IKT riska pārvaldības sistēmas izveide
Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 par finanšu nozares digitālās darbības noturību (DORA) nosaka vienotas prasības finanšu vienību digitālās darbības noturībai, aptverot IKT riska pārvaldību, IKT incidentu pārvaldību un ziņošanu, digitālās darbības noturības testēšanu, IKT trešo pušu riska pārvaldību un informācijas apmaiņu par kiberdraudiem. Finanšu vienībai jānodrošina, ka tās IKT pārvaldības ietvars, procesi, sistēmas, kontroles un dokumentācija ir samērīgi ar tās lielumu, darbības raksturu, mērogu, sarežģītību un riska profilu. Lai to īstenotu praksē, ir būtiski, ka finanšu tirgus dalībnieks, uzsākot darbību un to turpinot, nodrošina skaidri strukturētu un savlaicīgi aktualizētu dokumentāciju, kas aptver politikas, praktiskas procedūras un instrukcijas, risinājumu aprakstus un citus operacionālo darbību atbalstošus materiālus.
Dokumentācijai ir jābūt hierarhiski sakārtotai un sistemātiski uzturētai – sākot ar pamatprincipiem un nostādnēm un beidzot ar konkrētu procesu aprakstiem un risinājumu piemērošanu praksē. Latvijas Bankas skatījumā nav noteikts konkrēts formāts vai apjoms – būtiskākais ir nodrošināt, ka šī dokumentācija atspoguļo iestādes faktisko nostāju un spēju pārvaldīt IKT riskus, uzturēt uzņēmējdarbības nepārtrauktību un uzraudzīt trešo pušu IKT pakalpojumu sniedzējus. Latvijas Banka sagaida, ka katrs finanšu tirgus dalībnieks proaktīvi uztur šo dokumentāciju, periodiski to pārskata un vajadzības gadījumā papildina, lai nodrošinātu atbilstību aktuālajiem riskiem, regulatīvajām prasībām un finanšu tirgus dalībnieka darbības attīstībai.
Proporcionalitātes princips ļauj finanšu vienībai pielāgot IKT riska pārvaldības pasākumus un dokumentācijas apjomu tās lielumam, darbības veidam, sarežģītībai un riska profilam. Tādēļ mazākai finanšu vienībai ar vienkāršāku darbības modeli var būt piemēroti vienkāršāki risinājumi, kas tomēr nodrošina būtisko IKT risku pārvaldību un piemērojamo DORA prasību izpildi (DORA 4. pants).
IKT riska pārvaldības pieeja ir finanšu vienības noteikta sistēma, kā tā pārvalda riskus, kas saistīti ar IKT sistēmām, datiem, kiberdrošību, tehnoloģiskajiem procesiem un IKT trešo pušu pakalpojumiem. Tā palīdz nodrošināt, ka IKT riski tiek savlaicīgi konstatēti, novērtēti, samazināti un uzraudzīti un ka būtiskākā informācija tiek sniegta vadības struktūrai.
Visbiežāk IKT riska pārvaldības pieejā nosaka atbildību, pieļaujamo riska līmeni, IKT risku identificēšanas un novērtēšanas kārtību, risku mazināšanas pasākumus un kontroles, IKT risku reģistra uzturēšanu, atlikušā riska pieņemšanu, būtisko risku uzraudzību un ziņošanu vadībai, kā arī regulāru risku pārskatīšanu un aktualizēšanu.
Finanšu vienībai patstāvīgi jāveic IKT riska izvērtējums, kas balstīts uz kritiski svarīgo vai svarīgo funkciju darbības nodrošināšanu.
Prasības nosaka saskaņā ar:
- DORA 5. pantu par IKT riska pārvaldības organizāciju, vadības struktūras atbildību, pienākumu sadalījumu un kontroles funkcijām;
- DORA 6. pantu par visaptveroša un dokumentēta IKT riska pārvaldības ietvara izveidi, IKT riska pārvaldības stratēģiju, riska tolerances līmeni, ietvara pārskatīšanu un auditu;
- DORA 7.–15. pantu par IKT sistēmām un rīkiem, IKT risku un atkarību identificēšanu, aizsardzību un novēršanu, incidentu atklāšanu, reaģēšanu uz tiem un atjaunošanas pasākumiem, gūto atziņu izmantošanu un saziņu;
- Deleģētās regulas (ES) 2024/1774 3. pantu par IKT riska identificēšanas, novērtēšanas, mazināšanas, uzraudzības un ziņošanas politiku un procedūrām un 27. pantu par IKT riska pārvaldības ietvara pārskatīšanas ziņojumu.
