Atzinums

Noteikumu projekta 2.5. apakšpunktā datu centra operatora definīcijas izņēmums attiecināts uz subjektu, kurš datu centru izmanto tikai savas vai ar sava koncerna vai resora saistītas institūcijas informācijas sistēmas izvietošanai. Jēdziens „resors” Valsts pārvaldes iekārtas likuma izpratnē raksturo valsts tiešās pārvaldes institucionālo sistēmu, un tā piemērošana pašvaldībām nav viennozīmīga. Pašvaldība ir atvasināta publiska persona, kuras iestādes nav patstāvīgas juridiskas personas, un pašvaldībās plaši izplatīta prakse ir centralizēta IKT infrastruktūra, kurā pašvaldības centrālā administrācija vai atsevišķa pašvaldības iestāde nodrošina servertelpas un skaitļošanas resursus visām pašvaldības iestādēm, tostarp izglītības iestādēm, kā arī atsevišķos gadījumos pašvaldības kapitālsabiedrībām. Lūdzam precizēt 2.5. apakšpunktu, nepārprotami nosakot, ka izņēmums aptver arī pašvaldības un tās iestāžu, aģentūru un kapitālsabiedrību informācijas sistēmu izvietošanu pašvaldības īpašumā vai tiesiskajā valdījumā esošā datu centrā, lai pašvaldība šādā situācijā nekļūtu par datu centra operatoru ar visiem no tā izrietošajiem pienākumiem.
 

2.5. datu centra operators – Latvijas Republikā reģistrēta juridiska persona, ārvalsts juridiskās personas filiāle vai publiska persona, kuras īpašumā vai tiesiskajā valdījumā ir datu centrs un kura sniedz datu centra pakalpojumus šo noteikumu regulējuma ietvaros, izņemot subjektu, kurš datu centru izmanto tikai savas vai ar sava koncerna vai resora saistītas institūcijas informācijas sistēmas izvietošanai, kā arī atvasinātu publisku personu, kura datu centru izmanto tikai savu iestāžu, aģentūru vai kapitālsabiedrību informācijas sistēmu izvietošanai;
 

Noteikumu projekta 9. punkts prasa ierobežotas izvietošanas informācijas sistēmu izvietot datu centrā ar apliecinātu atbilstību, taču noteikumu projekts neparedz praktiski īstenojamu mehānismu, kā subjekts šo prasību var izpildīt, ja informācijas sistēma tiek nodrošināta kā standartizēts mākoņdatošanas pakalpojums vai programmatūra kā pakalpojums. Šādos gadījumos subjekts nevar nedz pieprasīt pakalpojuma sniedzējam veikt datu centra auditu, nedz iegūt tā rezultātus, un 10. punktā paredzētais individuālais uzraugošās iestādes atzinums nav mērogojams situācijā, kad vienu un to pašu pakalpojumu izmanto desmitiem vai simtiem subjektu. Praksē tas nozīmē, ka pašvaldībām plaši izmantotas B klases sistēmas, kas tiek nodrošinātas kā mākoņpakalpojums (piemēram, grāmatvedības un lietvedības risinājumi), pēc pārejas perioda beigām kļūs formāli neizmantojamas. Paredzamās sekas būs nevis drošības līmeņa paaugstināšanās, bet subjektu atteikšanās no profesionāli pārvaldītiem datu centriem un mākoņpakalpojumiem par labu lokālām serveru telpām, kuru faktiskais drošības līmenis ir zemāks un kuru izveide un uzturēšana mazām pašvaldībām radīs būtiskas papildu izmaksas; tas ir pretēji gan noteikumu projekta mērķim, gan valsts IKT pārvaldības politikai, kas vērsta uz koplietošanas risinājumiem un konsolidāciju. Lūdzam noteikumos paredzēt centralizētu atbilstības apliecināšanas mehānismu, kas ļauj vienreiz apliecinātu datu centra atbilstību izmantot visiem subjektiem, neprasot katram subjektam individuāli iegūt un uzturēt pierādījumus.
 

