Projekta ID/ Uzdevuma numurs
Tiesību akta/ diskusiju dokumenta nosaukums
Grozījumi Nacionālās kiberdrošības likumā
Līdzdalības veids
Publiskā apspriešana
Sākotnēji identificētās problēmas apraksts
Efektīvs koordinētas ievainojamību atklāšanas process var būt nozīmīgs kiberdrošības stiprināšanas instuments, tomēr organizāciju aktivitāte CVD platformā ir zema. Minētā rezultātā personām, kas darbojas kā drošības pētnieki, netiek nodrošināts pietiekams tiesiski drošs pētniecības lauks, jo darbība ārpus oficiāli reģistrētām organizāciju programmām CVD platformā šādām personām rada tiesiskos riskus. Tā kā iztrūkst regulējuma, kas vispārīgi leģitimizē labticīgu ievainojamību atklāšanu un noteic pamatprincipus šādai darbībai, ziņošana par atklātajām ievainojamībām nereti tiek uztverta kā uzbrukums vai likumpārkāpums, izraisot konfliktus starp pētniekiem un organizācijām. Šāda prakse vājina kiberdošību, jo neveicina labticīgu personu iesaisti koordinētas ievainojamību atklāšanas procesā. Labticīga persona, atklājot ievainojamību, var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert negatīvi - kā apdraudējumu un likumpārkāpumu. Vienlaikus arī iztrūkst regulējums, kas noteic pienākumu organizācijām pieņemt un atbilstoši risināt arī tādus ievainojamības ziņojumus, kas saņemti tieši no personām (nevis centralizēti no CERT.LV), kā rezultātā praksē šādi ziņojumi var tikt atstāti bez ievērības un radīt drošības draudus.
Mērķa apraksts
Likumprojekta mērķis ir sekmēt subjektu informācijas sistēmu un elektronisko sakaru tīklu kiberdrošību, nosakot tiesisko ietvaru labticīgu personu iesaistei koordinētas ievainojamību atklāšanas procesā. Likumprojekts ietver vispārīgu atļauju personām piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem nolūkā atklāt ievainojamību subjekta informācijas sistēmā vai elektronisko sakaru tīklā. Vienlaikus ir noteikti samērīgi personu darbību ierobežojumi - pamatprincipi, lai ievainojamību atklāšana neradītu nesamērīgu slogu subjektiem, neradītu apdraudējumu to interesēm un drošībai.
Politikas jomas
Digitālā drošība un uzticamība
Teritorija
Latvija
Norises laiks
29.07.2026. - 28.08.2026.
Informācija
Aizsardzības ministrija aicina personas, jo īpaši labticīgos drošības pētniekus, kiberdrošības entuziastus un Nacionālās kiberdrošības likuma subjektus iesūtīt viedokļus par šo likumprojektu vai priekšlikumus citam alternatīvam risinājumam koordinētas ievainojamību atklāšanas procesa pilnveidei.
Fiziskās personas
JāSkaidrojums un ietekme
Likumprojekts tieši skar fiziskas personas - labticīgus drošības pētniekus, kiberdrošības entuziastus, kas vēlas sniegt savas zināšanas un ieguldījumu nacionālās kiberdrošības stiprināšanai, jo likumprojekts vispārīgi leģitimizē ievainojamību atklāšanu un noteic minētajām personām adresētus un saistošus pamatprincipus.
Juridiskās personas
JāSkaidrojums un ietekme
Likumprojekts tieši skar ikvienu Nacionālās kiberdrošības likuma subjektu, jo leģitimizē labticīgu personu piekļuvi to IKT resursiem nolūkā atklāt ievainojamības.
Sagatavoja
Maija Laure (AM)
Atbildīgā persona
Sanita Žogota (AM)
Izsludināšanas datums
29.07.2026. 17:11
Iesniegtie viedokļi
ID
Iesniedzējs
Viedokļa būtība
Iesniegts
26-TA-1830/1
Fiziska persona
Manā skatījumā punkts “3) neapdraud subjekta informācijas sistēmas vai elektronisko sakaru tīkla drošību, datu konfidencialitāti, integritāti vai pieejamību un subjekta darbības nepārtrauktību." faktiski noliedz jebkādus ielaušanās testus, jo jebkurš ielaušanās mēģinājums apdraud konfidencialitāti, integritāti vai pieejamību. Ielaušanās testu mērķis ir pārbaudīt iespēju ietekmēt konfidencialitāti, integritāti vai pieejamību.
30.07.2026. 13:09
26-TA-1830/2
Fiziska persona
Grozījumi runā vispārīgi. Atklāt ievainojamību var dažādi - nejauši (pārlūkojot tīmekļvietni atrodu nepublicējamu informāciju, vai kāda spraudņa nepilnību) un tīši jeb tendēti. Šķiet, ka grozījumi un NKDL runā tikai par nejauši atklātām ievainojamībām. Lūdzu vērst uzmanību uz Krimināllikuma pantiem (no 241. līdz 244.prim), kas nosaka, ka nedrīkst veikt konkrētās darbības bez saskaņošanas un ir paredzēti attiecīgi sodi. Tendētiem uzbrukumiem/ievainojamību meklēšanai, normāls process būtu šāds - CVD ar reģistrētu pētnieku (personu) informē subjektu, ka konkrēti testi tiks veikti konkrētā laika posmā. Tad subjekts zin/ir informēts un ir iespējams vērot procesu, bet tanī brīdī, kad nebrīdinot kāds dara vienalga ko un kad nerēķinoties, ka subjektam tas var radīt reputācijas/finanšu zaudējumus, ja kādi resursi tīšām/netīšām tiktu ietekmēti. Kas par to būs atbildīgs, ja cilvēks bez nekādām saistībām ar subjektu kaut ko izdarīs? NAV NORMĀLI, ka šādu procesu neviens nemaz neuzmana. Jāievēro būtu šāds princips - informē un tad dari. Cik zinu, tad lielākā daļa subjektu nav CVD platformā reģistrējušies, lai vispār tiktu testēti, bet testi cik zināms tiek taisīti. Tad jautājums - ar kādām tiesībām?
Ne NKDL, ne MKN 397 neredzu, ka vispār būtu minēts, ka šiem pētniekiem būtu jāreģistrējas CVD platformā. Tātad sanāk, ka vispār pār šo procesu nav pilnīgi nekādas kontroles.
Bažas dara arī aspekts, ka pašvaldībām vai jebkuram citam subjektam nav iespējas pārbaudīt "pētnieka" ieinteresētību konkrētu sistēmu testēšanā. Nav iespējams pārbaudīt vai tas, ko CVD šis pētnieks noziņo ir viss. Iespējams, ka pētnieks nenoziņo visu atklāto, kas var tikt izmantots personīgo ambīciju/varas/datu ieguvei. Tajā brīdī, kad pētnieks iespējami piekļūst sistēmām, var tikt radīts apstāklis, kad pētnieks ļaunprātīgi dzēš auditācijas pierakstus un nav iespējams izsekot veiktās darbības. Pašu pētnieka darbības procesu neviens neuzrauga. Jāņem arī vērā, ka NKDL noteikti 3 dažādi kiberdrošības subjektu statusi - manuprāt nevar visu šo attiecināt uz visu veidu subjektiem. Piemēram, vai tiešām bez nekādām sankcijām es varētu sākt ievākt datus par valsts drošības iestāžu IKT infrastruktūru, kritisko infrastruktūru un pārbaudīt atklāto ievainojamību? Domāju, ka mani sašņorēs ar vai bez veiktā ziņojuma CERT, kas rosina domāt, ka būtu jāveic vēl papildinājumi likumā un noteikumos.
Šajā gadījumā, ja subjekts pirmais šādas darbības konstatēs, tad subjekts patur tiesības ziņot tiesību sargājošās iestādēm par attiecīga procesa uzsākšanu, protams, informējot arī kiberdrošību pārraugošo iestādi.
Atgādinu, ka nedrīkst radīt apstākļus tam, ka pasakam, ka var brīvi un nekontrolēti darboties un ziņot pēc tam, kad viss noticis. Subjektiem ir uzdevums noteiktos periodos veikt kiberdrošības auditus/ielaušanās testus, kas notiek sankcionēti (ar līgumu un konkrētu darbību tvērumu), kas, piemēram, attiecīgiem subjektiem ir jāsaskaņo pat ar SAB. Pēc šī sanāk, ka KI IKT turētājiem kāds var vienkārši lauzt sistēmas? Vai privātpersonām (pētniekiem) ir lielākas tiesības kā kvalificētiem un sankcionētiem auditoriem un testētājiem, kas darbojas uz līguma pamata?
Ja tiek virzīti grozījumi NKDL, tad lūdzu/aicinu izvērtēt vai šie grozījumi nevar radīt papildu riskus un nepaver haosu kiberdrošības subjektu ikdienā un iespējamu birokrātijas vairošanu.
Ne NKDL, ne MKN 397 neredzu, ka vispār būtu minēts, ka šiem pētniekiem būtu jāreģistrējas CVD platformā. Tātad sanāk, ka vispār pār šo procesu nav pilnīgi nekādas kontroles.
Bažas dara arī aspekts, ka pašvaldībām vai jebkuram citam subjektam nav iespējas pārbaudīt "pētnieka" ieinteresētību konkrētu sistēmu testēšanā. Nav iespējams pārbaudīt vai tas, ko CVD šis pētnieks noziņo ir viss. Iespējams, ka pētnieks nenoziņo visu atklāto, kas var tikt izmantots personīgo ambīciju/varas/datu ieguvei. Tajā brīdī, kad pētnieks iespējami piekļūst sistēmām, var tikt radīts apstāklis, kad pētnieks ļaunprātīgi dzēš auditācijas pierakstus un nav iespējams izsekot veiktās darbības. Pašu pētnieka darbības procesu neviens neuzrauga. Jāņem arī vērā, ka NKDL noteikti 3 dažādi kiberdrošības subjektu statusi - manuprāt nevar visu šo attiecināt uz visu veidu subjektiem. Piemēram, vai tiešām bez nekādām sankcijām es varētu sākt ievākt datus par valsts drošības iestāžu IKT infrastruktūru, kritisko infrastruktūru un pārbaudīt atklāto ievainojamību? Domāju, ka mani sašņorēs ar vai bez veiktā ziņojuma CERT, kas rosina domāt, ka būtu jāveic vēl papildinājumi likumā un noteikumos.
Šajā gadījumā, ja subjekts pirmais šādas darbības konstatēs, tad subjekts patur tiesības ziņot tiesību sargājošās iestādēm par attiecīga procesa uzsākšanu, protams, informējot arī kiberdrošību pārraugošo iestādi.
Atgādinu, ka nedrīkst radīt apstākļus tam, ka pasakam, ka var brīvi un nekontrolēti darboties un ziņot pēc tam, kad viss noticis. Subjektiem ir uzdevums noteiktos periodos veikt kiberdrošības auditus/ielaušanās testus, kas notiek sankcionēti (ar līgumu un konkrētu darbību tvērumu), kas, piemēram, attiecīgiem subjektiem ir jāsaskaņo pat ar SAB. Pēc šī sanāk, ka KI IKT turētājiem kāds var vienkārši lauzt sistēmas? Vai privātpersonām (pētniekiem) ir lielākas tiesības kā kvalificētiem un sankcionētiem auditoriem un testētājiem, kas darbojas uz līguma pamata?
Ja tiek virzīti grozījumi NKDL, tad lūdzu/aicinu izvērtēt vai šie grozījumi nevar radīt papildu riskus un nepaver haosu kiberdrošības subjektu ikdienā un iespējamu birokrātijas vairošanu.
30.07.2026. 14:02
26-TA-1830/4
Heinrihs Kristians Skrodelis
Atbalstu likumprojekta mērķi un vispārīgas atļaujas ieviešanu labticīgai ievainojamību izpētei.
Balstoties personīgajā praktiskajā pieredzē, ziņojot par ievainojamībām CERT.LV, citu valstu CERT un bug bounty programmās, aicinu pirms likumprojekta tālākas virzības precizēt sekojošos jautājumus, lai paredzētā tiesiskā aizsardzība darbotos arī praksē.
1. Skaidra tiesiskā aizsardzība
Anotācijā galvenokārt analizēta Krimināllikuma 241. panta piemērošana, turklāt secinājums par kriminālatbildības neiestāšanos nav tieši nostiprināts likuma normā.
Aicinu izvērtēt un skaidri regulēt labticīga drošības pētnieka aizsardzību arī saistībā ar citām iespējamām krimināltiesiskām, civiltiesiskām, administratīvām un līgumiskām sekām, kā arī personas datu apstrādi, komercnoslēpuma un autortiesību aizsardzību.
Darbību veikšana 39. panta robežās, to pārtraukšana pēc pietiekama pierādījuma iegūšanas, savlaicīga ziņošana un sadarbība ar subjektu vai kompetento kiberincidentu novēršanas institūciju būtu atzīstama par atspēkojamu labticības prezumpciju.
Pretējā gadījumā pētnieks arī pēc ziņojuma iesniegšanas var saskarties ar juridiskām pretenzijām un būt spiests ilgstoši aizstāvēt savas rīcības tiesiskumu, kas var atturēt personas no ziņošanas.
2. Objektīvi ievainojamības izpētes kritēriji
Likumprojektā izmantotie jēdzieni “nepieciešamajā apmērā”, “nesamērīgs slogs” un “neapdraud” ir plaši interpretējami. Pastāv risks, ka pētnieka rīcība tiks vērtēta retrospektīvi, kad jau kļuvušas zināmas visas sistēmas nepilnības vai radušās neparedzētas sekas.
Aicinu noteikt, ka personas rīcības atbilstība likuma prasībām vērtējama, ņemot vērā informāciju un apstākļus, kas personai bija zināmi vai ko tai saprātīgi vajadzēja zināt darbības veikšanas laikā.
Tāpat būtu skaidri jāatļauj minimāla ievainojamības pārbaude tādā apjomā, kas nepieciešams, lai sagatavotu ticamu un reproducējamu pierādījumu.
Anotācijā vienlaikus norādīts, ka darbības drīkst veikt ievainojamības pārbaudei, bet ievainojamību nedrīkst izmantot tās ietekmes pārbaudei. Praksē šos jēdzienus ne vienmēr iespējams nodalīt. Piemēram, piekļuves kontroles ievainojamības esamību dažkārt iespējams pierādīt tikai, konstatējot cita lietotāja objekta esību vai tehniskos metadatus, nepiekļūstot tā saturam vairāk, nekā nepieciešams ievainojamības apstiprināšanai.
Vienlaikus regulējumā vai saistošajās vadlīnijās var skaidri norādīt nepieļaujamās darbības, piemēram, pakalpojuma atteices uzbrukumus, sociālo inženieriju, pārlases uzbrukumus, auditācijas pierakstu dzēšanu un datu izgūšanu apjomā, kas pārsniedz minimāli nepieciešamo pierādījumiem.
3. Ziņojumu pieņemšanas un apstrādes process
Likumprojekts paredz subjekta pienākumu informēt kiberincidentu novēršanas institūciju un veikt ievainojamības novēršanai nepieciešamās darbības, taču nenosaka pienākumu apstiprināt ziņojuma saņemšanu vai sniegt pētniekam sākotnējo atbildi.
Aicinu paredzēt, ka subjektam:
1) jānodrošina publiski pieejams un viegli atrodams ievainojamību ziņošanas kanāls, piemēram, dalība CERT.LV CVD platformā, drošības kontaktinformācijas publicēšana atbilstoši RFC 9116 vai līdzvērtīgs risinājums;
2) noteiktā termiņā jāapstiprina ziņojuma saņemšana;
3) jāinformē pētnieks par ziņojuma nodošanu kompetentajai institūcijai un sākotnējā izvērtējuma rezultātu;
4) ciktāl iespējams, jāinformē pētnieks par ievainojamības novēršanas gaitu un gala rezultātu.
