Termiņš pagāja jau pirms gandrīz diviem gadiem. NIS2, Eiropas Savienības atjauninātā kiberdrošības direktīva, visā Savienībā bija jāpārņem nacionālajos tiesību aktos līdz 2024. gada 17. oktobrim. Lielākā daļa dalībvalstu to ir izdarījusi, bet četras, kas to nav izdarījušas, tagad par to atbild tiesā. Ja jūsu organizācija sniedz būtiskus pakalpojumus vai ir nozīmīgs spēlētājs kādā no aptvertajām nozarēm, jautājums vairs nav par to, vai noteikumi attiecas uz jums; jautājums ir par to, vai spējat uzraudzības iestādei pierādīt, ka jūsu piekļuves kontroles tiem atbilst. Un pirmo reizi šis jautājums gulstas uz vadības valdi, ne tikai uz IT nodaļu.
Autentifikācija tagad ir ierakstīta likumā, ne tikai vadlīnijās
Agrākie labās prakses ietvari daudzfaktoru autentifikāciju ieteica. NIS2 iet tālāk. Tās pamata riska pārvaldības pasākumi (21. pants) prasa organizācijām ieviest tehniskās kontroles, tostarp piekļuves kontroles politikas, kriptogrāfiju un — skaidri norādot — daudzfaktoru autentifikācijas vai nepārtrauktas autentifikācijas risinājumu izmantošanu, kur tas nepieciešams.
Praksē vājš vai neobligāts otrais faktors vairs nav aizstāvama pozīcija. Ja auditors jautā, kā priviliģēts administrators piesakās jūsu VPN, Windows serveros vai pārvaldības konsolē, atbilde “ar paroli un dažreiz ar SMS kodu” ir tā, kas noved pie audita atzinuma par neatbilstību.
Kas mainījās 2026. gadā
Šogad mainījās divas lietas, un neviena no tām nemīkstina autentifikācijas prasību.
- Četras dalībvalstis ir nonākušas tiesā. 2026. gada 8. jūlijā Komisija vērsās Eiropas Savienības Tiesā pret Īriju, Spāniju, Franciju un Nīderlandi, jo tās nebija paziņojušas par direktīvas pilnīgu pārņemšanu; pirms tam 2024. gada novembrī tika nosūtītas oficiāla paziņojuma vēstules un 2025. gada maijā argumentēti atzinumi (Komisijas paziņojums presei). Ja nacionālie tiesību akti kavējas, pienākumi ir atlikti, nevis atcelti.
- Ir ierosināti grozījumi. 2026. gada 20. janvārī Komisija ierosināja grozīt NIS2, lai to vienkāršotu un saskaņotu ar Kiberdrošības aktu (COM(2026) 13). Priekšlikums vienkāršo jurisdikcijas noteikumus, sašaurina dažu nozaru definīcijas, precizē ziņošanu par izspiedējprogrammatūras incidentiem un ievieš kategoriju “mazie uzņēmumi ar vidēji lielu kapitālu”: organizācijas ar mazāk nekā 750 darbiniekiem un apgrozījumu zem 150 miljoniem eiro, kuras uzskata par svarīgajām vienībām un uzrauga tikai pēc fakta. Tas joprojām ir tikai priekšlikums un nav pieņemts. Priekšlikums neparedz mainīt 21. panta drošības pasākumus, tostarp daudzfaktoru autentifikāciju.
Autentifikācijas jomā praktiskais vēstījums tātad paliek nemainīgs: ja direktīva attiecas uz jums, MFA piekļuves ceļos, kas patiešām ir svarīgi, jau šodien ir juridisks pienākums, un ierosinātie grozījumi to mainīt neparedz.
Uz ko tas attiecas
NIS2 iedala organizācijas būtiskajās un svarīgajās vienībās plašā nozaru lokā: enerģētika, transports, banku un finanšu tirgus infrastruktūra, veselības aprūpe, dzeramais ūdens un notekūdeņi, digitālā infrastruktūra, valsts pārvalde un citas, ar otru līmeni, kas ietver pasta pakalpojumus, atkritumu apsaimniekošanu, ražošanu, pārtiku, ķīmiskās vielas un digitālos pakalpojumu sniedzējus. Daudzas organizācijas, kas atradās ārpus sākotnējās NIS direktīvas, tagad ir stingri tās pēcteces ietvaros.
Vispārīgi runājot, organizācija kādā no šīm nozarēm ietilpst direktīvas darbības jomā, tiklīdz tā sasniedz vidēja uzņēmuma lielumu: 50 vai vairāk darbinieku vai gada apgrozījums virs 10 miljoniem eiro. Atsevišķu veidu vienības ietilpst darbības jomā neatkarīgi no lieluma. Precīzas robežas nosaka katras valsts nacionālie tiesību akti.
Divas izmaiņas paceļ šo augstāk par ķeksīti atbilstības sarakstā:
- Vadības atbildība. Valdēm ir jāapstiprina un jāpārrauga kiberdrošības riska pārvaldības pasākumi, un tās var saukt pie personiskas atbildības par neizdošanos.
