Minimālās kiberdrošības prasības: MK noteikumi Nr. 397 pa nodaļām

Kas ir MK noteikumi Nr. 397 un uz ko tie attiecas

MK noteikumi Nr. 397 “Minimālās kiberdrošības prasības” pieņemti 2025. gada 25. jūnijā un stājās spēkā 2025. gada 2. jūlijā. Tie izdoti uz Nacionālās kiberdrošības likuma (NKDL) vairāku pantu pamata, tostarp 25., 26., 28., 34., 43. un 44. panta. Ar tiem zaudēja spēku agrākie MK noteikumi Nr. 94 par publisko elektronisko sakaru tīklu drošību (158. punkts).

Noteikumi attiecas uz subjektiem: būtisko pakalpojumu sniedzējiem, svarīgo pakalpojumu sniedzējiem un IKT kritiskās infrastruktūras īpašniekiem vai tiesiskajiem valdītājiem (1.1. apakšpunkts). Tie neattiecas uz sistēmām, kurās apstrādā valsts noslēpumu vai NATO, ES un ārvalstu klasificēto informāciju (3. punkts). Domēnu vārdu reģistrācijas pakalpojumu sniedzējiem piemēro tikai 9. punktu par statusa paziņošanu (4. punkts).

DNS pakalpojumu sniedzējiem, TLD reģistriem, mākoņdatošanas un datu centru pakalpojumu sniedzējiem, pārvaldīto pakalpojumu un pārvaldīto drošības pakalpojumu sniedzējiem, kā arī platformām tehniskās un metodiskās prasības piemēro tiktāl, ciktāl tās nav pretrunā ar Īstenošanas regulu (ES) 2024/2690 (6. punkts). Šiem uzņēmumiem regula ir galvenais atskaites punkts, bet MK noteikumi Nr. 397 to papildina.

Ja vēl neesat pārliecināti par savu statusu, sāciet ar statusa pārbaudi un ceļvedi par būtisko un svarīgo pakalpojumu sniedzēja statusu.

MK noteikumu Nr. 397 uzbūve

Nodaļa	Punkti	Saturs
1. Vispārīgie jautājumi	1.–6.	Tvērums, termini, izņēmumi, saikne ar regulu 2024/2690
2. Statusa paziņošanas kārtība	7.–9.	Kā paziņot NKC par statusu un tā izmaiņām (1. un 2. pielikums)
3. Pamatprasības subjektiem	10.–85.	Pārvaldnieks, dokumentācija, piekļuve, tīkli, žurnālfaili, rezerves kopijas, apmācības, šifrēšana
4. Ārpakalpojumu prasības	86.–107.	Aizliegtie piegādātāji, līguma saturs, īpašās prasības A klases sistēmām
5. Papildu prasības IKT kritiskajai infrastruktūrai	108.–114.	SAB norādījumi, darbības nepārtrauktība valsts apdraudējuma gadījumam
6. Papildu prasības kiberincidentu novēršanas institūcijām	115.–116.	Prasības pašām institūcijām, ne subjektiem
7. Kiberincidentu vadība	117.–121.	Nozīmīguma kritēriji, ziņošanas veidlapas
8. Subjektu kiberdrošības uzraudzība	122.–150.	Auditori, ielaušanās testi, drošības skenēšana, pašvērtējums
9. Noslēguma jautājumi	151.–158.	Pārejas termiņi

A, B un C: informācijas sistēmu drošības klases

Daudzas prasības ir atkarīgas no sistēmas drošības klases, tāpēc to vispirms jānosaka. Subjekts katrai savai informācijas sistēmai un informācijas resursu kategorijai nosaka konfidencialitātes, integritātes un pieejamības klasi pēc 5. pielikuma metodikas (32. punkts). Sistēmas kopējā klase ir augstākā no trim: ja kaut viena ir A, sistēma ir A klases jeb paaugstinātas drošības sistēma. B klase ir pamata drošība, C klase minimālā drošība (33. punkts).

Metodikā ir konkrēti sliekšņi. Piemēram, konfidencialitātes A klase iestājas, ja resursā ir vismaz 1 000 000 datu subjektu personas dati vai vismaz 500 000 datu subjektu īpašu kategoriju personas dati. B klase iestājas, ja tajā ir ierobežotas pieejamības informācija vai vismaz 5000 datu subjektu īpašu kategoriju dati. Pieejamības A klase nozīmē, ka neplānots pārtraukums mēnesī summāri nedrīkst pārsniegt 0,1 %, B klase – 1 %. Kritiskās infrastruktūras kopumā iekļauta sistēma vienmēr ir A klases (34. punkts).

