Autors Toms Mīviss, advokāts uzņēmumā Law & More
Kiberdrošība vairs nav tikai tehnisks jautājums. Tā ir arī juridiska un pārvaldības problēma, kas ietekmē praktiski jebkuru organizāciju neatkarīgi no tās lieluma.
Ar Eiropas NIS2 direktīvu un Nīderlandes Kiberdrošības likumu atbildība par digitālo noturību stingri tiek pārnesta uz valdi. Nīderlandes Kiberdrošības likums stājas spēkā 2026. gada 15. augustā. Tāpēc uzņēmumu īpašniekiem, direktoriem un atbilstības amatpersonām īsā laikā ir jānosaka:
- vai viņu organizācija ietilpst jauno noteikumu darbības jomā;
- kādi pienākumi no tiem izriet;
- kādi pasākumi ir nepieciešami;
- un kā organizācija var izpildīt šīs saistības.
Šajā rakstā ir izklāstīti NIS2 un Nīderlandes Kiberdrošības likuma galvenie elementi: darbības joma, rūpības pienākums, paziņošanas pienākums, valdes atbildība, izpilde un pasākumi, ko organizācijas var veikt jau tagad.
Kas ir NIS2?
NIS2 ir oficiālais Direktīvas (ES) 2022/2555 apzīmējums. Tā aizstāj pirmo Eiropas tīklu un informācijas drošības direktīvu, ko parasti dēvē par NIS1.
Dalībvalstīm NIS2 bija jātransponē valsts tiesību aktos līdz 2024. gada 17. oktobrim. Sākot ar 2024. gada 18. oktobri, NIS2 oficiāli aizstāja iepriekšējo direktīvu.
Tās mērķis ir paaugstināt un labāk saskaņot kibernoturības līmeni Eiropas Savienībā. Tas īstenojas divos galvenajos virzienos. Pirmkārt, plašāka darbības joma: noteikumi attiecas uz daudz vairāk organizācijām nekā uz NIS1. Otrkārt, stingrāka uzraudzība un stingrāka izpilde, ar plašāku instrumentu kopumu un skaidrākiem direktoru pienākumiem.
Ja NIS1 nošķīra būtisko pakalpojumu operatorus un digitālo pakalpojumu sniedzējus, NIS2 strādā ar būtiskām struktūrām un svarīgām struktūrām. Šī atšķirība nav tikai terminoloģiska: cita starpā tā nosaka uzraudzības intensitāti un iespējamo naudas sodu apmēru.
Kuras organizācijas ietilpst NIS2 darbības jomā?
NIS2 attiecas uz organizācijām, kas darbojas astoņpadsmit noteiktās nozarēs, kas iedalītas augstas kritiskās nozīmes nozarēs un citās kritiskās nozarēs.
Augstas kritiskības nozares ir enerģētika, transports, banku darbība, finanšu tirgus infrastruktūra, veselības aprūpe, dzeramā ūdens un notekūdeņu attīrīšana, digitālā infrastruktūra, IKT pakalpojumu pārvaldība uzņēmumu lietotājiem, valsts pārvalde un kosmosa nozare.
Citas kritiski svarīgās nozares ir pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmiskās vielas, pārtika, ražošana, digitālie pakalpojumu sniedzēji un pētniecības iestādes.
Izmēra slieksnis
Šajās nozarēs galvenais noteikums ir tāds, ka organizācija atbilst NIS2 prasībām, ja tā kvalificējas kā vidējs vai liels uzņēmums. Kritēriji ir vismaz 50 darbinieki vai gada apgrozījums vai bilances kopsumma, kas pārsniedz 10 miljonus eiro.
Šim galvenajam noteikumam ir izņēmumi. Dažas organizācijas ietilpst darbības jomā neatkarīgi no to lieluma, jo to pakalpojumi tiek uzskatīti par īpaši svarīgiem:
- publisko elektronisko sakaru tīklu un pakalpojumu sniedzēji;
- uzticamības pakalpojumu sniedzēji;
- domēna vārda reģistrācijas pakalpojumu sniedzēji;
- augstākā līmeņa domēna vārdu reģistri;
- publiskā sektora iestādes.
