NKDL sodi, NKC uzraudzība un ārējais audits: ko riskē vadītājs

Kas uzrauga: NKC vai SAB

Saskaņā ar Nacionālās kiberdrošības likuma (NKDL) 41. pantu uzraudzība ir sadalīta divās daļās. Nacionālais kiberdrošības centrs (NKC) uzrauga būtisko un svarīgo pakalpojumu sniedzējus. Satversmes aizsardzības birojs (SAB) uzrauga IKT kritiskās infrastruktūras īpašniekus un tiesiskos valdītājus. NKC darbojas Aizsardzības ministrijā kā vienotais kontaktpunkts kiberdrošības jautājumos (4. pants). CERT.LV ir kiberincidentu novēršanas institūcija, nevis uzraugs. Tā tomēr informē NKC un SAB, ja konstatē neatbilstības vai neziņotus incidentus (10. panta 8. punkts).

Uzraudzība pēc 42. panta pirmās daļas ietver prasību ievērošanas kontroli, klātienes pārbaudes un attālinātu pārraudzību, datu un dokumentu pārbaudes, tostarp to, kā novērstas auditos konstatētās nepilnības, un tīklu un sistēmu drošības skenēšanu. Uzraugs var prioritizēt uzraudzības pasākumus pēc aktuālajiem kiberriskiem (42. panta otrā daļa). Tātad nav paredzēts, ka katru subjektu pārbaudīs vienādā biežumā. Ikvienai juridiskajai personai ir arī vispārīgs pienākums sadarboties ar NKC, SAB un CERT.LV un sniegt tām nepieciešamo informāciju (15. pants).

Pašvērtējuma ziņojums: pirmais, ko uzraugs redz

Regulārā saskarne ar uzraugu ir pašvērtējuma ziņojums (43. pants). Pēc MK noteikumu Nr. 397 141.–142. punkta subjekti ar vismaz vienu A klases informācijas sistēmu un IKT kritiskā infrastruktūra to iesniedz reizi gadā, pārējie reizi trijos gados, līdz 1. oktobrim. Ziņojumā redzamās nepilnības ir dabisks uzraudzības sākumpunkts, tāpēc ziņojumam jābūt patiesam un ar pierādījumiem pamatotam. Kā to sagatavot, skatiet ceļvedī par pašvērtējuma ziņojumu. Savu gatavību varat novērtēt arī gatavības pašpārbaudē.

Ārējais audits nav ikgadējs pienākums

Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs [..] ir tiesīgi veikt subjekta atbilstības auditu vai uzdot subjektam veikt ārēju auditu [..], ja ir aizdomas par kiberdrošības pārkāpumiem vai tie ir konstatēti.

NKDL 44. panta pirmā daļa

Tas ir svarīgi saprast, jo daļa tirgus piedāvājumu rada iespaidu, ka likums prasa ikgadēju ārējo auditu. Tā nav. Ārējo auditu uzdod uzraugs, ja ir aizdomas par pārkāpumu vai pārkāpums ir konstatēts. Ikgadējais pienākums ir kiberdrošības pārvaldnieka iekšējā IKT drošības pārbaude (25. panta piektās daļas 2. punkts). Obligātie ielaušanās testi attiecas tikai uz A klases sistēmām: pirms nodošanas ekspluatācijā un vismaz reizi trijos gados (MK noteikumu Nr. 397 131.1. apakšpunkts).

Ja ārējais audits ir uzdots, likums nosaka vairākus nosacījumus:

• auditu veic neatkarīgs kiberdrošības auditors bez interešu konflikta, kurš atbilst Ministru kabineta noteiktajām prasībām (44. panta otrā daļa);
• IKT kritiskajā infrastruktūrā auditoram jābūt saskaņotam ar SAB (44. panta trešā daļa; MK 397 130. punkts);
• izmaksas sedz subjekts, un tas arī novērš konstatētos pārkāpumus (44. panta ceturtā daļa);
• pēc audita subjekts nekavējoties iesniedz uzraugam ziņojuma kopiju un pēc pieprasījuma uzrāda pierādījumus, uz kuriem balstīti secinājumi (44. panta piektā daļa).