Tāpat skaidri jānosaka, vai ziņojuma iesniegšana tieši subjektam izpilda arī personas pienākumu ziņot kompetentajai kiberincidentu novēršanas institūcijai. Pētniekam nevajadzētu vienu un to pašu ziņojumu paralēli iesniegt diviem adresātiem, ja subjektam jau ir pienākums to pārsūtīt kompetentajai institūcijai.
4. Regulējuma tvērums un īpaši aizsargāti resursi
Pētniekam ne vienmēr ir iespējams noskaidrot vai konkrētā organizācija ir NKDL subjekts un vai attiecīgais domēns, IP adrese vai informācijas sistēma pieder subjektam vai atrodas tā kontrolē.
Aicinu precizēt, kā persona var noteikt, vai konkrētais resurss ietilpst regulējuma tvērumā.
5. Pēcpārbaudes izvērtējums
Aicinu paredzēt regulējuma ex-post izvērtējumu 24 mēnešus pēc tā spēkā stāšanās, analizējot ziņojumu skaitu, apstiprināto un novērsto ievainojamību īpatsvaru, apstrādes termiņus, gadījumus, kuros pret pētniekiem izvirzītas juridiskas pretenzijas, kā arī konfliktus starp pētniekiem un subjektiem.
Balstoties personīgajā praktiskajā pieredzē, ziņojot par ievainojamībām CERT.LV, citu valstu CERT un bug bounty programmās, aicinu pirms likumprojekta tālākas virzības precizēt sekojošos jautājumus, lai paredzētā tiesiskā aizsardzība darbotos arī praksē.
1. Skaidra tiesiskā aizsardzība
Anotācijā galvenokārt analizēta Krimināllikuma 241. panta piemērošana, turklāt secinājums par kriminālatbildības neiestāšanos nav tieši nostiprināts likuma normā.
Aicinu izvērtēt un skaidri regulēt labticīga drošības pētnieka aizsardzību arī saistībā ar citām iespējamām krimināltiesiskām, civiltiesiskām, administratīvām un līgumiskām sekām, kā arī personas datu apstrādi, komercnoslēpuma un autortiesību aizsardzību.
Darbību veikšana 39. panta robežās, to pārtraukšana pēc pietiekama pierādījuma iegūšanas, savlaicīga ziņošana un sadarbība ar subjektu vai kompetento kiberincidentu novēršanas institūciju būtu atzīstama par atspēkojamu labticības prezumpciju.
Pretējā gadījumā pētnieks arī pēc ziņojuma iesniegšanas var saskarties ar juridiskām pretenzijām un būt spiests ilgstoši aizstāvēt savas rīcības tiesiskumu, kas var atturēt personas no ziņošanas.
2. Objektīvi ievainojamības izpētes kritēriji
Likumprojektā izmantotie jēdzieni “nepieciešamajā apmērā”, “nesamērīgs slogs” un “neapdraud” ir plaši interpretējami. Pastāv risks, ka pētnieka rīcība tiks vērtēta retrospektīvi, kad jau kļuvušas zināmas visas sistēmas nepilnības vai radušās neparedzētas sekas.
Aicinu noteikt, ka personas rīcības atbilstība likuma prasībām vērtējama, ņemot vērā informāciju un apstākļus, kas personai bija zināmi vai ko tai saprātīgi vajadzēja zināt darbības veikšanas laikā.
Tāpat būtu skaidri jāatļauj minimāla ievainojamības pārbaude tādā apjomā, kas nepieciešams, lai sagatavotu ticamu un reproducējamu pierādījumu.
Anotācijā vienlaikus norādīts, ka darbības drīkst veikt ievainojamības pārbaudei, bet ievainojamību nedrīkst izmantot tās ietekmes pārbaudei. Praksē šos jēdzienus ne vienmēr iespējams nodalīt. Piemēram, piekļuves kontroles ievainojamības esamību dažkārt iespējams pierādīt tikai, konstatējot cita lietotāja objekta esību vai tehniskos metadatus, nepiekļūstot tā saturam vairāk, nekā nepieciešams ievainojamības apstiprināšanai.
Vienlaikus regulējumā vai saistošajās vadlīnijās var skaidri norādīt nepieļaujamās darbības, piemēram, pakalpojuma atteices uzbrukumus, sociālo inženieriju, pārlases uzbrukumus, auditācijas pierakstu dzēšanu un datu izgūšanu apjomā, kas pārsniedz minimāli nepieciešamo pierādījumiem.
3. Ziņojumu pieņemšanas un apstrādes process
Likumprojekts paredz subjekta pienākumu informēt kiberincidentu novēršanas institūciju un veikt ievainojamības novēršanai nepieciešamās darbības, taču nenosaka pienākumu apstiprināt ziņojuma saņemšanu vai sniegt pētniekam sākotnējo atbildi.
Aicinu paredzēt, ka subjektam:
1) jānodrošina publiski pieejams un viegli atrodams ievainojamību ziņošanas kanāls, piemēram, dalība CERT.LV CVD platformā, drošības kontaktinformācijas publicēšana atbilstoši RFC 9116 vai līdzvērtīgs risinājums;
2) noteiktā termiņā jāapstiprina ziņojuma saņemšana;
3) jāinformē pētnieks par ziņojuma nodošanu kompetentajai institūcijai un sākotnējā izvērtējuma rezultātu;
4) ciktāl iespējams, jāinformē pētnieks par ievainojamības novēršanas gaitu un gala rezultātu.
Tāpat skaidri jānosaka, vai ziņojuma iesniegšana tieši subjektam izpilda arī personas pienākumu ziņot kompetentajai kiberincidentu novēršanas institūcijai. Pētniekam nevajadzētu vienu un to pašu ziņojumu paralēli iesniegt diviem adresātiem, ja subjektam jau ir pienākums to pārsūtīt kompetentajai institūcijai.
4. Regulējuma tvērums un īpaši aizsargāti resursi
Pētniekam ne vienmēr ir iespējams noskaidrot vai konkrētā organizācija ir NKDL subjekts un vai attiecīgais domēns, IP adrese vai informācijas sistēma pieder subjektam vai atrodas tā kontrolē.
Aicinu precizēt, kā persona var noteikt, vai konkrētais resurss ietilpst regulējuma tvērumā.
5. Pēcpārbaudes izvērtējums
Aicinu paredzēt regulējuma ex-post izvērtējumu 24 mēnešus pēc tā spēkā stāšanās, analizējot ziņojumu skaitu, apstiprināto un novērsto ievainojamību īpatsvaru, apstrādes termiņus, gadījumus, kuros pret pētniekiem izvirzītas juridiskas pretenzijas, kā arī konfliktus starp pētniekiem un subjektiem.
30.07.2026. 16:51
26-TA-1830/5
Fiziska persona
Šī panta redakcija faktiski pieļauj situāciju, kurā ievainojamību pārbaudes jeb darbības, kas pēc būtības var ietvert kiberuzbrukuma pazīmes, var veikt jebkura persona, nenosakot konkrētas prasības šādu darbību veicējiem, to kvalifikācijai, pilnvarojumam vai uzraudzības mehānismam.
Vienlaikus nav skaidri noteikts, vai ievainojamību pārbaudes veicējam pirms šādu darbību uzsākšanas ir pienākums tās saskaņot ar kompetentajām valsts institūcijām, piemēram, SAB, Nacionālo kiberdrošības centru vai CERT.LV. Minētā aspekta neesamība rada tiesisko nenoteiktību un potenciālus drošības riskus.
Pašreizējā redakcija var novest pie situācijas, ka persona veic darbības, kuras objektīvi atbilst kiberuzbrukuma pazīmēm, bet konstatēšanas gadījumā atsaucas uz 39. pantā paredzēto tiesisko regulējumu kā pamatojumu savai rīcībai. Savukārt gadījumos, kad šādas darbības netiek atklātas, pastāv risks, ka tās var tikt izmantotas arī citiem, neatļautiem mērķiem.
Ņemot vērā, ka Latvijā jau pastāv institūcijas, kuru kompetencē ir kiberdrošības jautājumi, būtu lietderīgi noteikt, ka ievainojamību pārbaudes tiek organizētas, koordinētas un uzraudzītas šo institūciju pārraudzībā. Tas nodrošinātu skaidru atbildības sadalījumu, uzraudzības mehānismu un efektīvu risku pārvaldību gadījumos, kad pārbaudes rezultātā tiek radīti traucējumi vai citas negatīvas sekas.
Tāpat būtu nepieciešams paredzēt normatīvu regulējumu par autorizētu ievainojamību pārbaudītāju jeb tā dēvēto “balto hakeru” reģistru, nosakot to reģistrācijas kārtību, kvalifikācijas prasības un pienākumu iepriekš pieteikt plānotās pārbaudes. Papildus būtu apsverama prasība par attiecīgās iestādes vai kritiskās infrastruktūras turētāja informēšanu par plānoto pārbaudi, lai veicinātu savlaicīgu incidentu atpazīšanas un reaģēšanas spēju pilnveidi.
Regulējuma pamatmērķim būtu jābūt ne tikai ievainojamību identificēšanai, bet arī valsts, pašvaldību un privātā sektora sadarbības veicināšanai kiberdrošības jomā, sekmējot kopīgu mācīšanos, pieredzes apmaiņu un kiberdrošības risku samazināšanu līdz iespējami zemākajam līmenim.
Vienlaikus nav skaidri noteikts, vai ievainojamību pārbaudes veicējam pirms šādu darbību uzsākšanas ir pienākums tās saskaņot ar kompetentajām valsts institūcijām, piemēram, SAB, Nacionālo kiberdrošības centru vai CERT.LV. Minētā aspekta neesamība rada tiesisko nenoteiktību un potenciālus drošības riskus.
Pašreizējā redakcija var novest pie situācijas, ka persona veic darbības, kuras objektīvi atbilst kiberuzbrukuma pazīmēm, bet konstatēšanas gadījumā atsaucas uz 39. pantā paredzēto tiesisko regulējumu kā pamatojumu savai rīcībai. Savukārt gadījumos, kad šādas darbības netiek atklātas, pastāv risks, ka tās var tikt izmantotas arī citiem, neatļautiem mērķiem.
Ņemot vērā, ka Latvijā jau pastāv institūcijas, kuru kompetencē ir kiberdrošības jautājumi, būtu lietderīgi noteikt, ka ievainojamību pārbaudes tiek organizētas, koordinētas un uzraudzītas šo institūciju pārraudzībā. Tas nodrošinātu skaidru atbildības sadalījumu, uzraudzības mehānismu un efektīvu risku pārvaldību gadījumos, kad pārbaudes rezultātā tiek radīti traucējumi vai citas negatīvas sekas.
Tāpat būtu nepieciešams paredzēt normatīvu regulējumu par autorizētu ievainojamību pārbaudītāju jeb tā dēvēto “balto hakeru” reģistru, nosakot to reģistrācijas kārtību, kvalifikācijas prasības un pienākumu iepriekš pieteikt plānotās pārbaudes. Papildus būtu apsverama prasība par attiecīgās iestādes vai kritiskās infrastruktūras turētāja informēšanu par plānoto pārbaudi, lai veicinātu savlaicīgu incidentu atpazīšanas un reaģēšanas spēju pilnveidi.
Regulējuma pamatmērķim būtu jābūt ne tikai ievainojamību identificēšanai, bet arī valsts, pašvaldību un privātā sektora sadarbības veicināšanai kiberdrošības jomā, sekmējot kopīgu mācīšanos, pieredzes apmaiņu un kiberdrošības risku samazināšanu līdz iespējami zemākajam līmenim.
04.08.2026. 11:12
26-TA-1830/6
Zigmārs Ancveirs
1. Kopsavilkums
Priekšlikumi iesniegti kā privātpersonas un autora neatkarīga profesionāla iniciatīva. Tie nav priekšlikums radīt vispārēju imunitāti vai neierobežotas tiesības testēt informācijas sistēmas.
Atbalstu 26-TA-1830 mērķi radīt paredzamu tiesisko vidi labticīgai ievainojamību izpētei.
Publiskajā apspriešanā jau ir iesniegti detalizēti viedokļi par minimālu pārbaudi, tiesiskās aizsardzības tvērumu, ziņošanas kanāliem un ex-post izvērtējumu. Tādēļ šis komentārs apzināti koncentrējas uz sešiem papildu juridiskās piemērošanas jautājumiem, kas, manuprāt, vēl prasa precizējumu.
2. Anotācijas ex-ante izvērtējuma iekšējā konsekvence
Projekta publiskās apspriešanas materiāls un anotācija apraksta jaunu personu darbību pieļaujamības režīmu un jaunu subjekta pienākumu apstrādāt arī tieši saņemtus ziņojumus.
Vienlaikus anotācijā vairākās ietekmes sadaļās norādīts, ka projekts attiecīgo jomu neskar, tostarp attiecībā uz tiesību normu sistēmu, institūcijām, cilvēktiesībām un datu aizsardzību, bet ex-post izvērtējums nav paredzēts.
Papildus anotācijas 6. sadaļā ir lauks "Sabiedrības līdzdalība uz šo tiesību akta projektu neattiecas", kurā pašlaik norādīta tikai zīme "–", lai gan projektam TAP portālā ir izsludināta publiskā apspriešana no 2026. gada 29. jūlija līdz 28. augustam. Lūdzu aktualizēt anotācijas 6. sadaļu atbilstoši faktiskajam sabiedrības līdzdalības procesam.
Lūdzu pārbaudīt šo sadaļu savstarpējo konsekvenci un, ja nepieciešams, papildināt pamatojumu atbilstoši Ministru kabineta noteikumu Nr. 617 ex-ante izvērtējuma sistēmiskuma, vispusīguma, samērīguma un objektivitātes principiem.
Šis lūgums nenozīmē iepriekšēju secinājumu, ka konkrētai anotācijas atzīmei obligāti jābūt "Jā".
3. Subjekta resursa juridiskās kontroles robeža
Lūdzu precizēt, kā projektā paredzētais 39. panta režīms piemērojams mākoņa, SaaS, CDN/WAF, API, MSP/MSSP un citai koplietotai vai trešās personas infrastruktūrai.
Tehniska sasniedzamība, integrācija vai izmantošana pati par sevi nenozīmē, ka NKDL subjektam ir tiesības atļaut konkrētas pārbaudes darbības visā trešās personas infrastruktūrā.
Ierosinu skaidrot, ka režīms attiecas tikai uz tādu resursu vai tā daļu, attiecībā uz kuru subjektam ir juridiski pietiekama kontrole vai pilnvarojums pieļaut konkrēto pārbaudi.
Ja minimāli nepieciešamā pārbaude norāda, ka ievainojamība var skart koplietotu komponentu, piegādātāja resursu, vairākus subjektus vai pārrobežu infrastruktūru, pētniekam nevajadzētu paplašināt testēšanu uz šiem resursiem tikai tādēļ, lai pašam pierādītu pilnu sistēmisko tvērumu. Šādā situācijā 39. panta piemērošanai būtu skaidri sasaistāms pārtraukšanas un eskalācijas princips ar 40. pantā jau paredzēto kompetentās kiberincidentu novēršanas institūcijas koordinācijas mehānismu.
4. NKDL pieļaujamības režīms, CVD Programma, bug bounty un cita testēšanas autorizācija
Lūdzu izvairīties no abiem galējiem skaidrojumiem - ne "atļauts tikai tas, kas ir Programmas tvērumā", ne "ja NKDL pieļauj, Programmas noteikumiem nav juridiskas nozīmes".
Normatīvajam slānim jānosaka 39. pantā paredzētās darbību pieļaujamības robežas. CVD Programma var dot papildu skaidrību, noteikt īpaši norādītu resursu un procesa tvērumu, papildu piekrišanu un atlīdzības nosacījumus tikai tajā apjomā, kādā Resursa pārzinis ir tiesīgs tos noteikt.
Jāņem vērā arī tas, ka CERT.LV Ievainojamību ziņošanas platformas noteikumos "Resursu pārzinis" ir definēts plašāk par NKDL subjektu loku. Tādēļ CVD platformā iesaistāmo Resursu pārziņu loks un projektā paredzētā 39. panta režīma subjektu un resursu tvērums nav automātiski identiski. Ja konkrētā Resursa pārzinis nav NKDL subjekts, attiecīgās testēšanas tiesiskais pamats jāvērtē atsevišķi, tostarp pēc konkrētās Programmas vai citas autorizācijas.
