2026 m. balandžio 16 d. Seimas priėmė Lietuvos Respublikos elektroninių ryšių įstatymo pakeitimus, kuriais verslui suteikiama daugiau lankstumo vykdant tiesioginę rinkodarą juridiniams asmenims. Šie pakeitimai  įsigalios 2026 m. liepos 1 d. ir bus taikomi tik tiesioginei rinkodarai, vykdomai elektroninių ryšių priemonėmis (pvz., el. paštu, SMS), bei neapims kitų rinkodaros formų. 

Tiesioginė rinkodara juridiniams asmenims, kas naujo? 

Nuo šiol tiesioginė rinkodara juridiniams asmenims gali būti vykdoma be išankstinio sutikimo, taikant „opt-out“ modelį. Tai reiškia, kad pranešimai gali būti siunčiami, jei gavėjui sudaroma aiški, nemokama ir lengvai įgyvendinama galimybė bet kada jų atsisakyti. 

Kalbant apie „opt-out“ modelį, svarbiausia – atsisakymo mechanizmas turi veikti realiai, o ne formaliai. Atsisakymas turi būti aiškus ir paprastas, turi būti užtikrinta, kad gavėjas galėtų be papildomų kliūčių atsisakyti tolesnių rinkodaros pranešimų. 

Praktikoje tai reiškia, kad kiekviename pranešime turi būti aiški ir lengvai naudojama atsisakymo galimybė, pavyzdžiui, aktyvi vieno veiksmo principo nuoroda „atsisakyti“ (angl. „unsubscribe“). Atsisakymas negali reikalauti papildomų veiksmų, tokių kaip prisijungimas ar formų pildymas, ir turi būti įgyvendinamas nedelsiant arba per protingą laikotarpį.  

Vis dėlto dalis klausimų vis dar išlieka problematiški. Pavyzdžiui, kaip žinoti, ar el.pašto adresas yra įmonės, ar fizinio asmens? Išlieka neaišku, kaip turi būti vertinami vardiniai įmonių darbuotojų el. pašto adresai (pvz., vardas.pavarde@imone.lt). Tokie adresai pagal BDAR yra fizinio asmens duomenys.

Fizinių asmenų kontaktai: sutikimas išlieka būtinas 

Fizinių asmenų atžvilgiu taisyklė nesikeičia – tiesioginė rinkodara galima tik gavus išankstinį sutikimą. 

Sutikimas turi būti laisvas, konkretus, informuotas ir nedviprasmiškas, paprastai išreiškiamas aktyviu veiksmu (pvz., pažymint ne iš anksto pažymėtą varnelę). Taip pat svarbu, kad asmuo būtų tinkamai informuotas apie tai, kokiais tikslais jo duomenys bus naudojami ir kokio pobūdžio pranešimus jis gaus. 

Išimtis: „soft opt-in“ esamiems klientams 

Nors fizinių asmenų atžvilgiu galioja bendroji taisyklė, kad tiesioginei rinkodarai būtinas išankstinis sutikimas, įstatymas numato išimtį – vadinamąjį „soft opt-in“ modelį, taikomą esamiems klientams. 

Ši išimtis leidžia verslui naudoti kliento elektroninio pašto kontaktinius duomenis be atskiro sutikimo, tačiau tik esant tam tikroms sąlygoms: 

• Duomenys turi būti gauti teisėtai –  klientui įsigyjant prekes ar paslaugas.
• Rinkodara gali būti vykdoma tik dėl panašių prekių ar paslaugų, susijusių su tuo, ką klientas jau yra įsigijęs. 
• Klientui turi būti sudaryta reali galimybė nesutikti su tokiu duomenų naudojimu duomenų rinkimo metu. 
• Klientui turi būti sudaryta reali galimybė nesutikti su tokiu duomenų naudojimu  kiekviename siunčiamame pranešime. 

Ką tai reiškia verslui?  

Sulig įstatymo pakeitimais,B2B rinkodara tampa lankstesnė – galima taikyti juridiniams asmenims „opt-out“ modelį be išankstinio sutikimo. Vis dėlto verslams ir tinkodaros specialistams derėtų žinoti, kad   B2C segmentas išlieka griežtai reguliuojamas – būtinas aiškus ir tinkamai dokumentuotas sutikimas. „Soft opt-in“ išimtis taikoma tik siaurai apibrėžtais atvejais ir negali būti plečiamai interpretuojama.

The post Tiesioginė rinkodara po pakeitimų: daugiau lankstumo, bet griežtesni praktiniai reikalavimai  appeared first on ECOVIS ProventusLaw.

„Įstatymo projektas ne tik išplečia reguliavimo taikymo sritį, bet ir nustato naujus, išsamesnius reikalavimus reklamai, informacijos teikimui, darbuotojų kompetencijai, atlyginimų politikai, automatizuotam kreditingumo vertinimui“, – teigia ECOVIS ProventusLaw advokatas Linas Vidžys. Tai reiškia, kad pasirengti pokyčiams reikės tiek esamiems rinkos dalyviams, tiek tiems, kuriems iki šiol vartojimo kreditų reguliavimas nebuvo taikomas.

Pereinamasis laikotarpis: laikas pasirengti pokyčiams

Asmenys, kurie įstatymo įsigaliojimo dieną yra įtraukti į viešųjų vartojimo kreditų teikėjų, tarpininkų ar tarpusavio skolinimo platformų operatorių sąrašus, per šešis mėnesius turės pateikti priežiūros institucijai dokumentus, patvirtinančius, kad jie atitinka naujus kvalifikacijos ir patirties reikalavimus. To nepadarius, jie bus išbraukti iš viešųjų sąrašų.

Reklama: daugiau atsakomybės ir mažiau manipuliacijų

Vienas iš labiausiai pastebimų pokyčių – griežtesni vartojimo kreditų reklamos reikalavimai. Nors reklama jau yra ribojama, naujasis reglamentas įveda aiškų principą: reklama turi būti tiksli, aiški ir neklaidinti.

