Nacionālās kiberdrošības likums

Nacionālās kiberdrošības likums Uzmanību! Jūs lietojat neatbilstošu interneta pārlūkprogrammu. Lai varētu lietot visas Likumi.lv piedāvātās iespējas, piedāvājam BEZ MAKSAS ielādēt jaunāku pārlūkprogrammas versiju. Iesakām izmēģināt arī vietnes MOBILO VERSIJU - m.likumi.lv (piemērota arī mazāk jaudīgiem datoriem). nerādīt turpmāk šo paziņojumu Apstiprināt Paldies par viedokli!   Rādīt vēlāk LATVIJAS REPUBLIKAS TIESĪBU AKTI veidi tēmas visvairāk skatītie jaunākie LV  EN uz sākumu meklēt Izvērstā meklēšana Noklusējuma vērtības Izvērstā meklēšana Kā meklēt? Meklēt nosaukumā meklēt locījumos meklēt frāzi Meklēt tekstā meklēt locījumos meklēt frāzi Izdevējs Veids nemeklēt grozījumos Pieņemts Stājas spēkā Dokumenta Nr. līdz līdz Publicēts LV Zaudējis spēku Redakcija uz līdz līdz Statuss: spēkā esošs vēl nav spēkā zaudējis spēku meklēt notīrīt Attēlotā redakcija Saeima ir pieņēmusi un Valsts prezidents izsludina šādu likumu: Nacionālās kiberdrošības likums I nodaļa Vispārīgie noteikumi 1. pants. Likumā lietotie termini Likumā ir lietoti šādi termini: 1) augstākā līmeņa domēnu vārdu reģistra uzturētājs — institūcija, kam deleģēts konkrēts augstākā līmeņa domēns un kas atbild par šā augstākā līmeņa domēna pārvaldību, tai skaitā veic domēnu vārdu reģistrāciju šajā augstākā līmeņa domēnā un nodrošina augstākā līmeņa domēna tehnisko darbību, kā arī tā vārdu serveru darbību, datubāzu uzturēšanu un augstākā līmeņa domēna zonas datņu sadalīšanu starp vārdu serveriem neatkarīgi no tā, vai kādu no minētajām darbībām veic pati institūcija, izņemot situācijas, kad tā augstākā līmeņa domēnu vārdus izmanto tikai savām vajadzībām, vai veic ārpakalpojuma sniedzējs; 2) datu centrs — telpa vai telpu komplekss, kas paredzēts informācijas tehnoloģiju un tīkla iekārtu centralizētai izvietošanai, savstarpējai savienošanai un darbībai un kas nodrošina datu uzglabāšanas, apstrādes un pārsūtīšanas (transportēšanas) pakalpojumus, kā arī visas elektroenerģijas sadalei un klimata kontrolei nepieciešamās iekārtas un infrastruktūras; 3) domēnu vārdu reģistrācijas pakalpojumu sniedzējs — reģistratūra vai pilnvarotā persona, kas darbojas reģistratūras vārdā, piemēram, privātuma vai pilnvarotās reģistrācijas pakalpojumu sniedzējs vai tālākpārdevējs; 4) domēnu vārdu sistēma — hierarhiska, sadalīta vārdu sistēma, kas nodrošina iespēju identificēt interneta pakalpojumus un resursus, ļaujot galalietotāju ierīcēm izmantot interneta maršrutēšanas un savienojumu pakalpojumus, lai piekļūtu šiem pakalpojumiem un resursiem; 5) gandrīz noticis kiberincidents — notikums, kurš būtu varējis apdraudēt apstrādātus datus vai tīklu un informācijas sistēmu piedāvāto vai ar tīklu un informācijas sistēmu starpniecību pieejamo pakalpojumu pieejamību, autentiskumu, integritāti vai konfidencialitāti, bet kura pilnīga īstenošanās tika sekmīgi novērsta vai kurš neīstenojās; 6) ievainojamība — informācijas un komunikācijas tehnoloģiju vai to pakalpojumu vājums, uzņēmība pret tehniskām problēmām vai nepilnība, kas var tikt izmantota kiberapdraudējumam; 7) informācijas un komunikācijas tehnoloģijas — tehnoloģijas, kuras tām paredzēto uzdevumu izpildei ar tehnisko līdzekļu palīdzību veic informācijas elektronisko apstrādi, tai skaitā izveidošanu, izmainīšanu, dzēšanu, glabāšanu, attēlošanu, pārsūtīšanu vai pārraidīšanu (turpmāk — elektroniskā apstrāde), un nodrošina tehnoloģijas izmantotāju savstarpējo komunikāciju; 8) interneta plūsmu apmaiņas punkts — tīkla infrastruktūra, kas ļauj nodrošināt vairāk nekā divu neatkarīgu tīklu (autonomu sistēmu) starpsavienojumu galvenokārt nolūkā atvieglot interneta datu plūsmu apmaiņu, nodrošina starpsavienojumu tikai autonomām sistēmām, nepieprasa, lai interneta datu plūsma starp jebkurām divām iesaistītām sistēmām izietu cauri jebkurai trešai autonomai sistēmai, un nedz maina, nedz arī citādi ietekmē šādu datu plūsmu; 9) kiberapdraudējums — jebkādi iespējami apstākļi, notikums vai darbība, kas atbilst Eiropas Parlamenta un Padomes 2019. gada 17. aprīļa regulas (ES) 2019/881 par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju, un ar ko atceļ regulu (ES) Nr. 526/2013 (Kiberdrošības akts) (turpmāk — regula 2019/881) 2. panta 8. punktā noteiktajai definīcijai; 10) kiberdrošība — darbības, kas atbilst regulas 2019/881 2. panta 1. punktā noteiktajai definīcijai; 11) kiberdrošības incidents (turpmāk — kiberincidents) — notikums, kas apdraud apstrādātus datus vai tādu pakalpojumu pieejamību, autentiskumu, integritāti vai konfidencialitāti, kurus piedāvā tīklu un informācijas sistēmas vai kuri pieejami ar tīklu un informācijas sistēmu starpniecību; 12) kiberhigiēna — ikdienas prakšu un paradumu kopums, kura mērķis ir mazināt kiberapdraudējumus, nodrošināt datu aizsardzību un saglabāt informācijas un komunikācijas tehnoloģiju resursu pieejamību, integritāti un konfidencialitāti; 13) kiberincidenta risināšana — darbību un procedūru kopums, kura mērķis ir novērst, atklāt, analizēt un ierobežot kiberincidentu vai reaģēt uz kiberincidentu un to pārvarēt; 14) kiberrisks — kiberincidenta izraisītu zaudējumu vai pakalpojumu traucējumu iespējamība, ko izsaka kā šādu zaudējumu vai traucējumu ietekmes un minētā incidenta varbūtības apvienojumu; 15) kiberuzbrukums — aktīva uzbrucēja rīcība, kuras mērķis ir ietekmēt datu un informācijas un komunikācijas tehnoloģiju pakalpojumu konfidencialitāti, integritāti vai pieejamību; 16) liels saimnieciskās darbības veicējs — juridiskā vai fiziskā persona vai šādu personu apvienība, kas veic saimniecisko darbību Latvijas Republikā un atbilst vismaz vienai no šādām pazīmēm: a) saimnieciskās darbības veicējs nodarbina vismaz 250 nodarbinātos, b) saimnieciskās darbības veicēja pēdējā finanšu gada kopējais neto apgrozījums pārsniedz 50 miljonus euro vai gada bilances kopsumma pārsniedz 43 miljonus euro; 17) nacionālā kiberdrošības stratēģija — stratēģiskās plānošanas dokuments, kas nosaka kiberdrošības politikas veidošanas pamatprincipus, mērķi un stratēģiskās prioritātes; 18) nozīmīgs kiberapdraudējums — kiberapdraudējums, kas, ņemot vērā tā tehniskās pamatīpašības, var nopietni ietekmēt kādas juridiskās vai fiziskās personas tīklu un informācijas sistēmas vai šīs personas sniegto pakalpojumu saņēmējus, radot ievērojamu materiālu vai nemateriālu kaitējumu; 19) nozīmīgs kiberincidents — pārrobežu kiberincidents vai tāds kiberincidents, kam ir ietekme uz sniegtā pakalpojuma nepārtrauktību vai sabiedrības interesēm un kas atbilst Ministru kabineta noteiktajiem kritērijiem; 20) pakalpojumatteices kiberuzbrukums — uzbrukums, kas tiek izdarīts pret pakalpojuma sniedzēja infrastruktūru nolūkā negatīvi ietekmēt pakalpojuma pieejamību; 21) pārrobežu kiberincidents — incidents, kas izraisa traucējumus tādā līmenī, kurš pārsniedz dalībvalsts spēju uz to reaģēt, vai kam ir būtiska ietekme uz vismaz divām dalībvalstīm; 22) tīklu un informācijas sistēma: a) elektronisko sakaru tīkls, b) jebkura ierīce vai tāda savstarpēji savienotu vai saistītu ierīču grupa, no kurām viena vai vairākas ierīces atbilstoši programmai veic digitālu datu automātisku apstrādi, c) digitāli dati, ko šā punkta "a" un "b" apakšpunktā minētie elementi glabā, apstrādā, iegūst vai sūta to darbības, izmantošanas, aizsardzības un uzturēšanas nolūkā; 23) tīklu un informācijas sistēmu drošība — tīklu un informācijas sistēmu spēja noteiktā uzticamības līmenī pretoties visiem notikumiem, kas var apdraudēt elektroniski apstrādājamo datu konfidencialitāti, integritāti un pieejamību vai minēto tīklu un informācijas sistēmu piedāvātos vai ar to starpniecību pieejamos pakalpojumus; 24) uzticamības pakalpojums — elektronisks pakalpojums Eiropas Parlamenta un Padomes 2014. gada 23. jūlija regulas (ES) Nr. 910/2014 par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū un ar ko atceļ direktīvu 1999/93/EK 3. panta 16. punkta izpratnē; 25) vidējs saimnieciskās darbības veicējs — juridiskā vai fiziskā persona vai šādu personu apvienība, kas veic saimniecisko darbību Latvijas Republikā un atbilst visām šādām pazīmēm: a) saimnieciskās darbības veicējs nodarbina līdz 249 nodarbinātajiem; b) saimnieciskās darbības veicēja pēdējā finanšu gada kopējais neto apgrozījums ir vismaz 10 miljoni euro, bet nepārsniedz 50 miljonus euro vai gada bilances kopsumma ir vismaz 10 miljoni euro, bet nepārsniedz 43 miljonus euro; 26) vienotais valsts interneta plūsmu apmaiņas punkts — pastāvīgs fiziskās infrastruktūras un pakalpojumu kopums, kas tiek izveidots un uzturēts, lai nodrošinātu vienotu valsts interneta plūsmu apmaiņu. 