Atzinums

Lūdzam izvērtēt, tai skaitā ņemot vērā Nacionālās kiberdrošības likuma 3. panta sestajā, septītajā, astotajā un devītajā daļā noteikto, vai noteikumu projekta 2.5. punkts nav papildināms ar ārvalstī reģistrēto juridisko personu un attiecīgi precizēt 2.5. punktu, ja nepieciešams.

-

Lai padarītu tiesību normu skaidrāku, lūdzam noteikt noteikumu projekta 10. punktā minētā atzinuma spēkā esamības termiņu un atsaukties uz prasībām/kritērijiem, kas tiek izvērtēti, sniedzot šādu atzinumu.

-

Lūdzam punkta pēdējā teikumā precizēt vārdus "pakalpojuma sniedzējs", tos aizstājot ar vārdu "operators", lai nodrošinātu konsekventu terminu lietošanu noteikumu projektā.

-

Lūdzam izvērtēt iespēju noteikumu projektu papildināt ar punktu, kas nosaka, ka subjekts ievēro arī citos normatīvajos aktos noteiktās kiberdrošības prasības attiecībā uz datu centrā izvietoto subjekta informācijas sistēmu vai informācijas un komunikācijas tehnoloģiju infrastruktūru, ņemot vērā to, ka datu centra atbilstība šo noteikumu prasībām negarantē tajā izvietotās subjekta informācijas sistēmas vai informācijas un komunikācijas tehnoloģiju infrastruktūras atbilstību citos normatīvajos aktos noteiktajām kiberdrošības prasībām, un neatbrīvo subjektu no atbildības par šo prasību ievērošanu.

-

Ierosinām svītrot tekstu iekavās aiz vārda "klases", jo šāda piebilde nav lietota citur noteikumu projekta tekstā, vai pārskatīt noteikumus, kur ir atsauces uz A klases informācijas sistēmu.

-

Lūdzam svītrot liekos vārdus "telemetrijas datu".

-

Lūdzam svītrot vārdu "drošības" pirms vārda "telemetrijas", ņemot vērā 2.6. punktā noteikto definīciju.

-

Lūdzam 1. pielikuma 2.2.3. punktā "+" aizvietot ar "vai". RFID + PIN darbojas kā divu faktoru kombinācija, kurai kā trešais obligātais drošības elements kalpo praksē sistēmiskā kontrole. Augstas drošības zonās, īpaši krīzes situācijās, biometrijas iekārtas mēdz būt neuzticamas.

-

Lūdzam 1. pielikuma 1.1. un 3.2. punktā noteikt regularitāti "ne retāk kā reizi gadā". Apmācības visiem darbiniekiem reizi sešos mēnešos par krīžu vadību, datu aizsardzību un infrastruktūras nepārtrauktību rada pārmērīgu slogu uz subjektu. Bez tam uzskatām, ka apmācībām un testēšanai ir jābūt balstītai uz mērķiem un sasniedzamo rezultātu, nevis skaitlisku regularitāti

-