ES kiberdrošības regulējums 2026: kurš akts uz ko attiecas

Trīs jautājumi, kas sakārto divpadsmit aktus

Lielāko daļu neskaidrību rada tas, ka akti tiek salīdzināti savā starpā, lai gan tie regulē dažādas lietas. Praktiskāk ir sākt ar trim jautājumiem par savu organizāciju.

1. Ko jūs darāt? Ja sniedzat pakalpojumus kritiskā nozarē vai finanšu tirgū, jūs skar organizācijas līmeņa akti – NIS2 direktīva, DORA un CER direktīva.
2. Ko jūs laižat tirgū? Ja ražojat, importējat vai izplatāt programmatūru un savienotas ierīces, jūs skar produktu akti – Kibernoturības akts, Produktatbildības direktīva, Datu akts un radioiekārtu prasības.
3. Ar ko jūs strādājat? Ja apstrādājat personas datus vai izmantojat mākslīgo intelektu, piemēro VDAR un MI aktu neatkarīgi no nozares.

Ceturtā grupa – Kiberdrošības akts un Kibersolidaritātes akts – galvenokārt veido ES iestāžu un dalībvalstu spējas. Tieši pienākumi uzņēmumiem no tiem rodas reti, bet tie nosaka, kā darbojas sertifikācija, ENISA un ES kiberdrošības rezerve.

Vienā organizācijā bieži piemēro vairākas grupas vienlaikus. Banka, kas izstrādā mobilo lietotni ar MI funkcijām, ir DORA finanšu vienība, VDAR pārzinis un MI akta nodrošinātājs vai uzturētājs. Ātrāko sākotnējo atbildi dod regulējuma navigators – septiņi jautājumi un rezultāts ar iemeslu katram aktam.

ES kiberdrošības un digitālās noturības akti 2026. gada oktobrī

Akts	Veids	Kam attiecas	Piemēro	Uzraugs Latvijā
NIS2 direktīva (ES) 2022/2555	Direktīva	Būtiskās un svarīgās vienības 18 nozarēs	No 18.10.2024 caur valsts likumu	NKC
DORA (ES) 2022/2554	Regula	Finanšu vienības un IKT trešās personas	No 17.01.2025	Latvijas Banka
Kibernoturības akts (ES) 2024/2847	Regula	Produktu ar digitāliem elementiem ražotāji, importētāji, izplatītāji	Ziņošana no 11.09.2026; pilnībā no 11.12.2027	SRP ziņojumus apstrādā CERT.LV
MI akts (ES) 2024/1689	Regula	MI sistēmu nodrošinātāji un uzturētāji	Pakāpeniski 2025–2028	Finanšu tirgū – Latvijas Banka
VDAR (ES) 2016/679	Regula	Personas datu pārziņi un apstrādātāji	No 25.05.2018	DVI
CER direktīva (ES) 2022/2557	Direktīva	Valsts identificētas kritiskās vienības	No 18.10.2024 caur valsts likumu	Nacionālās drošības likuma kārtībā
Kiberdrošības akts (ES) 2019/881	Regula	ENISA; brīvprātīga sertifikācija	No 27.06.2019; EUCC no 27.02.2025	–
Kibersolidaritātes akts (ES) 2025/38	Regula	Dalībvalstis un valstu kibercentri	No 04.02.2025	–
eIDAS 2 (ES) 2024/1183	Regula	Uzticamības pakalpojumi, EUDI maks	Pakāpeniski pēc īstenošanas aktiem	–
Datu akts (ES) 2023/2854	Regula	Savienoto produktu ražotāji un datu turētāji	No 12.09.2025	–
Produktatbildības direktīva (ES) 2024/2853	Direktīva	Produktu, arī programmatūras, ražotāji	Produktiem, kas laisti tirgū pēc 09.12.2026	–
RED Deleģētā regula (ES) 2022/30	Deleģētā regula	Internetam pieslēgtu radioiekārtu ražotāji	No 01.08.2025 līdz 11.12.2027	–

Organizācijām: NIS2 direktīva un DORA

NIS2 direktīva – oficiāli TID 2 direktīva – ir vispārīgais kiberdrošības akts organizācijām. Tā attiecas uz vidējiem un lielajiem uzņēmumiem 18 nozarēs, tostarp enerģētikā, transportā, veselības aprūpē, digitālajā infrastruktūrā un valsts pārvaldē. Daļa sniedzēju ir tvērumā neatkarīgi no lieluma – piemēram, publisko elektronisko sakaru tīklu, uzticamības pakalpojumu un DNS pakalpojumu sniedzēji (2. panta 2. punkts).

