NIS2 Latvijā īsteno Nacionālās kiberdrošības likums (NKDL), kas darbojas kopš 2024. gada 1. septembra, un Ministru kabineta noteikumi Nr. 397 par minimālajām kiberdrošības prasībām. Uzņēmuma praktiskais uzdevums ir noteikt savu statusu, izveidot attiecīgajām sistēmām piemērotu drošības pārvaldību un nodrošināt savlaicīgu incidentu ziņošanu. Reģistrācijas paziņojums viens pats šo darbu nepabeidz. Arī ārpakalpojums neatceļ vadītāja atbildību par organizācijas kiberdrošības pārvaldību.
Šis ceļvedis skaidro Latvijas prasības atbilstoši 2026. gada 29. septembrī spēkā esošajam regulējumam, tostarp jūnija grozījumiem. Likuma oficiālajā tekstā atsevišķi norādītā 20. panta 11. punkta paplašinātā redakcija stājas spēkā 1. oktobrī. Tādēļ piemērojamības vērtējumā jāatšķir pašreizējais pamats un jau pieņemta nākotnes norma. Savukārt 2025. gada pirmreizējie termiņi nav jauns ieviešanas periods organizācijām, kuras pienākumiem atbilda jau toreiz.
Kā noteikt, vai organizācija ir likuma subjekts
Sāciet ar faktiski sniegto pakalpojumu, juridisko statusu un darbības mērogu. NKDL 20. pants nosaka būtisko pakalpojumu sniedzējus, bet 21. pants — svarīgo pakalpojumu sniedzējus, kuri jau neietilpst būtisko kategorijā. Nozares nosaukums prezentācijā nav pietiekams: jāspēj parādīt, kurš tieši likuma punkts atbilst konkrētajam pakalpojumam. Līdzīgi informācijas tehnoloģiju izmantošana pati par sevi nepadara katru uzņēmumu par digitālās infrastruktūras pakalpojumu sniedzēju.
Būtisko subjektu lokā ietilpst, piemēram, noteikti domēnu sistēmas pakalpojumu sniedzēji, elektronisko sakaru komersanti, kvalificēti uzticamības pakalpojumu sniedzēji un likumā noteiktas publiskās institūcijas. Atsevišķs pamats aptver lielus komersantus uzskaitītās enerģētikas, transporta, veselības, ūdenssaimniecības un digitālās infrastruktūras jomās. Likumā ir arī no lieluma neatkarīgi pamati, tostarp vienīgais attiecīgā veida pakalpojuma sniedzējs Latvijā un būtiska ietekme uz sabiedrības drošību vai sistēmisku risku.
Svarīgo subjektu kategorijā noteiktos apstākļos ietilpst vidēji uzņēmumi būtisko nozaru grupā, kā arī vidēji un lieli uzņēmumi citās uzskaitītās jomās, piemēram, pasta pakalpojumos, atkritumu apsaimniekošanā un noteiktā ražošanā. Likums paredz arī citus konkrētus pamatus. Lieluma aprēķinam izmantojiet NKDL definīcijas un faktiskos darbinieku, apgrozījuma un bilances rādītājus; vispārīgs pieņēmums par vienu darbinieku skaita slieksni var dot kļūdainu rezultātu.
Praktiski noder īss piemērojamības pamatojums ar uzņēmuma pakalpojumu aprakstu, izmantoto tiesību normu, finanšu periodu un secinājumu. Tas ir ieteicams darba pierādījums, nevis atsevišķa universāla valsts veidlapa. Pārskatiet pamatojumu, ja mainās pakalpojumi, uzņēmuma lielums vai tiesiskais regulējums. Nesagaidiet individuālu iestādes vēstuli: 22. pants paredz paša pakalpojumu sniedzēja pienākumu izvērtēt atbilstību un paziņot par to.
