Atzinums

Informatīvajā ziņojumā nav pietiekami izvērtēta plānoto risinājumu atbilstība IKT kritiskajai infrastruktūrai noteiktajām prasībām un to iespējamā ietekme uz kritiskās infrastruktūras informācijas sistēmu darbību, drošību un nepārtrauktību. Lūdzam papildināt informatīvo ziņojumu, ņemot vērā IKT kritiskajai infrastruktūrai noteiktās prasības!

-

Sadaļā "Procesa apraksts" nepieciešams iekļaut paātrinātas izskatīšanas soli (ceļu) aktivitātēm, kuru saturs un termiņi tieši izriet no ES tiesību aktiem vai starptautiskajām saistībām, nosakot maksimālo izvērtēšanas termiņu katrā līmenī un to, ka termiņa neievērošana nav pamats aktivitātes apturēšanai.

-

Sadaļā "Procesa apraksts" noteiktajā solī "Sliekšņa un stratēģiskās ietekmes noteikšana" precizēt, ka izvērtēšanas līmeni nosaka konkrētās aktivitātes plānotais finansējums (vai funkcionāli nedalāmu aktivitāšu kopums plānošanas periodā)
 

-

Precizēt soli "Sliekšņa un stratēģiskās ietekmes noteikšana" iekļaujot, ka stratēģiskuma kritēriji piemērojami aktivitātes radīto izmaiņu, nevis ietekmētā resursa, līmenī un definētus būtiskuma sliekšņus.

-

Tabulu "Lomu sadalījums procesā" papildināt ar valsts kapitālsabiedrības lomu (apstiprina 1.līmeņa izvērtējumu, kā arī atbildības sadale ar nozares ministriju 2.līmenī).

-

Sadaļā "Procesa apraksts" katram izvērtēšanas līmenim (būvvalde, birojs, padome) jānosaka maksimālo izskatīšanas termiņu un jāparedz paātrinātu (steidzamības kārtā) izskatīšanas kārtību darbībām, kas nepieciešamas kiberincidenta novēršanai vai seku mazināšanai, kritisku vai aktīvi izmantotu ievainojamību novēršanai, būtiska kiberdrošības riska samazināšanai, kompetento kiberdrošības institūciju rekomendāciju izpildei, kā arī normatīvajos aktos terminētu izmaiņu ieviešanai, nodrošinot, ka izvērtēšanas process nekavē neatliekamu drošības pasākumu īstenošanu.

-

Sadaļā "Ieteicamā procesa īstenošanas loģika" noteikt, ka pagaidu režīmā pieņemtie saskaņojumi ir galīgi un pēc padomes darbības uzsākšanas atkārtoti nav vērtējami.

-

Solī "Aktivitātes iniciēšana" un "Trešā līmeņa process" iekļaut principu, ja aktivitātes pamatojums, izmaksu analīze vai alternatīvu izvērtējums jau ir iesniegts un izvērtēts ES fondu projekta iesnieguma vērtēšanā, tie ir atzīstami bez atkārtotas vērtēšanas pēc būtības.

-

Precizēt 3.2. uzdevumu, nosakot principu, ka valsts finansēta pirmkoda nodošana valsts centralizētajā repozitorijā ir nodrošināma pēc noklusējuma, savukārt publiska pirmkoda publicēšana veicama pēc informācijas klasifikācijas un kiberdrošības riska izvērtējuma. Paredzēt ierobežotas piekļuves režīmu gadījumos, kad publiskošana var palielināt kiberdrošības, kritisko pakalpojumu darbības vai nacionālās drošības risku.

-

3.5. un 3.6. uzdevumā noteikt, ka EIS katalogu ierobežojumi un slēgšana stājas spēkā tikai pēc tam, kad attiecīgajā segmentā pieejams funkcionējošs alternatīvs mehānisms (EIS DIS ar pietiekamu piegādātāju loku vai kompetences centra sagādes pakalpojums), paredzot izņēmumu kritisko IS uzturēšanas un drošības darbiem un vismaz 6 mēnešu pārejas periodu jau plānotajiem pasūtījumiem.

