Neviens jums neraksta, ka noteikumi uz jums attiecas. To izdarāt pats, pēc lieluma kritērijiem, kas uzņēmumus sadala divās kategorijās, un atbilde nosaka gan ziņošanas termiņus, gan sodu apmēru. Turklāt 2026. gada 1. oktobrī regulējuma tvērums paplašinās.
Latvijas kiberdrošības regulējumā ir viena iezīme, kas uzņēmumus pārsteidz biežāk nekā jebkura tehniskā prasība tajā. Neviens jums nepaziņo, ka tas uz jums attiecas.
Saskaņā ar Nacionālās kiberdrošības likumu uzņēmumam pašam jānoskaidro, vai tas uzskatāms par pamatpakalpojuma vai svarīga pakalpojuma sniedzēju, un, ja tā ir, mēneša laikā jāpaziņo Nacionālajam kiberdrošības centram. Neviens reģistrs jūs sarakstā neieraksta, vēstule nepienāk, un pārejas periods dienā, kad to uzzināt, nesākas. Pirmā kārta bija jāpaveic līdz 2025. gada 1. aprīlim. Tātad uzņēmumam, kas šodien atklāj, ka regulējums uz to attiecas, priekšā nav termiņš — tas jau ir nokavēts.
Lieluma kritēriji, kas sašķiro visus
Likums attiecas uz abām kategorijām. Atšķirība parādās uzraudzības ciešumā un, krasi, sodu apmērā. Lielāko daļu šķirošanas paveic divas definīcijas.
Jūs esat liels komersants, ja atbilstat kaut vienam no šiem: 250 vai vairāk darbinieku, apgrozījums virs 50 miljoniem EUR vai bilances kopsumma virs 43 miljoniem EUR.
Jūs esat vidējs komersants, ja atbilstat visiem šiem: līdz 249 darbiniekiem un apgrozījums vai bilances kopsumma no 10 miljoniem EUR līdz lielā komersanta slieksnim.
Atšķirība starp „kaut vienu” un „visiem” ir svarīga. Uzņēmums ar 300 darbiniekiem un pieticīgu apgrozījumu ir liels, jo pietiek ar vienu pazīmi. Uzņēmums ar 40 darbiniekiem un 3 miljonu EUR apgrozījumu nav ne liels, ne vidējs, tāpēc uz lielumu balstītie ceļi to nesasniedz vispār.
Kas ir pamatpakalpojuma sniedzējs
Dažas organizācijas ir pamatpakalpojuma sniedzēji pašas savas būtības dēļ, bez jebkādiem lieluma kritērijiem: .lv reģistrs, domēna vārdu atrisināšanas pakalpojumu sniedzēji, elektronisko sakaru komersanti, kvalificēti uzticamības pakalpojumu sniedzēji, valsts iestādes un sabiedriskie mediji.
Citas ir pamatpakalpojuma sniedzēji tāpēc, ka ir liels komersants kādā no uzskaitītajām nozarēm. Nozaru ir divdesmit — enerģētika, transports, bankas, centrālie darījumu partneri un tirdzniecības vietas, veselības aprūpe, dzeramais ūdens un digitālās: mākoņdatošana, datu centri, satura piegādes tīkli, IKT pārvaldība un kiberdrošības pakalpojumi.
Vēl trīs ceļi skar uzņēmumus, kas to nekad negaidītu: būt vienīgajam pakalpojuma sniedzējam kādā no šīm nozarēm Latvijā, lai kāds būtu jūsu lielums; būt publiskai personai, kas kādā no tām darbojas privāttiesiskā kārtā; un būt jebkurai organizācijai, kuras darbības traucējumi varētu būtiski ietekmēt sabiedrisko drošību, valsts aizsardzību vai sabiedrības veselību vai radīt sistēmisku risku.
2026. gada 1. oktobrī tvērums paplašinās
Tieši pēdējais ceļš tiek paplašināts. No 2026. gada 1. oktobra tas tieši ietver komercsabiedrības, nodibinājumus un biedrības, kas ir nozīmīgas valsts drošībai, izņemot lielu meža vai lauksaimniecības zemju īpašniekus.
Tas paplašina tieši pamatpakalpojuma kategoriju — to, kurā ir smagākie pienākumi un lielākie sodi. Ja agrāk secinājāt, ka esat ārpusē, tieši šis formulējums ir jāpārlasa.
Svarīga pakalpojuma sniedzējs ir ikviens, kas nav pamatpakalpojuma sniedzējs, bet ir vidējs komersants kādā no šīm nozarēm vai vidējs vai liels komersants papildu sarakstā: pasta pakalpojumi, atkritumu apsaimniekošana, ķīmiskās vielas, rūpnieciskā pārtikas ražošana un medicīniskās ierīces.
