NKDL grozījumi 2026: kas mainījās no 18. jūnija un 1. oktobra

Grozījumu likums īsumā

Likums “Grozījumi Nacionālās kiberdrošības likumā” pieņemts 2026. gada 4. jūnijā, izsludināts 17. jūnijā un publicēts “Latvijas Vēstnesī” Nr. 115 (17.06.2026). Tas stājās spēkā nākamajā dienā pēc izsludināšanas, t. i., 18. jūnijā. Tas ir vienīgais NKDL grozījumu likums kopš likuma spēkā stāšanās 2024. gada 1. septembrī.

Tāpēc NKDL vietnē likumi.lv tagad ir trīs redakcijas: pamata redakcija (01.09.2024.–17.06.2026.), vēsturiskā redakcija (18.06.2026.–30.09.2026.) un spēkā esošā redakcija no 2026. gada 1. oktobra. Atsaucoties uz likumu dokumentos vai līgumos, norādiet redakcijas datumu.

Grozījumi nemaina incidentu ziņošanas termiņus, soda naudas apmērus un pašvērtējuma ziņojuma biežumu. Tie pārkārto statusa noteikšanu, precizē, kas ir liels saimnieciskās darbības veicējs, ievieš personāla drošības prasības, nosaka termiņu kiberdrošības pārvaldnieka iecelšanai un maina auditoru regulējumu.

Pantu salīdzinājums

NKDL izmaiņas pēc 2026. gada 4. jūnija grozījumu likuma

Norma	Līdz 17.06.2026	No 18.06.2026 (vai norādītā datuma)
Visā likumā	“domēnu nosaukumi”	“domēnu vārdi” (terminoloģisks labojums, piemēram, “domēnu vārdu reģistrācijas pakalpojumu sniedzējs”)
1. panta 16. punkta “b” apakšpunkts	Liels: apgrozījums pārsniedz 50 milj. euro un bilance pārsniedz 43 milj. euro	Liels: apgrozījums pārsniedz 50 milj. euro vai bilance pārsniedz 43 milj. euro
3. panta pirmās daļas 2. punkts; 20. panta 5. punkts	Tvērumā arī privāto tiesību juridiskās personas, kas pilda valsts pārvaldes deleģētu uzdevumu	Šie vārdi izslēgti
5. panta pirmās daļas 6. punkts	NKC nodrošina saraksta apstiprināšanu Digitālās drošības uzraudzības komitejā	NKC sarakstu apstiprina pats
20. panta 11. punkts	Iestāde vai saimnieciskās darbības veicējs, kura traucējums var būtiski ietekmēt sabiedrības drošību, aizsardzību, veselību vai radīt sistēmisku risku	No 01.10.2026 papildināts: “tai skaitā nacionālajai drošībai nozīmīga komercsabiedrība, nodibinājums un biedrība”, izņemot meža zemes (≥ 10 000 ha) un lauksaimniecības zemes (≥ 4000 ha) īpašniekus
22. panta ceturtā daļa	Sarakstu apstiprina komiteja	NKC apkopo un apstiprina sarakstu
22. panta 4.¹ daļa (jauna)	–	NKC var izslēgt no saraksta publiskas personas, kuru traucējums nevar būtiski ietekmēt drošību, aizsardzību, veselību vai radīt sistēmisku risku, un privātpersonas, kas vairs neatbilst statusam
22. panta piektā daļa; 5.¹ daļa (jauna)	Par nepieteikušos personu lēma komiteja pēc NKC ierosinājuma	NKC pieņem lēmumu pats; lēmumu pieņem arī tad, ja persona savu statusu noteikusi neatbilstoši
23. panta ceturtā, piektā un 5.¹ daļa	Domēnu reģistrācijas pakalpojumu sniedzēju sarakstā iesaistīta komiteja	Analogi 22. pantam: lēmumus pieņem NKC
24. panta otrā daļa	MK nosaka IKT kritiskās infrastruktūras drošības prasības un pasākumus	Papildus – izmantoto IKT resursu, pakalpojumu un piegādes ķēžu drošības risku pārvaldības prasības
25. panta otrā daļa	Iecelšanas termiņš likumā nebija noteikts	Vadītājs nosaka pārvaldnieku ne vēlāk kā triju mēnešu laikā no 22. panta paziņojuma vai NKC lēmuma
25. panta trešā daļa	Pārvaldnieku IKT kritiskajā infrastruktūrā saskaņo ar SAB	Papildus: pretendentu SAB paziņo triju mēnešu laikā no iekļaušanas kritiskās infrastruktūras kopumā
26.¹ pants (jauns)	–	Personāla drošības prasības IKT darbiniekiem ar privileģētu piekļuvi; tiesības pieprasīt ziņas no Sodu reģistra
29. pants	“Agrās brīdināšanas sensori”	Izslēgts
30. panta otrās daļas 1. punkts	Deleģējumā bija vārds “reģistrācijas”	Vārds “reģistrācijas” izslēgts
43. panta pirmā daļa	Pašvērtējuma ziņojumu iesniedz NKC un SAB	Iesniedz NKC vai SAB atbilstoši 41. panta uzraudzības dalījumam
44. panta otrā daļa	Auditora prasības saistītas ar auditoru sarakstu MK noteikumos Nr. 397	Neatkarīgs auditors bez interešu konflikta; prasības nosaka Ministru kabinets
Pārejas noteikumu 14. un 15. punkts (jauni)	–	14.: līdz jaunajiem MK noteikumiem, bet ne ilgāk kā līdz 01.12.2026, auditoram piemēro MK 397 saraksta prasības; 15.: 20. panta 11. punkta grozījumi stājas spēkā 01.10.2026