Direktīva prasa vadības apstiprinātus risku pārvaldības pasākumus visu apdraudējumu pieejā (21. pants): risku analīzi, incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, ievainojamību apstrādi, kriptogrāfiju, piekļuves kontroli un daudzfaktoru autentifikāciju. Vadības struktūras locekļiem jāiziet apmācība, un viņus var saukt pie atbildības par pārkāpumiem (20. pants). Par būtisku incidentu jāsniedz agrīns brīdinājums 24 stundās, paziņojums 72 stundās un galīgais ziņojums mēneša laikā (23. pants).

Direktīva uzņēmumam pienākumus nerada tieši. Latvijā tos nosaka Nacionālās kiberdrošības likums, kas stājās spēkā 01.09.2024 un grozīts ar likumu, kas stājās spēkā 18.06.2026. Likums lieto terminus būtisko pakalpojumu sniedzējs un svarīgo pakalpojumu sniedzējs – direktīvā tās ir būtiskās un svarīgās vienības. Kompetentā institūcija ir Nacionālais kiberdrošības centrs (NKC), incidentu ziņojumus saņem CERT.LV. Direktīvas līmeņa detaļas – NIS2 direktīvas ceļvedī.

DORA – Regula (ES) 2022/2554 par finanšu nozares digitālās darbības noturību – attiecas uz 20 finanšu vienību veidiem, sākot ar kredītiestādēm un maksājumu iestādēm un beidzot ar kolektīvās finansēšanas pakalpojumu sniedzējiem un vērtspapīrošanas repozitārijiem, kā arī uz IKT trešajām personām. To piemēro kopš 17.01.2025. DORA ir regula, tāpēc tās prasības ir tieši saistošas; Latvijā uzraudzību nosaka Finanšu tirgus digitālās darbības noturības un mākslīgā intelekta izmantošanas likums, spēkā no 01.10.2025, un uzraugs ir Latvijas Banka.

Finanšu vienībām DORA ir nozares akts attiecībā pret NIS2: NIS2 4. pants paredz, ka atbilstošās direktīvas normas nepiemēro, ja nozares akts nosaka vismaz līdzvērtīgas prasības. Praksē banka ziņo par būtisku IKT incidentu Latvijas Bankai pēc DORA termiņiem – sākotnējais ziņojums 4 stundās pēc klasificēšanas, bet ne vēlāk kā 24 stundās pēc uzzināšanas. Plašāk – DORA ceļvedī un salīdzinājumā NIS2, DORA un VDAR.

Produktiem: Kibernoturības akts un tā kaimiņi

Kibernoturības akts – Regula (ES) 2024/2847, angliski Cyber Resilience Act jeb CRA – ir pirmais horizontālais ES akts par produktu kiberdrošību. Tas attiecas uz produktiem ar digitāliem elementiem, kuru paredzētais lietojums ietver datu savienojumu ar ierīci vai tīklu: no maršrutētājiem un viedierīcēm līdz komerciālai programmatūrai. Izņemti produkti, ko regulē medicīnas ierīču, in vitro diagnostikas, transportlīdzekļu tipa apstiprināšanas un aviācijas akti (2. pants).

Akts stājās spēkā 10.12.2024, bet pienākumi sākas pakāpeniski. No 11.06.2026 piemēro noteikumus par paziņotajām struktūrām. No 11.09.2026 ražotājiem jāziņo par aktīvi izmantotām ievainojamībām un nopietniem incidentiem caur ENISA vienoto ziņošanas platformu – agrīns brīdinājums 24 stundās, paziņojums 72 stundās. ENISA platformu palaida tieši 11.09.2026; Latvijā tajā iesniegtos ziņojumus apstrādā CERT.LV, un, ja platforma tehniski nav pieejama, ziņojumu sūta uz cert@cert.lv. Pilnībā – ar pamatprasībām, atbilstības novērtēšanu un CE marķējumu – aktu piemēro no 11.12.2027. Sīkāk – Kibernoturības akta ceļvedī.

