NIS2 Latvijā: ko Nacionālās kiberdrošības likums patiesībā prasa uzņēmumam

Kas ir Nacionālās kiberdrošības likums un uz ko tas attiecas

NIS2 direktīva Latvijā ir pārņemta ar Nacionālās kiberdrošības likumu (NKDL). Likuma mērķis cita starpā ir uzlabot informācijas un komunikācijas tehnoloģiju drošību, tai skaitā nosakot prasības būtisko pakalpojumu un svarīgo pakalpojumu sniegšanai un saņemšanai (NKDL 2. pants).

Likums šķiro divas subjektu kategorijas:

• būtisko pakalpojumu sniedzējs — piemēram, elektronisko sakaru komersants, kvalificēts uzticamības pakalpojumu sniedzējs, tiešās pārvaldes iestāde, kā arī liels saimnieciskās darbības veicējs enerģētikas, transporta, veselības aprūpes, ūdensapgādes, mākoņdatošanas, datu centru un citās NKDL 20. panta 8. punktā uzskaitītajās jomās (NKDL 20. pants);
• svarīgo pakalpojumu sniedzējs — persona, kas nav būtisko pakalpojumu sniedzējs un ir, piemēram, vidējs saimnieciskās darbības veicējs kādā no 20. panta 8. punkta jomām vai vidējs vai liels komersants pasta, atkritumu apsaimniekošanas, ķīmijas, pārtikas ražošanas, iekārtu ražošanas, tiešsaistes platformu, zinātnisko institūciju vai apsardzes jomā (NKDL 21. pants).

Subjektu uzraudzību veic Nacionālais kiberdrošības centrs (NKDC) attiecībā uz būtisko un svarīgo pakalpojumu sniedzējiem, bet Satversmes aizsardzības birojs — attiecībā uz informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru (NKDL 41. pants). NKDC ir nacionālā kompetentā institūcija un vienotais kontaktpunkts kiberdrošības jautājumos (NKDL 4. pants).

Dokumentētie kiberrisku pārvaldības pasākumi kā viens veselums

Centrālā prasība ir formulēta īsi un tieši: "Subjektam ir pienākums izstrādāt kiberrisku pārvaldības un informācijas un komunikācijas tehnoloģiju darbības nepārtrauktības plānu un nodrošināt darbiniekiem regulāru apmācību efektīvai plānā iekļauto pasākumu īstenošanai." (NKDL 28. panta pirmā daļa). Plānā iekļaujamās informācijas veidu un apjomu, kā arī izpildes uzraudzības kārtību nosaka Ministru kabinets (NKDL 28. panta otrā daļa) — praksē tie ir MK noteikumi Nr. 397.

1. Kiberrisku pārvaldības politika. Plānā iekļauj kiberrisku novērtēšanas metodiku ar analizējamo risku uzskaitījumu un metodoloģijas aprakstu risku nozīmīguma novērtēšanai, piemēram, pieņemamās riska vērtības, novērtēšanas matricu un pārskatīšanas periodiskumu (MK noteikumi Nr. 397 41.1. punkts). Tas atbilst direktīvas (ES) 2022/2555 art 21(2) a) apakšpunktam par riska analīzes un informācijas sistēmu drošības rīcībpolitikām. Bez šīs metodikas pārējie dokumenti paliek bez pamata.

2. Incidentu risināšana. Konstatējot kiberincidentu, subjekts nekavējoties veic visas tā novēršanai nepieciešamās darbības, informē kompetento kiberincidentu novēršanas institūciju un izpilda tās sniegtos norādījumus (NKDL 34. panta pirmā daļa). Direktīvas art 21(2) b) apakšpunkts to nosauc par incidentu risināšanu. Rīcība incidenta gadījumā jāapraksta iepriekš, nevis jāimprovizē notikuma brīdī.

