$ ./atsifret_likumus.sh

Nosaka vienotu augsta līmeņa kiberdrošības prasību ietvaru Eiropas Savienībā. Definē būtiskos un svarīgos subjektus, tiem piemērojamos riska pārvaldības pasākumus, vadības atbildību un incidentu ziņošanas pienākumus. Uzņēmuma lielums nav vienīgais kritērijs - daļai subjektu, tostarp domēnu vārdu sistēmas un elektronisko sakaru pakalpojumu sniedzējiem, prasības attiecas neatkarīgi no izmēra. Tā ir direktīva, tāpēc katra dalībvalsts to pārņem nacionālajā tiesību aktā.

Šie Eiropas Savienības tiesību akti Latvijā ir tieši piemērojami, nevis pārņemti ar Nacionālās kiberdrošības likumu. DORA finanšu sektorā ir lex specialis attiecībā pret NIS 2 un nosaka informācijas un komunikācijas tehnoloģiju riska pārvaldību, incidentu ziņošanu, darbnoturības testēšanu un ārpakalpojumu sniedzēju uzraudzību. Part-IS attiecas uz aviācijas organizācijām, kuras regulē Eiropas Savienības Aviācijas drošības aģentūra. NCCS nosaka pārrobežu elektroenerģijas plūsmu kiberdrošību.

Nosaka kiberdrošības prasības produktiem ar digitāliem elementiem. Aparatūrai un programmatūrai jābūt drošai pēc izstrādes principa un pēc noklusējuma, ar ievainojamību pārvaldību un drošības atjauninājumiem atbalsta periodā. Ražotājam jāziņo par aktīvi izmantotām ievainojamībām. CE marķējums turpmāk apliecina ne vien produkta fizisko, bet arī kiberdrošību.

Konkretizē NIS 2 riska pārvaldības pasākumus un nosaka, kad incidents uzskatāms par nozīmīgu. Attiecas uz digitālās infrastruktūras un digitālo pakalpojumu sniedzējiem: domēnu vārdu sistēmas pakalpojumiem, augstākā līmeņa domēnu reģistriem, mākoņdatošanu, datu centriem, satura piegādes tīkliem, pārvaldītajiem pakalpojumiem un pārvaldītajiem drošības pakalpojumiem, tiešsaistes tirdzniecības vietām, meklētājprogrammām, sociālo tīklu platformām un uzticamības pakalpojumiem. Tehniskās prasības balstītas starptautiskajos standartos. Regula ir tieši piemērojama bez pārņemšanas nacionālajā tiesību aktā.

Aizsargā fizisku personu datus. Personas datu apstrādei nepieciešams tiesisks pamats, datu subjekts ir jāinformē, un dati pēc pieprasījuma jādzēš. Par personas datu aizsardzības pārkāpumu jāziņo uzraudzības iestādei, bet augsta riska gadījumā - arī pašiem cilvēkiem. Šis nav solis pārējo slāņu hierarhijā, bet paralēla ass: viens incidents var vienlaikus radīt kiberdrošības un personas datu ziņošanas pienākumu, un tie ir divi atsevišķi ziņojumi ar atšķirīgiem adresātiem un termiņiem.

Latvijas tiesību akts, ar kuru pārņemta NIS 2 direktīva. Nosaka būtiskos un svarīgos pakalpojumus Latvijā, subjektu uzskaiti, kiberdrošības pārvaldības pienākumus, incidentu ziņošanas kārtību, pašvērtējuma ziņojumus, atbilstības auditus un subjektu atbildību. Papildus NIS 2 minimumam atsevišķi regulē domēnu vārdu reģistrācijas pakalpojumus, datu centru kiberdrošību, centralizētu aizsardzību pret pakalpojumatteices uzbrukumiem un vienoto valsts interneta plūsmu apmaiņas punktu.

Nosaka minimālās tehniskās un organizatoriskās kiberdrošības prasības, kas praksē izpilda Nacionālās kiberdrošības likumā noteiktos pienākumus. Prasības aptver kiberdrošības pārvaldnieku, pārvaldības dokumentāciju un politiku, informācijas un komunikācijas tehnoloģiju resursu katalogu, kiberrisku pārvaldības plānu, kiberincidentu pārvaldību, piekļuves tiesības, tīklu un žurnālfailu pārvaldību, rezerves kopijas, kiberhigiēnu un šifrēšanu. Atsevišķi regulēti ārpakalpojumi, papildu prasības kritiskajai infrastruktūrai un subjektu uzraudzība. Prasību apjoms ir atkarīgs no informācijas sistēmas drošības klases.