Nacionālās kiber­drošības likums un program­matūras piegādātāji: kas jādara abām pusēm

01Kur NIS2 ir 2026. gada rudenī

NIS2 direktīva (atver ārēju tīmekļvietni), Direktīva (ES) 2022/2555, tika publicēta Eiropas Savienības Oficiālajā Vēstnesī 2022. gada 27. decembrī un stājās spēkā 2023. gada 16. janvārī. Dalībvalstīm valsts pasākumi bija jāpieņem un jāpublicē līdz 2024. gada 17. oktobrim un jāpiemēro no 2024. gada 18. oktobra, kad tika atcelta pirmā NIS direktīva.

Tā kā NIS2 ir direktīva, organizācijai saistošs ir valsts likums, ar ko tā pārņemta. Latvijā tas ir Nacionālās kiberdrošības likums (atver ārēju tīmekļvietni), ko Saeima pieņēma 2024. gada 20. jūnijā un kas stājās spēkā 2024. gada 1. septembrī; tajā pašā dienā spēku zaudēja Informācijas tehnoloģiju drošības likums. Nacionālais kiberdrošības centrs (NKDC) Aizsardzības ministrijā ir kompetentā iestāde un vienotais kontaktpunkts. Tas uzrauga būtiskās un svarīgās vienības, izņemot IKT kritisko infrastruktūru, ko uzrauga Satversmes aizsardzības birojs. Uz incidentiem reaģē CERT.LV (atver ārēju tīmekļvietni), Latvijas Universitātes Matemātikas un informātikas institūta struktūrvienība.

Visā ES pārņemšana notika nevienmērīgi: dažas dalībvalstis likumu piemēroja laikā, citas tikai 2025. vai 2026. gadā, un Eiropas Komisija ir sākusi pārkāpuma procedūras pret dalībvalstīm, kas termiņu nokavēja. Tāpēc reģistrācijas pienākumi, ziņošanas portāli un uzraugi katrā valstī atšķiras. Ja Jūsu grupai ir uzņēmumi vairākās valstīs, pārbaudiet katras valsts likumu.

02Būtiskās un svarīgās vienības

NIS2 attiecas uz publiskām un privātām vienībām I pielikuma nozarēs (sevišķi kritiskās nozares: enerģētika, transports, banku darbība, finanšu tirgus infrastruktūras, veselība, dzeramais ūdens, notekūdeņi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība, valsts pārvalde un kosmoss) un II pielikuma nozarēs (citas kritiskās nozares: pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmiskās vielas, pārtika, ražošana, digitālo pakalpojumu sniedzēji un pētniecība). Parasti tā aptver vidējas un lielas organizācijas. Dažas ietilpst tvērumā neatkarīgi no lieluma, piemēram, uzticamības pakalpojumu sniedzēji, DNS pakalpojumu sniedzēji un centrālās valdības valsts pārvaldes vienības.

3. pants šīs organizācijas iedala divās kategorijās:

• Būtiskās vienības: galvenokārt lielas organizācijas I pielikuma nozarēs, kā arī vienības, kas ir būtiskas neatkarīgi no lieluma, piemēram, kvalificēti uzticamības pakalpojumu sniedzēji, augstākā līmeņa domēnu reģistri, DNS pakalpojumu sniedzēji un centrālās valdības valsts pārvaldes vienības. Tās uzrauga proaktīvi, tostarp ar auditiem un pārbaudēm uz vietas.
• Svarīgās vienības: pārējās organizācijas I un II pielikuma tvērumā. Uzraudzība ir ex post: iestāde rīkojas, ja ir norādes, ka vienība prasības neievēro.

Abām kategorijām ir vienādi pamatpienākumi: riska pārvaldības pasākumi (21. pants), ziņošana par incidentiem (23. pants) un vadības atbildība (20. pants). Atšķirība ir uzraudzībā un sodos. Par 21. vai 23. panta pārkāpumiem valsts likumam jāparedz maksimālie naudas sodi vismaz 10 miljonu euro vai 2 % apmērā no pasaules gada apgrozījuma būtiskajām vienībām un vismaz 7 miljonu euro vai 1,4 % apmērā svarīgajām vienībām, atkarībā no tā, kura summa ir lielāka. Dalībvalstis lemj, vai un cik lielā mērā naudas sodi attiecas uz valsts pārvaldes vienībām.

