Digitālais pakalpojums krīzes režīmā: kā definēt drošu minimālo darbību un atgriešanos normālā režīmā

RTO, RPO un MTD ir būtiski nepārtrauktības rādītāji. Latvijas minimālajās kiberdrošības prasībās tie jau ir daļa no attiecīgajiem darbības nepārtrauktības pienākumiem.2

Taču tie atbild uz citiem jautājumiem.

Pēdējais jautājums nav aizstājējs pirmajiem trim. Tas papildina tos.

Sistēmai var būt četru stundu RTO, bet četras stundas joprojām var būt ļoti ilgs laiks pakalpojumam, kuru cilvēki izmanto, lai saņemtu pabalstu, reģistrētu juridiski nozīmīgu faktu, iesniegtu steidzamu pieteikumu vai saņemtu informāciju krīzes laikā.

Dažos gadījumos drošākais risinājums patiešām būs pilnīga apstādināšana. Citos būs iespējams turpināt tikai informācijas nolasīšanu. Vēl citos var būt pieļaujams kontrolēts manuāls process.

To nevar korekti izdomāt incidenta pirmajās divdesmit minūtēs.

Tehniskajās diskusijās pakalpojumu bieži apraksta kā up vai down. Reālā publiskā pakalpojumā starp abiem stāvokļiem ir daudz vairāk iespēju.

Savā 2026. gada priekšlikumā pilotam piedāvāju sešu stāvokļu darba modeli.1 Tas nav juridiski noteikts valsts standarts; tā ir praktiska konstrukcija, ar kuru var pārbaudīt, vai pakalpojuma uzvedība krīzē vispār ir definēta.

Svarīgākais šajā modelī nav režīmu skaits. Svarīgi ir tas, ka pārejai starp tiem ir iepriekš noteikti kritēriji un pilnvarojums.

Citādi “degradēts režīms” ir tikai pieklājīgs nosaukums improvizācijai.

Pakalpojuma minimumu nevajadzētu definēt pēc funkciju skaita vai serveru kapacitātes.

Tas sākas ar pakalpojuma tiesisko un praktisko jēgu.

Kuras darbības krīzes laikā ir obligāti jāsaglabā? Kuras var atlikt? Kuras drīkst izpildīt tikai tad, ja ir pieejama konkrēta identitātes, reģistra, maksājumu vai uzticamības pakalpojuma pārbaude? Kuras darbības nedrīkst veikt vispār, ja nevar garantēt datu integritāti vai juridiski nepieciešamo kontroli?

Latvijas regulējumā analogs princips jau pastāv IKT kritiskās infrastruktūras īpašajā tvērumā: Ministru kabineta noteikumu Nr. 397 9. pielikums valsts apdraudējuma gadījumam paredz noteikt kritiskos pakalpojumus un to minimālo apmēru.2 Tas nav pamats automātiski pārnest šo prasību uz visām valsts informācijas sistēmām. Tas tomēr parāda, ka “minimāli uzturamais pakalpojums” Latvijas nepārtrauktības arhitektūrā nav sveša doma.

Savukārt MK noteikumi Nr. 10 paredz līdzīgu minimuma plānošanas loģiku citai kritiskās infrastruktūras kategorijai un vienlaikus skaidri pasaka, ka šis regulējums neattiecas uz IKT kritisko infrastruktūru Nacionālās kiberdrošības likuma izpratnē.3

Tieši šādu juridisko robežu ir svarīgi saglabāt: līdzīgas noturības idejas var izmantot metodiski, nejaucot to tiesiskos režīmus.

Valsts digitālais pakalpojums reti ir viena lietotne.

Tas var būt atkarīgs no elektroniskās identifikācijas, autorizācijas, cita reģistra, API, DNS, datu centra, mākoņpakalpojuma, maksājumu infrastruktūras, laika zīmoga, e-pasta vai SMS piegādes, ārēja piegādātāja un konkrētu darbinieku piekļuves tiesībām.

Tāpēc sistēmas rezerves kopija vēl nenozīmē pakalpojuma nepārtrauktību.

