Dėl Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos duomenų saugos nuostatų tvirtinimo, saugos įgaliotinio ir administratorių skyrimo bei saugos politiką įgyvendinančių dokumentų rengimo

2.1. paskirti Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos saugos įgaliotinį ir administratorius;

2.2. parengti ir pateikti Lietuvos Respublikos kultūros ministerijai informacinės Viešosios informacijos rengėjų ir skleidėjų sistemos elektroninės informacijos saugos politiką įgyvendinančių dokumentų projektus.

3.1. Saugos dokumentai taikomi:

5.1. VIRSIS elektroninės informacijos saugos – elektroninės informacijos konfidencialumo, vientisumo ir prieinamumo – užtikrinimas;

5.2. VIRSIS kibernetinio saugumo užtikrinimas;

5.3. asmens duomenų apsauga;

5.4. VIRSIS naudotojų mokymas.

6.1. sudaryti sąlygas saugiai automatiniu būdu tvarkyti VIRSIS elektroninę informaciją;

6.2. užtikrinti, kad elektroninė informacija būtų patikima ir apsaugota nuo atsitiktinio ar neteisėto sunaikinimo, pakeitimo, atskleidimo, taip pat nuo bet kokio kito neteisėto tvarkymo;

6.3. vykdyti elektroninės informacijos saugos ir kibernetinių incidentų, asmens duomenų saugumo pažeidimų prevenciją, reaguoti į elektroninės informacijos saugos ir kibernetinius incidentus, asmens duomenų saugumo pažeidimus ir juos operatyviai suvaldyti.

7.1. atlikti Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos nuostatuose (toliau – VIRSIS nuostatai) nustatytas funkcijas;

7.2. tvirtinti saugos dokumentus ir kitus teisės aktus, susijusius su VIRSIS elektroninės informacijos sauga ir kibernetiniu saugumu;

7.3. koordinuoti VIRSIS tvarkytojo darbą įgyvendinant elektroninės informacijos saugos ir kibernetinio saugumo reikalavimus;

7.4. atlikti elektroninės informacijos saugos ir kibernetinio saugumo reikalavimų laikymosi priežiūrą ir kontrolę;

7.5. nagrinėti VIRSIS tvarkytojo pasiūlymus dėl VIRSIS elektroninės informacijos saugos ir kibernetinio saugumo tobulinimo ir priimti dėl jų sprendimus;

7.6. skirti VIRSIS saugos įgaliotinį ir VIRSIS administratorius arba pavesti juos paskirti VIRSIS tvarkytojui;

7.7. teikti Nacionaliniam kibernetinio saugumo centrui prie Krašto apsaugos ministerijos (toliau – Nacionalinis kibernetinio saugumo centras) techninę informaciją, reikalingą VIRSIS kibernetiniam saugumui įvertinti, Nacionalinio kibernetinio saugumo centro reikalavimu nurodytais formatais ir terminais arba savo iniciatyva;

7.8. atlikti kitas Saugos nuostatuose ir Saugos nuostatų 20 punkte nurodytuose teisės aktuose nustatytas VIRSIS valdytojo funkcijas.

8.1. atlikti VIRSIS nuostatuose nustatytas funkcijas;

8.2. užtikrinti saugos dokumentų ir kitų VIRSIS valdytojo priimtų teisės aktų, susijusių su VIRSIS elektroninės informacijos sauga ir kibernetiniu saugumu, tinkamą įgyvendinimą;

8.3. prižiūrėti VIRSIS komponentus (ugniasienes, įsilaužimų aptikimo sistemas ir kitus VIRSIS komponentus, nurodytus Saugos nuostatų 15.3 papunktyje), užtikrinti jų veikimą;

8.4. įgyvendinti VIRSIS elektroninės informacijos saugos ir kibernetinio saugumo reikalavimus;

8.5. užtikrinti VIRSIS elektroninės informacijos saugą ir kibernetinį saugumą;

8.6. teikti VIRSIS valdytojui pasiūlymus dėl VIRSIS elektroninės informacijos saugos ir kibernetinio saugumo tobulinimo;

8.7. VIRSIS valdytojui pavedus, skirti VIRSIS saugos įgaliotinį ir VIRSIS administratorius;

8.8. atlikti kitas Saugos nuostatuose ir Saugos nuostatų 20 punkte nurodytuose teisės aktuose nustatytas VIRSIS tvarkytojo funkcijas.

