Projekta ID/ Uzdevuma numurs
Tiesību akta/ diskusiju dokumenta nosaukums
Grozījumi Nacionālās kiberdrošības likumā
Līdzdalības veids
Publiskā apspriešana
Sākotnēji identificētās problēmas apraksts
Efektīvs koordinētas ievainojamību atklāšanas process var būt nozīmīgs kiberdrošības stiprināšanas instuments, tomēr organizāciju aktivitāte CVD platformā ir zema. Minētā rezultātā personām, kas darbojas kā drošības pētnieki, netiek nodrošināts pietiekams tiesiski drošs pētniecības lauks, jo darbība ārpus oficiāli reģistrētām organizāciju programmām CVD platformā šādām personām rada tiesiskos riskus. Tā kā iztrūkst regulējuma, kas vispārīgi leģitimizē labticīgu ievainojamību atklāšanu un noteic pamatprincipus šādai darbībai, ziņošana par atklātajām ievainojamībām nereti tiek uztverta kā uzbrukums vai likumpārkāpums, izraisot konfliktus starp pētniekiem un organizācijām. Šāda prakse vājina kiberdošību, jo neveicina labticīgu personu iesaisti koordinētas ievainojamību atklāšanas procesā. Labticīga persona, atklājot ievainojamību, var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert negatīvi - kā apdraudējumu un likumpārkāpumu. Vienlaikus arī iztrūkst regulējums, kas noteic pienākumu organizācijām pieņemt un atbilstoši risināt arī tādus ievainojamības ziņojumus, kas saņemti tieši no personām (nevis centralizēti no CERT.LV), kā rezultātā praksē šādi ziņojumi var tikt atstāti bez ievērības un radīt drošības draudus.
Mērķa apraksts
Likumprojekta mērķis ir sekmēt subjektu informācijas sistēmu un elektronisko sakaru tīklu kiberdrošību, nosakot tiesisko ietvaru labticīgu personu iesaistei koordinētas ievainojamību atklāšanas procesā. Likumprojekts ietver vispārīgu atļauju personām piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem nolūkā atklāt ievainojamību subjekta informācijas sistēmā vai elektronisko sakaru tīklā. Vienlaikus ir noteikti samērīgi personu darbību ierobežojumi - pamatprincipi, lai ievainojamību atklāšana neradītu nesamērīgu slogu subjektiem, neradītu apdraudējumu to interesēm un drošībai.
Politikas jomas
Digitālā drošība un uzticamība
Teritorija
Latvija
Norises laiks
29.07.2026. - 28.08.2026.
Informācija
Aizsardzības ministrija aicina personas, jo īpaši labticīgos drošības pētniekus, kiberdrošības entuziastus un Nacionālās kiberdrošības likuma subjektus iesūtīt viedokļus par šo likumprojektu vai priekšlikumus citam alternatīvam risinājumam koordinētas ievainojamību atklāšanas procesa pilnveidei.
Fiziskās personas
JāSkaidrojums un ietekme
Likumprojekts tieši skar fiziskas personas - labticīgus drošības pētniekus, kiberdrošības entuziastus, kas vēlas sniegt savas zināšanas un ieguldījumu nacionālās kiberdrošības stiprināšanai, jo likumprojekts vispārīgi leģitimizē ievainojamību atklāšanu un noteic minētajām personām adresētus un saistošus pamatprincipus.
Juridiskās personas
JāSkaidrojums un ietekme
Likumprojekts tieši skar ikvienu Nacionālās kiberdrošības likuma subjektu, jo leģitimizē labticīgu personu piekļuvi to IKT resursiem nolūkā atklāt ievainojamības.