Kā drošības klase maina prasības

Prasība	A klase	B klase	C klase
Daudzfaktoru autentifikācija (52. p.)	Visiem kontiem	Administratoriem; lietotājiem attālinātai piekļuvei bez VPN ar MFA	Nav noteikta
Žurnālfailu glabāšana (57. p.)	Vismaz 18 mēneši	Vismaz 12 mēneši	Vismaz 6 mēneši
Rezerves kopiju nolasīšanas pārbaude (74.2. apakšp.)	Vismaz reizi 6 mēnešos	Vismaz reizi gadā	Nav noteikta
Šifrēšana glabāšanā (81.2. apakšp.)	Obligāta A konfidencialitātes resursiem, ja tehniski iespējams	Pēc izvēles	Pēc izvēles
Ielaušanās tests (131. p.)	Pirms ekspluatācijas un vismaz reizi 3 gados	Pēc iniciatīvas vai pieprasījuma	Pēc iniciatīvas vai pieprasījuma
Pašvērtējuma ziņojums (141. p.)	Reizi gadā, ja ir kaut viena A klases sistēma	Reizi 3 gados	Reizi 3 gados

• Kas jādara: sastādiet visu informācijas sistēmu sarakstu un katrai dokumentējiet trīs klases ar pamatojumu pēc 5. pielikuma.
• Izmantojiet NKC publicētās drošības klašu noteikšanas vadlīnijas.
• Pārskatiet klasi pēc būtiskām izmaiņām, piemēram, ja sistēmā ievērojami pieaug datu subjektu skaits.

2. nodaļa: statusa paziņošana

Būtisko vai svarīgo pakalpojumu sniedzējs paziņo NKC par savu statusu, tā izmaiņām un zaudēšanu, aizpildot 1. pielikuma veidlapu un parakstot to ar drošu elektronisko parakstu. Veidlapu sūta uz Aizsardzības ministrijas oficiālo elektronisko adresi (7. punkts). Termiņus nosaka likums: paziņojums mēneša laikā pēc atbilstības iestāšanās, izmaiņas divu nedēļu laikā (NKDL 22. panta pirmā un otrā daļa). Ja subjekts ir arī IKT kritiskās infrastruktūras īpašnieks, paziņojumu iesniedz arī SAB (8. punkts).

• Kas jādara: uzturiet paziņojumā norādīto ziņu kopiju, īpaši IP adrešu diapazonus un kontaktpersonu.
• Iekļaujiet izmaiņu kontroles procesā soli “vai jāinformē NKC” ar divu nedēļu termiņu.

3. nodaļa: pamatprasības subjektiem

Šī ir noteikumu lielākā un praksē svarīgākā daļa. Tajā ir 12 apakšnodaļas; 3.1. un 3.3.–3.12. apakšnodaļa atbilst pašvērtējuma ziņojuma (16. pielikums) 2.–12. sadaļai.

3.1. Kiberdrošības pārvaldnieks (10.–20. punkts)

Noteikumi nosaka pārvaldnieka kvalifikāciju atsevišķi kritiskajai infrastruktūrai, būtisko un svarīgo pakalpojumu sniedzējiem, kā arī ierobežo, cik subjektos viena persona drīkst strādāt. Paziņojumu par pārvaldnieku sūta NKC un SAB ar 3. pielikuma veidlapu. Sīkāk to skaidro ceļvedis par kiberdrošības pārvaldnieku.

3.2.–3.6. Dokumentācija (21.–48. punkts)

Obligāto dokumentu kopumu veido kiberdrošības politika, IKT resursu un informācijas sistēmu katalogs, kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns un kiberincidentu žurnāls (21. punkts). Politiku pārskata vismaz reizi trijos gados (28. punkts). Katalogu aktualizē mēneša laikā pēc izmaiņām (31. punkts). Plānu pārskata reizi gadā, divos vai trijos gados atkarībā no subjekta veida (40. punkts). Ierakstu žurnālā izdara 24 stundu laikā (47. punkts). Saturs un paraugu struktūra aprakstīti ceļvedī par kiberdrošības dokumentāciju.