IKT un informācijas drošības politika ir vadības struktūras apstiprināti informācijas drošības principi, mērķi un kontroles pasākumi IKT sistēmu un informācijas pieejamības, autentiskuma, integritātes un konfidencialitātes aizsardzībai.
Finanšu tirgus dalībniekam jāspēj formulēt konsekventu pieeju informācijas un IKT drošībai, kas ietver iestādes nostādnes par IKT risku vadību un to toleranci, aizsardzības līmeņiem un sistēmisko kontroli. Šim ietvaram jābūt saskaņotam ar iestādes kopējo riska pārvaldības stratēģiju un jāaptver gan preventīvie, gan reakcijas pasākumi. Šāds ietvars bieži tiek atspoguļots augstākā līmeņa politikas dokumentā (visbiežāk IKT drošības politikā), kuru apstiprina iestādes vadība un kuram tālāk pakārto detalizētākas procedūras, iekšējos noteikumus vai darbības aprakstus. Visbiežāk IKT un informācijas drošības politikā nosaka drošības mērķus un atbildību, piekļuves tiesību pārvaldību, datu aizsardzību, auditācijas pierakstu veidošanu un uzraudzību, IKT operāciju, tīklu un fizisko drošību, ievainojamību un atjauninājumu pārvaldību, kā arī drošības incidentu pārvaldības un politikas regulāras pārskatīšanas kārtību.
Prasības nosaka saskaņā ar:
- DORA 5. panta 2. punkta b) apakšpunktu par vadības struktūras pienākumu apstiprināt un pārraudzīt politikas, kas aizsargā datu pieejamību, autentiskumu, integritāti un konfidencialitāti;
- DORA 6. pantu par dokumentētu IKT riska pārvaldības ietvaru, kurā ietilpst informācijas drošības politikas, procedūras, protokoli un rīki;
- DORA 8. un 9. pantu par IKT aktīvu un informācijas identificēšanu un klasifikāciju, kā arī aizsardzības un novēršanas pasākumu ieviešanu;
Deleģētās regulas (ES) 2024/1774 2. pantu par IKT drošības politiku, procedūru, protokolu un rīku vispārīgajiem elementiem, kā arī šīs regulas prasībām attiecībā uz IKT aktīvu pārvaldību, šifrēšanu, IKT operāciju drošību, ievainojamību un ielāpu pārvaldību, datu un sistēmu drošību, žurnālfailiem, tīklu drošību, piekļuves kontroli, identitātes pārvaldību un fizisko drošību.
IKT incidentu pārvaldības un ziņošanas procedūra ir kārtība IKT incidentu identificēšanai, reģistrēšanai, klasificēšanai, pārvaldībai, novēršanai un cēloņu analīzei, kā arī būtisku IKT incidentu paziņošanai kompetentajai iestādei.
Šāda kārtība visbiežāk tiek noformēta kā procedūra (piemēram, IKT incidentu pārvaldības procedūra) vai darbību plūsmas apraksts, kurā noteikti konkrētie soļi, pienākumu sadalījums un atbildība incidentu pārvaldībā. Kārtība tiek izstrādāta, balstoties uz iepriekš definētajiem drošības principiem, un ir būtiska iestādes operacionālās noturības nodrošināšanas procesa sastāvdaļa. Ievērojot proporcionalitātes principu, arī mazākas iestādes tiek aicinātas izstrādāt šādu kārtību, kas piemērota to darbības mērogam un specifikai.
