Anotācija

P1. Nepietiekami kritēriji informācijas sistēmu izvietošanai ārpus subjekta IKT infrastruktūras, tai skaitā datu apstrādes vietas pārredzamības un uzraudzības iespēju nodrošināšanai

Pašlaik nav vienotu drošības un juridisko prasību, kas subjektam jāievēro, izvietojot informācijas sistēmu vai tās daļu datu centrā ārpus subjekta IKT infrastruktūras.

Rezultātā informācijas sistēmas tiek izvietotas dažādos datu centros ar atšķirīgu drošības līmeni, bieži arī ārpus Latvijas teritorijas.

Sekas, ja problēma netiek risināta:
- valsts un citu NKDL subjektu informācijas sistēmas var tikt izvietotas datu centros ārvalstīs bez pietiekamas datu apstrādes vietas pārredzamības, auditējamības un Latvijas uzraugošo iestāžu pārbaudes iespējām;
- subjekti turpinās izvēlēties infrastruktūras, kas neatbilst noteiktam drošības līmenim, palielinot datu noplūdes un sabotāžas iespējas;
- netiks nostiprināta datu atrašanās vietas pārredzamība un valsts spēja reaģēt uz kiberapdraudējumiem;
- atšķirīgas pieejas ārējo pakalpojumu izmantošanai radīs nevienlīdzīgus drošības līmeņus dažādās valsts un pašvaldību iestādēs.

Noteikumu projekts nosaka vienotus drošības un juridiskos nosacījumus informācijas sistēmu izvietošanai datu centros, paredzot:
- vispārējās prasības datu centra atrašanās vietai un datu apstrādes vietai;
- īpašu kārtību A klases informācijas sistēmu izvietošanai datu centros, kuru atbilstība ir apliecināta saskaņā ar noteikumu projektu;
- papildu prasības gadījumiem, kad A klases informācijas sistēma tiek izvietota ārpus Latvijas Republikas teritorijas, nodrošinot, ka datu apstrādes vieta ir zināma, un Latvijas Republikā kompetentajām uzraudzības institūcijām ir tiesības veikt auditēšanu, uzraudzību un pārbaudes;
- speciālās prasības IKT kritiskās infrastruktūras īpašnieku vai tiesisko valdītāju informācijas sistēmu izvietošanai datu centros;
- izņēmumus ārkārtas situācijām un rezerves kopiju uzturēšanai.

Risinājums ietverts noteikumu projekta 2. nodaļā.

Noteikumu projekts paredz, ka no noteikumu spēkā stāšanās dienas subjekts neuzsāk jaunu A klases informācijas sistēmas vai tās daļas izvietošanu, kas neatbilst noteikumu prasībām, izņemot noteikumos paredzētos izņēmuma gadījumus.

Par A klases informācijas sistēmām vai to daļām, kas datu centrā izvietotas līdz noteikumu spēkā stāšanās dienai, subjekts līdz 2026. gada 31. decembrim informē attiecīgo datu centra operatoru, ja datu centra operators nav pats subjekts, un Satversmes aizsardzības biroju, ja subjekts ir informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs.

Ja līdz noteikumu spēkā stāšanās dienai esošā izvietošana neatbilst noteikumu prasībām, subjekts var to turpināt līdz 2027. gada 31. decembrim, ja tiek nodrošināta ar izvietošanu saistīto risku pārvaldība un līdz 2026. gada 31. decembrim sagatavots atbilstības nodrošināšanas plāns. Pēc minētā termiņa neatbilstoša izvietošana nav turpināma.

P2. Nav vienotas kārtības, kā apliecināt datu centra atbilstību drošības prasībām

Latvijā līdz šim nav vienotas normatīvas kārtības, kādā apliecina datu centra atbilstību drošības un pārvaldības prasībām, ja A klases informācijas sistēma vai tās daļa tiek izvietota datu centrā ārpus subjekta IKT infrastruktūras vai ja IKT kritiskās infrastruktūras īpašnieka vai tiesiskā valdītāja informācijas sistēma tiek izvietota tā īpašumā vai tiesiskajā valdījumā esošā datu centrā.

