NIS2 prasības uzņēmumiem: uz ko attiecas un ko darīt

Atjaunināts 2026. gada 13. septembrī 6 min lasīšanai

ES direktīvu NIS2 Latvijā ievieš Nacionālās kiberdrošības likums. Tas daudziem uzņēmumiem pirmo reizi padara kiberhigiēnu, atbilstošos autentifikācijas pasākumus un darbinieku apmācību par juridisku pienākumu – ar konkrētiem termiņiem un konkrētiem punktiem, pēc kuriem uzraudzības iestāde var pārbaudīt.

Kas ir NIS2 un Nacionālās kiberdrošības likums?

NIS2 ir ES kiberdrošības direktīva (ES) 2022/2555, ko pašā likuma tekstā sauc par TID 2 direktīvu. Latvijā to ievieš Nacionālās kiberdrošības likums, kas Saeimā pieņemts 2024. gada 20. jūnijā un stājies spēkā 2024. gada 1. septembrī.

Uzraudzību veic Nacionālais kiberdrošības centrs (NKC), bet informācijas un komunikācijas tehnoloģiju (IKT) kritiskās infrastruktūras jomā – Satversmes aizsardzības birojs (SAB). Par incidentu jāziņo kompetentajai kiberincidentu novēršanas institūcijai: civilajā jomā tā ir CERT.LV, bet aizsardzības resorā kompetence ir MilCERT.

Vai tas attiecas uz jūsu uzņēmumu?

Lielums un nozare ir svarīgi tvēruma kritēriji, taču tie nav vienīgie. Zemāk ir vienkāršots pārskats; konkrēto statusu nosaka likuma 20. un 21. pants.

Būtiskie pakalpojumu sniedzēji – lieli saimnieciskās darbības veicēji (vismaz 250 nodarbinātie vai neto apgrozījums virs 50 milj. EUR, vai bilances kopsumma virs 43 milj. EUR) likumā noteiktajās kritiskajās nozarēs, piemēram, enerģētikā, transportā, banku sektorā, veselības aprūpē un digitālajā infrastruktūrā.
Svarīgie pakalpojumu sniedzēji – vidēji saimnieciskās darbības veicēji tajās pašās nozarēs, kā arī vidēji vai lieli uzņēmumi tādās jomās kā pasta pakalpojumi, atkritumu apsaimniekošana, ķīmisko vielu un pārtikas ražošana, cita ražošana un digitālie pakalpojumi.

Likums vidēju saimnieciskās darbības veicēju definē ar nodarbināto skaita un finanšu rādītāju kombināciju: līdz 249 nodarbinātajiem un neto apgrozījums no 10 līdz 50 milj. EUR vai bilances kopsumma no 10 līdz 43 milj. EUR. Nodarbināto skaita apakšējā robeža šajā definīcijā nav noteikta. Tādēļ arī 30 darbinieku uzņēmums ar 15 milj. EUR apgrozījumu var atbilst lieluma kritērijam, taču par svarīgu pakalpojumu sniedzēju tas kļūst tikai tad, ja izpildās attiecīgās nozares un pārējie likuma nosacījumi.

Daļai subjektu statusu nosaka neatkarīgi no lieluma, piemēram, noteiktām publiskām institūcijām, DNS pakalpojumu sniedzējiem un augstākā līmeņa domēnu reģistriem. Arī īpaši likumā noteikti statusi var mainīt rezultātu. Finanšu nozarē papildus jāizvērtē DORA piemērošana un tās attiecības ar NIS2 prasībām.

Galvenie termiņi un to normas

Lielākā daļa pirmo termiņu jau ir pagājuši. Ja kāds no tiem ir izlaists, pareizā rīcība ir izpildīt to tagad, nevis gaidīt nākamo ciklu.

