9. modulis · 9.1
NIS2 un Nacionālais kiberdrošības likums
9. modulis: Noteikumi un organizācija · Lasīšanas laiks: 11 minūtes
Mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, ko regulē NIS2 un tās nacionālā pārņemšana, kam tā attiecas un ko tā caur piegādes ķēdi nozīmē maziem uzņēmumiem.
Pamatjēdzieni: NIS2, Nacionālais kiberdrošības likums, būtiska un svarīga vienība, nozare, lielums, rūpības pienākums, ziņošanas pienākums (24 stundas, 72 stundas, 1 mēnesis), reģistrācijas pienākums, piegādes ķēde, pašnovērtējums
No Eiropas direktīvas uz nacionālo likumu
NIS2 ir Eiropas direktīva no 2022. gada (Direktīva (ES) 2022/2555), kuras mērķis ir paaugstināt svarīgu organizāciju digitālo noturību visā ES. Direktīva nav tieši piemērojama: katra valsts to pārņem savā nacionālajā likumā. Latvijā tas ir Nacionālais kiberdrošības likums, kas ir spēkā kopš 2024. gada 1. septembra. Nīderlandē šo direktīvu savukārt pārņem Nīderlandes Cyberbeveiligingswet (Cbw), kas ir spēkā kopš 2026. gada 15. augusta, vienlaikus ar citiem Nīderlandes tiesību aktiem par kritiskās infrastruktūras noturību. Nīderlandē agrākais tīklu un informācijas sistēmu drošības likums (Wbni) ir atcelts, un pārejas perioda tur nav: kas zem tā likuma ietilpst, tam jāatbilst prasībām nekavējoties. Šie Nīderlandes datumi un noteikumi uz Latviju automātiski neattiecas; par precīzām Latvijas prasībām un termiņiem informējieties Nacionālajā kiberdrošības centrā (NKC).
Saskaņā ar Nīderlandes NCSC datiem Nīderlandē zem šī likuma ietilpst vairāk nekā 8000 organizāciju. Tas ir neliela daļa no visiem Nīderlandes uzņēmumiem, un šis apjoms neattiecas automātiski uz citām valstīm. Lielākajai daļai mazo uzņēmumu svarīgākais jautājums tāpēc nav "ko man jādara saskaņā ar likumu?", bet gan "ko no manis prasa klienti, uz kuriem šis likums attiecas?". Pie tā mēs atgriezīsimies vēlāk.
Latvijā par Nacionālā kiberdrošības likuma piemērošanu, reģistrāciju un uzraudzību atbild Nacionālais kiberdrošības centrs (NKC), https://www.cyber.gov.lv/, bet incidentu apstrādē iesaistās CERT.LV, https://cert.lv/.
Vai tas attiecas uz Jums? Nozare un lielums
Vai organizācija ietilpst NIS2 pārņemšanas tvērumā, ir atkarīgs no diviem jautājumiem. Zemāk aprakstītais sektoru un lieluma dalījums izriet no Eiropas NIS2 direktīvas un tās principi ir vienādi visā ES, lai gan precīzs regulējums un kompetentā iestāde katrā dalībvalstī, arī Latvijā, ir noteikta nacionālajā likumā.
1. Vai Jūs strādājat nozarē, kas minēta direktīvā? Direktīvai ir divi pielikumi.
| 1. pielikums (11 nozares) | 2. pielikums (7 nozares) |
|---|---|
| enerģētika, transports, banku nozare, dzeramais ūdens, digitālā infrastruktūra, IKT pakalpojumu pārvaldība, kosmoss, finanšu tirgus infrastruktūra, veselības aprūpe, notekūdeņi, valsts pārvalde | digitālo pakalpojumu sniedzēji, pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, pārtikas produkti, ķīmiskās vielas, pētniecība, ražošana |
Dažām nozarēm ir papildu nosacījumi, ko nosaka atbildīgā ministrija vai iestāde. Tātad ne katra organizācija, kas kaut kādā veidā saistīta ar "pārtikas produktiem", automātiski ietilpst likuma tvērumā.
2. Vai Jūsu uzņēmums ir pietiekami liels? Jūsu organizācija ietilpst tvērumā, ja:
- Jums ir 50 vai vairāk darbinieku (pilnas slodzes ekvivalentā), vai
- Jums ir mazāk par 50 darbiniekiem, bet Jūsu gada apgrozījums UN bilances kopsumma abi pārsniedz 10 miljonus eiro.
Partneruzņēmumi un saistītie uzņēmumi tiek ieskaitīti. Tātad uzņēmums ar 20 darbiniekiem, kas pieder grupai ar 200 darbiniekiem, var tomēr ietilpt tvērumā.
