Jūsu NIS2 atbilstības
dokumentācija 5 dienās

Daudzfaktoru autentifikācija (MFA)

„Kuriem pakalpojumiem jūs pieprasāt MFA? E-pasts, VPN, RDP, tīkla un mākoņa administrēšana, privileģētie konti.”

E-pasta drošība

„Kādas kontroles jūs izmantojat pret e-pasta viltošanu (SPF, DKIM, DMARC)? Vai esat atspējojuši novecojušos protokolus (nedrošus IMAP, POP3, SMTP)?”

Incidentu reaģēšanas plāns

„Kāds ir jūsu incidentu reaģēšanas plāns un kādā termiņā jūs mūs informētu par kiberdrošības incidentu?”

Apakšuzņēmēji un piegādes ķēde

„Vai izmantojat 4. līmeņa apakšuzņēmējus? Vai pieņemsiet līguma klauzulas, kas paredz NIS2 atbilstību (kontroles, pārkāpumu paziņošana, revīzijas tiesības)?”

Rezerves kopijas un darbības nepārtrauktība

„Vai tiek veiktas rezerves kopijas? Vai integritāte un atjaunošanas procedūras tiek pārbaudītas vismaz reizi gadā?”

Drošības pārvaldība

„Vai jūsu informācijas drošības politika balstās uz atzītu ietvaru (NIST, ISO 27001)?”

Uz ko tas attiecas?

Direktīva attiecas uz „vidējiem” vai „lieliem” uzņēmumiem (Eiropas tiesību izpratnē), kas darbojas kādā no kritiski svarīgo nozaru saraksta nozarēm: no vienas puses enerģētika, transports, veselība, bankas, ūdens, digitālā nozare, valsts pārvalde; no otras puses pasts, atkritumi, ķīmija, pārtikas rūpniecība, ražošana, pētniecība. Valsts var tajā iekļaut arī mazākas struktūras, ja tām ir galvenā loma.

Ko NIS2 jums patiešām uzliek

Vienkārši sakot: ieviest „samērīgus” drošības pasākumus, prast identificēt savus riskus, aizsargāt datus, atklāt uzbrukumu, reaģēt uz to un pēc tam atsākt darbību. Tam pievienojas telpu fiziskā drošība, piekļuves un pilnvaru kontrole, kā arī savu pakalpojumu sniedzēju un piegādātāju drošības pārbaude.

Nepatikšanu gadījumā, precīzs grafiks

Ja notiek „ievērojams” incidents, iestāde jāinformē trīs posmos: agrīns brīdinājums 24 stundu laikā, detalizētāks paziņojums 72 stundu laikā, pēc tam galīgais ziņojums viena mēneša laikā. Attiecīgie klienti arī nekavējoties jāinformē par pasākumiem, kas jāveic viņiem.

Sankcijas bez dramatizēšanas

Naudas sodu maksimālo apmēru nosaka direktīva: līdz 10 milj. € vai 2 % no pasaules apgrozījuma (atkarībā no tā, kas ir lielāks) „būtiskām” vienībām; līdz 7 milj. € vai 1,4 % no pasaules apgrozījuma „svarīgām” vienībām. Tie ir likumā noteiktie maksimālie apmēri, nevis automātisks rēķins, un naudas sods tiek piemērots tikai pēc korektīvo pasākumu pakāpeniskas virknes - skatiet detalizētu aprakstu zemāk.

Datumi, kas jāatceras

Direktīva ir spēkā kopš 2023. gada 16. janvāra. Katrai dalībvalstij bija jātransponē savi pienākumi nacionālajos tiesību aktos vēlākais līdz 2024. gada 17. oktobrim, lai efektīvi piemērotu no 2024. gada 18. oktobra - dienas, kad iepriekšējais NIS1 teksts tika atcelts.

Francijā - kas koordinē šo jautājumu

ANSSI ir iestāde, kas izraudzīta, lai atbalstītu NIS2 atbilstības nodrošināšanu. Tā ir publicējusi „Référentiel Cyber France” (ReCyF, pieejams kopš 2026. gada 17. marta) un piedāvā platformu „MonEspaceNIS2”, kā arī „ClubSSI”, lai palīdzētu uzņēmumiem orientēties.

Kas jau notiek pie kaimiņiem

Vācijā iestāde BSI norāda, ka likumā noteiktais attiecīgo uzņēmumu reģistrācijas termiņš jau ir pārsniegts: tiem, kas to vēl nav izdarījuši, tas jādara bez kavēšanās. Konkrēta pazīme, ka Eiropas kustība jau ir sākusies, tālu pāri tekstiem.

