Atzinums

Latvijas Tirdzniecības un rūpniecības kamera (turpmāk – LTRK) ir iepazinusies ar Aizsardzības ministrijas izstrādāto noteikumu projektu “Noteikumi par minimālajām kiberdrošības prasībām” (22-TA-3183) un pauž sekojošus iebildumus.
1. Vēršam uzmanību, ka Projekta 80. punkts pārsniedz likumdevēja dotā pilnvarojuma robežas un prasa papildinājumus. Projekta 80.1. apakšpunkts nosaka, ka līgumi par IKT pakalpojumiem un tehnisko resursu iegādi A un B kategorijas informācijas sistēmām drīkst tikt slēgti tikai ar juridiskām personām, kuras atbilst noteiktiem kritērijiem. Tomēr šie ierobežojumi nedrīkst tikt attiecināti uz visām iekārtām, bet tikai uz tām, kas saistītas ar IKT pakalpojumiem.
Pamatojoties uz līdzšinējo praksi un lai novērstu prettiesisku noteikumu interpretāciju, jānodrošina, ka Projekts attiecas tikai uz IKT iekārtām. Nav pieļaujams, ka tas tiktu attiecināts uz ierīcēm, piemēram, printeriem, monitoriem, saldētavām vai klīniskās diagnostikas iekārtām, kuras nav saistītas ar IKT vai informācijas sistēmu aizsardzību.
Tāpēc pieprasām grozījumus, kas ievēro likumdevēja pilnvarojuma robežas un nepieļauj nepamatotus ierobežojumus uzņēmējdarbībai. Projekta noteikumos vai anotācijā skaidri jānorāda, ka norma ir attiecināma tikai uz iekārtām, kuras nodrošina informācijas sistēmu aizsardzības un uzraudzības funkcijas.
2. Tāpat, ievērojot šajā Atzinumā sniegto skaidrojumu (attiecībā uz Projekta 80.punktu) un lai novērstu nepamatotu un praksē jau fiksētu personu pamattiesību ierobežošanu tiesībām veikt saimniecisko darbību un garantēt brīvu preču apriti, Projekta anotācijā ir jānorāda expresis verbis, ka nav uzskatāms, ka jebkura iekārta, kura tiek saslēgta ar IKT, tiek uzskatīta par IKT sastāvdaļu.
3. Projekta 80.1. apakšpunkts ierobežo līgumu slēgšanu ar juridiskām personām no valstīm ārpus ES un EEZ, kas rada diskriminējošus ierobežojumus, balstoties uz ražotāja pilsonību. Iekārtas, ražotas ārpus ES, piemēram, Japānā vai Ķīnā, kas ir izgājušas ES sertifikācijas procedūras un atbilst drošības prasībām, nedrīkst tikt diskriminētas tikai izcelsmes dēļ. Tādas pašas iekārtas citās ES valstīs tiek izmantotas bez problēmām, tāpēc nepieciešams izskaidrot vai novērst šos ierobežojumus, lai nepieļautu nepamatotu diskrimināciju un tiesību pārkāpumus.
4. Šī atzinuma konstatētās nepilnības attiecas ne tikai uz Projekta 80.1. apakšpunktu, bet arī uz Projekta 80.-85. punktiem. Esošajā redakcijā šie punkti nepamatoti ierobežo brīvu preču apriti un konkurenci, piešķirot tiesību normu piemērotājam plašu patvaļību, bez skaidriem kritērijiem iekārtu drošības novērtēšanai vai konkrētu iekārtu definēšanas. Tas var aizskart tiesības uz saimniecisko darbību un īpašumu. Eiropas Savienības Tiesa ir noteikusi, ka jebkurš pasākums, kas ierobežo uzņēmējdarbības brīvību, ir jāuzskata par ierobežojumu, tādēļ diskriminējoši kritēriji pārkāpj Satversmi un brīvu preču apriti ES.
