Kiberdrošības akts un CSA2: EUCC sertifikācija un ENISA loma

Kas ir Kiberdrošības akts

Regula (ES) 2019/881 “par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju” latviešu valodā saucas Kiberdrošības akts. Tas stājās spēkā 2019. gada 27. jūnijā; sertifikācijas iestāžu un sodu noteikumi (58., 60., 61. un 63.–65. pants) piemērojami no 2021. gada 28. jūnija. Tā ir regula, tātad tieši piemērojama bez pārņemšanas nacionālajos likumos.

Nejauciet to ar Kibernoturības aktu (Regula (ES) 2024/2847), kas nosaka obligātas prasības produktiem ar digitāliem elementiem. Kiberdrošības akts pats neuzliek pienākumus uzņēmumiem: tā sertifikācija ir brīvprātīga, “ja vien Savienības vai dalībvalsts tiesību aktos nav norādīts citādi” (56. panta 2. punkts). Obligātu to var padarīt tikai cits akts: Kibernoturības akts un NIS2 direktīva to paredz kā iespēju, bet MI akts sertifikātam piešķir atbilstības prezumpciju. Visu aktu kopsavilkums ir aktu katalogā.

Pēdējais grozījums ir Regula (ES) 2025/37 (spēkā no 2025. gada 4. februāra), kas ļauj izstrādāt ES sertifikācijas shēmas arī pārvaldītiem drošības pakalpojumiem – incidentu reaģēšanai, ielaušanās testēšanai, drošības auditiem un konsultācijām. Tas pieņemts kopā ar Kibersolidaritātes aktu, jo ES kiberdrošības rezervē paredzēts izmantot uzticamus pārvaldītu drošības pakalpojumu sniedzējus.

ENISA mandāts

ENISA izveidota “uz nenoteiktu laikposmu no 2019. gada 27. jūnija” (68. panta 4. punkts). Aģentūra atbalsta dalībvalstis un ES iestādes politikas ieviešanā, operatīvajā sadarbībā un sertifikācijā. Vēlākie akti tai uzticējuši konkrētus pakalpojumus, ar kuriem uzņēmumi saskaras tieši:

• CSIRT tīkla sekretariāts (NIS2 15. pants) un Eiropas ievainojamību datubāze EUVD (NIS2 12. pants), kas darbojas kopš 2025. gada maija;
• Kibernoturības akta vienotā ziņošanas platforma, kas darbojas kopš 2026. gada 11. septembra;
• ES kiberdrošības rezerves darbības nodrošināšana, ja to uztic Komisija (Kibersolidaritātes akta 14. panta 5. punkts);
• sertifikācijas shēmu kandidātu sagatavošana pēc Komisijas pieprasījuma.

Kā ENISA sadarbojas ar ECCC, CERT.LV un Nacionālo kiberdrošības centru, aprakstīts ceļvedī par Kibersolidaritātes aktu un ES iestādēm.

Kā darbojas ES kiberdrošības sertifikācija

Shēmu pieņem Komisija ar īstenošanas aktu, pamatojoties uz ENISA sagatavotu kandidātu. Katra shēma nosaka, kam tā attiecas, pēc kādiem standartiem vērtē un kādus apliecinājuma līmeņus piedāvā. Regula paredz trīs līmeņus (52. pants):

Apliecinājuma līmeņi Kiberdrošības aktā

Līmenis	Pret ko vērsts	Kā apliecina
Pamata	Zināmi incidentu un kiberuzbrukumu pamata riski	Sertifikāts vai, ja shēma atļauj, paša ražotāja veikts atbilstības novērtējums un ES atbilstības apliecinājums (53. pants)
Būtisks	Zināmi kiberdrošības riski un uzbrucēji ar ierobežotām prasmēm un resursiem	Atbilstības novērtēšanas struktūras izdots sertifikāts
Augsts	Sarežģīti uzbrukumi, ko veic uzbrucēji ar būtiskām prasmēm un resursiem	Sertifikāts; izvērtēšanā ietilpst ielaušanās testi; izdod valsts kiberdrošības sertifikācijas iestāde vai atbilstības novērtēšanas struktūra ar tās apstiprinājumu vai deleģējumu (56. panta 6. punkts)

Katra dalībvalsts izraugās valsts kiberdrošības sertifikācijas iestādi, kas uzrauga sertifikātus un to turētājus savā teritorijā (58. pants), un piedalās Eiropas Kiberdrošības sertifikācijas grupā (ECCG). Kura iestāde šo funkciju pilda Latvijā, primārajos avotos, kurus pārbaudījām, nav norādīts; pirms sertifikācijas projekta to jautājiet Nacionālajam kiberdrošības centram.