-

Precizēt 3.5. uzdevumu (FM), nosakot, ka ierobežojums kopējai līgumcenai, par kādu pasūtītājs gada laikā var iegādāties programmatūras izstrādes pakalpojumus EIS e-katalogos, tiek attiecināts uz vienu informācijas sistēmu, nevis uz pasūtītāja kopējo programmatūras izstrādes pakalpojumu iegāžu apjomu gada laikā.

-

1.6. uzdevumā iekļaut attiecīgās jomas kompetences centra pārstāvja obligātu pieaicināšanu ar padomdevēja tiesībām, datu aizsardzības ekspertu iesaisti projektiem ar īpašu kategoriju datu apstrādi un pastiprinātas konfidencialitātes prasības šādu projektu dokumentiem.

-

Sadaļu par veselības un labklājības jomu kompetences centru papildināt, ka izvērtējums veicams VM un LM vadībā, par tehnoloģisko un institucionālo bāzi nosakot LDVC, ievērojot priekšnosacījumu paredzēt veselības datu īpašā statusa tiesisko, datu aizsardzības un kiberdrošības izvērtējumu, tostarp konsolidācijas radītā sistēmiskā riska, kopīgo tehnoloģisko atkarību, viena atteices vai kompromitācijas punkta un darbības nepārtrauktības risku izvērtējumu, kā arī nepieciešamības gadījumā novērtējumu par ietekmi uz datu aizsardzību atbilstoši VDAR 35. pantam.
 

-

Papildināt 2.2. uzdevumu nozaru ministrijām ar nosacījumu, ka veselības un labklājības jomās saglabājams datu pārziņu, nolūku un piekļuves tiesību nodalījums ar veselības datiem nodalītu apstrādes vidi un auditējamu piekļuvi, jomu konsolidāciju veicot sadarbspējas stiprināšanā un koplietošanas pakalpojumu izstrādē.

-

Sadaļā "Ieteicamā procesa īstenošanas loģika" noteikt, ka kārtība pilnā apmērā piemērojama ne agrāk kā 3 mēnešus pēc metodisko materiālu (kontroljautājumi, lietderības izvērtēšanas metodikas) publicēšanas.

-

Dienests konceptuāli atbalsta vienotu, caurskatāmu un uz riskiem balstītu valsts IKT projektu pārvaldību, tomēr piedāvātā modeļa ieviešanā nepieciešams nodrošināt proporcionalitāti, operatīvu saskaņošanu un īpašu kārtību valsts kritisko funkciju nodrošināšanai. Centralizācija nedrīkst mazināt Dienesta spēju patstāvīgi un savlaicīgi pieņemt lēmumus par risinājumiem, kas tieši ietekmē neatliekamās medicīniskās palīdzības procesa nepārtrauktību, pacientu drošību, kiberdrošību un datu aizsardzību. Pirms funkciju vai kompetenču nodošanas centralizētam pakalpojumu sniedzējam jābūt skaidri noteiktam atbildību sadalījumam, pakalpojumu līmeņiem, eskalācijas mehānismiem, datu pārvaldības lomām un Dienesta tiesībām piedalīties arhitektūras, prioritāšu, testēšanas un pieņemšanas lēmumos. Tāpat nepieciešams paredzēt vienkāršotu un paātrinātu kārtību neatliekamām, kiberdrošības, darbības nepārtrauktības un neliela apjoma aktivitātēm.
Dokumentā paredzēti vairāki uzdevumi jau 2026. gada septembrī, oktobrī un decembrī, bet nozaru arhitektūru aktualizēšana līdz 2027. gada 1. janvārim. Tas rada risku, ka īsā laikā iestādēm būs jāmaina plānošanas, uzskaites, iepirkumu un projektu pārvaldības procesi, vēl pirms ir stabilizēta metodika. Tas ir pretrunā ar Informatīvā ziņojuma mērķi , sakārtot un plānveidīgi ieviest risinājumus, kas atbilst jomu arhitektūrām un citiem plānošanas dokumentiem.
 