Datu centru operatori var sniegt datu centra pakalpojumus bez vienotas atbilstības apliecināšanas kārtības, savukārt subjektiem nav pietiekami skaidru kritēriju, pēc kuriem pārliecināties par izvēlētā datu centra atbilstību attiecīgās informācijas sistēmas izvietošanai.

Sekas, ja problēma netiek risināta:
- datu centru drošības līmenis saglabāsies neviendabīgs;
- subjektiem būs apgrūtināti izvērtēt, vai datu centrs ir piemērots A klases informācijas sistēmas vai IKT kritiskās infrastruktūras informācijas sistēmas izvietošanai;
- uzraugošajām iestādēm būs ierobežotas iespējas izvērtēt datu centra atbilstību vai pieprasīt ārkārtas atbilstības auditu, ja pastāv pamatotas šaubas par datu centra atbilstību.

Noteikumu projekts nosaka datu centra atbilstības apliecināšanas un uzraudzības kārtību. Datu centra atbilstību šo noteikumu prasībām var apliecināt:
- ar datu centra auditora atzinumu, kas sagatavots, veicot datu centra atbilstības auditu saskaņā ar 1. pielikumu un noformēts atbilstoši 2. pielikumam;
- ar sertifikātu vai citu dokumentu, kas apliecina datu centra atbilstību kādam no 3. pielikumā minētajiem starptautiskās sertifikācijas modeļiem.

IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs nodrošina arī tā īpašumā vai tiesiskajā valdījumā esoša datu centra atbilstības apliecināšanu, ja attiecīgajā datu centrā tiek izvietota informācijas sistēma, kurai piemērojamas noteikumu projekta 2.3. apakšnodaļas prasības.

Minētā prasība nav attiecināma uz A klases informācijas sistēmu, kas nav IKT kritiskās infrastruktūras informācijas sistēma un kuru subjekts uztur savā IKT infrastruktūrā atbilstoši Nacionālās kiberdrošības likuma 30. panta pirmajai daļai.

Noteikumu projekta pārejas regulējums attiecas uz tādām A klases informācijas sistēmu vai to daļu esošām izvietošanām, kas līdz noteikumu spēkā stāšanās dienai ir īstenotas veidā, kas neatbilst noteikumu prasībām. Šādas izvietošanas, tai skaitā IK kritiskās infrastruktūras īpašnieka vai tiesiskā valdītāja īpašumā vai tiesiskajā valdījumā esošā datu centrā, var turpināt līdz 2027. gada 31. decembrim, ja subjekts nodrošina risku pārvaldību un līdz 2026. gada 31. decembrim sagatavo atbilstības nodrošināšanas plānu.

Pārejas regulējums paredzēts, lai subjekti kontrolēti izbeigtu neatbilstošas izvietošanas vai nodrošinātu to atbilstību noteikumu prasībām, vienlaikus neizraisot automātisku esošo informācijas sistēmu darbības pārtraukumu un dodot laiku nepieciešamo līgumu, starpiestāžu vienošanos, tehnisko risinājumu, budžeta un migrācijas pasākumu plānošanai.

Projekts paredz auditora kvalifikācijas prasības, atzinuma atjaunošanu ne retāk kā reizi divos gados, subjekta pienākumu informēt attiecīgo uzraugošo iestādi par datu centru, kurā izvietota tā informācijas sistēma vai tās daļa, datu centra operatora pienākumu informēt subjektu par atbilstību ietekmējošām situācijām, kā arī ārkārtas atbilstības audita pieprasīšanas iespēju.

Risinājums ietverts noteikumu projekta 3. nodaļā un 1.–3. pielikumā.

P3. Nepietiekama kiberdrošības uzraudzība un sadarbība starp subjektiem, datu centru operatoriem un kompetentajām institūcijām

Nacionālās kiberdrošības likums kompetentajai kiberincidentu novēršanas institūcijai paredz tiesības izveidot drošības operāciju centru, nodrošināt tā darbību, kā arī vākt, glabāt un elektroniski apstrādāt kiberapdraudējuma identificēšanai nepieciešamos datus.

