Būtisko vai svarīgo pakalpojumu sniedzējs? Statuss pēc NKDL

Kāpēc statuss ir pirmais jautājums

Gandrīz visi NKDL un MK noteikumu Nr. 397 pienākumi attiecas uz subjektiem: būtisko pakalpojumu sniedzējiem, svarīgo pakalpojumu sniedzējiem un IKT kritiskās infrastruktūras īpašniekiem vai tiesiskajiem valdītājiem. No statusa atkarīgs, vai jāieceļ kiberdrošības pārvaldnieks, jāziņo par nozīmīgiem incidentiem 24 un 72 stundu laikā, cik bieži jāpārskata risku plāns un kādi ir soda naudas griesti.

NKDL 22. panta pirmā daļa ir skaidra: persona pati veic pašvērtējumu par atbilstību statusam un, ja atbilst, ne vēlāk kā mēneša laikā paziņo NKC. Būtisko un svarīgo pakalpojumu sniedzēju saraksts ir ierobežotas pieejamības informācija, tāpēc kaimiņa vai konkurenta statusu pārbaudīt nevarēsiet. Ja organizācija nav paziņojusi vai statusu noteikusi neatbilstoši, NKC var pieņemt lēmumu pats (22. panta piektā un 5.¹ daļa).

Ātrai orientācijai izmantojiet statusa pārbaudes rīku – tas seko tiem pašiem četriem soļiem un parāda pamatojumu ar panta atsaucēm.

1. solis: kategorijas, kurām lielums nav svarīgs

Vispirms pārbaudiet, vai neesat kādā no kategorijām, kurām statuss iestājas neatkarīgi no darbinieku skaita un apgrozījuma. Ja esat, pārējie soļi statusu var tikai paaugstināt, ne atcelt.

Statuss neatkarīgi no lieluma

Kategorija	Statuss	NKDL
Augstākā līmeņa domēna (piemēram, .lv) reģistra uzturētājs	Būtisko	20. p. 1. p.
Publiski pieejamu rekursīvo vai autoritatīvo DNS pakalpojumu sniedzējs (izņemot saknes vārdu serverus)	Būtisko	20. p. 2. p.
Elektronisko sakaru komersants	Būtisko	20. p. 3. p.
Kvalificēts uzticamības pakalpojumu sniedzējs	Būtisko	20. p. 4. p.
Tiešās pārvaldes iestāde vai cita valsts institūcija (izņemot valsts drošības iestādes)	Būtisko	20. p. 5. p.
Atvasināta publiska persona, piemēram, pašvaldība	Būtisko	20. p. 6. p.
Sabiedriskie elektroniskie plašsaziņas līdzekļi	Būtisko	20. p. 7. p.
Izglītības informācijas sistēmas uzturētājs	Svarīgo	21. p. 1. d. 5. p.
Uzticamības pakalpojumu sniedzējs, kas nav kvalificēts	Svarīgo	21. p. 1. d. 6. p.

Atsevišķs pienākums ir domēnu vārdu reģistrācijas pakalpojumu sniedzējiem: tiem mēneša laikā jāreģistrējas NKC neatkarīgi no tā, vai tie ir būtisko vai svarīgo pakalpojumu sniedzēji (23. pants). No MK 397 uz tiem attiecas tikai 9. punkts par paziņošanas kārtību (4. punkts).

2. solis: nozare

Ja neviena no iepriekšējām kategorijām neatbilst, nosakiet, vai darbojaties kādā no likumā uzskaitītajām jomām. Likums dala tās divos sarakstos. 20. panta 8. punkta jomās liels uzņēmums ir būtisko, bet vidējs – svarīgo pakalpojumu sniedzējs (21. panta pirmās daļas 1. punkts). 21. panta pirmās daļas 2. punkta jomās gan vidējs, gan liels uzņēmums ir svarīgo pakalpojumu sniedzējs.

Divi nozaru saraksti

Saraksts	Jomas	Liels	Vidējs
20. p. 8. p.	Enerģētika (energoapgāde, nafta, ūdeņradis); transports (aviācija, dzelzceļš, kuģošanas kompānijas, ostas pārvaldes un komersanti ostas teritorijā, valsts autoceļi, intelektiskās transporta sistēmas); kredītiestādes, centrālie darījumu partneri un tirdzniecības vietas; ārstniecības iestādes un ES references laboratorijas; zāļu izpēte un ražošana; kritiski svarīgu medicīnisko ierīču ražotāji; dzeramais ūdens un ūdenssaimniecība; interneta plūsmu apmaiņas punkti, mākoņdatošana, datu centri, satura piegādes tīkli; IKT pārvaldības vai kiberdrošības pakalpojumi; kosmosā izvietoti pakalpojumi	Būtisko	Svarīgo
21. p. 1. d. 2. p.	Pasts; atkritumu apsaimniekošana; ķīmisko vielu ražošana un vairumtirdzniecība; izstrādājumi no ķīmiskām vielām; pārtikas rūpnieciska ražošana, pārstrāde un vairumtirdzniecība; medicīnisko ierīču, datoru, elektronisko un optisko iekārtu, elektrisko iekārtu, citur neklasificētu iekārtu, automobiļu un citu transportlīdzekļu ražošana; tiešsaistes tirdzniecības vietas, meklētājprogrammas, sociālo mediju platformas; zinātniskās institūcijas; apsardzes pakalpojumi	Svarīgo	Svarīgo

