Nacionālās kiberdrošības likums ir veids, kā Latvija ievieš ES NIS2 direktīvu, un 2026. gada jūnijā tas atkal tika grozīts. Ja jums ir mājaslapa vai interneta veikals, droši vien jautājat: vai tas attiecas uz mani un kas man jādara? Šajā rakstā uzzināsiet, kam likums ir saistošs, ko tas prasa no mājaslapas un ko vērts darīt arī tad, ja likums uz jums neattiecas.
Kam ir saistošs Nacionālās kiberdrošības likums?
Likums attiecas uz divām grupām: būtisko un svarīgo pakalpojumu sniedzējiem. Tajās galvenokārt ir vidēji un lieli uzņēmumi likumā uzskaitītās nozarēs, kā arī valsts un pašvaldību iestādes. Daži pakalpojumi, piemēram, elektroniskie sakari, DNS un uzticamības pakalpojumi, ir likumā neatkarīgi no lieluma. Tikai tāpēc, ka uzņēmumam ir mājaslapa vai interneta veikals, likums uz to neattiecas.
Likumā svarīgi ir divi jautājumi: ko uzņēmums dara un cik tas ir liels. Lielumu nosaka Nacionālās kiberdrošības likuma 1. pants:
- Liels ir uzņēmums ar vismaz 250 darbiniekiem vai ar apgrozījumu virs 50 miljoniem eiro, vai ar bilanci virs 43 miljoniem eiro.
- Vidējs ir uzņēmums ar līdz 249 darbiniekiem, kura apgrozījums ir no 10 līdz 50 miljoniem eiro vai bilance no 10 līdz 43 miljoniem eiro.
Tātad uzņēmums, kurā strādā mazāk nekā 250 cilvēku un kura apgrozījums un bilance ir zem 10 miljoniem eiro, parasti likumā neietilpst. Izņēmums ir jomas, kur lielumam nav nozīmes, un uzņēmums, kas ir vienīgais šāda pakalpojuma sniedzējs Latvijā.
| Grupa | Kas tajā ietilpst (piemēri) | Likuma pants |
|---|---|---|
| Būtiskie pakalpojumu sniedzēji | Lieli uzņēmumi enerģētikā, transportā, veselības aprūpē, ūdensapgādē, digitālajā infrastruktūrā un citās likumā minētās nozarēs; elektronisko sakaru komersanti, DNS pakalpojumu sniedzēji un augšējā līmeņa domēnu reģistri, kvalificēti uzticamības pakalpojumu sniedzēji, valsts pārvaldes iestādes | 20. pants |
| Svarīgie pakalpojumu sniedzēji | Vidēji uzņēmumi tajās pašās nozarēs, kā arī vidēji un lieli uzņēmumi pasta pakalpojumos, atkritumu apsaimniekošanā, ķīmijā, pārtikas ražošanā un vairumtirdzniecībā, ražošanā, tiešsaistes tirdzniecības vietās, meklētājprogrammās un sociālo tīklu platformās | 21. pants |
Vai interneta veikals ir likuma subjekts?
Ne tāpēc vien, ka tas pārdod tiešsaistē. Likums min tiešsaistes tirdzniecības vietas, proti, platformas, kurās tirgojas citi pārdevēji, un arī tās tikai tad, ja uzņēmums ir vidējs vai liels. Veikalu, kas pārdod savas preces, vērtē pēc nozares. Ja jūs, piemēram, esat vidēja lieluma pārtikas ražotājs, vairumtirgotājs vai elektrisko iekārtu ražotājs, likums uz jums attiecas, un jūsu e-veikals kļūst par vienu no sistēmām, kas jāaizsargā.
Ja uzņēmums atbilst kritērijiem, tas pats izvērtē savu statusu un mēneša laikā paziņo par sevi Nacionālajam kiberdrošības centram (22. pants). Ja tas netiek izdarīts, centrs var iekļaut uzņēmumu sarakstā pats.
Ko Latvijas kiberdrošības likums uzliek uzņēmumiem?