-

 1.3: Ieviest IKT projektu lietderības izvērtēšanas modeli
1. Valsts digitālā investīciju padome, Indikatīvais modelis paredz “CERT.LV – kiberdrošības aspektu izvērtējums lieliem un stratēģiskiem projektiem” – vai Cert.lv varēs sniegt izvērtējumu arī par attīstības aktivitātēm, kurās tiek attīstīta kritiskās infrastruktūras IKT resursi? Nepieciešams salāgojot ar MK 397 paplašināt iestāžu loku izvērtējuma sniegšanai – Cert.lv vai SAB – atbilstoši Nacionālā kiberdrošības likumā un MK 397 noteiktajam kiberdrošības jomas uzraudzības iestādei.
2. Ja IKT aktivitātei būs nepieciešams nozares ministrijas izvērtējums, VARAM “IKT būvvaldes” saskaņojums, bet lieliem vai stratēģiskiem projektiem arī Valsts IKT vadības biroja un Valsts digitālās investīciju padomes izvērtējums, projekta uzsākšana, iepirkums vai izmaiņu ieviešana var kavēties. Lūdzam precizēt ziņojumā saskaņošanas termiņus katram posmam.
3. Dienesta IKT risinājumi ir cieši saistīti ar neatliekamās medicīniskās palīdzības sniegšanu, sakariem un darbības nepārtrauktību. Ja centralizētajā izvērtēšanā galvenā uzmanība tiek pievērsta izmaksām, arhitektūras vienādošanai un koplietošanai, var netikt pienācīgi ņemta vērā nepieciešamība risinājumu ieviest operatīvi vai pielāgot specifiskam pamatdarbības procesam. Lūdzam iekļaut ziņojumā procedūru kritiskās infrastruktūras IKT resursiem. 
3. Lūdzam izdalīt un papildināt ziņojuma trīs līmeņu IKT aktivitāšu izvērtējumu attiecībā uz jaunas IS ieviešanu un uz esošas IS uzturēšanu. 

-

Priekšlikums 2.1:
Veselības ministrija konceptuāli piekrīt, ka IKT atbalsta centralizācija var dot uzskaitītos ieguvumus, taču, nepieciešams izvērtēt vai nepieciešama pilnīga IT atbalsta funkcijas centralizēšana. Šāds pakalpojums būtu piemērots iestādēm, kurās nav specifisku IKT lietojumu, kuras ir viegli standartizējamas. Iestādēs, kurās jau ir augsts dažādu IKT lietojumu skaits, šāda centralizācija nesniegtu cerētos ieguvumus. Primāri būtu jāpabeidz resoru kompetenču centru izveide, nododot IT sistēmas to pārvaldībā un padarot iestādes vieglāk standartizējamas. Tā pat centralizācijas rezultātā nedrīkst pasliktināties iestāžu pieredze saistībā ar IT atbalsta saņemšanu, tai skaitā darbības nepārtrauktību, kas iestādēm ar vidēji augstu un augstu kritiskumu nozīmē vismaz 1 klātienes IT atbalsta darbinieku.

Veselības ministrijas ieskatā lietotāju pārvaldības funkcija būtu jācentralizē resora kompetenču centros - atsevišķi resori jau ir centralizējuši vai uzsākuši atbalsta funkcijas centralizāciju, sakārtojuši infrastruktūru un procesus. Kā arī pie noteikta lietotāju/iekārtu skaita finansiālie un organizatoriskie ieguvumi vairs nepieaug, jo infrastruktūra kļūst sarežģītāka, atbalsta personāla kapacitāte ir ierobežota. Kritiskajās iestādēs 1. līmeņa IT atbalsts būtu saglabājams iestādē.
Tā pat Veselības ministrija norāda, ka Veselības resora iestādēs tiek lietotas gan medicīnas tehnoloģijas gan citi IT risinājumi, kas nepadodas standartizācijai, kā arī augstas konfidencialitātes informācijas sistēmas, līdz ar to centralizēts IT atbalsts  vismaz sākotnēji nav iespējams.

