Atzinums

Aizsardzības ministrija lūdz papildināt informatīvā ziņojuma 6. punktā uzskaitīto amata vietu sadalījumu, iekļaujot detalizētu skaidrojumu - atširējumu par identificēto amata vietu sadalījumu pa pienākumiem un funkcijām. Papildus Aizsardzības ministrija vērš uzmanību, ka nav skaidra informatīvajā ziņojumā norādīto amata vietu skaita aprēķina izcelsme un metodoloģija. Attiecībā uz Aizsardzības ministriju norādītais amata vietu skaits (1 amata vieta)  neatbilst Aizsardzības ministrijas veiktajiem aprēķiniem par nepieciešamajiem cilvēkresursiem informatīvajā ziņojumā paredzēto uzdevumu izpildei. 
Lai Aizsardzības ministrija varētu nodrošināt visus tai paredzētos jaunos uzdevumus (Elektroniskās identifikācijas shēmu sertificēšana, Uzticamības pakalpojumu sniedzēju uzraudzība, Kvalificētu uzticamības pakalpojumu sniegšanas uzsākšana, Sankcijas pret uzticamības pakalpojumu sniedzējiem, Eiropas digitālās identitātes maka sertificēšana, Sertificēto Eiropas digitālās identitātes maku saraksta publicēšana (uzticamības saraksts) un informācijas iesniegšana, Eiropas digitālā identitātes maka satvara uzraudzība, Eiropas digitālās identitātes maku drošības prasību pārkāpumu pārvaldība, Eiropas Digitālās identitātes sadarbības grupa, Vienotais kontaktpunkts, Statistikas vākšana, Savstarpējā palīdzība), arī pret kuriem iebilst, tai vajadzētu kopā nodarbināt (optimāli): Vadītājs (Aizsardzības ministrija un CERT.LV) - 2 amata vietas, Auditors (Aizsardzības ministrija) - 3 amata vietas, Jurists (Aizsardzības ministrija) - 1 amata vieta, Tehniskais - speciālists (CERT.LV) - 4 amata vietas, Eksperts (Aizsardzības ministrija) - 1 amata vieta.

 

-

Aizsardzības ministrija nepiekrīt ziņojumā paustajam viedoklim, ka uzraudzības iestādei, kas noteikta Regulas (ES) Nr. 910/2014 46.a panta 1. punktā, būtu jāuzņemas shēmas īpašnieka loma Īstenošanas regulas (ES) 2024/2981 izpratnē.

Pirmkārt, Īstenošanas regula skaidri norobežo šīs funkcijas. Shēmas īpašnieks ir atbildīgs par nacionālās sertifikācijas shēmas izstrādi, uzturēšanu un darbības pārvaldību (7. panta 1. punkts), savukārt uzraudzības iestādes loma ir saņemt paziņojumus par sertifikātu izsniegšanu, apturēšanu un anulēšanu (11. pants) un pēc pieprasījuma piekļūt sertifikāta turētāja dokumentācijai (19. panta 3. punkts). Šāds funkciju sadalījums norāda uz likumdevēja nodomu nošķirt operatīvo pārvaldību no uzraudzības.

Otrkārt, abu lomu apvienošana radītu būtisku interešu konfliktu. Uzraudzības iestāde vienlaikus izstrādātu sertifikācijas noteikumus, pārvaldītu shēmas darbību un uzraudzītu atbilstību šiem pašiem noteikumiem. Šāda situācija ir pretrunā ar labas pārvaldības principiem, kas prasa funkciju nodalīšanu un neatkarīgu pārraudzību.

Treškārt, tiktu apdraudēts sūdzību izskatīšanas mehānisms. Saskaņā ar Īstenošanas regulas 15. pantu neatrisinātas sūdzības un apelācijas tiek nodotas shēmas īpašniekam. Ja uzraudzības iestāde būtu shēmas īpašnieks, nepastāvētu neatkarīga augstāka instance, kas pārskatītu tās lēmumus, tādējādi ierobežojot personu tiesības uz efektīvu tiesību aizsardzību.

