistemos.

38.  Leidžiamos kompiuterių naudojimo ribos:

38.1. stacionariuosius kompiuterius leidžiama naudoti tik informacinės sistemos valdytojo ir informacinės sistemos tvarkytojo patalpose;

38.2.  nešiojamiesiems kompiuteriams, išnešamiems iš informacinės sistemos valdytojo ar informacinės sistemos tvarkytojo patalpų, turi būti taikomos papildomos saugos priemonės (elektroninės informacijos šifravimas, prisijungimo ribojimai ir pan.);

38.3.  iš stacionariųjų ir nešiojamųjų kompiuterių ar elektroninės informacijos laikmenų, kurie perduodami remonto ar techninės priežiūros paslaugų teikėjui arba nurašomi, turi būti nebeatkuriamai pašalinta visa nevieša elektroninė informacija.

39.  Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą:

39.1.  elektroninė informacija teikiama Informacinės sistemos „E. sąskaita“ nuostatuose, patvirtintuose Lietuvos Respublikos finansų ministro 2012 m. rugsėjo 6 d. įsakymu Nr. 1K-297 „Dėl Informacinės sistemos „E. sąskaita“ nuostatų patvirtinimo“, nustatyta tvarka;

39.2.  užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą naudojamas šifravimas, virtualusis privatusis tinklas, skirtinės linijos, saugus elektroninių ryšių tinklas ar kitos priemonės, kuriomis užtikrinamas saugus elektroninės informacijos perdavimas. Elektroninės informacijos teikimui ir (ar) gavimui gali būti naudojamas saugus valstybinis duomenų perdavimo tinklas;

39.3.  elektroninė informacija automatiniu būdu turi būti teikiama ir (ar) gaunama tik pagal Informacinės sistemos „E. sąskaita“ nuostatuose, elektroninės informacijos teikimo (keitimosi ja) sutartyse nustatytas specifikacijas ir sąlygas;

39.4.  nuotolinis prisijungimas prie informacinės sistemos galimas:

39.4.1. naudojant transporto lygmens protokolus (TLS), reglamentuojančius abipusį tapatumo nustatymą tarp naudotojo ir serverio, kad būtų užtikrintas šifruotasis ryšys. Saugiam elektroninės informacijos perdavimui tarp serverio ir interneto naršyklės naudojamas TLS sertifikatas, patvirtinantis elektroninės informacijos šaltinio tapatumą ir šifruojantis tarp naudotojo ir serverio siunčiamą elektroninę informaciją. Informacinės sistemos interneto svetainėse TLS šifruota HTTP protokolo elektroninė informacija perduodama saugiu HTTPS protokolu;

39.4.2. naudojant virtualųjį privatųjį tinklą. Virtualiajame tinkle turi būti naudojamas IPsec protokolų rinkinys;

39.4.3. naudojant saugaus apvalkalo (angl. Secure Shell) protokolą ir nuotolinio darbalaukio protokolą. Šia galimybe gali būti pasinaudota tik informacinės sistemos administravimo tikslais;

39.5.  šifro raktų ilgiai, šifro raktų generavimo algoritmai, šifro raktų apsikeitimo protokolai, sertifikato parašo šifravimo algoritmai bei kiti šifravimo algoritmai turi būti nustatomi atsižvelgiant į Lietuvos ir tarptautinių organizacijų bei standartų rekomendacijas, Organizacinius ir techninius kibernetinio saugumo reikalavimus, Techninius valstybės registrų (kadastrų), žinybinių registrų, valstybės informacinės sistemos ir kitų informacinės sistemos elektroninės informacijos saugos reikalavimus;

39.6.  naudojamų šifravimo priemonių patikimumas turi būti vertinamas atliekant neeilinį arba kasmetinį informacinės sistemos rizikos vertinimą. Šifravimo priemonės turi būti operatyviai keičiamos nustačius saugumo spragų šifravimo algoritmuose.

