Nacionālās kiberdrošības likums (NKDL) – pilns ceļvedis 2026

Kas ir Nacionālās kiberdrošības likums

Saeima Nacionālās kiberdrošības likumu pieņēma 2024. gada 20. jūnijā, tas publicēts “Latvijas Vēstnesī” 2024. gada 4. jūlijā (Nr. 128A) un stājās spēkā 2024. gada 1. septembrī. Ar to zaudēja spēku Informācijas tehnoloģiju drošības likums (pārejas noteikumu 1. punkts).

Likums Latvijā pārņem divas Eiropas Savienības direktīvas: NIS2 direktīvu (ES) 2022/2555 un Eiropas Elektronisko sakaru kodeksu (direktīva 2018/1972). Tāpēc lielākā daļa pienākumu sakrīt ar NIS2, taču vairākās vietās Latvija gājusi savu ceļu – piemēram, uzņēmuma lieluma definīcijā un statusu nosaukumos.

Likumā ir septiņas nodaļas, 1.–46. pants un 2026. gadā pievienotais 26.¹ pants, kā arī 15 pārejas noteikumu punkti. Likumi.lv publicē trīs konsolidētās redakcijas: pamata redakciju (01.09.2024.–17.06.2026.), redakciju no 18.06.2026. līdz 30.09.2026. un pašlaik spēkā esošo redakciju no 01.10.2026.

NKDL uzbūve

Nodaļa	Panti	Par ko
I. Vispārīgie noteikumi	1.–3.	Termini, mērķis, darbības joma
II. Par kiberdrošību atbildīgās institūcijas	4.–19.	NKC, SAB, kiberincidentu novēršanas institūcijas, Nacionālā kiberdrošības padome, Digitālās drošības uzraudzības komiteja
III. Subjektu identifikācija un uzskaite	20.–24.	Būtisko un svarīgo pakalpojumu sniedzēji, reģistrācija, IKT kritiskā infrastruktūra
IV. Subjektu kiberdrošības pārvaldība	25.–33.	Vadītāja un pārvaldnieka atbildība, minimālās prasības, personāla drošība, risku plāns, datu centri
V. Rīcība kiberincidenta gadījumā	34.–38.	Ziņošanas termiņi, kiberincidentu novēršanas institūciju rīcība, krīžu vadība
VI. Koordinēta ievainojamību atklāšana	39.–40.	Ziņošana par ievainojamībām un to novēršanas termiņi
VII. Uzraudzība un izpildes panākšana	41.–46.	Uzraugošās iestādes, pašvērtējums, audits, neatbilstību novēršana, soda naudas

Uz ko likums attiecas

NKDL 3. panta pirmā daļa nosauc četras adresātu grupas: subjektus (būtisko un svarīgo pakalpojumu sniedzējus un IKT kritiskās infrastruktūras īpašniekus vai tiesiskos valdītājus), valsts un pašvaldību institūcijas, privāto tiesību juridiskās personas un – noteiktos gadījumos – fiziskās personas, kas piedalās koordinētā ievainojamību atklāšanā. Valsts drošības iestādēm likums nav piemērojams.

Lielākā daļa pienākumu – pārvaldnieks, dokumentācija, ziņošana, pašvērtējums – attiecas tieši uz subjektiem. Tāpēc pirmais jautājums vienmēr ir statuss. To katra organizācija nosaka pati (22. panta pirmā daļa), un, ja atbilstība ir, mēneša laikā par to paziņo Nacionālajam kiberdrošības centram. Kā to izdarīt soli pa solim, skaidro ceļvedis par būtisko un svarīgo pakalpojumu sniedzēja statusu; ātrai pārbaudei izmantojiet statusa rīku.

