DĖL VIEŠOJO TRANSPORTO KELIONIŲ DUOMENŲ INFORMACINĖS SISTEMOS PERTVARKYMO IR VIEŠOJO TRANSPORTO KELIONIŲ DUOMENŲ INFORMACINĖS SISTEMOS NUOSTATŲ IR VIEŠOJO TRANSPORTO KELIONIŲ DUOMENŲ INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIM

LIETUVOS RESPUBLIKOS SUSISIEKIMO MINISTRO

Suvestinė redakcija nuo 2025-04-11

Įsakymas paskelbtas: Žin. 2012, Nr. 111-5660, i. k. 1122210ISAK0003-609

Nauja redakcija nuo 2025-04-11

Nr. 3-138, 2025-04-10, paskelbta TAR 2025-04-10, i. k. 2025-06295

LIETUVOS RESPUBLIKOS SUSISIEKIMO MINISTRAS

ĮSAKYMAS

DĖL VIEŠOJO TRANSPORTO KELIONIŲ DUOMENŲ INFORMACINĖS SISTEMOS PERTVARKYMO IR VIEŠOJO TRANSPORTO KELIONIŲ DUOMENŲ INFORMACINĖS SISTEMOS NUOSTATŲ IR VIEŠOJO TRANSPORTO KELIONIŲ DUOMENŲ INFORMACINĖS SISTEMOS DUOMENŲ SAUGOS NUOSTATŲ PATVIRTINIMO

2012 m. rugsėjo 17 d. Nr. 3-609

Vilnius

Vadovaudamasis Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo 24 straipsnio 2 dalies 2 punktu, 27 straipsnio 1 dalies 1 punktu, Informacinių sistemų steigimo, kūrimo, atnaujinimo, pertvarkymo ir likvidavimo tvarkos aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2024 m. gegužės 15 d. nutarimu Nr. 349 „Dėl Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo įgyvendinimo patvirtinimo“, 15 punktu

1. P e r t v a r k a u Viešojo transporto kelionių duomenų informacinę sistemą – pakeičiu informacinės sistemos tvarkytojus.

2. T v i r t i n u pridedamus

2.1. Viešojo transporto kelionių duomenų informacinės sistemos nuostatus;

2.2. Viešojo transporto kelionių duomenų informacinės sistemos duomenų saugos nuostatus.

3. P a v e d u Lietuvos transporto saugos administracijai

3.1. per 14 darbo dienų nuo šio įsakymo įsigaliojimo dienos paskirti kibernetinio saugumo vadovą, Viešojo transporto kelionių duomenų informacinės sistemos saugos įgaliotinį ir administratorių;

3.2. per 6 mėnesius nuo šio įsakymo įsigaliojimo dienos pateikti susisiekimo ministrui Viešojo transporto kelionių duomenų informacinės sistemos techninio aprašymo (specifikacijos) projektą;

3.3. per 8 mėnesius nuo šio įsakymo įsigaliojimo dienos pateikti susisiekimo ministrui Viešojo transporto kelionių duomenų informacinės sistemos kibernetinio saugumo politikos dokumentų projektus pagal Kibernetinio saugumo reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, nuostatas.

Susisiekimo ministras Rimantas Sinkevičius

SUDERINTA Informacinės visuomenės plėtros komiteto prie Susisiekimo ministerijos 2015 m. gegužės 28 d. raštu Nr. S-750

SUDERINTA Lietuvos Respublikos vidaus reikalų ministerijos 2015 m. birželio 2 d. raštu Nr. 1D-4968

SUDERINTA Lietuvos automobilių kelių direkcijos prie Susisiekimo ministerijos 2015 m. gegužės 22 d. raštu Nr. (12.4E)2(E)-263

SUDERINTA Valstybinės kelių transporto inspekcijos prie Susisiekimo ministerijos 2015 m. gegužės 26 d. raštu Nr. (02)15B-2548

SUDERINTA Akcinės bendrovės „Lietuvos geležinkeliai“ 2015 m. gegužės 27 d. raštu Nr. 2-2005

SUDERINTA Valstybės įmonės Lietuvos oro uostų 2015 m. gegužės 26 d. raštu Nr. 4R-549

SUDERINTA Lietuvos savivaldybių asociacijos 2015 m. gegužės 25 d. raštu Nr. (19)-SD-335

PATVIRTINTA

Lietuvos Respublikos susisiekimo ministro

2012 m. rugsėjo 17 d. įsakymu Nr. 3-609

(Lietuvos Respublikos susisiekimo ministro

2025 m. balandžio 10 d. įsakymo Nr. 3-138

redakcija)

VIEŠOJO TRANSPORTO KELIONių DUOMENŲ INFORMACINĖS SISTEMOS NUOSTATAI

I Skyrius

BENDROsios nuostatos

1. Viešojo transporto kelionių duomenų informacinės sistemos nuostatai (toliau – Nuostatai) reglamentuoja Viešojo transporto kelionių duomenų informacinės sistemos (toliau – IS „Vintra“) steigimo teisinį pagrindą, tikslą, uždavinius, pagrindines funkcijas, organizacinę, informacinę ir funkcinę struktūras, duomenų teikimo ir naudojimo, duomenų ir informacijos pakartotinio panaudojimo sąlygas ir tvarką, duomenų saugą, finansavimo, atnaujinimo, pertvarkymo ir likvidavimo tvarką.

2. IS „Vintra“ steigimo teisinis pagrindas yra Lietuvos Respublikos transporto veiklos pagrindų įstatymo 131 straipsnio 3 dalis.

3. IS „Vintra“ tvarkoma vadovaujantis

3.1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokio duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas);

3.2. Lietuvos Respublikos kibernetinio saugumo įstatymu;

3.3. Lietuvos Respublikos teisės gauti informaciją ir duomenų pakartotinio naudojimo įstatymu;

3.4. Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymu;

3.5. Transporto veiklos pagrindų įstatymu;

3.6. Lietuvos Respublikos oficialiosios statistikos ir valstybės duomenų valdysenos įstatymu;

3.7. Europos parlamento ir Tarybos direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti;

3.8. 2010 m. liepos 7 d. Europos Parlamento ir Tarybos direktyva 2010/40/ES dėl kelių transporto ir jo sąsajų su kitų rūšių transportu srities intelektinių transporto sistemų diegimo sistemos;

3.9. Informacinių sistemų steigimo, kūrimo, atnaujinimo, pertvarkymo ir likvidavimo tvarkos aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2024 m. gegužės 15 d. nutarimu Nr. 349 „Dėl Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo įgyvendinimo“, (toliau – Informacinių sistemų steigimo, kūrimo, atnaujinimo, pertvarkymo ir likvidavimo tvarkos aprašas);

3.10. Valstybės informacinių išteklių svarbos vertinimo tvarkos aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2024 m. gegužės 15 d. nutarimu Nr. 349 „Dėl Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo įgyvendinimo“;

3.11. Valstybės informacinių išteklių svarbos vertinimo metodika, patvirtinta Lietuvos Respublikos ekonomikos ir inovacijų ministro 2023 m. liepos 19 d. įsakymu Nr. 4-418 „Dėl Valstybės informacinių išteklių svarbos vertinimo metodikos patvirtinimo“, (toliau – Metodika);

3.12. Informacinės visuomenės plėtros komiteto direktoriaus 2023 m. kovo 28 d. įsakymu Nr. T-30(2023) „Dėl Informacinės visuomenės plėtros komiteto prie Susisiekimo ministerijos direktoriaus 2013 m. kovo 25 d. įsakymo Nr. T-36 „Dėl duomenų teikimo formatų ir standartų rekomendacijų patvirtinimo“ pakeitimo“;

3.13. kitais susijusiais teisės aktais.

4. Nuostatuose vartojamos sąvokos suprantamos taip, kaip jos yra apibrėžtos Nuostatų 3.1–3.6 papunkčiuose nurodytuose teisės aktuose, Lietuvos Respublikos kelių transporto kodekse. Nuostatuose IS „Vintra“ paslaugų gavėjai suprantami kaip fiziniai ir juridiniai asmenys, naudojantys IS „Vintra“, siekdami gauti kelionės viešuoju transportu maršruto paieškos ir planavimo elektroninę paslaugą.

5. IS „Vintra“ tikslas – informacinių technologijų priemonėmis centralizuotai kaupti maršrutų, reisų, punktų, tvarkaraščių, tarifų, viešojo transporto geografinės padėties ir kitus susijusius duomenis ir teikti maršrutų įvairių rūšių viešuoju transportu planavimo Lietuvos Respublikoje paslaugą.

6. IS „Vintra“ uždaviniai

6.1. teikti elektroninę maršrutų įvairių rūšių viešuoju transportu planavimo Lietuvos Respublikoje paslaugą visiems IS „Vintra“ paslaugų gavėjams;

6.2. automatizuoti maršrutų, punktų, reisų, viešojo transporto kelionių duomenų, tvarkaraščių, tarifų ir kitos susijusios informacijos kaupimą;

6.3. užtikrinti automatizuotą IS „Vintra“ duomenų teikėjų įgaliotų fizinių asmenų, turinčių teisę jungtis prie IS „Vintra“ ir teikti duomenis į ją IS „Vintra“ duomenų teikėjo vardu, (toliau – išoriniai naudotojai) ir IS „Vintra“ vidinių naudotojų (Lietuvos transporto saugos administracijos (toliau – Administracija) valstybės tarnautojų ar darbuotojų, dirbančių pagal darbo sutartis ir IS „Vintra“ naudojančių paskirtoms funkcijoms vykdyti) identifikavimą.

7. Pagrindinės IS „Vintra“ funkcijos

7.1. kaupti, apdoroti, sisteminti maršrutų įvairių rūšių viešuoju transportu duomenis ir kitą susijusią informaciją;

7.2. formuoti ir atvaizduoti maršrutų įvairių rūšių viešuoju transportu duomenis ir informaciją pagal užklausas ir palyginti su kelionės asmeniniu automobiliu Lietuvos Respublikoje duomenimis;

7.3. vykdyti maršrutų punktų paiešką ir atvaizduoti maršrutų punktus žemėlapyje;

7.4. fiksuoti išorinių naudotojų ir IS „Vintra“ vidinių naudotojų (toliau kartu – IS „Vintra“ naudotojai) veiksmus, IS „Vintra“ įvykius.

8. Asmens duomenys IS „Vintra“ tvarkomi siekiant identifikuoti IS „Vintra“ naudotojus, užtikrinti tinkamą IS „Vintra“ naudotojų administravimą, taip pat prižiūrėti ir valdyti IS „Vintra“ procesus, fiksuojant šių asmenų IS „Vintra“ atliekamus veiksmus.

II SKYRIUS

is „vintra“ ORGANIZACINĖ STRUKTŪRA

9. IS „Vintra“ valdytoja ir duomenų valdytoja yra Lietuvos Respublikos susisiekimo ministerija (toliau – IS „Vintra“ valdytojas). IS „Vintra“ valdytojas yra asmens duomenų valdytojas.

10. IS „Vintra“ tvarkytoja ir duomenų tvarkytoja yra Administracija. Administracija yra asmens duomenų tvarkytoja.

11. Valstybės informacinių technologijų paslaugų teikėja ir asmens duomenų tvarkytoja yra Valstybės skaitmeninių sprendimų agentūra (toliau – VSSA).

12. IS „Vintra“ valdytojas ir asmens duomenų valdytojas

12.1. vykdo Reglamente (ES) 2016/679 nustatytas duomenų valdytojo teises ir pareigas;

12.2. atlieka Valstybės informacinių išteklių valdymo įstatymo informacinės sistemos valdytojui ir duomenų valdytojui nustatytas funkcijas, turi šiame įstatyme nurodytas teises ir pareigas.

