Nacionālās kiberdrošības likuma grozījumi ir spēkā kopš 2026. gada 18. jūnija, un no 1. oktobra likums aptver arī uzņēmumus, kurus valsts atzinusi par nacionālajai drošībai nozīmīgiem. Ja īsi: auditoru saraksts atcelts, subjektu loks precizēts, parādījušās personāla drošības prasības, un termiņi tagad ir saprotami. Šis raksts ir par to, kas tieši mainījās un ko ar to darīt.
Četras lietas, kas mainījās 18. jūnijā
Atcelts publiskais auditoru saraksts. Agrāk kiberdrošības auditu drīkstēja veikt tikai tas, kas bija oficiālajā sarakstā. Tagad drīkst izvēlēties jebkuru auditoru, kas atbilst Ministru kabineta prasībām. Praksē tas nozīmē lielāku piedāvājumu un reālu konkurenci cenā, jo agrāk īsais saraksts turēja cenas augstas.
Precizēts subjektu loks. No tā izņemtas privātpersonas, kas pilda deleģētus valsts pārvaldes uzdevumus sociālajā un kultūras jomā. Tas ir labs piemērs tam, ka likums nav statisks: daļa organizāciju, kas pērn domāja, ka ir subjekti, vairs nav.
Personāla drošības prasības. Darba devējam tagad jāizvērtē drošības riski, pieņemot darbā cilvēkus ar privileģētu piekļuvi kritiskajām sistēmām un IKT resursiem, un ir tiesības pieprasīt izziņu no Sodu reģistra, lai pārliecinātos, ka personai nav sodāmības par tīšu noziedzīgu nodarījumu. Ja tavā uzņēmumā administratora paroli zina trīs cilvēki, šī prasība attiecas uz viņiem.
Saskaņoti termiņi. Trīs mēnešu termiņš kiberdrošības pārvaldnieka iecelšanai tagad ir sasaistīts ar pašvērtējuma ziņojuma iesniegšanas termiņu. Agrāk tie dzīvoja atsevišķi, un uzņēmumi vienkārši nesaprata, kurš datums ir pirmais.
Kas notiek 1. oktobrī
No 2026. gada 1. oktobra komercsabiedrības, biedrības un nodibinājumi, ko valsts atzinusi par nacionālajai drošībai nozīmīgiem, kļūst par būtiskajiem pakalpojumu sniedzējiem neatkarīgi no izmēra. Tas ir izņēmums no parastā darbinieku un apgrozījuma sliekšņa. Tiem, kas vēl nav reģistrējušies Nacionālajā kiberdrošības centrā, ir dots samērīgs pārejas periods sākotnējā pienākuma izpildei.
Vai tu vispār esi subjekts
Sliekšņi nāk no paša likuma un ir divi.
Būtisks pakalpojumu sniedzējs ir liels komersants: vismaz 250 nodarbinātie, vai apgrozījums virs 50 miljoniem eiro, vai bilances kopsumma virs 43 miljoniem eiro. Nozares: enerģētika, transports, banku joma, finanšu tirgus infrastruktūra, veselība, dzeramais ūdens un notekūdeņi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība, valsts pārvalde un kosmoss.
Svarīgs pakalpojumu sniedzējs ir vidējs komersants: līdz 249 nodarbinātajiem un apgrozījums vismaz 10 miljoni eiro, bet ne vairāk par 50 miljoniem, vai bilances kopsumma vismaz 10 miljoni eiro, bet ne vairāk par 43 miljoniem. Nozares: pasts un kurjeri, atkritumu apsaimniekošana, ķīmiskās vielas, pārtikas ražošana un izplatīšana, ražošana, digitālie pakalpojumu sniedzēji un pētniecība.
Un tagad godīgā daļa, ko pārdevēji parasti nepasaka: ja uzņēmumā ir 12 darbinieki un apgrozījums 800 000 eiro, tu visdrīzāk neesi subjekts. Būt ārpus NIS2 nenozīmē būt pasargātam no izspiedējvīrusa, bet nozīmē, ka valstij neesi parādā ne ierakstu reģistrā, ne pārvaldnieku, ne pašvērtējumu. Divi gadījumi paliek ārpus izmēra loģikas, un tie nav vienādi. IKT kritiskās infrastruktūras īpašnieks ir subjekts neatkarīgi no izmēra, un to uzrauga Satversmes aizsardzības birojs. Domēna vārdu reģistrācijas pakalpojuma sniedzējs turpretī ietilpst 23. pantā, kas ir atsevišķs, vieglāks režīms: jāpaziņo Centram par savu statusu un jāuztur domēnu vārdu reģistrācijas datu bāze pēc Ministru kabineta prasībām, bet kiberdrošības pārvaldnieks, pašvērtējums un ziņošana par incidentiem šajā režīmā neietilpst. Uzmanību: augstākā līmeņa domēna reģistra uzturētājs, piemēram, ".lv" reģistrs, un publiska rekursīva DNS pakalpojuma sniedzējs ir pavisam cita lieta, viņi ir būtiskie pakalpojumu sniedzēji ar pilnu pienākumu komplektu.