Prasības nosaka saskaņā ar:
- DORA 17.–23. pantu;
- Deleģētās regulas (ES) 2024/1774 22. un 23. pantu par incidentu pārvaldības politiku, incidentu atklāšanu un reaģēšanu uz tiem;
- Deleģētās regulas (ES) 2024/1772 1.–9. pantu par incidentu klasifikācijas kritērijiem un būtiskuma robežvērtībām;
- Deleģēto regulu (ES) 2025/301 par sākotnējā paziņojuma, starpposma ziņojuma un gala ziņojuma saturu un iesniegšanas termiņiem;
- Īstenošanas regulu (ES) 2025/302 par ziņošanas standarta veidlapām, veidnēm un procedūrām.
Darbības nepārtrauktības plānošanā nosaka, kā finanšu vienība turpinās darbību un atjaunos sistēmas pēc darbības traucējumiem, kurš par to būs atbildīgs un kā plāni tiks pārbaudīti.
Darbības nepārtrauktības plānošanas dokumentācija ietver uzņēmējdarbības ietekmes analīzi, IKT darbības nepārtrauktības politiku un IKT reaģēšanas un atjaunošanas plānus. Tajā nosaka kritiski svarīgās vai svarīgās funkcijas un to atkarības, atjaunošanas laika un datu zuduma mērķus, plānu aktivizēšanas kritērijus, atbildību un lomas, saziņas kārtību, rezerves risinājumus un regulāru testēšanu.
Uzņēmējdarbības ietekmes analīze (BIA) sniedz iespēju identificēt kritiskās funkcijas un to atkarību no konkrētiem IKT resursiem. Tās mērķis ir palīdzēt saprast, kāda būtu dažādu traucējumu ietekme uz iestādes darbību, un savlaicīgi izstrādāt nepieciešamos atjaunošanas pasākumus. Uz BIA pamata tiek veidots uzņēmējdarbības nepārtrauktības plāns (BCP) un negadījuma seku novēršanas plāns (DRP).
Prasības nosaka saskaņā ar:
- DORA 11. pantu par IKT darbības nepārtrauktības politiku, darbības ietekmes analīzi, reaģēšanas un atjaunošanas plāniem un to testēšanu;
- DORA 12. pantu par rezerves kopiju veidošanas politiku, atjaunošanas procedūrām un atjaunošanas sistēmām;
- Deleģētās regulas (ES) 2024/1774 24.–26. pantu par IKT darbības nepārtrauktības politikas sastāvdaļām, plānu testēšanu un IKT reaģēšanas un atjaunošanas plāniem.
Informācija par esošajiem un plānotajiem IKT trešo pušu pakalpojumiem ietver IKT trešo pušu pakalpojumu sniedzēju un saņemto pakalpojumu sarakstu, kurā norādītas atbalstītās funkcijas, tostarp kritiski svarīgās vai svarīgās funkcijas, pakalpojumu kritiskuma un riska novērtējums, līgumisko attiecību pārvaldības kārtība, uzraudzības pasākumi, apakšuzņēmēju izmantošana un izstāšanās stratēģijas.
Informācijas reģistrā apkopo un regulāri aktualizē informāciju par visām līgumiskajām attiecībām ar IKT trešo pušu pakalpojumu sniedzējiem, tostarp par saņemtajiem IKT pakalpojumiem, līgumiem, pakalpojumu sniedzējiem un apakšuzņēmējiem, atbalstītajām funkcijām, pakalpojumu sniegšanas vietām, datu glabāšanas vietām un līgumu izbeigšanas nosacījumiem. Atsevišķi identificē IKT pakalpojumus, kas atbalsta kritiski svarīgās vai svarīgās funkcijas.
Dokumentētā IKT infrastruktūra kalpo par pamatu arī trešo pušu pakalpojumu pārvaldības izvērtējumam, jo ļauj identificēt kritiskās atkarības un iespējamos riskus, kas izriet no šādas sadarbības.