Pienākumi, termiņi un normas
Pienākums	Termiņš	Norma
Sākotnējais pašvērtējums un paziņošana par atbilstību būtiskā vai svarīgā pakalpojumu sniedzēja statusam	Līdz 2025. gada 1. aprīlim	Pārejas noteikumu 7. punkts
Būtisko un svarīgo pakalpojumu sniedzēju saraksta apstiprināšana	Līdz 2025. gada 17. aprīlim	Pārejas noteikumu 8. punkts
Incidentu ziņošanas kārtības piemērošana (34. panta otrā līdz piektā daļa)	No 2025. gada 1. jūlija	Pārejas noteikumu 11. punkts
Kiberdrošības pārvaldnieka noteikšana un paziņošana NKC un SAB	Līdz 2025. gada 1. oktobrim	Pārejas noteikumu 10. punkts
Pirmais pašvērtējuma ziņojums NKC un SAB	Līdz 2025. gada 1. oktobrim	Pārejas noteikumu 12. punkts
Minimālās kiberdrošības prasības	Spēkā no 2025. gada 2. jūlija	MK noteikumi Nr. 397

Avoti: Nacionālās kiberdrošības likums un MK noteikumi Nr. 397.

Ko konkrēti prasa minimālās kiberdrošības prasības

MK noteikumi Nr. 397 “Minimālās kiberdrošības prasības” pieņemti 2025. gada 25. jūnijā un stājušies spēkā 2. jūlijā. Tie ir dokuments, pēc kura praksē pārbauda atbilstību, tāpēc der zināt konkrētus punktus, nevis vispārīgas tēmas.

IKT resursu katalogs (30. un 31. punkts). Jāapzina un jāuzskaita visi IKT resursi un informācijas sistēmas, kas pakļauti kiberriskiem, un katalogs jāaktualizē ne vēlāk kā viena mēneša laikā pēc izmaiņām.
Drošības klases (32. un 33. punkts). Katrai sistēmai jānosaka konfidencialitātes, integritātes un pieejamības klase A, B vai C pēc 5. pielikuma metodikas. No šīs klases izriet gandrīz visas pārējās prasības.
Daudzfaktoru autentifikācija (52. punkts). Obligāta A klases sistēmas administratora un standarta lietotāja kontam un B klases administratora kontam.
Rezerves kopijas (67.–74. punkts). Kopijas katrai sistēmai, noteikts vēstures dziļums, brīdinājums par neizdevušos kopiju un regulāra nolasīšanas pārbaude.
Šifrēšana (81. punkts). Vismaz A un B konfidencialitātes klases resursu pārsūtīšanai publiskajos tīklos un A klases resursu glabāšanai.

Divas no šīm prasībām ir arī tās, ko visvieglāk izpildīt uzreiz. Kā ieslēgt daudzfaktoru autentifikāciju, aprakstīts ceļvedī par divfaktoru autentifikāciju, bet rezerves kopiju prasības sīkāk izskaidrotas ceļvedī par datu rezerves kopijām.

Darbinieku instruktāžas – prasība ar konkrētu biežumu

Noteikumu 3.11. apakšnodaļa “Kiberhigiēnas pasākumi” ir tā daļa, kas skar visus darbiniekus, ne tikai IT nodaļu. 76. punkts nosaka trīs instruktāžu veidus:

Sākotnējā instruktāža – ne vēlāk kā viena mēneša laikā no lietotāja konta reģistrācijas brīža (76.1.1.).
Kārtējā instruktāža – vismaz reizi kalendāra gadā visiem, kas lieto IKT resursus (76.1.2.).
Ārkārtas instruktāža – pēc kiberdrošības pārvaldnieka ieskatiem, piemēram, parādoties jaunam riskam vai pirms nozīmīgām izmaiņām infrastruktūrā (76.1.3.).
IKT personāla apmācības kiberrisku pārvaldībā un darbības nepārtrauktībā – vismaz reizi kalendāra gadā (76.2.).

Instruktāžas nepietiek novadīt: 78. punkts prasa saturu pārskatīt vismaz reizi gadā vai mainoties apstākļiem, bet 80. punkts – uzskaitīt novadītās instruktāžas un novērtēt gan darbinieku zināšanas, gan pašu instruktāžu efektivitāti.

Incidentu ziņošanas termiņi

Nozīmīga kiberincidenta gadījumā termiņi ir īsi un skaitāmi stundās, nevis dienās.