Statusa lēmumi tagad pieņem NKC

Līdz 17. jūnijam būtisko un svarīgo pakalpojumu sniedzēju sarakstu apstiprināja Digitālās drošības uzraudzības komiteja, un tā lēma arī par personām, kas nebija pieteikušās pašas. Tagad Nacionālais kiberdrošības centrs (NKC) sarakstu apkopo un apstiprina pats (22. panta ceturtā daļa) un pieņem lēmumus par personas atbilstību statusam (piektā daļa).

Divas jaunas daļas maina praksi. Pēc 4.¹ daļas NKC var izslēgt no saraksta tiešās vai pastarpinātās pārvaldes iestādi, atvasinātu publisku personu vai citu valsts institūciju, kuras darbības traucējums nevar būtiski ietekmēt sabiedrības drošību, valsts aizsardzību, sabiedrības veselību vai radīt būtisku sistēmisku risku. Tāpat tā var izslēgt privāto tiesību juridisko personu, kas vairs neatbilst statusam. Pēc 5.¹ daļas NKC pieņem lēmumu arī tad, ja konstatē, ka persona savu statusu noteikusi neatbilstoši. Tātad NKC var gan pazemināt, gan paaugstināt pašu noteikto statusu vai to noteikt tiem, kas uzskatīja, ka likums uz tiem neattiecas.

Tā ir funkciju pārdale, nevis komitejas izbeigšana. Grozījumu likums izņēma Digitālās drošības uzraudzības komiteju tikai no saraksta apstiprināšanas un statusa lēmumiem 5., 22. un 23. pantā. NKDL 17. pants “Digitālās drošības uzraudzības komiteja” spēkā esošajā redakcijā ir saglabāts bez grozījumu atzīmes. Komiteja joprojām ir koleģiāla uzraudzības institūcija aizsardzības ministra pakļautībā. Kiberincidentu novēršanas institūcijas to informē par nozīmīgiem kiberincidentiem, kas skar kvalificētus uzticamības pakalpojumu sniedzējus (17. panta trešā daļa), un kompetentās institūcijas ar to apmainās ar informāciju par elektroniskās identifikācijas un uzticamības pakalpojumu sniedzējiem (13. panta trešās daļas 6. punkts). Subjektam tas nozīmē, ka par statusu tagad jārunā ar NKC.

Pārbaudīt savu statusu pēc pašreizējās redakcijas var ar statusa pārbaudes rīku, bet kritēriju skaidrojums ir ceļvedī par pakalpojumu sniedzēja statusu.

