ES kiberdrošības termiņi 2022–2028: NIS2, DORA, CRA, MI akts

Kā lasīt ES akta datumus

Katram ES aktam ir vismaz divi datumi, un tos bieži jauc. Stāšanās spēkā nozīmē, ka akts kļūst par daļu no tiesību sistēmas – parasti 20. dienā pēc publicēšanas Oficiālajā Vēstnesī. Piemērošana nozīmē, ka pienākumi kļūst saistoši. Starp abiem var paiet divi vai trīs gadi: DORA stājās spēkā 16.01.2023, bet to piemēro no 17.01.2025.

Direktīvām ir vēl trešais datums – transponēšanas termiņš, līdz kuram dalībvalstij jāpieņem nacionālais likums. NIS2 direktīvas termiņš bija 17.10.2024, un nacionālie pasākumi bija jāpiemēro no 18.10.2024. Uzņēmumam pienākumi rodas no nacionālā likuma, tāpēc Latvijā noteicošais datums bija Nacionālās kiberdrošības likuma spēkā stāšanās 01.09.2024.

Ceturtais veids ir aprēķināts termiņš. Daži akti nenosaka kalendāra datumu, bet periodu no cita akta spēkā stāšanās. eIDAS 2 prasa nodrošināt Eiropas digitālās identitātes maku 24 mēnešos pēc īstenošanas aktu spēkā stāšanās. Šādus datumus kalendārā atzīmējam kā aprēķinātus un neizceļam kā galvenos termiņus.

Lielās regulas piemēro pa daļām. Kibernoturības aktam ir trīs piemērošanas datumi, MI aktam pēc Regulas (ES) 2026/1744 – posmi no 2025. līdz 2028. gadam. Tāpēc jautājums "vai MI akts jau ir spēkā?" ir neprecīzs: jā, kopš 01.08.2024, bet augsta riska prasības vēl nepiemēro.

Kas jau ir piemērojams

Līdz 2025. gada beigām pakāpeniski sāka piemērot gandrīz visu organizāciju līmeņa regulējumu. Ja jūsu organizācija vēl tikai sāk, šie pienākumi jau ir saistoši:

• 18.10.2024 – NIS2 nacionālos pasākumus piemēro; NIS1 direktīva atcelta. Latvijā jau no 01.09.2024 – Nacionālās kiberdrošības likums.
• 07.11.2024 – stājas spēkā Īstenošanas regula (ES) 2024/2690 ar tehniskajām prasībām digitālās infrastruktūras sniedzējiem un būtiska incidenta sliekšņiem.
• 17.01.2025 – DORA piemēro finanšu vienībām: IKT risku pārvaldība, incidentu ziņošana, testēšana un trešo personu risks.
• 02.02.2025 – MI akta aizliegtā prakse un MI pratības pienākums.
• 04.02.2025 – stājas spēkā Kibersolidaritātes akts.
• 27.02.2025 – EUCC sertifikācijas shēmu sāk piemērot.
• 17.04.2025 – dalībvalstīm jābūt izveidotiem NIS2 būtisko un svarīgo vienību sarakstiem.
• 01.08.2025 – RED Deleģētās regulas (ES) 2022/30 kiberdrošības prasības radioiekārtām.
• 02.08.2025 – MI akta noteikumi par vispārīga lietojuma MI modeļiem, pārvaldību un sodiem.
• 12.09.2025 – Datu aktu sāk piemērot.
• 01.10.2025 – Latvijā stājas spēkā Finanšu tirgus digitālās darbības noturības un mākslīgā intelekta izmantošanas likums.

2026. gads līdz oktobrim

2026. gads bija pārejas gads: daļa termiņu attiecās uz dalībvalstīm, daļa – uz ražotājiem, un MI aktam termiņi tika pārcelti, pirms tie iestājās.

• 17.01.2026 – dalībvalstīm jāpieņem CER direktīvas stratēģija kritisko vienību noturībai.
• 20.01.2026 – Komisija publicē 2. kiberdrošības akta un NIS2 grozījumu priekšlikumus. Tie nav saistoši.
• 11.06.2026 – Kibernoturības akta IV nodaļa par paziņotajām struktūrām.
• 18.06.2026 – Latvijā stājas spēkā grozījumi Nacionālās kiberdrošības likumā.
• 17.07.2026 – dalībvalstīm jāidentificē CER kritiskās vienības.
• 27.07.2026 – stājas spēkā Regula (ES) 2026/1744; MI akta augsta riska termiņi pārcelti.
• 02.08.2026 – MI aktu piemēro vispārīgi, tostarp 50. panta pārredzamības pienākumus.
• 11.09.2026 – Kibernoturības akta 14. pants: ražotāji ziņo par aktīvi izmantotām ievainojamībām un nopietniem incidentiem. ENISA vienotā ziņošanas platforma darbojas no šīs dienas.
• 12.09.2026 – Datu akta 3. panta 1. punkts: savienotajiem produktiem, kas laisti tirgū pēc šīs dienas, dati lietotājam pieejami pēc noklusējuma.

