Kontrolsaraksts IKT pārvaldībai
Finanšu vienībai jānodrošina:
1) pietiekami IT cilvēkresursi, norādot Latvijā fiziski nodarbināto un plānoto IT darbinieku lomas, pienākumus un darba slodzi;
2) par informācijas drošības un IKT risku pārvaldību atbildīga vadības funkcija, kuras īstenošanu iespējams uzticēt arī trešajai pusei; jānosaka šīs funkcijas pienākumi un darba slodze;
3) kritiski svarīgo vai svarīgo funkciju noteikšana;
4) aktuālo IKT risku identificēšana, novērtēšana un dokumentēšana (visbiežāk –risku reģistrā) atbilstoši biznesa modelim, sniegtajiem pakalpojumiem un izmantotajiem trešo pušu pakalpojumu sniedzējiem;
5) visu izstrādāto un izmantoto mākslīgā intelekta sistēmu (MI) identificēšana, tostarp MI sistēmu, kuru pamatā ir vispārīga lietojuma MI modeļi, kā arī finanšu vienības lomas noteikšana attiecībā uz katru MI sistēmu;
6) aktuāls IKT infrastruktūras un informācijas sistēmu pārskats, ietverot IKT aktīvus un to arhitektūru, sistēmu integrācijas, datu plūsmas un informāciju par izmantotajiem trešo pušu pakalpojumiem;
7) dokumentēta rezerves kopiju veidošanas politika un procedūras, nosakot rezerves kopijās iekļaujamos datus un IKT sistēmas, kopiju veidošanas biežumu, glabāšanas vietas un termiņus, kā arī datu un sistēmu atjaunošanas regulāras testēšanas kārtību;
8) IKT un datu drošība, konfidencialitāte, integritāte, tostarp izmantojot mākoņpakalpojumus: dati jāšifrē pārsūtīšanas un glabāšanas laikā, kā arī, ja tas ir tehniski iespējams, apstrādes laikā, piemērojot datu sensitivitātes klasifikācijai un risku novērtējumam atbilstošas šifrēšanas metodes.
IKT riska pārvaldības sistēmas izveide
Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 par finanšu nozares digitālās darbības noturību (DORA) nosaka vienotas prasības finanšu vienību digitālās darbības noturībai, aptverot IKT riska pārvaldību, IKT incidentu pārvaldību un ziņošanu, digitālās darbības noturības testēšanu, IKT trešo pušu riska pārvaldību un informācijas apmaiņu par kiberdraudiem. Finanšu vienībai jānodrošina, ka tās IKT pārvaldības ietvars, procesi, sistēmas, kontroles un dokumentācija ir samērīgi ar tās lielumu, darbības raksturu, mērogu, sarežģītību un riska profilu. Lai to īstenotu praksē, ir būtiski, ka finanšu tirgus dalībnieks, uzsākot darbību un to turpinot, nodrošina skaidri strukturētu un savlaicīgi aktualizētu dokumentāciju, kas aptver politikas, praktiskas procedūras un instrukcijas, risinājumu aprakstus un citus operacionālo darbību atbalstošus materiālus.
Dokumentācijai ir jābūt hierarhiski sakārtotai un sistemātiski uzturētai – sākot ar pamatprincipiem un nostādnēm un beidzot ar konkrētu procesu aprakstiem un risinājumu piemērošanu praksē. Latvijas Bankas skatījumā nav noteikts konkrēts formāts vai apjoms – būtiskākais ir nodrošināt, ka šī dokumentācija atspoguļo iestādes faktisko nostāju un spēju pārvaldīt IKT riskus, uzturēt uzņēmējdarbības nepārtrauktību un uzraudzīt trešo pušu IKT pakalpojumu sniedzējus. Latvijas Banka sagaida, ka katrs finanšu tirgus dalībnieks proaktīvi uztur šo dokumentāciju, periodiski to pārskata un vajadzības gadījumā papildina, lai nodrošinātu atbilstību aktuālajiem riskiem, regulatīvajām prasībām un finanšu tirgus dalībnieka darbības attīstībai.
Proporcionalitātes princips ļauj finanšu vienībai pielāgot IKT riska pārvaldības pasākumus un dokumentācijas apjomu tās lielumam, darbības veidam, sarežģītībai un riska profilam. Tādēļ mazākai finanšu vienībai ar vienkāršāku darbības modeli var būt piemēroti vienkāršāki risinājumi, kas tomēr nodrošina būtisko IKT risku pārvaldību un piemērojamo DORA prasību izpildi (DORA 4. pants).
