Trešdien, 25. jūnijā, Ministru kabinets apstiprināja Aizsardzības ministrijas noteikumu projektu “Minimālās kiberdrošības prasības”, kura mērķis ir uzlabot kiberdrošību Latvijā, ieviešot mūsdienīgu un strukturētu kiberdrošības regulējumu, kā arī sekmējot būtisko pakalpojumu sniedzēju un informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras noturību pret kiberdrošības apdraudējumiem. Regulējums stāsies spēkā no 2.jūlija.
Noteikumu projekts nosaka obligātās kiberdrošības prasības valsts, pašvaldību un kritiski svarīgajiem privātajiem sektora subjektiem, kuri nodrošina būtiskus un svarīgus pakalpojumus, pārvalda informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru, izmanto publiskos elektronisko sakaru tīklus, kā arī nodrošina valsts informācijas sistēmu savietojamību. Jaunais noteikumu projekts regulēs tādas jomas kā kiberdrošības pārvaldības prasības, incidentu klasifikācija, ziņošanas termiņi un formas, informācijas sistēmu pieejamība, datu atjaunošana, šifrēšana, kiberhigiēnas pamatprincipi, personāla kompetences un kiberdrošības pārvaldnieka prasības, kā arī prasības, kas izvirzāmas ārpakalpojumiem.
Noteikumu projekts “Minimālās kiberdrošības prasības” izstrādāts, jo 2024. gada 1. septembrī spēkā stājās Nacionālās kiberdrošības likums (NKDL), kā rezultātā spēku zaudēja Ministru kabineta 2015. gada 28. jūlija noteikumi Nr. 442 “Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām”. Tāpat noteikumu projekts izstrādāts, lai pilnībā ieviestu Latvijas tiesību sistēmā Eiropas Parlamenta un Padomes 2022. gada 14. decembra direktīvas (ES) 2022/2555, kas paredz dažādus pasākumus, lai panāktu līdzvērtīgi augstu kiberdrošības līmeni visā Eiropas Savienībā.
Nacionālās kiberdrošības likums un Ministru kabineta noteikumi “Minimālās kiberdrošības prasības” būtisko un svarīgo pakalpojumus sniedzējiem, kā arī valsts pārvaldes iestādēm paredz pienākumu līdz 2025. gada 1. oktobrim iecelt kiberdrošības pārvaldnieku – atbildīgo par noteikumos minēto prasību izpildi. Tāpat līdz 1. oktobrim Nacionālajā kiberdrošības centrā jāiesniedz pašvērtējuma anketa, ar kuras palīdzību pakalpojumu sniedzēji novērtēs savu šī brīža atbilstību likuma un noteikumu prasībām. Vadoties pēc šajās anketās iekļautās informācijas, Nacionālais kiberdrošības centrs veiks atbilstības auditus, lai novērtētu noteikumos iekļauto prasību izpildi un sniegtu rekomendācijas uzņēmumu vai iestāžu kiberdrošības uzlabošanai. Šāda veida pašnovērtējums uzņēmumiem un iestādēm turpmāk būs jāveic regulāri – reizi 1 vai 3 gados.
Tāpat jaunais regulējums paredz arī kiberdrošības dokumentācijas uzturēšanu, piemēram, darbības nepārtrauktības plānu un kiberrisku pārvaldības plānu izveidi. Drīzumā plānots izstrādāt kiberdrošības dokumentācijas paraugus, lai pakalpojumu sniedzējiem, kuriem šāda veida dokumentācija ir jaunums, atvieglotu tās izstrādi un noteikumos minēto prasību izpildi.
Papildus tam Nacionālais kiberdrošības centrs organizēs informatīvos seminārus, kuros interesentiem būs iespēja iepazīties ar nozīmīgākajām noteikumos minētajām prasībām, kā arī rast atbildes uz sev neskaidrajiem jautājumiem. Tuvākie informatīvie semināri tiks organizēti 22., 23. un 30. jūlijā.
Īpaša uzmanība šiem noteikumiem jāpievērš NKDL subjektiem, jo tajos noteiktas prasības subjekta kiberdrošības pārvaldniekam, prasības IKT pārvaldības dokumentācijai un IKT pārvaldībai kopumā (t.sk. īpašās prasības IKT kritiskās infrastruktūras īpašniekiem vai tiesiskajiem valdītājiem). No CERT.LV puses akcentējam, ka ar šiem noteikumiem ir noteikti kiberincidentu būtiskuma kritēriji un to paziņošanas kārtība (7. nodaļa). Noteikumi nosaka arī atbildīgās institūcijas subjektu kiberdrošības uzraudzības jomā. Lai atvieglotu un uzlabotu kiberdrošības pārvaldību un nepieciešamās informācijas iesniegšanas kārtību, Aizsardzības ministrija ir izstrādājusi noteiktas formas veidlapas (MK noteikumu pielikumi), t.sk.nozīmīgu kiberincidentu paziņošanas un risināšanas jomā, informācijas sistēmu klasifikācijas jomā, subjekta kiberdrošības atbilstības pašnovērtējuma jomā u.c. būtiskās kiberdrošības pārvaldības jomās.
Kiberdrošības pārvaldnieks, par kuru atbilstoši kārtībai ir paziņots Nacionālajam kiberdrošības centram, ir galvenā kontaktpersona saziņai ar CERT.LV kiberincidentu gadījumos. Tāpēc CERT.LV aicina organizācijas laikus noteikt un paziņot savu kiberdrošības pārvaldnieku, lai kiberincidenta gadījumā varētu nodrošināt nepieciešamo palīdzību tā risināšanā.
CERT.LV atgādina, ka saskaņā ar Nacionālās kiberdrošības likumu un MK noteikumiem Nr. 397 subjektiem ir pienākums ziņot par jebkuru kiberdrošības incidentu, nosūtot nepieciešamo informāciju uz: cert@cert.lv.
Neskaidrību gadījumā aicinām sazināties ar Nacionālā kiberdrošības centra NIS2 kontaktpunktu. E-pasts: NIS2@mod.gov.lv, telefons: 67335131
Noderīgi:
Kad ziņot par incidentu: https://cert.lv/lv/kad-zinot-par-incidentu
CERT.LV ieteikumi atbildīgajiem par IT drošību: https://cert.lv/lv/valsts-un-pasvaldibu-iestadem/atbildigajiem-par-it-drosibu
MK noteikumi Nr. 397 “Minimālās kiberdrošības prasības”: https://likumi.lv/ta/id/361481-minimalas-kiberdrosibas-prasibas
Avots: https://www.mod.gov.lv/lv/zinas/apstiprinats-noteikumu-projekts-sistematiska-un-struktureta-kiberdrosibas-regulejuma
