Ko MFA jomā patiesībā prasa MK noteikumi Nr. 397 un Baltijas NIS2 likumi: Latvija, Lietuva, Igaunija

Pati NIS2 direktīva nosaka vien to, ka organizācijai jānodrošina „daudzfaktoru autentifikācijas vai nepārtrauktas autentifikācijas risinājumu … izmantošana, ja tas ir lietderīgi” (21. panta 2. punkta j) apakšpunkts, Direktīva 2022/2555). Trīs Baltijas valstis šo vienu rindiņu ir pārvērtušas trīs krietni atšķirīgos noteikumu kopumos. Ja uzturat sistēmas vairāk nekā vienā no tām vai mēģināt noskaidrot, par kuriem jūsu kontiem uzraudzības iestāde uzdos jautājumus, šīs atšķirības ir svarīgas. Šajā rakstā citējam attiecīgās normas un norādām, kur katra no tām atstāj rīcības brīvību.

Vispirms par izņēmumu ES līmenī: digitālās infrastruktūras pakalpojumu sniedzēji — DNS, mākoņpakalpojumi, datu centri, pārvaldīto pakalpojumu sniedzēji un tiešsaistes tirdzniecības vietas — nacionālo noteikumu vietā ievēro Komisijas īstenošanas regulu. Tās pielikuma 11.7. punkts prasa MFA vai nepārtrauktu autentifikāciju piekļuvei tīklu un informācijas sistēmām atbilstoši attiecīgā aktīva klasifikācijai, bet 11.3.2. punkts — stipru autentifikāciju, piemēram, daudzfaktoru autentifikāciju, priviliģētajiem un sistēmu administrēšanas kontiem (Regula 2024/2690, spēkā no 2024. gada 7. novembra). Visi pārējie ievēro tālāk aprakstītos nacionālos noteikumus.

Latvija: noteikumi nosauc kontus

Latvijas prasības ir visprecīzākās no trim. Ministru kabineta noteikumi Nr. 397 „Minimālās kiberdrošības prasības” ir spēkā no 2025. gada 2. jūlija (likumi.lv) un izdoti saskaņā ar Nacionālās kiberdrošības likumu (likumi.lv).

Noteikumu 52. punkts nosaka, ka daudzfaktoru autentifikācija ir obligāta:

• 52.1. apakšpunkts — A klases informācijas sistēmu administratora lietotāja kontiem un standarta lietotāja kontiem;
• 52.2. apakšpunkts — B klases informācijas sistēmu administratora lietotāja kontiem;
• 52.3. apakšpunkts — B klases sistēmu standarta lietotāja kontiem, ja tiem piekļūst attālināti no ārējā tīkla un šai piekļuvei jau netiek izmantots šifrēts VPN risinājums ar MFA.

Klase ir katras informācijas sistēmas, nevis jūsu organizācijas īpašība. Noteikumu 32.–34. punkts to nosaka pēc sistēmas konfidencialitātes, integritātes un pieejamības drošības klasēm: viens A vērtējums padara sistēmu par A klases sistēmu, pretējā gadījumā viens B vērtējums — par B klases sistēmu, un jebkura sistēma, kas ir kritiskās infrastruktūras sastāvā, pēc definīcijas ir A klases. Būtisko pakalpojumu sniedzējam var būt tikai B un C klases sistēmas, un noteikumi to ņem vērā: pašvērtējums reizi trijos gados attiecas uz ikvienu subjektu, kam nav A klases sistēmas.

Noteikumu 55.8. apakšpunkts IKT kritiskās infrastruktūras īpašniekiem un būtisko pakalpojumu sniedzējiem pievieno tīkla prasību: piekļuve iekšējā tīklā esošajiem informācijas resursiem ārpus iekšējā tīkla „ir iespējama, tikai izmantojot šifrētu virtuālā privātā tīkla (VPN) risinājumu ar daudzfaktoru autentifikāciju”. Noteikumu 56. punkts svarīgo pakalpojumu sniedzējiem piemēro tikai 55.1.–55.4. apakšpunktu, tāpēc 55.8. apakšpunkts tiem nav saistošs.

Līdzās MFA prasībai ir pienākumi, ko auditors pārbaudīs tajā pašā reizē: administratora kontus nedrīkst izmantot ikdienas darbam, bet standarta lietotāja kontus — administrēšanai (51.5. un 51.4. apakšpunkts); piekļuve informācijas resursiem, tostarp neizdevušies mēģinājumi, jāreģistrē auditācijas pierakstos (58.3. apakšpunkts), un pieraksti jāglabā 18, 12 vai 6 mēnešus atkarībā no sistēmas klases (57. punkts). Pašvērtējuma ziņojums noteikumu 16. pielikumā noteiktajā formā kritiskās infrastruktūras īpašniekiem un visiem, kam ir vismaz viena A klases sistēma, jāiesniedz katru gadu līdz 1. oktobrim, pārējiem — reizi trijos gados (141. un 142. punkts); to iesniedz Nacionālajam kiberdrošības centram vai, ja runa ir par kritisko infrastruktūru, Satversmes aizsardzības birojam.

