Grozījumi Nacionālās kiberdrošības likumā

Lai stiprinātu nacionālo kiberdrošību un lai normatīvo regulējumu padarītu  efektīvāku un samērīgāku, pieņemti grozījumi Nacionālās kiberdrošības likumā (turpmāk – likums). Grozījumi cita starpā ietver izmaiņas likuma subjektu lokā, atsevišķos to pienākumos un ar to uzskaiti saistītos aspektos.

Precizēts likuma subjektu loks:

- privāto tiesību juridiska persona, kas pilda valsts pārvaldes deleģētu uzdevumu, automātiski nav likuma subjekts

No valsts un pašvaldību iestāžu uzskaitījuma, kam saistošas likuma prasības, izslēgtas privāto tiesību juridiskās personas, kas pilda valsts pārvaldes deleģētu uzdevumu. Liela daļa šādu juridisko personu sniedz pakalpojumus sociālā vai kultūras jomā, un tām piemērot likuma prasības nav samērīgi. Tās juridiskās personas, kas pilda valsts pārvaldes deleģētu uzdevumu, bet, kuras ir likuma subjekti, pamatojoties uz citiem likumā minētiem kritērijiem un jomām, subjekta statusu saglabā. Grozījumi likuma 3. panta pirmās daļas 2. punktā un 20. panta 5. punktā.

- nacionālajai drošībai nozīmīga komercsabiedrība ir likuma subjekts (izņemot tādu komercsabiedrību, kurai ir nacionālajai drošībai nozīmīgas komercsabiedrības statuss, pamatojoties uz tās īpašumā esošās meža zemes vai lauksaimniecības zemes platību)

Nacionālai drošībai nozīmīgas komercsabiedrības, biedrības un nodibinājumi, ņemot vērā to lomu sabiedrības drošības un valsts aizsardzības kontekstā, atbilst būtisko pakalpojumu sniedzēja kategorijai. Ar grozījumiem tas tiek precizēts un likumā tiek ieviesta tieša sasaiste ar Nacionālās drošības likumu un tā 37. pantā ietverto nacionālai drošībai nozīmīgu komercsabiedrību, biedrību vai nodibinājumu sarakstu. Vienlaikus, ņemot vērā, ka nacionālai drošībai nozīmīgas mežu zemes un lauksaimniecības īpašnieces potenciāli neskar kiberdrošības aspekti, likuma prasības uz tām nav attiecināmas. Šie grozījumi stājas spēkā 2026. gada 1. oktobrī, piešķirot tām nacionālai drošībai nozīmīgām komercsabiedrībām, kas vēl nav reģistrējušās Centrā, samērīgu pārejas periods sākotnējā pienākuma izpildei. Grozījumi likuma 20. panta 11.punktā.

Centram noteiktas tiesības lemt par personu iekļaušanu un izkļaušanu no būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju saraksta.

Nolūkā padarīt skaidrāku un efektīvāku būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju uzskaiti, visi ar to saistītie jautājumi pārnesti uz Centra kompetenci – Cents izvērtē un lemj par personas atbilstību likuma subjekta statusam, apkopo un apstiprina būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju sarakstu. Centram arī paredzētas tiesības izslēgt no likuma subjektu saraksta valsts vai pašvaldības iestādi, kuras darbības traucējums nevar būtiski ietekmēt sabiedrības drošību, valsts aizsardzību, sabiedrības veselību vai nevar radīt būtisku sistēmisku risku. Grozījumi likuma 22. pantā.

Precizēts termiņš kiberdrošības pārvaldnieka noteikšanai – trīs mēneši no brīža, kad iegūts subjekta statuss.

Tas, ka likumā nav skaidri noteikts termiņš kiberdrošības pārvaldnieka noteikšanai, radījis dažādas interpretācijas un neskaidrības. Trīs mēnešu termiņš pārvaldnieka nozīmēšanai ir sasaistīts ar minimālo termiņu pašvērtējuma ziņojuma iesniegšanai, tādējādi ieviešot subjektiem skaidrību un noteiktību par termiņu minētā pienākuma īstenošanai. Grozījumi likuma 25. panta otrajā daļā.

Atteikšanās no publiskā kiberdrošības auditoru saraksta – subjekts var brīvi izvēlēties noteiktām prasībām atbilstošu kiberdrošības auditoru.

Līdzšinējais regulējums paredzēja, ka subjekta drošības auditu var veikt auditors, kurš ir reģistrēts Digitālās drošības uzraudzības komitejas apstiprinātā kiberdrošības auditoru sarakstā. Ar grozījumiem šāds saraksts tiek likvidēts, un subjekts, izraugoties auditoru, vairs nav ierobežots izvēlēties auditoru no minētā saraksta. Subjekts var izraudzīties jebkādu kiberdrošības auditorus, kurš atbilst Ministru kabineta noteikumos paredzētajām prasībām. Grozījumi likuma 44. panta otrajā daļā.

Noteiktas personāla drošības prasības – subjektam paredzētas tiesības saņemt ziņas no Sodu reģistra par noteiktu IKT jomas darbinieku sodāmību ar mērķi apzināt un izvērtēt drošības riskus un personas piemērotību amatam.

Subjektam noteikts pienākums apzināt un izvērtēt drošības riskus, pieņemot darbā personu, kurai piešķiramas privileģētas piekļuves tiesības sistēmām vai informācijas un komunikācijas tehnoloģiju resursiem, kam ir tieša ietekme uz subjekta pamatdarbību. Minētā skarā subjektam paredzētas tiesības, pieņemot darbā attiecīgu personu, pieprasīt un saņemt ziņas no Sodu reģistra, lai pārliecinātos, vai potenciālais darbinieks nav sodīts par noteikta tīša noziegumu izdarīšanu. Likums papildināts ar jaunu 26.¹ pantu.

Pilns grozījumu teksts: https://likumi.lv/ta/id/369109-grozijumi-nacionalas-kiberdrosibas-likuma