Никто вам не пишет, что правила на вас распространяются. Вы определяете это сами, по критериям размера, которые делят компании на две категории, и ответ задаёт и сроки оповещения, и размер штрафов. К тому же 1 октября 2026 года охват правил расширяется.
В латвийском регулировании кибербезопасности есть одна черта, которая застаёт компании врасплох чаще любого технического требования в нём. Никто вам не сообщает, что оно на вас распространяется.
По Закону о национальной кибербезопасности компания должна сама определить, считается ли она поставщиком основных или важных услуг, и, если да, в течение месяца сообщить об этом Национальному центру кибербезопасности. Никакой регистр вас в список не вносит, письмо не приходит, и переходный период в день, когда вы об этом узнали, не начинается. Первый круг надо было пройти до 1 апреля 2025 года. То есть у компании, которая сегодня обнаруживает, что регулирование на неё распространялось, впереди не срок — он уже пропущен.
Критерии размера, которые всех сортируют
Закон распространяется на обе категории. Разница проявляется в плотности надзора и, резко, в размере штрафов. Бóльшую часть сортировки делают два определения.
Вы крупный субъект, если соответствуете хотя бы одному из этих: 250 или более работников, оборот свыше 50 миллионов EUR либо итог баланса свыше 43 миллионов EUR.
Вы средний субъект, если соответствуете всем этим: до 249 работников и оборот либо итог баланса от 10 миллионов EUR до порогов крупного.
Разница между «хотя бы одному» и «всем» существенна. Компания с 300 работниками и скромным оборотом — крупная, потому что достаточно одного признака. Компания с 40 работниками и оборотом в 3 миллиона EUR не крупная и не средняя, поэтому пути, основанные на размере, до неё не дотягиваются вовсе.
Кто такой поставщик основных услуг
Некоторые организации относятся к поставщикам основных услуг в силу того, чем они являются, вообще без критериев размера: реестр .lv, поставщики услуг разрешения доменных имён, предприятия электронной связи, квалифицированные поставщики доверительных услуг, государственные учреждения и общественные медиа.
Другие относятся к ним потому, что являются крупным субъектом в одном из перечисленных секторов. Секторов двадцать — энергетика, транспорт, банки, центральные контрагенты и торговые площадки, здравоохранение, питьевая вода и цифровые: облачные вычисления, центры обработки данных, сети доставки контента, управление ИКТ и услуги кибербезопасности.
Ещё три пути затрагивают компании, которые этого никак не ждут: быть единственным поставщиком услуги в одном из этих секторов в Латвии, каким бы ни был ваш размер; быть публичным лицом, действующим в одном из них в частноправовом порядке; и быть любой организацией, нарушение работы которой могло бы существенно повлиять на общественную безопасность, оборону государства или здоровье населения либо создать системный риск.
1 октября 2026 года охват расширяется
Расширяется именно последний путь. С 1 октября 2026 года он прямо включает коммерческие общества, фонды и общества, значимые для национальной безопасности, кроме владельцев крупных лесных или сельскохозяйственных владений.
Это расширяет именно категорию основных услуг — ту, где самые тяжёлые обязанности и самые крупные штрафы. Если раньше вы решили, что находитесь вне её, перечитать нужно именно эту формулировку.
Поставщик важных услуг — это всякий, кто не относится к основным, но является средним субъектом в одном из этих секторов либо средним или крупным субъектом в дополнительном перечне: почтовые услуги, обращение с отходами, химические вещества, промышленное производство продуктов питания и медицинские изделия.
Что закон требует делать
За кибербезопасность лично отвечает руководитель организации. Он должен в течение трёх месяцев после уведомления о статусе назначить управляющего кибербезопасностью и в течение пяти рабочих дней сообщить об этом центру и Бюро по защите Конституции.
Обязанности этого управляющего установлены законом: организовать меры безопасности, не реже раза в год проводить проверку безопасности ИКТ и устранять выявленное, ежегодно проходить обучение и информировать работников об актуальных рисках. Технический минимум — в правилах Кабинета министров № 397.
Сообщение об инциденте
Именно здесь график становится тяжёлым. Обнаружив любой киберинцидент, его надо немедленно устранять, сообщить компетентному учреждению по предотвращению инцидентов и немедленно решить, является ли инцидент существенным. Это решение ваше, вы принимаете его под давлением, и от него зависит всё дальнейшее.
Инцидент существенен, если верно хотя бы одно из этого: он угрожает здоровью населения, безопасности или государственной безопасности; он причиняет убытки не менее 500 000 EUR или 5 процентов оборота, смотря что меньше — считая и чужие убытки, не только свои; он вредит чьей-либо жизни или здоровью; он затрагивает информацию ограниченного доступа; или он пересекает границы.
Если он существенен, запускаются три отсчёта:
| Шаг | Срок |
|---|---|
| Раннее предупреждение | Немедленно, не позднее 24 часов |
| Первоначальное сообщение | Немедленно, не позднее 72 часов — для поставщика доверительных услуг 24 |
| Итоговое сообщение после устранения | В течение месяца после первоначального сообщения |
Написать их своими словами нельзя: у каждого есть установленная форма, приложенная к правилам, подписываемая электронно. Кроме того, надо сразу же сообщить собственным затронутым клиентам.
Штрафы и то, что их на самом деле вызывает
Цифры в заголовках крупные — для поставщика основных услуг до 10 миллионов EUR или 2 процентов оборота, для поставщика важных — 7 миллионов EUR или 1,4 процента. Но условие важнее цифры. Эти полномочия возникают только за существенное несоответствие, и закон точно говорит, что это значит: непринятие надлежащих и соразмерных мер; повторный отказ исполнять законные запросы надзорного органа о предоставлении информации; либо несообщение о существенном инциденте вовремя или заведомо ложное сообщение о нём.
Значит, это не общий штраф за несовершенную безопасность. Он нацелен на полное отсутствие мер, на повторное воспрепятствование надзорному органу и на пропущенное или ложное сообщение.
Что делать сейчас
Проведите самооценку и поставьте на ней дату. Это определение закона, применённое к вашей численности работников, обороту и балансу в привязке к сектору, в котором вы работаете, — а не мнение о том, насколько важными вы себя ощущаете.
Перечитайте формулировку, действующую с 1 октября 2026 года, особенно если раньше заключили, что находитесь вне её.
Если регулирование на вас распространяется, а вы не уведомили, вы уже опоздали. Обязанность не исчезает оттого, что срок прошёл.
Если вы поднадзорное финансовое учреждение, не отвечайте на этот вопрос в отрыве. К финансовым компаниям, на которые распространяется регламент ЕС о цифровой операционной устойчивости (DORA), он применяется как специальное регулирование: этот закон распространяется на них лишь настолько, насколько позволяет его собственная норма об охвате, и отступает там, где требования DORA равнозначны. Это к тому же защищает от двойного наказания, поскольку у DORA есть свои санкции.
Стоит заметить, как мало финансовых компаний вообще есть в перечисленных секторах: только банки, центральные контрагенты и торговые площадки. Платёжные учреждения и учреждения электронных денег, инвестиционные компании, страховщики и поставщики услуг по криптоактивам попадают в охват этого закона, если попадают вообще, только по описанным выше общим путям.