Nozīmīga kiberincidenta gadījumā subjekts nekavējoties, bet ne vēlāk kā 24 stundu laikā elektroniski iesniedz kompetentajai kiberincidentu novēršanas institūcijai agrīno brīdinājumu par nozīmīgo kiberincidentu. – Nacionālās kiberdrošības likuma 34. panta otrā daļa

Nozīmīga kiberincidenta gadījumā subjekts nekavējoties, bet ne vēlāk kā 72 stundu laikā (uzticamības pakalpojumu sniedzējs – 24 stundu laikā) elektroniski iesniedz kompetentajai kiberincidentu novēršanas institūcijai sākotnējo ziņojumu par nozīmīgo kiberincidentu. – Nacionālās kiberdrošības likuma 34. panta trešā daļa

Praktiskās sekas ir organizatoriskas, nevis tehniskas: 24 stundas nozīmē, ka kādam jābūt sasniedzamam arī nakti un brīvdienās un ka ziņojuma veidlapa un kontaktpersonas jāsagatavo iepriekš. Incidenta vidū tas ir par vēlu.

Ielaušanās testi un drošības skenēšana

Noteikumu 8.2. apakšnodaļa nosaka, kad ielaušanās testi ir obligāti. A klases informācijas sistēmai tie jāveic pirms nodošanas ekspluatācijā un vismaz reizi trijos gados ekspluatācijas laikā (131.1. apakšpunkts). Jebkurai sistēmai testu var veikt pēc subjekta iniciatīvas vai pēc uzraudzības iestādes pieprasījuma.

Ir prasības arī testētājam: 132.1. apakšpunkts pieļauj savu personālu, kas pēdējo triju gadu laikā nav bijis iesaistīts testējamās sistēmas izstrādē vai uzturēšanā, bet ārējam testētājam 132.2.1. apakšpunkts prasa starptautiski atzītu sertifikātu (piemēram, CEH vai OSCP) vai vismaz divu gadu pieredzi ielaušanās testos, kas iegūta pēdējo piecu gadu laikā.

Kas mainījās 2026. gadā

Ar 2026. gada 4. jūnija grozījumiem, kas stājās spēkā 18. jūnijā, likums vairākās vietās tika pārrakstīts. Uzņēmumam, kas vērtē savu tvērumu, būtiskākais ir pārejas noteikumu 15. punkts: grozījumi likuma 20. panta 11. punktā par nacionālajai drošībai nozīmīgām komercsabiedrībām, nodibinājumiem un biedrībām stājas spēkā 2026. gada 1. oktobrī.

Tas nozīmē, ka pašvērtējums, kas veikts 2025. gadā, pēc 1. oktobra var dot citu rezultātu. Organizācijām, kas līdz šim sevi uzskatīja par ārpus tvēruma esošām, novērtējumu ir vērts atkārtot.

Ko darīt tagad

Pārbaudi, vai uzņēmums ir likuma subjekts, un izdari to vēlreiz pēc 2026. gada 1. oktobra.
Ja pašvērtējums vai kiberdrošības pārvaldnieka paziņošana ir izlaista, izpildi to tagad – termiņa nokavējums nav iemesls to nedarīt.
Izveido IKT resursu katalogu un nosaki katras sistēmas drošības klasi. Bez šī soļa pārējās prasības nav iespējams pareizi piemērot.
Ieslēdz daudzfaktoru autentifikāciju vismaz visiem administratora kontiem.
Pārbaudi, vai rezerves kopijas tiešām atjaunojas, un pieraksti pārbaudes rezultātu.
Sagatavo incidenta ziņošanas veidlapu un kontaktpersonas iepriekš, lai 24 stundu termiņš būtu izpildāms.
Ieplāno kārtējo kiberdrošības instruktāžu un sāc uzskaitīt tās kopā ar zināšanu novērtējumu.