No 2026. gada 15. augusta jaunās saistības attiecas uz vairāk nekā 8,000 organizācijām Nīderlandē. Tas ir ievērojams pieaugums salīdzinājumā ar skaitu, uz kuru attiecas pašreizējais Tīklu un informācijas sistēmu drošības likums.
Tādēļ var tikt skartas organizācijas, kas iepriekš neuzskatīja sevi par daļu no kritiski svarīgas nozares, tostarp vidēja lieluma ražotāji, pārtikas ražotāji, pētniecības iestādes un digitālo pakalpojumu sniedzēji. Svarīgi ir tas, ka organizācijas pašas ir atbildīgas par to, lai novērtētu, vai tās ietilpst darbības jomā. Nekāda vēstule no vadītāja, kas tām to paziņotu, netiks saņemta.
Rūpības pienākums: kādi pasākumi ir nepieciešami?
NIS2 un Nīderlandes Kiberdrošības likuma pamatā ir pienākums rūpēties. Būtiskām un svarīgām struktūrām ir jāveic atbilstoši un samērīgi tehniski, operatīvi un organizatoriski pasākumi, lai pārvaldītu riskus saviem tīkliem un informācijas sistēmām.
Noteikumi nosaka tēmas, kurām jebkurā gadījumā ir jāpievēršas politikā:
- risku analīze un informācijas drošības politika;
- incidentu apstrāde;
- uzņēmējdarbības nepārtrauktība, dublējumu pārvaldība un atkopšana pēc negadījumiem;
- piegādes ķēdes drošība;
- kiberhigiēna un personāla apmācība;
- ievainojamību apstrādes politika;
- daudzfaktoru autentifikācija;
- nodrošinātas komunikācijas;
- kriptogrāfija;
- pasākumu efektivitātes periodiska novērtēšana.
Pasākumiem jābūt samērīgiem ar organizācijas lielumu un riskiem, kuriem tā faktiski ir pakļauta. Tāpēc mazākai svarīgai vienībai nav jāveic tādi paši pasākumi kā lielai būtiskai vienībai augsta riska nozarē.
Tas nenozīmē, ka rūpības pienākums ir neobligāts. Organizācijām ir jāspēj pamatot, kādus riskus tās ir identificējušas, kādus pasākumus tās ir veikušas un kāpēc šie pasākumi ir atbilstoši. Uzraudzības objekts ir ne tikai paši pasākumi, bet arī veids, kā tie tiek izvērtēti, reģistrēti un periodiski novērtēti.
Paziņošanas pienākums pēc incidenta
Līdztekus rūpības pienākumam NIS2 nosaka pakāpeniskas paziņošanas pienākumu par būtiskiem incidentiem. Ja incidentam ir vai varētu būt būtiska ietekme uz pakalpojumu nepārtrauktību, vispārīgi piemērojami šādi termiņi:
- 24 stundu laikā agrīnu brīdinājumu valsts datordrošības incidentu reaģēšanas komandai vai kompetentajai iestādei;
- 72 stundu laikā oficiālu paziņojumu ar sākotnēju nopietnības un ietekmes novērtējumu;
- ne vēlāk kā viena mēneša laikā – galīgo ziņojumu, kurā aprakstīts incidents, tā iespējamais pamatcēlonis, veiktie pasākumi un jebkāda pārrobežu ietekme.
Šie termiņi liek iepriekš noteikt skaidras procedūras. Organizācijai ir jāzina, kad par incidentu ir jāpaziņo, kas ir pilnvarots paziņot, kādai informācijai jābūt pieejamai, kas koordinē un kā tiek informēta valde un vadītājs.
Organizācija, kas cenšas izveidot paziņošanas procesu tikai incidenta laikā, riskē ar ievērojamu nespēs ziņot laikā vai pilnībā.
Valdes atbildība
Svarīgs NIS2 elements ir tas, ka atbildība par kiberrisku pārvaldību ir nepārprotami uzticēta valdei. Valdei ir jāapstiprina drošības pasākumi, jāuzrauga to ieviešana, jāspēj novērtēt organizācijas kiberriskus un pašai jāiziet pietiekama apmācība.
Tāpēc kiberdrošību vairs nevar uzskatīt tikai par IT nodaļas atbildību. Tā ir pārvaldības tēma, kurai jābūt daļai no regulāras lēmumu pieņemšanas un risku pārvaldības.