CVD un bug bounty nav sinonīmi, un to tiesiskās sekas nav automātiski identiskas. Šajā komentārā ar bug bounty saprotams konkrētas Programmas ietvaros iepriekš paredzēts atlīdzības mehānisms par Programmas nosacījumiem atbilstošu ievainojamības ziņojumu. Atlīdzības esība vai sagaidīšana pati par sevi nerada un nepaplašina tiesības veikt testēšanu, kā arī nepaplašina atļauto darbību, resursu vai trešo personu infrastruktūras tvērumu.
Attiecīgi CVD process, bug bounty atlīdzības mehānisms, līgumiska ielaušanās pārbaude (pentests), red team tipa pārbaude un cita īpaša testēšanas autorizācija nebūtu interpretējami kā viens un tas pats tiesiskais pamats. Testēšanas tiesību tvērumam katrā gadījumā jāizriet no piemērojamā normatīvā regulējuma un konkrētās autorizācijas, nevis no atlīdzības fakta.
Ja CVD Programmas noteikumiem ir juridiska nozīme konkrētās darbības izvērtēšanā, jābūt auditējami nosakāmam, kāda Programmas redakcija, testēšanas tvērums un ierobežojumi bija spēkā attiecīgās darbības veikšanas brīdī.
Speciālais regulējums saglabā piemērojamību.
5. NKDL 39. panta piektās daļas informācijas izpaušanas režīma salāgošana
Spēkā esošais NKDL 39. panta piektās daļas režīms nosaka ievainojamības informācijas ierobežotas pieejamības statusu, neizpaušanas pienākumu un kompetentās kiberincidentu novēršanas institūcijas tiesības noteikt konkrētās ievainojamības informācijas izpaušanas nosacījumus, kārtību un apjomu.
Lūdzu skaidri salāgot šo režīmu ar Resursa pārziņa ievainojamību atklāšanas vai ziņošanas politiku, CVD Programmas un bug bounty publicēšanas noteikumiem, lai ne Programmas noteikumos paredzēta publicēšanas termiņa iestāšanās, ne ievainojamības novēršanas termiņa izbeigšanās pati par sevi netiktu interpretēta kā automātisku publicēšanas tiesību rašanās.
6. MK noteikumu Nr. 397 organizētās testēšanas režīma nošķiršana
Ministru kabineta noteikumu Nr. 397 8.2. apakšnodaļa regulē ielaušanās testus un drošības skenēšanu.
Īpaši lūdzu precīzi norobežot 138.3. apakšpunktā paredzēto 48 stundu iepriekšējās informēšanas prasību - tā attiecas uz 138. punktā regulēto IKT kritiskās infrastruktūras drošības skenēšanu, ko veic saskaņā ar 136.2. vai 136.3. apakšpunktu, un nav jau spēkā esošs universāls noteikums jebkurai neatkarīgai CVD izpētei.
Ja neatkarīgai izpētei kritiskajā infrastruktūrā nepieciešami papildu nosacījumi, tiem jābūt skaidri noteiktiem atbilstošā tiesiskā līmenī.
7. Ko projektā paredzētais 39. panta režīms atrisina un ko tas pats par sevi neatceļ
Lūdzu anotācijā ar praktiskiem scenārijiem parādīt jaunās normas juridisko efektu.
Piemēram, 39. pantā paredzēts tiesisks pamats var būt nozīmīgs Krimināllikuma 241. panta "bez attiecīgas atļaujas" elementa izvērtējumā, bet tas pats par sevi automātiski neizslēdz citu piemērojamo tiesību normu prasības un ierobežojumus, tostarp personas datu aizsardzības, elektronisko sakaru konfidencialitātes, komercnoslēpuma, datu un sistēmu integritātes, civiltiesiskās atbildības un trešo personu infrastruktūras aizsardzības jomā.
Tāpat tiesības ievainojamību identificēt, minimāli pārbaudīt un par to ziņot pašas par sevi nerada pilnvarojumu rīkoties subjekta vārdā, pārstāvēt subjektu attiecībās ar trešajām personām vai patstāvīgi pārņemt incidenta vadību.
Praktiskajos scenārijos būtu lietderīgi nošķirt arī apzinātu darbību ārpus atļautā resursa vai darbību tvēruma no tehniski neparedzamas, minimālas un nekavējoties pārtrauktas novirzes. Šāds nošķīrums pats par sevi nerada imunitāti, bet ļauj konkrēto rīcību vērtēt pēc faktiskajiem apstākļiem.
Juridiski profesionālāk šīs robežas aprakstīt pēc faktiskajiem scenārijiem, nevis ar vienu garu Krimināllikuma pantu uzskaitījumu.
8. Noslēguma lūgums
Lūdzu projekta turpmākajā izstrādē prioritāri:
– pārbaudīt anotācijas ex-ante izvērtējuma iekšējo konsekvenci un aktualizēt sabiedrības līdzdalības sadaļu;
– definēt subjekta juridiskās kontroles robežu koplietotai un trešo personu infrastruktūrai un paredzēt skaidru pārtraukšanas un eskalācijas ceļu vairāku pušu vai pārrobežu ievainojamības gadījumā;
– skaidri salāgot NKDL 39. panta pieļaujamības režīmu ar CVD Programmas tvērumu, tostarp gadījumos, kad CVD platformas Resursu pārzinis nav NKDL subjekts;
– nošķirt CVD procesu, bug bounty atlīdzības mehānismu, līgumisku ielaušanās pārbaudi, red team tipa pārbaudi un citu īpašu testēšanas autorizāciju, kā arī nodrošināt Programmas nosacījumu redakcijas auditējamību;
– skaidri salāgot 39. panta piektās daļas informācijas izpaušanas režīmu ar Resursa pārziņa ievainojamību atklāšanas vai ziņošanas politiku, CVD Programmas un bug bounty publicēšanas noteikumiem;
– precīzi nošķirt Ministru kabineta noteikumu Nr. 397 organizētās testēšanas režīmu;
– anotācijā ar praktiskiem scenārijiem paskaidrot jaunās normas juridiskās sekas un robežas, tostarp nejaušas tvēruma novirzes un darbības pēc ievainojamības konstatēšanas.
9. Galvenie pārbaudes avoti
Tiesību akta projekts 26-TA-1830 un tā anotācija; Nacionālās kiberdrošības likuma 39. un 40. pants, kā arī 41. pants, ciktāl tas attiecas uz uzraudzības kompetenču nošķīrumu; Ministru kabineta noteikumi Nr. 397, īpaši 136.2., 136.3. un 138.3. apakšpunkts; Ministru kabineta noteikumi Nr. 617; CERT.LV Ievainojamību ziņošanas platformas lietošanas noteikumi, kas spēkā no 2026. gada 1. augusta, īpaši Programmas, Resursa un Resursu pārziņa definīcijas, atlīdzības (Bug Bounty) nosacījumi, Programmas aktualitātes prasības un informācijas publiskošanas kārtība; Eiropas Parlamenta un Padomes Direktīvas (ES) 2022/2555 (NIS2) 12. pants.
Priekšlikumi iesniegti kā privātpersonas un autora neatkarīga profesionāla iniciatīva. Tie nav priekšlikums radīt vispārēju imunitāti vai neierobežotas tiesības testēt informācijas sistēmas.
Atbalstu 26-TA-1830 mērķi radīt paredzamu tiesisko vidi labticīgai ievainojamību izpētei.
Publiskajā apspriešanā jau ir iesniegti detalizēti viedokļi par minimālu pārbaudi, tiesiskās aizsardzības tvērumu, ziņošanas kanāliem un ex-post izvērtējumu. Tādēļ šis komentārs apzināti koncentrējas uz sešiem papildu juridiskās piemērošanas jautājumiem, kas, manuprāt, vēl prasa precizējumu.
2. Anotācijas ex-ante izvērtējuma iekšējā konsekvence
Projekta publiskās apspriešanas materiāls un anotācija apraksta jaunu personu darbību pieļaujamības režīmu un jaunu subjekta pienākumu apstrādāt arī tieši saņemtus ziņojumus.
Vienlaikus anotācijā vairākās ietekmes sadaļās norādīts, ka projekts attiecīgo jomu neskar, tostarp attiecībā uz tiesību normu sistēmu, institūcijām, cilvēktiesībām un datu aizsardzību, bet ex-post izvērtējums nav paredzēts.
Papildus anotācijas 6. sadaļā ir lauks "Sabiedrības līdzdalība uz šo tiesību akta projektu neattiecas", kurā pašlaik norādīta tikai zīme "–", lai gan projektam TAP portālā ir izsludināta publiskā apspriešana no 2026. gada 29. jūlija līdz 28. augustam. Lūdzu aktualizēt anotācijas 6. sadaļu atbilstoši faktiskajam sabiedrības līdzdalības procesam.
Lūdzu pārbaudīt šo sadaļu savstarpējo konsekvenci un, ja nepieciešams, papildināt pamatojumu atbilstoši Ministru kabineta noteikumu Nr. 617 ex-ante izvērtējuma sistēmiskuma, vispusīguma, samērīguma un objektivitātes principiem.
Šis lūgums nenozīmē iepriekšēju secinājumu, ka konkrētai anotācijas atzīmei obligāti jābūt "Jā".
3. Subjekta resursa juridiskās kontroles robeža
Lūdzu precizēt, kā projektā paredzētais 39. panta režīms piemērojams mākoņa, SaaS, CDN/WAF, API, MSP/MSSP un citai koplietotai vai trešās personas infrastruktūrai.
Tehniska sasniedzamība, integrācija vai izmantošana pati par sevi nenozīmē, ka NKDL subjektam ir tiesības atļaut konkrētas pārbaudes darbības visā trešās personas infrastruktūrā.
Ierosinu skaidrot, ka režīms attiecas tikai uz tādu resursu vai tā daļu, attiecībā uz kuru subjektam ir juridiski pietiekama kontrole vai pilnvarojums pieļaut konkrēto pārbaudi.
Ja minimāli nepieciešamā pārbaude norāda, ka ievainojamība var skart koplietotu komponentu, piegādātāja resursu, vairākus subjektus vai pārrobežu infrastruktūru, pētniekam nevajadzētu paplašināt testēšanu uz šiem resursiem tikai tādēļ, lai pašam pierādītu pilnu sistēmisko tvērumu. Šādā situācijā 39. panta piemērošanai būtu skaidri sasaistāms pārtraukšanas un eskalācijas princips ar 40. pantā jau paredzēto kompetentās kiberincidentu novēršanas institūcijas koordinācijas mehānismu.
4. NKDL pieļaujamības režīms, CVD Programma, bug bounty un cita testēšanas autorizācija
Lūdzu izvairīties no abiem galējiem skaidrojumiem - ne "atļauts tikai tas, kas ir Programmas tvērumā", ne "ja NKDL pieļauj, Programmas noteikumiem nav juridiskas nozīmes".
Normatīvajam slānim jānosaka 39. pantā paredzētās darbību pieļaujamības robežas. CVD Programma var dot papildu skaidrību, noteikt īpaši norādītu resursu un procesa tvērumu, papildu piekrišanu un atlīdzības nosacījumus tikai tajā apjomā, kādā Resursa pārzinis ir tiesīgs tos noteikt.
Jāņem vērā arī tas, ka CERT.LV Ievainojamību ziņošanas platformas noteikumos "Resursu pārzinis" ir definēts plašāk par NKDL subjektu loku. Tādēļ CVD platformā iesaistāmo Resursu pārziņu loks un projektā paredzētā 39. panta režīma subjektu un resursu tvērums nav automātiski identiski. Ja konkrētā Resursa pārzinis nav NKDL subjekts, attiecīgās testēšanas tiesiskais pamats jāvērtē atsevišķi, tostarp pēc konkrētās Programmas vai citas autorizācijas.
CVD un bug bounty nav sinonīmi, un to tiesiskās sekas nav automātiski identiskas. Šajā komentārā ar bug bounty saprotams konkrētas Programmas ietvaros iepriekš paredzēts atlīdzības mehānisms par Programmas nosacījumiem atbilstošu ievainojamības ziņojumu. Atlīdzības esība vai sagaidīšana pati par sevi nerada un nepaplašina tiesības veikt testēšanu, kā arī nepaplašina atļauto darbību, resursu vai trešo personu infrastruktūras tvērumu.
Attiecīgi CVD process, bug bounty atlīdzības mehānisms, līgumiska ielaušanās pārbaude (pentests), red team tipa pārbaude un cita īpaša testēšanas autorizācija nebūtu interpretējami kā viens un tas pats tiesiskais pamats. Testēšanas tiesību tvērumam katrā gadījumā jāizriet no piemērojamā normatīvā regulējuma un konkrētās autorizācijas, nevis no atlīdzības fakta.
Ja CVD Programmas noteikumiem ir juridiska nozīme konkrētās darbības izvērtēšanā, jābūt auditējami nosakāmam, kāda Programmas redakcija, testēšanas tvērums un ierobežojumi bija spēkā attiecīgās darbības veikšanas brīdī.
Speciālais regulējums saglabā piemērojamību.
5. NKDL 39. panta piektās daļas informācijas izpaušanas režīma salāgošana
Spēkā esošais NKDL 39. panta piektās daļas režīms nosaka ievainojamības informācijas ierobežotas pieejamības statusu, neizpaušanas pienākumu un kompetentās kiberincidentu novēršanas institūcijas tiesības noteikt konkrētās ievainojamības informācijas izpaušanas nosacījumus, kārtību un apjomu.
Lūdzu skaidri salāgot šo režīmu ar Resursa pārziņa ievainojamību atklāšanas vai ziņošanas politiku, CVD Programmas un bug bounty publicēšanas noteikumiem, lai ne Programmas noteikumos paredzēta publicēšanas termiņa iestāšanās, ne ievainojamības novēršanas termiņa izbeigšanās pati par sevi netiktu interpretēta kā automātisku publicēšanas tiesību rašanās.
6. MK noteikumu Nr. 397 organizētās testēšanas režīma nošķiršana
Ministru kabineta noteikumu Nr. 397 8.2. apakšnodaļa regulē ielaušanās testus un drošības skenēšanu.
Īpaši lūdzu precīzi norobežot 138.3. apakšpunktā paredzēto 48 stundu iepriekšējās informēšanas prasību - tā attiecas uz 138. punktā regulēto IKT kritiskās infrastruktūras drošības skenēšanu, ko veic saskaņā ar 136.2. vai 136.3. apakšpunktu, un nav jau spēkā esošs universāls noteikums jebkurai neatkarīgai CVD izpētei.
Ja neatkarīgai izpētei kritiskajā infrastruktūrā nepieciešami papildu nosacījumi, tiem jābūt skaidri noteiktiem atbilstošā tiesiskā līmenī.
7. Ko projektā paredzētais 39. panta režīms atrisina un ko tas pats par sevi neatceļ
Lūdzu anotācijā ar praktiskiem scenārijiem parādīt jaunās normas juridisko efektu.
Piemēram, 39. pantā paredzēts tiesisks pamats var būt nozīmīgs Krimināllikuma 241. panta "bez attiecīgas atļaujas" elementa izvērtējumā, bet tas pats par sevi automātiski neizslēdz citu piemērojamo tiesību normu prasības un ierobežojumus, tostarp personas datu aizsardzības, elektronisko sakaru konfidencialitātes, komercnoslēpuma, datu un sistēmu integritātes, civiltiesiskās atbildības un trešo personu infrastruktūras aizsardzības jomā.
Tāpat tiesības ievainojamību identificēt, minimāli pārbaudīt un par to ziņot pašas par sevi nerada pilnvarojumu rīkoties subjekta vārdā, pārstāvēt subjektu attiecībās ar trešajām personām vai patstāvīgi pārņemt incidenta vadību.