Ko noteikumi nenosaka: tie nenosauc nevienu tehnoloģiju. Teksts aprobežojas ar vārdiem „daudzfaktoru autentifikācija” — ne SMS, ne vienreizējie kodi, ne FIDO, ne noturība pret pikšķerēšanu nav pieminēti, un paroļu prasību noteikumos nav vispār. Likumā paredzētie naudas sodi būtisko pakalpojumu sniedzējiem ir līdz 10 miljoniem eiro vai 2 % no apgrozījuma, ja apgrozījums pārsniedz 500 miljonus eiro, un svarīgo pakalpojumu sniedzējiem — līdz 7 miljoniem eiro vai 1,4 % no apgrozījuma virs tā paša 500 miljonu eiro sliekšņa.

Lietuva: visi, lietotājus ieskaitot, ar 24 mēnešu termiņu

Lietuva NIS2 vajadzībām pārrakstīja savu Kiberdrošības likumu (Kibernetinio saugumo įstatymas), un jaunā redakcija stājās spēkā 2024. gada 18. oktobrī. Likuma 14. panta 5. daļas 11. punkts starp obligātajiem elementiem min „daudzfaktoru vai nepārtrauktas autentifikācijas risinājumus”, bet valdības 2024. gada 6. novembra lēmums Nr. 945 (spēkā no 2024. gada 12. novembra) apstiprina detalizēto Kiberdrošības prasību aprakstu (Kibernetinio saugumo reikalavimų aprašas) (e-seimas).

MFA prasība atrodama šā apraksta 7. tabulas 61. rindā, un tā ir visplašākā no visām trim valstīm: „lietotājam un administratoram sava identitāte jāapliecina ar paroli un papildu autentifikācijas līdzekli (daudzfaktoru autentifikācija)”. Tā atzīmēta gan būtiskajām, gan svarīgajām vienībām un nav atkarīga ne no lietotāja atrašanās vietas, ne no sistēmas klasifikācijas. Līdzās tai: administrēšana tikai no atsevišķa konta, ko neizmanto ikdienas darbam (58. rinda), kontu apturēšana pēc trīs mēnešu neaktivitātes lietotājiem un pēc diviem mēnešiem — administratoriem, darbstacijas bloķēšana 15 minūšu laikā un aizliegums pārlūkprogrammām saglabāt paroles ārpus tam īpaši paredzēta paroļu pārvaldnieka. Trešajām personām MFA piemēro „kur iespējams”. Organizatoriskā daļa, tostarp rakstiska piekļuves pārvaldības procedūra, kurā norādīts, kā tiek izmantota MFA (65.9. punkts), jāizpilda 12 mēnešu laikā pēc reģistrācijas nacionālajā kiberdrošības informācijas sistēmā; 7. tabulas tehniskās prasības, MFA ieskaitot, — 24 mēnešu laikā pēc reģistrācijas (72. punkts).

Likums prasa arī kiberdrošības auditu vismaz reizi trijos gados pēc centra metodikas un vadības apmācību vismaz reizi divos gados. Pienākumi sākas tikai pēc vienības reģistrācijas (11. panta 2. daļa); uzraudzību veic Lietuvas Nacionālais kiberdrošības centrs (Nacionalinis kibernetinio saugumo centras, NKSC). Likuma 14. panta prasību pārkāpums tiek uzskatīts par „bīstamu pārkāpumu”, uz ko attiecas augstākā sodu kategorija: būtiskajām vienībām līdz 10 miljoniem eiro vai 2 % no kopējā pasaules apgrozījuma, svarīgajām — līdz 7 miljoniem eiro vai 1,4 %, abos gadījumos piemērojot lielāko no summām. Budžeta iestādēm griesti ir zemāki. Likums vēlreiz grozīts 2026. gada jūnijā; šo tekstu mēs nevarējām izlasīt, tāpēc pārbaudiet, vai nav mainījušies panti par sodiem un reģistrāciju.

Igaunija: likums klusē, standarts — ne

Igaunijas grozītais Kiberdrošības likums (Küberturvalisuse seadus) stājās spēkā 2026. gada 1. janvārī (Riigi Teataja). Būtiskās vienības tajā sauktas üliolulised üksused, svarīgās — olulised üksused, un daudzfaktoru autentifikācija tajā nav pieminēta nekur. Tā vietā 7. pants drošības pasākumus deleģē valdības noteikumiem, un tie pakalpojumu sniedzējiem dod izvēli: ieviest Igaunijas informācijas drošības standartu E-ITS vai pierādīt, ka to pasākumi atbilst ISO/IEC 27001, ar atbilstības auditu reizi trijos gados (Noteikumi Nr. 121).

