NIS2 direktīva latviski: tvērums, 21. un 23. pants, sodi

Kas ir NIS2 un ko tā aizstāj

Direktīvas oficiālais latviskais īsais nosaukums ir “TID 2 direktīva”. Tā pieņemta 2022. gada 14. decembrī, publicēta OV L 333 2022. gada 27. decembrī un stājās spēkā 2023. gada 16. janvārī. Saskaņā ar direktīvas 41. pantu dalībvalstīm pārņemšanas noteikumi bija jāpieņem līdz 2024. gada 17. oktobrim un jāpiemēro no 18. oktobra. Ar šo datumu tika atcelta iepriekšējā NIS direktīva (ES) 2016/1148.

Direktīvai ir četri regulējuma bloki (1. pants): valstu stratēģijas un iestādes, risku pārvaldības un ziņošanas pienākumi vienībām, informācijas apmaiņa un uzraudzība. Tā ir minimālās saskaņošanas direktīva (5. pants): valsts drīkst prasīt vairāk, bet ne mazāk. Tāpēc divās dalībvalstīs viens un tas pats uzņēmums var saņemt atšķirīgas detalizētas prasības.

Tvērums: nozare reizē ar lielumu

Direktīva aptver vienības, kuru veids ir minēts I pielikumā (“sevišķi kritiskās nozares”) vai II pielikumā (“citas kritiskās nozares”). Kopā tās ir 18 nozares. Nozares nosaukums vēl neko neizšķir: pielikumā katrai apakšnozarei uzskaitīti konkrēti vienību veidi, bieži ar atsauci uz citu ES aktu definīciju.

NIS2 nozares pēc pielikumiem

Pielikums	Nozares
I pielikums – sevišķi kritiskās nozares (11)	Enerģētika; transports; banku pakalpojumi; finanšu tirgus infrastruktūras; veselība; dzeramais ūdens; notekūdeņi; digitālā infrastruktūra; IKT pakalpojumu pārvaldība (B2B); valsts pārvalde; kosmoss
II pielikums – citas kritiskās nozares (7)	Pasta un kurjeru pakalpojumi; atkritumu apsaimniekošana; ķimikāliju izgatavošana, ražošana un izplatīšana; pārtikas ražošana, pārstrāde un izplatīšana; ražošana; digitālo pakalpojumu sniedzēji; pētniecība

Otrs filtrs ir lielums. Saskaņā ar 2. panta 1. punktu direktīvu piemēro vienībām, kas ir vidējie uzņēmumi vai pārsniedz vidējo uzņēmumu robežvērtības pēc Komisijas Ieteikuma 2003/361/EK pielikuma 2. panta. Vidējs uzņēmums nodarbina mazāk nekā 250 personu, un tā apgrozījums nepārsniedz 50 miljonus eiro vai bilances kopsumma nepārsniedz 43 miljonus eiro. Mazie un mikrouzņēmumi pēc šī noteikuma tvērumā nenonāk. Direktīva atsevišķi izslēdz ieteikuma pielikuma 3. panta 4. punktu, tāpēc publiskām struktūrām piederošu uzņēmumu vērtē pēc tā paša rādītājiem.

Lielumu skaita ar ieteikuma metodiku, tātad ieskaitot partneruzņēmumu un saistīto uzņēmumu datus. Mazs meitasuzņēmums lielā grupā var pēkšņi izrādīties “liels”. Šī ir biežākā kļūda pašnovērtējumos.

Kad lielums nav svarīgs

Lieluma noteikumam ir izņēmumi. Neatkarīgi no lieluma direktīvu piemēro (2. panta 2.–4. punkts):

• publisko elektronisko sakaru tīklu un pakalpojumu nodrošinātājiem, uzticamības pakalpojumu sniedzējiem, augstākā līmeņa domēnu reģistriem un DNS pakalpojumu sniedzējiem;
• vienībām, kas dalībvalstī ir vienīgās būtiska pakalpojuma sniedzējas, vai kuru traucējumi var būtiski ietekmēt sabiedrisko drošību, veselību vai radīt sistēmisku risku;
• vienībām, kas ir kritiskas valsts vai reģionālā līmenī konkrētai nozarei;
• centrālās valdības iestādēm un, pēc riska novērtējuma, reģionālā līmeņa iestādēm;
• vienībām, kas identificētas kā kritiskās vienības pēc CER direktīvas (ES) 2022/2557;
• domēnu nosaukumu reģistrācijas pakalpojumu sniedzējiem (tikai noteiktiem pienākumiem).