Vai Jūsu programmatūras piegādātājs pats ir tvērumā?

Programmatūras izstrāde pati par sevi nav NIS2 nozare. Piegādātājs tomēr var būt tvērumā tieši. I pielikums aptver pārvaldītu pakalpojumu sniedzējus, un NIS2 tos definē plaši: vienības, kas klientiem uzstāda, pārvalda, darbina vai uztur IKT produktus, tīklus, infrastruktūru vai lietojumprogrammas, uz vietas vai attālināti. Vidējs vai lielāks piegādātājs, kas klientiem darbina vai uztur lietojumprogrammas, tāpēc var būt NIS2 tvērumā pats, tāpat kā mākoņdatošanas un datu centru pakalpojumu sniedzēji. Šiem sniedzējiem tehniskās prasības sīki izklāsta Īstenošanas regula (ES) 2024/2690 (atver ārēju tīmekļvietni).

Lielākā daļa programmatūras piegādātāju tomēr NIS2 sastop caur klientiem, kuri savu piegādes ķēdes pienākumu pārvērš līguma punktos, anketās un auditos. Programmatūras produktus aptver arī Kibernoturības akts (atver ārēju tīmekļvietni), Regula (ES) 2024/2847: tā ziņošanas pienākumi par aktīvi izmantotām ievainojamībām un nopietniem incidentiem piemērojami no 2026. gada 11. septembra, bet pārējie pienākumi no 2027. gada 11. decembra.

03Desmit minimālie pasākumi 21. pantā

21. pants prasa piemērotus un samērīgus tehniskos, operacionālos un organizatoriskos pasākumus, kas balstīti uz visu apdraudējumu pieeju. Tiem jāatspoguļo jaunākie sasniegumi un attiecīgie Eiropas un starptautiskie standarti un jābūt samērīgiem ar vienības riska pakāpi, lielumu un incidentu iespējamo smagumu. Tie aptver vismaz:

1. 01riska analīzes un informācijas sistēmu drošības politiku;
2. 02incidentu apstrādi;
3. 03darbības nepārtrauktību, piemēram, rezerves kopiju pārvaldību un darbības atjaunošanu pēc katastrofas, un krīžu pārvaldību;
4. 04piegādes ķēdes drošību, tostarp drošības aspektus attiecībās ar tiešajiem piegādātājiem un pakalpojumu sniedzējiem;
5. 05drošību tīklu un informācijas sistēmu iegādē, izstrādē un uzturēšanā, tostarp ievainojamību apstrādi un atklāšanu;
6. 06politiku un procedūras pasākumu efektivitātes novērtēšanai;
7. 07kiberhigiēnas pamatpraksi un kiberdrošības apmācību;
8. 08politiku un procedūras attiecībā uz kriptogrāfiju un, ja vajadzīgs, šifrēšanu;
9. 09personāla drošību, piekļuves kontroles politiku un aktīvu pārvaldību;
10. 10daudzfaktoru vai nepārtrauktu autentifikāciju un drošus balss, video un teksta sakarus un ārkārtas sakarus, ja vajadzīgs.

4. un 5. punkts ir vieta, kur ienāk piegādātāji. 21. panta 3. punkts prasa vienībām ņemt vērā katra tiešā piegādātāja specifiskās ievainojamības, tā produktu un kiberdrošības prakses vispārējo kvalitāti un drošas izstrādes procedūras. Jūsu klientiem jāskatās, kā Jūs būvējat programmatūru, nevis tikai uz to, ko piegādājat.

04Vadība apstiprina, pārrauga un atbild

Saskaņā ar 20. pantu būtisko un svarīgo vienību vadības struktūrām jāapstiprina kiberdrošības riska pārvaldības pasākumi un jāpārrauga to īstenošana, un tās var saukt pie atbildības par pārkāpumiem. To locekļiem jāapmeklē apmācības, un vienības tiek mudinātas regulāri apmācīt arī darbiniekus. Publiskajām iestādēm turpina piemērot valsts noteikumus par publisko iestāžu un amatpersonu atbildību.

Tas maina sarunu ar piegādātājiem. Valde, kurai jāapstiprina pasākumi, vēlas pierādījumus, kuriem var izsekot: kuri piegādātāji atbalsta kurus pakalpojumus, kuri riski paliek un kas patiešām ir testēts.

