Kiberdrošības prasības iepirkumos un piegādātājiem (MK 397)

Jūs neesat NKDL subjekts, bet jūsu klients ir

Bieži sastopama situācija: programmatūras izstrādātājs ar 30 darbiniekiem vai neliels IT uzturēšanas uzņēmums pēc lieluma un nozares neatbilst ne Nacionālās kiberdrošības likuma (NKDL) 20., ne 21. pantam. Taču tā klients, piemēram, pašvaldība, slimnīca vai energoapgādes komersants, ir būtisko pakalpojumu sniedzējs. Klientam ir pienākums ievērot MK noteikumu Nr. 397 “Minimālās kiberdrošības prasības” 4. nodaļu ikvienā IKT ārpakalpojuma līgumā. Tāpēc prasības piegādātājam rodas no līguma un iepirkuma nolikuma, nevis no likuma tieši.

Nacionālais kiberdrošības centrs (NKC) to skaidri apstiprina savos biežāk uzdotajos jautājumos par ārpakalpojumu prasībām (13.02.2026.). Būtisko pakalpojumu sniedzējam vienotas kiberdrošības prasības jānosaka visiem piegādes ķēdes dalībniekiem, “kas paši nav MK noteikumu Nr. 397 subjekti”, jo atbildība par drošību saglabājas pie būtisko pakalpojumu sniedzēja (23. jautājums). Ja neesat pārliecināts par sava uzņēmuma statusu, vispirms izmantojiet statusa pārbaudi. Ja izrādās, ka arī jūs pats esat subjekts, piemēram, kā IKT pārvaldības vai kiberdrošības pakalpojumu sniedzējs pēc NKDL 20. panta 8. punkta “v” apakšpunkta, jums ir arī savi tiešie pienākumi.

Kas MK noteikumu Nr. 397 izpratnē ir ārpakalpojums

Noteikumu 2.3. apakšpunkts ārpakalpojumu definē plaši: tā ir “jebkura veida vienošanās starp subjektu un pakalpojuma sniedzēju IKT jomā”, ja pakalpojuma sniedzējs nodrošina procesu, sniedz pakalpojumu, piegādā tehniskos resursus vai veic citu darbību subjekta uzdevumā tā IKT infrastruktūrā. Tātad ārpakalpojums ir gan informācijas sistēmas izstrāde, gan serveru apkope, gan mākoņpakalpojums, gan iekārtu piegāde.

NKC biežāk uzdotie jautājumi palīdz novilkt robežas. Programmatūras licences vai instalācijas atslēgas pagarināšanai SAB atzinums nav vajadzīgs, jo atslēga ir programmatūras iegādes sastāvdaļa (6. jautājums). Grāmatvedības ārpakalpojums un ERP vai e-rēķinu platformas ietilpst prasību tvērumā, ja pakalpojuma sniedzējam ir informācijas sistēmas un piekļuve datiem (12. jautājums). Interneta pieslēgums un mobilie sakari ir infrastruktūras pakalpojums, kam darbinieku saraksts nav jāpieprasa, ja vien piegādātājs neveic attālinātu administrēšanu vai datu apstrādi (11. jautājums). Ja iepirkums nav par IKT resursu vai pakalpojumu, piemēram, drukas vai mārketinga pakalpojumi, kiberdrošības prasības var noteikt pēc pasūtītāja ieskatiem (47. jautājums).

Ar ko līgumu slēgt nedrīkst: 86. punkts

Šis ierobežojums attiecas uz visiem subjektiem un visu klašu informācijas sistēmām. Subjekts nedrīkst slēgt ārpakalpojuma līgumu par IKT resursa vai pakalpojuma iegādi šādos gadījumos:

• ārpakalpojuma sniedzējs ir juridiska persona, kas reģistrēta Krievijas Federācijā, Baltkrievijas Republikā vai valstī, kuru Eiropas Parlaments vai Saeima atzinusi par terorismu atbalstošu valsti (86.1.);
• šādas valsts pilsonis ir ārpakalpojuma sniedzēja dalībnieks, kapitāla daļu īpašnieks vai patiesais labuma guvējs (86.2.);
• valde un padome sastāv no šādas valsts pilsoņiem (86.3.);
• ārpakalpojuma sniegšanā ir iesaistīts šādas valsts pilsonis (86.4.);
• iegādājamā IKT resursa ražotājs ir šādā valstī reģistrēta juridiska persona vai šīs valsts pilsonis (86.5.).

