NIS2 un Kibernoturības akts: ko ES noteikumi maina

Līdz 2026. gada 11. septembrim palikuši divi mēneši. Tajā dienā visā Eiropas Savienībā sāks darboties Kibernoturības akta (Cyber Resilience Act, CRA) ziņošanas pienākumi: digitālo produktu ražotājiem par aktīvi izmantotu ievainojamību būs jābrīdina ES kiberdrošības aģentūra ENISA 24 stundu laikā. Tikmēr NIS2 direktīva Latvijā jau ir ikdiena — Nacionālās kiberdrošības likums ir spēkā kopš 2024. gada 1. septembra, un galvenie termiņi pagāja jau pērn.

Īsais secinājums: abi regulējumi vairs nav “nākotnes jautājums”. Ja jūsu uzņēmums sniedz būtisku vai svarīgu pakalpojumu, NIS2 prasības uz jums attiecas jau tagad. Ja ražojat vai pārdodat produktus ar digitāliem elementiem — no rūteriem līdz mobilajām lietotnēm —, CRA ziņošanas pienākumi sākas septembrī, bet pilnās prasības ar CE marķējumu stājas spēkā 2027. gada 11. decembrī.

NIS2 Latvijā: likums, kas skar 6000–8000 organizāciju

NIS2 (direktīva 2022/2555) Latvijā ir ieviesta ar Nacionālās kiberdrošības likumu, ko Saeima pieņēma 2024. gada 20. jūnijā un kas stājās spēkā tā paša gada 1. septembrī. Tvērums ir audzis dramatiski: ja vecās NIS1 direktīvas laikā Latvijā bija ap 1000 pamatpakalpojumu sniedzēju, jaunais regulējums attiecas uz aptuveni 6000–8000 būtisko un svarīgo pakalpojumu sniedzēju — no enerģētikas un transporta līdz pārtikas ražošanai un digitālajiem pakalpojumiem. Likums attiecas arī uz IKT kritiskās infrastruktūras īpašniekiem un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem.

Uzraudzību veic divas iestādes: Nacionālais kiberdrošības centrs (NKDC), kas darbojas arī kā vienotais kontaktpunkts, un Satversmes aizsardzības birojs. Detalizētās prasības nosaka Ministru kabineta noteikumi Nr. 397 par minimālajām kiberdrošības prasībām, kas stājās spēkā 2025. gada 2. jūlijā.

Termiņi, kas jau pagājuši — un kas jādara nokavējušajiem

Likuma subjektiem reģistrācijas anketa bija jāiesniedz līdz 2025. gada 1. aprīlim, bet līdz 2025. gada 1. oktobrim bija jāieceļ kiberdrošības pārvaldnieks un jāiesniedz pirmais pašnovērtējuma ziņojums. Turpmāk pašnovērtējums IKT kritiskās infrastruktūras un A kategorijas sistēmu īpašniekiem jāiesniedz reizi gadā, pārējiem — reizi trijos gados.

Ja uzņēmums atbilst kritērijiem, bet vēl nav reģistrējies, gaidīšana situāciju tikai pasliktina: NIS2 paredz būtisko pakalpojumu sniedzējiem sodus līdz 10 miljoniem eiro vai 2% no pasaules apgrozījuma, svarīgo pakalpojumu sniedzējiem — līdz 7 miljoniem eiro vai 1,4%, atkarībā no tā, kura summa lielāka. Interesanti, ka formāli arī pati Latvija vēl nav “nokārtojusi mājasdarbu”: Eiropas Komisija 2025. gada 7. maijā nosūtīja Latvijai argumentētu atzinumu par to, ka pilnīga direktīvas transponēšana nav paziņota, — lai gan likums jau reāli darbojas.

Kibernoturības akts: CE zīme arī programmatūrai

CRA ir pirmais ES regulējums, kas obligātas kiberdrošības prasības uzliek pašiem produktiem, nevis organizācijām. Tas stājās spēkā 2024. gada 10. decembrī un attiecas uz gandrīz visiem “produktiem ar digitāliem elementiem” — gan aparatūru, gan programmatūru, ko pārdod ES tirgū.

