Kiberdrošības pārvaldnieks: prasības, pienākumi un iecelšana

Kas ir kiberdrošības pārvaldnieks un kas par viņu atbild

Subjekta kiberdrošības pārvaldību nodrošina un par to atbild subjekta vadītājs. Katra subjekta vadītājs nosaka atbildīgo personu, kura īsteno un pārrauga kiberdrošības pasākumu īstenošanu attiecīgajā subjektā (turpmāk – kiberdrošības pārvaldnieks).

NKDL 25. panta pirmā daļa

Pārvaldnieka iecelšana nepārnes atbildību no vadītāja. Vadītājs nodrošina, ka pārvaldniekam ir vajadzīgās zināšanas un pilnvaras, lai nekavējoties rīkotos kiberapdraudējuma vai incidenta gadījumā (MK noteikumu Nr. 397 44. punkts). Pašvērtējuma ziņojumā to apliecina atsevišķs jautājums (0510).

Pārvaldnieks ir fiziska persona, nevis nodaļa vai komanda. NKC biežāk uzdoto jautājumu atbildēs skaidrots, ka var iecelt arī divas personas, ja subjekts skaidri sadala to atbildības jomas. Atsevišķus pasākumus, piemēram, rezerves kopijas, var veikt citi darbinieki, bet atbildība par to izpildi paliek pārvaldniekam.

Kvalifikācijas prasības pēc subjekta veida

MK noteikumi Nr. 397 nosaka trīs prasību kopas: kritiskajai infrastruktūrai (11. punkts), būtisko pakalpojumu sniedzējiem (12. punkts) un svarīgo pakalpojumu sniedzējiem (13. punkts). Svarīgākās atšķirības ir pilsonībā, sodāmības pārbaudē un pieredzes nosacījumos.

Kiberdrošības pārvaldniekam izvirzāmās prasības

Prasība	IKT kritiskā infrastruktūra	Būtisko pakalpojumu sniedzējs	Svarīgo pakalpojumu sniedzējs
Pilsonība	Latvijas	NATO, ES vai EBTA valsts	NATO, ES vai EBTA valsts
Pilngadība, nav aizgādnības	Jā	Jā	Jā
Nav sodīts par tīšu noziedzīgu nodarījumu	Jā	Jā	Noteikumos nav minēts
Izglītība, sertifikāts vai pieredze	Izglītība un 2 gadu pieredze pēdējos 5 gados, vai sertifikāts	Viens no trim: izglītība, sertifikāts vai 2 gadu pieredze pēdējos 5 gados	Viens no trim: izglītība, sertifikāts vai 2 gadu pieredze (bez piecu gadu ierobežojuma)
Drošības kritēriji (11.6.–11.10. apakšpunkts)	Jā, pārbauda SAB	Nē	Nē
Saskaņošana un termiņš	Ar SAB; līdz 3 gadiem	Nav	Nav

Sertifikāts nav obligāts. Būtisko un svarīgo pakalpojumu sniedzējiem pietiek ar vienu no trim apliecinājumiem. Kā piemērus atbilstošiem sertifikātiem NKC biežāk uzdoto jautājumu atbildēs min CISSP, CISM, CISA, ISO 27001 Lead Auditor, ISO 27001 Lead Implementer un CompTIA Security+, uzsverot kiberdrošības pārvaldības fokusu.

Latvijas nepilsonis nevar būt pārvaldnieks, jo noteikumi prasa NATO, ES vai EBTA dalībvalsts pilsonību, bet kritiskajai infrastruktūrai – Latvijas pilsonību. Starptautiskas grupas informācijas drošības speciālists citā valstī var būt pārvaldnieks Latvijas uzņēmumā, ja viņam ir NATO, ES vai EBTA valsts pilsonība. NKC norāda trīs nosacījumus: viņš ir oficiāli norīkots ar vadītāja lēmumu, paziņots NKC un reāli pieejams arī incidenta gadījumā.

Iecelšana un paziņošana: termiņi

Kopš 2026. gada 18. jūnija NKDL 25. panta otrā daļa nosaka fiksētu termiņu. Vadītājs ieceļ pārvaldnieku ne vēlāk kā triju mēnešu laikā no statusa paziņojuma iesniegšanas NKC vai no NKC lēmuma par subjekta statusu. Pēc tam piecu darbdienu laikā par to jāpaziņo gan NKC, gan SAB.

