NKDL: darbinieku kiberdrošības instruktāža un apmācību pierādījumi

Vispirms pārbaudiet, vai organizācija ir likuma subjekts

Nacionālās kiberdrošības likums (NKDL) nenosaka vienu identisku komerciālu apmācību paketi visiem uzņēmumiem. Subjekta statusu nosaka likumā paredzētās pazīmes, darbības veids un citi piemērojamie nosacījumi. Organizācijai var būt arī nozares regulējuma, līguma vai iekšējās pārvaldības prasības. Tādēļ pirms obligāto mācību plānošanas dokumentējiet piemērojamības izvērtējumu un tā pārskatīšanas datumu.

Likuma 22. panta pirmā daļa paredz, ka persona pati veic pašvērtējumu par atbilstību būtisko vai svarīgo pakalpojumu sniedzēja statusam un atbilstības gadījumā ne vēlāk kā mēneša laikā par to paziņo Nacionālajam kiberdrošības centram. Šo izvērtējumu ir vērts saglabāt arī tad, ja rezultāts ir negatīvs: tas ir pirmais dokuments, kas izskaidro, kāpēc apmācību programma ir veidota tieši tādā apjomā.

Šis ceļvedis ir orientieris apmācību organizēšanai. Konkrētus pienākumus pārbaudiet aktuālajā likuma redakcijā un piemērojamajos Ministru kabineta noteikumos, ņemot vērā organizācijas situāciju. Zemāk norādītie NKDL panti un noteikumu punkti pārbaudīti lapas atjaunināšanas datumā. Ja rodas neskaidrība par subjekta statusu vai uzraudzību, izmantojiet kompetentās iestādes skaidrojumu.

Atšķiriet instruktāžu un atbildīgās personas apmācību

NKDL 25. panta piektās daļas 4. punkts nosaka kiberdrošības pārvaldnieka pienākumu nodrošināt institūcijā nodarbināto instruktāžu par subjektam aktuālajiem kiberriskiem un kiberdrošību ne retāk kā reizi gadā. Tātad saturam jābūt saistītam ar konkrētā subjekta riskiem. Vispārīgs kurss var būt programmas daļa, taču organizācijai jāizvērtē, vai ar to attiecīgais pienākums ir izpildīts.

Ne retāk kā reizi gadā nodrošināt, ka tiek veikta institūcijā nodarbināto instruktāža par subjektam aktuālajiem kiberriskiem un kiberdrošību.

Nacionālās kiberdrošības likums, 25. panta piektās daļas 4. punkts

Tās pašas daļas 3. punktā ir atsevišķs pienākums pārvaldniekam vismaz reizi gadā apmeklēt kiberincidentu novēršanas institūcijas organizētu apmācību kiberdrošības jautājumos. Komerciāla darbinieku nodarbība pati par sevi neaizstāj šo konkrēto pienākumu. Nekļūdieties, vienā dalībnieku sarakstā vai sertifikātā apvienojot atšķirīgus juridiskos mērķus.

Kādus instruktāžu veidus prasa noteikumi Nr. 397

Ministru kabineta 2025. gada 25. jūnija noteikumu Nr. 397 “Minimālās kiberdrošības prasības” 76. punkts prasa subjektam organizēt apmācību kiberdrošības jautājumos tiem nodarbinātajiem un amatpersonām, kas ir IKT resursu un informācijas sistēmu reģistrētie lietotāji, izvēloties tādu veidu un saturu, kas atbilst viņu profesionālajai sagatavotībai un subjekta darbības specifikai. Praksē tas nozīmē, ka viens ikgadējs kurss visiem nav noteikumu prasību izpildes apliecinājums – ir jāplāno vairāki, atšķirīgi notikumi.

Māciet plānā paredzēto rīcību

NKDL 28. panta pirmā daļa saista kiberrisku pārvaldības un IKT darbības nepārtrauktības plānu ar regulāru darbinieku apmācību tajā paredzēto pasākumu īstenošanai. Praktiski tas nozīmē pārbaudīt, vai attiecīgās lomas spēj atrast plānu, sazvanīt atbildīgo, īstenot savas darbības un dokumentēt lēmumus. Prezentācija par vispārīgiem draudiem vien neparāda šo spēju.