Likuma subjektam jāpaziņo par sevi Nacionālajam kiberdrošības centram, jāieceļ kiberdrošības pārvaldnieks, jāpārvalda kiberriski un jāievēro minimālās drošības prasības. Atbildība gulstas uz organizācijas vadītāju, ne tikai uz IT nodaļu. Par būtiskiem incidentiem jāziņo noteiktos termiņos, un uzraugs var pieprasīt pašnovērtējumu un auditu.
- Paziņošana. Mēneša laikā no brīža, kad uzņēmums atbilst kritērijiem, tas paziņo par sevi Nacionālajam kiberdrošības centram, kas darbojas Aizsardzības ministrijas pakļautībā. Par izmaiņām jāziņo divu nedēļu laikā.
- Vadītāja atbildība. Par kiberdrošības pārvaldību atbild organizācijas vadītājs.
- Kiberdrošības pārvaldnieks. Trīs mēnešu laikā jāieceļ atbildīgā persona un piecu darba dienu laikā par to jāpaziņo centram. Pārvaldnieks reizi gadā pārbauda IT drošību, pats mācās un instruē darbiniekus.
- Riska pārvaldība. Samērīgi tehniski un organizatoriski pasākumi, kiberrisku un darbības nepārtrauktības plāns un minimālās kiberdrošības prasības.
- Pašnovērtējums un audits. Subjekts iesniedz pašnovērtējuma ziņojumu, un uzraugs var pieprasīt arī auditu.
2026. gada jūnijā stājās spēkā likuma grozījumi. No valsts iestāžu saraksta izslēgtas privātas organizācijas, kas veic deleģētus valsts uzdevumus, atcelts publiskais kiberdrošības auditoru saraksts, un darba devējs var pārbaudīt Sodu reģistrā cilvēkus, kuri saņem privileģētu piekļuvi kritiskām sistēmām.
Par pārkāpumiem būtisko pakalpojumu sniedzējam var piemērot naudas sodu līdz 10 miljoniem eiro, svarīgo pakalpojumu sniedzējam līdz 7 miljoniem eiro. Uzņēmumiem ar apgrozījumu virs 500 miljoniem eiro sods var būt līdz 2 % vai 1,4 % no apgrozījuma (46. pants).
Kiberdrošības likums un MK noteikumi: ko tie prasa no mājaslapas?
Konkrētās prasības ir MK noteikumos Nr. 397 „Minimālās kiberdrošības prasības“, kas ir spēkā kopš 2025. gada 2. jūlija. Tās attiecas uz visām subjekta IT sistēmām, tātad arī uz mājaslapu un interneta veikalu. Lielākā daļa prasību ir laba uzturēšanas prakse; atšķirība ir tā, ka tagad tai jābūt aprakstītai un pārbaudītai.
Noteikumi katrai sistēmai liek piešķirt drošības klasi A, B vai C. No klases atkarīgs, cik stingras ir prasības. Tabulā ir tās, kas visvairāk skar mājaslapu.