IKT riska pārvaldības pieeja ir finanšu vienības noteikta sistēma, kā tā pārvalda riskus, kas saistīti ar IKT sistēmām, datiem, kiberdrošību, tehnoloģiskajiem procesiem un IKT trešo pušu pakalpojumiem. Tā palīdz nodrošināt, ka IKT riski tiek savlaicīgi konstatēti, novērtēti, samazināti un uzraudzīti un ka būtiskākā informācija tiek sniegta vadības struktūrai.
Visbiežāk IKT riska pārvaldības pieejā nosaka atbildību, pieļaujamo riska līmeni, IKT risku identificēšanas un novērtēšanas kārtību, risku mazināšanas pasākumus un kontroles, IKT risku reģistra uzturēšanu, atlikušā riska pieņemšanu, būtisko risku uzraudzību un ziņošanu vadībai, kā arī regulāru risku pārskatīšanu un aktualizēšanu.
Finanšu vienībai patstāvīgi jāveic IKT riska izvērtējums, kas balstīts uz kritiski svarīgo vai svarīgo funkciju darbības nodrošināšanu.
Prasības nosaka saskaņā ar:
- DORA 5. pantu par IKT riska pārvaldības organizāciju, vadības struktūras atbildību, pienākumu sadalījumu un kontroles funkcijām;
- DORA 6. pantu par visaptveroša un dokumentēta IKT riska pārvaldības ietvara izveidi, IKT riska pārvaldības stratēģiju, riska tolerances līmeni, ietvara pārskatīšanu un auditu;
- DORA 7.–15. pantu par IKT sistēmām un rīkiem, IKT risku un atkarību identificēšanu, aizsardzību un novēršanu, incidentu atklāšanu, reaģēšanu uz tiem un atjaunošanas pasākumiem, gūto atziņu izmantošanu un saziņu;
- Deleģētās regulas (ES) 2024/1774 3. pantu par IKT riska identificēšanas, novērtēšanas, mazināšanas, uzraudzības un ziņošanas politiku un procedūrām un 27. pantu par IKT riska pārvaldības ietvara pārskatīšanas ziņojumu.
IKT un informācijas drošības politika ir vadības struktūras apstiprināti informācijas drošības principi, mērķi un kontroles pasākumi IKT sistēmu un informācijas pieejamības, autentiskuma, integritātes un konfidencialitātes aizsardzībai.
Finanšu vienībai jānodrošina IKT un datu drošība, konfidencialitāte un integritāte. Saskaņā ar Deleģētās regulas (ES) 2024/1774 6. pantu dati jāšifrē to pārsūtīšanas un glabāšanas laikā, kā arī, ja tas ir tehniski iespējams, datu apstrādes laikā, izmantojot datu sensitivitātes klasifikācijai atbilstošas šifrēšanas metodes un ievērojot uz risku balstītu pieeju. Izmantojot mākoņpakalpojumus, tostarp mākoņinfrastruktūru, jānodrošina pārsūtīto un glabāto datu drošība, integritāte un precizitāte. Šo prasību neizpilde var radīt būtisku finansiālu ietekmi un nopietnu kaitējumu finanšu vienības reputācijai.
Finanšu tirgus dalībniekam jāspēj formulēt konsekventu pieeju informācijas un IKT drošībai, kas ietver iestādes nostādnes par IKT risku vadību un to toleranci, aizsardzības līmeņiem un sistēmisko kontroli. Šim ietvaram jābūt saskaņotam ar iestādes kopējo riska pārvaldības stratēģiju un jāaptver gan preventīvie, gan reakcijas pasākumi. Šāds ietvars bieži tiek atspoguļots augstākā līmeņa politikas dokumentā (visbiežāk IKT drošības politikā), kuru apstiprina iestādes vadība un kuram tālāk pakārto detalizētākas procedūras, iekšējos noteikumus vai darbības aprakstus. Visbiežāk IKT un informācijas drošības politikā nosaka drošības mērķus un atbildību, piekļuves tiesību pārvaldību, datu aizsardzību, auditācijas pierakstu veidošanu un uzraudzību, IKT operāciju, tīklu un fizisko drošību, ievainojamību un atjauninājumu pārvaldību, kā arī drošības incidentu pārvaldības un politikas regulāras pārskatīšanas kārtību.
Finanšu vienībai, veicot risku novērtējumu, jāizvērtē nepieciešamība glabāt rezerves kopiju datus un sistēmas IKT sistēmās, kas ir fiziski un loģiski nodalītas no avota IKT sistēmām. Atkarībā no risku novērtējuma rezultātiem rezerves kopiju veidošanai var izmantot tā paša mākoņpakalpojumu sniedzēja, cita mākoņpakalpojumu sniedzēja, ārpus mākoņvides sniegta pakalpojuma vai finanšu vienības infrastruktūrā izvietotus resursus. Rezerves kopiju veidošanas, atjaunošanas un darbības atgūšanas procedūras un metodes regulāri jāpārbauda saskaņā ar DORA 12. panta 2. punktu.
