Ko Baltijos šalių NIS2 įstatymai iš tikrųjų reikalauja dėl MFA: Latvija, Lietuva, Estija

Pati NIS2 tepasako, kad organizacija, kai tai tikslinga, turi naudoti kelių veiksnių arba nuolatinio tapatumo nustatymo sprendimus (21 straipsnio 2 dalies j punktas, Direktyva 2022/2555). Trys Baltijos valstybės šią vieną eilutę pavertė trimis gana skirtingais taisyklių rinkiniais. Jeigu valdote sistemas daugiau nei vienoje iš jų arba bandote išsiaiškinti, apie kurias jūsų paskyras klaus priežiūros institucija, šie skirtumai svarbūs. Šiame straipsnyje cituojame nuostatas ir nurodome, kur kiekviena jų palieka laisvės. Daugiafaktorę autentifikaciją, kurią Lietuvos teisės aktai vadina kelių veiksnių tapatumo nustatymu, toliau trumpinsime MFA.

Pirmiausia ES lygmens išimtis: skaitmeninės infrastruktūros teikėjai – DNS, debesijos, duomenų centrų, valdomų paslaugų teikėjai ir elektroninės prekyvietės – laikosi ne nacionalinių taisyklių, o Komisijos įgyvendinimo reglamento. Jo priedo 11.7 punktas reikalauja MFA arba nuolatinio tapatumo nustatymo prieigai prie tinklų ir informacinių sistemų pagal turto klasifikaciją, o 11.3.2 punktas – stipraus tapatumo nustatymo, pavyzdžiui, kelių veiksnių tapatumo nustatymo, privilegijuotosioms ir sistemų administravimo paskyroms (Reglamentas 2024/2690, galioja nuo 2024 m. lapkričio 7 d.). Visi kiti laikosi toliau aprašytų nacionalinių taisyklių.

Latvija: nutarimas įvardija paskyras

Latvijos taisyklės iš trijų yra konkrečiausios. Ministrų kabineto nutarimas Nr. 397 „Minimālās kiberdrošības prasības“ (Minimalieji kibernetinio saugumo reikalavimai) galioja nuo 2025 m. liepos 2 d. (likumi.lv) ir priimtas pagal Nacionalinio kibernetinio saugumo įstatymą (Nacionālās kiberdrošības likums) (likumi.lv).

Pagal 52 punktą MFA privaloma:

• 52.1 A klasės informacinių sistemų administratorių ir paprastųjų naudotojų paskyroms;
• 52.2 B klasės informacinių sistemų administratorių paskyroms;
• 52.3 B klasės sistemų paprastųjų naudotojų paskyroms, kai prie jų jungiamasi nuotoliniu būdu iš išorinio tinklo ir ta prieiga dar nevyksta per šifruotą VPN su MFA.

Klasė yra kiekvienos informacinės sistemos, o ne jūsų organizacijos savybė. 32–34 punktai ją nustato pagal sistemos konfidencialumo, vientisumo ir prieinamumo saugumo klases: jei bent vienas įvertinimas yra A, sistema priskiriama A klasei, kitu atveju bent vienas B įvertinimas reiškia B klasę, o visa, kas priklauso kritinei infrastruktūrai, pagal apibrėžtį yra A klasės. Esminių paslaugų teikėjas gali turėti tik B ir C klasės sistemas, ir nutarimas tai numato: jame nustatytas įsivertinimas kas trejus metus taikomas kiekvienam subjektui, neturinčiam A klasės sistemos.

55.8 papunktis IRT kritinės infrastruktūros valdytojams ir esminių paslaugų teikėjams nustato papildomą tinklo taisyklę: prieiga iš išorės prie vidinio tinklo išteklių „galima tik per šifruotą VPN sprendimą su kelių veiksnių tapatumo nustatymu“. 56 punktas svarbių paslaugų teikėjams taiko tik 55.1–55.4 papunkčius, todėl 55.8 jiems neprivalomas.

Greta MFA taisyklės nustatytos prievolės, kurias auditorius patikrins to paties audito metu: administratorių paskyros negali būti naudojamos kasdieniam darbui, o paprastosios paskyros – administravimui (51.5 ir 51.4 papunkčiai); prieiga prie informacinių išteklių, įskaitant nepavykusius bandymus, turi būti registruojama (58.3 papunktis), o įrašai saugomi 18, 12 arba 6 mėnesius, priklausomai nuo sistemos klasės (57 punktas). Įsivertinimo ataskaita pagal nutarimo 16 priedo formą kritinės infrastruktūros valdytojams ir visiems, turintiems bent vieną A klasės sistemą, teikiama kasmet iki spalio 1 d., o likusiems – kas trejus metus (141 ir 142 punktai); ji teikiama Nacionaliniam kibernetinio saugumo centrui (Nacionālais kiberdrošības centrs), o kritinės infrastruktūros atveju – Konstitucijos apsaugos biurui (Satversmes aizsardzības birojs).

