Vai ar ISO 27001 pietiek NKDL prasībām?

Nepietiek. Tā ir pilna atbilde uz virsraksta jautājumu, un atšķaidīt to nav vērts: ISO 27001 sertifikāts ir brīvprātīgs, bet Nacionālās kiberdrošības likums (turpmāk – NKDL) uz subjektu attiecas ar likuma spēku. Sertificēšanas institūcijas izsniegts dokuments neatceļ pienākumu, kas noteikts tiesību normā.

Vēl dārgāks ir pretējais apgalvojums – ka standartam ar likumu neesot nekāda sakara. Satura pārklāšanās ir liela. Tik liela, ka uzņēmumam ar dzīvu informācijas drošības pārvaldības sistēmu priekšā ir dažas nedēļas darba, nevis ceturksnis. Tālāk sadalām abas puses: ko sertifikāts aizver, ko tas neaizvērs nekad un kādā secībā pielikt klāt pārējo.

Kāpēc sertifikāts neaizstāj likumu

Abi dokumenti atbild uz dažādiem jautājumiem. Standarts jautā, vai drošību pārvalda atkārtojamā veidā. Likums jautā, vai subjekts ir izdarījis to, kas uzdots, un vai izdarījis termiņā.

Vissvarīgākā ir otrā rinda. Pārvaldības sistēmas tvērumu nosaka pati organizācija, un daudzi sertifikāti apraksta rūpīgi izraudzītu izgriezumu. Likuma pienākumu tvērumu turpretī nosaka tas, ar ko uzņēmums nodarbojas. Ja sertifikātā ir ierakstīts datu centrs X pilsētā, bet likums attiecas uz visu klientu apkalpošanas platformu, tad dokuments runā par citu sistēmu, nevis par to, par kuru jautās uzraudzības iestāde.

Ko ISO 27001 jau aizver

Tagad labā ziņa, un tā pienākas ikvienam, kas sertifikāciju ir izgājis. NKDL prasa pārvaldītu kiberdrošību, un tā ir tā pati konstrukcija, ko apraksta standarts. Otru sistēmu blakus pirmajai būvēt nevajag. Jāuzbūvē atbilstības tabula: tie paši pierādījumi, tikai ar atsauci uz normu, nevis uz pasākuma numuru.

Nosacījums ir viens, un tas nav formāls: sistēmai jādzīvo arī ārpus audita nedēļas. Risku reģistrs, ko atjaunina reizi gadā dienu pirms sertificēšanas institūcijas vizītes, sertifikācijas auditu iztur un sadursmi ar incidentu neiztur.

Sertifikātam ir arī tieša vieta likumā. NKDL 45. panta sestās daļas 7. punkts uzraudzības iestādei liek ņemt vērā, vai subjekts ievēro iekšējos noteikumus, kiberrisku pārvaldības plānu un tam saistošos starptautiskos standartus un sertifikācijas shēmas. Tas nav atbrīvojums, taču, lemjot par sekām, to sver.

Septiņi pienākumi, ko sertifikāts neaizver

Šiem pienākumiem standartā ekvivalenta nav. Ne tāpēc, ka standarts būtu vājš, bet tāpēc, ka tas nepazīst uzraudzības iestādes jēdzienu.

1. Pašvērtējums un paziņošana Nacionālajam kiberdrošības centram

NKDL 22. panta pirmā daļa uzliek pienākumu vispirms novērtēt pašam sevi: vai persona atbilst būtisko pakalpojumu sniedzēja vai svarīgo pakalpojumu sniedzēja statusam. Atbilstības gadījumā par to mēneša laikā paziņo Nacionālajam kiberdrošības centram, norādot arī sniegto pakalpojumu uzskaitījumu un aprakstu, pastāvīgi izmantoto IP adrešu diapazonus un kontaktpersonu. Par ziņu izmaiņām paziņo divu nedēļu laikā (22. panta otrā daļa).