2 (Ar grozījumiem, kas izdarīti ar 04.06.2026. likumu, kas stājas spēkā 18.06.2026.) 2. pants. Likuma mērķis Likuma mērķis ir: 1) uzlabot informācijas un komunikācijas tehnoloģiju drošību, tai skaitā nosakot prasības būtisko pakalpojumu un svarīgo pakalpojumu sniegšanai un saņemšanai, kā arī informācijas un komunikācijas tehnoloģiju darbībai; 2) noteikt kiberdrošības nodrošināšanas kārtību, paredzot atbildības sadalījumu un Nacionālā kiberdrošības centra kompetenci, sadarbības ietvarus un kiberdrošības veicināšanas uzdevumus; 3) veicināt kiberdrošības pasākumu īstenošanu tā, lai varētu laikus prognozēt un novērst, kā arī pārvarēt kiberapdraudējumu un likvidēt tā sekas, pēc iespējas nodrošinot pakalpojumu konfidencialitātes, integritātes un pieejamības nepārtrauktību. 3 3. pants. Likuma darbības joma (1) Likums attiecas uz: 1) būtisko pakalpojumu sniedzējiem, svarīgo pakalpojumu sniedzējiem un informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem (turpmāk visi kopā — subjekti); 2) tiešās un pastarpinātās pārvaldes iestādēm, atvasinātām publiskajām personām un citām valsts institūcijām (turpmāk visas kopā — valsts un pašvaldību institūcijas), izņemot valsts drošības iestādes; 3) privāto tiesību juridiskajām personām; 4) šajā likumā noteiktajos gadījumos — fiziskajām personām, kas piedalās koordinētas ievainojamību atklāšanas procesā. (2) Likums neattiecas uz elektronisko sakaru tīklos pārraidāmās informācijas saturu, tostarp uz informācijas sabiedrības pakalpojumu saturu un audiovizuālajiem darbiem, ja tie netiek izmantoti kā kiberincidentu sastāvdaļa. (3) Likums attiecas uz tām finanšu vienībām Eiropas Parlamenta un Padomes 2022. gada 14. decembra regulas (ES)  2022/2554 par finanšu nozares digitālās darbības noturību un ar ko groza regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) Nr. 2016/1011 (turpmāk — regula 2022/2554) 2. panta 2. punkta izpratnē, kuras atbilstoši šā likuma 20. pantam ir būtisko pakalpojumu sniedzēji, ciktāl regula 2022/2554 vai citi normatīvie akti nenosaka citas prasības jautājumos par finanšu vienību kiberdrošības prasībām, kiberapdraudējumu un risku pārvaldību (tostarp trešo pušu pakalpojumu sniedzēju risku pārvaldību), darbības noturību un nepārtrauktību, atbildīgo par kiberdrošības pārvaldības noteikšanu, testēšanu, rīcību kiberincidenta gadījumā, incidentu ziņošanu un subjektu uzraudzību. (4) Ja konkrēto nozari regulējošie Eiropas Savienības tiesību akti paredz būtisko pakalpojumu vai svarīgo pakalpojumu sniedzējiem pienākumu veikt kiberdrošības risku pārvaldības pasākumus vai ziņot par kiberincidentiem un ja šādas prasības ietekmes ziņā ir vismaz līdzvērtīgas šajā likumā noteiktajiem pienākumiem, attiecīgos šā likuma nosacījumus, tostarp par subjektu uzraudzību, šiem subjektiem nepiemēro. Ja konkrēto nozari regulējošie Eiropas Savienības tiesību akti neattiecas uz visiem būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem konkrētajā nozarē, attiecīgās šā likuma prasības turpina piemērot būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem, uz kuriem neattiecas minētie Eiropas Savienības tiesību akti. (5) Šā panta ceturtajā daļā minētās prasības uzskata par ietekmes ziņā līdzvērtīgām šajā likumā noteiktajiem pasākumiem, ja tās atbilst vismaz vienai no šādām pazīmēm: 1) kiberdrošības risku pārvaldības pasākumi ietekmes ziņā ir vismaz līdzvērtīgi šā likuma 26., 27. un 28. pantā noteiktajām prasībām; 2) konkrēto nozari regulējošais Eiropas Savienības tiesību akts paredz šā likuma 9. pantā noteiktajām kiberincidentu novēršanas institūcijām, šā likuma 13. pantā noteiktajām kompetentajām institūcijām un šā likuma 4. panta pirmajā daļā noteiktajai nacionālajai kompetentajai institūcijai tūlītēju un attiecīgā gadījumā automātisku un tiešu piekļuvi paziņojumiem par kiberincidentiem, un prasības ziņot par kiberincidentiem ietekmes ziņā ir vismaz līdzvērtīgas šā likuma 34. pantā noteiktajām prasībām. (6) Likums neattiecas uz tādiem būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem, kuri atbilst visiem šādiem nosacījumiem: 1) pakalpojumu sniedzējs ir reģistrēts Eiropas Savienības dalībvalstī; 2) pakalpojumu sniedzējs Latvijas Republikā sniedz šā likuma 20. panta 1., 2. punktā un 8. punkta "s", "t", "u" un "v" apakšpunktā minētos būtiskos pakalpojumus vai šā likuma 21. panta pirmās daļas 2. punkta "l", "m" un "n" apakšpunktā minētos svarīgos pakalpojumus; 3) pakalpojumu sniedzējs Latvijas Republikā nesniedz šīs daļas 2. punktā neminētos būtiskos pakalpojumus vai svarīgos pakalpojumus; 4) pakalpojumu sniedzējs nav informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs; 5) pakalpojumu sniedzēja galvenā reģistrācijas vieta Eiropas Savienībā nav Latvijas Republika. (7) Likums neattiecas uz tādiem būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem, kuri nav reģistrēti Eiropas Savienībā un kuru pārstāvja galvenā reģistrācijas vieta Eiropas Savienībā nav Latvijas Republika. (8) Šā likuma izpratnē par galveno reģistrācijas vietu uzskata: 1) Eiropas Savienības dalībvalsti, kurā galvenokārt tiek pieņemti lēmumi saistībā ar pakalpojumu sniedzēja kiberdrošības risku pārvaldības pasākumiem; 2) ja šīs daļas 1. punktā minēto valsti nav iespējams noteikt, — Eiropas Savienības dalībvalsti, kurā attiecībā uz pakalpojumu sniedzēju tiek īstenotas kiberdrošības operācijas; 3) ja šīs daļas 2. punktā minēto valsti nav iespējams noteikt, — Eiropas Savienības dalībvalsti, kurā attiecīgajam pakalpojumu sniedzējam ir vislielākais nodarbināto skaits Eiropas Savienībā. (9) Šā panta astotā daļa neattiecas uz gadījumiem, kad Nacionālais kiberdrošības centrs pēc citas Eiropas Savienības dalībvalsts kompetentās iestādes pieprasījuma īsteno šajā likumā noteiktos uzraudzības un izpildes panākšanas pasākumus attiecībā uz šajā Eiropas Savienības dalībvalstī reģistrēto būtisko pakalpojumu sniedzēju, kurš sniedz pakalpojumus Latvijas Republikā vai kura valdījumā ir tīkls vai informācijas sistēma, kas atrodas Latvijas Republikā. (10) Likums neattiecas uz elektronisko sakaru komersantiem, kuri nenodrošina elektronisko sakaru tīklu un nesniedz elektronisko sakaru pakalpojumus Latvijas Republikā. (11) Likums neattiecas uz tādiem būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem, kuri ir citas Eiropas Savienības dalībvalsts valsts institūcijas. 