Anotācija (ex-ante)

Likumprojektā aktualizēti Aizsardzības ministrijas un Latvijas Universitātes Matemātikas un informātikas institūta struktūrvienības (turpmāk – CERT.LV) uzdevumi un tiesības kontekstā ar jaunizveidojamo Nacionālo kiberdrošības centru.
Likumprojektā iekļautas NIS2 direktīvā noteiktos pasākumus kiberdrošības veicināšanai attiecībā uz būtisko un svarīgo pakalpojumu sniedzēju uzraudzību, nacionālo rīcībpolitiku kiberdrošības jomā (nacionālo kiberdrošības stratēģiju, kiberkrīžu pārvaldību) un rīcību informācijas tehnoloģiju drošības incidentu gadījumā.
Likumprojektā ietverts deleģējums datu koplietošanas centru drošības prasību definēšanai, izstrādājot atsevišķus MK noteikumus.
Likumprojektā no jauna iekļauti deleģējumi arī vienotā valsts interneta apmaiņas punkta (GLV-IX) pakalpojumu saņemšanai, valsts informācijas tehnoloģiju infrastruktūras un interneta resursu aizsardzībai pret pakalpojumatteices uzbrukumiem, kā arī instrukcijas izstrādei par pievienošanos publiskam atribūcijas paziņojumam vai par tā iniciēšanu.

Likumprojekts izstrādāts uz Informācijas tehnoloģiju drošības likuma bāzes, aktualizējot un precizējot normas, kā arī papildinot ar jaunām saistībām, kas izriet no Eiropas Savienības tiesību aktiem.

Likumprojektā paredzēta Nacionālā kiberdrošības centra izveide (5. pants), kā arī izklāstīti Aizsardzības ministrijas un CERT.LV uzdevumi un tiesības kontekstā ar jaunizveidojamo  Nacionālo kiberdrošības centru (5., 6. un 7. pants), nosakot veicamos uzdevumus, sadarbības ietvarus un tiesības.

Atšķirībā no spēkā esošā Informācijas tehnoloģiju drošības likuma, Likumprojektā pilnveidots vienību loks, uz ko attiecināmas specifiskas informācijas drošības prasības, aizstājot pamata pakalpojumu un digitālo pakalpojumu sniedzēju subjektu kopumu ar būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju kopumu. Būtisko un svarīgo pakalpojumu sniedzēji definēti Likumprojekta 15. un 16. pantā. Būtisko un svarīgo pakalpojumu sniedzējiem ir noteiktas prasības rīcībai informācijas tehnoloģiju drošības incidenta gadījumā.

Ņemot vērā, ka Nacionālajam kiberdrošības centram būs uzraugošas funkcijas pār būtisko un svarīgo pakalpojumu sniedzējiem, Likumprojektā noteiktas prasības šo pakalpojumu sniedzējiem, kā arī tiesības Aizsardzības ministrijai noteikt sankcijas to neizpildes gadījumā – tiesības izdot administratīvu aktu (7. panta 3.apakšpunktā). Detalizēta administratīvo aktu noteikšanas kārtība tiks iestrādāta saistītos Ministru kabineta noteikumos.

Likumprojekta 40. pantā noteikti personas datu apstrādes kritēriji, kas saistīti ar notikušu vai potenciālu kiberincidentu novēršanu, analīzi kontekstā ar citiem kiberincidentiem, sadarbību ar nacionālajiem un starptautiskajiem partneriem kiberincidentu novēršanā, kā arī iespējamu kiberincidentu novēršanas institūciju sadarbību ar Latvijas Republikas Zemessardzi.