40.  Pagrindiniai atsarginių elektroninės informacijos kopijų darymo ir atkūrimo reikalavimai:

40.1.  atsarginių elektroninės informacijos kopijų darymo strategija turi būti pasirenkama atsižvelgiant į priimtiną elektroninės informacijos praradimą ir priimtiną informacinės sistemos neveikimo laikotarpį;

40.2.  atsarginės elektroninės informacijos kopijos turi būti daromos ir saugomos tokia apimtimi, kad informacinės sistemos veiklos sutrikimo, elektroninės informacijos saugos ar kibernetinio incidento arba elektroninės informacijos vientisumo praradimo atvejais informacinės sistemos neveikimo laikotarpis nebūtų ilgesnis, nei numatytas antros kategorijos informacinei sistemai, o elektroninės informacijos praradimas atitiktų priimtinumo kriterijus;

40.3.  atsarginės elektroninės informacijos kopijos turi būti daromos automatiškai ir periodiškai, ne rečiau kaip atsarginių elektroninės informacijos kopijų darymo, saugojimo ir elektroninės informacijos atkūrimo iš atsarginių kopijų tvarkos, nustatytos informacinės sistemos saugaus elektroninės informacijos taisyklėse, aprašyme nurodytais terminais;

40.4.  elektroninė informacija kopijose turi būti užšifruota (šifravimo raktai saugomi atskirai nuo kopijų) arba turi būti imtasi kitų priemonių, neleidžiančių neteisėtai atkurti elektroninės informacijos;

40.5.  atsarginių elektroninės informacijos kopijų laikmenos turi būti žymimos taip, kad jas būtų galima identifikuoti, ir saugomos nedegioje spintoje kitose patalpose, nei yra informacinės sistemos tarnybinės stotys ar įrenginys, kurio elektroninė informacija buvo nukopijuota, arba kitame pastate. Atsarginių elektroninės informacijos kopijų žymėjimo tvarka ir saugojimo terminai nustatyti Atsarginių elektroninės informacijos kopijų darymo, saugojimo ir elektroninės informacijos atkūrimo iš atsarginių kopijų tvarkos aprašyme;

40.6.  atsarginių elektroninės informacijos kopijų darymas turi būti fiksuojamas;

40.7.  periodiškai, ne rečiau kaip kartą per pusmetį, turi būti atliekami elektroninės informacijos atkūrimo iš atsarginių kopijų bandymai;

40.8.  patekimas į patalpas, kuriose saugomos atsarginės elektroninės informacijos kopijos, turi būti kontroliuojamas.

41.  Informacinės sistemos valdytojas ir (arba) informacinės sistemos tvarkytojas, pirkdamas paslaugas, darbus ar prekes, susijusias su informacine sistema, jos projektavimu, kūrimu, diegimu, modernizavimu ir kibernetinio saugumo užtikrinimu, iš anksto pirkimo dokumentuose turi nustatyti, kad paslaugų teikėjas, darbų atlikėjas ar įrangos tiekėjas užtikrina atitiktį Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų ypatingos svarbos informacinei infrastruktūrai ir valstybės informaciniams ištekliams, aprašo reikalavimams.

IV skyrius

REIKALAVIMAI PERSONALUI

42.  Naudotojų, administratorių, saugos įgaliotinio ir kibernetinio saugumo vadovo kvalifikacijos ir patirties reikalavimai:

42.1. naudotojų, administratorių, saugos įgaliotinio, kibernetinio saugumo vadovo kvalifikacija turi atitikti bendruosius ir specialiuosius reikalavimus, nustatytus jų pareiginiuose nuostatuose;

42.2. visi naudotojai privalo turėti pagrindinius darbo kompiuteriu, taikomosiomis programomis įgūdžius, mokėti tvarkyti elektroninę informaciją, būti susipažinę su Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymu, kitais teisės aktais, reglamentuojančiais asmens duomenų ir elektroninės informacijos tvarkymą. Asmenys, tvarkantys asmens duomenis ir informaciją, privalo būti pasirašę pasižadėjimą saugoti duomenų ir informacijos paslaptį ir jo laikytis. Įsipareigojimas saugoti paslaptį galioja ir nutraukus su elektroninės informacijos tvarkymu susijusią veiklą;

42.3. saugos įgaliotinis ir kibernetinio saugumo vadovas privalo išmanyti elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo principus, tobulinti elektroninės informacijos saugos ir kibernetinio saugumo srities kvalifikaciją, savo darbe vadovautis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Organizacinių ir techninių kibernetinio saugumo reikalavimų ir kitų Lietuvos Respublikos ir Europos Sąjungos teisės aktų nuostatomis, reglamentuojančiomis elektroninės informacijos saugą ir kibernetinį saugumą. Informacinės sistemos tvarkytojas turi sudaryti sąlygas kelti saugos įgaliotinio ir kibernetinio saugumo vadovo kvalifikaciją;