Papildināt noteikumu projektu ar jaunu punktu šādā redakcijā: „Nacionālais kiberdrošības centrs savā oficiālajā tīmekļvietnē publicē to datu centru sarakstu, kuru atbilstība šo noteikumu prasībām ir apliecināta šo noteikumu 20. punktā noteiktajā kārtībā, pamatojoties uz datu centra operatora iesniegtu apliecinājumu un tā pamatojošiem dokumentiem. Subjekts, izvietojot informācijas sistēmu sarakstā iekļautā datu centrā, ir tiesīgs paļauties uz publicēto informāciju un 24. punktā minētajā pašvērtējuma ziņojumā atsaukties uz to.”
 

Noteikumu projekta 11.2. apakšpunkts pašreizējā redakcijā ir juridiski neizpildāms attiecībā uz jebkuru Eiropas Savienības vai NATO dalībvalsti. Eiropas Parlamenta un Padomes 2023. gada 12. jūlija Regula (ES) 2023/1543 par Eiropas e-pierādījumu sniegšanas rīkojumiem paredz dalībvalstu tiesu iestāžu tiešu pārrobežu sadarbību un pakalpojumu sniedzēju pienākumu izsniegt elektroniskos pierādījumus citas dalībvalsts iestādēm, tādējādi ikvienas Eiropas Savienības dalībvalsts tiesību sistēma formāli paredz „ārvalstu” iestāžu piekļuvi datiem. Turklāt ievērojama daļa Eiropā izvietoto datu centru un mākoņpakalpojumu operatoru ir pakļauti trešo valstu eksteritoriālai jurisdikcijai neatkarīgi no datu fiziskās atrašanās vietas. Rezultātā norma nevis paaugstina faktisko drošības līmeni, bet rada tiesisko nenoteiktību subjektiem, kuri izmanto hibrīdas informācijas sistēmu arhitektūras vai Eiropas Savienībā izvietotus publiskos mākoņpakalpojumus. Pašvaldībām šis jautājums ir īpaši nozīmīgs izglītības jomā, kur plaši tiek izmantoti Eiropas Savienības teritorijā izvietoti publiskie mākoņpakalpojumi (piemēram, Microsoft 365 un Google Workspace for Education vides). Latvijas Pašvaldību savienība atbalsta izziņā ietverto Kultūras ministrijas 2026. gada 2. jūlija priekšlikumu un lūdz izteikt 11.2. apakšpunktu piedāvātajā redakcijā. Ja piedāvātā redakcija netiek atbalstīta, lūdzam vismaz anotācijā nepārprotami skaidrot, ka ar „ārvalstu” iestādēm 11.2. apakšpunkta izpratnē saprotamas valstis ārpus Eiropas Savienības un NATO un ka noteikumu projekta 5. un 6. punkta vispārējās prasības neliedz izmantot Eiropas Savienības teritorijā izvietotus publiskos mākoņpakalpojumus informācijas sistēmām, kas neatbilst ierobežotas izvietošanas informācijas sistēmas kritērijiem.
 

11.2. ka datu apstrāde notiek tādā jurisdikcijā, kuras normatīvie akti neparedz ārvalstu tiesu, drošības vai izlūkošanas iestāžu piespiedu piekļuvi datiem, izņemot Latvijas normatīvajos aktos noteiktos gadījumus, vai arī datu apstrāde tiek veikta, piemērojot Eiropas Savienības tiesību aktos paredzētos tehniskos, organizatoriskos un līgumiskos aizsardzības pasākumus, pamatojoties uz dokumentētu risku izvērtējumu;
 

Noteikumu projekta 11.3. apakšpunkta redakcija nav pielāgota izvietošanas modeļiem, kuros atbilstības izvērtēšana praksē tiek nodrošināta ar pakalpojuma sniedzēja publicētiem vai klientam pieejamiem sertifikātiem, neatkarīgu auditoru ziņojumiem un citiem atbilstības apliecinājumiem, nevis ar individuālām pasūtītāja tiesībām veikt datu centra fizisku auditu. Prasība par individuālām audita tiesībām lielo starptautisko pakalpojumu sniedzēju gadījumā nav līgumiski panākama nevienam atsevišķam Latvijas subjektam, jo īpaši pašvaldībām. Latvijas Pašvaldību savienība atbalsta izziņā ietverto Kultūras ministrijas 2026. gada 2. jūlija priekšlikumu un lūdz izteikt 11.3. apakšpunktu piedāvātajā redakcijā, kas saglabā prasību nodrošināt Latvijas uzraudzības institūcijām iespēju pārliecināties par noteikumu prasību izpildi.