Ko nutarimas nedaro: jis neįvardija jokios technologijos. Jame tėra „daudzfaktoru autentifikācija“ – nė žodžio apie SMS, vienkartinius kodus, FIDO ar atsparumą sukčiavimui, o slaptažodžių taisyklių nenustatyta visai. Baudos pagal įstatymą esminių paslaugų teikėjams siekia 10 mln. eurų arba 2 % apyvartos, jei apyvarta viršija 500 mln. eurų, o svarbių paslaugų teikėjams – 7 mln. eurų arba 1,4 % apyvartos, jei ji viršija tą pačią 500 mln. eurų ribą.

Lietuva: visiems, įskaitant naudotojus, per 24 mėnesius

Perkeldama NIS2, Lietuva iš naujo išdėstė Kibernetinio saugumo įstatymą; nauja redakcija įsigaliojo 2024 m. spalio 18 d. Įstatymo 14 straipsnio 5 dalies 11 punktas tarp privalomų elementų nurodo kelių veiksnių arba nuolatinio tapatumo nustatymo sprendimus, o 2024 m. lapkričio 6 d. Vyriausybės nutarimas Nr. 945 (įsigaliojo 2024 m. lapkričio 12 d.) patvirtino išsamų Kibernetinio saugumo reikalavimų aprašą (e-seimas).

MFA taisyklė įtvirtinta Aprašo 7 lentelės 61 eilutėje, ir tai plačiausias reikalavimas iš visų trijų šalių: „Naudotojas ir administratorius turi patvirtinti savo tapatybę slaptažodžiu ir papildoma tapatumo nustatymo priemone (kelių veiksnių tapatumo nustatymo priemonės).“ Reikalavimas pažymėtas ir esminiams, ir svarbiems subjektams ir nepriklauso nei nuo to, kur yra naudotojas, nei nuo to, kaip klasifikuota sistema. Šalia jos: administravimas tik per atskirą, kasdieniam darbui nenaudojamą paskyrą (58 eilutė); naudotojų paskyros stabdomos po trijų mėnesių neveiklumo, administratorių – po dviejų; darbo stotis užrakinama ne vėliau kaip per 15 minučių; naršyklėms neleidžiama saugoti slaptažodžių kitur nei specialioje slaptažodžių tvarkytuvėje. Trečiosioms šalims MFA taikoma, kai tai įmanoma. Organizacinė dalis, įskaitant rašytinę prieigos valdymo tvarką, kurioje nurodyta, kaip naudojama MFA (65.9 papunktis), turi būti įgyvendinta per 12 mėnesių nuo registracijos Kibernetinio saugumo informacinėje sistemoje; techniniai 7 lentelės reikalavimai, įskaitant MFA, – per 24 mėnesius nuo registracijos (72 punktas).

Įstatymas taip pat reikalauja bent kas trejus metus atlikti kibernetinio saugumo auditą pagal Nacionalinio kibernetinio saugumo centro (NKSC) metodiką, o vadovų mokymus rengti bent kas dvejus metus. Prievolės atsiranda tik subjektą užregistravus (11 straipsnio 2 dalis); priežiūrą vykdo NKSC. 14 straipsnio reikalavimų pažeidimas priskiriamas pavojingiems pažeidimams – aukščiausiai baudų kategorijai: esminiams subjektams iki 10 mln. eurų arba 2 % pasaulinės apyvartos, priklausomai nuo to, kuri suma didesnė, svarbiems – 7 mln. eurų arba 1,4 %, taip pat taikant didesnę sumą. Biudžetinėms įstaigoms nustatytos žemesnės viršutinės ribos. 2026 m. birželį įstatymas buvo pakeistas dar kartą; to teksto perskaityti negalėjome, todėl pasitikrinkite, ar nepasikeitė straipsniai dėl baudų ir registracijos.

Estija: įstatymas tyli, standartas – ne

Pakeistas Estijos Kibernetinio saugumo įstatymas (Küberturvalisuse seadus) įsigaliojo 2026 m. sausio 1 d. (Riigi Teataja). Esminius subjektus jis vadina üliolulised üksused, svarbius – olulised üksused, o kelių veiksnių tapatumo nustatymo jame neminima niekur. Vietoj to 7 straipsnis saugumo priemones deleguoja Vyriausybės nutarimui, o šis teikėjams suteikia pasirinkimą: įgyvendinti Estijos informacijos saugumo standartą E-ITS arba įrodyti, kad jų priemonės atitinka ISO/IEC 27001, su atitikties auditu kas trejus metus (Nutarimas Nr. 121).

Taigi MFA minima dviejose vietose. Nutarimo pagrindinių priemonių priedas, taikomas visiems įstatymui pavaldiems teikėjams, nurodo „teikti pirmenybę kelių pakopų tapatumo nustatymui“ (2.5 punktas) – švelni formuluotė, kurią teikėjai gali pakeisti lygiaverte priemone. E-ITS bazinis katalogas griežtesnis: kur sistema tai leidžia, vietoj vien slaptažodžiu grįsto tapatumo nustatymo naudojama MFA (ORP.4.M8); privilegijuotosios paskyros MFA saugomos nuo išorės užpuolikų ir privilegijų eskalavimo (ORP.4.M10); esant dideliam apsaugos poreikiui – saugi MFA, „pavyzdžiui, su ID kortele arba žetonu“ (ORP.4.M21); MFA prieigai prie jautrių asmens duomenų (CON.2.M18) (E-ITS katalogas).

