Nozīmīga kiberincidenta ziņošana: 24 h, 72 h un galaziņojums

Kam ir ziņošanas pienākums

Pienākums ir Nacionālās kiberdrošības likuma (NKDL) subjektiem: būtisko un svarīgo pakalpojumu sniedzējiem, kā arī IKT kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem. 34. panta pirmā daļa prasa, konstatējot kiberincidentu, nekavējoties veikt novēršanas darbības, nekavējoties informēt kompetento kiberincidentu novēršanas institūciju un izpildīt tās norādījumus. Nozīmīga kiberincidenta 24 stundu, 72 stundu un viena mēneša termiņi piemērojami kopš 2025. gada 1. jūlija (pārejas noteikumu 11. punkts).

Organizācijas, uz kurām likums neattiecas, var ziņot brīvprātīgi. Brīvprātīga ziņošana par kiberincidentu, gandrīz notikušu kiberincidentu vai kiberapdraudējumu neuzliek papildu pienākumus (34. panta astotā un devītā daļa). Vai jūsu organizācija ir subjekts, var pārbaudīt ar statusa pārbaudes rīku.

Pirmās stundas: novērtējums un žurnāls

Ziņošanas pienākums sākas ar diviem iekšējiem soļiem, kurus nosaka MK noteikumi Nr. 397. Pirmkārt, konstatējot kiberincidentu, subjekts nekavējoties novērtē tā nozīmīgumu (117. punkts). Otrkārt, ziņas kiberincidentu žurnālā jāreģistrē ne vēlāk kā 24 stundu laikā no konstatēšanas brīža un pēc katrām izmaiņām iepriekš norādītajās ziņās (47. punkts).

Žurnālā jābūt vismaz 48. punktā noteiktajai informācijai: konstatēšanas un, ja zināms, notikuma datumam un laikam; veida kodam pēc 7. pielikuma tipoloģijas; aprakstam; cēloņiem un kompromitēšanas indikatoriem, ja zināmi; ietekmes novērtējumam; atzīmei, vai incidents ir nozīmīgs; atzīmēm par katru iesniegto ziņojumu; un risināšanas statusam (“neiesākts”, “procesā”, “atrisināts”). Labi uzturēts žurnāls ir arī pierādījums uzraugam, ka termiņi ievēroti.

Kiberincidentu tipoloģija (MK noteikumu Nr. 397 7. pielikums)

Kods	Veids
01	Neatbilstošs saturs (piemēram, mēstule, nelegāls saturs)
02	Ļaundabīgs kods
03	Informācijas vākšana
04	Ielaušanās mēģinājums
05	Ielaušanās
06	Pieejamības traucējums
07	Datu drošības pārkāpums (piemēram, nesankcionēta piekļuve vai modificēšana)
08	Krāpniecība
09	Ievainojamība
10	Cits kiberincidenta veids
99	Pārbaude (mācības)

Kad kiberincidents ir nozīmīgs

NKDL 1. panta 19. punkts definē nozīmīgu kiberincidentu kā pārrobežu kiberincidentu vai tādu, kam ir ietekme uz pakalpojuma nepārtrauktību vai sabiedrības interesēm un kas atbilst Ministru kabineta kritērijiem. Kritēriji ir MK noteikumu Nr. 397 118. punktā. Kiberincidents ir nozīmīgs, ja tas atbilst būtiska incidenta definīcijai Komisijas Īstenošanas regulas (ES) 2024/2690 3. panta 1. punktā vai vismaz vienai no sešām nacionālajām pazīmēm. Ka pietiek ar vienu no abiem nosacījumiem, apstiprina arī CERT.LV skaidrojums. Regula 2024/2690 attiecas uz konkrētiem digitālās infrastruktūras un digitālo pakalpojumu sniedzējiem, piemēram, DNS, mākoņdatošanas, datu centru, pārvaldīto pakalpojumu un uzticamības pakalpojumu sniedzējiem.

Nacionālās nozīmīguma pazīmes (MK noteikumu Nr. 397 118.2. apakšpunkts) un NKC piemēri