11.3. līgumiskos nosacījumus vai citus pakalpojuma sniedzēja nodrošinātus atbilstības apliecināšanas mehānismus, kas Latvijas valsts jurisdikcijā esošajām uzraudzības institūcijām nodrošina iespēju pārliecināties par šo noteikumu prasību izpildi vai iegūt to apliecinošus pierādījumus, ciktāl tas ir tehniski iespējams un atbilstoši attiecīgās valsts normatīvajiem aktiem.
 

Izziņā ietverts Satversmes aizsardzības biroja 2026. gada 2. jūlija iebildums, ar kuru piedāvāts izteikt noteikumu projekta 2.3. apakšnodaļu jaunā redakcijā, tostarp paredzot (piedāvātās redakcijas 16. un 17. punkts), ka IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs ierobežotas izvietošanas informācijas sistēmu drīkst izvietot arī savā īpašumā vai tiesiskajā valdījumā esošā datu centrā tikai tad, ja šā datu centra atbilstība ir apliecināta noteikumos paredzētajā kārtībā. Atšķirībā no noteikumu projekta pašreizējās redakcijas šāda pieeja pirmo reizi noteiktu pienākumu apliecināt paša subjekta datu centra atbilstību, kas nozīmē regulāru auditu vai starptautisku sertifikāciju un iespējamus būtiskus infrastruktūras pielāgojumus. Latvijas Pašvaldību savienība pēc būtības neiebilst pret paaugstinātām drošības prasībām IKT kritiskajai infrastruktūrai, tomēr, ja Satversmes aizsardzības biroja piedāvātā redakcija tiek pārņemta, lūdzam:
- noteikumu projektā nepārprotami noteikt, ka 31.2. apakšpunktā paredzētais pārejas termiņš attiecas arī uz subjekta paša datu centra atbilstības apliecināšanu;
- anotācijā novērtēt šīs prasības ietekmi uz subjektiem, kas ir publisku personu kapitālsabiedrību, tostarp pašvaldību, datu centra audita, sertifikācijas un infrastruktūras pielāgošanas izmaksas tieši vai netieši atsauksies uz sniegto pakalpojumu tarifiem;
- noteikumos vai vismaz anotācijā skaidrot piedāvātā 17. punkta izņēmuma saskaņojuma piemērošanas kritērijus un procedūru.
 

31.2. līdz 2030. gada 31. decembrim nodrošina atbilstību šo noteikumu 2.2. un 2.3. apakšnodaļā noteiktajām prasībām, tai skaitā, ja attiecināms, subjekta īpašumā vai tiesiskajā valdījumā esoša datu centra atbilstības apliecināšanu.

Latvijas Pašvaldību savienība atbalsta izziņā ietverto Iekšlietu ministrijas 2026. gada 3. jūlija iebildumu un priekšlikumus par centralizētā tehnisko resursu turētāja statusu un saistošu atbildības sadalījumu starp subjektu un infrastruktūras turētāju. Situācijā, kad subjekta informācijas sistēma tiek izvietota resora vai pašvaldības centralizētā infrastruktūrā un subjektam nav faktiskas iespējas izvēlēties citu pakalpojuma sniedzēju, attiecības bieži tiek noformētas nevis ar ārpakalpojuma līgumu, bet ar starpiestāžu vienošanos vai iekšēju normatīvo aktu. Lūdzam noteikumu projekta 23. punktā līdzās ārpakalpojuma līgumam paredzēt arī starpiestāžu vienošanos par tehnisko resursu turēšanu un datu centra pakalpojumu sniegšanu, lai atbildības sadalījums par atbilstības nodrošināšanu, auditēšanu, incidentu ziņošanu, telemetrijas datu pieejamību un pierādījumu sniegšanu uzraugošajām iestādēm būtu normatīvi noteikts arī šajos gadījumos.

