De NIS2-richtlijn (Richtlijn (EU) 2022/2555) verhoogt de cyberbeveiligingseisen voor ‘essentiële’ en ‘belangrijke’ entiteiten in kritieke sectoren en hun leveranciers, met verantwoordelijkheid voor het management en verplichtingen tot incidentmelding.
2 deadlines gevolgd. De data zijn de juridisch bindende toepassingsdata.
Middelgrote en grote Estse bedrijven in NIS2-sectoren (energie, transport, bankwezen, zorg, water, digitale infrastructuur en ICT-diensten, productie van kritieke goederen, voeding, chemie, post, afval, onderzoek), plus bepaalde kleinere aanbieders die door RIA zijn aangewezen.
Corrected: the cybersecurity-manager notification and the FIRST self-assessment report were both due 2025-10-01 (confirmed on cyber.gov.lv). Recurrence is NOT uniformly annual: under MK noteikumi Nr. 397 'Minimālās kiberdrošības prasības' (in force 2025-07-02, published Latvijas Vēstnesis 2025/123.1, point 8.3), only ICT critical-infrastructure owners/operators must resubmit the self-assessment report at least once a year (next due ~2026-10-01); other essential/important entities ('svarīgie pakalpojumu sniedzēji') must resubmit at least once every 3 years (next due ~2028). The exact per-subject deadline and form are set by Cabinet regulation, not the law itself (Nacionālās kiberdrošības likums, 43. pants).
Medium and large companies registered in Latvia in NIS2 sectors (energy, transport, banking, health, water, digital infrastructure, ICT services, manufacturing of critical goods, food, chemicals, postal, waste, research), plus smaller firms designated as ICT critical infrastructure or sole provider of a service.