02 · Audyt
Audyt KRI — audyt bezpieczeństwa informacji dla podmiotów publicznych
Przeprowadzamy coroczny audyt wewnętrzny bezpieczeństwa informacji wymagany przez § 19 rozporządzenia KRI z 2024 r. — w urzędach, jednostkach samorządu, szkołach i placówkach. Dostarczamy raport dla kierownika jednostki, plan naprawczy i przygotowanie na zmiany od 2027 r., gdy wymagania SZBI przechodzą do ustawy o KSC.
Szczegóły usługi
Czym jest KRI i audyt KRI?
Krajowe Ramy Interoperacyjności (KRI) to rozporządzenie Rady Ministrów, które określa minimalne wymagania dla systemów teleinformatycznych, rejestrów publicznych i wymiany informacji w postaci elektronicznej. Obecnie obowiązuje rozporządzenie z 21 maja 2024 r. (Dz.U. 2024 poz. 773), które zastąpiło wersję z 2012 r.
Paragraf 19 KRI zobowiązuje podmiot realizujący zadania publiczne do prowadzenia systemu zarządzania bezpieczeństwem informacji (SZBI), a kierownictwo — m.in. do zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok. Audyt KRI sprawdza, czy SZBI działa w praktyce: od polityki bezpieczeństwa i analizy ryzyka, przez uprawnienia, szkolenia i kopie zapasowe, po logi i zgłaszanie incydentów.
- Audyt zgodny z § 19 i § 20 KRI
- Raport dla kierownika jednostki i plan naprawczy
- Mapa zmian na 2027 r.: KRI → KSC
Nasze usługi
Jak pomagamy spełnić wymagania KRI
Coroczny audyt KRI
Przegląd dokumentacji, wywiady z pracownikami i kontrole techniczne. Raport z ustaleniami według wagi i rekomendacjami, który kierownik jednostki może przedstawić podczas kontroli.
Analiza ryzyka
Szacowanie ryzyka utraty poufności, dostępności i integralności informacji zgodnie z PN-ISO/IEC 27005 — z planem postępowania z ryzykiem.
Dokumentacja SZBI
Polityka bezpieczeństwa informacji, procedury, rejestry i wzory oświadczeń dopasowane do realnej organizacji jednostki, a nie skopiowane z innego urzędu.
Testy techniczne
Skanowanie podatności, przegląd konfiguracji, uprawnień i aktualizacji, test odtwarzania kopii zapasowych. Na życzenie także testy penetracyjne.
Szkolenia
Szkolenia z bezpieczeństwa informacji i cyberhigieny dla pracowników oraz krótkie szkolenie dla kierownictwa z obowiązków wynikających z KRI i KSC.
Przygotowanie na KSC i nowe KRI
Sprawdzamy, czy jednostka jest podmiotem kluczowym lub ważnym w KSC, i mapujemy obecny SZBI na wymagania załącznika nr 4 do ustawy o KSC.
Kogo dotyczy
KRI obowiązuje podmioty realizujące zadania publiczne
Samorząd terytorialny
Gminy, powiaty i województwa, ich urzędy oraz jednostki organizacyjne: ośrodki pomocy społecznej, centra usług wspólnych, zakłady budżetowe.
Szkoły i przedszkola
Publiczne szkoły i placówki oświatowe jako jednostki budżetowe. Za SZBI i audyt odpowiada dyrektor — także za systemy obsługiwane przez CUW.
Administracja rządowa i inne podmioty publiczne
Urzędy administracji rządowej, państwowe jednostki organizacyjne, fundusze, instytuty badawcze i inne podmioty z art. 2 ustawy o informatyzacji.
Podmioty realizujące zadania publiczne
Także podmioty niepubliczne, które wykonują zadania publiczne na podstawie przepisów albo na zlecenie podmiotu publicznego — w zakresie wskazanym w art. 2 ust. 1a ustawy.
Obowiązki
Co musi zapewnić kierownictwo (§ 19 ust. 2 KRI)
- Aktualne regulacje wewnętrzne i inwentaryzacja sprzętu oraz oprogramowania
- Okresowa analiza ryzyka
- Zarządzanie uprawnieniami i szkolenia pracowników
- Ochrona informacji przed kradzieżą, nieuprawnionym dostępem i zakłóceniami
- Bezpieczeństwo pracy mobilnej i zdalnej
- Zapisy o bezpieczeństwie w umowach z podmiotami zewnętrznymi
- Bezpieczne niszczenie nośników i obsługa podatności
- Rejestrowanie zdarzeń w logach (§ 20) i kontrola zgodności systemów
- Bezzwłoczne zgłaszanie incydentów w ustalony sposób
- Audyt wewnętrzny bezpieczeństwa informacji co najmniej raz w roku
Zmiany od 2027 r.
