Kiberdrošības pašvērtējuma ziņojums: 16. pielikums un termiņi

Kas ir pašvērtējuma ziņojums

Pienākums izriet no Nacionālās kiberdrošības likuma 43. panta. Subjekts iesniedz atbilstības pašvērtējuma ziņojumu NKC vai SAB atbilstoši uzraudzības dalījumam. Veidlapu, saturu, termiņu un regularitāti nosaka Ministru kabinets. To dara MK noteikumu Nr. 397 8.3. apakšnodaļa (141.–143. punkts) un 16. pielikums “Pašvērtējuma ziņojums par subjekta atbilstību minimālajām kiberdrošības prasībām”.

Nejauciet to ar diviem citiem vērtējumiem. Statusa pašvērtējums pēc NKDL 22. panta pirmās daļas nosaka, vai esat būtisko vai svarīgo pakalpojumu sniedzējs. Riska pašnovērtējums pēc MK noteikumiem Nr. 10 ir atsevišķs kritiskās infrastruktūras noturības pienākums. Šis ceļvedis ir par atbilstības pašvērtējumu.

Kad jāiesniedz: biežums un 1. oktobris

Ziņojumu iesniedz līdz attiecīgā kalendāra gada 1. oktobrim (142. punkts). Biežumu nosaka 141. punkts:

Pašvērtējuma ziņojuma biežums un adresāts

Subjekts	Biežums	Kam iesniedz	Termiņš
IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs	Reizi gadā	SAB	Līdz 1. oktobrim
Būtisko vai svarīgo pakalpojumu sniedzējs ar vismaz vienu A klases sistēmu	Reizi gadā	NKC	Līdz 1. oktobrim
Būtisko vai svarīgo pakalpojumu sniedzējs bez A klases sistēmām	Reizi trijos gados, ja NKC nav noteicis citādi	NKC	Līdz 1. oktobrim
Subjekts, kura statuss iestājies pēc 1. jūlija	Pirmreizējais ziņojums	NKC vai SAB	3 mēnešu laikā no atbilstības brīža

Tātad ikgadējiem iesniedzējiem 2026. gada termiņš jau pagājis, un nākamais ir 2027. gada 1. oktobris. Trīs gadu cikla subjektiem pēdējais ziņojums parasti ir 2025. gada pirmreizējais. Burtiski lasot 141.2. apakšpunktu, nākamais būtu 2028. gadā. NKC to publiski nav precizējis, un tas var noteikt citu biežumu, tāpēc sekojiet NKC atgādinājumiem. NKC biežāk uzdoto jautājumu atbildēs norādīts, ka tas atgādina subjektiem par nākamajiem iesniegšanas termiņiem.

Svarīgi: biežumu nosaka sistēmu klase, nevis tas, vai esat būtisko vai svarīgo pakalpojumu sniedzējs. Ja gada laikā ieviešat pirmo A klases sistēmu, jūs pārejat uz ikgadēju ciklu. Tāpēc drošības klašu noteikšana pēc 5. pielikuma ir pirmais solis arī šim ziņojumam. Klašu ietekmi uz citām prasībām skaidro ceļvedis par MK noteikumiem Nr. 397.

Piemērs: jauns subjekts

Uzņēmums, kas jau atbilst vidēja uzņēmuma kritērijiem, 2026. gada 15. augustā sāk darbību NKDL 21. pantā minētā nozarē un kļūst par svarīgo pakalpojumu sniedzēju. Statusa paziņojums NKC jāiesniedz mēneša laikā, tātad līdz 15. septembrim (NKDL 22. panta pirmā daļa). Pārvaldnieks jāieceļ triju mēnešu laikā no paziņojuma (25. panta otrā daļa). Statuss iestājies pēc 1. jūlija, tāpēc pirmreizējais pašvērtējuma ziņojums jāiesniedz triju mēnešu laikā no atbilstības brīža, tas ir, līdz 15. novembrim (143. punkts). Tas nozīmē, ka trīs mēnešos jāsagatavo arī politika, katalogs un risku plāns, jo veidlapa prasa to kopijas.

Veidlapas struktūra: 14 sadaļas

Veidlapas sadaļas seko MK noteikumu Nr. 397 3. nodaļai. Katram jautājumam ir četrciparu kods, piemēram, 0201 vai 1010. Atbildes ir “Jā”, “Nē” vai “N/A” ar paskaidrojumu. Daudzos jautājumos jāpievieno ekrānšāviņš, shēma vai dokuments. Katras sadaļas beigās ir brīvā teksta lauks ar kodu XX99.

