Kiberdrošība valsts iestādēs un pašvaldībās: NKDL pienākumi

Kuras publiskās institūcijas ir būtisko pakalpojumu sniedzēji

Nacionālās kiberdrošības likuma (NKDL) 20. pants publisko sektoru aptver ar trim punktiem. Neviens no tiem nav atkarīgs no lieluma:

• 5. punkts: tiešās pārvaldes iestāde un cita valsts institūcija, izņemot valsts drošības iestādes. Piemēram, ministrijas un to padotības iestādes.
• 6. punkts: atvasināta publiska persona. Tā ir katra pašvaldība un, piemēram, valsts dibināta augstskola.
• 10. punkts: pastarpinātās pārvaldes iestāde, kas sniedz pakalpojumus vai darbojas privāto tiesību jomā kādā no 20. panta 8. punktā minētajām jomām, piemēram, veselības aprūpē, ūdenssaimniecībā vai transportā.

Nacionālais kiberdrošības centrs (NKC) savos biežāk uzdotajos jautājumos (28.07.2026.) precizē divas lietas. Pirmā: ja institūcija atbilst vairākiem statusiem, piemēro augstāko. Valsts augstskola, kas ir arī izglītības informācijas sistēmas uzturētāja, ir būtisko pakalpojumu sniedzēja (2. jautājums). Otrā: par katru NKDL atbilstošo juridisko personu iesniedz atsevišķu statusa paziņojumu. Pašvaldības iestādes visbiežāk ir pastarpinātās pārvaldes iestādes (51. jautājums).

Ja jūsu institūcijai ir arī IKT kritiskā infrastruktūra, papildus piemēro tai noteiktās prasības un uzraudzību veic Satversmes aizsardzības birojs (SAB). Reģistrēties NKC tomēr vajag (NKC, 2. jautājums). Konkrētu gadījumu var pārbaudīt statusa pārbaudē vai ceļvedī par pakalpojumu sniedzēja statusu.

Publiskā sektora organizācijas un to statuss pēc NKDL

Organizācija	Pamats	Statuss	Piezīme
Ministrija, tās padotības iestāde	20. panta 5. punkts	Būtisko pakalpojumu sniedzējs	Valsts drošības iestādes izslēgtas no likuma tvēruma (3. panta pirmās daļas 2. punkts)
Pašvaldība	20. panta 6. punkts	Būtisko pakalpojumu sniedzējs	Atsevišķs paziņojums par katru iestādi, kas ir atsevišķa juridiskā persona
Pastarpinātās pārvaldes iestāde 8. punkta jomā	20. panta 10. punkts	Būtisko pakalpojumu sniedzējs	Piemēram, ārstniecība vai ūdenssaimniecība
Valsts augstskola	20. panta 6. punkts	Būtisko pakalpojumu sniedzējs	Piemēro augstāko statusu (NKC, 2. jautājums)
Pašvaldības vai valsts kapitālsabiedrība	20. vai 21. pants pēc nozares un lieluma	Atkarīgs no darbības	Privāto tiesību juridiskā persona; 46. panta izņēmums uz to neattiecas
Privātpersona, kurai deleģēts pārvaldes uzdevums	Kopš 18.06.2026. vairs nav 20. panta 5. punktā	Vērtē pēc nozares un lieluma	Grozījums izslēdza automātisko iekļaušanu

Ko mainīja 2026. gada grozījumi

Ar 2026. gada 4. jūnija grozījumiem, kas stājās spēkā 18. jūnijā, publiskajam sektoram ir trīs nozīmīgas izmaiņas. Pirmā: privāto tiesību juridiskās personas, kas pilda deleģētus valsts pārvaldes uzdevumus, vairs netiek automātiski uzskatītas par būtisko pakalpojumu sniedzējām. Tās izslēgtas no 3. panta pirmās daļas 2. punkta un 20. panta 5. punkta. Otrā: NKC pats apstiprina subjektu sarakstu un var izslēgt no tā institūcijas (22. panta 4.¹ daļa). Trešā: kiberdrošības pārvaldnieks jānosaka triju mēnešu laikā no paziņojuma vai NKC lēmuma (25. panta otrā daļa). Pilns grozījumu pārskats ir ceļvedī par NKDL grozījumiem 2026.