NKDC, CERT.LV un SAB pilda atšķirīgus uzdevumus
Nacionālais kiberdrošības centrs (NKDC) nodrošina koordināciju un uzrauga būtiskos un svarīgos subjektus, izņemot informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru. Šīs infrastruktūras īpašnieku vai tiesisko valdītāju uzraudzība ir Satversmes aizsardzības biroja (SAB) kompetencē. Kritiskās infrastruktūras statuss un būtiska pakalpojuma sniedzēja statuss tādēļ nav divi pilnīgi savstarpēji izslēdzoši saraksti.
Kompetentā kiberincidentu novēršanas institūcija sniedz tehnisko atbalstu un saņem incidentu ziņojumus. Parastam privātā sektora uzņēmumam šī loma ir CERT.LV, kas darbojas Latvijas Universitātes Matemātikas un informātikas institūtā. Aizsardzības sektoram likums paredz citu kompetences sadalījumu. Procedūrā norādiet savai organizācijai pareizo saņēmēju un pārbaudītu saziņas kanālu; NKDC uzraudzības funkcija nenozīmē, ka jebkurš ziņojums automātiski jāadresē tikai centram.
Papildu saņēmēji dažos gadījumos ir obligāti. MK noteikumu Nr. 397 121. punkts paredz, ka kritiskās infrastruktūras īpašnieki vai tiesiskie valdītāji un būtisko pakalpojumu sniedzēji incidentu ziņojumus nosūta arī SAB. Šo pienākumu nevajag sajaukt ar institūciju savstarpējo informācijas apmaiņu. Organizācijas nosūtīšanas pierādījumos jābūt redzamam, kam, kad un kura ziņojuma versija nosūtīta.
Paziņošana par statusu un atbildīgās personas noteikšana
Atbilstoši NKDL 22. pantam par atbilstību būtiskā vai svarīgā pakalpojuma sniedzēja statusam jāpaziņo NKDC mēneša laikā no atbilstības brīža. Paziņojumā ietilpst identificējošā informācija, pakalpojumi, nozare un kontaktinformācija, kā arī citas likumā prasītās ziņas. Izmaiņas paziņo nekavējoties, bet ne vēlāk kā divu nedēļu laikā. Tas ir pastāvīgs uzskaites pienākums, nevis tikai 2025. gada reģistrācijas kampaņa.
Vadītājs nosaka kiberdrošības pārvaldnieku ne vēlāk kā triju mēnešu laikā no 22. pantā paredzētā paziņojuma vai attiecīgā NKDC lēmuma. Par pārvaldnieka noteikšanu un norādīto ziņu izmaiņām nekavējoties, bet ne vēlāk kā piecās darbdienās jāpaziņo NKDC un SAB. Kritiskajai infrastruktūrai ir īpaša kandidāta saskaņošanas kārtība ar SAB; parastu uzņēmuma iecelšanas procedūru tai nedrīkst piemērot bez šīs pārbaudes.
Pārvaldnieks organizē drošības pasākumus, vismaz reizi gadā veic drošības pārbaudi un organizē trūkumu novēršanu. Likumā paredzēta arī ikgadēja dalība kiberincidentu novēršanas institūcijas apmācībā un darbinieku instruktāžas nodrošināšana. Vadītāja atbildība saglabājas. Darba sadalījumā jābūt skaidram, kas var piešķirt resursus, apstiprināt izmaiņas un pieņemt steidzamus incidenta ierobežošanas lēmumus.
Kiberdrošības pārvaldnieks nav automātiski tas pats, kas datu aizsardzības speciālists. DPO uzdevumiem un neatkarībai ir atsevišķs VDAR regulējums. Ja apsverat abu lomu apvienošanu, izvērtējiet prasības, pieejamo laiku un iespējamu interešu konfliktu, nevis vienkārši pārdēvējiet jau iecelto personu. Šīm funkcijām jāsadarbojas, piemēram, vērtējot incidenta ietekmi uz cilvēkiem un sistēmu darbību.