-

2.1: Attīstīt digitālās attīstības un atbalsta pakalpojumu un valsts IKT sagādes centru
1. Lūdzam precizēt ziņojumu norādot, vai Digitālās attīstības un atbalsta pakalpojumu centra pakalpojumu tvērumā minētais “Kiberdrošības pārvaldības pakalpojums” domāts zem obligāti centralizējamo pakalpojumu tvēruma. Jo kā iestādes vadītājs, kurš Nacionālā kiberdrošības likuma izpratnē ir atbildīgs par “Subjekta kiberdrošības pārvaldību nodrošina un par to atbild subjekta vadītājs. Katra subjekta vadītājs nosaka atbildīgo personu, kura īsteno un pārrauga kiberdrošības pasākumu īstenošanu attiecīgajā subjektā (turpmāk — kiberdrošības pārvaldnieks). Ministru kabinets nosaka kiberdrošības pārvaldniekam izvirzāmās prasības,” varēs izkontrolēt un saprast pakalpojuma izpildi atbilstoši norādītajam un piesaistītā kiberdrošības pārvaldnieka atbilstību iestādes (Subjakta) specifiskajām prasībām, piemēram, Kritiskās infrastruktūras un būtisko pakalpojumu sniedzēju gadījumā.
2. Ziņojums paredz individuālu izstrāžu programmatūras koda publicēšanu repozitorijos kā obligātu prasību. Lūdzam precizēt ziņojumu, jo bez skaidriem izņēmumiem tas var radīt kiberdrošības, intelektuālā īpašuma, licenču, komercnoslēpuma un kritiskās infrastruktūras aizsardzības riskus. Nav skaidri noteikts, vai “publicēšana” nozīmē publisku pieejamību vai pieejamību valsts pārvaldes slēgtā repozitorijā ar noteiktu piekļuvi.

-

2.2: Turpināt IKT resursu un kompetenču konsolidāciju specializētos kompetenču centros
1. Ziņojuma tekstā norādīts "... digitālās attīstības un atbalsta pakalpojumu centram piedāvā ministriju un institūciju izvērtējumam pielikumā Nr.5 apkopotu priekšlikumu kopumu par specializētu kompetenču centru nostiprināšanu vai attīstību, konsolidējot esošas institūcijas vai to daļas.." -  5.pielikums “Sadrumstalotie valsts pārvaldes IKT resursi un kompetences” - nav ietverti priekšlikumi
2. Ziņojumā paredzēta IKT resursu un speciālistu koncentrēšana kompetenču centros. Ja Dienestā samazina tehnisko kompetenci, var tikt zaudētas zināšanas par specifiskajiem procesiem, integrācijām, datu plūsmām un operatīvās darbības prasībām. Pats ziņojums atzīst, ka iestādēm ar augstu automatizācijas un tehnoloģiju izmantošanas briedumu specializētās lietojumprogrammatūras pārvaldības nodošana citai institūcijai var nebūt lietderīga. Vai šiem gadījumiem tiks piemērots izņēmums vai tos paredzēts atrunāt noteikumos?
3. Ziņojums paredz vienotu palīdzības dienestu, kontu, gala iekārtu, tīklu, infrastruktūras un kiberdrošības pārvaldību. Lūdzam precizēt ziņojumu izdalot kritiskās infrastruktūras IKT resursu pakalpojumu līmeņus, prioritātes, atjaunošanas termiņus vai atbildību par dīkstāvi.

-

1.1.uzdevuma 1.punktu (MK noteikumu projekta "Valsts digitālās pārvaldes resursu attīstības kārtība" izstrādē) papildināt:
a) ar pienākumu nodrošināt arī nozaru kompetences centru pārstāvju viedokļu iekļaušanu (līdzdalību) MK noteikumu projekta izstrādē;
b) terminu sadaļā ar definīciju jēdzieniem "uzturēšana", "pilnveide", "izstrāde";
c) nosacījumu, ka uzturēšanai (drošības ielāpi, incidentu novēršana, normatīvo izmaiņu ieviešana) iepriekšēju saskaņošanu nepiemēro, uzturēšanas iepirkumus neuzskatot par izvērtējamām attīstības aktivitātēm;
d) publiskas pirmkoda publicēšanas riska izvērtēšanas un izņēmumu kritērijus, kā arī pārejas noteikumus spēkā esošajiem izstrādes līgumiem, kuros intelektuālā īpašuma tiesības nav pilnībā nodotas pasūtītājam;
e) noslēguma jautājumos iekļaut pārejas noteikumus - aktivitātes, kas reģistrētas VIRSIS vai kuru iepirkumi izsludināti līdz kārtības spēkā stāšanās dienai, realizējamas līdzšinējā kārtībā.

