DORA Latvijā ir piemērojama kopš 2025. gada 17. janvāra. Tā nosaka, kā regulā aptvertie finanšu subjekti pārvalda informācijas un komunikācijas tehnoloģiju riskus, turpina pakalpojumus traucējumu laikā un kontrolē ārpakalpojumus. Tomēr atbildi uz jautājumu «vai DORA attiecas uz mums?» nevar iegūt tikai no uzņēmuma nosaukuma, darbinieku skaita vai fakta, ka tā klients ir banka.
Šajā ceļvedī galvenais rezultāts ir pamatots piemērojamības lēmums un pārvaldības plāns Latvijas uzņēmumam. Atsevišķi jānosaka finanšu subjekta pienākumi, IKT piegādātāja līgumiskās saistības un citu regulējumu prasības. Informācija pārbaudīta 2026. gada 27. septembrī; vēsturiskie 2025. gada iesniegšanas datumi nav nākamā pārskata termiņi.
Vispirms nosakiet subjekta juridisko statusu
Regulas (ES) 2022/2554 2. pants aptver vairākas finanšu nozares kategorijas, tostarp kredītiestādes, maksājumu iestādes, elektroniskās naudas iestādes, ieguldījumu brokeru sabiedrības, noteiktus fondu pārvaldniekus, apdrošinātājus un kriptoaktīvu pakalpojumu sniedzējus. Saraksts jālasa kopā ar definīcijām un izņēmumiem. Vispārīgs formulējums «visi Latvijas Bankas uzraudzītie uzņēmumi» būtu pārāk plašs.
Sāciet ar licences vai reģistrācijas pamatu un faktiski sniegtajiem pakalpojumiem. Piemēram, apdrošināšanas sabiedrība un apdrošināšanas starpnieks nav viena regulējuma kategorija. Mikro, mazi un vidēji apdrošināšanas, pārapdrošināšanas un papildpakalpojumu starpnieki ir starp DORA izņēmumiem. Tādēļ uzņēmuma mazais izmērs dažkārt ietekmē piemērojamību, nevis tikai dokumentācijas apjomu.
DORA paredz arī citus izņēmumus, piemēram, noteiktiem maziem alternatīvo ieguldījumu fondu pārvaldniekiem un ļoti mazām arodpensijas kapitāla uzkrāšanas institūcijām. Katram jānoskaidro konkrētais juridiskais nosacījums. Nedrīkst pārnest vienas kategorijas slieksni uz citu vai uzskatīt, ka jebkura neliela finanšu sabiedrība automātiski ir atbrīvota.
Piemērojamības piezīmē ierakstiet juridisko personu, statusu, izvērtēto DORA normu, izņēmuma esību un atbildīgo par pārskatīšanu. Saglabājiet pierādījumu, uz kuru balstās secinājums, piemēram, licences informāciju vai atbilstošā lieluma aprēķinu. Pārskatīšanu var izraisīt jauns pakalpojums, reorganizācija vai darbības apjoma maiņa; iepriekšējā gada secinājums nav beztermiņa atļauja neko nepārbaudīt.
Latvijas likums papildina tieši piemērojamo regulu
Latvijā kopš 2025. gada 1. oktobra ir spēkā Finanšu tirgus digitālās darbības noturības un mākslīgā intelekta izmantošanas likums. Tas nosaka nacionālo uzraudzības un sankciju ietvaru, kā arī atsevišķus jautājumus par vienkāršotām prasībām un izņēmumiem. DORA tādēļ nav jāgaida kā vēl nepārņemta direktīva, bet ar regulas izlasīšanu vien Latvijas prasību pārbaude nebeidzas.
Likuma 5. pantā un DORA 16. pantā paredzētais vienkāršotais IKT riska pārvaldības ietvars attiecas uz konkrētām kategorijām. Tas nav visiem mazajiem uzņēmumiem brīvi izvēlams režīms. Savukārt izslēgšana no DORA pilnā tvēruma nenozīmē, ka uzņēmumam Latvijā nav nekādu informācijas sistēmu drošības pienākumu.