Direktīva arī skaidri nosaka augstākās vadības personisko atbildību, ja organizācija neievēro noteikumus. Attiecīgi jāreģistrē valdes iesaistīšanās, piemēram, dokumentējot veiktās apmācības, valdes lēmumus, apstiprināto politiku, riska novērtējumus, ziņošanu un ieviešanas uzraudzību.
Nīderlandes ieviešana
NIS2 ieviešana Nīderlandē ir ievērojami aizkavējusies. Transponēšanas termiņš — 2024. gada 17. oktobris — netika ievērots.
2026. gada 8. jūlijā Eiropas Komisija nolēma vērsties Eiropas Savienības Tiesā pret Nīderlandi kopā ar Īriju, Spāniju un Franciju par transponēšanas pasākumu nepaziņošanu. Tādējādi Nīderlande bija viena no četrām Eiropas Savienības atpalikušajām valstīm.
Laiks ir pārsteidzošs. Dienu iepriekš, 2026. gada 7. jūlijā, Senāts bija apstiprinājis Kiberdrošības likumu un Kritisko vienību noturības likumu. Vai fakts, ka likums tika pieņemts pirms pieprasījuma nosūtīšanas, ietekmē tiesvedības iznākumu, vēl jānoskaidro; tas ir jāizlemj Tiesai.
Abi likumi stājas spēkā 2026. gada 15. augustā. Kiberdrošības likums īsteno NIS2 direktīvu; Kritisko vienību noturības likums īsteno Eiropas CER direktīvu, kuras mērķis ir kritiskās infrastruktūras noturība. Organizācijas, uz kurām attiecas pēdējā minētā, tiks oficiāli noteiktas par kritiskajām vienībām no 2026. gada 15. augusta.
Līdz ar spēkā stāšanos pašreizējais Tīklu un informācijas sistēmu drošības likums (Wbni) zaudē spēku. Organizācijām, uz kurām tas jau attiecas, tas nozīmē smagākus pienākumus; organizācijām, kas pirmo reizi nonāk tā darbības jomā, – pilnīgi jaunu režīmu.
Reģistrācija NCSC
Svarīgs jauns pienākums ir reģistrēšanās Nacionālajā kiberdrošības centrā. Būtiskām un svarīgām struktūrām jābūt reģistrētām valsts struktūru reģistrā. Šī reģistrācija ir obligāta no 2026. gada 15. augusta un notiek caur MijnNCSC portālu, izmantojot eHerkenning parastajām organizācijām un SSOnRijk publiskā sektora iestādēm. Izmaiņas reģistrētajos datos jāziņo četrpadsmit dienu laikā.
Reģistrācija nav tikai administratīva formalitāte. Pēc reģistrācijas organizācijas var pieslēgties savas CSIRT pakalpojumiem, kas nodrošina produktus un pakalpojumus noturības palielināšanai, kā arī atbalstu incidenta gadījumā. Sagatavojiet reģistrāciju savlaicīgi, lai ieviešana nesāktos tikai pēc spēkā stāšanās.
Uzraudzība un izpilde
Kiberdrošības likums paredz diferencētu uzraudzības režīmu. Būtiskas struktūras ir pakļautas proaktīvai uzraudzībai: uzraudzītājs var veikt pārbaudes nepārtraukti un pēc savas iniciatīvas, bez konkrēta incidenta vai signāla. Svarīgas struktūras ir pakļautas reaktīvai uzraudzībai, kur uzraudzītājs principā rīkojas, reaģējot uz incidentu, sūdzību vai citu konkrētu signālu.
Uzraudzība ir sadalīta starp vairākām iestādēm. Kopš 2026. gada 15. augusta Nīderlandes Digitālās infrastruktūras iestāde uzrauga organizācijas deviņās nozarēs; citām nozarēm ir norīkoti citi uzraugi. Nosakiet, kurš uzraugs ir kompetents jūsu organizācijā.
Izpildes instrumentu kopums ir plašs un ietver:
- drošības skenēšana vai drošības audits;
- saistošs norādījums;
- administratīvs izpildes rīkojums vai rīkojums par soda naudas uzlikšanu;
- pārkāpuma publicēšana;
- administratīvs naudas sods;
- attiecībā uz būtiskām struktūrām: sertifikāta, atļaujas vai valdes locekļa darbības apturēšana.