Praktiskajos scenārijos būtu lietderīgi nošķirt arī apzinātu darbību ārpus atļautā resursa vai darbību tvēruma no tehniski neparedzamas, minimālas un nekavējoties pārtrauktas novirzes. Šāds nošķīrums pats par sevi nerada imunitāti, bet ļauj konkrēto rīcību vērtēt pēc faktiskajiem apstākļiem.
Juridiski profesionālāk šīs robežas aprakstīt pēc faktiskajiem scenārijiem, nevis ar vienu garu Krimināllikuma pantu uzskaitījumu.
8. Noslēguma lūgums
Lūdzu projekta turpmākajā izstrādē prioritāri:
– pārbaudīt anotācijas ex-ante izvērtējuma iekšējo konsekvenci un aktualizēt sabiedrības līdzdalības sadaļu;
– definēt subjekta juridiskās kontroles robežu koplietotai un trešo personu infrastruktūrai un paredzēt skaidru pārtraukšanas un eskalācijas ceļu vairāku pušu vai pārrobežu ievainojamības gadījumā;
– skaidri salāgot NKDL 39. panta pieļaujamības režīmu ar CVD Programmas tvērumu, tostarp gadījumos, kad CVD platformas Resursu pārzinis nav NKDL subjekts;
– nošķirt CVD procesu, bug bounty atlīdzības mehānismu, līgumisku ielaušanās pārbaudi, red team tipa pārbaudi un citu īpašu testēšanas autorizāciju, kā arī nodrošināt Programmas nosacījumu redakcijas auditējamību;
– skaidri salāgot 39. panta piektās daļas informācijas izpaušanas režīmu ar Resursa pārziņa ievainojamību atklāšanas vai ziņošanas politiku, CVD Programmas un bug bounty publicēšanas noteikumiem;
– precīzi nošķirt Ministru kabineta noteikumu Nr. 397 organizētās testēšanas režīmu;
– anotācijā ar praktiskiem scenārijiem paskaidrot jaunās normas juridiskās sekas un robežas, tostarp nejaušas tvēruma novirzes un darbības pēc ievainojamības konstatēšanas.
9. Galvenie pārbaudes avoti
Tiesību akta projekts 26-TA-1830 un tā anotācija; Nacionālās kiberdrošības likuma 39. un 40. pants, kā arī 41. pants, ciktāl tas attiecas uz uzraudzības kompetenču nošķīrumu; Ministru kabineta noteikumi Nr. 397, īpaši 136.2., 136.3. un 138.3. apakšpunkts; Ministru kabineta noteikumi Nr. 617; CERT.LV Ievainojamību ziņošanas platformas lietošanas noteikumi, kas spēkā no 2026. gada 1. augusta, īpaši Programmas, Resursa un Resursu pārziņa definīcijas, atlīdzības (Bug Bounty) nosacījumi, Programmas aktualitātes prasības un informācijas publiskošanas kārtība; Eiropas Parlamenta un Padomes Direktīvas (ES) 2022/2555 (NIS2) 12. pants.
09.08.2026. 18:40
26-TA-1830/8
SIA "Rīgas Austrumu klīniskā universitātes slimnīca"
SIA “Rīgas Austrumu klīniskā universitātes slimnīca” (turpmāk – Slimnīca) ir izvērtējusi Nacionālās kiberdrošības likuma grozījumu projektu (Nr. 26-TA-1830) (turpmāk – likumprojekts) un atbalsta likumprojekta mērķi veicināt koordinētu ievainojamību atklāšanu un radīt tiesiski paredzamu vidi personām, kuras labticīgi identificē informācijas sistēmu ievainojamības. Taču, Slimnīcas ieskatā, likumprojektā piedāvātā Nacionālās kiberdrošības likuma 39. panta redakcija pašreizējā formā nenodrošina pietiekamu līdzsvaru starp ievainojamību atklāšanas veicināšanu, no vienas puses, un subjekta pienākumu nodrošināt informācijas sistēmu drošību, personas datu aizsardzību un būtisko pakalpojumu darbības nepārtrauktību, no otras puses.
Ārstniecības iestāžu gadījumā īpaši jāņem vērā, ka informācijas sistēmu darbības traucējumi var tieši ietekmēt diagnostikas, ārstniecības, laboratorisko izmeklējumu, medikamentu aprites un citus pacientu aprūpes procesus, savukārt šajās sistēmās tiek apstrādāts ievērojams apjoms īpašu kategoriju personas datu, tostarp veselības un ģenētisko datu.
Ievērojot minēto, Slimnīca izsaka šādus priekšlikumus:
[1] Slimnīca aicina precizēt likumprojektu, paredzot, ka IKT kritiskās infrastruktūras, ārstniecības procesam kritiski nozīmīgu informācijas sistēmu un medicīnisko tehnoloģiju aktīva testēšana ir pieļaujama tikai pēc iepriekšējas subjekta informēšanas vai kompetentās kiberincidentu novēršanas institūcijas (CERT.LV) koordinēta ievainojamību atklāšanas procesa ietvaros.
Šāds ierobežojums ir nepieciešams, jo ārstniecības iestādē pat īslaicīgs vai neparedzēts informācijas sistēmas vai medicīniskās tehnoloģijas darbības traucējums var ietekmēt diagnostiku, ārstniecību un pacientu aprūpes nepārtrauktību, tādējādi radot apdraudējumu pacientu veselībai vai dzīvībai.
[2] Likumprojektā vai anotācijā skaidri nodalīt minimālas ievainojamības pārbaudi no aktīvas testēšanas un noteikt, ka bez iepriekšējas koordinācijas nav pieļaujamas tādas darbības kā intensīva automatizēta ievainojamību skenēšana, masveida portu skenēšana, privilēģiju eskalācijas mēģinājumi, autentifikācijas mehānismu apiešana, sistēmas stāvokli mainoša ekspluatācija un medicīnisko ierīču testēšana produkcijas vidē. Šādas darbības var radīt pakalpojumu traucējumus arī bez ļaunprātīga nodoma.
[3] Precizēt "labticīga pētnieka" definīciju - likumprojektā ietvertā regulējuma esošā redakcija galvenokārt raksturo atļautās darbības, bet nepietiekami nosaka pētnieka turpmāko rīcību. Vienlaikus Nacionālās kiberdrošības likuma spēkā esošais 39. pants pieļauj anonīmu ziņošanu, tādēļ obligāta identificēšanās visos gadījumos nebūtu salāgojama ar esošo regulējumu.
Ievērojot minēto, neskarot likumā paredzēto iespēju ievainojamības ziņojumu iesniegt anonīmi, lūdzam noteikt, ka persona, kura veic iepriekš koordinētu aktīvu testēšanu, identificē sevi un norāda kontaktinformāciju. Visos gadījumos personai nekavējoties jāziņo par konstatēto ievainojamību, jāpārtrauc darbības pēc pietiekama pierādījuma iegūšanas un jāievēro informācijas konfidencialitāte.
Tādējādi likumā tiktu skaidrāk noteikti personas pienākumi un kritēriji, kuru ievērošana apliecina, ka darbības veiktas labticīgas ievainojamības atklāšanas ietvaros.
[4] Likumprojekts paredz tiesības noteiktos apstākļos piekļūt subjekta informācijas sistēmā esošajiem datiem. Ārstniecības iestādes informācijas sistēmās tiek apstrādāti veselības, ģenētiskie un citi īpašu kategoriju personas dati. Vienīgi vispārīga prasība piekļūt datiem “nepieciešamajā apmērā”, Slimnīcas ieskatā, nenodrošina pietiekamu tiesisko noteiktību un pacientu datu aizsardzību. Vienlaikus likumprojekta anotācijā norādīts, ka projekts datu aizsardzības jomu neskar, lai gan jaunais regulējums objektīvi var ietvert personas datu apstrādi.
Ievērojot minēto, lūdzam paredzēt īpašas garantijas personas datu, jo īpaši pacientu veselības un citu īpašu kategoriju personas datu aizsardzībai ievainojamību pārbaudes laikā, nosakot, ka bez iepriekšējas saskaņošanas ar subjektu nav pieļaujama mērķtiecīga piekļuve pacientu datu saturam. Ja pacientu dati ievainojamības pārbaudes laikā kļūst pieejami neparedzēti, personai nekavējoties jāpārtrauc turpmāka piekļuve šo datu saturam, un šos datus nedrīkst kopēt, saglabāt, izplatīt vai izmantot citam nolūkam, izņemot minimāli nepieciešamo informāciju ziņojuma par ievainojamību sagatavošanai.
[5] Slimnīca aicina precizēt regulējumu, lai novērstu iespēju izpaust informāciju par ievainojamību, pirms subjektam ir bijusi iespēja veikt tās novēršanai nepieciešamos pasākumus. Spēkā esošā Nacionālās kiberdrošības likuma 39. panta piektā daļa paredz, ka informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija un tās izpaušanas nosacījumus, kārtību un apjomu nosaka kompetentā kiberincidentu novēršanas institūcija.
Ievērojot minēto, lūdzam precizēt, ka ievainojamības novēršanai noteiktā termiņa izbeigšanās pati par sevi nerada tiesības informāciju par ievainojamību izpaust.
Piedāvājam Nacionālās kiberdrošības likuma 39. panta piekto daļu papildināt ar teikumu šādā redakcijā: “Ievainojamības novēršanai noteiktā termiņa izbeigšanās pati par sevi nerada ievainojamības atklāšanas ziņojuma iesniedzējam tiesības izpaust informāciju par atklāto ievainojamību.”
Minētais papildinājums mazinātu risku, ka informācija par ievainojamību tiek izmantota ļaunprātīgi pirms tās novēršanas.
[6] Slimnīca ierosina precizēt likumprojekta 39. panta otro prim daļu, lai no jebkura tieši saņemta ziņojuma par iespējamu ievainojamību automātiski neizrietētu pienākums nekavējoties piemērot pilnu Nacionālās kiberdrošības likuma 40. pantā paredzēto ievainojamības novēršanas procedūru.
Spēkā esošais regulējums paredz, ka kompetentā kiberincidentu novēršanas institūcija pārbauda ievainojamības atklāšanas ziņojumā ietverto informāciju un informē subjektu, ja tā ir novērtēta kā pamatota. Savukārt likumprojektā piedāvātā 39. panta otrā prim daļa paredz subjektam pienākumu veikt 40. pantā noteiktās darbības jau pēc informācijas saņemšanas tieši no personas.
Ievērojot minēto, lūdzam paredzēt, ka subjekts pēc ziņojuma saņemšanas izvērtē tajā norādīto informāciju un iespējamo ievainojamības risku, nepieciešamības gadījumā veic sākotnējos riska mazināšanas pasākumus un informē kompetento kiberincidentu novēršanas institūciju. Ievainojamības novēršanas darbības saskaņā ar 40. pantu veicamas pēc ziņojuma pamatotības izvērtēšanas.
Šāds precizējums nodrošinātu samērīgu pieeju, ņemot vērā, ka ne visi saņemtie ziņojumi būs tehniski pamatoti un konstatētajām ievainojamībām var būt atšķirīgs riska līmenis un novēršanas prioritāte.
[7] Slimnīca aicina precizēt kompetentās kiberincidentu novēršanas institūcijas lomu gadījumos, kad starp subjektu un ievainojamības atklāšanas ziņojuma iesniedzēju rodas domstarpības par personas veikto darbību atbilstību koordinētas ievainojamību atklāšanas principiem.
Likumprojektā izmantotie kritēriji - darbību nepieciešamība, samērīgums un ietekme uz sistēmas drošību - var būt interpretējami atšķirīgi. Tādēļ kompetentās institūcijas iesaiste šādu situāciju izvērtēšanā mazinātu tiesisko nenoteiktību un iespējamos strīdus starp subjektu un personu.
Ievērojot minēto, lūdzam paredzēt, ka kompetentā kiberincidentu novēršanas institūcija (CERT.LV) nepieciešamības gadījumā savas kompetences ietvaros izvērtē, vai personas veiktās darbības atbilst Nacionālās kiberdrošības likuma 39. pantā noteiktajiem koordinētas ievainojamību atklāšanas principiem.
[8] Slimnīca ierosina precizēt personas atbildības robežas gadījumos, kad ievainojamības pārbaudes laikā subjektam tiek radīti sistēmu darbības traucējumi, datu bojājumi vai cits kaitējums.
Likumprojekta anotācijā norādīts, ka 39. panta prasībām atbilstoša piekļuve subjekta informācijas sistēmai nebūtu kvalificējama kā patvaļīga piekļūšana Krimināllikuma 241. panta izpratnē. Vienlaikus šāds regulējums nedrīkst radīt pamatu interpretācijai, ka persona ir vispārīgi atbrīvota no atbildības par darbībām vai to sekām, kas pārsniedz ievainojamības identificēšanai un pārbaudei nepieciešamo apjomu.
Ievērojot minēto, lūdzam precizēt, ka Nacionālās kiberdrošības likuma 39. pantā paredzētais regulējums neatbrīvo personu no atbildības par darbībām vai to radīto kaitējumu, kas pārsniedz ievainojamības identificēšanai, pārbaudei un ziņošanai objektīvi nepieciešamo apjomu, tostarp par nepamatoti izraisītiem pakalpojumu darbības traucējumiem vai datu bojājumiem.
[9] Slimnīca aicina likumprojektā īpaši ņemt vērā veselības aprūpes nozares specifiku un tādu informācijas sistēmu un medicīnisko tehnoloģiju darbību, kuru traucējumi var tieši ietekmēt ārstniecības procesa nepārtrauktību un pacientu drošību.
Ārstniecības iestādē informācijas sistēmu darbība ir tieši saistīta ar diagnostiku, ārstniecību, pacientu aprūpi un citu būtisku procesu nodrošināšanu. Tādēļ arī bez ļaunprātīga nodoma veikta aktīva sistēmu vai medicīnisko tehnoloģiju testēšana produkcijas vidē var radīt nesamērīgu risku pacientu veselībai vai dzīvībai. Nacionālās kiberdrošības likums vienlaikus paredz subjektiem pienākumu īstenot piemērotus un samērīgus pasākumus kiberrisku pārvaldībai un darbības nepārtrauktības nodrošināšanai.
Ievērojot minēto, lūdzam paredzēt īpašu, uz risku balstītu kārtību ārstniecības procesam kritisko informācijas sistēmu un medicīnisko tehnoloģiju ievainojamību pārbaudei, tostarp nosakot, ka ārstniecības iestāde sadarbībā ar kompetento kiberincidentu novēršanas institūciju ir tiesīga noteikt šo sistēmu aktīvas testēšanas un ievainojamību ziņošanas drošības nosacījumus.
[10] Slimnīca ierosina precizēt regulējumu, nepārprotami nosakot, ka Nacionālās kiberdrošības likuma 39. pantā paredzētā iespēja personai veikt darbības ievainojamības atklāšanai neierobežo subjekta tiesības un pienākumu īstenot tā informācijas sistēmu un elektronisko sakaru tīklu aizsardzībai nepieciešamos pasākumus.
Konstatējot darbības, kas pēc tehniskajām pazīmēm var liecināt par kiberuzbrukumu vai citu apdraudējumu, subjektam objektīvi nav iespējams nekavējoties noteikt, vai tās veic labticīga persona vai ļaunprātīgs uzbrucējs. Vienlaikus Nacionālās kiberdrošības likums uzliek subjektam pienākumu veikt piemērotus un samērīgus tehniskos un organizatoriskos pasākumus kiberrisku pārvaldībai.
Ievērojot minēto, lūdzam precizēt, ka subjekta veikta aizdomīgas datu plūsmas vai piekļuves bloķēšana, resursa izolēšana, auditācijas pierakstu saglabāšana, incidenta izmeklēšanas uzsākšana vai kompetento institūciju informēšana pati par sevi nav uzskatāma par šķēršļu likšanu koordinētai ievainojamību atklāšanai.