13. Administracija, kaip IS „Vintra“ tvarkytoja, duomenų tvarkytoja ir asmens duomenų tvarkytoja

13.1. atlieka Valstybės informacinių išteklių valdymo įstatymo informacinės sistemos tvarkytojui ir duomenų tvarkytojui nustatytas funkcijas ir įgyvendina šiame įstatyme nurodytas teises ir pareigas;

13.2. vykdo Reglamente (ES) 2016/679 nustatytas duomenų tvarkytojo prievoles; Reglamento (ES) 2016/679 28 straipsnio 3 dalyje nustatytos duomenų tvarkytojo prievolės duomenų valdytojo atžvilgiu detaliai aptariamos asmens duomenų tvarkymo sutartyje, sudarytoje tarp IS „Vintra“ valdytojo ir Administracijos;

13.3. asmens duomenų valdytojo įgaliota imasi veiksmų dėl duomenų subjekto prašymo pasinaudoti Reglamento (ES) 2016/679 III skyriuje nustatytomis duomenų subjekto teisėmis;

13.4. teikia IS „Vintra“ duomenis, sudaro sutartis su duomenų teikėjais ir gavėjais ir jas administruoja;

13.5. tvarko tolimojo ir tarptautinio reguliariojo susisiekimo autobusais maršrutų duomenis;

13.6. teisės aktų nustatyta tvarka formuoja ir teikia reikiamas IS „Vintra“ duomenų ataskaitas;

13.7. tvarko IS „Vintra“ duomenų bazės archyvą;

13.8. gauna duomenis iš kitų informacinių sistemų, teikia informaciją registrų informacinėms sistemoms ir kitoms informacinėms sistemoms;

13.9. Lietuvos Respublikos viešųjų pirkimų įstatymo nustatyta tvarka organizuoja pirkimo procedūras ir sudaro sutartis su juridiniais asmenimis ar asmenimis (asmenų grupėmis), kuriems Valstybės informacinių išteklių valdymo įstatymo 39 straipsnyje nustatytomis sąlygomis ir tvarka perduodama IS „Vintra“ techninė priežiūra (toliau – techninės priežiūros paslaugų teikėjas (-ai));

13.10. atlieka kitas Nuostatuose ir kituose teisės aktuose, susijusiuose su IS „Vintra“ tvarkymu, nustatytas funkcijas.

14. VSSA

14.1. atlieka Valstybės informacinių išteklių valdymo įstatymo valstybės informacinių technologijų paslaugų teikėjui nustatytas funkcijas, turi šiame įstatyme nurodytas teises ir pareigas;

14.2. vykdo Reglamente (ES) 2016/679 nustatytas duomenų tvarkytojo teises ir pareigas; Reglamento (ES) 2016/679 28 straipsnio 3 dalyje nustatytos duomenų tvarkytojo prievolės duomenų valdytojo atžvilgiu detaliai aptariamos asmens duomenų tvarkymo sutartyje, sudarytoje tarp IS „Vintra“ valdytojo ir VSSA.

15. Techninės priežiūros paslaugų teikėjas (-ai) yra Administracijos pasitelktas (-i) kitas (-i) asmens duomenų tvarkytojas (-ai), kuris (-ie)

15.1. Administracijos pavedimu tvarko IS „Vintra“ duomenis ir vykdo Reglamento (ES) 2016/679 28 straipsnio 3 dalyje nustatytas prievoles; detalios Reglamento (ES) 2016/679 28 straipsnio 2 ir 4 dalyse nustatytos sąlygos nurodomos asmens duomenų tvarkymo sutartyje (-yse), sudarytoje (-ose) tarp Administracijos ir techninės priežiūros paslaugų teikėjo (-ų);

15.2. vykdo IS „Vintra“ veikimo, techninės ir programinės įrangos palaikymą, priežiūrą ir modifikavimą;

15.3. užtikrina IS „Vintra“ duomenų saugą.

16. IS „Vintra“ duomenų teikėjai

16.1. IS „Vintra“ duomenų teikėjai, teikiantys duomenis iš savo vidaus informacinių sistemų

16.1.1. akcinė bendrovė „Via Lietuva“;

16.1.2. Administracija;

16.1.3. vežėjai, teikiantys keleivių vežimo viešuoju geležinkelių transportu paslaugas;

16.1.4. akcinė bendrovė Lietuvos oro uostai;

16.1.5. Lietuvos savivaldybių administracijos ir (ar) jų įsteigtos įmonės, tvirtinančios viešojo transporto maršrutus, bei kitos Lietuvos savivaldybių administracijų įgaliotos įmonės ir (ar) įstaigos;

16.1.6. jūrų uostai;

16.1.7. kiti vežėjai;

16.2. viešoji įstaiga Statybos sektoriaus vystymo agentūra per Lietuvos erdvinės informacijos portalą teikianti Georeferencinio pagrindo kadastro duomenis.

17. IS „Vintra“ naudojantys asmenys yra IS „Vintra“ paslaugų gavėjai, kurie turi teisę

17.1. gauti viešojo transporto kelionių duomenis (tvarkaraščius, tarifus ir kitą susijusią informaciją) ir elektroninę maršrutų įvairių rūšių viešuoju transportu planavimo Lietuvos Respublikoje paslaugą;

17.2. naudoti viešojo transporto kelionių duomenis, kiek tai leidžia Nuostatai, IS „Vintra“ kibernetinio saugumo politikos dokumentai.

III SKYRIUS

is „Vintra“ INFORMACINĖ STRUKTŪRA

18. Duomenų bazėje kaupiami ir tvarkomi duomenys

18.1. maršruto duomenys (maršruto numeris, transporto rūšis, maršruto tipas, maršruto zona, maršruto pavadinimas, maršruto galinių punktų duomenys, maršruto leidimo būsena ir numeris, maršruto galiojimo terminas, maršruto punktų ir jų eiliškumo duomenys, maršruto aprašomieji duomenys);

18.2. reiso duomenys (maršruto numeris, reiso numeris, vežėjo identifikatorius, transporto priemonės tipas, reiso paslaugų duomenys, reiso kryptis, reiso galiojimo datos, reiso dažnumas, reiso aprašomieji duomenys);

18.3. maršruto punkto duomenys (maršruto punkto identifikatorius, maršruto punkto pavadinimas, maršruto punkto erdviniai duomenys, gatvės ar kelio duomenys, savivaldybės duomenys, tarifų zonos duomenys, maršruto punkto interneto puslapio adresas, maršruto punkto priklausymo kitam maršruto punktui ar maršruto punktų grupei duomenys, maršruto punkto aprašomieji duomenys);

18.4. tvarkaraščio duomenys (atvykimo laikas, išvykimo laikas, keleivių galimų veiksmų duomenys);

18.5. kelionių dienų grupių duomenys (kelionių dienų grupės pavadinimas, grupės dienų datos, grupės savaitės dienos, dienų grupės galiojimo datos, grupės išimčių datos);

18.6. viešojo transporto priemonių geografinės padėties duomenys (maršruto numeris, reiso numeris, transporto priemonės identifikatorius, transporto priemonės geografinės koordinatės, greičio ir atstumų duomenys, transporto priemonės padėties maršruto atžvilgiu duomenys);

18.7. tarifų ir kainoraščių duomenys;

18.8. savivaldybių duomenys (savivaldybės administracijos kodas, savivaldybės administracijos pavadinimas, savivaldybės administracijos adresas, savivaldybės administracijos telefono ryšio numeris, savivaldybės administracijos elektroninio pašto adresas, savivaldybės interneto svetainės adresas);

18.9. vežėjų duomenys (vežėjo įmonės kodas, vežėjo pavadinimas, vežėjo adresas, vežėjo kontaktinis telefono ryšio numeris, vežėjo elektroninio pašto adresas, vežėjo interneto svetainės adresas, vežėjo bilietų prekybos interneto svetainės adresas);

18.10. IS „Vintra“ naudotojų duomenys (vardas (vardai) ir pavardė (pavardės), pareigos, institucijos, kuriai atstovauja asmuo, pavadinimas, elektroninio pašto adresas, telefono ryšio numeris, prisijungimo vardas, užšifruotas prisijungimo slaptažodis, darbo su IS „Vintra“ teisės, prisijungimo prie IS „Vintra“ data ir laikas, IP adresas bei veiksmai, kuriuos atliko IS „Vintra“ naudotojas);

18.11. informacija apie leidimo vežti maršrutu būseną, numerį ir leidimo galiojimo terminą;

18.12. valstybinės reikšmės keliuose esančių maršruto punktų duomenys (stotelės pavadinimas, kelio numeris, priežiūrą atliekanti įstaiga, važiavimo dalies informacija, kilometrai, kelio pusė, pastabos, stotelės identifikacinis kodas, stotelės elementų tipas, stotelės elementų skaičius, stotelės elementų būklė, stotelės ilguma, stotelės platuma, adresas, savivaldybė, teikiamos paslaugos, teikiamų paslaugų interneto svetainės adresas).

19. Iš duomenų teikėjų gaunami duomenys

19.1. iš Administracijos tvarkomos IS „Keltra“ gaunami duomenys, nurodyti Nuostatų 18.11 ir 18.12 papunkčiuose;

19.2. iš Nuostatų 16.1.1 papunktyje nurodyto duomenų teikėjo tvarkomos Valstybinės ir vietinės reikšmės kelių turto valdymo informacinės sistemos gaunami duomenys, nurodyti Nuostatų 18.12 papunktyje;

19.3. iš Nuostatų 16.1.2 ir 16.1.6 papunkčiuose nurodytų duomenų teikėjų gaunami duomenys, nurodyti Nuostatų 18.1–18.6, 18.9 ir 18.10 papunkčiuose;

19.4. iš Nuostatų 16.1.3 ir 16.1.7 papunkčiuose nurodytų duomenų teikėjų gaunami duomenys, nurodyti Nuostatų 18.1–18.7 ir 18.9 papunkčiuose;

19.5. iš Nuostatų 16.1.4 papunktyje nurodyto duomenų teikėjo gaunami duomenys, nurodyti Nuostatų 18.1–18.5 papunkčiuose;

19.6. iš Nuostatų 16.1.8 papunktyje nurodyto duomenų teikėjo gaunami duomenys, nurodyti Nuostatų 18.6 ir 18.7 papunkčiuose.

20. IS „Vintra“ veiklai užtikrinti naudojami Georeferencinio pagrindo kadastro duomenys, kuriuos teikia viešoji įstaiga Statybos sektoriaus vystymo agentūra.

IV Skyrius

IS „Vintra“ FUNKCINĖ STRUKTŪRA

21. IS „Vintra“ funkcinę struktūrą sudaro šie komponentai

21.1. maršruto viešinimo (elektroninių paslaugų) komponentas (interneto svetainė, nešiojamųjų įrenginių ir kitų viešinimo priemonių sąsajos), kurio funkcijos

21.1.1. formuoti maršrutų paieškos ir peržiūros užklausas;

21.1.2. ieškoti ir atvaizduoti žemėlapyje informaciją pagal pateiktas užklausas;

21.1.3. formuoti kiekvieno maršruto, reisų ir tvarkaraščių sąrašus;

21.1.4. formuoti maršruto punktų atvaizdavimą žemėlapyje, artimiausio maršruto punkto paiešką pagal IS „Vintra“ paslaugų gavėjo nurodytą adresą arba koordinates;

21.1.5. atvaizduoti maršrutų, reisų ir tvarkaraščių ir realaus laiko transporto priemonių atvykimo laikus konkrečiame maršruto punkte;

21.1.6. formuoti optimalaus (alternatyvaus) maršruto paiešką ir atvaizduoti žemėlapyje;

21.1.7. formuoti kelionės viešuoju transportu palyginimo su kelionės asmeniniu automobiliu duomenų ataskaitas;

21.1.8. formuoti ir teikti pranešimus apie reisų pakeitimus, atšaukimus ir kitas būsenas, susieti pranešimus su atitinkamais maršrutais ar reisais;

21.1.9. apskaičiuoti ir pateikti preliminarias kelionės kainas;

21.2. maršruto duomenų tvarkymo komponentas, kurio funkcijos

21.2.1. rinkti, sisteminti ir teikti informaciją apie maršruto punktus (su galimybe naudoti interaktyvius žemėlapius);

21.2.2. rinkti, sisteminti ir teikti informaciją apie reguliaraus susisiekimo reisus, tvarkaraščius;

21.2.3. rinkti, sisteminti ir teikti informaciją, susijusią su maršrutais ir maršruto punktais, (paslaugų tipų, maršruto punktų grupių ir kitų atributų);

21.2.4. rinkti, sisteminti ir teikti informaciją apie tarifus ir kainoraščius;

21.3. valdymo komponentas, kurio funkcijos

21.3.1. sisteminti ir taikyti IS „Vintra“ parametrus;

21.3.2. identifikuoti IS „Vintra“ naudotojus, juos registruoti ir konfigūruoti jų teises;

21.3.3. formuoti ir teikti IS „Vintra“ naudotojų veiksmų registracijos audito žurnalus ir veiksmų ataskaitas;

21.3.4. formuoti naudotojų veiksmų ataskaitas;

21.3.5. taikyti duomenų analizės įrankius;

21.4. duomenų mainų komponentas, kurio funkcijos

21.4.1. konfigūruoti IS „Vintra“ sąsajas su kitomis informacinėmis sistemomis ir registrais;

21.4.2. importuoti ir eksportuoti duomenis.