Līgumā ar auditoru MK noteikumu Nr. 397 129. punkts liek paredzēt, ka auditoram ir vajadzīgās zināšanas un pieredze, ka audita informāciju apstrādā tikai NATO, ES vai EBTA dalībvalstu teritorijā un ka auditors pēdējo trīs gadu laikā nav piedalījies auditējamās sistēmas izstrādē, uzturēšanā vai testēšanā. Pēdējais nosacījums praksē izslēdz jūsu esošo IT uzturētāju.

Auditoru saraksts un pāreja līdz 2026. gada 1. decembrim

MK noteikumu Nr. 397 122.–128. punkts nosaka auditora prasības un kārtību, kādā Digitālās drošības uzraudzības komiteja auditoru reģistrē sarakstā. Sarakstu publicē NKC tīmekļvietnē. Prasības ietver atbilstību 94. punkta izcelsmes kritērijiem, starptautiski atzītus sertifikātus (piemēram, CISA, ISO/IEC 27001 Lead Auditor, CISSP) un tehniskās iespējas. Mākoņdatošanas un datu centru auditam vajadzīgi papildu sertifikāti (piemēram, CDCAP) un vismaz divu gadu pieredze (123. punkts). Pēdējā publicētā auditoru saraksta versija (12.03.2026.) satur 26 ierakstus. Atklātības labad: šīs vietnes uzturētāja SEQ SIA (OffSeq) ir iekļauta kiberdrošības auditoru sarakstā (12.03.2026. redakcija) – vairāk par OffSeq kiberdrošības auditiem.

Līdz šā likuma 44. panta otrajā daļā minēto Ministru kabineta noteikumu spēkā stāšanās dienai, bet ne ilgāk kā līdz 2026. gada 1. decembrim kiberdrošības auditoram piemēro tās prasības, kas [..] noteikumos Nr. 397 [..] bija noteiktas, lai auditors varētu tikt reģistrēts kiberdrošības auditoru sarakstā.

NKDL pārejas noteikumu 14. punkts

Tātad pašreizējie kritēriji ir pagaidu risinājums ar fiksētu beigu datumu. Līdz 2026. gada 23. oktobrim jauni Ministru kabineta noteikumi par kiberdrošības auditora prasībām likumi.lv nebija publicēti. Ja jums uzdots ārējais audits, kas turpināsies pēc 1. decembra, līgumā paredziet, kā rīkoties, ja auditora prasības mainās audita laikā, un pirms parakstīšanas pārbaudiet aktuālo regulējumu.

Neatbilstību novēršana: no brīdinājuma līdz sistēmas apturēšanai

Soda nauda nav pirmais instruments. NKDL 45. pants paredz pakāpenisku rīcību. Konstatējot neatbilstību, uzraugs var izteikt brīdinājumu vai uzdot subjektam veikt noteiktas darbības samērīgā termiņā, pārtraukt pārkāpumu, kā arī informēt pakalpojumu saņēmējus vai publicēt informāciju par kiberapdraudējumu vai konstatētajiem pārkāpumiem (pirmā daļa). Uzraugs var arī norīkot amatpersonas klātienē pārraudzīt, kā subjekts pilda pienākumus (ceturtā daļa).

Ja subjekts uzdoto neizpilda, piektā daļa ļauj uzdot apturēt informācijas sistēmas, resursa vai elektroniskā pakalpojuma darbību vai IKT produkta tirdzniecību līdz neatbilstības novēršanai. Tā ļauj arī uz laiku aizliegt vadītājam veikt vadības funkcijas (sīkāk tālāk). Lemjot par pasākumu, uzraugs ņem vērā 45. panta sestajā daļā uzskaitītos apsvērumus: smagumu, ilgumu, iepriekšējas neatbilstības, kaitējumu, nodomu vai nolaidību, veiktos seku mazināšanas pasākumus, iekšējo noteikumu un standartu ievērošanu un vadības sadarbību ar uzraugu.