Ārstniecības iestāžu gadījumā īpaši jāņem vērā, ka informācijas sistēmu darbības traucējumi var tieši ietekmēt diagnostikas, ārstniecības, laboratorisko izmeklējumu, medikamentu aprites un citus pacientu aprūpes procesus, savukārt šajās sistēmās tiek apstrādāts ievērojams apjoms īpašu kategoriju personas datu, tostarp veselības un ģenētisko datu.
Ievērojot minēto, Slimnīca izsaka šādus priekšlikumus:
[1] Slimnīca aicina precizēt likumprojektu, paredzot, ka IKT kritiskās infrastruktūras, ārstniecības procesam kritiski nozīmīgu informācijas sistēmu un medicīnisko tehnoloģiju aktīva testēšana ir pieļaujama tikai pēc iepriekšējas subjekta informēšanas vai kompetentās kiberincidentu novēršanas institūcijas (CERT.LV) koordinēta ievainojamību atklāšanas procesa ietvaros.
Šāds ierobežojums ir nepieciešams, jo ārstniecības iestādē pat īslaicīgs vai neparedzēts informācijas sistēmas vai medicīniskās tehnoloģijas darbības traucējums var ietekmēt diagnostiku, ārstniecību un pacientu aprūpes nepārtrauktību, tādējādi radot apdraudējumu pacientu veselībai vai dzīvībai.
[2] Likumprojektā vai anotācijā skaidri nodalīt minimālas ievainojamības pārbaudi no aktīvas testēšanas un noteikt, ka bez iepriekšējas koordinācijas nav pieļaujamas tādas darbības kā intensīva automatizēta ievainojamību skenēšana, masveida portu skenēšana, privilēģiju eskalācijas mēģinājumi, autentifikācijas mehānismu apiešana, sistēmas stāvokli mainoša ekspluatācija un medicīnisko ierīču testēšana produkcijas vidē. Šādas darbības var radīt pakalpojumu traucējumus arī bez ļaunprātīga nodoma.
[3] Precizēt "labticīga pētnieka" definīciju - likumprojektā ietvertā regulējuma esošā redakcija galvenokārt raksturo atļautās darbības, bet nepietiekami nosaka pētnieka turpmāko rīcību. Vienlaikus Nacionālās kiberdrošības likuma spēkā esošais 39. pants pieļauj anonīmu ziņošanu, tādēļ obligāta identificēšanās visos gadījumos nebūtu salāgojama ar esošo regulējumu.
Ievērojot minēto, neskarot likumā paredzēto iespēju ievainojamības ziņojumu iesniegt anonīmi, lūdzam noteikt, ka persona, kura veic iepriekš koordinētu aktīvu testēšanu, identificē sevi un norāda kontaktinformāciju. Visos gadījumos personai nekavējoties jāziņo par konstatēto ievainojamību, jāpārtrauc darbības pēc pietiekama pierādījuma iegūšanas un jāievēro informācijas konfidencialitāte.
Tādējādi likumā tiktu skaidrāk noteikti personas pienākumi un kritēriji, kuru ievērošana apliecina, ka darbības veiktas labticīgas ievainojamības atklāšanas ietvaros.
[4] Likumprojekts paredz tiesības noteiktos apstākļos piekļūt subjekta informācijas sistēmā esošajiem datiem. Ārstniecības iestādes informācijas sistēmās tiek apstrādāti veselības, ģenētiskie un citi īpašu kategoriju personas dati. Vienīgi vispārīga prasība piekļūt datiem “nepieciešamajā apmērā”, Slimnīcas ieskatā, nenodrošina pietiekamu tiesisko noteiktību un pacientu datu aizsardzību. Vienlaikus likumprojekta anotācijā norādīts, ka projekts datu aizsardzības jomu neskar, lai gan jaunais regulējums objektīvi var ietvert personas datu apstrādi.
Ievērojot minēto, lūdzam paredzēt īpašas garantijas personas datu, jo īpaši pacientu veselības un citu īpašu kategoriju personas datu aizsardzībai ievainojamību pārbaudes laikā, nosakot, ka bez iepriekšējas saskaņošanas ar subjektu nav pieļaujama mērķtiecīga piekļuve pacientu datu saturam. Ja pacientu dati ievainojamības pārbaudes laikā kļūst pieejami neparedzēti, personai nekavējoties jāpārtrauc turpmāka piekļuve šo datu saturam, un šos datus nedrīkst kopēt, saglabāt, izplatīt vai izmantot citam nolūkam, izņemot minimāli nepieciešamo informāciju ziņojuma par ievainojamību sagatavošanai.
[5] Slimnīca aicina precizēt regulējumu, lai novērstu iespēju izpaust informāciju par ievainojamību, pirms subjektam ir bijusi iespēja veikt tās novēršanai nepieciešamos pasākumus. Spēkā esošā Nacionālās kiberdrošības likuma 39. panta piektā daļa paredz, ka informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija un tās izpaušanas nosacījumus, kārtību un apjomu nosaka kompetentā kiberincidentu novēršanas institūcija.
Ievērojot minēto, lūdzam precizēt, ka ievainojamības novēršanai noteiktā termiņa izbeigšanās pati par sevi nerada tiesības informāciju par ievainojamību izpaust.
Piedāvājam Nacionālās kiberdrošības likuma 39. panta piekto daļu papildināt ar teikumu šādā redakcijā: “Ievainojamības novēršanai noteiktā termiņa izbeigšanās pati par sevi nerada ievainojamības atklāšanas ziņojuma iesniedzējam tiesības izpaust informāciju par atklāto ievainojamību.”
Minētais papildinājums mazinātu risku, ka informācija par ievainojamību tiek izmantota ļaunprātīgi pirms tās novēršanas.
[6] Slimnīca ierosina precizēt likumprojekta 39. panta otro prim daļu, lai no jebkura tieši saņemta ziņojuma par iespējamu ievainojamību automātiski neizrietētu pienākums nekavējoties piemērot pilnu Nacionālās kiberdrošības likuma 40. pantā paredzēto ievainojamības novēršanas procedūru.
Spēkā esošais regulējums paredz, ka kompetentā kiberincidentu novēršanas institūcija pārbauda ievainojamības atklāšanas ziņojumā ietverto informāciju un informē subjektu, ja tā ir novērtēta kā pamatota. Savukārt likumprojektā piedāvātā 39. panta otrā prim daļa paredz subjektam pienākumu veikt 40. pantā noteiktās darbības jau pēc informācijas saņemšanas tieši no personas.
Ievērojot minēto, lūdzam paredzēt, ka subjekts pēc ziņojuma saņemšanas izvērtē tajā norādīto informāciju un iespējamo ievainojamības risku, nepieciešamības gadījumā veic sākotnējos riska mazināšanas pasākumus un informē kompetento kiberincidentu novēršanas institūciju. Ievainojamības novēršanas darbības saskaņā ar 40. pantu veicamas pēc ziņojuma pamatotības izvērtēšanas.
Šāds precizējums nodrošinātu samērīgu pieeju, ņemot vērā, ka ne visi saņemtie ziņojumi būs tehniski pamatoti un konstatētajām ievainojamībām var būt atšķirīgs riska līmenis un novēršanas prioritāte.
[7] Slimnīca aicina precizēt kompetentās kiberincidentu novēršanas institūcijas lomu gadījumos, kad starp subjektu un ievainojamības atklāšanas ziņojuma iesniedzēju rodas domstarpības par personas veikto darbību atbilstību koordinētas ievainojamību atklāšanas principiem.
Likumprojektā izmantotie kritēriji - darbību nepieciešamība, samērīgums un ietekme uz sistēmas drošību - var būt interpretējami atšķirīgi. Tādēļ kompetentās institūcijas iesaiste šādu situāciju izvērtēšanā mazinātu tiesisko nenoteiktību un iespējamos strīdus starp subjektu un personu.
Ievērojot minēto, lūdzam paredzēt, ka kompetentā kiberincidentu novēršanas institūcija (CERT.LV) nepieciešamības gadījumā savas kompetences ietvaros izvērtē, vai personas veiktās darbības atbilst Nacionālās kiberdrošības likuma 39. pantā noteiktajiem koordinētas ievainojamību atklāšanas principiem.
[8] Slimnīca ierosina precizēt personas atbildības robežas gadījumos, kad ievainojamības pārbaudes laikā subjektam tiek radīti sistēmu darbības traucējumi, datu bojājumi vai cits kaitējums.
Likumprojekta anotācijā norādīts, ka 39. panta prasībām atbilstoša piekļuve subjekta informācijas sistēmai nebūtu kvalificējama kā patvaļīga piekļūšana Krimināllikuma 241. panta izpratnē. Vienlaikus šāds regulējums nedrīkst radīt pamatu interpretācijai, ka persona ir vispārīgi atbrīvota no atbildības par darbībām vai to sekām, kas pārsniedz ievainojamības identificēšanai un pārbaudei nepieciešamo apjomu.
Ievērojot minēto, lūdzam precizēt, ka Nacionālās kiberdrošības likuma 39. pantā paredzētais regulējums neatbrīvo personu no atbildības par darbībām vai to radīto kaitējumu, kas pārsniedz ievainojamības identificēšanai, pārbaudei un ziņošanai objektīvi nepieciešamo apjomu, tostarp par nepamatoti izraisītiem pakalpojumu darbības traucējumiem vai datu bojājumiem.
[9] Slimnīca aicina likumprojektā īpaši ņemt vērā veselības aprūpes nozares specifiku un tādu informācijas sistēmu un medicīnisko tehnoloģiju darbību, kuru traucējumi var tieši ietekmēt ārstniecības procesa nepārtrauktību un pacientu drošību.
Ārstniecības iestādē informācijas sistēmu darbība ir tieši saistīta ar diagnostiku, ārstniecību, pacientu aprūpi un citu būtisku procesu nodrošināšanu. Tādēļ arī bez ļaunprātīga nodoma veikta aktīva sistēmu vai medicīnisko tehnoloģiju testēšana produkcijas vidē var radīt nesamērīgu risku pacientu veselībai vai dzīvībai. Nacionālās kiberdrošības likums vienlaikus paredz subjektiem pienākumu īstenot piemērotus un samērīgus pasākumus kiberrisku pārvaldībai un darbības nepārtrauktības nodrošināšanai.
Ievērojot minēto, lūdzam paredzēt īpašu, uz risku balstītu kārtību ārstniecības procesam kritisko informācijas sistēmu un medicīnisko tehnoloģiju ievainojamību pārbaudei, tostarp nosakot, ka ārstniecības iestāde sadarbībā ar kompetento kiberincidentu novēršanas institūciju ir tiesīga noteikt šo sistēmu aktīvas testēšanas un ievainojamību ziņošanas drošības nosacījumus.
[10] Slimnīca ierosina precizēt regulējumu, nepārprotami nosakot, ka Nacionālās kiberdrošības likuma 39. pantā paredzētā iespēja personai veikt darbības ievainojamības atklāšanai neierobežo subjekta tiesības un pienākumu īstenot tā informācijas sistēmu un elektronisko sakaru tīklu aizsardzībai nepieciešamos pasākumus.
Konstatējot darbības, kas pēc tehniskajām pazīmēm var liecināt par kiberuzbrukumu vai citu apdraudējumu, subjektam objektīvi nav iespējams nekavējoties noteikt, vai tās veic labticīga persona vai ļaunprātīgs uzbrucējs. Vienlaikus Nacionālās kiberdrošības likums uzliek subjektam pienākumu veikt piemērotus un samērīgus tehniskos un organizatoriskos pasākumus kiberrisku pārvaldībai.
Ievērojot minēto, lūdzam precizēt, ka subjekta veikta aizdomīgas datu plūsmas vai piekļuves bloķēšana, resursa izolēšana, auditācijas pierakstu saglabāšana, incidenta izmeklēšanas uzsākšana vai kompetento institūciju informēšana pati par sevi nav uzskatāma par šķēršļu likšanu koordinētai ievainojamību atklāšanai.
24.08.2026. 13:00
26-TA-1830/9
Peter Brown
The Hacking Policy Council (“HPC”, https://www.centerforcybersecuritypolicy.org/hacking-policy-council) appreciates the opportunity to comment on Latvia’s proposed Amendments to the National Cybersecurity Act (Project ID 26-TA-1830).
The HPC is a group of experts dedicated to creating a more favorable legal, policy, and business environment for good-faith security research, penetration testing, independent repair for security, and vulnerability disclosure and management. From this perspective, we offer the following recommendations to strengthen the proposed framework and provide greater legal certainty for good-faith security researchers.
HPC generally supports Latvia’s effort to establish a legal framework for the participation of good-faith security researchers in the coordinated vulnerability disclosure process and create clearer legal protections for good-faith security research. HPC has consistently advocated for governments to establish clear legal protections for good-faith security research, including safe harbor provisions, that shield responsible researchers from liability when they discover and disclose vulnerabilities in good faith.
Good-faith security research plays an important role in helping organizations identify and remediate vulnerabilities before they can be exploited by malicious actors. To support this work, researchers need clear legal protections that distinguish legitimate security research from malicious cyber activity. When governments fail to make that distinction, researchers may hesitate to conduct or disclose responsible security testing out of concern that they could face legal liability despite acting in good faith. This uncertainty can discourage vulnerability discovery and responsible disclosure, reducing opportunities to remediate security flaws before they are exploited.
The explanatory materials accompanying Latvia’s proposed amendments correctly recognize that legal uncertainty can discourage researchers from identifying and reporting vulnerabilities, ultimately weakening cybersecurity outcomes overall. We are concerned, however, that the proposed language focuses too heavily on the outcome or impact of the research, rather than the researcher’s intent and good-faith conduct.
In the proposed language to amend Article 39 of the National Cybersecurity Act, the amendments would permit vulnerability research where the researcher’s actions do not impose a disproportionate burden and do not compromise the security of the system or network, the confidentiality, integrity, or availability of data, or continuity of operations. Legitimate good-faith security research can sometimes produce unintended consequences. A researcher acting responsibly could inadvertently encounter data, trigger an error, or temporarily affect a system while attempting to verify a vulnerability. For this reason, we recommend a clearer, intent-based standard so that unintended consequences do not expose legitimate researchers to legal liability when they are acting in good faith.
Therefore, HPC recommends that the amendments instead emphasize research conducted ethically, in good faith, and consistent with responsible vulnerability disclosure practices. To define responsible or good-faith vulnerability research, HPC recommends terminology used in United States law as a model. Under 37 C.F.R. § 201.40(b)(18), (https://www.govinfo.gov/content/pkg/CFR-2025-title37-vol1/pdf/CFR-2025-title37-vol1-sec201-40.pdf) “‘good-faith security research’ means accessing a computer program solely for purposes of good-faith testing, investigation, and/or correction of a security flaw or vulnerability, where such activity is carried out in an environment designed to avoid any harm to individuals or the public, and where the information derived from the activity is used primarily to promote the security or safety of the class of devices or machines on which the computer program operates, or those who use such devices or machines, and is not used or maintained in a manner that facilitates copyright infringement.”
This standard provides a useful model because it focuses on the researcher’s purpose and whether the activity was designed to avoid harm, rather than requiring that no unintended impact occur. Latvia should adopt a similarly clear, intent-based standard so that good-faith researchers will be protected when they act responsibly. Malicious or reckless conduct remains outside the scope of this definition.
HPC also recommends that Latvia’s law encourage companies to adopt best-practice vulnerability rewards programs (VRPs) as an important mechanism for facilitating good-faith vulnerability research. VRPs, also referred to as bug bounty programs (BBPs), offer structured opportunities for independent researchers to find and responsibly report vulnerabilities in exchange for financial incentives. Such programs establish clear parameters for security testing and typically direct researchers to conduct testing in ways that minimize the risk of disrupting company systems or accessing unauthorized data. VRPs therefore create incentives for good-faith security researchers to identify and report vulnerabilities while minimizing operational disruption and access to unauthorized data.
Latvia’s proposal is an important step toward improving vulnerability discovery and coordinated disclosure. A clear, intent-based protection for good-faith researchers would better achieve the law’s purpose while preserving appropriate safeguards against malicious or reckless conduct. Thank you for the opportunity to provide input to the consultation. If we can be of additional assistance, please contact Bri Law at BLaw@Venable.com.