Ceturtkārt, lai gan Īstenošanas regulas 6. apsvērumā ir pieļauts, ka shēmas īpašnieks var būt valdības struktūra vai iestāde, tas nenozīmē, ka šai lomai būtu jābūt tieši uzraudzības iestādei. Dalībvalstīm ir rīcības brīvība noteikt citu atbilstošu iestādi vai struktūru, kas nodrošinātu funkciju nošķiršanu.

Ņemot vērā iepriekš minēto, uzskatām, ka DDUK nebūtu jāuzņemas shēmas īpašnieka loma, lai nodrošinātu uzraudzības funkcijas objektivitāti, neatkarību un atbilstību labas pārvaldības principiem.
 

-

Aizsardzības ministrija iebilst pret informatīvā ziņojuma Nobeiguma jautājumu 4. punktā noteikto termiņu.
Prasību iesniegt informāciju par kiberdrošības prasībām līdz 2025. gada 31. decembrim nav iespējams izpildīt, ņemot vērā, ka Aizsardzības ministrija kopā ar citām dalībvalstīm turpina darbu pie kiberdrošības prasību izstrādes gan NOBID CSS, gan citu sadarbības grupu ietvaros — tas ir tie paši starptautiskie formāti, uz kuriem Viedās administrācijas un reģionālās attīstības ministrija atsaucas informatīvajā ziņojumā.
Vēršam uzmanību, ka vienpusēji noteiktu, objektīvi neizpildāmu termiņu iekļaušana protokollēmumā nepaātrina Eiropas digitālās identitātes maka projekta īstenošanu, bet rada priekšnoteikumus formālai saistību neizpildei.
Aizsardzības ministrija aicina svītrot 4. punktā noteikto termiņu vai aizstāt to ar formulējumu, kas paredz informācijas iesniegšanu pēc attiecīgo starptautisko darba grupu secinājumu sagatavošanas.
 

-

AM turpina uzturēt iebildumu tam, ka ar ziņojuma 4.9. apakšpunktā minēto DDUK tiek noteikts par centralizēto kontaktpunktu. Par centralizēto kontaktpunktu jākļūst šī projekta vadošajai organizācijai – VARAM, vai Valsts digitālās attīstības aģentūrai, kam ir pārraudzība pār visiem projekta aspektiem – kā funkcionāliem, organizatoriskiem, tā arī likumiskajiem.

-

AM turpina uzturēt iebildumu pret informatīvā ziņojuma 4.4. apakšpunktā pausto, proti, ka DDUK tiek noteiktas tiesības ierosināt gan soda naudas, gan Administratīvās atbildības likuma noteiktā kārtībā piemērot naudas sodus. Minēto ir skaidrojusi arī Tieslietu ministrija savā 2025. gada 5. augusta atzinuma 1. iebildumā  (https://tapportals.mk.gov.lv/reviews/resolutions/fdd04550-31bb-45ee-a901-9933a503f77a). Vienlaikus nav iespējams atbalstīt ierosinājumu, ka šādus sodus piemēro AM, jo ministrija nav eIDAS 2.0 regulā minētā uzraudzības institūcija, kurai ir tiesības ierosināt naudas sodu piemērošanu.
Arī DDUK nav tiesību ierosināt naudas sodu uzlikšanu. VARAM sadarbībā ar Tieslietu ministriju būtu jāizstrādā atbilstoši normatīvie akti, lai varētu piemērot attiecīgos eIDAS 2.0 regulas pantus.

-

Aizsardzības ministrija iebilst pret informatīvā ziņojuma 3.2 apakšpunkta "Par valsts sertifikācijas shēmu, EDIM sertifikāciju un uzraudzību noteiktās lomas, atbildīgās institūcijas un to veicamās darbības" tabulā  DDUK piešķirto valsts sertifikācijas shēmas īpašnieka lomu. AM kompetence ir saistīta ar kiberdrošību, kas ir tikai viena neliela daļa no izstrādājamās sertifikācijas shēmas. Turklāt AM ieskatā VARAM pārraudzība saglabājama ilgtermiņā – uzņemoties shēmas īpašnieka pienākumus. Šos pienākumus nav pieļaujams uzlikt DDUK vai AM, jo tādējādi tiek radīti apstākļi interešu konfliktam, jo DDUK sekretariātu veido AM darbinieki.Tādējādi, gan prasību noteikšana, gan uzraudzība būtu vienas institūcijas amatpersonu atbildībā, kas ir pretrunā ar labo praksi.
 