Ap Kibernoturības aktu ir vēl trīs akti, kas ražotājam jāskatās kopā:

• RED Deleģētā regula (ES) 2022/30 nosaka kiberdrošības pamatprasības internetam pieslēgtām radioiekārtām kopš 01.08.2025. Ar Deleģēto regulu (ES) 2026/339 tā tiek atcelta no 11.12.2027, lai radioiekārtas neregulētu divi akti vienlaikus.
• Produktatbildības direktīva (ES) 2024/2853 skaidri iekļauj programmatūru produkta definīcijā. Tā attiecas uz produktiem, kas laisti tirgū pēc 09.12.2026, un ierobežo ražotāja aizsardzību, ja defekts ir trūkstošs kiberdrošības atjauninājums.
• Datu akts (ES) 2023/2854 piemēro no 12.09.2025. Savienotajiem produktiem, kas laisti tirgū pēc 12.09.2026, dati lietotājam jādara pieejami pēc noklusējuma, un datu koplietošana nedrīkst apdraudēt produkta drošību.

Mākslīgajam intelektam: MI akts pēc Digitālā Omnibusa

Mākslīgā intelekta akts – Regula (ES) 2024/1689 – attiecas uz MI sistēmu nodrošinātājiem, uzturētājiem, importētājiem un izplatītājiem. Kopš 02.02.2025 piemēro aizliegto praksi un MI pratības pienākumu, kopš 02.08.2025 – vispārīga lietojuma MI modeļu noteikumus un sodus. Kopš 02.08.2026 aktu piemēro vispārīgi, tostarp 50. panta pārredzamības pienākumus.

Svarīgākā 2026. gada izmaiņa ir Regula (ES) 2026/1744 – Digitālā Omnibus regula par mākslīgo intelektu, spēkā no 27.07.2026. Tā pārcēla augsta riska prasības: III pielikuma sistēmām uz 02.12.2027, I pielikuma produktos iebūvētām sistēmām uz 02.08.2028. Tā arī papildināja aizliegumus – nekonsensuāla intīma satura un bērnu seksuālas izmantošanas materiālu ģenerēšana būs aizliegta no 02.12.2026. Raksti, kas augsta riska prasībām joprojām min 02.08.2026, ir novecojuši.

Kiberdrošības ziņā MI akts ir saistīts ar Kibernoturības aktu: augsta riska MI sistēmu, kas ir produkts ar digitāliem elementiem un atbilst Kibernoturības akta prasībām, uzskata par atbilstošu MI akta 15. panta kiberdrošības prasībām. Detalizēti – MI akta ceļvedī.

Datiem un identitātei: VDAR un eIDAS 2

Vispārīgā datu aizsardzības regula nav kiberdrošības akts šaurā nozīmē, bet tās 32.–34. pants ir viena no visplašāk piemērojamām drošības prasībām: apstrādes drošība, paziņojums uzraudzības iestādei bez nepamatotas kavēšanās un, ja iespējams, 72 stundās, un datu subjektu informēšana augsta riska gadījumā. Latvijā uzraudzības iestāde ir Datu valsts inspekcija. VDAR piemēro paralēli NIS2, DORA un Kibernoturības aktam – viens incidents var radīt divus vai trīs ziņojumus dažādām iestādēm.

eIDAS 2 – Regula (ES) 2024/1183 – izveido Eiropas digitālās identitātes satvaru. Katrai dalībvalstij jānodrošina vismaz viens Eiropas digitālās identitātes maks 24 mēnešos pēc attiecīgo īstenošanas aktu spēkā stāšanās; pirmie no tiem stājās spēkā 24.12.2024, tāpēc aprēķinātais termiņš ir 24.12.2026. Privātām paļāvīgajām pusēm, kurām likums vai līgums prasa stingru lietotāja autentifikāciju, maks jāpieņem 36 mēnešos – aprēķināti līdz 24.12.2027. Mikro un mazie uzņēmumi no šī pienākuma ir izņemti.

Sistēmas līmenī: Kiberdrošības akts, Kibersolidaritātes akts un CER

Kiberdrošības akts – Regula (ES) 2019/881 – nosaka ENISA pastāvīgo mandātu un ES kiberdrošības sertifikācijas satvaru. Pirmā shēma, kas darbojas, ir EUCC – vienotos kritērijos balstīta shēma IKT produktiem, ko piemēro kopš 27.02.2025. Sertifikācija ir brīvprātīga, ja to neprasa cits akts vai klients.