Įstatymo projekte tiesiogiai draudžiama naudoti formuluotes, kurios sudarytų įspūdį, kad vartojimo kreditas pagerina asmens finansinę padėtį, yra alternatyva taupymui arba padidina finansinius išteklius. Reklamoje taip pat nebus leidžiama teigti, kad ankstesni finansiniai įsipareigojimai neturi įtakos sprendimui suteikti kreditą.

Be to, visose vartojimo kreditų reklamose turės būti aiškus ir matomas įspėjimas: „Įspėjimas! Skolintis pinigus kainuoja.“ Ši prievolė taip pat bus taikoma skaitmeninei reklamai, kuri turės būti pritaikyta prie techninių platformų galimybių, užtikrinant, kad vartotojai galėtų lengvai gauti visą reikiamą informaciją.

Daugiau informacijos ir anksčiau

Įstatymo projektas iš esmės keičia informacijos teikimo vartotojams logiką. Be standartinės ikisutartinės informacijos, vartojimo kreditų teikėjai taip pat turės teikti bendrąją informaciją ir „tinkamus paaiškinimus“, kad vartotojai galėtų realistiškai įvertinti siūlomo produkto tinkamumą.

Svarbu, kad:

• visa informacija būtų teikiama iš anksto, o ne sutarties sudarymo metu;
• standartinė informacija bus suskirstyta į esminę ir papildomą informaciją, o svarbiausia informacija turi tilpti į pirmąjį puslapį (arba daugiausia į du puslapius);
• visa informacija vartotojui bus teikiama nemokamai, nepriklausomai nuo informacijos perdavimo priemonės.

Be to, numatyti informacijos teikimo reikalavimai ir automatizuotoms pasiūlymams – vartotojas turi būti informuotas, kad pasiūlymo kaina ar sprendimas pagrįstas automatizuotu duomenų tvarkymu.

Automatizuotas kreditingumo vertinimas – su teise į „žmogaus įsikišimą“

Vienas iš modernesnių, bet ir jautresnių pokyčių yra išsamus automatizuoto kreditingumo vertinimo reglamentavimas. Jei sprendimas suteikti kreditą priimamas automatiškai, vartotojas turi teisę:

• prašyti žmogaus įsikišimo;
• gauti suprantamą sprendimo paaiškinimą;
• pareikšti savo nuomonę ir prašyti peržiūrėti sprendimą.

Jei suteikti kreditą atsisakoma, vartotojas per tris darbo dienas turi būti informuotas ne tik apie sprendimą, bet ir apie jo priežastis bei apskundimo galimybes.

Nauji vidiniai reikalavimai: atlyginimų politika ir darbuotojų kompetencija

Įstatymo projekte pirmą kartą nustatyti reikalavimai vartojimo kreditų teikėjų atlyginimų politikai. Ji turės būti suderinta su rizikos valdymu ir negalės skatinti darbuotojų priimti sprendimus remiantis vien kiekybiniais rodikliais (pvz., patvirtintų paraiškų skaičiumi).

Taip pat yra privalomi profesinių žinių ir įgūdžių reikalavimai darbuotojams, kurie tiesiogiai dirba su vartojimo kredito sutartimis. Kredito davėjai turės ne tik užtikrinti savo darbuotojų kompetenciją, bet ir sugebėti ją pagrįsti priežiūros institucijai.

Ar atėjo laikas veikti?

Nors naujos nuostatos įsigalios ne iš karto, jų apimtis ir detalumas rodo, kad pasirengimo darbų negalima atidėlioti. Esamiems vartojimo kreditų teikėjams svarbu įvertinti, ar jų vidiniai procesai, reklama, atlyginimų politika ir darbuotojų kompetencija atitiks naujus reikalavimus.

The post Vartojimo kreditų reguliavimo reforma: ką svarbu žinoti rinkos dalyviams? appeared first on ECOVIS ProventusLaw.

36 šalyse iš įvairių pasaulio regionų atliktas tyrimas parodė, kad didžiausia kliūtis DI diegti įmonėse yra neapibrėžtumas, kurį patiria darbuotojai, o ne technologijų trūkumas ar duomenų apsaugos problemos. Įmonėms šiandien naudoti DI vis dar trukdo pernelyg didelis žinių ir pasitikėjimo trūkumas, neaiški nauda, pasipriešinimas pokyčiams ir net psichologinės priežastys, pavyzdžiui, darbuotojų baimė prarasti darbą.

„Žmonių baimės ir galbūt pernelyg griežti bei nenuoseklūs teisės aktai gali reikšti, kad DI ir toliau sulauks mažai dėmesio kaip vertinga papildoma priemonė daugelyje verslų. Tai reiškia, kad kiekvienas verslas, norintis pasinaudoti DI teikiamais privalumais, turi investuoti tiek į DI technologijas, tiek į darbuotojus“, – sako advokatų kontoros „ECOVIS ProventusLaw“ partnerė Inga Karulaitytė.

Ar DI gali sumažinti biurokratiją?

Tyrimas atskleidė, kad didžiausias DI taikymo potencialas yra sveikatos priežiūros srityje ir valstybiniame sektoriuje, kurio administraciniai kaštai yra ypač dideli. DI šių sektorių įmonėms ir įstaigoms padeda padidinti darbo efektyvumą, mažina sąnaudas ir padeda užduotis atlikti tiksliau.

Daugelis iš 42 tyrime dalyvavusių „Ecovis“ tinklo narių nurodė, kad pagrindiniai iššūkiai yra susiję su teisiniu neapibrėžtumu, asmens duomenų apsauga ir griežtu reguliavimu. Visa tai trukdo DI inovacijų taikymui. Tyrimas taip pat parodė, kad 40,5 proc. apklausoje dalyvavusių šalių vis dar neturi DI reguliuojančių teisės aktų.

„Norėdamos padidinti savo efektyvumą, o ir visuomenės pasitikėjimą jų darbu, biudžetinės įstaigos turėtų nebijoti naudotis DI galimybėmis. Lanksti reguliacinė aplinka taip pat būtų naudinga mažoms ir vidutinėms įmonėms, kurios turi skirti per daug laiko papildomoms biurokratinėms kliūtims, nors šį laiką galėtų panaudoti inovacijoms diegti ir produktyvumui didinti“, – sako Alexanderis Weigertas, „Ecovis International“ tinklo viceprezidentas.