Sagatavoja
Maija Laure (AM)
Atbildīgā persona
Sanita Žogota (AM)
Izsludināšanas datums
29.07.2026. 17:11
Iesniegtie viedokļi
ID
Iesniedzējs
Viedokļa būtība
Iesniegts
26-TA-1830/1
Fiziska persona
Manā skatījumā punkts “3) neapdraud subjekta informācijas sistēmas vai elektronisko sakaru tīkla drošību, datu konfidencialitāti, integritāti vai pieejamību un subjekta darbības nepārtrauktību." faktiski noliedz jebkādus ielaušanās testus, jo jebkurš ielaušanās mēģinājums apdraud konfidencialitāti, integritāti vai pieejamību. Ielaušanās testu mērķis ir pārbaudīt iespēju ietekmēt konfidencialitāti, integritāti vai pieejamību.
30.07.2026. 13:09
26-TA-1830/2
Fiziska persona
Grozījumi runā vispārīgi. Atklāt ievainojamību var dažādi - nejauši (pārlūkojot tīmekļvietni atrodu nepublicējamu informāciju, vai kāda spraudņa nepilnību) un tīši jeb tendēti. Šķiet, ka grozījumi un NKDL runā tikai par nejauši atklātām ievainojamībām. Lūdzu vērst uzmanību uz Krimināllikuma pantiem (no 241. līdz 244.prim), kas nosaka, ka nedrīkst veikt konkrētās darbības bez saskaņošanas un ir paredzēti attiecīgi sodi. Tendētiem uzbrukumiem/ievainojamību meklēšanai, normāls process būtu šāds - CVD ar reģistrētu pētnieku (personu) informē subjektu, ka konkrēti testi tiks veikti konkrētā laika posmā. Tad subjekts zin/ir informēts un ir iespējams vērot procesu, bet tanī brīdī, kad nebrīdinot kāds dara vienalga ko un kad nerēķinoties, ka subjektam tas var radīt reputācijas/finanšu zaudējumus, ja kādi resursi tīšām/netīšām tiktu ietekmēti. Kas par to būs atbildīgs, ja cilvēks bez nekādām saistībām ar subjektu kaut ko izdarīs? NAV NORMĀLI, ka šādu procesu neviens nemaz neuzmana. Jāievēro būtu šāds princips - informē un tad dari. Cik zinu, tad lielākā daļa subjektu nav CVD platformā reģistrējušies, lai vispār tiktu testēti, bet testi cik zināms tiek taisīti. Tad jautājums - ar kādām tiesībām?
Ne NKDL, ne MKN 397 neredzu, ka vispār būtu minēts, ka šiem pētniekiem būtu jāreģistrējas CVD platformā. Tātad sanāk, ka vispār pār šo procesu nav pilnīgi nekādas kontroles.
Bažas dara arī aspekts, ka pašvaldībām vai jebkuram citam subjektam nav iespējas pārbaudīt "pētnieka" ieinteresētību konkrētu sistēmu testēšanā. Nav iespējams pārbaudīt vai tas, ko CVD šis pētnieks noziņo ir viss. Iespējams, ka pētnieks nenoziņo visu atklāto, kas var tikt izmantots personīgo ambīciju/varas/datu ieguvei. Tajā brīdī, kad pētnieks iespējami piekļūst sistēmām, var tikt radīts apstāklis, kad pētnieks ļaunprātīgi dzēš auditācijas pierakstus un nav iespējams izsekot veiktās darbības. Pašu pētnieka darbības procesu neviens neuzrauga. Jāņem arī vērā, ka NKDL noteikti 3 dažādi kiberdrošības subjektu statusi - manuprāt nevar visu šo attiecināt uz visu veidu subjektiem. Piemēram, vai tiešām bez nekādām sankcijām es varētu sākt ievākt datus par valsts drošības iestāžu IKT infrastruktūru, kritisko infrastruktūru un pārbaudīt atklāto ievainojamību? Domāju, ka mani sašņorēs ar vai bez veiktā ziņojuma CERT, kas rosina domāt, ka būtu jāveic vēl papildinājumi likumā un noteikumos.
Šajā gadījumā, ja subjekts pirmais šādas darbības konstatēs, tad subjekts patur tiesības ziņot tiesību sargājošās iestādēm par attiecīga procesa uzsākšanu, protams, informējot arī kiberdrošību pārraugošo iestādi.