Soda nauda: griesti un aprēķina kārtība

Soda naudu var piemērot tikai par būtisku neatbilstību. Likums to definē šauri (46. panta piektā daļa): subjekts neveic piemērotus un samērīgus tehniskos un organizatoriskos pasākumus, vairākkārt atsakās pildīt uzrauga likumīgās informācijas prasības vai noteiktajā termiņā nepaziņo par nozīmīgu kiberincidentu vai apzināti sniedz nepatiesu informāciju. Trešais gadījums padara incidentu ziņošanas termiņus par tiešu finanšu risku.

Soda naudas griesti (NKDL 46. pants) un apmēra skala (MK noteikumi Nr. 252)

Situācija	Būtisko pakalpojumu sniedzējs, IKT KI	Svarīgo pakalpojumu sniedzējs
Likumā noteiktie griesti	līdz 10 000 000 €; ja apgrozījums pārsniedz 500 milj. €, līdz 2 % no apgrozījuma	līdz 7 000 000 €; ja apgrozījums pārsniedz 500 milj. €, līdz 1,4 % no apgrozījuma
Ietekme tikai uz paša IKT infrastruktūru	līdz 0,2 % no apgrozījuma	līdz 0,15 % no apgrozījuma
Ietekme arī uz citiem subjektiem vai personām	līdz 1 %	līdz 0,75 %
Ietekme uz nacionālo drošību, būtisks kaitējums vai valsts sistēmu traucējumi	līdz 2 %	līdz 1,4 %
Neatbilstība ilgst 1–2 gadus / vairāk par 2 gadiem	+0,25 / +0,5 procentpunkti	+0,25 / +0,5 procentpunkti

MK noteikumi Nr. 252 (spēkā no 2025. gada 8. maija) nosaka arī aprēķina detaļas. Ārvalsts subjekta filiālei rēķina no ārvalsts subjekta apgrozījuma (3. punkts). Ja gada pārskats nav apstiprināts, rēķina no pēdējiem 12 pilnajiem mēnešiem (4. punkts). Soda naudu var samazināt, ja neatbilstība novērsta, tiklīdz subjekts saņēma informāciju no uzrauga, vai ja subjekts pēc savas iniciatīvas sniedzis būtiskus pierādījumus (12. punkts). Ja vienā lietā izskata vairākas neatbilstības, galīgo apmēru nosaka smagākās neatbilstības griestu ietvaros (14. punkts).

Piemērs. Svarīgo pakalpojumu sniedzējam ar 40 miljonu euro apgrozījumu bija nepilnīga piekļuves kontrole, kas ietekmēja tikai paša sistēmas, un tā ilga 18 mēnešus. Skalas augšējā robeža būtu 0,15 % + 0,25 pp = 0,4 % jeb 160 000 €. Tā ir maksimālā robeža. Konkrēto summu uzraugs nosaka, izvērtējot 45. panta sestās daļas apsvērumus un personas mantisko stāvokli (46. panta sestā daļa).

Soda nauda jāsamaksā mēneša laikā pēc lēmuma spēkā stāšanās, citādi to piedziņai nodod tiesu izpildītājam (46. panta astotā daļa). Lēmumu par soda naudu var pārsūdzēt tiesā Administratīvā procesa likuma kārtībā (septītā daļa). Citus NKC lēmumus par būtisko un svarīgo pakalpojumu sniedzējiem vispirms apstrīd aizsardzības ministram (12. panta piektā daļa).

Piespiedu nauda: 10 000 euro par katru reizi

Atsevišķs instruments ir piespiedu nauda. Ja subjekts labprātīgi neizpilda uzrauga lēmumu, piemēram, rīkojumu novērst neatbilstību pēc 45. panta pirmās daļas, NKC vai SAB to izpilda piespiedu kārtā un var uzlikt piespiedu naudu “vienā reizē ne vairāk kā 10 000 euro” (46. panta devītā daļa). Tas nav vienreizējs sods. Piespiedu naudu var uzlikt atkārtoti, kamēr lēmums netiek izpildīts. Pirms izpildrīkojuma adresāts saņem paziņojumu, un viņam ir septiņas dienas, lai iepazītos ar lietu un izteiktu viedokli (vienpadsmitā daļa).