V skyrius

is „vintra“ DUOMENŲ TEIKIMAS, NAUDOJIMAS IR TAISYMAS

22. IS „Vintra“ tvarkomi duomenys teikiami duomenų gavėjams Valstybės informacinių išteklių valdymo įstatyme, kituose Lietuvos Respublikos įstatymuose ir Nuostatuose nustatyta tvarka, jeigu kituose Lietuvos Respublikos įstatymuose, tiesiogiai taikomuose Europos Sąjungos teisės aktuose ar Lietuvos Respublikos tarptautinėse sutartyse nenustatyta kitaip.

23. IS „Vintra“ duomenys gali būti teikiami

23.1. automatiniu būdu, naudojant informacinių sistemų sąsajas;

23.2. kitais tiesiogiai taikomuose Europos Sąjungos teisės aktuose, Lietuvos Respublikos tarptautinėse sutartyse, kituose Lietuvos Respublikos įstatymuose nustatytais būdais.

24. IS „Vintra“ duomenys duomenų gavėjams teikiami tokio formato, turinio ar apimties, kokia naudojama IS „Vintra“, t. y. duomenys papildomai neapdorojami. Tais atvejais, kai IS „Vintra“ tvarkomų duomenų formatas, turinys ar apimtis neatitinka duomenų gavėjo poreikių dėl duomenų formato, turinio ar apimties arba duomenų gavėjas neturi techninių galimybių tinkamai apdoroti gautų IS „Vintra“ duomenų, Administracija, esant techninėms galimybėms, gali duomenis pateikti kitu formatu, kuris turi būti numatytas duomenų teikimo sutartyje. Duomenų gavėjas atlygina patirtas sąnaudas programinei įrangai sukurti ir palaikyti, nepaisant to, ar jis turi teisę gauti IS „Vintra“ tvarkomus duomenis neatlygintinai Valstybės informacinių išteklių valdymo įstatymo 31 straipsnio 4 dalies 3 punkte nurodytu atveju.

25. IS „Vintra“ duomenys teikiami IS „Vintra“ duomenų gavėjui

25.1. pagal IS „Vintra“ duomenų gavėjo rašytinį prašymą (vienkartinio teikimo atveju), kuriame nurodomas IS „Vintra“ duomenų naudojimo tikslas, teikimo bei gavimo teisinis pagrindas ir prašomų pateikti IS „Vintra“ duomenų apimtis; IS „Vintra“ duomenys pagal duomenų gavėjo prašymą pateikiami ne vėliau nei per 7 kalendorines dienas;

25.2. pagal Administracijos ir IS „Vintra“ duomenų gavėjo sudarytą duomenų teikimo sutartį ar automatizuotą duomenų teikimo sutartį (daugkartinio teikimo atveju), kurioje nurodomas IS „Vintra“ duomenų naudojimo tikslas, teikimo ir gavimo teisinis pagrindas, sąlygos, tvarka ir teikiamų IS „Vintra“ duomenų apimtis, duomenų teikimo būdas, teikiamų duomenų formatas, teikimo terminai;

25.3. Valstybės duomenų agentūros direktoriaus tvirtinamuose standartizuotų duomenų teikimo sąlygų aprašuose nustatyta tvarka (daugkartinio teikimo atveju).

26. IS „Vintra“ duomenys teikiami neatlygintinai, jeigu kituose Lietuvos Respublikos įstatymuose, tiesiogiai taikomuose Europos Sąjungos teisės aktuose ar Lietuvos Respublikos tarptautinėse sutartyse nenustatyta kitaip.

27. Duomenų naudojimo sąlygos ir tvarka nustatytos Viešojo transporto kelionių duomenų kaupimo tvarkos apraše, patvirtintame Lietuvos Respublikos susisiekimo ministro 2014 m. gegužės 21 d. įsakymu Nr. 3-210-(E) „Dėl Viešojo transporto kelionių duomenų kaupimo tvarkos aprašo patvirtinimo“.

28. Sudaryti sutarčių dėl išimtinių teisių teikti IS „Vintra“ duomenis ir (arba) juos naudoti nenumatoma.

29. IS „Vintra“ duomenis duomenų gavėjas gali naudoti tik tokiam tikslui, tokios apimties ir tokiu būdu, kokie buvo nurodyti duomenų gavėjo prašyme arba duomenų teikimo sutartyje.

30. IS „Vintra“ tvarkomi duomenys Europos Sąjungos valstybių narių ar Europos ekonominės erdvės valstybių duomenų gavėjams teikiami tokia pačia tvarka ir sąlygomis kaip ir Lietuvos Respublikos duomenų gavėjams.

31. Trečiųjų šalių, kurios nėra Europos Sąjungos valstybės narės ar Europos ekonominės erdvės valstybės, duomenų gavėjams IS „Vintra“ duomenys teikiami tokia pačia tvarka ir sąlygomis kaip ir Lietuvos Respublikos duomenų gavėjams, jeigu Valstybės informacinių išteklių valdymo įstatymo ir kitų Lietuvos Respublikos įstatymų, tiesiogiai taikomų Europos Sąjungos teisės aktų ir jų įgyvendinamųjų teisės aktų ar kitų tarptautinės teisės aktų reikalavimai nenustato kitos tvarkos ar sąlygų, – tokiu atveju taikoma juose nustatyta tvarka ir sąlygos.

32. IS „Vintra“ duomenų teikimas gali būti apribotas Valstybės informacinių išteklių valdymo įstatymo 28 straipsnio 11 dalyje nustatytais atvejais.

33. Kai atsisakoma teikti IS „Vintra“ duomenis, asmeniui, pateikusiam prašymą juos gauti, raštu arba elektroninių ryšių priemonėmis pranešama apie priimtą motyvuotą sprendimą atsisakyti tenkinti jo prašymą ir suteikiama informacija apie tokio sprendimo apskundimo tvarką. Sprendimas atsisakyti teikti IS „Vintra“ duomenis gali būti skundžiamas Lietuvos Respublikos administracinių bylų teisenos įstatymo nustatyta tvarka ir terminais.

34. IS „Vintra“ duomenų gavėjas, IS „Vintra“ duomenų teikėjas, susijusio registro informacinės sistemos ar kitos informacinės sistemos tvarkytojas ir kiti asmenys, pastebėję netikslumų, turi teisę reikalauti IS „Vintra“ valdytojo ir (arba) Administracijos ištaisyti netikslius duomenis, ištrinti neteisingus duomenis, papildyti neišsamius duomenis arba apriboti IS „Vintra“ duomenų tvarkymą, apie tai raštu pranešdami IS „Vintra“ valdytojui ir (arba) Administracijai.

35. Administracija, gavusi reikalavimą patikslinti ar ištaisyti netikslius, neteisingus, neišsamius duomenis (toliau – netikslūs duomenys), per 5 darbo dienas nuo informacijos gavimo patikrina IS „Vintra“ duomenų tikslumą ir, jei reikia, ištaiso netikslius duomenis. Pranešimas apie netikslių duomenų ištaisymą arba apie motyvuotą atsisakymą tai padaryti nedelsiant (ne vėliau kaip per vieną darbo dieną) siunčiamas asmeniui, pranešusiam apie netikslius duomenis, paštu arba elektroninių ryšių priemonėmis. Ištaisiusi netikslius duomenis, Administracija per vieną darbo dieną nuo jų ištaisymo elektroninių ryšių priemonėmis arba raštu apie tai praneša IS „Vintra“ duomenų gavėjams, kuriems perduoti netikslūs duomenys. Administracija, nustačiusi, kad IS „Vintra“ yra duomenų netikslumų, turi nedelsdama (ne vėliau kaip per vieną darbo dieną) elektroninių ryšių priemonėmis arba raštu perduoti šią informaciją susijusiam duomenų teikėjui.

VI SKYRIUS

ASMENS DUOMENŲ TVARKYMO REIKALAVIMAI

36. Fizinių asmenų asmens duomenys teikiami Nuostatų 25 punkto nustatyta tvarka laikantis Reglamento (ES) 2016/679 ir Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo reikalavimų. IS „Vintra“ tvarkomi asmens duomenys trečiųjų šalių, kurios nėra Europos Sąjungos valstybės narės ar Europos ekonominės erdvės valstybės, duomenų gavėjams teikiami vadovaujantis Reglamento (ES) 2016/679 V skyriuje nustatytais reikalavimais.

37. Duomenų gavėjai gautų asmens duomenų negali keisti ir privalo juos naudoti tik duomenų sutartyje ar prašyme nurodytu tikslu ir apimtimi. Asmens duomenys naudojami vadovaujantis Reglamentu (ES) 2016/679 ir Asmens duomenų teisinės apsaugos įstatymu.

38. Duomenų gavėjų, registro informacinės sistemos ar kitos informacinės sistemos tvarkytojų, kitų asmenų, pastebėjusių netikslius ir klaidingus fizinių asmenų asmens duomenis, prašymu tokie duomenys taisomi Nuostatų 34 ir 35 punktų nustatyta tvarka. Duomenų subjekto prašymu netikslūs ir klaidingi jo asmens duomenys taisomi vadovaujantis Reglamentu (ES) 2016/679 ir susisiekimo ministro tvirtinamu duomenų subjektų teisių įgyvendinimo tvarkant asmens duomenis Lietuvos Respublikos susisiekimo ministerijos valdomuose registruose ir valstybės informacinėse sistemose tvarkos aprašu (toliau – Duomenų subjektų teisių įgyvendinimo tvarkos aprašas).

39. Detali duomenų subjekto teisių įgyvendinimo tvarka nustatyta Duomenų subjektų teisių įgyvendinimo tvarkos apraše.

40. Asmenys, tvarkantys asmens duomenis, privalo saugoti asmens duomenų paslaptį, jeigu šie asmens duomenys neskirti skelbti viešai. Ši pareiga galioja ir jiems pasitraukus iš valstybės tarnybos, perėjus dirbti į kitas pareigas, pasibaigus jų darbo, sutartiniams ar kitiems santykiams.

41. IS „Vintra“ valdytojas, Administracija, VSSA atsako už asmens duomenų tvarkymo teisėtumą ir pagal kompetenciją privalo įgyvendinti tinkamas organizacines ir technines priemones, skirtas IS „Vintra“ tvarkomiems asmens duomenims apsaugoti nuo netyčinio ar neteisėto sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų. Minėtos priemonės turi užtikrinti tokio lygio saugumą, kuris atitiktų IS „Vintra“ tvarkomų asmens duomenų pobūdį, aprėptį, kontekstą ir tikslus, taip pat IS „Vintra“ tvarkomų asmens duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus asmenų teisėms ir laisvėms ir jų tvarkymo riziką.