Prasības nosaka saskaņā ar:
- DORA 5. panta 2. punkta b) apakšpunktu par vadības struktūras pienākumu apstiprināt un pārraudzīt politikas, kas aizsargā datu pieejamību, autentiskumu, integritāti un konfidencialitāti;
- DORA 6. pantu par dokumentētu IKT riska pārvaldības ietvaru, kurā ietilpst informācijas drošības politikas, procedūras, protokoli un rīki;
- DORA 8. un 9. pantu par IKT aktīvu un informācijas identificēšanu un klasifikāciju, kā arī aizsardzības un novēršanas pasākumu ieviešanu;
- Deleģētās regulas (ES) 2024/1774 2. pantu par IKT drošības politiku, procedūru, protokolu un rīku vispārīgajiem elementiem, kā arī šīs regulas prasībām attiecībā uz IKT aktīvu pārvaldību, šifrēšanu, IKT operāciju drošību, ievainojamību un ielāpu pārvaldību, datu un sistēmu drošību, auditācijas pieraksti, tīklu drošību, piekļuves kontroli, identitātes pārvaldību un fizisko drošību.
IKT incidentu pārvaldības un ziņošanas procedūra ir kārtība IKT incidentu identificēšanai, reģistrēšanai, klasificēšanai, pārvaldībai, novēršanai un cēloņu analīzei, kā arī būtisku IKT incidentu paziņošanai kompetentajai iestādei.
Šāda kārtība visbiežāk tiek noformēta kā procedūra (piemēram, IKT incidentu pārvaldības procedūra) vai darbību plūsmas apraksts, kurā noteikti konkrētie soļi, pienākumu sadalījums un atbildība incidentu pārvaldībā. Kārtība tiek izstrādāta, balstoties uz iepriekš definētajiem drošības principiem, un ir būtiska iestādes operacionālās noturības nodrošināšanas procesa sastāvdaļa. Ievērojot proporcionalitātes principu, arī mazākas iestādes tiek aicinātas izstrādāt šādu kārtību, kas piemērota to darbības mērogam un specifikai.
Prasības nosaka saskaņā ar:
- DORA 17.–23. pantu;
- Deleģētās regulas (ES) 2024/1774 22. un 23. pantu par incidentu pārvaldības politiku, incidentu atklāšanu un reaģēšanu uz tiem;
- Deleģētās regulas (ES) 2024/1772 1.–9. pantu par incidentu klasifikācijas kritērijiem un būtiskuma robežvērtībām;
- Deleģēto regulu (ES) 2025/301 par sākotnējā paziņojuma, starpposma ziņojuma un gala ziņojuma saturu un iesniegšanas termiņiem;
- Īstenošanas regulu (ES) 2025/302 par ziņošanas standarta veidlapām, veidnēm un procedūrām.
Darbības nepārtrauktības plānošanā nosaka, kā finanšu vienība turpinās darbību un atjaunos sistēmas pēc darbības traucējumiem, kurš par to būs atbildīgs un kā plāni tiks pārbaudīti.
Darbības nepārtrauktības plānošanas dokumentācija ietver uzņēmējdarbības ietekmes analīzi, IKT darbības nepārtrauktības politiku un IKT reaģēšanas un atjaunošanas plānus. Tajā nosaka kritiski svarīgās vai svarīgās funkcijas un to atkarības, atjaunošanas laika un datu zuduma mērķus, plānu aktivizēšanas kritērijus, atbildību un lomas, saziņas kārtību, rezerves risinājumus un regulāru testēšanu.
Uzņēmējdarbības ietekmes analīze (BIA) sniedz iespēju identificēt kritiskās funkcijas un to atkarību no konkrētiem IKT resursiem. Tās mērķis ir palīdzēt saprast, kāda būtu dažādu traucējumu ietekme uz iestādes darbību, un savlaicīgi izstrādāt nepieciešamos atjaunošanas pasākumus. Uz BIA pamata tiek veidots uzņēmējdarbības nepārtrauktības plāns (BCP) un negadījuma seku novēršanas plāns (DRP).
