Atzinums

Aizsardzības ministrija un CERT.LV secina, ka, ņemot vērā VARAM deleģēto tvērumu, informatīvā ziņojuma pielikumu ietvertā informācija nesniedz pietiekamu pamatu visaptverošam situācijas izvērtējumam.

Ņemot vērā zemāk minēto uzskaitīto regulējumu un Digitālās transformācijas pamatnostādnes 2021.–2027. gadam, priekšlikuma centrālajai idejai vajadzētu būt nevis jaunu VARAM kontroles vai drošības funkciju izveidei, bet esošā IKT pārvaldības regulējuma sakārtošanai, vienkāršošanai un kompetenču skaidrai nodalīšanai. Īpaši svarīgi ir nepieļaut paralēlu VARAM, Nacionālā kiberdrošības centra un Satversmes aizsardzības biroja drošības izvērtējumu veidošanos.

Uzskaitītais regulējums var būt papildināms un pilnveidojams, neradot jaunas atbildības, funkcijas un papildu birokrātiju:
1. MK rīkojums 490 "Par Digitālās transformācijas pamatnostādnēm 2021- 2027. gadam";
2. Valsts informācijas sistēmu likums;
3. MK not. 89 “Valsts informācijas resursu, sistēmu un sadarbspējas informācijas sistēmas noteikumi”;
4. MK not. 368 “Informācijas sistēmu un to darbībai nepieciešamo IKT resursu un pakalpojumu attīstības aktivitāšu un likvidēšanas uzraudzības kārtība”;
5. MK not. 367 “Informācijas sistēmu vispārējās tehniskās prasības”;
6. MK not. 374 “Valsts informācijas sistēmu savietotāja noteikumi”;
7.  Fizisko personu elektroniskās identifikācijas likums.

Vienlaikus izvērtēt un novērst tādu prasību atkārtotu pārbaudi, kuru izpildi kompetentās uzraudzības iestādes jau vērtē saskaņā ar MK not. 397. IKT pārvaldības regulējumos skaidri nodalot arhitektūras un attīstības pārvaldības prasības no kiberdrošības pārvaldības, izpildes un uzraudzības prasībām.
 

VARAM, noslēdzot Digitālās transformācijas pamatnostādņu 2021.–2027. gadam īstenošanu, izstrādāt vienotu un atvērtu valsts pārvaldes informācijas sistēmu arhitektūras ietvaru. Tajā konsolidēt arhitektūras principus un vadlīnijas, noteikt sistēmu dzīves cikla posmus, atbildību, uzturēšanas un pārskatīšanas kārtību, kā arī nodrošināt standartizētas saskarnes, sadarbspēju, modularitāti, tehnoloģisko neitralitāti un esošo koplietošanas risinājumu atkārtotu izmantošanu. Jaunu risinājumu izstrādi paredzēt tikai tad, ja nepieciešamo funkcionalitāti nav iespējams nodrošināt, izmantojot vai pilnveidojot jau pieejamas valsts platformas, pakalpojumus un komponentes.

Centralizētā izvērtēšana īstenojama samērīgā apjomā, izvērtējot prioritātes, pamatojumu un ieguvumus, prezentējot stratēģisko un risinājuma piegādes vērtību.

Paredzētā centralizētā “lietderības izvērtēšana” rada risku, ka Valsts IKT vadības birojs vai Valsts digitālo investīciju padome pārņems nozares iestādes kompetenci noteikt, kāds IKT risinājums nepieciešams tās funkciju izpildei, nevis konsultēs risinājumu izvēlē.

Atbildība par IKT attīstības aktivitātes nepieciešamības un lietderības pamatošanu, finansējuma efektīvu izmantošanu un plānoto rezultātu sasniegšanu saglabājama institūcijai, kuras funkciju un uzdevumu izpildei attiecīgā aktivitāte tiek īstenota. Šīs kompetences nodošana citai institūcijai mazinātu atbildības skaidrību un ierobežotu institūcijas spēju patstāvīgi plānot savu darbības un tehnoloģisko attīstību.
 

-

Pašlaik jau pastāv MK not. 367 par vispārējām tehniskajām prasībām un MK not. 368 par attīstības aktivitāšu uzraudzību. MK not. 368 jau paredz aktivitāšu reģistrēšanu, pieteikumu, aprakstu, izmaiņu pieprasījumu un noslēguma paziņojumu

Nacionālais kiberdrošības likums jau nosaka kiberdrošības prasību uzraudzības, risku pārvaldības, dokumentu pārbaudes, drošības skenēšanas un atbilstības audita kārtību. Tādēļ  kompetence kiberdrošības jomā nosakāma tā, lai tā nedublētu Nacionālā kiberdrošības centra un citu kompetento  uzraudzības iestāžu funkcijas.

-

Nozaru arhitektūru izstrāde līdz 2027. gada 1. janvārim var būt priekšlaicīga, ja valsts kopējais atvērtās arhitektūras ietvars, kritēriji un metodika vēl nav apstiprināti.

-

Projekts faktiski iepriekš nosaka konkrētu centralizētu risinājumu pirms vienotas arhitektūras, alternatīvu un tirgus izvērtējuma pabeigšanas. Vienota platforma var samazināt dublēšanos, bet var arī radīt tehnoloģisko monolītu un piegādātāja atkarību.

-

Projekts tiek plānots sākt 2026. gada 1. septembrī, bet pastāvīgā procesa priekšlikumi jāiesniedz jau līdz 2026. gada 1. oktobrim. Viena mēneša periods var būt nepietiekams pilotprojekta rezultātu objektīvai novērtēšanai.

-

Panelis var veicināt caurspīdību, pārskatot iniciatīvas pamatojumu un prioritāti, bet tas nedrīkst kļūt par paralēlu projektu vadības sistēmu vai paredzēt sensitīvas informācijas nekontrolētu centralizēšanu.

-

Prasība finansēt tikai reģistrētas aktivitātes ir atbalstāma, bet absolūts finansēšanas aizliegums var radīt nesamērīgas sekas ārkārtas, kiberdrošības incidentu, nelielu izmaiņu vai operatīvas darbības nepārtrauktības gadījumos.

-