Svarīga detaļa: likuma jomai nav obligāti jābūt jūsu pamatdarbībai. NKC skaidro, ka uzņēmums var būt NKDL subjekts arī tad, ja darbība kādā no nozarēm nav tā pamatdarbība (NKC biežāk uzdotie jautājumi, 7. jautājums). Izņēmumi ir tur, kur likums pamatdarbību prasa tieši: pārtikas ražošana un vairumtirdzniecība, ķīmisko vielu izplatīšana un dzeramā ūdens piegāde.

3. solis: lielums pēc NKDL, nevis pēc ES MVU definīcijas

Šeit kļūdās visbiežāk. NIS2 direktīva atsaucas uz ES ieteikumu par mikrouzņēmumiem, mazajiem un vidējiem uzņēmumiem, pēc kura uzņēmums ar 50 darbiniekiem jau ir vidējs. Latvijas likums lielumu definē pats.

• Liels (1. panta 16. punkts): vismaz 250 nodarbināto vai pēdējā finanšu gada neto apgrozījums virs 50 milj. euro, vai gada bilances kopsumma virs 43 milj. euro. Kopš 2026. gada 18. jūnija pietiek ar vienu no finanšu rādītājiem – iepriekš bija jāpārsniedz abi.
• Vidējs (1. panta 25. punkts): līdz 249 nodarbinātajiem un apgrozījums no 10 līdz 50 milj. euro vai bilance no 10 līdz 43 milj. euro.

Tas nozīmē, ka vidējam uzņēmumam nav darbinieku apakšējās robežas, bet ir finanšu apakšējā robeža – 10 milj. euro. Uzņēmums ar 60 darbiniekiem un 5 milj. euro apgrozījumu pēc NIS2 terminoloģijas būtu vidējs, bet pēc NKDL tas nav ne vidējs, ne liels.

Piemēri: lielums un statuss mākoņdatošanas uzņēmumam (20. p. 8. p. s)

Nodarbinātie	Apgrozījums	Bilance	Lielums pēc NKDL	Statuss
60	5 milj. euro	4 milj. euro	Zem sliekšņiem	Nav subjekts (ja nav vienīgais pakalpojuma sniedzējs Latvijā)
40	12 milj. euro	3 milj. euro	Vidējs	Svarīgo pakalpojumu sniedzējs
120	8 milj. euro	11 milj. euro	Vidējs	Svarīgo pakalpojumu sniedzējs
30	55 milj. euro	20 milj. euro	Liels (kopš 18.06.2026)	Būtisko pakalpojumu sniedzējs
260	6 milj. euro	2 milj. euro	Liels	Būtisko pakalpojumu sniedzējs

Ja jūsu organizācija ir daļa no koncerna, likuma definīcija runā par personu “vai šādu personu apvienību”. Kā ieskaitīt saistīto uzņēmumu darbiniekus un finanšu datus, precizējiet ar NKC – no tā var būt atkarīgs, vai esat vidējs vai liels.

4. solis: īpaši gadījumi

Pat ja pēc lieluma neesat subjekts, likums paredz vairākus gadījumus, kad statuss iestājas citādi.

• Vienīgais pakalpojuma sniedzējs Latvijā. Ja darbojaties 20. panta 8. punkta jomā un esat vienīgais šāda pakalpojuma sniedzējs valstī, esat būtisko pakalpojumu sniedzējs (20. panta 9. punkts); 21. panta jomās – svarīgo (21. panta pirmās daļas 3. punkts).
• Pastarpinātās pārvaldes iestādes, kas sniedz pakalpojumus vai darbojas privāto tiesību jomā 20. panta 8. punkta jomās, ir būtisko pakalpojumu sniedzēji (20. panta 10. punkts), bet 21. panta jomās – svarīgo (21. panta pirmās daļas 4. punkts).
• Būtiska ietekme uz sabiedrību. Būtisko pakalpojumu sniedzējs ir arī iestāde vai saimnieciskās darbības veicējs, kura darbības traucējums var būtiski ietekmēt sabiedrības drošību, valsts aizsardzību vai sabiedrības veselību vai radīt būtisku sistēmisku risku (20. panta 11. punkts).
• Nacionālajai drošībai nozīmīgas organizācijas. Kopš 2026. gada 1. oktobra 20. panta 11. punkts tieši nosauc nacionālajai drošībai nozīmīgas komercsabiedrības, nodibinājumus un biedrības. Izņēmums – Latvijā esošas meža zemes (no 10 000 ha) un lauksaimniecības zemes (no 4000 ha) īpašnieki.
• IKT kritiskā infrastruktūra ir atsevišķs subjektu veids (3. panta pirmās daļas 1. punkts, 24. pants). To uzrauga SAB, un tai MK 397 paredz stingrākas prasības, piemēram, pārvaldniekam Latvijas pilsonību un SAB pārbaudi.

