Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) verschärft die Cybersicherheitsanforderungen für „wesentliche" und „wichtige" Einrichtungen in kritischen Sektoren und deren Zulieferer, mit Verantwortlichkeit der Geschäftsleitung und Meldepflichten für Sicherheitsvorfälle.
2 Fristen erfasst. Die Termine sind die rechtlich verbindlichen Geltungsbeginne.
Mittlere und große estnische Unternehmen in NIS2-Sektoren (Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur und IKT-Dienste, Herstellung kritischer Güter, Lebensmittel, Chemie, Post, Abfall, Forschung) sowie bestimmte von der RIA benannte kleinere Anbieter.
Corrected: the cybersecurity-manager notification and the FIRST self-assessment report were both due 2025-10-01 (confirmed on cyber.gov.lv). Recurrence is NOT uniformly annual: under MK noteikumi Nr. 397 'Minimālās kiberdrošības prasības' (in force 2025-07-02, published Latvijas Vēstnesis 2025/123.1, point 8.3), only ICT critical-infrastructure owners/operators must resubmit the self-assessment report at least once a year (next due ~2026-10-01); other essential/important entities ('svarīgie pakalpojumu sniedzēji') must resubmit at least once every 3 years (next due ~2028). The exact per-subject deadline and form are set by Cabinet regulation, not the law itself (Nacionālās kiberdrošības likums, 43. pants).
Medium and large companies registered in Latvia in NIS2 sectors (energy, transport, banking, health, water, digital infrastructure, ICT services, manufacturing of critical goods, food, chemicals, postal, waste, research), plus smaller firms designated as ICT critical infrastructure or sole provider of a service.