Prasības nosaka saskaņā ar:
- DORA 11. pantu par IKT darbības nepārtrauktības politiku, darbības ietekmes analīzi, reaģēšanas un atjaunošanas plāniem un to testēšanu;
- DORA 12. pantu par rezerves kopiju veidošanas politiku, atjaunošanas procedūrām un atjaunošanas sistēmām;
- Deleģētās regulas (ES) 2024/1774 24.–26. pantu par IKT darbības nepārtrauktības politikas sastāvdaļām, plānu testēšanu un IKT reaģēšanas un seku novēršanas plāniem.
Informācija par esošajiem un plānotajiem IKT trešo pušu pakalpojumiem ietver IKT trešo pušu pakalpojumu sniedzēju un saņemto pakalpojumu sarakstu, kurā norādītas atbalstītās funkcijas, tostarp kritiski svarīgās vai svarīgās funkcijas, pakalpojumu kritiskuma un riska novērtējums, līgumisko attiecību pārvaldības kārtība, uzraudzības pasākumi, apakšuzņēmēju izmantošana un izstāšanās stratēģijas.
Informācijas reģistrā apkopo un regulāri aktualizē informāciju par visām līgumiskajām attiecībām ar IKT trešo pušu pakalpojumu sniedzējiem, tostarp par saņemtajiem IKT pakalpojumiem, līgumiem, pakalpojumu sniedzējiem un apakšuzņēmējiem, atbalstītajām funkcijām, pakalpojumu sniegšanas vietām, datu glabāšanas vietām un līgumu izbeigšanas nosacījumiem. Atsevišķi identificē IKT pakalpojumus, kas atbalsta kritiski svarīgās vai svarīgās funkcijas.
Dokumentētā IKT infrastruktūra kalpo par pamatu arī trešo pušu pakalpojumu pārvaldības izvērtējumam, jo ļauj identificēt kritiskās atkarības un iespējamos riskus, kas izriet no šādas sadarbības.
Prasības nosaka saskaņā ar:
- DORA 28. pantu par IKT trešo pušu riska pārvaldības principiem, līgumisko attiecību informācijas reģistru, plānoto līgumu izvērtēšanu, pakalpojumu uzraudzību un izstāšanās stratēģijām;
- DORA 29. pantu par IKT koncentrācijas riska sākotnējo novērtēšanu;
- DORA 30. pantu par galvenajām prasībām līgumiem ar IKT trešo pušu pakalpojumu sniedzējiem;
- Deleģēto regulu (ES) 2024/1773 par politiku attiecībā uz līgumiem par tādu IKT pakalpojumu izmantošanu, kuri atbalsta kritiski svarīgās vai svarīgās funkcijas, tostarp riska novērtēšanu, pakalpojumu sniedzēja uzticamības pārbaudi, līgumu uzraudzību un izstāšanās stratēģijām;
- Deleģēto regulu (ES) 2025/532 par nosacījumiem apakšuzņēmēju piesaistei tādu IKT pakalpojumu sniegšanā, kuri atbalsta kritiski svarīgās vai svarīgās funkcijas;
- Īstenošanas regulu (ES) 2024/2956 par informācijas reģistra standarta veidnēm un tajā iekļaujamo informāciju par IKT pakalpojumiem.
Mākslīgā intelekta lietojuma pārvaldība
Mākslīgā intelekta akts (MI akts) jeb Regula (ES) 2024/1689, ar ko nosaka saskaņotas normas mākslīgā intelekta (MI) jomā, nosaka, kā finanšu vienība identificē, izvērtē,
"MI sistēma" ir mašinizēta sistēma, kura projektēta darboties ar dažādiem autonomijas līmeņiem, kura var pēc ieviešanas būt adaptīva, un kura eksplicītiem vai implicītiem mērķiem secina no informācijas, ko tā saņem, kā ģenerēt iznākumus, piemēram, prognozes, saturu, ieteikumus vai lēmumus, kas var ietekmēt fizisko vai virtuālo vidi.
apstiprina, izmanto un uzrauga MI sistēmas, kā arī pārvalda ar tām saistītos riskus. MI akta prasības nosaka atbildīgās personas, MI sistēmu uzskaites un riska klasifikācijas kārtību, lietošanas nosacījumus, cilvēka veiktu pārraudzību, datu aizsardzības, pārredzamības un drošības pasākumus, kā arī darbinieku MI pratības nodrošināšanu.
Mākslīgā intelekta lietojuma pārvaldības izvērtēšanai:
- Finanšu vienībai jāsniedz informācija par izmantotajām un izstrādātajām MI sistēmām, kas identificētas kā MI sistēmas atbilstoši MI akta 3. panta 1. punktā noteiktajai definīcijai.
- Par katru MI sistēmu jānorāda tās nosaukums, īss apraksts un galvenās funkcijas.