42. IS „Vintra“ tvarkomų asmens duomenų saugumas užtikrinamas vadovaujantis

42.1. Reglamentu (ES) 2016/679;

42.2. Valstybės informacinių išteklių valdymo įstatymu;

42.3. Kibernetinio saugumo įstatymu;

42.4. Kibernetinio saugumo reikalavimų aprašu, patvirtintu Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, (toliau – Kibernetinio saugumo reikalavimų aprašas);

42.5. IS „Vintra“ kibernetinio saugumo politikos dokumentais.

VII SKYRIUS

IS „vintra“ TVARKOMŲ DUOMENŲ PAKARTOTINIS NAUDOJIMAS

43. Interneto svetainėje www.visimarsrutai.lt skelbiami Nuostatų 18.1–18.7 papunkčiuose nurodyti duomenys, taip pat savivaldybės administracijos pavadinimas, savivaldybės administracijos telefono ryšio numeris, savivaldybės interneto svetainės adresas, vežėjo pavadinimas ir vežėjo interneto svetainės adresas.

44. Nuostatų 18.1–18.6 papunkčiuose nurodyti duomenys teikiami į Lietuvos atvirų duomenų portalą.

45. IS „Vintra“ duomenų pakartotinio naudojimo sąlygas, atvirų duomenų rinkinių sudarymo ir su šiais rinkiniais susijusių paslaugų teikimo tvarką nustato Teisės gauti informaciją ir duomenų pakartotinio naudojimo įstatymas.

VIII skyrius

IS „vintra“ KIBERNETINIS SAUGUMAS

46. IS „Vintra“ duomenų saugą reglamentuoja IS „Vintra“ valdytojo patvirtinti IS „Vintra“ kibernetinio saugumo politikos dokumentai, kurie rengiami, derinami ir tvirtinami Lietuvos Respublikos Vyriausybės nustatyta tvarka.

47. Už IS „Vintra“ kibernetinį saugumą pagal kompetenciją atsako IS „Vintra“ valdytojas ir Administracija Lietuvos Respublikos įstatymų nustatyta tvarka. IS „Vintra“ valdytojas ir Administracija atsako už IS „Vintra“ duomenų tvarkymo teisėtumą ir pagal kompetenciją privalo įgyvendinti tinkamas organizacines ir technines priemones, skirtas IS „Vintra“ esantiems duomenims apsaugoti nuo netyčinio ar neteisėto sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.

48. IS „Vintra“ duomenų saugumas užtikrinamas vadovaujantis

48.1. Reglamentu (ES) 2016/679;

48.2. Valstybės informacinių išteklių valdymo įstatymu;

48.3. Kibernetinio saugumo įstatymu;

48.4. Kibernetinio saugumo reikalavimų aprašu;

48.5. Lietuvos standartais LST EN ISO/IEC 27001 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“, LST EN ISO/IEC 27002 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“ ir kitais Lietuvos ir tarptautiniais „Informacijos technologija. Saugumo metodai“ grupės standartais, apibūdinančiais saugų informacinės sistemos duomenų tvarkymą;

48.6. IS „Vintra“ kibernetinio saugumo politikos dokumentais.

49. Duomenys saugomi IS „Vintra“ duomenų bazėje iki naujų duomenų gavimo; atnaujinus duomenis, seni duomenys iš IS „Vintra“ duomenų bazės perkeliami į IS „Vintra“ duomenų bazės archyvą, kuriame duomenys saugomi iki bus priimti sprendimai Nuostatų 52 punkte nustatyta tvarka. Asmens duomenys IS „Vintra“ duomenų bazėje saugomi 2 metus nuo IS „Vintra“ naudotojo paskyros uždarymo dienos. Pasibaigus šiame Nuostatų punkte nurodytiems asmens duomenų saugojimo terminams, asmens duomenys nedelsiant sunaikinami. Už asmens duomenų sunaikinimą atsakinga Administracija.

50. Vadovaujantis Metodikos 8.5.4 papunkčiu, IS „Vintra“ tvarkoma elektroninė informacija priskiriama mažos svarbos valstybės informaciniams ištekliams.

IX skyrius

BAIGIAMOSIOS NUOSTATOS

51. IS „Vintra“ kūrimas ir diegimas, veikimo, techninės ir programinės įrangos palaikymas, priežiūra, techninė priežiūra, atnaujinimas ir pertvarkymas finansuojami iš Lietuvos Respublikos valstybės biudžeto, įskaitant Europos Sąjungos struktūrinius fondus, lėšų ir (ar) Europos Sąjungos ir kitos tarptautinės finansinės paramos lėšų.

52. IS „Vintra“ atnaujinama, pertvarkoma arba likviduojama Valstybės informacinių išteklių valdymo įstatymo ir Informacinių sistemų steigimo, kūrimo, atnaujinimo, pertvarkymo ir likvidavimo tvarkos aprašo nustatyta tvarka.

53. Likviduojant IS „Vintra“, IS „Vintra“ duomenys perduodami kitai informacinei sistemai, sunaikinami ar perduodami Lietuvos valstybės naujajam archyvui Lietuvos vyriausiojo archyvaro nustatyta tvarka.

54. Asmenys, pažeidę Nuostatų ir kitų teisės aktų nuostatas, reglamentuojančias IS „Vintra“ veiklą, atsako įstatymų nustatyta tvarka.

_________________

PATVIRTINTA

Lietuvos Respublikos susisiekimo ministro

2012 m. rugsėjo 17 d. įsakymu Nr. 3-609

(Lietuvos Respublikos susisiekimo ministro

2025 m. balandžio 10 d. įsakymo Nr. 3-138

redakcija)

VIEŠOJO TRANSPORTO KELIONIŲ DUOMENŲ INFORMACINĖS SISTEMOS

DUOMENŲ SAUGOS NUOSTATAI

I SKYRIUS

BENDROSIOS NUOSTATOS

1. Viešojo transporto kelionių duomenų informacinės sistemos duomenų saugos nuostatai (toliau – Saugos nuostatai) reglamentuoja Viešojo transporto kelionių duomenų informacinės sistemos (toliau – IS „Vintra“) kibernetinio saugumo politiką, kurios tikslas – nustatyti ir įgyvendinti organizacines, administracines, technines ir kitas priemones, suteikiančias galimybę saugiai tvarkyti IS „Vintra“ duomenis ir užtikrinti, kad duomenys būtų patikimi ir apsaugoti nuo netyčinio ar neteisėto sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.

2. Saugos nuostatuose vartojamos sąvokos suprantamos taip, kaip jos yra apibrėžtos Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatyme, Lietuvos Respublikos kibernetinio saugumo įstatyme ir Lietuvos Respublikos standartuose LST ISO/IEC 27002 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo kontrolės priemonių praktikos nuostatai“ ir LST ISO/IEC 27001 „Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai“.

3. Saugos nuostatai kartu su kitais kibernetinio saugumo politikos dokumentais, kuriais vadovaujamasi įgyvendinant tinklų ir IS „Vintra“ saugumo politiką, sudaro IS „Vintra“ kibernetinio saugumo politikos dokumentus.

4. IS „Vintra“ kibernetinio saugumo užtikrinimo tikslai

4.1. sudaryti sąlygas saugiai automatizuotomis priemonėmis tvarkyti IS „Vintra“ duomenis;

4.2. užtikrinti IS „Vintra“ duomenų patikimumą, konfidencialumą, prieinamumą, vientisumą ir tinkamą kompiuterinės, programinės ir ryšių įrangos funkcionavimą;

4.3. vykdyti kibernetinių incidentų, asmens duomenų saugumo pažeidimų prevenciją, reaguoti į kibernetinius incidentus, asmens duomenų saugumo pažeidimus ir juos operatyviai suvaldyti.

5. IS „Vintra“ kibernetinio saugumo užtikrinimo prioritetinės kryptys

5.1. IS „Vintra“ duomenims tvarkyti naudojamos techninės ir programinės įrangos kontrolė;

5.2. IS „Vintra“ duomenų tvarkymo kontrolė;

5.3. saugaus darbo su IS „Vintra“ duomenimis kontrolė;

5.4. fizinė IS „Vintra“ duomenų tvarkymo priemonių (tarnybinių stočių, informacijos perdavimo įrangos, programinės įrangos) ir patalpų apsauga;

5.5. IS „Vintra“ veiklos tęstinumas.

6. IS „Vintra“ valdytoja, duomenų valdytoja ir asmens duomenų valdytoja yra Lietuvos Respublikos susisiekimo ministerija (toliau – IS „Vintra“ valdytojas). IS „Vintra“ tvarkytoja, duomenų tvarkytoja ir asmens duomenų tvarkytoja yra Lietuvos transporto saugos administracija (toliau – Administracija).

7. Valstybės informacinių technologijų paslaugų teikėja ir asmens duomenų tvarkytoja yra Valstybės skaitmeninių sprendimų agentūra (toliau – VSSA).

8. Saugos nuostatais privalo vadovautis

8.1. Administracijos valstybės tarnautojai ar darbuotojai, dirbantys pagal darbo sutartis, kibernetinio saugumo vadovas, IS „Vintra“ saugos įgaliotinis (toliau – saugos įgaliotinis), IS „Vintra“ administratorius;

8.2. Administracijos Lietuvos Respublikos viešųjų pirkimų įstatymo nustatyta tvarka išrinkto juridinio asmens ar asmenų (asmenų grupės), kuriems Valstybės informacinių išteklių valdymo įstatymo 39 straipsnyje nustatytomis sąlygomis ir tvarka perduotos IS „Vintra“ ir (ar) informacinių technologijų priemonių techninės priežiūros funkcijos (toliau – IS „Vintra“ paslaugų teikėjas (-ai)), darbuotojai, informacinių sistemų veiklą reglamentuojančių teisės aktų nustatyta tvarka pagal kompetenciją naudojantys ir (ar) tvarkantys IS „Vintra“ duomenis (toliau – IS „Vintra“ paslaugų teikėjo (-ų) darbuotojai);

8.3. VSSA valstybės tarnautojai ir darbuotojai, dirbantys pagal darbo sutartis;

8.4. VSSA Viešųjų pirkimų įstatymo nustatyta tvarka pasirinkto (-ų) informacinių technologijų paslaugų teikėjo (-ų) darbuotojai;

8.5. kiti subjektai, kuriems taikomi Saugos nuostatų reikalavimai.

9. IS „Vintra“ valdytojas atlieka šias funkcijas

9.1. formuoja IS „Vintra“ kibernetinio saugumo politiką ir organizuoja jos įgyvendinimą, priežiūrą ir duomenų tvarkymo teisėtumą;

9.2. tvirtina IS „Vintra“ kibernetinio saugumo politikos dokumentus, prižiūri ir kontroliuoja, kad IS „Vintra“ duomenys būtų tvarkomi vadovaujantis šiais dokumentais, IS „Vintra“ nuostatais ir kitais teisės aktais, reglamentuojančiais kibernetinį saugumą;

9.3. nagrinėja Administracijos ir VSSA pasiūlymus dėl IS „Vintra“ kibernetinio saugumo tobulinimo ir priima dėl jų sprendimus;

9.4. atsižvelgdamas į rizikos vertinimo ataskaitą, prireikus tvirtina rizikos valdymo planą;

9.5. priima sprendimą dėl IS „Vintra“ atitikties Kibernetinio saugumo įstatymui, Kibernetinio saugumo reikalavimų aprašo, patvirtinto Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, (toliau – Aprašas) ir IS „Vintra“ kibernetinio saugumo politikos dokumentuose nustatytiems reikalavimams vertinimo (toliau – IS „Vintra“ atitikties vertinimas) atlikimo;

9.6. prireikus tvirtina IS „Vintra“ identifikuotų neatitikčių šalinimo planą;

9.7. paveda Administracijai paskirti saugos įgaliotinį, IS „Vintra“ administratorių, kibernetinio saugumo vadovą;

9.8. vykdo kitas IS „Vintra“ saugos dokumentų ir kitų teisės aktų, reglamentuojančių kibernetinį saugumą, jam nustatytas funkcijas.