4 (Ar grozījumiem, kas izdarīti ar 04.06.2026. likumu, kas stājas spēkā 18.06.2026.) II nodaļa Par kiberdrošību atbildīgās institūcijas 4. pants. Nacionālais kiberdrošības centrs Nacionālais kiberdrošības centrs ir nacionālā kompetentā institūcija, kas darbojas Aizsardzības ministrijā kā vienotais kontaktpunkts kiberdrošības jautājumos un īsteno nacionālo kiberdrošības pārraudzību, veido nacionālās kiberdrošības rīcībpolitikas iniciatīvas un atbilstoši kompetencei veido un īsteno starptautisko sadarbību. 5 5. pants. Nacionālā kiberdrošības centra uzdevumi (1) Nacionālajam kiberdrošības centram ir šādi uzdevumi: 1) koordinēt sadarbību kiberdrošības jautājumos ar citu Eiropas Savienības dalībvalstu kompetentajām iestādēm un vienotajiem kontaktpunktiem, Eiropas Komisiju, Eiropas Savienības Kiberdrošības aģentūru un citām kompetentajām Eiropas Savienības institūcijām; 2) sadarboties ar būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem to informācijas sistēmu drošības līmeņa noteikšanai; 3) īstenot uzraudzības funkcijas, tostarp uzraudzīt, kā būtisko pakalpojumu un svarīgo pakalpojumu sniedzēji izpilda tiem šajā likumā noteiktos pienākumus; 4) izvērtēt būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju kiberrisku pārvaldības pasākumu atbilstību normatīvajos aktos noteiktajām prasībām; 5) uzraudzīt publisko elektronisko sakaru tīklu drošības prasību ievērošanu; 6) uzturēt valsts iestāžu apkopoto un pašidentificēto būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju sarakstu, apstiprināt to, kā arī sniegt kompetentajām Eiropas Savienības institūcijām apkopotu un pēc nepieciešamības anonimizētu informāciju par identificētajiem būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem; 7) nodrošināt Nacionālās kiberdrošības padomes un Digitālās drošības uzraudzības komitejas sekretariāta funkcijas; 8) izvērtēt valsts informācijas sistēmu un institūciju informācijas sistēmu attīstības projektu atbilstību minimālajām kiberdrošības prasībām, ievērojot Valsts informācijas sistēmu likumu; 9) nodrošināt vienotā valsts interneta plūsmu apmaiņas punkta darbību, kā arī sadarbībā ar valsts drošības iestādēm koordinēt vienotā valsts interneta plūsmu apmaiņas punkta pakalpojumu saņemšanu; 10) sadarbībā ar valsts pārvaldes iestādēm, valsts drošības iestādēm un privātā sektora pārstāvjiem izstrādāt nacionālo kiberdrošības stratēģiju un ne vēlāk kā trīs mēnešus pēc nacionālās kiberdrošības stratēģijas apstiprināšanas informēt par to Eiropas Komisiju; 11) nodrošināt Nacionālā kiberincidentu krīzes vadības plāna izstrādi un integrēt to valsts aizsardzības plānos, līdzdarboties Eiropas Savienības Kiberkrīžu sadarbības organizācijas tīklā; 12) sadarboties ar Eiropas Savienības Kiberdrošības aģentūru un nekavējoties informēt to par pārrobežu kiberincidentiem, kas skar būtisko pakalpojumu vai svarīgo pakalpojumu sniedzējus, kā arī reizi trijos mēnešos sniegt tai ziņojumu par visiem notikušajiem nozīmīgiem kiberincidentiem, kiberincidentiem, gandrīz notikušiem kiberincidentiem un kiberapdraudējumiem, par kuriem subjekti ir paziņojuši; 13) sadarboties ar citu Eiropas Savienības dalībvalstu kompetentajām iestādēm, tostarp pēc kiberincidentu novēršanas institūcijas pieprasījuma nosūtīt tām saņemto informāciju par nozīmīgiem kiberincidentiem, kas skar šīs Eiropas Savienības dalībvalstis; 14) koordinēt pārrobežu kiberincidenta risināšanu sadarbībā ar kiberincidentu novēršanas institūcijām, Eiropas Savienības, ārvalstu un starptautiskām kompetentajām institūcijām; 15) sadarboties ar Eiropas Savienības tīklu un informācijas sistēmu sadarbības grupu (turpmāk — NIS sadarbības grupa) un īstenot ar to saistītos uzdevumus; 16) īstenot Eiropas Parlamenta un Padomes 2021. gada 20. maija regulā (ES) 2021/887, ar ko izveido Eiropas Industriālo, tehnoloģisko un pētniecisko kiberdrošības kompetenču centru un Nacionālo koordinācijas centru tīklu Nacionālajam koordinācijas centram noteiktās tiesības un pienākumus; 17) uzturēt vienotu Latvijas kibertelpā notiekošo darbību atainojumu, izņemot tajā pārraidītās informācijas saturu; 18) informēt sabiedrību par aktuālajiem kiberapdraudējumiem; 19) nodrošināt drošības operāciju centru darbību Ministru kabineta noteiktajām prasībām atbilstošajos datu centros; 20) atbilstoši kompetencei piedalīties koordinētā ievainojamību atklāšanā un novēršanā; 21) ja nepieciešams, informēt Eiropas Savienības Kiberdrošības aģentūru par ziņām, kas iekļaujamas ievainojamību datubāzē; 22) gadījumos, kad ievainojamība skar arī citu Eiropas Savienības dalībvalsti, sadarboties ar šīs dalībvalsts kompetentajām institūcijām; 23) ja nepieciešams, piedalīties Eiropas Savienības dalībvalstu kiberdrošības kapacitātes un rīcībpolitikas izvērtējumos neatkarīgā eksperta statusā. (2) Šā panta pirmās daļas 2., 3. un 4. punktā minētos uzdevumus Nacionālais kiberdrošības centrs īsteno tikai attiecībā uz tiem būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem, kuri nav informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieki vai tiesiskie valdītāji. (3) Šā panta pirmās daļas 17., 18., 19., 20., 21., 22. un 23. punktā minēto Nacionālā kiberdrošības centra uzdevumu izpildi Aizsardzības ministrija deleģē Latvijas Universitātes Matemātikas un informātikas institūtam, noslēdzot deleģēšanas līgumu. 6 (Ar grozījumiem, kas izdarīti ar 04.06.2026. likumu, kas stājas spēkā 18.06.2026.) 6. pants. Nacionālā kiberdrošības centra tiesības Nacionālajam kiberdrošības centram ir šādas tiesības: 1) pieprasīt un saņemt no būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem informāciju par to īpašumā un valdījumā esošajām informācijas un komunikācijas tehnoloģijām, par to īstenotajiem un plānotajiem kiberdrošības un kiberrisku pārvaldības pasākumiem, kā arī par kiberincidentiem, gandrīz notikušiem kiberincidentiem, kiberapdraudējumiem un ievainojamībām; 2) pieprasīt un saņemt no valsts un pašvaldību institūcijām to rīcībā esošo informāciju par būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem; 3) sniegt norādījumus, lai nodrošinātu šajā likumā būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem noteikto pienākumu izpildi; 4) pieņemt lēmumu (arī izdot administratīvo aktu), lai nodrošinātu šajā likumā noteikto pienākumu izpildi vai novērstu nacionālās drošības apdraudējumu vai kiberapdraudējumu; 5) piemērot soda naudu un veikt tiesiskā pienākuma piespiedu izpildi; 6) pieprasīt un saņemt no datu centru operatoriem informāciju par tiem noteikto pienākumu izpildi. 7 7. pants. Satversmes aizsardzības biroja uzdevumi Satversmes aizsardzības birojam ir šādi uzdevumi: 1) īstenot uzraudzības funkcijas, tostarp uzraudzīt, kā informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieki un tiesiskie valdītāji izpilda tiem šajā likumā noteiktos pienākumus; 2) sadarboties ar informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem to informācijas sistēmu drošības līmeņa noteikšanai; 3) koordinēt pārrobežu kiberincidenta risināšanu sadarbībā ar kiberincidentu novēršanas institūcijām; 4) izvērtēt informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieku un tiesisko valdītāju īstenojamo kiberrisku pārvaldības pasākumu atbilstību normatīvajos aktos noteiktajām prasībām. 