3.7. Lietotāju un piekļuves tiesību pārvaldība (49.–54. punkts)

Katrai sistēmai jāidentificē lietotāju grupas, jānosaka piekļuves līmeņi un autentifikācijas metodes, un tiesības jāpiešķir pēc principiem “nepieciešamība zināt” un mazākās privilēģijas (50. punkts). Administratora kontu neizmanto ikdienas darbam, un standarta kontu neizmanto administrēšanai (51.4. un 51.5. apakšpunkts). Jebkuru kontu jāvar apturēt drošības apsvērumu dēļ (51.6. apakšpunkts).

• Kas jādara: nodaliet administratoru kontus no ikdienas kontiem un dokumentējiet izņēmumus.
• Ieviesiet MFA atbilstoši klasei (52. punkts) un pārbaudiet, vai VPN attālinātai piekļuvei to prasa.
• Nodrošiniet, ka lietošanas noteikumi lietotājiem ir pieejami pirms darba sākšanas un visu lietošanas laiku (53. punkts).

3.8. Tīklu pārvaldība (55.–56. punkts)

Būtisko pakalpojumu sniedzējiem un kritiskajai infrastruktūrai jāizpilda visas astoņas 55. punkta prasības. Tās ietver segmentāciju pēc klasēm, atsevišķu viesu tīklu ar savu publisko IP adresi, nodalītu iekārtu pārvaldības tīklu, vismaz WPA2 bezvadu tīklā, kontrolētas datu plūsmas un attālinātu piekļuvi tikai caur šifrētu VPN ar MFA. Svarīgo pakalpojumu sniedzējiem obligātas ir tikai pirmās četras (56. punkts).

3.9. Žurnālfailu pārvaldība (57.–66. punkts)

Jāveido gan informācijas sistēmu, gan tīkla plūsmas žurnālfaili mašīnlasāmā formātā (57. un 62. punkts). Laikam jābūt sinhronizētam ar NTP serveri vismaz STRATUM 2 līmenī (59. punkts). Žurnālfailus aizsargā pret neautorizētu piekļuvi, izmainīšanu un dzēšanu (63. punkts). Kārtību nosaka iekšējos normatīvajos aktos, un tās ievērošanu kontrolē pārvaldnieks (64. un 65. punkts).

3.10. Rezerves kopiju pārvaldība (67.–75. punkts)

Rezerves kopijām jāļauj atjaunot sistēmu pilnā apjomā, ne tikai datus, bet arī kodu, skriptus un konfigurācijas (68. punkts). Atjaunošanas dziļums ir atkarīgs no klases (70. punkts). A klases sistēmai vismaz viena pilna kopija jāglabā atdalīti, ģeogrāfiski attālinātā un aizsargātā vietā (72.2. apakšpunkts). Neizdevusies kopēšana nekavējoties jāpaziņo atbildīgajam un pārvaldniekam (71.2. apakšpunkts).

3.11. Kiberhigiēnas pasākumi (76.–80. punkts)

Sākotnējā instruktāža notiek mēneša laikā no lietotāja konta reģistrācijas. Kārtējā instruktāža notiek vismaz reizi kalendāra gadā, ārkārtas instruktāžas – pēc pārvaldnieka ieskatiem. IKT personāls apmācības par risku pārvaldības un nepārtrauktības pasākumiem saņem vismaz reizi gadā (76. punkts). Apmācības uzskaita un novērtē to efektivitāti (80. punkts).

3.12. Šifrēšanas prasības (81.–85. punkts)

A un B konfidencialitātes klases resursus šifrē pārraidē publiskajos tīklos un bezvadu tīklos, bet A klases resursus arī glabāšanā, ja tas tehniski iespējams (81. punkts). Ja šifrēšana nav iespējama, risku novērtējumā jānosaka aizstājoši pasākumi (83. punkts). Iekšējos noteikumos jānosaka minimālais šifrēšanas līmenis un atslēgu pārvaldība (85. punkts).

4. nodaļa: ārpakalpojumu prasības

Ārpakalpojums noteikumos ir jebkura vienošanās IKT jomā, kurā pakalpojuma sniedzējs subjekta uzdevumā veic darbības tā IKT infrastruktūrā (2.3. apakšpunkts). Visiem subjektiem aizliegts slēgt līgumus ar Krievijā, Baltkrievijā vai terorismu atbalstošā valstī reģistrētu piegādātāju, kā arī ja šo valstu pilsoņi ir īpašnieki, valdes locekļi, izpildītāji vai ražotāji (86. punkts).