Kāda dokumentācija un tehniskā ieviešana nepieciešama
MK noteikumu Nr. 397 21. punkts paredz četras dokumentu grupas: kiberdrošības politiku, IKT resursu un informācijas sistēmu katalogu, kiberrisku pārvaldības un darbības nepārtrauktības plānu un kiberincidentu žurnālu. Tās var organizēt vienā vai vairākos loģiski saistītos dokumentos. Dokumentācijas forma ir pakārtota saturam: jāspēj atrast konkrētās sistēmas, atbildīgos un īstenojamos pasākumus, arī ja galvenā darba vide nav pieejama.
Sistēmu klasifikācijā jāvērtē konfidencialitāte, integritāte un pieejamība; noteikumi izmanto A, B un C klasi. Šī klasifikācija ietekmē turpmākās prasības, tāpēc to nedrīkst aizstāt ar vienu visam uzņēmumam piešķirtu vispārīgu riska apzīmējumu. Katalogā jāatspoguļo arī organizācijas valdījumā esošie resursi. Mākoņpakalpojums nepazūd no drošības pārvaldības tikai tāpēc, ka serveris fiziski pieder piegādātājam.
Risku plānā nepieciešama metode, novērtētie riski, tostarp piegādes ķēdē, un pasākumi ar atbildīgajiem un termiņiem. Nepārtrauktības daļā sasaistiet atjaunošanas mērķus ar pakalpojuma vajadzībām: kāds datu zudums ir pieļaujams, cik ilgs pārtraukums vēl ir pieņemams un kā notiks atjaunošana. Ieteicams šos pieņēmumus pārbaudīt praktiskā atjaunošanas vingrinājumā. Faila esība rezerves kopijā vēl nepierāda, ka pakalpojumu izdosies atjaunot vajadzīgajā laikā.
Ārpakalpojuma izvēlē pārbaudiet piekļuves pārvaldību, incidentu informācijas saņemšanu, pierādījumu pieejamību un sadarbību atjaunošanā. Šie jautājumi palīdz izpildīt organizācijas pienākumus, bet nepadara katru piegādātāju par patstāvīgu NKDL subjektu. Atsevišķām digitālo pakalpojumu kategorijām noteikumi ņem vērā arī ES Īstenošanas regulu 2024/2690. Tādēļ vienāds dokumentu komplekts bez tvēruma un konkrēto tehnisko prasību analīzes nav universāls risinājums.
Ja izvēlaties pārvaldības rīku, vērtējiet, vai tas ļauj sasaistīt riskus ar sistēmām, uzdevumu izpildi un pierādījumiem. NIS2 programmatūras pārskats palīdz formulēt rīka izvēles jautājumus; juridisko atbilstību nosaka arī faktiskā ieviešana un organizācijas lēmumi. Piegādātāja demonstrācija neaizstāj pārbaudi, vai jūsu darbinieki ārkārtas situācijā var piekļūt vajadzīgajām instrukcijām.
Kā rīkoties ar jau noslēgtiem līgumiem
Pārejas noteikumus pārbaudiet pēc konkrētās prasības, nevis meklējiet vienu visam uzņēmumam piemērojamu atlikšanas datumu. MK noteikumu 153. punkts ļauj pirms to spēkā stāšanās noslēgtus, ārpakalpojumu prasībām neatbilstošus līgumus saglabāt līdz pilnīgai saistību izpildei, taču ne ilgāk kā piecus gadus no konkrētā līguma noslēgšanas. Pieci gadi nav skaitāmi no brīža, kad uzņēmums šodien atklāj neatbilstību. Atsevišķs noteikums attiecas uz pirms noteikumu spēkā stāšanās sāktiem publiskajiem iepirkumiem.