Valsts drošības iestādēm likums nav piemērojams (3. panta pirmās daļas 2. punkts). Savukārt NKC var izslēgt no saraksta valsts iestādi vai pašvaldību, kuras darbības traucējums nevar būtiski ietekmēt sabiedrības drošību, aizsardzību, veselību vai radīt sistēmisku risku (22. panta 4.¹ daļa). Publiskā sektora specifiku skaidro ceļvedis par kiberdrošību pašvaldībās un valsts iestādēs.

Ja atbilst vairāki statusi

Organizācija var vienlaikus darboties vairākās jomās – piemēram, ražot pārtiku (21. pants) un uzturēt datu centru (20. panta 8. punkts). Šādā gadījumā nosaka augstāko statusu: NKC biežāk uzdoto jautājumu 2. atbildē teikts, ka, ja statusi pārklājas, par atbilstošo nosaka augstāko.

Finanšu sektors un nozaru akti

Kredītiestādes, centrālie darījumu partneri un tirdzniecības vietas formāli ir 20. panta 8. punkta sarakstā. Tomēr NKDL tām piemēro tikai tiktāl, ciktāl DORA regula 2022/2554 vai citi akti neparedz savas prasības risku pārvaldībā, testēšanā, incidentu ziņošanā un uzraudzībā (3. panta trešā daļa). Praksē finanšu iestādes par nozīmīgiem IKT incidentiem ziņo Latvijas Bankai saskaņā ar DORA. Līdzīgs princips attiecas uz citām nozarēm ar vismaz līdzvērtīgiem ES pienākumiem (3. panta ceturtā daļa).

Ko darīt pēc statusa noteikšanas

1. Mēneša laikā no atbilstības brīža aizpildiet MK 397 1. pielikuma statusa paziņojuma veidlapu, parakstiet ar drošu elektronisko parakstu un nosūtiet uz Aizsardzības ministrijas oficiālo e-adresi adresātam “Aizsardzības ministrija Nacionālais kiberdrošības centrs” (MK 397 7. punkts). Ja esat arī IKT kritiskā infrastruktūra, paziņojumu sūtiet arī SAB (8. punkts).
2. Paziņojumā norādiet arī pastāvīgi izmantotos IP adrešu diapazonus, sniegtos pakalpojumus, valstis un kontaktpersonu (22. panta pirmā daļa).
3. Par izmaiņām paziņojiet divu nedēļu laikā (22. panta otrā daļa), par statusa zaudēšanu – ar to pašu veidlapu (MK 397 7.3. apakšpunkts).
4. Triju mēnešu laikā ieceliet kiberdrošības pārvaldnieku un piecu darbdienu laikā paziņojiet NKC un SAB (25. panta otrā daļa).
5. Ja atbilstība iestājusies pēc 1. jūlija, pirmo pašvērtējuma ziņojumu iesniedziet triju mēnešu laikā (MK 397 143. punkts).

Pārvaldnieka kandidātu pārbaudiet ar pārvaldnieka atbilstības rīku, bet pārējos pienākumus pa pantiem skatiet ceļvedī par Nacionālās kiberdrošības likumu. Ja vēlaties otru viedokli par robežgadījumu, OffSeq NIS2 pārbaudē izvērtē jūsu darbības jomas un lielumu pret likuma kritērijiem.

Ja esat ārpus tvēruma

Ārpus tvēruma nenozīmē ārpus prasībām. Ja jūsu klienti ir NKDL subjekti, tiem jāiekļauj ārpakalpojumu līgumos MK 397 prasības – tiesības saņemt žurnālfailus, jūsu pienākums nekavējoties ziņot par incidentiem un informēt par apakšuzņēmējiem (87. punkts). Turklāt subjekti nedrīkst slēgt IKT ārpakalpojuma līgumus ar uzņēmumiem, kas reģistrēti Krievijā, Baltkrievijā vai terorismu atbalstošā valstī vai kuru īpašnieki vai valde ir šo valstu pilsoņi (86. punkts), tāpēc piegādātāju pārbaudes kļūst stingrākas. Sīkāk – ceļvedī par prasībām piegādātājiem.

Ziņot CERT.LV par kiberincidentu varat arī brīvprātīgi; tas neuzliek papildu pienākumus (34. panta astotā daļa). Pārskatiet vērtējumu katru gadu pēc gada pārskata – apgrozījuma vai bilances pārsniegšana pāri 10 vai 50 milj. euro var mainīt statusu.