5. Skaidrot, kas ar Projekta 2.21.1. apakšpunktu saprotams kā “citas saistītās iekārtas”. Šobrīd šāds skaidrojums “citas saistītās iekārtas” rada nenoteiktību par Projekta saturu.
6. Lūdzam svītrot Projekta 84. punktu, kas paredz ārpakalpojuma līguma izbeigšanu noteiktos gadījumos, jo norma ir neskaidra, tai nav juridiska pamatojuma un nav definēti kritēriji tās piemērošanai. Šāda norma dod pārāk plašas pilnvaras un var radīt būtiskus riskus, īpaši publiskajos iepirkumos. Līguma izbeigšanas tiesības būtu jāregulē likuma līmenī, un, ņemot vērā, ka likumdevējs nav piešķīris speciālas pilnvaras šāda jautājuma regulēšanai, šī norma ir izslēdzama no projekta.
7. Projekta 80. un 81. punkts paredz valsts drošības iestādēm, tostarp Satversmes aizsardzības birojam, piešķirt pārāk plašas pilnvaras izdot atļaujas bez skaidriem tiesiskiem kritērijiem un objektīva vērtējuma. Šāda prakse var radīt nepamatotus konstitucionālo tiesību ierobežojumus, kā arī tiesvedībās pierādītas šaubas par šādu pilnvaru kompetenci. Ir nepieciešams, lai šādi lēmumi balstītos uz tehnisko zināšanu un inženiertehnisko analīzi, nevis subjektīviem apgalvojumiem. Tāpēc lūdzam svītrot šīs pilnvaras un uzticēt tās kompetentām iestādēm ar nepieciešamo tehnisko kompetenci.
8. Projekta anotācijā expresis verbis ir norādāms, ka atbilstoši projekta 4.4. un 4.4.2. sadaļas nosaukumam, Projekta 80. – 85. punkti ir attiecināms tikai uz īpašām ārpakalpojuma prasībām.
9. Vēršam uzmanību, ka šī brīža redakcijā nav saprotams, ko Projekts paredz 80.3. apakšpunktā paredzot prasības “citai personai”, tādēļ lūdzam skaidrot projekta anotācijā attiecīgo normu un, t.sk., “citas personas” materiāltiesisko tvērumu un procesuālo statusu.
10. Norādām, ka Projektā ir nepieciešams svītrot 84.punktu, jo šāda prasība nepieļaujami pārkāpj likumdevēja doto pilnvarojumu.
11. Projekta anotācijā skaidri jānorāda, ka normas (67.–70. punkts) attiecināmas tikai uz elektronisko sakaru tīkla iekārtām, nevis citām iekārtām, kas nav saistītas ar šo pakalpojumu sniegšanu. Tas novērsīs nepamatotu regulējuma interpretāciju un tiesību ierobežošanu. Anotācijā jāsniedz konkrēti piemēri no Elektronisko sakaru likuma, kā arī jāprecizē, ka normu nevar attiecināt uz iekārtām, kuru primārā funkcija nav saistīta ar elektronisko sakaru vai IKT pakalpojumiem, piemēram, printeriem, monitoriem vai diagnostikas iekārtām.
12. Projekta 69.1. apakšpunkts, kas paredz vērtēt "iespējamību" vai "varbūtību", ka iekārtu izstrādātājs, ražotājs vai pakalpojumu sniedzējs varētu būt pakļauts ārvalsts ietekmei, rada tiesisko nenoteiktību un nav pieļaujams. Normai ir jābūt balstītai uz konkrētiem pierādījumiem un tehnisko analīzi, nevis uz varbūtībām. Tādēļ ierosinām aizstāt terminus “varētu būt pakļauts” ar “ir pakļauts” un anotācijā skaidrot, kā SAB vērtēs šo ietekmi, pamatojoties uz objektīviem kritērijiem un tehniskiem pierādījumiem, lai novērstu tiesisko nenoteiktību.
