Kiberuzbrukums īsā laikā var pāraugt uzņēmuma krīzē. Vadībai jālemj par uzbrukuma ierobežošanu, darbības atjaunošanu, ziņošanu un komunikāciju ar klientiem un sadarbības partneriem. Izspiedējvīrusa gadījumā jāizvērtē arī riski saziņai ar uzbrucēju. Kā ierobežot incidenta sekas, un kas jāņem vērā, ja tiek pieprasīts izpirkums, skaidro COBALT vecākā speciāliste, zvērināta advokāte Agnese Gerharde. 

Vadības lēmumi pirms un pēc kiberuzbrukuma

Būtiski vadības lēmumi var būt jāpieņem vēl pirms kiberuzbrukuma, piemēram, atklājot kritisku sistēmas ievainojamību vai saņemot informāciju par būtisku apdraudējumu. To labi ilustrē 2026.gada oktobrī publiskotās kritiskās PHP programmatūras ievainojamības. Tās varēja ļaut uzbrucējiem attālināti izpildīt kodu neaizsargātā sistēmā. Ja drošības labojumu nebija iespējams ieviest nekavējoties, uzņēmumiem bija jāizvērtē, vai turpināt pakalpojuma darbību, uzņemoties zināmu kiberrisku, vai to uz laiku ierobežot vai pārtraukt. Tas jau ir biznesa, nevis tikai tehnisks lēmums.

Uzņēmumiem, uz kuriem attiecas Nacionālās kiberdrošības likuma (NKDL) prasības, kiberdrošības pārvaldības pienākumi ir tieši nostiprināti likumā, tostarp 25.panta 1.daļā paredzot, ka par subjekta kiberdrošības pārvaldību atbild tā vadītājs. Tomēr arī uzņēmumiem, uz kuriem šīs konkrētās prasības neattiecas, būtu jāievēro tie paši pamatprincipi. Mūsdienu digitālajā vidē kiberdrošība ir uzņēmuma darbības nepārtrauktības un risku pārvaldības jautājums, tādēļ vadībai jānodrošina, ka būtiska informācija par riskiem savlaicīgi nonāk līdz lēmumu pieņēmējiem un ir skaidrs, kurš un kā pieņem lēmumus krīzes situācijā. Vadībai nav pašai jārisina tehniskie jautājumi, bet jānodrošina savlaicīgs risku novērtējums, pamatoti lēmumi un tehnisko, juridisko un biznesa aspektu koordinācija. Ja uzbrukums tomēr noticis, jāierobežo tā sekas, jānoskaidro apmērs un jāizvērtē turpmākie pienākumi.

Galvenā prioritāte ir ierobežot uzbrukuma izplatību un kaitējumu, piemēram, izolējot skartās sistēmas, ierobežojot piekļuvi, bloķējot kontus vai apturot atsevišķus pakalpojumus. Rīcībai jābūt koordinētai: pārsteidzīga iekārtu vai serveru pārinstalēšana var iznīcināt žurnālfailus un citus digitālos pierādījumus, kas nepieciešami uzbrukuma apmēra, metodes un iespējamās datu noplūdes noskaidrošanai. Tādēļ jāiesaista kvalificēti kiberdrošības speciālisti, vajadzības gadījumā arī ārējie eksperti.

Vadībai jānodrošina koordinēta incidenta pārvaldība. Lielāka uzbrukuma gadījumā līdztekus IT speciālistiem pēc vajadzības jāiesaista juridiskie konsultanti, datu aizsardzības speciālists, par darbības nepārtrauktību un komunikāciju atbildīgie darbinieki vai konsultanti, kā arī pilnvarots lēmumu pieņēmējs. Ne vienmēr visa informācija par notikušo incidentu būs zināma uzreiz. Tādēļ jāfiksē incidenta konstatēšanas laiks, apstiprinātie fakti un pieņēmumi, pieņemtie lēmumi un to pamatojums. Šī informācija var būt nepieciešama uzraudzības iestādēm, zaudējumu atlīdzināšanas vai apdrošināšanas jautājumu risināšanai.

Pirmajās stundās vadībai jāpārliecinās, ka:

  • incidents tiek ierobežots, saglabājot pierādījumus;
  • ir noteikts incidenta koordinators;
  • tiek dokumentēti fakti un lēmumi;
  • izvērtēti piemērojamie juridiskie pienākumi.

Izspiedējvīrusa gadījumā vienlaikus jārisina sistēmu atjaunošana, datu aizsardzības un juridiskie jautājumi, kā arī jālemj, vai sazināties ar uzbrucēju.