-

Aizsardzības ministrija iebilst pret informatīvā ziņojuma 3.2 apakšpunkta "Valsts sertifikācijas shēmas izstrāde" tabulā noteikto termiņu.
Prasību iesniegt informāciju par kiberdrošības prasībām līdz 2025. gada 31. decembrim nav iespējams izpildīt, ņemot vērā, ka Aizsardzības ministrija kopā ar citām dalībvalstīm turpina darbu pie kiberdrošības prasību izstrādes gan NOBID CSS, gan citu sadarbības grupu ietvaros — tas ir tie paši starptautiskie formāti, uz kuriem Viedās administrācijas un reģionālās attīstības ministrija atsaucas informatīvajā ziņojumā.
Vēršam uzmanību, ka vienpusēji noteiktu, objektīvi neizpildāmu termiņu iekļaušana ziņojumā nepaātrina Eiropas digitālās identitātes maka projekta īstenošanu, bet rada priekšnoteikumus formālai saistību neizpildei.
Aizsardzības ministrija aicina svītrot 4. punktā noteikto termiņu vai aizstāt to ar formulējumu, kas paredz informācijas iesniegšanu pēc attiecīgo starptautisko darba grupu secinājumu sagatavošanas.

-

Aizsardzības ministrija iebilst pret protokollēmuma projekta 4. punktā vienpusēji noteikto termiņu.
Prasību iesniegt informāciju par kiberdrošības prasībām līdz 2025. gada 31. decembrim nav iespējams izpildīt, ņemot vērā, ka Aizsardzības ministrija kopā ar citām dalībvalstīm turpina darbu pie kiberdrošības prasību izstrādes gan NOBID CSS, gan citu sadarbības grupu ietvaros — tas ir tie paši starptautiskie formāti, uz kuriem Viedās administrācijas un reģionālās attīstības ministrija atsaucas informatīvajā ziņojumā.
Vēršam uzmanību, ka vienpusēji noteiktu, objektīvi neizpildāmu termiņu iekļaušana protokollēmumā nepaātrina Eiropas digitālās identitātes maka projekta īstenošanu, bet rada priekšnoteikumus formālai saistību neizpildei.
Aizsardzības ministrija aicina svītrot 4. punktā noteikto termiņu vai aizstāt to ar formulējumu, kas paredz informācijas iesniegšanu pēc attiecīgo starptautisko darba grupu secinājumu sagatavošanas.
 

-

Aizsardzības ministrija (turpmāk - AM) iebilst pret protokollēmuma projekta 7. punkta pašreizējo redakciju šādu apsvērumu dēļ:
Pirmkārt, informatīvā ziņojuma 2. tabulā "Valsts sertifikācijas shēmas izstrāde" atkārtoti parādās termiņš "2025. gada 31. decembris", kas, kā norādīts iebildumā par 4. punktu, ir objektīvi neizpildāms. Pieņemot zināšanai atbildību sadalījumu, kurā ietverts šāds termiņš, tiktu akceptēta saistība, kuru AM faktiski nespēj izpildīt neatkarīgi no tās gribas vai resursiem.
Otrkārt, informatīvā ziņojuma 3. tabulā "Par valsts sertifikācijas shēmu, Eiropas digitālās identitātes maka sertifikāciju un uzraudzību noteiktās lomas, atbildīgās institūcijas un to veicamās darbības Digitālās drošības uzraudzības komiteja (turpmāk – DDUK) ir noteikta kā "atbildīga par shēmas uzturēšanu". AM norāda, ka šāds atbildības tvērums nav saskaņots ar AM un neatbilst DDUK kompetencei un funkcijām, kas noteiktas normatīvajos aktos.
Ņemot vērā minēto, AM lūdz:
1) pirms 7. punkta pieņemšanas nodrošināt informatīvā ziņojuma 2. un 3. tabulas saskaņošanu ar AM;
2) svītrot vai grozīt 2. tabulā ietverto termiņu atbilstoši iebildumam par 4. punktu.