Latvijas Bankas noteikumi Nr. 409, kas stājās spēkā 2026. gada 15. janvārī, paredz nacionālās prasības noteiktiem no DORA izslēgtiem finanšu tirgus dalībniekiem. Arī šo noteikumu prasību apjoms atšķiras: 4. punkts vairākām kategorijām paredz tikai konkrētu punktu piemērošanu. Izņēmuma secinājumam tāpēc jāpievieno pārbaude par atlikušo nacionālo režīmu.
Latvijas Banka ir būtiska kompetentā uzraudzības iestāde Latvijas sistēmā, taču uzraudzības kompetence jālasa kopā ar DORA 46. pantu un attiecīgo Eiropas uzraudzības sadalījumu. Uzņēmumam praktiski nepieciešams zināt savu saziņas kanālu, ziņojumu iesniedzēju un aizvietotāju. Atsauce uz regulatora mājaslapu bez atbildīgās personas uzņēmumā šo uzdevumu neatrisina.
Vadības atbildība un darbības atjaunošana
DORA pārvaldības kodols ir finanšu subjekta vadības atbildība par IKT riskiem. Tehniskos darbus var veikt darbinieki vai piegādātāji, bet ārpakalpojuma izmantošana nepārceļ finanšu subjekta atbildību uz programmatūras ražotāju. Vadībai jāsaņem informācija, kas ļauj lemt par pieņemamu risku, ieguldījumiem un neatrisinātām nepilnībām.
Praktiskā sākumpunkta sarakstā savienojiet biznesa pakalpojumu, to atbalstošo sistēmu, datu plūsmu, piegādātāju un pieļaujamo pārtraukumu. Maksājumu apstrādes riski atšķirsies no iekšējas aptaujas rīka riskiem. Šī saikne palīdz noteikt prioritātes atjaunošanai un paskaidrot, kāpēc kāda atkarība ir kritiska vai svarīga konkrētā uzņēmuma darbībai.
Atjaunošanas plānam jādarbojas arī tad, ja ikdienas identitātes sistēma vai saziņas rīks nav pieejams. Ieteicams iepriekš izšķirt, kurš drīkst apturēt pakalpojumu, kurš apstiprina atjaunošanu un kā pārbauda atjaunoto datu integritāti. Tie ir organizatoriski lēmumi, kurus nevar aizstāt ar vienu rezerves kopijas esības apliecinājumu.
Hipotētiskā piemērā maksājumu uzņēmums atjauno datubāzi, bet vēl nav pārbaudījis, vai darījumi nav izpildīti divreiz. Tehniskā pieejamība tādēļ vēl nepierāda drošu pakalpojuma atjaunošanu. Plānā nepieciešami arī biznesa pārbaudes kritēriji, atbildīgais par rezultāta pieņemšanu un iespēja fiksēt, kādi riski paliek pēc darbības atsākšanas.
Informācijas reģistrs un Latvijas iesniegšanas cikls
DORA informācijas reģistrs aptver līgumiskās vienošanās par IKT pakalpojumu izmantošanu. Tā saturs nav tikai piegādātāju nosaukumu saraksts: jāsasaista vienošanās, pakalpojumi, finanšu subjekti un atbalstītās funkcijas. Kritiskas vai svarīgas funkcijas atbalstošās vienošanās jāspēj atšķirt no pārējām, nezaudējot pārskatu par visu reģistra tvērumu.
Latvijas Bankas aktuālajā iesniegšanas skaidrojumā, kas atjaunināts 2026. gada 5. maijā, pirmais 2025. gada cikls ir nodalīts no turpmākās kārtības. Turpmāk reģistrs iesniedzams katru gadu līdz 1. martam, izmantojot iepriekšējā gada 31. decembra datus. Jāievēro arī individuālās un konsolidētās iesniegšanas nosacījumi.