NKC tiesības izslēgt iestādi no saraksta

Nacionālais kiberdrošības centrs var pieņemt lēmumu izslēgt no būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju saraksta tiešās pārvaldes iestādi, pastarpinātās pārvaldes iestādi, atvasinātu publisku personu un citu valsts institūciju, kuras darbības traucējums nevar būtiski ietekmēt sabiedrības drošību, valsts aizsardzību, sabiedrības veselību vai nevar radīt būtisku sistēmisku risku [..].

NKDL 22. panta 4.¹ daļa

Šis ir vienīgais veids, kā publiskā institūcija var izkļūt no būtisko pakalpojumu sniedzēja statusa. Lēmumu pieņem NKC. Pati iestāde to nevar izlemt savā pašvērtējumā, un likumā nav noteikta pieteikšanās kārtība. Ja iestāde uzskata, ka tās darbības traucējums neietekmē sabiedrības drošību, aizsardzību vai veselību, tā var NKC sniegt pamatojumu. Līdz NKC lēmumam visi pienākumi paliek spēkā. Pēc izslēgšanas pārbaudiet, vai iestādei paliek citas prasības, piemēram, valsts informācijas sistēmām. MK noteikumi Nr. 397 izdoti arī uz Valsts informācijas sistēmu likuma 16. panta pamata, un to 1.7. apakšpunkts aptver valsts informācijas sistēmu aizsardzības prasības.

Kiberdrošības pārvaldnieks publiskajā pārvaldē

Iestādes vadītājs “nodrošina un par to atbild” kiberdrošības pārvaldību un nosaka pārvaldnieku (NKDL 25. panta pirmā daļa). Būtisko pakalpojumu sniedzējā pārvaldniekam jāatbilst MK noteikumu Nr. 397 12. punktam. Tas nozīmē NATO, ES vai EBTA pilsonību, pilngadību, aizgādnības neesamību, sodāmības neesamību par tīšu noziedzīgu nodarījumu un vienu no trim kvalifikācijām: IT vai kiberdrošības izglītību, starptautisku sertifikātu vai divu gadu pieredzi pēdējo piecu gadu laikā. Kandidātu varat pārbaudīt pārvaldnieka atbilstības rīkā.

Publiskajā sektorā īpaši svarīgi ir ierobežojumi, cik subjektos viens pārvaldnieks var strādāt:

• Viena persona var būt pārvaldnieks ne vairāk kā piecos būtisko pakalpojumu sniedzējos, kas nav IKT kritiskā infrastruktūra (MK 397 18. punkts).
• Ierobežojums neattiecas uz pārvaldnieka subjekta padotībā esošiem būtisko pakalpojumu sniedzējiem, uz tā kapitālsabiedrībām un uz privātpersonām, kurām tas deleģējis pārvaldes uzdevumu (19. punkts). NKC skaidro: ministrijai un visām tās padotības iestādēm var būt viens pārvaldnieks bez skaita ierobežojuma, ja neviena no tām nav IKT kritiskā infrastruktūra (20. jautājums).
• Vai viens pārvaldnieks vairākām iestādēm ir piemērots, NKC iesaka vērtēt pēc IKT infrastruktūras centralizācijas, riskiem un ieguvumiem (20. jautājums).
• Pārvaldnieks var būt IT nodaļas darbinieks, taču NKC norāda, ka tas neatbilst labai praksei, jo pārvaldnieks tad vērtē arī savu darbu (11. jautājums). Ieteicams, lai pārvaldnieks būtu tieši pakļauts iestādes vadītājam.
• Pārvaldniekam jābūt konkrētai personai vai personām, nevis nodaļai (17. jautājums). Pārvaldības ārpakalpojums ir atļauts (12. jautājums), ja NKC tiek paziņota konkrēta persona, kas atbilst prasībām.