42.4. saugos įgaliotiniu ar kibernetinio saugumo vadovu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikaltimą elektroninių duomenų ir informacinės sistemos saugumui, paskirtą administracinę nuobaudą už neteisėtą asmens duomenų tvarkymą ir privatumo apsaugos pažeidimą elektroninių ryšių srityje, elektroninių ryšių išteklių naudojimo ir skyrimo taisyklių pažeidimą, elektroninių ryšių tinklo gadinimą ar savavališką prisijungimą prie tinklo arba galinių įrenginių, kurie trukdo elektroninių ryšių tinklo darbui, už savavališką prisijungimą arba elektroninių ryšių infrastruktūros įrengimo, naudojimo ir apsaugos sąlygų ir taisyklių pažeidimą, jeigu nuo jos paskyrimo praėję mažiau kaip vieni metai;

42.5. administratoriai pagal kompetenciją privalo išmanyti elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo principus, mokėti užtikrinti informacinės sistemos ir jose tvarkomos elektroninės informacijos saugą ir kibernetinį saugumą, administruoti ir prižiūrėti informacinės sistemos komponentus (stebėti informacinės sistemos komponentų veikimą, atlikti jų profilaktinę priežiūrą, trikčių diagnostiką ir šalinimą, sugebėti užtikrinti informacinės sistemos komponentų nepertraukiamą funkcionavimą ir pan.). Administratoriai turi būti susipažinę su saugos dokumentais.

43.  Saugos įgaliotinio, kibernetinio saugumo vadovo, naudotojų ir administratorių mokymo planavimo, organizavimo ir vykdymo tvarka, mokymo dažnumo reikalavimai:

43.1.  saugos įgaliotiniui, kibernetinio saugumo vadovui, naudotojams ir administratoriams turi būti organizuojami mokymai elektroninės informacijos saugos ir kibernetinio saugumo klausimais;

43.2.  naudotojams turi būti įvairiais būdais (pvz., priminimai elektroniniu paštu, teminių renginių organizavimas, atmintinės naujiems naudotojams ir administratoriams ir pan.) primenama apie elektroninės informacijos saugos ar kibernetinio saugumo problemas;

43.3.  mokymai elektroninės informacijos saugos ir kibernetinio saugumo klausimais turi būti planuojami ir mokymo būdai parenkami atsižvelgiant į prioritetines elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo kryptis ir tikslus, įdiegtas ar planuojamas įdiegti technologijas (techninę ar programinę įrangą), saugos įgaliotinio, kibernetinio saugumo vadovo, naudotojų ar administratorių poreikius;

43.4.  mokymai gali būti vykdomi tiesioginiu (pvz., paskaitos, seminarai, konferencijos ir kiti teminiai renginiai) ar nuotoliniu būdu (pvz., vaizdo konferencijos, mokomosios medžiagos pateikimas elektroninėje erdvėje ir pan.);

43.5.  naudotojų ir administratorių mokymus gali vykdyti saugos įgaliotinis ar kitas informacinės sistemos valdytojo ar informacinės sistemos tvarkytojo darbuotojas, išmanantis elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo principus, arba elektroninės informacijos saugos ir kibernetinio saugumo mokymų paslaugų teikėjas. Saugos įgaliotinio ir kibernetinio saugumo vadovo mokymus gali vykdyti tik aukštos kvalifikacijos elektroninės informacijos saugos ir kibernetinio saugumo mokymų paslaugų teikėjas;

43.6.  naudotojų mokymai turi būti organizuojami periodiškai, ne rečiau kaip kartą per dvejus metus. Saugos įgaliotinio, kibernetinio saugumo vadovo ir administratorių mokymai turi būti organizuojami pagal poreikį. Už mokymų organizavimą atsakingas saugos įgaliotinis.

V SKYRIUS

naudotojų supažindinimo su saugos dokumentais principai

44.  Naudotojų supažindinimą su saugos dokumentais ar jų santrauka, atsakomybe už saugos dokumentų nuostatų pažeidimus organizuoja saugos įgaliotinis.

45.  Informacinės sistemos naudotojų supažindinimo su saugos dokumentais ar jų santrauka būdai turi būti pasirenkami atsižvelgiant į informacinės sistemos specifiką (pvz., informacinės sistemos ir jos naudotojų lokaciją, organizacinių ar techninių priemonių, leidžiančių identifikuoti su saugos dokumentais ar jų santrauka susipažinusį asmenį ir užtikrinančių supažindinimo procedūros įrodomąją (teisinę) galią, panaudojimo galimybes ir pan.). Naudotojai su saugos dokumentais ar jų santrauka turi būti supažindinami pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodomumą.