Ko likums prasa darīt
Par kiberdrošību personīgi atbild organizācijas vadītājs. Viņam trīs mēnešu laikā pēc statusa paziņošanas jāieceļ kiberdrošības pārvaldnieks un piecu darbdienu laikā par to jāinformē centrs un Satversmes aizsardzības birojs.
Šā pārvaldnieka pienākumi ir noteikti likumā: organizēt drošības pasākumus, vismaz reizi gadā veikt IKT drošības pārbaudi un novērst tajā konstatēto, katru gadu apmeklēt mācības un informēt darbiniekus par aktuālajiem riskiem. Tehniskais minimums ir Ministru kabineta noteikumos Nr. 397.
Ziņošana par incidentu
Tieši šeit grafiks kļūst smags. Konstatējot jebkuru kiberincidentu, tas nekavējoties jānovērš, par to jāpaziņo kompetentajai incidentu novēršanas institūcijai un nekavējoties jāizlemj, vai incidents ir būtisks. Šis lēmums ir jūsu, jūs to pieņemat spiediena apstākļos, un no tā ir atkarīgs viss turpmākais.
Incidents ir būtisks, ja patiess ir kaut viens no šiem: tas apdraud sabiedrības veselību, drošību vai valsts drošību; tas rada zaudējumus vismaz 500 000 EUR vai 5 procentu no apgrozījuma apmērā, atkarībā no tā, kurš ir mazāks — skaitot arī citu personu zaudējumus, ne tikai savējos; tas kaitē kāda dzīvībai vai veselībai; tas skar ierobežotas pieejamības informāciju; vai tas šķērso robežas.
Ja tas ir būtisks, sākas trīs atpakaļskaitīšanas:
| Solis | Termiņš |
|---|---|
| Agrīnais brīdinājums | Nekavējoties, ne vēlāk kā 24 stundu laikā |
| Sākotnējais ziņojums | Nekavējoties, ne vēlāk kā 72 stundu laikā — uzticamības pakalpojumu sniedzējam 24 |
| Galīgais ziņojums pēc novēršanas | Mēneša laikā pēc sākotnējā ziņojuma |
Tos nevar uzrakstīt saviem vārdiem: katram ir noteikumiem pievienota veidlapa, ko paraksta elektroniski. Turklāt nekavējoties jāinformē paši skartie klienti.
Sodi un tas, kas tos patiesībā izraisa
Virsrakstos minētie skaitļi ir lieli — pamatpakalpojuma sniedzējam līdz 10 miljoniem EUR vai 2 procentiem no apgrozījuma, svarīga pakalpojuma sniedzējam 7 miljoni EUR vai 1,4 procenti. Taču nosacījums ir svarīgāks par skaitli. Šīs pilnvaras rodas tikai par būtisku neatbilstību, un likums precīzi pasaka, ko tas nozīmē: atbilstošu un samērīgu pasākumu neveikšana; atkārtota atteikšanās izpildīt uzraudzītāja likumīgus informācijas pieprasījumus; vai nepaziņošana par būtisku incidentu laikā vai apzināti nepatiesa ziņošana par to.
Tātad tas nav vispārējs sods par nepilnīgu drošību. Tas ir vērsts pret pasākumu pilnīgu neesamību, pret atkārtotu uzraudzītāja kavēšanu un pret nokavētu vai nepatiesu ziņošanu.
Ko darīt tagad
Veiciet pašnovērtējumu un uzlieciet tam datumu. Tā ir likuma definīcija, piemērota jūsu darbinieku skaitam, apgrozījumam un bilancei attiecībā pret nozari, kurā strādājat — nevis viedoklis par to, cik svarīgi jūtaties.
Pārlasiet 2026. gada 1. oktobra formulējumu, jo īpaši, ja agrāk secinājāt, ka esat ārpusē.
Ja regulējums uz jums attiecas un neesat paziņojuši, jūs jau esat nokavējuši. Pienākums nepazūd tāpēc, ka termiņš ir pagājis.
Ja esat uzraudzīta finanšu iestāde, neatbildiet uz šo jautājumu atrauti. Finanšu uzņēmumiem, uz kuriem attiecas ES digitālās darbības noturības regula (DORA), tā ir piemērojama kā speciālais regulējums: šis likums uz tiem attiecas tikai tiktāl, cik atļauj tā paša tvēruma norma, un atkāpjas tur, kur DORA prasības ir līdzvērtīgas. Tas arī pasargā no divkārša soda, jo DORA ir savi sodi.
Ir vērts ievērot, cik maz finanšu uzņēmumu vispār ir uzskaitītajās nozarēs: tikai bankas, centrālie darījumu partneri un tirdzniecības vietas. Maksājumu un elektroniskās naudas iestādes, ieguldījumu brokeru sabiedrības, apdrošinātāji un kriptoaktīvu pakalpojumu sniedzēji šā likuma tvērumā nonāk, ja vispār nonāk, tikai pa iepriekš aprakstītajiem vispārīgajiem ceļiem.