Sincerely,
Hacking Policy Council
The HPC is a group of experts dedicated to creating a more favorable legal, policy, and business environment for good-faith security research, penetration testing, independent repair for security, and vulnerability disclosure and management. From this perspective, we offer the following recommendations to strengthen the proposed framework and provide greater legal certainty for good-faith security researchers.
HPC generally supports Latvia’s effort to establish a legal framework for the participation of good-faith security researchers in the coordinated vulnerability disclosure process and create clearer legal protections for good-faith security research. HPC has consistently advocated for governments to establish clear legal protections for good-faith security research, including safe harbor provisions, that shield responsible researchers from liability when they discover and disclose vulnerabilities in good faith.
Good-faith security research plays an important role in helping organizations identify and remediate vulnerabilities before they can be exploited by malicious actors. To support this work, researchers need clear legal protections that distinguish legitimate security research from malicious cyber activity. When governments fail to make that distinction, researchers may hesitate to conduct or disclose responsible security testing out of concern that they could face legal liability despite acting in good faith. This uncertainty can discourage vulnerability discovery and responsible disclosure, reducing opportunities to remediate security flaws before they are exploited.
The explanatory materials accompanying Latvia’s proposed amendments correctly recognize that legal uncertainty can discourage researchers from identifying and reporting vulnerabilities, ultimately weakening cybersecurity outcomes overall. We are concerned, however, that the proposed language focuses too heavily on the outcome or impact of the research, rather than the researcher’s intent and good-faith conduct.
In the proposed language to amend Article 39 of the National Cybersecurity Act, the amendments would permit vulnerability research where the researcher’s actions do not impose a disproportionate burden and do not compromise the security of the system or network, the confidentiality, integrity, or availability of data, or continuity of operations. Legitimate good-faith security research can sometimes produce unintended consequences. A researcher acting responsibly could inadvertently encounter data, trigger an error, or temporarily affect a system while attempting to verify a vulnerability. For this reason, we recommend a clearer, intent-based standard so that unintended consequences do not expose legitimate researchers to legal liability when they are acting in good faith.
Therefore, HPC recommends that the amendments instead emphasize research conducted ethically, in good faith, and consistent with responsible vulnerability disclosure practices. To define responsible or good-faith vulnerability research, HPC recommends terminology used in United States law as a model. Under 37 C.F.R. § 201.40(b)(18), (https://www.govinfo.gov/content/pkg/CFR-2025-title37-vol1/pdf/CFR-2025-title37-vol1-sec201-40.pdf) “‘good-faith security research’ means accessing a computer program solely for purposes of good-faith testing, investigation, and/or correction of a security flaw or vulnerability, where such activity is carried out in an environment designed to avoid any harm to individuals or the public, and where the information derived from the activity is used primarily to promote the security or safety of the class of devices or machines on which the computer program operates, or those who use such devices or machines, and is not used or maintained in a manner that facilitates copyright infringement.”
This standard provides a useful model because it focuses on the researcher’s purpose and whether the activity was designed to avoid harm, rather than requiring that no unintended impact occur. Latvia should adopt a similarly clear, intent-based standard so that good-faith researchers will be protected when they act responsibly. Malicious or reckless conduct remains outside the scope of this definition.
HPC also recommends that Latvia’s law encourage companies to adopt best-practice vulnerability rewards programs (VRPs) as an important mechanism for facilitating good-faith vulnerability research. VRPs, also referred to as bug bounty programs (BBPs), offer structured opportunities for independent researchers to find and responsibly report vulnerabilities in exchange for financial incentives. Such programs establish clear parameters for security testing and typically direct researchers to conduct testing in ways that minimize the risk of disrupting company systems or accessing unauthorized data. VRPs therefore create incentives for good-faith security researchers to identify and report vulnerabilities while minimizing operational disruption and access to unauthorized data.
Latvia’s proposal is an important step toward improving vulnerability discovery and coordinated disclosure. A clear, intent-based protection for good-faith researchers would better achieve the law’s purpose while preserving appropriate safeguards against malicious or reckless conduct. Thank you for the opportunity to provide input to the consultation. If we can be of additional assistance, please contact Bri Law at BLaw@Venable.com.
Sincerely,
Hacking Policy Council
28.08.2026. 03:25
26-TA-1830/10
Kirils Solovjovs
Izdarīt Nacionālās kiberdrošības likumā (Latvijas Vēstnesis, 2024, 128.A nr., 2026, 115 nr.) šādus grozījumus:
Izteikt 39. pantu šādā redakcijā:
39. pants. Koordinēta ievainojamību atklāšana
(1) Persona pēc savas iniciatīvas citas juridiskas personas informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem drīkst piekļūt tikai ievainojamības atklāšanai nepieciešamajā apmērā un veikt tikai tādas darbības, kas:
1) ir nepieciešamas ievainojamību identificēšanai, pārbaudei un ziņošanai;
2) nerada nesamērīgu slogu citas juridiskas personas informācijas sistēmai vai elektronisko sakaru tīklam.
(1¹) Ja persona citas juridiskas personas informācijas sistēmā vai elektronisko sakaru tīklā konstatē ievainojamību, tā nekavējoties, bet ne vēlāk kā piecu darbdienu laikā iesniedz ievainojamības atklāšanas ziņojumu kompetentajai kiberincidentu novēršanas institūcijai.
(2) Ievainojamības atklāšanas ziņojumā iekļauj šādu informāciju:
1) ievainojamības konstatēšanas datumu un laiku (ja iespējams);
2) ziņas par informācijas sistēmu vai elektronisko sakaru tīklu, kurā konstatēta ievainojamība (ja zināms);
3) ievainojamības aprakstu;
4) ievainojamības konstatēšanai izmantotās metodoloģijas vai veikto darbību secības aprakstu (ja iespējams);
5) citas ziņas, ko ievainojamības atklāšanas ziņojuma iesniedzējs uzskata par nepieciešamām konstatētās ievainojamības identificēšanai un novēršanai, piemēram, ievainojamības atklāšanas ziņojuma iesniedzēja kontaktinformāciju.
(2¹) Ja subjekts no personas saņem informāciju par subjekta informācijas sistēmā vai elektronisko sakaru tīklā konstatētu ievainojamību, subjekts par to informē kompetento kiberincidentu novēršanas institūciju un veic ievainojamības novēršanai nepieciešamās darbības saskaņā ar šā likuma 40. pantu.
(3) Kompetentā kiberincidentu novēršanas institūcija apstiprina ievainojamības atklāšanas ziņojuma saņemšanu, pārbauda ziņojumā ietverto informāciju un informē ziņojuma iesniedzēju par ziņojumā ietvertās informācijas pamatotību un ievainojamības novēršanas rezultātu.
(4) Ja ievainojamības atklāšanas ziņojumā sniegto informāciju par ievainojamību kiberincidentu novēršanas institūcija novērtējusi kā pamatotu, kiberincidentu novēršanas institūcija par to nekavējoties informē attiecīgo subjektu un Satversmes aizsardzības biroju, ja tas ir attiecināms uz informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru.
(5) Ievainojamības atklāšana nedrīkst tikt izmantota ļaunprātīgi. Informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija, ja vien normatīvie akti neparedz augstāku klasifikācijas pakāpi. Ievainojamības atklāšanas ziņojuma iesniedzējs un attiecīgais subjekts ir atbildīgi par minētās informācijas neizpaušanu. Informācija par atklāto ievainojamību kļūst par vispārpieejamu informāciju:
(1) kad pagājis šā likuma 40. panta pirmajā daļā noteiktais termiņš;
(2) ja termiņš ticis pagarināts - kad pagājis šā likuma 40. panta otrajā daļā noteiktais termiņš;
(3) tiklīdz juridiska persona, kuras sistemā konstatēta ievainojamība, pieņem lēmumu akceptēt ievanojamības radīto risku vai konstatē, ka ievainojamības ziņojums nav pamatots, t.i. ievainojamība juridiskas personas ieskatā neeksistē.
(4) jebkurā gadījumā 181. dienā pēc ievainojamības atklāšanas ziņojuma iesniegšanas brīža;
(6) Ievainojamības atklāšanas ziņojuma iesniedzējs ir tiesīgs iesniegt ievainojamības atklāšanas ziņojumu anonīmi vai lūgt kompetento kiberincidentu novēršanas institūciju neatklāt ziņojuma iesniedzēja identitāti. Šādā gadījumā kompetentās kiberincidentu novēršanas institūcijas pienākums ir nodrošināt ziņojuma iesniedzēja identitātes konfidencialitāti, ja vien ziņojuma iesniedzējs ievēro šajā likumā noteiktās prasības un pirmšķietami nav konstatējamas noziedzīga nodarījuma pazīmes. Minētais konfidencialitātes nodrošināšanas pienākums neattiecas uz šā likuma 13. panta trešās daļas 7. un 8. punktā minētajām institūcijām. Ievainojamības atklāšanas ziņojuma anonīma iesniegšana neatbrīvo ievainojamības atklāšanas ziņojuma iesniedzēju no pienākuma neizpaust informāciju par ievainojamību.
(7) Personai aizliegts pieprasīt atlīdzību par ievainojamības atklāšanu vai ievainojamības ziņojuma iesniegšanu, tomēr subjektam ir tiesības pēc saviem ieskatiem izmaksāt ievainojamības atklājējam, kas ziņojumu nav izvēlējies iesniegt anonīmi, vienreizēju atlīdzību līdz 1000 euro no saviem līdzekļiem. Atlīdzība izmaksājama ne ātrāk kā pēc tam, kad kompetentā kiberincidentu novēršanas institūcijai, apstiprinājusi ievainojamības ziņojumu un tā ietekmi, bet ne vēlāk kā viena gada laikā no ziņojuma iesniegšanas. Subjekts drīkst publiski izziņot, ka tas izmaksā šādas atlīdzības. Subjekta publisks paziņojums, ka atlīdzības vispārīgā gadījumā var tikt izmaksātas, nav uzskatāms par pienākumu izmaksāt atlīdzību par katru konkrēto ievainojamību.
Izteikt 39. pantu šādā redakcijā:
39. pants. Koordinēta ievainojamību atklāšana
(1) Persona pēc savas iniciatīvas citas juridiskas personas informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem drīkst piekļūt tikai ievainojamības atklāšanai nepieciešamajā apmērā un veikt tikai tādas darbības, kas:
1) ir nepieciešamas ievainojamību identificēšanai, pārbaudei un ziņošanai;
2) nerada nesamērīgu slogu citas juridiskas personas informācijas sistēmai vai elektronisko sakaru tīklam.
(1¹) Ja persona citas juridiskas personas informācijas sistēmā vai elektronisko sakaru tīklā konstatē ievainojamību, tā nekavējoties, bet ne vēlāk kā piecu darbdienu laikā iesniedz ievainojamības atklāšanas ziņojumu kompetentajai kiberincidentu novēršanas institūcijai.
(2) Ievainojamības atklāšanas ziņojumā iekļauj šādu informāciju:
1) ievainojamības konstatēšanas datumu un laiku (ja iespējams);
2) ziņas par informācijas sistēmu vai elektronisko sakaru tīklu, kurā konstatēta ievainojamība (ja zināms);
3) ievainojamības aprakstu;
4) ievainojamības konstatēšanai izmantotās metodoloģijas vai veikto darbību secības aprakstu (ja iespējams);
5) citas ziņas, ko ievainojamības atklāšanas ziņojuma iesniedzējs uzskata par nepieciešamām konstatētās ievainojamības identificēšanai un novēršanai, piemēram, ievainojamības atklāšanas ziņojuma iesniedzēja kontaktinformāciju.
(2¹) Ja subjekts no personas saņem informāciju par subjekta informācijas sistēmā vai elektronisko sakaru tīklā konstatētu ievainojamību, subjekts par to informē kompetento kiberincidentu novēršanas institūciju un veic ievainojamības novēršanai nepieciešamās darbības saskaņā ar šā likuma 40. pantu.
(3) Kompetentā kiberincidentu novēršanas institūcija apstiprina ievainojamības atklāšanas ziņojuma saņemšanu, pārbauda ziņojumā ietverto informāciju un informē ziņojuma iesniedzēju par ziņojumā ietvertās informācijas pamatotību un ievainojamības novēršanas rezultātu.
(4) Ja ievainojamības atklāšanas ziņojumā sniegto informāciju par ievainojamību kiberincidentu novēršanas institūcija novērtējusi kā pamatotu, kiberincidentu novēršanas institūcija par to nekavējoties informē attiecīgo subjektu un Satversmes aizsardzības biroju, ja tas ir attiecināms uz informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru.
(5) Ievainojamības atklāšana nedrīkst tikt izmantota ļaunprātīgi. Informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija, ja vien normatīvie akti neparedz augstāku klasifikācijas pakāpi. Ievainojamības atklāšanas ziņojuma iesniedzējs un attiecīgais subjekts ir atbildīgi par minētās informācijas neizpaušanu. Informācija par atklāto ievainojamību kļūst par vispārpieejamu informāciju:
(1) kad pagājis šā likuma 40. panta pirmajā daļā noteiktais termiņš;
(2) ja termiņš ticis pagarināts - kad pagājis šā likuma 40. panta otrajā daļā noteiktais termiņš;
(3) tiklīdz juridiska persona, kuras sistemā konstatēta ievainojamība, pieņem lēmumu akceptēt ievanojamības radīto risku vai konstatē, ka ievainojamības ziņojums nav pamatots, t.i. ievainojamība juridiskas personas ieskatā neeksistē.
(4) jebkurā gadījumā 181. dienā pēc ievainojamības atklāšanas ziņojuma iesniegšanas brīža;
(6) Ievainojamības atklāšanas ziņojuma iesniedzējs ir tiesīgs iesniegt ievainojamības atklāšanas ziņojumu anonīmi vai lūgt kompetento kiberincidentu novēršanas institūciju neatklāt ziņojuma iesniedzēja identitāti. Šādā gadījumā kompetentās kiberincidentu novēršanas institūcijas pienākums ir nodrošināt ziņojuma iesniedzēja identitātes konfidencialitāti, ja vien ziņojuma iesniedzējs ievēro šajā likumā noteiktās prasības un pirmšķietami nav konstatējamas noziedzīga nodarījuma pazīmes. Minētais konfidencialitātes nodrošināšanas pienākums neattiecas uz šā likuma 13. panta trešās daļas 7. un 8. punktā minētajām institūcijām. Ievainojamības atklāšanas ziņojuma anonīma iesniegšana neatbrīvo ievainojamības atklāšanas ziņojuma iesniedzēju no pienākuma neizpaust informāciju par ievainojamību.
(7) Personai aizliegts pieprasīt atlīdzību par ievainojamības atklāšanu vai ievainojamības ziņojuma iesniegšanu, tomēr subjektam ir tiesības pēc saviem ieskatiem izmaksāt ievainojamības atklājējam, kas ziņojumu nav izvēlējies iesniegt anonīmi, vienreizēju atlīdzību līdz 1000 euro no saviem līdzekļiem. Atlīdzība izmaksājama ne ātrāk kā pēc tam, kad kompetentā kiberincidentu novēršanas institūcijai, apstiprinājusi ievainojamības ziņojumu un tā ietekmi, bet ne vēlāk kā viena gada laikā no ziņojuma iesniegšanas. Subjekts drīkst publiski izziņot, ka tas izmaksā šādas atlīdzības. Subjekta publisks paziņojums, ka atlīdzības vispārīgā gadījumā var tikt izmaksātas, nav uzskatāms par pienākumu izmaksāt atlīdzību par katru konkrēto ievainojamību.
28.08.2026. 17:15
26-TA-1830/11
Akciju sabiedrība "BALTICOM"
AS "Balticom" ir iepazinusies ar sagatavoto likumprojektu un pauž atbalstu centieniem stiprināt kiberdrošības vidi Latvijā. Vienlaikus norādām, ka izstrādātais risinājuma variants rada nozīmīgus darbības, tiesiskos un finanšu riskus.