-

Priekšlikuma 2.1 ietvarā izstrādājamajā digitālās attīstības un atbalsta pakalpojumu centra darbības modelī iekļaut, ka:
1) kapitālsabiedrībām pievienošanās centralizētajiem atbalsta pakalpojumiem īstenojama pakāpeniski, pamatojoties uz pakalpojumu līgumu (SLA) ar noteiktiem pakalpojumu līmeņiem, prioritātēm, atjaunošanas termiņiem un atbildību par dīkstāvi, un saistošu drošības prasību kopumu, skaidri nosakot pušu atbildību par kiberdrošības risku pārvaldību, piekļuves tiesību administrēšanu, ievainojamību pārvaldību, drošības uzraudzību, kiberincidentu atklāšanu un vadību, darbības nepārtrauktību un piegādātāju pārvaldību;
2) centralizācijas modelī nepieciešams nepārprotami noteikt atbildības sadalījumu starp pakalpojuma saņēmēju un centralizētā pakalpojuma sniedzēju, tostarp kiberdrošības risku, piekļuves tiesību, ievainojamību, kiberincidentu un darbības nepārtrauktības pārvaldībā.

-

Papildināt 1.2.uzdevumu, paredzot nozaru kompetences centru iesaisti jomu arhitektūru izstrādē un paredzot tam nepieciešamo finansējumu atsevišķi, nevis esošo resursu ietvarā.

-

1.8. uzdevumā (informācijas ietvars ministrijām) noteikt, ka dati sniedzami vienreiz, tos reģistrējot VIRSIS, bez paralēliem atskaišu kanāliem.
 

-

Priekšlikuma 1.4 sadaļā par statusa paneli noteikt, ka publiskojamās informācijas apjoms nosakāms atbilstoši informācijas klasifikācijai un kiberdrošības riska izvērtējumam, nepieļaujot tādas informācijas publiskošanu, kas atklāj kritisko vai būtisko informācijas sistēmu arhitektūru, tehnoloģiskās atkarības, drošības kontroles, ievainojamības vai neatbilstības, rezerves risinājumu uzbūvi vai citu informāciju, kuras publiskošana var palielināt kiberdrošības risku.

-

Papildināt sadaļas "Priekšlikumi IKT iepirkumu sistēmas pilnveidei" punktu "Gatavu programmproduktu (COTS) prioritāte", nosakot, ka atbilstība vērtējama, ietverot sadarbspējas un lokalizācijas prasības un TCO saskaņā ar tā paša saraksta punktā "IKT resursu un pakalpojumu sagādes vadlīnijas" jau iekļauto TCO principu.
 

-

1.1. uzdevuma 1.punkts:
a) MK noteikumu (projekts) "Valsts digitālās pārvaldes resursu attīstības kārtība" piemērošanas kārtībā iekļaut valsts kapitālsabiedrības, kas pilda valsts pārvaldes uzdevumus;
b) papildināt ar atsauci, ka lietderības izvērtēšanas metodikā nepieciešams noteikt, ka COTS atbilstības slieksnis vērtējams, ietverot sadarbspējas un lokalizācijas prasības (piemēram, latviešu valoda, nacionālie klasifikatori, Eiropas Komisijas noteiktās kodēšanas sistēmas ) un pilnā dzīves cikla izmaksas (TCO).

-

sadaļā "Nodevumu definēšanas principi" (sprinti jau minēti kā nodevumu vienība) noteikt, ka rezultātā balstīts iepirkums ietver arī iteratīvu (Agile u.c.) piegādes modeli ar sprintu vai posmu pieņemšanas aktēšanu

-

Sadaļā "Procesa apraksts" papildināt "Trūkumu novēršana un atkārtota virzība" ar atsauci, ka negatīva atzinuma gadījumā kopā ar noraidījumu norādāma izpildāma alternatīva.

