NIS2 dokumentācijas izmaksas Latvijā: kas nosaka apjomu un cenu

Īsā atbilde: izmaksas nosaka prasīto dokumentu kopums

Izmaksas ir atkarīgas no tā, kurus dokumentus likums prasa tieši no šā uzņēmuma. Katra atsevišķā dokumenta un visa komplekta pašreizējās cenas ir redzamas cenrādī šajā lapā. Apjomu nenosaka kāds vienots, visiem vienāds saraksts, bet gan uzņēmuma statuss Nacionālā kiberdrošības likuma (NKDL) izpratnē un tas, cik plašas ir tā informācijas sistēmas.

Tāpēc pirmais solis ir noskaidrot, vai uzņēmums vispār ir likuma subjekts un kurā klasē tas ietilpst. Tikai pēc tam ir zināms, cik daudz dokumentu ir jāsagatavo.

Solis 1: vai uzņēmums ir subjekts un kurā klasē

NKDL nošķir divas subjektu klases, un abām ir jāizstrādā likumā noteiktie dokumenti.

• Būtisko pakalpojumu sniedzējs — uzskaitījums ir NKDL 20. pantā. Tajā ietilpst, piemēram, elektronisko sakaru komersants, kvalificēts uzticamības pakalpojumu sniedzējs, tiešās pārvaldes iestāde un cita valsts institūcija, atvasināta publiskā persona, kā arī liels saimnieciskās darbības veicējs 20. panta 8. punktā minētajās jomās (energoapgāde, transports, kredītiestādes, ārstniecības iestādes, mākoņdatošana, datu centri, informācijas un komunikācijas tehnoloģiju pārvaldības vai kiberdrošības pakalpojumi un citas).
• Svarīgo pakalpojumu sniedzējs — NKDL 21. pants. Tas ir subjekts, kas nav būtisko pakalpojumu sniedzējs un ir, piemēram, vidējs saimnieciskās darbības veicējs 20. panta 8. punkta jomās vai vidējs vai liels komersants 21. panta pirmās daļas 2. punkta jomās (pasts, atkritumu apsaimniekošana, ķīmiskās vielas, pārtikas ražošana un vairumtirdzniecība, medicīnisko ierīču un iekārtu ražošana, tiešsaistes tirdzniecības vietas, sociālo mediju platformas, zinātniskās institūcijas, apsardze), kā arī uzticamības pakalpojumu sniedzējs, kurš nav kvalificēts.

Svarīga nianse: subjekts var būt arī tāds saimnieciskās darbības veicējs, kurš attiecīgajā jomā ir vienīgais šāda veida pakalpojuma sniedzējs Latvijas Republikā (NKDL 20. panta 9. punkts un 21. panta pirmās daļas 3. punkts) — tad izmērs vairs nav izšķirošais.

Ja uzņēmums nav NKDL subjekts, likums tam neuzliek pienākumu izstrādāt šo dokumentāciju. Praksē tomēr paliek cita situācija: pasūtītāji un sadarbības partneri, kas paši ir subjekti, var līgumos prasīt kiberdrošības apliecinājumus par piegādātāju, jo viņiem ir jāanalizē ar piegādes ķēdēm saistītie riski.

Solis 2: dokumentācija, ko likums prasa kā vienu veselumu

NKDL dokumentācijas kodolu formulē vienā teikumā: "Subjektam ir pienākums izstrādāt kiberrisku pārvaldības un informācijas un komunikācijas tehnoloģiju darbības nepārtrauktības plānu un nodrošināt darbiniekiem regulāru apmācību efektīvai plānā iekļauto pasākumu īstenošanai." (NKDL 28. panta pirmā daļa). Plānā iekļaujamās informācijas veidu un apjomu, kā arī izpildes uzraudzības un kontroles kārtību nosaka Ministru kabinets (NKDL 28. panta otrā daļa).

Praksē tas sadalās piecās jomās, un katra no tām ir atsevišķs darba apjoms.

1. Kiberrisku pārvaldības politika. Pamatā ir kiberrisku novērtēšanas metodika un pats novērtējums — identificēto risku uzskaitījums, analīze un katra riska nozīmīguma vērtējums (MK noteikumu Nr. 397 41.1. un 41.2. apakšpunkts). Tam pievieno kiberrisku pārvaldības pasākumu plānu ar atbildīgajiem un izpildes termiņiem vai periodiskumu (41.3. apakšpunkts).