Izvērtējot piedāvāto redakciju un anotācijā minēto alternatīvu, AS "Balticom" atbalsta pienākumu subjektiem reģistrēties CVD platformā un izstrādāt savus nosacījumus.
Šādu pozīciju pamatojam ar sekojošiem apsvērumiem:
1. Sistēmu stabilitāte (Prognozējamība)
Saskaņā ar piedāvāto likumprojekta versiju, jebkurai personai tiek dotas vispārīgas tiesības pētīt un piekļūt jebkuriem subjekta resursiem. Telekomunikāciju un kritiskās infrastruktūras nozarē šāda pieeja ir saistīta ar augstu risku — nekontrolēta un nesaskaņota ievainojamību meklēšana reālajā laikā bez konkrēta ietvara var izraisīt sistēmu pārslodzi, pakalpojumu atteici vai nejaušu datu noplūdi.
Alternatīvais risinājums nodrošina skaidru rāmi: organizācija pati nosaka prioritāros un droši testējamos resursus, aizsargājot kritiskos mezglus, kuru darbības traucējumi ietekmē tūkstošiem gala lietotāju.
2. Finanšu un administratīvā sloga samazināšana
Piedāvātā redakcija uzliek subjektiem pienākumu pieņemt, apstrādāt un novērst jebkurus no fiziskām personām saņemtus paziņojumus. Praksē tas nozīmē nepieciešamību uzturēt papildu resursus (personālu, IT drošības auditu), lai apstrādātu liela apjoma mazsvarīgus, kļūdainus vai pat ļaunprātīgus ziņojumus.
Alternatīvais risinājums ir ievērojami lētāks un efektīvāks, jo reģistrācija un standartizētu nosacījumu publicēšana CVD platformā ļauj optimizēt un centralizēt ziņojumu apstrādes plūsmu. Nebūtu pieļaujams, ka sistēmām atļauj piekļūt bez noteikta termiņa un vispār bez saskaņošanas ar uzņēmumu.
Piedāvātajā redakcijā nav risināts jautājums par atbildību un zaudējumu atlīdzību gadījumos, kad labticīgs pētnieks pieļauj kļūdu un izraisa tīkla vai pakalpojumu darbības pārtraukumu.
Elektronisko sakaru komersantam rodas būtiski juridiskie riski:
Kā uzņēmumam pierādīt, ka konkrētais sakaru pārtraukums ir radies tieši "labticīgā hakera" darbības rezultātā?
Kurš un kādā kārtībā atbildēs par uzņēmumam nodarītajiem tiešajiem zaudējumiem, līgumssodiem pret klientiem un reputācijas kaitējumu?
Vispārīga atļauja piekļūt sistēmām noņem pētniekam atbildību, bet visus riskus un zaudējumu seku novēršanu pilnībā pārceļ uz subjekta pleciem.
3. Tiesiskā skaidrība gan pētniekiem, gan subjektiem
Alternatīvais risinājums novērš interpretācijas iespējas par to, kas ir "labticīga pētīšana" un cik tālu sniedzas pētnieka tiesības piekļūt datiem. Skaidri definēti programmas nosacījumi nodrošina juridisko skaidrību abām pusēm.
Aicinām likumprojekta izstrādātājus pārskatīt piedāvāto redakciju un par pamatu ņemt anotācijā minēto alternatīvo risinājumu.
Izvērtējot piedāvāto redakciju un anotācijā minēto alternatīvu, AS "Balticom" atbalsta pienākumu subjektiem reģistrēties CVD platformā un izstrādāt savus nosacījumus.
Šādu pozīciju pamatojam ar sekojošiem apsvērumiem:
1. Sistēmu stabilitāte (Prognozējamība)
Saskaņā ar piedāvāto likumprojekta versiju, jebkurai personai tiek dotas vispārīgas tiesības pētīt un piekļūt jebkuriem subjekta resursiem. Telekomunikāciju un kritiskās infrastruktūras nozarē šāda pieeja ir saistīta ar augstu risku — nekontrolēta un nesaskaņota ievainojamību meklēšana reālajā laikā bez konkrēta ietvara var izraisīt sistēmu pārslodzi, pakalpojumu atteici vai nejaušu datu noplūdi.
Alternatīvais risinājums nodrošina skaidru rāmi: organizācija pati nosaka prioritāros un droši testējamos resursus, aizsargājot kritiskos mezglus, kuru darbības traucējumi ietekmē tūkstošiem gala lietotāju.
2. Finanšu un administratīvā sloga samazināšana
Piedāvātā redakcija uzliek subjektiem pienākumu pieņemt, apstrādāt un novērst jebkurus no fiziskām personām saņemtus paziņojumus. Praksē tas nozīmē nepieciešamību uzturēt papildu resursus (personālu, IT drošības auditu), lai apstrādātu liela apjoma mazsvarīgus, kļūdainus vai pat ļaunprātīgus ziņojumus.
Alternatīvais risinājums ir ievērojami lētāks un efektīvāks, jo reģistrācija un standartizētu nosacījumu publicēšana CVD platformā ļauj optimizēt un centralizēt ziņojumu apstrādes plūsmu. Nebūtu pieļaujams, ka sistēmām atļauj piekļūt bez noteikta termiņa un vispār bez saskaņošanas ar uzņēmumu.
Piedāvātajā redakcijā nav risināts jautājums par atbildību un zaudējumu atlīdzību gadījumos, kad labticīgs pētnieks pieļauj kļūdu un izraisa tīkla vai pakalpojumu darbības pārtraukumu.
Elektronisko sakaru komersantam rodas būtiski juridiskie riski:
Kā uzņēmumam pierādīt, ka konkrētais sakaru pārtraukums ir radies tieši "labticīgā hakera" darbības rezultātā?
Kurš un kādā kārtībā atbildēs par uzņēmumam nodarītajiem tiešajiem zaudējumiem, līgumssodiem pret klientiem un reputācijas kaitējumu?
Vispārīga atļauja piekļūt sistēmām noņem pētniekam atbildību, bet visus riskus un zaudējumu seku novēršanu pilnībā pārceļ uz subjekta pleciem.
3. Tiesiskā skaidrība gan pētniekiem, gan subjektiem
Alternatīvais risinājums novērš interpretācijas iespējas par to, kas ir "labticīga pētīšana" un cik tālu sniedzas pētnieka tiesības piekļūt datiem. Skaidri definēti programmas nosacījumi nodrošina juridisko skaidrību abām pusēm.
Aicinām likumprojekta izstrādātājus pārskatīt piedāvāto redakciju un par pamatu ņemt anotācijā minēto alternatīvo risinājumu.
28.08.2026. 18:30
26-TA-1830/12
Uldis Lībietis - Drošības profesionāļu asociācija
Drošības profesionāļu asociācija (turpmāk - Asociācija) atbalsta likumprojekta mērķi radīt paredzamu tiesisko vidi labticīgai drošības pētniecībai un stiprināt koordinētas ievainojamību atklāšanas un novēršanas procesu. Vienlaikus Asociācija aicina pilnveidot projekta tvērumu, terminoloģiju, ziņojumu apstrādes kārtību, privāto programmu statusu un informācijas izpaušanas termiņus.
Likumprojekts paredz vispārīgu atļauju piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem tikai ievainojamības atklāšanai nepieciešamajā apmērā. Šāda pieeja ir atbalstāma, taču piedāvātā redakcija joprojām rada vairākus praktiskus un juridiskus neskaidrības avotus.
Būtisko un svarīgo pakalpojumu sniedzēju saraksts nav publisks. Pētnieks nevar iepriekš objektīvi pārliecināties, vai uz konkrēto organizāciju un resursu attiecas projektā paredzētā atļauja, un tādēļ nevar paredzami novērtēt savu krimināltiesisko un civiltiesisko risku.
Jēdzieni “informācijas sistēma” un “elektronisko sakaru tīkls” atsevišķā uzskaitījumā ir šaurāki un mazāk tehnoloģiski neitrāli nekā NKDL 1. panta 22. punktā jau definētais jēdziens “tīklu un informācijas sistēma”, kas aptver arī ierīces, savstarpēji saistītu ierīču grupas un to apstrādātos digitālos datus.
CERT.LV programma “ALL - CERT.LV Klientūras ievainojamības” nodrošina ziņošanas un koordinācijas kanālu resursiem, kas nav iekļauti citās platformas programmās. Tomēr ziņošanas kanāla esība pati par sevi neatrisina jautājumu par pētnieka darbību tiesisko statusu pirms ziņojuma iesniegšanas.
Privātās un komerciālās CVD/Bug Bounty programmas izmanto triāžu, dublikātu noteikšanu, riska validāciju un saskaņotus publiskošanas noteikumus. Regulējumam jāspēj šīs programmas integrēt, nevis radīt paralēlu un dublējošu procesu.
Priekšlikums Nr. 1 - paplašināt drošās ostas tvērumu un precizēt terminoloģiju
Asociācija aicina 39. panta pirmajā daļā izmantot likumā jau definēto jēdzienu “tīklu un informācijas sistēma” un primāri attiecināt pieļaujamības režīmu uz juridisko personu pārziņā vai tiesiskā valdījumā esošiem resursiem neatkarīgi no tā, vai attiecīgā persona ir iekļauta nepubliskajā NKDL subjektu sarakstā.
Šis priekšlikums nenozīmē vispārēju imunitāti vai neierobežotas tiesības testēt sistēmas. Aizsardzība saglabājama tikai labticīgai rīcībai, kas aprobežojas ar minimāli nepieciešamo pārbaudi, ticama pierādījuma iegūšanu, savlaicīgu ziņošanu un darbību pārtraukšanu pēc pietiekamas ievainojamības apstiprināšanas.
Ierosinātā NKDL 39. panta pirmās daļas redakcija:
“(1) Persona, rīkojoties labticīgi, juridiskās personas pārziņā vai tiesiskajā valdījumā esošas tīklu un informācijas sistēmas datiem drīkst piekļūt tikai ievainojamības atklāšanai nepieciešamajā apmērā un veikt tikai tādas darbības, kuras, ņemot vērā personai darbības veikšanas laikā zināmos vai saprātīgi noskaidrojamos apstākļus:
1) ir nepieciešamas ievainojamības identificēšanai, minimālai pārbaudei, ticama un reproducējama pierādījuma sagatavošanai un ziņošanai;
2) tiek veiktas tādā veidā, lai neradītu nesamērīgu slogu tīklu un informācijas sistēmai;
3) tiek veiktas tādā veidā, lai neapdraudētu tīklu un informācijas sistēmas drošību, datu konfidencialitāti, integritāti vai pieejamību un darbības nepārtrauktību, un tiek pārtrauktas, tiklīdz iegūts ievainojamības esamības pierādīšanai pietiekams apstiprinājums.”
Minimālais alternatīvais risinājums. Ja likumdevējs saglabā ierobežojumu tikai uz NKDL subjektiem, 39. pantā nepieciešams skaidri noteikt, ka personai piemēro projektā paredzēto tiesisko aizsardzību arī tad, ja tā, rīkojoties labticīgi un ievērojot pirmajā daļā noteiktos principus, objektīvi nevarēja noskaidrot subjekta statusu vai konkrētā resursa piederību subjektam.
Priekšlikums Nr. 2 - noteikt samērīgu ziņojumu triāžu un atzīt privātās programmas
Tieši subjektam iesniegts ziņojums vispirms ir jāreģistrē un jāizvērtē. Kompetentajai kiberincidentu novēršanas institūcijai nododams validēts ziņojums, nevis katrs sākotnējais pieteikums neatkarīgi no tā kvalitātes. Acīmredzami nepamatoti ziņojumi, dublikāti un ārpus programmas tvēruma esoši pieteikumi ir auditējami uzskaitāmi, taču par tiem nav lietderīgi veidot atsevišķu tūlītējas ziņošanas plūsmu.
Ierosinātā NKDL 39. panta 2.¹ daļas redakcija:
“(2¹) Ja subjekts no personas saņem informāciju par tā pārziņā vai tiesiskajā valdījumā esošā tīklu un informācijas sistēmā konstatētu iespējamu ievainojamību, subjekts apstiprina ziņojuma saņemšanu, veic sākotnējo izvērtēšanu un par validētu ievainojamību bez nepamatotas kavēšanās informē kompetento kiberincidentu novēršanas institūciju. Subjekts veic ievainojamības novēršanai nepieciešamās darbības saskaņā ar šā likuma 40. pantu un, ciktāl tas iespējams, informē ziņojuma iesniedzēju par izvērtēšanas un novēršanas rezultātu.”
Ierosinātā jaunā NKDL 39. panta 2.² daļa:
“(2²) Ja subjekts koordinētas ievainojamību atklāšanas procesa nodrošināšanai izmanto publiski pieejamu paša uzturētu vai starptautiski atzītu privātu vai komerciālu ievainojamību atklāšanas programmu, subjekts nodrošina, ka:
1) programmas ietvaros saņemtie un validētie kritiska vai augsta riska ievainojamības ziņojumi pēc validācijas bez nepamatotas kavēšanās tiek paziņoti kompetentajai kiberincidentu novēršanas institūcijai;
2) pēc kompetentās kiberincidentu novēršanas institūcijas pieprasījuma tiek sniegta apkopota informācija par programmas darbību, saņemto un validēto ziņojumu skaitu, to riska līmeni un novēršanas statusu;
3) programmas noteikumi ir publiski pieejami un skaidri nosaka testējamo resursu un darbību tvērumu, aizliegtās darbības, ziņošanas kārtību, pētnieka tiesisko aizsardzību un koordinētas publiskošanas nosacījumus;
4) programmas noteikumu ievērošana ir uzskatāma par atļauju programmas noteiktajā tvērumā. Programmas noteikumi var paredzēt papildu atļauju, taču tie nevar sašaurināt šā panta pirmajā daļā paredzēto tiesisko aizsardzību.”
Atlīdzības esība pati par sevi nerada vai nepaplašina testēšanas tiesības. CVD process, Bug Bounty atlīdzības mehānisms, līgumisks ielaušanās tests un cita īpaša testēšanas autorizācija ir atšķirīgi tiesiskie pamati, kuru tvērums katrā gadījumā nosakāms pēc piemērojamā regulējuma un konkrētās atļaujas.
Priekšlikums Nr. 3 - noteikt skaidru konfidencialitātes termiņu
Spēkā esošā 39. panta piektā daļa nosaka neizpaušanas pienākumu bez konkrēta gala termiņa. Tas mazina procesa prognozējamību un var atturēt pētniekus no ziņošanas. Konfidencialitātes termiņš ir salāgojams ar 40. pantā noteikto ievainojamības novēršanas termiņu: 90 dienas, ko objektīvu iemeslu dēļ var pagarināt tā, lai kopējais termiņš nepārsniegtu 180 dienas no ziņojuma iesniegšanas.
Ierosinātā NKDL 39. panta piektās daļas redakcija:
“(5) Ievainojamības atklāšana nedrīkst tikt izmantota ļaunprātīgi. Informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija, ja vien normatīvie akti neparedz augstāku klasifikācijas pakāpi. Ievainojamības atklāšanas ziņojuma iesniedzējs un attiecīgā juridiskā persona ir atbildīgi par minētās informācijas neizpaušanu.
Konfidencialitātes saistības ir spēkā līdz brīdim, kad ievainojamība ir novērsta un par to paziņots ziņojuma iesniedzējam, bet ne ilgāk kā 180 dienas no dienas, kad ziņojumu saņēmusi kompetentā kiberincidentu novēršanas institūcija vai, ja ziņojums iesniegts tieši, attiecīgā juridiskā persona.
Kompetentā kiberincidentu novēršanas institūcija nosaka nosacījumus, kārtību un apjomu, kādā pirms minētā termiņa beigām var tikt izpausta informācija par konkrēto ievainojamību, ņemot vērā attiecīgās ievainojamību atklāšanas programmas koordinētas publiskošanas noteikumus. Pēc minētā termiņa beigām informācija var tikt izpausta tiktāl, ciktāl tās izpaušanu neierobežo citi normatīvie akti vai augstāka informācijas klasifikācijas pakāpe.”