Vēršam uzmanību uz to, ka DDUK neatbilst Eiropas Parlamenta un Padomes 2024. gada 11. aprīļa Regula (ES) 2024/1183, ar ko groza Regulu (ES) Nr. 910/2014 attiecībā uz Eiropas digitālās identitātes satvara izveidi (turpmāk – eIDAS 2.0 regula) regulas izvirzītajiem kritērijiem.

eIDAS 2.0 46a. panta 1. punktā ir noteikts, ka Dalībvalstis izraugās vienu vai vairākas uzraudzības iestādes, kas iedibinātas to teritorijā. Saskaņā ar pirmo daļu izraudzītajām uzraudzības iestādēm piešķir vajadzīgās pilnvaras un pienācīgus resursus, lai tās varētu efektīvi, lietderīgi un neatkarīgi pildīt savus uzdevumus. No iepriekš minētā izriet, ka eIDAS 2.0 regula nosaka, ka uzraudzības iestādēm jāspēj darboties efektīvi, objektīvi un neatkarīgi. eIDAS 2.0 regulas 46a. pants paredz, ka uzraudzības iestādēm jābūt nodrošinātām ar nepieciešamajiem resursiem un pilnvarām, kā arī jābūt brīvām no ārējas ietekmes. Tāpat saskaņā ar minētās regulas 51. apsvērumu, uzraudzības iestādēm jāsadarbojas ar NIS2 kompetentajām iestādēm, vienlaikus saglabājot savu neatkarību.

DDUK sastāvā ir ministriju valsts sekretāri, kas ir pakļauti politiskai ietekmei, lēmumu pieņemšana notiek koleģiāli, līdz ar to nav nostiprināta institucionāla neatkarība. Tāpat DDUK nav noteikta finanšu neatkarība, kā arī tas, ka AM nodrošina DDUK sekretariāta funkcijas, var radīt zināmu interešu konflikta risku. Tāpat interešu konflikta potenciālu rada shēmas īpašnieka un uzraudzības funkciju noteikšana vienai iestādei.
Jānorāda, ka DDUK pilda uzraudzības iestādes funkciju konkrētās jomās, tomēr lēmumus pieņem koleģiāli, kas nodrošina zināmu profesionālu autonomiju, tomēr nenodrošina institucionālu neatkarību. DDUK nav ne juridiskas patstāvības, ne finansiālas neatkarības, ne politiskas neatkarības. AM ieskatā eIDAS 2.0 regula uzraudzības iestādei paredz augstu institucionālās neatkarības līmeni.
Nepieciešams precizēt 3. tabulā Digitālās drošības uzraudzības komitejai paredzēto lomu, nosakot to atbilstoši komitejas faktiskajai kompetencei un iepriekš saskaņojot ar AM.

-

Aizsardzības ministrija lūdz precizēt protokollēmuma 13. punktu, sniedzot skaidrojumu par darba grupas un darba grupas apakšgrupas darbības tvērumu un nepieciešamajām pilnvarām. Minētā informācija ir būtiska, lai Aizsardzības ministrija varētu izvērtēt atbilstošāko pārstāvības līmeni darba grupā un apakšgrupā.
Saskaņā ar Ministru kabineta 2016. gada 1. novembra noteikumu Nr. 695 "Digitālās drošības uzraudzības komitejas nolikums" 1. punktu, DDUK ir koleģiāla uzraudzības institūcija, kuras sastāvā ir ministriju valsts sekretāri un citu institūciju vadītāji. DDUK kā koleģiālas institūcijas iesaiste darba grupā pēc būtības nozīmētu visu DDUK locekļu iesaisti, kas var nebūt samērīgi ar darba grupas uzdevumiem.
Aizsardzības ministrija vērš uzmanību, ka atkarībā no darba grupas un apakšgrupas mandāta un uzdevumu rakstura, Aizsardzības ministrijas pārstāvību varētu nodrošināt:
DDUK līmenī — ja darba grupā tiks pieņemti lēmumi, kas skar DDUK kā uzraudzības iestādes kompetenci un pilnvaras;
DDUK sekretariāta līmenī — ja darba grupas uzdevumi ir tehniska vai operacionāla rakstura un neparedz lēmumu pieņemšanu DDUK kompetences jautājumos.

-