DI galimybes jau išnaudoja teisės sektoriuje

I. Karulaitytės teigimu, paskatinti darbuotojus naudoti DI įrankius galima, pavyzdžiui, organizuojant mokymus apie jo priemonių ir programinės įrangos naudojimą ir taikymą, suteikiant informaciją apie technologijų suderinamumą su duomenų apsaugos reikalavimais, išsiaiškinant esamas baimes.

„Tai padarius šiandien jau galime galvoti ne tik apie paprasčiausias visiems prieinamas DI programas, bet ir konkretiems verslo poreikiams sukurtus technologinius sprendimus, kurie smarkiai efektyvintų darbą. Tačiau svarbu suprasti, kad tokie įrankiai neatsiranda savaime – juos kuria profesionalai, sujungiantys savo srities žinias su IT ir DI kompetencijomis. Be šių ekspertų DI negalėtų pasiūlyti realiai veikiančių sprendimų, o kadangi reguliacinė aplinka nuolat keičiasi, profesionalų įsitraukimas ir toliau išliks būtinas“, – pastebi I. Karulaitytė.

Svarbu suprasti, kad tokie įrankiai neatsiranda savaime – juos kuria profesionalai, sujungiantys savo srities žinias su IT ir DI kompetencijomis.

Kaip pavyzdį ji pateikia „ECOVIS ProventusLaw“ pradėtą naudoti pažangų DI pagrindu veikiantį atitikties ir audito automatizavimo įrankį – „RegRally“.

Sistema sukurta siekiant palengvinti atitikties pareigūnų ir vidaus auditorių darbą: ji apjungia teisininkų parengtus klausimynus, pavyzdžiui, pinigų plovimo prevencijos ir duomenų apsaugos, taip pat automatizuoja duomenų rinkimą bei analizę, pateikia rekomendacijas ir leidžia stebėti atitikties istoriją visoje organizacijoje.

„Dirbdami su verslo klientais jau pradedame sėkmingai taikyti ir adaptuoti DI suteikiamas galimybes įvairių sričių atitikties vertinimuose ir matome didelę naudą. Technologijos mažina rankinio darbo apimtį ir riziką praleisti svarbias sritis. Tai pavyzdys, kaip teisinės, atitikties, finansinės žinios ir technologiniai sprendimai gali būti derinami siekiant didesnio veiklos efektyvumo ir tikslumo. Neabejoju, kad DI lygiai taip pat naudingas gali būti ir kitose verslo srityse“, – teigia I. Karulaitytė.

Lietuvos verslas pamažu atranda DI

Nepaisant įvairių minėtų kliūčių, 2025 metų pradžioje daugiau nei penktadalis (21,3 proc.) įmonių Lietuvoje jau naudojo dirbtinio intelekto (DI) technologijas, rodo Valstybės duomenų agentūros duomenys. Palyginti su 2024-aisiais, šis rodiklis padidėjo 12,5 procentinio punkto.

Dažniausiai įmonės DI pasitelkė rašytinės kalbos analizei, vaizdo ar garso medžiagos generavimui. Dažniausiai technologiją naudojo rinkodaros ir pardavimų, verslo administravimo sektorių įmonės.

Be to, dar apie 16 proc. įmonių nurodė kol kas DI nenaudojančios, tačiau svarstančios galimybę jį diegti ateityje.

Apie tyrimą

„Ecovis International“ yra tarptautinis teisininkų ir mokesčių konsultantų tinklas, veikiantis daugiau nei 90 šalių. Tyrime dalyvavo 42 tinklo partnerių įmonės iš 36 šalių. Dalyviai buvo suskirstyti pagal regionus: aštuoni iš Pietų ir Šiaurės Amerikos, septyni iš Azijos ir Ramiojo vandenyno regiono, 22 iš Europos (19 ES šalių) ir penki dalyviai iš Afrikos bei Artimųjų Rytų. Apklausą sudarė dešimt klausimų, iš kurių trys buvo uždaro tipo, o septyni – atviro tipo. Apklausa vyko tris savaites 2025 m. gegužės mėnesį.

The post Dirbtinio intelekto dilema verslui: žinių trūkumas kelia didesnį susirūpinimą nei duomenų apsauga appeared first on ECOVIS ProventusLaw.

Kibernetinis incidentas – tai įvykis, dėl kurio kyla pavojus saugomų, perduodamų arba tvarkomų duomenų arba paslaugų, teikiamų arba prieinamų per tinklų ir informacines sistemas, prieinamumui, autentiškumui, vientisumui arba konfidencialumui. Kibernetinio saugumo įstatyme numatoma, kad incidentų raportavimas privalomas visiems kibernetinio saugumo subjektams, t. y. organizacijoms, veikiančioms svarbiuose ar esminiuose sektoriuose (pvz., energetika, finansai, sveikata, transportas, IT, viešasis administravimas) ir atitinkančioms vidutinės ar didelės įmonės kriterijus pagal  Smulkiojo ir vidutinio verslo plėtros įstatymą (vertinamas vidutinių įmonės darbuotojų skaičius, metinės pajamos, balanse nurodyto turto vertė). Subjektus identifikuoja ir į registrą įtraukia Nacionalinis kibernetinio saugumo centras (toliau – NKSC).

„Jeigu incidento nepavyko išvengti, nereikėtų pulti į paniką – svarbu bendradarbiauti su NKSC  ne tik incidentų metu, bet ir prevenciniu laikotarpiu“, – teigia ECOVIS ProventusLaw partnerė Loreta Andziulytė. Ji priduria, kad net ir tuo atveju, jei organizacija nepatenka į Kibernetinio saugumo įstatymo taikymo sritį, rekomenduojama savanoriškai informuoti NKSC apie įvykusį kibernetinį incidentą. Tai padėtų užtikrinti operatyvią pagalbą ir sumažinti galimų neigiamų padarinių riziką, įskaitant finansinius, veiklos ir kitokio pobūdžio nuostolius.

„Jeigu incidento nepavyko išvengti, nereikėtų pulti į paniką – svarbu bendradarbiauti su NKSC  ne tik incidentų metu, bet ir prevenciniu laikotarpiu“, – teigia ECOVIS ProventusLaw partnerė Loreta Andziulytė.