Ne mazāk svarīga ir savlaicīga un koordinēta krīzes komunikācija ar darbiniekiem, klientiem un sadarbības partneriem, īpaši, ja incidents ietekmē pakalpojumu pieejamību vai līgumsaistību izpildi. Labā prakse paredz noteikt par komunikāciju atbildīgo personu, nodrošināt vienotus un pārbaudītus paziņojumus, kā arī regulāri informēt iesaistītās puses par situācijas attīstību. Būtiski izvairīties no nepārbaudītas informācijas izplatīšanas, vienlaikus nodrošinot atklātu komunikāciju, kas neapdraud incidenta izmeklēšanu un neatklāj uzbrucējiem noderīgu informāciju.

Izpirkuma pieprasījums: vai sadarboties ar uzbrucēju?

Vispārējais ieteikums ir neiesaistīties sarunās ar uzbrucējiem. Tomēr krīzes situācijā uzņēmumi nereti apsver sarunu uzsākšanu, neapzinoties, ka saziņai un turpmākajām darbībām var būt juridiskas sekas, bet vēlamais incidenta atrisinājums var netikt panākts. Tādēļ šādi gadījumi ir jāizvērtē ļoti piesardzīgi. Sarunu laikā uzbrucēji var iegūt papildu informāciju par uzņēmuma situāciju, izmantot to spiediena pastiprināšanai vai izvirzīt jaunas prasības. Ja komunikācija tomēr tiek apsvērta, lēmums par tās uzsākšanu un turpmāko rīcību jāpieņem uzņēmuma vadībai, nevis atsevišķiem IT speciālistiem vai darbiniekiem. Sarunu izvērtēšanā būtu jāiesaista gan kiberdrošības, gan juridiskie speciālisti, kā arī jāsazinās ar tiesībsargājošām iestādēm.

Izpirkuma maksājums var radīt starptautisko sankciju pārkāpuma risku, ja līdzekļi tiek nodoti sankcionētai personai vai organizācijai. Gan Eiropas Savienība (ES), gan Amerikas Savienotās Valstis (ASV) ir ieviesušas īpašus kibersankciju režīmus, kas ierobežo personas un organizācijas, kuras ir atbildīgas par kiberuzbrukumiem vai ir ar tiem saistītas. Tomēr jāņem vērā, ka maksājums var pārkāpt arī citus piemērojamos sankciju režīmus, kas aizliedz tieši vai netieši darīt pieejamus finanšu līdzekļus vai ekonomiskos resursus sankcionētajām personām.  Tādējādi izpirkuma maksājums, kas nonāk sankcionētas personas rīcībā, var būt sankciju pārkāpums un radīt arī krimināltiesiskas sekas.

Praksē sankciju riska izvērtēšana attiecībā uz kiberuzbrucējiem var būt sarežģīta, jo uzbrucēja patiesā identitāte bieži nav zināma un maksājumi var tikt pieprasīti kriptovalūtā. Tomēr tas neatbrīvo uzņēmumu no pienākuma izvērtēt piemērojamās sankcijas, iespējamos maksājuma saņēmējus un riskus. Atkarībā no konkrētās situācijas jāvērtē ne tikai ES, bet arī ASV sankciju piemērojamība. Tādēļ pirms lēmuma par maksājuma veikšanu uzņēmuma vadībai jānodrošina atbilstošs juridiskais izvērtējums, nepaļaujoties tikai uz incidenta tehniskajā risināšanā iesaistīto speciālistu ieteikumiem.

Izpirkuma samaksa negarantē datu atgūšanu vai uzbrucēja solījumu izpildi. Praksē ir zināmi gadījumi, kad pēc maksājuma veikšanas uzņēmums nav saņēmis funkcionējošu datu atšifrēšanas atslēgu, uzbrucēji ir pieprasījuši papildu samaksu vai nozagtie dati vēlāk ir publiskoti.

Izpirkuma samaksa neatceļ ziņošanas un citus juridiskos pienākumus, kas atkarībā no incidenta un uzņēmuma darbības var izrietēt no Vispārīgās datu aizsardzības regulas (VDAR), NKDL vai regulas 2024/2847 jeb Kibernoturības akta, kurš nosaka īpašus pienākumus produktu ar digitāliem elementiem ražotājiem.

Izpirkuma maksāšana ir vadības, nevis IT nodaļas lēmums. Sadarbībā ar kiberdrošības un juridiskajiem speciālistiem jāizvērtē darbības atjaunošanas alternatīvas, finansiālie, juridiskie un reputācijas riski un maksājuma iespējamais ieguvums. Lēmums un pamatojums jādokumentē.

Vispārējais ieteikums ir izpirkumu nemaksāt, jo rezultāts nav garantēts, bet maksājums finansē kibernoziedzību.

Kam un kad jāziņo par kiberuzbrukumu?

Atkarībā no incidenta rakstura un uzņēmuma darbības var rasties vairāki savstarpēji neatkarīgi ziņošanas pienākumi.