Dalībvalsts var tvērumu paplašināt arī uz vietējā līmeņa pašvaldībām un izglītības iestādēm (2. panta 5. punkts). Savukārt direktīva neattiecas uz valsts pārvaldes vienībām, kas darbojas valsts drošības, aizsardzības vai tiesībaizsardzības jomā (2. panta 7. punkts), izņemot gadījumus, kad tās sniedz uzticamības pakalpojumus.

Finanšu sektors un DORA

Ja nozares ES akts prasa vismaz līdzvērtīgus risku pārvaldības un ziņošanas pienākumus, attiecīgos NIS2 noteikumus, arī VII nodaļas uzraudzību, nepiemēro (4. panta 1. punkts). Finanšu vienībām šāds akts ir DORA regula (ES) 2022/2554. Banku pakalpojumi un finanšu tirgus infrastruktūras gan ir I pielikumā, taču to kiberdrošības pienākumus praksē nosaka DORA. Kā šīs normas sadalās un kas notiek ar paralēlo ziņošanu, skaidrojam ceļvedī NIS2, DORA un VDAR: kad piemēro kuru.

Būtiskās un svarīgās vienības

Direktīva tvērumā esošās vienības dala divās kategorijās (3. pants). Pienākumi ir vieni un tie paši, atšķiras uzraudzības intensitāte un maksimālie sodi. Latvijas likums šīs kategorijas sauc citādi: direktīvas “būtiskā vienība” Nacionālās kiberdrošības likumā ir būtisko pakalpojumu sniedzējs, “svarīgā vienība” – svarīgo pakalpojumu sniedzējs. Runājot par Latvijas pienākumiem, izmantojiet likuma terminus.

Būtiskās un svarīgās vienības pēc direktīvas

Kritērijs	Būtiskā vienība	Svarīgā vienība
Kas parasti ietilpst	I pielikuma vienības, kas pārsniedz vidējo uzņēmumu robežvērtības; kvalificēti uzticamības pakalpojumu sniedzēji, TLD reģistri un DNS sniedzēji neatkarīgi no lieluma; vidēji un lieli publisko sakaru nodrošinātāji; centrālās valdības iestādes; CER kritiskās vienības	Visas pārējās I vai II pielikuma vienības tvērumā, piemēram, vidēja lieluma I pielikuma vienības un II pielikuma vidēji un lieli uzņēmumi
Uzraudzība	Ex ante un ex post: inspekcijas, regulāras un mērķtiecīgas revīzijas, drošības skenēšana (32. pants)	Ex post: iestāde rīkojas, ja saņem norādes par pārkāpumu (33. pants)
Maksimālā naudas soda apakšējā robeža	Vismaz 10 000 000 EUR vai 2 % no tā uzņēmuma kopējā gada apgrozījuma pasaulē, kuram vienība pieder, ja tas ir vairāk	Vismaz 7 000 000 EUR vai 1,4 % no tā uzņēmuma kopējā gada apgrozījuma pasaulē, kuram vienība pieder, ja tas ir vairāk
Pagaidu vadības aizliegums	Iespējams (32. panta 5. punkts)	Nav paredzēts

Vienībām pašām jāsniedz iestādei informācija sarakstam: nosaukums, kontakti, IP adrešu diapazoni, nozare un valstis, kurās tās darbojas (3. panta 4. punkts). Par izmaiņām jāpaziņo divu nedēļu laikā. Digitālās infrastruktūras sniedzējiem (mākoņpakalpojumi, datu centri, pārvaldītie drošības pakalpojumi u. c.) jurisdikciju nosaka galvenais iedibinājums ES, nevis katra valsts, kurā tie strādā (26. pants). Ja šāds sniedzējs nav iedibināts ES, bet piedāvā pakalpojumus ES, tam jāieceļ pārstāvis kādā no šīm valstīm (26. panta 3. punkts).

