Nacionālās kiberdrošības likums

Subjektu uzraudzību veic:

1) Nacionālais kiberdrošības centrs — attiecībā uz būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem, izņemot informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru;

2) Satversmes aizsardzības birojs — attiecībā uz informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru.

42. pants. Subjektu uzraudzība

(1) Subjektu uzraudzība ietver kiberdrošības prasību ievērošanas kontroli, informācijas un komunikācijas tehnoloģiju klātienes pārbaudes un attālinātu pārraudzību, datu un dokumentu pārbaudes, tostarp attiecībā uz risku vadību un auditos vai atbilstības novērtējumos konstatēto nepilnību novēršanu, kā arī subjekta elektronisko sakaru tīklu un informācijas sistēmu drošības skenēšanu.

(2) Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs atbilstoši šā likuma 41. pantā noteiktajam subjektu uzraudzības dalījumam ir tiesīgi prioritizēt šā panta pirmajā daļā minēto uzraudzības pasākumu īstenošanu, izvērtējot aktuālos kiberriskus.

(3) Ministru kabinets nosaka kritērijus un kārtību šā panta pirmajā daļā minētās drošības skenēšanas veikšanai.

43. pants. Subjektu atbilstības pašvērtējuma ziņojums

(1) Subjekts atbilstoši šā likuma 41. pantā noteiktajam subjektu uzraudzības dalījumam iesniedz Nacionālajam kiberdrošības centram un Satversmes aizsardzības birojam subjekta atbilstības pašvērtējuma ziņojumu (turpmāk — pašvērtējuma ziņojums).

(2) Pašvērtējuma ziņojuma veidlapu un tajā iekļaujamās informācijas saturu un apjomu, kā arī pašvērtējuma ziņojuma iesniegšanas termiņu un regularitāti nosaka Ministru kabinets.

44. pants. Subjektu atbilstības audits

(1) Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs atbilstoši šā likuma 41. pantā noteiktajam subjektu uzraudzības dalījumam ir tiesīgi veikt subjekta atbilstības auditu vai uzdot subjektam veikt ārēju auditu par subjekta atbilstību šajā likumā un Ministru kabineta noteikumos noteiktajām kiberdrošības prasībām, ja ir aizdomas par kiberdrošības pārkāpumiem vai tie ir konstatēti.

(2) Ārējo auditu veic neatkarīgs kiberdrošības auditors, kuram ar subjektu nav interešu konflikta un kurš ir reģistrēts Digitālās drošības uzraudzības komitejas apstiprinātajā kiberdrošības auditoru sarakstā. Ministru kabinets nosaka kiberdrošības auditoram izvirzāmās prasības un kiberdrošības auditoru reģistrācijas kārtību.

(3) Informācijas un komunikācijas tehnoloģiju kritiskajā infrastruktūrā ārējo auditu veic šā panta otrajā daļā noteiktajiem kritērijiem atbilstošs ar Satversmes aizsardzības biroju saskaņots kiberdrošības auditors.

(4) Ārējā audita izmaksas sedz un auditā konstatētos pārkāpumus novērš attiecīgais subjekts.

(5) Pēc ārējā audita beigām subjekts nekavējoties iesniedz Nacionālajam kiberdrošības centram (informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs — Satversmes aizsardzības birojam) ārējā audita ziņojuma kopiju. Pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma subjekts uzrāda arī pierādījumus, kas bija par pamatu ārējā audita ziņojumā iekļautajiem secinājumiem.

45. pants. Subjektu neatbilstības novēršana

(1) Ja konstatētas neatbilstības, Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs atbilstoši šā likuma 41. pantā noteiktajam subjektu uzraudzības dalījumam ir tiesīgi izteikt subjektam brīdinājumu vai uzdot subjektam:

1) veikt noteiktas darbības neatbilstības novēršanai, nosakot samērīgu termiņu neatbilstības novēršanai un kārtību ziņošanai par neatbilstības novēršanas gaitu;

2) nekavējoties pārtraukt un turpmāk nepieļaut rīcību, kas pārkāpj šajā likumā noteiktās prasības;

3) informēt pakalpojumu saņēmējus vai publicēt informāciju par kiberapdraudējumu, tā veidu un apmēru, kā arī tā novēršanai vai mazināšanai nepieciešamajām darbībām;

4) informēt pakalpojumu saņēmējus vai publicēt informāciju par konstatētajiem subjekta pārkāpumiem.

