Kas ir NIS2 un vai tas attiecas uz Jūsu uzņēmumu

Klienta an­ke­ta ar uz­rak­stu „NIS2 at­bil­stī­ba“ ne­no­zī­mē, ka li­kums at­tie­cas uz Jums. Robežu Latvijā no­sa­ka Nacionālās ki­berdro­šī­bas li­kums, un an­ke­ta at­nāk arī uz­ņē­mu­miem, uz ku­riem tas ne­at­tie­cas, jo klients pār­bau­da savu pie­gā­des ķēdi.

Vēstule at­nāk no klien­ta ie­pir­ku­ma da­ļas un iz­ska­tās ne­vai­nī­gi: as­toņ­pa­dsmit jau­tā­ju­mi par ki­berdro­šī­bu, aiz­pil­dīt di­vās ne­dē­ļās, aug­šā uz­raksts „NIS2 at­bil­stī­ba“. Uzņēmumā ir vien­pa­dsmit cil­vē­ki, ne­viens no vi­ņiem nav ju­ris­kon­sults, un pir­mais jau­tā­jums, ko visi uz­dod cits ci­tam, ir tas pats — vai šis vis­pār at­tie­cas uz mums, vai arī kāds ir iz­sū­tī­jis vienu un to pašu an­ke­tu vi­s­iem pie­gā­dā­tā­jiem pēc kār­tas, ce­rot, ka kāds at­bil­dēs.

Atbilde gan­drīz vien­mēr ir „nē, bet“, un tie­ši šis „bet“ ir tas, ko vērts sa­prast pa­rei­zi, jo no tā ir at­ka­rīgs, cik daudz lai­ka un nau­das šī vēs­tu­le mak­sās. Uz vai­rā­ku­mu mazo un vi­dē­jo uz­ņē­mu­mu NIS2 tie­šā vei­dā ne­at­tie­cas, taču tas ne­no­zī­mē ne to, ka an­ke­ta ir kļū­da, ne to, ka to var at­stāt ne­at­bil­dē­tu. Tālāk ir skaid­rots, kur iet ro­be­ža, kas at­ro­das kat­rā tās pusē un kā­pēc Latvijā pa­rei­zā at­bil­de nāk ne­vis no di­rek­tī­vas, bet no li­ku­ma, kuru šajā sa­ru­nā gan­drīz ne­viens ne­pie­min.

NIS2 ir direktīva, nevis regula, un tur sākas nepareizās atbildes

Vispārīgā datu aiz­sar­dzī­bas re­gu­la ir re­gu­la, un tas no­zī­mē, ka tā dar­bo­jas tie­ši vi­s­ās da­lībval­stīs vienā un tajā pašā re­dak­ci­jā — tie­ši tā­pēc par to var ru­nāt kā par vienu Eiropas no­tei­ku­mu ko­pu­mu un tie­ši tā­pēc visi ir pie­ra­du­ši, ka Eiropas pra­sī­bas iz­ska­tās šādi. NIS2 ir di­rek­tī­va, un tā dar­bo­jas pre­tē­ji: tā uz­liek da­lībval­stij pie­nā­ku­mu savā li­kum­do­ša­nā pa­nākt no­teik­tu re­zul­tā­tu, bet pati par sevi uz­ņē­mu­mam pie­nā­ku­mus ne­uz­liek. Praktiskās se­kas ir tā­das, ka jau­tā­jums „ko pra­sa NIS2“ Latvijā ir ne­pa­rei­zi uz­dots jau­tā­jums, un pa­rei­zais skan „ko pra­sa Nacionālās ki­berdro­šī­bas li­kums“.

Direktīvas pilns no­sau­kums ir Eiropas Parlamenta un Padomes di­rek­tī­va 2022/2555 par pa­sā­ku­miem augsta vien­o­ta ki­berdro­šī­bas lī­me­ņa no­dro­ši­nā­ša­nai visā Savienībā, tā stā­jās spē­kā pirms trim ar pusi ga­diem, un da­lībval­stīm to savā tie­sī­bu sis­tē­mā va­ja­dzē­ja pār­ņemt līdz 2024. gada ok­tob­ra vi­dum. Šo ter­mi­ņu no­ka­vē­ja lie­lā­kā daļa da­lībval­stu, tos­tarp Latvija, taču arī šeit ir vērts būt pre­cī­zam: no­ka­vēts tika ne­vis li­ku­ma pie­ņem­ša­na, bet pa­zi­ņo­jums Eiropas Komisijai par pil­nī­gu pār­ņem­ša­nu, un tās ir di­vas da­žā­das lie­tas, ku­ras zi­ņās pa­ras­ti sa­plūst vienā.

Kāpēc tas ir sva­rī­gi prak­tis­ki, ne­vis aka­dē­mis­ki: ja pie­gā­dā­tājs, kon­sul­tants vai pati an­ke­ta ap­gal­vo, ka „NIS2 pra­sa X“, tad ir vērts pa­jau­tāt, kura li­ku­ma kurš pants to pra­sa. Latvijā at­bil­de būs vai nu Nacionālās ki­berdro­šī­bas li­kums, vai Ministru ka­bi­ne­ta no­tei­ku­mi par mi­ni­mā­la­jām ki­berdro­šī­bas pra­sī­bām; Spānijā un Francijā, kur savs li­kums vēl nav pie­ņemts un kur Komisija šā gada jū­li­jā vēr­sās Eiropas Savienības Tiesā, at­bil­des uz šo jau­tā­ju­mu vien­kār­ši nav. Vienas valsts pra­sī­bu pār­rak­stīt ot­rai kā „ei­ro­peis­ku“ ir tas pats, kas ci­tēt kai­mi­ņa lī­gu­mu, un ar tik­pat lie­lu ju­ri­dis­ku spē­ku.