05Ziņošana par incidentiem: 24 stundas, 72 stundas, viens mēnesis

23. pants prasa vienībām ziņot par būtiskiem incidentiem savam CSIRT vai kompetentajai iestādei. Incidents ir būtisks, ja tas ir radījis vai var radīt vienībai smagus darbības traucējumus vai finansiālus zaudējumus vai citiem ievērojamu materiālu vai nemateriālu kaitējumu. Latvijā CSIRT ir CERT.LV, bet kompetentā iestāde ir NKDC; kam un kādā formā ziņot, nosaka Nacionālās kiberdrošības likums. Ziņošana notiek posmos:

Ja vajadzīgs, vienībām bez liekas kavēšanās jāinformē arī savu pakalpojumu saņēmēji par būtiskiem incidentiem, kas, visticamāk, ietekmēs šos pakalpojumus. Valstu likumi pievieno savas veidlapas un portālus.

Laiks sāk skaitīties, kad vienībai kļūst zināms par incidentu. Ja incidents sākas piegādātāja sistēmā, klients 24 stundu termiņu var ievērot tikai tad, ja piegādātājs to atklāj, atpazīst un nodod tālāk dažu stundu laikā. Tāpēc atklāšana, žurnālēšana un saskaņots paziņošanas kanāls ir līguma noteikumi, nevis tikai inženierijas detaļas.

06Ko NIS2 klients prasīs savam programmatūras piegādātājam

Praksē 21. pants pārvēršas tehniskos pasākumos un pierādījumos, kas piegādātājam jāspēj parādīt, nesākot jaunu projektu. Visbiežāk redzam šos:

• Drošs izstrādes dzīves cikls. Apdraudējumu modelēšana būtiskām izmaiņām, koda pārskatīšana, automātiski drošības testi un atkarību skenēšana konveijerā, parakstīti būvējumi un programmatūras materiālu saraksts (SBOM) katram laidienam.
• Ievainojamību apstrāde un atklāšana. Publiski pieejams veids, kā ziņot par ievainojamībām, pēc smaguma saskaņoti reakcijas laiki un paziņojums klientam, ja ievainojamība skar tā vidi.
• Piekļuves kontrole piegādātāja darbiniekiem. Personalizēti konti, daudzfaktoru autentifikācija, mazākās privilēģijas, laikā ierobežota paaugstināta piekļuve un žurnāls par katru administratīvo darbību klienta vidē.
• Žurnālēšana un incidentu pierādījumi. Drošībai nozīmīgi notikumi, kas reģistrēti ar uzticamiem laika zīmogiem, glabāti saskaņotu laiku un eksportējami, lai klients varētu atbildēt uz agrīnā brīdinājuma un galīgā ziņojuma jautājumiem.
• Sadarbība incidentu gadījumā. Noteikta kontaktpersona un kanāls, paziņošanas laiks krietni klienta 24 stundu robežās un atbalsts pamatcēloņa analīzē.
• Darbības nepārtrauktība un atjaunošana. Rezerves kopijas, kuru derīgums pierādīts ar atjaunošanu, ar klientu saskaņoti atjaunošanas mērķi un izmēģināta procedūra.
• Piegādes ķēdes dokumentācija. Aktuāls apakšuzņēmēju un mitināšanas vietu saraksts, kā arī galvenie trešo pušu komponenti un pakalpojumi, no kuriem risinājums ir atkarīgs.
• Izejas plāns. Datu eksports lietojamos formātos, dokumentācija un atbalsts nodošanai, lai klients varētu mainīt piegādātāju, nezaudējot kontroli pār pakalpojumu.

Nobriedušām inženieru komandām nekas no tā nav jauns. NIS2 maina to, ka klientam tas jāspēj pierādīt. Mūsu lapā par uzticamību un atbilstību aprakstīts, kā mēs strādājam kā piegādātājs, tostarp mūsu informācijas drošības pārvaldības sistēma, kas sertificēta atbilstoši ISO/IEC 27001.

