NIS2, DORA un VDAR: kuru piemērot un kā ziņot par incidentu

Trīs akti, trīs dažādi jautājumi

NIS2 (Direktīva (ES) 2022/2555, latviešu oficiālajā tekstā – TID 2 direktīva) aizsargā būtisko un svarīgo vienību tīklu un informācijas sistēmas un to sniegtos pakalpojumus. Latvijā to pārņem Nacionālās kiberdrošības likums (NKDL), kas lieto terminus būtisko pakalpojumu sniedzējs un svarīgo pakalpojumu sniedzējs. DORA (Regula (ES) 2022/2554) regulē finanšu vienību digitālās darbības noturību. VDAR (Regula (ES) 2016/679) aizsargā fiziskās personas, kuru dati tiek apstrādāti.

No tā izriet pirmais secinājums: NIS2 un DORA pārklājas, jo abas regulē vienu un to pašu – organizācijas kiberdrošību un incidentus. VDAR regulē citu priekšmetu – personas datu aizsardzību –, tāpēc tā piemērojama paralēli abām, un neviens no turpmāk aprakstītajiem lex specialis noteikumiem to neizslēdz.

Lex specialis: kad DORA aizstāj NIS2

Ja nozarspecifiski Savienības tiesību akti prasa būtiskajām vai svarīgajām vienībām pieņemt kiberdrošības risku pārvaldības pasākumus vai ziņot par būtiskiem incidentiem un ja šādas prasības ietekmes ziņā ir vismaz līdzvērtīgas šajā direktīvā noteiktajiem pienākumiem, attiecīgos šīs direktīvas noteikumus, tostarp VII nodaļas noteikumus par uzraudzību un izpildes panākšanu, šādām vienībām nepiemēro.

Direktīvas (ES) 2022/2555 4. panta 1. punkts

NIS2 4. panta 2. punkts precizē līdzvērtību: risku pārvaldības pasākumiem jābūt vismaz līdzvērtīgiem 21. pantam, vai arī nozares aktam jānodrošina CSIRT un kompetentajām iestādēm tūlītēja piekļuve incidentu paziņojumiem un vismaz līdzvērtīgas ziņošanas prasības. DORA pati to apstiprina preambulas 16. apsvērumā: “šī regula attiecībā pret Direktīvu (ES) 2022/2555 ir lex specialis”. DORA 19. panta 6. punkts nodrošina saiti – kompetentā iestāde informāciju par saņemtajiem incidentu ziņojumiem attiecīgā gadījumā nodod arī NIS2 kompetentajām iestādēm, vienotajiem kontaktpunktiem vai CSIRT.

Latvijā šo principu ievieš NKDL 3. panta trešā daļa: likums attiecas uz DORA finanšu vienībām, kas ir būtisko pakalpojumu sniedzēji, “ciktāl regula 2022/2554 vai citi normatīvie akti nenosaka citas prasības” jautājumos par kiberdrošības prasībām, risku pārvaldību (arī trešo pušu risku), darbības noturību, testēšanu, rīcību incidentu gadījumā, ziņošanu un uzraudzību. Būtiski: NIS2 4. pants neizslēdz visu direktīvu, bet tikai “attiecīgos noteikumus”, un tikai tām vienībām, uz kurām nozares akts attiecas. IT uzņēmums, kas apkalpo bankas, pats nav DORA finanšu vienība, tāpēc tam NKDL piemēro pilnībā, ja tas ir likuma subjekts.

Kurš ko uzrauga Latvijā

Uzraudzības iestādes un ziņojumu saņēmēji Latvijā

Iestāde	Akts	Loma
Nacionālais kiberdrošības centrs (NKC)	NKDL (NIS2)	Nacionālā kompetentā iestāde un vienotais kontaktpunkts; būtisko un svarīgo pakalpojumu sniedzēju uzraudzība
CERT.LV (LU MII)	NKDL (NIS2)	Kiberincidentu novēršanas institūcija valsts un pašvaldību institūcijām un privāto tiesību juridiskajām personām; saņem agrīno brīdinājumu un ziņojumus
Satversmes aizsardzības birojs (SAB)	NKDL	IKT kritiskās infrastruktūras uzraudzība; saņem arī būtisko pakalpojumu sniedzēju incidentu ziņojumus
Latvijas Banka	DORA; Finanšu tirgus digitālās darbības noturības un MI izmantošanas likums	DORA kompetentā iestāde; saņem būtisku ar IKT saistītu incidentu ziņojumus un informācijas reģistrus
Datu valsts inspekcija (DVI)	VDAR; Fizisko personu datu apstrādes likums	Datu uzraudzības iestāde; saņem paziņojumus par personas datu aizsardzības pārkāpumiem

Paralēlie ziņošanas pulksteņi

Lielākā praktiskā kļūda ir pieņemt, ka visi termiņi skaitās no viena brīža. Tā nav: NKDL un VDAR skaita no brīža, kad uzzināts par incidentu vai pārkāpumu, bet DORA četru stundu termiņš skaitās no klasifikācijas brīža, ar 24 stundu griestiem no uzzināšanas. Arī ziņojumu nosaukumi atšķiras, lai gan izskatās līdzīgi.