CERT.LV jau nodrošina drošības operāciju centra pakalpojumu, kura ietvaros centralizēti apkopo un reāllaikā apstrādā drošības telemetriju no subjektu IKT infrastruktūras. Tomēr normatīvajā regulējumā nav pietiekami detalizēti noteikta kārtība, kādā subjekts un datu centra operators nodrošina kompetentajai kiberincidentu novēršanas institūcijai telemetrijas datu pieejamību par datu centros izvietotajām informācijas sistēmām.

Sekas, ja problēma netiek risināta:
- kompetentajai kiberincidentu novēršanas institūcijai var nebūt savlaicīgi pieejami kiberapdraudējumu identificēšanai nepieciešamie telemetrijas dati;
- telemetrijas dati var tikt saņemti atšķirīgā apjomā, formātā vai ar kavēšanos, ierobežojot iespēju korelēt drošības notikumus;
- tiek ierobežotas iespējas paplašināt drošības operāciju centra redzamību pār datu centros izvietotajām informācijas sistēmām;
- palielināsies risks, ka nozīmīgi incidenti tiks pamanīti ar novēlošanos vai netiks pienācīgi izmeklēti.

Noteikumu projekts paredz telemetrijas datu pieejamības un informācijas apmaiņas kārtību kiberincidentu novēršanas institūcijas drošības operāciju centra (CERT.LV SOC) darbības nodrošināšanai.

Regulējums paredz:
- subjekta pienākumu nodrošināt kompetentajai kiberincidentu novēršanas institūcijai piekļuvi telemetrijas datu pirmavotam;
- subjekta pienākumu, izmantojot datu apmaiņas un līgumiskos mehānismus, nodrošināt datu centra operatora apstrādātu telemetrijas datu pieejamību ne vēlāk kā vienu minūti pēc notikuma;
- datu centra operatora pienākumu pēc kompetentās kiberincidentu novēršanas institūcijas pieprasījuma nodrošināt telemetrijas datu pieejamību ne vēlāk kā vienu minūti pēc notikuma;
- informācijas apmaiņu ar Satversmes aizsardzības biroju gadījumos, kad CERT.LV SOC tiek izvietots IKT kritiskajā infrastruktūrā.

Piekļuve telemetrijas datu pirmavotam nav interpretējama kā tieša tehniska piekļuve katram sensoram, devējam, žurnālfailu avotam vai citam telemetrijas datu tehniskajam avotam. Piekļuvi var nodrošināt arī ar automatizētu uzraudzības, žurnālfailu savākšanas vai citu datu savākšanas risinājumu, ja tiek saglabāta telemetrijas datu izcelsmes izsekojamība un ir pieejami kiberapdraudējuma identificēšanai nepieciešamie dati.

Datu centra operatora apstrādāti telemetrijas dati ietver arī automatizēti savāktus, strukturētus, normalizētus, filtrētus vai apkopotus datus. Prasība nodrošināt šo datu pieejamību no pirmavota nozīmē, ka pēc datu centra operatora veiktās apstrādes dati tiek nodoti kiberincidentu novēršanas institūcijai bez cita starpnieka veiktas papildu filtrēšanas vai pārveidošanas.

Noteikumu projektā paredzētais telemetrijas datu regulējums pats par sevi nenozīmē, ka visiem subjektiem līdz ar noteikumu spēkā stāšanos nekavējoties jāuzstāda kompetentās kiberincidentu novēršanas institūcijas sensori, programmatūras aģenti vai citi telemetrijas datu savākšanas risinājumi.

Informācijas sistēmas iekļaušanu drošības operāciju centra uzraudzībā var ierosināt subjekts vai kompetentā kiberincidentu novēršanas institūcija. Faktisko pieslēgšanu veic pakāpeniski, ņemot vērā kiberapdraudējumu riskus, kompetentās institūcijas pieejamo finansējumu un tehnisko kapacitāti.

Pirms telemetrijas datu savākšanas risinājuma ieviešanas kompetentā kiberincidentu novēršanas institūcija un subjekts vienojas par tehnisko risinājumu, nododamo datu apjomu, piekļuves veidu, informācijas aizsardzības nosacījumiem un pušu atbildību, noslēdzot līgumu vai citu saistošu vienošanos.

