Atzinums

Lūdzam skaidrot Ministru kabinet noteikumu projektā "Valsts digitālās pārvaldes informācijas un komunikācijas tehnoloģiju resursu attīstības kārtība" (turpmāk – noteikumu projekts) paredzēto atbildības, finansējuma un lēmumu pieņemšanas pilnvaru sadalījumu starp nozaru institūcijām un centralizētajiem pārvaldības mehānismiem.
No noteikumu projekta izriet, ka par informācijas un komunikācijas tehnoloģiju (turpmāk – IKT) resursu attīstības aktivitāšu finansēšanu, īstenošanu, uzturēšanu un plānoto ieguvumu sasniegšanu primāri atbildīgas ir nozaru institūcijas. Vienlaikus būtiska daļa lēmumu par aktivitāšu virzību, arhitektūras atbilstību, prioritizēšanu un investīciju lietderību tiek pakļauta centralizētai izvērtēšanai un saskaņošanai.
Līdz ar to nav pietiekami skaidrs, kā tiek nodrošināts līdzsvars starp institūcijas atbildību par tai piešķirto publisko līdzekļu efektīvu izmantošanu un tās iespējām pieņemt lēmumus par funkciju izpildei nepieciešamajiem IKT risinājumiem. Tāpat nav saprotams, kā tiek sadalīta atbildība gadījumos, kad centralizētas izvērtēšanas rezultātā tiek noteikti risinājumi vai ierobežojumi, kas ietekmē projekta izmaksas, termiņus, riskus vai plānoto ieguvumu sasniegšanu.
Lūdzam noteikumu projekta sākotnējās (ex-ante) ietekmes novērtējuma ziņojumā (turpmāk – anotācija) vai noteikumu projektā skaidrot finansēšanas, lēmumu pieņemšanas un atbildības savstarpējo sasaisti, īpaši gadījumos, kad finansējuma saņēmējs un projekta rezultātu sasniegšanas atbildīgais nav vienlaikus arī galīgais lēmuma pieņēmējs.

-

Noteikumu projektā paredzēta vairāku institūciju un pārvaldības mehānismu iesaiste IKT resursu attīstības aktivitāšu plānošanā, arhitektūru uzturēšanā, aktivitāšu izvērtēšanā, investīciju prioritizēšanā un lēmumu pieņemšanā. Vienlaikus lielākajā daļā procesu nav noteikti konkrēti termiņi, kuru ietvaros iesaistītajām pusēm jāsniedz atzinumi, jāpieņem lēmumi vai jāveic citas darbības.
Ņemot vērā, ka noteikumu projektā paredzēta jomu arhitektūru pārvaldība, Viedās administrācijas un reģionālās attīstības ministrijas (turpmāk – VARAM) koordinācijas funkcijas, vairāku institūciju iesaiste izvērtēšanā, kā arī Valsts digitālo investīciju komisijas darbība, pastāv risks, ka bez skaidri definētiem termiņiem lēmumu pieņemšanas process kļūst grūti prognozējams un var radīt būtisku ietekmi uz aktivitāšu īstenošanas termiņiem.
Īpaši būtiski tas ir gadījumos, kad attīstības aktivitātes tiek īstenotas:
- normatīvo aktu prasību izpildei;
- Eiropas Savienības saistību nodrošināšanai;
- kiberdrošības risku novēršanai;
- darbības nepārtrauktības risku mazināšanai;
- termiņos ierobežotu finansējuma programmu ietvaros.

Lūdzam izvērtēt nepieciešamību noteikt skaidrus termiņus vai uz pakalpojumu līmeņa principiem balstītus izskatīšanas termiņus būtiskākajiem procesiem, kā arī precizēt sekas gadījumos, kad attiecīgie termiņi netiek ievēroti. Tas veicinātu pārvaldības procesa caurskatāmību, prognozējamību un mazinātu risku, ka administratīvās procedūras kavē attīstības aktivitāšu savlaicīgu īstenošanu.

Vēršam uzmanību uz to, ka Ministru kabinets ārējo normatīvo aktu var izdot tikai tādā gadījumā, ja likumdevējs likumā formulējis pilnvarojumu šāda akta izdošanai un noteicis pilnvarojuma robežas (skat. Satversmes tiesas 2017. gada 29. jūnija sprieduma lietā Nr. 2016-23-03 16. punktu). Turklāt Ministru kabineta noteikumu saturam jāatbilst likumdevēja noteiktajam pilnvarojumam Ministru kabinetam.
Jēdziens "kārtība" nozīmē norises īstenošanas veidu vai darbības organizāciju (skat., piemēram, Satversmes tiesas 2012. gada 2. maija sprieduma lietā Nr. 2011-17-03 13.3. apakšpunktu). Atsevišķos gadījumos Ministru kabineta noteikumu saturu var veidot arī materiālās normas, taču tām jābūt pieņemtām, pamatojoties uz nepārprotamu likumdevēja pilnvarojumu (skat., piemēram, Satversmes tiesas 2018. gada 18. oktobra sprieduma lietā Nr. 2017-33-03 14. punktu).
Valsts informācijas sistēmu likuma 4. panta otrā daļa noteic, ka valsts informācijas sistēmu vai institūcijas informācijas sistēmu un to darbībai nepieciešamo IKT resursu un pakalpojumu attīstības aktivitāšu un likvidēšanas uzraudzības kārtību, kā arī valsts informācijas sistēmu vai institūcijas informācijas sistēmu vispārējās tehniskās un drošības prasības nosaka Ministru kabinets.
Savukārt noteikumu projekta 1. punkts noteic, ka noteikumi nosaka valsts digitālās pārvaldes IKT resursu attīstības plānošanas, sākotnējās pamatošanas, izvērtēšanas, īstenošanas uzraudzības un IKT resursu likvidēšanas kārtību, kā arī tajā iesaistīto institūciju kompetenci un sadarbības principus, kaut arī Ministru kabineta 2009. gada 3. februāra noteikumu Nr. 108 "Normatīvo aktu projektu sagatavošanas noteikumi" 100. punkts noteic, ka Ministru kabineta noteikumu projekta pirmajā punktā secīgi raksta vārdus "noteikumi nosaka" un likumā noteikto pilnvarojumu Ministru kabinetam.
Ievērojot minēto, lūdzam precizēt noteikumu projekta 1. punktu atbilstoši Valsts informācijas sistēmu likuma 4. panta otrajā daļā noteiktajam pilnvarojumam Ministru kabinetam.
Papildus lūdzam izvērtēt noteikumu projekta atbilstību Valsts informācijas sistēmu likuma 4. panta otrajā daļā noteiktajam pilnvarojumam Ministru kabinetam un attiecīgi precizēt noteikumu projektu.
Ja noteikumu projekts izstrādāts saskaņā ar citu pilnvarojumu Ministru kabinetam, lūdzam attiecīgi precizēt noteikumu projektu un anotācijā ietverto informāciju.
 

-

Lūdzam precizēt termina “IKT resurss” definīciju un tā attiecības ar citos normatīvajos aktos lietotajiem terminiem, īpaši terminu “informācijas sistēma”. Pašlaik definīcija vienā jēdzienā apvieno dažādu arhitektūras līmeņu objektus (informācijas sistēmas, lietojumprogrammas, programmatūras komponentes, datubāzes, infrastruktūru un pakalpojumus), kas var radīt neskaidrības par pārvaldības, uzskaites un investīciju plānošanas pamatvienību. Vienlaikus atsevišķos spēkā esošajos normatīvajos aktos termini “informācijas sistēma” un “IKT resurss” tiek lietoti kā savstarpēji nošķirti jēdzieni. Lai nodrošinātu vienveidīgu regulējuma piemērošanu un mazinātu atšķirīgas interpretācijas risku, lūdzam skaidri noteikt terminu hierarhiju un savstarpējās attiecības, kā arī, ciktāl iespējams, izmantot spēkā esošajā normatīvajā regulējumā jau nostiprināto terminoloģiju.