Nākamie 14 mēneši

Līdz 2027. gada beigām tabulā ir desmit datumi. Uzņēmumiem sagatavošanos jau tagad prasa pieci: 02.12.2026, 09.12.2026, 02.12.2027, 11.12.2027 un 24.12.2027. Divi datumi ir aprēķināti no eIDAS 2 īstenošanas aktiem.

Gaidāmie ES termiņi no 2026. gada 23. oktobra

Datums	Akts	Kas notiek	Kam jārīkojas
02.12.2026	MI akts	Jauni aizliegumi 5. panta 1. punkta ba) un bb) apakšpunktā; sintētiska satura marķēšana sistēmām, kas laistas tirgū pirms 02.08.2026	Ģeneratīvā MI nodrošinātāji
09.12.2026	Produktatbildības direktīva	Transponēšanas termiņš; jaunais režīms produktiem, kas laisti tirgū pēc šīs dienas	Ražotāji, arī programmatūras
24.12.2026	eIDAS 2	Dalībvalstīm jānodrošina EUDI maks (aprēķināts)	Dalībvalstis
05.02.2027	Kibersolidaritātes akts	Komisijas izvērtējums	Komisija
02.08.2027	MI akts	Darbojas vismaz viena MI regulatīvā smilškaste katrā valstī	Dalībvalstis
12.09.2027	Datu akts	IV nodaļa arī līdz 12.09.2025 noslēgtiem līgumiem, kas ir beztermiņa vai beidzas ne agrāk kā 10 gadus pēc 11.01.2024	Uzņēmumi ar datu līgumiem
17.10.2027	NIS2	Komisija pārskata direktīvas darbību	Komisija
02.12.2027	MI akts	III pielikuma augsta riska MI sistēmu prasības	Nodrošinātāji un uzturētāji
11.12.2027	Kibernoturības akts	Piemēro pilnībā; RED Deleģētā regula (ES) 2022/30 atcelta; atvērtā pirmkoda programmatūras pārziņu ziņošana	Ražotāji, importētāji, izplatītāji
24.12.2027	eIDAS 2	Privātām paļāvīgajām pusēm ar stingras autentifikācijas pienākumu jāpieņem EUDI maks (aprēķināts)	Bankas, platformas u. c.; ne mikro un mazie uzņēmumi

Divi termiņi no šīs tabulas ir kritiski lielam uzņēmumu lokam. 02.12.2027 MI aktā attiecas uz augsta riska lietojumiem III pielikumā – organizācijām, kas izmanto MI darbā pieņemšanā, kredītspējas vērtēšanā vai citos tur minētajos lietojumos, līdz tam jāizveido risku pārvaldība, dokumentācija un cilvēka uzraudzība. 11.12.2027 Kibernoturības aktā nozīmē, ka produktus bez atbilstības novērtējuma un CE marķējuma vairs nedrīkst laist ES tirgū.

Abiem termiņiem sagatavošanās ilgst vairāk par gadu. Kibernoturības aktam ražotājam jānosaka produkta klase – parasts, nozīmīgs I vai II klases vai kritiski svarīgs produkts –, jāievieš ievainojamību apstrāde un jāsagatavo tehniskā dokumentācija. Klases noteikšanu skaidro CRA produktu klašu ceļvedis. Neatkarīgu skatu uz produkta dizainu var dot produktu un iegulto sistēmu drošības novērtējums.

2028. gads

02.08.2028 ir pēdējais lielais termiņš, ko šobrīd nosaka ES kiberdrošības regulējums. No šīs dienas piemēro MI akta augsta riska prasības sistēmām, kas ir drošības sastāvdaļa produktos, kurus regulē I pielikumā minētie akti – piemēram, mašīnās, rotaļlietās vai medicīnas ierīcēs. Sākotnēji šis termiņš bija 02.08.2027; Regula (ES) 2026/1744 to pārcēla par gadu.

Šis datums ir svarīgs ražotājiem, kas jau ievieš Kibernoturības aktu: abi akti prasa atbilstības novērtēšanu, un MI aktā augsta riska sistēmu, kas atbilst Kibernoturības akta prasībām, uzskata par atbilstošu MI akta 15. panta kiberdrošības prasībām. Vienots darba plāns abiem aktiem ietaupa darbu dubultā dokumentācijā.

Priekšlikumi bez datuma

Trīs priekšlikumiem ir iekšēji termiņi, bet tie sāksies tikai pēc pieņemšanas. Kalendārā tos atzīmējam ar priekšlikuma datumu, nevis ar paredzamo piemērošanas dienu.