Šāds pārejas režīms nav vispārēja atļauja ignorēt piegādātāja radītu drošības risku. Praktiski saglabājiet līguma datumu un piemērojamās pārejas normas pamatojumu, nosakiet pārejas beigas un sagatavojiet prasībām atbilstošu turpmāko risinājumu. Ja pakalpojums ir darbībai nepieciešams, pārejas plānā jāvērtē arī datu atgūšana un pakalpojuma nepārtrauktība. Jaunai kritiskajai infrastruktūrai noteikumu 151. punkts paredz īpašu atbilstības termiņu; tas nav automātisks termiņa pagarinājums katram jaunam būtisko vai svarīgo pakalpojumu sniedzējam.
Pašvērtējums un plāna pārskatīšana nav viens termiņš
MK noteikumu 141. punkts paredz ikgadēju pašvērtējumu kritiskās infrastruktūras subjektiem un subjektiem ar vismaz vienu A klases informācijas sistēmu. Ja A klases sistēmu nav, pašvērtējums veicams reizi trijos gados, ja NKDC nav noteicis citādi. Ziņojumu iesniedz līdz attiecīgā kalendāra gada 1. oktobrim: nekritiskās infrastruktūras subjekti — NKDC, kritiskās infrastruktūras subjekti — SAB. Ja atbilstība statusam iestājas pēc 1. jūlija, pirmais ziņojums jāiesniedz ne vēlāk kā trijos mēnešos no atbilstības brīža.
Kiberrisku un darbības nepārtrauktības plāna pārskatīšanai 40. punkts paredz citu dalījumu: vismaz reizi gadā kritiskajai infrastruktūrai un būtiskajiem subjektiem ar A klases sistēmu, reizi divos gados būtiskajiem subjektiem bez A klases sistēmas un reizi trijos gados svarīgajiem subjektiem. Šos termiņus nedrīkst izmantot, lai attaisnotu novecojuša resursu kataloga uzturēšanu vai atliktu jau atklātas problēmas risināšanu. Gada drošības pārbaude ir vēl atsevišķs pārvaldnieka pienākums.
Arī ārējs atbilstības audits nav sinonīms ikgadējam pašvērtējumam. NKDL 44. pants paredz auditēšanas mehānismu uzraudzības ietvaros, tostarp pamatotu aizdomu vai konstatētas neatbilstības gadījumā. No tā nevar secināt, ka ikvienam subjektam katru gadu obligāti jāiegūst konkrēts komerciāls sertifikāts. Ja audits tiek prasīts, jāvērtē tieši attiecīgā lēmuma un normatīvo aktu nosacījumi.
Incidenta sākumā jārīkojas nekavējoties
NKDL 34. panta pirmā daļa prasa, konstatējot kiberincidentu, nekavējoties veikt nepieciešamās novēršanas darbības, informēt kompetento kiberincidentu novēršanas institūciju un izpildīt tās norādījumus. Nozīmīgu incidentu papildu ziņošanas posmi šo sākotnējo pienākumu neatceļ. Divdesmit četras vai septiņdesmit divas stundas nav atļauja līdz pēdējam brīdim gaidīt ar reaģēšanu.
Incidenta nozīmīgumu vērtē pēc noteikumu 118. punkta kritērijiem, tostarp pakalpojuma traucējuma, iespējama kaitējuma cilvēkiem, ekonomiskās ietekmes un pārrobežu rakstura. Pierādījumi sākumā var būt nepilnīgi, tādēļ dokumentējiet zināmo un vēl pārbaudāmo. Nedrīkst atlikt pirmo ziņojumu tikai tāpēc, ka vēl nav noskaidrots uzbrucējs vai precīzs visu zaudējumu apmērs. Savukārt par incidentu, kas nav nozīmīgs, 120. punkts paredz ziņot brīvā formā kompetentās institūcijas e-pastā.