Divi saraksti un viens izmēra slieksnis

Direktīvas uz­bū­ve ir vien­kār­ša, un to ir vērts zi­nāt pat tad, ja kon­krē­tie pie­nā­ku­mi nāk no na­cio­nā­lā li­ku­ma, jo na­cio­nā­lais li­kums šo uz­bū­vi pār­ņem gan­drīz vien­mēr. Ir divi no­za­ru sa­rak­sti — pir­ma­jā vien­pa­dsmit īpa­ši kri­tis­kas no­za­res, ot­ra­jā sep­ti­ņas pā­r­ējās kri­tis­kās no­za­res, un uz­ņē­mums vis­pār no­nāk re­dzes­lo­kā ti­kai tad, ja tā dar­bī­ba ie­tilpst kādā no tām. Pirmajā sa­rak­stā ir ener­ģē­ti­ka, trans­ports, ban­ku sek­tors, fi­nan­šu tir­gus in­fras­truk­tū­ra, ve­se­lī­ba, dze­ra­mais ūdens, no­te­kū­de­ņi, di­gi­tā­lā in­fras­truk­tū­ra, in­for­mā­ci­jas un ko­mu­ni­kā­ci­jas teh­no­lo­ģi­ju pa­kal­po­ju­mu pār­val­dī­ba, valsts pār­val­de un kos­moss.

Otrajā sa­rak­stā ir pa­sta un kur­jer­pa­kal­po­ju­mi, at­kri­tu­mu ap­saim­nie­ko­ša­na, ķī­mis­ko vie­lu ra­žo­ša­na un iz­pla­tī­ša­na, pār­ti­kas ra­žo­ša­na un iz­pla­tī­ša­na, ra­žo­ša­na se­šās ap­akš­no­za­rēs no me­di­cī­nas ie­rī­cēm līdz trans­por­tlī­dzek­ļiem, di­gi­tā­lo pa­kal­po­ju­mu snie­dzē­ji un pēt­nie­cī­bas or­ga­ni­zā­ci­jas. Vārdkopa „di­gi­tā­lo pa­kal­po­ju­mu snie­dzē­ji“ šeit ir šau­rā­ka, nekā iz­klau­sās, un tā no­zī­mē tiešsais­tes tirdznie­cī­bas vie­tas, mek­lē­tājprog­ram­mas un so­ciā­lo tīk­lu plat­for­mas. Pirmo no tām ir vērts iz­la­sīt uz­ma­nī­gi: tirdznie­cī­bas vie­ta ir plat­for­ma, kurā tir­go­jas citi pār­de­vē­ji, ne­vis in­ter­ne­ta vei­kals, kurš pār­dod sa­vas pre­ces, un šī at­šķi­rī­ba iz­šķir ve­se­lu uz­ņē­mu­mu kla­si.

Otrā daļa ir iz­mērs, un tā ir tā, kuru vai­rā­kums lasa pir­mo. Pēc no­klu­sē­ju­ma di­rek­tī­va at­tie­cas uz vi­dē­jiem un lie­lā­kiem uz­ņē­mu­miem ša­jās no­za­rēs, sa­vu­kārt mik­rouz­ņē­mu­mi un ma­zie uz­ņē­mu­mi pa­liek ār­pus tvē­ru­ma. Eiropas Komisijas ie­tei­ku­mā ma­zais uz­ņē­mums ir tas, kas no­dar­bi­na ma­zāk nekā 50 cil­vē­kus un kura ap­gro­zī­jums vai bi­lan­ce ne­pār­sniedz 10 mil­jo­nus eiro, sa­vu­kārt vi­dē­jais ir tas, kas šos sliekšņus pār­sniedz, bet vēl no­dar­bi­na ma­zāk nekā 250 cil­vē­kus un kura gada ap­gro­zī­jums ne­pār­sniedz 50 mil­jo­nus eiro vai bi­lan­ces kop­sum­ma ne­pār­sniedz 43 mil­jo­nus. Šis „vai“ starp ap­gro­zī­ju­mu un bi­lan­ci tur ir ap­zi­nāts un to no­zau­dēt ne­drīkst. Latvijas li­kums šos skait­ļus ne­rak­sta iden­tis­ki, un par to ir at­se­viš­ķa sa­da­ļa tā­lāk.

Vēl viena lie­ta, kuru šajā vie­tā mēdz sa­jaukt, ir tas, ka no­za­res sa­raksts runā par dar­bī­bu, ne­vis par no­za­res kodu re­ģis­trā. Uzņēmums, kura re­ģis­trē­tā pa­mat­dar­bī­ba ir prog­ram­ma­tū­ras iz­strā­de, var fak­tis­ki ad­mi­nis­trēt klien­ta in­for­mā­ci­jas sis­tē­mas, un tie­ši šī otrā dar­bī­ba ir tā, kas pa­rā­dās pir­ma­jā sa­rak­stā kā teh­no­lo­ģi­ju pa­kal­po­ju­mu pār­val­dī­ba. Pretējais arī no­tiek: uz­ņē­mums ar ie­spai­dī­gu no­za­res kodu var fak­tis­ki ne­da­rīt neko no tā, kas sa­rak­stā no­saukts. Pareizais jau­tā­jums tā­pēc ir par to, ko uz­ņē­mums pa­tie­šām dara klien­tam, ne­vis par to, kas rak­stīts re­ģis­trā.