-

Lūdzam precizēt termina "joma" definīciju un tās saistību ar valsts pārvaldē ieviesto pakalpojumu pārvaldības pieeju. Pašlaik joma tiek definēta kā savstarpēji saistītu institūciju funkciju, procesu, pakalpojumu un datu kopums, taču no noteikumu projekta nav skaidri saprotama šī koncepta vieta kopējā valsts digitālās pārvaldes pārvaldības modelī un tā attiecības ar pakalpojumu pārvaldības ietvaru.
Ņemot vērā, ka pakalpojumu pārvaldības pieejā pakalpojums tiek definēts kā centrālais pārvaldības objekts, no kura atvasināmi procesi, resursi un dati, lūdzam skaidrot, kā jomu pieeja tiek sasaistīta ar pakalpojumu pārvaldību, kā arī kā tiek nodrošināta pakalpojumu, procesu, datu un IKT resursu vienota pārvaldība. Pretējā gadījumā pastāv risks, ka paralēli tiek veidoti vairāki savstarpēji nesasaistīti pārvaldības modeļi, apgrūtinot vienotas valsts digitālās pārvaldes attīstības principu ieviešanu.

-

Lūdzam projektā noteikt pakalpojuma sniedzēja un saņēmēja atbildību par pieejamību, administratoru piekļuvi, ievainojamību novēršanu, incidentu paziņošanu, auditācijas datiem, rezerves kopijām un atjaunošanu. Iestādei jābūt pieejamiem pierādījumiem, kas ļauj pārliecināties par pakalpojuma atbilstību tās prasībām. Projekta 5.5.apakšpunktā, 7., 8. un 40. punktā ir regulēta atbildība par centralizētu pakalpojumu. Iestādei saglabāta atbildība par resursu, taču nav noteikts tās kontroles apjoms pār obligāti izmantojamu koplietošanas pakalpojumu.

-

Lūdzam projektā(tekstā vai anotācijā) noteikt būtiskuma kritērijus un skaidri paredzēt, ka riska mazināšana pati par sevi nepārvērš uzturēšanu stratēģiskā aktivitātē. Ieviest neatliekamu drošības izmaiņu kārtību incidentu ierobežošanai un kritisku ievainojamību novēršanai ar dokumentēšanu un pēckontroli, ievērojot citos normatīvajos aktos noteiktās obligātās procedūras.
Projekta 5.6. un 5.9. apakšpunktā, 22., 28., 46., 47., 48. punktā saskatāma drošības darbu nepamatota pakļaušana saskaņošanai.
Uzturēšanas darbība nedrīkst mainīt riska profilu, lai gan drošības atjauninājuma mērķis parasti ir tieši riska mazināšana. Savukārt jebkura funkcionalitātes vai arhitektūras maiņa var izraisīt atkārtotu izvērtēšanu, bet būtiska ietekme uz kiberdrošību — trešā līmeņa procedūru.

-

Lūdzam precizēt termina "stratēģiska aktivitāte" definīciju vai noteikt skaidrus tās piemērošanas kritērijus. Definīcijā izmantotie formulējumi "būtiski ietekmē", "augsts piegādātāja atkarības risks" un "tehnoloģiskās ilgtspējas risks" ir interpretējami un var radīt atšķirīgu pieeju aktivitāšu klasificēšanā. Vienveidīgas regulējuma piemērošanas nodrošināšanai nepieciešams noteikt objektīvus kritērijus vai atsauci uz metodiku, pēc kuras stratēģiskās aktivitātes identificējamas.

-

Lūdzam precizēt noteikumu projekta 5.12. apakšpunktu atbilstoši Ministru kabineta 2009. gada 3. februāra noteikumu Nr. 108 "Normatīvo aktu projektu sagatavošanas noteikumi" 131. punktam, kas noteic, ka Ministru kabineta noteikumu projektā var ietvert atsauces uz citām Ministru kabineta noteikumu projekta normām vai tāda paša vai augstāka juridiskā spēka normatīvajiem aktiem. Savukārt juridiski korektas atsauces normatīvajā aktā nav veidojamas uz dokumentiem, kuriem nav juridiski saistoša rakstura, tostarp vadlīnijām, rekomendācijām un citiem ieteikuma rakstura dokumentiem.
Vienlaikus vēršam uzmanību, ka noteikumu projekta 5.12. apakšpunktā paredzēts, ka sadarbspējas novērtējums tiek veikts, "ievērojot" Eiropas Sadarbspējas satvarā (turpmāk – EIF) noteiktos principus, standartus un vadlīnijas". Savukārt Eiropas Parlamenta un Padomes 2024. gada 13. marta Regulas (ES) 2024/903, ar ko nosaka pasākumus augsta līmeņa publiskā sektora sadarbspējai visā Savienībā, (Sadarbspējīgas Eiropas akts) (turpmāk – regula Nr. 2024/903) 6. panta 2. punkts paredz, ka EIF sadarbspējas novērtējumā "tiek ņemts vērā". Ievērojot minēto, lūdzam precizēt noteikumu projekta redakciju un tā vietā, lai pārrakstītu regulas normu saturu un atsaukties uz EIF, noteikumu projekta 5.12. apakšpunktā ietvert atsauci uz attiecīgajām regulas Nr. \ 2024/903 normām, tādējādi izvairoties no regulas satura dublēšanas un interpretācijas riska, kā arī novēršot iespējamu iespaidu par EIF kā juridiski saistošu avotu vai par stingrāku EIF piemērošanas raksturu, nekā izriet no regulas.

-

Lūdzam precizēt termina "pasūtījumprogrammatūra" definīciju. Pašlaik definīcija paredz, ka par pasūtījumprogrammatūru uzskatāma institūcijas vajadzībām pēc īpaša pasūtījuma izstrādāta datorprogramma vai tās daļa, attiecībā uz kuru institūcijai vai valstij pieder autortiesības vai ekskluzīvas lietošanas tiesības. Nav skaidrs, kā definīcija piemērojama gadījumos, kad risinājums ir izstrādāts piem., uz komercproduktu bāzes, veikta esošas programmatūras pielāgošana vai institūcijai piešķirtas lietošanas tiesības, kas nav ekskluzīvas. Lūdzam precizēt definīcijas tvērumu, lai nodrošinātu vienveidīgu tās piemērošanu valsts pārvaldē.

Pasūtījumprogrammatūra – institūcijas vajadzībām pēc tās pasūtījuma izstrādāta datorprogramma, programmatūras komponente vai tās modificējums, neatkarīgi no tā, vai tā izstrādāta kā patstāvīgs risinājums vai pielāgojot esošu programmatūru, ja institūcijai vai valstij ir nodotas pietiekamas mantiskās tiesības vai lietošanas tiesības tās turpmākai izmantošanai, uzturēšanai, pilnveidošanai un atkalizmantošanai.

Lūdzam skaidrot šajā nodaļā paredzētā pārvaldības modeļa saistību ar valsts pārvaldē ieviesto pakalpojumu pārvaldības pieeju. No noteikumu projekta nav skaidri saprotams, kā pakalpojumu pārvaldība, jomu arhitektūras, datu pārvaldība un IKT investīciju pārvaldība veido vienotu pārvaldības modeli, kā arī kura no šīm dimensijām ir primārā attīstības plānošanā un lēmumu pieņemšanā.