10. Administracija atlieka šias funkcijas

10.1. įgyvendina reikiamas administracines, technines ir organizacines saugos priemones, užtikrina kibernetinio saugumo reikalavimų atitiktį IS „Vintra“ kibernetinio saugumo politikos dokumentams;

10.2. skiria saugos įgaliotinį, kibernetinio saugumo vadovą ir IS „Vintra“ administratorių;

10.3. rengia IS „Vintra“ kibernetinio saugumo politikos dokumentus ir teikia juos tvirtinti IS „Vintra“ valdytojui;

10.4. teikia IS „Vintra“ valdytojui pasiūlymus dėl IS „Vintra“ plėtros, saugos ir funkcionalumo;

10.5. organizuoja IS „Vintra“ plėtrą ir pakeitimų įdiegimą;

10.6. rūpinasi IS „Vintra“ duomenų saugumu, užtikrina tinkamą IS „Vintra“ administravimą ir nepertraukiamą IS „Vintra“ veiklą;

10.7. koordinuoja ir kontroliuoja Administracijos valstybės tarnautojų ir darbuotojų, dirbančių pagal darbo sutartis, kurie naudoja IS „Vintra“ paskirtoms funkcijoms vykdyti, bei IS „Vintra“ paslaugos teikėjo (-ų) darbuotojų veiklą (toliau kartu – IS „Vintra“ vidiniai naudotojai);

10.8. atlieka kitas IS „Vintra“ valdytojo pavestas, IS „Vintra“ kibernetinio saugumo politikos dokumentuose bei teisės aktuose, reglamentuojančiuose kibernetinį saugumą, jam priskirtas funkcijas.

11. VSSA atlieka šias funkcijas

11.1. saugo IS „Vintra“ duomenis, taip pat daro, saugo ir naikina virtualių mašinų rezervines duomenų kopijas;

11.2. atsako už IS „Vintra“ duomenų saugojimą, virtualių mašinų rezervinių duomenų kopijų darymą, tinkamumą ir saugojimą bei naikinimą;

11.3. atkuria IS „Vintra“ duomenis iš virtualių mašinų rezervinių duomenų kopijų;

11.4. testuoja IS „Vintra“ duomenų atkūrimą iš virtualių mašinų rezervinių duomenų kopijų kartą per pusmetį, testavimo rezultatus pateikia IS „Vintra“ valdytojui ir Administracijai;

11.5. pagal kompetenciją reaguoja į kibernetinius incidentus, registruoja juos ir informuoja IS „Vintra“ valdytoją bei Administraciją apie nustatytus IS „Vintra“ kibernetinio saugumo politikos dokumentų pažeidimus, teikia pasiūlymus dėl minėtų kibernetinių incidentų šalinimo, taip pat informuoja IS „Vintra“ valdytoją bei Administraciją apie nusikalstamos veikos požymius, neveikiančias arba netinkamai veikiančias saugos užtikrinimo priemones;

11.6. įgyvendina reikiamas administracines, technines ir organizacines saugos priemones, užtikrina kibernetinio saugumo reikalavimų atitiktį IS „Vintra“ kibernetinio saugumo politikos dokumentams;

11.7. atlieka kitas IS „Vintra“ valdytojo pavestas, informacinių technologijų paslaugų teikimo sutartyje, IS „Vintra“ kibernetinio saugumo politikos dokumentuose bei teisės aktuose, reglamentuojančiuose kibernetinį saugumą, jam priskirtas funkcijas.

12. IS „Vintra“ paslaugos teikėjo (-ų) vadovas (-ai) paskiria administratorių (-ius) (toliau – IS „Vintra“ paslaugos teikėjo administratorius), jis nurodomas Administracijos ir IS „Vintra“ paslaugų teikėjo (-ų) sudarytoje (-ose) sutartyje (-yse).

13. Kibernetinio saugumo vadovo ir saugos įgaliotinio funkcijos

13.1. organizuoja IS „Vintra“ atitikties Aprašo reikalavimams vertinimą Nacionalinio kibernetinio saugumo centro prie Krašto apsaugos ministerijos (toliau – NKSC) tvirtinamos kibernetinio saugumo auditų atlikimo metodikos nustatyta tvarka;

13.2. užtikrina, kad IS „Vintra“ kibernetinio saugumo politikos dokumentai būtų parengti ir periodiškai atnaujinami remiantis Kibernetinio saugumo įstatymo ir jį įgyvendinančių teisės aktų reikalavimais;

13.3. koordinuoja IS „Vintra“ kibernetinių incidentų tyrimus ir bendradarbiauja su kompetentingomis institucijoms, tiriančiomis kibernetinius incidentus bei neteisėtas veikas, susijusias su kibernetiniais incidentais;

13.4. teikia IS „Vintra“ administratoriui ir (ar) IS „Vintra“ vidiniams naudotojams bei IS „Vintra“ duomenų teikėjų įgaliotiems fiziniams asmenims, turintiems teisę jungtis prie IS „Vintra“ ir teikti duomenis į ją IS „Vintra“ duomenų teikėjo vardu, (toliau – IS „Vintra“ išoriniai naudotojai) privalomus vykdyti nurodymus ir pavedimus, susijusius su IS „Vintra“ kibernetinio saugumo politikos dokumentuose nustatytų reikalavimų įgyvendinimu;

13.5. organizuoja rizikos vertinimą ir dalyvauja rizikos vertinimo procese, rengia ir teikia tvirtinti Administracijos vadovui ar jo įgaliotam asmeniui rizikos vertinimo ataskaitą;

13.6. organizuoja rizikos valdymo plano tvirtinimui pateikimą IS „Vintra“ valdytojui ar jo įgaliotam asmeniui kartu su rizikos vertinimo ataskaita;

13.7. organizuoja IS „Vintra“ vidinių naudotojų mokymus kibernetinio saugumo klausimais;

13.8. atlieka kitas IS „Vintra“ kibernetinio saugumo politikos dokumentuose ir kituose teisės aktuose, reglamentuojančiuose kibernetinį saugumą, nustatytas ir jiems priskirtas funkcijas.

14. Kibernetinio saugumo vadovas ir saugos įgaliotinis negali atlikti IS „Vintra“ administratoriaus funkcijų ar kitų pareigybių funkcijų, susijusių su techninės kompiuterinės įrangos ar programinės įrangos priežiūra ir valdymu.

15. Kibernetinio saugumo vadovas gali vykdyti saugos įgaliotinio funkcijas.

16. IS „Vintra“ administratorius

16.1. atlieka IS „Vintra“ vidiniams ir išoriniams naudotojams (toliau kartu – IS „Vintra“ naudotojai) priskirtų funkcijų ir suteiktų teisių atitikties vertinimą, administruoja šias teises;

16.2. rengia ir tikrina IS „Vintra“ sudarančių komponentų sąranką, teikia kibernetinio saugumo vadovui ir (ar) saugos įgaliotiniui informaciją apie saugą užtikrinančių pagrindinių komponentų būklę, kibernetinio saugumo politikos pažeidimus, nustatytas IS „Vintra“ pažeidžiamas vietas;

16.3. ne rečiau kaip kartą per metus ir (arba) atlikus IS „Vintra“ pakeitimus tikrina (peržiūri) IS „Vintra“ sudarančių komponentų sąranką ir IS „Vintra“ būsenos rodiklius;

16.4. pagal kompetenciją rengia ir teikia Administracijos vadovui, kibernetinio saugumo vadovui ir (ar) saugos įgaliotiniui pasiūlymus dėl IS „Vintra“ kūrimo, palaikymo, priežiūros, techninės ir programinės įrangos modernizavimo ir duomenų saugos užtikrinimo;

16.5. pagal kompetenciją reaguoja į kibernetinius incidentus, registruoja juos ir informuoja apie juos kibernetinio saugumo vadovą ir (ar) saugos įgaliotinį, teikia pasiūlymus dėl minėtų incidentų šalinimo, taip pat informuoja kibernetinio saugumo vadovą ir (ar) saugos įgaliotinį apie nusikalstamos veikos požymius, neveikiančias arba netinkamai veikiančias saugos užtikrinimo priemones;

16.6. nustato IS „Vintra“ pažeidžiamas vietas, vykdo kibernetinio saugumo reikalavimų atitikties stebėseną;

16.7. užtikrina, kad būtų laikomasi IS „Vintra“ kibernetinio saugumo politikos dokumentų ir kitų teisės aktų reikalavimų;

16.8. vykdo kibernetinio saugumo vadovo ir (ar) saugos įgaliotinio nurodymus ir pavedimus, susijusius su IS „Vintra“ kibernetinio saugumo politikos įgyvendinimu;

16.9. registruoja ir išregistruoja IS „Vintra“ naudotojus, nustato prieigos prie IS „Vintra“ teises;

16.10. užtikrina įdiegtą IS „Vintra“ sąveiką su kitomis informacinėmis sistemomis ir registrų informacinėmis sistemomis;

16.11. pagal kompetenciją atsako už techninės ir programinės įrangos, infrastruktūros bei informacinių technologijų paslaugų administravimą;

16.12. dalyvauja atkuriant IS „Vintra“ duomenis iš atsarginių duomenų kopijų;

16.13. atlieka kitas IS „Vintra“ kibernetinio saugumo politikos dokumentuose administratoriui priskirtas funkcijas ir vykdo kitus Administracijos vadovo nurodymus ir pavedimus, susijusius su IS „Vintra“ kibernetinio saugumo užtikrinimu.

17. IS „Vintra“ paslaugos teikėjo administratorius

17.1. reaguoja į kibernetinius incidentus, registruoja juos ir informuoja IS „Vintra“ administratorių apie nustatytus kibernetinio saugumo politikos pažeidimus, teikia pasiūlymus dėl minėtų incidentų šalinimo, informuoja IS „Vintra“ administratorių apie nusikalstamos veikos požymius, neveikiančias arba netinkamai veikiančias saugos užtikrinimo priemones;

17.2. užtikrina, kad būtų laikomasi IS „Vintra“ kibernetinio saugumo politikos dokumentų ir kitų teisės aktų reikalavimų;

17.3. vykdo IS „Vintra“ paslaugos teikėjo (-ų) darbuotojų, turinčių prieigą prie IS „Vintra“ sutartiniams įsipareigojimams vykdyti, IS „Vintra“ atliekamų veiksmų kontrolę;

17.4. atlieka kitas Administracijos ir IS „Vintra“ paslaugos teikėjo sutartyje numatytas funkcijas, IS „Vintra“ kibernetinio saugumo politikos dokumentuose IS „Vintra“ paslaugos teikėjo administratoriui priskirtas funkcijas.

18. Teisės aktų, kuriais vadovaujamasi tvarkant IS „Vintra“ duomenis ir užtikrinant jų saugumą, sąrašas

18.1. 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas);

18.2. Valstybės informacinių išteklių valdymo įstatymas;

18.3. Kibernetinio saugumo įstatymas;

18.4. Valstybės informacinių išteklių svarbos vertinimo metodika, patvirtinta Lietuvos Respublikos ekonomikos ir inovacijų ministro 2023 m. liepos 19 d. įsakymu Nr. 4-418 „Dėl Valstybės informacinių išteklių svarbos vertinimo metodikos patvirtinimo“, (toliau – Metodika);

18.5. Valstybės informacinių išteklių svarbos vertinimo tvarkos aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2024 m. gegužės 15 d. nutarimu Nr. 349 „Dėl Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymo įgyvendinimo“;

18.6. Aprašas;

18.7. Informacinių technologijų saugos atitikties vertinimo metodika, patvirtinta Lietuvos Respublikos krašto apsaugos ministro 2020 m. gruodžio 4 d. įsakymu Nr. V-941 „Dėl Informacinių technologijų saugos atitikties vertinimo metodikos patvirtinimo“, (toliau – Informacinių technologijų saugos atitikties vertinimo metodika);

18.8. Lietuvos standartai LST ISO/IEC 27002 ir LST ISO/IEC 27001, Lietuvos ir tarptautiniai „Informacinės technologijos. Saugumo metodai“ grupės standartai, nustatantys saugų informacinės sistemos duomenų tvarkymą;

18.9. IS „Vintra“ nuostatai;

18.10. kibernetinio saugumo politikos dokumentai.