Kad izmērs nenozīmē neko

Tieši šeit vai­rā­kums uz­ņē­mu­mu iz­da­ra ne­pa­rei­zu se­ci­nā­ju­mu un pār­trauc la­sīt. Direktīvā ir arī sa­raksts, kurā iz­mē­ram nav no­zī­mes vis­pār, un uz­ņē­mums, kas tajā ie­tilpst, ir tvē­ru­mā, arī bū­dams pie­cu cil­vē­ku liels ar nie­cī­gu ap­gro­zī­ju­mu. Tur ie­tilpst pub­lis­ko elek­tro­nis­ko sa­ka­ru tīk­lu un pub­lis­ki pie­eja­mu elek­tro­nis­ko sa­ka­ru pa­kal­po­ju­mu snie­dzē­ji, uz­ti­ca­mī­bas pa­kal­po­ju­mu snie­dzē­ji, augst­ā­kā lī­me­ņa do­mē­nu re­ģis­tru uz­tu­rē­tā­ji un do­mē­nu vār­du sis­tē­mas pa­kal­po­ju­mu snie­dzē­ji, kā arī at­se­viš­ķi tie, kas sniedz do­mē­nu re­ģis­trā­ci­jas pa­kal­po­ju­mus.

Turpat bla­kus ir arī čet­ras si­tuā­ci­jas, ku­rās iz­šķir ne­vis dar­bī­bas veids, bet no­zī­me, un tās ir for­mu­lē­tas ar no­lū­ku pla­ši. Ja uz­ņē­mums ir vien­ī­gais da­lībval­stī, kas sniedz pa­kal­po­ju­mu, kurš uz­tur kri­tis­kas sa­bied­ris­kās vai sa­im­nie­cis­kās dar­bī­bas; ja tā dar­bī­bas trau­cē­jums va­rē­tu bū­tis­ki ie­tek­mēt sa­bied­ris­ko dro­šī­bu, dro­šu­mu vai ve­se­lī­bu; ja tas va­rē­tu ra­dīt sis­tē­mis­ku ris­ku, jo īpa­ši ar pār­ro­be­žu ie­tekmi; vai ja uz­ņē­mums ir īpa­ši sva­rīgs valsts vai re­ģio­na lī­me­nī savā no­za­rē vai ci­tās no tās at­ka­rī­gās no­za­rēs — tad iz­mē­ra sliek­snis vairs ne­no­zī­mē neko un lē­mu­mu pie­ņem da­lībvalsts.

Praktiski tas no­zī­mē, ka at­bil­de uz jau­tā­ju­mu „vai mēs esam tvē­ru­mā“ nav no­la­sā­ma no dar­bi­nie­ku skai­ta, un tie­ši šī ir bie­žā­kā kļū­da visā šajā tēmā. Tā ir no­la­sā­ma no di­vām lie­tām pēc kār­tas: vai no­za­re ir kādā no sa­rak­stiem un vai kāda no šīm īpa­ša­jām pa­zī­mēm at­tie­cas. Latvijā abas šīs lie­tas ir uz­rak­stī­tas li­ku­ma div­des­mi­ta­jā un div­des­mit pir­ma­jā pan­tā, un tur ir arī pa­zī­mes, kuru di­rek­tī­vas pie­li­ku­mos nav vis­pār — sa­bied­ris­kie elek­tro­nis­kie plaš­sa­zi­ņas lī­dzek­ļi, iz­glī­tī­bas in­for­mā­ci­jas sis­tē­mu uz­tu­rē­tā­ji un ap­sar­dzes pa­kal­po­ju­mu snie­dzē­ji ir Latvijas pa­pil­di­nā­ju­mi.

Praksē šī sa­rak­sta la­sī­ša­na aiz­ņem vienu pēc­pus­die­nu un dod skaid­ru at­bil­di di­vos ga­dī­ju­mos no trim. Trešais ga­dī­jums — kad uz­ņē­mums iz­ska­tās pēc kan­di­dā­ta uz kādu no pla­ši for­mu­lē­ta­jām pa­zī­mēm — nav at­ri­si­nāms la­sot, jo tur lē­mu­mu pie­ņem valsts, sa­stā­dot sub­jek­tu sa­rak­stu, un tas ir do­ku­ments, kuru uz­tur uz­rau­go­šā ie­stā­de. Ja ro­das šāda sa­jū­ta, tad lē­tā­kais so­lis ir vien­kār­ši pa­jau­tāt ie­stā­dei, ne­vis pa­sū­tīt ju­ri­dis­ku at­zi­nu­mu par tek­stu, kuru tā pati pie­mē­ros.

Būtisks vai svarīgs: atšķirība, kas nav nianse

Ja uz­ņē­mums tvē­ru­mā ir, tas no­nāk vienā no di­vām ka­te­go­ri­jām, un Latvijas li­ku­mā tās sa­ucas par bū­tis­ko pa­kal­po­ju­mu snie­dzē­ju un sva­rī­go pa­kal­po­ju­mu snie­dzē­ju, bet abas kopā li­kums sauc vien­kār­ši par sub­jek­tiem. Atšķirība starp abām nav vār­dos: no tās iz­riet gan uz­rau­dzī­bas in­ten­si­tā­te, gan sodu gries­ti, un tā tiek no­teik­ta pēc kom­bi­nā­ci­jas starp to, kurā sa­rak­stā no­za­re at­ro­das, un to, cik liels ir pats uz­ņē­mums. Tāpēc ka­te­go­ri­ju no­skaid­rot ir vērts pirms jeb­ku­ras sa­ru­nas ar kon­sul­tan­tu vai pie­gā­dā­tā­ju.