Būtiskām struktūrām maksimālais naudas sods ir vismaz 10 miljoni eiro vai 2% no kopējā pasaules gada apgrozījuma, atkarībā no tā, kura summa ir lielāka. Svarīgām struktūrām tas ir vismaz 7 miljoni eiro vai 1.4% no pasaules gada apgrozījuma, atkal atkarībā no tā, kura summa ir lielāka. Galīgais līmenis ir atkarīgs no lietas apstākļiem, tostarp pārkāpuma rakstura, smaguma un ilguma, vainas pakāpes un veiktajiem pasākumiem.
Ko jūsu organizācija var darīt tagad?
- Veiciet pašnovērtējumu. Nosakiet, vai organizācija darbojas noteiktā nozarē un atbilst lieluma slieksnim.
- Nosakiet pareizo kategoriju. Nosakiet, vai organizācija kvalificējas kā būtiska vai svarīga vienība, un kurš vadītājs ir kompetents.
- Sagatavojiet reģistrāciju. Apkopojiet reģistrācijai NCSC nepieciešamos datus, izmantojot MijnNCSC.
- Pārbaudiet rūpības pienākuma pasākumus. Novērtējiet esošos pasākumus attiecībā uz riska analīzi, incidentu reaģēšanu, uzņēmējdarbības nepārtrauktību, piegādes ķēdes drošību, kiberhigiēnu, ievainojamībām, daudzfaktoru autentifikāciju un kriptogrāfiju.
- Izveidojiet paziņošanas procesu. Reģistrējiet, kas novērtē, vai incidents ir jāpaziņo, kas ziņo un kā tiek ievēroti 24 stundu, 72 stundu un viena mēneša termiņi.
- Iesaistīt valdi nepārprotami. Pierakstīt, kādus lēmumus valde ir pieņēmusi, kādas apmācības ir veiktas un kā tiek īstenota ieviešanas uzraudzība.
- Iekļaujiet piegādes ķēdi. Liela daļa ievainojamību rodas nevis pašā organizācijā, bet gan piegādātāju un pakalpojumu sniedzēju vidū. Pārskatiet savus līgumus par drošības pasākumiem, paziņošanas pienākumiem un audita tiesībām.
Noslēgumā
Kiberdrošības likums un Kritisko vienību noturības likums paredz ievērojamu kiberdrošības pienākumu pastiprināšanu. Plašāka darbības joma, konkrēti rūpības pienākuma pasākumi, stingri paziņošanas termiņi, direktoru personīgā atbildība un ievērojams izpildes instrumentu kopums nozīmē, ka organizācijas nevar atstāt šo tēmu novārtā. Tā kā likums stāsies spēkā 2026. gada 15. augustā, sagatavošanās laiks ir īss.
Law & More palīdz uzņēmumiem, direktoriem un atbilstības amatpersonām noteikt viņu statusu saskaņā ar NIS2 un Nīderlandes Kiberdrošības likumu, izveidot un testēt rūpības pienākuma pasākumus, sagatavot reģistrāciju NCSC un juridiski nostiprināt kiberdrošības politiku.
Vai vēlaties, lai tiktu novērtēta jūsu organizācijas pozīcija saskaņā ar jaunajiem noteikumiem? Lūdzu, sazinieties ar mums, lai pārrunātu šo jautājumu bez jebkādām saistībām.
Biežāk uzdotie jautājumi
Zemāk mēs atbildēsim uz jautājumiem, kas mums tiek uzdoti visbiežāk par šo tēmu.
Kad stājas spēkā Nīderlandes kiberdrošības likums?
2026. gada 15. augustā Senāts 2026. gada 7. jūlijā apstiprināja Kiberdrošības likumu un Kritisko vienību noturības likumu. Ar stāšanos spēkā zaudē spēku pašreizējais Tīklu un informācijas sistēmu drošības likums (Wbni).
Vai mana organizācija ietilpst NIS2 darbības jomā?
Tas ir atkarīgs no jūsu nozares un uzņēmuma lieluma. NIS2 aptver astoņpadsmit noteiktas nozares un šajās nozarēs parasti organizācijas ar vismaz 50 darbiniekiem vai gada apgrozījumu vai bilances kopsummu, kas pārsniedz 10 miljonus EUR. Dažas puses ir iekļautas neatkarīgi no to lieluma.
