Nacionālās kiberdrošības likums
Ielaušanās testēšana NIS2 un NKDL gatavībai
NIS2 direktīvu Latvijā pārņem Nacionālās kiberdrošības likums (NKDL) un Ministru kabineta noteikumi Nr. 397. Šo noteikumu 8.2. apakšnodaļa (131.–140. punkts) ir veltīta ielaušanās testiem: tur ir rakstīts, kad tests jāveic un kas to drīkst veikt. Tā nav ieteikuma līmeņa vadlīnija, bet noteikumu teksts.
Testējam sistēmas tā, kā to darītu uzbrucējs, un ziņojumu sakārtojam tā, lai to varētu rādīt gan vadībai, gan auditoram: konstatējumi, riska līmeņi, novēršanas secība un atkārtotās pārbaudes rezultāts.
Svarīgi: Haxoris ir Slovākijas uzņēmums. NKDL 44. pantā noteikto auditu neveicam un atzinumu par atbilstību likuma prasībām neizsniedzam. Piedāvājam tehnisku drošības testēšanu un gatavības novērtēšanu.
Mums uzticas
NIS2 Latvijā
Ko NIS2 prasa un kur tas ir rakstīts?
Eiropas Parlamenta un Padomes direktīva (ES) 2022/2555 jeb NIS2 aizstāja iepriekšējo NIS direktīvu un paplašināja gan nozaru loku, gan pienākumus. Kiberdrošības risku pārvaldības pasākumus uzskaita 21. panta 2. punkts. Tabulā zemāk redzams, kuram no tiem ielaušanās tests dod pierādījumu un kā tas noder ziņošanai par incidentiem, ko prasa 23. pants.
Pati direktīva Latvijā nevienu nesaista. Saista Nacionālās kiberdrošības likums, kurš ir spēkā kopš 2024. gada 1. septembra, un Ministru kabineta 2025. gada 25. jūnija noteikumi Nr. 397 „Minimālās kiberdrošības prasības“. Tieši noteikumi pasaka, kurām sistēmām tests ir obligāts, cik bieži un kāds izpildītājs to drīkst veikt.
NIS2 prasība → ko sniedzam
| NIS2 prasība | Ko sniedzam |
|---|---|
| 21. panta 2. punkta e) apakšpunkts – drošība tīklu un informācijas sistēmu iegādē, izstrādē un uzturēšanā, tostarp ievainojamību apstrāde un atklāšana | Tīmekļa lietotņu, API un IT infrastruktūras ielaušanās testi atbilstoši OWASP Top 10:2025, ASVS un WSTG. Katram konstatējumam piešķiram riska līmeni, pievienojam pierādījumu un pierakstām konkrētu novēršanas soli. |
| 21. panta 2. punkta f) apakšpunkts – politika un procedūras kiberdrošības risku pārvaldības pasākumu efektivitātes novērtēšanai | Neatkarīgs tests, kas parāda, vai jau apmaksātās kontroles uzbrucēju tiešām aptur. Pēc labojumiem atkārtoto pārbaudi veicam bez papildu maksas. |
| 21. panta 2. punkta d) apakšpunkts – piegādes ķēdes drošība | Pārbaudām integrācijas, API un ārējos komponentus, uz kuriem balstās jūsu pakalpojums, tostarp mākoņvides konfigurāciju un identitātes robežas. |
| 23. pants – ziņošana par incidentiem | Ziņojumā atsevišķi atzīmējam konstatējumus, kuru izmantošana radītu nozīmīgu kiberincidentu. Ziņošanas kārtību tādējādi var izmēģināt pirms reāla notikuma, nevis tā laikā. |
Kā tas izskatās Latvijas regulējumā
Latvijas regulējums ir konkrētāks par direktīvu. Ielaušanās testu kārtību nosaka Ministru kabineta noteikumu Nr. 397 8.2. apakšnodaļa: 131. punkts – kad tests notiek, 132. punkts – kas to veic.
Tāpēc šī lapa nav par NIS2 kopumā, bet par vienu pienākumu – testēšanu. Ja vajadzīgs plašāks gatavības novērtējums visām prasībām, tas ir IT drošības audita uzdevums.