Vienkāršotā for­mā tas iz­ska­tās tā, ka pir­mā sa­rak­sta lie­lie uz­ņē­mu­mi ir bū­tis­ki, tā paša sa­rak­sta vi­dē­jie ir sva­rī­gi, un otrā sa­rak­sta uz­ņē­mu­mi ir sva­rī­gi ne­at­ka­rī­gi no tā, vai tie ir vi­dē­ji vai lie­li. Šī ir tā vie­ta, kur pār­stās­ti kļū­dās vis­bie­žāk, pie­ņe­mot, ka pir­mais sa­raksts no­zī­mē „bū­tisks“ au­to­mā­tis­ki — ne­no­zī­mē, un vi­dējs uz­ņē­mums pir­mā sa­rak­sta no­za­rē ir sva­rīgs, ne­vis bū­tisks. Starpība starp šīm di­vām rin­dām ir trīs mil­jo­ni eiro sodu gries­tos, tā­pēc to nav vērts at­stāt ne­iz­la­sī­tu.

Uzraudzība at­šķi­ras arī, bet Latvijā ne tā, kā to pa­ras­ti citē no di­rek­tī­vas. Direktīvā bū­tis­ko pa­kal­po­ju­mu snie­dzē­ju var pār­bau­dīt re­gu­lā­ri un iz­la­ses kār­tā arī tad, kad ne­kas nav no­ti­cis, ka­mēr sva­rī­go pār­bau­da tad, kad ir no­rā­des, ka kaut kas nav kār­tī­bā. Nacionālās ki­berdro­šī­bas li­kums šo da­lī­ju­mu ne­pār­ņem: tā čet­rdes­mit ot­rais pants dod klā­tie­nes pār­bau­des, at­tā­li­nā­tu pār­rau­dzī­bu un ske­nē­ša­nu pret sub­jek­tu vis­pār, un ie­stā­de tos prio­ri­ti­zē pēc ris­ka, ne­vis pēc ka­te­go­ri­jas. Uzrakstītā at­šķi­rī­ba starp abām ka­te­go­ri­jām Latvijā tā­pēc ir sodu gries­ti, un uz­ņē­mu­mam, kurš rē­ķi­na va­dī­bas lai­ku, jā­la­sa šis pants, ne­vis di­rek­tī­vas uz­rau­dzī­bas no­da­ļa.

Vēl vien­as prak­tis­kas se­kas ir tā­das, ka ka­te­go­ri­ja nav mū­žī­ga. Uzņēmums, kurš pie­ņem dar­bā piec­des­mit cil­vē­kus vai kura ap­gro­zī­jums pie­aug, var no viena gada uz otru pā­r­iet no ār­pu­ses tvē­ru­mā vai no vien­as ka­te­go­ri­jas otrā, un ne­viens par to at­se­viš­ķi ne­at­gā­di­nās. Tāpēc šo pār­bau­di ir vērts ie­likt tajā pašā gada rit­mā, kurā tiek ga­ta­vots gada pār­skats, kad skait­ļi jau tā­pat ir uz gal­da un kad tos pār­bau­dīt mak­sā vienu pa­pil­du stun­du, ne­vis at­se­viš­ķu pro­jek­tu.

Kāpēc anketa atnāca, ja sarakstos Jūs neesat

Anketa at­nāk tā­pēc, ka tvē­ru­mā eso­šam uz­ņē­mu­mam ir jā­pār­val­da arī tie ris­ki, kas nāk no tā tie­ša­jiem pie­gā­dā­tā­jiem un pa­kal­po­ju­mu snie­dzē­jiem, un, iz­vē­lo­ties pa­sā­ku­mus, jā­ņem vērā kat­ra kon­krē­tā pie­gā­dā­tā­ja ie­vai­no­ja­mī­bas un vis­pā­rē­jā ki­berdro­šī­bas prak­se, tos­tarp dro­šas iz­strā­des pro­ce­dū­ras. Tas ir pie­nā­kums klien­tam, ne­vis Jums, un no šīs vien­as di­rek­tī­vas rin­dko­pas iz­riet gan­drīz vi­s­as an­ke­tas, ku­ras Eiropā šob­rīd ceļo pa pie­gā­des ķē­dēm.

No tā iz­riet arī tas, kā uz an­ke­tu at­bil­dēt. Klients, kurš ir tvē­ru­mā, ne­var iz­pil­dīt savu pie­nā­ku­mu, ne­zi­not, kā strā­dā tā pie­gā­dā­tā­ji, tā­pēc tas jau­tā. Anketa ne­uz­liek Jums ne­kā­dus li­ku­mā no­teik­tus pie­nā­ku­mus un ne­pa­da­ra Jūs par sub­jek­tu; tā ir lī­gu­ma jau­tā­jums, un at­bil­de uz to ir lī­gu­ma at­bil­de ar visu, kas pie lī­gu­miem pie­der — sa­mē­rī­gu­mu, cenu un skaid­rī­bu par to, ko esat ga­tavs ap­so­līt rak­stis­ki. Ja jau­tā­ju­mi ir sa­mē­rī­gi, uz tiem der at­bil­dēt go­dī­gi; ja tie pra­sa ser­ti­fi­kā­tu, kura ie­gū­ša­na mak­sā vai­rāk nekā pats lī­gums, tad tā ir sa­ru­nas, ne­vis at­bil­stī­bas tēma.