2. Rīcība kiberincidenta gadījumā. NKDL 34. panta pirmā daļa prasa nekavējoties veikt incidenta novēršanai nepieciešamās darbības un informēt kompetento kiberincidentu novēršanas institūciju. Nozīmīga kiberincidenta gadījumā agrīnais brīdinājums iesniedzams ne vēlāk kā 24 stundu laikā (34. panta otrā daļa), sākotnējais ziņojums — ne vēlāk kā 72 stundu laikā, bet uzticamības pakalpojumu sniedzējam 24 stundu laikā (34. panta trešā daļa). Galaziņojumu iesniedz mēneša laikā pēc sākotnējā ziņojuma (34. panta piektā daļa).

3. Darbības nepārtrauktība. Rīcības plānā apraksta nepārtrauktības raksturlielumus, piemēram, atjaunošanas punkta mērķi (RPO), atjaunošanas laika mērķi (RTO) un maksimāli pieļaujamo dīkstāves laiku (MTD), to uzraudzības metodiku un rīcību šo raksturlielumu pārsniegšanas gadījumā (MK noteikumu Nr. 397 41.4. apakšpunkts).

4. Piegādes ķēdes drošība. Riska novērtējumā ir jāietver arī ar piegādes ķēdēm saistīto risku analīze (MK noteikumu Nr. 397 41.2. apakšpunkts). Direktīvas (ES) 2022/2555 21. panta 2. punkta d) apakšpunkts šo jomu apraksta kā drošības aspektus attiecībās ar katru tiešo piegādātāju vai pakalpojumu sniedzēju.

5. Vadības atbildība un apmācība. Regulāra darbinieku apmācība plānā iekļauto pasākumu īstenošanai izriet no NKDL 28. panta pirmās daļas. Direktīvas (ES) 2022/2555 20. panta 1. punkts paredz, ka pārvaldes struktūras apstiprina kiberdrošības risku pārvaldības pasākumus un pārrauga to īstenošanu.

Kāpēc viens dokuments pretstatā pilnam kopumam ir reāla izvēle

Kiberrisku pārvaldības politika ir pamatdokuments: tajā ir risku metodika, risku saraksts un pasākumu plāns, uz kura balstās pārējās četras jomas. Incidentu rīcība, nepārtrauktības plāns, piegādātāju prasības un apmācības saturs atsaucas uz tajā noteiktajiem riskiem un atbildīgajiem.

Tāpēc pakāpeniska sagatavošana ir iespējama, un tā maina darba apjomu: viens pamatdokuments ir mazāks darbs nekā visas piecas jomas kopā. Tas arī nozīmē, ka pilnu NKDL 28. pantā un MK noteikumu Nr. 397 41. punktā aprakstīto apjomu viens dokuments vēl nepārklāj.

Vadības apstiprinājums un apmācība

Dokumentācija nav tikai informācijas tehnoloģiju jautājums. Direktīvas (ES) 2022/2555 20. panta 1. punkts paredz, ka pārvaldes struktūras apstiprina veiktos kiberdrošības risku pārvaldības pasākumus un pārrauga to īstenošanu, un no tām var prasīt atbildību.

Apmācības pienākums ir formulēts tieši NKDL 28. panta pirmajā daļā — apmācībai ir jābūt regulārai un vērstai uz plānā iekļauto pasākumu efektīvu īstenošanu. Vērtējot subjekta rīcību, uzraugošā iestāde ņem vērā arī to, vai subjekts ievēro iekšējos noteikumus un kiberrisku pārvaldības un darbības nepārtrauktības plānu (NKDL 45. panta sestās daļas 7. punkts). Uzraudzību veic Nacionālais kiberdrošības centrs, bet attiecībā uz informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru — Satversmes aizsardzības birojs (NKDL 41. pants).

Kas vēl ietekmē darba apjomu

Apjomu ietekmē uzņēmuma sistēmu ainava. Plānojot pasākumus, subjekts apzina savā īpašumā vai valdījumā esošo informācijas sistēmu un IKT resursu nozīmīgumu un vērtību, tostarp potenciālo zaudējumu un ietekmes apjomu kiberincidenta gadījumā (MK noteikumu Nr. 397 42.1. apakšpunkts). A un B klases informācijas sistēmām papildus paredz rezerves IKT resursus (42.2. apakšpunkts), bet A klases sistēmām iespēju robežās — no interneta piekļuves pakalpojuma sniedzēja neatkarīgas IP adreses (42.3. apakšpunkts).

Jo vairāk sistēmu un jo augstāka to klase, jo vairāk sadaļu ir jāapraksta katrā dokumentā. Ja kādā jautājumā likuma un Ministru kabineta noteikumu teksts paliek vispārīgs, precīzu kārtību lūdzam pārbaudīt Nacionālā kiberdrošības centra publicētajās vadlīnijās (oficiālais avots).