CERT.LV drošības operāciju centra pakalpojumu subjektiem nodrošina bez maksas Nacionālajā kiberdrošības likumā noteikto funkciju un Aizsardzības ministrijai piešķirto valsts budžeta līdzekļu ietvaros. CERT.LV nodrošināto sensoru, programmatūras aģentu vai citu telemetrijas datu savākšanas risinājumu ieviešanas un uzturēšanas izmaksas uz subjektu netiek attiecinātas.

Risinājums ietverts noteikumu projekta 4. nodaļā.

Problēmas, kas saistītas ar noteikumos un to pielikumos ietverto prasību interpretāciju.
Šajā sadaļā sniegti skaidrojumi normu interpretācijai un jautājumiem, kas radušies noteikumu projekta izstrādes un saskaņošanas laikā.

Skaidrojums par jēdziena "informācijas sistēma" lietojumu.
Šajos noteikumos lietotais termins "informācijas sistēma" tiek lietots tādā pašā nozīmē kā Ministru kabineta 2025. gada 25. jūnija noteikumos Nr. 397 "Minimālās kiberdrošības prasības".
Noteikumu projektā netiek ieviests jauns jēdziens un tas netiek lietots atšķirīgā nozīmē, līdz ar to jēdziena atkārtota definēšana noteikumu tekstā nav nepieciešama.

Skaidrojums par "datu centra operators" jēdzienu
Datu centra operators šo noteikumu izpratnē ir publisko tiesību juridiska persona vai privāto tiesību juridiska persona, kuras īpašumā vai tiesiskajā valdījumā ir datu centrs un kura nodrošina datu centra izmantošanu informācijas sistēmas vai tās daļas izvietošanai.
Datu centra operatora jēdziens ir funkcionāls. Tas nav atkarīgs no tā, vai datu centrs tiek izmantots pašas personas informācijas sistēmu izvietošanai, ar attiecīgo personu saistītas organizācijas (piemēram, mātesuzņēmums un meitasuzņēmumi privātpersonu gadījumā vai padotības attiecības publisko personu gadījumā) informācijas sistēmu izvietošanai vai cita subjekta informācijas sistēmu izvietošanai. Tas nav atkarīgs arī no tā, vai datu centra izmantošana tiek nodrošināta komerciāla pakalpojuma, starpiestāžu vienošanās, resora iekšējā pārvaldības modeļa vai cita tiesiska pamata ietvaros.
Ja subjekta informācijas sistēma vai tās daļa tiek izvietota datu centrā, kuru pārvalda cita persona, subjektam un datu centra operatoram jānosaka atbildību sadalījums par šo noteikumu prasību izpildi atbilstoši katras puses faktiskajai kontroles zonai. Atbildību sadalījumu nosaka līgumā, starpiestāžu vienošanās dokumentā, iekšējā pārvaldības dokumentā vai citā subjektam un datu centra operatoram saistošā dokumentā.

Skaidrojums par subjekta IKT infrastruktūru
Par subjekta IKT infrastruktūru šo noteikumu izpratnē uzskata IKT infrastruktūru, kas atrodas subjekta īpašumā vai tiesiskajā valdījumā un kurā tiek izvietotas subjekta informācijas sistēmas. Ja datu centrs atrodas citas personas īpašumā vai tiesiskajā valdījumā un šī persona nodrošina tā izmantošanu informācijas sistēmas vai tās daļas izvietošanai, attiecīgā persona ir datu centra operators šo noteikumu izpratnē.

Skaidrojums par subjekta pienākumiem, izmantojot ārpus Latvijas Republikas teritorijas esošus datu centrus vai mākoņdatošanas pakalpojumus.
Šie noteikumi paredz prasības informācijas sistēmu izvietošanai datu centros arī tad, ja subjekts izmanto ārpus Latvijas Republikas teritorijas esošu datu centru vai mākoņdatošanas pakalpojumu. Subjekts nodrošina datu centra atrašanās vietas un datu apstrādes vietas atbilstību šo noteikumu prasībām, kā arī izvērtē ar ārpakalpojuma izmantošanu saistītos riskus un nodrošina normatīvajos aktos par minimālajām kiberdrošības prasībām noteikto ārpakalpojumu prasību izpildi.