NKDL 34.pants tā subjektiem nozīmīga kiberincidenta gadījumā paredz pienākumu nekavējoties, bet ne vēlāk kā 24 stundu laikā iesniegt kompetentajai kiberincidentu novēršanas institūcijai agrīno brīdinājumu un ne vēlāk kā 72 stundu laikā pēc incidenta konstatēšanas – sākotnējo ziņojumu. Uzticamības pakalpojumu sniedzējiem sākotnējais ziņojums jāiesniedz 24 stundu laikā. Uzņēmumiem kompetentā institūcija parasti ir CERT.LV. Noteiktos gadījumos jāinformē arī pakalpojumu saņēmēji, kurus incidents vai apdraudējums varētu skart.

Ja noticis personas datu aizsardzības pārkāpums, par kuru saskaņā ar VDAR 33.pantu jāziņo Datu valsts inspekcijai, tas jādara bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā pēc pārkāpuma konstatēšanas. Ja pārkāpums var radīt augstu risku fizisku personu tiesībām un brīvībām, saskaņā ar VDAR 34.pantu noteiktos gadījumos bez nepamatotas kavēšanās jāinformē arī skartās personas.

Savukārt Kibernoturības akta 14.pants kopš 2026.gada 11.septembra paredz īpašus ziņošanas pienākumus produktu ar digitāliem elementiem, tostarp programmatūras un aparatūras, ražotājiem par aktīvi izmantotām šo produktu ievainojamībām un būtiskiem incidentiem, kas ietekmē produktu drošību. Agrīnais brīdinājums ES Kiberdrošības aģentūras (ENISA) vienotajā ziņošanas platformā jāiesniedz 24 stundu laikā, bet pilnīgāks paziņojums – 72 stundu laikā pēc tam, kad ražotājs par to uzzinājis.

Papildus jāizvērtē nepieciešamība vērsties Valsts policijā un informēt sadarbības partnerus. Viens paziņojums kompetentajai iestādei neatbrīvo no pārējiem ziņošanas pienākumiem.

Atbildība par sekām un gatavība turpmākiem incidentiem

Kiberuzbrukuma fakts nenozīmē, ka uzņēmums ir pārkāpis likumu. Tomēr atbildība var rasties, ja uzņēmums nav ievērojis piemērojamās kiberdrošības prasības vai pienācīgi reaģējis uz incidentu. NKDL par noteiktiem pārkāpumiem paredz ievērojamus administratīvos sodus. Ja incidentā skarti personas dati, jāvērtē arī VDAR prasību ievērošana.

Atsevišķos gadījumos iespējama arī valdes locekļu vai par informācijas sistēmu drošību atbildīgo darbinieku personiskā atbildība, tostarp kriminālatbildība. Komerclikuma 169.panta 1.daļa paredz valdes locekļu pienākumu rīkoties kā krietniem un rūpīgiem saimniekiem, savukārt NKDL 25.panta 1.daļa nosaka subjekta vadītāja atbildību par kiberdrošības pārvaldību. Kriminālatbildība var iestāties arī par informācijas sistēmas drošības noteikumu pārkāpšanu, ja tā dēļ iestājušās Krimināllikumā paredzētās sekas un pastāv pārējie kriminālatbildības priekšnoteikumi. Kiberuzbrukums var radīt arī civiltiesisku atbildību par nodarītajiem zaudējumiem vai līgumsaistību neizpildi. Būtiski, ka pats uzbrukums nav uzskatāms par nepārvaramu varu, kas atbrīvotu no atbildības.

Līdz ar to uzņēmuma vadībai jānodrošina kiberdrošības risku pārvaldība un savlaicīga, pamatota lēmumu pieņemšana incidenta gadījumā, lai mazinātu tā sekas un atbildības riskus.

Ar informācijas sistēmu darbības atjaunošanu incidents vēl nav pilnībā atrisināts. Uzņēmumam jāpārliecinās, ka uzbrucēja piekļuve ir pārtraukta, ievainojamības novērstas un izpildīti juridiskie pienākumi. Tāpat jāizvērtē incidenta cēloņi un nepieciešamie uzlabojumi.

Būtiska ir arī uzņēmuma gatavība turpmākiem incidentiem, tostarp skaidrs reaģēšanas uz incidentiem un darbības nepārtrauktības plāns, noteikta atbildība un krīzes komunikācijas kārtība. Regulāras praktiskās mācības palīdz nodrošināt, ka uzņēmums ir apzinājis juridiskos pienākumus un riskus un darbinieki zina, kā rīkoties un pieņemt lēmumus krīzes situācijā.

Kiberuzbrukumu ne vienmēr iespējams novērst, taču tā sekas ir atkarīgas arī no uzņēmuma gatavības un vadības rīcības. Koordinēti lēmumi palīdz ierobežot kaitējumu, atjaunot darbību un mazināt juridiskos, finansiālos un reputācijas riskus. Kiberdrošībai jābūt praktiskai uzņēmuma pārvaldības daļai, nevis tikai IT jautājumam.

Publikācija: ifinanses.lv