Otra puse tam pa­šam ir tā, ka an­ke­tas kļūst par tir­gus pra­sī­bu āt­rāk, nekā tās kļūst par ju­ri­dis­ku pie­nā­ku­mu. Uzņēmums, kurš strā­dā ar ban­kām, slim­nī­cām, ener­ģē­ti­ku vai valsts ie­stā­dēm, šo an­ke­tu drī­zu­mā sa­ņems no kat­ra otrā klien­ta ne­at­ka­rī­gi no tā, ko saka li­kums, un tad ir iz­de­vī­gāk vien­reiz sa­kār­tot at­bil­des un tās uz­tu­rēt, nekā kat­ru rei­zi rak­stīt no jau­na un kat­ru rei­zi at­klāt to pašu trū­ku­mu. Tas ir pil­nī­gi cits ar­gu­ments par ki­berdro­šī­bu nekā sodu gries­ti, un mū­sup­rāt go­dī­gāks, jo tas ir par klien­tiem, ne­vis par bai­lēm.

Trešais, ma­zāk pa­ma­nī­tais ie­mesls sa­kār­tot at­bil­des ir ap­dro­ši­nā­ša­na. Kiberrisku po­li­ses pie­tei­ku­ma an­ke­tas jau­tā gan­drīz to pašu, ko klien­ta an­ke­ta, un ne­pre­cī­za at­bil­de tur mak­sā dār­gāk nekā zau­dēts lī­gums, jo tā var ie­tek­mēt at­lī­dzī­bu tie­ši tajā brī­dī, kad tā ir va­ja­dzī­ga. Uzņēmumam, kurš vien­reiz ir uz­rak­stī­jis go­dī­gu ap­rak­stu par to, kas tam ir un kā nav, šis do­ku­ments der vi­s­iem trim mēr­ķiem uz­reiz.

Ko Latvijā prasa pats likums

Nacionālās ki­berdro­šī­bas li­kums ir spē­kā kopš 2024. gada sep­tem­bra, un tas ir tas teksts, kas Latvijas uz­ņē­mu­mam uz­liek pie­nā­ku­mus, ne­vis di­rek­tī­va. Konkrētās teh­nis­kās pra­sī­bas tajā uz­skai­tī­tas nav — li­ku­mā ir viena vis­pā­rī­ga nor­ma par to, ka sub­jek­tam jā­ie­vieš sa­mē­rī­gi pa­sā­ku­mi, bet de­ta­ļas ir Ministru ka­bi­ne­ta no­tei­ku­mos par mi­ni­mā­la­jām ki­berdro­šī­bas pra­sī­bām, kuri stā­jās spē­kā pa­gā­ju­šā gada jū­li­jā. Šī divlī­me­ņu uz­bū­ve ir ti­pis­ka un prak­tis­ki no­zī­mē, ka li­ku­mā mek­lē, vai esat sub­jekts, bet no­tei­ku­mos — ko tad da­rīt.

Kompetentā ie­stā­de ir Nacionālais ki­berdro­šī­bas centrs, kurš dar­bo­jas Aizsardzības mi­nis­tri­jā un ir arī vien­o­tais kon­taktpunkts sa­dar­bī­bai ar pā­r­ējām da­lībval­stīm. Incidentus pie­ņem cita ie­stā­de, un tas mēdz pār­steigt: pri­vā­to tie­sī­bu ju­ri­dis­ka­jām per­so­nām un lie­lā­ka­jai da­ļai pub­lis­ko ie­stā­žu tā ir Latvijas Universitātes Matemātikas un in­for­mā­ti­kas in­sti­tū­ta struk­tūr­vie­nī­ba, kuru prak­sē visi pa­zīst kā CERT.LV. Aizsardzības re­so­ra sis­tē­mām šo fun­kci­ju pil­da Militārās iz­lū­ko­ša­nas un dro­šī­bas die­nests, bet in­for­mā­ci­jas teh­no­lo­ģi­ju kri­tis­kās in­fras­truk­tū­ras jau­tā­ju­mos savs uz­de­vums ir Satversmes aiz­sar­dzī­bas bi­ro­jam.

Vēl viena Latvijas li­ku­ma īpat­nī­ba, kuru pār­stās­tos mēdz no­zau­dēt, ir iz­mē­ra de­fi­nī­ci­jas. Direktīva sūta uz Eiropas Komisijas ie­tei­ku­mu, bet li­kums pats uz­rak­sta savu de­fi­nī­ci­ju. Liels sa­im­nie­cis­kās dar­bī­bas vei­cējs ir tāds, kas at­bilst vis­maz vien­ai pa­zī­mei no di­vām — vis­maz 250 no­dar­bi­nā­tie, vai ap­gro­zī­jums virs 50 mil­jo­niem eiro vai bi­lan­ce virs 43 mil­jo­niem. Vidējs sa­vu­kārt ir tas, kas at­bilst vi­s­ām pa­zī­mēm: līdz 249 no­dar­bi­nā­ta­jiem, un ap­gro­zī­jums vis­maz 10 mil­jo­ni, bet ne virs 50 mil­jo­niem, vai bi­lan­ce vis­maz 10 mil­jo­ni, bet ne virs 43 mil­jo­niem. Tāpēc uz­ņē­mums ar simt dar­bi­nie­kiem un lie­lu ap­gro­zī­ju­mu Latvijas li­ku­mā var iz­rā­dī­ties liels tur, kur Komisijas ie­tei­ku­mā tas pa­lik­tu vi­dējs, un no­tiek arī pre­tē­jais: uz­ņē­mums ar simt dar­bi­nie­kiem un ap­gro­zī­ju­mu zem des­mit mil­jo­niem Komisijas ie­tei­ku­mā ir vi­dējs, bet li­ku­ma div­des­mi­ta­jā un div­des­mit pir­ma­jā pan­tā ne­ie­k­ļau­jas ne kā liels, ne kā vi­dējs.