23. Subjekts, slēdzot ārpakalpojuma līgumu vai starpiestāžu vienošanos par informācijas sistēmas vai tās daļas izvietošanu datu centrā, ievēro normatīvajos aktos par minimālajām kiberdrošības prasībām noteiktās ārpakalpojumu prasības un līgumā vai vienošanās dokumentā papildus paredz, ka:
 

Noteikumu projekta 27. punkts uzliek subjektam pienākumu nodrošināt kompetentajai kiberincidentu novēršanas institūcijai piekļuvi telemetrijas datu pirmavotam un datu centra operatora apstrādātu telemetrijas datu pieejamību reāllaikā ar datu pieejamību ne vēlāk kā vienu minūti pēc notikuma. Ja ierobežotas izvietošanas informācijas sistēma ir izvietota trešās personas pārvaldītā datu centrā vai tiek nodrošināta kā standartizēts mākoņdatošanas pakalpojums, subjektam nav ne tehnisku, ne līgumisku iespēju šādu pienākumu izpildīt: starptautiskie mākoņpakalpojumu sniedzēji piekļuvi infrastruktūras līmeņa telemetrijas pirmavotam trešajām personām nenodrošina, un neviena atsevišķa pašvaldība šādus nosacījumus līgumiski panākt nespēj. Norma pašreizējā redakcijā tādējādi nosaka pienākumu, kura izpilde nav subjekta varā, un padara subjektu formāli atbildīgu par apstākļiem, kurus tas nekontrolē. Papildus vēršam uzmanību, ka noteikumu projekta 31. punktā paredzētie pārejas noteikumi aptver tikai 2.2. un 2.3. apakšnodaļas prasības, tāpēc 27. punkta pienākums formāli iestājas jau ar noteikumu spēkā stāšanos 2026. gada 1. septembrī bez jebkāda pārejas perioda. Lūdzam precizēt 27. punktu, paredzot, ka pienākums nodrošināt telemetrijas datu pieejamību attiecas tikai tādā apjomā, kādā subjektam ir faktiskas tehniskas un līgumiskas iespējas šādus datus iegūt no pakalpojuma sniedzēja, kā arī anotācijā pamatot vienas minūtes pieejamības prasības samērīgumu vai to aizstāt ar tehnoloģiski neitrālu formulējumu (piemēram, „bez nepamatotas kavēšanās”).
 

Papildināt 27. punktu ar teikumu šādā redakcijā: „Ja ierobežotas izvietošanas informācijas sistēma vai tās daļa ir izvietota trešās personas pārvaldītā datu centrā vai tiek nodrošināta kā mākoņdatošanas pakalpojums, subjekts šā punkta prasības izpilda tādā apjomā un veidā, kādā tas ir tehniski iespējams un līgumiski panākams ar attiecīgo pakalpojuma sniedzēju, un informē kompetento kiberincidentu novēršanas institūciju par pieejamajiem telemetrijas datu apjomiem un piekļuves veidiem.”
 

Noteikumu projekta 31. punktā paredzētie pārejas noteikumi aptver tikai 2.2. un 2.3. apakšnodaļā noteiktās prasības, savukārt 3. nodaļas (tostarp 24. punkta pienākums iesniegt pašvērtējuma ziņojumu par datu centra atbilstību) un 4. nodaļas (27. punkta telemetrijas pienākumi) prasības formāli iestājas jau ar noteikumu spēkā stāšanos 2026. gada 1. septembrī. Šāds grafiks nav izpildāms: datu centru atbilstības apliecināšanas process (audits vai starptautiska sertifikācija) prasa ievērojamu laiku un vēl nav uzsākts, jo prasības nav stājušās spēkā, un arī pašvaldību koplietošanas informācijas sistēmu izvietošanas modeļa maiņas process šobrīd vēl norisinās. Rezultātā subjekti pirmajos mēnešos pēc spēkā stāšanās objektīvi nespēs iesniegt pašvērtējuma ziņojumus ar pilnīgu informāciju par datu centru atbilstību, jo tirgū vēl nebūs datu centru ar apliecinātu atbilstību. Latvijas Pašvaldību savienība neiebilst pret noteikumu mērķi un atbalsta pakāpenisku prasību ieviešanu, tomēr lūdz noteikt saprātīgu pārejas periodu arī tiem pienākumiem, kas nav ietverti 31.2. apakšpunktā, lai prasību izpilde būtu objektīvi iespējama.
 