16. pielikuma sadaļas un saistītās prasības

Sadaļa	MK 397	Kas jāpievieno vai jāpamato
1. Vispārīga informācija	–	Gads, subjekts, veids (būtisko vai svarīgo pakalpojumu sniedzējs)
2. Kiberdrošības pārvaldnieks	3.1.	Pārvaldnieka dati, kvalifikācija, apmeklētā apmācība, pēdējā gada IKT drošības pārbaudes datums un tvērums
3. Kiberdrošības politika	3.3.	Dokumenta kopija; pārskatīšanas biežums
4. Resursu un informācijas sistēmu katalogs	3.4.	Katalogā iekļautās ziņas, drošības klases
5. Kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns	3.5.	Dokumenta kopija; metodika, novērtējums, pasākumu plāns, RPO un RTO
6. Kiberincidentu pārvaldība un žurnāls	3.6.	Dokumenta kopija; procedūras, 24 stundu ieraksta kārtība
7. Lietotāju un piekļuves tiesību pārvaldība	3.7.	Ekrānšāviņi par MFA, administratoru kontiem
8. Tīklu pārvaldība	3.8.	Tīkla loģiskā shēma ar segmentācijas skaidrojumu
9. Žurnālfailu pārvaldība	3.9.	Glabāšanas termiņi pēc klasēm, ierakstu piemēri
10. Rezerves kopiju pārvaldība	3.10.	Kopēšanas žurnāls, kontrolsummas, nolasīšanas pārbaudes
11. Kiberhigiēnas pasākumi	3.11.	Instruktāžu uzskaite, materiāli, efektivitātes novērtējums
12. Šifrēšanas prasības	3.12.	Šifrēšana pārraidē un glabāšanā, atslēgu pārvaldība
13. IKT infrastruktūras prasības	NKDL 30. p.	Kur izvietotas A un B klases sistēmas; telpu fiziskā drošība
14. Cita informācija un apliecinājums	–	Iesniedzēja dati un apliecinājums par pilnīgu un patiesu informāciju

13. sadaļa jautā, vai A un B klases sistēmas uztur paša infrastruktūrā vai datu centrā, kas atbilst noteikumiem par informācijas sistēmu izvietošanu. Ja paša telpās, tā jautā par slēdzamām telpām un statnēm, apmeklētāju žurnālu, apstiprinātu piekļuves sarakstu, ugunsdzēsības signalizāciju un rezerves elektrības padevi. Kopš 2026. gada 1. oktobra ir spēkā MK noteikumi Nr. 602 par informācijas sistēmu izvietošanu un datu centru drošību, tāpēc šī sadaļa nākamajos ziņojumos kļūs nozīmīgāka.

Kā sagatavot ziņojumu: darba secība

1. Nosakiet pārskata periodu un atbildīgo. Kiberdrošības pārvaldnieks parasti koordinē, bet atbildes no IT, personāla un iepirkumu daļas jāsavāc laikus.
2. Atjaunojiet katalogu un drošības klases. No tām atkarīgas atbildes par MFA, žurnālfailiem, rezerves kopijām, šifrēšanu un 13. sadaļu.
3. Pārbaudiet, vai trīs pievienojamie dokumenti ir aktuāli un apstiprināti: politika, risku un nepārtrauktības plāns, incidentu pārvaldības kārtība ar žurnālu.
4. Katram jautājumam savāciet pierādījumu pirms atbildes. Ja pierādījuma nav, atbilde visticamāk nav “Jā”.
5. Katram “Nē” uzrakstiet iemeslu un novēršanas termiņu. Veidlapa iemeslu prasa daudzos jautājumos.
6. Saskaņojiet ziņojumu ar vadītāju. Viņš atbild par kiberdrošības pārvaldību, un ziņojuma beigās iesniedzējs apliecina, ka informācija ir pilnīga un patiesa.
7. Parakstiet veidlapu elektroniski un nosūtiet uz uzraugošās iestādes oficiālo e-adresi. Saglabājiet iesniegto versiju un pielikumus.

NKC veidlapu lapā norādīts, ka elektroniski parakstīta veidlapa jāsūta, izmantojot oficiālo e-adresi adresātam “Aizsardzības ministrijas Nacionālais kiberdrošības centrs”. Kritiskās infrastruktūras ziņojumu sūta SAB. Neskaidros jautājumos NKC aicina rakstīt uz NIS2@mod.gov.lv.

