NIS2 direktīva un Latvijas Nacionālais kiberdrošības likums: kā tie ir saistīti

No NIS2 direktīvas līdz Latvijas likumam

Eiropas Savienības NIS2 direktīva (direktīva (EL) 2022/2555) nosaka kopīgu kiberdrošības prasību pamatu visai ES. Tomēr direktīva pati par sevi uzņēmumam nav tieši piemērojama — katra dalībvalsts to pārņem savā nacionālajā likumdošanā.

Latvijā šo pārņemšanu īsteno Nacionālās kiberdrošības likums (NKDL). Praksē tas nozīmē, ka Latvijas uzņēmumam un iestādei ir jāvadās tieši pēc NKDL prasībām, nevis tikai pēc direktīvas teksta.

Likuma mērķis (NKDL 2. pants) ir:

• uzlabot informācijas un komunikācijas tehnoloģiju drošību, tostarp nosakot prasības būtisko pakalpojumu sniedzēju un svarīgo pakalpojumu sniedzēju pakalpojumu sniegšanai un saņemšanai;
• noteikt kiberdrošības nodrošināšanas kārtību, paredzot atbildības sadalījumu un Nacionālā kiberdrošības centra kompetenci;
• veicināt kiberdrošības pasākumu īstenošanu, lai laikus prognozētu, novērstu un pārvarētu kiberapdraudējumu.

Kompetentā un uzraugošā iestāde

NKDL nosaka skaidru iestāžu lomu sadalījumu.

Nacionālais kiberdrošības centrs (NKDC) ir nacionālā kompetentā institūcija, kas darbojas Aizsardzības ministrijā kā vienotais kontaktpunkts kiberdrošības jautājumos un īsteno nacionālo kiberdrošības pārraudzību (NKDL 4. pants).

Uzraudzības ziņā NKDL 41. pants nosaka:

• Nacionālais kiberdrošības centrs — uzrauga būtisko pakalpojumu un svarīgo pakalpojumu sniedzējus, izņemot informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru;
• Satversmes aizsardzības birojs — uzrauga informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru.

Kiberincidentu gadījumā subjekts ziņo kompetentajai kiberincidentu novēršanas institūcijai. Precīzu elektronisko ziņošanas vai reģistrācijas kanālu apstiprina [TÄPSUSTAB PARTNER-JURIST].

Kas ir būtisko un svarīgo pakalpojumu sniedzējs

NKDL definē divas subjektu kategorijas, kas atbilst NIS2 pieejai.

Būtisko pakalpojumu sniedzējs (NKDL 20. pants) ietver, piemēram:

• augstākā līmeņa domēnu vārdu reģistra uzturētāju un DNS pakalpojumu sniedzēju;
• elektronisko sakaru komersantu;
• kvalificētu uzticamības pakalpojumu sniedzēju;
• tiešās pārvaldes iestādi un citu valsts institūciju (izņemot valsts drošības iestādes);
• lielus saimnieciskās darbības veicējus enerģētikas, transporta, veselības, finanšu, ūdenssaimniecības, mākoņdatošanas un citās kritiskās jomās.

Svarīgo pakalpojumu sniedzējs (NKDL 21. pants) ir persona, kas nav būtisko pakalpojumu sniedzējs un ir, piemēram:

• vidējs saimnieciskās darbības veicējs kādā no 20. panta 8. punktā minētajām jomām;
• pasta komersants, atkritumu apsaimniekotājs, pārtikas ražotājs vai izplatītājs;
• tiešsaistes tirdzniecības vietas, meklētājprogrammas vai sociālo mediju platformas pakalpojumu sniedzējs;
• zinātniskā institūcija vai apsardzes pakalpojumu sniedzējs.

Šī klasifikācija nosaka, cik intensīva ir uzraudzība un cik lielas var būt sankcijas.

Ko NKDL pievieno papildus direktīvai

Nacionālais likums direktīvas vispārīgās prasības pārvērš konkrētos pienākumos ar Latvijas iestāžu nosaukumiem, termiņiem un sankcijām.

Kiberrisku pārvaldība. NKDL 28. pants uzliek subjektam pienākumu izstrādāt kiberrisku pārvaldības un IKT darbības nepārtrauktības plānu un regulāri apmācīt darbiniekus. Plāna saturu un uzraudzības kārtību nosaka Ministru kabinets. Tas atbilst NIS2 pasākumu kopumam (art 21(2)), tostarp incidentu apstrādei, piegādes ķēdes drošībai un daudzfaktoru autentifikācijai.

Ziņošanas termiņi. NKDL 34. pants nosaka nozīmīga kiberincidenta ziņošanu:

Sankcijas (NKDL 46. pants):

• būtisko pakalpojumu sniedzējam — soda nauda līdz 10 miljoniem euro vai, ja neto apgrozījums pārsniedz 500 miljonus euro, līdz 2 % no kopējā neto apgrozījuma;
• svarīgo pakalpojumu sniedzējam — soda nauda līdz 7 miljoniem euro vai, ja neto apgrozījums pārsniedz 500 miljonus euro, līdz 1,4 % no kopējā neto apgrozījuma.

Šīs summas atbilst NIS2 loģikai, bet ir noteiktas tieši NKDL un tās piemēro Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs.

Ar ko sākt: pārbaudiet savu statusu

Pirmais solis ir noskaidrot, vai uzņēmums vai iestāde ietilpst NKDL tvērumā un kā tas tiek klasificēts — kā būtisko pakalpojumu sniedzējs vai svarīgo pakalpojumu sniedzējs. No tā ir atkarīgi jūsu pienākumi, uzraudzības apjoms un iespējamo sankciju maksimums.

Izmantojiet mūsu bezmaksas darbības jomas (scoping) un neatbilstību (gap) rīku, lai:

• pārbaudītu, vai jūsu darbība atbilst NKDL 20. vai 21. panta kritērijiem;
• salīdzinātu esošos pasākumus ar NKDL 28. panta prasībām;
• sagatavotu ziņošanas procesu atbilstoši NKDL 34. panta termiņiem.

Rīks sniedz sākotnēju priekšstatu; juridiski saistošu vērtējumu apstiprina [TÄPSUSTAB PARTNER-JURIST].