Prasības nosaka saskaņā ar:
- DORA 28. pantu par IKT trešo pušu riska pārvaldības principiem, līgumisko attiecību informācijas reģistru, plānoto līgumu izvērtēšanu, pakalpojumu uzraudzību un izstāšanās stratēģijām;
- DORA 29. pantu par IKT koncentrācijas riska sākotnējo novērtēšanu pirms līguma noslēgšanas;
- DORA 30. pantu par galvenajām prasībām līgumiem ar IKT trešo pušu pakalpojumu sniedzējiem;
- Deleģēto regulu (ES) 2024/1773 par politiku attiecībā uz līgumiem par tādu IKT pakalpojumu izmantošanu, kuri atbalsta kritiski svarīgās vai svarīgās funkcijas, tostarp riska novērtēšanu, pakalpojumu sniedzēja uzticamības pārbaudi, līgumu uzraudzību un izstāšanās stratēģijām;
- Deleģēto regulu (ES) 2025/532 par nosacījumiem apakšuzņēmēju piesaistei tādu IKT pakalpojumu sniegšanā, kuri atbalsta kritiski svarīgās vai svarīgās funkcijas;
- Īstenošanas regulu (ES) 2024/2956 par informācijas reģistra standarta veidnēm un tajā iekļaujamo informāciju par IKT pakalpojumiem, pakalpojumu sniedzējiem, līgumiem, atbalstītajām funkcijām un IKT pakalpojumu piegādes ķēdi.
Papildinforrmācija
Lūdzam precizēt:
- kuri IT darbinieki fiziski atradīsies Latvijā un kādas būs to lomas, paredzētais atbildības tvērums un slodze saskaņā ar DORA 5. pantu;
- kuras funkcijas ir noteiktas par kritiski svarīgām vai svarīgām DORA 3. panta 22. punkta nozīmē;
- vai tiek izstrādātas un/vai izmantotas mākslīgā intelekta (MI) sistēmas, tostarp MI sistēmas, kuru pamatā ir vispārīga lietojuma MI modeļi (MI akta 3. panta 1., 3., 4., 63. un 66. punkts);
- IKT infrastruktūras un sistēmu pārskatu, ietverot IKT aktīvus un to arhitektūru, integrācijas, datu plūsmas, kā arī informāciju par izmantotajiem trešo pušu pakalpojumiem saskaņā ar DORA 8. pantu.
Mākslīgā intelekta lietojuma pārvaldība
Mākslīgā intelekta akts (MI akts) jeb Regula (ES) 2024/1689, ar ko nosaka saskaņotas normas mākslīgā intelekta (MI) jomā, nosaka, kā finanšu vienība identificē, izvērtē, apstiprina, izmanto un uzrauga MI sistēmas, kā arī pārvalda ar tām saistītos riskus. MI akta prasības nosaka atbildīgās personas, MI sistēmu uzskaites un riska klasifikācijas kārtību, lietošanas nosacījumus, cilvēka veiktu pārraudzību, datu aizsardzības,
pārredzamības un drošības pasākumus, kā arī darbinieku MI pratības nodrošināšanu.
"MI sistēma" ir mašinizēta sistēma, kura projektēta darboties ar dažādiem autonomijas līmeņiem, kura var pēc ieviešanas būt adaptīva, un kura eksplicītiem vai implicītiem mērķiem secina no informācijas, ko tā saņem, kā ģenerēt iznākumus, piemēram, prognozes, saturu, ieteikumus vai lēmumus, kas var ietekmēt fizisko vai virtuālo vidi.
Mākslīgā intelekta lietojuma pārvaldības izvērtēšanai:
- Finanšu vienībai jāsniedz informācija par izmantotajām un izstrādātajām MI sistēmām, kas identificētas kā MI sistēmas atbilstoši MI akta 3. panta 1. punktā noteiktajai definīcijai.
- Par katru MI sistēmu jānorāda tās nosaukums, īss apraksts un galvenās funkcijas.
- Par katru MI sistēmu jānorāda finanšu vienības loma vai lomas, proti, vai tā attiecībā uz konkrēto sistēmu darbojas kā nodrošinātājs, produkta ražotājs, uzturētājs, pilnvarotais pārstāvis, importētājs vai izplatītājs, sniedzot īsu lomas noteikšanas pamatojumu.
- Vienlaikus arī jānorāda, kuras finanšu vienības kritiski svarīgās vai svarīgās funkcijas attiecīgā MI sistēma atbalsta.