Izņēmumi: neatkarīgi no lieluma. Daži organizāciju veidi vienmēr ietilpst tvērumā, lai cik mazi tie būtu: DNS pakalpojumu sniedzēji, augstākā līmeņa domēnu reģistri, publisko elektronisko sakaru tīklu un pakalpojumu sniedzēji, uzticamības pakalpojumu sniedzēji un valsts pārvaldes iestādes. Arī domēnvārdu reģistrācijas pakalpojumu sniedzējiem ir jāreģistrējas.
Būtiska vai svarīga vienība
Organizācijas, uz kurām likums attiecas, ir būtiskas vai svarīgas vienības. Aptuveni: lielas organizācijas 1. pielikuma nozarēs un daži veidi, kas neatkarīgi no lieluma ir noteikti par tādiem, ir būtiskas; pārējās ir svarīgas. Atšķirība galvenokārt ir uzraudzībā: būtiskām vienībām uzraudzības iestāde var veikt pārbaudes pēc savas iniciatīvas, piemēram, ar inspekcijām un auditiem; svarīgām vienībām tā galvenokārt iejaucas pēc tam, kad ir norādes, ka kaut kas nav kārtībā. Pienākumi paši par sevi lielākoties ir vienādi. Vai Jūs esat būtiska vai svarīga vienība, nosakāms, konsultējoties ar Nacionālo kiberdrošības centru (NKC) vai veicot pašnovērtējumu.
Pārbaudiet pats
Lai noskaidrotu, vai Jūsu organizācija ietilpst Nacionālā kiberdrošības likuma tvērumā, vērsieties pie Nacionālā kiberdrošības centra (NKC), https://www.cyber.gov.lv/. Nīderlandē uzņēmumi var izmantot Nīderlandes digitālās infrastruktūras uzraudzības iestādes (RDI) bezmaksas NIS2 pašnovērtējumu vietnē regelhulpenvoorbedrijven.nl (Nīderlandes avots); šis rīks ir paredzēts Nīderlandes situācijai un Latvijas uzņēmumiem tieši nav piemērojams. Ja Jums ir šaubas, piemēram, tāpēc, ka Jūsu uzņēmums pieder grupai vai darbojas vairākās valstīs, konsultējieties ar NKC.
Ko likums prasa
Ja Jūsu organizācija ietilpst tvērumā, ir spēkā trīs pienākumi.
Reģistrācijas pienākums
Jūs reģistrējat savu organizāciju Nacionālajā kiberdrošības centrā (NKC), https://www.cyber.gov.lv/. Tā valsts zina, kas ietilpst tvērumā, un var ar Jums sazināties, ja pastāv draudi.
Rūpības pienākums
Jūs veicat riska analīzi un, pamatojoties uz to, īstenojat atbilstošus un samērīgus pasākumus tīklu un informācijas sistēmu drošībai. Nīderlandes NCSC norāda vismaz desmit tēmas, ar kurām Jūs esat iepazinušies šajā kursā (šie principi izriet no NIS2 direktīvas un ir piemērojami arī Latvijā):
- riska analīze (1.1. un 9.3. nodarbība);
- incidentu pārvaldība ar incidentu plānu (8.1. nodarbība);
- sagatavošanās darbības traucējumiem: rezerves kopijas, atjaunošanas plāni, krīzes vadība (3. modulis);
- piegādes ķēdes drošība, ieskaitot piegādātāju riskus (7.2. nodarbība);
- kiberhigiēna un apmācība (9.2. nodarbība);
- drošs iepirkums, izstrāde un sistēmu uzturēšana, ieskaitot atjauninājumus (5.1. nodarbība);
- personāls, piekļuves politika un iekārtu un programmatūras pārvaldība (7.1. nodarbība);
- passkeys vai daudzfaktoru autentifikācija un droša saziņa (2. modulis);
- kriptogrāfijas (šifrēšanas) politika;
- izvērtēšana, vai pasākumi darbojas, piemēram, veicot regulārus testus (6.3. un 9.3. nodarbība).
Vadība ir atbildīga: tā apstiprina pasākumus un uzrauga to īstenošanu. Saskaņā ar Eiropas direktīvu vadības locekļiem arī jāapgūst apmācība par kiberriskiem. Kiberdrošība tātad vairs nav uzdevums, ko var vienkārši nodot IT speciālistam.