• NIS2 grozījumi COM(2026) 13: dalībvalstīm 12 mēneši pārņemšanai pēc spēkā stāšanās. Procedūra 2026/0012(COD) gaida komitejas lēmumu.
• 2. kiberdrošības akts COM(2026) 11: augsta riska piegādātāju IKT komponentu pakāpeniska izslēgšana mobilo sakaru tīklu galvenajos aktīvos ne vēlāk kā 36 mēnešos pēc spēkā stāšanās. Procedūra 2026/0011(COD) gaida komitejas lēmumu.
• Digitālā Omnibus pakete COM(2025) 837: vienotais incidentu ziņošanas punkts jāsāk izmantot 18 mēnešos pēc spēkā stāšanās. Procedūra 2025/0360(COD) gaida komitejas lēmumu.

Plānojiet tā, it kā šie priekšlikumi nebūtu pieņemti, bet sekojiet līdzi. Ja NIS2 grozījumus pieņems 2027. gadā, I pielikuma mazos vidējas kapitalizācijas uzņēmumus no būtiskajām uz svarīgajām vienībām varētu pārklasificēt ne agrāk kā 2028. gadā. Šis datums ir mūsu aplēse, nevis akta norma.

Kuri termiņi attiecas uz kuru lomu

Viens un tas pats kalendārs dažādām organizācijām nozīmē ļoti atšķirīgu darba slodzi. Tālāk – tipiskās lomas un datumi, kuriem tām jāpievērš uzmanība pirmām kārtām.

Finanšu iestāde

DORA pienākumi ir spēkā kopš 17.01.2025, tāpēc bankai vai apdrošinātājam nākamie datumi ir citos aktos. MI akta III pielikuma prasības no 02.12.2027 attiecas arī uz kredītspējas vērtēšanu un kredītreitingu noteikšanu fiziskām personām, tāpēc kredītu lēmumos izmantots MI ir jāinventarizē jau tagad. Latvijā MI izmantošanu finanšu tirgū uzraudzīs Latvijas Banka. Ja iestāde ir paļāvīgā puse ar stingras autentifikācijas pienākumu, 24.12.2027 tai jāpieņem Eiropas digitālās identitātes maks.

Produktu vai programmatūras ražotājs

Ražotājam kalendārs ir visblīvākais. Ziņošanas pienākums pēc Kibernoturības akta ir spēkā kopš 11.09.2026, un tas attiecas arī uz produktiem, kas tirgū laisti pirms šīs dienas. 09.12.2026 sākas jaunais produktatbildības režīms. 11.12.2027 produktam jābūt ar atbilstības novērtējumu un CE marķējumu, un radioiekārtām tas aizstāj RED deleģētās regulas prasības. Ja produktā ir augsta riska MI sistēma, klāt nāk 02.08.2028.

MI sistēmu izmantotājs

Organizācijai, kas izmanto citu izstrādātas MI sistēmas, MI pratības pienākums ir spēkā kopš 02.02.2025, un pārredzamības pienākumi – kopš 02.08.2026. Galvenais nākamais datums ir 02.12.2027, ja sistēmu lieto kādā no III pielikuma jomām, piemēram, darbinieku atlasē. Uzturētājam tad būs jānodrošina cilvēka uzraudzība un jāseko sistēmas darbībai.

Valsts vai pašvaldības institūcija

Publiskajam sektoram NIS2 pienākumi Latvijā izriet no Nacionālās kiberdrošības likuma, un tie jau ir spēkā. Ja institūcija ir identificēta kā CER kritiskā vienība, riska novērtējuma termiņu – deviņi mēneši – skaita no paziņojuma par identificēšanu. Pēc eIDAS 2 dalībvalstij līdz aprēķinātajam 24.12.2026 jānodrošina digitālās identitātes maks.

Kā izmantot kalendāru organizācijā

1. Atlasiet savus aktus. Sākumlapas regulējuma navigatorā atbildiet uz septiņiem jautājumiem un pierakstiet aktus ar novērtējumu "attiecas" un "iespējams".
2. Filtrējiet laika līniju. Laika līnijā izvēlieties šos aktus un ieslēdziet "Tikai gaidāmie".
3. Lejupielādējiet .ics failu. Fails satur tikai izvēlēto aktu gaidāmos termiņus kā visas dienas notikumus. Importējiet to komandas kalendārā; fails netiek automātiski atjaunināts.
4. Atskaitiet atpakaļ. Katram termiņam ierakstiet sagatavošanās sākuma datumu – produktu atbilstībai vismaz 12 mēnešus iepriekš, procesu izmaiņām – vismaz sešus.
5. Pārbaudiet pirms termiņa. Mēnesi pirms katra datuma atveriet akta EUR-Lex lapu un pārbaudiet sadaļu "Grozījumi". 2026. gadā MI akta augsta riska termiņš mainījās sešas dienas pirms sākotnējā datuma.

Ja jūsu organizāciju skar vairāki termiņi vienlaikus, piemēram, DORA un Kibernoturības akts, ir vērts tos apvienot vienā programmā ar kopīgu īpašnieku. Ar NIS2 un DORA atbilstības plānošanu var sākt no esošo pasākumu salīdzinājuma ar prasībām.