Kurš ienāk un kurš iziet no tvēruma

“Liels” pēc apgrozījuma vai bilances

Mazākais grozījums ar lielāko ietekmi ir viens vārds 1. panta 16. punkta “b” apakšpunktā. Iepriekš saimnieciskās darbības veicējs bez 250 nodarbinātajiem bija liels tikai tad, ja vienlaikus apgrozījums pārsniedza 50 miljonus euro un bilance – 43 miljonus euro. Tagad pietiek ar vienu no tiem. Piemērs: energoapgādes komersants ar 120 darbiniekiem, 80 miljonu euro apgrozījumu un 30 miljonu euro bilanci līdz 17. jūnijam nebija liels. Tā kā energoapgāde ir 20. panta 8. punktā minēta joma, līdz šim tas varēja būt svarīgo pakalpojumu sniedzējs, bet tagad tas kļūst par būtisko.

Deleģētu valsts pārvaldes uzdevumu izpildītāji

No 3. panta pirmās daļas 2. punkta un 20. panta 5. punkta izslēgtas privāto tiesību juridiskās personas, kas pilda valsts pārvaldes deleģētu uzdevumu. Pats deleģējums vairs nepadara tās par būtisko pakalpojumu sniedzējām. Ja tās atbilst nozares un lieluma kritērijiem 20. vai 21. pantā, tās paliek tvērumā uz šī pamata. Ja neatbilst, tās var lūgt NKC izslēgšanu pēc 22. panta 4.¹ daļas.

Nacionālajai drošībai nozīmīgas organizācijas no 1. oktobra

Ar 2026. gada 1. oktobri 20. panta 11. punkts tieši ietver “nacionālajai drošībai nozīmīgu komercsabiedrību, nodibinājumu un biedrību”. Izņēmums ir Latvijā esošas meža zemes (vismaz 10 000 ha) un lauksaimniecības zemes (vismaz 4000 ha) īpašnieki. Tās ir būtisko pakalpojumu sniedzējas neatkarīgi no lieluma.

NKDL šo jēdzienu nedefinē un neatsaucas uz citu likumu. Tas pats jēdziens tomēr ir lietots Nacionālās drošības likuma VI nodaļā “Apdraudējuma novēršana nacionālajai drošībai nozīmīgām komercsabiedrībām, biedrībām un nodibinājumiem”. Tās 37. panta kritēriju sarakstā ir arī meža un lauksaimniecības zemes īpašnieki tādos pašos apjomos, kurus NKDL izslēdz. Tas ir mūsu secinājums, nevis NKC skaidrojums. Ja jūsu organizācija atbilst Nacionālās drošības likuma 37. pantam, pieņemiet, ka 20. panta 11. punkts uz to attiecas, un precizējiet statusu ar NKC.

Šādai organizācijai sāk ritēt 22. panta pirmās daļas termiņš: atbilstības gadījumā NKC jāpaziņo ne vēlāk kā mēneša laikā. Pēc paziņojuma triju mēnešu laikā jāieceļ kiberdrošības pārvaldnieks (25. panta otrā daļa), un piecu darbdienu laikā par to jāinformē NKC un SAB.

Kiberdrošības pārvaldnieks triju mēnešu laikā

25. panta otrā daļa tagad sākas ar teikumu, kura iepriekš nebija: subjekta vadītājs kiberdrošības pārvaldnieku nosaka ne vēlāk kā triju mēnešu laikā no paziņojuma NKC vai NKC lēmuma pieņemšanas. Paziņošanas termiņš (piecas darbdienas pēc iecelšanas) nav mainīts. IKT kritiskajai infrastruktūrai trešā daļa paredz, ka pretendents SAB jāpaziņo triju mēnešu laikā no iekļaušanas Ministru kabineta apstiprinātajā kritiskās infrastruktūras kopumā.

