Nacionālās kiberdrošības likums: ko tas nozīmē jūsu hostingam un VPS serverim
Praktisks ceļvedis Latvijas uzņēmumiem, kas uztur vietni, e-veikalu vai SaaS lietojumprogrammu hostingā vai uz VPS un grib saprast, ko paredz likums un kas paliek viņu pašu pārziņā. Stāvoklis uz 30.09.2026.
Īsā atbilde
- 1Nacionālās kiberdrošības likumu Saeima pieņēma 2024. gada 20. jūnijā; tas publicēts Latvijas Vēstnesī 2024. gada 4. jūlijā un stājās spēkā 2024. gada 1. septembrī. Likums ievieš ES NIS2 direktīvas prasības Latvijā.
- 2Likums attiecas uz būtisko un svarīgo pakalpojumu sniedzējiem. Likuma sektoru sarakstā minēti arī datu centri, mākoņdatošana un satura piegādes tīkli. Vai tieši jūsu uzņēmums ir šajā lokā, nosaka likuma teksts un Nacionālā kiberdrošības centra skaidrojumi, nevis tas, ka izmantojat hostingu.
- 3Nozīmīgu kiberincidentu jāpaziņo: agrīnais brīdinājums bez kavēšanās un ne vēlāk kā 24 stundu laikā, sākotnējais ziņojums ne vēlāk kā 72 stundu laikā (34. pants). Par kiberdrošību atbild subjekta vadītājs, kurš nosaka atbildīgo personu (25. pants).
- 4Hostinga pakalpojumu sniedzējs ir jūsu piegādes ķēdes daļa, nevis jūsu pienākumu aizstājējs. Stāvoklis uz 30.09.2026.
Ko paredz Nacionālās kiberdrošības likums
Likums izveido valsts kiberdrošības uzraudzības sistēmu un nosaka prasības būtisko un svarīgo pakalpojumu sniedzējiem. Saskaņā ar likuma tekstu Nacionālais kiberdrošības centrs darbojas Aizsardzības ministrijas pārraudzībā kā vienotais kontaktpunkts kiberdrošības jautājumos, un tas sāka darbu 2024. gada 1. septembrī.
Pirmais solis uzņēmumam ir noskaidrot, vai tas ir būtisko vai svarīgo pakalpojumu sniedzējs. To vērtē pēc nozares un lieluma, salīdzinot ar likuma 20. un 21. pantu un Aizsardzības ministrijas publicēto informāciju. Šis ir juridisks vērtējums, un tas jādokumentē; ja šaubāties, vaicājiet juristam vai Nacionālajam kiberdrošības centram ([email protected]).
Reģistrācija, kiberdrošības pārvaldnieks un incidenti
Aizsardzības ministrijas lapā par likuma termiņiem minēts: līdz 2025. gada 1. aprīlim organizācijām bija jānosaka savs statuss un jāreģistrējas, bet līdz 2025. gada 1. oktobrim jānosaka kiberdrošības pārvaldnieks un jāiesniedz pirmais pašvērtējuma ziņojums. Likuma 22. pants paredz, ka pakalpojumu sniedzējam, konstatējot atbilstību statusam, par to jāpaziņo Nacionālajam kiberdrošības centram viena mēneša laikā.
Par nozīmīga kiberincidenta paziņošanu likuma 34. pants nosaka agrīno brīdinājumu bez kavēšanās, ne vēlāk kā 24 stundu laikā, un sākotnējo ziņojumu ne vēlāk kā 72 stundu laikā. Paziņojumi ir adresēti CERT.LV vai MilCERT atkarībā no subjekta. Precīzu incidenta definīciju un ziņojuma saturu skatiet likuma tekstā likumi.lv.
Ko tas maina, ja jūsu serveris ir hostingā vai VPS
Ir divas dažādas lomas. Ja esat klients, hostings jūsu dokumentācijā ir piegādātājs: līgums, kontakti incidentu gadījumam, dublēšanas un atjaunošanas apraksts, datu atrašanās vieta. Ja paši piedāvājat mākoņpakalpojumus, datu centru vai citus sektora pakalpojumus, varat būt tieši likuma subjekts.
