Latvijas Bankas apkopotā informācija par 2025. gadā un 2026. gada pirmajā pusgadā ziņotajiem būtiskajiem informācijas un komunikācijas tehnoloģiju (IKT) incidentiem liecina, ka finanšu pakalpojumu pieejamību visbiežāk ietekmējuši ārējo pakalpojumu sniedzēju un koplietotās infrastruktūras traucējumi. Incidentu pieredze uzsver nepieciešamību stiprināt ārējo atkarību pārvaldību, sistēmu izmaiņu kontroli un savlaicīgu ziņošanu.
2026. gada pirmajā pusgadā ziņots par vairāk būtisku IKT incidentu nekā 2025. gadā kopumā. Tomēr ziņoto incidentu skaita pieaugums neļauj secināt, ka finanšu sektora tehnoloģiskā infrastruktūra kļuvusi mazāk droša vai uzticama. To var ietekmēt arī konsekventāka incidentu klasifikācijas un ziņošanas prasību piemērošana pēc Digitālās darbības noturības akta jeb DORA (Regula (ES) 2022/2554) piemērošanas sākuma 2025. gada 17. janvārī.
Ārējo pakalpojumu atkarības un koncentrācijas risks
Aplūkotajā periodā incidenti skāra maksājumu un zibmaksājumu apstrādi, karšu pakalpojumus, klientu autentifikāciju un piekļuvi digitālajiem kanāliem. Starp traucējumu avotiem bija arī mākoņpakalpojumu un citas ārējās infrastruktūras nepieejamība, kā arī sertifikātu pārvaldības problēmas.
Viena ārējā pakalpojumu sniedzēja vai koplietota risinājuma darbības traucējumi var vienlaikus ietekmēt vairākus finanšu tirgus dalībniekus. Ja vienu risinājumu izmanto vairākās valstīs, incidenta ietekme var pārsniegt Latvijas robežas. Tas ir īpaši būtiski kopīgiem Baltijas mēroga maksājumu, autentifikācijas un klientu apkalpošanas risinājumiem.
Finanšu tirgus dalībniekam tādēļ jāizprot, no kuriem ārējiem pakalpojumiem ir atkarīga tā darbība un kā tas nodrošinās klientiem svarīgos pakalpojumus traucējumu laikā. Pakalpojuma nodošana ārējam sniedzējam neatbrīvo finanšu tirgus dalībnieku no atbildības par šī pakalpojuma nepārtrauktību. Nepieciešama gan pakalpojumu sniedzēju uzraudzība, gan pārbaudīti darbības nepārtrauktības un atjaunošanas risinājumi.
Incidentu pamatcēloņi un IKT risku pārvaldība
Incidentu analīzē identificētas izmaiņu vadības, konfigurācijas, testēšanas un sistēmu uzturēšanas nepilnības. Bieži vien norādīts uz nepietiekamu testēšanu un nepilnīgu ārējo pakalpojumu sniedzēju izmaiņu kontroli kā iespējamiem traucējumus vai to ietekmi veicinošiem faktoriem. Līdz ar to pēc pakalpojuma atjaunošanas jāveic pamatcēloņu analīze un jāīsteno pasākumi atkārtošanās riska mazināšanai. Pirms sistēmu izmaiņu ieviešanas jānovērtē to ietekme uz saistītajiem pakalpojumiem, jāveic atbilstoša testēšana un jāparedz iespēja atjaunot iepriekšējo darbspējīgo stāvokli.
Incidenta būtiskumu nevar vērtēt tikai pēc skarto klientu skaita vai viena cita rādītāja. Finanšu tirgus dalībniekam jāizvērtē skarto pakalpojumu kritiskums, incidenta ilgums un pakalpojumu dīkstāve, ietekme uz klientiem, finanšu darījumu partneriem un darījumiem, ģeogrāfiskā izplatība, datu pieejamības un drošības pārkāpumi, reputācijas ietekme un ekonomiskie zaudējumi. Katrs rādītājs jāsalīdzina ar regulējumā noteiktajiem būtiskuma sliekšņiem, ievērojot to piemērošanas nosacījumus.
1. attēls. Ziņojumos norādītie incidentu klasifikācijas kritēriji 2026. gada pirmajā pusgadā.
Incidentu novērtēšana un ziņošanas savlaicīgums
2026. gada pirmajā pusgadā 24 stundu termiņā iesniegto sākotnējo ziņojumu īpatsvars bija 82 %, salīdzinot ar 90 % 2025. gadā. Četru stundu termiņa izpilde uzlabojās no 80 % līdz 82 %. Incidenta sākumā informācija var būt nepilnīga, īpaši ārējo pakalpojumu traucējumu gadījumā. Šajā procesā būtiski finanšu tirgus dalībniekam iepriekš noteikt atbildīgos darbiniekus par informācijas apkopošanu, incidenta klasificēšanu un ziņošanu.
