Audyt KRI w szkole jest obowiązkiem dyrektora jako kierownika jednostki: publiczna szkoła czy przedszkole musi co najmniej raz w roku przeprowadzić audyt wewnętrzny bezpieczeństwa informacji. W tym artykule opisujemy, jakie systemy szkolne obejmuje audyt, jak przebiega krok po kroku i co powinno znaleźć się w sprawozdaniu.
Dyrektorzy pytają o audyt KRI w szkole zwykle wtedy, gdy organ prowadzący przypomina o obowiązku albo zapowiada się kontrola. Szkoła nie ma przy tym działu IT, a część usług dostarcza gmina lub centrum usług wspólnych. Poniżej wyjaśniamy, za co odpowiada dyrektor, jak zaplanować audyt w szkole i przedszkolu oraz co zmieni się od 2027 r. Stan prawny: listopad 2026 r. Ogólne zasady opisujemy w artykule audyt KRI: co to jest i kogo dotyczy, a zakres naszej usługi na stronie Audyt KRI. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Dlaczego szkoła i przedszkole podlegają KRI
Publiczne szkoły i przedszkola prowadzone przez gminę lub powiat to zazwyczaj jednostki budżetowe, czyli jednostki sektora finansów publicznych. Zgodnie z art. 2 ust. 1 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne są więc podmiotami publicznymi i stosują rozporządzenie w sprawie Krajowych Ram Interoperacyjności z 21 maja 2024 r. (Dz.U. 2024 poz. 773).
§ 19 tego rozporządzenia wymaga systemu zarządzania bezpieczeństwem informacji (SZBI), a jego ust. 2 pkt 14 – „zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok”. Szkoły i przedszkola niepubliczne realizują zadania publiczne na podstawie przepisów oświatowych i mogą podlegać wybranym przepisom ustawy (art. 2 ust. 1a). Ich zakres obowiązków trzeba ustalić indywidualnie.
Kontrolę w jednostkach organizacyjnych samorządu przeprowadza wojewoda (art. 25 ustawy). KRI nie przewiduje kar pieniężnych, ale brak audytu to ustalenie pokontrolne i argument przeciwko szkole przy każdym naruszeniu ochrony danych.
Obowiązki dyrektora: SZBI w szkole
Dyrektor jako kierownik jednostki odpowiada za to, by SZBI w szkole istniał i działał. Nie musi sam konfigurować serwerów, ale musi zapewnić warunki: wyznaczyć osoby, zatwierdzić dokumenty, zlecić audyt i przyjąć jego wyniki. W praktyce oznacza to:
- Polityka bezpieczeństwa informacji w szkole zatwierdzona zarządzeniem dyrektora: cele, role (kto administruje systemami, kto nadaje uprawnienia, kto zgłasza incydenty), zasady korzystania ze sprzętu, poczty i chmury, praca zdalna nauczycieli, postępowanie z nośnikami.
- Analiza ryzyka dla systemów szkoły, aktualizowana okresowo i po istotnych zmianach, np. wdrożeniu nowego dziennika czy przejściu na pocztę w chmurze.
- Inwentaryzacja sprzętu, oprogramowania i usług internetowych, z których korzysta szkoła.
- Zarządzanie uprawnieniami: nadawanie, zmiana i odbieranie dostępu przy zmianach kadrowych, także nauczycielom na zastępstwo i stażystom.
- Szkolenia pracowników z bezpieczeństwa informacji, udokumentowane.
- Coroczny audyt i realizacja zaleceń z poprzedniego.
SZBI w szkole nie jest tym samym co dokumentacja RODO, choć oba obszary się pokrywają. Szkoła publiczna musi wyznaczyć inspektora ochrony danych (art. 37 RODO), a art. 32 RODO wymaga odpowiednich środków bezpieczeństwa i regularnego testowania ich skuteczności. Rozsądnie jest prowadzić jedną spójną dokumentację i angażować IOD w audyt, zamiast utrzymywać dwa niezależne zestawy procedur.