Termiņi, kas sākas dienā, kad kļūsti par subjektu
- Viens mēnesis reģistrācijai Nacionālajā kiberdrošības centrā, skaitot no dienas, kad esi kļuvis par subjektu. Likuma 22. pants.
- Trīs mēneši kiberdrošības pārvaldnieka noteikšanai un paziņošanai.
- 24 stundas agrīnajam brīdinājumam par incidentu, 72 stundas pilnam paziņojumam un viens mēnesis gala ziņojumam. Likuma 34. pants.
- Pašvērtējuma ziņojums: IKT kritiskās infrastruktūras īpašniekiem reizi gadā, pārējiem subjektiem reizi trijos gados. Precīzu iesniegšanas termiņu nosaka Ministru kabinets.
Esošajiem subjektiem reģistrācijas termiņš bija 2025. gada 1. aprīlis, bet pārvaldnieks un pirmais pašvērtējums bija jānokārto līdz 2025. gada 1. oktobrim. Ja tas ir nokavēts, pareizā rīcība ir reģistrēties tagad, nevis gaidīt vēstuli.
Kā reģistrēties un kas notiek pēc tam
Reģistrācija notiek ar veidlapu, kuras paraugu apstiprina Ministru kabineta noteikumi par minimālajām kiberdrošības prasībām. Aizpildīto veidlapu paraksta elektroniski un nosūta kā pielikumu uz Aizsardzības ministrijas Nacionālā kiberdrošības centra oficiālo e-adresi. Veidlapā norāda pamatinformāciju par subjektu, kontaktus, statusu (būtisks vai svarīgs), darbības jomas, valstis, kurās darbojies, IP adrešu diapazonus un kontaktpersonu. Jautājumus var sūtīt uz NIS2@mod.gov.lv.
Pēc reģistrācijas seko trīs lietas. Pirmkārt, kiberdrošības pārvaldnieks: trīs mēnešu laikā no subjekta statusa iegūšanas jānosaka atbildīgā persona un par to jāpaziņo uzraudzības iestādei, kas būtiskajiem un svarīgajiem sniedzējiem ir Nacionālais kiberdrošības centrs, bet IKT kritiskās infrastruktūras īpašniekiem Satversmes aizsardzības birojs. Otrkārt, pašvērtējuma ziņojums: IKT kritiskās infrastruktūras īpašniekiem reizi gadā, pārējiem subjektiem reizi trijos gados. Treškārt, ziņošana par incidentiem pēc 34. panta: 24 stundas agrīnajam brīdinājumam, 72 stundas pilnam paziņojumam un mēnesis gala ziņojumam.
Pa vidu ir darbs, bez kura pašvērtējums ir tukšs papīrs: procesu un infrastruktūras kartēšana, IKT resursu inventarizācija, risku novērtējums, drošības politika un incidentu reaģēšanas plāns, kā arī darbinieku apmācība. Domēnu vārdu reģistrācijas pakalpojuma sniedzējam šī daļa nav obligāta, viņam paliek paziņošana un datu bāze.
Ko darīt tuvākajās nedēļās
Pirmkārt, noskaidro savu statusu pēc diviem skaitļiem: darbinieku skaits un apgrozījums, un salīdzini ar nozaru sarakstu. Otrkārt, ja esi subjekts, ieceļ kiberdrošības pārvaldnieku, tā var būt arī ārpakalpojuma persona. Treškārt, sagatavo IKT resursu inventarizāciju, risku novērtējumu un incidentu reaģēšanas plānu, jo bez tiem pašvērtējums ir tukšs papīrs. Ceturtkārt, pārbaudi rezerves kopijas: uzraugi skatās gan uz dokumentiem, gan uz to, vai tehnika tiešām strādā tā, kā solīts.
Ja gribi sākt ar skaidru kopainu, noder IT audits, kas parāda, kur esi attiecībā pret prasībām. Pilns pakalpojuma apraksts ar sliekšņiem un termiņiem ir lapā NIS2 atbilstība, bet, ja meklē, kas visu pārņems savā pārziņā, tas ir IT atbalsts uzņēmumiem. Pamati par pašu direktīvu ir rakstā kas ir NIS2 un vai tā attiecas uz tavu uzņēmumu.