(2) Ja konstatētā neatbilstība rada nozīmīga kiberincidenta risku, Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs par konstatēto risku informē Ministru kabinetu, bet, ja neatbilstība apdraud nacionālo drošību, — Nacionālās drošības padomi.

(3) Subjekts nekavējoties veic visus nepieciešamos, piemērotos un samērīgos pasākumus neatbilstību novēršanai, tostarp izpilda Nacionālā kiberdrošības centra un Satversmes aizsardzības biroja norādījumus.

(4) Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs ir tiesīgi veikt klātienes pārbaudes, tostarp norīkot amatpersonas pārraudzīt, kā subjekts noteiktā laikposmā pilda tam šajā likumā noteiktos pienākumus.

(5) Ja subjekts nepilda saskaņā ar šā panta pirmo daļu uzliktos tiesiskos pienākumus, Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs atbilstoši šā likuma 41. pantā noteiktajam subjektu uzraudzības dalījumam ir tiesīgi:

1) uzdot subjektam apturēt tā informācijas sistēmas, resursa vai elektroniskā pakalpojuma darbību līdz konstatētās neatbilstības novēršanai;

2) uzdot subjektam apturēt informācijas un komunikācijas tehnoloģiju produkta tirdzniecību vai pakalpojuma sniegšanu līdz konstatētās neatbilstības novēršanai;

3) uz laiku aizliegt jebkurai fiziskajai personai, kas subjektā ir atbildīga par vadības un pārstāvības pienākumu veikšanu izpildinstitūcijas līmenī vai tam līdzvērtīgā līmenī, veikt vadības un pārstāvības funkcijas.

(6) Lemjot par jebkuru no šā panta pirmajā vai piektajā daļā minētajiem izpildes panākšanas pasākumiem, Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs ņem vērā šādus apsvērumus:

1) neatbilstību smagumu un pārkāpto prasību nozīmīgumu, ņemot vērā to, ka par nozīmīgu neatbilstību šā likuma izpratnē ir uzskatāmi šādi gadījumi:

2) neatbilstības ilgumu;

3) jebkādas iepriekš konstatētas attiecīgā subjekta neatbilstības;

4) jebkādu izraisīto materiālo vai nemateriālo kaitējumu, tai skaitā jebkādu finansiālo vai ekonomisko zaudējumu, ietekmi uz citiem pakalpojumiem un skarto lietotāju skaitu;

5) neatbilstības izraisītāja nodomu vai nolaidību;

6) jebkādus pasākumus, ko subjekts veicis, lai novērstu vai mazinātu materiālo vai nemateriālo kaitējumu;

7) vai subjekts ievēro iekšējos noteikumus, kas izdoti, lai izpildītu minimālās kiberdrošības prasības, kiberrisku pārvaldības un darbības nepārtrauktības plānu, kā arī subjektam saistošos starptautiskos un nacionālos standartus un sertifikācijas shēmas (ja attiecināms);

8) cik lielā mērā fiziskā persona, kura subjektā ir atbildīga par vadības un pārstāvības pienākumu veikšanu izpildinstitūcijas līmenī vai tam līdzvērtīgā līmenī sadarbojas ar Nacionālo kiberdrošības centru un Satversmes aizsardzības biroju.

(7) Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs šā panta piektās daļas 3. punktā minēto lēmumu nosūta subjektam.

(8) Šā panta piektās daļas 3. punktā minēto aizliegumu nepiemēro svarīgo pakalpojumu sniedzējam, kurš nav informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs.

(9) Šā panta piektās daļas 3. punktā minēto aizliegumu piemēro līdz brīdim, kad attiecīgais subjekts izpildījis tam saskaņā ar šā panta pirmo daļu uzliktos tiesiskos pienākumus.