Saskaņā ar Nacionālā kiberdrošības likuma 26., 34. un 45. pantu subjektam ir pienākums nodrošināt tā īpašumā vai valdījumā esošajām informācijas sistēmām un datiem atbilstošu aizsardzības līmeni, kā arī veikt nepieciešamos risku pārvaldības pasākumus un informēt kiberincidentu novēršanas institūcijas par kiberincidentiem. Likuma 45. pants paredz atbildību un sankcijas par šo pienākumu nepildīšanu.

Skaidrojums par rezerves kopiju izvietošanu
Noteikumu projekta 13.2. apakšpunkts paredz, ka šo noteikumu 8., 11. un 12. punkta prasības neattiecas uz A klases informācijas sistēmas rezerves kopiju izvietošanu, izņemot IKT kritiskās infrastruktūras īpašnieka vai tiesiskā valdītāja A klases informācijas sistēmas rezerves kopiju izvietošanu, ja rezerves kopijas izmanto tikai informācijas sistēmas darbības atjaunošanai vai izvietošanai primārā datu centra darbības traucējumu gadījumā, subjekts nodrošina to konfidencialitāti, integritāti un pieejamību atbilstoši informācijas sistēmai noteiktajai drošības klasei un Nacionālais kiberdrošības centrs ir informēts par rezerves kopiju izvietošanas vietu un piekļuves nosacījumiem.

IKT kritiskās infrastruktūras īpašnieka vai tiesiskā valdītāja informācijas sistēmas rezerves kopiju izvietošanai piemēro attiecīgās drošības klases informācijas sistēmai noteikumu projekta 2.3. apakšnodaļā noteiktās izvietošanas prasības.

Skaidrojums par teritoriālā nosacījuma piemērošanu informācijas sistēmu izvietošanai datu centros
Noteikumu projektā ietvertais vispārējais teritoriālais nosacījums par informācijas sistēmas vai tās daļas izvietošanu datu centrā, kas atrodas NATO, Eiropas Savienības, EBTA dalībvalstī vai NATO IP4 valstu teritorijā, ir piemērojams kā informācijas sistēmu izvietošanas pamatprasība neatkarīgi no informācijas sistēmai noteiktās drošības klases.
Šāda pieeja izriet no Nacionālās kiberdrošības likuma 30. panta otrās daļas deleģējuma noteikt noteikumus par informācijas sistēmu izvietošanu datu centros. Deleģējums nav ierobežots tikai ar noteiktas drošības klases informācijas sistēmām.
Teritoriālais nosacījums ir saistīts ar jurisdikcijas, tiesiskās vides, datu apstrādes vietas pārredzamības un uzraudzības iespēju riskiem. Šie riski var pastāvēt neatkarīgi no informācijas sistēmai noteiktās drošības klases, tādēļ noteikumu projektā tie noteikti kā vispārēja pamatprasība, savukārt A klases informācijas sistēmām un IKT kritiskās infrastruktūras informācijas sistēmām paredzētas papildu prasības.

Skaidrojums par datu centra atbilstības audita nošķīrumu no kiberdrošības audita
Noteikumu projektā paredzētā datu centra atbilstības audits nav uzskatāma par subjekta kiberdrošības auditu Nacionālās kiberdrošības likuma 44. panta un normatīvo aktu par minimālajām kiberdrošības prasībām izpratnē.
Datu centra atbilstības audita priekšmets ir datu centra fiziskā, tehniskā un organizatoriskā atbilstība šajos noteikumos noteiktajām datu centru drošības prasībām. Tā ietver datu centra infrastruktūras, piekļuves kontroles, elektroapgādes, dzesēšanas, fiziskās drošības, nepārtrauktības, uzraudzības un datu centra operatora procesu izvērtēšanu atbilstoši šo noteikumu 1. pielikumā ietvertajam datu centra atbilstības audita kontrolsarakstam.
Savukārt kiberdrošības audits Nacionālās kiberdrošības likuma un normatīvo aktu par minimālajām kiberdrošības prasībām izpratnē ir vērsts uz subjekta kiberdrošības pārvaldības, risku vadības, informācijas sistēmu, drošības pasākumu, procesu un ārpakalpojumu pārvaldības atbilstības izvērtēšanu.
Līdz ar to minētajiem auditiem ir atšķirīgs priekšmets un mērķis. Datu centra atbilstības audits apliecina, ka datu centrs kā infrastruktūras un pakalpojuma vide atbilst šajos noteikumos noteiktajām prasībām. Savukārt subjekta kiberdrošības audits izvērtē subjekta pienākumu izpildi un tā pārvaldībā esošo informācijas sistēmu drošību.
Ja datu centra operators vienlaikus ir Nacionālās kiberdrošības likuma subjekts, tam joprojām piemērojami normatīvajos aktos par minimālajām kiberdrošības prasībām noteiktie pienākumi. Šādā gadījumā datu centra atbilstības audits neaizstāj subjekta kiberdrošības auditu, bet var tikt izmantota kā viens no pierādījumiem, izvērtējot datu centra pakalpojuma atbilstību ārpakalpojuma vai informācijas sistēmas izvietošanas prasībām.