-

Lūdzam projektā noteikt, kā valsts un jomas līmenī nosaka kopējos principus, sadarbspēju un saskarnes, bet detalizētos tehniskos risinājumus izvēlas iestādes pārvaldības kārtībā, ievērojot saistošās prasības. Ārēji noteiktas izmaiņas izvērtējamas visas iestādes infrastruktūras, nevis tikai atsevišķās sistēmas līmenī, iesaistot iestādes arhitektūras atbildīgos un kiberdrošības pārvaldnieku. Projekta 6.–8., 12.–20. un 40. punktā ir reglamentēta iestādes vienotās arhitektūras saglabāšana, taču nav skaidri nodalītas valsts un jomas arhitektūras prasības no iestādes detalizētās infrastruktūras un drošības arhitektūras. Lai gan projektā nav tieši noteikta katras sistēmas tehnoloģiskā risinājuma izvēle centrālajā līmenī, pašreizējais formulējums pieļauj šādu interpretāciju. Atsevišķai sistēmai noteikts risinājums var nebūt savietojams ar iestādes kopējo identitātes pārvaldību, tīkla segmentāciju, privileģēto piekļuvi, monitoringu, rezerves kopēšanu un atjaunošanu. Tas var sadrumstalot vidi, palielināt uzturēšanas sarežģītību un radīt jaunus drošības riskus.

-

Lūdzam izvērtēt paredzētā pārvaldības modeļa atbilstību efektīvas pārvaldības principiem un sniegt papildu pamatojumu jaunu pārvaldības institucionālo slāņu izveidei. Noteikumu projektā VARAM jau ir noteiktas plašas funkcijas valsts digitālo tehnoloģiju pārvaldības, investīciju portfeļa koordinācijas, arhitektūras pārvaldības, metodiskās vadības un risku uzraudzības jomā. Vienlaikus valsts līmenī jau tiek attīstīta pakalpojumu pārvaldības pieeja, darbojas datu pārvaldības koordinācijas mehānismi, tostarp Nacionālā datu padome, kā arī jomu arhitektūru pārvaldības modelis.
No noteikumu projekta nav skaidri saprotams, kā jaunveidojamā Valsts digitālo investīciju komisija papildina jau esošo pārvaldības sistēmu, kā arī kā tiek novērsta funkciju pārklāšanās, lēmumu pieņemšanas procesa sarežģīšana un papildu administratīvā sloga veidošanās. Lūdzam anotācijā vai noteikumu projektā skaidrot visu digitālās pārvaldes pārvaldības mehānismu savstarpējo sasaiti un pievienoto vērtību.

-

Lūdzam papildināt anotāciju ar izvērstu informāciju par noteikumu projekta 8. punktā minēto Valsts informācijas un komunikācijas tehnoloģiju vadības biroju, proti, kas tas ir, no kura normatīvā akta regulējuma izriet tā izveidošana u.tml.

-

Lūdzam precizēt atbildības sadalījumu gadījumos, kad VARAM izvērtēšanas rezultātā nosaka arhitektūras vai tehniskus ierobežojumus, kas ietekmē nozares izvēlēto risinājumu. No noteikumu projekta nav skaidrs, kādā apjomā šādos gadījumos saglabājas nozares institūcijas atbildība par ieguvumu un rezultātu sasniegšanu (p.7.5.)

-

Lūdzam papildināt anotāciju ar izvērstu informāciju par noteikumu projekta 9., 10., 11.. 44. un 60. punktā minēto Valsts digitālo investīciju komisiju.
 

-

Lūdzam precizēt Valsts digitālo investīciju komisijas veidošanas principus un komisijas locekļu statusu. No noteikumu projekta nav skaidri saprotams, vai komisijas sastāvā iekļaujamās personas ir institūciju deleģēti pārstāvji, neatkarīgi eksperti vai citas personas, kā arī pēc kādiem kritērijiem tiek vērtēta to kompetence, nodrošināta reprezentativitāte un novērsti iespējamie interešu konflikti.
Vienlaikus nav skaidrs pamatojums izvēlētajam komisijā pārstāvēto jomu lokam, kā arī kritēriji, pēc kuriem noteikta tieši šādu jomu pārstāvniecība. Ņemot vērā, ka komisija sniegs atzinumus par stratēģiskām un augstas vērtības valsts IKT investīcijām, lūdzam precizēt komisijas sastāva veidošanas principus, ekspertu atlases kārtību un neatkarības nodrošināšanas mehānismu.
Papildus lūdzam skaidrot, kā komisijas sastāvs nodrošinās sabalansētu valsts pārvaldes, nozares, akadēmiskās vides un privātā sektora kompetenču pārstāvību, kā arī kādā veidā tiks nodrošināta nepieciešamo specializēto zināšanu pieejamība konkrētu investīciju izvērtēšanā.

-

Lūdzam precizēt Valsts digitālo investīciju komisijas atzinuma juridisko statusu un ietekmi uz turpmāko lēmumu pieņemšanu. No noteikumu projekta nav viennozīmīgi saprotams, vai komisijas atzinumam ir rekomendējošs vai saistošs raksturs.

-

Lūdzam precizēt jomu noteikšanas principus. Šobrīd nav vienota pieeja, - vairums jomu ir definētas kā nozares, savukārt tieslietu jomā par jomu faktiski noteikta konkrēta platforma. Tāpat lūdzam precizēt lēmumu pieņemšanas kārtību par jomu izveidi, apvienošanu, sadalīšanu un vadošās institūcijas noteikšanu, tai skaitā gala lēmuma pieņēmēju un pieņemto lēmumu juridisko statusu.

-

Lūdzu, precizēt jomu arhitektūras saistību ar valsts pārvaldē ieviesto pakalpojumu pārvaldības pieeju. No noteikumu projekta nav skaidri saprotams, kā pakalpojumu portfelis, pakalpojumu īpašnieki un pakalpojumu attīstības plānošana tiek integrēta jomu arhitektūrās.

-

Projekta 18., 33., 42.–48. un 59.–61. punktā, reglamentējot saskaņošanas un pārejas kārtību, lūdzam precizēt termiņus, lēmumu tiesiskās sekas, atkārtotas izvērtēšanas robežas un pārejas periodus. Vienlaicīgi noteikt, ka jaunas prasības piemērot pēc nepieciešamās metodikas un tehnisko nosacījumu pieejamības, izvērtējot migrācijas riskus, izmaksas un finansējumu. Šobrīd projektā nav pietiekami skaidri noteikts kopējais izvērtēšanas ilgums, galīgā lēmuma pieņēmējs, domstarpību risināšana un jaunu arhitektūras prasību piemērošana esošām sistēmām.

-

Lūdzam projektā noteikt, ka arhitektūras un investīciju saskaņošana neaizstāj un neierobežo iestādes pienākumus un kompetento institūciju pilnvaras kiberdrošības un IKT kritiskās infrastruktūras aizsardzībā. Lūdzam arī pārbaudīt projektā paredzēto uzraudzības kompetenču atbilstību speciālajam regulējumam. Projekta 4., 19.–21., 40. un 58. punkts nosaka attiecības kiberdrošības regulējumā. Izņēmums klasificētās informācijas sistēmām neatrisina kritiskās infrastruktūras aizsardzības jautājumus sistēmās, kurās šāda informācija netiek apstrādāta. Nav pietiekami skaidri noteikta projekta prasību un speciālā kiberdrošības regulējuma savstarpējā piemērošana.

-

Lūdzam izvērtēt nepieciešamību papildināt noteikumu projekta 20. punktā minētos principus ar pakalpojumu pārvaldības aspektiem, tai skaitā pakalpojumu pieejamības, nepārtrauktības, lietotāju pieredzes un pakalpojumu kvalitātes prasībām.

-

Lūdzam vienādot normas projekta 20., 38.–39. punktā un 1. pielikuma 1.5. apakšpunktā un atļaut pamatotu lokālu vai kombinētu risinājumu, ja koplietošanas pakalpojums neatbilst obligātajām prasībām, nav savietojams ar iestādes infrastruktūru vai rada nepieņemamu atkarības un nepieejamības risku. Drošībai nepieciešamas rezerves jaudas un neatkarīgus atjaunošanas risinājumus neuzskatīt par nepamatotu dublēšanos. Pamattekstā paredzēta koplietošanas prioritāte un alternatīvas pamatošanas iespēja, savukārt pielikumā koplietošanas infrastruktūras izmantošana formulēta kategoriski. Turklāt projekta 39. punktā nav nepārprotami paredzēts, ka alternatīvu var pamatot ar drošības prasībām vai darbības nepārtrauktību, arī ja tā nav lētāka.