Informacija apie incidentus teikiama per nacionalinę kibernetinių incidentų valdymo platformą, užpildžius specialią formą NKSC interneto svetainėje, elektroniniu paštu arba telefonu.

Kibernetiniams incidentams kiekviena įmonė gali užbėgti už akių pirmiausia pasitikrindama, ar ji patenka į reguliuojamų subjektų sąrašą. Ne mažiau svarbu yra pasirengti vidines procedūras, leidžiančias laiku identifikuoti incidentus ir užtikrinti raportavimo terminų laikymąsi, parengti incidentų valdymo planą ir bent kartą per metus jį testuoti bei dokumentuoti rezultatus bei paskirti atsakingus asmenis ar padalinius, turinčius įgaliojimus ir kompetenciją reaguoti į incidentus.

Sąmoningas informacijos nuslėpimas ir savalaikis informacijos NKSC nepateikimas apie įvykusį incidentą, kuris pagal įstatymą priskiriamas prie „didelio“ lygio, laikomas pavojingu pažeidimu ir gali užtraukti baudą ar  papildomas vykdymo užtikrinimo priemones, tokias kaip: veiklos ar jos dalies laikinas sustabdymas, vadovo laikinas nušalinimas nuo pareigų, arba nurodymai viešai paskelbti apie pažeidimą, kas savo ruožtu gali sukelti dar didesnę reputacinę žalą nei pats incidentas.

Anot L. Andziulytės, svarbiausia, kad organizacijos suprastų, jog raportavimas apie kibernetinio saugumo incidentu nėra tik formalumas. „Kadangi atakos tampa vis sudėtingesnės ir greitesnės, raportavimas yra labai svarbus siekiant kirsti kelią jų pasikartojimui ateityje“, – teigia L. Andziulytė.

The post Kibernetinio saugumo incidentų raportavimas: kokių veiksmų imtis įvykus incidentui? appeared first on ECOVIS ProventusLaw.

Šie reikalavimai aktualūs organizacijoms, kurios įtrauktos į Kibernetinio saugumo subjektų registrą – šiuo metu jų yra daugiau nei 1 400. Tai apima strateginius sektorius: energetiką, finansus, sveikatos apsaugą, transportą, IT paslaugas, maisto gamybą, mokslinius tyrimus ir kt.

Kam taikoma nauja mokymų tvarka?

Mokymų reikalavimai taikomi trims pagrindinėms grupėms:

• Organizacijų vadovams;
• Kibernetinio saugumo vadovams (CISO) ir saugos įgaliotiniams;
• Kibernetinio saugumo auditoriams.

Ką turi žinoti organizacijos vadovas?

Vadovai, atsakingi už strateginius sprendimus ir resursų paskirstymą, kas 2 metus privalo išklausyti ne mažiau kaip 2 akademinių valandų kibernetinio saugumo mokymus. Šie mokymai apima:

• Kibernetinio ir informacijos saugumo pagrindus;
• Saugumo kultūros diegimą organizacijoje;
• Rizikų valdymą ir incidentų valdymo politiką;
• Vadovo atsakomybes pagal teisės aktus;
• Tinklų, sistemų ir informacijos saugumo integraciją į verslo procesus;
• Išteklių (finansinių ir žmogiškųjų) paskirstymą saugumui;
• Komunikacijos apie incidentus principus;
• Ir kitas temas, reikalingas efektyviam KSĮ įgyvendinimui.

Rezultatas – išduodama pažyma, patvirtinanti, kad vadovas išklausė visą numatytą mokymų programą.

Reikalavimai CISO ir saugos įgaliotiniams

CISO ir saugos įgaliotiniai, neturintys reikiamos formalaus pasirengimo pagal KSĮ, privalo išklausyti bent 10 akademinių valandų mokymų ir išlaikyti egzaminą. Mokymų temos aprėpia visą saugumo valdymo ciklą:

• Informacinių sistemų saugumo politika;
• Tiekimo grandinės saugumas;
• Incidentų valdymas ir veiklos tęstinumas;
• Rizikų analizė ir spragų valdymas;
• Kriptografijos taikymas, prieigos kontrolė, tapatybės valdymas;
• Kibernetinės higienos praktika ir personalo saugumo politika;
• Turto valdymas ir atskaitomybė.

Išlaikius egzaminą, išduodama pažyma, patvirtinanti kvalifikaciją dirbti šiose pareigose.

Kibernetinio saugumo auditoriams – tarptautiniai standartai

Auditoriams keliami aukščiausi kvalifikaciniai reikalavimai. Jie turi:

• Išklausyti mokymų ciklą, apimantį vidaus auditą, rizikos vertinimą, Europos ir tarptautinę teisę, incidentų valdymą ir audito metodus;
• Išlaikyti kvalifikacinį egzaminą (žinių ir praktinių įgūdžių patikrinimą);
• Gauti vieną iš 14 tarptautinių sertifikatų, įvardytų NKSC dokumentuose (pvz., CISA, CISM, ISO/IEC 27001 LA ir pan.).

Kodėl tai svarbu?

Sistemingas darbuotojų mokymas ir kvalifikacijos kėlimas – vienas svarbiausių būdų stiprinti organizacijos atsparumą kibernetinėms grėsmėms. Naujai įtvirtinta mokymų tvarka padeda ne tik užtikrinti atitiktį teisės aktams, bet ir sumažinti realių incidentų riziką bei galimus verslo nuostolius. Įgyvendindama TIS2 direktyvą, Lietuva siekia sustiprinti kritinės infrastruktūros apsaugą – tiek technologijų, tiek žmogiškojo faktoriaus lygmenyje.

Kibernetinio saugumo sritis nėra vien IT departamentų rūpestis. Vadovai, CISO ir auditoriai turi konkrečias, įstatymais apibrėžtas pareigas, o naujoji mokymų tvarka padeda jas įgyvendinti. Tai ne tik reikalavimas – tai investicija į organizacijos saugumą, reputaciją ir atsparumą ateities grėsmėms.