Šo soli neviens neizdara subjekta vietā. Sertificēšanas institūcija tādu darbību nepazīst, jo standartā tās nav. Ja paziņojums nav sniegts, bet centra rīcībā ir pietiekama informācija, lēmumu par personas atbilstību statusam tas pieņem pats, un tad ziņas jāsniedz mēneša laikā pēc paziņojuma saņemšanas (22. panta piektā daļa). Tīra administrācija – un tieši tāpēc tā visbiežāk paliek nepamanīta: pārvaldības sistēmas grafikā šāda uzdevuma nav.

2. Kiberdrošības pārvaldnieks un vadītāja atbildība

NKDL 25. panta pirmā daļa runā par konkrētu cilvēku. Par kiberdrošības pārvaldību atbild subjekta vadītājs, un viņš nosaka atbildīgo personu – kiberdrošības pārvaldnieku. Termiņš (25. panta otrā daļa) ir trīs mēneši no 22. panta pirmajā daļā minētā paziņojuma vai piektajā daļā minētā lēmuma, un par pārvaldnieka noteikšanu piecu darbdienu laikā paziņo Nacionālajam kiberdrošības centram un Satversmes aizsardzības birojam, norādot vārdu, uzvārdu, personas kodu, amatu, e-pasta adresi un tālruņa numuru.

Standarta 5.1. nodaļa prasa vadības apņemšanos un iesaisti, bet uzrunā organizāciju; A.5.2 sadala lomas iekšēji. Likums prasa vārdu un uzvārdu, ko zina uzraudzības iestāde. Pārvaldniekam ir arī savs pienākumu saraksts (25. panta piektā daļa): organizēt drošības pasākumus, ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un organizēt konstatēto trūkumu novēršanu, vismaz reizi gadā apmeklēt kiberincidentu novēršanas institūcijas rīkotu apmācību un vismaz reizi gadā nodrošināt nodarbināto instruktāžu.

Vadītāja atbildība nav simboliska. NKDL 45. panta piektās daļas 3. punkts ļauj uz laiku aizliegt fiziskajai personai, kas subjektā atbild par vadības un pārstāvības pienākumiem izpildinstitūcijas līmenī vai tam līdzvērtīgā līmenī, šīs funkcijas veikt. Aizliegumu nepiemēro svarīgo pakalpojumu sniedzējam, kas nav IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs (astotā daļa), kā arī tiešās un pastarpinātās pārvaldes iestādēm, citām valsts institūcijām un atvasinātām publiskajām personām (vienpadsmitā daļa).

3. Informācijas sistēmu klasificēšana

MK noteikumi Nr. 397 katrai informācijas sistēmai liek noteikt drošības klasi. A klases (paaugstinātas drošības) sistēma ir tā, kurai noteikta vismaz viena A līmeņa konfidencialitātes, integritātes vai pieejamības drošības klase (33.1. apakšpunkts), bet kritiskās infrastruktūras kopumā iekļautu sistēmu par A klases sistēmu uzskata uzreiz (34. punkts).

Standarta riska novērtēšana to neaizstāj, jo iznākums ir citāds. Standarts sarindo riskus, un organizācija izlemj, kurus pasākumus ieviest. Klasificēšana turpretī atver noteikumu katalogā vienu konkrētu kolonnu, un tajā kolonnā jau stāv ķeksīši: garāki žurnālierakstu glabāšanas termiņi, biežākas rezerves kopiju pārbaudes un – kā redzēsim tālāk – obligāti ielaušanās testi.

4. Pašvērtējuma ziņojums līdz 1. oktobrim

NKDL 43. pants prasa iesniegt atbilstības pašvērtējuma ziņojumu, bet regularitāti nosaka MK noteikumu Nr. 397 141. punkts: reizi gadā – subjektam, kura īpašumā vai valdījumā ir vismaz viena A klases informācijas sistēma, un IKT kritiskās infrastruktūras īpašniekam vai tiesiskajam valdītājam; reizi trijos gados – pārējiem subjektiem, ja vien Nacionālais kiberdrošības centrs nav noteicis citādi. Veidlapu iesniedz līdz attiecīgā kalendāra gada 1. oktobrim (142. punkts), un pirmoreiz ziņojums bija jāiesniedz līdz 2025. gada 1. oktobrim (NKDL pārejas noteikumu 12. punkts).