Termiņa sākuma brīdim jābūt viennozīmīgam abos ziņošanas ceļos: gan iesniedzot ziņojumu kompetentajai institūcijai, gan iesniedzot to tieši subjektam vai citai juridiskajai personai. Formulējums “ne ilgāk kā 180 dienas” nozīmē kopējo maksimālo termiņu, nevis 90 un 180 dienu secīgu summēšanu.
Priekšlikums Nr. 4 - salāgot ievainojamības novēršanas termiņa sākumu
Lai izvairītos no atšķirīgas 40. panta piemērošanas, novēršanas termiņa sākums ir sasaistāms ar validēta ziņojuma saņemšanu. Ja ziņojums vispirms iesniegts tieši subjektam, termiņu nedrīkst atlikt līdz vēlākai tehniskai pārsūtīšanai kompetentajai institūcijai.
Ierosinātais saskaņojošais precizējums NKDL 40. panta pirmajā un otrajā daļā:
“(1) Subjekts kompetentās kiberincidentu novēršanas institūcijas noteiktajā termiņā, bet ne vēlāk kā 90 dienu laikā pēc validēta ievainojamības ziņojuma saņemšanas kompetentajā kiberincidentu novēršanas institūcijā vai tieši pie subjekta veic ievainojamības novēršanai nepieciešamās darbības un informē kompetento kiberincidentu novēršanas institūciju par novēršanas gaitu.”
“(2) Ja objektīvu iemeslu dēļ ievainojamību nav iespējams novērst šā panta pirmajā daļā noteiktajā termiņā, kompetentā kiberincidentu novēršanas institūcija pēc subjekta pamatota pieprasījuma var pagarināt termiņu tā, lai kopējais ievainojamības novēršanas termiņš nepārsniegtu 180 dienas no šā panta pirmajā daļā noteiktā ziņojuma saņemšanas brīža, par to informējot ziņojuma iesniedzēju.”
Sagaidāmie ieguvumi
Tiesiskā noteiktība. Pētnieks varēs saprotami novērtēt pieļaujamās darbības un aizsardzības priekšnoteikumus arī tad, ja subjekta statuss nav publiski pārbaudāms.
Administratīvā sloga mazināšana. Subjekti un CERT.LV koncentrēs resursus uz validētām ievainojamībām, nevis dublikātiem un nepamatotiem pieteikumiem.
Ātrāka novēršana. Vienots termiņa sākuma brīdis un maksimālais 180 dienu periods stiprinās atbildību par savlaicīgu ievainojamību novēršanu.
Starptautiskā savietojamība. Privātās un komerciālās programmas varēs turpināt izmantot ierastos triāžas, Safe Harbor un Coordinated Disclosure mehānismus.
Kiberdrošības kultūras attīstība. Prognozējams regulējums veicinās ziņošanu un sadarbību starp valsti, privāto sektoru un drošības pētnieku kopienu.
Asociācijas ieskatā piedāvātais risinājumu kopums nodrošina līdzsvaru starp juridisko personu un sabiedrības drošības interesēm, kompetento institūciju uzraudzību un labticīgu pētnieku tiesisko aizsardzību. Tas vienlaikus saglabā minimālisma, samērīguma, konfidencialitātes, integritātes, pieejamības un darbības nepārtrauktības principus. Aicinām Aizsardzības ministriju iekļaut minētos precizējumus likumprojekta turpmākajā redakcijā un juridiskās tehnikas gaitā savstarpēji salāgot NKDL 39. un 40. pantu.
Likumprojekts paredz vispārīgu atļauju piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem tikai ievainojamības atklāšanai nepieciešamajā apmērā. Šāda pieeja ir atbalstāma, taču piedāvātā redakcija joprojām rada vairākus praktiskus un juridiskus neskaidrības avotus.
Būtisko un svarīgo pakalpojumu sniedzēju saraksts nav publisks. Pētnieks nevar iepriekš objektīvi pārliecināties, vai uz konkrēto organizāciju un resursu attiecas projektā paredzētā atļauja, un tādēļ nevar paredzami novērtēt savu krimināltiesisko un civiltiesisko risku.
Jēdzieni “informācijas sistēma” un “elektronisko sakaru tīkls” atsevišķā uzskaitījumā ir šaurāki un mazāk tehnoloģiski neitrāli nekā NKDL 1. panta 22. punktā jau definētais jēdziens “tīklu un informācijas sistēma”, kas aptver arī ierīces, savstarpēji saistītu ierīču grupas un to apstrādātos digitālos datus.
CERT.LV programma “ALL - CERT.LV Klientūras ievainojamības” nodrošina ziņošanas un koordinācijas kanālu resursiem, kas nav iekļauti citās platformas programmās. Tomēr ziņošanas kanāla esība pati par sevi neatrisina jautājumu par pētnieka darbību tiesisko statusu pirms ziņojuma iesniegšanas.
Privātās un komerciālās CVD/Bug Bounty programmas izmanto triāžu, dublikātu noteikšanu, riska validāciju un saskaņotus publiskošanas noteikumus. Regulējumam jāspēj šīs programmas integrēt, nevis radīt paralēlu un dublējošu procesu.
Priekšlikums Nr. 1 - paplašināt drošās ostas tvērumu un precizēt terminoloģiju
Asociācija aicina 39. panta pirmajā daļā izmantot likumā jau definēto jēdzienu “tīklu un informācijas sistēma” un primāri attiecināt pieļaujamības režīmu uz juridisko personu pārziņā vai tiesiskā valdījumā esošiem resursiem neatkarīgi no tā, vai attiecīgā persona ir iekļauta nepubliskajā NKDL subjektu sarakstā.
Šis priekšlikums nenozīmē vispārēju imunitāti vai neierobežotas tiesības testēt sistēmas. Aizsardzība saglabājama tikai labticīgai rīcībai, kas aprobežojas ar minimāli nepieciešamo pārbaudi, ticama pierādījuma iegūšanu, savlaicīgu ziņošanu un darbību pārtraukšanu pēc pietiekamas ievainojamības apstiprināšanas.
Ierosinātā NKDL 39. panta pirmās daļas redakcija:
“(1) Persona, rīkojoties labticīgi, juridiskās personas pārziņā vai tiesiskajā valdījumā esošas tīklu un informācijas sistēmas datiem drīkst piekļūt tikai ievainojamības atklāšanai nepieciešamajā apmērā un veikt tikai tādas darbības, kuras, ņemot vērā personai darbības veikšanas laikā zināmos vai saprātīgi noskaidrojamos apstākļus:
1) ir nepieciešamas ievainojamības identificēšanai, minimālai pārbaudei, ticama un reproducējama pierādījuma sagatavošanai un ziņošanai;
2) tiek veiktas tādā veidā, lai neradītu nesamērīgu slogu tīklu un informācijas sistēmai;
3) tiek veiktas tādā veidā, lai neapdraudētu tīklu un informācijas sistēmas drošību, datu konfidencialitāti, integritāti vai pieejamību un darbības nepārtrauktību, un tiek pārtrauktas, tiklīdz iegūts ievainojamības esamības pierādīšanai pietiekams apstiprinājums.”
Minimālais alternatīvais risinājums. Ja likumdevējs saglabā ierobežojumu tikai uz NKDL subjektiem, 39. pantā nepieciešams skaidri noteikt, ka personai piemēro projektā paredzēto tiesisko aizsardzību arī tad, ja tā, rīkojoties labticīgi un ievērojot pirmajā daļā noteiktos principus, objektīvi nevarēja noskaidrot subjekta statusu vai konkrētā resursa piederību subjektam.
Priekšlikums Nr. 2 - noteikt samērīgu ziņojumu triāžu un atzīt privātās programmas
Tieši subjektam iesniegts ziņojums vispirms ir jāreģistrē un jāizvērtē. Kompetentajai kiberincidentu novēršanas institūcijai nododams validēts ziņojums, nevis katrs sākotnējais pieteikums neatkarīgi no tā kvalitātes. Acīmredzami nepamatoti ziņojumi, dublikāti un ārpus programmas tvēruma esoši pieteikumi ir auditējami uzskaitāmi, taču par tiem nav lietderīgi veidot atsevišķu tūlītējas ziņošanas plūsmu.
Ierosinātā NKDL 39. panta 2.¹ daļas redakcija:
“(2¹) Ja subjekts no personas saņem informāciju par tā pārziņā vai tiesiskajā valdījumā esošā tīklu un informācijas sistēmā konstatētu iespējamu ievainojamību, subjekts apstiprina ziņojuma saņemšanu, veic sākotnējo izvērtēšanu un par validētu ievainojamību bez nepamatotas kavēšanās informē kompetento kiberincidentu novēršanas institūciju. Subjekts veic ievainojamības novēršanai nepieciešamās darbības saskaņā ar šā likuma 40. pantu un, ciktāl tas iespējams, informē ziņojuma iesniedzēju par izvērtēšanas un novēršanas rezultātu.”
Ierosinātā jaunā NKDL 39. panta 2.² daļa:
“(2²) Ja subjekts koordinētas ievainojamību atklāšanas procesa nodrošināšanai izmanto publiski pieejamu paša uzturētu vai starptautiski atzītu privātu vai komerciālu ievainojamību atklāšanas programmu, subjekts nodrošina, ka:
1) programmas ietvaros saņemtie un validētie kritiska vai augsta riska ievainojamības ziņojumi pēc validācijas bez nepamatotas kavēšanās tiek paziņoti kompetentajai kiberincidentu novēršanas institūcijai;
2) pēc kompetentās kiberincidentu novēršanas institūcijas pieprasījuma tiek sniegta apkopota informācija par programmas darbību, saņemto un validēto ziņojumu skaitu, to riska līmeni un novēršanas statusu;
3) programmas noteikumi ir publiski pieejami un skaidri nosaka testējamo resursu un darbību tvērumu, aizliegtās darbības, ziņošanas kārtību, pētnieka tiesisko aizsardzību un koordinētas publiskošanas nosacījumus;
4) programmas noteikumu ievērošana ir uzskatāma par atļauju programmas noteiktajā tvērumā. Programmas noteikumi var paredzēt papildu atļauju, taču tie nevar sašaurināt šā panta pirmajā daļā paredzēto tiesisko aizsardzību.”
Atlīdzības esība pati par sevi nerada vai nepaplašina testēšanas tiesības. CVD process, Bug Bounty atlīdzības mehānisms, līgumisks ielaušanās tests un cita īpaša testēšanas autorizācija ir atšķirīgi tiesiskie pamati, kuru tvērums katrā gadījumā nosakāms pēc piemērojamā regulējuma un konkrētās atļaujas.
Priekšlikums Nr. 3 - noteikt skaidru konfidencialitātes termiņu
Spēkā esošā 39. panta piektā daļa nosaka neizpaušanas pienākumu bez konkrēta gala termiņa. Tas mazina procesa prognozējamību un var atturēt pētniekus no ziņošanas. Konfidencialitātes termiņš ir salāgojams ar 40. pantā noteikto ievainojamības novēršanas termiņu: 90 dienas, ko objektīvu iemeslu dēļ var pagarināt tā, lai kopējais termiņš nepārsniegtu 180 dienas no ziņojuma iesniegšanas.
Ierosinātā NKDL 39. panta piektās daļas redakcija:
“(5) Ievainojamības atklāšana nedrīkst tikt izmantota ļaunprātīgi. Informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija, ja vien normatīvie akti neparedz augstāku klasifikācijas pakāpi. Ievainojamības atklāšanas ziņojuma iesniedzējs un attiecīgā juridiskā persona ir atbildīgi par minētās informācijas neizpaušanu.
Konfidencialitātes saistības ir spēkā līdz brīdim, kad ievainojamība ir novērsta un par to paziņots ziņojuma iesniedzējam, bet ne ilgāk kā 180 dienas no dienas, kad ziņojumu saņēmusi kompetentā kiberincidentu novēršanas institūcija vai, ja ziņojums iesniegts tieši, attiecīgā juridiskā persona.
Kompetentā kiberincidentu novēršanas institūcija nosaka nosacījumus, kārtību un apjomu, kādā pirms minētā termiņa beigām var tikt izpausta informācija par konkrēto ievainojamību, ņemot vērā attiecīgās ievainojamību atklāšanas programmas koordinētas publiskošanas noteikumus. Pēc minētā termiņa beigām informācija var tikt izpausta tiktāl, ciktāl tās izpaušanu neierobežo citi normatīvie akti vai augstāka informācijas klasifikācijas pakāpe.”
Termiņa sākuma brīdim jābūt viennozīmīgam abos ziņošanas ceļos: gan iesniedzot ziņojumu kompetentajai institūcijai, gan iesniedzot to tieši subjektam vai citai juridiskajai personai. Formulējums “ne ilgāk kā 180 dienas” nozīmē kopējo maksimālo termiņu, nevis 90 un 180 dienu secīgu summēšanu.
Priekšlikums Nr. 4 - salāgot ievainojamības novēršanas termiņa sākumu
Lai izvairītos no atšķirīgas 40. panta piemērošanas, novēršanas termiņa sākums ir sasaistāms ar validēta ziņojuma saņemšanu. Ja ziņojums vispirms iesniegts tieši subjektam, termiņu nedrīkst atlikt līdz vēlākai tehniskai pārsūtīšanai kompetentajai institūcijai.
Ierosinātais saskaņojošais precizējums NKDL 40. panta pirmajā un otrajā daļā:
“(1) Subjekts kompetentās kiberincidentu novēršanas institūcijas noteiktajā termiņā, bet ne vēlāk kā 90 dienu laikā pēc validēta ievainojamības ziņojuma saņemšanas kompetentajā kiberincidentu novēršanas institūcijā vai tieši pie subjekta veic ievainojamības novēršanai nepieciešamās darbības un informē kompetento kiberincidentu novēršanas institūciju par novēršanas gaitu.”
“(2) Ja objektīvu iemeslu dēļ ievainojamību nav iespējams novērst šā panta pirmajā daļā noteiktajā termiņā, kompetentā kiberincidentu novēršanas institūcija pēc subjekta pamatota pieprasījuma var pagarināt termiņu tā, lai kopējais ievainojamības novēršanas termiņš nepārsniegtu 180 dienas no šā panta pirmajā daļā noteiktā ziņojuma saņemšanas brīža, par to informējot ziņojuma iesniedzēju.”
Sagaidāmie ieguvumi
Tiesiskā noteiktība. Pētnieks varēs saprotami novērtēt pieļaujamās darbības un aizsardzības priekšnoteikumus arī tad, ja subjekta statuss nav publiski pārbaudāms.
Administratīvā sloga mazināšana. Subjekti un CERT.LV koncentrēs resursus uz validētām ievainojamībām, nevis dublikātiem un nepamatotiem pieteikumiem.
Ātrāka novēršana. Vienots termiņa sākuma brīdis un maksimālais 180 dienu periods stiprinās atbildību par savlaicīgu ievainojamību novēršanu.
Starptautiskā savietojamība. Privātās un komerciālās programmas varēs turpināt izmantot ierastos triāžas, Safe Harbor un Coordinated Disclosure mehānismus.
Kiberdrošības kultūras attīstība. Prognozējams regulējums veicinās ziņošanu un sadarbību starp valsti, privāto sektoru un drošības pētnieku kopienu.
Asociācijas ieskatā piedāvātais risinājumu kopums nodrošina līdzsvaru starp juridisko personu un sabiedrības drošības interesēm, kompetento institūciju uzraudzību un labticīgu pētnieku tiesisko aizsardzību. Tas vienlaikus saglabā minimālisma, samērīguma, konfidencialitātes, integritātes, pieejamības un darbības nepārtrauktības principus. Aicinām Aizsardzības ministriju iekļaut minētos precizējumus likumprojekta turpmākajā redakcijā un juridiskās tehnikas gaitā savstarpēji salāgot NKDL 39. un 40. pantu.
28.08.2026. 22:58
Atlasīti 10 ieraksti.
Ierakstu skaits lapā25