4hosting nav datu centra Latvijā: serveri atrodas ES, Frankfurtē. Tas nemaina jūsu pienākumus pēc Latvijas likuma, bet tas jāieraksta piegādes ķēdes dokumentācijā kopā ar apstrādes līgumu (DPA, VDAR 28. pants).
Trīs konkrēti piemēri
E-veikals uz VPS
Rīgas uzņēmums tirgo tiešsaistē un vaicā, vai jāreģistrējas. Pareizais solis ir pārbaudīt, vai uzņēmuma nozare un lielums atbilst likuma subjektiem. Ja nē, reģistrācija nav vajadzīga, bet testētas rezerves kopijas, atjauninājumi un WAF paliek laba prakse.
Programmatūras uzņēmums, kas piedāvā SaaS
Ja uzņēmums ietilpst likuma subjektos, tas paziņo Nacionālajam kiberdrošības centram, nosaka kiberdrošības pārvaldnieku un apraksta piegādātājus. Hostinga sniedzējs tiek ierakstīts ar līgumu, DPA, dublēšanas aprakstu un incidentu kontaktiem.
Incidents ražošanas serverī
Ja izspiedējvīruss bloķē serveri, 24 un 72 stundu termiņi attiecas uz likuma subjektu, nevis uz to, kas iznomā infrastruktūru. Tāpēc iepriekš vajag rīcības plānu: kas lemj, kas nosūta agrīno brīdinājumu, kur ir žurnālfaili un no kuras rezerves kopijas atjaunot.
Biežākās kļūdas
- Domāt, ka “serveris ir ES, tātad esam nosegti”. Pienākumi gulstas uz likuma subjektu, nevis uz infrastruktūras sniedzēju.
- Nekad nepārbaudīt, vai uzņēmums ir būtisko vai svarīgo pakalpojumu sniedzējs, un nezināt, vai jāpaziņo Nacionālajam kiberdrošības centram.
- Nebūt rakstiskai incidentu paziņošanas procedūrai: ar 24 stundu termiņu nevar sākt no nulles.
- Nedokumentēt hostinga sniedzēju kā piegādes ķēdes daļu (līgums, DPA, dublēšana, incidentu kontakti).
Kā palīdz 4hosting
- Infrastruktūra ES, Frankfurtē, nevis Latvijā, ar iekļautu DDoS aizsardzību L3/L4 līdz 1,5 Tbps.
- Datu apstrādes līgums (DPA) saskaņā ar VDAR 28. pantu, standartklauzulas datu pārsūtīšanai un atbilstība ISO 27001 principiem. Tas nav ISO 27001 sertifikāts.
- DevOps un CyberSecurity pakalpojumi plānā iekļautajās stundās: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Stundas pieprasa klienta panelī; pāri kvotai tās rēķina atsevišķi.
- 4hosting nav NIS2, ISO vai SOC 2 sertifikātu, neapliecina klienta atbilstību un neparaksta juridisko atbilstību klienta vietā. Mēs šeit nenosakām, vai pats 4hosting ietilpst likuma darbības jomā.
Biežāk uzdotie jautājumi
Vai likums attiecas uz katru vietni Latvijā?
Nē, ne automātiski. Likums attiecas uz būtisko un svarīgo pakalpojumu sniedzējiem noteiktās nozarēs. Pārbaudiet to ar likumu likumi.lv, Aizsardzības ministrijas informāciju vai juristu.
Vai 4hosting apliecina manu atbilstību kiberdrošības likumam?
Nē. 4hosting nodrošina infrastruktūru, DPA un DevOps un CyberSecurity pakalpojumus. Jūsu uzņēmuma atbilstība paliek jūsu atbildība.
Kur atrodas 4hosting serveri?
ES, Frankfurtē. Latvijā datu centra nav.