8 8. pants. Satversmes aizsardzības biroja tiesības Satversmes aizsardzības birojam ir šādas tiesības: 1) pieprasīt un saņemt no informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem informāciju par to īpašumā un valdījumā esošajām informācijas un komunikācijas tehnoloģijām, par to īstenotajiem un plānotajiem kiberdrošības un kiberrisku pārvaldības pasākumiem, kā arī par kiberincidentiem, gandrīz notikušiem kiberincidentiem, kiberapdraudējumiem un ievainojamībām; 2) sniegt norādījumus, lai nodrošinātu šajā likumā informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem noteikto pienākumu izpildi vai novērstu nacionālās drošības apdraudējumu; 3) pieņemt lēmumu (arī izdot administratīvo aktu), lai nodrošinātu šajā likumā noteikto pienākumu izpildi vai novērstu nacionālās drošības apdraudējumu vai kiberapdraudējumu; 4) piemērot soda naudu un veikt tiesiskā pienākuma piespiedu izpildi. 9 9. pants. Kiberincidentu novēršanas institūcijas (1) Kiberincidentu novēršanas institūcijas ir institūcijas, kas sniedz valsts un pašvaldību institūcijām atbalstu kiberdrošības jomā, uztur un aktualizē informāciju par kiberapdraudējumiem un sniedz fiziskajām un juridiskajām personām atbalstu kiberincidentu novēršanā. (2) Kiberincidentu novēršanas institūciju uzdevumus veic: 1) Militārās izlūkošanas un drošības dienests — attiecībā uz Aizsardzības ministriju, tās padotībā esošajām iestādēm un Nacionālajiem bruņotajiem spēkiem; 2) Latvijas Universitātes Matemātikas un informātikas institūts — attiecībā uz valsts un pašvaldību institūcijām (izņemot valsts drošības iestādes un šīs daļas 1. punktā minētās institūcijas), kā arī privāto tiesību juridiskajām personām. (3) Latvijas Universitātes Matemātikas un informātikas institūts tam noteiktos uzdevumus izpilda un tiesības īsteno saskaņā ar šo likumu aizsardzības ministra funkcionālajā padotībā, ko īsteno pakļautības formā. (4) Ministru kabinets nosaka prasības kiberincidentu novēršanas institūcijām. 10 10. pants. Kiberincidentu novēršanas institūciju uzdevumi Kiberincidentu novēršanas institūcijām ir šādi uzdevumi: 1) veikt valsts līmenī nozīmīgu kiberapdraudējumu, ievainojamību un kiberincidentu analīzi; 2) reaģēt uz kiberincidentiem, pēc subjekta pieprasījuma sniegt atbalstu kiberincidenta risināšanā vai koordinēt kiberincidenta novēršanu; 3) brīdināt un sniegt Nacionālajam kiberdrošības centram, Satversmes aizsardzības birojam, subjektiem un, ja nepieciešams, citām iestādēm informāciju par aktuālajiem nozīmīgiem kiberincidentiem, kiberincidentiem, gandrīz notikušiem kiberincidentiem, kiberapdraudējumiem un ievainojamībām; 4) organizēt izglītojošus pasākumus, veikt analītisko un pētniecisko darbu un rīkot tematisku apmācību kiberdrošības jomā; 5) sniegt valsts institūcijām atbalstu valsts drošības sargāšanā, kā arī noziedzīgu nodarījumu un citu likumpārkāpumu atklāšanā (izmeklēšanā) informācijas un komunikācijas tehnoloģiju jomā; 6) sadarboties ar Eiropas Savienības, ārvalstu un starptautisko organizāciju kompetentajām iestādēm un kiberincidentu novēršanas institūcijām, līdzdarboties Eiropas Savienības dalībvalstu kiberdrošības incidentu novēršanas institūciju tīklā (turpmāk — CSIRT tīkls); 7) nekavējoties informēt Nacionālo kiberdrošības centru un valsts drošības iestādes par nozīmīgu kiberincidentu, kā arī informēt citas Eiropas Savienības dalībvalsts kompetento iestādi par nozīmīgu kiberincidentu, kas ietekmē būtiska pakalpojuma vai svarīga pakalpojuma darbības nepārtrauktību konkrētajā dalībvalstī; 8) informēt Nacionālo kiberdrošības centru un Satversmes aizsardzības biroju par konstatēto subjekta informācijas un komunikācijas tehnoloģiju neatbilstību normatīvajiem aktiem, kuri nosaka kiberdrošības prasības, kā arī par konstatētajiem gadījumiem, kad subjekts nav ziņojis par kiberincidentu; 9) atbilstoši kompetencei sadarboties ar valsts un privātā sektora institūcijām, lai sekmētu to kiberdrošību un kibernoturību, kā arī sadarboties ar subjektu kopienām un apmainīties ar informāciju par aktuālajiem kiberapdraudējumiem; 10) pēc subjekta pieprasījuma veikt subjekta tīklu un informācijas sistēmu proaktīvu skenēšanu, lai atklātu ievainojamības ar iespējamu būtisku ietekmi; 11) veikt citus tām normatīvajos aktos noteiktos pienākumus. 11 11. pants. Kiberincidentu novēršanas institūciju tiesības (1) Kiberincidentu novēršanas institūcijām ir šādas tiesības: 1) pieprasīt un saņemt no subjektiem, valsts un pašvaldību institūcijām un privāto tiesību juridiskajām personām: a) informāciju par ieviestajām informācijas un komunikācijas tehnoloģiju (tostarp tīklu un informācijas sistēmu) drošības prasībām, identificētajām ievainojamībām un kiberapdraudējumiem, b) tehnisko informāciju par notikušu vai notiekošu kiberincidentu (informācija par kiberincidenta apjomu, kiberincidentu izraisījušu kaitniecisku programmatūru datnes, ievainojamību apraksts, kiberincidenta novēršanai veiktie tehniskie pasākumi, informācija par kaitnieku darbībām vai cita tehniskā informācija, ieskaitot IP adreses); 2) pēc abpusējas vienošanās iegūt no subjektiem, valsts un pašvaldību institūcijām un privāto tiesību juridiskajām personām tiešsaistes datu plūsmu kiberapdraudējuma identificēšanai un novēršanai; 3) veikt pārbaudes būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju informācijas un komunikācijas tehnoloģiju infrastruktūrā, izņemot informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru; 4) pēc Satversmes aizsardzības biroja pieprasījuma veikt pārbaudes informācijas un komunikācijas tehnoloģiju kritiskajā infrastruktūrā; 5) lūgt, lai Nacionālais kiberdrošības centrs nosūta citas Eiropas Savienības dalībvalsts kompetentajai institūcijai, NIS sadarbības grupai, CSIRT tīklam vai Eiropas Savienības Kiberdrošības aģentūrai informāciju par kiberincidentu, kuram ir ietekme uz būtisko pakalpojumu vai svarīgo pakalpojumu sniegšanu konkrētajā dalībvalstī; 6) veikt subjektu publiski pieejamo tīklu un informācijas sistēmu proaktīvu mērķsistēmu un tīklu neietekmējošu skenēšanu, lai atklātu ievainojamības vai nedrošas konfigurācijas un par tām informētu attiecīgos subjektus. (2) Šā panta pirmās daļas 6. punktā minēto skenēšanu kiberincidentu novēršanas institūcija veic tādā veidā, lai tā neietekmētu attiecīgā subjekta pakalpojumu sniegšanas nepārtrauktību. Skenēšanu informācijas un komunikācijas kritiskajā infrastruktūrā veic pēc saskaņošanas ar Satversmes aizsardzības biroju. 12 12. pants. Nacionālā kiberdrošības centra un Satversmes aizsardzības biroja izdotie lēmumi, pieprasījumi un uzliktie tiesiskie pienākumi (1) Ja lēmuma, pieprasījuma vai tiesiskā pienākuma adresāts ir privāto tiesību juridiskā persona, tad Nacionālā kiberdrošības centra un Satversmes aizsardzības biroja lēmums, pieprasījums vai uzliktais tiesiskais pienākums ir administratīvais akts. (2) Ja lēmuma, pieprasījuma vai tiesiskā pienākuma adresāts ir tiešās vai pastarpinātās pārvaldes iestāde, cita valsts institūcija vai atvasināta publiskā persona, tad Nacionālā kiberdrošības centra un Satversmes aizsardzības biroja lēmums, pieprasījums vai uzliktais tiesiskais pienākums nav administratīvais akts. (3) Ministru kabinets nosaka kārtību ziņošanai par tiešās vai pastarpinātās pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskajām personām, kuras nepilda šajā likumā minētos lēmumus, pieprasījumus vai tām uzliktos tiesiskos pienākumus. (4) Šā panta otrajā daļā minēto lēmumu un pieprasījumu izdod un tiesisko pienākumu uzliek rakstveidā, ietverot tajā šādu informāciju: 1) iestādes nosaukumu un adresi; 2) adresātu; 3) faktu konstatējumu; 4) lēmuma, pieprasījuma vai tiesiskā pienākuma pamatojumu; 5) atsevišķu piemēroto tiesību normu uzskaitījumu (norādot arī normatīvā akta pantu, tā daļu, punktu vai apakšpunktu); 