Jei dar nepradėjote – dabar tinkamas metas pasiruošti. ECOVIS ProventusLaw komanda siūlo sprendimus, kurie pritaikyti jūsų organizacijos brandai ir poreikiams:

• TIS2 READY – greitas įsivertinimas su nemokamu įrankiu
• TIS2 COMPLIANCE – pilnas teisinis atitikties paketas
• TIS2 GUARD – pasirengimas auditui ir audito atlikimas

Norite suprasti, nuo ko pradėti? Išbandykite mūsų nemokamą ECOVIS TIS2 savitikros įrankį: tis2.ecovis.lt

The post Nauji kibernetinio saugumo mokymų reikalavimai: ką turi žinoti organizacijos? appeared first on ECOVIS ProventusLaw.

Mūsų atitikties ekspertai pateikia pagrindinius žingsnius, kuriuos verta žinoti:

1. Įsivertinkite esamą situaciją ir žinokite, nuo ko pradėti

Pirmasis žingsnis – objektyvus savo organizacijos pasirengimo įvertinimas. TIS2 reikalavimai apima daug sričių, kurių beveik neįmanoma apimti be išorinio vertinimo – nuo rizikų vertinimo ir vidaus politikų iki vadovybės atsakomybės bei incidentų valdymo. Kad būtų lengviau susigaudyti, galima pasinaudoti savitikros priemonėmis – jos padeda greitai identifikuoti potencialias spragas ir prioritetinius darbus.

ECOVIS sukurtas nemokamas TIS2 savitikros įrankį – tai galimybė įsivertinti savo startinę poziciją ir pasiruošti efektyviam veiksmų planui. Išbandykite čia https://tis2.ecovis.lt/

2. Peržiūrėkite vidaus dokumentus ir procedūras

TIS2 įpareigoja turėti aiškią, raštu apibrėžtą vidaus kibernetinio saugumo sistemą: politiką, atsakomybes, procedūras. Dažnai praktikoje pasitaiko, kad dokumentai formaliai egzistuoja, bet neatitinka naujų teisinių reikalavimų arba nėra integruoti į kasdienę veiklą. Tvarkų, kurios realiai „veikia“ ir gali būti pagrįstos vertinimo metu, parengimas reikalauja ne tik gerų šablonų – būtinas ir supratimas, kaip jas pritaikyti specifinėje organizacijos veikloje.

3. Įtraukite vadovybę – jų atsakomybė yra tiesioginė

Vadovai pagal TIS2 yra asmeniškai atsakingi už organizacijos saugumą. Tai reiškia, kad atitiktis negali būti „palikta IT skyriui“. Reikia užtikrinti, kad sprendimų priėmimo grandyje būtų suprantamas kibernetinio saugumo reikšmingumas, rizikos bei pasekmės. Svarbu, kad vadovybė ne tik patvirtintų dokumentus, bet aktyviai dalyvautų priimant sprendimus dėl priemonių pasirinkimo ir įgyvendinimo.

4. Užtikrinkite privalomus darbuotojų mokymus

Įtrauktos organizacijos privalo vykdyti darbuotojų kibernetinio saugumo mokymus pagal patvirtintą tvarką. Jie turi būti ne pavieniai ar formalūs, o sistemingi, aktualūs konkrečiai veiklai ir apimantys tiek techninius, tiek organizacinius aspektus. Parinkti tinkamą mokymo turinį ir metodiką – nemenkas iššūkis, ypač kai organizacijos veikla specifinė ar tarpvalstybinė. Išsamiau apie tai skaitykite čia.

5. Paruoškite incidentų valdymo sistemą

Incidentų valdymo planas turi būti ne tik dokumente, bet ir realiai įgyvendinamas. Reikia žinoti, kas kada ir kaip reaguoja į pažeidimus, kaip užtikrinama komunikacija, kaip pranešama institucijoms ir kaip analizuojamos pamokos. Visa tai turi būti ne tik užfiksuota, bet ir ištestuota praktikoje – kitaip vertinimo metu bus sunku pagrįsti pasirengimą.

6. Būkite pasirengę priežiūrai ir auditui

TIS2 reikalavimų priežiūra bus aktyvi ir nuosekli. Vertinimas gali apimti ne tik dokumentų patikrą, bet ir faktinį veiklos audito atlikimą, įrodymų pateikimą. Tai reiškia, kad atitiktis turi būti įgyvendinta ne „popieriuje“, bet realioje kasdienėje veikloje.

Ką svarbu suprasti?

TIS2 direktyva nėra tik IT klausimas. Tai kompleksinis teisinis, organizacinis ir strateginis procesas, reikalaujantis kompetencijų įvairiose srityse. Nors kai kuriuos žingsnius galima atlikti savarankiškai, visapusiškas ir tvarus atitikties užtikrinimas paprastai reikalauja ir išorinių ekspertų įsitraukimo – ne dėl formalumo, o tam, kad būtų išvengta brangiai kainuojančių klaidų ir būtų priimti iš esmės tinkami sprendimai.

Norėdami pradėti aiškiai ir tikslingai – išbandykite mūsų nemokamą savitikros įrankį. Jis padės susidėlioti prioritetus ir suprasti, kur esate dabar. Toliau – visada galima pasitarti dėl tolimesnių žingsnių. Susisiekite su mūsų ekspertais – padėsime aiškiai ir sklandžiai pasirengti atitikti TIS2 direktyvai.

The post Įtraukė į Kibernetinio saugumo subjektų registrą – ką daryti toliau? appeared first on ECOVIS ProventusLaw.

Pagrindiniai pokyčiai ir reikalavimai

Registras sudarytas remiantis naująja Kibernetinio saugumo įstatymo redakcija, įsigaliojusia 2024 m. spalio 18 d. Šiuo įstatymu į Lietuvos teisę perkeliama Europos Parlamento ir Tarybos direktyva (TIS2 arba NIS2), kuria siekiama suvienodinti bendrą kibernetinio saugumo lygį visoje Europos Sąjungoje.

Visi į Kibernetinio saugumo subjektų registrą įtraukti subjektai privalo laikytis Kibernetinio saugumo įstatyme ir 2024 m. lapkričio 6 d. Lietuvos Vyriausybės nutarime dėl šio įstatymo įgyvendinimo įtvirtintų reikalavimų.