Atgādinu, ka nedrīkst radīt apstākļus tam, ka pasakam, ka var brīvi un nekontrolēti darboties un ziņot pēc tam, kad viss noticis. Subjektiem ir uzdevums noteiktos periodos veikt kiberdrošības auditus/ielaušanās testus, kas notiek sankcionēti (ar līgumu un konkrētu darbību tvērumu), kas, piemēram, attiecīgiem subjektiem ir jāsaskaņo pat ar SAB. Pēc šī sanāk, ka KI IKT turētājiem kāds var vienkārši lauzt sistēmas? Vai privātpersonām (pētniekiem) ir lielākas tiesības kā kvalificētiem un sankcionētiem auditoriem un testētājiem, kas darbojas uz līguma pamata?
Ja tiek virzīti grozījumi NKDL, tad lūdzu/aicinu izvērtēt vai šie grozījumi nevar radīt papildu riskus un nepaver haosu kiberdrošības subjektu ikdienā un iespējamu birokrātijas vairošanu.
Ne NKDL, ne MKN 397 neredzu, ka vispār būtu minēts, ka šiem pētniekiem būtu jāreģistrējas CVD platformā. Tātad sanāk, ka vispār pār šo procesu nav pilnīgi nekādas kontroles.
Bažas dara arī aspekts, ka pašvaldībām vai jebkuram citam subjektam nav iespējas pārbaudīt "pētnieka" ieinteresētību konkrētu sistēmu testēšanā. Nav iespējams pārbaudīt vai tas, ko CVD šis pētnieks noziņo ir viss. Iespējams, ka pētnieks nenoziņo visu atklāto, kas var tikt izmantots personīgo ambīciju/varas/datu ieguvei. Tajā brīdī, kad pētnieks iespējami piekļūst sistēmām, var tikt radīts apstāklis, kad pētnieks ļaunprātīgi dzēš auditācijas pierakstus un nav iespējams izsekot veiktās darbības. Pašu pētnieka darbības procesu neviens neuzrauga. Jāņem arī vērā, ka NKDL noteikti 3 dažādi kiberdrošības subjektu statusi - manuprāt nevar visu šo attiecināt uz visu veidu subjektiem. Piemēram, vai tiešām bez nekādām sankcijām es varētu sākt ievākt datus par valsts drošības iestāžu IKT infrastruktūru, kritisko infrastruktūru un pārbaudīt atklāto ievainojamību? Domāju, ka mani sašņorēs ar vai bez veiktā ziņojuma CERT, kas rosina domāt, ka būtu jāveic vēl papildinājumi likumā un noteikumos.
Šajā gadījumā, ja subjekts pirmais šādas darbības konstatēs, tad subjekts patur tiesības ziņot tiesību sargājošās iestādēm par attiecīga procesa uzsākšanu, protams, informējot arī kiberdrošību pārraugošo iestādi.
Atgādinu, ka nedrīkst radīt apstākļus tam, ka pasakam, ka var brīvi un nekontrolēti darboties un ziņot pēc tam, kad viss noticis. Subjektiem ir uzdevums noteiktos periodos veikt kiberdrošības auditus/ielaušanās testus, kas notiek sankcionēti (ar līgumu un konkrētu darbību tvērumu), kas, piemēram, attiecīgiem subjektiem ir jāsaskaņo pat ar SAB. Pēc šī sanāk, ka KI IKT turētājiem kāds var vienkārši lauzt sistēmas? Vai privātpersonām (pētniekiem) ir lielākas tiesības kā kvalificētiem un sankcionētiem auditoriem un testētājiem, kas darbojas uz līguma pamata?
Ja tiek virzīti grozījumi NKDL, tad lūdzu/aicinu izvērtēt vai šie grozījumi nevar radīt papildu riskus un nepaver haosu kiberdrošības subjektu ikdienā un iespējamu birokrātijas vairošanu.
30.07.2026. 14:02
26-TA-1830/4
Heinrihs Kristians Skrodelis
Atbalstu likumprojekta mērķi un vispārīgas atļaujas ieviešanu labticīgai ievainojamību izpētei.