6) adresātam piešķirtās tiesības un noraidītās tiesības; 7) nosacījumus (ja nepieciešams); 8) lēmuma, pieprasījuma vai tiesiskā pienākuma apstrīdēšanas kārtību. (5) Šā panta pirmajā un otrajā daļā minēto lēmumu, pieprasījumu un tiesisko pienākumu var apstrīdēt: 1) Nacionālā kiberdrošības centra lēmumu, pieprasījumu vai uzlikto tiesisko pienākumu attiecībā uz būtisko pakalpojumu un svarīgo pakalpojumu sniedzējiem — iesniedzot attiecīgu iesniegumu aizsardzības ministram. Aizsardzības ministra lēmumu par apstrīdēto šā panta pirmajā daļā minēto lēmumu, pieprasījumu vai tiesisko pienākumu var pārsūdzēt Administratīvā procesa likumā noteiktajā kārtībā. Aizsardzības ministra lēmums par apstrīdēto šā panta otrajā daļā minēto lēmumu, pieprasījumu vai tiesisko pienākumu nav pārsūdzams; 2) Satversmes aizsardzības biroja lēmumu, pieprasījumu vai uzlikto tiesisko pienākumu attiecībā uz informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru — iesniedzot attiecīgu iesniegumu Satversmes aizsardzības biroja direktoram. Satversmes aizsardzības biroja direktora lēmumu par apstrīdēto šā panta pirmajā daļā minēto lēmumu, pieprasījumu vai tiesisko pienākumu var pārsūdzēt Administratīvā procesa likumā noteiktajā kārtībā. Satversmes aizsardzības biroja direktora lēmums par apstrīdēto šā panta otrajā daļā minēto lēmumu, pieprasījumu vai tiesisko pienākumu nav pārsūdzams. 13 13. pants. Kompetento institūciju sadarbība (1) Nacionālais kiberdrošības centrs, Satversmes aizsardzības birojs un kiberincidentu novēršanas institūcijas pēc nepieciešamības, bet ne retāk kā reizi ceturksnī savstarpēji apmainās ar informāciju par kiberincidentu jomas aktualitātēm. (2) Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs pēc nepieciešamības, bet ne retāk kā reizi ceturksnī savstarpēji apmainās ar informāciju par subjektu uzraudzības aktualitātēm, tostarp par subjektu identificēšanu, kiberriskiem, kiberapdraudējumiem, kiberincidentiem, gandrīz notikušiem kiberincidentiem, kā arī ar kiberdrošību nesaistītiem drošības riskiem, apdraudējumiem un incidentiem, kas skar subjektus, ja vien šādas informācijas apmaiņa nav pretrunā ar nacionālās drošības interesēm. (3) Nacionālais kiberdrošības centrs, Satversmes aizsardzības birojs un kiberincidentu novēršanas institūcijas regulāri, bet ne retāk kā divas reizes gadā apmainās ar informāciju par aktuālajiem kiberincidentiem un kiberapdraudējumiem, ja vien šādas informācijas apmaiņa nav pretrunā ar nacionālās drošības interesēm, ar šādām institūcijām: 1) Latvijas Banku — jautājumos, kas skar regulas 2022/2554 2. pantā minēto finanšu vienību kiberdrošību, tostarp sniedz Latvijas Bankai savā rīcībā esošo informāciju par konstatētajiem kiberincidentiem šā likuma 20. panta 8. punkta "k" apakšpunktā minēto subjektu informācijas un komunikācijas tehnoloģiju infrastruktūrā, kā arī apmainās ar informāciju par kiberincidentiem, esošiem vai potenciāliem kiberapdraudējumiem, kas var ietekmēt Eiropas Savienības un Latvijas normatīvajos aktos noteikto Latvijas Bankas uzdevumu izpildi; 2) Sabiedrisko pakalpojumu regulēšanas komisiju — jautājumos, kas skar elektronisko sakaru komersantu kiberdrošību, tostarp sniedz Sabiedrisko pakalpojumu regulēšanas komisijai savā rīcībā esošo informāciju, kas tai nepieciešama Elektronisko sakaru likumā noteikto funkciju īstenošanai; 3) Civilās aviācijas aģentūru kā Eiropas Parlamenta un Padomes 2008. gada 11. marta regulā (EK) Nr. 300/2008 par kopīgiem noteikumiem civilās aviācijas drošības jomā un ar ko atceļ regulu (EK) Nr. 2320/2002 un Eiropas Parlamenta un Padomes 2018. gada 4. jūlija regulas (ES) 2018/1139 par kopīgiem noteikumiem civilās aviācijas jomā un ar ko izveido Eiropas Savienības Aviācijas drošības aģentūru, un ar ko groza Eiropas Parlamenta un Padomes regulas (EK) Nr. 2111/2005, (EK) Nr. 1008/2008, (ES) Nr. 996/2010, (ES) Nr. 376/2014 un direktīvas 2014/30/ES un 2014/53/ES un atceļ Eiropas Parlamenta un Padomes regulas (EK) Nr. 552/2004 un (EK) Nr. 216/2008 un Padomes regulu (EEK) Nr. 3922/91 9. pantā minēto atbildīgo iestādi civilās aviācijas drošības jomā, kas nodrošina tai noteikto uzraudzības funkciju īstenošanu; 4) valsts sabiedrību ar ierobežotu atbildību "Latvijas Jūras administrācija" — jautājumos, kas skar kuģu, kuģošanas kompāniju, ostu un ostas iekārtu aizsardzības prasību ieviešanu un uzraudzību; 5) Datu valsts inspekciju — jautājumos, kas skar fizisko personu datu aizsardzību, tostarp sniedz Datu valsts inspekcijai savā rīcībā esošo informāciju par fizisko personu datu aizsardzības pārkāpumiem; 6) Digitālās drošības uzraudzības komiteju — jautājumos, kas skar elektroniskās identifikācijas pakalpojumu sniedzējus un to sniegtos pakalpojumus, uzticamus sertifikācijas pakalpojumu sniedzējus un to sniegtos pakalpojumus, parakstu vākšanas tiešsaistes sistēmas, kā arī būtisko pakalpojumu un svarīgo pakalpojumu sniedzējus; 7) policiju, prokuratūru, tiesu un citām kompetentajām iestādēm — jautājumos, kas skar noziedzīgu nodarījumu novēršanu, atklāšanu un izmeklēšanu. Ja kiberincidentu novēršanas institūcija konstatē, ka kiberincidentam, gandrīz notikušam kiberincidentam, kiberapdraudējumam vai ievainojamībai pirmšķietami piemīt noziedzīga nodarījuma pazīmes, kiberincidentu novēršanas institūcija par to nekavējoties informē kompetento iestādi, sniedzot tai savā rīcībā esošo informāciju, kas nepieciešama procesuālo darbību veikšanai; 8) valsts drošības iestādēm — jautājumos, kas saistīti ar nacionālo drošību, tostarp sniedz kompetentajām valsts drošības iestādēm savā rīcībā esošo informāciju par kiberincidentiem, gandrīz notikušiem kiberincidentiem, kiberapdraudējumiem un ievainojamībām, kas apdraud vai var apdraudēt nacionālo drošību. (4) Latvijas Universitātes Matemātikas un informātikas institūts sniedz Militārās izlūkošanas un drošības dienestam savā rīcībā esošo informāciju par kiberincidentiem Aizsardzības ministrijā, tās padotībā esošajās iestādēs un Nacionālajos bruņotajos spēkos. (5) Militārās izlūkošanas un drošības dienests sniedz Latvijas Universitātes Matemātikas un informātikas institūtam informāciju, kas tam nepieciešama šā likuma 10. panta 5. punktā noteikto uzdevumu izpildei, kā arī citu tā rīcībā esošo informāciju par Latvijas Universitātes Matemātikas un informātikas institūta kompetencē esošajiem kiberincidentiem. (6) Ja šā panta trešās daļas 1. punktā minētie jautājumi skar Eurosistēmas uzturētas informācijas un komunikācijas tehnoloģiju infrastruktūras, kompetentās institūcijas sniegto informāciju Latvijas Banka nosūta Eiropas Centrālajai bankai. 