Līgumā jāparedz tiesības saņemt žurnālfailus, piegādātāja pienākums nekavējoties ziņot par kiberincidentu, apakšuzņēmēju atklāšana un datu dzēšana vai atdošana pēc līguma beigām (87. punkts). Pirms iegādes jānovērtē piegādes ķēdes riski un jāparedz izbeigšanas stratēģija (89. punkts). Līgums pirms parakstīšanas jāsaskaņo ar pārvaldnieku (92. punkts). A klases sistēmām būtisko pakalpojumu sniedzējiem un kritiskajai infrastruktūrai piegādātājam jābūt no NATO, ES, EBTA vai IP4 valsts, vai jāsaņem SAB atzinums (94., 101. un 103. punkts).

NKC biežāk uzdoto jautājumu atbildēs par ārpakalpojumiem (13.02.2026., 19. jautājums) uzsvērts, ka līgumā nepietiek ar vispārīgu atsauci uz Latvijas normatīvo aktu ievērošanu – jāiekļauj konkrētās noteikumu prasības. Plašāk par to – ceļvedī par piegādātāju un ārpakalpojumu drošību.

• Kas jādara: sastādiet IKT līgumu sarakstu un atzīmējiet, kuri skar A klases sistēmas.
• Pievienojiet standarta līguma pielikumu ar 87. punkta prasībām.
• Ieviesiet pārvaldnieka saskaņojumu iepirkuma procesā pirms parakstīšanas.

5. un 6. nodaļa: kritiskā infrastruktūra un CERT

IKT kritiskās infrastruktūras īpašnieki ievēro arī SAB norādījumus (108. punkts). Viņiem jābloķē administratora konts brīdī, kad darbiniekam paziņo par darba attiecību izbeigšanu (110. punkts), un jāizstrādā darbības nepārtrauktības plāns valsts apdraudējuma gadījumam pēc 9. pielikuma, saskaņojot to ar SAB (111. punkts). 6. nodaļa attiecas uz pašām kiberincidentu novēršanas institūcijām, nevis subjektiem.

7. nodaļa: kiberincidentu vadība

Konstatējot kiberincidentu, subjekts nekavējoties novērtē tā nozīmīgumu (117. punkts). Nozīmīgs ir incidents, kas atbilst regulas 2024/2690 definīcijai vai kādai no Latvijas pazīmēm. Pazīmes ietver apdraudējumu sabiedrības veselībai vai valsts drošībai un mantiskus zaudējumus vismaz 500 000 euro vai 5 % apmērā no apgrozījuma (mazākā no summām). Nozīmīgi ir arī traucējumi būtiskā vai svarīgā pakalpojuma sniegšanā un pārrobežu incidenti (118. punkts).

Par nozīmīgu incidentu ziņo ar 10.–14. pielikuma veidlapām: agrīnais brīdinājums 24 stundās, sākotnējais ziņojums 72 stundās, galaziņojums mēneša laikā pēc sākotnējā ziņojuma (119. punkts, NKDL 34. pants). Par nenozīmīgu incidentu ziņo brīvā formā (120. punkts). Būtisko pakalpojumu sniedzēji un kritiskā infrastruktūra ziņojumus sūta arī SAB (121. punkts). Secību un adresātus parāda ziņošanas pulkstenis un ceļvedis par incidentu ziņošanu.

8. nodaļa: audits, ielaušanās testi un pašvērtējums

Atbilstības audits un auditori (122.–130. punkts)

Ārējo auditu NKC vai SAB uzdod tad, ja ir aizdomas par pārkāpumiem vai tie ir konstatēti (NKDL 44. panta pirmā daļa). Periodiska ārējā audita pienākuma nav. Auditoram jābūt no NATO, ES, EBTA vai IP4 valsts, ar sertifikātiem, piemēram, CISA, ISO/IEC 27001 Lead Auditor vai CISSP (122. punkts). Pēdējo triju gadu laikā auditors nedrīkst būt piedalījies auditējamās sistēmas izstrādē, uzturēšanā vai testēšanā (129.3. apakšpunkts).

Pēc 2026. gada grozījumiem auditora prasības jānosaka jauniem Ministru kabineta noteikumiem. Līdz to spēkā stāšanās dienai, bet ne ilgāk kā līdz 2026. gada 1. decembrim, piemēro MK noteikumu Nr. 397 kritērijus (NKDL pārejas noteikumu 14. punkts).