NKC skaidro, ka oficiāla terorismu atbalstošu valstu saraksta Latvijā nav. Saeima 2022. gada 11. augustā pieņēma paziņojumu, kurā Krievija atzīta par terorismu atbalstošu valsti. Ja kāda persona ir dubultpilsonis un viena no pilsonībām ir Krievijas vai Baltkrievijas, līgumu slēgt nedrīkst (30. jautājums). Svarīgi arī tas, ka SAB izņēmuma atzinums, kas pieejams 94. punkta prasībām, uz 86. punkta aizliegumu neattiecas (59. jautājums).

Pārbaudi subjekts veic pats, izmantojot publiski pieejamu informāciju. Praktisks risinājums ir pieprasīt pretendentam Komercreģistra izziņu par amatpersonām un patiesajiem labuma guvējiem (NKC, 30. jautājums). Piegādātājam ieteicams šādu izziņu un apliecinājumu par iesaistīto personu pilsonību turēt gatavu katram piedāvājumam.

Kas obligāti jāieraksta līgumā

NKC ir skaidri pateicis, ka viens vispārīgs punkts “pakalpojumu sniedzējs ievēro Latvijas Republikas normatīvos aktus” nav pietiekams (19. jautājums). Līgumā jābūt konkrētām tiesībām un pienākumiem no MK noteikumu Nr. 397 87.–91. punkta:

MK noteikumu Nr. 397 vispārīgās ārpakalpojumu prasības (4.1. apakšnodaļa) līguma klauzulās

Prasība	Punkts	Ko tas nozīmē piegādātājam
Pakalpojuma apraksts, apjoms un kvalitāte	87.1., 87.2.	Precīzs tvērums un atsauces uz NKDL un MK 397 prasībām, kas attiecas uz konkrēto pakalpojumu
Uzraudzība un žurnālfaili	87.3.1.	Klients var pastāvīgi uzraudzīt kvalitāti un saņemt uzraudzībai vajadzīgo informāciju, tostarp žurnālfailus
Ziņošana par kiberincidentu	87.3.2.	Nekavējoties ziņot klientam par incidentu, kas ietekmē vai var ietekmēt klientu, un veikt novēršanas darbības
Apakšuzņēmēji	87.3.3., 90.	Informēt par apakšuzņēmējiem un to atbilstību; nodrošināt, ka apakšuzņēmējs pilda tās pašas prasības
Konfidencialitāte	87.3.4.	Konfidencialitātes saistības līgumā
Pārbaudes	87.4.	Obligātās un klienta politikā noteiktās pārbaudes, piemēram, rezerves kopiju, žurnālu un piekļuves kontroles pārbaudes
Dati līguma beigās	87.5.	Pēc klienta izvēles dzēst datus vai atdot tos, dzēšot visas kopijas
Izstrāde un izmaiņas	88.	Noteikts uzturēšanas un drošības nepilnību novēršanas laikposms; A un B konfidencialitātes klases sistēmu testa vidē tikai sintētiski dati, darbs netiek veikts produkcijas vidē
Iesaistīto personu saraksts	91.	Līdz līguma noslēgšanai iesniegt izpildē iesaistīto fizisko personu sarakstu un informēt par izmaiņām

Divas klauzulas praksē rada visvairāk jautājumu. Pirmā ir 88.3. apakšpunkts: izstrādātājam A un B konfidencialitātes klases sistēmu testa vidē jāstrādā tikai ar sintētiskiem datiem, un NKC to attiecina arī uz integrācijām ar ārējām sistēmām (8. jautājums). Otrā ir 91. punkts: ja apkopei tiek norīkots pirmais brīvais speciālists, NKC pieļauj informēt par konkrēto darbinieku darba uzdevumu sistēmā, ja informēšanas fakts saglabājas un var redzēt, kas, kam, kad un par ko ziņojis. Īsziņa šim nolūkam var nebūt piemērota (14. jautājums).

