DORA Latvijā: ko finanšu vienības prasa saviem IKT pakalpojumu sniedzējiem

01Kur DORA ir 2026. gada rudenī

Digitālās darbības noturības akts (atver ārēju tīmekļvietni), Regula (ES) 2022/2554, ir piemērojams kopš 2025. gada 17. janvāra. Kā regula tas ir tieši piemērojams katrā dalībvalstī; valsts tiesību akti galvenokārt nosaka kompetentās iestādes un sankcijas. Detaļas ir tehniskajos standartos, ko Komisija pieņēmusi par IKT riska pārvaldības satvaru, incidentu klasificēšanu un ziņošanu, informācijas reģistru, līgumu politiku, apakšuzņēmēju piesaisti un draudu vadītu ielaušanās testēšanu.

Latvijā valsts regulējums ir Finanšu tirgus digitālās darbības noturības un mākslīgā intelekta izmantošanas likums, kas ir spēkā kopš 2025. gada 1. oktobra. Latvijas Banka uzrauga finanšu tirgu un ir kompetentā iestāde DORA prasību uzraudzībā. Likums ļauj Latvijas Bankai noteikt noturības prasības arī tiem finanšu tirgus dalībniekiem, uz kuriem DORA neattiecas, un Latvijas Bankas noteikumi par to ir spēkā kopš 2026. gada 15. janvāra.

Finanšu vienībām DORA ir nozares akts, kas aizstāj NIS2 noteikumus par IKT riska pārvaldību, ziņošanu par incidentiem un uzraudzību. 2025. gada 18. novembrī trīs Eiropas uzraudzības iestādes (EBA, EIOPA un ESMA) publicēja (atver ārēju tīmekļvietni) pirmo to kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, sarakstu, kuras tās pārrauga tieši.

02Finanšu vienības un to IKT pakalpojumu sniedzēji

DORA aptver divdesmit finanšu vienību veidus: no kredītiestādēm, maksājumu un elektroniskās naudas iestādēm un ieguldījumu brokeru sabiedrībām līdz kriptoaktīvu pakalpojumu sniedzējiem, tirdzniecības vietām, fondu pārvaldītājiem, apdrošinātājiem, apdrošināšanas starpniekiem, arodpensiju institūcijām, kredītreitingu aģentūrām un kolektīvās finansēšanas platformām. Latvijā tie ir finanšu tirgus dalībnieki, ko uzrauga Latvijas Banka. Samērīgums ir iebūvēts: 4. pants prasības pielāgo lielumam, riska profilam un sarežģītībai, un 16. pants dažām mazākām vienībām nosaka vienkāršotu satvaru.

Trešā persona, kas sniedz IKT pakalpojumus, ir jebkurš uzņēmums, kas sniedz IKT pakalpojumus, un DORA tos definē plaši: digitālie un datu pakalpojumi, ko ar IKT sistēmām pastāvīgi sniedz iekšējiem vai ārējiem lietotājiem. Mitināšana, pārvaldītie pakalpojumi, programmatūra kā pakalpojums, lietojumprogrammu uzturēšana un atbalsts un datu pakalpojumi parasti atbilst šai definīcijai. Piegādātājus DORA ietvaros neuzrauga, ja vien tie nav atzīti par kritiskiem, taču to klienti pienākumus ienes katrā līgumā.

03IKT risku nes vadības struktūra

5. pants galīgo atbildību par IKT risku uzliek vadības struktūrai. Tā nosaka, apstiprina un pārrauga IKT riska pārvaldības satvaru, nosaka digitālās darbības noturības stratēģiju un riska toleranci, apstiprina darbības nepārtrauktības politiku un reaģēšanas un atjaunošanas plānus un apstiprina un pārskata politiku par trešo personu IKT pakalpojumu izmantošanu. Tās locekļiem jāuztur savas zināšanas aktuālas, tostarp ar regulārām apmācībām.