Vienu ter­mi­no­lo­ģis­ku lie­tu ir vērts no­fik­sēt, jo tā mēdz ra­dīt pār­pra­tu­mus sa­ru­nā ar ju­ris­tiem. Personas datu aiz­sar­dzī­bas pār­kā­pums un ki­be­rin­ci­dents nav viens un tas pats no­ti­kums, tie tiek zi­ņo­ti da­žā­dām ie­stā­dēm un ar da­žā­diem ter­mi­ņiem, un viens no­ti­kums var būt abi vien­lai­kus. Uzņēmumam, kurš ir gan sub­jekts, gan per­so­nas datu pār­zi­nis, tas no­zī­mē di­vus pa­zi­ņo­ju­mus di­vām ad­re­sēm, un tie­ši šī ie­mes­la dēļ zi­ņo­ša­nas kār­tī­bu ir vērts uz­rak­stīt vienā lapā, ka­mēr ne­kas nav no­ti­cis.

Kad sākas ziņošanas termiņš un kas to iedarbina

Ja uz­ņē­mums ir sub­jekts, tad no­zī­mī­ga ki­be­rin­ci­den­ta ga­dī­ju­mā sā­kas zi­ņo­ša­nas ter­miņš, un tas ir vien­ī­gais no vi­s­iem šiem pie­nā­ku­miem, kuru ne­var iz­pil­dīt pēc fak­ta vai at­likt uz nā­ka­mo ne­dē­ļu. Agrīnais brī­di­nā­jums ir jā­sniedz ne­ka­vē­jo­ties un ne vē­lāk kā div­des­mit čet­ru stun­du lai­kā, sā­kot­nē­jais zi­ņo­jums — ne­ka­vē­jo­ties un ne vē­lāk kā sep­tiņ­des­mit divu stun­du lai­kā, turklāt uz­ti­ca­mī­bas pa­kal­po­ju­mu snie­dzē­jiem arī šis ot­rais ter­miņš ir div­des­mit čet­ras stun­das. Galaziņojums seko mē­neša lai­kā pēc sā­kot­nē­jā, bet, ja in­ci­dents vēl nav no­vērsts, tā vie­tā vis­pirms iet prog­re­sa zi­ņo­jums.

Vārds „no­zī­mīgs“ šeit nav de­ko­ra­tīvs, un tie­ši ap to grie­žas prak­tis­kais lē­mums. Direktīva to rak­sta kā in­ci­den­tu, kurš ir iz­rai­sī­jis vai spēj iz­rai­sīt sma­gus dar­bī­bas trau­cē­ju­mus vai fi­nan­siā­lus zau­dē­ju­mus pa­šam sub­jek­tam, vai arī ir skā­ris vai spēj skart ci­tas per­so­nas, ra­dot ie­vē­ro­ja­mu kai­tē­ju­mu. Latvijas sub­jek­tam tas to­mēr nav tas slē­dzis: li­kums sūta uz Ministru ka­bi­ne­ta kri­tē­ri­jiem, un no­tei­ku­mu par mi­ni­mā­la­jām ki­berdro­šī­bas pra­sī­bām 118. punkts in­ci­den­tu uz­ska­ta par no­zī­mī­gu, ja tas at­bilst Īstenošanas re­gu­las 2024/2690 bū­tis­ka in­ci­den­ta de­fi­nī­ci­jai vai vis­maz vien­ai no tur uz­skai­tī­ta­jām pa­zī­mēm, tos­tarp man­tis­kiem zau­dē­ju­miem vis­maz 500 000 eiro vai 5 pro­cen­tu ap­mē­rā no gada ap­gro­zī­ju­ma, ņe­mot ma­zā­ko no abiem. Praksē tas no­zī­mē, ka lē­mums, vai zi­ņot, tiek pie­ņemts pir­ma­jās stun­dās un gan­drīz vien­mēr ar ne­pil­nī­gu in­for­mā­ci­ju, tā­pēc uz­ņē­mu­mi, kuri to ir iz­da­rī­ju­ši vienu rei­zi, nā­kam­reiz rak­sta pēc ie­priekš sa­ga­ta­vo­tas veid­nes.

Praktiskā ga­ta­vī­ba šeit ir daudz ma­zā­ka lie­ta, nekā tā iz­klau­sās sa­nāksmē. Vajag zi­nāt, kurš pie­ņem lē­mu­mu par zi­ņo­ša­nu, kur no­sū­ta pir­mo pa­zi­ņo­ju­mu un kas tajā vis­pār jā­ie­rak­sta, un va­jag, lai šī in­for­mā­ci­ja būtu pie­eja­ma arī tad, kad pati sis­tē­ma ne­strā­dā un pasts ir tajā pašā sis­tē­mā. Uzņēmumi, kuri ga­ta­vo ti­kai po­li­ti­kas do­ku­men­tus un šo ķēdi ne­kad ne­iz­mē­ģi­na, at­klāj piek­tdie­nas va­ka­rā, ka vien­ī­gais cil­vēks ar pie­kļu­vi ir at­va­ļi­nā­ju­mā un ka ne­viens ne­zi­na, kāda ir pa­rei­zā ad­re­se.