Pazīme	Kritērijs	Piemērs no NKC vadlīnijām
118.2.1.	Apdraud sabiedrības veselību vai drošību, valsts vai ekonomisko drošību, valsts reputāciju, ārējās attiecības, pilsonisko brīvību vai pamattiesības	Uzlauzta oficiālās informācijas publicēšanas vietne, kurā aizstāts normatīvā akta teksts
118.2.2.	Mantiskie zaudējumi vismaz 500 000 euro vai 5 % no pēdējā finanšu gada apgrozījuma (atkarībā no tā, kura summa ir mazāka)	Viltoti apmaksas dokumenti, kuru dēļ būtiski līdzekļi pārskaitīti krāpnieku kontā
118.2.3.	Rada vai var radīt kaitējumu fiziskās personas dzīvībai vai veselībai	Izspiedējvīruss slimnīcā paralizē pacientu datus un neatliekamās manipulācijas
118.2.4.	Ietekme uz ierobežotas pieejamības vai klasificētas informācijas konfidencialitāti, integritāti vai pieejamību	Nozaudēts nešifrēts dators ar ierobežotas pieejamības informāciju
118.2.5.	Izraisījis vai var izraisīt būtiskā vai svarīgā pakalpojuma vai IKT kritiskās infrastruktūras traucējumus	Liela apjoma pakalpojumatteices uzbrukums, kura dēļ kritiskie pakalpojumi nav pieejami
118.2.6.	Pārrobežu kiberincidents NKDL 1. panta 21. punkta izpratnē	Izspiedējvīruss šifrē uzņēmuma sistēmas, kas apkalpo filiāles vairākās valstīs

Formulējums “rada vai var radīt” vairākās pazīmēs nozīmē, ka nav jāgaida, kamēr kaitējums ir pierādīts. Ja pirmajās stundās nav skaidrs, vai slieksnis sasniegts, drošāk ir iesniegt agrīno brīdinājumu un vēlāk precizēt vērtējumu. Agrīnais brīdinājums prasa maz informācijas, bet nokavēts termiņš ir būtiska neatbilstība (sk. tālāk).

Ziņošanas secība un termiņi

Nozīmīga kiberincidenta ziņojumi (NKDL 34. pants, MK noteikumu Nr. 397 119. punkts)

Ziņojums	Termiņš	Veidlapa	Pamats
Agrīnais brīdinājums	Nekavējoties, ne vēlāk kā 24 stundu laikā	10. pielikums	NKDL 34. panta otrā daļa
Sākotnējais ziņojums	Nekavējoties, ne vēlāk kā 72 stundu laikā (uzticamības pakalpojumu sniedzējam – 24 stundu laikā)	11. pielikums	NKDL 34. panta trešā daļa
Starpposma ziņojums	Pēc kompetentās institūcijas pieprasījuma	13. pielikums	NKDL 34. panta piektā daļa
Progresa ziņojums	Ja incidentu nav iespējams atrisināt mēneša laikā pēc sākotnējā ziņojuma	12. pielikums	NKDL 34. panta sestā daļa
Galaziņojums	Mēneša laikā pēc sākotnējā ziņojuma vai, ja iesniegts progresa ziņojums, pēc incidenta atrisināšanas	14. pielikums	NKDL 34. panta piektā un sestā daļa

Praktiski: ja kiberincidents konstatēts otrdien plkst. 14.00, agrīnais brīdinājums jāiesniedz līdz trešdienas plkst. 14.00, sākotnējais ziņojums – līdz piektdienas plkst. 14.00. Ja sākotnējais ziņojums iesniegts piektdien, 2. oktobrī, galaziņojums jāiesniedz mēneša laikā, t. i., līdz 2. novembrim, vai tajā pašā termiņā jāiesniedz progresa ziņojums. Termiņus savam gadījumam var aprēķināt ar ziņošanas pulksteni.

Kompetentā institūcija nekavējoties informē NKC par katru saņemto brīdinājumu un ziņojumu (35. panta pirmā daļa), tāpēc subjektam atsevišķi tie NKC nav jāsūta. 24 stundu laikā pēc sākotnējās informācijas saņemšanas tā vienojas ar subjektu par atbalstu un sniedz sākotnējo vērtējumu un priekšlikumus (35. panta otrā daļa).

Kam sūtīt: CERT.LV, MilCERT un SAB

Kompetento kiberincidentu novēršanas institūciju nosaka NKDL 9. panta otrā daļa. Militārās izlūkošanas un drošības dienests (MilCERT) ir kompetents attiecībā uz Aizsardzības ministriju, tās padotības iestādēm un Nacionālajiem bruņotajiem spēkiem. Latvijas Universitātes Matemātikas un informātikas institūts (CERT.LV) ir kompetents attiecībā uz pārējām valsts un pašvaldību institūcijām (izņemot valsts drošības iestādes) un visām privāto tiesību juridiskajām personām. Gandrīz visiem uzņēmumiem un pašvaldībām adresāts ir CERT.LV.