Vadītāja atbildība: kas ir likumā un kas nav

Pirmais teikums NKDL 25. panta pirmajā daļā ir nepārprotams: “Subjekta kiberdrošības pārvaldību nodrošina un par to atbild subjekta vadītājs.” Vadītājs nosaka kiberdrošības pārvaldnieku triju mēnešu laikā (25. panta otrā daļa) un nodrošina, ka tam ir vajadzīgās zināšanas un pilnvaras (MK 397 44. punkts). Tomēr atbildībai ir konkrētas robežas:

• Pagaidu vadības aizliegums. Uzraugs var uz laiku aizliegt fiziskajai personai, kas atbild par vadību un pārstāvību izpildinstitūcijas līmenī, veikt šīs funkcijas (45. panta piektās daļas 3. punkts). Aizliegums ilgst, līdz subjekts izpilda uzdoto, un pēc tam to atceļ (devītā un desmitā daļa).
• Tikai būtisko pakalpojumu sniedzējiem un IKT kritiskajai infrastruktūrai. Svarīgo pakalpojumu sniedzējam, kas nav kritiskā infrastruktūra, aizliegumu nepiemēro (45. panta astotā daļa). Valsts un pašvaldību institūcijām to nepiemēro vispār (vienpadsmitā daļa).
• Nav personiskas soda naudas. NKDL 46. pants soda naudu paredz subjektam, nevis vadītājam personīgi. Apgalvojumi par vadītāju personiskiem naudas sodiem pēc NKDL neatbilst likuma tekstam.
• Sadarbība tiek vērtēta. Viens no 45. panta sestās daļas apsvērumiem ir tas, cik lielā mērā vadītājs sadarbojas ar NKC un SAB (8. punkts).

Vadītāja atbildība pret uzņēmumu un tā dalībniekiem pēc komerctiesībām ir atsevišķs jautājums, un šis ceļvedis to nevērtē.

Valsts iestādes: uzraudzība bez soda naudas

NKDL 46. pantu “nepiemēro tiešās vai pastarpinātās pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskām personām” (46. panta divpadsmitā daļa). Ja šie subjekti nenovērš neatbilstību, NKC vai SAB ziņo attiecīgajam ministram, pašvaldības domes priekšsēdētājam vai Ministru kabinetam (MK noteikumu Nr. 397 144.–146. punkts). Sīkāk par to ceļvedī par publisko sektoru. Pašvaldību un valsts kapitālsabiedrības ir privāto tiesību juridiskas personas, un uz tām šis izņēmums neattiecas.

Kā sagatavoties uzraudzībai

1. Uzturiet pierādījumu mapi katrai MK 397 prasībai: politika, katalogs, plāns, incidentu žurnāls, apmācību un pārbaužu ieraksti. Uzraugs pārbauda datus un dokumentus (42. pants).
2. Dokumentējiet pārvaldnieka ikgadējo IKT drošības pārbaudi un konstatēto trūkumu novēršanu (25. panta piektā daļa).
3. Pārbaudiet ziņošanas ķēdi: kurš un kā 24 stundu laikā nosūta agrīno brīdinājumu. Nokavēts ziņojums ir viens no trim būtiskas neatbilstības pamatiem.
4. Iecēliet kontaktpersonu uzrauga pieprasījumiem un nosakiet atbildes termiņu. Atkārtots atteikums sniegt informāciju ir būtiska neatbilstība.
5. Saņemot rīkojumu, novērsiet neatbilstību nekavējoties un sniedziet pierādījumus pēc savas iniciatīvas. Tie ir MK noteikumu Nr. 252 12. punktā minētie samazināšanas apstākļi.

Ja vēlaties neatkarīgi novērtēt, kur uzraudzībā atklātos lielākās nepilnības, NKDL atbilstības gatavības novērtējums no OffSeq palīdz tās atrast un sakārtot pirms uzrauga pieprasījuma. Tas nav likumā paredzētais ārējais audits.