Vai man paziņos, ja mana organizācija būs iekļauta darbības jomā?
Nē. Organizācijas pašas ir atbildīgas par to, lai novērtētu, vai uz tām attiecas Kiberdrošības likums. Gaidīšana riskē ar pienākumiem, kas jāizpilda pirms novērtējuma veikšanas.
Kāda ir atšķirība starp būtisku un svarīgu vienību?
Tā nosaka uzraudzības intensitāti un iespējamo naudas sodu apmēru. Būtiskas vienības tiek pakļautas proaktīvai uzraudzībai, kur uzraugs var veikt pārbaudes pēc savas iniciatīvas. Svarīgas vienības tiek pakļautas reaktīvai uzraudzībai, ko izraisa incidents, sūdzība vai cits signāls.
Ko ietver rūpības pienākums?
Veicot atbilstošus un samērīgus tehniskus, operacionālus un organizatoriskus pasākumus, lai pārvaldītu riskus jūsu tīklam un informācijas sistēmām, aptverot tādus jautājumus kā risku analīze, incidentu apstrāde, uzņēmējdarbības nepārtrauktība, piegādes ķēdes drošība, kiberhigiēna, ievainojamības, daudzfaktoru autentifikācija un kriptogrāfija. Jums jāspēj pamatot, kāpēc izvēlētie pasākumi ir atbilstoši.
Kādi paziņošanas termiņi ir spēkā pēc incidenta?
Agrīns brīdinājums 24 stundu laikā, oficiāls paziņojums 72 stundu laikā ar sākotnēju nopietnības un ietekmes novērtējumu un galīgais ziņojums ne vēlāk kā viena mēneša laikā. Paziņošanas procesu izveidojiet iepriekš.
Vai manai organizācijai ir jāreģistrējas?
Jā. Reģistrācija valsts iestāžu reģistrā ir obligāta no 2026. gada 15. augusta, un to veic, izmantojot MijnNCSC, eHerkenning vai, publiskā sektora iestādēm, SSOnRijk. Izmaiņas jāziņo četrpadsmit dienu laikā. Pēc reģistrēšanās varat pieslēgties savas CSIRT pakalpojumiem.
Kāda atbildība gulstas uz valdi?
Valdei ir jāapstiprina drošības pasākumi, jāuzrauga to ieviešana, jāspēj novērtēt kiberriskus un pašai jāiziet apmācība. Direktīva attiecas uz augstākās vadības personisko atbildību par neatbilstību, tāpēc lēmumi, apmācība un uzraudzība ir jāreģistrē pierādāmi.
Cik lieli ir sodi?
Būtiskām vienībām vismaz 10 miljoni EUR vai 2% no pasaules gada apgrozījuma; svarīgām vienībām vismaz 7 miljoni EUR vai 1.4%, katrā gadījumā izvēloties lielāko summu. Galīgais līmenis ir atkarīgs no tādiem faktoriem kā pārkāpuma raksturs, smagums un ilgums, kā arī vainas pakāpe.
Kas uzrauga atbilstību?
Tas atšķiras atkarībā no nozares. Kopš 2026. gada 15. augusta Nīderlandes Digitālās infrastruktūras pārvalde uzrauga organizācijas deviņās nozarēs; citām nozarēm ir iecelti citi uzraugi. Nosakiet, kurš uzraugs ir kompetents jūsu organizācijā.
Kāpēc Nīderlande ir nodota izskatīšanai Tiesā?
Par NIS2 novēlotu transponēšanu. Eiropas Komisija 2026. gada 8. jūlijā nolēma vērsties Tiesā pret Nīderlandi kopā ar Īriju, Spāniju un Franciju par transponēšanas pasākumu nepaziņošanu. Tas, ka Kiberdrošības likums tika pieņemts dienu agrāk, pats par sevi neizbeidz šo tiesvedību.
Vai tas attiecas arī uz maniem piegādātājiem?
Piegādes ķēdes drošība ir viens no rūpības pienākuma jautājumiem. Liela daļa ievainojamību rodas piegādātāju un pakalpojumu sniedzēju vidū. Pārskatiet savus līgumus par drošības pasākumiem, paziņošanas pienākumiem un audita tiesībām.