14 14. pants. Kompetento institūciju sadarbība ar citu Eiropas Savienības dalībvalstu kompetentajām institūcijām (1) Ja būtisko pakalpojumu sniedzējs vai svarīgo pakalpojumu sniedzējs sniedz pakalpojumus vairāk nekā vienā Eiropas Savienības dalībvalstī vai arī sniedz pakalpojumus vienā vai vairākās Eiropas Savienības dalībvalstīs un tā tīklu un informācijas sistēmas atrodas vienā vai vairākās citās Eiropas Savienības dalībvalstīs, Nacionālais kiberdrošības centrs, Satversmes aizsardzības birojs un kiberincidentu novēršanas institūcijas, ja nepieciešams, sadarbojas ar citu Eiropas Savienības dalībvalstu kompetentajām institūcijām: 1) ar Nacionālā kiberdrošības centra starpniecību informē citu attiecīgo Eiropas Savienības dalībvalstu kompetentās institūcijas un savstarpēji apmainās ar informāciju par veiktajiem uzraudzības un izpildes panākšanas pasākumiem; 2) ja nepieciešams, nosūta informācijas pieprasījumu vai lūdz, lai citas Eiropas Savienības dalībvalsts kompetentā institūcija veic uzraudzības vai izpildes panākšanas pasākumus; 3) saņemot pamatotu savstarpējās palīdzības lūgumu no citas Eiropas Savienības dalībvalsts kompetentās institūcijas, sniedz tai palīdzību, lai uzraudzības vai izpildes panākšanas pasākumi tiktu īstenoti efektīvi un konsekventi. (2) Šā panta pirmās daļas 3. punktā minētā savstarpējā palīdzība var ietvert informācijas pieprasījumus un uzraudzības pasākumus, tostarp pieprasījumus veikt klātienes pārbaudes, attālinātu pārraudzību vai mērķtiecīgas drošības revīzijas. (3) Nacionālais kiberdrošības centrs, Satversmes aizsardzības birojs un kiberincidentu novēršanas institūcijas nodrošina savstarpējās palīdzības lūguma īstenošanu, ja vien netiek konstatēts, ka tās nav kompetentas sniegt pieprasīto palīdzību, pieprasītās palīdzības lūgums nav samērīgs ar kompetento institūciju uzraudzības uzdevumiem vai saņemtais savstarpējās palīdzības lūgums ir pretrunā ar būtiskām nacionālās drošības interesēm. (4) Pirms saņemtā savstarpējās palīdzības lūguma noraidīšanas Nacionālais kiberdrošības centrs, Satversmes aizsardzības birojs un kiberincidentu novēršanas institūcijas savstarpēji apspriežas. Ja kāda no Eiropas Savienības dalībvalstīm to pieprasa, minētās kompetentās institūcijas pirms savstarpējās palīdzības lūguma noraidīšanas apspriežas ar Eiropas Komisiju un Eiropas Savienības Kiberdrošības aģentūru. (5) Nacionālais kiberdrošības centrs, Satversmes aizsardzības birojs un kiberincidentu novēršanas institūcijas pēc kopīgas vienošanās ar citas Eiropas Savienības dalībvalsts kompetento institūciju var veikt kopīgu subjektu uzraudzību. 15 15. pants. Sadarbība ar institūcijām, kuras ir atbildīgas par kiberdrošību Subjektiem, valsts un pašvaldību institūcijām un privāto tiesību juridiskajām personām ir pienākums sadarboties ar Nacionālo kiberdrošības centru, Satversmes aizsardzības biroju un kiberincidentu novēršanas institūcijām, sniedzot tām nepieciešamo informāciju un pildot to likumīgās prasības. 16 16. pants. Nacionālā kiberdrošības padome (1) Nacionālā kiberdrošības padome ir koleģiāla institūcija, kas koordinē ar kiberdrošību saistītās politikas izstrādi, kā arī attiecīgu uzdevumu un pasākumu plānošanu un īstenošanu. (2) Nacionālās kiberdrošības padomes sastāvu nosaka Ministru prezidents. 17 17. pants. Digitālās drošības uzraudzības komiteja (1) Digitālās drošības uzraudzības komiteja ir koleģiāla uzraudzības institūcija aizsardzības ministra pakļautībā. (2) Digitālās drošības uzraudzības komitejas nolikumu apstiprina Ministru kabinets. (3) Kiberincidentu novēršanas institūcijas atbilstoši savai kompetencei sadarbojas ar Digitālās drošības uzraudzības komiteju un sniedz šai komitejai tās funkciju īstenošanai nepieciešamo informāciju, tostarp informē to par konstatētajiem nozīmīgiem kiberincidentiem un kiberapdraudējumiem, kas skar kvalificētus uzticamības pakalpojumu sniedzējus vai to sniegtos kvalificētus uzticamības pakalpojumus. 18 18. pants. Nacionālā kiberdrošības stratēģija (1) Nacionālo kiberdrošības stratēģiju reizi četros gados izstrādā Nacionālais kiberdrošības centrs sadarbībā ar valsts pārvaldes iestādēm, valsts drošības iestādēm un privātā sektora pārstāvjiem un apstiprina Ministru kabinets. (2) Nacionālā kiberdrošības stratēģija nosaka: 1) kiberdrošības pārvaldības stratēģiskos mērķus un modeli, kiberdrošības pārvaldībai nepieciešamos resursus; 2) kiberdrošības pārvaldībā iesaistīto valsts pārvaldes iestāžu lomu sadalījumu, kā arī nacionālos un starptautiskos sadarbības mehānismus; 3) valstiski aizsargājamo informācijas un komunikācijas tehnoloģiju un resursu noteikšanas un kiberrisku izvērtēšanas kārtību; 4) gatavības kiberincidentiem, reaģēšanas uz tiem, to novēršanas un pārvarēšanas plānu izstrādes kārtību un prasības, informācijas apmaiņas veidus, kā arī publiskā sektora un privātā sektora sadarbības kārtību; 5) pasākumu kopumu sabiedrības digitālo un kiberdrošības prasmju uzlabošanai. (3) Nacionālā kiberdrošības stratēģija attiecas uz subjektiem, ja vien tajā nav noteikts citādi. (4) Nacionālais kiberdrošības centrs sešu mēnešu laikā pēc nacionālās kiberdrošības stratēģijas apstiprināšanas izstrādā un Ministru kabinets apstiprina pasākumu plānu stratēģijā izvirzīto mērķu sasniegšanai, identificējot darba uzdevumus, atbildīgās institūcijas, uzdevumu izpildes termiņus un sasniedzamos rezultātus. Plānā iekļauj vismaz šādus pasākumus: 1) pasākumus subjektu informācijas un komunikācijas tehnoloģiju produktu un pakalpojumu piegādes ķēžu drošības uzlabošanai; 2) kiberdrošības pasākumus valsts tiešās un pastarpinātās pārvaldes iestāžu, atvasinātu publisko personu un citu valsts institūciju informācijas un komunikācijas tehnoloģiju produktu un pakalpojumu iepirkumos, tostarp attiecībā uz informācijas un komunikācijas tehnoloģijas sertifikāciju, šifrēšanu un atvērtā pirmkoda risinājumu izmantošanu; 3) pasākumus ievainojamību pārvaldībai, tostarp koordinētas ievainojamību atklāšanas un novēršanas nodrošināšanai; 4) pasākumus atklātā interneta publiskā kodola konfidencialitātes, integritātes un pieejamības nodrošināšanai, tostarp attiecībā uz zemūdens sakaru kabeļu kiberdrošību; 5) pasākumus kiberrisku pārvaldības īstenošanai; 6) pasākumus subjektu un citu valsts un privātā sektora institūciju, tostarp mazo un vidējo saimnieciskās darbības veicēju, un visas sabiedrības kibernoturības veicināšanai, kiberdrošības prasmju un izpratnes veidošanai, kiberdrošības izglītības un apmācības programmu attīstīšanai, kā arī kiberhigiēnas pamatlīmeņa nodrošināšanai; 7) pasākumus kiberdrošības pētniecības un attīstības iniciatīvu atbalstam, tostarp kiberdrošības rīku izstrādei un drošas informācijas un komunikācijas tehnoloģiju infrastruktūras attīstīšanai, uzlabošanai un ieviešanai; 8) pasākumus brīvprātīgas kiberdrošības informācijas apmaiņas veicināšanai starp subjektiem; 9) aktīvas kiberaizsardzības pasākumus. (5) Nacionālais kiberdrošības centrs divas reizes gadā informē Nacionālo kiberdrošības padomi par nacionālās kiberdrošības stratēģijas ieviešanas gaitu. (6) Nacionālais kiberdrošības centrs triju mēnešu laikā pēc nacionālās kiberdrošības stratēģijas pieņemšanas paziņo to Eiropas Komisijai, izņemot nacionālajai drošībai nozīmīgu informāciju. 19 19. pants. Personas datu apstrāde (1) Kiberincidentu novēršanas institūcija, pildot tai šajā likumā noteiktos uzdevumus un īstenojot savas tiesības, saņem un apstrādā personu identificējošu informāciju, lai pamatotu vai izslēgtu aizdomas par kiberapdraudējumu vai lai to novērstu, kā arī nodrošinātu saziņu ar iesaistītajām personām. (2) Kiberincidentu novēršanas institūcija pēc ievainojamības un kiberincidenta atrisināšanas ir tiesīga uzglabāt un analizēt datus, kas iegūti, lai pamatotu vai izslēgtu aizdomas par ievainojamību un kiberincidentu, un satur personas datus, ja minētā informācija ir noderīga saistītu ievainojamību un kiberincidentu atklāšanai vai novēršanai. (3) Personas datus kiberincidentu novēršanas institūcija drīkst nodot šā likuma 9. panta otrajā daļā minētajām institūcijām, lai atpazītu un novērstu tādu kiberapdraudējumu, ievainojamību vai kiberincidentu, kas rada vai var radīt draudus nacionālajai drošībai. (4) Personas datus nepieciešamajā apjomā un veidā kiberincidentu novēršanas institūcija drīkst nodot Latvijas Republikas Zemessardzei, lai atpazītu un novērstu tādu kiberapdraudējumu, ievainojamību vai kiberincidentu, kas rada vai var radīt draudus nacionālajai drošībai, ja Latvijas Republikas Zemessardze atbilstoši Latvijas Republikas Zemessardzes likumam tiek iesaistīta atbalsta sniegšanā kompetentajai kiberincidentu novēršanas institūcijai. (5) Satversmes aizsardzības birojs, pildot tam šajā likumā noteiktos uzdevumus un īstenojot savas tiesības, saņem, apstrādā, uzglabā un analizē datus, kas iegūti, lai pamatotu vai izslēgtu aizdomas par kiberapdraudējumu, ievainojamību vai kiberincidentu, kas rada vai var radīt draudus nacionālajai drošībai. (6) Personas datus nepieciešamajā apjomā un veidā kiberincidentu novēršanas institūcija drīkst nodot Satversmes aizsardzības birojam, lai atpazītu un novērstu tādu kiberapdraudējumu, ievainojamību vai kiberincidentu, kas rada vai var radīt draudus nacionālajai drošībai. 