$ ./atsifret_likumus.sh

Nosaka vienotu augsta līmeņa kiberdrošības prasību ietvaru Eiropas Savienībā. Definē būtiskos un svarīgos subjektus 18 nozarēs (enerģētika, transports, banku pakalpojumi, veselības aprūpe, digitālā infrastruktūra u.c.), tiem piemērojamos kiberdrošības riska pārvaldības pasākumus un incidentu ziņošanas pienākumus. Tā ir direktīva, tāpēc katra dalībvalsts to pārņem nacionālajā tiesību aktā.

Šie Eiropas Savienības tiesību akti Latvijā ir tieši piemērojami, nevis pārņemti ar Nacionālo kiberdrošības likumu. NKDL aviāciju un enerģētiku ietver tikai kā NIS 2 nozares, bez sektoriālajām tehniskajām prasībām. Katram aktam ir atsevišķs juridiskais pamats. DORA (Regula (ES) 2022/2554) finanšu sektorā ir lex specialis attiecībā pret NIS 2 un nosaka IKT riska pārvaldību, incidentu ziņošanu un trešo pušu uzraudzību. Part-IS (Regulas (ES) 2023/203 un 2022/1645) aviācijā piemērojama EASA regulētajām organizācijām, pamatojoties uz EASA pamatregulu (ES) 2018/1139. NCCS (Regula (ES) 2024/1366) enerģētikā nosaka pārrobežu elektroenerģijas plūsmu kiberdrošību, pamatojoties uz Elektroenerģijas tirgus regulu (ES) 2019/943.

Nosaka kiberdrošības prasības produktiem ar digitāliem elementiem. Aparatūrai un programmatūrai jābūt drošai pēc noklusējuma un izstrādes principa, ar drošības atjauninājumu nodrošināšanu visā produkta dzīves ciklā. CE marķējums turpmāk apliecina ne vien produkta fizisko, bet arī kiberdrošību.

Konkretizē NIS 2 riska pārvaldības pasākumus un incidentu ziņošanas kritērijus digitālo pakalpojumu sniedzējiem (mākoņpakalpojumi, datu centri, DNS, satura piegādes tīkli, tiešsaistes tirdzniecības vietas u.c.). Regula ir tieši piemērojama bez pārņemšanas nacionālajā tiesību aktā.

Aizsargā fizisku personu datus. Personas datu apstrādei nepieciešams tiesisks pamats, datu subjekts ir jāinformē, un dati pēc pieprasījuma jādzēš. Par personas datu aizsardzības pārkāpumu 72 stundu laikā jāziņo Datu valsts inspekcijai.

Latvijas tiesību akts, ar kuru pārņemta NIS 2 direktīva. Nosaka būtiskos un svarīgos pakalpojumus Latvijā, incidentu ziņošanas kārtību (CERT.LV), kompetentās iestādes (Nacionālais kiberdrošības centrs) un subjektu pienākumus un atbildību.

Nosaka minimālās tehniskās un organizatoriskās kiberdrošības prasības. Tās ietver paroļu politiku (vismaz 12 rakstzīmes), daudzfaktoru autentifikāciju personālam, notikumu žurnalēšanu, programmatūras atjauninājumus, drošības testēšanu un datu rezerves kopijas. Šīs prasības praksē nodrošina Nacionālajā kiberdrošības likumā noteikto pienākumu izpildi.