Nozīmīga incidenta gadījumā agrīnais brīdinājums jāiesniedz nekavējoties, bet ne vēlāk kā 24 stundās. Sākotnējais ziņojums jāiesniedz nekavējoties, bet ne vēlāk kā 72 stundās; Latvijas likuma 34. panta trešā daļa uzticamības pakalpojumu sniedzējam paredz 24 stundas. Šeit izklāstīts nacionālā likuma pienākums. Direktīvas 23. panta formulējumā attiecīgais uzticamības pakalpojumu izņēmums ir saistīts ar nozīmīgu incidentu, kas skar to sniegšanu; direktīvas tekstu nedrīkst mehāniski izmantot Latvijas normas sašaurināšanai.
Galaziņojums jāiesniedz mēneša laikā pēc sākotnējā ziņojuma. Ja incidentu šajā laikā nav iespējams atrisināt, iesniedz progresa ziņojumu un galaziņojumu — pēc atrisināšanas. Pēc kompetentās institūcijas pieprasījuma iesniedz arī starpposma ziņojumu. Latvijas 34. panta sestā daļa šim pēdējam posmam neizmanto direktīvas atsevišķo formulējumu par mēnesi pēc incidenta novēršanas; procedūrā atsaucieties uz piemērojamo normu un iestādes norādījumiem, nevis pārvērtiet visus mēnešus par 30 dienām.
Noteikumu 119. punkts paredz attiecīgās pielikumu veidlapas, elektronisku aizpildīšanu un drošu elektronisko parakstu. Sagatavojiet pieeju parakstīšanai un aizvietošanu iepriekš, lai vienas personas prombūtne nekļūtu par kavējuma iemeslu. Nozīmīga incidenta vai apdraudējuma gadījumā atsevišķi jāievēro 34. panta ceturtās daļas pienākumi pret skartajiem pakalpojumu saņēmējiem, tostarp informācija par aizsardzības pasākumiem. Publiska paziņojuma saturs un saskaņošana nav tas pats, kas tehniskais ziņojums iestādei.
Incidenta darba pierakstos ieteicams nošķirt faktu atklāšanas laiku, nozīmīguma novērtējumu un katra ziņojuma nosūtīšanu. Saglabājiet arī iestādes pieprasījumus un atbildes. Ja turpmāk atklājas plašāka ietekme, atjauniniet sākotnējo vērtējumu, neizdzēšot iepriekšējā lēmuma pamatojumu. Tas ļauj izskaidrot, kāpēc konkrētajā brīdī tika izmantota attiecīgā procedūra. Tehniskās komandas un vadības kopīgajai situācijas izpratnei noder atsevišķi norādīt apstiprinātos faktus, ticamus pieņēmumus un vēl neizpētītus jautājumus; ziņojuma pārliecinošs tonis nedrīkst aizstāt pierādījumus.
Kad paralēli piemēro VDAR un DORA
Ne katrs kiberincidents ir personas datu aizsardzības pārkāpums. Tomēr personas datu nejauša vai nelikumīga iznīcināšana, zudums, pārveidošana, neatļauta izpaušana vai piekļuve jāizvērtē arī VDAR ietvaros. Pārzinis par pārkāpumu ziņo uzraudzības iestādei bez nepamatotas kavēšanās un, ja iespējams, 72 stundās pēc uzzināšanas, izņemot gadījumu, kad risks cilvēku tiesībām un brīvībām ir maz ticams. Vēlākam paziņojumam pievieno kavējuma pamatojumu.
Katrs personas datu aizsardzības pārkāpums jādokumentē saskaņā ar 33. panta piekto daļu, arī ja paziņošanas slieksnis nav sasniegts. Apstrādātājs informē pārzini bez nepamatotas kavēšanās; tam nav atsevišķas 72 stundu gaidīšanas tiesības. Augsta riska gadījumā atsevišķi vērtē 34. pantā paredzēto cilvēku informēšanu un tā izņēmumus. DVI ceļvedis un 72 stundu paziņošanas skaidrojums palīdz nošķirt šo kanālu no CERT.LV ziņošanas.