Pirms iepirkuma subjektam jāizvērtē ar ārpakalpojumu saistītie riski, tostarp piegādes ķēdes riski, un jānosaka ārpakalpojuma izbeigšanas stratēģija (89. punkts). Šai analīzei jāparādās arī kiberrisku pārvaldības un IKT darbības nepārtrauktības plānā (41.2. apakšpunkts). Kā to sasaistīt ar nepārtrauktības plānu, skaidrots ceļvedī par darbības nepārtrauktību.

Pārvaldnieka saskaņojums: 92. punkts

Subjekts nodrošina, ka pirms ārpakalpojuma līguma slēgšanas tas tiek saskaņots ar subjekta kiberdrošības pārvaldnieku. Subjekts nosaka atbildīgo personu par līguma izpildes uzraudzību kiberdrošības jomā.

MK noteikumi Nr. 397, 92. punkts

Šis punkts maina iepirkumu darba plūsmu. Līguma projekts kiberdrošības pārvaldniekam jāredz pirms parakstīšanas, nevis pēc tās, un līgumam jābūt atbildīgajai personai par drošības uzraudzību izpildes laikā. NKC norāda, ka pārbaudes var uzticēt pārvaldniekam, taču atbildība par to, ka tās veiktas, saglabājas subjektam un tā vadītājam (27. jautājums). Kas var būt pārvaldnieks un kādi ir tā pienākumi, skatiet ceļvedī par kiberdrošības pārvaldnieku.

Piegādātājam šeit ir praktisks ieguvums: ja piedāvājumam pievienojat gatavu MK 397 atbilstības pielikumu, pārvaldnieka saskaņojums notiek ātrāk.

A klases sistēmas: būtisko pakalpojumu sniedzēji un IKT kritiskā infrastruktūra

Stingrākās prasības attiecas uz A klases (paaugstinātas drošības) informācijas sistēmām. Būtisko pakalpojumu sniedzējs, kas nav IKT kritiskās infrastruktūras īpašnieks, drīkst slēgt ārpakalpojuma līgumu A klases sistēmai tikai tad, ja piegādātājs un tehniskā resursa ražotājs atbilst 94. punkta kritērijiem (101. punkts). Tie ir reģistrācija NATO, Eiropas Savienības vai EBTA dalībvalstī vai IP4 valstī (NATO Indijas un Klusā okeāna reģiona sadarbības valstī), šo valstu pilsoņi valdē un padomē, patiesais labuma guvējs un dalībnieki no šīm valstīm. Pakalpojuma līgumā arī iesaistītajām fiziskajām personām jābūt šo valstu pilsoņiem (101.2.).

Izņēmumi: prasību nepiemēro, ja piegādātāja kapitāla daļu turētājs vai netiešās ietekmes guvējs ir publiska persona, vai ja saņemts SAB atzinums, ka tā rīcībā nav negatīvas informācijas (103. punkts). Atzinumu pieprasa ar 8. pielikuma veidlapu, un tas attiecas arī uz apakšuzņēmējiem (104.–105. punkts). Līguma laikā būtisko pakalpojumu sniedzējs informē SAB par izmaiņām piegādātājā un par jaunām iesaistītajām personām pirms to iesaistes (107. punkts).

IKT kritiskās infrastruktūras īpašniekam režīms ir vēl stingrāks. Pakalpojuma līgumu A klases sistēmai drīkst slēgt tikai pēc SAB atzinuma, ko SAB sniedz triju mēnešu laikā un var pagarināt vēl par vienu mēnesi (93. punkts). Pirms līguma izpildes šie subjekti piegādātāja darbiniekiem rīko kiberdrošības instruktāžu (77.3. apakšpunkts). Šo prasību pamats ir NKDL 24. panta otrā daļa, kas Ministru kabinetam uzdod noteikt kritiskās infrastruktūras drošības un piegādes ķēžu drošības risku pārvaldības prasības.