Tas nozīmē, ka ikgadējā ciklā esošajiem subjektiem nākamais termiņš ir 2026. gada 1. oktobris. Standarta iekšējais audits (9.2. nodaļa) šo ziņojumu neaizstāj, taču tā materiāls veidlapas aizpildīšanu saīsina: lielākā daļa rindu jau ir aprakstīta, tikai citā valodā.

5. Kiberincidentu ziņošana

Pasākumi A.5.24–A.5.26 apraksta incidentu apstrādes iekšējo kārtību: kas klasificē, kas lemj, kā to dokumentē. Standarts nepazīst tikai vienu: pulksteni, kas sāk skaitīt laiku attiecībā pret iestādi.

NKDL 34. pants šādu pulksteni iedarbina, un ziņojumu saņem kompetentā kiberincidentu novēršanas institūcija. Ziņošanas termiņus nosaka pats likums – NKDL 34. panta otrā–piektā daļa, ko piemēro no 2025. gada 1. jūlija (pārejas noteikumu 11. punkts). Incidentu klasifikāciju un ziņojumu formas nosaka MK noteikumi Nr. 397, savukārt NIS2 direktīvas 23. pants paredz trīspakāpju ķēdi: agrīnais brīdinājums, ziņojums par incidentu un gala ziņojums. Precīzos termiņus, adresātu un formu pārbaudiet spēkā esošajā normas tekstā, pirms tos ierakstāt procedūrā – saista norma, nevis raksta kopsavilkums.

Jūsu esošais incidentu process ir laba bāze, bet tam vajag jaunu zaru: kas naktī izlemj, ka incidents ir nozīmīgs, un kas ziņojumu faktiski nosūta. Cena par kļūdu ir ierakstīta likumā. NKDL 46. panta piektās daļas 3. punkts par būtisku neatbilstību atzīst tieši to, ka subjekts noteiktajā termiņā nepaziņo par nozīmīgu kiberincidentu. Būtisko pakalpojumu sniedzējam soda nauda var sasniegt 10 miljonus euro, bet, ja pēdējā finanšu gada neto apgrozījums pārsniedz 500 miljonus euro, – 2% no apgrozījuma; svarīgo pakalpojumu sniedzējam attiecīgi 7 miljonus euro vai 1,4%.

6. Atbilstības audits pēc NKDL 44. panta

Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs ir tiesīgi veikt subjekta atbilstības auditu vai uzdot subjektam veikt ārējo auditu, ja ir aizdomas par kiberdrošības pārkāpumiem vai tie ir konstatēti. Ārējo auditu veic neatkarīgs kiberdrošības auditors, kuram ar subjektu nav interešu konflikta. Izmaksas sedz un konstatētos pārkāpumus novērš pats subjekts, un pēc audita beigām subjekts nekavējoties iesniedz uzraudzības iestādei audita ziņojuma kopiju.

Šī ir trešās puses procedūra. HAXORIS to neveic un nepiedāvā – mūsu darbs ir tehniskā drošības testēšana un gatavības novērtēšana.

Viena lieta te nesen ir mainījusies, un tirgus kopsavilkumi to vēl nav paguvuši atspoguļot. Ar 18.06.2026. grozījumiem publiskais kiberdrošības auditoru saraksts ir likvidēts: subjekts vairs nav ierobežots izvēlēties auditoru no saraksta un var izraudzīties jebkuru auditoru, kas atbilst Ministru kabineta noteiktajām prasībām. Līdz jauno noteikumu spēkā stāšanās dienai, bet ne ilgāk kā līdz 2026. gada 1. decembrim, piemēro tās prasības, kas MK noteikumos Nr. 397 bija noteiktas reģistrācijai sarakstā (pārejas noteikumu 14. punkts).

