NIS2 ceļvedis
Kam Latvijā piemēro NIS2 prasības
Latvijā NIS2 direktīvu pārņem Nacionālās kiberdrošības likums (NKDL). Tas iedala organizācijas būtisko un svarīgo pakalpojumu sniedzējos. Noteicošais ir nozare, uzņēmuma lielums un daži īpaši gadījumi, kuros lielumam nav nozīmes.
Aktualizēts: 2026. gada oktobris · Tiesiskais pamats: Nacionālās kiberdrošības likums un MK noteikumi Nr. 397
Divas subjektu grupas
NKDL attiecas uz trim subjektu veidiem: būtisko pakalpojumu sniedzējiem (20. pants), svarīgo pakalpojumu sniedzējiem (21. pants) un informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem (24. pants). Likums tos kopā sauc par subjektiem (3. panta pirmā daļa).
Būtisko un svarīgo pakalpojumu sniedzējiem pienākumi lielā mērā ir vienādi: reģistrācija Nacionālajā kiberdrošības centrā (NKDC), kiberdrošības pārvaldnieks, MK noteikumu Nr. 397 minimālās prasības un ziņošana par kiberincidentiem. Atšķirības ir detaļās un sekās. Būtisko pakalpojumu sniedzējiem ir augstāka maksimālā soda nauda, biežāka dokumentu pārskatīšana un stingrākas prasības tīklu pārvaldībai. Organizācija nevar būt abos statusos vienlaikus: ja izpildās abu grupu pazīmes, tā ir būtisko pakalpojumu sniedzējs.
Latvijas lieluma kritēriji
Šeit Latvijas likums atšķiras no ES ieteikuma 2003/361, ko izmanto daudzas citas valstis. NKDL 1. pants lielumu definē šādi:
| Lielums | Kritēriji (NKDL 1. pants) |
|---|---|
| Liels saimnieciskās darbības veicējs (16. punkts) | vismaz 250 nodarbinātie vai pēdējā finanšu gada neto apgrozījums virs 50 milj. euro vai bilances kopsumma virs 43 milj. euro |
| Vidējs saimnieciskās darbības veicējs (25. punkts) | līdz 249 nodarbinātajiem un neto apgrozījums no 10 līdz 50 milj. euro vai bilances kopsumma no 10 līdz 43 milj. euro |
Divas sekas ir svarīgas praksē. Pirmkārt, lielam uzņēmumam pietiek ar vienu pazīmi: arī uzņēmums ar 80 darbiniekiem, bet ar 60 milj. euro apgrozījumu, ir liels. Otrkārt, vidēja uzņēmuma definīcijā nav darbinieku apakšējās robežas. Pēc likuma teksta uzņēmums ar 120 darbiniekiem, kura apgrozījums un bilance ir zem 10 milj. euro, nav vidējs. Ja Jūsu uzņēmums ir tuvu robežām, izvērtējumu dokumentējiet un neskaidrā gadījumā vaicājiet NKDC.
Kuras nozares aptver likums
Būtisko pakalpojumu sniedzēji (20. pants) ir lieli saimnieciskās darbības veicēji šādās jomās: enerģētika (elektroenerģija, siltumapgāde, nafta, ūdeņradis), aviācija, dzelzceļš, kuģošana, ostu pārvaldes un komersanti ostu teritorijā, valsts autoceļi un intelektiskās transporta sistēmas, kredītiestādes un tirdzniecības vietas, ārstniecības iestādes, zāļu izpēte un ražošana, kritiski svarīgas medicīniskās ierīces, dzeramais ūdens, notekūdeņi, interneta plūsmu apmaiņas punkti, mākoņdatošana, datu centri, satura piegādes tīkli, IKT pārvaldības un kiberdrošības pakalpojumi un kosmoss.
Svarīgo pakalpojumu sniedzēji (21. pants) ir vidēji uzņēmumi tajās pašās jomās, kā arī vidēji un lieli uzņēmumi šādās nozarēs: pasts, atkritumu apsaimniekošana, ķīmiskās vielas, pārtikas ražošana un vairumtirdzniecība, medicīniskās ierīces, datori un elektronika, elektriskās iekārtas, mašīnbūve, automobiļi un citi transportlīdzekļi, tiešsaistes tirdzniecības vietas, meklētājprogrammas, sociālo mediju platformas un zinātniskās institūcijas.