04Būtiski incidenti: 4 stundas, 72 stundas, viens mēnesis

Finanšu vienības ar IKT saistītus incidentus klasificē pēc 18. pantā noteiktajiem kritērijiem, kas detalizēti Deleģētajā regulā (ES) 2024/1772 (atver ārēju tīmekļvietni): skartie klienti un darījumi, ilgums un dīkstāve, ģeogrāfiskā izplatība, datu zudumi, skarto pakalpojumu kritiskums un ekonomiskā ietekme. Par būtisku incidentu kompetentajai iestādei, Latvijā Latvijas Bankai, ziņo trīs posmos ar termiņiem, ko nosaka Deleģētā regula (ES) 2025/301 (atver ārēju tīmekļvietni):

Klienti, kuru finanšu intereses ir skartas, jāinformē bez liekas kavēšanās. Finanšu vienība ziņošanu var uzticēt trešai personai, bet tā joprojām pilnībā atbild par to (19. panta 5. punkts).

Piegādātājiem tas ir konkrēti. Katrā IKT līgumā jābūt sniedzēja pienākumam palīdzēt, ja noticis ar tā pakalpojumu saistīts incidents, bez papildu maksas vai par iepriekš saskaņotu maksu (30. panta 2. punkta f) apakšpunkts). Klienta četru stundu logs darbojas tikai tad, ja piegādātāja uzraudzība, žurnāli un kontakti ir sakārtoti pirms incidenta.

05Testēšana līdz pat draudu vadītai ielaušanās testēšanai

24. pants prasa uz risku balstītu testēšanas programmu, ko veic neatkarīgi iekšējie vai ārējie testētāji, ar piemērotiem testiem vismaz reizi gadā visām IKT sistēmām un lietojumprogrammām, kas atbalsta kritiski svarīgas vai svarīgas funkcijas. Vienībām, kuras noteikusi to kompetentā iestāde, vismaz reizi trijos gados jāveic arī draudu vadīta ielaušanās testēšana (TLPT) darbojošās ražošanas sistēmās saskaņā ar Deleģēto regulu (ES) 2025/1190 (atver ārēju tīmekļvietni), kas seko TIBER-EU ietvaram.

Ja piegādātāja pakalpojumi ir TLPT tvērumā, finanšu vienībai jānodrošina piegādātāja dalība (26. panta 3. punkts), un līgumos par kritiski svarīgām vai svarīgām funkcijām jābūt šim pienākumam (30. panta 3. punkta d) apakšpunkts). Ja piegādātāja dalība varētu kaitēt tā citiem klientiem, DORA pieļauj apvienotu testēšanu, kurā piegādātājs vairāku finanšu vienību vārdā tieši noslēdz līgumu ar ārēju testētāju (26. panta 4. punkts).

06IKT trešo personu risks: stratēģija, reģistrs un izeja

28. pants IKT trešo personu risku padara par IKT riska pārvaldības satvara daļu, un finanšu vienība paliek pilnībā atbildīga par atbilstību neatkarīgi no tā, ko tā nodod ārpakalpojumā. Galvenie pienākumi:

• Stratēģija IKT trešo personu riskam, tostarp politika par IKT pakalpojumiem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, ko vadības struktūra regulāri pārskata.
• Informācijas reģistrs par visām līgumiskajām vienošanām par IKT pakalpojumiem vienības un grupas līmenī, kurā nodalītas vienošanās, kas atbalsta kritiski svarīgas vai svarīgas funkcijas. Veidnes nosaka Īstenošanas regula (ES) 2024/2956 (atver ārēju tīmekļvietni). Vienības par to ziņo savai kompetentajai iestādei vismaz reizi gadā un pēc pieprasījuma iesniedz pilnu reģistru.
• Pienācīga pārbaude pirms parakstīšanas: vai pakalpojums atbalsta kritiski svarīgu vai svarīgu funkciju, riski, tostarp koncentrācijas risks, piegādātāja piemērotība un iespējamie interešu konflikti. Piegādātājiem jāpiemēro atbilstoši informācijas drošības standarti, bet kritiski svarīgām vai svarīgām funkcijām jaunākie un augstākās kvalitātes standarti.
• Tiesības izbeigt līgumu, cita starpā par būtisku piegādātāja pārkāpumu, pierādītām nepilnībām tā IKT riska pārvaldībā vai apstākļiem, kas liedz efektīvu uzraudzību.
• Atkāpšanās stratēģijas IKT pakalpojumiem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, dokumentētas un testētas, lai vienība varētu aiziet, netraucējot savu darbību, neierobežojot atbilstību un nekaitējot pakalpojumiem klientiem.