II SKYRIUS

IS „VINTRA“ DUOMENŲ SAUGOS VALDYMAS

19. Vadovaujantis Metodikos 8.5.4 papunkčiu, IS „Vintra“ tvarkoma elektroninė informacija priskiriama mažos svarbos valstybės informacinių išteklių rūšiai.

20. Kibernetinio saugumo vadovas ar saugos įgaliotinis, atsižvelgdamas į Lietuvos Respublikos vidaus reikalų ministerijos išleistą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius „Informacinės technologijos. Saugumo metodai“ grupės standartus, kasmet organizuoja IS „Vintra“ rizikos vertinimą, įvykus esminiams Administracijos organizaciniams ar kitiems reikšmingiems pokyčiams, taip pat įvykus dideliam kibernetiniam incidentui.

21. IS „Vintra“ rizikos vertinimas atliekamas pagal kokybinį rizikos vertinimo metodą. Kartu su pagrindiniu IS „Vintra“ rizikos vertinimu organizuojamas ir atliekamas grėsmių ir pažeidžiamumų, galinčių turėti įtakos IS „Vintra“ kibernetiniam saugumui, vertinimas. Administracijos vadovo rašytiniu pavedimu IS „Vintra“ rizikos vertinimą gali atlikti pats kibernetinio saugumo vadovas ar saugos įgaliotinis. Rizikos vertinimui atlikti sutartiniais pagrindais gali būti samdomi tretieji asmenys.

22. Svarbiausi rizikos veiksniai yra šie

22.1. subjektyvūs netyčiniai (duomenų tvarkymo klaidos ir apsirikimai, duomenų ištrynimas, klaidingas duomenų teikimas, fiziniai duomenų technologijų sutrikimai, duomenų perdavimo tinklais sutrikimai, programinės įrangos klaidos, neteisingas veikimas ir kita);

22.2. subjektyvūs tyčiniai (nesankcionuotas naudojimasis IS „Vintra“ duomenims gauti, duomenų pakeitimas ar sunaikinimas, informacinių technologijų duomenų perdavimo tinklais sutrikdymai, saugumo pažeidimai, vagystės ir kita);

22.3. veiksniai, nurodyti Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių, patvirtintų Lietuvos Respublikos Vyriausybės 1996 m. liepos 15 d. nutarimu Nr. 840 „Dėl Atleidimo nuo atsakomybės esant nenugalimos jėgos (force majeure) aplinkybėms taisyklių patvirtinimo“, 3 punkte.

23. Rizikos vertinimo metu atliekamos veiklos

23.1. IS „Vintra“ sudarančių informacinių išteklių inventorizacija;

23.2. įtakos IS „Vintra“ veiklai vertinimas;

23.3. grėsmės ir pažeidimų analizė;

23.4. liekamosios rizikos vertinimas.

24. Grėsmių ir pažeidžiamumų, galinčių turėti įtakos IS „Vintra“ kibernetiniam saugumui, vertinimo metu imituojamos kibernetinės atakos ir vykdomos kibernetinių incidentų imitavimo pratybos. Kibernetinių atakų imitavimo etapai

24.1. Planavimas. Parengiamas pažeidžiamumų nustatymo planas, kuriame apibrėžiami kibernetinių atakų imitavimo tikslai ir darbų apimtis, pateikiamas darbų grafikas, aprašomi planuojamų imituoti kibernetinių atakų tipai (išorinės ir (ar) vidinės), kibernetinių atakų imitavimo būdai (juodosios dėžės (angl. Black Box), baltosios dėžės (angl. White Box) ir (ar) pilkosios dėžės (angl. Grey Box), galima neigiama įtaka veiklai, kibernetinių atakų imitavimo metodologija, programiniai ir (ar) techniniai įrankiai ir priemonės, naudojami pažeidžiamumams nustatyti, nurodomos už pažeidžiamumų nustatymo plano vykdymą atsakingų asmenų teisės ir pareigos.

24.2. Žvalgyba (angl. Reconnaissance) ir aptikimas (angl. Discovery). Surenkama informacija apie perimetrą, tinklo mazgus, tinklo mazguose veikiančių tarnybinių stočių ir kitų tinklo įrenginių operacines sistemas ir programinę įrangą, paslaugas (angl. Services), pažeidžiamumą, konfigūracijas ir kitą sėkmingai kibernetinei atakai įvykdyti reikalingą informaciją.

24.3. Kibernetinių atakų imitavimas. Atliekami pažeidžiamumų nustatymo plane numatyti testai.

25. IS „Vintra“ rizikos vertinimo rezultatai pateikiami rizikos vertinimo ataskaitoje ir ji pateikiama tvirtinti Administracijos vadovui ar jo įgaliotam asmeniui. IS „Vintra“ rizikos vertinimo ataskaita turi apimti bent tinklų ir IS „Vintra“ turto identifikavimą, poveikio vertinimą, grėsmių ir spragų vertinimo informaciją bei rizikos apskaičiavimo rezultatus, taip pat rizikos valdymą. Kibernetinių atakų imitavimo rezultatai turi būti pagrįsti patikimais įrodymais bei rizikos įvertinimu ir turi būti pateikti rizikos vertinimo ataskaitoje. IS „Vintra“ rizikos vertinimo ataskaitą rengia arba, jei vertinimą atlieka trečiasis asmuo, dalyvauja rengiant kibernetinio saugumo vadovas ar saugos įgaliotinis.

26. Atsižvelgdamas į rizikos vertinimo ataskaitą, IS „Vintra“ valdytojas ar jo įgaliotas asmuo prireikus tvirtina rizikos valdymo planą, kuriame, be kita ko, numatomas techninių, administracinių ir kitų išteklių poreikis IS „Vintra“ rizikos valdymo priemonėms įgyvendinti, už priemonių įgyvendinimą atsakingi asmenys bei priemonių įgyvendinimo terminai.

27. Rizikos vertinimo ataskaitos, rizikos valdymo plano kopijas Administracija ne vėliau kaip per 5 darbo dienas nuo minėtų dokumentų priėmimo pateikia į Kibernetinio saugumo informacinę sistemą (toliau – KSIS).

28. Siekdamas užtikrinti IS „Vintra“ kibernetinio saugumo politikos dokumentų nuostatų įgyvendinimo kontrolę ir vadovaudamasis Aprašo 48.1 papunkčiu, kibernetinio saugumo vadovas ar saugos įgaliotinis ne rečiau kaip kartą per metus, jeigu teisės aktai nenustato kitaip, organizuoja IS „Vintra“ atitikties vertinimą pagal Informacinių technologijų saugos atitikties vertinimo metodikos reikalavimus.

29. Atliekant IS „Vintra“ atitikties vertinimą

29.1. įvertinama esamų IS „Vintra“ duomenų saugos situacijos atitiktis Kibernetinio saugumo įstatymui, Aprašo, IS „Vintra“ kibernetinio saugumo politikos dokumentuose nustatytiems reikalavimams;

29.2. inventorizuojama IS „Vintra“ techninė ir programinė įranga;

29.3. peržiūrima ir įvertinama IS „Vintra“ administratoriui, IS „Vintra“ paslaugos teikėjo administratoriui, IS „Vintra“ naudotojams suteiktų teisių atitiktis jų atliekamoms funkcijoms;

29.4. duomenų saugos požiūriu patikrinama IS „Vintra“ techninė ir programinė įranga: visos tarnybinės stotys ir ne mažiau kaip 10 procentų atsitiktinai parinktų IS „Vintra“ vidinių naudotojų kompiuterizuotų darbo vietų (toliau – KDV);

29.5. įvertinamas pasirengimas užtikrinti IS „Vintra“ veiklos tęstinumą įvykus kibernetiniam incidentui.

30. Atlikus IS „Vintra“ atitikties vertinimą, parengiama IS „Vintra“ atitikties vertinimo ataskaita ir pateikiama tvirtinti Administracijos vadovui ar jo įgaliotam asmeniui, taip pat parengiamas identifikuotų neatitikčių šalinimo planas. IS „Vintra“ valdytojo vadovas ar jo įgaliotas asmuo patvirtina šį planą, paskiria atsakingus vykdytojus, reikalingus išteklius ir nustato įgyvendinimo terminus.

31. Techninės, programinės ir organizacinės IS „Vintra“ duomenų saugos priemonės pasirenkamos atsižvelgiant į IS „Vintra“ valdytojo ir Administracijos turimus išteklius, vadovaujantis šiais priemonių parinkimo principais

31.1. Liekamoji rizika turi būti sumažinta iki priimtino lygio.

31.2. Informacijos saugos priemonės diegimo kaina turi būti adekvati saugomos informacijos vertei.

31.3. Esant galimybei, turi būti įdiegtos prevencinės, detekcinės ir korekcinės informacijos saugos priemonės.

32. NKSC prašymu IS „Vintra“ valdytojas ar Administracija ne vėliau kaip per 5 darbo dienas nuo NKSC prašymo gavimo dienos turi pateikti į KSIS atliktų IS „Vintra“ kibernetinio saugumo audito, atitikties vertinimo ataskaitos, atitikties vertinimo metu nustatytų neatitikčių šalinimo plano, rizikų vertinimo ataskaitos ir rizikų valdymo plano kopijas.

33. Pokyčiai, galintys daryti neigiamą įtaką duomenų konfidencialumui, vientisumui ar prieinamumui, turi būti patikrinti bandomojoje aplinkoje, kurioje nėra konfidencialių ir asmens duomenų ir kuri atskirta nuo eksploatuojamos IS „Vintra“.

34. IS „Vintra“ pokyčius gali inicijuoti kibernetinio saugumo vadovas, saugos įgaliotinis ar IS „Vintra“ administratorius, o įgyvendina IS „Vintra“ administratorius.

III Skyrius

ORGANIZACINIAI IR TECHNINIAI REIKALAVIMAI

35. Nustatomi šie IS „Vintra“ naudojamos programinės įrangos reikalavimai

35.1. IS „Vintra“ naudojama programinė įranga turi atitikti programinės įrangos saugos gerąją praktiką, kuriant programinę įrangą taikomą saugos gerąją praktiką, programinės įrangos kūrimo struktūras, standartus.

35.2. Specifiniai saugos reikalavimai turi būti apibrėžti pradiniuose programinės įrangos kūrimo etapuose.

35.3. Turi būti laikomasi duomenų saugą užtikrinančių programavimo standartų ir gerosios praktikos.

35.4. Programinės įrangos kūrimo, testavimo ir verifikacijos etapai turi vykti atsižvelgiant į pagrindinius saugos reikalavimus.

35.5. Prieš pradedant naudoti programinę įrangą, turi būti atliktas šios programinės įrangos pažeidžiamumo, pritaikomumo ir infrastruktūros atsparumo skverbimuisi įvertinimas. Programinė įranga negali būti patvirtinta, kol nėra pasiektas reikiamas saugumo lygis.

35.6. Turi būti atliekami periodiški infrastruktūros atsparumo skverbimuisi testavimai.

36. Programinės įrangos, skirtos IS „Vintra“ ir KDV apsaugoti nuo kenksmingos programinės įrangos (virusų, šnipinėjimo programinės įrangos, nepageidaujamo elektroninio pašto ir pan.), naudojimo nuostatos

36.1. IS „Vintra“ turi būti naudojama antivirusinė programinė įranga, skirta IS „Vintra“ apsaugoti nuo kenksmingos programinės įrangos.

36.2. Antivirusinė programinė įranga turi būti atnaujinama automatiškai ne rečiau kaip kartą per parą.

36.3. IS „Vintra“ vidinių naudotojų kompiuteriuose naudojama įranga, skirta KDV apsaugoti nuo kenksmingos programinės įrangos, turi apsaugoti ir elektroninio pašto programinę įrangą nuo nepageidaujamo pašto ar kenksmingų programų patekimo į KDV.