EUCC – vienīgā darbojošā shēma

Īstenošanas regula (ES) 2024/482 par vienotos kritērijos balstītu Eiropas kiberdrošības sertifikācijas shēmu (EUCC) pieņemta 2024. gada 31. janvārī un piemērojama no 2025. gada 27. februāra. To grozīja Īstenošanas regula (ES) 2024/3144 attiecībā uz piemērojamajiem starptautiskajiem standartiem.

• Pamatā ir Common Criteria (ISO/IEC 15408) un kopējā izvērtēšanas metodika (ISO/IEC 18045); shēma balstās uz līdzšinējo SOG-IS savstarpējās atzīšanas nolīgumu.
• Līmeņi: “būtisks” atbilst ievainojamību analīzes līmeņiem AVA_VAN 1–2, “augsts” – AVA_VAN 3–5. Līmenis “pamata” EUCC nav.
• Derīgums: produkta sertifikāts – ne ilgāk par pieciem gadiem; aizsardzības profilu sertifikāti – līdz profila darbmūža beigām.
• Ievainojamības: sertifikāta turētājs uztur ievainojamību pārvaldību; ja ievainojamība var ietekmēt atbilstību, tas bez liekas kavēšanās nosūta ievainojamības ietekmes analīzes ziņojumu sertifikācijas struktūrai vai iestādei.
• Testēšana notiek akreditētās izvērtēšanas laboratorijās (ITSEF) pēc ISO/IEC 17025 un ISO/IEC 23532-1.

EUCC ir paredzēta produktiem ar skaidri definētu drošības funkcionalitāti: viedkartēm, drošības elementiem, ugunsmūriem, šifrēšanas moduļiem. Vispārīgai uzņēmuma programmatūrai tā parasti ir pārāk dārga un ilga; tur Kibernoturības akta atbilstība un saskaņotie standarti būs praktiskāks ceļš.

Kāpēc nav mākoņu un 5G shēmu

Pēc EUCC Komisijai bija jāpieņem arī ES mākoņpakalpojumu sertifikācijas shēma (EUCS) un 5G tīklu shēma (EU5G). Neviena no tām nav pieņemta: EUR-Lex nav to īstenošanas aktu, un pati Komisija CSA2 priekšlikuma paskaidrojuma rakstā atzīst, ka satvaram “joprojām ir vairāk potenciāla nekā praktiskas ietekmes, jo tikai viena sertifikācijas shēma nesen sākusi darboties”. Iemesls nosaukts tieši: politiskas un tehniskas grūtības, tostarp debates par datu suverenitāti, kavējušas EUCS un EU5G.

Praksē tas nozīmē, ka mākoņpakalpojumu sniedzēju “ES sertifikāts” šobrīd neeksistē. Ja piegādātājs to apgalvo, jautājiet, kura shēma un kurš īstenošanas akts ar to domāts. Līdz shēmas pieņemšanai mākoņpakalpojumu drošības vērtējums balstās uz NIS2 piegādes ķēdes prasībām, līgumu un neatkarīgiem ziņojumiem.

Kur sertifikācija kļūst obligāta vai dod priekšrocības

Kā citi ES akti izmanto Kiberdrošības akta shēmas

Akts	Norma	Sekas
Kibernoturības akts	8. panta 1. punkts	Ar deleģēto aktu var noteikt, ka kritiski svarīgiem produktiem jāiegūst ES sertifikāts vismaz līmenī “būtisks”, ja piemērota shēma ir pieejama
Kibernoturības akts	27. panta 8. un 9. punkts	Sertifikāts vai ES atbilstības apliecinājums dod pamatprasību atbilstības prezumpciju tiktāl, cik tas tās sedz
MI akts	42. panta 2. punkts	Sertifikāts dod 15. panta kiberdrošības prasību prezumpciju augsta riska MI sistēmām
NIS2 direktīva	24. pants	Dalībvalstis var pieprasīt būtiskām un svarīgām vienībām izmantot sertificētus IKT produktus, pakalpojumus vai procesus; Komisija to var noteikt ar deleģēto aktu

Ražotājiem, kas plāno nozīmīgus vai kritiski svarīgus produktus, lēmums par sertifikāciju jāpieņem jau projektēšanā, jo izvērtēšana prasa dokumentāciju, kuru vēlāk ir grūti atjaunot. Kā produktu klasi noteikt, skaidro Kibernoturības akta produktu klašu ceļvedis; OffSeq palīdz ar produktu drošības novērtējumu ražotājiem pirms atbilstības novērtēšanas.

2. kiberdrošības akts: COM(2026) 11

Komisija 2026. gada 20. janvārī kiberdrošības paketē publicēja priekšlikumu regulai “par Eiropas Savienības Kiberdrošības aģentūru (ENISA), Eiropas kiberdrošības sertifikācijas satvaru un IKT piegādes ķēdes drošību” (2. kiberdrošības akts). Tas atceltu Regulu (ES) 2019/881 un aizstātu to ar jaunu tekstu. Kopā ar to iesniegti NIS2 grozījumi (COM(2026) 13). Nacionālais kiberdrošības centrs paketes mērķus apkopo trīs punktos: IKT piegādes ķēžu drošība kritiskajā infrastruktūrā, vienkāršāks sertifikācijas satvars un spēcīgāka ENISA.