| Prasība (MK Nr. 397) | Ko tas nozīmē mājaslapai vai interneta veikalam |
|---|---|
| IT resursu uzskaite (30.–32. punkts) | Mājaslapa, hostings, domēns, spraudņi un integrācijas ir sistēmu sarakstā. Sarakstu atjauno mēneša laikā pēc izmaiņām, un katrai sistēmai ir drošības klase. |
| Ievainojamību novēršana (46. punkts) | Ir kārtība, kā uzzināt par ievainojamībām platformā, spraudņos un serverī un kā tās novērst. Praksē tie ir regulāri atjauninājumi un to pārbaude. |
| Piekļuves kontrole (50.–52. punkts) | Katram lietotājam tikai darbam vajadzīgās tiesības. Ar administratora kontu nestrādā ikdienā. B klases sistēmām administratoriem obligāta daudzfaktoru autentifikācija, A klasei visiem lietotājiem. |
| Žurnālieraksti (57.–66. punkts) | Sistēmu un tīkla žurnālus glabā vismaz 6, 12 vai 18 mēnešus atkarībā no klases un aizsargā pret mainīšanu un dzēšanu. |
| Rezerves kopijas (67.–75. punkts) | No kopijas var atjaunot visu: datus, kodu un konfigurāciju. Atjaunošanu pārbauda A klasei vismaz reizi pusgadā, B klasei reizi gadā. |
| Šifrēšana (81. punkts) | Dati, ko sūta pa publiskiem tīkliem, tiek šifrēti, ja tas ir tehniski iespējams. Mājaslapai tas praktiski nozīmē HTTPS visās lapās un formās. |
| Ārpakalpojumi (86.–89. punkts) | Līgumā ar hostinga vai izstrādes partneri ir pienākums nekavējoties ziņot par incidentiem, atļauja uzraudzīt darbu un datu atdošana vai dzēšana līguma beigās. |
Kā un kad jāziņo par kiberincidentu?
Ja likuma subjektam notiek būtisks incidents, agrīnais brīdinājums jāsniedz 24 stundu laikā, sākotnējais ziņojums 72 stundu laikā, bet galīgais ziņojums mēneša laikā pēc sākotnējā. Bez kavēšanās jāinformē arī pakalpojuma lietotāji, kurus incidents skar. Civilajām organizācijām ziņojumus pieņem CERT.LV.
Ziņošanas termiņi būtiskam incidentam
24 stundas
Agrīnais brīdinājums
Pirmais paziņojums, ka būtisks incidents ir konstatēts.
72 stundas
Sākotnējais ziņojums
Pirmais novērtējums: cik nopietns ir incidents un ko tas ietekmē.
1 mēnesis
Galīgais ziņojums
Incidenta apraksts, cēlonis un veiktie pasākumi. Ja incidents vēl nav atrisināts, iesniedz progresa ziņojumu.
Par incidentu CERT.LV var ziņot ikviens, arī uzņēmums, uz kuru likums neattiecas. E-pasts un diennakts tālrunis ir norādīti CERT.LV lapā „Rīcība kiberincidenta gadījumā“. Pirms atjaunojat mājaslapu no kopijas, saglabājiet pierādījumus: žurnālus, aizdomīgos failus un laiku, kad pamanījāt problēmu. CERT.LV neveic kriminālizmeklēšanu, tāpēc, ja esat cietuši finansiāli, vērsieties arī Valsts policijā.
Ko darīt mazam uzņēmumam, uz kuru likums neattiecas?
Ja jūsu uzņēmums likumā neietilpst, jums nav jāreģistrējas un jāiesniedz ziņojumi. Tomēr minimālās prasības ir labs saraksts, ar ko sākt, jo tās samazina tos pašus riskus jebkurai mājaslapai. Un, ja jūs sniedzat IT pakalpojumus uzņēmumam, kas ir likuma subjekts, tā līgumā ar jums var parādīties tās pašas prasības.
Noteikumi liek subjektam līgumā ar ārpakalpojuma sniedzēju paredzēt, ka tas nekavējoties ziņo par incidentiem, ļauj uzraudzīt savu darbu un līguma beigās atdod vai dzēš datus. Ja izstrādājat vai uzturat sistēmas šādam klientam, rēķinieties ar to jau piedāvājumā.
Pamata saraksts jūsu mājaslapai
- Platforma, spraudņi, tēma un servera programmatūra tiek regulāri atjaunināta, un pēc atjauninājuma kāds pārbauda, vai lapa strādā.
- Rezerves kopijas glabājas atsevišķi no servera, un atjaunošana ir izmēģināta vismaz reizi gadā.
- Administratoriem ir daudzfaktoru autentifikācija, un ikdienas darbam tiek izmantots parasts konts.
- Bijušo darbinieku un partneru konti ir dzēsti vai bloķēti.
- Visa mājaslapa un visas formas strādā tikai caur HTTPS.