Sākotnējā ziņošana nav jāatliek līdz pilnīgai incidenta izmeklēšanai. DORA paredz secīgu sākotnējā paziņojuma, starpposma ziņojuma un gala ziņojuma iesniegšanu. Informācija par incidenta ietekmi un cēloņiem tiek papildināta, turpinoties tā analīzei. Savlaicīgi saņemta informācija palīdz Latvijas Bankai un Eiropas uzraudzības iestādēm (EBA, ESMA, EIOPA) un Eiropas Centrālajai bankai novērtēt iespējamo ietekmi uz citiem finanšu tirgus dalībniekiem un finanšu sektoru kopumā.
2. attēls. Sākotnējo ziņojumu termiņu izpildes izmaiņas starp 2025. gadu un 2026. gada pirmo pusgadu.
Latvijas Bankas gaidas ziņošanai par incidentiem
Ņemot vērā incidentu analīzes secinājumus un piemērojamās regulējuma prasības, Latvijas Banka aicina īpašu uzmanību pievērst šādiem uzdevumiem:
Savlaicīgi atklāt un klasificēt IKT incidentus.
Lai incidentu varētu savlaicīgi pamanīt un novērtēt tā būtiskumu, darbiniekiem jāzina, kā rīkoties un pie kā vērsties. Ir svarīgi iepriekš vienoties, kurš apkopo nepieciešamo informāciju, kurš klasificē incidentu un kurš iesniedz ziņojumus. Skaidrs atbildības sadalījums un laikus pieejami dati palīdz nodrošināt, ka ziņojumi tiek iesniegti noteiktajos termiņos.
Regulējuma pamats: DORA 17. panta 1. punkts un 3. punkta b) un c) apakšpunkts, 18. panta 1. punkts, 19. panta 1. un 4. punkts; Komisijas Deleģētās regulas (ES) 2025/301 5. pants.
Pārvaldīt ārējo pakalpojumu atkarības.
Finanšu tirgus dalībniekam ir svarīgi izprast, no kuriem ārējiem pakalpojumiem ir atkarīga tā darbība un kā šo pakalpojumu traucējumi var ietekmēt klientus. Jāapzina pakalpojumu savstarpējās atkarības un jāvērtē koncentrācijas risks, piemēram, situācijas, kad vairāki svarīgi pakalpojumi ir atkarīgi no viena pakalpojumu sniedzēja. Ar trešo pušu pakalpojumu sniedzējiem savlaicīgi jāvienojas arī par informācijas apmaiņu, lai incidenta laikā nepieciešamā informācija būtu pieejama iespējami ātri.
Regulējuma pamats: DORA 8. panta 5. punkts, 28. panta 4. punkta c) apakšpunkts, 29. panta 1. punkts un 30. panta 3. punkta b) apakšpunkts.
Stiprināt izmaiņu vadību un testēšanu.
Pirms izmaiņu ieviešanas ir svarīgi izvērtēt, kā tās var ietekmēt sistēmu darbību un saistītos pakalpojumus. Izmaiņas jāpārbauda piemērotā testēšanas vidē, savlaicīgi sagatavojot arī rīcību gadījumam, ja ieviešana neizdodas. Tas palīdz pārliecināties, ka nepieciešamības gadījumā būs iespējams atjaunot iepriekšējo versiju un mazināt incidenta ietekmi.
Regulējuma pamats: DORA 9. panta 4. punkta e) apakšpunkts; Komisijas Deleģētās regulas (ES) 2024/1774 17. panta 1. punkta c), e) un h) apakšpunkts.
Pārbaudīt darbības nepārtrauktības risinājumus.
Darbības nepārtrauktības pārbaudes palīdz pārliecināties, ka traucējumu laikā paredzētie risinājumi tiešām darbojas. Tajās jāiekļauj arī situācijas, kad nav pieejams ārējā pakalpojumu sniedzēja nodrošinātais pakalpojums. Pārbaudēs ir svarīgi novērtēt gan tehniskās atjaunošanas iespējas rezerves kopijām, gan to, vai iesaistītie darbinieki zina savus uzdevumus un spēj tos izpildīt.
Regulējuma pamats: DORA 11. panta 4. un 6. punkts; Komisijas Deleģētās regulas (ES) 2024/1774 25. panta 2. punkta a), b) un e) apakšpunkts.
Novērst incidentu atkārtošanās cēloņus.
Pēc incidenta ir svarīgi noskaidrot, kāpēc tas radās un kādi apstākļi veicināja tā ietekmi. Šie secinājumi palīdz noteikt konkrētus uzlabojumus, katram paredzot atbildīgo un izpildes termiņu. Pēc pasākumu īstenošanas jāpārliecinās, ka tie darbojas un mazina līdzīgu incidentu atkārtošanās risku.
Regulējuma pamats: DORA 17. panta 2. punkts un 13. panta 2. un 3. punkts.
Incidentu analīze palīdz Latvijas Bankai noteikt kopīgas riska tendences un uzraudzības prioritātes. Īpaša uzmanība pievēršama ārējo pakalpojumu atkarībām un sākotnējās ziņošanas savlaicīgumam, vienlaikus vērtējot finanšu tirgus dalībnieku spēju novērst konstatētos trūkumus un uzturēt klientiem svarīgo pakalpojumu pieejamību.
Plašāka informācija un ziņojumu veidnes pieejamas Latvijas Bankas tīmekļvietnes sadaļā Ziņošana par incidentiem.