Subjektiem, kas pārvaldnieku paziņoja līdz 2025. gada 1. oktobrim (pārejas noteikumu 10. punkts), nekas nav jādara. Termiņš attiecas uz jauniem subjektiem un tiem, par kuriem NKC pieņem lēmumu. Kvalifikācijas prasības un ārpakalpojuma iespējas skaidrotas ceļvedī par kiberdrošības pārvaldnieku, bet pretendenta atbilstību var pārbaudīt ar pārvaldnieka rīku.

Piegādes ķēde un personāla drošība

24. panta otrā daļa attiecas uz IKT kritisko infrastruktūru. Tagad Ministru kabinetam jānosaka ne tikai tās drošības prasības, bet arī izmantoto IKT resursu, pakalpojumu un piegādes ķēžu drošības risku pārvaldības prasības. Pārējiem subjektiem piegādes ķēdes riski jau ir regulēti MK noteikumos Nr. 397: 41.2. apakšpunktā (riska novērtējums) un 4. nodaļā (ārpakalpojumi).

Jaunais 26.¹ pants nosaka, ka IKT darbinieks ar privileģētām tiesībām piekļūt sistēmām, kurām ir tieša ietekme uz subjekta pamatdarbību, nevar būt persona, kas sodīta par noteiktiem tīšiem noziegumiem. Izņēmums ir reabilitētas personas un personas, kurām sodāmība noņemta vai dzēsta. Subjektam ir jāpieņem individuāls lēmums un ir tiesības pieprasīt ziņas no Sodu reģistra pirms pieņemšanas darbā. Tas attiecas uz visiem subjektiem un stājās spēkā 18. jūnijā. Process, VDAR aspekti un lēmuma struktūra – ceļvedī par personāla drošību.

Sensori, pašvērtējums un datu centri

29. pants “Agrās brīdināšanas sensori” izslēgts pilnībā. 43. panta pirmajā daļā “un” aizstāts ar “vai”. Pašvērtējuma ziņojumu tagad iesniedz vienai uzraugošajai iestādei atbilstoši 41. pantam: NKC – būtisko un svarīgo pakalpojumu sniedzēji, SAB – IKT kritiskā infrastruktūra. Pārejas noteikumu 12. punktā par pirmo ziņojumu (līdz 01.10.2025) joprojām minēts “Nacionālajam kiberdrošības centram un Satversmes aizsardzības birojam”, bet tas attiecas uz jau pagājušu termiņu.

No 30. panta otrās daļas 1. punkta izslēgts vārds “reģistrācijas”. Uz šī panta pamata izdotie MK noteikumi Nr. 602 “Informācijas sistēmu izvietošanas un datu centru drošības prasības” stājās spēkā tajā pašā 1. oktobrī. Tie nav NKDL grozījumi, taču tie ir nākamais darba punkts: esošie A klases sistēmu izvietojumi jāpaziņo, un neatbilstošiem izvietojumiem līdz 2026. gada 31. decembrim jāsagatavo atbilstības plāns.

Auditori: pārejas periods līdz 1. decembrim

Ārējais audits pēc NKDL nav periodisks. NKC vai SAB to var veikt vai uzdot veikt, ja ir aizdomas par kiberdrošības pārkāpumiem vai tie ir konstatēti (44. panta pirmā daļa). Grozītā otrā daļa nosaka, ka ārējo auditu veic neatkarīgs kiberdrošības auditors bez interešu konflikta, kurš atbilst Ministru kabineta noteiktajām prasībām.

Līdz šā likuma 44. panta otrajā daļā minēto Ministru kabineta noteikumu spēkā stāšanās dienai, bet ne ilgāk kā līdz 2026. gada 1. decembrim kiberdrošības auditoram piemēro tās prasības, kas Ministru kabineta 2025. gada 25. jūnija noteikumos Nr. 397 “Minimālās kiberdrošības prasības” bija noteiktas, lai auditors varētu tikt reģistrēts kiberdrošības auditoru sarakstā.