13.1.  koordinuoti ir prižiūrėti elektroninės informacijos saugos ir kibernetinio saugumo politikos įgyvendinimą saugos dokumentuose nustatyta tvarka;

13.2.  teikti VIRSIS tvarkytojo vadovui pasiūlymus dėl:

13.3.  teikti VIRSIS valdytojo vadovui pasiūlymus dėl saugos dokumentų priėmimo, keitimo;

13.4.  koordinuoti elektroninės informacijos saugos ir kibernetinių incidentų tyrimą ir bendradarbiauti su kompetentingomis institucijomis, tiriančiomis elektroninių ryšių tinklų, informacijos saugos ir kibernetinius incidentus, neteisėtas veikas, susijusias su elektroninės informacijos saugos ir kibernetiniais incidentais, išskyrus tuos atvejus, kai šią funkciją atlieka elektroninės informacijos saugos ir kibernetinio saugumo darbo grupės;

13.5.  teikti VIRSIS administratoriams ir VIRSIS naudotojams privalomus vykdyti nurodymus ir pavedimus dėl elektroninės informacijos saugos ir kibernetinio saugumo politikos įgyvendinimo. VIRSIS saugos įgaliotinis, atlikdamas funkcijas, turi teisę pagal savo įgaliojimus duoti privalomus vykdyti nurodymus ir pavedimus ir kitiems VIRSIS valdytojo ir VIRSIS tvarkytojo darbuotojams, jeigu tai būtina elektroninės informacijos saugos ir kibernetinio saugumo politikai įgyvendinti;

13.6.  organizuoti rizikos ir informacinių technologijų saugos atitikties įvertinimą;

13.7.  atlikti Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“, (toliau – Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašas) nustatytas asmens, atsakingo už kibernetinio saugumo organizavimą ir užtikrinimą, funkcijas;

13.8.  atlikti kitas saugos dokumentuose ir Bendrųjų elektroninės informacijos saugos reikalavimų apraše VIRSIS saugos įgaliotiniui priskirtas funkcijas.

15.1.  koordinuojantysis administratorius, kuris prižiūri VIRSIS administratorių veiklą, siekdamas užtikrinti tinkamą VIRSIS administratorių funkcijų vykdymą;

15.2.  VIRSIS naudotojų administratoriai, kurie atlieka funkcijas, susijusias su VIRSIS naudotojų teisių valdymu;

15.3.  VIRSIS komponentų administratoriai, kurie atlieka funkcijas, susijusias su VIRSIS komponentais (kompiuteriais, operacinėmis sistemomis, duomenų bazėmis ir jų valdymo sistemomis, taikomųjų programų sistemomis, ugniasienėmis, įsilaužimų aptikimo ir prevencijos sistemomis, elektroninės informacijos perdavimo tinklais, duomenų saugyklomis, bylų serveriais ir kita technine ir programine įranga, kurios pagrindu funkcionuoja VIRSIS ir užtikrinama joje tvarkomos elektroninės informacijos sauga ir kibernetinis saugumas bei VIRSIS komponentų sąranka);

15.4.  VIRSIS saugos administratoriai, kurie atlieka funkcijas, susijusias su VIRSIS pažeidžiamų vietų nustatymu, saugumo reikalavimų atitikties nustatymu ir stebėsena;

20.1.  2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas);

20.2.  Lietuvos Respublikos kibernetinio saugumo įstatymas;

20.3.  Lietuvos Respublikos valstybės informacinių išteklių valdymo įstatymas;

20.4.  Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymas;