KRI, KSC i RODO — co obowiązuje i kiedy
| Okres | Podstawa | Co oznacza dla jednostki |
|---|---|---|
| Do 22 lutego 2027 r. | KRI 2024 (Dz.U. 2024 poz. 773), § 19 i § 20 | SZBI zgodny z KRI i audyt wewnętrzny bezpieczeństwa informacji co najmniej raz w roku. |
| Od 3 kwietnia 2026 r. | Ustawa o KSC po nowelizacji (Dz.U. 2026 poz. 252) | Podmioty publiczne mogą być podmiotami kluczowymi (SZBI z art. 8, audyt co najmniej raz na 3 lata) lub ważnymi (SZBI według załącznika nr 4, przegląd co najmniej raz w roku). |
| Od 23 lutego 2027 r. (projekt) | Nowe rozporządzenie KRI — projekt z 29 lipca 2026 r. | Według uzasadnienia projektu wymagania dotyczące SZBI zostają usunięte z KRI, bo reguluje je ustawa o KSC. Treść projektu może się jeszcze zmienić. |
| Zawsze | RODO, art. 32 | Odpowiednie środki techniczne i organizacyjne dla danych osobowych mieszkańców, uczniów i pracowników. |
Stan prawny na listopad 2026 r. Czy konkretna jednostka jest podmiotem kluczowym lub ważnym w KSC, wymaga indywidualnej weryfikacji — robimy ją w ramach audytu.
Jak pracujemy
Audyt KRI w czterech krokach
Pytania i odpowiedzi
Audyt KRI — FAQ
Czy audyt KRI jest obowiązkowy?
Tak. Paragraf 19 ust. 2 pkt 14 rozporządzenia KRI z 2024 r. wymaga zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok. Obowiązek dotyczy podmiotów realizujących zadania publiczne, m.in. urzędów, jednostek samorządu i szkół.
Kto może przeprowadzić audyt KRI?
Przepis mówi o audycie wewnętrznym, ale nie wymaga, żeby wykonywali go pracownicy jednostki. Wiele jednostek zleca go zewnętrznemu audytorowi, co ułatwia zachowanie niezależności. Liczą się kompetencje — w praktyce często potwierdzone uprawnieniami audytora ISO/IEC 27001.
Czy audyt KRI dotyczy szkół i przedszkoli?
Tak. Publiczne szkoły i przedszkola są jednostkami budżetowymi, a więc podmiotami publicznymi w rozumieniu ustawy o informatyzacji. Za SZBI i coroczny audyt odpowiada dyrektor. Więcej w artykule Audyt KRI w szkole i przedszkolu.
Ile kosztuje audyt KRI?
To zależy od liczby lokalizacji, użytkowników i systemów, od stanu dokumentacji i od tego, czy w zakresie są testy techniczne oraz pomoc we wdrożeniu zaleceń. Przygotowujemy wycenę indywidualną. Na co zwrócić uwagę w zapytaniu ofertowym, piszemy w artykule Ile kosztuje audyt KRI.
Kto kontroluje spełnienie wymagań KRI?
Zgodnie z art. 25 ustawy o informatyzacji działanie systemów teleinformatycznych w jednostkach samorządu terytorialnego i ich jednostkach kontroluje wojewoda, a w podmiotach podległych lub nadzorowanych przez administrację rządową — nadzorujący je organ. Raport z audytu jest jednym z pierwszych dokumentów, o które prosi kontrola.
Co się zmieni w 2027 roku?
Nowelizacja ustawy o informatyzacji (Dz.U. 2025 poz. 1158) daje podstawę do nowego rozporządzenia KRI od 23 lutego 2027 r. Według projektu z 29 lipca 2026 r. wymagania SZBI zostaną z KRI usunięte, bo reguluje je ustawa o KSC. Dla wielu jednostek coroczny audyt KRI zamieni się w coroczny przegląd SZBI według KSC. Szczegóły w artykule Nowe KRI od 2027 i KSC.
Czy potrzebujemy certyfikatu ISO 27001?
Nie. KRI nie wymaga certyfikacji, ale uznaje wymagania za spełnione, jeśli SZBI opracowano na podstawie PN-ISO/IEC 27001, a zabezpieczenia i zarządzanie ryzykiem — na podstawie PN-ISO/IEC 27002 i 27005. Korzystamy z tych norm jako punktu odniesienia w audycie.
Jak audyt KRI ma się do KSC i NIS2?
Znowelizowana ustawa o KSC (wdrażająca NIS2) obejmuje także podmioty publiczne. Jeśli jednostka jest podmiotem kluczowym lub ważnym, musi spełnić wymagania KSC niezależnie od KRI. W audycie KRI od razu wskazujemy luki wobec KSC, a pełny zakres obejmuje nasz audyt NIS2 / KSC 2.0.
Czy możecie pomóc po audycie?
Tak. Uzupełniamy dokumentację, prowadzimy szkolenia, wdrażamy kopie zapasowe z testami odtwarzania, skanowanie podatności i monitoring, a w roli vCISO prowadzimy SZBI na bieżąco.
Powiązane usługi
Często łączone z tą usługą
Pierwszy krok
Porozmawiajmy o audycie KRI.
30 minut, bez prezentacji. Powiemy wprost, jaki zakres audytu ma sens w Twojej jednostce, co z tego wynika na 2027 r. i ile to kosztuje.
Propozycja z zakresem i wyceną w ciągu 48 godzin od rozmowy.
Przejdź do kontaktu