Tālāk MFA parādās divreiz. Noteikumu pielikums ar pamatpasākumiem, kas attiecas uz katru likuma aptverto pakalpojumu sniedzēju, liek „dot priekšroku daudzpakāpju autentifikācijai” (2.5. punkts) — maigs formulējums, ko pakalpojumu sniedzējs var aizstāt ar līdzvērtīgu pasākumu. E-ITS bāzes katalogs ir stingrāks: kur sistēma to atļauj, autentifikācijas tikai ar paroli vietā izmanto MFA (ORP.4.M8); priviliģētos kontus ar MFA aizsargā pret ārējiem uzbrucējiem un privilēģiju eskalāciju (ORP.4.M10); augstām aizsardzības vajadzībām — droša MFA, „piemēram, ar ID karti vai žetonu” (ORP.4.M21); un MFA piekļuvei sensitīviem personas datiem (CON.2.M18) (E-ITS katalogs).

Termiņi ir dāsni. Vienībām, kas kritērijiem atbilda jau 2026. gada 1. janvārī, trīs mēnešu laikā, tātad līdz 2026. gada marta beigām, bija jāreģistrējas Valsts informācijas sistēmu pārvaldē (Riigi Infosüsteemi Amet, RIA), un pilnīgai atbilstībai tām ir trīs gadi, līdz 2029. gada sākumam. Jaunām vienībām reģistrācijai ir trīs mēneši un atbilstībai — trīs gadi no brīža, kad tās sāk atbilst kritērijiem. Sodi atbilst NIS2: būtiskajām vienībām līdz 10 miljoniem eiro vai 2 % no kopējā pasaules apgrozījuma, svarīgajām — līdz 7 miljoniem eiro vai 1,4 %, katrā gadījumā piemērojot lielāko no summām. Svarīgajām vienībām RIA piemēro tikai ex post uzraudzību.

Salīdzinājums

Ko tas nozīmē kontiem, kas jums patiešām ir

• VPN un attālinātā piekļuve. Latvijā šifrēts RADIUS VPN ar otro faktoru ir tieši tas, ko 55.8. apakšpunkts prasa no kritiskās infrastruktūras īpašniekiem un būtisko pakalpojumu sniedzējiem, un tas B klases lietotājus izved no 52.3. apakšpunkta tvēruma; bez tā katram attālinātajam B klases lietotājam MFA nepieciešama pašā lietojumprogrammā. Lietuvā VPN prasību nemaina, jo MFA tur tik un tā nepieciešama katram lietotājam. Igaunijā par VPN, kas atbalsta RADIUS, gaidāms jautājums, kas izriet no E-ITS frāzes „kur sistēma to atļauj”.
• Administratori. Tieši administratoru kontos trīs valstu prasības pārklājas visvairāk: Latvija prasa tiem MFA A un B klases sistēmās, Lietuva — visur, E-ITS — visiem priviliģētajiem kontiem. Gan Latvija, gan Lietuva prasa arī atsevišķu administratora kontu, ko neizmanto ikdienas darbam. Ugunsmūru un serveru konsoles, kurās joprojām pietiek ar paroli vien, visticamāk, nonāks audita konstatējumos.
• Pierādījumi. Latvija prasa, lai neizdevušās pieteikšanās tiktu reģistrētas un glabātas; Lietuva — rakstisku procedūru, kas nosaka, kā tiek izmantota MFA; Igaunija — auditu pēc standarta. Autentifikācijas metode, kas par katru apstiprinājumu rada parakstītu ierakstu ar laika zīmogu, dod materiālu visām trim, un tas nav jārekonstruē vēlāk.
• Tehnoloģija. Neviens Baltijas valstu tiesību akts metodi nenosaka, un neviens nelieto vārdus „noturīgs pret pikšķerēšanu”. ENISA ieviešanas vadlīnijas iesaka pret pikšķerēšanu noturīgu MFA „kur vien iespējams” un saraksta augšgalā min FIDO2; nacionālie teksti apstājas pie „daudzfaktoru”. Tas ir minimums, nevis mērķis, un raksts par NIS2 un autentifikāciju skaidro, kas atšķir faktoru, kurš atbilst tiesību akta burtam, no tāda, kurš iztur uzbrucēju.

Notakey pievieno apstiprinājumu tālrunī, kurā redzams serviss, konts un avota adrese, RADIUS VPN, ugunsmūru un serveru pieteikšanās, Windows un tīmekļa lietojumprogrammām un par katru apstiprinājumu atstāj parakstītu ierakstu iekārtā, ko varat darbināt savā datu centrā. VPN 2FA rokasgrāmata parāda, kā tas iederas B klases attālinātās piekļuves prasībā Latvijā vai 7. tabulas 61. rindā Lietuvā. Pieprasiet demonstrāciju, un mēs izmēģinājuma projektā iekļausim tieši tos kontus, ko nosauc jūsu valsts noteikumi, vai vispirms izmēģiniet tiešsaistes demonstrāciju savā tālrunī.

Šajā rakstā citēti tiesību akti redakcijā, kas publicēta 2026. gada 29. oktobrī; raksts sniedz vispārīgu informāciju, nevis juridisku konsultāciju. Pienākumus, klases un termiņus, kas attiecas uz jūsu organizāciju, apstipriniet ar kvalificētu juristu un pārbaudiet Lietuvas 2026. gada jūnija grozījumus, kurus mēs rakstīšanas laikā nevarējām izlasīt.