Anotācija

Pakalpojumatteices uzbrukumu gadījumā tiek traucēta pakalpojumu pieejamība, tādējādi diskreditējot institūcijas tēlu un graujot iedzīvotāju uzticību pakalpojuma nodrošinātājam. Viens no uzbrukumu mērķiem ir uzmanības pievēršana, kā arī dezinformācijas naratīvu izplatīšana. Tā kā politiskā motivācija tiek uzskatīta par izplatītāko pakalpojumatteices kiberuzbrukumu iemeslu, kā arī ņemot vērā to, ka ar tehnoloģiju attīstību pakalpojumatteices kiberuzbrukumu īstenošana ir kļuvusi vieglāka un lētāka, valsts un pašvaldību iestādēm, kā arī kritiskās infrastruktūras turētājiem nepieciešams veikt preventīvas darbības  šādu uzbrukumu novēršanai.

Līdz ar pieaugošo IKT izmantošanu to nelikumīga izmantošana, bojāšana, paralizēšana vai iznīcināšana var radīt draudus valsts un sabiedrības drošībai, sabiedriskajai kārtībai un ekonomiskajai darbībai, kā arī kavēt valsts ekonomikas tālāku izaugsmi. Pēc Eiropas Savienības Kiberdrošības aģentūras (ENISA) publikācijas datiem 2023. gadā 46% no pakalpojumatteices kiberuzbrukumiem Eiropas Savienībā bija mērķēti uz valsts pārvaldes sektoru un 66% no visiem uzbrukumiem bija politiski motivēti. Problēmas aktualitāte ir augsta arī Latvijā, par ko liecina uzbrukumu apjoma palielināšanās pret valsts IKT infrastruktūras resursiem jau no 2021. gada.
 

Ņemot vērā iepriekš minēto problēmu, balstoties uz Satiksmes ministrijas 2014. gada 7. oktobra informatīvo ziņojumu “Par nepieciešamo rīcību, lai aizsargātu valsts informācijas un komunikācijas tehnoloģiju infrastruktūru no pakalpojumatteices uzbrukumiem (DoS uzbrukumiem)” un protokollēmumu Nr.53, 47. §, kopš 2015. gada 1. jūlija Aizsardzības ministrija nodrošina pagaidu risinājumu - iespēju pieteikties valsts IKT infrastruktūras centralizētai aizsardzībai pret pakalpojumatteices uzbrukumiem, kas tiek segta no Aizsardzības ministrijas finansējuma.
Centralizētas aizsardzības pret pakalpojumatteices kiberuzbrukumiem mērķis ir nodrošināt centralizētu pamatlīmeņa aizsardzību pret pakalpojumatteices kiberuzbrukumiem valsts un pašvaldību iestādēm, tiešās pārvaldes iestādēm, informācijas un komunikācijas tehnoloģiju kritiskai infrastruktūrai, kā arī tādiem resursiem, kuru neplānots pieejamības pārtraukums, kas radies pakalpojumatteices kiberuzbrukuma rezultātā, var būtiski ietekmēt sabiedrības uzticību Latvijas valsts pārvaldei un likumīgajai varai vai būtiski ietekmēt drošības situāciju valstī, vai negatīvi ietekmēt valsts starptautisko reputāciju. Tāpat mērķis ir nodrošināt nozīmīgu pakalpojumu pieejamību pakalpojumatteices uzbrukumu laikā, lai novērstu un/vai mazinātu resursu nepieejamības laika posmu.
Lai esošajai problēmai tiktu nodrošināts pastāvīgs risinājums, atbilstoši Nacionālās kiberdrošības likuma 31. pantam, nepieciešams izdot Ministru kabineta noteikumus “Centralizētas aizsardzības pret pakalpojumatteices kiberuzbrukumiem noteikumi” (turpmāk – noteikumi). 