-

Lūdzam precizēt noteikumu projekta 21. punktu un svītrot 1. pielikumu, ietverot noteikumu projekta IV nodaļā Valsts informācijas sistēmu likuma 4. panta otrās daļas pilnvarojumā minētās attiecīgās vispārējās tehniskās un drošības prasības.
 

-

Lūdzam izvērtēt ieceri reģistrēt VIRSIS visas attīstības aktivitātes bez jebkādiem izņēmumiem vai diferencētas pieejas. Noteikumu projekts paredz vienādu pieeju visām attīstības aktivitātēm neatkarīgi no to apjoma, izmaksām, riska līmeņa un ietekmes. Šāda pieeja nav balstīta uz riskos balstītu pārvaldību un var nebūt samērīga ar mērķi nodrošināt valsts IKT investīciju pārraudzību. Turklāt, šādas prasības īstenošana praksē radītu būtisku administratīvo slogu, ņemot vērā, ka iestādē vienlaikus tiek īstenots ievērojams skaits dažādu attīstības aktivitāšu, kuru apjoms, sarežģītība un nozīmīgums ir atšķirīgs. Detalizēta visu aktivitāšu reģistrēšana prasītu regulāru un laikietilpīgu informācijas ievadi, aktualizēšanu un uzturēšanu, kas nozīmētu papildu resursu novirzīšanu no pamatfunkciju un attīstības darbu veikšanas uz administratīvām darbībām. Vienlaikus nav pietiekami skaidrs, vai šāds papildu administratīvais ieguldījums būtu samērīgs ar sagaidāmo ieguvumu no informācijas uzkrāšanas un pārvaldības procesa.
Pastāv risks, ka pie prasību apjoma šāda reģistrēšana kļūs par formālu pienākumu, kura izpilde tiks veikta galvenokārt atbilstības nodrošināšanas nolūkā, nevis kā efektīvs pārvaldības instruments. Tas savukārt var mazināt datu kvalitāti, palielināt administratīvo slogu un negatīvi ietekmēt iestādes spēju operatīvi reaģēt uz normatīvo aktu izmaiņām, lietotāju vajadzībām un citiem attīstības pieprasījumiem.
Ņemot vērā, ka noteikumu projekts ievieš pirmā, otrā un trešā līmeņa aktivitāšu diferenciāciju, nav skaidrs, kādēļ pilnīgi visām aktivitātēm paredzēts vienāds reģistrēšanas un informācijas uzturēšanas pienākums. Vienota pieeja visām aktivitātēm neatkarīgi no to apjoma, riska līmeņa vai ietekmes var nebūt efektīvākais risinājums,  ņemot vērā attīstības aktivitāšu daudzveidību. Tādēļ aicinām izvērtēt iespēju noteikt samērīgus kritērijus, piemēram, paredzot pienākumu VIRSIS reģistrēt tikai noteikta apjoma, izmaksu, riska vai stratēģiskas nozīmes attīstības aktivitātes, vai arī paredzēt citus izņēmumus un vienkāršotus uzskaites mehānismus mazāka mēroga aktivitātēm. Arī šāda diferencēta pieeja ļautu sasniegt VIRSIS ieviešanas un informācijas pārvaldības mērķus, vienlaikus izvairoties no nesamērīga administratīvā sloga un nodrošinot efektīvu valsts pārvaldes resursu izmantošanu.
 

-

Lūdzam precizēt projekta 23. punktā, vai arī standartprogrammatūras licenču ikgadēja abonēšana ir uzskatāma par IKT resursa uzturēšanas darbībām, jo skaidrība šajā jautājumā ir svarīga valsts iestāžu darbībai.

-

Lūdzam precizēt prasības aktivitātes sasaistīšanai ar jomas arhitektūru gadījumos, kad aktivitāte skar vairākas jomas, attiecas uz horizontālu koplietošanas risinājumu vai attiecīgajai jomai nav aktuālas arhitektūras.
Vienlaikus vēršam uzmanību, ka noteikumu projektā IKT resursu attīstības aktivitāšu plānošana, reģistrēšana un izvērtēšana tiek balstīta galvenokārt uz jomu arhitektūrām, taču nav paredzēta sistemātiska sasaiste ne ar valsts pārvaldē ieviesto pakalpojumu pārvaldības pieeju, ne valsts datu pārvaldības ietvaru.
Reģistrējot aktivitāti, netiek identificēts pakalpojums vai pakalpojumu kopums, kura nodrošināšanai attiecīgā aktivitāte tiek īstenota, netiek nodrošināta saikne ar pakalpojuma īpašnieku, pakalpojuma rezultātiem un plānotajiem ieguvumiem, kā arī netiek paredzēta saistības identificēšana ar datu kopām, datu domēniem, datu īpašniekiem vai datu pārvaldības mērķiem.
Ņemot vērā, ka VARAM paralēli attīsta pakalpojumu pārvaldības modeli, datu pārvaldības pieeju, jomu arhitektūru pārvaldību un IKT investīciju pārvaldību, no noteikumu projekta nav skaidri saprotams, kā šie pārvaldības ietvari savstarpēji saslēdzas vienotā valsts digitālās pārvaldes modelī.
Pašreizējā redakcija rada risku veidot vairākus paralēlus un savstarpēji nepietiekami integrētus pārvaldības modeļus, kuros IKT investīcijas tiek plānotas pēc arhitektūras principiem, pakalpojumu attīstība tiek organizēta atsevišķā pārvaldības ietvarā, bet datu pārvaldības mērķi un prasības nav tieši sasaistīti ar investīciju plānošanas procesu.
Lūdzam izvērtēt nepieciešamību aktivitāšu reģistrācijas procesā paredzēt sasaisti ar attiecīgajiem publiskajiem pakalpojumiem un datu pārvaldības objektiem, kā arī anotācijā vai noteikumu projektā skaidrot jomu arhitektūru, pakalpojumu pārvaldības, datu pārvaldības un IKT investīciju pārvaldības savstarpējo vietu un lomu kopējā valsts digitālās pārvaldes pārvaldības modelī.

-

Lūdzam papildināt IKT resursu attīstības aktivitāšu lietderības un investīciju izvērtēšanas procesu ar prasību izvērtēt attīstības aktivitātes saistību gan ar publiskajiem pakalpojumiem, gan datu pārvaldības mērķiem un objektiem.
No noteikumu projekta un tā 2. pielikuma izriet, ka investīciju izvērtēšana tiek organizēta galvenokārt caur IKT resursu, jomu arhitektūru, izmaksu, ieguvumu un tehnoloģisko risinājumu prizmu. Vienlaikus nav paredzēta sistemātiska sasaite ar valsts pārvaldē ieviesto pakalpojumu pārvaldības pieeju un datu pārvaldības modeli.
Aktivitāšu izvērtēšanas un pamatošanas procesā netiek paredzēta:
- saistības identificēšana ar konkrētu publisko pakalpojumu vai pakalpojumu kopumu;
- pakalpojuma īpašnieka un pakalpojuma rezultātu rādītāju noteikšana;
- saistības identificēšana ar datu domēniem, datu kopām, datu īpašniekiem vai datu kvalitātes mērķiem;
- aktivitātes ietekmes izvērtēšana uz datu kvalitāti, datu koplietošanu un datu pārvaldības mērķu sasniegšanu.
Rezultātā investīciju lietderība tiek vērtēta galvenokārt no tehnoloģisko risinājumu un procesu efektivitātes skatpunkta, nepietiekami izvērtējot to pienesumu publisko pakalpojumu attīstībai un datu pārvaldības pilnveidei.
Ņemot vērā, ka VARAM paralēli attīsta pakalpojumu pārvaldības, datu pārvaldības, jomu arhitektūru un IKT investīciju pārvaldības modeļus, no noteikumu projekta nav skaidri saprotams, kā minētie pārvaldības ietvari savstarpēji saslēdzas vienotā valsts digitālās pārvaldes pārvaldības modelī. Pašreizējā redakcija rada risku veidot vairākus paralēlus un savstarpēji nepietiekami integrētus pārvaldības mehānismus.
Lūdzam izvērtēt nepieciešamību investīciju izvērtēšanas procesā paredzēt obligātu sasaisti ar publiskajiem pakalpojumiem un datu pārvaldības objektiem, kā arī anotācijā skaidrot pakalpojumu pārvaldības, datu pārvaldības, jomu arhitektūru un IKT investīciju pārvaldības savstarpējo vietu kopējā valsts digitālās pārvaldes pārvaldības modelī.