20.5.  Bendrųjų elektroninės informacijos saugos reikalavimų aprašas;

20.6.  Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašas, patvirtintas Lietuvos Respublikos Vyriausybės 2013 m. liepos 24 d. nutarimu Nr. 716 „Dėl Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Saugos dokumentų turinio gairių aprašo ir Elektroninės informacijos, sudarančios valstybės informacinius išteklius, svarbos įvertinimo ir valstybės informacinių sistemų, registrų ir kitų informacinių sistemų klasifikavimo gairių aprašo patvirtinimo“ (toliau – Klasifikavimo gairių aprašas);

20.7.  Techniniai elektroninės informacijos saugos reikalavimai;

20.8.  Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašas;

20.9.  Lietuvos standartai LST EN ISO/IEC 27002 ir LST EN ISO/IEC 27001.

23.1.  VIRSIS saugos įgaliotinis, atsižvelgdamas į Nacionalinio kibernetinio saugumo centro interneto svetainėje skelbiamą metodinę priemonę „Rizikos analizės vadovas“, Lietuvos ir tarptautinius grupės „Informacijos technologija. Saugumo technika“ standartus, kasmet arba po esminių organizacinių ar sisteminių pokyčių, organizuoja VIRSIS rizikos įvertinimą. VIRSIS rizikos vertinimas gali būti atliekamas kartu su informacinių technologijų saugos atitikties vertinimu. Prireikus, VIRSIS saugos įgaliotinis gali organizuoti neeilinį VIRSIS rizikos įvertinimą. VIRSIS tvarkytojo rašytiniu pavedimu VIRSIS rizikos įvertinimą gali atlikti pats VIRSIS saugos įgaliotinis. Organizuojant rizikos vertinimą, rekomenduojama VIRSIS rizikos vertinimą įtraukti į VIRSIS tvarkytojo veiklos rizikos vertinimo procesus.

23.2.  Organizuojant rizikos vertinimą turi būti paskirtas (paskirti) už rizikos vertinimą, rizikos vertinimo proceso priežiūrą bei nuolatinį tobulinimą atsakingas asmuo (asmenys) ir nustatytas jam (jiems) taikomi kvalifikaciniai reikalavimai. Atsakingu asmeniu gali būti skiriamas VIRSIS valdytojo arba VIRSIS tvarkytojo darbuotojas arba sudaroma sutartis su rizikos vertinimo, rizikos vertinimo proceso priežiūros bei nuolatinio tobulinimo paslaugas teikiančiu subjektu.

23.3.  Rizikos vertinimo metu turi būti:

23.4.  VIRSIS rizikos įvertinimo rezultatai išdėstomi rizikos įvertinimo ataskaitoje, kuri pateikiama VIRSIS valdytojo vadovui ir VIRSIS tvarkytojo vadovui. Rizikos įvertinimo ataskaita rengiama įvertinant rizikos veiksnius, galinčius turėti įtakos VIRSIS elektroninės informacijos saugai ir kibernetiniam saugumui, jų galimą žalą, pasireiškimo tikimybę ir pobūdį, galimus rizikos valdymo būdus, rizikos priimtinumo kriterijus. Rizikos veiksniai rizikos įvertinimo ataskaitoje išdėstomi pagal prioritetus ir priimtiną rizikos lygį. Svarbiausi rizikos veiksniai yra šie:

23.5.  Atsižvelgdamas į rizikos įvertinimo ataskaitą, VIRSIS valdytojas prireikus tvirtina rizikos įvertinimo ir rizikos valdymo priemonių planą, kuriame, be kita ko, numatomas techninių, administracinių, organizacinių ir kitų išteklių poreikis rizikos valdymo priemonėms įgyvendinti;

23.6.  Rizikos įvertinimo ataskaitos, rizikos įvertinimo ir rizikos valdymo priemonių plano kopijas VIRSIS valdytojas ne vėliau kaip per 5 (penkias) darbo dienas nuo minėtų dokumentų priėmimo pateikia Valstybės informacinių išteklių atitikties elektroninės informacijos saugos  reikalavimams stebėsenos sistemai Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams sistemos nuostatų, patvirtintų Lietuvos Respublikos krašto apsaugos ministro 2018 m. gruodžio 11 d. įsakymu Nr. V-1183 „Dėl Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams sistemos nuostatų patvirtinimo“, nustatyta tvarka;