Sertifikācijas audits šo auditu neaizstāj: cits tiesiskais pamats, cits tvērums, cits rezultāta adresāts. Sertifikāts palīdz citādi, taču reāli: lielākā daļa standartam savākto pierādījumu der auditoram bez pārstrādāšanas. Ko auditors pieprasa un kā lietu sakārtot iepriekš, esam aprakstījuši rakstā kā sagatavoties kiberdrošības auditam.

7. Obligātie ielaušanās testi A klases sistēmām

Pasākums A.8.29 prasa drošības testēšanu izstrādē un pieņemšanā, taču nepasaka ne to, cik bieži, ne to, kam tā jāveic. MK noteikumi Nr. 397 pasaka abus.

Prasības testa veicējam ir tikpat konkrētas. Testu drīkst veikt subjekta personāls, kas pēdējo triju gadu laikā nav bijis iesaistīts testējamās sistēmas izstrādē vai uzturēšanā, vai cita persona, kura ir saņēmusi starptautiski atzītu sertifikātu ielaušanās testu jomā (piemēram, CEH, OSCP) vai kurai ir vismaz divu gadu darba pieredze ielaušanās testu veikšanā pēdējo piecu gadu laikā, un kura arī nav bijusi iesaistīta sistēmas izstrādē vai uzturēšanā (132.2.1. un 132.2.2. apakšpunkts). IKT kritiskajā infrastruktūrā papildus vajadzīgs Satversmes aizsardzības biroja atzinums, un par testa rezultātiem birojam paziņo 10 darbdienu laikā (134. punkts).

Praktiskā secība no tā izriet pati: pirms līguma parakstīšanas pieprasiet izpildītājam rakstisku apliecinājumu par 132.2. apakšpunkta prasību izpildi. Tas ir dokuments, ko auditors vēlāk meklēs lietā, un pēc fakta to savākt ir dārgāk.

Vēl viena atšķirība, ko kopsavilkumi mēdz sajaukt: MK noteikumu Nr. 397 135.–140. punktā aprakstītā IKT infrastruktūras skenēšana nav tas pats, kas komerciāla ievainojamību skenēšana. Noteikumos tā ir uzraudzības instruments, ko veic pēc Nacionālā kiberdrošības centra, Satversmes aizsardzības biroja vai paša subjekta pieprasījuma, un tai ir savs izpildītāju loks. Kuram subjektam un kurai sistēmai ielaušanās tests ir obligāts, skaidrojam rakstā vai ielaušanās testēšana ir obligāta.

Biežākā plaisa: tvērums

Visus septiņus punktus var izpildīt: vajadzīgs laiks un atbildīgais. Ir tikai viena kļūda, kas atceļ visu argumentāciju, un tā ir tvērums. Ja sertifikāts neaptver to pakalpojumu, kura dēļ uzņēmums vispār ir likuma subjekts, tad arguments par segumu sabrūk: pierādījumu lielākā daļa stāsta par citu sistēmu, nevis par to, par kuru jautās uzraudzības iestāde.

Pārbaude aizņem stundu. Salieciet blakus divas rindas – sertifikāta tvēruma aprakstu un to pakalpojumu uzskaitījumu, ko paziņojāt Nacionālajam kiberdrošības centram. Ja tās nesakrīt, viss pārējais darbs ir jāsāk no šīs rindas.

Kāpēc segumu nav vērts mērīt procentos

Pārklāšanos mēdz izteikt procentos, un skaitlis izklausās pārliecinoši. Tas neatbild uz jautājumu, kam ir nozīme. Atbilstība nav eksāmens, ko nokārto ar 80 punktiem. Uzraudzības iestāde nepārbaudīs, cik procentu ir izdarīts – tā pārbaudīs, vai paziņojums ir sniegts, vai pašvērtējuma ziņojums ir iesniegts termiņā un vai par incidentu ir ziņots. Tāpēc procenta vietā noderīgāks ir iepriekšējās sadaļas saraksts: no saraksta izriet grafiks, no procenta neizriet nekas.

