NIS2 grozījumi: priekšlikums COM(2026) 13 un tā statuss

Kas ir COM(2026) 13

Priekšlikuma pilnais latviskais nosaukums ir “Priekšlikums Eiropas Parlamenta un Padomes direktīva, ar ko groza Direktīvu (ES) 2022/2555 saistībā ar vienkāršošanas pasākumiem un salāgošanu ar [priekšlikumu 2. kiberdrošības aktam]”. Dokuments ir datēts 2026. gada 20. janvārī Strasbūrā, un tā pilns teksts latviski ir EUR-Lex. Parlamenta observatorijā kā publicēšanas datums norādīts 14. janvāris; mēs izmantojam dokumenta datumu.

Priekšlikums ir daļa no kiberdrošības paketes. Galvenais tās elements ir 2. kiberdrošības akts, COM(2026) 11, kas atceltu Regulu (ES) 2019/881 un pārveidotu ENISA mandātu un ES sertifikācijas satvaru. NIS2 grozījumi ir mazāki un tehniskāki. Komisija tos pamato ar ieviešanas problēmām: neskaidrības tvērumā, atšķirīgas valstu prasības un apgrūtinošu pārrobežu uzraudzību. Iniciatīva ir daļa no REFIT programmas.

Pašas NIS2 struktūru priekšlikums nemaina. Būtisko un svarīgo vienību dalījums, 21. panta pasākumi un 23. panta ziņošanas termiņi paliek. Kā direktīva darbojas šobrīd, skaidrojam ceļvedī NIS2 direktīva latviski.

Mazie vidējas kapitalizācijas uzņēmumi

Lielākā praktiskā izmaiņa ir jauna lieluma kategorija. Priekšlikums NIS2 6. pantā pievieno definīciju: “mazs vidējas kapitalizācijas uzņēmums” ir uzņēmums, kas definēts Komisijas Ieteikumā (ES) 2025/1099. Ieteikuma pielikuma 2. pants nosaka, ka šajā kategorijā ietilpst uzņēmumi, kuri nav MVU, nodarbina mazāk nekā 750 personu un kuru gada apgrozījums nepārsniedz 150 miljonus eiro vai gada bilances kopsumma nepārsniedz 129 miljonus eiro.

Pašlaik I pielikuma vienība kļūst par būtisku, tiklīdz tā pārsniedz vidējā uzņēmuma robežvērtības. Priekšlikums groza 3. panta 1. punkta a) apakšpunktu: būtiskas būtu tikai tās I pielikuma vienības, kas pārsniedz mazo vidējas kapitalizācijas uzņēmumu robežvērtības. Apsvērumā teikts, ka I pielikuma vienības, kas ir mazi vidējas kapitalizācijas uzņēmumi, “pēc vispārīgā noteikuma” jāuzskata par svarīgām vienībām.

I pielikuma vienību kategorija pēc lieluma: spēkā esošā redakcija un priekšlikums

Uzņēmuma lielums	Spēkā esošā NIS2	Pēc COM(2026) 13
Mikrouzņēmums vai mazs uzņēmums	Ārpus tvēruma, ja nav izņēmuma	Bez izmaiņām
Vidējs uzņēmums	Svarīgā vienība	Svarīgā vienība
Mazs vidējas kapitalizācijas uzņēmums (līdz 749 darbiniekiem, apgrozījums līdz 150 milj. EUR vai bilance līdz 129 milj. EUR)	Būtiskā vienība	Svarīgā vienība
Lielāks uzņēmums	Būtiskā vienība	Būtiskā vienība

Piemērs. Siltumenerģijas uzņēmumam ir 420 darbinieku, apgrozījums 90 miljoni eiro, un tas neietilpst lielākā grupā. Šodien tas pārsniedz vidējā uzņēmuma robežvērtības un ir būtiskā vienība. Pēc priekšlikuma tas būtu mazs vidējas kapitalizācijas uzņēmums un pēc noklusējuma svarīgā vienība. 21. panta pasākumi un ziņošana paliktu tādi paši. Mainītos uzraudzība: ex post, nevis proaktīvas revīzijas, kā arī zemāki maksimālie sodi.

Divi brīdinājumi. Pirmkārt, lielumu arī turpmāk skaitītu ar partneruzņēmumiem un saistītajiem uzņēmumiem, un ieteikumā 2025/1099 ir savi grupu noteikumi. Otrkārt, svarīgā vienība nav “vieglā versija”: pienākumi ir tie paši, atšķiras tikai uzraudzības režīms.

