Kiberdrošības auditors: kas drīkst veikt ārējo atbilstības auditu

Īsā atbilde

Brīvprātīgam drošības auditam – tādam, ko organizācija pasūta pati, lai saprastu savu stāvokli – Latvijā nav vajadzīgs īpašs auditora statuss. Prasības attiecas uz vienu konkrētu gadījumu: ārējo atbilstības auditu, ko Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs uzdod veikt saskaņā ar Nacionālās kiberdrošības likuma 44. panta pirmo daļu.

Līdz 2026. gada 17. jūnijam likums prasīja, lai šāds auditors būtu reģistrēts Digitālās drošības uzraudzības komitejas apstiprinātajā kiberdrošības auditoru sarakstā. No 18. jūnija šī prasība no likuma teksta ir izņemta: auditoram jāatbilst prasībām, ko nosaka Ministru kabinets. Līdz jauno noteikumu spēkā stāšanās dienai, bet ne ilgāk kā līdz 2026. gada 1. decembrim, piemēro tos pašus kritērijus, kas MK noteikumos Nr. 397 bija noteikti reģistrācijai sarakstā.

Kad likums vispār prasa ārējo auditu

Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs [..] ir tiesīgi veikt subjekta atbilstības auditu vai uzdot subjektam veikt ārēju auditu par subjekta atbilstību šajā likumā un Ministru kabineta noteikumos noteiktajām kiberdrošības prasībām, ja ir aizdomas par kiberdrošības pārkāpumiem vai tie ir konstatēti.– Nacionālās kiberdrošības likuma 44. panta pirmā daļa

No šīs normas izriet divas lietas. Pirmkārt, ārējais atbilstības audits nav ikgadējs pienākums visiem – tas ir uzraudzības instruments, kas iedarbojas, kad ir aizdomas par pārkāpumu vai tas jau konstatēts. Otrkārt, tas attiecas uz likuma subjektiem: būtisko pakalpojumu sniedzējiem, svarīgo pakalpojumu sniedzējiem un informācijas un komunikācijas tehnoloģiju (IKT) kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem (3. panta pirmās daļas 1. punkts).

• Audita izmaksas sedz un konstatētos pārkāpumus novērš pats subjekts (44. panta ceturtā daļa).
• Pēc audita beigām subjekts nekavējoties iesniedz ziņojuma kopiju Nacionālajam kiberdrošības centram vai, IKT kritiskās infrastruktūras gadījumā, Satversmes aizsardzības birojam (44. panta piektā daļa).
• Pēc pieprasījuma jāuzrāda arī pierādījumi, kas bija par pamatu ziņojumā iekļautajiem secinājumiem (44. panta piektā daļa).
• Šķēršļu likšana uzdotajam auditam pati par sevi ir uzskatāma par nozīmīgu neatbilstību (45. panta sestās daļas 1. punkta "d" apakšpunkts).

Kas mainījās 2026. gada 18. jūnijā

Ar 2026. gada 4. jūnija grozījumiem, kas stājās spēkā 18. jūnijā, 44. panta otrā daļa tika izteikta jaunā redakcijā. Iepriekšējā redakcija, kas bija spēkā no 2024. gada 1. septembra, prasīja auditoru, "kuram ar subjektu nav interešu konflikta un kurš ir reģistrēts Digitālās drošības uzraudzības komitejas apstiprinātajā kiberdrošības auditoru sarakstā".

Ārējo auditu veic neatkarīgs kiberdrošības auditors, kuram ar subjektu nav interešu konflikta un kurš atbilst kiberdrošības auditoram izvirzāmajām prasībām. Kiberdrošības auditoram izvirzāmās prasības nosaka Ministru kabinets.– Nacionālās kiberdrošības likuma 44. panta otrā daļa redakcijā, kas spēkā no 18.06.2026.

Atšķirība ir praktiska: likums vairs nesaista tiesības veikt ārējo auditu ar ierakstu reģistrā, bet ar atbilstību saturiskām prasībām. IKT kritiskajā infrastruktūrā papildus paliek spēkā prasība, ka auditoram jābūt saskaņotam ar Satversmes aizsardzības biroju (44. panta trešā daļa).

Kādi kritēriji ir spēkā šobrīd

Līdz šā likuma 44. panta otrajā daļā minēto Ministru kabineta noteikumu spēkā stāšanās dienai, bet ne ilgāk kā līdz 2026. gada 1. decembrim kiberdrošības auditoram piemēro tās prasības, kas Ministru kabineta 2025. gada 25. jūnija noteikumos Nr. 397 "Minimālās kiberdrošības prasības" bija noteiktas, lai auditors varētu tikt reģistrēts kiberdrošības auditoru sarakstā.– Nacionālās kiberdrošības likuma pārejas noteikumu 14. punkts

Runa ir par MK noteikumu Nr. 397 122. punktu, kurā reģistrācijai sarakstā bija noteikti trīs kritēriji:

1. Izcelsme un īpašnieki. Auditors ir juridiska vai fiziska persona, kas atbilst noteikumu 94. punktam: reģistrācija NATO, Eiropas Savienības, EBTA dalībvalstī vai NATO Indijas un Klusā okeāna reģiona sadarbības valstī, un attiecīga valstspiederība valdei, padomei, dalībniekiem un patiesajam labuma guvējam (122.1. apakšpunkts).
2. Kvalifikācija. Auditoram vai tā nodarbinātajam personālam ir zināšanas kiberdrošības audita jomā, ko apliecina starptautiski atzīti sertifikāti. Kā piemēri noteikumos minēti CISA, ISO/IEC 27001 Lead Auditor un CISSP (122.2. apakšpunkts).
3. Tehniskās iespējas. Auditoram ir tehniskas iespējas noteikt subjekta tīklu, informācijas sistēmu, IKT resursu un procedūru drošības atbilstību normatīvo aktu prasībām (122.3. apakšpunkts).