Divi izņēmumi no tvēruma ir svarīgi praksē. Pirmkārt, likums neattiecas uz elektronisko sakaru tīklos pārraidītās informācijas saturu (3. panta otrā daļa). Otrkārt, finanšu vienībām, kas ir būtisko pakalpojumu sniedzēji, NKDL piemēro tikai tiktāl, ciktāl DORA regula 2022/2554 vai citi akti neparedz savas prasības (3. panta trešā daļa). Līdzīgi, ja nozares ES akts paredz vismaz līdzvērtīgus pienākumus, attiecīgos NKDL noteikumus nepiemēro (3. panta ceturtā daļa).

Divi statusi: būtisko un svarīgo pakalpojumu sniedzēji

Latvijas likums lieto terminus būtisko pakalpojumu sniedzējs (20. pants) un svarīgo pakalpojumu sniedzējs (21. pants). NIS2 direktīvas latviskajā tekstā tos sauc par būtiskajām un svarīgajām vienībām, bet Latvijas dokumentos, veidlapās un NKC saziņā lieto likuma terminus.

Statusu nosaka nozare un lielums. Liels saimnieciskās darbības veicējs nodarbina vismaz 250 cilvēku vai tā apgrozījums pārsniedz 50 miljonus euro, vai bilance pārsniedz 43 miljonus euro (1. panta 16. punkts; kopš 2026. gada 18. jūnija pietiek ar vienu finanšu rādītāju). Vidējs nodarbina līdz 249 cilvēkiem, un tā apgrozījums ir 10–50 miljoni euro vai bilance 10–43 miljoni euro (1. panta 25. punkts). Atšķirībā no ES MVU definīcijas darbinieku skaits vien uzņēmumu par vidēju nepadara.

Daļai kategoriju lielumam nav nozīmes. Neatkarīgi no lieluma būtisko pakalpojumu sniedzēji ir .lv reģistra uzturētājs, DNS pakalpojumu sniedzēji, elektronisko sakaru komersanti, kvalificēti uzticamības pakalpojumu sniedzēji, tiešās pārvaldes iestādes un citas valsts institūcijas, pašvaldības un citas atvasinātas publiskas personas, kā arī sabiedriskie elektroniskie plašsaziņas līdzekļi (20. panta 1.–7. punkts). Svarīgo pakalpojumu sniedzēji neatkarīgi no lieluma ir izglītības informācijas sistēmu uzturētāji un uzticamības pakalpojumu sniedzēji, kas nav kvalificēti (21. panta pirmās daļas 5. un 6. punkts).

Ar ko statusi atšķiras praksē

Jautājums	Būtisko pakalpojumu sniedzējs	Svarīgo pakalpojumu sniedzējs
Kiberrisku un nepārtrauktības plāna pārskatīšana	Reizi gadā, ja ir A klases sistēma; citādi reizi divos gados	Reizi trijos gados
Ārpakalpojumi A klases sistēmām	Piegādātājam un ražotājam jābūt no NATO, ES, EBTA vai IP4 valsts, ja nav SAB atzinuma (MK 397 101.–103. p.)	Papildu valstiskās piederības prasību nav; 86. punkta aizliegumi attiecas uz visiem
Pārvaldnieka sodāmības kritērijs	Ir (MK 397 12.2. p.)	Nav (MK 397 13.2. p.)
Pārvaldnieka lomu skaits vienai personai	Ne vairāk kā pieci	Nav ierobežots
Incidentu ziņojumi arī SAB	Jā, arī par nenozīmīgiem incidentiem (MK 397 121. p.)	Nē
Soda naudas griesti	10 milj. euro vai 2 %, ja apgrozījums pārsniedz 500 milj. euro	7 milj. euro vai 1,4 %, ja apgrozījums pārsniedz 500 milj. euro
Pagaidu aizliegums pildīt vadības funkcijas	Iespējams (45. p. 5. d. 3. p.)	Nepiemēro (45. p. 8. d.)

