23-TA-3098
Par centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem
Izdoti saskaņā ar Nacionālās Kiberdrošības likuma 31. pantu
I.Vispārīgie jautājumi
1.
Noteikumi nosaka:
1.1.
prasības centralizētai informācijas un komunikācijas tehnoloģiju infrastruktūras un interneta aizsardzībai pret pakalpojumatteices kiberuzbrukumiem;
1.2.
kritērijus un kārtību, atbilstoši kuriem informācijas un komunikācijas tehnoloģiju infrastruktūras un interneta resursi tiek iekļauti pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu sarakstā;
1.3.
pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu saraksta apstiprināšanas kārtību.
2.
Centralizētu Aizsardzību pret pakalpojumatteices uzbrukumiem nodrošina Nacionālais kiberdrošības centrs.
II.Prasības centralizētai informācijas un komunikācijas tehnoloģiju infrastruktūras un interneta aizsardzībai pret pakalpojumatteices kiberuzbrukumiem
3.
Nodrošinot informācijas un komunikācijas tehnoloģiju infrastruktūras un interneta centralizētu aizsardzību pret pakalpojumatteices kiberuzbrukumiem tiek ievērotas šādas prasības:
3.1.
pakalpojuma sniedzējs, kas šo noteikumu izpratnē ir Nacionālā kiberdrošības centra noteikts pakalpojuma izpildītājs, nodrošina specializētos tehniskos aizsardzības risinājumus pret pakalpojumatteices uzbrukumiem;
3.2.
pakalpojuma sniedzējs nodrošina aizsardzību pret apjoma pakalpojumatteices uzbrukumiem;
3.3.
pakalpojuma sniedzējs nodrošina aizsardzību pret pakalpojumatteices uzbrukumiem starpinstitūciju komisijas apstiprinātiem resursiem;
3.4.
pakalpojuma sniedzējs nekavējoties informē pakalpojuma saņēmēju par pakalpojumatteices kiberuzbrukumiem, kas ir veikti pret pakalpojuma saņēmēja informācijas tehnoloģiju resursiem.
III.Pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu izvērtēšanas un apstiprināšanas kārtība
4.
Centralizētai aizsardzībai pret pakalpojumatteices kiberuzbrukumiem var pieteikties iestādes un uzņēmumi, kuri atbilst vismaz vienam no šādiem kritērijiem:
4.1.
valsts tiešās un pastarpinātās pārvaldes iestādes, atvasinātas publiskas personas un citas valsts institūcijas;
4.2.
informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieki un tiesiskie valdītāji;
4.3.
būtisko pakalpojumu un svarīgo pakalpojumu sniedzēji, kuri ir valsts kapitālsabiedrības;
4.4.
pārvaldītā resursa neplānots pieejamības pārtraukums, kas radies pakalpojumatteices kiberuzbrukuma rezultātā, var būtiski ietekmēt sabiedrības uzticību Latvijas valsts pārvaldei un likumīgajai varai vai būtiski ietekmēt drošības situāciju valstī, vai negatīvi ietekmēt valsts starptautisko reputāciju.
5.
Pieteikums centralizētai aizsardzībai pret pakalpojumatteices kiberuzbrukumiem (turpmāk - pieteikums) tiek iesniegts Nacionālajam kiberdrošības centram, norādot šādu informāciju un pievienojot šādu dokumentāciju:
5.1.
aizsargājamais resurss (ietverot interneta protokola (IP) adrešu diapazonus);
5.2.
pamatojums centralizētas aizsardzības nepieciešamībai;
5.3.
resursa izvietošanas vieta;
5.4.
resursa kiberdrošības pārvaldnieks (vārds, uzvārds, kontaktinformācija);
5.5.
resursa turētājs (vārds, uzvārds, kontaktinformācija);
5.6.
atbilstība Nacionālās kiberdrošības likumam un minimālajām kiberdrošības prasībām.
5.7.
Nacionālās kiberdrošības likumā noteiktā dokumentācija, iekļaujot informāciju par atbilstību minimālajām kiberdrošības prasībām, kā arī kiberrisku pārvaldības un informācijas un komunikācijas tehnoloģiju darbības nepārtrauktības plānu.
6.
Pret pakalpojumatteices kiberuzbrukumiem aizsargājamos resursus izvērtē un apstiprina starpinstitūciju komisija, kurā piedalās pārstāvji no:
6.1.
Nacionālā kiberdrošības centra;
6.2.
Satversmes aizsardzības biroja;
6.3.
Militārās izlūkošanas un drošības dienesta;
6.4.
Valsts drošības dienesta.
7.
Nacionālais kiberdrošības centrs koordinē starpinstitūciju komisijas darbību un nodrošina komisijas sekretariāta darbu.
8.
Starpinstitūciju komisija var pieprasīt papildu informāciju no pieteikuma iesniedzēja, ja iesniegtā informācija nav pietiekama lēmuma pieņemšanai.
9.
Šo noteikumu 6.2.-6.4. apakšpunktā minētie pārstāvji savas kompetences ietvaros sagatavo atzinumu par saņemto pieteikumu un iesniedz to starpinstitūciju komisijai. Nacionālais kiberdrošības centrs lemj par pieteikto resursu pievienošanu centralizētai aizsardzībai pret pakalpojumatteices kiberuzbrukumiem, pamatojoties uz vienbalsīgu starpinstitūciju komisijas vērtējumu.
10.
Nacionālais kiberdrošības centrs paziņo pieteikuma iesniedzējam lēmumu (pozitīvu vai negatīvu) un pozitīva lēmuma gadījumā pakalpojuma sniedzējs slēdz līgumu par centralizētas aizsardzības pret pakalpojumatteices kiberuzbrukumiem nodrošināšanu. Pēc līguma noslēgšanas apstiprinātajiem resursiem tiek nodrošināta centralizēta aizsardzība pret pakalpojumatteices kiberuzbrukumiem.
11.
Nacionālais kiberdrošības centrs var lemt par resursu izslēgšanu no pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu saraksta, pamatojoties uz vienbalsīgu starpinstitūciju komisijas vērtējumu.
12.
Pieteikuma iesniedzējs Nacionālā kiberdrošības centra lēmumu var apstrīdēt Nacionālās kiberdrošības likuma noteiktajā kārtībā
IV.Pakalpojumatteices kiberuzbrukumu aizsardzībai pieslēgto resursu pārvaldnieku tiesības un pienākumi
13.
Pakalpojuma saņēmēji nodrošina, ka:
13.1.
informācijas tehnoloģiju sistēmas vai infrastruktūras neaktivitātes gadījumā, ja neaktivitātes laiks pārsniedz vienu gadu, informācija par šo resursu neaktivitāti tiek nodota Nacionālajam kiberdrošības centram, kas organizē starpinstitūciju komisijas sanāksmi, lai lemtu par resursa izslēgšanu no pret pakalpojumatteices kiberuzbrukumiem aizsargājamo resursu saraksta.
13.2.
centralizētajai aizsardzībai pret pakalpojumatteices uzbrukumiem pieslēgtās informācijas tehnoloģiju sistēmas un infrastruktūra atbilst Nacionālās kiberdrošības likuma prasībām un minimālajām kiberdrošības prasībām.
Ministru prezidents V. Uzvārds
Ministrs V. Uzvārds