- Jūs zināt, kur glabājas domēna, hostinga un mājaslapas piekļuves dati un kurš tos pārvalda.
- Līgumā ar uzturētāju ir rakstīts, kā uzturētājs ziņo par incidentiem un kā jūs saņemat datus atpakaļ, ja sadarbība beidzas.
- Jums ir viena lapa ar rīcību incidenta gadījumā: kam zvanīt, kā izslēgt formas vai maksājumus un kā ziņot CERT.LV.
Daļu no šī varat izdarīt paši. Atjauninājumi, kopiju pārbaude un uzraudzība tomēr prasa regulāru laiku, un tieši to sedz mājaslapas uzturēšana: kāds atbild par to, lai programmatūra ir atjaunināta, kopijas strādā un problēmas tiek pamanītas laikus.
Biežāk uzdotie jautājumi
Kas ir NIS2 direktīva?
NIS2 ir ES direktīva 2022/2555 par kiberdrošību. Tā nosaka, kurām nozarēm un uzņēmumiem jāpārvalda kiberriski un jāziņo par incidentiem, bet katra dalībvalsts to ievieš ar savu likumu. Latvijā tas ir Nacionālās kiberdrošības likums, kas ir spēkā kopš 2024. gada 1. septembra, un konkrētās prasības ir MK noteikumos Nr. 397.
Vai Nacionālās kiberdrošības likums attiecas uz mazu uzņēmumu?
Parasti nē. Uzņēmums ar mazāk nekā 250 darbiniekiem, kura apgrozījums un bilance nesasniedz 10 miljonus eiro, likuma izpratnē nav ne vidējs, ne liels. Izņēmumi ir jomas, kur lielumam nav nozīmes, piemēram, elektroniskie sakari, DNS un uzticamības pakalpojumi, kā arī uzņēmums, kas ir vienīgais šāda pakalpojuma sniedzējs Latvijā.
Kur jāreģistrējas kiberdrošības likuma subjektam?
Nacionālajā kiberdrošības centrā, kas darbojas Aizsardzības ministrijas pakļautībā. Uzņēmums pats izvērtē, vai atbilst kritērijiem, un mēneša laikā par to paziņo centram. Par izmaiņām jāziņo divu nedēļu laikā. Pirmais termiņš esošajiem subjektiem bija 2025. gada 1. aprīlis. Ja uzņēmums nepaziņo, centrs to var iekļaut sarakstā pats.
Kādi ir sodi par kiberdrošības likuma neievērošanu?
Būtisko pakalpojumu sniedzējam var piemērot naudas sodu līdz 10 miljoniem eiro, svarīgo pakalpojumu sniedzējam līdz 7 miljoniem eiro. Ja uzņēmuma apgrozījums pārsniedz 500 miljonus eiro, sods var būt līdz 2 % vai attiecīgi 1,4 % no apgrozījuma. Sodus nosaka likuma 46. pants.
Vai likums prasa konkrētu hostingu vai mājaslapas platformu?
Nē. Likums un MK noteikumi Nr. 397 nenosaka platformu. Tie prasa, lai sistēmas būtu uzskaitītas, atjauninātas, dublētas un aizsargātas ar piekļuves kontroli, un lai līgumā ar piegādātāju būtu ziņošana par incidentiem. Noteikumi gan aizliedz slēgt līgumus ar IT pakalpojumu sniedzējiem, kas reģistrēti Krievijā vai Baltkrievijā vai kuriem ir šo valstu īpašnieki.
Kam ziņot, ja mājaslapa ir uzlauzta?
Par incidentu var ziņot CERT.LV, arī tad, ja jūsu uzņēmums nav likuma subjekts. Aprakstiet, kas notika, kuras sistēmas ir skartas un kad to pamanījāt, un pirms atjaunošanas saglabājiet žurnālus un aizdomīgos failus. Ja esat cietuši finansiāli, vērsieties arī Valsts policijā. Likuma subjektiem papildus jāievēro 24 un 72 stundu termiņi.