NKDL pārejas noteikumu 14. punkts

Līdz 1. decembrim auditoram jāatbilst MK noteikumu Nr. 397 122. punkta prasībām (izcelsmes nosacījumi, starptautiski atzīti sertifikāti, piemēram, CISA, ISO/IEC 27001 Lead Auditor vai CISSP, tehniskās iespējas). 2026. gada 23. oktobrī jaunie Ministru kabineta noteikumi par auditoru prasībām nav atrodami likumi.lv. Ja uzraugs uzdod veikt auditu ap šo datumu, līgumā fiksējiet, kuras redakcijas prasības auditors izpilda. Uzraudzības pasākumi un sodi apskatīti ceļvedī par uzraudzību un sodiem.

Ietekme pa subjektu veidiem

Ko 2026. gada grozījumi nozīmē praksē

Subjekts	Galvenās izmaiņas	Ieteicamā darbība
Būtisko pakalpojumu sniedzējs (privāts)	26.¹ pants; NKC var pārskatīt statusu; auditoru pārejas periods	Ieviest privileģētās piekļuves personāla pārbaudi; pārbaudīt, vai paziņojuma dati NKC ir aktuāli
Svarīgo pakalpojumu sniedzējs	26.¹ pants; iespējama pāreja uz būtisko statusu, ja apgrozījums pārsniedz 50 milj. euro vai bilance – 43 milj. euro	Pārrēķināt lielumu pēc pēdējā finanšu gada; ja statuss mainās, divu nedēļu laikā paziņot NKC (22. panta otrā daļa)
Uzņēmums ārpus tvēruma ar lielu apgrozījumu	Jaunā “vai” formula var padarīt to par lielu	Veikt pašvērtējumu; atbilstības gadījumā mēneša laikā paziņot NKC un triju mēnešu laikā iecelt pārvaldnieku
Nacionālajai drošībai nozīmīga komercsabiedrība, nodibinājums vai biedrība	No 01.10.2026 būtisko pakalpojumu sniedzējs (izņemot lielos zemes īpašniekus)	Paziņot NKC, iecelt pārvaldnieku, uzsākt MK 397 dokumentāciju
Deleģēta uzdevuma izpildītājs (privāto tiesību persona)	Deleģējums vairs nav patstāvīgs tvēruma pamats	Pārbaudīt 20. un 21. panta kritērijus; ja neatbilst, lūgt NKC izslēgšanu
Valsts un pašvaldību iestādes	NKC var izslēgt iestādi, kuras traucējums nevar būtiski ietekmēt drošību, aizsardzību vai veselību	Ja pamats ir, sagatavot argumentētu lūgumu NKC
IKT kritiskās infrastruktūras īpašnieks	Piegādes ķēžu prasības 24. pantā; pretendents SAB triju mēnešu laikā; pašvērtējums tikai SAB	Sekot MK noteikumu izmaiņām; pārskatīt ārpakalpojumu reģistru
Kiberdrošības auditors	Prasības nosaka jauni MK noteikumi; pārejas periods līdz 01.12.2026	Sekot jauno noteikumu pieņemšanai

Kas jādara tagad

1. Pārrēķiniet lielumu pēc jaunās 1. panta 16. punkta formulas un pārbaudiet savu statusu.
2. Ja jūsu organizācija atbilst Nacionālās drošības likuma 37. pantam, izvērtējiet 20. panta 11. punktu un, ja attiecas, paziņojiet NKC.
3. Sarakstiet IKT lomas ar privileģētu piekļuvi un ieviesiet 26.¹ panta pārbaudes procesu personāla atlasē.
4. Pārliecinieties, ka pārvaldnieks ir iecelts un paziņots, bet jauniem subjektiem – ka trīs mēnešu termiņš ir kalendārā.
5. Pašvērtējuma ziņojumu sūtiet tikai savai uzraugošajai iestādei (NKC vai SAB).
6. Iekšējos dokumentos aizstājiet atsauces uz komiteju ar NKC un “domēnu nosaukumi” ar “domēnu vārdi”.
7. Ja jūsu A klases sistēmas izvietotas ārpakalpojumā, uzsāciet MK noteikumu Nr. 602 atbilstības plānu.

Ātru priekšstatu par to, kur organizācija atrodas pēc šīm izmaiņām, var iegūt ar OffSeq NIS2 pārbaudi, pirms plānojat detalizētāku trūkumu analīzi.