-

Lūdzam pārskatīt izmaksu un ieguvumu analīzes piemērošanas pieeju aktivitātēm, kuru primārais mērķis nav ekonomiskā efekta sasniegšana.
Noteikumu projekta 2. pielikums paredz pienākumu veikt detalizētu izmaksu un ieguvumu analīzi, noteikt monetārus ieguvumus, aprēķināt neto ieguvumu un izvērtēt ekonomisko pamatotību visā IKT resursa dzīves ciklā.
Vienlaikus būtiska daļa valsts pārvaldes IKT investīciju tiek īstenota normatīvo aktu prasību izpildei, kiberdrošības stiprināšanai, informācijas sistēmu darbības nepārtrauktības nodrošināšanai, informācijas drošības prasību ieviešanai vai citu obligātu valsts funkciju izpildei. Šādu aktivitāšu ieguvumi daudzos gadījumos objektīvi nav mērāmi naudas izteiksmē vai salīdzināmi ar klasisku izmaksu samazinājumu.
Lūdzam paredzēt diferencētu izvērtēšanas pieeju šādām aktivitātēm vai noteikt alternatīvu pamatojuma modeli gadījumiem, kad investīcijas pamatotas ar tiesiskiem, drošības vai nepārtrauktības apsvērumiem.

-

Lūdzam izvērtēt  noteikumu projekta 40. punktā noteiktā izvērtēšanā iesaistīto institūciju loka samērīgumu un precizēt to iesaistes kritērijus.
No noteikumu projekta izriet, ka IKT resursu attīstības aktivitāšu izvērtēšanā var tikt iesaistīts plašs institūciju loks atbilstoši to kompetencei. Vienlaikus no regulējuma nav viennozīmīgi saprotams, kādos gadījumos konkrētu institūciju iesaiste ir obligāta, kādos gadījumos tā ir rekomendējoša, kā arī pēc kādiem principiem tiek noteikts iesaistāmo institūciju tvērums konkrētai aktivitātei.
Ņemot vērā, ka paralēli tiek paredzēta jomu arhitektūru izvērtēšana, VARAM koordinācija, galveno arhitektu iesaiste, Valsts digitālo investīciju komisijas darbība, kā arī citu institūciju atzinumu sniegšana, pastāv risks būtiski palielināt administratīvo slogu, izvērtēšanas procesa ilgumu un lēmumu pieņemšanas sarežģītību.
Papildus nav skaidri saprotams, kā tiek nodrošināta izvērtēšanā iesaistīto institūciju sniegto viedokļu savstarpēja koordinācija un kā tiek pieņemts galīgais lēmums gadījumos, kad iesaistītās institūcijas sniedz atšķirīgus secinājumus vai rekomendācijas.
Lūdzam:
- precizēt iesaistes kritērijus katrai institūcijai;
- paredzēt uz riskiem balstītu pieeju izvērtēšanā iesaistāmo institūciju noteikšanai;
- skaidri noteikt galīgā lēmuma pieņēmēju un domstarpību risināšanas mehānismu;
- izvērtēt kopējo administratīvo slogu, ņemot vērā projektā jau paredzētos pārvaldības mehānismus, tai skaitā jomu arhitektūru pārvaldību, pakalpojumu pārvaldību, datu pārvaldību, VARAM koordinācijas funkcijas un Valsts digitālo investīciju komisijas iesaisti.

-

Lūdzam projektā nodalīt vispārīgu investīciju un arhitektūras izvērtējumu no detalizētas drošības izvērtēšanas; plašākam izvērtētāju lokam iesniegt tikai minimāli nepieciešamu, nesensitīvu kopsavilkumu; aizsargājamo dokumentāciju nodot tikai identificētām, pilnvarotām personām atbilstoši kompetencei un nepieciešamībai to zināt; noteikt konfidencialitāti, interešu konflikta kontroli, piekļuves auditāciju un tālākas izplatīšanas ierobežojumus; VIRSIS pieļaut atsauci uz aizsargātu dokumentāciju, nevis obligātu pilna satura ievietošanu. Bez šādiem nosacījumiem detalizētas Valsts zemes dienesta drošības dokumentācijas nodošana plašam ārējo dalībnieku lokam nav atbalstāma.
Līdz ar to lūdzam pārskatīt regulējumu projekta 9.–11., 15., 25.–26., 40.–41. un 51.–57. punktā attiecībā ierobežotas pieejamības informācijas izpaušanu. Detalizēti iekšējās arhitektūras, aizsardzības pasākumu, datu plūsmu, savstarpējo atkarību, ievainojamību un atjaunošanas risinājumu apraksti var saturēt ierobežotas pieejamības informāciju. Tās apkopošana vienuviet un nodošana plašam izvērtētāju lokam palielina kritiskās infrastruktūras apdraudējumu. Projekts tieši nenosaka publisku drošības dokumentācijas apspriešanu, tomēr pieļauj tās nodošanu komisijai, citu institūciju pārstāvjiem, ārējiem ekspertiem un industrijas pārstāvjiem, nenosakot pietiekamus piekļuves ierobežojumus. Profesionāla kompetence vai dalība darba grupā pati par sevi nav pamats saņemt visu iestādes drošības informāciju.

-

Ņemot vērā, ka ar noteikumu projektu paredzēts aizstāt Ministru kabineta 2023. gada 4. jūlija noteikumus Nr. 368 "Informācijas sistēmu un to darbībai nepieciešamo informācijas un komunikācijas tehnoloģiju resursu un pakalpojumu attīstības aktivitāšu un likvidēšanas uzraudzības kārtība”, lūdzam izvērtēt, vai jaunajā regulējumā ir nepieciešams paredzēt Datu valsts inspekcijas iesaisti IKT resursu attīstības aktivitātes izvērtēšanā tādā pašā apjomā kā līdz šim.
Spēkā esošo noteikumu 2. pielikumā "Attīstības aktivitātes apraksts" gadījumā, ja attīstāmā informācijas sistēma paredz fizisku personu datu apstrādi, bija paredzēts norādīt personas datu apstrādes nolūku, datu subjektu kategorijas, datu ieguves avotu, datu saņēmējus, informāciju par novērtējumu par ietekmi uz datu aizsardzību, kā arī to, vai informācijas sistēmas izstrādē ir iesaistīts datu aizsardzības speciālists. Vienlaikus praksē ir konstatēts, ka IKT resursa attīstības aktivitātes sākotnējās plānošanas un izvērtēšanas posmā personas datu apstrādes faktiskie un tehniskie risinājumi nereti vēl nav pietiekami konkretizēti, lai Datu valsts inspekcijas iesaistei šajā stadijā būtu būtiska pievienotā vērtība.
Ievērojot minēto, nav nepieciešams šajos noteikumos paredzēt Datu valsts inspekcijai atsevišķu uzdevumu piedalīties IKT resursu attīstības aktivitāšu izvērtēšanā. Personas datu apstrādes atbilstības nodrošināšana ir attiecīgā pārziņa atbildība, savukārt Datu valsts inspekcijas kompetence personas datu aizsardzības jomā izriet no piemērojamajiem tiesību aktiem un nav atkarīga no šāda uzdevuma paredzēšanas konkrētajos noteikumos.
Atbilstoši minētajam lūdzam svītrot noteikumu projekta 40.6. apakšpunktu.