Kas uzrauga un kam ziņot

Nacionālais kiberdrošības centrs (NKC) ir kompetentā iestāde un vienotais kontaktpunkts; tas darbojas Aizsardzības ministrijā (4. pants) un uzrauga būtisko un svarīgo pakalpojumu sniedzējus (41. pants). NKC tīmekļvietne ir cyber.gov.lv – nevis nkc.gov.lv, kas pieder Nacionālajam kino centram. Jautājumiem par reģistrāciju un uzraudzību: NIS2@mod.gov.lv, tālrunis 67335131.

Iestādes un kontakti

Iestāde	Loma	Kontakti
NKC	Statusa paziņojumi, pārvaldnieka paziņojumi, pašvērtējums, uzraudzība	E-adrese «Aizsardzības ministrija Nacionālais kiberdrošības centrs»; NIS2@mod.gov.lv; 67335131
CERT.LV	Incidentu ziņojumi un ievainojamību ziņojumi (lielākā daļa subjektu)	cert@cert.lv; +371 67085888 (24/7)
SAB	IKT kritiskās infrastruktūras uzraudzība; ziņojumu kopijas no būtisko pakalpojumu sniedzējiem	SAB oficiālā e-adrese
Datu valsts inspekcija	Personas datu aizsardzības pārkāpumi (VDAR 33. pants)	pazinojums.dvi.gov.lv vai e-adrese

Kiberincidentu novēršanas institūcijas (9. pants) saņem ziņojumus par incidentiem un palīdz tos risināt. Lielākajai daļai organizāciju tā ir LU Matemātikas un informātikas institūta struktūrvienība CERT.LV; Aizsardzības ministrijai, tās padotības iestādēm un Nacionālajiem bruņotajiem spēkiem – Militārās izlūkošanas un drošības dienests (MilCERT). Satversmes aizsardzības birojs (SAB) uzrauga IKT kritisko infrastruktūru, un būtisko pakalpojumu sniedzēji tam sūta arī incidentu ziņojumu kopijas.

Kiberdrošības pārvaldība: IV nodaļa

IV nodaļa ir likuma kodols. Tās pirmais teikums nosaka, ka kiberdrošības pārvaldību nodrošina un par to atbild subjekta vadītājs (25. panta pirmā daļa). Pienākumu nevar nodot tikai IT nodaļai vai ārpakalpojuma sniedzējam.

Kiberdrošības pārvaldnieks

Vadītājs triju mēnešu laikā no statusa paziņojuma vai NKC lēmuma ieceļ kiberdrošības pārvaldnieku, un subjekts piecu darbdienu laikā paziņo NKC un SAB viņa vārdu, uzvārdu, personas kodu, amatu un kontaktus (25. panta otrā daļa; MK 397 3. pielikuma veidlapa). Pārvaldnieka pienākumi likumā ir četri: organizēt IKT drošības pasākumus, vismaz reizi gadā veikt IKT drošības pārbaudi un novērst trūkumus, vismaz reizi gadā apmeklēt kiberincidentu novēršanas institūcijas apmācību un vismaz reizi gadā nodrošināt darbinieku instruktāžu (25. panta piektā daļa). Kvalifikācijas prasības un piecu subjektu ierobežojumu skaidro ceļvedis par kiberdrošības pārvaldnieku.

Minimālās prasības un risku plāns

Subjekts veic piemērotus un samērīgus tehniskos un organizatoriskos pasākumus kiberrisku pārvaldībai (27. pants) un izstrādā kiberrisku pārvaldības un IKT darbības nepārtrauktības plānu (28. pants). Ko tieši nozīmē “piemēroti un samērīgi”, nosaka MK noteikumi Nr. 397, kas izdoti uz 26. panta pamata: dokumentu kopums, IKT resursu katalogs un A, B vai C drošības klase katrai sistēmai, piekļuves tiesības un daudzfaktoru autentifikācija, tīklu segmentācija, žurnālfaili, rezerves kopijas, instruktāžas, šifrēšana un ārpakalpojumu prasības.