Balstoties personīgajā praktiskajā pieredzē, ziņojot par ievainojamībām CERT.LV, citu valstu CERT un bug bounty programmās, aicinu pirms likumprojekta tālākas virzības precizēt sekojošos jautājumus, lai paredzētā tiesiskā aizsardzība darbotos arī praksē.
1. Skaidra tiesiskā aizsardzība
Anotācijā galvenokārt analizēta Krimināllikuma 241. panta piemērošana, turklāt secinājums par kriminālatbildības neiestāšanos nav tieši nostiprināts likuma normā.
Aicinu izvērtēt un skaidri regulēt labticīga drošības pētnieka aizsardzību arī saistībā ar citām iespējamām krimināltiesiskām, civiltiesiskām, administratīvām un līgumiskām sekām, kā arī personas datu apstrādi, komercnoslēpuma un autortiesību aizsardzību.
Darbību veikšana 39. panta robežās, to pārtraukšana pēc pietiekama pierādījuma iegūšanas, savlaicīga ziņošana un sadarbība ar subjektu vai kompetento kiberincidentu novēršanas institūciju būtu atzīstama par atspēkojamu labticības prezumpciju.
Pretējā gadījumā pētnieks arī pēc ziņojuma iesniegšanas var saskarties ar juridiskām pretenzijām un būt spiests ilgstoši aizstāvēt savas rīcības tiesiskumu, kas var atturēt personas no ziņošanas.
2. Objektīvi ievainojamības izpētes kritēriji
Likumprojektā izmantotie jēdzieni “nepieciešamajā apmērā”, “nesamērīgs slogs” un “neapdraud” ir plaši interpretējami. Pastāv risks, ka pētnieka rīcība tiks vērtēta retrospektīvi, kad jau kļuvušas zināmas visas sistēmas nepilnības vai radušās neparedzētas sekas.
Aicinu noteikt, ka personas rīcības atbilstība likuma prasībām vērtējama, ņemot vērā informāciju un apstākļus, kas personai bija zināmi vai ko tai saprātīgi vajadzēja zināt darbības veikšanas laikā.
Tāpat būtu skaidri jāatļauj minimāla ievainojamības pārbaude tādā apjomā, kas nepieciešams, lai sagatavotu ticamu un reproducējamu pierādījumu.
Anotācijā vienlaikus norādīts, ka darbības drīkst veikt ievainojamības pārbaudei, bet ievainojamību nedrīkst izmantot tās ietekmes pārbaudei. Praksē šos jēdzienus ne vienmēr iespējams nodalīt. Piemēram, piekļuves kontroles ievainojamības esamību dažkārt iespējams pierādīt tikai, konstatējot cita lietotāja objekta esību vai tehniskos metadatus, nepiekļūstot tā saturam vairāk, nekā nepieciešams ievainojamības apstiprināšanai.
Vienlaikus regulējumā vai saistošajās vadlīnijās var skaidri norādīt nepieļaujamās darbības, piemēram, pakalpojuma atteices uzbrukumus, sociālo inženieriju, pārlases uzbrukumus, auditācijas pierakstu dzēšanu un datu izgūšanu apjomā, kas pārsniedz minimāli nepieciešamo pierādījumiem.
3. Ziņojumu pieņemšanas un apstrādes process
Likumprojekts paredz subjekta pienākumu informēt kiberincidentu novēršanas institūciju un veikt ievainojamības novēršanai nepieciešamās darbības, taču nenosaka pienākumu apstiprināt ziņojuma saņemšanu vai sniegt pētniekam sākotnējo atbildi.
Aicinu paredzēt, ka subjektam:
1) jānodrošina publiski pieejams un viegli atrodams ievainojamību ziņošanas kanāls, piemēram, dalība CERT.LV CVD platformā, drošības kontaktinformācijas publicēšana atbilstoši RFC 9116 vai līdzvērtīgs risinājums;
2) noteiktā termiņā jāapstiprina ziņojuma saņemšana;
3) jāinformē pētnieks par ziņojuma nodošanu kompetentajai institūcijai un sākotnējā izvērtējuma rezultātu;
4) ciktāl iespējams, jāinformē pētnieks par ievainojamības novēršanas gaitu un gala rezultātu.