| Tēma | Ko nosaka regulējums | Atsauce |
|---|---|---|
| Kad tests notiek | A klases informācijas sistēmai – pirms nodošanas ekspluatācijā un pēc tam vismaz reizi trijos gados. Jebkurai citai sistēmai – pēc subjekta iniciatīvas vai pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma. | Noteikumu Nr. 397 131. punkts |
| Kas drīkst testēt | Testētājam vajadzīgs starptautiski atzīts sertifikāts, kas apliecina kvalifikāciju ielaušanās testu jomā (noteikumos kā piemēri minēti CEH un OSCP), vai vismaz divu gadu pieredze, kas iegūta pēdējo piecu gadu laikā. Turklāt testētājs pēdējo triju gadu laikā nedrīkst būt piedalījies testējamās sistēmas izstrādē vai uzturēšanā. | Noteikumu Nr. 397 132.2.1. un 132.2.2. apakšpunkts |
| Ikgadējā pārbaude | Kiberdrošības pārvaldniekam ne retāk kā reizi gadā jāveic informācijas un komunikācijas tehnoloģiju drošības pārbaude un atbilstoši tās rezultātiem jāorganizē konstatēto trūkumu novēršana. Izpildītājam šeit nekādas kvalifikācijas prasības nav noteiktas. | NKDL 25. panta piektās daļas 2. punkts |
| Pašvērtējuma ziņojums | Subjekts, kura īpašumā vai valdījumā ir vismaz viena A klases informācijas sistēma, pašvērtējumu veic reizi gadā; subjekts, kuram tādas nav, – reizi trijos gados. Veidlapu iesniedz līdz attiecīgā gada 1. oktobrim. Testa rezultāti ir tieši tas materiāls, uz kura šo ziņojumu var balstīt. | Noteikumu Nr. 397 141. un 142. punkts |
| Soda nauda | Būtisko pakalpojumu sniedzējam – līdz 10 miljoniem euro, bet, ja neto apgrozījums pārsniedz 500 miljonus euro, līdz 2% no tā. Svarīgo pakalpojumu sniedzējam – attiecīgi līdz 7 miljoniem euro vai 1,4%. Soda naudu piemēro subjektam, nevis testētājam. | NKDL 46. panta pirmā un otrā daļa |
Divas robežas, ko labāk nosaukt uzreiz. Pirmā: ja esat IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs, testētājam papildus vajadzīgs Satversmes aizsardzības biroja atzinums (132.3. apakšpunkts) – tāda atzinuma mums nav, tāpēc šādas sistēmas netestējam. Otrā: noteikumu 135.–140. punkts apraksta citu IKT infrastruktūras pārbaudi, kurai ir cits izpildītāju loks un cita kārtība; tas ir uzraudzības instruments, nevis komercpakalpojums. Mūsu puse ir ielaušanās testi un ievainojamību skenēšana.
Pierādījumu ķēde, ko sagaida auditors
Ziņojums viens pats reti ir pietiekams. Vērtētājs gaida noslēgtu ķēdi, un katru tās posmu sagatavojam:
Tvērums un rakstiska atļauja
Rakstiski fiksējam tvērumu, testēšanas noteikumus un atļauju. Tieši atļauja atšķir testu no noziedzīga nodarījuma: Krimināllikuma 241. pants soda par patvaļīgu piekļūšanu sistēmai bez attiecīgas atļaujas.
Testēšana un ziņojums
Katram konstatējumam – riska līmenis, ietekme uz darbību, atkārtošanas soļi un pierādījums. Ziņojumu izlasa gan izstrādātājs, gan cilvēks, kurš vērtē gatavību prasībām.
Novēršanas plāns
Katram konstatējumam piesaistām konkrētu risinājumu un atbildīgo. Tā ziņojums kļūst par darāmo darbu sarakstu, nevis par kārtējo dokumentu plauktā.
Atkārtota pārbaude un noslēgums
Labojumus pārbaudām vēlreiz bez papildu maksas un rakstiski apstiprinām, kuri konstatējumi ir novērsti. Šis apstiprinājums ķēdi noslēdz.
Uz ko NIS2 attiecas?
NIS2 aptver astoņpadsmit nozares, un Latvijas likums subjektus iedala divās grupās: būtisko pakalpojumu sniedzēji un svarīgo pakalpojumu sniedzēji. Ja darbojaties kādā no šīm nozarēm un sasniedzat lieluma slieksni, visdrīzāk esat subjekts.
Statusu nosaka pats uzņēmums: NKDL 22. panta pirmā daļa liek veikt pašvērtējumu par savu atbilstību subjekta statusam un mēneša laikā par to paziņot Nacionālajam kiberdrošības centram. Ja paziņojuma nav, centrs var pieņemt lēmumu arī bez tā.
Klientu atsauksmes
Ko par mums saka klienti
NIS2, NKDL un ielaušanās testi – biežāk uzdotie jautājumi
01 Vai NIS2 tiešām prasa ielaušanās testu?
Direktīva testu pēc nosaukuma neprasa. Tā prasa piemērotus tehniskus pasākumus un – 21. panta 2. punkta f) apakšpunktā – politiku un procedūras šo pasākumu efektivitātes novērtēšanai.
Latvijas regulējums iet tālāk un nosauc testu vārdā. Ministru kabineta noteikumu Nr. 397 131.1. apakšpunkts A klases informācijas sistēmai paredz ielaušanās testu pirms nodošanas ekspluatācijā un pēc tam vismaz reizi trijos gados. Pārējām sistēmām tests notiek pēc subjekta iniciatīvas (131.2. apakšpunkts) vai pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma (131.3. apakšpunkts). Jautājums nav par to, vai testēšana Latvijā ir regulēta. Jautājums ir, kurā no šiem gadījumiem atrodaties jūs.