-

Vēršam uzmanību uz to, ka Ministru kabineta 2009. gada 3. februāra noteikumu Nr. 108 "Normatīvo aktu projektu sagatavošanas noteikumi" 115. punkts noteic, ka Ministru kabineta noteikumu projektam, ja nepieciešams, raksta noslēguma jautājumus. Noslēguma jautājumos nosaka pārejas kārtību no pastāvošā tiesiskā regulējuma uz jauno tiesisko regulējumu. Noslēguma jautājumos neietver normas, kas darbojas pastāvīgi.
Vienlaikus vēršam uzmanību uz to, ka Valsts informācijas sistēmu likuma 4. panta otrā daļa noteic, ka valsts informācijas sistēmu vai institūcijas informācijas sistēmu un to darbībai nepieciešamo IKT resursu un pakalpojumu attīstības aktivitāšu un likvidēšanas uzraudzības kārtību, kā arī valsts informācijas sistēmu vai institūcijas informācijas sistēmu vispārējās tehniskās un drošības prasības nosaka Ministru kabinets.
Līdz ar to lūdzam izvērtēt noteikumu projekta 58. punktā paredzētā regulējuma atbilstību Valsts informācijas sistēmu likuma 4. panta otrajā daļā noteiktajam pilnvarojumam Ministru kabinetam un svītrot to vai papildināt anotāciju ar atbilstošu informāciju.
 

-

Lūdzu, izvērtēt nepieciešamību precizēt vai aizstāt noteikumu projekta  1.2., 1.3., 1.4., 1.5. un 1.7. apakšpunktā izmantoto formulējumu "ciktāl iespējams".
Minētais formulējums noteikumu projektā tiek izmantots kā pamatojums atkāpēm no centralizētu koplietošanas risinājumu, platformu, infrastruktūras vai citu valsts līmeņa mehānismu izmantošanas. Vienlaikus nav noteikti objektīvi kritēriji, pēc kuriem būtu vērtējams, vai konkrētā situācijā koplietošanas risinājuma izmantošana ir vai nav iespējama.
Šāda pieeja var radīt atšķirīgu regulējuma interpretāciju un piemērošanu, jo dažādas institūcijas vai uzraudzībā iesaistītās puses vienus un tos pašus apstākļus var vērtēt atšķirīgi. Turklāt nav skaidrs, kādam pamatojumam jābūt sniegtam gadījumos, kad institūcija izvēlas neizmantot valsts līmeņa koplietošanas risinājumus.
Lai nodrošinātu vienveidīgu regulējuma piemērošanu un mazinātu interpretācijas riskus, lūdzam paredzēt skaidrus kritērijus, nosacījumus vai atsauci uz metodiku, kas nosaka gadījumus, kad atkāpe no koplietošanas risinājumu izmantošanas ir pieļaujama.

-

Lūdzam precizēt tehnoloģiskās neitralitātes principa un koplietošanas risinājumu prioritātes principa savstarpējo attiecību un piemērošanas kārtību.
Noteikumu projekta 20. punktā kā viens no pamatprincipiem ir noteikta tehnoloģiskā neitralitāte, savukārt noteikumu projekta 1. pielikuma vairākos punktos pēc būtības tiek noteikta prioritāra centralizētu valsts līmeņa risinājumu, platformu, infrastruktūras, datu apmaiņas mehānismu un citu koplietošanas komponentu izmantošana.
No noteikumu projekta nav viennozīmīgi saprotams, kā institūcijai rīkoties situācijā, kad koplietošanas risinājuma izmantošana pēc formas atbilst noteikumu prasībām, bet alternatīvs risinājums konkrētajā gadījumā objektīvi nodrošina augstāku efektivitāti, zemākas dzīves cikla izmaksas, labāku drošības līmeni vai pilnvērtīgāku funkcionalitāti.
Pašreizējā redakcija var radīt situāciju, kurā tehnoloģiskās neitralitātes princips faktiski zaudē praktisku nozīmi un tiek aizstāts ar obligātu centralizētu risinājumu izmantošanas pieeju.
Lūdzam precizēt minēto principu hierarhiju un piemērošanas kārtību, kā arī noteikt kritērijus, pēc kuriem izvērtējami gadījumi, kad atkāpe no koplietošanas risinājumu izmantošanas ir pieļaujama un pamatota, vienlaikus saglabājot atbilstību valsts digitālās pārvaldes arhitektūras un efektīvas resursu izmantošanas mērķiem.

-

Lūdzam 1.pielikuma 1. punktā (īpaši 1.1. apakšpunktā) diferencēt prasības pēc resursa funkcijas un riskiem. Noteikt, ka API pieejamība nenozīmē pienākumu publiski eksponēt iekšējus resursus un vienota autentifikācija neatceļ katras sistēmas autorizāciju. Iekšēja lietošana pati par sevi nav atbrīvojums no kiberdrošības prasībām, jo pašapkalpošanās, vienotas pārvietošanās un API prasības nevar vienādi piemērot publiskam portālam, iekšējai sistēmai, datubāzei un infrastruktūras komponentei.

-

1. pielikuma 1.4. apakšpunktā ir centralizēta autentifikācija. Lūdzam atsevišķi regulēt šīs piekļuves kategorijas un pieļaut prasībām atbilstošu iestādes centralizētu vai federētu identitātes pārvaldību. Daudzfaktoru autentifikāciju sasaistīt ar piemērojamām normām un piekļuves riskiem, savukārt sistēmu savstarpējai saziņai paredzēt atbilstošu tehnisko identitāšu aizsardzību.
Pirms ārēja identitātes pakalpojuma ieviešanas jāizvērtē savietojamība ar visu iestādes infrastruktūru un darbība šā pakalpojuma vai ārējo sakaru nepieejamības gadījumā.
Projektā nav tieši prasīts viens konkrēts valsts divfaktoru autentifikācijas rīks, tomēr nav skaidrs centralizētas identifikācijas pienākuma tvērums. Nav nodalīta ārējo lietotāju elektroniskā identifikācija no darbinieku, administratoru un tehnisko kontu autentifikācijas.

-

Lūdzam precizēt datu nodošanas tiesisko pamatu, piekļuves ierobežojumus, apstrādes nolūkus un drošības nosacījumus. Mākslīgā intelekta gadījumā nodalīt cilvēka veiktu pārskatīšanu no lēmuma juridiskas pārsūdzēšanas 1. pielikuma 1.2., 1.3., 1.6., 1.7., 1.8. apakšpunktā, kur regulēta datu aprite un piemērošanas robežas. Datu koplietošanas un centralizētas analīzes princips pats par sevi nerada tiesisko pamatu datu nodošanai. Vienots datu avots nedrīkst izslēgt pamatotas rezerves kopijas, replikas un audita ierakstus. Mākslīgā intelekta prasības jāpiemēro atbilstoši faktiskajam izmantošanas veidam.
Lūdzam precizēt 1. pielikuma 1.8. apakšpunkta atsauci uz arhitektūras izstrādes kārtību — tā ietverta projekta III, nevis II nodaļā.

-

Lūdzam 1. pielikuma 2. punktā nošķirt pirmkoda nodošanu iestādei, koplietošanu un publisku izplatīšanu. Publiskošanu pieļaut pēc tiesību, licenču un informācijas aizsardzības pārbaudes. Ierobežojumus pamatot ar konkrēto saturu un riskiem, nevis automātiski attiecināt uz visu kritiskās infrastruktūras pirmkodu. 1. pielikuma 2. punktā nav nodalīta pirmkoda glabāšana aizsargātā repozitorijā no publiskas izplatīšanas. Turklāt 2. pielikuma 4.8. apakšpunkts pieļauj nepublicēšanu, bet šajā punktā attiecīgi nosacījumi nav paredzēti.