Įstatymas ne tik sustiprino kibernetinio saugumo reikalavimus, bet ir išplėtė sektorių, kuriems jie taikomi, sąrašą. Be jau anksčiau privalomus reikalavimus vykdžiusių energetikos, finansų, sveikatos, skaitmeninės infrastruktūros ir viešojo valdymo sektorių, prie registro prisijungė ir nuotekų bei atliekų tvarkymo, mokslinių tyrimų bei kitų itin svarbių sektorių organizacijos.

Lyginant su ankstesniu subjektų sąrašu, registre esančių organizacijų skaičius išaugo beveik penkis kartus. Dauguma naujai įtrauktų subjektų priklauso privačiam sektoriui.

Kibernetinio saugumo subjektų registras yra tikslinamas ne rečiau kaip kartą per metus

Visi registruoti subjektai privalo įgyvendinti teisės aktuose nustatytus reikalavimus. Jiems taikomas pereinamasis laikotarpis:

• 12 mėn. – organizaciniams reikalavimams įgyvendinti;
• 24 mėn. – tam tikriems techniniams reikalavimams įgyvendinti,
  skaičiuojant nuo įtraukimo į registrą dienos.

Reikalavimai kibernetinio saugumo subjektams

Lietuvoje kibernetinio saugumo užtikrinimas tampa vis svarbesne valstybės ir organizacijų atsakomybės dalimi. Siekiant apsaugoti tinklus, informacines sistemas bei skaitmeninius duomenis, kibernetinio saugumo subjektams keliami aiškūs reikalavimai. Šie reikalavimai apima tiek vidaus politikos kūrimą, tiek techninius sprendimus bei žmonių pasirengimą reaguoti į grėsmes.

Pirmiausia organizacijos turi atlikti kibernetinių rizikų analizę ir parengti išsamią saugumo politiką, kurioje būtų aiškiai apibrėžtos šifravimo, naudotojų prieigos, bei procedūrų, leidžiančių įvertinti saugumo priemonių veiksmingumą, taisyklės. Turi būti nustatytos aiškios prieigos teisės darbuotojams, administratoriams, tiekėjams ir kitiems susijusiems subjektams.

Ne mažiau svarbu yra aiški organizacinė struktūra – privaloma paskirti atsakingus asmenis, tokius kaip kibernetinio saugumo vadovas ar saugos įgaliotinis. Vadovybė turi užtikrinti, kad visi teisės aktuose numatyti reikalavimai būtų tinkamai įgyvendinti ir nuolat prižiūrimi.

Kibernetinis saugumas neatsiejamas nuo tinkamos techninės infrastruktūros. Organizacijos privalo užtikrinti, kad veiktų saugumo operacijų centras (SOC), būtų diegiami kelių veiksnių tapatybės patvirtinimo sprendimai bei užtikrintas saugus vidinis ir avarinis ryšys. Svarbu ir tai, kad kai kuriais atvejais, ypač esminių subjektų atveju, būtina sudaryti sąlygas Nacionaliniam kibernetinio saugumo centrui diegti papildomas saugumo priemones.

Nemažą dėmesį reikia skirti ir incidentų valdymui – turi būti parengti aiškūs veiksmų planai, kaip elgtis kibernetinių incidentų metu, o apie kiekvieną incidentą būtina laiku pranešti NKSC. Svarbu užtikrinti ne tik reagavimą į incidentus, bet ir veiklos tęstinumą po jų. Taip pat kas trejus metus turi būti atliekamas išsamus saugumo auditas, leidžiantis įvertinti, ar visos priemonės yra tinkamai įgyvendintos.

Kibernetinis saugumas priklauso ir nuo žmonių. Todėl būtina nuolat ugdyti darbuotojų kompetencijas, rengti mokymus, skatinti saugumo kultūrą ir užtikrinti prieigos kontrolę bei turto apskaitą. Mokymai turi būti reguliarūs, o darbuotojai turi laikytis kibernetinės higienos praktikų.

Galiausiai, saugumo reikalavimai taikomi ir tiekimo grandinei – turi būti užtikrintas tiekėjų patikimumas, spragų valdymas bei saugi sistemų priežiūra.

Šie reikalavimai sudaro pagrindą efektyviai apsaugai nuo kibernetinių grėsmių, tačiau svarbu suprasti, kad tai nėra baigtinis sąrašas – jis gali būti papildomas atsižvelgiant į konkretaus sektoriaus rizikas. Kibernetinio saugumo subjektų registras yra tikslinamas ne rečiau kaip kartą per metus, o įsipareigojimų nesilaikymas gali lemti atsakomybę ir sankcijas. Visuomenės, verslo ir valstybės pastangos šioje srityje yra būtinos norint užtikrinti patikimą ir saugią skaitmeninę aplinką.

Atsakomybė ir sankcijos

Pagal Kibernetinio saugumo įstatymą, skirtingiems subjektams, priklausomai nuo jų svarbos, gali būti taikomos skirtingo dydžio baudos už teisės aktų pažeidimus. Esminiams subjektams gali būti skiriama bauda iki 10 milijonų eurų arba iki 2 procentų juridinio asmens bendros pasaulinės metinės apyvartos per praėjusį finansinį laikotarpį, atsižvelgiant į tai, kuri suma yra didesnė. Svarbiems subjektams ši riba siekia iki 7 milijonų eurų arba iki 1,4 procento pasaulinės metinės apyvartos, taip pat priklausomai nuo didesnės sumos.

Biudžetinėms įstaigoms, kurios yra laikomos esminiais subjektais, maksimali bauda gali sudaryti iki 1 procento jų einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų, tačiau ne daugiau kaip 60 tūkstančių eurų. Tuo tarpu biudžetinėms įstaigoms, kurios laikomos svarbiais subjektais, taikoma bauda gali siekti iki 0,5 procento jų biudžeto ir pajamų, bet neviršyti 30 tūkstančių eurų.

Be finansinių sankcijų, įstatymas numato ir papildomas poveikio priemones. Esminio subjekto vadovas gali būti laikinai nušalintas nuo pareigų, gali būti laikinai sustabdyta teisė užsiimti dalimi ar visa vykdoma veikla, taip pat teisė teikti paslaugas.

