Kiberdrošības pašvērtējuma ziņojums
Nacionālās kiberdrošības likums (NKDL) nosaka vienotus kiberdrošības
pārvaldības principus Latvijā, kā arī definē valsts un privātā sektora
atbildību digitālās noturības nodrošināšanā kritiski svarīgās nozarēs.
Pirmais pašvērtējuma ziņojums bija jāiesniedz līdz 2025.gada 1.oktobrim.
Pirms ķerties pie pašvērtējuma ziņojuma aizpildīšanas, jāpārliecinās, vai uzņēmumam tas vispār jādara. Šeit var palīdzēt NKDL piemērojamības tests, kas pieejams Aizsardzības ministrijas timekļvietnē https://www.mod.gov.lv/lv/kiberdrosiba
Testā noskaidrosiet:
- vai uz
- uzņēmumu attiecas NKDL prasības;
- kādai likuma subjekta kategorijai organizācija vai uzņēmums atbilst (būtisko vai svarīgo pakalpojumus sniedzējs, vai informācijas un komunikācijas tehnoloģiju (IKT) kritiskās infrastruktūras turētājs);
- kurai iestādei jāiesniedz pašvērtējuma ziņojums (tas atkarīgs no noteiktās NKDL subjekta kategorijas) –Nacionālajam kiberdrošības centram, CERT.LV vai Satversmes aizsardzības birojam (SAB).
Aizpildot pašvērtējuma ziņojumu, katrā sadaļā jānorāda tieši tā informācija, kā to prasa MK noteikumu Nr.397 pielikumā esošās veidlapas jautājums – atzīmējot atbildes variantu “Jā” vai “Nē”, un sniedzot papildu informāciju, piemēram, pielikuma nosaukumu, ekrānuzņēmumu vai īsu skaidrojumu par faktisko situāciju.
Ja uzņēmumam trūkst iekšējo resursu vai atbilstošu kompetenču atsevišķu
NKDL noteikto kiberdrošības pasākumu vai procesu izpildei (piemēram,
kiberdrošības risku novērtēšana un darbības nepārtrauktības plānu
izstrāde, IKT infrastruktūras drošības testēšana, kiberincidentu
pārvaldība vai kiberhigiēnas pasākumu organizēšana), var tikt
piesaistīti arī ārējie pakalpojumu sniedzēji, kas specializējas šajos
jautājumos.
Aizpildot pašvērtējuma ziņojumu, NKDL subjektam jānorāda faktiskā un
pierādāmā situācija uzņēmumā, nevis plānotie vai vēlamie uzlabojumi.
Ziņojuma mērķis ir parādīt reālo kiberdrošības atbilstības līmeni, tāpēc
informācijai jābūt objektīvai un pamatojamai ar apstiprinātiem
dokumentiem vai citiem pierādījumiem.
Ja kāda no prasībām nav pilnībā izpildīta, tas ziņojumā ir jānorāda,
pievienojot īsu skaidrojumu un korektīvo darbību plānu, kurā iekļauts
izpildes termiņš un atbildīgā persona.
Uzņēmuma vadība ir personīgi atbildīga par minimālo kiberdrošības prasību ieviešanu un ziņojuma satura patiesumu.