Tāpat skaidri jānosaka, vai ziņojuma iesniegšana tieši subjektam izpilda arī personas pienākumu ziņot kompetentajai kiberincidentu novēršanas institūcijai. Pētniekam nevajadzētu vienu un to pašu ziņojumu paralēli iesniegt diviem adresātiem, ja subjektam jau ir pienākums to pārsūtīt kompetentajai institūcijai.
4. Regulējuma tvērums un īpaši aizsargāti resursi
Pētniekam ne vienmēr ir iespējams noskaidrot vai konkrētā organizācija ir NKDL subjekts un vai attiecīgais domēns, IP adrese vai informācijas sistēma pieder subjektam vai atrodas tā kontrolē.
Aicinu precizēt, kā persona var noteikt, vai konkrētais resurss ietilpst regulējuma tvērumā.
5. Pēcpārbaudes izvērtējums
Aicinu paredzēt regulējuma ex-post izvērtējumu 24 mēnešus pēc tā spēkā stāšanās, analizējot ziņojumu skaitu, apstiprināto un novērsto ievainojamību īpatsvaru, apstrādes termiņus, gadījumus, kuros pret pētniekiem izvirzītas juridiskas pretenzijas, kā arī konfliktus starp pētniekiem un subjektiem.
Balstoties personīgajā praktiskajā pieredzē, ziņojot par ievainojamībām CERT.LV, citu valstu CERT un bug bounty programmās, aicinu pirms likumprojekta tālākas virzības precizēt sekojošos jautājumus, lai paredzētā tiesiskā aizsardzība darbotos arī praksē.
1. Skaidra tiesiskā aizsardzība
Anotācijā galvenokārt analizēta Krimināllikuma 241. panta piemērošana, turklāt secinājums par kriminālatbildības neiestāšanos nav tieši nostiprināts likuma normā.
Aicinu izvērtēt un skaidri regulēt labticīga drošības pētnieka aizsardzību arī saistībā ar citām iespējamām krimināltiesiskām, civiltiesiskām, administratīvām un līgumiskām sekām, kā arī personas datu apstrādi, komercnoslēpuma un autortiesību aizsardzību.
Darbību veikšana 39. panta robežās, to pārtraukšana pēc pietiekama pierādījuma iegūšanas, savlaicīga ziņošana un sadarbība ar subjektu vai kompetento kiberincidentu novēršanas institūciju būtu atzīstama par atspēkojamu labticības prezumpciju.
Pretējā gadījumā pētnieks arī pēc ziņojuma iesniegšanas var saskarties ar juridiskām pretenzijām un būt spiests ilgstoši aizstāvēt savas rīcības tiesiskumu, kas var atturēt personas no ziņošanas.
2. Objektīvi ievainojamības izpētes kritēriji
Likumprojektā izmantotie jēdzieni “nepieciešamajā apmērā”, “nesamērīgs slogs” un “neapdraud” ir plaši interpretējami. Pastāv risks, ka pētnieka rīcība tiks vērtēta retrospektīvi, kad jau kļuvušas zināmas visas sistēmas nepilnības vai radušās neparedzētas sekas.
Aicinu noteikt, ka personas rīcības atbilstība likuma prasībām vērtējama, ņemot vērā informāciju un apstākļus, kas personai bija zināmi vai ko tai saprātīgi vajadzēja zināt darbības veikšanas laikā.
Tāpat būtu skaidri jāatļauj minimāla ievainojamības pārbaude tādā apjomā, kas nepieciešams, lai sagatavotu ticamu un reproducējamu pierādījumu.
Anotācijā vienlaikus norādīts, ka darbības drīkst veikt ievainojamības pārbaudei, bet ievainojamību nedrīkst izmantot tās ietekmes pārbaudei. Praksē šos jēdzienus ne vienmēr iespējams nodalīt. Piemēram, piekļuves kontroles ievainojamības esamību dažkārt iespējams pierādīt tikai, konstatējot cita lietotāja objekta esību vai tehniskos metadatus, nepiekļūstot tā saturam vairāk, nekā nepieciešams ievainojamības apstiprināšanai.