- Reāli sodi. Par riska pārvaldības vai ziņošanas pienākumu pārkāpumiem nacionālajos tiesību aktos būtiskajām vienībām jāparedz naudas sods, kura maksimālais apmērs ir vismaz 10 miljoni eiro vai 2 % no globālā gada apgrozījuma, atkarībā no tā, kura summa ir lielāka. Svarīgajām vienībām šie skaitļi ir 7 miljoni eiro vai 1,4 %. Valstis var noteikt arī augstākus griestus.
Kā patiesībā izskatās “NIS2 līmeņa” autentifikācija
Kaut kāda MFA esamība nav tas pats, kas atbilstība direktīvas jēgai. Trīs lietas atšķir kontroli, kas apmierina auditoru, no tādas, kura tikai labi izskatās prezentācijā:
- Noturība pret pikšķerēšanu un pārsūtīšanu. SMS kodus var pārtvert vai pārņemt ar SIM kartes maiņu, un gan tos, gan vienpieskāriena push paziņojumu starpnieka (adversary-in-the-middle) lapa var pārsūtīt reāllaikā. Atslēga, kas piesaistīta aparatūrai lietotāja ierīces iekšienē, tāda, ko nevar ne nokopēt, ne atkārtoti nosūtīt, novērš pārtveršanu un SIM kartes maiņas uzbrukumus. Ar pārsūtīšanu ir sarežģītāk: pilnībā to aptur tikai konkrētai vietnei piesaistītas metodes, piemēram, FIDO drošības atslēgas, savukārt apstiprinājums, kas parāda, no kurienes pieprasījums nāk, padara to pamanāmu lietotājam, kurš ieskatās. Push nogurums ir atsevišķa problēma, un neviena atslēga vai biometrija to neaptur, tiklīdz pieprasījums sasniedz tālruni: to var uzvarēt vienīgi ar to, ko pieprasījums parāda: precīzu, salasāmu aprakstu tieši par to, kas tiek apstiprināts, tā ka nekas nekad netiek apstiprināts akli.
- Priviliģētās un attālinātās piekļuves aptvērums. Prasība nav “MFA uz tīmekļa pastu”. Tā ir katrs ceļš, ko uzbrucējs patiešām izmantotu: VPN, attālinātā darbvirsma, serveru pieteikšanās, administratora konsoles.
- Pierādījumi. NIS2 tikpat lielā mērā ir par kontroles pierādīšanu, cik par tās esamību. Katrai autentifikācijai jāatstāj auditējams, pret viltojumiem aizsargāts ieraksts par to, kas ko apstiprināja un kad.
Kur iederas Notakey
Notakey ir veidots tieši šādam organizāciju profilam: regulētam, uz drošību orientētam un atbildīgam auditoru priekšā.
- Lietotāja atslēga tiek ģenerēta tālruņa drošajā aparatūrā un nekad to nepamet. Nav koplietota noslēpuma, ko nozagt, un nav koda, ko pārtvert.
- Katra pieteikšanās un katrs darījums ir kriptogrāfiski parakstīts, laika zīmogu saturošs notikums: audita pēdas, ko prasa NIS2 novērtējums, tiek radītas automātiski, nevis rekonstruētas pēc fakta.
- Tas aptver piekļuves ceļus, kas ir svarīgi, izmantojot protokolus, kurus jūsu sistēmas jau lieto. Skatiet praktiskos ceļvežus par 2FA VPN, izmantojot RADIUS, Windows attālinātās darbvirsmas savienojumu un Linux SSH.
- Tas darbojas jūsu pašu infrastruktūrā vai mākonī, tāpēc autentifikācijas dati var palikt jūsu kontrolē, ar iebūvētu, nevis pēcāk piedēvētu atbilstību PSD2, eIDAS un VDAR.
Mēs apzināti nesolīsim, ka Notakey “padara jūs atbilstošu NIS2”; neviens produkts to viens pats nedara. Ko tas dara, ir aizvērt autentifikācijas veidoto plaisas daļu un nodot jums pierādījumus, ar ko to apliecināt.
Sāciet ar izmēģinājumu, nevis politikas dokumentu
Ātrākais veids, kā noskaidrot, vai jūsu autentifikācija atbilst NIS2, ir to pārbaudīt savā vidē: reāls VPN, reāla administratora pieteikšanās, saujiņa reālu lietotāju. Tas nedēļā pastāstīs par jūsu plaisu — un jūsu pierādījumiem — vairāk nekā funkciju saraksts ceturksnī.
Izmēģiniet tiešsaistes demonstrāciju, lai kādu darījumu parakstītu no sava tālruņa aptuveni divās minūtēs, vai pieprasiet demonstrāciju, un mēs izplānosim jūsu VPN, SSO vai Windows piekļuvi strādājošā izmēģinājumā.
Šis raksts ir vispārīga informācija, nevis juridiska konsultācija. NIS2 katra ES dalībvalsts atsevišķi pārņem savos nacionālajos tiesību aktos; precīzos pienākumus, robežvērtības un termiņus, kas attiecas uz jūsu organizāciju, apstipriniet ar kvalificētu juristu.