Ziņošanas pienākums
Būtisks incidents Jums jāpaziņo Nacionālajam kiberdrošības centram (NKC). Tas ir incidents, kas būtiski traucē Jūsu pakalpojumu sniegšanu, rada finansiālus zaudējumus vai var radīt lielu kaitējumu citiem; precīzie sliekšņi atšķiras pa nozarēm. Termiņi tiek skaitīti no brīža, kad Jūs uzzināt par incidentu:
| Termiņš | Ko Jūs nosūtāt |
|---|---|
| Līdz 24 stundām | Agrīns brīdinājums: vai tas, iespējams, ir ļaunprātīgs, vai ir pārrobežu sekas, kas ir kontaktpersona |
| Līdz 72 stundām | Incidenta paziņojums: atjauninājums ar sākotnējo nopietnības un ietekmes novērtējumu |
| Līdz 1 mēnesim pēc paziņojuma | Noslēguma ziņojums: kas notika, cēlonis un veiktie pasākumi (ja incidents ilgst ilgāk: progresa ziņojums) |
Viens paziņojums Nacionālajam kiberdrošības centram sasniedz gan CSIRT (komandu, kas palīdz risināt incidentu, Latvijā tas ir CERT.LV), gan uzraudzības iestādi. Turklāt saskaņā ar direktīvu Jums, ja nepieciešams, jāinformē savu pakalpojumu saņēmēji par būtiskiem incidentiem, kas var viņus skart.
Ziņošana saskaņā ar kiberdrošības likumu un datu aizsardzības pārkāpuma ziņošana: divas atšķirīgas lietas
Tas atgādina VDAR (GDPR) datu aizsardzības pārkāpumu ziņošanas pienākumu (8.2. nodarbība), un "72 stundas" parādās abos gadījumos. Tomēr tie ir divi atsevišķi pienākumi.
| Nacionālais kiberdrošības likums | VDAR (datu aizsardzības pārkāpums) | |
|---|---|---|
| Kam | Organizācijām, uz kurām attiecas Nacionālais kiberdrošības likums | Ikvienam, kas apstrādā personas datus, arī pašnodarbinātai personai |
| Par ko | Būtiski incidenti ar Jūsu pakalpojumu sniegšanu | Personas datu drošības pārkāpumi |
| Kam ziņo | Nacionālajam kiberdrošības centram (NKC) | Datu valsts inspekcijai (DVI) |
| Termiņi | 24 stundas, 72 stundas, 1 mēnesis | Bez nepamatotas kavēšanās, ja iespējams, 72 stundu laikā |
Izspiedējvīrusa uzbrukums organizācijai, uz kuru attiecas Nacionālais kiberdrošības likums, kura rezultātā nozagti arī klientu dati, tātad jāpaziņo abām iestādēm. Un mazs uzņēmums, uz kuru Nacionālais kiberdrošības likums neattiecas, tomēr saskaras ar VDAR ziņošanas pienākumu, ja noplūst personas dati.
Ja tas uz Jums neattiecas: piegādes ķēde
Lielākajai daļai šī kursa lasītāju atbilde uz pirmo jautājumu ir: nē, mans uzņēmums neietilpst Nacionālā kiberdrošības likuma tvērumā. Maiznīca ar divpadsmit darbiniekiem, grāmatvedības birojs ar pieciem, tīmekļa vietņu izstrādātājs viens pats. Tad Jums nav likumā noteikto pienākumu: nav reģistrācijas, nav ziņošanas pienākuma NKC, nav uzraudzības.
Taču likums var Jūs sasniegt caur Jūsu klientiem. Organizācijām, uz kurām attiecas šis likums, jānodrošina to piegādes ķēdes drošība: tām jāņem vērā savu tiešo piegādātāju un pakalpojumu sniedzēju ievainojamības. Nīderlandes NCSC norāda, ka likums pats par sevi neuzliek pienākumus piegādātājiem, bet organizācijas, uz kurām attiecas likums, var izvirzīt prasības saviem piegādātājiem digitālās drošības jomā. Šīs prasības tad parādās Jūsu līgumā vai aptaujā.
Piemērs. Mazs IT uzņēmums ar sešiem darbiniekiem pārvalda datorus un tīklu videja lieluma transporta uzņēmumam ar 140 darbiniekiem. Transporta uzņēmums ietilpst likuma tvērumā (transports, pietiekami liels). Pats IT uzņēmums neietilpst: "IKT pakalpojumu pārvaldība" gan ir minēta 1. pielikumā, bet uzņēmums ir pārāk mazs. Tomēr tas saņem aptauju: vai Jums ir divu faktoru autentifikācija pārvaldības rīkos, kam ir piekļuve mūsu sistēmām, cik ātri Jūs mums paziņotu par incidentu, kur atrodas rezerves kopijas?
Ko par to saka Nīderlandes NCSC un ko tas Jums nozīmē (šie principi izriet no Eiropas direktīvas un ir piemērojami arī ārpus Nīderlandes):
- Prasībām jābūt samērīgām. Klientam būtu jāvērtē risks, ko Jūsu pakalpojums viņam rada. Piegādātājs ar piekļuvi sistēmām saņems stingrākas prasības nekā tas, kurš piegādā pusdienas.