Ja jāsaprot, vai uzņēmumam vienlaikus piemērojami arī citi ES akti, sāciet ar sākumlapas regulējuma navigatoru.

Vadības pienākumi: 20. pants

Dalībvalstis nodrošina, ka būtisku un svarīgu vienību pārvaldes struktūras apstiprina kiberdrošības risku pārvaldības pasākumus, ko minētās vienības veikušas, lai izpildītu 21. panta prasības, pārrauga to īstenošanu, un no tām var prasīt atbildību par to, ka vienības ir pārkāpušas minēto pantu.

Direktīvas (ES) 2022/2555 20. panta 1. punkts

No tā izriet trīs praktiski pienākumi valdei vai citam pārvaldes orgānam: pasākumus apstiprināt (ne tikai “pieņemt zināšanai”), pārraudzīt to izpildi un būt gatavam atbildēt par pārkāpumiem. 20. panta 2. punkts prasa, lai pārvaldes struktūru locekļi iziet apmācību, un mudina līdzīgu apmācību regulāri piedāvāt darbiniekiem.

Atbildība nav tikai teorētiska. 32. panta 6. punkts prasa, lai fizisku personu, kas atbild par būtisko vienību vai to pārstāv, varētu saukt pie atbildības par pienākumu pārkāpšanu. Ja būtiskā vienība neizpilda iestādes prasības noteiktajā termiņā, iestāde var lūgt tiesu vai citu kompetentu struktūru uz laiku aizliegt personai, kas pilda vadības pienākumus izpilddirektora vai juridiskā pārstāvja līmenī, pildīt vadības funkcijas (32. panta 5. punkta b) apakšpunkts). Valsts pārvaldes vienībām šis pasākums nav piemērojams.

Risku pārvaldības pasākumi: 21. pants

Vienībām jāveic “atbilstīgi un samērīgi tehniskie, operatīvie un organizatoriskie pasākumi”, ņemot vērā standartus, izmaksas, riska pakāpi, lielumu un incidentu iespējamo smagumu (21. panta 1. punkts). Pasākumu pamatā ir visu apdraudējumu pieeja, kas aptver arī sistēmu fizisko vidi. 2. punkts nosaka minimumu:

1. riska analīze un informācijas sistēmu drošības politikas;
2. incidentu risināšana;
3. darbības nepārtrauktība – dublējumu pārvaldība, atjaunošana pēc negadījuma un krīžu pārvaldība;
4. piegādes ķēdes drošība, arī attiecības ar tiešajiem piegādātājiem;
5. drošība sistēmu ieguvē, izstrādē un uzturēšanā, arī rīcība ar ievainojamībām un to izpaušana;
6. pasākumu efektivitātes novērtēšana;
7. kiberhigiēnas pamatprakse un apmācība;
8. kriptogrāfija un, kur vajadzīgs, šifrēšana;
9. personāla drošība, piekļuves kontrole un aktīvu pārvaldība;
10. daudzfaktoru vai nepārtraukta autentifikācija, droši balss, video un teksta sakari un ārkārtas sakaru sistēmas.

Piegādes ķēdes punktā jāvērtē katra tiešā piegādātāja ievainojamības, produktu kvalitāte un droša izstrāde (21. panta 3. punkts). Tāpēc NIS2 prasības ietekmē arī uzņēmumus, kas paši tvērumā neietilpst, bet piegādā tvērumā esošiem klientiem. Ja vienība konstatē, ka pasākumi netiek ievēroti, tai bez liekas kavēšanās jāveic korektīvi pasākumi (21. panta 4. punkts).

Īstenošanas regula (ES) 2024/2690

Digitālās infrastruktūras un digitālo pakalpojumu sniedzējiem detalizētās prasības jau noteiktas ES līmenī. Komisijas Īstenošanas regula (ES) 2024/2690 stājās spēkā 2024. gada 7. novembrī. Tā attiecas uz DNS sniedzējiem, TLD reģistriem, mākoņdatošanas, datu centru un satura piegādes tīklu pakalpojumu sniedzējiem, pārvaldītu pakalpojumu un pārvaldītu drošības pakalpojumu sniedzējiem, tiešsaistes tirdzniecības vietām, meklētājprogrammām, sociālās tīklošanās platformām un uzticamības pakalpojumu sniedzējiem. Pielikumā katram 21. panta 2. punkta pasākumam ir tehniskās un metodiskās prasības. Ja prasība piemērojama “attiecīgā gadījumā” un vienība to nepiemēro, pamatojums jādokumentē (2. pants).