Be to, Nacionalinis kibernetinio saugumo centras turi teisę taikyti vykdymo užtikrinimo priemones, tokias kaip įspėjimai ar privalomieji nurodymai. Šios priemonės užtikrina, kad subjektai laikytųsi kibernetinio saugumo reikalavimų ir veiktų atsakingai siekiant apsaugoti kritinę infrastruktūrą bei viešąjį interesą.

TIS2 atitikties įsivertinimo įrankis: žingsnis link atitikties

Siekdami padėti organizacijoms identifikuoti joms taikomus reikalavimus, nustatytus Kibernetinio saugumo įstatyme ir 2024 m. lapkričio 6 d. Lietuvos Vyriausybės nutarime, bei susidaryti aiškų jų turinio supratimą, parengėme TIS2 atitikties savitikros įrankį: https://tis2.ecovis.lt/

Šis įrankis:

• struktūrizuotas pagal teisės aktuose nurodytus kibernetinio saugumo reikalavimus;
• leidžia per klausimynus patogiai įsivertinti, ar Jūsų organizacija atitinka keliamus kriterijus;
• identifikuoja galimas spragas ir padeda planuoti tolesnius veiksmus;
• yra naudingas tiek pasirengimo, tiek nuolatinės atitikties užtikrinimo etapuose.

The post Naujasis Lietuvos kibernetinio saugumo subjektų registras ir nauji reikalavimai kibernetinio saugumo srityje appeared first on ECOVIS ProventusLaw.

Teismas išaiškino, kad paslaugų teikėjas negali atsisakyti prisiimti atsakomybę už klientui kilusius nuostolius, remdamasis savo vidiniais susitarimais su trečiaisiais asmenimis. LAT atkreipė dėmesį, jog „CK 6.235 straipsnio 3 dalyje nustatyta, kad jeigu sandorį kito asmens interesais reikalus tvarkęs asmuo sudarė savo vardu, tai pagal tokį sandorį tretiesiems asmenims atsako reikalus tvarkęs asmuo.“ Šios normos turinys papildomai patvirtina, jog atsakovė galėjo susitarti su trečiuoju asmeniu, dėl pastarajam perduodamų sutartinių funkcijų. Tačiau, tai savaime nepaneigtų ieškovės teisės – iš būtent atsakovės reikalauti sutartinių įsipareigojimų ir atsakomybės vykdymo.

Teismas taip pat pažymėjo, kad siekiant užtikrinti aukšto lygio klientų apsaugą, mokėtojai visada turėtų turėti teisę pateikti reikalavimą dėl lėšų grąžinimo jų sąskaitą tvarkančiam mokėjimo paslaugų teikėjui, net ir tais atvejais, kai mokėjimo operacijoje dalyvauja mokėjimo inicijavimo paslaugų teikėjas. Tai neturi poveikio mokėjimo paslaugų teikėjų atsakomybės paskirstymui. Būtent tokiu reguliavimu Direktyvoje 2015/2366 įtvirtinta mokėtojo teisė reikšti reikalavimą jo sąskaitą tvarkančiam mokėjimo paslaugų teikėjui, nepriklausomai nuo to, kokie kiti teikėjai taip pat dalyvauja vykdant mokėjimo operaciją.“

LR civiliniame kodekse nustatyta, kad šalys savo susitarimu negali pakeisti, apriboti ar panaikinti imperatyviųjų teisės normų galiojimo ir taikymo, nepaisant to, kokia teisė – nacionalinė ar tarptautinė – šias normas nustato. Teisėjų kolegijos vertinimu, atsakovei kyla pareiga atsakyti ieškovei būtent iš įstatymo, nors ši pareiga nėra minima šalių sudarytoje sutartyje.

LAT pabrėžė kelis esminius aspektus:

1. Paslaugų teikėjo atsakomybė kyla iš įstatymo, nepriklausomai nuo to, ar ši pareiga tiesiogiai įtvirtinta sutartyje su klientu.

2. Klientas turi teisę reikšti reikalavimus savo sąskaitą tvarkančiam mokėjimo paslaugų teikėjui, net jei operacijoje dalyvauja kiti paslaugų teikėjai.

3. Paslaugų teikėjo susitarimai su trečiaisiais asmenimis dėl atsakomybės pasiskirstymo neturi įtakos kliento teisei reikalauti žalos atlyginimo iš pagrindinio paslaugų teikėjo.

Šis LAT sprendimas sustiprina klientų teisių apsaugą ir įtvirtina aiškią poziciją – paslaugų teikėjas negali vengti atsakomybės kliento atžvilgiu, remdamasis savo susitarimais su trečiaisiais asmenimis. Tai ypač svarbu šiuolaikinėje rinkoje, kur paslaugos dažnai teikiamos pasitelkiant sudėtingus verslo partnerių tinklus. Sprendimas taip pat primena apie būtinybę aiškinti sutartis sąžiningai ir atsižvelgti į imperatyviąsias teisės normas, kurios negali būti pakeistos šalių susitarimu.

The post Teismas: paslaugų teikėjas negali išvengti atsakomybės remdamasis sutartimis su trečiaisiais asmenimis appeared first on ECOVIS ProventusLaw.

Ginčas kilo tarp banko ir jo kliento dėl vienašališko sprendimo nutraukti banko sąskaitos sutartį. Pirmosios ir apeliacinės instancijos teismai nusprendė kliento naudai pripažindami, kad bankas neturėjo svarios priežasties nutraukti sutartį.

Teismai pažymėjo, jog bankas savo veiksmus grindė pinigų plovimo ir teroristų finansavimo prevencijos reikalavimais. Tačiau buvo konstatuota, kad vien šių reikalavimų vykdymas negali būti naudojamas kaip formalus pagrindas nutraukti sutartį, jei nėra aiškių ir svarbių priežasčių.