Ielaušanās testi (131.–134. punkts)

Obligāts ielaušanās tests ir tikai A klases sistēmām: pirms nodošanas ekspluatācijā un vismaz reizi trijos gados ekspluatācijas laikā (131.1. apakšpunkts). Citām sistēmām testu veic pēc subjekta iniciatīvas vai NKC vai SAB pieprasījuma. Testu var veikt paša subjekta darbinieki, kuri pēdējo triju gadu laikā nav izstrādājuši vai uzturējuši testējamo sistēmu (132.1. apakšpunkts).

Būtisko un svarīgo pakalpojumu sniedzējiem testu var veikt arī ārēja persona ar starptautisku sertifikātu ielaušanās testu jomā, piemēram, CEH vai OSCP. Sertifikāta vietā der vismaz divu gadu pieredze ielaušanās testos pēdējo piecu gadu laikā, un arī ārējais testētājs nedrīkst būt bijis iesaistīts sistēmā trīs gadus (132.2. apakšpunkts). Kritiskajai infrastruktūrai papildus vajadzīgs SAB atzinums, un rezultāti SAB jāpaziņo 10 darbdienu laikā (132.3. apakšpunkts un 134. punkts).

• Kas jādara: atzīmējiet katalogā A klases sistēmām pēdējā ielaušanās testa datumu un nākamo termiņu.
• Iekļaujiet testu jaunas A klases sistēmas nodošanas ekspluatācijā kontrolsarakstā.
• Testētāja līgumā pierakstiet viņa neatkarību no sistēmas un kvalifikācijas pierādījumu.

Drošības skenēšana (135.–140. punkts)

Drošības skenēšanu veic pēc NKC (būtisko un svarīgo pakalpojumu sniedzējiem) vai SAB (kritiskajai infrastruktūrai) pieprasījuma vai pēc paša subjekta pieprasījuma (135. punkts). Lemjot par skenēšanu, iestāde ņem vērā arī pēdējo triju gadu incidentus un sistēmu klasi (139. punkts).

Pašvērtējuma ziņojums (141.–143. punkts)

Ziņojumu pēc 16. pielikuma iesniedz līdz 1. oktobrim. Reizi gadā to iesniedz kritiskā infrastruktūra un subjekti ar kaut vienu A klases sistēmu, pārējie – reizi trijos gados (141. un 142. punkts). Kā to sagatavot, skaidro ceļvedis par pašvērtējuma ziņojumu.

9. nodaļa: noslēguma jautājumi un pārejas termiņi

• Jauns kritiskās infrastruktūras īpašnieks atbilstību nodrošina 12 mēnešu laikā pēc SAB paziņojuma (151. punkts).
• Par neatbilstošiem līgumiem un tehniskajiem resursiem bija jāinformē sešu mēnešu laikā no noteikumu spēkā stāšanās (152. punkts).
• Neatbilstoši līgumi, kas noslēgti pirms 2025. gada 2. jūlija, var palikt spēkā līdz izpildei, bet ne ilgāk kā piecus gadus no noslēgšanas dienas (153. punkts).
• Esošajiem publiskajiem elektronisko sakaru tīkliem 102. punkta prasības piemēro no 2030. gada 1. janvāra (155. punkts).

Kā sākt: secība, kas atmaksājas

1. Uzskaitiet sistēmas un nosakiet to drošības klases – no tām atkarīga vairums turpmāko prasību.
2. Ieceliet pārvaldnieku un dodiet viņam pilnvaras, ko prasa 44. punkts.
3. Sagatavojiet četrus obligātos dokumentus, sākot ar katalogu un risku plānu.
4. Aizveriet tehniskās prasības A klases sistēmām: MFA, žurnālfaili, rezerves kopijas, šifrēšana.
5. Pārskatiet IKT līgumus pret 4. nodaļu.
6. Ieplānojiet A klases ielaušanās testus, pārvaldnieka ikgadējo IKT drošības pārbaudi un pašvērtējuma termiņu.

Ātru priekšstatu par trūkumiem dod gatavības pašpārbaude, kas seko pašvērtējuma ziņojuma struktūrai. Ja vajadzīgs ārējs skatījums un prioritizēts darba plāns, OffSeq MK 397 trūkumu analīze salīdzina esošo stāvokli ar NKDL un MK noteikumu Nr. 397 prasībām.