Grafiks ir trīspakāpju. Kopš 2026. gada 11. jūnija darbu CRA ietvarā sāk paziņotās atbilstības novērtēšanas iestādes. No 2026. gada 11. septembra ražotājiem par aktīvi izmantotām ievainojamībām un smagiem incidentiem jāziņo ENISA un nacionālajai CSIRT vienībai: agrīnais brīdinājums 24 stundās, paziņojums 72 stundās, gala ziņojums 14 dienās pēc labojuma izlaišanas, smagiem incidentiem — mēneša laikā. Šie ziņošanas pienākumi attiecas arī uz produktiem, kas tirgū laisti agrāk. Savukārt no 2027. gada 11. decembra spēkā ir viss pārējais: drošības pamatprasības, tehniskā dokumentācija, atbilstības novērtēšana un CE marķējums. Sodu griesti — 15 miljoni eiro vai 2,5% no pasaules apgrozījuma.

NIS2 jautā, cik droša ir jūsu organizācija. Kibernoturības akts jautā, cik drošs ir jūsu produkts. 2026. gads ir brīdis, kad uz abiem jautājumiem jāatbild ar dokumentiem, nevis solījumiem.

Ko tas nozīmē maziem uzņēmumiem un izstrādātājiem

Labā ziņa atvērtā koda kopienai: nekomerciāla brīvā un atvērtā koda programmatūra CRA prasībām nav pakļauta, un tā sauktie atvērtā koda pārvaldnieki (stewards) ir atbrīvoti no administratīvajiem sodiem — lai gan tiem paliek pienākums uzturēt kiberdrošības politiku un ziņot par ievainojamībām. Robeža ir komercializācija: tiklīdz projekts tiek monetizēts, tas nonāk CRA tvērumā.

Mikrouzņēmumiem un mazajiem uzņēmumiem CRA paredz atlaidi ziņošanas termiņu pārkāpumos — par nokavētu 24 vai 72 stundu ziņojumu sodu nepiemēro. Taču pārējās prasības — drošs izstrādes process, dokumentācija, atjauninājumu nodrošināšana — attiecas arī uz tiem, un uzņēmuma izmērs vērtējams tikai kā soda mīkstinošs apstāklis.

Latvijas kontekstā svarīgi arī tas, ka daudzi mazie uzņēmumi prasības sajutīs netieši: NIS2 subjekti piegādes ķēdes drošību arvien biežāk prasīs līgumos, tāpēc jautājumi par incidentu reaģēšanu, piekļuves kontroli un atjauninājumu politiku parādīsies arī tur, kur likums tiešus pienākumus neuzliek.

Praktiskie soļi, ko sākt tagad

• Noskaidrojiet savu NIS2 statusu. NKDC vietnē cyber.gov.lv ir kritēriji un reģistrācijas anketa — ja atbilstat, reģistrējieties arī tad, ja termiņš nokavēts.
• Ieceliet kiberdrošības pārvaldnieku un iesniedziet pašnovērtējuma ziņojumu, ja tas vēl nav izdarīts; par iecelšanu jāpaziņo uzraudzības iestādei.
• Sastādiet produktu sarakstu. Ražotājiem un izstrādātājiem: kuri produkti satur digitālus elementus un nonāk CRA tvērumā?
• Izveidojiet ievainojamību apstrādes procesu. No 11. septembra jums jāspēj 24 stundu laikā iesniegt agrīno brīdinājumu ENISA ziņošanas platformā.
• Sāciet tehnisko dokumentāciju laikus. Līdz 2027. gada 11. decembrim būs vajadzīga pilna atbilstības dokumentācija un CE marķējums — to nevar sagatavot pēdējā mēnesī.

Avoti

• Nacionālais kiberdrošības centrs — NIS2 — oficiālie termiņi, subjektu kategorijas un prasības Latvijā.
• Nacionālās kiberdrošības likums (likumi.lv) — pilns likuma teksts.
• Eiropas Komisija — Cyber Resilience Act — CRA prasības un piemērošanas grafiks.
• Eiropas Komisija — NIS2 ieviešana Latvijā — transponēšanas statuss un argumentētais atzinums.
• OpenSSF — CRA ceļvedis atvērtā koda izstrādātājiem — ko akts nozīmē atvērtā koda projektiem un to uzturētājiem.