Tvēruma precizējumi pielikumos

Priekšlikums vairākās vietās sašaurina vai precizē vienību veidus. Pielikumu grozījumi un 2. panta izmaiņas paredz:

• DNS pakalpojumu sniedzēji vairs nebūtu tvērumā neatkarīgi no lieluma: tiem piemērotu vispārīgo lieluma noteikumu, tāpēc mikro un mazie sniedzēji izkristu. TLD reģistri paliktu tvērumā neatkarīgi no lieluma.
• Elektroenerģijas ražotāji: izslēgti ražotāji, kuru kopējā ražošanas jauda nepārsniedz 1 MW. Skaita arī vairāku iekārtu kopējo jaudu.
• Ūdeņradis: ražotāji komerciāliem nolūkiem, glabātavu operatori un pārvades tīklu operatori, ar atsauci uz Direktīvu (ES) 2024/1788.
• Veselības aprūpes sniedzēji: izslēgti pakalpojumi, uz kuriem Direktīva 2011/24/ES neattiecas pēc tās 1. panta 3. punkta a) apakšpunkta.
• Ķimikālijas: II pielikuma 3. punkts kļūtu par “ķimikāliju izgatavošanu un ražošanu”, un tvērumu noteiktu REACH regulas reģistrācijas vai paziņošanas pienākums. Izplatītāji kā atsevišķs veids vairs nebūtu minēti.
• Intelektiskās transporta sistēmas: precizēta atsauce uz Direktīvas 2010/40/ES definīciju.

Tvērums arī paplašinātos. Eiropas digitālās identitātes maku un Eiropas uzņēmumu maku nodrošinātāji kļūtu par būtiskām vienībām neatkarīgi no lieluma. Digitālajā infrastruktūrā tiktu pievienoti zemūdens datu pārraides infrastruktūras operatori, ja tie nav aptverti citā vienības veidā. Jauns 3.a punkts aptvertu stratēģiskas divējāda lietojuma infrastruktūras īpašniekus un operatorus, kas identificēti saskaņā ar vēl nepieņemtu militārās mobilitātes regulu. Aviopārvadātājiem jurisdikciju noteiktu licenci izsniegusī dalībvalsts.

Risku pārvaldība: maksimālā saskaņošana

Šobrīd valsts drīkst prasīt vairāk nekā direktīva. Priekšlikums ievieš izņēmumu no šī principa. Ja Komisija ar 21. panta 5. punkta īstenošanas aktu noteikusi tehniskās, metodiskās vai nozares prasības, dalībvalstis šīm vienībām papildu prasības noteikt nedrīkstētu. Komisijai regulāri jāvērtē, vai šādi akti vajadzīgi vēl citām nozarēm, īpaši pārrobežu nozarēm.

Praktiski tas skartu tos, uz kuriem jau attiecas Īstenošanas regula (ES) 2024/2690: mākoņpakalpojumu, datu centru, pārvaldīto pakalpojumu un pārvaldīto drošības pakalpojumu sniedzējus un citus digitālās infrastruktūras sniedzējus. Viņiem ES līmeņa prasības kļūtu par griestiem.

Apsvērumi atzīst arī problēmu ar piegādātāju anketām. Tvērumā esošie klienti piegādātājiem sūta daudz dažādu drošības anketu. Komisijai būtu jāizdod pamatnostādnes par šādu pieprasījumu detalizāciju, struktūru un formātu, lai pienākumi netiktu nepamatoti pārnesti uz piegādātājiem ārpus tvēruma.

Jauni dati par izspiedējvīrusu uzbrukumiem

Priekšlikums 23. pantam pievieno 12. un 13. punktu. Kad Komisija pieņems īstenošanas aktu par ziņojumu saturu, tam būs jāprasa informācija: vai vienība konstatējusi izspiedējvīrusa uzbrukumu, kāds bija uzbrukuma vektors un vai ieviesti riska mazināšanas pasākumi.

Ja būtisku incidentu izraisījis izspiedējvīruss, vienībai pēc CSIRT vai iestādes pieprasījuma, pa tās nodrošinātu kanālu, būtu jāpaziņo, vai saņemta izpirkuma prasība un no kā, vai izpirkums samaksāts, kādā apmērā, ar kādu maksāšanas līdzekli un kam. Apsvērumi uzsver, ka ziņošana nedrīkst radīt papildu pienākumus. Valstīm, ciktāl to atļauj nacionālās tiesības, jārisina ar ziņošanu saistītais atbildības risks.

Kiberstāvokļa sertifikāts un ENISA loma

Saistībā ar 2. kiberdrošības aktu NIS2 24. pantā tiktu pievienota iespēja apliecināt 21. panta izpildi ar kiberstāvokļa sertifikātu (certificate on the cyber posture) pēc ES sertifikācijas shēmas. Dalībvalsts to varētu pieprasīt. Ja sertifikāts apliecina atbilstību īstenošanas aktam vai nacionālajām 21. panta prasībām, iestāde vienībai nenoteiktu papildu mērķtiecīgas drošības revīzijas par sertifikāta aptvertajām prasībām. Atbildība par direktīvas ievērošanu paliktu pašai vienībai. Šādas shēmas vēl nav, jo 2. kiberdrošības akts ir tikai priekšlikums; sertifikācijas pusi skaidrojam ceļvedī Kiberdrošības akts un ES sertifikācija.

ENISA kļūtu par vienību reģistra uzturētāju visā ES (27. panta jaunā redakcija). Valstu vienotie kontaktpunkti tai pārsūtītu no vienībām saņemto informāciju. Jaunais 37.a pants uzdotu ENISA analizēt pārrobežu riskus vienībām, kas darbojas vairākās valstīs, ieteikt kopīgas uzraudzības grupas un pēc iestāžu lūguma piedalīties kopīgās uzraudzības darbībās. ENISA kļūtu arī par CSIRT tīkla locekli.

