Kam ir saistošs Nacionālās kiberdrošības likums

Atbilstoši Nacionālās kiberdrošības likuma (turpmāk – NKDL) 3.panta noteiktajam likums attiecas uz:

1. būtisko pakalpojumu sniedzējiem, svarīgo pakalpojumu sniedzējiem un informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem (turpmāk visi kopā — subjekti);

2. tiešās un pastarpinātās pārvaldes iestādēm, atvasinātām publiskajām personām un citām valsts institūcijām, kā arī privāto tiesību juridiskajām personām, kas pilda valsts pārvaldes deleģētu uzdevumu (turpmāk visas kopā — valsts un pašvaldību institūcijas), izņemot valsts drošības iestādes;

3. privāto tiesību juridiskajām personām;

4. fiziskajām personām, kas piedalās koordinētas ievainojamību atklāšanas procesā.

Subjektu uzraudzība

Nacionālais kiberdrošības centrs īsteno uzraudzības funkcijas, tostarp uzrauga, kā būtisko pakalpojumu un svarīgo pakalpojumu sniedzēji izpilda tiem šajā likumā noteiktos pienākumus (NKDL 5.panta pirmās daļas 3.punkts). 

Satversmes aizsardzības birojs (SAB) īsteno uzraudzības funkcijas, tostarp uzrauga, kā informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieki un tiesiskie valdītāji izpilda tiem likumā noteiktos pienākumus (NKDL 7.panta pirmais punkts).

Saskaņā ar Nacionālas kiberdrošības likuma 42. pantu subjektu uzraudzība ietver:

1. Kiberdrošības prasību ievērošanas kontroli, informācijas un komunikācijas tehnoloģiju klātienes pārbaudes un attālinātu pārraudzību, datu un dokumentu pārbaudes, tostarp attiecībā uz risku vadību un auditos vai atbilstības novērtējumos konstatēto nepilnību novēršanu, kā arī subjekta elektronisko sakaru tīklu un informācijas sistēmu drošības skenēšanu.

2. Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs atbilstoši NKDL 41. pantā noteiktajam subjektu uzraudzības dalījumam ir tiesīgi prioritizēt šā panta pirmajā daļā minēto uzraudzības pasākumu īstenošanu, izvērtējot aktuālos kiberriskus.

3. Ministru kabineta noteikumi Nr. 397 nosaka kritērijus un kārtību šā panta pirmajā daļā minētās drošības skenēšanas veikšanai.

Subjektu atbilstības audits

Nacionālas kiberdrošības likuma 44. pants paredz Nacionālajam kiberdrošības centram un Satversmes aizsardzības birojam atbilstoši subjektu uzraudzības dalījumam tiesības veikt subjekta atbilstības auditu vai uzdot Subjektam veikt ārēju auditu par Subjekta atbilstību Nacionālās kiberdrošības likumā un Ministru kabineta noteikumos Nr. 397 noteiktajām kiberdrošības prasībām, ja ir aizdomas par kiberdrošības pārkāpumiem vai tie ir konstatēti.

Ārējo auditu veic neatkarīgs kiberdrošības auditors, kuram ar Subjektu nav interešu konflikta un kurš ir reģistrēts Digitālās drošības uzraudzības komitejas apstiprinātajā kiberdrošības auditoru sarakstā. 

IKT kritiskajā infrastruktūrā ārējo auditu veic atbilstošs ar Satversmes aizsardzības biroju saskaņots kiberdrošības auditors.

Ārējā audita izmaksas sedz un auditā konstatētos pārkāpumus novērš attiecīgais subjekts.