Vadības un reaģēšanas komandas uzdevumiem izvēlieties galda mācības vai kontrolētu praktisku vingrinājumu. Pirms tā saskaņojiet tvērumu, drošības robežas un atbildību. Pēc tam atjauniniet plānu atbilstoši atrastajiem trūkumiem. ES NIS2 direktīvas 20. panta otrā daļa atsevišķi prasa apmācību pārvaldības struktūru locekļiem un mudina līdzīgu apmācību regulāri piedāvāt darbiniekiem; konkrēto piemērošanu Latvijā vērtējiet kopā ar nacionālo regulējumu.

Kā izskatās pārbaudāma saikne

Ņemiet vienu plāna pasākumu un izsekojiet to līdz cilvēkam. Piemērs: plāns paredz, ka grāmatvedība maksājuma rekvizītu maiņu apstiprina pa iepriekš zināmu tālruni. Tad mācību programmā jābūt attiecīgai nodarbībai finanšu lomai, praktiskam uzdevumam, kas šo darbību pārbauda, un ierakstam par to, kas piedalījās un kas palika neizdarīts. Ja kāds no šiem posmiem trūkst, uzskaite pierāda dalību, bet ne spēju.

Ko saglabāt apmācību uzskaitē

Tālāk minētais ir praktisks uzskaites ieteikums, nevis pilns normatīvi noteikto dokumentu saraksts. Saglabājiet informāciju, ar kuru var izsekot, kāpēc mācības notika, kam tās bija paredzētas un ko nepieciešams uzlabot. Atšķiriet dalību, zināšanu novērtējumu un reālu darbību izpildi. Apliecinājums par dalību ne vienmēr pierāda pārējos divus.

• Programmas nosaukums, versija, datums un saistība ar aktuālajiem riskiem.
• Mērķauditorija un nepieciešamā dalības uzskaite, tostarp atkārtota iespēja prombūtnē esošajiem.
• Materiāli un instrukcijas, kuras dalībnieki faktiski izmantoja.
• Pārbaudes metode, rezultātu kopsavilkums un būtiskie ierobežojumi.
• Labojamie trūkumi, atbildīgie, termiņi un nākamā pārskatīšana.

Noteikumi šai uzskaitei pievieno trīs konkrētas prasības. 78. punkts prasa apmācību saturu pārskatīt un vajadzības gadījumā aktualizēt vismaz reizi gadā vai mainoties apstākļiem – piemēram, pēc kiberincidenta vai riska līmeņa izmaiņām. 79. punkts prasa nodrošināt, ka aktuālie instruktāžu materiāli ir pieejami visiem attiecīgajiem lietotājiem. 80. punkts prasa instruktāžas uzskaitīt un novērtēt gan nodarbināto zināšanas, gan pašu instruktāžu efektivitāti. Pēdējais ir tas, ko dalības saraksts nekad neparāda.

Uzraudzības pusē šo informāciju apkopo likuma 43. pantā paredzētais atbilstības pašvērtējuma ziņojums, kura veidlapā par kārtējām instruktāžām jānorāda datums un nosaukums vai tēma. Ja jūsu uzskaite jau glabā tieši šos laukus, pārskata sagatavošana kļūst par izrakstu, nevis par atsevišķu projektu. 44. pants papildus paredz, ka pēc ārējā audita uzraugs var pieprasīt uzrādīt pierādījumus, uz kuriem balstīti audita secinājumi.

Dokumentējiet samērīgi un pārskatiet izmaiņas

Nosakiet piekļuvi individuāliem rezultātiem, personas datu apstrādes mērķi un pamatotu glabāšanas termiņu. Neizplatiet pilnus dalībnieku reitingus visai organizācijai. Vadībai parasti vajadzīga informācija par dalību un uzlabojumu statuss, bet apmācību organizētājam var būt nepieciešama detalizētāka uzskaite. Šīs piekļuves nav automātiski vienādas.

Pēc incidenta, amata maiņas vai jaunas sistēmas ieviešanas pārskatiet materiālu atbilstību. Gada plāna PDF palīdz sadalīt atbildīgos un termiņus; tas pats nav juridisks atbilstības apliecinājums. Ja organizācija veido arī informācijas drošības pārvaldības sistēmu, saistiet mācību uzskaiti ar tās riska reģistru un iekšējā audita plānu, lai vienu un to pašu pierādījumu nevajadzētu sagatavot divreiz.