Atzinums

Vēršam uzmanību, ka noteikumos noteikto prasību realizācijai būs nepieciešami nozīmīgi papildus finanšu un cilvēku resursi, un bez papildus resursiem, prasību īstenošana tuvākajā laikā ir ļoti apgrūtināta.
Attiecīgi lūdzam rast iespēju apzināt un apkopot visu valsts pārvaldes iestāžu finanšu un cilvēkresursu vajadzības noteikumos noteikto prasību īstenošanai un centralizēti virzīt jautājumu par nepieciešamo finansējumu noteikumos noteikto prasību īstenošanai.
 

-

Lūdzam precizēt noteikumu projekta 25. punktu, attiecinot tajā noteiktās prasības ne tikai uz gadījumiem, kad subjekts slēdz ārpakalpojuma līgumu, bet arī uz gadījumiem, kad informācijas sistēma tiek izvietota citas publisko tiesību juridiskās personas pārvaldītā datu centrā, pamatojoties uz normatīvajos aktos noteikto kompetenču sadalījumu, starpiestāžu vienošanos, resora iekšējās pārvaldības modeli vai citu tiesisku pamatu. Pretējā gadījumā Iekšlietu ministrijas iestāžu starpā nedarbosies noteiktā norma, jo viena resora ietvaros iestādes izmanto citus Valsts pārvaldes iekārtas likumā noteiktos sadarbību un saistību nostiprinošus dokumentus.

Noteikumu projekta anotācijā pamatoti norādīts, ka datu centra operatora statuss nav atkarīgs no datu centra izmantošanas tiesiskā pamata un ka gadījumā, ja subjekta informācijas sistēma tiek izvietota citas personas pārvaldītā datu centrā, subjektam un datu centra operatoram jānosaka atbildību sadalījums atbilstoši katras puses faktiskajai kontroles zonai, to nostiprinot līgumā, nevis starpiestāžu vienošanās dokumentā, iekšējā pārvaldības dokumentā vai citā pusēm saistošā dokumentā.
Attiecīgi, ievērojot anotācijas nesaistošo dabu, lūdzam minēto principu nostiprināt arī noteikumu pamattekstā, lai nerastos situācija, kurā prasība par pušu pienākumu un atbildības sadalījuma dokumentēšanu nepārprotami attiecas tikai uz ārpakalpojuma līgumiem.

25. Ja subjekta informācijas sistēma vai tās daļa tiek izvietota datu centrā, kura operators nav pats subjekts, subjekts un datu centra operators līgumā, starpiestāžu vienošanās dokumentā, iekšējā pārvaldības dokumentā vai citā abām pusēm saistošā dokumentā nosaka pušu pienākumu un atbildības sadalījumu atbilstoši katras puses faktiskajai kontroles zonai. Minētajā dokumentā, ievērojot normatīvajos aktos par minimālajām kiberdrošības prasībām noteiktās prasības, paredz vismaz, ka:
25.1. datu centra operators ievēro tam šajos noteikumos noteiktos pienākumus;
25.2. datu centra atrašanās vieta un subjekta datu apstrādes vieta atbilst šo noteikumu 5. punktā un, ja attiecināms, 2.2. un 2.3. apakšnodaļā noteiktajām prasībām;
25.3. ir noteikts pušu pienākumu un atbildības sadalījums attiecībā uz informācijas sistēmas pieejamības, darbības nepārtrauktības, incidentu pārvaldības, drošības uzraudzības, telemetrijas datu, rezerves kopēšanas un atbilstības pierādījumu nodrošināšanu.

Vēršam uzmanību, ka nekur projektā nav noteikts minimālais prasību apjoms, kuram šādā līgumā vai vienošanās saturā starp datu centru operatoru un klientu ir jābūt obligāti iekļautam, piemēram, pieejamības līmenim, incidentu prioritātēm, reakcijas laikam, atjaunošanas laikam, plānotajiem pārtraukumiem, eskalācijai, informēšanas termiņiem, RTO/RPO atbildību robežām. (RTO (Recovery Time Objective) and RPO (Recovery Point Objective) are core metrics in disaster recovery and business continuity. RTO is how long your systems can stay offline during an outage, while RPO is how much data loss you can tolerate, measured in time from your last backup.)
Minimālo prasību un rīcības kompetenču robežas noteikšana ir būtiska, lai gadījumos, kad tiek konstatēts incidents būtu skaidri nosakāma atbildības robeža, īpaši, ja viena no pusēm vai abas ir valsts pārvaldes iestādes.

-