Noteikumi paredz, ka centralizētai aizsardzībai pret pakalpojumatteices uzbrukumiem  var pieteikties iestādes, organizācijas un uzņēmumi, kuri vai kuru resursi atbilst vismaz vienam no šādiem kritērijiem – Valsts tiešās un pastarpinātās pārvaldes iestādes, atvasinātas publiskas personas un citas valsts institūcijas, informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieki un tiesiskie valdītāji, kā arī būtisko pakalpojumu un svarīgo pakalpojumu sniedzēji, kuri ir valsts kapitālsabiedrības, kā arī tādas iestādes, organizācijas vai uzņēmumi, kuru pārvaldītā resursa neplānots pieejamības pārtraukums, kas radies pakalpojumatteices kiberuzbrukuma rezultātā, var būtiski ietekmēt sabiedrības uzticību Latvijas valsts pārvaldei un likumīgajai varai vai būtiski ietekmēt drošības situāciju valstī, vai negatīvi ietekmēt valsts starptautisko reputāciju. Lai izvērtētu pieteikto resursu atbilstību noteiktajiem kritērijiem un atbilstošo normatīvo aktu prasībām, ir izveidota starpinstitūciju komisija, kuras uzdevums ir izvērtēt saņemtos aizsardzības pieprasījumus. Šo komisiju ir izveidojis Nacionālais kiberdrošības centrs, tajā iekļaujot valsts drošības iestāžu pārstāvjus.
Noteikumi nosaka kārtību, kādā notiek pieteikumu izvērtēšana un apstiprināšana centralizētai aizsardzībai pret pakalpojumatteices uzbrukumiem. Noteikumu 2. un 3. punkts skaidro to, ka centralizēto aizsardzību pret pakalpojumatteices uzbrukumiem nodrošina Nacionālais kiberdrošības centrs. Nacionālais kiberdrošības centrs savukārt nosaka pakalpojuma sniedzēju, balstoties uz Satiksmes ministrijas 2014. gada 7. oktobra informatīvo ziņojumu “Par nepieciešamo rīcību, lai aizsargātu valsts informācijas un komunikācijas tehnoloģiju infrastruktūru no pakalpojumatteices uzbrukumiem (DoS) uzbrukumiem)” un protokollēmumu Nr.53, 47. §.
4. punktā ir noteiktas prasības centralizētai informācijas un komunikācijas tehnoloģiju infrastruktūras un interneta aizsardzībai pret pakalpojumatteices kiberuzbrukumiem, tādējādi definējot pakalpojumu, kas tiek sniegts šo noteikumu ietvarā. Pakalpojuma sniedzējam ir jānodrošina specializētie tehniskie aizsardzības risinājumi pret pakalpojumatteices uzbrukumiem, nodrošinot mērķsistēmas resursu izkliedētā pakalpojumatteices uzbrukumu novēršanas pakalpojumus, lai nodrošinātu mērķsistēmu resursu pieejamību, datu integritāti un datu drošību, tādējādi nodrošinot pamatlīmeņa aizsardzību pret pakalpojumatteices kiberuzbrukumiem.
Minētā aizsardzība ir jānodrošina starpinstitūciju komisijas apstiprinātiem un pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu sarakstā iekļautajiem resursiem. Lai nodrošinātu pakalpojuma kvalitātes un situācijas uzraudzības iespēju, pakalpojuma sniedzējam nekavējoties pēc uzbrukuma konstatēšanas ir jānodrošina pakalpojuma saņēmēja informēšana par pakalpojumatteices kiberuzbrukumiem, kas ir veikti pret pakalpojuma saņēmēja informācijas un komunikācijas tehnoloģiju resursiem.
