Kiberdrošības dokumentu kopums
Ņemot vērā būtiskās izmaiņas kiberdrošības pārvaldības un minimālajās kiberdrošības prasībās, kas ieviestas NIS-2 direktīvas ieviešanas kontekstā, Subjektiem ir būtiski pārskatīt un pilnveidot kiberdrošības pārvaldības dokumentu kopumu atbilstoši spēkā esošajām prasībām, proti, atbilstoši Ministru kabineta noteikumu Nr.397 “Minimālās kiberdrošības prasības” 21.punktam.
Subjekta kiberdrošības pārvaldības dokumentu kopumu un tajā minimāli iekļaujamās informācijas apjomu veido:
1. kiberdrošības politika
(noteikumu 3.3.Kiberdrošības politika 21.1.p.)
Subjekts - izstrādā, uztur un regulāri pārskata un nepieciešamības gadījumā aktualizē ne retāk kā reizi 3 gados;
2. IKT resursu un informācijas sistēmu katalogs
(noteikumu 3.4.IKT resursu un informācijas sistēmu katalogs 21.2.p.)
Subjekts izveido, uztur, pārskata un izmaiņu gadījumā nekavējoties, bet ne vēlāk kā 1 mēneša laikā aktualizē;
3. kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns
(noteikumu 3.5.Kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns 21.3.p.)
IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs un būtisko pakalpojumu sniedzējs, kura īpašumā vai valdījumā ir vismaz viena A klases informācijas sistēmas – vismaz reizi gadā.
Būtisko pakalpojumu sniedzējs, kura īpašumā vai valdījumā nav A klases informācijas sistēmas - vismaz reizi divos gados.
Svarīgo pakalpojumu sniedzēji – vismaz reizi trijos gados.
4. kiberincidentu žurnāls
(noteikumu 3.6.Kiberincidentu pārvaldība un kiberincidentu žurnāls 21.4.p.)
Subjekts nodrošina ziņu reģistrēšanu žurnālā ne vēlāk kā 24 stundu laikā no kiberincidenta konstatēšanas brīža vai pēc jebkādām izmaiņām iepriekš žurnālā norādītajās ziņās.
5. bez minētā, kiberdrošības pārvaldības dokumentācijas kopumā ir jānosaka:
- Lietotāju un piekļuves tiesību pārvaldības kārtība
(3.7.Lietotāju un piekļuves tiesību pārvaldība) - Tīklu pārvaldība
(3.8.Tīklu pārvaldība) - Žurnālfailu pārvaldība
(3.9.Žurnālfailu pārvaldība) - Rezerves kopiju pārvaldība
(3.10.Rezerves kopiju pārvaldība) - Kiberhigiēnas pasākumi
(3.11.Kiberhigiēnas pasākumi) - Šifrēšanas prasības
(3.12.Šifrēšanas prasības) - IKT infrastruktūras prasības
(Subjekts nosaka drošības prasības savai IKT infrastruktūrai atbilstoši identificētajiem riskiem, to būtiskumam un ietekmei)
IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs izstrādāto IKT drošības dokumentācija skopumu saskaņo ar Satversmes aizsardzības biroju noteikumu 26.punktā noteiktajā kārtībā un termiņos.
Fiziskām un juridiskajām personām, kas nav NKDL subjekti, CERT.LV rekomendē iespēju robežās piemērot prasības, kādas attiecināms uz NKDL subjektiem attiecībā uz kiberdrošības pārvaldības dokumentu kopumu un tajā iekļaujamās informācijas apjomu.