Praktisks vingrinājums ir paņemt vienu pakalpojumu un katrai būtiskajai funkcijai uzdot četrus jautājumus:

No kā tā ir atkarīga?

Kas notiek, ja šī atkarība pazūd?

Vai ir pieļaujams alternatīvs ceļš?

Kas ir jāizdara, kad primārais ceļš atgriežas?

Pēdējais jautājums tiek aizmirsts pārāk bieži.

Frāze “pāriesim uz manuālu darbu” izklausās mierinoši līdz brīdim, kad sākam precizēt, ko tas nozīmē.

Ja normālā režīmā sistēma pārbauda personas identitāti, pārstāvības tiesības, pilnvarojumu, dokumenta parakstu, konta statusu vai datus autoritatīvā reģistrā, šo kontroļu pazušana pati par sevi nedod tiesības darbiniekam tās ignorēt.

Bezsaistes režīmam katram pakalpojumam iepriekš jāatbild vismaz uz trim jautājumiem:

• ko drīkst izpildīt ar alternatīvu pārbaudi;
• ko drīkst pieņemt rindā, bet neizpildīt līdz primārās kontroles atjaunošanai;
• kas drošības vai tiesiskuma dēļ ir pilnībā jāaptur.

Tas pats attiecas uz datu aizsardzību. Pagaidu Excel fails, lokāls dators vai papīra veidlapa nav “ārpus GDPR”, tikai tāpēc, ka galvenā sistēma nedarbojas. Personas datu minimizācija, integritāte, konfidencialitāte, glabāšanas ilgums un piekļuves kontrole turpina būt nozīmīgi.4

Krīzes risinājums, kas atjauno pieejamību, bet iznīcina pārējo kontroļu jēgu, nav drošs nepārtrauktības risinājums.

Ne katrai funkcijai vajag manuālu rakstīšanu.

Ja autoritatīvais datu avots nav pieejams, bet pēdējais uzticamais stāvoklis ir lokāli pieejams, pakalpojums noteiktos gadījumos var turpināt sniegt informāciju, skaidri norādot tās aktualitātes robežu. Citā pakalpojumā novecojis stāvoklis būtu bīstams, un arī nolasīšana jāaptur.

Tāpat iespējams “advisory-only” režīms, kurā sistēma joprojām palīdz darbiniekam vai lietotājam orientēties, bet neveic autoritatīvu lēmumu vai darījumu.

Šeit nav universālas receptes. Tieši tāpēc minimums jādefinē pakalpojuma, ne tikai infrastruktūras līmenī.

Iedomāsimies, ka divas stundas nav pieejams centrālais reģistrs. Iestāde šajā laikā turpina pieņemt noteiktus pieteikumus lokāli. Pēc savienojuma atjaunošanas sistēmai nu ir divas patiesības: centrālā datubāze un pagaidu režīmā radītā informācija.

Šajā brīdī nepietiek ar komandu “sinhronizēt”.

Jāpārbauda vismaz:

• vai viens darījums nav izpildīts divreiz;
• vai centrālajā sistēmā pa to laiku nav radušās pretrunīgas izmaiņas;
• kāda ir notikumu faktiskā secība;
• vai identitātes un pilnvarojuma pierādījumi ir pietiekami;
• vai laika zīmogi un auditācijas pēdas ir saglabājamas;
• kuri konflikti ir atrisināmi automātiski un kuri jānodod cilvēkam;
• vai pēc salāgošanas pagaidu dati ir dzēšami vai glabājami.

Salāgošana ir atsevišķs darbības režīms, nevis viena rindiņa recovery skriptā.

Tas kļūst īpaši svarīgi finanšu, reģistru, sociālo pakalpojumu un citās sistēmās, kur dublikāts vai nepareiza notikumu secība var radīt juridiskas vai finansiālas sekas.

Pakalpojuma atjaunošana nav tas pats, kas servera ieslēgšana.