Pārvaldnieka iecelšanas un paziņošanas termiņi

Notikums	Termiņš	Pamats
Pārvaldnieka iecelšana	3 mēneši no statusa paziņojuma vai NKC lēmuma	NKDL 25. panta otrā daļa
Paziņojums NKC un SAB	5 darbdienas pēc iecelšanas	NKDL 25. panta otrā daļa; MK 397 10. punkts
Ziņu izmaiņas (cits pārvaldnieks, kontakti)	5 darbdienas	NKDL 25. panta ceturtā daļa
Kritiskā infrastruktūra: pretendents SAB	3 mēneši no iekļaušanas kritiskās infrastruktūras kopumā	NKDL 25. panta trešā daļa; MK 397 14. punkts
SAB pretendenta pārbaude	Līdz 3 mēnešiem	MK 397 15. punkts
Kritiskā infrastruktūra: nākamais pretendents	Ne vēlāk kā 3 mēnešus pirms termiņa beigām	MK 397 16. punkts

Paziņojumu sagatavo ar 3. pielikuma veidlapu “Paziņojums par kiberdrošības pārvaldnieku”, kas pieejama NKC veidlapu sadaļā. Tajā norāda pārvaldnieka vārdu, uzvārdu, personas kodu, amatu, e-pastu un tālruni. Subjekts apliecina, ka persona atbilst prasībām, un pārvaldnieks apliecina piekrišanu. Veidlapu paraksta ar drošu elektronisko parakstu un sūta uz NKC un SAB oficiālajām e-adresēm (10. punkts).

• Kas jādara: vadītāja rīkojumā ieceliet pārvaldnieku un noteiciet viņa pilnvaras, pakļautību un aizvietošanu.
• Savāciet kvalifikācijas pierādījumus – diplomu, sertifikātu vai darba pieredzes apliecinājumu. Tie būs vajadzīgi arī pašvērtējuma ziņojumā (0204–0206).
• Kalendārā ierakstiet piecu darbdienu termiņu katrai izmaiņai, arī tālruņa vai amata maiņai.

Pienākumi: ko pārvaldnieks dara katru gadu

Likums pārvaldniekam nosaka četrus pamatpienākumus (NKDL 25. panta piektā daļa). Pārvaldnieks organizē IKT infrastruktūras drošības pasākumus. Vismaz reizi gadā viņš veic IKT drošības pārbaudi un organizē trūkumu novēršanu, apmeklē kiberincidentu novēršanas institūcijas apmācību un nodrošina darbinieku instruktāžu par aktuālajiem riskiem. MK noteikumi Nr. 397 pievieno konkrētus kontroles uzdevumus.

Pārvaldnieka pienākumi un pierādījumi

Pienākums	Avots	Biežums	Ko saglabāt kā pierādījumu
IKT drošības pārbaude un trūkumu novēršana	NKDL 25(5)2	Vismaz reizi gadā	Pārbaudes datums, tvērums, atradumi, novēršanas plāns
Kiberincidentu novēršanas institūcijas apmācība	NKDL 25(5)3	Vismaz reizi gadā	Dalības apliecinājums
Darbinieku instruktāža	NKDL 25(5)4; MK 397 76. p.	Vismaz reizi gadā un pēc vajadzības	Instruktāžu uzskaite un zināšanu novērtējums
Risku un nepārtrauktības plāna izpildes kontrole	MK 397 43. p.	Pastāvīgi	Pasākumu statuss, termiņi, atbildīgie
Žurnālfailu prasību kontrole	MK 397 65. p.	Pastāvīgi	Pārbaužu ieraksti
Rezerves kopiju uzraudzība un nolasīšanas pārbaude	MK 397 74. p.	Ikdienā; A klasei reizi 6 mēnešos, B klasei reizi gadā	Atjaunošanas testa protokols
Ārpakalpojuma līgumu saskaņošana	MK 397 92. p.	Pirms katra līguma	Saskaņojuma ieraksts

Pārvaldniekam ir arī tiesības: pārbaudīt kontu sarakstu un piekļuves tiesības, analizēt žurnālfailus, incidenta gadījumā bloķēt kontus, pārbaudīt lietotāju zināšanas un pieprasīt žurnālfailus no ārēja sistēmas uzturētāja (54. punkts). Šīs tiesības ieteicams ierakstīt amata aprakstā vai vadītāja rīkojumā, lai tās nebūtu jāpierāda incidenta laikā.

CERT.LV divas reizes gadā rīko apmācības kiberdrošības pārvaldniekiem, liecina NKC biežāk uzdoto jautājumu atbildes. Plānojiet dalību laikus, jo pašvērtējuma ziņojumā jānorāda apmeklētā apmācība (0207). Jānorāda arī pēdējā gada IKT drošības pārbaudes datums un tvērums (0208).

Neatkarība: vai pārvaldnieks var būt IT vadītājs

Var, taču NKC to neuzskata par labu praksi. Pārvaldnieks, kurš strādā IT nodaļā, netieši vērtē arī savu darbu. NKC iesaka, lai pārvaldnieks būtu tieši vadītāja pakļautībā un sadarbotos ar vadītāju, nevis ar IT direktoru.