-

Lūdzam precizēt Senior Responsible Officer (SRO) lomu, atbildību un pilnvaras, kā arī tās saistību ar citām valsts digitālās pārvaldes ietvaros izmantotajām pārvaldības lomām.
Noteikumu projekta 2. pielikuma 1.4. apakšpunktā paredzēts norādīt SRO kā amatpersonu, kas atbild par attīstības aktivitātes biznesa rezultātu sasniegšanu, tomēr noteikumu pamattekstā nav noteikts šīs lomas saturs, pilnvarojums, atbildība un vieta kopējā pārvaldības modelī. Vienlaikus nav skaidras arī šīs lomas attiecības ar citām valsts pārvaldē izmantotajām lomām, piemēram, pakalpojuma vadītāju, datu īpašnieku, datu pārvaldnieku, procesa īpašnieku, projekta vadītāju vai iestādes vadītāju.
Ņemot vērā, ka VARAM paralēli attīsta pakalpojumu pārvaldības, datu pārvaldības, jomu arhitektūru un IKT investīciju pārvaldības pieejas, nav skaidri saprotams, kā šo pārvaldības modeļu ietvaros noteiktās atbildības savstarpēji saslēdzas un kura loma ir primāri atbildīga par sagaidāmo ieguvumu, pakalpojumu rezultātu, datu kvalitātes un investīciju mērķu sasniegšanu.
Lūdzam nodrošināt vienotu un savstarpēji saskaņotu pārvaldības lomu aprakstu, kā arī izvērtēt nepieciešamību noteikumu projekta pamattekstā definēt SRO, tā attiecības ar pakalpojumu vadītāju, datu pārvaldības lomām un citiem aktivitātes īstenošanā iesaistītajiem atbildīgajiem, lai novērstu atbildību pārklāšanos un atšķirīgu interpretāciju risku.

-

Lūdzam precizēt noteikumu projekta 2. pielikuma 6. sadaļā ietvertā apliecinājuma tvērumu un atbildības robežas.
Apliecinājumā iestādei tiek prasīts apliecināt virkni nākotnes apstākļu, kuru pilnīga kontrole ne vienmēr ir iestādes rīcībā, piemēram, plānoto KPI sasniegšanu, pietiekamas kapacitātes nodrošināšanu visā aktivitātes dzīves ciklā, organizatorisko un tiesisko priekšnosacījumu izveidi aktivitātes noslēgumā u.tml.
Lūdzam izvērtēt, vai apliecinājums nepārsniedz informācijas iesniedzēja faktiski apliecināmo apstākļu loku un nepieciešamības gadījumā precizēt formulējumus, sasaistot tos ar pamatotu plānošanas pieņēmumu esamību.

-

Pašlaik veidnē kā izvērtējamās alternatīvas ir paredzētas:
- nedarīt neko;
- gatavs tirgū pieejams standartprodukts vai atvērtā koda risinājums;
- esošā risinājuma attīstība;
- jauna izstrāde.
Vienlaikus alternatīvu izvērtējumā nav paredzēta atsevišķa iespēja izvērtēt jau citas valsts pārvaldes institūcijas rīcībā esoša risinājuma izmantošanu, pārņemšanu, koplietošanu vai paplašināšanu, lai gan noteikumu projektā kopumā vairākkārt tiek uzsvērti IKT resursu atkalizmantošanas, koplietošanas, konsolidācijas un investīciju dublēšanās novēršanas principi.
Pašreizējā redakcija rada risku, ka institūcijas izvērtē tirgū pieejamus risinājumus un jaunas izstrādes alternatīvas, bet netiek pietiekami analizēta iespēja izmantot valsts pārvaldē jau radītus un ekspluatācijā esošus risinājumus. Tas nav pilnībā saskaņots ar noteikumu projekta deklarētajiem mērķiem attiecībā uz koplietošanas risinājumu prioritāti un publisko investīciju efektīvu izmantošanu.

Lūdzam papildināt alternatīvu izvērtējuma modeli ar atsevišķu alternatīvu: Esoša valsts pārvaldes koplietošanas vai citas institūcijas risinājuma izmantošana, paplašināšana vai atkalizmantošana

Lūdzam 2. pielikuma 1., 2. un 3. sadaļā atsevišķi vērtēt normatīvo atbilstību, drošību, nepārtrauktību, savietojamību un migrācijas riskus. Obligātām aktivitātēm salīdzināt prasībām atbilstošas alternatīvas; “nedarīt neko” izmantot tikai kā salīdzinājuma scenāriju.
Septiņu gadu analīzes periodu nodalīt no komponentes ekspluatācijas laika. Izmaksu tabulā ļaut uzrādīt gan vienreizējas, gan periodiskas drošības, infrastruktūras, nomaiņas un migrācijas izmaksas.
Obligātu kiberdrošības pasākumu nepieciešamība nedrīkst būt atkarīga tikai no pozitīvas finanšu atdeves. Alternatīvu izvērtējumā nepietiek ar arhitektūras atbilstību un izmaksām.

-

Lūdzam 2. pielikuma 4. sadaļā precizēt saņemamās tiesības, trešo personu komponenšu licences, pirmkoda pārskatīšanas neatkarību un drošas izstrādes prasības. Saskaņot publicēšanas izvēles ar 1. pielikumu un precizēt GPL licences skaidrojumu. 
Ekskluzīvas lietošanas tiesības ne vienmēr ietver publiskošanas vai pārlicencēšanas tiesības. Git izmantošana pati par sevi nenodrošina automātisku versiju vai drošības kontroli.

-

Lūdzam 2. pielikuma 5. sadaļā paredzēt sākotnējo un atlikušo risku, atbildīgo, novēršanas termiņu un riska pieņemšanas kārtību. Atsevišķi izvērtēt kritisko funkciju apdraudējumu neatkarīgi no matemātiskā vērtējuma. Pieļaut atsauci uz iestādes aizsargātu risku reģistru, nevis pieprasīt detalizētu ievainojamību un aizsardzības pasākumu izklāstu plaši pieejamā veidlapā.
Projekta īstenošanas riski nav pietiekami nodalīti no ekspluatācijas kiberriskiem. Obligāts papildu pamatojums paredzēts tikai 20 vai 25 punktu vērtējumam, tādēļ reta, bet bīstama scenārija nozīme var tikt nepamatoti samazināta.

-

Lūdzam 2. pielikuma 6. sadaļā noteikt parakstītāju un iekšējās saskaņošanas lomas, nodalot faktus, prognozes un vadības saistības. Kiberdrošības pārvaldnieka atzinums attiecināms uz viņa kompetenci un neaizstāj iestādes vadības, finanšu vai resursa pārziņa atbildību. Vienā apliecinājumā apvienota atbildība par finansējumu, arhitektūru, drošību, tiesisko atbilstību un nākotnes rezultātiem, nenosakot parakstītāju.