20 III nodaļa Subjektu identifikācija un uzskaite 20. pants. Būtisko pakalpojumu sniedzējs Būtisko pakalpojumu sniedzējs šā likuma izpratnē ir: 1) augstākā līmeņa domēnu vārdu reģistra uzturētājs, piemēram, augstākā līmeņa domēna ".lv" reģistra uzturētājs; 2) domēnu vārdu sistēmas pakalpojumu sniedzējs, kas sniedz publiski pieejamus rekursīvus domēnu vārdu atrises pakalpojumus interneta galalietotājiem vai autoritatīvus domēnu vārdu atrises pakalpojumus trešo personu lietošanai, izņemot saknes vārdu serverus; 3) elektronisko sakaru komersants; 4) kvalificēts uzticamības pakalpojumu sniedzējs; 5) tiešās pārvaldes iestāde un cita valsts institūcija, izņemot valsts drošības iestādes; 6) atvasināta publiskā persona; 7) sabiedriskie elektroniskie plašsaziņas līdzekļi; 8) liels saimnieciskās darbības veicējs, kurš ir: a) energoapgādes komersants, b) naftas apgādes komersants, c) ūdeņraža apgādes komersants, d) aeronavigācijas pakalpojumu sniedzējs, gaisa kuģa ekspluatants vai lidlauka vai citu civilās aviācijas objektu un iekārtu ekspluatants, e) dzelzceļa pārvadātājs vai dzelzceļa infrastruktūras pārvaldītājs, f) kuģošanas kompānija, neietverot šīs kompānijas pārvaldītos individuālus kuģus, g) ostas pārvalde, h) komersants, kurš veic komercdarbību ostas teritorijā, i) komersants, kurš pārvalda valsts autoceļus vai veic valsts autoceļu infrastruktūras uzturēšanas darbus, j) intelektisko transporta sistēmu operators, k) kredītiestāde, centrālais darījumu partneris vai tirdzniecības vieta Finanšu instrumentu tirgus likuma izpratnē, l) ārstniecības iestāde vai Eiropas Savienības references laboratorija, m) komersants, kas veic izpētes un izstrādes darbības attiecībā uz zālēm, ražo zāles un aktīvās vielas, n) kritiski svarīgu medicīnisko ierīču ražotājs (atbilstoši Eiropas Parlamenta un Padomes 2022. gada 25. janvāra regulas (ES) 2022/123 par pastiprinātu Eiropas Zāļu aģentūras lomu attiecībā uz zālēm un medicīniskajām ierīcēm krīžgatavības un krīžu pārvarēšanas kontekstā 22. pantam), o) dzeramā ūdens piegādātājs vai izplatītājs, izņemot gadījumu, kad komersanta pamatdarbība nav saistīta ar dzeramā ūdens izplatīšanu, p) ūdenssaimniecības pakalpojumu sniedzējs, r) interneta plūsmu apmaiņas punkta pakalpojumu sniedzējs, s) mākoņdatošanas pakalpojumu sniedzējs, t) datu centru pakalpojumu sniedzējs, u) satura piegādes tīkla pakalpojumu sniedzējs, v) informācijas un komunikācijas tehnoloģiju pārvaldības vai kiberdrošības pakalpojumu sniedzējs, z) kosmosā izvietotu pakalpojumu sniedzējs vai šo pakalpojumu sniegšanai izmantojamās infrastruktūras operators; 9) saimnieciskās darbības veicējs, kurš veic saimniecisko darbību vismaz vienā no šā panta 8. punktā minētajām jomām un ir vienīgais šāda veida pakalpojuma sniedzējs Latvijas Republikā; 10) pastarpinātās pārvaldes iestāde, kura sniedz pakalpojumus vai darbojas privāto tiesību jomā vismaz vienā no šā panta 8. punktā minētajām jomām; 11) iestāde vai saimnieciskās darbības veicējs, kura darbības traucējums var būtiski ietekmēt sabiedrības drošību, valsts aizsardzību, sabiedrības veselību vai var radīt būtisku sistēmisku risku, jo īpaši nozarēs, kurās šādam traucējumam var būt pārrobežu ietekme, tai skaitā nacionālajai drošībai nozīmīga komercsabiedrība, nodibinājums un biedrība, izņemot Latvijas Republikā esošas meža zemes vismaz 10 000 hektāru platībā īpašnieku vai Latvijas Republikā esošas lauksaimniecības zemes vismaz 4000 hektāru platībā īpašnieku. 21 (Ar grozījumiem, kas izdarīti ar 04.06.2026. likumu, kas stājas spēkā 18.06.2026. Grozījumi 11. punktā par nacionālajai drošībai nozīmīgām komercsabiedrībām, nodibinājumiem un biedrībām stājas spēkā 01.10.2026. Sk. pārejas noteikumu 15. punktu) 21. pants. Svarīgo pakalpojumu sniedzējs (1) Svarīgo pakalpojumu sniedzējs šā likuma izpratnē ir persona, kas nav būtisko pakalpojumu sniedzējs un ir: 1) vidējs saimnieciskās darbības veicējs, kurš veic saimniecisko darbību vismaz vienā no šā likuma 20. panta 8. punktā minētajām jomām; 2) vidējs vai liels saimnieciskās darbības veicējs, kurš ir: a) pasta komersants, b) atkritumu apsaimniekotājs, c) ķīmisko vielu vai to maisījumu ražotājs vai izplatītājs vairumtirdzniecībā, ja ķīmisko vielu vai to maisījumu izplatīšana ir komersanta pamatdarbība, d) komersants, kurš ražo izstrādājumus no ķīmiskajām vielām vai to maisījumiem, e) komersants, kura pamatdarbība ir pārtikas rūpnieciska ražošana, pārstrāde vai pārtikas izplatīšana vairumtirdzniecībā, f) medicīnisko ierīču ražotājs, g) datoru, elektronisko un optisko iekārtu ražotājs, h) elektrisko iekārtu ražotājs, i) citur neklasificētu iekārtu, mehānismu un darba mašīnu ražotājs, j) automobiļu, piekabju un puspiekabju ražotājs, k) citu transportlīdzekļu ražotājs, l) tiešsaistes tirdzniecības vietas pakalpojumu sniedzējs, m) tiešsaistes meklētājprogrammas pakalpojumu sniedzējs, n) sociālo mediju platformas pakalpojumu sniedzējs, o) zinātniskā institūcija, p) apsardzes pakalpojumu sniedzējs; 3) saimnieciskās darbības veicējs, kurš veic saimniecisko darbību vismaz vienā no šā panta pirmās daļas 2. punktā minētajām jomām un ir vienīgais šāda veida pakalpojuma sniedzējs Latvijas Republikā; 4) pastarpinātās pārvaldes iestāde, kura sniedz pakalpojumus vai darbojas privāto tiesību jomā vismaz vienā no šā panta pirmās daļas 2. punktā minētajām jomām; 5) izglītības informācijas sistēmas uzturētājs; 6) uzticamības pakalpojumu sniedzējs, kurš nav kvalificēts uzticamības pakalpojumu sniedzējs. (2) Izglītības informācijas sistēma šā likuma izpratnē ir tāda informācijas sistēma, kurā tiek veikta Latvijas Republikā akreditētas izglītības iestādes izglītojamo personas datu elektroniskā apstrāde. 