Ziņošana par būtiskiem incidentiem: 23. pants

Incidents ir būtisks, ja tas izraisījis vai var izraisīt smagus pakalpojumu traucējumus vai finansiālus zaudējumus vienībai, vai ja tas ietekmējis citas personas, radot ievērojamu materiālu vai nemateriālu kaitējumu (23. panta 3. punkts). Regulas 2024/2690 tvērumā esošajām vienībām kritērijus precizē tās 3.–14. pants. Piemēram, incidents ir būtisks, ja tiešie finansiālie zaudējumi pārsniedz 500 000 EUR vai 5 % no gada apgrozījuma, atkarībā no tā, kura summa ir mazāka. Atsevišķi kritēriji noteikti komercnoslēpumu eksfiltrācijai un kaitējumam veselībai, kā arī katram pakalpojuma veidam.

NIS2 23. panta ziņošanas secība

Posms	Termiņš	Saturs
Agrīns brīdinājums	24 stundu laikā no brīža, kad uzzināts par būtisku incidentu	Vai ir aizdomas par nelikumīgu vai ļaunprātīgu rīcību; vai iespējama pārrobežu ietekme
Paziņojums par incidentu	72 stundu laikā no uzzināšanas	Sākotnējais novērtējums: smagums, ietekme, aizskāruma rādītāji, ja pieejami
Starpposma ziņojums	Pēc CSIRT vai iestādes pieprasījuma	Statusa atjauninājumi
Galīgais ziņojums	Ne vēlāk kā mēnesi pēc paziņojuma par incidentu	Sīks apraksts, pamatcēlonis, riska mazināšanas pasākumi, pārrobežu ietekme
Progresa ziņojums	Ja incidents mēneša beigās vēl turpinās	Galīgais ziņojums mēneša laikā pēc incidenta atrisināšanas

Bez paziņojuma iestādei vienībai bez nepamatotas kavēšanās jāinformē pakalpojumu saņēmēji, ja incidents var nelabvēlīgi ietekmēt viņiem sniegtos pakalpojumus. Ja saņēmējus var skart būtiski kiberdraudi, viņiem jāpaziņo arī, ko viņi paši var darīt (23. panta 1. un 2. punkts). Paziņošanas akts pats par sevi neuzliek vienībai lielāku atbildību.

Latvijā ziņojumus saņem kiberincidentu novēršanas institūcija – privāto tiesību juridiskajām personām un lielākajai daļai iestāžu tā ir CERT.LV (Nacionālās kiberdrošības likuma 9. pants). Ja tas pats incidents ir arī personas datu aizsardzības pārkāpums, paralēli darbojas VDAR 33. panta 72 stundu termiņš.

Uzraudzība un sodi: 32.–36. pants

Būtisko vienību uzraudzībai iestādēm jābūt pilnvarām veikt inspekcijas uz vietas un attālināti, regulāras un ad hoc drošības revīzijas, drošības skenēšanu, kā arī pieprasīt informāciju, dokumentus un pierādījumus, piemēram, kvalificēta revidenta revīzijas rezultātus (32. panta 2. punkts). Mērķtiecīgas revīzijas izmaksas parasti sedz pati vienība. Svarīgajām vienībām līdzīgas pilnvaras izmanto ex post, kad ir norādes par pārkāpumu (33. pants).

Izpildes līdzekļi ir pakāpeniski: brīdinājums, saistoši norādījumi, rīkojums novērst trūkumus vai informēt klientus, uzraudzības speciālista norīkošana būtiskai vienībai, pārkāpuma publiskošana un administratīvs naudas sods. Nosakot sodu, vērtē pārkāpuma smagumu un ilgumu, nodomu vai nolaidību, kaitējumu un sadarbību ar iestādi (32. panta 7. punkts). Par smagu pārkāpumu jebkurā gadījumā uzskata, piemēram, būtiska incidenta nepaziņošanu un nepatiesas informācijas sniegšanu.