Incidentu ziņošanas termiņi: NKDL (NIS2), DORA, VDAR un Kibernoturības akts

Akts un notikums	Pirmais ziņojums	Otrais ziņojums	Noslēguma ziņojums	Saņēmējs
NKDL 34. pants – nozīmīgs kiberincidents	Agrīnais brīdinājums 24 h laikā	Sākotnējais ziņojums 72 h laikā (uzticamības pakalpojumu sniedzējam 24 h)	Galaziņojums mēneša laikā pēc sākotnējā ziņojuma; ja nav atrisināts – progresa ziņojums	CERT.LV vai MilCERT; būtisko pakalpojumu sniedzēji arī SAB
DORA 19. pants, Deleģētā regula (ES) 2025/301 – būtisks ar IKT saistīts incidents	Sākotnējais paziņojums 4 h no klasifikācijas, ne vēlāk kā 24 h no uzzināšanas	Starpposma ziņojums 72 h pēc sākotnējā paziņojuma	Gala ziņojums mēneša laikā pēc (pēdējā) starpposma ziņojuma	Latvijas Banka (FAS vai ict_incidents@bank.lv)
VDAR 33. pants – personas datu aizsardzības pārkāpums	Paziņojums bez nepamatotas kavēšanās, ja iespējams, 72 h no uzzināšanas	Informāciju var sniegt pa posmiem	–	DVI; datu subjektiem – bez nepamatotas kavēšanās, ja augsts risks (34. pants)
Kibernoturības akta 14. pants – aktīvi izmantota ievainojamība produktā	Agrīnais brīdinājums 24 h	Paziņojums 72 h	Galīgais ziņojums ne vēlāk kā 14 dienas pēc labojuma vai mazināšanas pasākuma pieejamības	Par koordinatoru izraudzītā CSIRT un ENISA caur vienoto ziņošanas platformu; Latvijā ziņojumus apstrādā CERT.LV

DORA termiņiem ir brīvdienu noteikums: ja termiņš iekrīt brīvdienā vai svētku dienā, ziņojumu var iesniegt līdz nākamās darbdienas pulksten 12.00. Tas neattiecas uz kredītiestāžu, centrālo darījumu partneru, tirdzniecības vietu uzturētāju un NIS2 būtisko vai svarīgo vienību sākotnējo paziņojumu un starpposma ziņojumu (Deleģētās regulas (ES) 2025/301 5. pants). NKDL un VDAR šāda noteikuma nav.

Piemērs: viens incidents, trīs pulksteņi

Ilustratīvs scenārijs. Latvijas uzņēmums sniedz pārvaldītus IKT pakalpojumus un ir NKDL svarīgo pakalpojumu sniedzējs. Tā klients ir maksājumu iestāde, kurai uzņēmums mitina klientu portālu. Piektdien pulksten 22.00 uzņēmuma drošības uzraudzība konstatē izspiedējvīrusu, kas šifrējis portāla serverus un, iespējams, izguvis klientu datus.

1. Pakalpojumu sniedzējs (NKDL): ja incidents ir nozīmīgs, agrīnais brīdinājums CERT.LV līdz sestdienas 22.00, sākotnējais ziņojums līdz pirmdienas 22.00, galaziņojums mēneša laikā pēc tam.
2. Pakalpojumu sniedzējs (līgums): paziņojums maksājumu iestādei saskaņā ar DORA 30. panta 3. punkta b) apakšpunktā prasītajiem līguma termiņiem – parasti dažu stundu laikā, jo no tā atkarīgs klienta pulkstenis.
3. Maksājumu iestāde (DORA): klasificē incidentu pēc RTS 2024/1772 kritērijiem. Ja tas ir būtisks, sākotnējais paziņojums Latvijas Bankai četru stundu laikā no klasifikācijas un ne vēlāk kā 24 stundas pēc uzzināšanas; starpposma ziņojums 72 stundu laikā pēc tam. Maksājumu iestāde nav NIS2 vienība, tāpēc, ja termiņš iekrīt brīvdienā, tā var izmantot brīvdienu noteikumu un ziņot līdz pirmdienas 12.00, ja vien Latvijas Banka nav lēmusi citādi (5. panta 6. punkts). Klientiem, kuru finanšu intereses skartas, jāpaziņo bez nepamatotas kavēšanās.
4. Maksājumu iestāde (VDAR, pārzinis): paziņojums DVI 72 stundu laikā no brīža, kad tā uzzināja par pārkāpumu. Pakalpojumu sniedzējs kā apstrādātājs pārzinim ziņo bez nepamatotas kavēšanās (33. panta 2. punkts).