Komisijas Īstenošanas regula (ES) 2024/2690 noteiktām NIS2 tvērumā esošo pakalpojumu sniedzēju kategorijām prasa biznesa nepārtrauktības un katastrofu seku atjaunošanas plānos noteikt cita starpā aktivizēšanas un deaktivizēšanas nosacījumus, darbību atjaunošanas secību un atgriešanos no pagaidu pasākumiem.5 Šis regulējums nav universāli piemērojams ikvienai valsts iestādei, taču metodiskais princips ir būtisks.

Arī Eiropas Komisijas 2026. gada CER pamatnostādnes kritisko vienību tvērumā iesaka pakāpenisku atgriešanos normālā darbībā ar datu integritātes un funkcionalitātes validāciju, kritisko funkciju prioritizāciju un spēju nepieciešamības gadījumā strādāt manuāli.6

Pirms iziešanas no ierobežotā režīma vajadzētu būt skaidrai atbildei:

Vai atkarība tiešām ir stabila?

Vai dati ir salāgoti?

Vai nepabeigtie un nezināmā statusa darījumi ir identificēti?

Vai pagaidu piekļuves un procedūras ir slēgtas?

Vai monitorings rāda, ka normāla slodze ir droša?

Tikai tad atgriešanās normālā režīmā ir pabeigta.

Pieņemsim, ka pulksten 09.20 valsts pakalpojumam kļūst nepieejama centrālā elektroniskās identifikācijas atkarība. Lietotne pati ir pieejama, datubāze darbojas, bet jaunu lietotāju identitāti nav iespējams pārbaudīt paredzētajā veidā.

Vāja procesa versija izskatās šādi: tehniskā komanda mēģina atjaunot savienojumu, zvana piegādātājam un gaida. Tikmēr atsevišķas struktūrvienības pašas izlemj, ko turpināt darīt.

Nobriedušākā variantā pakalpojumam jau ir iepriekš noteikts režīms.

Esošie autentificētie lietotāji var turpināt tikai tās darbības, kurām nav vajadzīga jauna identitātes vai pārstāvības tiesību pārbaude. Jauni juridiski nozīmīgi darījumi tiek apturēti vai pieņemti kontrolētā rindā, ja to atļauj konkrētā pakalpojuma regulējums. Lietotāji redz skaidru paziņojumu. Atbildīgā loma fiksē režīma aktivizēšanu. Pagaidu ierakstiem ir unikāli identifikatori un auditācijas pēda.

Kad identitātes pakalpojums atjaunojas, sistēma nevis uzreiz “atver visu”, bet vispirms pārbauda atliktos darījumus, konflikta iespējas un stāvokļa konsekvenci. Tikai pēc tam tiek atjaunota pilnā funkcionalitāte.

Šis nav vienīgais pareizais dizains. Tas parāda atšķirību starp avārijas improvizāciju un iepriekš definētu ierobežotas darbības režīmu.

2026. gada priekšlikumā piedāvāju nevis vēl vienu apjomīgu plānu, bet īsu “pakalpojuma nepārtrauktības kartīti”, kas atsaucas uz jau esošo risku un BCP dokumentāciju.1

Tās kodols var būt šāds:

Kartītes vērtība nav tās formātā. Vērtība ir tajā, ka tā piespiež pakalpojuma turētāju iepriekš pieņemt lēmumus, kurus incidenta laikā pieņemt ir visdārgāk.

Latvijā darbības nepārtrauktības un noturības pienākumi nav tukša lapa. Nacionālās drošības likums Krīzes vadības centram cita starpā uzdod koordinēt nozaru darbības nepārtrauktības un noturības plānu izstrādi, koordinēt valsts līmeņa krīzes vadības mācības un pēc krīzēm vai mācībām koordinēt visaptverošu izvērtējumu.7

MK noteikumi Nr. 397 nosaka minimālās kiberdrošības prasības to tvērumā esošajiem subjektiem un īpašā IKT kritiskās infrastruktūras kontekstā paredz arī minimālā pakalpojuma apmēra noteikšanu valsts apdraudējuma gadījumam.2

Valsts pārvaldes pakalpojumu regulējumā jau ir definēts arī pakalpojuma turētājs — institūcija vai cits tiesību subjekts, kura kompetencē ir nodrošināt pakalpojumu.8

No tā neizriet, ka šajā rakstā aprakstītais sešu režīmu modelis jau būtu normatīva prasība. Tas nav.