LAT savo nutartyje nurodė, kad mokėjimo paslaugų teikėjai (pvz., bankai) gali nutraukti banko sąskaitos sutartį tik:

1. Esant sutartyje numatytiems pagrindams – jei sutartyje iš anksto nurodytos aplinkybės, leidžiančios ją nutraukti.

2. Dėl svarbių priežasčių – jei tokios priežastys egzistuoja, net jei jų nėra tiesiogiai įvardyta sutartyje.

Teismas išskyrė, kad pagal Pinigų plovimo ir teroristų finansavimo prevencijos įstatymą, svarbia priežastimi gali būti pripažinta tokia situacija, kai kliento veikla kelia realią pinigų plovimo ar teroristų finansavimo riziką. Tačiau bankas turi įrodyti, kad sutarties nutraukimas yra proporcingas ir būtinas veiksmas siekiant valdyti šią riziką.

Teismas taip pat pabrėžė, kad:

• Bankas privalo informuoti klientą apie sutarties nutraukimo priežastis, pateikiant pakankamai informacijos, kuri leistų identifikuoti problemą.
• Tuo pačiu metu bankas turi laikytis teisės aktų nuostatų, kurios riboja informacijos apie prevencines priemones atskleidimą (vadovaujantis Pinigų plovimo ir teroristų finansavimo prevencijos įstatymo 23 straipsnio 1 dalimi).

LAT patvirtino apeliacinės instancijos teismo nutartį, kuri buvo palanki banko klientui. Ji yra galutinė ir neskundžiama. Šis sprendimas yra reikšmingas, nes formuoja praktiką, kuria siekiama apsaugoti klientų teises ir užtikrinti proporcingumą finansų įstaigų veikloje. Taip pat pabrėžia mokėjimo paslaugų teikėjų pareigą laikytis atsargumo principo, vengti formalizmo ir pagrįsti savo veiksmus esminiais įrodymais.

Ši nutartis atskleidžia, kaip svarbu finansų įstaigoms aiškiai ir detaliai apibrėžti savo paslaugų teikimo bendrąsias sąlygas, įskaitant konkrečias ir objektyvias sutarties nutraukimo aplinkybes bei sąlygas. Tokios prevencinės priemonės padeda užtikrinti teisinį tikrumą ir išvengti ginčų su klientais. Sutarties sąlygų skaidrumas ne tik apsaugo klientus, bet ir mažina finansų įstaigų riziką susidurti su teisminiais procesais.

The post Lietuvos Aukščiausiasis Teismas pasisakė dėl banko teisės vienašališkai nutraukti sutartį su klientu appeared first on ECOVIS ProventusLaw.

Ginčas kilo dėl 2022 m. rugpjūtį tarp vieno iš Lietuvoje veikiančių elektros tiekėjų ir vienos mažos įmonės sudarytos fiksuotos kainos elektros energijos pirkimo-pardavimo sutarties. Joje buvo numatyta, kad sutartį nutraukiant anksčiau laiko paslaugos naudotojas turi sumokėti sutarties nutraukimo mokestį. Įmonei 2023 m. birželio 30 d. vienašališkai nutraukus sutartį, tiekėjas pareikalavo sumokėti numatytą nutraukimo mokestį, kuris buvo apskaičiuotas remiantis nesuvartotu elektros energijos kiekiu ir sutartyje nustatyta fiksuota kaina.

LAT nutarė palikti galioti dar anksčiau priimtą apeliacinės instancijos teismo nutartį nurodydamas, kad Europos Parlamento ir Tarybos direktyva nustatyta, kad valstybės narės užtikrina, jog bent namų ūkio vartotojams ir mažosioms įmonėms nereikėtų mokėti jokių tiekėjo pakeitimo mokesčių. LAT atkreipė dėmesį, kad ši direktyvos nuostata buvo perkelta į Elektros energijos įstatymą. Taigi įstatyme buvo aiškiai uždrausta nustatyti bet kokius sutarties nutraukimo mokesčius mažoms ir labai mažoms įmonėms. Toks reguliavimas taikomas ir fiksuotos kainos sutartims, nepaisant to, kad tiekėjai gali patirti nuostolių dėl išankstinio sutarties nutraukimo.

Direktyvos (ES) 2019/944 12 straipsnio 3 dalyje nustatyta valstybių teisė nacionalinėje teisėje nustatyti išimtį ir leisti elektros energijos tiekėjams arba telkimu užsiimantiems rinkos dalyviams taikyti sutarties nutraukimo mokesčius vartotojams. Visgi Aukščiausiasis Teismas atkreipė dėmesį, kad jokių išimčių dėl sutarties nutraukimo mokesčių mažosioms įmonėms Lietuvos teisėje nebuvo įtvirtinta.

Teismas pabrėžė, kad net jei sutartyje numatyti nutraukimo mokesčiai, jie negali būti taikomi mažoms ir labai mažoms įmonėms. Vienintelis leistinas mokėjimas nutraukiant sutartį yra atsiskaitymas už faktiškai suvartotą elektros energiją. Tačiau būtina laikytis nustatytos pranešimo tvarkos – pranešti prieš 2 savaites ir per mėnesį nuo galutinės sąskaitos gavimo atsiskaityti už suvartotą elektrą.

LAT nutartis yra reikšminga, nes aiškiai nustato, kad nepriklausomai nuo sutartyje numatytų sąlygų, mažos ir labai mažos įmonės turi teisę neatlygintinai nutraukti elektros tiekimo sutartis be jokių papildomų finansinių įsipareigojimų. Sprendimas atitinka bendrą ES politiką, kuria siekiama stiprinti vartotojų ir mažų ir labai mažų įmonių pozicijas energetikos rinkoje bei užtikrinti skaidrią ir konkurencingą rinką. Ši byla taip pat patvirtina, kad nacionaliniai teismai aktyviai saugo mažų įmonių teises energetikos sektoriuje, net kai tai gali prieštarauti komercinei tiekėjų praktikai.

Šis sprendimas gali turėti ilgalaikių pasekmių tiek elektros tiekėjams, kurie galbūt turės peržiūrėti savo sutartis ir praktiką, tiek mažosioms įmonėms, kurios dabar turi daugiau teisinių garantijų nutraukiant nepalankias sutartis.

The post Teismas: už elektros tiekimo sutarties nutraukimą įmonės mokėti neturi appeared first on ECOVIS ProventusLaw.