Papildināt 31. punktu ar 31.3. apakšpunktu šādā redakcijā: „31.3. šo noteikumu 24. un 27. punktā noteiktos pienākumus izpilda, sākot ar 2027. gada 1. septembri.”
 

Anotācijas 3. sadaļā norādīts, ka noteikumu projekts nerada nepieciešamību pēc papildu pašvaldību budžeta līdzekļiem, savukārt 7. sadaļā – ka projekts nerada jaunas administratīvās vai atbilstības izmaksas valsts un pašvaldību institūcijām. Šāds novērtējums neatspoguļo noteikumu projekta faktisko ietekmi uz pašvaldībām. Pašvaldību informācijas sistēmas ievērojamā apjomā tiek uzturētas ārpakalpojumā komerciālos datu centros, un datu centru atbilstības apliecināšanas izmaksas, kas anotācijā orientējoši novērtētas 5 000 euro apmērā vienam datu centram, paredzami tiks iekļautas pakalpojumu cenās. Atsevišķos gadījumos būs nepieciešama informācijas sistēmu migrācija uz datu centru ar apliecinātu atbilstību, ārpakalpojumu līgumu grozīšana un papildu administratīvās darbības (pašvērtējuma ziņojumu papildināšana, informēšanas pienākumu izpilde). Anotācijā pašā atzīts, ka pakalpojumu cenu izmaiņas un izvietošanas modeļa maiņas izmaksas ex ante nav kvantificējamas, taču tas nenozīmē, ka ietekmes nav. Turklāt anotācijā ietvertais audita izmaksu aprēķins (aptuveni 5 000 euro vienam datu centram) balstīts uz valsts pārvaldē piemērotu stundas likmi, savukārt noteikumu projekta 22. punktā prasīto pārbaudi veiks privātā sektora sertificēti auditori par tirgus likmēm, kas ievērojami pārsniedz aprēķinā izmantoto; faktiskās audita izmaksas tādējādi būs būtiski lielākas, un tās daudzkāršosies, ievērojot atzinuma atjaunošanu reizi divos gados. Lūdzam pārskatīt aprēķinu, balstoties uz tirgus cenām, kā arī anotācijā norādīt, uz kādiem datiem balstīts pieņēmums par 20 skartajiem datu centriem un cik no tiem šobrīd faktiski izpilda noteikumu projekta 1. pielikuma prasības vai 3. pielikumā minētās sertifikācijas. Visbeidzot, ja valsts nosaka papildu prasības datu centru atbilstības apliecināšanai un auditam, kuru izmaksas tieši vai netieši gulsies uz pašvaldībām, lūdzam paredzēt finansēšanas mehānismu pašvaldībām vai centralizēti nodrošinātus risinājumus (piemēram, valsts nodrošinātu atbilstoša datu centra pakalpojumu vai centralizēti organizētu un finansētu datu centru auditēšanu). Saskaņā ar Ministru kabineta 2021. gada 7. septembra noteikumu Nr. 617 „Tiesību akta projekta sākotnējās ietekmes izvērtēšanas kārtība” prasībām ietekmes novērtējums veicams arī tad, ja aprēķins balstīts uz pieņēmumiem vai aptuveniem datiem, savukārt Eiropas vietējo pašvaldību hartas 9. pants paredz pašvaldību finanšu resursu samērīgumu ar tām noteiktajiem pienākumiem. Lūdzam papildināt anotācijas 3. un 7. sadaļu ar noteikumu projekta ietekmes uz pašvaldībām novērtējumu – vismaz kvalitatīvu, bet, kur iespējams, uz pieņēmumiem balstītu kvantitatīvu –, kā arī norādīt paredzamo papildu izmaksu segšanas kārtību.