36.4. Atsiradus požymių, kad KDV yra kenksmingų programų, turi būti patikrinami visi KDV standieji diskai, naudojama programinė įranga, skirta IS „Vintra“ ir KDV apsaugoti nuo kenksmingos programinės įrangos.

36.5. KDV esančios programinės įrangos, skirtos IS „Vintra“ ir KDV apsaugoti nuo kenksmingos programinės įrangos, nustatymai turi būti parinkti pagal rekomenduojamus tokios programinės įrangos gamintojų reikalavimus arba pagal vidinio kompiuterių tinklo administratoriaus rekomendacijas.

36.6. Programinės įrangos konfigūravimas turi būti apsaugotas slaptažodžiu.

36.7. Apsaugos sistema privalo automatiškai informuoti IS „Vintra“ administratorių apie KDV ir tarnybines stotis, kuriose apsaugos sistema netinkamai funkcionuoja, yra išjungta arba neatsinaujino per 24 valandas.

36.8. IS „Vintra“ operacinės sistemos ir naudojami programinės įrangos gamintojų rekomenduojami atnaujinimai turi būti įdiegiami nedelsiant.

36.9. IS „Vintra“ vidinių naudotojų kompiuterių apsaugos priemonės yra valdomos (ugniasienių įjungimas ir konfigūravimas, antivirusinių programų ir operacinių sistemų atnaujinimas) centralizuotai.

37. Metodai ir priemonės, kurie taikomi užtikrinant prieigą prie IS „Vintra“

37.1. IS „Vintra“ naudotojai privalo turėti galimybę naudotis tik tokiomis teisėmis ir tais duomenimis, kurie jiems numatyti nustačius prieigos prie IS „Vintra“ teises, įgyvendinant principą „būtina žinoti“.

37.2. IS „Vintra“ priežiūros funkcijos turi būti atliekamos naudojant atskirą tam skirtą administratoriaus klasifikatorių, kuriuo naudojantis nebūtų galima atlikti IS „Vintra“ naudotojo funkcijų.

37.3. IS „Vintra“ naudotojas turi būti IS „Vintra“ unikaliai identifikuojamas – IS „Vintra“ naudotojas turi patvirtinti savo tapatybę slaptažodžiu, IS „Vintra“ naudotojui suteiktas pirminis slaptažodis turi būti pakeistas pirmo prisijungimo metu. Slaptažodžiai sudaromi, keičiami ir jų galiojimo trukmė nustatoma vadovaujantis IS „Vintra“ naudotojų administravimo taisyklėmis.

37.4. Prieigą prie IS „Vintra“ suteikia, apriboja ir panaikina IS „Vintra“ administratorius.

37.5. Teisė dirbti su konkrečiais duomenimis suteikiama konkrečiam IS „Vintra“ naudotojui.

37.6. IS „Vintra“ naudotojui teisė dirbti su konkrečiais duomenimis turi būti ribojama ar sustabdoma, kai IS „Vintra“ naudotojas atostogauja, vykdomas IS „Vintra“ naudotojo veiklos tyrimas ir pan. Pasibaigus darbo santykiams, IS „Vintra“ naudotojo teisė naudotis IS „Vintra“ turi būti panaikinta.

37.7. Baigus darbą ar pasitraukiant iš darbo vietos, turi būti imamasi priemonių, kad su duomenimis negalėtų susipažinti pašaliniai asmenys: atsijungiama nuo IS „Vintra“, įjungiama ekrano užsklanda su slaptažodžiu, dokumentai padedami į pašaliniams asmenims neprieinamą vietą.

37.8. IS „Vintra“ naudotojui 15 minučių neatliekant jokių veiksmų informacinėje sistemoje, IS „Vintra“ turi užsirakinti, kad toliau naudotis IS „Vintra“ būtų galima tik pakartojus tapatybės nustatymo ir autentiškumo patvirtinimo veiksmus.

37.9. Prisijungimo prie kompiuterių tinklo laikas ir trukmė nėra ribojami, IS „Vintra“ pasiekiama visą parą.

38. Programinės įrangos, įdiegtos KDV ir tarnybinėse stotyse, naudojimo nuostatos ir reikalavimai

38.1. IS „Vintra“ turi būti naudojama tik legali programinė įranga.

38.2. Draudžiama diegti ir naudoti bet kokią programinę įrangą, keisti sistemos, kompiuterio ar programinės įrangos sistemų nustatymus. Programinę įrangą, reikalingą IS „Vintra“ vidinio naudotojo funkcijoms atlikti, KDV diegia, atnaujina, kontroliuoja ir prižiūri IS „Vintra“ administratorius. Kiti asmenys (paslaugų teikėjų specialistai) gali diegti programinę įrangą tik prižiūrimi IS „Vintra“ administratoriaus.

38.3. Diegti ir naudoti programinę įrangą, nesusijusią su IS „Vintra“ valdytojo ar Administracijos veikla ar IS „Vintra“ vidinio naudotojo atliekamomis funkcijomis (žaidimų, bylų siuntimo, internetinių pokalbių programas ir kt.), draudžiama.

38.4. Tarnybinėse stotyse ir IS „Vintra“ vidinių naudotojų KDV privalo būti naudojama programinė įranga, kuri apsaugo nuo kenksmingos programinės įrangos ir kuri turi būti atnaujinama ne rečiau kaip kartą per parą laikantis gamintojo reikalavimų.

38.5. KDV, programinė įranga, jos sertifikatai ir licencijos kasmet turi būti inventorizuojami.

38.6. Naudojama programinė įranga, leidžianti atlikti IS „Vintra“ naudojamų kompiuterių tinklų stebėseną ir užtikrinanti šių tinklų saugos prevencines priemones.

38.7. Programinė įranga yra nuolat atnaujinama laikantis gamintojo reikalavimų.

39. Leistinos kompiuterių (ypač nešiojamųjų) naudojimo ribos ir metodai, kuriais leidžiama užtikrinti saugų IS „Vintra“ duomenų teikimą ir (ar) gavimą

39.1. Stacionariuosiuose ir nešiojamuosiuose kompiuteriuose IS „Vintra“ įjungimo metu turi būti identifikuojamas IS „Vintra“ vidinis naudotojas.

39.2. Stacionarieji ir nešiojamieji IS „Vintra“ vidinių naudotojų kompiuteriai privalo būti naudojami tik su tiesioginių pareigų atlikimu susijusiai veiklai. Iš kompiuterių, kurie perduodami remontui ar techninei priežiūrai, turi būti pašalinti visi neskelbtini IS „Vintra“ duomenys.

39.3. IS „Vintra“ vidinių naudotojų nešiojamiesiems kompiuteriams ne institucijos patalpose privaloma naudoti papildomas saugos priemones, kuriomis IS „Vintra“ duomenys perduodami saugiu šifruotu virtualiu privačiu tinklu (angl. virtual private network, toliau – VPN).

39.4. IS „Vintra“ vidiniai naudotojai, darbinėms funkcijoms atlikti naudojantys nešiojamuosius kompiuterius, išnešdami juos iš Administracijos patalpų, norėdami IS „Vintra“ duomenis perduoti kompiuterių tinklais ne savo darbo vietoje, turi naudoti duomenų šifravimą, papildomą IS „Vintra“ vidinio naudotojo tapatybės patvirtinimą, rakinimo įrenginį. Nešiojamojo kompiuterio pagrindinės įvesties ir išvesties sistema (BIOS) turi būti apsaugota slaptažodžiu ir nurodytas standusis diskas kaip pirminis paleidimo įrenginys. Iš išorės prie IS „Vintra“ duomenų bazės prisijungimas ribojamas. Nešiojamuosiuose kompiuteriuose ar išorinėse kompiuterinėse laikmenose esantys duomenys turi būti šifruojami. IS „Vintra“ vidiniai naudotojai privalo naudotis visomis saugumo priemonėmis, kad apsaugotų kompiuterį ir duomenų laikmenas nuo vagystės arba pažeidimo.

40. Kompiuterių tinklo filtravimo įrangos (užkardų, turinio kontrolės sistemų, įgaliotųjų serverių (angl. proxy) ir kt.) pagrindinės naudojimo nuostatos

40.1. Techninis nuotolinio prisijungimo sprendimas turi užtikrinti ne žemesnį nei vidiniam prisijungimui naudojamą saugumo lygį, t. y. turi būti naudojamos Saugos nuostatuose minimos priemonės, duomenų perdavimas VPN arba naudojant saugų duomenų perdavimo protokolą (angl. Hypertext Transfer Protocol Secure, toliau – HTTPS).

40.2. IS „Vintra“ naudotojams, kuriems atliekant tiesiogines pareigas būtina prisijungti iš nutolusios darbo vietos, turi būti suteikiama nuotolinio prisijungimo prie IS „Vintra“ galimybė.

40.3. Kompiuterinis tinklas, prie kurio prijungtos IS „Vintra“ tarnybinės stotys ir IS „Vintra“ vidinių naudotojų kompiuteriai, nuo viešojo interneto turi būti atskirtas ugniasienėmis ir įsilaužimų aptikimo ir prevencijos įranga, už kurios administravimą ir priežiūrą atsakingas IS „Vintra“ administratorius.

40.4. Visas duomenų srautas į internetą ir iš jo yra filtruojamas naudojant apsaugą nuo virusų ir kitos kenksmingos programinės įrangos.

40.5. Naudojamos turinio filtravimo sistemos.

40.6. Naudojama programinė įranga, leidžianti atlikti IS „Vintra“ naudojamų kompiuterių tinklų monitoringą ir užtikrinanti šių tinklų saugos prevencines priemones.

40.7. IS „Vintra“ tinklo perimetro apsaugai turi būti naudojami filtrai, apsaugantys elektroniniame pašte ir viešame ryšių tinkle naršančių informacinės sistemos naudotojų kompiuterinę įrangą nuo kenksmingo kodo (naudojama antivirusinė programa).

40.8. IS „Vintra“ programinė įranga turi būti apsaugota nuo pagrindinių per tinklą vykdomų atakų: SQL įskverbties (angl. SQL injection), XSS (angl. Cross-site scripting), atkirtimo nuo paslaugos (angl. DOS), dedikuoto atkirtimo nuo paslaugos (angl. DDOS) ir kitų. Pagrindinių per tinklą vykdomų atakų sąrašas skelbiamas Atviro tinklo programų saugumo projekto (angl. The Open Web Application Security Project (OWASP) interneto svetainėje www.owasp.org.

40.9. Už saugų IS „Vintra“ kompiuterių tinklų veikimą pagal kompetenciją atsako IS „Vintra“ tvarkytojų kompiuterių tinklų administratoriai.

41. Užtikrinant saugų duomenų teikimą kitoms valstybės institucijoms ir (ar) gavimą iš jų, naudojamas šifruotas VPN arba Saugus valstybinis duomenų perdavimo tinklas (toliau – SVDPT). Duomenimis keičiamasi per HTTPS žiniatinklio paslaugų metodu (XML formatu) arba duomenų bazių užklausomis. Duomenys teikiami ir (ar) gaunami automatizuotomis priemonėmis tik pagal duomenų teikimo sutartyje nustatytas specifikacijas, duomenų perdavimo sąlygas ir tvarką.

42. Metodai, kuriais gali būti užtikrinamas saugus IS „Vintra“ elektroninės informacijos teikimas ir (ar) gavimas

42.1. Iš IS „Vintra“ duomenų teikėjų duomenys gaunami pagal teikimo sutartyse numatytas duomenų perdavimo technologijas, jų šifravimo mechanizmus, specifikacijas ir kitas sąlygas.

42.2. Duomenų gavėjų prieigą prie IS „Vintra“ kontroliuoja kompiuterių tinklo užkarda.

42.3. Už IS „Vintra“ duomenų teikimo ir gavimo sutartyse nurodomų saugos reikalavimų nustatymą, suformulavimą ir įgyvendinimo organizavimą atsakingas kibernetinio saugumo vadovas ir (ar) saugos įgaliotinis.