13. Projekta 69.2.3. apakšpunkts nosaka, ka Satversmes aizsardzības birojs vērtē izstrādātāja vai ražotāja spēju nodrošināt piegādi vai sniegt pakalpojumu, taču nav skaidrs, pēc kādiem kritērijiem un uz kādas informācijas pamata tas tiks darīts. Tādēļ ierosinām šo normu vai nu izslēgt, vai arī precīzi norādīt kritērijus un metodoloģiju, pēc kuriem Satversmes aizsardzības birojs izvērtēs šādu spēju, lai nodrošinātu skaidrību un tiesisko noteiktību.
14. Projektā jānorāda skaidra piemērošanas kārtība katram 69. punktā minētajam apakšpunktam, iekļaujot atbilstošus pamatojumus un kritērijus, lai novērstu nepamatotu vai neskaidru piemērošanu.
Projekta 87. punkts ir izslēdzams, jo tas pārsniedz likumdevēja piešķirtās deleģējuma robežas. Satversmes aizsardzības birojam nav piešķirtas tik plašas pilnvaras pārbaudīt jebkuru IKT pakalpojumu sniedzēju bez juridiska pamata. Tāpat jāizvērtē Satversmes aizsardzības birojam piešķirtās funkcijas un rīcības brīvība projekta ietvaros, īpaši attiecībā uz 4.3., 4.4. un 5. sadaļu, lai novērstu nepamatotus ierobežojumus pamattiesībām, preču apritei un uzņēmējdarbībai.
16. Noteikumu projekts aizstās Ministru kabineta 2023. gada 28. februāra noteikumus Nr. 94 "Publisko elektronisko sakaru tīklu drošības prasības" (turpmāk - Noteikumi nr. 94). Tajā pārņemtas vairākas būtiskas prasības no Noteikumiem nr. 94, tostarp:
1) Kritisko tīkla daļu identificēšana.
2) Pienākums informēt Satversmes aizsardzības biroju par lietotajām iekārtām un izmaiņām tajās.
3) Izņēmumi, kad birojs nav jāinformē, piemēram, par līdzīgu iekārtu nomaiņu vai programmatūras atjauninājumiem.
4) Aizliegums lietot neatbilstošas iekārtas kritiskajās tīkla daļās.
5) Satversmes aizsardzības biroja pilnvaras veikt iekārtu un programmatūras novērtējumu.
6) Biroja uzraudzības pilnvaras prasību izpildē.
Neraugoties uz to, ka Noteikumu projektā pārņemta lielākā daļa būtisko prasību, kas iepriekš bija atspoguļotas Noteikumos nr. 94, Noteikumu projektā nav saglabātas dažas būtiskas regulējuma daļas, un nav arī sniegts nekāds skaidrojums vai pamatojums šādam regulējuma izmaiņām. Proti, Noteikumu nr. 94 3. punktā bija noteikts, ka tie neattiecas uz:
1) kabeļtelevīzijas tīkliem; (3.1. punkts)
2) publiskajos elektronisko sakaru tīklos izmantotajām iekārtām, kuras neapstrādā signālus vai kuru darbībai nav nepieciešama enerģija; (3.2.punkts)
3) publisko elektronisko sakaru tīklu gala iekārtām pie klienta un citām galalietotāja iekārtām, izņemot gadījumus, ja gala iekārta ir publiskā elektronisko sakaru tīkla īpašnieka īpašums, kas nodota klienta vai galalietotāja lietošanā.(3.3.punkts)
17. Noteikumu projektā nav saglabāti izņēmumi regulējuma tvērumam, un nav sniegti skaidrojumi par šo izņēmumu atcelšanu. Mēs uzskatām, ka izņēmumus būtu racionāli saglabāt, jo kabeļtelevīzijas pakalpojumos ir vienvirziena datu plūsma, un pasīvās iekārtas, kas neapstrādā signālus un neprasa enerģiju, nerada būtiskus drošības riskus. Tāpat galalietotāja iekārtu regulēšana būtu praktiski neiespējama. Šo izņēmumu neiekļaušana varētu radīt lieku administratīvo slogu un izmaksu pieaugumu. Tāpēc aicinām Aizsardzības ministriju iekļaut izņēmumus, kas atrodami Noteikumos nr. 94.