Grupas uzņēmumam vispirms jāsaskaņo, kuras juridiskās personas un vienošanās ietilpst konkrētajā iesniegumā. Vietēja tabula var būt pilnīga vienas komandas skatījumā, bet nepilnīga grupas pārskata līmenī. Dokumentējiet pārskata robežu, datu īpašniekus un to, kurš pārbauda savstarpējās atsauces pirms iesniegšanas.
Ieteicams atdalīt ikdienā uzturamo reģistru no gada iesnieguma kopijas. Ja līgums mainīts aprīlī, aktuālais reģistrs jāatjaunina, saglabājot saprotamu iepriekš iesniegtās informācijas versiju. Kļūdas cēloņa izmeklēšanai svarīgi redzēt ne vien pašreizējo vērtību, bet arī avotu un personu, kura izmaiņu apstiprināja.
Latvijas Banka publicē veidnes un tehnisko iesniegšanas aprakstu; komerciāla platforma pati par sevi nav juridisks priekšnoteikums. DORA programmatūras izvēles kritēriji palīdz vērtēt importu, eksportu, pārbaudes un izmaiņu vēsturi. Savukārt apstrādes reģistra uzturēšana attiecas uz citu reģistru: personas datu apstrādes uzskaite neaizstāj DORA līgumisko vienošanos reģistru.
Piegādātāja līgums un faktiskā pakalpojuma ķēde
DORA 30. pants nosaka līguma satura prasības. Vienošanās jāatspoguļo pakalpojumi, pakalpojumu un datu apstrādes vietas, datu aizsardzība, pieejamība un atgūšana, palīdzība incidentā, sadarbība ar kompetentajām iestādēm un izbeigšanas nosacījumi. Kritiskas vai svarīgas funkcijas atbalstošiem pakalpojumiem ir papildu prasības, tostarp detalizētāki pakalpojuma līmeņi un kontroles iespējas.
Pirms parakstīšanas ieteicams izspēlēt konkrētu atteices situāciju. Ja pakalpojuma sniedzējs pārtrauc darbību, uzņēmumam jāzina, kā iegūt datus un atjaunot pakalpojumu. Ja piegādātājs maina apstrādes vietu vai būtisku apakšuzņēmēju, jābūt saprotamam informēšanas un izvērtēšanas procesam. Vispārīgs pārdevēja solījums «atbilstam DORA» nenosaka šīs darbības.
Ja pakalpojuma sniedzējs uzņēmuma vārdā apstrādā personas datus, papildus jāizpilda VDAR 28. pants. Parasti to īsteno ar datu apstrādes līgumu; regula pieļauj arī citu saistošu Savienības vai dalībvalsts tiesību aktu un rakstveida elektronisku formu. DORA līgumiskās prasības un personas datu apstrādes noteikumi ir savstarpēji papildinoši, nevis alternatīvi dokumenti.
ES datu centra adrese viena pati neatbild uz jautājumu par ārvalstu atbalsta piekļuvi vai turpmākiem apakšuzņēmējiem. Ja personas dati tiek nosūtīti ārpus attiecīgās Eiropas tiesiskās telpas, atsevišķi jāpārbauda starptautiskās datu nosūtīšanas nosacījumi. Iepirkumā šo pārbaudi var apvienot ar DORA piegādātāja ķēdes izvērtēšanu, saglabājot katra secinājuma juridisko pamatu.
IKT piegādātājs nav automātiski finanšu subjekts
Programmatūras uzņēmums nekļūst par banku vai citu DORA finanšu subjektu tāpēc, ka pārdod pakalpojumu finanšu nozarei. Tam var būt klienta noteiktas līgumiskas saistības, pienākums sniegt informāciju un sadarboties pārbaudēs. Šo līguma pienākumu izpilde jānodala no pašam finanšu subjektam uzliktajām pārvaldības un ziņošanas prasībām.