-

Vēršam uzmanību uz to, ka saskaņā ar Līguma par Eiropas Savienības darbību 288. panta otro daļu „regulas ir vispārpiemērojamas. Tās uzliek saistības kopumā un ir tieši piemērojamas visās dalībvalstīs.” Regulas ir aizliegts pārņemt nacionālajos tiesību aktos un tās automātiski kļūst par nacionālās tiesību sistēmas sastāvdaļu. Regulu pārņemšanas aizliegums ir noteikts Eiropas Savienības Tiesas spriedumā lietā Nr. 39/72 Komisija pret Itāliju, kur tiesa noteica, ka regula automātiski ir nacionālās tiesiskās sistēmas sastāvdaļa. Tādēļ ir prettiesiski tādi nacionālie regulas normas īstenošanas mehānismi, kas rada šķēršļus regulas tiešam efektam un apdraud vienlaicīgu un vienādu tās piemērošanu Eiropas Savienībā, bet tai pašā laikā ir jānodrošina to tiešā piemērošana katrā dalībvalstī. Tas nozīmē, ka dalībvalstij ir pienākums nodrošināt tādu normatīvo bāzi, lai regulas būtu iespējams tieši piemērot. Tātad, dalībvalsts izstrādā tiesību aktus regulas piemērošanai tikai gadījumos, ja regulā ir tieši paredzēts dalībvalstij kāds konkrēts pienākums, piemēram, jānosaka kompetentā vai atbildīgā iestāde, jāparedz sankcijas vai sods par regulas normu pārkāpumu vai nepildīšanu, jānosaka administratīvā procedūra regulā noteikto pasākumu īstenošanai u.tml. 
Ievērojot minēto, lūdzam pārskatīt noteikumu projektu un izvērtēt anotācijas 5.4. apakšsadaļas 1. tabulā ietverto atsauci uz regulas Nr. 2024/903 3. pantu. Vēršam uzmanību, ka iepriekš minētās regulas 3. pants paredz sadarbspējas novērtējuma veikšanu, savukārt anotācijas 5.4. apakšsadaļas 1. tabulā ar pantu tiek saistīts noteikumu projekta 8.4. apakšpunkts un IV nodaļa, kā arī norādīts, ka projekts nosaka IKT attīstības plānošanas, arhitektūras pārvaldības, informācijas uzskaites un sadarbspējas izvērtēšanas prasības. Līdz ar to lūdzam anotācijā precizēt, kuras konkrētās regulas Nr. 2024/903 normas un to vienības saistītas ar attiecīgajām noteikumu projekta vienībām, kā arī izvērstāk skaidrot to savstarpējo saistību. 
Aicinām arī izvērtēt, vai anotācijā norādīta pareizā noteikumu projekta vienība (8.4. apakšpunkts), ņemot vērā noteikumu projekta 8.5. apakšpunkta saturu, un nepieciešamības gadījumā precizēt anotācijas 5.4. apakšsadaļas 1. tabulu.  Vienlaikus, vēršam uzmanību, ka, piemēram, no noteikumu projekta 1. pielikuma 1.7. apakšpunkta, izriet saistība arī ar citiem Eiropas Savienības tiesību aktiem, līdz ar to lūdzam to attiecīgi atspoguļot anotācijā. 
Tāpat lūdzam arī precizēt anotācijas 5.4. apakšsadaļas 1. tabulā ietverto norādi, ka regula Nr. 2024/903 tiek pārņemta daļēji. Tā kā anotācijā nav identificētas konkrētas regulas Nr. 2024/903 normas un nav skaidrota to saistība ar noteikumu projekta vienībām, nav iespējams viennozīmīgi noteikt, kuras regulas prasības tiek saistītas ar noteikumu projektu, kā arī nav skaidrs, kā tiks nodrošinātas pārējo iepriekš minētās regulas prasību izpilde. Attiecīgi lūdzam anotāciju papildināt ar skaidrojumu. Anotācijas 5. sadaļas aizpildīšanā iesakām ievērot "Vadlīnijas tiesību akta projekta sākotnējās ietekmes novērtēšanai un novērtējuma ziņojuma sagatavošanai Vienotajā tiesību aktu izstrādes un saskaņošanas portālā".





 

-

Lūdzam precizēt projekta 5.1. apakšpunktu, vai par tehnisko resursu ir uzskatāma arī pasūtījumprogrammatūra, jo šobrīd normā par pasūtījumprogrammu nav regulējuma. Lūdzam skaidrot, piemēram anotācijā,  vai par IKT resursu tiks uzskatītas atbalstu funkcijām nepieciešama programmatūra(piemēram grāmatvedības sistēmas, izdruku vadības sistēmas, IT incidentu vadības sistēma, jo pastāv risks grāmatiskai normas tulkošanai

-

Lūdzam papildināt regulējumu ar skaidru strīdu izšķiršanas vai gala lēmuma pieņemšanas mehānismu gadījumiem, kad starp iesaistītajām institūcijām nav vienprātības par aktivitātes īstenošanu, arhitektūras risinājumu vai prioritāti.

-

Lūdzam izvērtēt, vai noteikumu projektā paredzētais pārvaldības modelis pilnā apjomā ir piemērojams institūcijām, kas nav Ministru kabineta padotībā, kā arī tiesu varas un prokuratūras institūcijām, un nepieciešamības gadījumā precizēt to iesaistes un atbildības apjomu.

-

Iesakām noteikumu projektā atsauces uz Eiropas Savienības regulu noformēt atbilstoši Ministru kabineta 2009. gada 3. februāra noteikumu Nr. 108 „Normatīvo aktu projektu sagatavošanas noteikumi” 170.-172. punktam, atsaucē uz Eiropas Savienības tiesību aktu norādot šādu informāciju: institūcija (Komisija, Padome, Eiropas Parlaments), kas izdevusi attiecīgo tiesību aktu; tiesību akta pieņemšanas datums; veids (regula, direktīva, lēmums); numurs un nosaukums atbilstoši tiesību akta nosaukumam latviešu valodā EUR-Lex datu bāzē. 
Tāds formulējums kā "Sadarbspējīgas Eiropas regulējuma" vai "Eiropas Savienības un nacionālajos normatīvajos aktos noteiktajām mākslīgā intelekta pārvaldības prasībām" tiesību normu adresātam nerada viennozīmīgu izpratni par to, kāds konkrēts regulējums ar to ir saprotams. Ja nav iespējams atsaukties uz konkrētiem Eiropas Savienības tiesību aktiem, alternatīvi pieļaujams atsaukties vispārīgi uz tieši piemērojamiem Eiropas Savienības tiesību aktu vai to jomu, papildus anotācijā skaidrojot šādas atsauces izpratni.
 

-

Lūdzam izvērtēt iespēju precizēt noteikumu projekta 16. un 18. punktu, neietverot atsauci uz konkrētiem Ministru kabineta noteikumiem, jo gadījumā, ja tiks izdoti jauni Ministru kabineta noteikumi par Valsts digitālās pārvaldes vadītāju forumu, būs nepieciešams izdarīt grozījumu projekta 16. un 18. punktā. Savukārt anotācijā var ietvert attiecīgu informāciju par noteikumu projekta 16. un 18. punktā paredzēto regulējumu.
 

-

Lūdzam izvērtēt noteiktā procesa samērīgumu un ietekmi uz lēmumu pieņemšanas ātrumu. Nav paredzēta paātrināta procedūra steidzamām vai ārēju normatīvu prasību izraisītām aktivitātēm, kas var radīt būtisku administratīvo slogu un kavēt nepieciešamo attīstības aktivitāšu uzsākšanu.

-

Lūdzam precizēt kritērijus, pēc kuriem tiek nošķirtas uzturēšanas darbības no pilnveidošanas aktivitātēm.
Lai gan noteikumu projekta 22. punktā ir sniegts uzturēšanas darbības apraksts, vairāki tajā izmantotie kritēriji, piemēram, "būtiska jauna funkcionalitāte", "arhitektūras maiņa" un "riska profila maiņa", ir interpretējami un var tikt piemēroti atšķirīgi dažādās institūcijās.
Ņemot vērā, ka no aktivitātes klasifikācijas ir atkarīgs turpmākais izvērtēšanas, saskaņošanas un uzraudzības process, lūdzam noteikt viennozīmīgus kritērijus vai paredzēt metodiskos nosacījumus vienotai klasifikācijas pieejai.

-

Ievērojot, ka noteikumu projekts skar Datu valsts inspekcijas kompetenci, lūdzam atbilstoši Ministru kabineta 2021. gada 7. septembra noteikumu Nr. 606 "Ministru kabineta kārtības rullis" 52.2.6.¹ apakšpunktā noteiktajam saskaņot projektu ar Datu valsts inspekciju.

-

Lūdzam precizēt noteikumu projekta 59. punktā minētos vārdus "līdz šo noteikumu spēkā stāšanās dienai", norādot konkrētu termiņu.
Papildus lūdzam noteikumu projekta 59. punktā norādīt, kas ir tajā minētā spēkā esošā kārtība.
 

-