Viens tests, divi pierādījumu komplekti

Ir viena vieta, kur standarts un normatīvie akti prasa tieši to pašu – un kur praksē visbiežāk pietrūkst tieši pierādījuma.

Pasākums A.8.8 prasa tehnisko ievainojamību pārvaldību: iegūt informāciju par izmantoto sistēmu ievainojamībām, izvērtēt ietekmi un rīkoties. A.8.29 tam pievieno drošības testēšanu izstrādē un pieņemšanā. Latvijas pusē to pašu darbu prasa MK noteikumu Nr. 397 131. punkts un NKDL 25. panta piektās daļas 2. punkts – ikgadējā informācijas un komunikācijas tehnoloģiju drošības pārbaude, pēc kuras rezultātiem organizē konstatēto trūkumu novēršanu.

Tas ir viens darbs, nevis divi. Ikdienā to dara ievainojamību novērtēšana, kas izķer jaunatklātās kļūdas izmantotajos komponentos; periodiski ielaušanās tests jeb pentests parāda, vai ieviestie pasākumi uzbrucēju tiešām aptur. Viens projekts dod pierādījumus abām pusēm, ja ziņojums nosauc, kurai prasībai konstatējums atbilst. Tieši tā strādā ielaušanās testēšana ISO 27001 gatavībai un ielaušanās testēšana NIS2 un NKDL gatavībai: viens tvērums, viens ziņojums, divas atsauču kolonnas.

Kur tieši iet robeža starp automatizētu skenēšanu un manuālu testu, esam salīdzinājuši rakstā ievainojamību skenēšana vai ielaušanās tests.

Ko sagatavojam pierādījumu pusē

Auditu veic neatkarīgs auditors, bet tehniskais pierādījums, ko viņš pieprasa, rodas pašā organizācijā. Tieši šo daļu sagatavojam. No viena testēšanas projekta iznāk komplekts, ko pieņem gan sertificēšanas institūcija, gan auditors:

• Tvērums un laiks. Kura sistēma, kura saskarne un kurš piekļuves tiesību līmenis pārbaudīts, no kura līdz kuram datumam un pēc kāda modeļa.
• Konstatējumi ar pierādījumiem. Katram ierakstam līdzi nāk atkārtošanas soļi un pierādījums, ka kļūda ir izmantojama praksē, nevis tikai skenera rinda.
• Riska novērtējums konkrētajā vidē. Blakus CVSS vērtējumam aprakstām, ko kļūda nozīmē šajā organizācijā: klientu dati, dīkstāve, finansiāls zaudējums.
• Novēršanas soļi prioritārā secībā. Nevis „atjauniniet sistēmu“, bet kurš komponents, uz kuru versiju, kura konfigurācija un ar ko sākt.
• Rakstisks apstiprinājums par atkārtoto pārbaudi. Pēc labojumiem konstatējumus pārbaudām vēlreiz un fiksējam, kurš ir slēgts.
• Atsauce uz prasību abām pusēm. Katram konstatējumam pierakstām, kuru standarta pasākumu un kuru normas punktu tas pamato, tāpēc atbilstības tabulas rindas atnāk jau gatavas.

Testēšanu veicam atbilstoši atzītām metodoloģijām: tīmekļa lietotnes pārbaudām atbilstoši OWASP ASVS un OWASP WSTG. HAXORIS ir Slovākijā reģistrēts uzņēmums ar savu ISO/IEC 27001 sertifikātu, ko izsniegusi TÜV SÜD, tāpēc pierādījuma formu zinām arī no otras puses – no pašu ieviešanas. Sertifikātus neizsniedzam: to dara akreditētas sertificēšanas institūcijas.