DORA paredz arī īpašu uzraudzību kritiskiem IKT trešo personu pakalpojumu sniedzējiem, kurus nosaka attiecīgajā Eiropas procedūrā. Tas nav automātisks statuss ikvienam finanšu klienta piegādātājam. Piegādātājam savā piedāvājumā precīzi jānorāda, ko tas apliecina: līguma prasību atbalstu, konkrētu drošības kontroli vai īpaši piemērojamu uzraudzības statusu.
Izvēloties rīku, pārbaudiet pierādāmas darbības savā procesā: vai var iegūt vajadzīgo reģistra izdruku, atjaunot iepriekšēju versiju un izvest datus līguma beigās. Divu atbilstības platformu salīdzināšanas pieeja var palīdzēt formulēt jautājumus piegādātājam. Tā neaizstāj pārbaudi un neapliecina, ka konkrēts produkts izpilda visas DORA prasības.
Incidentu termiņi jārēķina no pareizā notikuma
Būtisks IKT incidents jāklasificē pēc piemērojamajiem kritērijiem, nevis tikai pēc palīdzības dienesta prioritātes. Deleģētās regulas (ES) 2025/301 5. pants nosaka sākotnējo paziņojumu iespējami agri, katrā ziņā četru stundu laikā pēc klasificēšanas par būtisku un ne vēlāk kā 24 stundās pēc uzzināšanas par IKT incidentu. Vēlākai klasificēšanai pēc šīm 24 stundām ir īpašs četru stundu noteikums.
Starpposma ziņojums iesniedzams ne vēlāk kā 72 stundās pēc sākotnējā paziņojuma arī tad, ja situācija nav mainījusies. Atjaunināts starpposma ziņojums jāsniedz bez nepamatotas kavēšanās un katrā ziņā pēc regulārās darbības atjaunošanas. Galīgais ziņojums iesniedzams mēneša laikā pēc starpposma ziņojuma vai attiecīgā jaunākā atjauninājuma.
Brīvdienu noteikumam ir izņēmumi, tostarp sākotnējiem un starpposma ziņojumiem no kredītiestādēm un citām 5. panta 5. punktā norādītajām vienībām. Kompetentā iestāde var noteikt papildu izņēmumus attiecīgi identificētiem subjektiem. Tādēļ procedūrā nedrīkst visiem ieviest automātisku termiņa pārcelšanu uz pirmdienu; arī kavējuma paziņošanai ir atsevišķs pienākums.
Latvijas Bankas ziņošanas instrukcija nosaka praktiskos kanālus un veidnes. Jānodrošina piekļuve iesniegšanas sistēmai un paredzētais alternatīvais kanāls tās nepieejamības gadījumā. Brīvprātīgu ziņošanu par nozīmīgiem kiberdraudiem nevajag sajaukt ar obligātu ziņošanu par būtisku incidentu; arī veidnes izvēle atkarīga no ziņojuma veida.
VDAR un NIS2 lēmumi jāpieņem atsevišķi
DORA ir nozarei specifisks Savienības tiesību akts NIS2 izpratnē attiecībā uz regulā norādītajiem finanšu subjektiem. Tas nenozīmē, ka katrs grupas uzņēmums vai parasts IKT piegādātājs automātiski ir ārpus Latvijas NIS2 regulējuma. Piemērojamība jānosaka konkrētai juridiskajai personai un darbībai, nevis jāpiešķir visai piegādātāju ķēdei.
IKT incidents var būt arī personas datu aizsardzības pārkāpums, bet abi jēdzieni nav identiski. VDAR paziņojums uzraudzības iestādei sniedzams bez nepamatotas kavēšanās un, ja iespējams, 72 stundās pēc uzzināšanas, izņemot gadījumu, kad pārkāpums, visticamāk, nerada risku cilvēku tiesībām un brīvībām. Šo VDAR termiņu neskaita no DORA sākotnējā ziņojuma.