(10) Kad subjekts ir izpildījis tam saskaņā ar šā panta pirmo daļu uzliktos tiesiskos pienākumus, Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs atbilstoši šā likuma 41. pantā noteiktajam subjektu uzraudzības dalījumam atceļ šā panta piektās daļas 3. punktā minēto aizliegumu.

(11) Šā panta piektās daļas 3. punktā minēto aizliegumu nepiemēro tiešās vai pastarpinātās pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskajām personām.

(12) Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs atbilstoši šā likuma 41. pantā noteiktajam subjektu uzraudzības dalījumam pirms šā panta piektās daļas 1. punktā minēto tiesību īstenošanas attiecībā uz Latvijas Bankas uzturētām informācijas sistēmām, resursiem vai elektroniskajiem pakalpojumiem konsultējas ar Latvijas Banku.

46. pants. Soda naudas piemērošana un piespiedu izpildes noteikumi

(1) Nacionālais kiberdrošības centrs ir tiesīgs par būtisku neatbilstību šajā likumā noteiktajām prasībām piemērot būtisko pakalpojumu sniedzējam soda naudu līdz 10 miljoniem euro, bet, ja būtisko pakalpojumu sniedzēja pēdējā finanšu gada kopējā neto apgrozījuma summa pārsniedz 500 miljonus euro, — līdz diviem procentiem no būtisko pakalpojumu sniedzēja pēdējā finanšu gada kopējā neto apgrozījuma.

(2) Nacionālais kiberdrošības centrs ir tiesīgs par būtisku neatbilstību šajā likumā noteiktajām prasībām piemērot svarīgo pakalpojumu sniedzējam soda naudu līdz septiņiem miljoniem euro, bet, ja svarīgo pakalpojumu sniedzēja pēdējā finanšu gada kopējā neto apgrozījuma summa pārsniedz 500 miljonus euro, — līdz 1,4 procentiem no svarīgo pakalpojumu sniedzēja pēdējā finanšu gada kopējā neto apgrozījuma.

(3) Satversmes aizsardzības birojs ir tiesīgs par būtisku neatbilstību šajā likumā noteiktajām prasībām piemērot informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekam vai tiesiskajam valdītājam soda naudu līdz 10 miljoniem euro, bet, ja informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieka vai tiesiskā valdītāja pēdējā finanšu gada kopējā neto apgrozījuma summa pārsniedz 500 miljonus euro, — līdz diviem procentiem no informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieka vai tiesiskā valdītāja pēdējā finanšu gada kopējā neto apgrozījuma.

(4) Ministru kabinets nosaka kārtību, kādā nosakāms finanšu gada neto apgrozījums, no kura aprēķina soda naudu, un soda naudas apmēra noteikšanas kritērijus.

(5) Būtiska neatbilstība šā likuma izpratnē ir tas, ka:

1) subjekts neveic piemērotus un samērīgus tehniskos un organizatoriskos pasākumus kiberapdraudējuma vai kiberincidenta ietekmes mazināšanai;

2) subjekts vairākkārt atsakās pildīt Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja amatpersonu likumīgās prasības, kas saistītas ar šajā likumā subjektam noteikto pienākumu sniegt informāciju kiberdrošības uzraudzības ietvaros;

3) subjekts šajā likumā noteiktajā termiņā nepaziņo kompetentajai kiberincidentu novēršanas institūcijai par nozīmīgu kiberincidentu vai apzināti sniedz tai nepatiesu informāciju.

(6) Soda naudas apmērs ir nosakāms samērīgs ar izdarīto pārkāpumu. Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs, pieņemot lēmumu par soda naudas piemērošanu un tās apmēru, izvērtē un ņem vērā šā likuma 45. panta sestajā daļā minētos apsvērumus, kā arī personas mantisko stāvokli.

(7) Nacionālā kiberdrošības centra un Satversmes aizsardzības biroja lēmumu par piemēroto soda naudu var pārsūdzēt tiesā Administratīvā procesa likumā noteiktajā kārtībā.