Kas atbild un cik maksā kļūda

Latvijas li­ku­mā at­bil­dī­ba ir per­so­ni­fi­cē­ta, un tas ir ap­zi­nāts ri­si­nā­jums: par ki­berdro­šī­bas pra­sī­bu iz­pil­di at­bild sub­jek­ta va­dī­tājs, un vi­ņam ir jā­ie­ceļ ki­berdro­šī­bas pār­vald­nieks. Tas nav ti­kai for­māls amats ar jau­nu vi­zīt­kar­ti — jēga ir tā, ka jau­tā­jums pār­stāj būt in­for­mā­ci­jas teh­no­lo­ģi­ju no­da­ļas iek­šē­jā lie­ta un no­nāk tur, kur pie­ņem lē­mu­mus par bu­dže­tu. Direktīvā tas pats ir for­mu­lēts kā va­dī­bas struk­tū­ras pie­nā­kums ap­stip­ri­nāt ris­ka pār­val­dī­bas pa­sā­ku­mus, uz­rau­dzīt to ie­vie­ša­nu, at­bil­dēt par pār­kā­pu­miem un iz­iet ap­mā­cī­bu.

Sodi Latvijas li­ku­mā ir uz­rak­stī­ti sa­vā­dāk, nekā tos pa­ras­ti citē pre­zen­tā­ci­jās. Būtisko pa­kal­po­ju­mu snie­dzē­jam soda nau­da var būt līdz des­mit mil­jo­niem eiro, bet, ja pē­dē­jā gada neto ap­gro­zī­jums pār­sniedz piec­simt mil­jo­nus, tad līdz di­viem pro­cen­tiem no tā; sva­rī­go pa­kal­po­ju­mu snie­dzē­jam at­tie­cī­gi līdz sep­ti­ņiem mil­jo­niem vai līdz 1,4 pro­cen­tiem. Direktīvā šī pati vie­ta ir uz­rak­stī­ta ar frā­zi „at­ka­rī­bā no tā, kurš no abiem lie­lāks“ un ar at­sau­ci uz vi­s­as uz­ņē­mu­mu gru­pas pa­sau­les ap­gro­zī­ju­mu, tā­pēc tiešs ci­tāts no di­rek­tī­vas Latvijas kon­tek­stā vien­kār­ši nav pa­reizs tei­kums.

Skaitļi ša­jos pan­tos iz­ska­tās drau­dī­gi, un ir vērts at­ce­rē­ties, ka tie ir gries­ti, ne­vis ta­rifs, un ka tie ir rak­stī­ti tā, lai at­tiek­tos arī uz Eiropas lie­lā­ka­jiem uz­ņē­mu­miem. Praktiski sva­rī­gāk par sum­mu ir tas, ka uz­rau­dzī­bas ie­stā­dei ir arī citi ins­tru­men­ti — no­rā­dī­ju­mi, brī­di­nā­ju­mi un pār­bau­des, un ka uz­ņē­mu­mam, kurš ir li­cis pa­ma­tu un spēj to pa­rā­dīt do­ku­men­tos, sa­ru­na ar to iz­ska­tās pa­vi­sam ci­tā­di nekā uz­ņē­mu­mam, kurš par savu sta­tu­su uz­zi­na in­ci­den­ta lai­kā no uz­rau­go­šās ie­stā­des.

Vēl viena lie­ta, ko šie pan­ti ne­sa­ka, ir tas, ka soda nau­da nav vien­ī­gās fi­nan­siā­lās se­kas. Praksē dār­gā­kais pa­ras­ti ir dīk­stā­ve un klien­tu zau­dē­jums, un tie­ši tā­pēc uz­ņē­mu­mi, kuri šo tēmu ir iz­gā­ju­ši, par to runā kā par dar­bī­bas ne­pār­trauk­tī­bu, ne­vis kā par at­bil­stī­bu. Šādi to for­mu­lēt ir arī veids, kā par to ru­nāt ar val­di: ne­vis „mums draud des­mit mil­jo­ni“, kas ir ne­pa­tie­si gan­drīz jeb­ku­ram Latvijas uz­ņē­mu­mam, bet „cik ilgi mēs va­ram ne­strā­dāt un cik tas mak­sā“.

Kā tas pats izskatās pārējās Eiropas valstīs

Ja uz­ņē­mums strā­dā vai­rā­kos tir­gos, tad di­rek­tī­vas vienā tei­ku­mā ap­rak­stī­tā vien­vei­dī­ba prak­sē iz­rā­dās vien­pa­dsmit da­žā­di li­ku­mi ar da­žā­diem spē­kā stā­ša­nās da­tu­miem. Lietuvā un Itālijā savi li­ku­mi bija spē­kā jau kopš 2024. gada ru­dens, Somijā kopš pa­gā­ju­šā gada ap­rī­ļa, Vācijā kopš pa­gā­ju­šā gada de­cem­bra, Igaunijā un Zviedrijā kopš šā gada jan­vā­ra, bet Polijā kopš šā gada ap­rī­ļa. Katrā no tiem ir savi pie­li­ku­mi, sa­vas de­fi­nī­ci­jas un sa­vas uz­rau­go­šās ie­stā­des, un at­bil­stī­ba vienā val­stī neko ne­ap­lie­ci­na otrā.