ENISA un sertifikācija

• ENISA uzdevumi tiek konkretizēti: agrīnie brīdinājumi par kiberdraudiem, ES kiberdrošības rezerves darbība izspiedējvīrusu incidentiem, kiberprasmju apliecinājumu shēmas, maksas pakalpojumi (piemēram, testēšanas rīki).
• Shēmu izstrāde kļūst paredzamāka: pēc Komisijas detalizēta pieprasījuma ENISA kandidātshēmu iesniedz 12 mēnešu laikā, ir skaidri uzturēšanas un pārskatīšanas noteikumi.
• Satvars paplašinās: papildus produktiem, pakalpojumiem un procesiem var sertificēt pārvaldītus drošības pakalpojumus un organizāciju kiberdrošības stāvokli (cyber posture). Tas ļautu ar vienu sertifikātu pierādīt atbilstību vairāku aktu prasībām, piemēram, NIS2 risku pārvaldības pasākumiem.

Uzticamas IKT piegādes ķēdes ietvars

Jaunākā un politiski jutīgākā daļa ir IV sadaļa. Tā attiektos uz NIS2 I un II pielikuma nozarēm un pievērstos netehniskiem riskiem, piemēram, piegādātāja piederībai valstij, kas rada kiberdrošības bažas.

• ES līmeņa koordinētus risku novērtējumus pieprasa Komisija vai vismaz trīs dalībvalstis; tos pabeidz sešu mēnešu laikā.
• Komisija ar īstenošanas aktiem nosaka galvenos IKT aktīvus kritiskajās piegādes ķēdēs un var noteikt riska mazināšanas pasākumus konkrētām vienību kategorijām.
• Komisija ar īstenošanas aktiem izveido augsta riska piegādātāju sarakstus pēc to iedibināšanas, piederības un kontroles izvērtējuma, uzklausot piegādātājus.
• Mobilo sakaru tīklu galvenajos aktīvos augsta riska piegādātāju komponentu izņemšanas pārejas periods nepārsniegtu 36 mēnešus no regulas spēkā stāšanās; fiksētajiem un satelītu tīkliem to noteiktu īstenošanas akti.
• Augsta riska valsts piegādātājs var lūgt atļauju piegādāt komponentus konkrētos gadījumos; lēmumi tiktu publicēti reģistrā.

Ietekmes novērtējumā Komisija lēš, ka vienkāršotas un samazinātas atbilstības prasības piecos gados uzņēmumiem varētu ietaupīt līdz 15,3 miljardiem euro. Tas ir Komisijas aprēķins, nevis apstiprināts rezultāts.

Statuss 2026. gada oktobrī

CSA2 ir priekšlikums, nevis likums. Eiropas Parlamenta likumdošanas observatorijā procedūras 2026/0011(COD) stadija ir “gaida komitejas lēmumu”. Atbildīgā komiteja ir ITRE, referente – Markéta Gregorová; plenārsēde par nodošanu komitejai paziņota 2026. gada 25. martā, komitejas ziņojuma projekts reģistrēts 2026. gada 18. septembrī, un 13. oktobrī iesniegti grozījumi. Pēc komitejas balsojuma sekos trialogs ar Padomi.

Kamēr akts nav pieņemts, spēkā ir Regula (ES) 2019/881 un EUCC. Galīgais teksts var atšķirties, īpaši piegādes ķēdes nodaļā, tāpēc neplānojiet konkrētus termiņus pēc priekšlikuma. Visi zināmie datumi apkopoti ES termiņu kalendārā.

Ko darīt tagad

• Produktu ražotāji: noskaidrojiet, vai produkts ir nozīmīgs vai kritiski svarīgs Kibernoturības akta izpratnē un vai EUCC sertifikāts dotu prezumpciju vai būtu prasīts.
• NIS2 vienības un iepircēji: neprasiet piegādātājiem neesošus “ES mākoņa sertifikātus”; prasiet konkrētu shēmu, tvērumu un derīgumu vai citus pierādījumus.
• Elektronisko sakaru operatori: inventarizējiet galveno tīkla aktīvu piegādātājus jau tagad – ja CSA2 piegādes ķēdes nodaļu pieņems, pārejas periods mobilajos tīklos būs ierobežots.
• IKT piegādātāji kritiskajām nozarēm: sagatavojiet pārskatu par savu piederību un kontroli, apakšpiegādātājiem un komponentu izcelsmi; to jau tagad prasa NIS2 piegādes ķēdes vērtējumi.