Noteikumu turpinājumā ir noteikta kārtība pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu izvērtēšanai, apstiprināšanai un iekļaušanai pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu sarakstā. Tiek norādīts, ka centralizētai aizsardzībai pret pakalpojumatteices uzbrukumiem var pieteikties iestādes, organizācijas un uzņēmumi, kuri vai kuru resursi atbilst vismaz vienam no, šādiem kritērijiem – Valsts tiešās un pastarpinātās pārvaldes iestādes, atvasinātas publiskas personas un citas valsts institūcijas, informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieki un tiesiskie valdītāji, būtisko pakalpojumu un svarīgo pakalpojumu sniedzēji, kuri ir valsts kapitālsabiedrības, kā arī tādas iestādes uzņēmumi vai organizācijas, kuru pārvaldītā resursa neplānots pieejamības pārtraukums, kas radies pakalpojumatteices kiberuzbrukuma rezultātā, var būtiski ietekmēt sabiedrības uzticību Latvijas valsts pārvaldei un likumīgajai varai vai būtiski ietekmēt drošības situāciju valstī, vai negatīvi ietekmēt valsts starptautisko reputāciju-, iesniedzot pieteikumu Nacionālajam kiberdrošības centram. Informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieki un tiesiskie valdītāji ir iekļauti kritēriju sarakstā, ņemot vērā to, ka centralizētā aizsardzība pret pakalpojumatteices kiberuzbrukumiem nav noteikta kā obligāta prasība informācijas un komunikācijas tehnoloģiju kritiskajai infrastruktūrai, tomēr centralizētās aizsardzības pret pakalpojumatteices uzbrukumiem nodrošināšana ļautu uzlabot informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras resursu noturību, kā arī Latvijas kibertelpas noturību kopumā. Tāpat, ņemot vērā to, ka atbilstoši Nacionālās Kiberdrošības likuma 7. panta 1. punktam, informācijas un komunikācijas tehnoloģiju kritiskā infrastruktūra un tās īpašnieki un tiesiskie valdītāji ir Satversmes aizsardzības biroja uzraudzībā par Nacionālās kiberdrošības likumā noteikto pienākumu izpildi, bet Nacionālais kiberdrošības centrs nodrošina centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem, kā ir noteikts noteikumu projekta 2. punktā, tostarp sedzot pakalpojuma nodrošināšanu no Nacionālā Kiberdrošības centra (Aizsardzības ministrijas) budžeta līdzekļiem, Satversmes aizsardzības birojs ir daļa no starpinstitūciju komisijas, kas lemtu par pieteikto resursu pievienošanu pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu sarakstā, kā ir noteikts noteikumu projekta 7. punktā.
Iesniedzot pieteikumu centralizētai aizsardzībai pret pakalpojumatteices kiberuzbrukumiem, pieteicējam ir jāaizpilda noteikumu projekta pielikums, kurā ir nepieciešams norādīt šādu informāciju – pamatinformāciju par pieteikuma iesniedzēju (1. kontaktpersonu), pamatinformācija par 2. kontaktpersonu, kā arī informācija par aizsargājamo resursu, norādot IP adrešu diapazonu; pamatojumu centralizētas aizsardzības pret pakalpojumatteices uzbrukumiem nepieciešamībai; sekas, kas var rasties resursa nepieejamības rezultātā; alternatīvos punktus, kur ir pieejama resursā pieejamā informācija un/vai sniegtais pakalpojums; informāciju par pakalpojumatteices uzbrukumiem, kas ir novēroti pret resursu, kā arī informāciju par minēto uzbrukumu sekām (nepieejamības laiks u.c.); resursa izvietošanas vietu; resursa kiberdrošības pārvaldnieku, norādot vārdu, uzvārdu un kontaktinformāciju; resursa tiesisko valdītāju, norādot vārdu, uzvārdu un kontaktinformāciju; informāciju par veikto risku analīzi resursam, sniedzot risku analīzes dokumentāciju pielikumā; pievienot Nacionālās kiberdrošības likumā noteikto dokumentāciju, iekļaujot informāciju par atbilstību Nacionālās kiberdrošības likumam un minimālajām kiberdrošības prasībām; pievienot pielikumā kiberrisku pārvaldības un informācijas un komunikācijas tehnoloģiju darbības nepārtrauktības plānu; apliecinājumu, ka Nacionālais kiberdrošības centrs tiks informēts par neaktīviem resursiem un resursiem, kuriem vairs nav nepieciešams nodrošināt centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem. Norādot kontaktpersonas, būtu jānorāda viena kontaktpersona, kas ir atbildīga par saturiskajiem/līguma slēgšanas jautājumiem, savukārt otra kontaktpersona būtu jānorāda, kā kontaktpersona tehniskajos jautājumos. Pielikumā prasītā informācija ļaus efektīvāk izvērtēt pieteiktos resursus un ir nepieciešams pilnvērtīgi aizpildīt noteikumu projekta pielikumu, lai varētu apstiprināt resursa pievienošanu pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu sarakstā.