42.4. IS „Vintra“ duomenims perduoti naudojamas SVDPT arba kitas šifruotas perdavimo kanalas, užtikrinantis saugų duomenų perdavimą.

43. Pagrindiniai atsarginių IS „Vintra“ duomenų kopijų (toliau – atsarginės kopijos) darymo ir atkūrimo reikalavimai

43.1. IS „Vintra“ veiklos tęstinumui užtikrinti IS „Vintra“ duomenys yra periodiškai, bet ne rečiau kaip kas 24 valandas kopijuojami į rezervinių kopijų laikmenas ir laikmenos saugomos taip, kad, įvykus kibernetiniam incidentui, visiškas IS „Vintra“ funkcionalumas ir veikla būtų atkurti per 12 valandų.

43.2. Atsarginėms kopijoms kurti turi būti naudojama speciali programinė įranga.

43.3. Privalo būti visų saugomų duomenų rezervinio kopijavimo funkcija.

43.4. IS „Vintra“ administratorius privalo turėti galimybę inicijuoti duomenų atkūrimo iš rezervinės kopijos procedūrą pasirinktinai iš turimų rezervinių kopijų sąrašo. Atkūrus duomenis privalo būti užtikrintas ir išlaikytas duomenų vientisumas ir integralumas.

43.5. IS „Vintra“ duomenys IS „Vintra“ naudotojams turi būti prieinami ne mažiau kaip 96 procentus sistemos veikimo laiko visą parą.

43.6. Duomenys atsarginėse kopijose turi būti šifruoti (šifravimo raktai turi būti saugomi atskirai nuo atsarginių kopijų).

43.7. Atsarginės kopijos yra daromos ir saugomos taip, kad jos nebūtų prieinamos tretiesiems asmenims, kurie neturi teisės su jomis dirbti.

43.8. Atsarginės kopijos turi būti laikomos atskirai nuo tarnybinių stočių. Už atsarginių kopijų darymą, atkūrimą ir atkūrimo iš atsarginių kopijų testavimą yra atsakinga VSSA.

43.9. Atkūrimo iš atsarginių kopijų funkcija privalo būti išbandoma ne rečiau kaip kartą per pusmetį. Testavimo eiga ir rezultatai įforminami kopijų darymo žurnale. Duomenų atkūrimo bandymą organizuoja kibernetinio saugumo įgaliotinis ar saugos įgaliotinis.

44. Nustatomi duomenų naikinimo ir šalinimo reikalavimai

44.1. Prieš pašalinant bet kokią duomenų laikmeną, turi būti sunaikinti visi joje esantys duomenys, naudojant tam skirtą programinę įrangą, kuri palaiko patikimus duomenų naikinimo algoritmus. Jeigu to padaryti neįmanoma (pvz., DVD laikmenos), duomenų laikmenos turi būti fiziškai sunaikinamos be galimybės atkurti duomenis.

44.2. Prieš šalinant laikmenas, turi būti atlikti visų šalinamų laikmenų daugybiniai programinės įrangos perrašymai.

45. Jeigu saugiems duomenų naikinimo ir šalinimo duomenų laikmenose darbams atlikti yra pasitelkiamos trečiųjų asmenų paslaugos, turi būti sudaryta atitinkama paslaugų sutartis.

IV SKYRIUS

REIKALAVIMAI PERSONALUI

46. Tvarkyti IS „Vintra“ duomenis gali asmenys, susipažinę su Reglamentu (ES) 2016/679, IS „Vintra“ nuostatais, IS „Vintra“ kibernetinio saugumo politikos dokumentais, teisės aktais, reglamentuojančiais kibernetinį saugumą.

47. IS „Vintra“ vidiniai naudotojai turi būti įgiję darbo kompiuteriu įgūdžių, mokėti tvarkyti IS „Vintra“ duomenis IS „Vintra“ nuostatuose nurodyta tvarka, išmanyti teisės aktus, reglamentuojančius kibernetinį saugumą. Tvarkyti IS „Vintra“ duomenis gali tik IS „Vintra“ vidiniai naudotojai, pasirašę pasižadėjimą saugoti asmens duomenų paslaptį. Ši pareiga galioja perėjus dirbti į kitas pareigas arba pasibaigus darbo, sutartiniams ar kitiems santykiams.

48. Kibernetinio saugumo vadovas ir saugos įgaliotinis privalo išmanyti šiuolaikinių informacinių technologijų panaudojimo ypatumus, duomenų saugos užtikrinimo principus bei metodus, rizikų valdymą, savo darbe vadovautis Reglamentu (ES) 2016/679, Kibernetinio saugumo įstatymu, Aprašu, Informacinių technologijų saugos atitikties vertinimo metodika, IS „Vintra“ kibernetinio saugumo politikos dokumentais, kitais Lietuvos Respublikos ir Europos Sąjungos teisės aktais, reglamentuojančiais kibernetinį saugumą, taip pat būti susipažinę su esminiais IS „Vintra“ duomenų saugos reikalavimais. Kibernetinio saugumo vadovas ir saugos įgaliotinis privalo sugebėti prižiūrėti, kaip įgyvendinama kibernetinio saugumo politika. Kibernetinio saugumo vadovas ir saugos įgaliotinis kiekvienais metais privalo tobulinti kvalifikaciją kibernetinio saugumo srityje.

49. Saugos įgaliotiniu ir kibernetinio saugumo vadovu negali būti skiriamas asmuo, neatitinkantis Lietuvos Respublikos valstybės tarnybos įstatyme valstybės tarnautojams nustatytų nepriekaištingos reputacijos reikalavimų, taip pat turintis administracinių nuobaudų už teisės aktų pažeidimus tinklų, informacinių sistemų, asmens duomenų tvarkymo ir privatumo apsaugos srityse, nuo kurių paskyrimo praėję mažiau kaip vieni metai.

50. IS „Vintra“ administratorius ar IS „Vintra“ paslaugos teikėjo administratorius privalo išmanyti darbą su kompiuterių tinklais ir mokėti užtikrinti jų saugumą, būti susipažinęs su duomenų bazių administravimo ir priežiūros pagrindais, išmanyti tarnybinių stočių veikimo principus, gebėti užtikrinti techninės ir programinės įrangos nepertraukiamą funkcionavimą bei saugą, stebėti techninės ir programinės įrangos veikimą, atlikti techninės ir programinės įrangos profilaktinę priežiūrą, sutrikimų bei kibernetinių incidentų diagnostiką ir šalinimą.

51. IS „Vintra“ naudotojai, pastebėję IS „Vintra“ kibernetinio saugumo politikos pažeidimų, nusikalstamos veikos požymių, neveikiančias arba netinkamai veikiančias IS „Vintra“ saugos užtikrinimo priemones, privalo nedelsdami apie tai pranešti kibernetinio saugumo vadovui, saugos įgaliotiniui, IS „Vintra“ administratoriui. Jeigu kibernetinio saugumo vadovas, saugos įgaliotinis nebuvo informuoti apie šiame punkte nurodytus pažeidimus, IS „Vintra“ administratorius informuoja kibernetinio saugumo vadovą ir saugos įgaliotinį apie šiuos pažeidimus.

52. IS „Vintra“ vidinių naudotojų, IS „Vintra“ administratoriaus ir IS „Vintra“ paslaugos teikėjo administratoriaus mokymai organizuojami ne rečiau kaip kartą per metus.

V SKYRIUS

IS „VINTRA“ NAUDOTOJŲ SUPAŽINDINIMO SU KIBERNETINIO SAUGUMO POLITIKOS DOKUMENTAIS PRINCIPAI

53. IS „Vintra“ vidinių naudotojų, IS „Vintra“ administratoriaus ir IS „Vintra“ paslaugos teikėjo administratoriaus supažindinimą su IS „Vintra“ kibernetinio saugumo politikos dokumentais ar kitais kibernetinį saugumą reglamentuojančiais teisės aktais ir atsakomybe, kylančia dėl jų pažeidimo, atlieka kibernetinio saugumo vadovas ar saugos įgaliotinis pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodymą.

54. IS „Vintra“ administratorių ir IS „Vintra“ paslaugos teikėjo administratorių su IS „Vintra“ kibernetinio saugumo politikos dokumentais ir atsakomybe už jų reikalavimų nesilaikymą pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodymą, supažindina kibernetinio saugumo vadovas ar saugos įgaliotinis per 10 darbo dienų nuo IS „Vintra“ administratoriaus ar IS „Vintra“ paslaugos teikėjo administratoriaus paskyrimo.

55. IS „Vintra“ vidinius naudotojus su IS „Vintra“ kibernetinio saugumo politikos dokumentais ir teisės aktais, reglamentuojančiais kibernetinį saugumą, kibernetinio saugumo vadovas ar saugos įgaliotinis pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodymą, supažindina prieš sukuriant IS „Vintra“ vidinio naudotojo prisijungimo duomenis.

56. Pakartotinai su IS „Vintra“ kibernetinio saugumo politikos dokumentais ir teisės aktais, reglamentuojančiais kibernetinį saugumą, kibernetinio saugumo vadovas ar saugos įgaliotinis pasirašytinai arba elektroniniu būdu, užtikrinančiu supažindinimo įrodymą, supažindina IS „Vintra“ vidinius naudotojus, IS „Vintra“ administratorių ir IS „Vintra“ paslaugos teikėjo administratorių kitą darbo dieną po IS „Vintra“ kibernetinio saugumo politikos dokumentų ir teisės aktų, reglamentuojančių kibernetinį saugumą, priėmimo (išdėstymo nauja redakcija), pakeitimo ar pripažinimo netekusiais galios.

VI SKYRIUS

BAIGIAMOSIOS NUOSTATOS

57. Kibernetinio saugumo vadovas ar saugos įgaliotinis organizuoja IS „Vintra“ kibernetinio saugumo politikos dokumentų persvarstymą ne rečiau kaip kartą per metus. IS „Vintra“ kibernetinio saugumo politikos dokumentai turi būti persvarstomi atlikus rizikos vertinimą ar IS „Vintra“ atitikties vertinimą, pasikeitus kibernetinio saugumo politiką reglamentuojantiems teisės aktams, įvykus esminiams organizaciniams, technologiniams ar kitiems IS „Vintra“ pokyčiams, po įvykusio didelio kibernetinio incidento.

58. Kibernetinio saugumo vadovas, saugos įgaliotinis, IS „Vintra“ administratorius, IS „Vintra“ paslaugos teikėjo administratorius, IS „Vintra“ naudotojai ir kiti subjektai, kuriems taikomi Saugos nuostatų reikalavimai, pažeidę IS „Vintra“ kibernetinio saugumo politikos dokumentų ir kitų teisės aktų, reglamentuojančių kibernetinį saugumą, reikalavimus, atsako Lietuvos Respublikos teisės aktų nustatyta tvarka

Pakeitimai

1.

Lietuvos Respublikos susisiekimo ministerija, Įsakymas

Nr. 3-268(1.5 E), 2015-06-29, paskelbta TAR 2015-06-29, i. k. 2015-10335

Dėl Lietuvos Respublikos susisiekimo ministro 2012 m. rugsėjo 17 d. įsakymo Nr. 3-609 „Dėl Viešojo transporto kelionių duomenų informacinės sistemos nuostatų patvirtinimo“ pakeitimo

2.

Lietuvos Respublikos susisiekimo ministerija, Įsakymas

Nr. 3-138, 2025-04-10, paskelbta TAR 2025-04-10, i. k. 2025-06295

Dėl Lietuvos Respublikos susisiekimo ministro 2012 m. rugsėjo 17 d. įsakymo Nr. 3-609 „Dėl Viešojo transporto kelionių duomenų informacinės sistemos nuostatų ir Viešojo transporto kelionių duomenų informacinės sistemos duomenų saugos nuostatų patvirtinimo“ pakeitimo