Vienlaikus regulējumā vai saistošajās vadlīnijās var skaidri norādīt nepieļaujamās darbības, piemēram, pakalpojuma atteices uzbrukumus, sociālo inženieriju, pārlases uzbrukumus, auditācijas pierakstu dzēšanu un datu izgūšanu apjomā, kas pārsniedz minimāli nepieciešamo pierādījumiem.
3. Ziņojumu pieņemšanas un apstrādes process
Likumprojekts paredz subjekta pienākumu informēt kiberincidentu novēršanas institūciju un veikt ievainojamības novēršanai nepieciešamās darbības, taču nenosaka pienākumu apstiprināt ziņojuma saņemšanu vai sniegt pētniekam sākotnējo atbildi.
Aicinu paredzēt, ka subjektam:
1) jānodrošina publiski pieejams un viegli atrodams ievainojamību ziņošanas kanāls, piemēram, dalība CERT.LV CVD platformā, drošības kontaktinformācijas publicēšana atbilstoši RFC 9116 vai līdzvērtīgs risinājums;
2) noteiktā termiņā jāapstiprina ziņojuma saņemšana;
3) jāinformē pētnieks par ziņojuma nodošanu kompetentajai institūcijai un sākotnējā izvērtējuma rezultātu;
4) ciktāl iespējams, jāinformē pētnieks par ievainojamības novēršanas gaitu un gala rezultātu.
Tāpat skaidri jānosaka, vai ziņojuma iesniegšana tieši subjektam izpilda arī personas pienākumu ziņot kompetentajai kiberincidentu novēršanas institūcijai. Pētniekam nevajadzētu vienu un to pašu ziņojumu paralēli iesniegt diviem adresātiem, ja subjektam jau ir pienākums to pārsūtīt kompetentajai institūcijai.
4. Regulējuma tvērums un īpaši aizsargāti resursi
Pētniekam ne vienmēr ir iespējams noskaidrot vai konkrētā organizācija ir NKDL subjekts un vai attiecīgais domēns, IP adrese vai informācijas sistēma pieder subjektam vai atrodas tā kontrolē.
Aicinu precizēt, kā persona var noteikt, vai konkrētais resurss ietilpst regulējuma tvērumā.
5. Pēcpārbaudes izvērtējums
Aicinu paredzēt regulējuma ex-post izvērtējumu 24 mēnešus pēc tā spēkā stāšanās, analizējot ziņojumu skaitu, apstiprināto un novērsto ievainojamību īpatsvaru, apstrādes termiņus, gadījumus, kuros pret pētniekiem izvirzītas juridiskas pretenzijas, kā arī konfliktus starp pētniekiem un subjektiem.
30.07.2026. 16:51
26-TA-1830/5
Fiziska persona
Šī panta redakcija faktiski pieļauj situāciju, kurā ievainojamību pārbaudes jeb darbības, kas pēc būtības var ietvert kiberuzbrukuma pazīmes, var veikt jebkura persona, nenosakot konkrētas prasības šādu darbību veicējiem, to kvalifikācijai, pilnvarojumam vai uzraudzības mehānismam.
Vienlaikus nav skaidri noteikts, vai ievainojamību pārbaudes veicējam pirms šādu darbību uzsākšanas ir pienākums tās saskaņot ar kompetentajām valsts institūcijām, piemēram, SAB, Nacionālo kiberdrošības centru vai CERT.LV. Minētā aspekta neesamība rada tiesisko nenoteiktību un potenciālus drošības riskus.
Pašreizējā redakcija var novest pie situācijas, ka persona veic darbības, kuras objektīvi atbilst kiberuzbrukuma pazīmēm, bet konstatēšanas gadījumā atsaucas uz 39. pantā paredzēto tiesisko regulējumu kā pamatojumu savai rīcībai. Savukārt gadījumos, kad šādas darbības netiek atklātas, pastāv risks, ka tās var tikt izmantotas arī citiem, neatļautiem mērķiem.