Satversmes aizsardzības birojs (SAB) ir papildu adresāts divos gadījumos. IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs kiberincidenta gadījumā nekavējoties informē arī kompetento valsts drošības iestādi (NKDL 34. panta pirmā daļa). MK noteikumu Nr. 397 121. punkts nosaka, ka IKT kritiskās infrastruktūras īpašnieks un būtiskā pakalpojuma sniedzējs 119. un 120. punktā minētos ziņojumus nosūta arī SAB. NKC vadlīniju kopsavilkuma tabulā SAB minēts tikai pie IKT kritiskās infrastruktūras, taču noteikumu teksts ietver arī būtiskā pakalpojuma sniedzēju. Ja esat būtisko pakalpojumu sniedzējs, sūtiet kopiju SAB vai rakstiski precizējiet kārtību ar CERT.LV.

• Kanāls nozīmīgam kiberincidentam: elektroniski aizpildīta un ar drošu elektronisko parakstu parakstīta veidlapa uz institūcijas e-pasta adresi (119. punkts). CERT.LV adrese ir cert@cert.lv.
• Tālrunis: CERT.LV ziņojumus pieņem 24x7 pa tālruni +371 67085888. Zvans palīdz ātri informēt, bet neaizstāj parakstīto veidlapu.
• Šifrēšana: ja ziņojumā ir ierobežotas pieejamības informācija, CERT.LV prasa to šifrēt ar PGP.
• Kiberincidents, kas nav nozīmīgs: apraksts brīvā formā uz institūcijas e-pastu (120. punkts).

Par nenozīmīgiem notikumiem NKC skaidrojumi ir nedaudz smalkāki nekā 120. punkta teksts. Vadlīnijās teikts, ka par notikumiem bez ietekmes uz informācijas konfidencialitāti, integritāti vai pieejamību (piemēram, ugunsmūra bloķēta portu skenēšana vai filtrēta pikšķerēšanas vēstule bez klikšķa) subjekts var neziņot. Par kiberincidentiem ar šādu ietekmi tomēr jāziņo brīvā formā. Visi notikumi jāreģistrē žurnālā, un atkārtoti vai mērķēti mēģinājumi var vairs nebūt maznozīmīgi.

Ko prasa veidlapas

Veidlapas ir MK noteikumu Nr. 397 10.–14. pielikumā. Tās ir veidotas pakāpeniski: katrs nākamais ziņojums pieprasa vairāk un precīzāk.

• Agrīnais brīdinājums (10. pielikums): subjekta nosaukums un reģistrācijas numurs, incidenta datums un laiks (ja zināms), veida kodi (ja zināmi), vispārīgs apraksts un iesniedzēja kontaktinformācija.
• Sākotnējais ziņojums (11. pielikums): papildus – cēloņi un kompromitēšanas indikatori, ietekme uz pieejamību, konfidencialitāti un integritāti (augsta, vidēja, zema, nav), ietekmētie resursi un pakalpojumi, lietotāju skaits un zaudējumi indikatīvi, dīkstāves ilgums, kompromitēto datu kategorijas (tostarp personas dati un īpašo kategoriju personas dati), ietekme uz darbības nepārtrauktību, pārrobežu ietekme, vai par incidentu nekavējoties ziņots, un veiktās darbības.
• Progresa un starpposma ziņojums (12. un 13. pielikums): aktualizēts ietekmes novērtējums, novēršanas statuss un iemesli, kāpēc incidents vēl nav novērsts.
• Galaziņojums (14. pielikums): galīgais lietotāju skaits, aprēķinātie zaudējumi, kopējais dīkstāves ilgums un visas novēršanas darbības.

Sagatavojiet aizpildāmas veidlapu kopijas jau tagad un pārliecinieties, ka vismaz divām personām (piemēram, kiberdrošības pārvaldniekam un viņa aizvietotājam) ir derīgs drošs elektroniskais paraksts. Nedēļas nogalē paraksta problēma ir biežāks kavējuma iemesls nekā pats incidents.

Klientu informēšana un publiskums

NKDL 34. panta ceturtā daļa prasa nozīmīga kiberincidenta vai nozīmīga kiberapdraudējuma gadījumā nekavējoties informēt pakalpojumu saņēmējus, kurus tas varētu skart, par pasākumiem, ko viņi paši var veikt. Par pašu incidentu klientus informē pēc saskaņošanas ar kompetento institūciju (IKT kritiskās infrastruktūras gadījumā arī ar valsts drošības iestādi), ja vien tas nerada jaunu risku vai nav pretrunā ar nacionālās drošības interesēm.