Mākoņdatošanas un datu centru pakalpojumu sniedzēju auditam 123. punkts pievieno divas papildu prasības: zināšanas datu centru kiberdrošības audita jomā, ko apliecina starptautiski atzīti sertifikāti (kā piemērs minēts CDCAP), kopā ar vismaz divu gadu pieredzi kiberdrošības auditos, un tehniskas iespējas auditēt datu centru pēc starptautiskajiem standartiem.

Sarakstu uztur Digitālās drošības uzraudzības komiteja, pārskata to vismaz reizi kalendāra gadā un publicē Nacionālā kiberdrošības centra tīmekļvietnē (128. punkts). Komiteja auditoru no saraksta izslēdz arī tad, ja rodas objektīvas šaubas par tā zināšanām vai spēju nodrošināt audita veikšanu, piemēram, ja pēcpārbaudē atklājas nekvalitatīvs darbs (127.4. apakšpunkts).

Ko obligāti paredz līgums ar auditoru

Auditora izvēle ir subjekta ziņā, bet MK noteikumu Nr. 397 129. punkts nosaka, kas subjektam jāieraksta ārpakalpojuma līgumā par atbilstības auditu:

• auditoram ir nepieciešamās zināšanas, prasmes un pieredze, lai sniegtu neatkarīgu, objektīvu un vispusīgu vērtējumu (129.1. apakšpunkts);
• audita ietvaros iegūto informāciju auditors apstrādā vienīgi NATO, Eiropas Savienības un EBTA dalībvalstu teritorijā (129.2. apakšpunkts);
• auditors pēdējo triju gadu laikā nav piedalījies auditējamās informācijas sistēmas vai tās daļas izstrādē, uzturēšanā vai testēšanā (129.3. apakšpunkts);
• auditors atbilst likuma 44. panta otrās daļas un noteikumu 122. punkta prasībām, un nepastāv citi apstākļi, kuru dēļ nav nodrošināma audita objektivitāte un neatkarība (129.4. apakšpunkts).

IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs šādu līgumu drīkst slēgt tikai pēc Satversmes aizsardzības biroja atzinuma saņemšanas (130. punkts). Atzinumu birojs sniedz triju mēnešu laikā, un nepieciešamības gadījumā termiņu var pagarināt vēl par vienu mēnesi (93. punkts).

Kas notiek 2026. gada 1. decembrī

Pārejas noteikumu 14. punkts ir tilts, nevis pastāvīga norma. Tas darbojas līdz brīdim, kad spēkā stājas jaunie Ministru kabineta noteikumi par kiberdrošības auditoram izvirzāmajām prasībām, taču ne ilgāk kā līdz 2026. gada 1. decembrim. Šā ceļveža sagatavošanas brīdī jaunie noteikumi vēl nav izdoti, un MK noteikumi Nr. 397 joprojām ir sākotnējā 2025. gada 25. jūnija redakcijā.

Praktiski iespējami divi scenāriji. Ja jaunie noteikumi tiek izdoti līdz 1. decembrim, no to spēkā stāšanās dienas piemēro tos, un tie var atšķirties no 122. punkta kritērijiem. Ja tie netiek izdoti, 1. decembrī pārejas norma beidz darboties un 44. panta otrā daļa atsaucas uz prasībām, kuras nav noteiktas. Nevienā no scenārijiem šodienas kritērijus nevar uzskatīt par pastāvīgiem.

Tāpēc līgumos un iepirkuma nolikumos prasību ir vērts formulēt dinamiski – kā atbilstību Nacionālās kiberdrošības likuma 44. panta otrajai daļai un uz līguma izpildes brīdi spēkā esošajiem Ministru kabineta noteikumiem – nevis pārrakstīt 122. punkta tekstu, kas līguma darbības laikā var zaudēt spēku.

Blakus datums: 2026. gada 1. oktobris

Tie paši 2026. gada 4. jūnija grozījumi paplašina likuma subjektu loku. No 2026. gada 1. oktobra 20. panta 11. punkts būtisko pakalpojumu sniedzēju vidū skaidri iekļauj arī nacionālajai drošībai nozīmīgas komercsabiedrības, nodibinājumus un biedrības, izņemot Latvijas Republikā esošas meža zemes vismaz 10 000 hektāru platībā vai lauksaimniecības zemes vismaz 4000 hektāru platībā īpašniekus (pārejas noteikumu 15. punkts).

Organizācijām, kas līdz šim sevi uzskatīja par ārpus tvēruma esošām, pašvērtējums ir vērts atkārtot – līdz ar subjekta statusu iestājas arī 44. panta piemērojamība.

Ko darīt tagad

1. Pārbaudi, vai organizācija ir likuma subjekts, un izdari to vēlreiz pēc 1. oktobra.
2. Ja audits jau ir uzdots vai paredzams, izvēlies auditoru, kas atbilst MK noteikumu Nr. 397 122. punktam, un pieprasi sertifikātu kopijas rakstiski.
3. IKT kritiskajai infrastruktūrai sāc auditora saskaņošanu ar Satversmes aizsardzības biroju laikus.
4. Ieraksti līgumā visus 129. punkta nosacījumus, tostarp datu apstrādes ģeogrāfisko ierobežojumu un triju gadu neiesaistes prasību.
5. Formulē prasību dinamiski, lai 1. decembra izmaiņas neatstātu līgumu ar atsauci uz spēku zaudējušu normu.
6. Seko līdzi jaunajiem Ministru kabineta noteikumiem par kiberdrošības auditoram izvirzāmajām prasībām.