Lai nodrošinātu Likumprojekta subjektu atbilstību informācijas un komunikācijas tehnoloģiju sistēmu atbilstību minimālajām drošības prasībām, tā 23. pantā iestrādātas pamata prasības kiberdrošības pārvaldībai, apmācībām, kā arī atbildībai, konstatējot ievainojamību, nepilnību vai notiekošu kiberincidentu. Kā jauninājums Likumprojekta 25. pantā ietverta valsts un pašvaldību iesaiste koordinētā ievainojamību atklāšanas procesā nolūkā veicināt šo institūciju kiberdrošību un izpratni. Likumprojekta 18. pantā noteikts, ka valsts un pašvaldību institūciju informācijas sistēmas uztur Ministru kabinetam noteiktām prasībām atbilstošos datu centros, tādējādi ietverot deleģējumu datu koplietošanas centru drošības prasību definēšanai, izstrādājot atsevišķus Ministru kabineta noteikumus. Savukārt Likumprojekta 31. pantā noteikta informācijas tehnoloģiju kritiskās infrastruktūras aizsardzības pamatpasākumi, ko detalizēti atrunā Ministru kabineta noteikumos. Likumprojekta 21. panta pirmajā daļā noteikti elektronisko sakaru komersantu pienākumi.

Likumprojekta 13. pants nosaka kārtību kādā izveido Nacionālo informācijas tehnoloģiju drošības padomi.

Likumprojektā iekļautas NIS2 direktīvas noteiktās prasības un pasākumi kiberdrošības veicināšanai attiecībā uz būtisko un svarīgo pakalpojumu sniedzēju uzraudzību, nacionālo rīcībpolitiku kiberdrošības jomā (nacionālo kiberdrošības stratēģiju, kiberkrīžu pārvaldību) un rīcību informācijas tehnoloģiju drošības incidentu gadījumā, papildinot nacionāli noteiktās prasības. Likumprojekta 36. pantā noteikta kārtība liela mēroga informācijas tehnoloģiju drošības incidentu un krīžu vadībai, nosakot atbildības sadalījumu, sadarbības ietvarus un gatavības veicināšanas pasākumus (apmācības, izspēles, kiberincidentu krīzes vadības plāna sagatavošanu). Likumprojekta 38. pants paredz rīcībpolitikas dokumenta – Nacionālās kiberdrošības stratēģijas – izstrādi, ietverot kiberdrošības pārvaldības stratēģiskos mērķus un modeli, tās īstenošanai nepieciešamos resursus, saistītos rīcībpolitikas dokumentus, kiberdrošības pārvaldībā iesaistīto valsts pārvaldes iestāžu lomu sadalījumu, kā arī sadarbības mehānismus (gan nacionāli, gan starptautiski). Lai nodrošinātu Nacionālajā kiberdrošības stratēģijā noteikto uzdevumu izpildi, kā jauninājums 38. panta 5. daļā ietverta prasība regulāri informēt Nacionālo informācijas tehnoloģiju drošības padomi par to izpildes statusu.

Likumprojektā no jauna iekļauti deleģējumi arī vienotā valsts interneta apmaiņas punkta (GLV-IX) pakalpojumu saņemšanai, valsts informācijas tehnoloģiju infrastruktūras un interneta resursu aizsardzībai pret pakalpojumatteices uzbrukumiem, kā arī instrukcijas izstrādei par pievienošanos publiskam atribūcijas paziņojumam vai par tā iniciēšanu. Likumprojekta 30. pantā noteikta kārtība, kādā lemj par valsts informācijas tehnoloģiju infrastruktūras un interneta resursu aizsardzību pret pakalpojumatteices uzbrukumiem un aizsardzības pakalpojumu saņemšanu. Likumprojekta 39. pantā noteikta kārtība vienotā valsts interneta apmaiņas punkta (GLV-IX) pakalpojumu saņemšanai, kur paredzēta saistītu Ministru kabineta noteikumu izstrāde pakalpojumu saņemšanas kārtības un pakalpojumu saņēmēju (subjektu) noteikšanai. Likumprojekta 35. pantā ietvertas tiesības Ministru kabinetam noteikt kārtību par pievienošanos publiskam atribūcijas paziņojumam vai par tā iniciēšanu, kas ļaus atvieglot un pilnveidot paziņojumu saskaņošanu un izplatīšanu, ņemot vērā gan kiberincidentu skaita pieaugošo tendenci, gan starptautisko organizāciju un sabiedroto valstu arvien aktīvāku atribūcijas paziņojumu izplatīšanu.
 

-