Kibersolidaritātes akts – Regula (ES) 2025/38, spēkā no 04.02.2025 – izveido Eiropas kiberdrošības trauksmes sistēmu no valstu kibercentriem, kiberdrošības ārkārtas mehānismu ar ES kiberdrošības rezervi un incidentu izskatīšanas mehānismu. Uzņēmumiem tiešu pienākumu nav, bet uzticami pārvaldītu drošības pakalpojumu sniedzēji var tikt iekļauti rezervē. Abiem aktiem – sertifikācijas un ES iestāžu ceļveži.

CER direktīva – Direktīva (ES) 2022/2557 par kritisko vienību noturību – papildina NIS2 ar fizisko un darbības noturību 11 nozarēs. Dalībvalstīm kritiskās vienības bija jāidentificē līdz 17.07.2026; identificētai vienībai riska novērtējums jāveic deviņos mēnešos pēc paziņojuma un pēc tam vismaz reizi četros gados, un par incidentu jāpaziņo 24 stundās. Latvijā direktīva pārņemta ar Nacionālās drošības likuma grozījumiem (spēkā no 28.06.2025) un Ministru kabineta noteikumiem Nr. 10 (spēkā no 16.01.2026).

Kas vēl tikai priekšlikums

Trīs svarīgi priekšlikumi 2026. gada oktobrī vēl nav pieņemti. Tos ir vērts sekot, bet ne ieviest kā spēkā esošu prasību.

• NIS2 grozījumi COM(2026) 13, publicēti 20.01.2026. Tie paredz jaunu mazo vidējas kapitalizācijas uzņēmumu kategoriju, ko klasificētu kā svarīgās vienības, ENISA vienību reģistru un saskaņotu datu vākšanu par izspiedējvīrusu uzbrukumiem. Eiropas Parlamentā procedūra 2026/0012(COD) gaida komitejas lēmumu – sīkāk NIS2 grozījumu ceļvedī.
• 2. kiberdrošības akts COM(2026) 11, arī 20.01.2026, aizstātu Regulu (ES) 2019/881, paplašinātu ENISA mandātu, ieviestu organizāciju kiberdrošības stāvokļa sertifikāciju un IKT piegādes ķēdes drošības satvaru ar augsta riska piegādātāju sarakstiem.
• Digitālā Omnibus pakete COM(2025) 837, 19.11.2025, ieviestu vienotu incidentu ziņošanas punktu NIS2, VDAR, DORA, eIDAS un CER ziņojumiem un mainītu VDAR paziņošanas slieksni uz augstu risku ar 96 stundu termiņu. Tā Parlamentā gaida komitejas lēmumu. Tajā pašā dienā iesniegtais atsevišķais MI priekšlikums COM(2025) 836 jau pieņemts kā Regula (ES) 2026/1744.

Kā noteikt savus aktus piecos soļos

1. Inventarizējiet darbības, nevis nozari. Uzskaitiet pakalpojumus, licences, tirgū laistos produktus un MI lietojumus. Viena darbība var ievilkt aktu, ko nozares nosaukums neparāda.
2. Pārbaudiet tvēruma normas. Katram aktam izlasiet tā 2. pantu par piemērošanas jomu un, direktīvām, Latvijas likuma attiecīgo pantu. Nozares akti – DORA, CER – var aizstāt vispārīgo aktu daļu.
3. Saskaņojiet ziņošanas termiņus. Ievietojiet vienā tabulā visus termiņus, kas var sākties ar vienu incidentu: NIS2, DORA, Kibernoturības akts, VDAR. Pārklāšanās tabula sākumlapā ir gatavs sākumpunkts.
4. Nozīmējiet īpašnieku katram aktam. Atbildību par produkta ievainojamību ziņošanu un atbildību par organizācijas incidentiem bieži nes dažādas komandas. Pārliecinieties, ka abas zina viena otras termiņus.
5. Ielieciet termiņus kalendārā. Nākamie tuvākie ir 02.12.2026 (MI akts), 09.12.2026 (produktatbildība) un 11.12.2027 (Kibernoturības akts pilnībā). Visi datumi ir termiņu kalendārā ar .ics eksportu.

Ja pēc šiem soļiem paliek neskaidrs, vai jūs esat NIS2 tvērumā vai kā DORA prasības ietekmē jūsu līgumus ar bankām, palīdz neatkarīgs gatavības novērtējums pret NIS2 un DORA prasībām. Juridisko statusu tomēr apstiprina uzraudzības iestāde vai jurists.