Jakie systemy obejmuje audyt KRI w szkole i przedszkolu
| System | Na co patrzy audytor |
|---|---|
| Dziennik elektroniczny (zwykle usługa w chmurze) | umowa z dostawcą i powierzenie danych, konta i role, konta absolwentów i byłych nauczycieli, uwierzytelnianie, eksport i dostępność danych |
| Sekretariat: komputery, dokumenty uczniów, korespondencja, systemy sprawozdawcze (np. SIO) | aktualizacje systemu, antywirus, szyfrowanie dysków laptopów, kopie zapasowe, dostęp do teczek i folderów sieciowych |
| Księgowość i kadry (często w CUW) | podział odpowiedzialności w porozumieniu z CUW, dostęp pracowników szkoły do systemów CUW, sposób przekazywania dokumentów |
| Strona internetowa i BIP | aktualizacje CMS i wtyczek, konta administratorów, hosting i kopie, kto publikuje treści |
| Sieć i Wi-Fi | oddzielenie sieci administracyjnej od sieci dla uczniów i gości, hasła do sieci, hasło do routera i stan jego oprogramowania |
| Laptopy i tablety nauczycieli, pracownie komputerowe | ewidencja sprzętu, konta lokalne, praca poza szkołą, nośniki USB, wycofanie i utylizacja sprzętu |
| Poczta i dysk w chmurze dla pracowników i uczniów | uwierzytelnianie wieloskładnikowe dla kont pracowników, udostępnianie plików na zewnątrz, kopie zapasowe, konta uczniów po ukończeniu szkoły |
Szkoła obsługiwana przez centrum usług wspólnych
Wiele szkół korzysta z księgowości, kadr, a czasem także z obsługi informatycznej zapewnianej przez CUW gminy. Odpowiedzialność za SZBI w szkole nadal ma dyrektor, ale audyt nie może pomijać systemów współdzielonych. Zakres trzeba uzgodnić: albo audyt szkoły obejmuje wybrane systemy CUW na podstawie porozumienia, albo szkoła otrzymuje od CUW wyniki jego własnego audytu w części jej dotyczącej. Porozumienie lub umowa z CUW powinny jasno mówić, kto odpowiada za kopie zapasowe, uprawnienia i zgłaszanie incydentów.
Typowe ustalenia audytu KRI w szkole
Nie publikujemy statystyk, ale te same problemy powtarzają się w jednostkach oświatowych na tyle często, że warto je sprawdzić przed audytem. Najczęściej dotyczą dokumentacji przepisanej z wzoru i nigdy nieaktualizowanej, w tym polityk powołujących się na rozporządzenie z 2012 r. Druga grupa to uprawnienia: konta nauczycieli, którzy odeszli, wspólne loginy w sekretariacie, administrator dziennika jako jedyna osoba znająca hasła.
Często brakuje inwentaryzacji usług chmurowych, choć szkoła korzysta z kilku. Kopie zapasowe bywają wykonywane na dysk podłączony na stałe do tego samego komputera i nikt nie sprawdził, czy da się z nich odtworzyć dane. Wi-Fi dla uczniów działa w tej samej sieci co sekretariat. Szkolenia odbyły się raz, przy wdrożeniu, i nie ma po nich śladu. Z poprzedniego audytu zostały zalecenia, których nikt nie wdrożył, bo nie wskazano osoby odpowiedzialnej i terminu.
Jak przebiega audyt krok po kroku
- Zlecenie i zakres. Dyrektor wyznacza audytora (pracownika lub firmę zewnętrzną) i określa zakres: budynki, systemy, udział CUW, termin raportu.
- Przegląd dokumentacji. Polityka bezpieczeństwa informacji, procedury, analiza ryzyka, inwentaryzacja, umowy z dostawcami, rejestr szkoleń, poprzedni raport.
- Wywiady. Dyrektor, sekretariat, osoba administrująca IT, administrator dziennika, IOD, kilku nauczycieli.
- Weryfikacja techniczna. Konta i uprawnienia, aktualizacje, antywirus, kopie zapasowe z próbą odtworzenia, konfiguracja sieci i Wi-Fi, ustawienia poczty i chmury, logi. Do tego może dojść skanowanie podatności strony i usług dostępnych z internetu.
- Ustalenia i ocena. Każde ustalenie z odwołaniem do wymagania i oceną wagi.
- Sprawozdanie i omówienie. Raport przekazany dyrektorowi, omówienie wyników, przyjęcie zaleceń.