Tiek izvērtēta vienkāršošana

Eiropas Komisija 2026. gadā iesniedza priekšlikumu („omnibus paka”), lai atvieglotu NIS2 atbilstību, jo īpaši mazākajām struktūrām: šis atvieglojums skartu aptuveni 28 700 uzņēmumus, tostarp 6 200 mikrouzņēmumus un mazos uzņēmumus.

Privāta klīnika vai analīžu laboratorija

Ietilpst I pielikuma nozarē „Veselība”, tiklīdz tā ir ārstniecības iestāde Eiropas tiesību izpratnē, ja pārsniedz vidēja uzņēmuma lieluma slieksni.

Automobiļu apakšuzņēmējs vai mašīnu ražotājs

Ietilpst II pielikuma nozarē „Apstrādes rūpniecība” (transportlīdzekļi, elektroiekārtas, mašīnas, elektronika), pārsniedzot lieluma slieksni.

Mākoņpakalpojumu sniedzējs vai pārvaldīto pakalpojumu uzņēmums (MSP/MSSP)

Ietilpst I pielikuma „Digitālajā infrastruktūrā” vai „IKT pakalpojumu pārvaldībā”: ietekmēts jau no vidēja uzņēmuma lieluma (svarīga vienība), būtiska vienība, ja ir liels. Vienīgais lieluma izņēmums: ja tas ir arī kvalificēts uzticamības pakalpojumu sniedzējs, domēna vārdu reģistrs vai DNS pakalpojumu sniedzējs.

Teritoriāla kopiena vai reģionāla publiska iestāde

Ietilpst I pielikuma nozarē „Valsts pārvalde”, ja dalībvalsts to nosaka, jo īpaši tad, ja tās pakalpojumu pārtraukšanai būtu būtiska ietekme uz kritiski svarīgām sabiedrības vai ekonomikas darbībām.

Pārtikas pārstrādātājs vai vairumtirgotājs

Pieder pie „Pārtikas ražošana, pārstrāde un izplatīšana” II pielikumā, ja veic vairumtirdzniecības darbību vai rūpniecisku ražošanu/ pārstrādi.

Uzņēmums „ārpus 18 nozarēm”, bet attiecīgās vienības piegādātājs

NIS2 tvērumā nav tieši, bet var tikt tajā ievilkts ar līgumu: skatiet iepriekš šajā lapā sadaļu „Netiešā ietekme”.

J. Kas ir NIS2 direktīva vienā teikumā?

Tas ir Eiropas teksts, kas kopš 2024. gada 18. oktobra ir aizstājis iepriekšējo 2016. gada kiberdrošības likumu: Eiropas Komisija to raksturo kā tekstu, kas „paaugstina ES kopējo kiberdrošības ambīciju līmeni, izmantojot plašāku darbības jomu, skaidrākus noteikumus un pastiprinātus uzraudzības instrumentus”.

J. Esmu MVU, vai lieluma sliekšņi uz mani tiešām attiecas?

Teksts vispirms vērsts uz „vidējiem” vai „lieliem” uzņēmumiem Eiropas izpratnē - precīzs juridisks kritērijs, kas atsaucas uz Ieteikumu 2003/361/EK (praksē: sākot no 50 darbiniekiem vai vienlaikus virs 10 milj. EUR apgrozījuma un bilances), kas darbojas vienā no 18 uzskaitītajām nozarēm. Zem tā jūs principā neesat tieši pakļauts, ja vien jūsu valsts neiekļauj mazākas struktūras, kuras uzskata par būtiskām, vai ja jūs piegādājat tādu vienību (netiešā ietekme, skatiet iepriekš šajā lapā).

J. Vai es kā vadītājs varu tikt saukts pie personiskas atbildības?

Jā, un tas ir vismazāk zināmais teksta punkts: direktīvas oficiālais juridiskais kopsavilkums precizē, ka vadības institūcijai jāapstiprina riska pārvaldības pasākumi un jāuzrauga to īstenošana un ka tā var tikt saukta pie atbildības pārkāpuma gadījumā. Kiberdrošība tātad nav tikai IT jautājums: tas ir pārvaldības jautājums, kas sniedzas līdz vadītājam.

J. Kā konkrēti uzzināt, vai manam uzņēmumam jāreģistrējas?

Katrai dalībvalstij jāuztur atjaunināts oficiāls būtisko un svarīgo vienību saraksts, ko pārskata reizi divos gados (pirmais Eiropas termiņš: 2025. gada 17. aprīlis). Francijā ANSSI nodrošina bezmaksas tiešsaistes pašnovērtējuma rīku „MonEspaceNIS2”, kas tieši atbild uz jautājumu „vai tas attiecas uz mani?”.