Personāla drošība (26.¹ pants)

Kopš 2026. gada 18. jūnija IKT darbinieks ar privileģētu piekļuvi sistēmām, kam ir tieša ietekme uz pamatdarbību, nedrīkst būt sodīts par tīšu noziegumu, kas saistīts ar terorismu, vērsts pret valsti vai pārvaldības kārtību, izdarīts valsts institūciju dienestā vai vērsts pret īpašumu vai tautsaimniecībā – ja vien persona nav reabilitēta vai sodāmība nav noņemta vai dzēsta. Ja šāds gadījums ir, subjekts pieņem individuālu lēmumu, un tam ir tiesības pieprasīt ziņas no Sodu reģistra. Praktisko procesu apraksta ceļvedis par personāla drošību.

Datu centri un pakalpojumatteices aizsardzība

Informācijas sistēmas jāuztur infrastruktūrā, kas atbilst minimālajām prasībām, vai noteiktajām prasībām atbilstošos datu centros (30. pants). Šīs prasības no 2026. gada 1. oktobra nosaka MK noteikumi Nr. 602; esošo A klases sistēmu izvietojumam pilna atbilstība jāpanāk līdz 2027. gada 31. decembrim. Centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem (31. pants) regulē MK noteikumi Nr. 158.

Rīcība kiberincidenta gadījumā: V nodaļa

Par katru kiberincidentu subjekts nekavējoties informē kompetento kiberincidentu novēršanas institūciju (34. panta pirmā daļa). Ja incidents ir nozīmīgs, sākas termiņi: agrīnais brīdinājums 24 stundu laikā, sākotnējais ziņojums 72 stundu laikā (uzticamības pakalpojumu sniedzējiem – 24 stundu laikā) un galaziņojums mēneša laikā pēc sākotnējā ziņojuma. Ja incidents līdz tam nav atrisināts, iesniedz progresa ziņojumu, bet galaziņojumu – pēc atrisināšanas. Šos termiņus piemēro kopš 2025. gada 1. jūlija.

Institūcija 24 stundu laikā pēc sākotnējās informācijas sniedz incidenta sākotnējo vērtējumu un vienojas par atbalstu (35. panta otrā daļa). Nozīmīguma kritērijus, veidlapas un adresātus skaidro ceļvedis par nozīmīga kiberincidenta ziņošanu, bet savus termiņus pēc konstatēšanas laika varat aprēķināt ziņošanas pulkstenī.

Ievainojamības: VI nodaļa

Persona, kas atklāj ievainojamību, piecu darbdienu laikā iesniedz ievainojamības atklāšanas ziņojumu kiberincidentu novēršanas institūcijai (39. panta pirmā daļa). Subjekts ievainojamību novērš institūcijas noteiktajā termiņā, bet ne vēlāk kā 90 dienu laikā pēc informācijas saņemšanas, un informē par gaitu. Ja objektīvu iemeslu dēļ tas nav iespējams, institūcija pēc subjekta pieprasījuma var pagarināt termiņu līdz 180 dienām no ziņojuma iesniegšanas (40. pants). Tas nozīmē, ka subjektam vajag procesu, kā pieņemt ziņojumus no ārpuses un sekot to novēršanai.

Uzraudzība, audits un sodi: VII nodaļa

NKC uzrauga būtisko un svarīgo pakalpojumu sniedzējus, SAB – IKT kritisko infrastruktūru (41. pants). Uzraudzība ietver klātienes pārbaudes, attālinātu pārraudzību, dokumentu pārbaudes un drošības skenēšanu (42. pants). Subjekti iesniedz pašvērtējuma ziņojumu (43. pants) – MK 397 noteiktajā kārtībā līdz 1. oktobrim reizi gadā vai reizi trijos gados.