Par pārvaldnieka noteikšanu NKC un SAB jāpaziņo piecu darbdienu laikā (25. panta otrā daļa). Pārvaldnieka pienākumi un iecelšana sīkāk aprakstīti ceļvedī par kiberdrošības pārvaldnieku.

Apmācības: kas obligāts un kas pieejams

Likums prasa trīs ikgadējas lietas (NKDL 25. panta piektā daļa). Pārvaldnieks vismaz reizi gadā apmeklē kiberincidentu novēršanas institūcijas rīkotu apmācību, vismaz reizi gadā veic IKT drošības pārbaudi un nodrošina darbinieku instruktāžu par aktuālajiem kiberriskiem. MK noteikumu Nr. 397 76. punkts precizē, ka sākotnējā instruktāža jāveic mēneša laikā pēc lietotāja konta izveides un kārtējā vismaz reizi kalendāra gadā. NKC skaidro, ka tas attiecas uz visiem, kas izmanto iestādes sistēmas, arī tikai e-pastu (22. jautājums).

Pieejamie resursi publiskajam sektoram:

• CERT.LV divreiz gadā rīko apmācības kiberdrošības pārvaldniekiem, un NKC rīko informatīvus seminārus (NKC, 23. jautājums).
• Valsts administrācijas skolā ir bezmaksas kurss “Kiberhigiēnas pamati publiskās pārvaldes darbiniekiem” (NKC, 23. jautājums) un e-mācības “Kiberdrošība publiskajā pārvaldē”, kas finansētas no Atveseļošanas fonda projekta “Publiskās pārvaldes digitālā akadēmija”.
• VAS mācību programma “Kiberdrošības pārvaldnieks” ietver 96 akadēmiskās stundas, maksā 1550 € bez PVN vienam dalībniekam, un tās dalībnieki saņem apliecību ar NKC apliecinājumu. Programma izstrādāta kopā ar Aizsardzības ministrijas un CERT.LV ekspertiem un RTU mācībspēkiem. Tās mērķauditorija ir visi NKDL 20. un 21. panta subjekti, īpaši valsts un pašvaldību kapitālsabiedrības un atvasinātās publiskās personas.

Kursa apliecība nav obligāta. Kvalifikācijas pamati MK 397 12. punktā ir izglītība, starptautiski atzīts sertifikāts vai pieredze. Apliecība tomēr ir labs pierādījums, ka vadītājs ir nodrošinājis pārvaldniekam vajadzīgās zināšanas (MK 397 44. punkts). Personāla drošības prasības privileģētas piekļuves darbiniekiem aprakstītas ceļvedī par personāla drošību.

Uzraudzība bez soda naudas: kas notiek tās vietā

Šo pantu nepiemēro tiešās vai pastarpinātās pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskām personām.

NKDL 46. panta divpadsmitā daļa

Valsts un pašvaldību institūcijām nevar piemērot ne soda naudu, ne piespiedu naudu. Uz tām neattiecas arī pagaidu aizliegums vadītājam veikt vadības funkcijas (45. panta vienpadsmitā daļa). Tomēr sekas pastāv, un tās ir politiskas un disciplināras:

• Ja neatbilstību nenovērš tiešās pārvaldes iestāde, NKC vai SAB ziņo attiecīgajam Ministru kabineta loceklim. Ministrs ziņo Ministru kabinetam par neatbilstības novēršanas gaitu (MK 397 144. punkts). NKC skaidro, ka ministrs izvērtē arī disciplinārlietas ierosināšanu (9. jautājums).
• Ja to nenovērš pašvaldība vai tās iestāde, NKC vai SAB ziņo domes priekšsēdētājam un informē viedās administrācijas un reģionālās attīstības ministru (145. punkts). Priekšsēdētājs lemj par amatpersonu atbildību Pašvaldību likuma kārtībā (NKC, 9. jautājums).
• Par citām institūcijām ziņo Ministru kabinetam (146. punkts).