22 22. pants. Būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju uzskaite (1) Persona veic pašvērtējumu, nosakot savu atbilstību būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam. Atbilstības gadījumā persona ne vēlāk kā mēneša laikā par to paziņo Nacionālajam kiberdrošības centram. Paziņojumā norāda: 1) personas nosaukumu (fiziskā persona — vārdu, uzvārdu un personas kodu), juridisko statusu un saimnieciskās darbības formu, reģistrācijas numuru, juridisko adresi un citu kontaktinformāciju (piemēram, oficiālo elektronisko adresi, elektroniskā pasta adresi, tālruņa numuru, tīmekļvietnes adresi); 2) informāciju par personas darbības jomu atbilstoši šā likuma 20. un 21. pantam; 3) personas sniegto būtisko pakalpojumu un svarīgo pakalpojumu uzskaitījumu un detalizētu aprakstu; 4) personas pastāvīgi izmantoto interneta protokola (IP) adrešu diapazonus; 5) valstis, kurās persona sniedz pakalpojumus; 6) personas kontaktpersonas datus (vārdu, uzvārdu, amatu, tālruņa numuru, elektroniskā pasta adresi). (2) Būtisko pakalpojumu un svarīgo pakalpojumu sniedzējs nekavējoties, bet ne vēlāk kā divu nedēļu laikā paziņo Nacionālajam kiberdrošības centram par jebkādām šā panta pirmajā daļā minētajā paziņojumā norādīto ziņu izmaiņām. (3) Nacionālais kiberdrošības centrs šā panta pirmajā un otrajā daļā minētos paziņojumus, izņemot šā panta pirmās daļas 4. punktā minēto informāciju un citu informāciju, kuras izpaušana ir pretrunā ar nacionālās drošības interesēm, nekavējoties pārsūta Eiropas Savienības Kiberdrošības aģentūrai. (4) Nacionālais kiberdrošības centrs apkopo un apstiprina būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju sarakstu. Būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju saraksts ir ierobežotas pieejamības informācija. (41) Nacionālais kiberdrošības centrs var pieņemt lēmumu izslēgt no būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju saraksta tiešās pārvaldes iestādi, pastarpinātās pārvaldes iestādi, atvasinātu publisku personu un citu valsts institūciju, kuras darbības traucējums nevar būtiski ietekmēt sabiedrības drošību, valsts aizsardzību, sabiedrības veselību vai nevar radīt būtisku sistēmisku risku, kā arī privāto tiesību juridisko personu, ja tā vairs neatbilst būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam. (5) Ja persona par savu atbilstību būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam nav paziņojusi Nacionālajam kiberdrošības centram šajā likumā noteiktajā termiņā, bet Nacionālā kiberdrošības centra rīcībā esošā informācija ir pietiekama, lai noteiktu minētās personas atbilstību būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam, Nacionālais kiberdrošības centrs pieņem lēmumu par personas atbilstību būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam un iekļauj minēto personu būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju sarakstā, par to rakstveidā paziņojot minētajam būtisko pakalpojumu vai svarīgo pakalpojumu sniedzējam. Šādā gadījumā būtisko pakalpojumu vai svarīgo pakalpojumu sniedzējam ir pienākums nekavējoties, bet ne vēlāk kā mēneša laikā pēc paziņojuma saņemšanas sniegt Nacionālajam kiberdrošības centram šā panta pirmajā daļā minēto informāciju. (51) Šā panta piektajā daļā minēto lēmumu Nacionālais kiberdrošības centrs pieņem arī tad, ja tas konstatē, ka persona savu atbilstību būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam ir noteikusi neatbilstoši. (6) Šā panta ceturtajā daļā minēto sarakstu pārskata vismaz reizi divos gados. Nacionālais kiberdrošības centrs nodrošina, ka Eiropas Komisijai, NIS sadarbības grupai, kā arī pēc pieprasījuma citām Eiropas Savienības kompetentajām institūcijām tiek iesniegta apkopota informācija par būtisko pakalpojumu un svarīgo pakalpojumu sniedzēju skaitu, darbības jomām un sniegtajiem pakalpojumiem. (7) Nacionālais kiberdrošības centrs pēc Eiropas Komisijas vai citas Eiropas Savienības kompetentās institūcijas pieprasījuma var tai sniegt informāciju par būtisko pakalpojumu vai svarīgo pakalpojumu sniedzēja identitāti (piemēram, būtisko pakalpojumu vai svarīgo pakalpojumu sniedzēja nosaukumu, juridisko statusu, saimnieciskās darbības formu, kontaktinformāciju), ja vien šādas informācijas izpaušana nav pretrunā ar nacionālās drošības interesēm. 23 (Ar grozījumiem, kas izdarīti ar 04.06.2026. likumu, kas stājas spēkā 18.06.2026.) 23. pants. Domēnu vārdu reģistrācijas pakalpojumu sniedzēju uzskaite un domēnu vārdu reģistrācijas datubāzes prasības (1) Domēnu vārdu reģistrācijas pakalpojumu sniedzējs, kurš atbilst domēnu vārdu reģistrācijas pakalpojumu sniedzēja statusam un kura lēmumi saistībā ar kiberdrošību tiek pieņemti Latvijas Republikā vai kuram Latvijas Republikā ir vislielākais darbinieku skaits, ne vēlāk kā mēneša laikā par to paziņo Nacionālajam kiberdrošības centram. Paziņojumā norāda: 1) personas nosaukumu (fiziskā persona — vārdu, uzvārdu un personas kodu), juridisko statusu un saimnieciskās darbības formu, reģistrācijas numuru, juridisko adresi un citu kontaktinformāciju (piemēram, oficiālo elektronisko adresi, elektroniskā pasta adresi, tālruņa numuru, tīmekļvietnes adresi); 2) informāciju par personas darbības jomu atbilstoši šā likuma 20. un 21. pantam, ja attiecināms; 3) personas pastāvīgi izmantoto interneta protokola (IP) adrešu diapazonus; 4) valstis, kurās persona sniedz pakalpojumus; 5) personas kontaktpersonas datus (vārdu, uzvārdu, amatu, tālruņa numuru, elektroniskā pasta adresi). (2) Domēnu vārdu reģistrācijas pakalpojumu sniedzējs nekavējoties, bet ne vēlāk kā divu nedēļu laikā paziņo Nacionālajam kiberdrošības centram par jebkādām šā panta pirmajā daļā minētajā paziņojumā norādīto ziņu izmaiņām. (3) Nacionālais kiberdrošības centrs šā panta pirmajā un otrajā daļā minētos paziņojumus, izņemot šā panta pirmās daļas 3. punktā minēto informāciju un citu informāciju, kuras izpaušana ir pretrunā ar nacionālās drošības interesēm, nekavējoties pārsūta Eiropas Savienības Kiberdrošības aģentūrai. (4) Nacionālais kiberdrošības centrs apkopo un apstiprina domēnu vārdu reģistrācijas pakalpojumu sniedzēju sarakstu. (5) Ja persona par savu atbilstību domēnu vārdu reģistrācijas pakalpojumu sniedzēja statusam nav paziņojusi Nacionālajam kiberdrošības centram šajā likumā noteiktajā termiņā, bet Nacionālā kiberdrošības centra rīcībā esošā informācija ir pietiekama, lai noteiktu minētās personas atbilstību domēnu vārdu reģistrācijas pakalpojumu sniedzēja statusam, Nacionālais kiberdrošības centrs pieņem lēmumu par personas atbilstību domēnu vārdu reģistrācijas pakalpojumu sniedzēja statusam un iekļauj minēto personu domēnu vārdu reģistrācijas sniedzēju sarakstā, par to rakstveidā paziņojot minētajam domēnu vārdu reģistrācijas pakalpojumu sniedzējam. Šādā gadījumā domēnu vārdu reģistrācijas pakalpojumu sniedzējam ir pienākums nekavējoties, bet ne vēlāk kā mēneša laikā pēc paziņojuma saņemšanas sniegt Nacionālajam kiberdrošības centram šā panta pirmajā daļā minēto informāciju. (51) Šā panta piektajā daļā minēto lēmumu Nacionālais kiberdrošības centrs pieņem arī tad, ja tas konstatē, ka persona savu atbilstību domēnu vārdu reģistrācijas pakalpojumu sniedzēja statusam ir noteikusi neatbilstoši. (6) Prasības domēnu vārdu reģistrācijas datubāzei, kas piemērojamas augstākā līmeņa domēna ".lv" reģistra uzturētājam un domēnu vārdu reģistrācijas pakalpojumu sniedzējiem, nosaka Ministru kabinets. 24 (Ar grozījumiem, kas izdarīti ar 04.06.2026. likumu, kas stājas spēkā 18.06.2026.) 24. pants. Informācijas un komunikācijas tehnoloģiju kritiskā infrastruktūra (1) Par informācijas un komunikācijas tehnoloģiju kritisko infrastruktūru šā likuma izpratnē uzskatāma Ministru kabineta apstiprinātajā kritiskās infrastruktūras kopumā iekļautā informācijas un komunikācijas tehnoloģiju kritiskā infrastruktūra. (2) Informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras drošības prasības, izmantoto informācijas un komunikācijas tehnoloģiju resursu, pakalpojumu un piegādes ķēžu drošības risku pārvaldības prasības, kā arī pasākumus un to plānošanas un īstenošanas kārtību nosaka Ministru kabinets. (3) Šā panta otrajā daļā minētās prasības informācijas un komunikācijas tehnoloģiju kritiskajai infrastruktūrai nedrīkst būt zemākas par prasībām, kas šajā likumā noteiktas būtisko pakalpojumu sniedzējiem. 25 (Ar grozījumiem, kas izdarīti ar 04.06.2026. likumu, kas stājas spēkā 18.06.2026.) IV nodaļa Subje …