Periodiska ārējā audita pienākuma likumā nav. NKC vai SAB var veikt auditu vai uzdot subjektam pasūtīt ārēju auditu, ja ir aizdomas par pārkāpumiem vai tie ir konstatēti, un izmaksas sedz subjekts (44. pants). Soda naudu piemēro tikai par būtisku neatbilstību: ja nav veikti piemēroti un samērīgi pasākumi, ja subjekts vairākkārt atsakās sniegt uzraugam informāciju vai ja par nozīmīgu kiberincidentu nav paziņots termiņā vai apzināti sniegtas nepatiesas ziņas (46. panta piektā daļa). Valsts un pašvaldību institūcijām soda naudas nepiemēro (46. panta divpadsmitā daļa). Sīkāk – ceļvedī par uzraudzību un sodiem.

Subjekta kiberdrošības pārvaldību nodrošina un par to atbild subjekta vadītājs.

NKDL 25. panta pirmā daļa

Kas mainījās 2026. gadā

Vienīgie līdz šim pieņemtie likuma grozījumi (pieņemti 04.06.2026) stājās spēkā 2026. gada 18. jūnijā. Galvenās izmaiņas:

• Liela uzņēmuma definīcijā vārds “un” aizstāts ar “vai”: pietiek ar apgrozījumu virs 50 milj. euro vai bilanci virs 43 milj. euro.
• Subjektu sarakstu apstiprina NKC; tas var izslēgt subjektus no saraksta un pats noteikt statusu, ja organizācija to noteikusi neatbilstoši (22. panta 4.¹ un 5.¹ daļa).
• Pārvaldnieks jāieceļ triju mēnešu laikā no paziņojuma vai NKC lēmuma (25. panta otrā daļa).
• Jauns 26.¹ pants par personāla drošības prasībām.
• Izslēgts 29. pants par agrās brīdināšanas sensoriem.
• Pašvērtējuma ziņojumu iesniedz NKC vai SAB (43. panta pirmā daļa).
• Kiberdrošības auditoru prasības turpmāk noteiks Ministru kabinets; līdz tam piemēro MK 397 prasības, bet ne ilgāk kā līdz 2026. gada 1. decembrim (pārejas noteikumu 14. punkts).
• No 2026. gada 1. oktobra 20. panta 11. punkts aptver arī nacionālajai drošībai nozīmīgas komercsabiedrības, nodibinājumus un biedrības; izņēmums ir meža zemes (vismaz 10 000 ha) un lauksaimniecības zemes (vismaz 4000 ha) īpašnieki.

Detalizētu salīdzinājumu pa pantiem skatiet ceļvedī par NKDL grozījumiem 2026. gadā.

Kas jādara tagad

1. Nosakiet statusu pēc 20. un 21. panta un pārbaudiet lielumu pēc NKDL, nevis ES MVU definīcijas.
2. Ja statuss atbilst un paziņojums vēl nav iesniegts, iesniedziet MK 397 1. pielikuma veidlapu ar drošu elektronisko parakstu uz Aizsardzības ministrijas oficiālo e-adresi.
3. Ieceliet kiberdrošības pārvaldnieku, pārbaudiet viņa atbilstību MK 397 prasībām un piecu darbdienu laikā paziņojiet NKC un SAB ar 3. pielikuma veidlapu.
4. Sastādiet četru dokumentu kopumu: politiku, IKT resursu katalogu ar drošības klasēm, kiberrisku un nepārtrauktības plānu un kiberincidentu žurnālu.
5. Sagatavojiet ziņošanas procesu: nozīmīguma kritērijus, veidlapas, saņēmējus un atbildīgos 24 un 72 stundu termiņiem.
6. Pārskatiet IKT ārpakalpojumu līgumus pret MK 397 4. nodaļu un privileģēto darbinieku pārbaudes pret 26.¹ pantu.
7. Ieplānojiet nākamo pašvērtējuma ziņojumu līdz 1. oktobrim un ikgadējo IKT drošības pārbaudi.

Lai saprastu, kur jūsu organizācija ir šodien, izmantojiet gatavības pašpārbaudi. Ja vajag ārēju skatu, OffSeq veic NKDL atbilstības sagatavošanu ar trūkumu analīzi un ieviešanas plānu.