-

Kritērijs „sasniedzama publiskajā internetā, izmantojot publiski maršrutējamu interneta protokola (IP) adresi vai tai līdzvērtīgu piekļuves mehānismu” aptver arī informācijas sistēmas, kuru vienīgā publiski maršrutējamā komponente ir starpsistēmu datu apmaiņas saskarne (API) ar stingri ierobežotu piekļuvi, savukārt lietotāja saskarne no publiskā tīkla nav sasniedzama. Latvijas Pašvaldību savienība izprot izziņā pausto argumentāciju par objektīva un preventīva kritērija nepieciešamību, tomēr no šā kritērija tvēruma ir tieši atkarīgs ierobežotas izvietošanas informācijas sistēmu loks un prasību izpildes izmaksas. Lūdzam anotācijā iekļaut piemērošanas skaidrojumu, kā kritērijs piemērojams informācijas sistēmām ar arhitektoniski nodalītām komponentēm, – proti, vai gadījumā, ja publiski sasniedzama ir tikai atsevišķa integrācijas komponente, par ierobežotas izvietošanas informācijas sistēmu uzskatāma visa informācijas sistēma vai tikai attiecīgā sistēmas daļa, ievērojot, ka noteikumu projekts prasības ļauj piemērot arī informācijas sistēmas daļai.
 

-

Latvijas Pašvaldību savienība atbalsta noteikumu projektā paredzētos pārejas periodus – 12 mēnešu termiņu atbilstības atjaunošanai (12. punkts) un termiņu līdz 2030. gada 31. decembrim 2.2. un 2.3. apakšnodaļā noteikto prasību nodrošināšanai (31.2. apakšpunkts) – un iebilst pret izziņā ietvertajiem citu institūciju priekšlikumiem šos termiņus būtiski saīsināt (attiecīgi līdz sešiem mēnešiem un 2027. gada 31. decembrim). Pašvaldībām prasību izpilde ir nesaraujami saistīta ar gadskārtējo budžeta plānošanas ciklu, Publisko iepirkumu likumā noteiktajām procedūrām un termiņiem, kā arī spēkā esošo ārpakalpojumu līgumu darbības termiņiem. Pārejas periodu saīsināšana radītu nesamērīgu finansiālo un administratīvo slogu, izraisītu nepieciešamību pirms termiņa izbeigt vai grozīt spēkā esošus līgumus un radītu risku, ka atbilstība objektīvu iemeslu dēļ formāli netiktu sasniegta, nevis faktiski paaugstinātu drošības līmeni.
 

-

Noteikumu projekta prasību izpilde ir tieši atkarīga no tā, vai tirgū būs pieejami datu centri ar apliecinātu atbilstību. Anotācijā lēsts, ka noteikumu projekts skars aptuveni 20 datu centrus, taču nav vērtēts, cik no tiem šobrīd faktiski izpilda 1. pielikuma prasības vai 3. pielikumā minētās starptautiskās sertifikācijas prasības un cik ir gatavi atbilstību apliecināt paredzētajos termiņos. Ja atbilstību apliecinās tikai viens vai divi datu centru operatori, pašvaldību rīkotajos publiskajos iepirkumos faktiski neveidosies konkurence, kas novedīs pie nepamatota pakalpojumu cenu pieauguma un atsevišķos gadījumos – pie objektīvas neiespējamības noslēgt līgumu par atbilstošu pakalpojumu. Lūdzam izvērtēt un anotācijā atspoguļot atbilstošu datu centru faktisko un prognozējamo pieejamību Latvijas tirgū, kā arī paredzēt rīcību gadījumam, ja atbilstošu pakalpojumu piedāvājums izrādās nepietiekams (piemēram, prasību ieviešanas grafika pārskatīšanu vai valsts nodrošinātu atbilstoša datu centra pakalpojumu).
 

-