Prasības nosaka saskaņā ar:
- MI akta 3. panta 1. un 3.–9. punktu par MI sistēmas un finanšu vienības iespējamās lomas definīcijām;
- MI akta 4. pantu par MI pratības nodrošināšanu;
- MI akta 5. un 6. pantu un III pielikumu par aizliegtas MI prakses un augsta riska MI sistēmu identificēšanu;
- MI akta 16. un 22.–26. pantu par dažādu MI sistēmu operatoru pienākumiem un gadījumiem, kad mainās finanšu vienības loma;
- MI akta 50. pantu par pārredzamības pienākumiem noteiktām MI sistēmām;
- DORA 8. panta 1., 4. un 5. punktu par IKT aktīvu, atkarību un atbalstīto kritiski svarīgo vai svarīgo funkciju identificēšanu un dokumentēšanu.
Kriptoaktīvu pakalpojumu pārvaldība
Eiropas Parlamenta un Padomes Regula (ES) 2023/1114 par kriptoaktīvu tirgiem (MiCA) nosaka, kā finanšu vienība organizē, sniedz un uzrauga kriptoaktīvu pakalpojumus, kā arī pārvalda ar tiem saistītos riskus. Tajā nosaka atbildīgās personas, pārvaldības kārtību, klientu aktīvu aizsardzību, interešu konfliktu novēršanu, sūdzību izskatīšanu, ārpakalpojumu uzraudzību, darbības nepārtrauktību un informācijas glabāšanu.
Kriptoaktīvu pakalpojumu sniedzējs nodrošina drošas, uzticamas un darbības apjomam atbilstošas IKT sistēmas kriptoaktīvu pakalpojumu sniegšanai. Tas pārvalda IKT riskus, aizsargā klientu datus un kriptoaktīvus, nodrošina sistēmu darbības nepārtrauktību un uzrauga IKT pakalpojumu sniedzējus.
Papildus DORA prasībām kriptoaktīvu pakalpojumu sniedzējs atbilstoši sniegto pakalpojumu veidam:
- nodrošina elektronisko uzskaiti, vismaz piecus gadus glabājot pilnīgus un izsekojamus ierakstus par sniegtajiem kriptoaktīvu pakalpojumiem, darbībām, rīkojumiem un darījumiem (MiCA 68. panta 9. punkts un Deleģētā regula (ES) 2025/1140);
- uztur katra klienta kriptoaktīvu pozīciju reģistru, nekavējoties reģistrē pozīciju izmaiņas, aizsargā klientu kriptoaktīvus un piekļuves līdzekļus, nodala klientu kriptoaktīvus no saviem aktīviem un nodrošina kriptoaktīvu vai piekļuves līdzekļu atdošanu klientiem (MiCA 75. panta 2. un 7. punkts);
- nodrošina pietiekamu tirdzniecības sistēmu noturību un jaudu, kļūdainu vai noteiktos cenas un apjoma ierobežojumus pārsniedzošu rīkojumu noraidīšanu, sakārtotu tirdzniecību, darbības nepārtrauktību un sistēmu testēšanu pirms to ieviešanas un pēc būtiskām izmaiņām (MiCA 76. panta 7. un 8. punkts);
- vismaz piecus gadus glabā tirdzniecības platformas rīkojumu grāmatas datus, nodrošina rīkojumu sasaisti ar izpildītajiem darījumiem un publicē noteikto pirms tirdzniecības un pēc tirdzniecības informāciju, tostarp mašīnlasāmā formātā (MiCA 76. panta 9.–15. punkts un Deleģētā regula (ES) 2025/416);
- ievieš un uztur efektīvas sistēmas un procedūras, lai novērstu un atklātu tirgus ļaunprātīgu izmantošanu, kā arī nekavējoties ziņotu kompetentajai iestādei par aizdomīgiem rīkojumiem, darījumiem un citiem aizdomīgiem tirgus darbības aspektiem (MiCA 92. panta 1. punkts);
- līgumos ar klientiem norāda kriptoaktīvu pārvedumiem izmantoto drošības sistēmu aprakstu un ievieš politiku un procedūras kriptoaktīvu pārvedumu veikšanai atbilstoši piemērojamajām prasībām (MiCA 82. panta 1. un 2. punkts).