23.7.  Atsižvelgiant į atlikto rizikos vertinimo rezultatus, taip pat jeigu Saugos nuostatų 24 punkte nustatyta tvarka atliekamo informacinių technologijų saugos atitikties vertinimo metu nustatoma kibernetinių incidentų valdymo ir šalinimo, organizacijos nepertraukiamos veiklos užtikrinimo trūkumų, atitinkamai turi būti tobulinamas Planas ir (arba) Kibernetinių ir elektroninės informacijos saugos incidentų valdymo tvarkos aprašas. Plano veiksmingumo išbandymo rezultatai išdėstomi Plano veiksmingumo išbandymo ir pastebėtų trūkumų ataskaitose, kurio kopija ne vėliau kaip per 5 (penkias) darbo dienas nuo šio dokumentų priėmimo pateikiama Nacionaliniam kibernetinio saugumo centrui.

24.1.  Siekiant užtikrinti saugos dokumentuose nustatytų elektroninės informacijos saugos ir kibernetinio saugumo reikalavimų įgyvendinimo organizavimą ir kontrolę, ne rečiau kaip kartą per 2 (dvejus) metus, jei teisės aktuose nenustatyta kitaip, turi būti organizuojamas VIRSIS informacinių technologijų saugos atitikties vertinimas;

24.2.  Informacinių technologijų saugos atitikties vertinimas atliekamas Informacinių technologijų saugos atitikties vertinimo metodikoje nustatyta tvarka. Atitikties Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, apraše nustatytiems organizaciniams ir techniniams kibernetinio saugumo reikalavimams vertinimas atliekamas informacinių technologijų saugos atitikties vertinimo metu;

24.3.  Atlikus informacinių technologijų saugos atitikties vertinimą, rengiama informacinių technologijų saugos vertinimo ataskaita, kuri pateikiama VIRSIS valdytojo vadovui ir VIRSIS tvarkytojo vadovui, ir pastebėtų trūkumų šalinimo planas, kurį tvirtina, atsakingus vykdytojus paskiria ir įgyvendinimo terminus nustato VIRSIS valdytojo vadovas;

24.4.  Informacinių technologijų saugos atitikties vertinimo ataskaitos, pastebėtų trūkumų šalinimo plano kopijas VIRSIS valdytojas ne vėliau kaip per 5 (penkias) darbo dienas nuo minėtų dokumentų priėmimo pateikia Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams stebėsenos sistemai Valstybės informacinių išteklių atitikties elektroninės informacijos saugos reikalavimams sistemos nuostatų nustatyta tvarka.

25.1.  Techninės, programinės, organizacinės ir kitos VIRSIS elektroninės informacijos saugos ir kibernetinio saugumo priemonės pasirenkamos atsižvelgiant į VIRSIS valdytojo turimus išteklius, vadovaujantis šiais principais:

25.2.  Atsižvelgiant į priemonių efektyvumą ir taikymo tikslingumą, turi būti įdiegtos prevencinės, detekcinės ir korekcinės elektroninės informacijos saugos ir kibernetinio saugumo priemonės.

29.1.  organizaciniai ir techniniai elektroninės informacijos saugos ir kibernetinio saugumo  reikalavimai detalizuojami saugos politiką įgyvendinančiuose dokumentuose;

29.2.  turi būti naudojama ir operatyviai atnaujinama programinė įranga, skirta apsaugoti informacinę sistemą nuo kenksmingos programinės įrangos (virusų, programinės įrangos, skirtos šnipinėjimui, nepageidaujamo elektroninio pašto ir pan.). Detalios šios programinės įrangos naudojimo nuostatos ir jos atnaujinimo reikalavimai (ilgiausias leistinas neatnaujinimo laikas ir kita) nustatomi Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėse;

