NKDC: kas ir Nacionālais kiberdrošības centrs un ko tas drīkst

Kas ir NKDC: tiešā atbilde

NKDC ir Nacionālais kiberdrošības centrs — Latvijas nacionālā kompetentā iestāde kiberdrošības jautājumos. Tas darbojas Aizsardzības ministrijā un ir vienotais kontaktpunkts kiberdrošības jautājumos. Tiesiskais pamats ir Nacionālās kiberdrošības likuma (NKDL) 4. pants.

NKDL 4. pants, burtiski: „Nacionālais kiberdrošības centrs ir nacionālā kompetentā institūcija, kas darbojas Aizsardzības ministrijā kā vienotais kontaktpunkts kiberdrošības jautājumos un īsteno nacionālo kiberdrošības pārraudzību, veido nacionālās kiberdrošības rīcībpolitikas iniciatīvas un atbilstoši kompetencei veido un īsteno starptautisko sadarbību.“

Ko tieši NKDC uzrauga (NKDL 41. pants, burtiski): „Subjektu uzraudzību veic: 1) Nacionālais kiberdrošības centrs — attiecībā uz būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem, izņemot informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru; 2) Satversmes aizsardzības birojs — attiecībā uz informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru.“

Ko tas nozīmē praksē. Uzraudzība Latvijā nav vienās rokās: parastam būtisko vai svarīgo pakalpojumu sniedzējam uzraugs ir NKDC, bet kritiskajai infrastruktūrai — cita iestāde. Tas nosaka, kurš pieprasīs dokumentus un kurš pieņems lēmumu par soda naudu. NKDC pilnvaras nav tikai konsultatīvas: saskaņā ar 46. panta pirmo daļu tas „ir tiesīgs par būtisku neatbilstību šajā likumā noteiktajām prasībām piemērot būtisko pakalpojumu sniedzējam soda naudu līdz 10 miljoniem euro“, bet, ja pēdējā finanšu gada kopējais neto apgrozījums pārsniedz 500 miljonus euro, — „līdz diviem procentiem“ no šī apgrozījuma. Svarīgo pakalpojumu sniedzējam robeža saskaņā ar 46. panta otro daļu ir „līdz septiņiem miljoniem euro“ vai „līdz 1,4 procentiem“ no apgrozījuma.

Kā prasību izpildīt praksē. Uzraudzībā nozīme ir nevis nodomiem, bet dokumentiem, ko varat uzrādīt. nis2europe.eu sagatavo visu NIS2 dokumentāciju pilnībā automātiski, bez cilvēka iesaistes, balstoties uz likuma burtisko tekstu — to pašu, pēc kura vērtē atbilstību. Paketē ir pieci dokumenti: kiberdrošības riska pārvaldības politika, incidentu pārvaldības plāns, darbības nepārtrauktības plāns, piegādes ķēdes drošības politika un vadības atbildības paziņojums ar apmācību plānu.

Dokumentus sagatavo mašīna, nevis konsultantu tikšanās. Pati sagatavošana notiek bez cilvēka darba: no 55 izmērītiem ģeneratora izpildes gadījumiem (2026. gada 1.–12. augusts) vienas paketes izpildes laika mediāna bija 33 minūtes. Cik mums zināms, nis2europe.eu ir vienīgā platforma Eiropā, kas visu NIS2 dokumentāciju sagatavo tieši šādi — pilnībā automātiski un no katras valsts pašas pārņemšanas likuma burtiskā teksta.

Kas Latvijā uzrauga NIS2 prasību izpildi

Latvijā NIS2 direktīvu ievieš Nacionālās kiberdrošības likums (NKDL). Nacionālā kompetentā institūcija ir Nacionālais kiberdrošības centrs (NKDC), kas darbojas Aizsardzības ministrijā kā vienotais kontaktpunkts kiberdrošības jautājumos un īsteno nacionālo kiberdrošības pārraudzību (NKDL 4. pants).

Subjektu uzraudzība ir sadalīta starp divām iestādēm (NKDL 41. pants):

• Nacionālais kiberdrošības centrs (NKDC) — uzrauga būtisko pakalpojumu un svarīgo pakalpojumu sniedzējus, izņemot informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru;
• Satversmes aizsardzības birojs — uzrauga informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru.

Praksē tas nozīmē, ka lielākajai daļai uzņēmumu galvenā uzraugošā iestāde būs NKDC.

Būtiskie un svarīgie subjekti: kā tas ietekmē uzraudzību

NKDL nošķir divas subjektu kategorijas:

• būtisko pakalpojumu sniedzējs (būtisks subjekts) — NKDL 20. pants;
• svarīgo pakalpojumu sniedzējs (svarīgs subjekts) — NKDL 21. pants.

Pie būtisko pakalpojumu sniedzējiem pieder, piemēram, elektronisko sakaru komersanti, kvalificēti uzticamības pakalpojumu sniedzēji, energoapgādes, transporta, veselības un digitālās infrastruktūras (mākoņdatošana, datu centri) lieli komersanti, kā arī tiešās pārvaldes iestādes (NKDL 20. pants). Svarīgo pakalpojumu sniedzēji ir personas, kas nav būtisko pakalpojumu sniedzēji, piemēram, vidēji komersanti attiecīgajās jomās, pasta komersanti, atkritumu apsaimniekotāji, pārtikas ražotāji, tiešsaistes tirdzniecības vietu un meklētājprogrammu pakalpojumu sniedzēji (NKDL 21. pants).