Kam jābūt līgumā

30. pants nosaka minimālos līguma noteikumus. Katram IKT līgumam jābūt rakstiskam, vienā dokumentā, kas ietver pakalpojumu līmeņus, un tam jāaptver vismaz:

• pilnīgs funkciju un pakalpojumu apraksts un tas, vai un ar kādiem nosacījumiem atļauta apakšuzņēmēju piesaiste;
• vietas, kur pakalpojumus sniedz un datus apstrādā un glabā, ar iepriekšēju paziņojumu par jebkurām izmaiņām;
• datu, tostarp personas datu, pieejamība, autentiskums, integritāte un konfidencialitāte;
• piekļuve datiem, to atjaunošana un atdošana viegli pieejamā formātā maksātnespējas, darbības izbeigšanas vai līguma izbeigšanas gadījumā;
• pakalpojumu līmeņu apraksti;
• palīdzība ar pakalpojumu saistītu IKT incidentu gadījumā bez papildu maksas vai par iepriekš saskaņotu maksu;
• pilnīga sadarbība ar kompetentajām un noregulējuma iestādēm;
• tiesības izbeigt līgumu un minimālie paziņojuma termiņi;
• dalība vienības IKT drošības izpratnes programmās un noturības apmācībās.

Pakalpojumiem, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, 30. panta 3. punkts pievieno precīzus kvantitatīvus un kvalitatīvus darbības mērķus, paziņošanas un ziņošanas pienākumus, darbības ārkārtas plānus, ko piegādātājs īsteno un testē, dalību TLPT, neierobežotas piekļuves, pārbaudes un audita tiesības vienībai un tās uzraudzītājam un atkāpšanās stratēģiju ar obligātu pārejas periodu. Deleģētā regula (ES) 2025/532 (atver ārēju tīmekļvietni) papildina, kas vienībai jāizvērtē, ja šādus pakalpojumus nodod apakšuzņēmējiem.

07Kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus

Saskaņā ar 31. pantu Eiropas uzraudzības iestādes nosaka finanšu sektoram kritiskus IKT pakalpojumu sniedzējus, ņemot vērā to sistēmisko ietekmi, no tiem atkarīgo finanšu vienību nozīmīgumu, to lomu kritiski svarīgās vai svarīgās funkcijās un to, cik viegli tos var aizstāt. Katram kritiskajam sniedzējam ir galvenais pārraugs, viena no trim iestādēm, kas var pieprasīt informāciju, veikt izmeklēšanas un pārbaudes un izdot ieteikumus.

Pirmajā sarakstā (atver ārēju tīmekļvietni), kas publicēts 2025. gada 18. novembrī, tika noteikti 19 sniedzēji, no mākoņpakalpojumu un datu centru operatoriem līdz telekomunikāciju, IT pakalpojumu, tirgus datu un uzņēmumu programmatūras uzņēmumiem. Noteikšana nenoņem finanšu vienībai nevienu pienākumu: tai joprojām jāuztur reģistrs, līguma noteikumi un atkāpšanās stratēģija katram no šiem sniedzējiem.

08Kam IKT pakalpojumu sniedzējam jābūt gatavam

Lielākā daļa finanšu vienību piegādātāju nekad netiks atzīti par kritiskiem, bet visi sastop DORA caur līgumiem, pienācīgu pārbaudi un auditiem. Piegādātājs, kuram ir sakārtots tālāk minētais, saīsina iepirkumu un atvieglo klienta dialogu ar uzraudzītāju:

• Reģistra dati. Tas, kas klientam vajadzīgs informācijas reģistram: juridiskā persona un identifikatori, sniegtie pakalpojumi un funkcijas, ko tie atbalsta, atrašanās vietas un apakšuzņēmēji ķēdē.
• Līguma noteikumi atbilstoši 30. pantam. Ideālā gadījumā standarta DORA pielikums, kas aptver abus sarakstus, nevis katra punkta apspriešana no nulles.
• Incidentu pierādījumi. Uzraudzība, žurnāli ar uzticamiem laika zīmogiem un paziņošanas procedūra, kas ļauj klientam klasificēt incidentu un ziņot par to dažu stundu laikā.
• Testēta nepārtrauktība. Darbības ārkārtas plāni un atjaunošanas testi ar datumiem un rezultātiem.
• Drošība, ko var parādīt. Informācijas drošības standarti, piekļuves kontrole, drošs izstrādes dzīves cikls un ievainojamību apstrāde, ja iespējams, ar neatkarīgiem pierādījumiem.
• Gatavība auditiem un testiem. Praktisks veids, kā uzņemt auditus un pārbaudes un piedalīties TLPT, tostarp apvienotā testēšanā, ja tā ir piemērota.
• Izejas plāns. Datu atdošana lietojamos formātos, dokumentācija un atbalsts pārejai saskaņotu laiku.