29.3.  VIRSIS techninėje įrangoje ir vidinių VIRSIS naudotojų kompiuteriuose turi būti naudojama tik legali programinė įranga. Detalios programinės įrangos, įdiegtos kompiuteriuose ir serveriuose, naudojimo nuostatos, jos atnaujinimo reikalavimai nustatomi Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėse;

29.4.  turi būti naudojama kompiuterių tinklo filtravimo įranga (užkardos, turinio kontrolės sistemos, įgaliotieji serveriai (angl. proxy) ir kita). Detalios kompiuterių tinklo filtravimo įrangos naudojimo nuostatos nustatomos Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėse;

29.5.  užtikrinant saugų elektroninės informacijos teikimą ir (ar) gavimą, turi būti naudojamas šifravimas, virtualus privatus tinklas, skirtinės linijos, saugus elektroninių ryšių tinklas ar kitos priemonės, kuriomis užtikrinamas saugus elektroninės informacijos perdavimas. Metodai, kuriais leidžiama užtikrinti saugų elektroninės informacijos teikimą ir (ar) gavimą (nuotolinio prisijungimo prie VIRSIS būdai, protokolai, elektroninės informacijos keitimosi formatai, šifravimo, elektroninės informacijos kopijų skaičiaus reikalavimai, reikalavimai teikti ir (ar) gauti elektroninę informaciją automatiniu būdu tik pagal duomenų teikimo sutartyse nustatytas specifikacijas ir sąlygas ir panašiai), nustatyti Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėse;

29.6.  stacionarius kompiuterius leidžiama naudoti tik VIRSIS valdytojo ir VIRSIS tvarkytojų patalpose. Nešiojamiesiems kompiuteriams, išnešamiems iš VIRSIS valdytojo ar VIRSIS tvarkytojo patalpų, turi būti taikomos papildomos saugos priemonės (elektroninės informacijos šifravimas, prisijungimo ribojimas ir panašiai).

30.1.  atsarginių elektroninės informacijos kopijų darymo strategija turi būti pasirenkama atsižvelgiant į priimtiną elektroninės informacijos praradimą (angl. recovery point objective) ir priimtiną VIRSIS neveikimo laikotarpį (angl. recovery time objective);

30.2.  atsarginės elektroninės informacijos kopijos turi būti daromos ir saugomos tokia apimtimi, kad VIRSIS veiklos sutrikimo, elektroninės informacijos saugos incidento, kibernetinio incidento ar elektroninės informacijos vientisumo praradimo atvejais VIRSIS neveikimo laikotarpis nebūtų ilgesnis, nei teisės aktais nustatyta VIRSIS svarbos kategorijai, nurodytai Saugos nuostatų 22 punkte, o elektroninės informacijos praradimas atitiktų priimtinumo kriterijus;

30.3.  atsarginės elektroninės informacijos kopijos turi būti daromos automatiškai periodiškai, bet ne rečiau nei nustatyta Viešosios informacijos rengėjų ir skleidėjų informacinės sistemos saugaus elektroninės informacijos tvarkymo taisyklėse;

30.4.  elektroninė informacija atsarginėse elektroninės informacijos kopijose turi būti užšifruota (šifravimo raktai turi būti saugomi atskirai nuo atsarginių elektroninės informacijos kopijų) arba turi būti imtasi kitų priemonių, dėl kurių nebūtų galima neteisėtai atkurti elektroninės informacijos;

30.5.  atsarginių elektroninės informacijos kopijų laikmenos turi būti žymimos taip, kad jas būtų galima identifikuoti, ir saugomos nedegioje spintoje kitose patalpose, nei yra VIRSIS tarnybinės stotys ar įrenginys, kurio elektroninė informacija buvo nukopijuota, arba kitame pastate;

30.6.  periodiškai, bet ne rečiau kaip kartą per pusmetį, turi būti atliekami elektroninės informacijos atkūrimo iš atsarginių kopijų bandymai;

30.7.  patekimas į patalpas, kuriose saugomos atsarginės elektroninės informacijos kopijos, turi būti kontroliuojamas.