Skaidrojums par izņēmuma saskaņojuma piemērošanu
Noteikumu projekta 9. punktā paredzētais kompetentās uzraugošās iestādes saskaņojums ir individuāli piemērojama izņēmuma kārtība un neaizstāj datu centra atbilstības apliecināšanu kā vispārējo risinājumu.

Lemjot par saskaņojumu, kompetentā uzraugošā iestāde izvērtē informācijas sistēmas drošības klasi, nozīmi un kritiskumu, datu centra tehnisko, fizisko un organizatorisko drošību, pieejamības un darbības nepārtrauktības prasības, konstatētās neatbilstības un to iespējamo ietekmi, kā arī subjekta noteiktos risku mazināšanas pasākumus.

Kompetentā uzraugošā iestāde izvērtēšanai var pieprasīt neatkarīga eksperta vai datu centra auditora atzinumu un neatbilstību novēršanas plānu. Saskaņojums nevar tikt pamatots tikai ar datu centra īpašuma, tiesiskā valdījuma vai kontroles modeli.

Skaidrojums par vairākiem līdzīgiem kiberincidentiem vai fiziskās drošības incidentiem datu centrā
Noteikumu projekta 28.2. apakšpunktā paredzētais gadījums, kad datu centrā notikuši vairāki līdzīgi kiberincidenti vai fiziskās drošības incidenti, ir paredzēts kā riska vadības kritērijs datu centra ārkārtas atbilstības audita pieprasīšanai.
Šis nosacījums nav interpretējams tādējādi, ka jebkuri vairāki maznozīmīgi vai savstarpēji nesaistīti incidenti automātiski rada pienākumu veikt datu centra ārkārtas atbilstības auditu. Nacionālais kiberdrošības centrs katrā gadījumā izvērtē incidentu raksturu, atkārtošanās iemeslus, iespējamo ietekmi uz datu centra drošību, subjekta informācijas sistēmas pieejamību, integritāti vai konfidencialitāti, kā arī datu centra operatora veiktos novēršanas pasākumus.
Ar vairākiem līdzīgiem incidentiem šā apakšpunkta izpratnē saprotami tādi atkārtoti notikumi, kas var liecināt par sistēmisku vai nenovērstu nepilnību datu centra drošības, piekļuves kontroles, elektroapgādes, dzesēšanas, uzraudzības, incidentu pārvaldības vai citos datu centra darbībai būtiskos procesos.
Normā netiek noteikts konkrēts incidentu skaits vai laika periods, jo šāds regulējums būtu pārmērīgi kazuistisks un varētu neaptvert situācijas, kurās jau mazāks incidentu skaits liecina par būtisku risku. Vienlaikus ārkārtas atbilstības audita pieprasīšana ir piemērojama samērīgi, ņemot vērā incidentu būtiskumu, atkārtošanās raksturu un iespējamo ietekmi uz datu centra atbilstību noteikumu prasībām.