Iepirkumos: kad un kā prasības ievietot nolikumā

NKC nostāja ir viennozīmīga: katrā iepirkumā, kas paredz IKT resursa vai pakalpojuma iegādi, pretendentiem jānosaka prasības atbilstoši NKDL un MK noteikumiem Nr. 397 (50. jautājums). Elektronisko iepirkumu sistēma (EIS) ir tikai platforma, un par prasībām atbild pasūtītājs (48. jautājums). SAB saskaņojums vajadzīgs arī EIS pirkumiem (45. jautājums).

1. Nolikumā pieprasiet informāciju, kas vajadzīga 86. punkta pārbaudei un, ja attiecas, 8. pielikuma veidlapai. SAB vērtē tikai izvēlēto pretendentu, kad pasūtītājs nonācis līdz gala lēmumam (36., 56. un 58. jautājums).
2. Laika grafikā ieplānojiet SAB atzinuma termiņu: līdz trim mēnešiem, ar iespējamu pagarinājumu par vēl vienu (46. jautājums).
3. Kritiskās infrastruktūras iepirkuma dokumentos atklājiet pēc iespējas mazāk informācijas par sistēmu un tās statusu (36. jautājums).
4. Vispārīgajā vienošanās jāiekļauj atsauce uz piemērojamajiem ierobežojumiem (99. un 106. punkts). Ja katram darba uzdevumam slēdz jaunu līgumu, 4. nodaļa attiecas uz katru līgumu (2. jautājums).
5. Ja iepirkums sadalīts daļās un par katru daļu slēdz atsevišķu līgumu, SAB atzinums jāsaņem par katru daļu (41. jautājums).

Esošie līgumi un pārejas termiņi

Līgumi, kas noslēgti pirms MK noteikumu Nr. 397 spēkā stāšanās 2025. gada 2. jūlijā un neatbilst ārpakalpojumu prasībām, var palikt spēkā līdz saistību izpildei, bet ne ilgāk kā piecus gadus no konkrētā līguma noslēgšanas dienas (153. punkts). NKC uzsver, ka pieci gadi skaitāmi no sākotnējā līguma noslēgšanas, nevis no noteikumu spēkā stāšanās vai ikgadējā pagarinājuma (3. jautājums). Piemēram, līgums, kas noslēgts 2022. gada 1. martā, šo pārejas režīmu var izmantot ne ilgāk kā līdz 2027. gada 1. martam.

Par neatbilstošiem līgumiem un tehniskajiem resursiem subjektiem bija jāinformē uzraugi sešu mēnešu laikā no noteikumu spēkā stāšanās (152. punkts). Ārpakalpojumu prasības var nepiemērot publiskajiem iepirkumiem, kas uzsākti pirms noteikumu spēkā stāšanās (154. punkts). Jaunos iepirkumos un līguma pagarinājumos šīs atkāpes vairs nepalīdz.

Darba kārtība abām pusēm

Pasūtītājam, kas ir NKDL subjekts:

1. Uzskaitiet visus IKT ārpakalpojumus un piesaistiet tos informācijas sistēmām un to klasēm (A, B, C).
2. Katram līgumam pārbaudiet 86. punktu un, A klases sistēmām, 94. vai 101. punktu.
3. Papildiniet līguma veidni ar 87.–91. punkta klauzulām un 89. punkta izbeigšanas stratēģiju.
4. Ieviesiet pārvaldnieka saskaņojumu kā obligātu soli pirms parakstīšanas un nosakiet atbildīgo par līguma izpildi.
5. Atzīmējiet pirms 02.07.2025. noslēgto neatbilstošo līgumu piecu gadu beigu datumus.

Piegādātājam, kas pats nav subjekts: sagatavojiet vienu MK 397 atbilstības pakotni (dokumentu kopumu) un pievienojiet to visiem piedāvājumiem NKDL subjektiem. Pārliecinieties, ka jūsu incidentu process spēj “nekavējoties” informēt klientu, jo klientam pašam ir 24 stundu termiņš agrīnajam brīdinājumam. Ja vēlaties neatkarīgu skatījumu uz savu piegādes ķēdi vai līgumu klauzulām, OffSeq piegādes ķēdes drošības novērtējums palīdz to izdarīt pirms nākamā iepirkuma.