(8) Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja piemēroto soda naudu subjekts samaksā mēneša laikā no dienas, kad stājas spēkā lēmums par tās piemērošanu. Ja lēmums par soda naudas piemērošanu nav izpildīts labprātīgi, tā piespiedu izpildi veic tiesu izpildītājs. Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs ir atbrīvots no valsts nodevas par lēmuma iesniegšanu izpildei.

(9) Ja lēmumi, kas pieņemti saskaņā ar šā likuma 34. panta desmito daļu, 37. panta pirmo daļu un 45. panta pirmo daļu, nav izpildīti labprātīgi, Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs tos izpilda piespiedu kārtā saskaņā ar Administratīvā procesa likumu. Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs, veicot uz noteiktu darbību vai darbības aizliegumu vērsta lēmuma piespiedu izpildi, var uzlikt piespiedu naudu — vienā reizē ne vairāk kā 10 000 euro.

(10) Uzliktās piespiedu naudas apmērs ir nosakāms samērīgs ar izdarīto pārkāpumu. Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs, nosakot šā panta piektajā daļā minētās piespiedu naudas apmēru, ņem vērā šā likuma 34. panta desmitajā daļā, 37. panta pirmajā daļā un 45. panta pirmajā daļā minēto lēmumu nepildīšanas ietekmi uz tīklu un informācijas sistēmu drošību, pārkāpuma ilgumu, kā arī citus apstākļus, kuriem ir nozīme lietā.

(11) Pirms izpildrīkojuma izdošanas Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs rakstveidā paziņo adresātam, ka ir iegūta informācija, kas nepieciešama izpildrīkojuma izdošanai. Adresāts septiņu dienu laikā pēc minētā paziņojuma saņemšanas var iepazīties ar lietu, izteikt savu viedokli un iesniegt papildu informāciju.

(12) Šo pantu nepiemēro tiešās vai pastarpinātās pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskām personām.

(13) Samaksāto soda naudu vai piespiedu naudu ieskaita valsts pamatbudžetā.

Pārejas noteikumi

1. Ar šā likuma spēkā stāšanos spēku zaudē Informācijas tehnoloģiju drošības likums (Latvijas Vēstnesis, 2010, 178. nr.; 2012, 179. nr.; 2013, 228. nr.; 2015, 34. nr.; 2017, 132. nr.; 2018, 210. nr.).

2. Ministru kabinets līdz 2024. gada 17. oktobrim izdod šā likuma 9. panta ceturtajā daļā, 12. panta trešajā daļā, 17. panta otrajā daļā, 23. panta sestajā daļā, 24. panta otrajā daļā, 25. panta pirmajā daļā, 26. pantā, 28. panta otrajā daļā, 29. pantā, 31. pantā, 32. panta otrajā un trešajā daļā, 33. pantā, 34. panta pirmajā, septītajā un desmitajā daļā, 36. panta pirmajā daļā, 42. panta trešajā daļā, 43. panta otrajā daļā un 44. panta otrajā daļā minētos noteikumus.

3. Ministru kabinets līdz 2025. gada 1. aprīlim nosaka kritērijus un kārtību, kādā Latvija veic kiberuzbrukumu attiecināšanu.

4. Ministru kabinets līdz 2025. gada 1. aprīlim izdod šā likuma 30. panta otrajā daļā minētos noteikumus.

5. Līdz šā likuma 17. panta otrajā daļā minēto noteikumu spēkā stāšanās dienai, bet ne ilgāk kā līdz 2025. gada 1. janvārim ir piemērojami Ministru kabineta 2016. gada 1. novembra noteikumi Nr. 695 "Digitālās drošības uzraudzības komitejas nolikums", ciktāl tie nav pretrunā ar šo likumu.

6. Līdz šā likuma 12. panta trešajā daļā, 24. panta otrajā daļā, 25. panta pirmajā daļā, 26. pantā, 28. panta otrajā daļā, 29. pantā, 30. panta otrajā daļā, 34. panta pirmajā, septītajā un desmitajā daļā, 36. panta pirmajā daļā, 42. panta trešajā daļā, 43. panta otrajā daļā un 44. panta otrajā daļā minēto noteikumu spēkā stāšanās dienai, bet ne ilgāk kā līdz 2024. gada 17. oktobrim ir piemērojami Ministru kabineta 2015. gada 28. jūlija noteikumi Nr. 442 "Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām" un 2011. gada 1. februāra noteikumi Nr. 100 "Informācijas tehnoloģiju kritiskās infrastruktūras drošības pasākumu plānošanas un īstenošanas kārtība", ciktāl tie nav pretrunā ar šo likumu.