07Kontrolsaraksts līgumiem un iepirkumiem

1. 01Sasaistiet piegādātājus ar pakalpojumiem. Fiksējiet, kuri piegādātāji atbalsta kurus tvērumā esošos pakalpojumus un kuriem ir piekļuve Jūsu sistēmām vai datiem.
2. 02Klasificējiet pēc kritiskuma. Smagākās prasības piemērojiet piegādātājiem, kas darbina vai var mainīt kritiskas sistēmas.
3. 03Ierakstiet pasākumus līgumā. Drošības prasības, paziņošanas laiks un kanāls incidentu gadījumā, ievainojamību apstrāde, žurnālēšana un glabāšana, audita vai pierādījumu tiesības, apakšuzņēmēju noteikumi un atrašanās vietas. Publiskajā iepirkumā tās iekļaujiet tehniskajā specifikācijā un līguma projektā.
4. 04Prasiet pierādījumus, nevis deklarācijas. Sertifikāti ar to tvērumu, testu rezultāti, SBOM, pēdējā atjaunošanas testa datums.
5. 05Vienojieties par izeju jau sākumā. Datu atdošana, atbalsts pārejai un periods, kurā piegādātājs turpina uzturēt pakalpojumu.
6. 06Vingriniet kopā. Rīkojiet incidentu mācības ar saviem kritiskajiem piegādātājiem, ieskaitot 24 stundu agrīno brīdinājumu.
7. 07Pārskatiet regulāri. Piegādātāji, pakalpojumi un apdraudējumi mainās; piegādātāju reģistrs, ko atjaunina reizi gadā, lielāko gada daļu ir novecojis.

08Detaļas nosaka valsts likums

Reģistrācija, ziņošanas portāli, veidlapas, kompetentā iestāde un papildu prasības izriet no valsts likuma. Dažas dalībvalstis 21. panta pasākumus sasaista ar valsts ietvaru vai sertifikāciju. Parasti vienība ir pakļauta tās dalībvalsts jurisdikcijai, kurā tā veic uzņēmējdarbību. 26. pants paredz izņēmumus: publisko elektronisko sakaru nodrošinātāji ir pakļauti katrai valstij, kurā tie sniedz pakalpojumus, mākoņdatošanas, datu centru un pārvaldītu pakalpojumu sniedzēji un vairāki citi digitālo pakalpojumu sniedzēji ir pakļauti galvenās uzņēmējdarbības vietas valstij, bet valsts pārvaldes vienības ir pakļautas valstij, kas tās izveidojusi.

Latvijā šīs detaļas nosaka Nacionālās kiberdrošības likums, un būtiskās un svarīgās vienības uzrauga NKDC (IKT kritisko infrastruktūru uzrauga Satversmes aizsardzības birojs). Pirms līguma sarunām pārbaudiet aktuālo likuma redakciju vietnē likumi.lv.

09Kam sekot tuvākajos mēnešos

• Nacionālās kiberdrošības likuma turpmākie grozījumi un NKDC skaidrojumi būtiskajām un svarīgajām vienībām.
• Komisijas Digitālā omnibusa priekšlikums (atver ārēju tīmekļvietni), 2025. gada 19. novembris, COM(2025) 837, ar ko ziņojumi par incidentiem saskaņā ar NIS2, VDAR, DORA un citiem tiesību aktiem nonāktu caur vienotu piekļuves punktu, ko uztur ENISA. 2026. gada oktobrī tas joprojām bija izskatīšanā Eiropas Parlamentā (atver ārēju tīmekļvietni)); kamēr tas nav pieņemts un nav piemērojams, paliek spēkā pašreizējie kanāli un termiņi.
• Koordinēti ES riska novērtējumi kritiskām IKT piegādes ķēdēm saskaņā ar 22. pantu, kas vienībām jāņem vērā, izvēloties pasākumus attiecībā uz piegādātājiem.
• Kibernoturības akta laika grafiks programmatūras produktiem, ar pilnu piemērošanu no 2027. gada 11. decembra.

Finanšu vienībām Digitālās darbības noturības akts aizstāj NIS2 noteikumus par IKT riska pārvaldību, ziņošanu par incidentiem un uzraudzību; skatiet mūsu rakstu par DORA un IKT trešo personu pakalpojumu sniedzējiem. Komisija NIS2 un tās īstenošanas aktu pārskatu uztur savā NIS2 politikas lapā (atver ārēju tīmekļvietni).