46.  Pakartotinai su saugos dokumentais ar jų santrauka naudotojai supažindinami tik iš esmės pasikeitus informacinėms sistemoms arba elektroninės informacijos saugą ir kibernetinį saugumą reglamentuojantiems teisės aktams.

47.  Tvarkyti elektroninę informaciją gali tik tie asmenys, kurie yra susipažinę su saugos dokumentais ir sutikę laikytis jų reikalavimų.

48.  Naudotojai atsako už informacinės sistemos ir joje tvarkomos elektroninės informacijos saugą ir kibernetinį saugumą pagal savo kompetenciją. Naudotojai, administratoriai ir saugos įgaliotinis, pažeidę saugos dokumentų ir kitų saugų elektroninės informacijos tvarkymą reglamentuojančių teisės aktų nuostatas, atsako Lietuvos Respublikos teisės aktų nustatyta tvarka.

VI SKYRIUS

BAIGIAMOSIOS NUOSTATOS

49.  Informacinės sistemos valdytojas saugos dokumentus gali keisti savo arba saugos įgaliotinio iniciatyva. Saugos dokumentai turi būti derinami su Lietuvos Respublikos vidaus reikalų ministerija ir Nacionaliniu kibernetinio saugumo centru. Keičiami saugos dokumentai gali būti nederinami su Lietuvos Respublikos vidaus reikalų ministerija ir Nacionaliniu kibernetinio saugumo centru tais atvejais, kai atliekami tik redakciniai ar nežymūs nustatyto teisinio reguliavimo esmės ar elektroninės informacijos saugos politikos ir kibernetinio saugumo politikos nekeičiantys pakeitimai arba pakeitimai, susiję su teisės technika. Nacionaliniam kibernetinio saugumo centrui turi būti pateiktos keičiamų saugos dokumentų kopijos.

50.  Informacinės sistemos tvarkytojas saugos dokumentus turi persvarstyti (peržiūrėti) ne rečiau kaip kartą per kalendorinius metus. Saugos dokumentai turi būti persvarstomi (peržiūrimi) atlikus rizikos vertinimą ar informacinių technologijų saugos atitikties vertinimą arba įvykus esminiams organizaciniams, sisteminiams ar kitiems informacinės sistemos valdytojo ar tvarkytojo pokyčiams.

___________________

Priedo pakeitimai:

Nr. 1K-166, 2016-05-04, paskelbta TAR 2016-05-26, i. k. 2016-14091

Nr. 1K-357, 2018-10-24, paskelbta TAR 2018-11-14, i. k. 2018-18374

Pakeitimai:

1.

Lietuvos Respublikos finansų ministerija, Įsakymas

Nr. 1K-343, 2014-10-31, paskelbta TAR 2014-11-11, i. k. 2014-16639

Dėl finansų ministro 2012 m. rugsėjo 6 d. įsakymo Nr. 1K-297 „Dėl Informacinės sistemos „E. sąskaita“ nuostatų patvirtinimo“ pakeitimo

2.

Lietuvos Respublikos finansų ministerija, Įsakymas

Nr. 1K-166, 2016-05-04, paskelbta TAR 2016-05-26, i. k. 2016-14091

Dėl finansų ministro 2012 m. rugsėjo 6 d. įsakymo Nr. 1K-297 „Dėl Informacinės sistemos „E. sąskaita“ nuostatų patvirtinimo“ pakeitimo

3.

Lietuvos Respublikos finansų ministerija, Įsakymas

Nr. 1K-278, 2018-09-03, paskelbta TAR 2018-09-05, i. k. 2018-13996

Dėl finansų ministro 2012 m. rugsėjo 6 d. įsakymo Nr. 1K-297 „Dėl Informacinės sistemos „E. sąskaita“ nuostatų patvirtinimo“ pakeitimo

4.

Lietuvos Respublikos finansų ministerija, Įsakymas

Nr. 1K-357, 2018-10-24, paskelbta TAR 2018-11-14, i. k. 2018-18374

Dėl finansų ministro 2012 m. rugsėjo 6 d. įsakymo Nr. 1K-297 „Dėl informacinės sistemos „E. sąskaita“ nuostatų patvirtinimo“ pakeitimo