7. Veicot sākotnējo pašvērtējumu saskaņā ar šā likuma 22. panta pirmo daļu, persona par savu atbilstību būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam paziņo Nacionālajam kiberdrošības centram ne vēlāk kā līdz 2025. gada 1. aprīlim. Ja atbilstība būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam ir iestājusies pēc minētā termiņa, persona par to paziņo Nacionālajam kiberdrošības centram šā likuma 22. panta pirmajā daļā noteiktajā termiņā.

8. Šā likuma 22. panta ceturtajā daļā minēto būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju sarakstu apstiprina līdz 2025. gada 17. aprīlim.

9. Šā likuma 23. panta pirmajā daļā minēto informāciju par personas atbilstību domēnu vārdu reģistrācijas pakalpojumu sniedzēja statusam paziņo Nacionālajam kiberdrošības centram ne vēlāk kā līdz 2025. gada 1. aprīlim. Ja atbilstība domēnu vārdu reģistrācijas pakalpojumu sniedzēja statusam ir iestājusies pēc minētā termiņa, persona par to paziņo Nacionālajam kiberdrošības centram šā likuma 23. panta pirmajā daļā noteiktajā termiņā.

10. Šā likuma 25. panta otrajā daļā minēto informāciju par subjekta kiberdrošības pārvaldnieka noteikšanu pirmreizēji paziņo Nacionālajam kiberdrošības centram un Satversmes aizsardzības birojam ne vēlāk kā līdz 2025. gada 1. oktobrim. Ja subjekta kiberdrošības pārvaldnieks tiek noteikts pēc minētā termiņa, subjekts par to paziņo Nacionālajam kiberdrošības centram un Satversmes aizsardzības birojam šā likuma 25. panta otrajā daļā noteiktajā termiņā.

11. Šā likuma 34. panta otro, trešo, ceturto un piekto daļu piemēro no 2025. gada 1. jūlija.

12. Šā likuma 43. panta pirmajā daļā minēto pašvērtējuma ziņojumu pirmreizēji iesniedz Nacionālajam kiberdrošības centram un Satversmes aizsardzības birojam ne vēlāk kā līdz 2025. gada 1. oktobrim.

13. Būtisko pakalpojumu sniedzēji, kas ir finanšu vienības regulas 2022/2554 2. panta 2. punkta izpratnē, līdz 2025. gada 17. janvārim attiecībā uz risku pārvaldību — trešo personu saistīto risku pārvaldību, darbības noturību, testēšanu un incidentu ziņošanu — piemēro attiecīgo jomu regulējošos normatīvajos aktos noteiktās prasības.

Informatīva atsauce uz Eiropas Savienības direktīvām

Likumā iekļautas tiesību normas, kas izriet no:

1) Eiropas Parlamenta un Padomes 2022. gada 14. decembra direktīvas (ES) 2022/2555, ar ko paredz pasākumus nolūkā panākt vienādi augstu kiberdrošības līmeni visā Savienībā un ar ko groza regulu (ES) Nr. 910/2014 un direktīvu (ES) 2018/1972 un atceļ direktīvu (ES) 2016/1148 (TID 2 direktīva);

2) Eiropas Parlamenta un Padomes 2018. gada 11. decembra direktīvas (ES) 2018/1972 par Eiropas Elektronisko sakaru kodeksa izveidi (pārstrādāta redakcija).

Likums stājas spēkā 2024. gada 1. septembrī.Likums Saeimā pieņemts 2024. gada 20. jūnijā.

Valsts prezidenta vietāSaeimas priekšsēdētāja D. Mieriņa

Rīgā 2024. gada 4. jūlijā