3. Darbības nepārtrauktība. Plānā iekļauj rīcības plānu darbības nepārtrauktības nodrošināšanai ar tādiem raksturlielumiem kā atjaunošanas punkta mērķis (RPO), atjaunošanas laika mērķis (RTO) un maksimāli pieļaujamais dīkstāves laiks (MTD), to uzraudzības metodiku un rīcību šo raksturlielumu pārsniegšanas gadījumā (MK noteikumi Nr. 397 41.4. punkts). A un B klases informācijas sistēmām paredz rezerves IKT resursus darbības nepārtrauktībai nozīmīga kiberincidenta vai krīzes gadījumā (42.2. apakšpunkts).

4. Piegādes ķēdes drošība. Kiberrisku novērtējumā skaidri ietilpst "kiberrisku novērtējumu, kas ietver identificēto kiberrisku uzskaitījumu un analīzi, tostarp ar piegādes ķēdēm saistīto risku analīzi" (MK noteikumi Nr. 397 41.2. punkts). Direktīvas (ES) 2022/2555 art 21(2) d) apakšpunkts prasa piegādes ķēdes drošību, tostarp aspektus, kas skar attiecības starp vienību un tās tiešajiem piegādātājiem vai pakalpojumu sniedzējiem.

5. Vadības atbildība. Plāna izstrāde un darbinieku regulāra apmācība ir subjekta, nevis atsevišķa speciālista pienākums (NKDL 28. panta pirmā daļa). Direktīvas (ES) 2022/2555 20. panta 1. punkts paredz, ka vadības struktūras apstiprina kiberdrošības riska pārvaldības pasākumus, pārrauga to īstenošanu un var tikt sauktas pie atbildības.

Ziņošana par nozīmīgu kiberincidentu

NKDL 34. pants nosaka ziņošanas ķēdi ar konkrētiem termiņiem:

Starpposma ziņojumu subjekts iesniedz pēc kompetentās kiberincidentu novēršanas institūcijas pieprasījuma (34. panta piektā daļa). Nozīmīga kiberincidenta vai nozīmīga kiberapdraudējuma gadījumā subjekts nekavējoties informē arī savu pakalpojumu saņēmējus par iespējamiem kiberdrošības pasākumiem vai līdzekļiem, ko tie var izmantot (34. panta ceturtā daļa). Brīdinājuma un ziņojumu saturu un iesniegšanas kārtību nosaka Ministru kabinets (34. panta septītā daļa).

Vadības apstiprinājums, apmācība un reģistrācija

Apmācība nav brīvprātīga papildvērtība: likums to sasaista tieši ar plānu — apmācībai jābūt regulārai un vērstai uz plānā iekļauto pasākumu efektīvu īstenošanu (NKDL 28. panta pirmā daļa).

Vadības līmeņa sekas ir iestrādātas uzraudzības pantā. Ja subjekts nepilda uzliktos tiesiskos pienākumus, uzraugošā iestāde ir tiesīga uz laiku aizliegt fiziskajai personai, kas subjektā ir atbildīga par vadības un pārstāvības pienākumu veikšanu izpildinstitūcijas līmenī vai tam līdzvērtīgā līmenī, veikt vadības un pārstāvības funkcijas (NKDL 45. panta piektās daļas 3. punkts); šo aizliegumu nepiemēro svarīgo pakalpojumu sniedzējam, kurš nav IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs (45. panta astotā daļa). Lemjot par izpildes panākšanas pasākumiem, iestāde vērtē arī to, cik lielā mērā vadības līmeņa atbildīgā persona sadarbojas ar uzraugošo iestādi (45. panta sestās daļas 8. punkts).

Attiecībā uz reģistrāciju un precīzu elektronisko ziņošanas kanālu: lūdzam apstiprināt Nacionālā kiberdrošības centra (NKDC) publicētajās vadlīnijās kā oficiālajā avotā — precīzu kārtību un termiņus nosaka kompetentās uzraudzības iestādes publicētās vadlīnijas.