Pirms aizpildāt oficiālo veidlapu, izmantojiet sākumlapas gatavības pašpārbaudi. Tā vērtē tās pašas jomas ar atbildēm “Ir”, “Daļēji” vai “Nav” un izveido prioritizētu trūkumu sarakstu PDF formātā. Atbildes paliek jūsu pārlūkā.

Kā atbildēt ar pierādījumu: trīs piemēri

Labā atbildē ir trīs lietas: kas ieviests, kur tas redzams un kas paliek nepabeigts. Piemēri no veidlapas:

• 0710 – MFA A klases sistēmām. Uzskaitiet A klases sistēmas no kataloga un katrai norādiet autentifikācijas risinājumu. Pievienojiet konfigurācijas ekrānšāviņu, kurā redzams, ka MFA prasīts visiem kontiem, ne tikai administratoriem. Ja kādai sistēmai MFA nav, atbilde ir “Nē” ar novēršanas termiņu.
• 0902 – žurnālfailu glabāšana. Norādiet faktisko glabāšanas termiņu katrai klasei un vietu, kur žurnālfaili glabājas. Pārbaudiet, vai vecākie pieejamie ieraksti tiešām sasniedz 18, 12 vai 6 mēnešus. Iestatījums vien vēl nepierāda, ka dati saglabājušies.
• 1012 – rezerves kopiju nolasīšanas pārbaude. Pievienojiet pēdējās atjaunošanas pārbaudes protokolu ar datumu, sistēmu un rezultātu. A klasei jābūt vismaz divām pārbaudēm gadā, B klasei – vienai (74.2. apakšpunkts).

Ja veidlapā atbildi “Jā” nevarat pamatot ar dokumentu, ekrānšāviņu vai ierakstu, pārskatiet to. Godīgs “Nē” ar iemeslu un novēršanas termiņu uzraugam parāda, ka situācija ir kontrolēta. Nepamatots “Jā” rada risku pirmajā dokumentu pārbaudē.

Biežākās kļūdas

• Ziņojumu aizpilda IT piegādātājs. NKC skaidro, ka pašvērtējuma sagatavošana jebkurā gadījumā ir subjekta, nevis ārpakalpojuma sniedzēja atbildība. Piegādātājs var sniegt informāciju, bet ne uzņemties atbildību.
• IKT drošības pārbaudi jauc ar ielaušanās testu. Jautājums 0208 prasa pārvaldnieka ikgadējo pārbaudi pēc NKDL 25. panta piektās daļas. Ielaušanās tests ir obligāts tikai A klases sistēmām reizi trijos gados.
• Klases noteiktas bez metodikas. Ja visas sistēmas atzīmētas kā C klase bez pamatojuma, uzraugs var apšaubīt arī pārējās atbildes. Klasi pamatojiet ar 5. pielikuma kritērijiem.
• Politika vecāka par trīs gadiem. Noteikumi prasa pārskatīšanu vismaz reizi trijos gados. Veidlapa jautā, cik bieži tā pārskatīta, un, ja retāk nekā reizi gadā, prasa iemeslu.
• Žurnāls bez 24 stundu kārtības. Jautājums 0610 prasa procedūru ierakstu aktualizēšanai 24 stundu laikā, ne tikai pašu žurnālu.

Kas notiek pēc iesniegšanas

Uzraudzība ietver datu un dokumentu pārbaudes, klātienes pārbaudes un drošības skenēšanu (NKDL 42. panta pirmā daļa). Ja ir aizdomas par pārkāpumiem, NKC vai SAB var veikt atbilstības auditu vai uzdot subjektam ārēju auditu par saviem līdzekļiem (44. pants). Nepatiesas vai neprecīzas informācijas sniegšana par risku pārvaldības pasākumiem ir viens no apstākļiem, ko iestāde ņem vērā, vērtējot neatbilstības smagumu (45. panta sestās daļas 1. punkta “e” apakšpunkts).

Ziņojums ir arī jūsu darba plāns. Visas atbildes “Nē” ir saraksts, ar ko sākt nākamo ciklu. Par sodiem un uzraudzības pasākumiem stāsta ceļvedis par uzraudzību un sodiem, par dokumentu saturu – ceļvedis par kiberdrošības dokumentāciju.

Ja pirms ziņojuma gribat neatkarīgu skatījumu, OffSeq novērtē trūkumus pret NKDL prasībām un palīdz sagatavot pierādījumus. Pārvaldnieka ikgadējai IKT drošības pārbaudei var izmantot neatkarīgu drošības pārbaudi, ja tās tvērums atbilst jūsu sistēmām.