02 Kā saprast, vai sistēma ir A klases?
Klasi nosaka pats subjekts, atsevišķi vērtējot konfidencialitātes, integritātes un pieejamības prasības. Ja kaut vienā no tām sistēmai noteikta A drošības klase, visa sistēma ir A klases (paaugstinātas drošības) informācijas sistēma (noteikumu Nr. 397 33.1. apakšpunkts). Kritiskās infrastruktūras kopumā iekļautu sistēmu par A klases sistēmu uzskata uzreiz, klasifikāciju neveicot (34. punkts).
Praksē tas ir pirmais, ko sarunā noskaidrojam, jo no atbildes atkarīgs gan pārbaudes biežums, gan tvērums.
03 Kādām prasībām jāatbilst testētājam?
Noteikumu Nr. 397 132.2.1. apakšpunkts prasa vai nu starptautiski atzītu sertifikātu, kas apliecina kvalifikāciju ielaušanās testu jomā (kā piemēri minēti CEH un OSCP), vai vismaz divu gadu darba pieredzi ielaušanās testu veikšanā, kas iegūta pēdējo piecu gadu laikā. Otrs nosacījums ir 132.2.2. apakšpunktā: pēdējo triju gadu laikā testētājs nedrīkst būt piedalījies testējamās sistēmas izstrādē vai uzturēšanā.
Pirms līguma parakstīšanas iesniedzam konkrēto testētāju kvalifikācijas apliecinājumus, lai varat tos pievienot savai dokumentācijai. Neatkarības nosacījumu ārpakalpojuma testētājs izpilda pēc būtības: jūsu sistēmas neesam ne izstrādājuši, ne uzturējuši.
Ja sistēma pieder IKT kritiskajai infrastruktūrai, 132.3. apakšpunkts prasa vēl Satversmes aizsardzības biroja atzinumu par testētāju. Tāda atzinuma mums nav, tāpēc šādas sistēmas netestējam un to sakām uzreiz, nevis pēc piedāvājuma nosūtīšanas.
04 Vai tests aizstāj NKDL 44. pantā noteikto auditu?
Nē, un šo auditu nepiedāvājam. NKDL 44. pants runā par auditu, kuru Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs var veikt pats vai uzdot subjektam pasūtīt; tādā gadījumā to veic neatkarīgs auditors, kurš atbilst Ministru kabineta noteiktajām prasībām un kuram ar subjektu nav interešu konflikta. Atzinumu par atbilstību likuma prasībām neizsniedzam.
Abus darbus ir arī praktiski turēt atsevišķi. Noteikumu Nr. 397 129.3. apakšpunkts paredz, ka auditors pēdējo triju gadu laikā nav piedalījies auditējamās sistēmas izstrādē, uzturēšanā vai testēšanā. Tā kā testu veicam mēs, bet auditu neveicam, savu auditoru izvēlaties tikpat brīvi kā pirms testa.
05 Cik bieži jātestē?
Minimums izriet no sistēmas klases: A klases sistēmai – pirms nodošanas ekspluatācijā un vismaz reizi trijos gados. Papildus tam NKDL 25. panta piektās daļas 2. punkts kiberdrošības pārvaldniekam uzliek pienākumu ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un organizēt konstatēto trūkumu novēršanu.
Tirgus prakse ir stingrāka par minimumu: pilns tests reizi gadā un atkārtoti pēc katrām lielākām izmaiņām arhitektūrā. Starp testiem ainu uztur svaigu regulāra ievainojamību skenēšana.
06 Cik maksā ielaušanās tests NIS2 gatavībai?
Cenu nosaka tvērums. Vienas tīmekļa lietotnes pārbaude ir mazākais darbs; plašs tīkls, mākoņvide vai vairākas savstarpēji saistītas sistēmas maksā ievērojami vairāk. Tipisks darbs aizņem 5–15 cilvēkdienas. Cenrādi nepublicējam: fiksētu piedāvājumu sagatavojam pēc īsas sarunas, kurā saskaņojam tvērumu.
07 Vai saņemsim dokumentu, ko rādīt auditoram?
Jā. Ziņojums, novēršanas plāns un atkārtotās pārbaudes rezultāts ir rakstīti tā, lai tos izlasītu ne tikai inženieris. Kopā ar tvēruma un atļaujas dokumentu tie veido pierādījumu kopumu, ko var pievienot pašvērtējuma ziņojumam vai nodot auditoram.
Apliecinājumu par atbilstību likuma prasībām neizsniedzam. Sniedzam tehnisko daļu: kas tika pārbaudīts, kas tika atrasts, kas ir novērsts un kas vēl ne.