Piegādes ķēdes gredzens: prasības sasniedz arī uzņēmumus ārpus tvēruma

Tas ir fakts, ar ko rēķinās arvien vairāk mazo un vidējo uzņēmumu. Tā kā subjektiem ir jāpārvalda piegādes ķēdes drošība un jāanalizē ar piegādes ķēdēm saistītie riski (direktīvas (ES) 2022/2555 art 21(2) d) apakšpunkts; MK noteikumi Nr. 397 41.2. punkts), NIS2 tvērumā esošie klienti šīs prasības nodod tālāk saviem piegādātājiem.

Praksē tas nozīmē, ka arī uzņēmums, kas pats nav būtisko pakalpojumu sniedzējs vai svarīgo pakalpojumu sniedzējs, saņem no klientiem piegādātāju drošības anketas, līgumu papildinājumus un lūgumus uzrādīt pierādījumus — kā tiek pārvaldīti riski, kā tiek risināti incidenti, kādi ir darbības atjaunošanas raksturlielumi. Uzņēmums, kuram nav sakārtotas dokumentācijas, šādā sarunā zaudē laiku, dažkārt arī līgumu.

Piegādes ķēdes saikni nostiprina arī pienākums informēt pakalpojumu saņēmējus par nozīmīgu kiberincidentu vai kiberapdraudējumu (NKDL 34. panta ceturtā daļa): informācija par drošības notikumiem plūst pa ķēdi abos virzienos.

Uzraudzība vērtē dokumentu kopumu — pirmais solis no pieciem

Uzraudzība nav vērsta uz vienu atsevišķu dokumentu, bet uz kopumu. Likums to nosaka tieši: "Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs ir tiesīgi veikt klātienes pārbaudes, tostarp norīkot amatpersonas pārraudzīt, kā subjekts noteiktā laikposmā pilda tam šajā likumā noteiktos pienākumus." (NKDL 45. panta ceturtā daļa).

Konstatējot neatbilstības, uzraugošā iestāde var izteikt brīdinājumu vai uzdot veikt noteiktas darbības neatbilstības novēršanai samērīgā termiņā, pārtraukt prasībām neatbilstošu rīcību, informēt pakalpojumu saņēmējus vai publicēt informāciju par konstatētajiem pārkāpumiem (45. panta pirmā daļa). Vērtējot pasākumus, iestāde ņem vērā arī to, vai subjekts ievēro iekšējos noteikumus, kas izdoti minimālo kiberdrošības prasību izpildei, kā arī kiberrisku pārvaldības un darbības nepārtrauktības plānu (45. panta sestās daļas 7. punkts). Par būtisku neatbilstību NKDC ir tiesīgs piemērot būtisko pakalpojumu sniedzējam soda naudu līdz 10 miljoniem euro vai — ja pēdējā finanšu gada kopējais neto apgrozījums pārsniedz 500 miljonus euro — līdz diviem procentiem no šī apgrozījuma, bet svarīgo pakalpojumu sniedzējam — līdz septiņiem miljoniem euro vai līdz 1,4 procentiem no apgrozījuma (NKDL 46. panta pirmā un otrā daļa). Par būtisku neatbilstību uzskata arī to, ka subjekts neveic piemērotus un samērīgus tehniskos un organizatoriskos pasākumus (46. panta piektās daļas 1. punkts).

No kā sākt. No pieciem pamatelementiem pirmais ir kiberrisku pārvaldības politika ar risku novērtēšanas metodiku un novērtējumu (MK noteikumi Nr. 397 41.1. un 41.2. punkts). Tas ir dokuments, uz kura balstās visi pārējie: incidentu risināšanas kārtība, darbības nepārtrauktības rīcības plāns, piegādes ķēdes prasības un apmācības programma. Sāciet ar piemērojamības pārbaudi un pašnovērtējumu, lai saprastu, vai un kā likums attiecas uz jūsu uzņēmumu, un pēc tam ķerieties pie risku politikas.