- Par katru MI sistēmu jānorāda finanšu vienības loma vai lomas, proti, vai tā attiecībā uz konkrēto sistēmu darbojas kā nodrošinātājs, produkta ražotājs, uzturētājs, pilnvarotais pārstāvis, importētājs vai izplatītājs, sniedzot īsu lomas noteikšanas pamatojumu.
- Vienlaikus arī jānorāda, kuras finanšu vienības kritiski svarīgās vai svarīgās funkcijas attiecīgā MI sistēma atbalsta.
Prasības nosaka saskaņā ar:
- MI akta 3. panta 1. un 3.–9. punktu par MI sistēmas un finanšu vienības iespējamās lomas definīcijām;
- MI akta 4. pantu par MI pratības nodrošināšanu;
- MI akta 5. un 6. pantu un III pielikumu par aizliegtas MI prakses un augsta riska MI sistēmu identificēšanu;
- MI akta 16. un 22.–26. pantu par dažādu MI sistēmu operatoru pienākumiem un gadījumiem, kad mainās finanšu vienības loma;
- MI akta 50. pantu par pārredzamības pienākumiem noteiktām MI sistēmām;
- DORA 8. panta 1., 4. un 5. punktu par IKT aktīvu, atkarību un atbalstīto kritiski svarīgo vai svarīgo funkciju identificēšanu un dokumentēšanu.
Kriptoaktīvu pakalpojumu pārvaldība
Eiropas Parlamenta un Padomes Regula (ES) 2023/1114 par kriptoaktīvu tirgiem (MiCA) nosaka, kā finanšu vienība organizē, sniedz un uzrauga kriptoaktīvu pakalpojumus, kā arī pārvalda ar tiem saistītos riskus. Tajā nosaka atbildīgās personas, pārvaldības kārtību, klientu aktīvu aizsardzību, interešu konfliktu novēršanu, sūdzību izskatīšanu, ārpakalpojumu uzraudzību, darbības nepārtrauktību un informācijas glabāšanu.
Kriptoaktīvu pakalpojumu sniedzējs nodrošina drošas, uzticamas un darbības apjomam atbilstošas IKT sistēmas kriptoaktīvu pakalpojumu sniegšanai. Tas pārvalda IKT riskus, aizsargā klientu datus un kriptoaktīvus, nodrošina sistēmu darbības nepārtrauktību un uzrauga IKT pakalpojumu sniedzējus.
Papildus DORA prasībām kriptoaktīvu pakalpojumu sniedzējs atbilstoši sniegto pakalpojumu veidam:
- nodrošina elektronisko uzskaiti, vismaz piecus gadus glabājot pilnīgus un izsekojamus ierakstus par sniegtajiem kriptoaktīvu pakalpojumiem, darbībām, rīkojumiem un darījumiem (MiCA 68. panta 9. punkts);
- uztur katra klienta kriptoaktīvu pozīciju reģistru, nekavējoties reģistrē pozīciju izmaiņas, aizsargā klientu kriptoaktīvus un piekļuves līdzekļus, nodala klientu kriptoaktīvus no saviem aktīviem un nodrošina kriptoaktīvu vai piekļuves līdzekļu atdošanu klientiem (MiCA 75. panta 2. un 7. punkts);
- nodrošina pietiekamu tirdzniecības sistēmu noturību un jaudu, kļūdainu vai noteiktos cenas un apjoma ierobežojumus pārsniedzošu rīkojumu noraidīšanu, sakārtotu tirdzniecību, darbības nepārtrauktību un sistēmu testēšanu pirms to ieviešanas un pēc būtiskām izmaiņām (MiCA 76. panta 7. un 8. punkts);
- vismaz piecus gadus glabā tirdzniecības platformas rīkojumu grāmatas datus, nodrošina rīkojumu sasaisti ar izpildītajiem darījumiem un publicē noteikto pirms tirdzniecības un pēc tirdzniecības informāciju, tostarp mašīnlasāmā formātā (MiCA 76. panta 9.–15. punkts);
- ievieš un uztur efektīvas sistēmas un procedūras, lai novērstu un atklātu tirgus ļaunprātīgu izmantošanu, kā arī nekavējoties ziņotu kompetentajai iestādei par aizdomīgiem rīkojumiem, darījumiem un citiem aizdomīgiem tirgus darbības aspektiem (MiCA 92. panta 1. punkts);
- līgumos ar klientiem norāda kriptoaktīvu pārvedumiem izmantoto drošības sistēmu aprakstu un ievieš politiku un procedūras kriptoaktīvu pārvedumu veikšanai atbilstoši piemērojamajām prasībām (MiCA 82. panta 1. un 2. punkts).