34. pants nosaka minimālos maksimumus, tātad valsts drīkst noteikt augstākus. Valsts var paredzēt arī periodiskus soda maksājumus un pati izlemt, vai sodīt valsts pārvaldes vienības. Latvijā summas noteiktas Nacionālās kiberdrošības likuma 46. pantā. Ja par to pašu rīcību datu aizsardzības iestāde jau piemērojusi VDAR naudas sodu, NIS2 naudas sodu nepiemēro, bet citi izpildes pasākumi joprojām iespējami (35. panta 2. punkts).

Pārņemšana dalībvalstīs

Termiņš bija 2024. gada 17. oktobris, un daudzas valstis to nokavēja. Komisija 2024. gada 28. novembrī nosūtīja oficiāla paziņojuma vēstules un 2025. gada 7. maijā – argumentētus atzinumus 19 dalībvalstīm, tostarp Latvijai, par pilnīgas pārņemšanas nepaziņošanu.

2026. gada 8. jūlijā Komisija nolēma vērsties Eiropas Savienības Tiesā pret Īriju, Spāniju, Franciju un Nīderlandi, lūdzot piemērot vienreizējus un dienas soda maksājumus. Paziņojumā teikts, ka šīs četras valstis vēl nav paziņojušas par pilnīgu pārņemšanu, bet pārējās lielākoties prasības izpildījušas. Jaunāku oficiālu kopsavilkumu par katras valsts statusu mēs neatradām, tāpēc valstu tabulu nepublicējam.

Latvija direktīvu pārņēma ar Nacionālās kiberdrošības likumu, kas pieņemts 2024. gada 20. jūnijā un stājās spēkā 2024. gada 1. septembrī. Likums grozīts ar 2026. gada 4. jūnija likumu, kas stājās spēkā 18. jūnijā; daļa grozījumu stājās spēkā 1. oktobrī. Nacionālā kompetentā iestāde ir Nacionālais kiberdrošības centrs (NKC) Aizsardzības ministrijā. Latvija nebija starp valstīm, pret kurām Komisija 2026. gada jūlijā vērsās Tiesā, taču oficiālu lēmumu par tās pārkāpuma lietas izbeigšanu neatradām.

Uzņēmumam, kas darbojas vairākās valstīs, tas nozīmē: piemērojamību pārbaudiet katras valsts likumā, nevis direktīvā. Valstis atšķiras tieši tur, kur direktīva atstāj izvēli, piemēram, attiecībā uz pašvaldībām, izglītības iestādēm, soda apmēru un detalizētām prasībām. Visus galvenos datumus apkopo sākumlapas ES termiņu laika līnija.

Kas jādara tagad

1. Nosakiet nozari un vienības veidu pēc pielikuma teksta, nevis pēc NACE koda vien.
2. Aprēķiniet lielumu pēc Ieteikuma 2003/361/EK, iekļaujot partneruzņēmumus un saistītos uzņēmumus.
3. Pārbaudiet, vai neattiecas kāds izņēmums no lieluma noteikuma vai nozares akts, piemēram, DORA.
4. Katrai valstij, kurā darbojaties, nosakiet piemērojamo nacionālo likumu un kompetento iestādi.
5. Iesniedziet pārvaldes orgānam apstiprināšanai 21. panta pasākumu kopumu un ieplānojiet vadības apmācību.
6. Uzrakstiet incidentu klasificēšanas kārtību ar 24 stundu, 72 stundu un mēneša termiņiem un izmēģiniet to vingrinājumā.
7. Sagatavojiet pierādījumu mapi revīzijai: politikas, riska novērtējumi, piegādātāju izvērtējumi, testēšanas rezultāti.

Ja vēlaties ātri pārbaudīt, cik tālu esat, OffSeq piedāvā NIS2 gatavības pašpārbaudi latviešu valodā. Ko varētu mainīt Komisijas grozījumu priekšlikums, īpaši vidējas kapitalizācijas uzņēmumiem, skaidrojam ceļvedī NIS2 grozījumu priekšlikums COM(2026) 13. Pārskatu par visiem ES kiberdrošības aktiem atradīsiet ceļvedī ES kiberdrošības regulējums 2026.