Vienotā incidentu procedūrā un reģistrā ieteicams uzturēt vienu faktu hronoloģiju, bet atsevišķus lēmumus par katru ziņošanas režīmu. DVI nav aizstājama ar Latvijas Banku tikai tāpēc, ka cietusi finanšu iestāde. DVI kompetences ceļvedis palīdz nošķirt datu aizsardzības uzraudzību no finanšu nozares uzraudzības.
Pārbaudes, sankcijas un vadības pierādījumi
Noturības testēšanai jābūt saistītai ar identificētajiem riskiem un kritiskajām atkarībām. Uz draudiem balstīta ielaušanās testēšana jeb TLPT attiecas uz īpaši identificētiem finanšu subjektiem saskaņā ar DORA kritērijiem, nevis automātiski uz katru uzņēmumu. Parasta ievainojamību pārbaude un TLPT nav savstarpēji aizvietojami termini.
Ieteicams pārbaudes rezultātam pievienot nepilnības īpašnieku, labošanas termiņu un atkārtotās pārbaudes rezultātu. Ja rezerves kopijas atjaunošana neizdodas, ar protokolu par notikušu pārbaudi nepietiek. Vadībai vajadzīgs lēmums par pakalpojuma turpmāko darbību, pagaidu riska mazināšanu un līdzekļiem neatrisinātā trūkuma novēršanai.
Latvijas likuma 10. pants par attiecīgajiem DORA pārkāpumiem paredz brīdinājumu un sankcijas, tostarp juridiskai personai naudas sodu līdz pieciem miljoniem euro vai līdz trim procentiem no kopējā gada apgrozījuma, piemērojot lielāko robežu. Tas ir likumā noteiktais maksimums attiecīgajām pārkāpumu kategorijām, nevis automātisks sods par jebkuru kļūdu. Tā paša likuma atšķirīgās mākslīgā intelekta sankcijas nedrīkst pasniegt kā DORA sankcijas.
Vadības pārskatā apvienojiet piemērojamības pamatojumu, svarīgākās atkarības, atvērtās nepilnības, incidentu pieredzi un nākamā reģistra iesnieguma sagatavotību. Plašāks Latvijas datu aizsardzības ceļvedis palīdz sasaistīt personas datu jautājumus, bet DORA rezultātam jābūt pārbaudāmai finanšu pakalpojumu noturībai, nevis tikai lielākam dokumentu skaitam.
Kā pārvērst prasības pārbaudāmā darba plānā
Pirmajā darba posmā savāciet jau pieejamos pierādījumus, nevis sāciet rakstīt visas politikas no jauna. Licences dokumenti palīdz noteikt tvērumu, iepirkumu uzskaite atklāj piegādātājus, bet biznesa nepārtrauktības dokumenti parāda atjaunošanas pieņēmumus. Katram avotam jānorāda uzturētājs. Ja divi saraksti sniedz atšķirīgu līguma beigu datumu, nesakritība jāatrisina pirms reģistra iesniegšanas, nevis jāizvēlas ērtākā vērtība.
Nākamajā posmā nošķiriet trūkstošu dokumentu no neīstenotas kontroles. Var gadīties, ka piekļuves tiesības tiek pārskatītas, taču rezultāts nav saglabāts. Citā gadījumā politika paredz pārskatīšanu, kas faktiski nenotiek. Šīm nepilnībām vajadzīgi atšķirīgi labošanas darbi: pirmajā gadījumā pierādījumu kārtība, otrajā arī atbildība, resursi un reāla kontroles ieviešana.