Tā mēs strādājam kā IKT piegādātājs finanšu vienībām: saskaņojam DORA prasītos līguma noteikumus, paziņojam par incidentiem saskaņotajā kanālā, dokumentējam izejas plānus, piedalāmies noturības testēšanā un sniedzam informāciju, kas vajadzīga Jūsu reģistram. Mūsu lapā par uzticamību un atbilstību aprakstīts, kā mēs strādājam, tostarp mūsu informācijas drošības pārvaldības sistēma, kas sertificēta atbilstoši ISO/IEC 27001.

09Praktisks plāns abām pusēm

1. 01Pabeidziet reģistru. Sasaistiet katru IKT līgumu ar funkcijām, ko tas atbalsta, un atzīmējiet kritiski svarīgās vai svarīgās.
2. 02Novērsiet līgumu nepilnības. Salīdziniet katru līgumu ar 30. pantu un vienojieties par pielikumu, ja trūkst noteikumu.
3. 03Saskaņojiet incidentu apstrādi. Ar katru kritisko piegādātāju vienojieties par klasificēšanas ievaddatiem, kontaktiem un paziņošanas laikiem un pārbaudiet tos.
4. 04Plānojiet testēšanu kopā ar piegādātājiem. Iekļaujiet tos testēšanas programmā un, ja attiecas, TLPT tvēruma noteikšanā.
5. 05Uzrakstiet un testējiet atkāpšanās stratēģijas. Katrai kritiski svarīgai vai svarīgai funkcijai: alternatīvas, datu atdošana un pārejas periods.
6. 06Sekojiet koncentrācijai. Vairākas kritiskas funkcijas pie viena sniedzēja ir risks, kas jādokumentē un jāpārvalda (29. pants).

10Jūsu kompetentā iestāde

DORA teksts visur ir vienāds, bet lielākajai daļai finanšu vienību uzraudzība ir nacionāla: atkarībā no vienības veida tā ir centrālā banka, prudenciālais uzraudzītājs vai tirgus iestāde, bet nozīmīgām bankām Eiropas Centrālā banka. Latvijā finanšu tirgu uzrauga Latvijas Banka, un tā ir kompetentā iestāde DORA prasību uzraudzībā saskaņā ar Finanšu tirgus digitālās darbības noturības un mākslīgā intelekta izmantošanas likumu (atver ārēju tīmekļvietni). Informācijas reģistra un ziņojumu par incidentiem formātu un kanālu, kā arī par TLPT atbildīgo iestādi nosaka valsts līmenī. Pārbaudiet Latvijas Bankas skaidrojumus.

11Kam sekot tuvākajos mēnešos

• Latvijas Bankas uzraudzības prioritātes un konstatējumi par informācijas reģistru un ziņošanu par incidentiem.
• Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzība, ko veic galvenie pārraugi, un ieteikumi, kas skar Jūsu izmantotos pakalpojumus.
• Komisijas Digitālā omnibusa priekšlikums (atver ārēju tīmekļvietni), COM(2025) 837, ar ko ziņojumi par būtiskiem DORA incidentiem nonāktu caur vienotu piekļuves punktu, ko uztur ENISA. 2026. gada oktobrī tas joprojām bija izskatīšanā Eiropas Parlamentā; kamēr tas nav pieņemts un nav piemērojams, paliek spēkā pašreizējie kanāli un termiņi.

Organizācijas ārpus finanšu sektora sastop līdzīgus piegādes ķēdes pienākumus saskaņā ar NIS2; skatiet mūsu rakstu par Nacionālās kiberdrošības likumu un programmatūras piegādātājiem. Eiropas uzraudzības iestādes tehnisko standartu un pārraudzības satvara pārskatu uztur savās DORA lapās (atver ārēju tīmekļvietni) (angļu valodā).