Atzinums

Jautājums, kurš un kādā kārtībā uzraudzīs CERT atbilstību noteiktajām drošības prasībām, un kādēļ atbilstība jāpārpauda reiz piecos gados (tik reti, salīdzinoši), šeit ir problēmas ar iestādes klasifikāciju - CERT iespējam ir svarīgs pakalpojumu sniedzējs un tādejādi būtu jāpiemēro ne tikai vispārīgās drošības prasības, bet arī papildu drošības prasības, jo apstrādāta tiek kritiskās infratruktūras sasitīto incidentu informācija. Lūdzam sniegt skaidrojumu par šo.

-

Noteikumu projekta 2.6.apakšpunktā noteikts, ka institūcijas “nodrošina, ka tām ir pietiekams atbilstoši apmācītu darbinieku skaits, lai nepieciešamības gadījumā nodrošinātu savu pakalpojumu nepārtrauktu pieejamību;”.
Lūgums precizēt vai skaidrot, kas ir tie pakalpojumi, ko Institūcijām paredzēts nodrošināt, ja Nacionālais kiberdrošības likums neparedz Institūcijām pakalpojumu sniegšanu, bet gan veikt uzraudzības darbības.
 

-

Noteikumu projekta 2.3.apakšpunktā minēts, ka Institūcijas “informācijas sistēmas tās izvieto telpās, kurās tiek uzturēta optimāla temperatūra un mitruma līmenis, ar dublētiem elektroenerģijas un interneta pieslēgumiem”.
Lūgums skaidrot vai precizēt, kas tiek saprasts ar (telpu) optimālu temperatūru un mitruma līmeni, ņemot vērā, ka, piemēram, Ministru kabineta noteikumu projektā “Noteikumi par minimālajām kiberdrošības prasībām” (22-TA-3183) paredzēta  precīza telpu temperatūras pieļaujamā amplitūda, precīza telpu ventilāciju un gaisa mitruma līmeņa amplitūda.
Lūgums arī skaidrot, kura normatīvā akta prasības par telpu temperatūru un mitruma līmeni būs jāpiemēro Institūcijai, uz kuru attieksies arī Ministru kabineta noteikumi “Noteikumi par minimālajām kiberdrošības prasībām”.
 

-

Noteikumu projekta 2.1. apakšpunkts paredz, ka “(..) Informācija par Institūciju saziņas kanāliem ir, vai nu publiski pieejama, vai pieejama tām institūcijām un privāto tiesību juridiskajām personām, attiecībā uz kurām Institūcijas veic savus uzdevumus;”.
Saskaņā ar Nacionālās kiberdrošības likuma 9.panta pirmo daļu “Kiberincidentu novēršanas institūcijas ir institūcijas, kas sniedz valsts un pašvaldību institūcijām atbalstu kiberdrošības jomā, uztur un aktualizē informāciju par kiberapdraudējumiem un sniedz fiziskajām un juridiskajām personām atbalstu kiberincidentu novēršanā”.
Lūgums precizēt personu loku (salāgot izmantoto terminoloģiju), kurām pieejami saziņas kanāli, atbilstoši likumā paredzētajam.
 

-

Nacionālās Kiberdrošības likuma 37. pants nosaka, ka kompetentās kiberincidentu novēršanas institūcijas uztur ierobežojamo interneta resursu sarakstu, bet noteikumu projekta 2.punktā nav iekļauta ne šāda prasība, ne arī noteikts kādā formātā tiek uzturēts ierobežojamo interneta resursu saraksts.

Aicinām papildināt Noteikumu projektu ar atbilstošiem 2.punkta apakšpunktiem:
2.10. nodrošina ierobežojamo interneta resursu saraksta uzturēšanu atbilstoši DNS (Domain Name System) servisa RPZ (Response policy zone) tehnoloģijai;
2.11. mēģinājuma gadījumā piekļūt ierobežotam interneta resursam, nodrošina interneta lietotājam informācijas sniegšanu par mēģinājumu piekļūt ierobežotam resursam.