- Plan działań i weryfikacja. Osoby odpowiedzialne i terminy; stan realizacji sprawdza kolejny audyt.
Szczegółowe pytania audytora w każdym obszarze § 19 i § 20 rozpisaliśmy w artykule audyt KRI – lista kontrolna.
Audyt KRI w szkole: sprawozdanie i co powinno zawierać
Nie udostępniamy gotowego wzoru do pobrania, bo sprawozdanie musi odpowiadać faktycznemu stanowi szkoły. Poniżej elementy, których brak zwykle wskazuje na audyt wykonany pobieżnie.
| Element sprawozdania | Co powinien zawierać |
|---|---|
| Dane ogólne | nazwa szkoły lub przedszkola, okres objęty audytem, daty czynności, audytor i jego niezależność |
| Zakres | lokalizacje, systemy, udział CUW lub gminy, czego audyt nie obejmował |
| Kryteria | § 19 i § 20 rozporządzenia KRI 2024, dokumenty wewnętrzne szkoły, ewentualnie PN-ISO/IEC 27001 i 27002 |
| Metody | przegląd dokumentów, wywiady, testy techniczne, próbki (np. które konta sprawdzono) |
| Ustalenia | opis stanu faktycznego, wymaganie, dowód, ocena wagi (np. krytyczne, istotne, drobne) |
| Stan zaleceń z poprzedniego audytu | wdrożone, w toku, niewdrożone |
| Zalecenia | konkretne działania, osoba odpowiedzialna, termin |
| Podsumowanie i zatwierdzenie | ogólna ocena SZBI, podpis audytora, potwierdzenie przyjęcia przez dyrektora |
KSC i zmiany od 23 lutego 2027 r.
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. i obejmuje część podmiotów publicznych jako podmioty kluczowe lub ważne. Nie oznacza to, że każda szkoła podlega KSC: o tym decyduje klasyfikacja konkretnej jednostki według załączników do ustawy. Warto to sprawdzić, bo podmioty ważne będące podmiotami publicznymi wdrażają SZBI według załącznika 4 do ustawy i przeglądają go co najmniej raz w roku. Pomagamy w takiej weryfikacji w ramach audytu NIS2.
Obecne KRI obowiązuje do 22 lutego 2027 r. Projekt nowego rozporządzenia z 29 lipca 2026 r. według uzasadnienia nie zawiera już wymagań SZBI, ale to wciąż projekt. Audyt za 2026 r. trzeba przeprowadzić na obecnych zasadach. Co dalej, opisujemy w artykule nowe KRI od 2027 i KSC.
FAQ: najczęściej zadawane pytania
Czy audyt KRI w szkole jest obowiązkowy?
Tak, dla szkół publicznych. Jako jednostki budżetowe są podmiotami publicznymi i muszą przeprowadzać audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz na rok (§ 19 ust. 2 pkt 14 KRI 2024).
Czy audyt KRI w przedszkolu wygląda tak samo jak w szkole?
Wymagania są te same. Zakres jest zwykle mniejszy: mniej systemów i użytkowników, często brak pracowni komputerowej. Sprawdza się te same obszary, w tym dane dzieci i rodziców w dzienniku lub aplikacji do komunikacji.
Kto odpowiada za audyt KRI w szkole: dyrektor czy gmina?
Dyrektor, jako kierownik jednostki. Gmina lub CUW odpowiadają za systemy, które dostarczają, i powinny współpracować przy audycie zgodnie z porozumieniem.
Czy nauczyciel informatyki może przeprowadzić audyt KRI w szkole?
Może, jeśli ma odpowiednie kompetencje. Nie powinien jednak oceniać systemów, które sam konfiguruje i utrzymuje, bo brakuje wtedy niezależności.
Co powinno zawierać sprawozdanie z audytu KRI w szkole?
Zakres, kryteria, metody, ustalenia z oceną wagi, stan zaleceń z poprzedniego audytu, nowe zalecenia z terminami oraz podpis audytora i potwierdzenie przyjęcia przez dyrektora.
Chcesz przeprowadzić audyt KRI w szkole lub przedszkolu przed końcem roku? Zobacz zakres usługi Audyt KRI i napisz do nas. Wycenę przygotujemy indywidualnie, uwzględniając liczbę budynków, systemów i udział CUW.