Finanšu sektorā DORA prasības Latvijā jāvērtē kopā ar NKDL 3. panta īpašajiem noteikumiem. Nozarei specifiskais ES regulējums var aizstāt attiecīgās kiberrisku, incidentu vai uzraudzības prasības tā piemērošanas jomā; tas nav apgalvojums, ka ikviens ar finansēm saistīts uzņēmums ir izslēgts no visa NKDL. Sāciet ar konkrētā finanšu subjekta un konkrētā pienākuma tvērumu.
Piemērs: izspiedējvīruss pakalpojuma nodrošinātāja sistēmā
Pieņemsim, ka būtiskā pakalpojuma sniedzēja darbinieks pamana nepieejamu klientu sistēmu un izpirkuma pieprasījumu. Organizācija fiksē atklāšanas laiku, aktivizē atbildīgos, ierobežo apdraudējumu un saglabā pieejamos pierādījumus. Tā informē kompetento incidentu novēršanas institūciju un izvērtē nozīmīguma kritērijus. Ja tie izpildās, sāk attiecīgo ziņojumu secību; ziņojumi nosūtāmi arī SAB atbilstoši būtiskā subjekta pienākumam.
Vienlaikus jāpārbauda, vai klientu dati ir kļuvuši nepieejami, mainīti vai izpausti, kādas sekas tas rada cilvēkiem un vai ir sasniegts VDAR paziņošanas slieksnis. Pārbaudāms pieņēmums par datu noplūdi jānodala no pierādīta fakta. Sākotnēji nenoskaidrota izpaušana neatceļ jau konstatētu datu pieejamības pārkāpumu. Kopīgs incidentu pārvaldības reģistrs un procedūra var sasaistīt faktus, saglabājot katram tiesiskajam režīmam savu izvērtējumu, saņēmējus un termiņus.
Pēc atjaunošanas pārbaudiet, vai novērsts uzbrukuma cēlonis, atjaunotie dati ir uzticami un agrākās piekļuves vairs nav izmantojamas. Galaziņojumā un iekšējā analīzē izmantojiet faktiskos rezultātus, nevis tikai sākotnējo plānu. Šis piemērs rāda, kāpēc dokumentācija, piegādātāja sadarbība un vadības lēmumi nepieciešami vienlaikus. Plašākais personas datu aizsardzības ietvars Latvijā paliek piemērojams arī drošības pasākumu laikā savāktajiem darbinieku un klientu datiem.
Kādi sodi paredzēti Latvijas likumā
NKDL 46. pants jau paredz nacionālas soda naudas par būtisku neatbilstību. Būtiskam pakalpojumu sniedzējam NKDC var piemērot līdz 10 miljoniem eiro, bet, ja pēdējā finanšu gada kopējais neto apgrozījums pārsniedz 500 miljonus eiro, — līdz 2 procentiem no tā. Svarīgam pakalpojumu sniedzējam robežas ir līdz 7 miljoniem eiro vai, pie minētā apgrozījuma nosacījuma, līdz 1,4 procentiem. Kritiskajai infrastruktūrai SAB piemēro likumā paredzēto 10 miljonu un attiecīgo 2 procentu režīmu.
Būtiska neatbilstība ietver piemērotu un samērīgu drošības pasākumu neveikšanu, atkārtotu atteikšanos pildīt likumīgu informācijas pieprasījumu un nokavētu vai apzināti nepatiesu ziņošanu par nozīmīgu incidentu. Maksimums nav automātisks tarifs: iestādei jāvērtē samērīgums un likumā noteiktie apstākļi. Lēmumu var pārsūdzēt Administratīvā procesa likuma kārtībā.
- panta izņēmums attiecas uz tajā nosauktajām pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskām personām. Tas neatceļ to kiberdrošības pienākumus un nav vispārējs atbrīvojums katrai valstij vai pašvaldībai piederošai komercsabiedrībai. Organizācijas nākamais solis ir pārbaudāms statuss un izpildāms darba plāns: noteikti atbildīgie, zināmas sistēmas, pamatoti riski un darbībā pārbaudīta incidentu procedūra.