Latvija sarakstu ir papildinājusi ar nacionālām jomām. Apsardzes pakalpojumu sniedzēji ir svarīgo pakalpojumu sniedzēji, ja tie ir vidēji vai lieli. Svarīgo pakalpojumu sniedzēji ir arī izglītības informācijas sistēmu uzturētāji un uzticamības pakalpojumu sniedzēji, kas nav kvalificēti. Sabiedriskie elektroniskie plašsaziņas līdzekļi ir būtisko pakalpojumu sniedzēji.
Kad lielumam nav nozīmes
Daži subjekti ir būtisko pakalpojumu sniedzēji neatkarīgi no apgrozījuma un darbinieku skaita (20. pants):
- visi elektronisko sakaru komersanti, kas darbojas Latvijā;
- kvalificēti uzticamības pakalpojumu sniedzēji, augstākā līmeņa domēnu reģistri un DNS pakalpojumu sniedzēji;
- tiešās pārvaldes iestādes, atvasinātas publiskas personas (piemēram, pašvaldības) un citas valsts institūcijas, izņemot valsts drošības iestādes;
- uzņēmums, kas ir vienīgais šāda pakalpojuma sniedzējs Latvijā kādā no 20. panta jomām (9. punkts);
- organizācijas, kuru darbības traucējums var būtiski ietekmēt sabiedrības drošību, valsts aizsardzību vai sabiedrības veselību vai radīt sistēmisku risku (11. punkts). Kopš 2026. gada 1. oktobra šis punkts tieši min arī nacionālajai drošībai nozīmīgas komercsabiedrības, nodibinājumus un biedrības.
IKT kritiskās infrastruktūras īpašnieki ir atsevišķa grupa. Tos uzrauga Satversmes aizsardzības birojs (SAB), nevis NKDC (41. pants), taču NKDC viņiem jebkurā gadījumā jāreģistrējas kā būtisko vai svarīgo pakalpojumu sniedzējiem.
Kā izvērtēt savu statusu
Nosakiet darbības jomas
Salīdziniet visas faktiskās darbības ar 20. un 21. panta sarakstu. NKDC skaidro, ka uzņēmums var būt subjekts arī tad, ja attiecīgā darbība nav tā pamatdarbība. Izņēmums ir pārtika: tur skaitās tikai pamatdarbība.
Aprēķiniet lielumu
Izmantojiet pēdējā noslēgtā finanšu gada datus un NKDL 1. panta definīcijas, nevis grāmatvedības likuma vai ES ieteikuma kategorijas.
Pārbaudiet īpašos gadījumus
Elektroniskie sakari, uzticamības pakalpojumi, vienīgais pakalpojuma sniedzējs, publiska persona.
Dokumentējiet rezultātu
Ja likums attiecas, mēneša laikā iesniedziet statusa paziņojumu. Ja neattiecas, saglabājiet izvērtējumu. NKDC var pats iekļaut organizāciju sarakstā, ja tam ir pietiekama informācija (22. panta piektā daļa).
NKDC piedāvā interaktīvu testu savā vietnē, taču pats norāda, ka rezultāts ir indikatīvs. Mūsu NIS2 novērtējums sniedz sākotnēju statusa novērtējumu un vienlaikus parāda, cik tālu esat ar prasību izpildi. Kā notiek reģistrācija, skaidro lapa par statusa paziņojumu NKDC.
Biežāk uzdotie jautājumi
Vai mazs uzņēmums var būt NKDL subjekts?
Jā, ja tas ir elektronisko sakaru komersants, kvalificēts uzticamības pakalpojumu sniedzējs, DNS vai domēnu reģistra pakalpojumu sniedzējs, vienīgais šāda pakalpojuma sniedzējs Latvijā vai atbilst 20. panta 11. punktam.
Vai uzņēmums ar 100 darbiniekiem vienmēr ir vidējs?
Pēc NKDL 1. panta 25. punkta teksta nē. Vidējam uzņēmumam vajag arī neto apgrozījumu vai bilances kopsummu vismaz 10 milj. euro. Robežgadījumus izvērtējiet un dokumentējiet.
Vai e-veikals ir tiešsaistes tirdzniecības vieta?
Parasti nē. Pēc NKDC skaidrojuma tiešsaistes tirdzniecības vieta ir platforma, kurā patērētāji slēdz līgumus ar citiem pārdevējiem, nevis ar pašu vietnes uzturētāju.
Vai NKDC publicē subjektu sarakstu?
Nē. Būtisko un svarīgo pakalpojumu sniedzēju saraksts ir ierobežotas pieejamības informācija (NKDL 22. panta ceturtā daļa).