18. 80.punktā paredzētās iekārtu izcelsmes prasības ir pretrunā ar 67.–69. punktā noteiktajām prasībām. Izcelsmes noteikumu attiecināšana uz visām šāda veida iekārtām, piemēram, maršrutētājiem un ugunsmūriem, šķiet nevajadzīga, jo drošības prasības attiecas tikai uz tīkla kritiskajām daļām. Tāpēc aicinām Aizsardzības ministriju izslēgt no 80. punkta vārdus "līgumu par maršrutētāju, komutatoru, ārējo ugunsmūru, ielaušanās atklāšanas sistēmu, pretielaušanās sistēmu, antivīrusu programmatūru iegādi".
19. Noteikumu projekta 80. punkts padara patiesā labuma guvēja esamību par obligātu priekšnoteikumu līgumu slēgšanai. Tas īpaši skar lielus uzņēmumus, kuriem bieži vien nav vienas personas, kas kontrolē vismaz 25% kapitāla. Piemēram, Cisco Latvia SIA, Nokia Solutions and Networks SIA un Ericsson Latvia SIA, kuru patiesie labuma guvēji nav identificējami. Turklāt prasība, ka dalībniekam obligāti jābūt NATO vai ES pilsonim, šķiet nepamatota, jo tā nesniedz reālu ietekmi uz preces vai pakalpojuma uzticamību. Ierosinām pārskatīt šo prasību un izslēgt obligātu patiesā labuma guvēja prasību, īpaši attiecībā uz uzņēmumiem, kas ir iekļauti regulētajā tirgū.
20. Noteikumu projekta 80.1. punkts nosaka obligātu atbilstību uzskaitītajiem kritērijiem, kas atšķiras no 65. punkta, kur izcelsmes faktors tiek vērtēts, nevis automātiski izraisa diskvalifikāciju. Automātiska diskvalifikācija var nevajadzīgi ierobežot konkurenci un palielināt izmaksas. Publisko sakaru tīkla kritisko daļu drošības nolūkos ir mazāk ierobežojoša pieeja, kas būtu piemērojama arī 76. punktam. Tāpēc ierosinām pārskatīt 80.1. punktu un atteikties no automātiskās diskvalifikācijas, pamatojoties uz izcelsmi.
21. Noteikumu projekta 80. punkts ļauj "kompetentajai valsts drošības iestādei" atļaut līguma slēgšanu ar piegādātāju, kas neatbilst izcelsmes prasībām, taču nav skaidri definēts, kas ir šī iestāde un kā tiek pieprasīta atļauja. Lai novērstu neskaidrības un nodrošinātu saderību ar iepirkuma regulējumu, ierosinām papildināt 80.3. punktu ar konkrētu iestādi un atļaujas izsniegšanas procedūru.
22. Noteikumu projekta 67.2. punktā paredzētā prasība par kritisko iekārtu saraksta iesniegšanu Satversmes aizsardzības birojam jau tika iekļauta Noteikumu nr. 94 4.4. punktā, ar termiņu līdz 2023. gada 28. augustam. Būtu nesamērīgi prasīt to izpildīt vēlreiz. Aicinām precizēt, uz kuriem subjektiem šī prasība attiecas.
23. Aicinām apvienot Progresa un Starpposma ziņojuma veidlapas, jo to saturs ir identisks. Vienīgā atšķirība ir iesniegšanas termiņi: Progresa ziņojumu jāiesniedz viena mēneša laikā, ja kiberincidents nav atrisināts, savukārt Starpposma ziņojumu – pēc kompetentās iestādes pieprasījuma. Tā kā abu veidlapu saturs ir vienāds, un Progresa ziņojumu var iesniegt gan subjekts pats, gan arī pēc pieprasījuma no kompetentās iestādes, abu veidlapu apvienošana būtu racionāla.
 

Lūdzu skat. iebildumus.