J. Vai Francija kavējas? Ko tas šodien maina man?

Jā: Francijas transponēšanas likums joprojām nav publicēts, krietni pēc Eiropas termiņa. 2026. gada jūlijā Eiropas Komisija nodeva Franciju ES Tiesai par to, ka tā nav paziņojusi savus transponēšanas pasākumus (skatiet detalizēto kalendāru iepriekš). Konkrēti: nekādas „Francijas NIS2” sankcijas vēl nav iespējamas, kamēr dekrēts nav izdots, taču dienā, kad tas parādīsies, jau sagatavotajiem uzņēmumiem nekas nebūs jāpanāk.

J. Kas patiešām mainās salīdzinājumā ar iepriekšējo NIS1 likumu?

NIS1 (2016) aprobežojās ar enerģētiku, transportu, veselību, finansēm, ūdeni un digitālo nozari. NIS2 šo tvērumu ievērojami paplašina: tagad klāt nāk publiskie elektroniskie sakari, sociālie tīkli un digitālās platformas, atkritumu apsaimniekošana, kritisko produktu ražošana, pasta pakalpojumi un valsts pārvalde. Daudzi uzņēmumi, kas līdz šim bija ārpus redzesloka, tagad ietilpst tvērumā.

J. Vai ir paredzēts atvieglojums mazajām struktūrām?

Jā, tiek izvērtēts: Eiropas Komisija 2026. gadā iesniedza vienkāršošanas paketi, lai samazinātu ar NIS2 saistīto administratīvo slogu, jo īpaši mazākajām vienībām. Šis atvieglojums skartu aptuveni 28 700 uzņēmumus, tostarp 6 200 mikrouzņēmumus un mazos uzņēmumus. Teksts vēl nav galīgi pieņemts: jāseko, negaidot, lai sagatavotos.

Maksimālais administratīvais naudas sods: vismaz 10 000 000 EUR VAI vismaz 2 % no iepriekšējā finanšu gada pasaules apgrozījuma - piemēro lielāko no abām summām.

Maksimālais administratīvais naudas sods: vismaz 7 000 000 EUR VAI vismaz 1,4 % no iepriekšējā finanšu gada pasaules apgrozījuma - tā pati loģika, tiek ņemta lielākā summa.

Kas soda?

Katra dalībvalsts izraugās vienu vai vairākas „kompetentās iestādes”, kas atbild par direktīvas uzraudzību un izpildi. Francijā šī loma ir uzticēta ANSSI.

Galējais līdzeklis - tikai būtiskām vienībām

Ja iepriekšējie pasākumi paliek bez rezultāta, iestāde var lūgt tiesu uz laiku apturēt sertifikātu vai atļauju, vai pat uz laiku atstādināt vadītāju (ģenerāldirektoru vai juridisko pārstāvi) no amata, līdz tiek nodrošināta atbilstība. Šī galējā eskalācija attiecas TIKAI uz būtiskām vienībām, nevis uz svarīgām vienībām.

Summa nav automātiska

Likums prasa katrā gadījumā ņemt vērā: pārkāpuma smagumu un ilgumu, atkārtotību, nodarīto kaitējumu, nodomu vai nolaidību, pasākumus, kas veikti kaitējuma mazināšanai, pievienošanos rīcības kodeksiem vai sertifikācijām, sadarbības līmeni ar iestādi. Divi uzņēmumi vienā situācijā automātiski nesaņem vienādu naudas sodu.

Vadītāji ir personiski atbildīgi

Teksts skaidri paredz, ka fiziskās personas, kas vada vienību (ģenerāldirektors, juridiskais pārstāvis), var tikt sauktas pie atbildības par atbilstības pienākumu neizpildi - gan attiecībā uz būtiskām vienībām, gan svarīgām vienībām.

Un ja tā ir arī datu noplūde?

Ja incidents ir arī personas datu aizsardzības pārkāpums, NIS2 iestādei par to nekavējoties jāinformē kompetentā VDAR iestāde (Francijā CNIL). Abi režīmi tiek koordinēti - tā nav automātiska sankciju summēšana, bet savstarpēja informācijas apmaiņa starp iestādēm.

Skaitļi piemēros? Pagaidām vēl ne, godīgi sakot

Šīs uzraudzības datumā oficiālā avotā nav atrasts neviens publiski pieejams NIS2 sankcijas lēmums. Sistēma ir atkarīga no katras dalībvalsts transponēšanas likuma, kas tiek pabeigts. Pazīme, ka kustība ir sākusies: Vācijā iestāde BSI norāda, ka likumā noteiktais attiecīgo vienību reģistrācijas termiņš jau ir pārsniegts.