-

1.3. uzdevumu (FM) papildināt ar piezīmi, ka kumulatīvā uzskaite kalpo caurskatāmībai un TCO analīzei, nevis līmeņa noteikšanai.

-

Nepieciešams saskaņot sadaļas "Nodevumu definēšanas principi" noslēguma rindkopu (stundu likmes uzturēšanai un pilnveidei) ar sadaļas "Priekšlikumi IKT iepirkumu sistēmas pilnveidei" 1. punktu (tikai uzturēšanai), jo pamattekstā stundu likmes pieļautas uzturēšanas un pilnveides darbiem, priekšlikumu sadaļā tikai uzturēšanai, neiekļaujot pilnveidi.

-

EIS DIS un citos centralizētajos IKT sagādes mehānismos iekļaut minimālās kiberdrošības prasības un piegādes ķēdes risku izvērtēšanas kritērijus, tostarp izvērtējot piegādātāju, tehnoloģiju un pakalpojumu koncentrācijas risku un nepieļaujot tādu centralizāciju, kas rada nesamērīgu sistēmisku atkarību valsts pārvaldes kritisko vai būtisko informācijas sistēmu darbībā.

-

Konceptuāli iekļaut, ka priekšlikumos, kas paredz IKT funkciju, infrastruktūras vai pakalpojumu centralizāciju, noteikt principu, ka pirms centralizācijas lēmuma pieņemšanas veicams dokumentēts kiberdrošības un darbības nepārtrauktības riska izvērtējums, tostarp izvērtējot koncentrācijas risku, kopīgās tehnoloģiskās atkarības, viena atteices vai kompromitācijas punkta risku, privileģēto piekļuves tiesību koncentrāciju un IKT piegādes ķēdes risku. Izvērtējumā nosakāmi nepieciešamie riska mazināšanas pasākumi, atbildības sadalījums starp iesaistītajām pusēm, riska īpašnieks un atlikušā riska akceptēšanas kārtība.

-

Informatīvajā ziņojumā nav pietiekami norādīta darbību un prasību iespējamā ietekme uz kapitālsabiedrībām, kas pilda valsts pārvaldes uzdevumus. Lūdzam papildināt informatīvo ziņojumu, uzsverot kapitālsabiedrību, kas pilda valsts pārvaldes uzdevumus, lomu!

-

Lūdzam precizēt priekšlikumu  2.1 un 2.1. uzdevumu VARAM, paredzot, ka datu administrēšanas un datu pārvaldības tehnoloģiskā nodrošinājuma centralizācija nedrīkst vājināt iestādes spēju savlaicīgi nodrošināt savus darbiniekus ar darba pienākumu izpildei nepieciešamajiem resursiem, darba rīkiem, sistēmu lietošanas atbalstu un operatīvu palīdzību pamatdarbības vajadzību gadījumā.
Centralizācijas modelī nepieciešams skaidri noteikt atbildību sadalījumu starp centralizēto pakalpojuma sniedzēju un nozares iestādi, pakalpojuma līmeņa prasības, reaģēšanas termiņus.

-

Lūdzam precizēt sadaļu 2.2., paredzot, ka nozaru kompetenču centru pārvaldībā tiek nodrošināta to nozares iestāžu līdzdalība, kuras īsteno attiecīgās nozares pamatfunkcijas un kurām ir būtiska kompetence nozares informācijas sistēmu un digitālo risinājumu pārvaldībā. Veselības nozarē šāda iesaiste ir īpaši būtiska, jo veselības aprūpes finansēšanas, pakalpojumu administrēšanas un e-veselības risinājumu pārvaldība ir cieši integrēta ar nozares biznesa procesiem un normatīvajām prasībām. Nacionālais veselības dienests kā viena no galvenajām veselības nozares pamatfunkciju īstenotājām iestādēm nodrošina unikālu kompetenci veselības aprūpes organziēšanas, finansēšanas, datu pārvaldības un digitālo pakalpojumu jomā, kura nepieciešama nozares kompetenču centra sekmīgai darbībai.

-