Ņemot vērā, ka Latvijā jau pastāv institūcijas, kuru kompetencē ir kiberdrošības jautājumi, būtu lietderīgi noteikt, ka ievainojamību pārbaudes tiek organizētas, koordinētas un uzraudzītas šo institūciju pārraudzībā. Tas nodrošinātu skaidru atbildības sadalījumu, uzraudzības mehānismu un efektīvu risku pārvaldību gadījumos, kad pārbaudes rezultātā tiek radīti traucējumi vai citas negatīvas sekas.
Tāpat būtu nepieciešams paredzēt normatīvu regulējumu par autorizētu ievainojamību pārbaudītāju jeb tā dēvēto “balto hakeru” reģistru, nosakot to reģistrācijas kārtību, kvalifikācijas prasības un pienākumu iepriekš pieteikt plānotās pārbaudes. Papildus būtu apsverama prasība par attiecīgās iestādes vai kritiskās infrastruktūras turētāja informēšanu par plānoto pārbaudi, lai veicinātu savlaicīgu incidentu atpazīšanas un reaģēšanas spēju pilnveidi.
Regulējuma pamatmērķim būtu jābūt ne tikai ievainojamību identificēšanai, bet arī valsts, pašvaldību un privātā sektora sadarbības veicināšanai kiberdrošības jomā, sekmējot kopīgu mācīšanos, pieredzes apmaiņu un kiberdrošības risku samazināšanu līdz iespējami zemākajam līmenim.
Vienlaikus nav skaidri noteikts, vai ievainojamību pārbaudes veicējam pirms šādu darbību uzsākšanas ir pienākums tās saskaņot ar kompetentajām valsts institūcijām, piemēram, SAB, Nacionālo kiberdrošības centru vai CERT.LV. Minētā aspekta neesamība rada tiesisko nenoteiktību un potenciālus drošības riskus.
Pašreizējā redakcija var novest pie situācijas, ka persona veic darbības, kuras objektīvi atbilst kiberuzbrukuma pazīmēm, bet konstatēšanas gadījumā atsaucas uz 39. pantā paredzēto tiesisko regulējumu kā pamatojumu savai rīcībai. Savukārt gadījumos, kad šādas darbības netiek atklātas, pastāv risks, ka tās var tikt izmantotas arī citiem, neatļautiem mērķiem.
Ņemot vērā, ka Latvijā jau pastāv institūcijas, kuru kompetencē ir kiberdrošības jautājumi, būtu lietderīgi noteikt, ka ievainojamību pārbaudes tiek organizētas, koordinētas un uzraudzītas šo institūciju pārraudzībā. Tas nodrošinātu skaidru atbildības sadalījumu, uzraudzības mehānismu un efektīvu risku pārvaldību gadījumos, kad pārbaudes rezultātā tiek radīti traucējumi vai citas negatīvas sekas.
Tāpat būtu nepieciešams paredzēt normatīvu regulējumu par autorizētu ievainojamību pārbaudītāju jeb tā dēvēto “balto hakeru” reģistru, nosakot to reģistrācijas kārtību, kvalifikācijas prasības un pienākumu iepriekš pieteikt plānotās pārbaudes. Papildus būtu apsverama prasība par attiecīgās iestādes vai kritiskās infrastruktūras turētāja informēšanu par plānoto pārbaudi, lai veicinātu savlaicīgu incidentu atpazīšanas un reaģēšanas spēju pilnveidi.
Regulējuma pamatmērķim būtu jābūt ne tikai ievainojamību identificēšanai, bet arī valsts, pašvaldību un privātā sektora sadarbības veicināšanai kiberdrošības jomā, sekmējot kopīgu mācīšanos, pieredzes apmaiņu un kiberdrošības risku samazināšanu līdz iespējami zemākajam līmenim.
04.08.2026. 11:12
Atlasīti 4 ieraksti.
Ierakstu skaits lapā25