- Runa ir par tiešajiem piegādātājiem. Jūsu piegādātāju piegādātāji neietilpst šī likuma tvērumā.
- Sertifikāts nav obligāts. Likums neparedz obligātu kvalitātes zīmi. Sertifikāts var atvieglot sarunu, bet tas nav garantija un nav likuma prasība.
- Sāciet sarunu laicīgi. Apkopojiet, kādi pasākumi Jums jau ir ieviesti vietās, kur Jūs saskaraties ar klientu, un fiksējiet vienošanās.
Tātad nepārspīlējiet. Likuma tvērums nepadara mazu uzņēmumu par organizāciju, "uz kuru attiecas NIS2", un konsultants, kurš Jums to stāsta, lai pārdotu dārgu sertifikāciju, stāsta tikai daļu no patiesības. Bet arī nenovērtējiet to par zemu: kas piegādā lielākām organizācijām, tam arvien biežāk jāspēj pierādīt, ka pamati ir kārtībā. Šī kursa pamatpasākumi ir tieši tas, ko šāda aptauja parasti prasa.
Šī nodarbība sniedz vispārīgu skaidrojumu un nav juridisks padoms. Par aktuālajiem noteikumiem Latvijā informējieties Nacionālajā kiberdrošības centrā, https://www.cyber.gov.lv/. Par Nīderlandes Cyberbeveiligingswet skatiet Nīderlandes NCSC vietni (Nīderlandes avots) https://www.ncsc.nl/cyberbeveiligingswet-nis2 un Nīderlandes likuma tekstu (Nīderlandes avots) https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Kopsavilkums
- Latvijā NIS2 ir pārņemta ar Nacionālo kiberdrošības likumu, kas ir spēkā kopš 2024. gada 1. septembra; Nīderlandē to dara Cyberbeveiligingswet, kas ir spēkā kopš 2026. gada 15. augusta, bez pārejas perioda.
- Jūs ietilpstat tvērumā, ja strādājat 1. vai 2. pielikuma nozarē UN Jums ir 50 vai vairāk darbinieku, vai gan gada apgrozījums, gan bilances kopsumma pārsniedz 10 miljonus eiro; daži veidi (piemēram, DNS pakalpojumu sniedzēji un valsts pārvalde) ietilpst neatkarīgi no lieluma.
- Pienākumi: reģistrācija Nacionālajā kiberdrošības centrā, rūpības pienākums ar riska analīzi un atbilstošiem pasākumiem vadības atbildībā, un būtisku incidentu paziņošana 24 stundu, 72 stundu un 1 mēneša laikā.
- Paziņojums NKC par kiberdrošības incidentu ir atsevišķs no VDAR paziņojuma DVI par datu aizsardzības pārkāpumu; dažreiz jāiesniedz abi.
- Mazs uzņēmums parasti pats neietilpst tvērumā, bet caur klientiem, uz kuriem likums attiecas, var saņemt atbilstošas drošības prasības.
Tests
Uzdevums
Uzdevums A9.1: Vai tas ir attiecināms uz Nacionālo kiberdrošības likumu? Jūs saņemsiet sešus īsus organizāciju aprakstus (nozare, darbinieku skaits, apgrozījums, bilances kopsumma, iespējams, grupa vai liels klients). Nosakiet katrai organizācijai: ietilpst tvērumā, neietilpst tvērumā, bet, visticamāk, saņems prasības caur klientu, vai neietilpst tvērumā. Programma pārbaudīs un parādīs katrai organizācijai lēmumu koka soļus.
Lasiet vairāk
Par Latvijas Nacionālo kiberdrošības likumu izmantojiet oficiālo Nacionālā kiberdrošības centra avotu. Par Nīderlandes Cyberbeveiligingswet skatiet turpmāk norādītos Nīderlandes avotus.
- Nīderlandes NCSC (Nīderlandes avots), Cyberbeveiligingswet (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Nīderlandes NCSC (Nīderlandes avots), vai mana organizācija ietilpst Cyberbeveiligingswet tvērumā?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Nīderlandes NCSC (Nīderlandes avots), rūpības pienākums: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Nīderlandes NCSC (Nīderlandes avots), ziņošanas pienākums: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Nīderlandes NCSC (Nīderlandes avots), Cyberbeveiligingswet un piegādātāji: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Nīderlandes digitālās infrastruktūras uzraudzības iestāde (Nīderlandes avots), NIS2 pašnovērtējums: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Nīderlandes Cyberbeveiligingswet likuma teksts (Nīderlandes avots): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0