Ja sabiedrības informēšana palīdz novērst incidentu vai ir sabiedrības interesēs, NKC vai kompetentā institūcija pēc apspriešanās ar subjektu var informēt sabiedrību pati vai uzdot to subjektam (35. panta sestā daļa). Komunikācijas plānam incidentu procesā jāparedz šie divi gadījumi; MK noteikumu Nr. 397 46.3. apakšpunkts prasa iekšējās un ārējās komunikācijas plānus un saziņas procedūras ar kompetento institūciju.

Paralēli: personas dati, finanšu sektors un policija

NKDL ziņošana neaizstāj citus pienākumus. Ja kiberincidents ir arī personas datu aizsardzības pārkāpums, pārzinim saskaņā ar Vispārīgās datu aizsardzības regulas (VDAR) 33. pantu bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums kļuvis zināms, jāpaziņo Datu valsts inspekcijai. Izņēmums ir gadījumi, kad pārkāpums, visticamāk, nerada risku fizisku personu tiesībām. DVI paziņojumus pieņem e-adresē vai rīkā pazinojums.dvi.gov.lv.

Divi paralēli pulksteņi vienam notikumam

Aspekts	NKDL (CERT.LV)	VDAR (DVI)
Kas izraisa	Nozīmīgs kiberincidents pēc MK 397 118. punkta	Personas datu aizsardzības pārkāpums, kas var radīt risku personām
Pirmais termiņš	24 h agrīnais brīdinājums, 72 h sākotnējais ziņojums	Bez nepamatotas kavēšanās, ja iespējams, 72 h
Kurš ziņo	Subjekts	Pārzinis (apstrādātājs informē pārzini)
Noslēgums	Galaziņojums mēneša laikā	Informāciju var sniegt pa daļām bez nepamatotas kavēšanās

NKC vadlīnijas arī iesaka vērsties Valsts policijā, ja ir noziedzīga nodarījuma pazīmes, īpaši izspiešanas un finanšu krāpšanas gadījumos. Finanšu vienībām NKDL piemērojams tikai tiktāl, ciktāl DORA regula (ES) 2022/2554 vai citi akti nenosaka citas prasības (NKDL 3. panta trešā daļa), un par būtiskiem ar IKT saistītiem incidentiem tās ziņo Latvijas Bankai pēc DORA kārtības.

Ko riskē, ja termiņš nokavēts

NKDL 46. panta piektās daļas 3. punkts par būtisku neatbilstību atzīst gadījumu, kad subjekts likumā noteiktajā termiņā nepaziņo kompetentajai institūcijai par nozīmīgu kiberincidentu vai apzināti sniedz nepatiesu informāciju. Būtiska neatbilstība ir priekšnoteikums soda naudai: būtisko pakalpojumu sniedzējam līdz 10 miljoniem euro, svarīgo pakalpojumu sniedzējam – līdz 7 miljoniem euro. Valsts un pašvaldību iestādēm 46. pants nav piemērojams. Uzraudzības pasākumi un soda naudas aprēķins skaidroti ceļvedī par uzraudzību un sodiem.

Kas jāsagatavo pirms incidenta

1. Nosakiet, kurš novērtē nozīmīgumu, kurš paraksta veidlapas un kurš viņus aizvieto (MK 397 46.1. apakšpunkts).
2. Pārveidojiet 118. punkta kritērijus iekšējā lēmumu tabulā ar saviem sliekšņiem, tostarp 5 % apgrozījuma summu euro.
3. Sagatavojiet 10.–14. pielikuma veidlapas un CERT.LV PGP atslēgu; pārbaudiet drošo elektronisko parakstu.
4. Ja esat būtisko pakalpojumu sniedzējs vai IKT kritiskā infrastruktūra, iekļaujiet SAB adresātu sarakstā.
5. Saskaņojiet NKDL un VDAR ziņošanu: kopīgs notikumu laika ieraksts, divi atsevišķi lēmumi.
6. Ārpakalpojumu līgumos paredziet piegādātāja pienākumu nekavējoties ziņot par kiberincidentu (MK 397 87.3.2. apakšpunkts).
7. Vismaz reizi gadā izspēlējiet ziņošanu mācībās un atzīmējiet tās žurnālā ar kodu 99.

Ziņošanas pienākums ir tikai daļa no incidentu pārvaldības procesa, ko prasa MK noteikumu Nr. 397 46. punkts. Kā šo procesu dokumentēt kopā ar pārējo obligāto dokumentāciju, skaidrots ceļvedī par MK noteikumiem Nr. 397, bet nepārtrauktības pusi – ceļvedī par IKT darbības nepārtrauktības plānu. Ja incidents jau notiek un vajag praktisku palīdzību, OffSeq kiberincidentu reaģēšanas komanda var palīdzēt gan ar ierobežošanu, gan ar faktu apkopošanu ziņojumiem.