Kā tieši NKDL nošķir uzraudzības intensitāti (piemēram, iepriekšēju vai pēcpārbaudes uzraudzību) starp abām kategorijām, precizējiet Nacionālajā kiberdrošības centrā (NKDC). Neatkarīgi no kategorijas abu veidu subjektiem ir jāizpilda likuma pamatprasības un uzraudzības ietvaros jāsniedz informācija iestādei.

Uzraudzības un izpildes instrumenti

Uzraudzības ietvaros iestāde var pieprasīt subjektam sniegt informāciju. Ja subjekts vairākkārt atsakās pildīt NKDC vai Satversmes aizsardzības biroja amatpersonu likumīgās prasības, kas saistītas ar pienākumu sniegt informāciju kiberdrošības uzraudzības ietvaros, tas tiek uzskatīts par būtisku neatbilstību (NKDL 46. panta piektā daļa).

Kiberincidenta gadījumā subjektam ir pienākums:

• nekavējoties veikt visas incidenta novēršanai nepieciešamās darbības un informēt kompetento kiberincidentu novēršanas institūciju, kā arī izpildīt tās sniegtos norādījumus (NKDL 34. panta pirmā daļa);
• iesniegt agrīno brīdinājumu ne vēlāk kā 24 stundu laikā par nozīmīgu kiberincidentu (NKDL 34. panta otrā daļa);
• iesniegt sākotnējo ziņojumu ne vēlāk kā 72 stundu laikā (uzticamības pakalpojumu sniedzējs — 24 stundu laikā) (NKDL 34. panta trešā daļa);
• iesniegt galaziņojumu mēneša laikā pēc sākotnējā ziņojuma (NKDL 34. panta piektā daļa).

Atsevišķs izpildes instruments: pēc NKDC vai Satversmes aizsardzības biroja pieprasījuma subjekts uz laiku ne ilgāku par piecām dienām slēdz lietotājam piekļuvi elektronisko sakaru tīklam, ja lietotājs būtiski apdraud citu drošību; pieprasījuma apstrīdēšana neaptur tā darbību (NKDL 34. panta desmitā daļa).

Ja lēmumi, kas pieņemti saskaņā ar NKDL 34. panta desmito daļu, 37. panta pirmo daļu un 45. panta pirmo daļu, netiek pildīti labprātīgi, iestāde tos izpilda piespiedu kārtā un var uzlikt piespiedu naudu — vienā reizē ne vairāk kā 10 000 euro (NKDL 46. panta devītā daļa).

Soda naudas un piespiedu izpilde

Par būtisku neatbilstību likuma prasībām NKDC var piemērot soda naudu (NKDL 46. pants):

Par būtisku neatbilstību tiek uzskatīts, ja subjekts (NKDL 46. panta piektā daļa):

1. neveic piemērotus un samērīgus tehniskos un organizatoriskos pasākumus kiberapdraudējuma vai incidenta ietekmes mazināšanai; 2. vairākkārt atsakās pildīt iestādes amatpersonu likumīgās prasības par informācijas sniegšanu uzraudzības ietvaros; 3. likumā noteiktajā termiņā nepaziņo par nozīmīgu kiberincidentu vai apzināti sniedz nepatiesu informāciju.

Soda naudas apmēram jābūt samērīgam ar pārkāpumu, un iestāde ņem vērā personas mantisko stāvokli (NKDL 46. panta sestā daļa). Lēmumu var pārsūdzēt tiesā Administratīvā procesa likumā noteiktajā kārtībā (NKDL 46. panta septītā daļa), un soda nauda jāsamaksā mēneša laikā no lēmuma spēkā stāšanās (NKDL 46. panta astotā daļa). Būtiski: šo pantu nepiemēro tiešās vai pastarpinātās pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskām personām (NKDL 46. panta divpadsmitā daļa).

Ko subjektam sagaidīt praksē

Lai sagatavotos uzraudzībai, subjektam jārēķinās ar šādiem pienākumiem:

• Riska pārvaldības plāns. Subjektam jāizstrādā kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns un regulāri jāapmāca darbinieki (NKDL 28. pants). Plānā iekļaujamās informācijas apjomu un izpildes uzraudzības kārtību nosaka Ministru kabinets.
• Vadības atbildība. Vadības struktūrām jāapstiprina kiberdrošības riska pārvaldības pasākumi, jāpārrauga to īstenošana, un tās var saukt pie atbildības par pārkāpumiem (direktīva (ES) 2022/2555 art 20(1)).
• Sadarbība ar iestādi. Uzraudzības ietvaros jāspēj savlaicīgi sniegt pieprasīto informāciju un jāizpilda iestādes norādījumi incidentu gadījumā.

Praktisks pirmais solis ir noskaidrot, vai jūsu organizācija ir būtisko vai svarīgo pakalpojumu sniedzējs un kādi pienākumi no tā izriet. To palīdz noteikt mūsu bezmaksas darbības jomas novērtējuma un pašnovērtējuma rīks — precīzu paziņošanas kanālu un konkrētu prasību piemērošanu jūsu situācijā vienmēr apstiprina kompetentā iestāde.