Dalībvalstīm valsts stratēģijā būtu jāiekļauj politika pārejai uz postkvantu kriptogrāfiju. Apsvērumos minēti sadarbības grupas ceļveža mērķi: kritiskajiem lietojumiem pāreja līdz 2030. gadam, vidēja un zema līmeņa lietojumiem – līdz 2035. gadam. Šis pienākums attiektos uz valstīm, nevis tieši uz uzņēmumiem.

Likumdošanas process un iespējamie termiņi

Priekšlikumu izskata parastajā likumdošanas procedūrā. Saskaņā ar Parlamenta likumdošanas observatoriju atbildīgā komiteja ir ITRE, referente – Markéta Gregorová (Zaļie/EBA), iecelta 2026. gada 26. februārī. Komitejas nodošana paziņota plenārsēdē 25. martā. IMCO komiteja sniegs atzinumu, LIBE nolēma atzinumu nesniegt. Francijas Senāts 1. jūnijā iesniedza argumentētu atzinumu par subsidiaritāti.

COM(2026) 13: notikumi līdz 2026. gada 23. oktobrim

Datums	Notikums
20.01.2026	Komisija publicē priekšlikumu kopā ar 2. kiberdrošības akta projektu COM(2026) 11
26.02.2026	ITRE ieceļ referenti
25.03.2026	Komitejas nodošana paziņota Parlamentā (1. lasījums)
01.06.2026	Francijas Senāta argumentētais atzinums
24.09.2026	ITRE ziņojuma projekts PE792.221
13.10.2026	Komitejā iesniegti grozījumi PE796.471
Nākamais solis	ITRE balsojums, Padomes vispārējā pieeja, trialogi – datumi nav oficiāli publicēti

Priekšlikuma 2. pants paredz pārņemšanu 12 mēnešu laikā pēc grozošās direktīvas stāšanās spēkā un piemērošanu no nākamās dienas. Direktīva stātos spēkā 20. dienā pēc publicēšanas OV. Tātad pat ātras vienošanās gadījumā uzņēmumu statuss mainītos tikai pēc nacionālo likumu grozījumiem. Konkrētu gadu mēs neprognozējam, jo trialogu ilgums nav zināms.

Priekšlikums ir saistīts arī ar digitālā Omnibus paketi COM(2025) 837, kas ierosina ENISA vienoto ieejas punktu incidentu ziņošanai pēc vairākiem aktiem. Arī tā ir tikai priekšlikums; pieņemts ir tikai atsevišķais MI priekšlikums COM(2025) 836 – tagad Regula (ES) 2026/1744. ES līmeņa termiņus, kas jau ir spēkā, apkopo sākumlapas laika līnija.

Ko tas nozīmētu Latvijā

Latvija NIS2 pārņēma ar Nacionālās kiberdrošības likumu. Tajā lielos uzņēmumus nosaka ar apgrozījumu virs 50 miljoniem eiro vai bilances kopsummu virs 43 miljoniem eiro. Ja grozījumus pieņems, Saeimai likums būs jāgroza, lai mazos vidējas kapitalizācijas uzņēmumus no būtisko pakalpojumu sniedzējiem pārceltu uz svarīgo pakalpojumu sniedzējiem. Līdz tam būtisko pakalpojumu sniedzēja statuss un ar to saistītie pienākumi paliek spēkā.

Priekšlikums arī negroza nacionālos papildu kritērijus. Piemēram, Latvijas likuma noteikums par valsts drošībai nozīmīgiem uzņēmumiem, nodibinājumiem un biedrībām ir spēkā kopš 2026. gada 1. oktobra un ar ES grozījumiem nav saistīts.

Ko darīt tagad

1. Neatlieciet pašreizējo pienākumu izpildi priekšlikuma dēļ. Kategorija ietekmē uzraudzību, nevis 21. un 23. panta pienākumus.
2. Aprēķiniet savu lielumu arī pēc Ieteikuma 2025/1099 robežvērtībām, lai zinātu, vai jūs skartu jaunā kategorija.
3. Ja esat DNS sniedzējs, elektroenerģijas ražotājs līdz 1 MW, ķimikāliju izplatītājs vai veselības aprūpes sniedzējs, atzīmējiet iespējamo tvēruma maiņu un sekojiet nacionālajam likumprojektam.
4. Sagatavojiet incidentu procesu ziņošanai par izspiedējvīrusiem: uzbrukuma vektors, riska mazināšanas pasākumi un informācija par izpirkuma prasību vienuviet.
5. Ja darbojaties vairākās valstīs, sekojiet 2. kiberdrošības aktam: kiberstāvokļa sertifikāts varētu samazināt atkārtotas revīzijas.

Ja vēlaties gatavības novērtējumu, kas pielāgojams izmaiņām, OffSeq piedāvā NIS2 atbilstības trūkumu analīzi ar prioritizētu darbu plānu. Kā šie un citi akti pārklājas, parāda sākumlapas pārklājumu matrica.