Kritiskajai infrastruktūrai ir konkrēts ierobežojums. Pārvaldnieks nedrīkst vienlaikus būt atbildīgais par žurnālfailu pārvaldību vai par rezerves kopiju veidošanu, glabāšanu, pārbaudi un dzēšanu (20. punkts). Ja kritiskās infrastruktūras pārvaldnieks pats izstrādā risku un nepārtrauktības plānu, tā izpildi kontrolē vadītājs (43. punkts).

Cik subjektos viena persona drīkst būt pārvaldnieks

Ierobežojumi ir MK noteikumu Nr. 397 17.–19. punktā. NKC tos skaidro četrās situācijās:

• Svarīgo pakalpojumu sniedzējos – neierobežotā skaitā.
• Būtisko pakalpojumu sniedzējos, kas nav kritiskā infrastruktūra, – ne vairāk kā piecos (18. punkts).
• B vai C kategorijas kritiskajā infrastruktūrā – vienā kritiskās infrastruktūras subjektā, papildus vēl piecos būtisko un neierobežotā skaitā svarīgo pakalpojumu sniedzēju (17.2. apakšpunkts).
• A kategorijas kritiskajā infrastruktūrā – tikai šajā vienā subjektā (17.1. apakšpunkts).

Piecu subjektu limits neattiecas uz padotības iestādēm un uzņēmumiem, kuru kapitāldaļas pieder attiecīgajam būtisko pakalpojumu sniedzējam (19. punkts). Grupā katru subjektu tomēr skaita atsevišķi. NKC piemērā pārvaldnieks strādā mātes uzņēmumā un septiņos tā meitas uzņēmumos, kas visi ir būtisko pakalpojumu sniedzēji. Tas ir atļauts, bet devītu, ar grupu nesaistītu būtisko pakalpojumu sniedzēju viņš vairs uzņemties nedrīkst.

Pārbaudiet konkrētu kandidātu ar sākumlapas rīku pārvaldnieka atbilstības pārbaude. Tas salīdzina pilsonību, kvalifikāciju un esošo subjektu skaitu ar 12., 13. un 18. punktu.

Ārpakalpojums: kad tas der un kā to noformēt

NKC atbilde ir skaidra: subjekts var piesaistīt kiberdrošības pārvaldības ārpakalpojumu, nodrošinot atbilstošu kontroli. Kritiskās infrastruktūras pārvaldnieka pretendents jāsaskaņo ar SAB arī tad, ja viņš ir ārējs. Ārpakalpojums nemaina prasības personai. Pārvaldnieks joprojām ir konkrēta, NKC un SAB paziņota fiziska persona, kas atbilst 12. vai 13. punktam un ievēro piecu subjektu limitu.

NKC skaidrojumā par ārpakalpojumu prasībām uzsvērts, ka subjekts nevar vienkārši paļauties uz piegādātāju – subjektā jānosaka kiberdrošības pārvaldnieks (19. jautājums). Piegādātāju pārbaudes var uzticēt pārvaldniekam, bet atbildība paliek vadītājam (27. jautājums). NKC piebilst, ka pārvaldnieks vajadzīgs arī tad, ja visas subjekta sistēmas ir ārpakalpojumā. Viņš tik un tā atbild par drošu piekļuvi, apmācībām, nepārtrauktību un incidentu ziņošanu.

• Līgumā nosauciet konkrēto personu un aizvietotāju, nevis tikai uzņēmumu.
• Paredziet pieejamību incidenta laikā – NKC to min kā galveno kritēriju. Ar to jāspēj izpildīt 24 stundu agrīnā brīdinājuma termiņu.
• Ierakstiet 54. punkta tiesības: piekļuvi kontu sarakstiem, žurnālfailiem un tiesības bloķēt kontus.
• Ja pakalpojums ietver darbības jūsu IKT infrastruktūrā, izvērtējiet līgumu pret MK noteikumu Nr. 397 4. nodaļu, tostarp 86. un 87. punktu.
• Nosakiet, kurš iekšēji uzrauga līguma izpildi kiberdrošības jomā (92. punkts).

NKC norāda arī praksē redzētu kombinētu pieeju. Pārejas periodā izmanto ārpakalpojumu un vienlaikus apmāca savu darbinieku, lai kompetence paliktu organizācijā. Ja izvēlaties ārēju atbalstu, OffSeq ārpakalpojuma kiberdrošības vadītājs uz daļēju slodzi palīdz ar pārvaldību, risku vadību un sadarbību ar vadību. Pirms paziņošanas NKC pārbaudiet konkrētās personas atbilstību noteikumu prasībām.

Praksē pārvaldnieks parasti koordinē arī incidentu ziņošanu, obligātās dokumentācijas uzturēšanu un pašvērtējuma ziņojuma sagatavošanu, lai gan par ziņojumu atbild subjekts.