Ir arī procesuāla atšķirība. NKC lēmums, kas adresēts publiskai institūcijai, nav administratīvais akts (NKDL 12. panta otrā daļa). To apstrīd aizsardzības ministram, un ministra lēmums nav pārsūdzams (12. panta piektās daļas 1. punkts). Visi pārējie uzraudzības instrumenti, piemēram, brīdinājumi, rīkojumi, klātienes pārbaudes un pienākums informēt pakalpojumu saņēmējus, publiskajām institūcijām piemērojami tāpat kā uzņēmumiem. Par privātā sektora sodiem skatiet ceļvedi par uzraudzību un sodiem.

Citi pienākumi, kas publiskajā sektorā nāk klāt

• Incidentu ziņošana. Kompetentā kiberincidentu novēršanas institūcija valsts un pašvaldību institūcijām ir CERT.LV. Aizsardzības ministrijai, tās padotības iestādēm un Nacionālajiem bruņotajiem spēkiem tā ir MilCERT (NKDL 9. panta otrā daļa). Termiņi ir tādi paši kā citiem subjektiem: 24 stundas, 72 stundas, mēnesis. Sīkāk ceļvedī par incidentu ziņošanu.
• Drošības operāciju centrs. Kompetentajai kiberincidentu novēršanas institūcijai ir tiesības izveidot drošības operāciju centru tiešās un pastarpinātās pārvaldes iestādēs un atvasinātajās publiskajās personās un vākt kiberapdraudējuma identificēšanai vajadzīgos datus, tostarp žurnālfailus (NKDL 30. panta trešā daļa).
• Iepirkumi. MK 397 4. nodaļa attiecas uz katru IKT iepirkumu, arī EIS pirkumiem, un pārvaldniekam līgums jāsaskaņo pirms parakstīšanas (92. punkts). Sīkāk ceļvedī par piegādātāju drošību.
• Pašvērtējums. Iestāde ar vismaz vienu A klases informācijas sistēmu pašvērtējumu iesniedz katru gadu līdz 1. oktobrim, citas reizi trijos gados (MK 397 141.–142. punkts). Klasi nosaka pēc MK 397 5. pielikuma metodikas. Piemēram, A konfidencialitātes klase ir sistēmai ar vismaz 1 000 000 datu subjektu personas datiem, un A integritātes un pieejamības klase ir tad, ja traucējums var pārtraukt vai būtiski apgrūtināt valsts vai pašvaldības pamatfunkciju īstenošanu.

Kontrolsaraksts iestādes vadītājam

1. Pārbaudiet, vai statusa paziņojums iesniegts par katru juridisko personu jūsu struktūrā.
2. Pārliecinieties, ka pārvaldnieks ir noteikts, atbilst MK 397 12. punktam, ir paziņots NKC un SAB un, kā iesaka NKC, ir tieši pakļauts vadītājam.
3. Ministrijas līmenī izvērtējiet viena kopīga pārvaldnieka modeli padotības iestādēm un dokumentējiet riska vērtējumu.
4. Ieplānojiet ikgadējo IKT drošības pārbaudi, pārvaldnieka apmācību CERT.LV un darbinieku instruktāžu.
5. Iekļaujiet MK 397 4. nodaļas klauzulas visās IKT iepirkumu veidnēs.
6. Ja uzskatāt, ka iestādes traucējums nevar būtiski ietekmēt drošību vai veselību, sagatavojiet NKC pamatojumu 22. panta 4.¹ daļas izslēgšanai.

Daudzām mazākām iestādēm un pašvaldību struktūrvienībām nav pilna laika speciālista, kas atbilst pārvaldnieka prasībām. Šādā gadījumā OffSeq vCISO pakalpojums var palīdzēt uzturēt pārvaldnieka funkciju un dokumentāciju. Ar NKC paziņoto atbildīgo personu un tās atbilstību prasībām jāvienojas atsevišķi.