Pret pakalpojumatteices kiberuzbrukumiem aizsargājamos resursus izvērtē un apstiprina starpinstitūciju komisija, kurā piedalās Nacionālais kiberdrošības centrs, Valsts drošības iestāžu pārstāvji, kā to paredz noteikumu 7. punkts. Starpinstitūciju komisijas darbību, kā arī sekretariāta darbību nodrošina Nacionālais kiberdrošības centrs. Tāpat atbilstoši noteikumu 9. punktam, starpinstitūciju komisija var pieprasīt papildu informāciju no pieteikuma iesniedzēja, ja iesniegtā informācija nav pietiekama lēmuma pieņemšanai. Papildu informācijas pieprasīšana ļauj pārliecināties par pieteikuma iesniedzēja resursu atbilstību Nacionālās kiberdrošības likuma prasībām, minimālajām kiberdrošības prasībām, kā arī ļauj pārliecināties par pieteikto resursu potenciālo apdraudējumu un nepieciešamību tikt aizsargātiem pret pakalpojumatteices kiberuzbrukumiem. Noteikumu 10. punkts paredz, ka Nacionālais kiberdrošības centrs lemj par pieteikto resursu pievienošanu pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu sarakstā, pamatojoties uz starpinstitūciju komisijas lēmumu. Pēc lēmuma pieņemšanas Nacionālais kiberdrošības centrs informē pieteikuma iesniedzēju par pieņemto lēmumu, kā arī informē pakalpojuma sniedzēju par resursa pievienošanu pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu sarakstā.
Ja pieteiktais resurss neatbilst noteikumu 5. punktā minētajiem kritērijiem vai šo noteikumu pielikumā sniegtā informācija par resursa stāvokli ir nepilnīga vai neatbilst noteiktajiem kritērijiem, tad, atbilstoši noteikumu 12. punktam, pieteikuma iesniedzējam var atteikt resursa iekļaušanu pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu sarakstā. Minētie apstākļi var būt arī pamatojums pārtraukt nodrošināt centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem, izslēdzot resursu no pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu saraksta, pamatojoties uz starpinstitūciju komisijas vērtējumu, kā to paredz noteikumu 13. punkts. Pieteikuma iesniedzējs Nacionālā kiberdrošības centra lēmumu var apstrīdēt Nacionālās kiberdrošības likuma noteiktajā kārtībā.
Noteikumu 14. punkts paredz, ka pakalpojuma saņēmēju resursi, kuriem centralizēta aizsardzība pret pakalpojumatteices kiberuzbrukumiem tiek nodrošināta pirms šo noteikumu spēkā stāšanās, tiek iekļauti pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu sarakstā. Tomēr, ja pakalpojuma saņēmējs nevar nodrošināt atbilstību šo noteikumu 5. punktā minētajiem kritērijiem, vai atbilstību minimālajām kiberdrošības prasībām, tad, atbilstoši šo noteikumu 13. punktam, Nacionālais kiberdrošības centrs var lemt par resursu izslēgšanu no pret pakalpojumatteices kiberuzbrukumiem centralizēti aizsargājamo resursu saraksta, pamatojoties uz starpinstitūciju komisijas vērtējumu.