Ja sertifikāts jau ir: šādā secībā

1. Salīdziniet tvērumus. Vai jūsu pārvaldības sistēma aptver pakalpojumu, kura dēļ uzņēmums ir likuma subjekts? Šis ir pirmais jautājums, un tam ir vissmagākās sekas.
2. Nosakiet statusu un paziņojiet par to. Nozare un sniegtais pakalpojums pēc NKDL 20. un 21. panta, pēc tam paziņojums Nacionālajam kiberdrošības centram mēneša laikā.
3. Klasificējiet informācijas sistēmas. Klase nosaka, kuri pasākumi uz tām attiecas un vai ielaušanās tests ir obligāts. Bez tās testa tvērums ir minējums.
4. Uzbūvējiet atbilstības tabulu. Vienā kolonnā likuma un noteikumu prasības, otrā – standarta pasākumi un esošo pierādījumu numuri. Lielāko daļu rindu aizpildīs dokuments, kas jau ir plauktā.
5. Pielieciet klāt trūkstošo. Kiberdrošības pārvaldnieka noteikšana un paziņošana, ziņošanas procedūra ar likumā noteiktajiem termiņiem un pašvērtējuma ziņojums nākamajā termiņā, 1. oktobrī.
6. Pārbaudiet, vai pasākumi strādā. Ielaušanās tests, kas A.8.29 dēļ tāpat ir jāveic, vienlaikus dod pierādījumu MK noteikumu Nr. 397 131. punktam – ar nosacījumu, ka ziņojums to arī nosauc.

Uzņēmumam ar dzīvu pārvaldības sistēmu tas ir dažu nedēļu darbs, un lielākā daļa laika aiziet atbilstības tabulai un ziņošanas procedūrai.

Ja ISO 27001 sertifikāta nav

Pienākuma sertificēties nav. Likums prasa strādājošus pasākumus un pierādāmu to izpildi, nevis sertificēšanas institūcijas papīru. Standarta A pielikums tomēr paliek visrūpīgāk pārdomātais plāns šādas sistēmas uzbūvei, jo pārtulko pienākumus konkrētos pasākumos, kas nav jāizdomā no jauna.

Ceļi ir divi, un abi ir aizstāvami:

• Ar sertifikāciju, ja dokuments tāpat ir vajadzīgs iepirkumiem un klientu drošības anketām. Sertifikācijas cikls parasti ir trīs gadi ar ikgadējiem uzraudzības auditiem.
• Bez sertifikācijas, izmantojot A pielikumu kā struktūru. Šādi ietaupa sertifikācijas audita izmaksas un zaudē vienu komercargumentu.

Tehniskā daļa abos ceļos ir viena un tā pati, un tieši to nevar pārcelt uz vēlāku laiku: jāspēj parādīt, ka aizsardzība darbojas.

Kopsavilkums: priekšrocība, nevis atbrīvojums

ISO 27001 sertifikāts nav atbilstības apliecinājums Nacionālās kiberdrošības likuma izpratnē, toties tā ir reāla priekšrocība sagatavošanās posmā. Saturu tas aizver lielā mērā, bet pienākumus pret uzraudzības iestādi – ne: paziņošana, klasificēšana, pašvērtējuma ziņojums, kiberdrošības pārvaldnieks un incidentu ziņošana jānokārto pašam subjektam. Septītais punkts, obligātais ielaušanās tests A klases sistēmai, prasa arī neatkarību no izstrādes un uzturēšanas – tāpat kā MK noteikumu Nr. 397 129.3. apakšpunkts to prasa ārējā audita veicējam.

Šajā ķēdē strādājam tehniskajā pusē. Veicam ielaušanās testus un ievainojamību novērtēšanu, bet ziņojumu nododam formā, ko pieņem abas puses: ar nosauktu metodoloģiju, pārbaudītiem konstatējumiem, riska novērtējumu, novēršanas secību un rakstisku apstiprinājumu par atkārtoto pārbaudi. Piesakieties bezmaksas konsultācijai, un kopā apskatīsim, kāda pierādījuma vēl trūkst.

ISO 27001 un NKDL – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: ielaušanās testēšana ISO 27001 gatavībai · ielaušanās testēšana NIS2 un NKDL gatavībai