Avoti

Nacionālās kiberdrošības likums likumi.lv · 2024 25. pants – vadītāja atbildība; 34. pants – incidentu ziņošanas termiņi; 46. pants – soda naudas apmēri un būtiskas neatbilstības definīcija; pārejas noteikumu 7., 8., 10., 11., 12. un 15. punkts – termiņi un 2026. gada 1. oktobra izmaiņas.
Ministru kabineta noteikumi Nr. 397 “Minimālās kiberdrošības prasības” likumi.lv · 2025 30.–33. punkts (katalogs un drošības klases), 52. (daudzfaktoru autentifikācija), 67.–74. (rezerves kopijas), 76.–80. (instruktāžas), 81. (šifrēšana), 131.–132. (ielaušanās testi).
Grozījumi Nacionālās kiberdrošības likumā likumi.lv · 2026 2026. gada 4. jūnija grozījumi, spēkā no 18. jūnija; grozījums 20. panta 11. punktā stājas spēkā 2026. gada 1. oktobrī.

Jāievieš visā organizācijā?

Atstāj e-pastu – OffSeq atbildēs par tavas organizācijas situāciju.

Paldies, pieprasījums saņemts.

Atbildēsim uz norādīto e-pasta adresi.

Pieprasījumu neizdevās nosūtīt. Mēģini vēlreiz vai raksti uz support@offseq.com.

Biežāk uzdotie jautājumi

Saistītie jautājumi

No cik darbiniekiem NIS2 attiecas uz uzņēmumu?

Darbinieku skaita apakšējās robežas likumā nav. Par “vidēju” uzskata uzņēmumu, kas nodarbina līdz 249 cilvēkiem un kura neto apgrozījums ir vismaz 10, bet nepārsniedz 50 milj. EUR (vai bilances kopsumma 10–43 milj. EUR). Tāpēc arī 30 darbinieku uzņēmums ar 15 milj. EUR apgrozījumu var būt svarīgs pakalpojumu sniedzējs, ja darbojas kādā no likumā minētajām nozarēm.

Kādi ir sodi par NIS2 neievērošanu?

Nacionālās kiberdrošības likuma 46. pants par būtisku neatbilstību ļauj piemērot soda naudu līdz 10 milj. EUR būtisko pakalpojumu sniedzējam un līdz 7 milj. EUR svarīgo pakalpojumu sniedzējam; ja pēdējā finanšu gada neto apgrozījums pārsniedz 500 milj. EUR, robeža ir attiecīgi 2 % un 1,4 % no apgrozījuma. IKT kritiskās infrastruktūras īpašniekam robeža ir 10 milj. EUR vai 2 %. Būtiska neatbilstība ir definēta 46. panta piektajā daļā, un par kiberdrošības pārvaldību atbild subjekta vadītājs (25. pants). Soda naudas apmērs jānosaka samērīgs ar pārkāpumu.

Vai darbinieku apmācība tiešām ir obligāta?

Organizācijām, kurām piemēro MK noteikumus Nr. 397 – jā. MK noteikumu Nr. 397 76. punkts prasa sākotnējo instruktāžu mēneša laikā no konta izveides, kārtējo instruktāžu vismaz reizi kalendāra gadā visiem, kas lieto IKT resursus, un IKT personāla apmācības vismaz reizi gadā. IKT kritiskajā infrastruktūrā 77.2. apakšpunkts liek liegt piekļuvi kontam, ja ikgadējā instruktāža nav veikta.

Cik ātri jāziņo par incidentu?

Likuma subjektam par nozīmīgu kiberincidentu agrīnais brīdinājums – nekavējoties, bet ne vēlāk kā 24 stundu laikā. Sākotnējais ziņojums – ne vēlāk kā 72 stundu laikā, bet uzticamības pakalpojumu sniedzējam 24 stundu laikā. Abi termiņi noteikti Nacionālās kiberdrošības likuma 34. pantā un tiek piemēroti no 2025. gada 1. jūlija.

Vai ielaušanās tests ir obligāts?

A klases informācijas sistēmai – jā: pirms nodošanas ekspluatācijā un vismaz reizi trijos gados. Citām sistēmām testu veic pēc subjekta iniciatīvas vai pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma (MK noteikumu Nr. 397 131. punkts).

Turpini lasīt