Iekšējā plānā katrai nepilnībai ieteicams norādīt paredzēto rezultātu un tā pieņemšanas kritēriju. Formulējums «sakārtot ārpakalpojumus» nedod skaidru beigu punktu. Konkrētāks rezultāts būtu pārskatītas vienošanās noteiktai pakalpojumu grupai, apstiprināta funkciju klasifikācija un pārbaudīta datu atgūšanas iespēja. Termiņš jāsaista ar risku un piemērojamām prasībām, nevis tikai ar nākamo vadības sēdi.
Piegādātāja maiņas izmēģinājumā vērtējiet arī cilvēku un procesu atkarības. Datus var būt iespējams lejupielādēt, bet uzņēmumam var trūkt zināšanu, kā tos izmantot citā sistēmā. Saglabājiet informāciju par formātu, konfigurāciju, nepieciešamajām atļaujām un pārejas laikā turpināmajiem pakalpojumiem. Tas ļauj saprast, vai izstāšanās plāns ir praktiski izpildāms un kāds pārejas risks jāvada.
Iegādājoties grupas koplietotu rīku, vienojieties, kurš labo vietējās kļūdas un kurš apstiprina kopējos datus. Centrālais administrators var pārzināt programmu, bet nezināt Latvijas juridiskās personas līguma nosacījumus. Vietējam atbildīgajam savukārt var nebūt tiesību mainīt kopējo ierakstu. Šāda atbildības plaisa jānovērš ar skaidru izmaiņu pieprasījuma un apstiprināšanas kārtību.
Vadības apstiprinājumam jāpievieno arī jautājumi, kuros pierādījumu vēl trūkst. Ja piegādātājs nav sniedzis informāciju par būtisku atkarību, atzīmējiet nenoteiktību, tās ietekmi un pagaidu pasākumus. Tukšs lauks vai optimistisks pieņēmums nav līdzvērtīgs pārbaudītam secinājumam. Vēlāk saņemto informāciju izmantojiet sākotnējā lēmuma pārskatīšanai, lai dokumenti atspoguļotu pašreizējo situāciju.
Regulārajā pārskatā ieteicams sekot tam, vai iepriekš atklātās kļūdas atkārtojas. Ja vienāds incidenta cēlonis parādās vairākās sistēmās, atsevišķu pieteikumu aizvēršana var slēpt kopēju problēmu. Pārbaudiet koplietotos piegādātājus, konfigurācijas un atbildības. Šāda analīze palīdz prioritizēt darbus un sniedz vadībai saprotamu saikni starp notikumiem un pieņemamajiem lēmumiem.
Biežākie jautājumi
Vai mazam apdrošināšanas starpniekam vienmēr jāizpilda pilna DORA?
Nē. Vispirms jāpārbauda regulas izņēmums attiecīgā lieluma starpniekiem un Latvijas likuma normas. Ja pilna DORA nav piemērojama, vēl jāizvērtē Latvijas Bankas nacionālie noteikumi un tieši šai kategorijai paredzētais prasību apjoms. Mazs uzņēmums nav universāla juridiska kategorija visiem finanšu pakalpojumiem.
Vai obligāti jāpērk DORA programmatūra?
Nē. Pienākums ir nodrošināt prasīto pārvaldību, informāciju un pierādījumus. Rīka izvēli nosaka darbības sarežģītība un spēja uzturēt uzticamus datus. Pirms pirkuma pārbaudiet eksportu, piekļuves tiesības, izmaiņu vēsturi un konkrētā Latvijas iesnieguma sagatavošanu; pārdevēja apgalvojums par atbilstību pats par sevi to nepierāda.
Vai viens incidenta ziņojums izpilda visus pienākumus?
Ne vienmēr. DORA un VDAR atšķiras pēc incidenta sliekšņa, termiņa sākuma, adresāta un informācijas satura. Kopīgs faktu ieraksts palīdz strādāt ātrāk, taču katras paziņošanas nepieciešamība jāizvērtē un jāfiksē atsevišķi. Tāpat atsevišķi vērtē informēšanu personām, kuras skāris personas datu aizsardzības pārkāpums.