Šajā piemērā viens notikums pirmo 72 stundu laikā prasa no divām organizācijām vismaz piecus ziņojumus trim iestādēm. To nevar pārvaldīt ar trim atsevišķām procedūrām, ko glabā trīs dažādi cilvēki.

Kā vadīt vienu incidentu procesu trim aktiem

1. Viena ieeja, trīs klasifikācijas jautājumi. Triāžā uzreiz atbildiet: vai tas ir nozīmīgs kiberincidents NKDL izpratnē; vai tas ir būtisks ar IKT saistīts incidents DORA izpratnē; vai ir skarti personas dati. Katram jautājumam – savs kritēriju saraksts un atbildīgais.
2. Divi laika zīmogi, nevis viens. Reģistrējiet uzzināšanas brīdi un DORA klasifikācijas brīdi atsevišķi. No pirmā skaitās NKDL, VDAR un DORA 24 stundu griesti, no otrā – DORA četras stundas.
3. Viena faktu bāze. Visi ziņojumi tiek veidoti no viena incidenta žurnāla: laika līnija, skartās sistēmas, ietekme, pasākumi. Atšķiras tikai veidnes un saņēmēji.
4. Iepriekš sagatavotas veidnes. Latvijas Bankas XLSX veidnes, MK noteikumu Nr. 397 pielikumu veidlapas CERT.LV un DVI paziņojuma struktūra jāaizpilda iepriekš ar nemainīgajiem laukiem (kontakti, sistēmu apraksts).
5. Viens lēmumu žurnāls. Ja nolemjat neziņot, ierakstiet, kas, kad un ar kādu pamatojumu to izlēma. VDAR atbrīvojums no paziņošanas un DORA nebūtiska incidenta klasifikācija ir lēmumi, kurus uzraugs var pārbaudīt.
6. Saziņa starp ziņojumiem. Latvijas Banka prasa sākotnējā ziņojumā norādīt, ja par incidentu ziņots arī NKC vai ar to konsultēts. Uzturiet vienu sarakstu, kam un kad kas nosūtīts.
7. Līgumu termiņi pirms incidenta. Piegādātāju paziņošanas termiņiem jābūt īsākiem par jūsu pašu regulatīvajiem termiņiem.
8. Mācības ar pulksteni. Vismaz reizi gadā izspēlējiet scenāriju, kas iedarbina visus trīs aktus, un mēriet faktisko laiku līdz katram ziņojumam.

Ja vēlaties šo procesu izveidot vai pārbaudīt kopā ar speciālistiem, kas pārzina gan NKDL, gan DORA prasības, OffSeq NIS2 un DORA atbilstības komanda var palīdzēt saskaņot klasifikācijas kritērijus, veidnes un lomas. Pārējos pārklājumus starp ES aktiem apkopo pārklājumu matrica, bet katra akta statusu – aktu katalogs.

Kas var mainīties: vienotais ieejas punkts

Komisijas digitālā Omnibus paketes priekšlikums (COM(2025) 837, 2025. gada 19. novembris) paredz NIS2 jaunu 23.a pantu ar vienotu ieejas punktu incidentu ziņošanai, ko izmantotu arī VDAR, DORA, eIDAS un CER ziņojumiem. Priekšlikums arī mainītu VDAR 33. pantu: būtu jāziņo tikai par pārkāpumiem, kas varētu radīt augstu risku, un termiņš būtu 96 stundas. Tas joprojām ir tikai priekšlikums – Eiropas Parlamentā tas gaida komitejas lēmumu. Līdz pieņemšanai spēkā ir šajā ceļvedī aprakstītie termiņi. Paralēli tiek apspriests NIS2 mērķtiecīgu grozījumu priekšlikums, ko aprakstām NIS2 grozījumu ceļvedī.

Kas jādara tagad

1. Uzrakstiet vienā lapā, kuri akti attiecas uz jūsu organizāciju un kādā lomā: NKDL subjekts, DORA finanšu vienība, DORA IKT piegādātājs, VDAR pārzinis vai apstrādātājs. Ja nav skaidrs, sāciet ar regulējuma navigatoru.
2. Apvienojiet incidentu procedūras vienā dokumentā ar trim klasifikācijas jautājumiem un divu laika zīmogu prasību.
3. Pārbaudiet piegādātāju līgumos paziņošanas termiņus pret saviem regulatīvajiem termiņiem.
4. Sagatavojiet veidnes un kontaktus visiem saņēmējiem: CERT.LV, SAB (ja attiecas), Latvijas Banka, DVI.
5. Izspēlējiet kopīgu scenāriju un fiksējiet, cik ilgā laikā tika sasniegts katrs termiņš.

Pamatus par katru aktu atsevišķi skatiet ceļvežos par NIS2 direktīvu un DORA regulu Latvijā. Šis ceļvedis sniedz informāciju, nevis juridisku konsultāciju.