Terminai palyginti ilgi. Subjektai, kurie kriterijus atitiko jau 2026 m. sausio 1 d., per tris mėnesius, t. y. iki 2026 m. kovo pabaigos, turėjo užsiregistruoti Informacinių sistemų tarnyboje (Riigi Infosüsteemi Amet, RIA) ir turi trejus metus, iki 2029 m. pradžios, visiškai įgyvendinti reikalavimus. Nauji subjektai registruojasi per tris mėnesius ir turi trejus metus nuo tos dienos, kai pradėjo atitikti kriterijus. Baudos atkartoja NIS2: esminiams subjektams iki 10 mln. eurų arba 2 % pasaulinės apyvartos, svarbiems – 7 mln. eurų arba 1,4 %, abiem atvejais taikant didesnę sumą. Svarbius subjektus RIA prižiūri tik ex post, t. y. reaguodama į pažeidimų požymius.

Palyginimas

Ką tai reiškia paskyroms, kurias iš tikrųjų turite

• VPN ir nuotolinė prieiga. Latvijoje šifruotas RADIUS VPN su antruoju veiksniu yra būtent tai, ko 55.8 papunktis reikalauja iš kritinės infrastruktūros valdytojų ir esminių paslaugų teikėjų, ir jis B klasės naudotojus išveda iš 52.3 papunkčio taikymo srities; be jo kiekvienam nuotoliniam B klasės naudotojui MFA reikia pačioje taikomojoje programoje. Lietuvoje VPN taisyklės nekeičia, nes MFA reikia kiekvienam naudotojui bet kuriuo atveju. Estijoje dėl RADIUS palaikančio VPN tikėkitės klausimo, grįsto E-ITS formuluote „kur sistema tai leidžia“.
• Administratoriai. Labiausiai trijų šalių taisyklės sutampa dėl administratorių paskyrų: Latvija reikalauja MFA joms A ir B klasės sistemose, Lietuva – visur, E-ITS – visoms privilegijuotosioms paskyroms. Latvija ir Lietuva taip pat abi reikalauja atskiros, kasdieniam darbui nenaudojamos administratoriaus paskyros. Ugniasienių ir serverių konsolės, į kurias vis dar galima prisijungti vien slaptažodžiu, – labiausiai tikėtinas audito radinys.
• Įrodymai. Latvija reikalauja, kad nepavykę prisijungimai būtų registruojami ir saugomi; Lietuva – rašytinės tvarkos, kurioje nurodyta, kaip naudojama MFA; Estija – audito pagal standartą. Autentifikacijos metodas, kiekvienam patvirtinimui sukuriantis pasirašytą įrašą su laiko žyma, duoda medžiagos visoms trims šalims, ir jos nereikia atkurti vėliau.
• Technologija. Nė vienas Baltijos šalių teisės aktas nenurodo metodo ir nė vienas nevartoja žodžių „atsparus sukčiavimui“. ENISA įgyvendinimo gairės rekomenduoja sukčiavimui atsparią MFA „kur tik įmanoma“ ir pirmoje vietoje nurodo FIDO2; nacionaliniuose tekstuose apsiribojama žodžiais „kelių veiksnių“. Tai minimalus reikalavimas, o ne tikslas, ir straipsnis apie NIS2 ir autentifikaciją paaiškina, kas skiria veiksnį, tenkinantį įstatymo žodžius, nuo veiksnio, atlaikančio užpuoliką.

Notakey prideda patvirtinimą telefonu, rodantį servisą, paskyrą ir šaltinio adresą, prie RADIUS VPN, ugniasienių ir serverių prisijungimų, „Windows“ ir žiniatinklio programų, o pasirašytą kiekvieno patvirtinimo įrašą palieka įrenginyje, kurį galite laikyti savo duomenų centre. VPN 2FA vadovas parodo, kaip tai atitinka B klasės nuotolinės prieigos reikalavimą Latvijoje ar 7 lentelės 61 eilutę Lietuvoje. Užsisakykite demonstraciją, ir parengsime bandomąjį diegimą, apimantį paskyras, kurias įvardija jūsų šalies taisyklės, arba pirmiausia išbandykite gyvą demonstraciją savo telefone.

Šiame straipsnyje teisės aktai cituojami pagal 2026 m. spalio 29 d. paskelbtas redakcijas; tai bendro pobūdžio informacija, o ne teisinė konsultacija. Jūsų organizacijai taikomas prievoles, klases ir terminus pasitikslinkite su kvalifikuotais teisininkais ir patikrinkite 2026 m. birželio Lietuvos įstatymo pakeitimus, kurių rašydami negalėjome perskaityti.