Divas val­stis mūsu tir­gu vidū savu li­ku­mu vēl nav pie­ņē­mu­šas. Spānijā un Francijā Eiropas Komisija šā gada jū­li­jā vēr­sās Eiropas Savienības Tiesā tie­ši par to, ka pil­nī­ga pār­ņem­ša­na nav pa­zi­ņo­ta, un tas prak­tis­ki no­zī­mē, ka tur uz­ņē­mu­mam šo­dien nav valsts li­ku­ma, kuru iz­pil­dīt, bet ir ie­stā­des, ku­ras jau ta­gad ir tās, ar ku­rām ru­nās, kad li­kums būs. Norvēģija ir vēl at­se­višķs ga­dī­jums: tā nav Eiropas Savienībā, tās spē­kā eso­šais di­gi­tā­lās dro­šī­bas li­kums pār­ņem ie­priek­šē­jo di­rek­tī­vu, un NIS2 tur vēl nav ie­viests.

Ārpus Eiropas Savienības aina at­šķi­ras vēl vai­rāk. Apvienotajā Karalistē spē­kā ir savi 2018. gada no­tei­ku­mi par tīk­lu un in­for­mā­ci­jas sis­tē­mām, kuri pa­li­ka arī pēc iz­stā­ša­nās, un par­la­men­tā šob­rīd ir li­kum­pro­jekts, kas tos pa­pla­ši­nā­tu, taču tas vēl nav pie­ņemts. Praktiskās se­kas vi­s­am šim ir vien­kār­šas: ja klients citē „NIS2“ pār­ro­be­žu lī­gu­mā, tad ir vērts pa­jau­tāt, ku­ras valsts li­ku­mu viņš domā, jo at­bil­de uz to bie­ži iz­rā­dās, ka viņš to nav pār­bau­dī­jis.

Ko darīt ar anketu, kas jau ir uz galda

Pirmais so­lis ir uz­rak­stīt vienu rin­dko­pu par savu sta­tu­su un to sa­gla­bāt tā, lai to at­ras­tu arī nā­kam­reiz. Tajā ir trīs tei­ku­mi: kurā no­za­rē uz­ņē­mums dar­bo­jas un vai tā ie­tilpst kādā no di­rek­tī­vas sa­rak­stiem; cik cil­vē­ku tas no­dar­bi­na, kāds ir ap­gro­zī­jums un bi­lan­ce; un vai uz to at­tie­cas kāda no pa­zī­mēm, ku­rām iz­mē­ram nav no­zī­mes. Šī rin­dko­pa der vi­s­ām nā­ka­ma­jām an­ke­tām, un tā ir arī at­bil­de uz jau­tā­ju­mu, ko agri vai vēlu uz­dos val­de vai īpaš­nieks.

Otrais so­lis ir no­da­līt to, kas ir ju­ri­disks pie­nā­kums, no tā, kas ir klien­ta pra­sī­ba, jo šīs di­vas lie­tas an­ke­tā iz­ska­tās vien­ā­di. Ja Jūs ne­esat sub­jekts, tad an­ke­ta ir lī­gu­ma do­ku­ments, un uz to at­tie­cas pa­ras­tā lī­gu­mu lo­ģi­ka — sa­mē­rī­gums, cena un tas, ko esat ga­tavs ap­so­līt rak­stis­ki un pēc tam iz­pil­dīt. Ja Jūs esat sub­jekts, tad an­ke­ta ir ma­zā­kā no rū­pēm, un pa­rei­zā se­cī­ba ir vis­pirms iz­la­sīt Ministru ka­bi­ne­ta no­tei­ku­mus, tad no­vēr­tēt savu fak­tis­ko stā­vok­li pret tiem un ti­kai tad at­bil­dēt klien­tam.

Trešais so­lis at­tie­cas uz tiem, kas pie­gā­dā valsts sek­to­ram, jo tur pra­sī­bas nāk ne ti­kai no ki­berdro­šī­bas li­ku­ma, bet arī no ie­pir­ku­ma no­li­ku­ma, un no­li­kums mēdz būt kon­krē­tāks par li­ku­mu. Par to, kāda pār­bau­de un cik bie­ži tiek pra­sī­ta ie­pir­ku­mos, esam rak­stī­ju­ši at­se­viš­ķi, un par to, ar ko at­šķi­ras ske­nē­ša­na, au­dits un ie­lau­ša­nās tests, arī. Ja Jums ir jau­tā­jums par kon­krē­tu valsts sek­to­ra pro­jek­tu vai va­jag pa­lī­dzī­bu ar at­bil­dēm, ku­ras jā­ap­lie­ci­na ar teh­nis­ku fak­tu, uz­rak­stiet mums.

Šajā rak­stā mēs ap­zi­nā­ti ne­sa­kām, vai tie­ši Jūs esat sub­jekts. To no­sa­ka no­za­re, iz­mērs un pa­zī­mes, ku­ras ir jā­iz­la­sa li­ku­ma tek­stā ar Jūsu pašu skait­ļiem rokā, un jeb­kurš, kurš to no­sa­ka pēc trim mi­nū­tēm sa­ru­nas vai pēc vien­as pre­zen­tā­ci­jas slai­da, pār­dod pār­lie­cī­bu, ne­vis at­bil­di. Ko var pa­teikt dro­ši, ir tas, ka lie­lā­kā daļa mazo uz­ņē­mu­mu, kuri sa­ņem šo an­ke­tu, sub­jek­ti nav — un ka an­ke­ta tā­pēc ne­kur ne­pa­zūd, jo tā nāk no klien­ta pie­nā­ku­ma, ne­vis no Jūsu.