Mana tēze ir metodiska: starp “normāli strādā” un “atjaunojam pēc avārijas” ir operacionāls slānis, kuru ir vērts projektēt tikpat apzināti kā pašu atjaunošanu.

NIS2 21. pants iekļauj darbības nepārtrauktību, rezerves kopiju pārvaldību, katastrofu seku atjaunošanu un krīzes vadību starp kiberdrošības riska pārvaldības pasākumiem.9

Komisijas Īstenošanas regula (ES) 2024/2690 konkrētajā tās tvērumā jau iet soli tālāk un runā par atjaunošanas secību, plāna aktivizēšanu un deaktivizēšanu, nepieciešamajiem resursiem un atgriešanos no pagaidu pasākumiem.5

Savukārt 2026. gada Komisijas CER pamatnostādnēs kritisko vienību noturības kontekstā parādās vēl skaidrāks operacionāls princips: prioritizēt kritiskos apakšpakalpojumus, saglabāt manuālas darbības iespēju, ja automatizācija nav pieejama, un normalizēt darbību pakāpeniski pēc integritātes un funkcionalitātes pārbaudes.6

Nevienu no šiem instrumentiem nevajag pārvērst par mākslīgu universālu mandātu visiem Eiropas digitālajiem pakalpojumiem.

Tomēr virziens ir konsekvents: noturība nav tikai spēja atjaunot sistēmu; tā ir spēja kontrolēt pakalpojuma uzvedību traucējuma laikā un pēc tā.

Vislabākais tests nav jauna politika. Tā ir mācība.

Izvēlieties pakalpojumu ar vairākām ārējām vai koplietošanas atkarībām. Bez reāla pakalpojuma apdraudēšanas simulējiet vienas atkarības pazušanu.

Tad skatieties, cik ātri komanda spēj atbildēt:

Kas pieņem lēmumu par režīma maiņu? Kuras funkcijas paliek? Kur lietotājs redz ierobežojumu? Kā tiek identificēti pagaidu darījumi? Ko darīt, ja atkarība neatgriežas četras stundas? Kas notiek, ja tā atgriežas uz desmit minūtēm un atkal pazūd? Kā tiek apstrādāti konflikti? Kas dod atļauju atgriezties normālā režīmā?

Ja lielākā daļa atbilžu sākas ar “incidenta laikā izdomāsim”, pakalpojumam ir atjaunošanas cerība, bet vēl nav izpildāms ierobežotas darbības režīms.

Darbības nepārtrauktību bieži projektē ap diviem punktiem: normāla darbība un atjaunota darbība.

Grūtākā zona ir starp tiem.

Tieši tur rodas jautājumi par to, kuras funkcijas saglabāt, kā nepazaudēt identitātes un datu kontroli, kā turpināt darbu bez vienas kritiskas atkarības un kā vēlāk savienot pagaidu pasauli ar atjaunoto autoritatīvo stāvokli.

Drošs ierobežotas darbības režīms nav “darām visu, ko varam”. Tas ir iepriekš definēts lēmums par to, ko drīkst darīt, ko nedrīkst darīt un kā pierādīt, ka pēc krīzes sistēmas stāvoklis atkal ir uzticams.

Normatīvais un ES politikas konteksts pārbaudīts 2026. gada 25. septembrī. 2026. gada 24. augusta metodikas priekšlikums ir autora profesionāla iniciatīva; tajā piedāvātie seši režīmi un “pakalpojuma nepārtrauktības kartīte” nav spēkā esošas normatīvas prasības.

Šis raksts ir tehniskas, organizatoriskas un publiskās pārvaldības prakses analīze, nevis individuāla juridiska konsultācija.