31.1.  VIRSIS naudotojų, VIRSIS administratorių, VIRSIS saugos įgaliotinio kvalifikacija turi atitikti reikalavimus, nustatytus jų pareiginiuose nuostatuose;

31.2.  visi VIRSIS naudotojai privalo turėti pagrindinių darbo kompiuteriu, taikomosiomis programomis įgūdžių, mokėti tvarkyti elektroninę informaciją, būti susipažinę su teisės aktais, reglamentuojančiais asmens duomenų tvarkymą, VIRSIS elektroninės informacijos tvarkymą. Asmenys, tvarkantys duomenis ir informaciją, privalo laikyti jų paslaptį ir būti pasirašę pasižadėjimą saugoti duomenų ir informacijos paslaptį. Įsipareigojimas saugoti paslaptį galioja ir nutraukus su elektroninės informacijos tvarkymu susijusią veiklą;

31.3.  VIRSIS saugos įgaliotinis privalo išmanyti elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo principus, tobulinti elektroninės informacijos saugos ir kibernetinio saugumo srities kvalifikaciją, savo darbe vadovautis Bendrųjų elektroninės informacijos saugos reikalavimų aprašo, Organizacinių ir techninių kibernetinio saugumo reikalavimų, taikomų kibernetinio saugumo subjektams, aprašo ir kitų Lietuvos Respublikos ir Europos Sąjungos teisės aktų, reglamentuojančių elektroninės informacijos saugą ir kibernetinį saugumą, nuostatomis. VIRSIS tvarkytojas turi sudaryti sąlygas VIRSIS saugos įgaliotiniui kelti kvalifikaciją;

31.4.  VIRSIS saugos įgaliotiniu negali būti skiriamas asmuo, turintis neišnykusį ar nepanaikintą teistumą už nusikalstamas veikas ar paskirtą administracinę nuobaudą už administracinius nusižengimus, nurodytus Valstybės informacinių išteklių valdymo įstatymo 42 straipsnio 1 dalyje;

31.5.  VIRSIS administratoriai pagal kompetenciją privalo išmanyti elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo principus, mokėti užtikrinti VIRSIS ir joje tvarkomos elektroninės informacijos saugą ir kibernetinį saugumą, administruoti ir prižiūrėti VIRSIS komponentus (stebėti VIRSIS komponentų veikimą, atlikti jų profilaktinę priežiūrą, trikčių diagnostiką ir šalinimą, sugebėti užtikrinti VIRSIS komponentų nepertraukiamą funkcionavimą ir pan.). VIRSIS administratoriai turi būti susipažinę su saugos dokumentais.

32.1.  VIRSIS naudotojams turi būti įvairiais būdais primenama apie elektroninės informacijos saugos ir kibernetinio saugumo problemas (pavyzdžiui, priminimai elektroniniu paštu, teminių renginių organizavimas, atmintinės naujiems VIRSIS naudotojams, VIRSIS administratoriams ir pan.);

32.2.  mokymai elektroninės informacijos saugos ir kibernetinio saugumo klausimais turi būti planuojami ir mokymo būdai parenkami atsižvelgiant į elektroninės informacijos saugos ir kibernetinio saugumo užtikrinimo prioritetines kryptis ir tikslus, įdiegtas ar planuojamas įdiegti technologijas (techninę ar programinę įrangą), saugos įgaliotinio, VIRSIS naudotojų ar VIRSIS administratorių poreikius;

32.3.  mokymai gali būti vykdomi tiesioginiu (pavyzdžiui, paskaitos, seminarai, konferencijos ir kiti teminiai renginiai) ar nuotoliniu būdu (pavyzdžiui, vaizdo konferencijos, mokomosios medžiagos pateikimas elektroninėje erdvėje ir pan.);

32.4.  mokymai VIRSIS naudotojams turi būti organizuojami periodiškai, bet ne rečiau kaip kartą per metus. Už VIRSIS naudotojų mokymų organizavimą atsakingas saugos įgaliotinis;

32.5.  mokymai VIRSIS saugos įgaliotiniui ir VIRSIS administratoriams turi būti organizuojami pagal poreikį.