Skaidrojums par mākoņdatošanas un virtualizācijas platformām
Datu centra atbilstības apliecināšana attiecas uz datu centra fizisko, inženiertehnisko un organizatorisko vidi. Tā pati par sevi neapliecina datu centrā izmantotās mākoņdatošanas vai virtualizācijas platformas vai tajā izvietotās informācijas sistēmas atbilstību citos normatīvajos aktos noteiktajām kiberdrošības prasībām.
Mākoņdatošanas vai virtualizācijas platformas pārziņa un subjekta pienākumu un atbildības sadalījumu, tai skaitā attiecībā uz platformas un informācijas sistēmas pieejamību, drošības uzraudzību, incidentu pārvaldību, rezerves kopēšanu, telemetrijas datiem un atbilstības pierādījumu sniegšanu, nosaka ārpakalpojuma līgumā, starpiestāžu vienošanās dokumentā vai citā saistošā pakalpojuma pārvaldības dokumentā. Attiecībā uz valsts mākoņdatošanas platformām piemērojami arī normatīvie akti par Valsts datu apstrādes mākoņa darbību.

Skaidrojums par 1. pielikuma normu raksturu
Noteikumu projekta 1. pielikums ir datu centra atbilstības audita kontrolsaraksts. Tas nav patstāvīgs datu centra reģistrācijas regulējums, bet to izmanto datu centra auditors, sagatavojot šo noteikumu 21.1. apakšpunktā minēto atzinumu. Kontrolsarakstā norādītās pārbaudes pozīcijas kalpo kā vienoti vērtēšanas kritēriji datu centra atbilstības auditam.

Skaidrojums par 1. pielikuma 2.2.3. punktā minēto "augstas drošības zonu".
Noteikumu 1. pielikuma 2.2.3. punktā minētā "augstas drošības zona" attiecas uz datu centra telpām vai zonām, kurām ir kritiska nozīme datu drošības, pieejamības vai uzturēšanas ziņā. Precīzu drošības zonu klasifikāciju nosaka datu centra operators, balstoties uz riska novērtējumu un piemērojot piemērotu piekļuves kontroles līmeni, kā to paredz arī starptautiskie datu centru standarti (piemēram, ISO/IEC 22237, TIA-942).

Skaidrojums par trīsfaktoru autentifikācijas prasību
Noteikumu 1. pielikuma 2.2.3. punktā biometrisko datu izmantošana ir norādīta kā viens no trīsfaktoru autentifikācijas piemēriem un nav obligāta prasība. Datu centra operators var izmantot citus savstarpēji neatkarīgus autentifikācijas faktorus, ja tie nodrošina līdzvērtīgu drošības līmeni un atbilst piemērojamām personas datu aizsardzības prasībām.

Skaidrojums par 1. pielikuma 21.3. un 22. punktu (žurnālu glabāšana un piekļuve incidentu pārskatiem) attiecināšanu uz subjektiem.
1. pielikuma 21.3. un 22. punkts ir datu centra atbilstības audita kontrolsaraksta pozīcijas, kas paredzētas datu centra operatora pārvaldības un uzraudzības rīku, kā arī klienta pakalpojuma incidentu žurnāla pārbaudei.
Minētie punkti nosaka vērtēšanas kritērijus datu centra operatoram, proti, vai uzraudzības rīku dati tiek glabāti vismaz 12 mēnešus un vai datu centra operators nodrošina klientam piekļuvi incidentu žurnāla ierakstiem par klientam sniegtajiem pakalpojumiem.
Šie punkti tieši nenosaka subjektam pienākumu izveidot atsevišķu ilgtermiņa drošības žurnālu glabāšanas risinājumu. Ja subjekts izvieto informācijas sistēmu datu centrā vai izmanto mākoņpakalpojumu, subjekta pienākumi attiecībā uz žurnālfailu glabāšanu, telemetrijas datu pieejamību un drošības notikumu uzraudzību izriet no normatīvajiem aktiem par minimālajām kiberdrošības prasībām, šiem noteikumiem un attiecīgajiem līgumiskajiem nosacījumiem.
Tādējādi 1. pielikuma 21.3. un 22. punkts ir piemērojams datu centra atbilstības pārbaudē attiecībā uz datu centra operatoru, savukārt subjektam ir jānodrošina, ka līgumā ar datu centra operatoru vai mākoņpakalpojuma sniedzēju ir paredzēti subjektam nepieciešamie žurnālfailu, incidentu informācijas un telemetrijas datu pieejamības nosacījumi.