Na pytanie „audyt KRI cena” nie ma jednej odpowiedzi, bo koszt zależy głównie od liczby lokalizacji, użytkowników i systemów, od stanu dokumentacji oraz od zakresu kontroli technicznych. Zamiast cennika pokazujemy, co realnie wpływa na wycenę, jak rozpoznać zbyt tanią ofertę i jak napisać zapytanie ofertowe, na które dostaniesz porównywalne odpowiedzi.
Obowiązek wynika z § 19 ust. 2 pkt 14 rozporządzenia o Krajowych Ramach Interoperacyjności z 21 maja 2024 r. (Dz.U. 2024 poz. 773): kierownictwo jednostki ma zapewnić „okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok”. Urzędy gmin, szkoły, przedszkola czy ośrodki pomocy społecznej często zlecają go zewnętrznemu audytorowi i wtedy pojawia się pytanie o koszt i tryb zamówienia. Jeśli dopiero sprawdzasz, czy obowiązek Cię dotyczy, zacznij od artykułu audyt KRI – co to jest i kogo dotyczy. Opisujemy stan prawny na listopad 2026 r.; artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Audyt KRI cena: co faktycznie składa się na koszt
Nie publikujemy cennika audytu KRI, bo dwie jednostki o tej samej nazwie typu „szkoła podstawowa” mogą wymagać zupełnie innej pracy. Czas audytora rośnie wraz z liczbą miejsc do sprawdzenia, osób do przepytania i systemów do przejrzenia. Tak samo jest w każdym audycie bezpieczeństwa informacji – cena wynika z zakresu pracy, a nie z nazwy usługi. Poniższa tabela pokazuje główne czynniki i to, co warto o nich napisać w zapytaniu.
| Czynnik | Dlaczego wpływa na koszt | Co podać w zapytaniu |
|---|---|---|
| Liczba lokalizacji | Każdy budynek to osobna serwerownia lub szafa sieciowa, inne zabezpieczenia fizyczne i często dojazd. | Liczba i adresy lokalizacji, czy wymagana jest wizja lokalna w każdej. |
| Liczba użytkowników i stanowisk | Wpływa na skalę przeglądu uprawnień, kont, stacji roboczych i urządzeń mobilnych. | Liczba pracowników z dostępem do systemów, komputerów, laptopów, kont pocztowych. |
| Liczba i rodzaj systemów | Każdy system (EZD, dziedzinowe, finansowo-księgowe, dziennik elektroniczny, poczta, usługi chmurowe) ma własne uprawnienia, kopie i logi. | Lista systemów z informacją, kto je utrzymuje (jednostka, dostawca, chmura). |
| Model obsługi IT | Własny informatyk, centrum usług wspólnych (CUW) czy firma zewnętrzna – od tego zależy liczba wywiadów i źródeł dowodów. | Kto odpowiada za IT, czy CUW obsługuje kilka jednostek naraz. |
| Stan dokumentacji | Aktualna polityka bezpieczeństwa informacji, analiza ryzyka i inwentaryzacja skracają audyt. Ich brak oznacza więcej pracy albo dodatkową usługę opracowania dokumentów. | Lista dokumentów z datą ostatniej aktualizacji, poprzedni raport z audytu. |
| Zakres kontroli technicznych | Przegląd konfiguracji, aktualizacji, kopii zapasowych z testem odtworzenia i logów to praca na systemach, nie na papierze. Skan podatności lub test penetracyjny to kolejny poziom. | Które kontrole są obowiązkowe, które opcjonalne; czy dopuszczasz pracę zdalną audytora. |
| Dodatkowe produkty | Plan naprawczy, aktualizacja dokumentacji, szkolenie pracowników, audyt sprawdzający po wdrożeniu zaleceń. | Wyraźny podział: co jest w cenie podstawowej, co jest opcją. |
| Termin | Krótki termin raportu wymaga zaangażowania większego zespołu. | Daty wizyty, projektu raportu i raportu końcowego. |
Pytając o „audyt KRI w szkole – cena”, warto pamiętać, że szkoła ma zwykle mniej stanowisk i systemów niż urząd. Zakres jest więc mniejszy, ale struktura audytu pozostaje ta sama. Jeśli gmina lub CUW obsługuje wiele szkół według wspólnych procedur i na tych samych systemach, łączne zamówienie dla kilku jednostek bywa prostsze organizacyjnie niż osobne zapytania każdego dyrektora. Raport i tak musi jednak odnosić się do każdej jednostki osobno. Specyfikę placówek oświatowych opisujemy w artykule audyt KRI w szkole i przedszkolu.
Co powinien obejmować rozsądny zakres audytu KRI
Niezależnie od wielkości jednostki audyt bezpieczeństwa informacji zgodny z § 19 KRI 2024 powinien łączyć trzy źródła dowodów: dokumenty, rozmowy z ludźmi i sprawdzenie systemów. Rozsądny zakres to:
- Przegląd dokumentacji: polityka bezpieczeństwa informacji i procedury, analiza ryzyka, inwentaryzacja sprzętu i oprogramowania, rejestr upoważnień, potwierdzenia szkoleń, umowy z dostawcami IT pod kątem klauzul bezpieczeństwa.
- Wywiady: z kierownikiem jednostki, osobą odpowiedzialną za IT (lub dostawcą), inspektorem ochrony danych i wybranymi pracownikami. Rozmowa szybko pokazuje, czy procedury działają w praktyce.
- Kontrole techniczne: uprawnienia i konta (w tym nieaktywne), stan aktualizacji, konfiguracja stacji i sieci, kopie zapasowe z próbą odtworzenia, rozliczalność w dziennikach systemów (§ 20 KRI 2024), w razie potrzeby skan podatności.
- Raport: ustalenia z dowodami, ocena ryzyka każdej niezgodności, rekomendacje z priorytetami i podsumowanie dla kierownika jednostki, który odpowiada za wdrożenie zaleceń.
Szczegółową listę obszarów do sprawdzenia i elementy, które musi zawierać sprawozdanie, znajdziesz w artykule audyt KRI – lista kontrolna wymagań. Test penetracyjny nie jest wymagany przez KRI, ale w jednostkach z usługami wystawionymi do internetu warto rozważyć testy penetracyjne jako opcję w zapytaniu.
Czerwone flagi w tanich ofertach
Niska cena sama w sobie nie jest problemem: mała jednostka z uporządkowaną dokumentacją po prostu wymaga mniej pracy. Problemem jest oferta, z której wypadły kluczowe elementy audytu. Uważaj, gdy:
- Audyt odbywa się bez kontroli technicznych. Ankieta wypełniana przez jednostkę i analiza dokumentów to przegląd formalny, nie audyt. Nikt nie sprawdza, czy kopie zapasowe dają się odtworzyć ani czy konta zwolnionych pracowników zostały zablokowane.
- Nie ma wywiadów. Bez rozmów audytor nie oceni, czy procedury są znane i stosowane.
- Raport wygląda na kopiuj-wklej. Ogólniki pasujące do każdej jednostki, brak dowodów i dat, a czasem nazwa innej instytucji w treści. Poproś o zanonimizowany fragment przykładowego raportu.
- Oferta powołuje się wyłącznie na rozporządzenie z 2012 r. Od 23 maja 2024 r. obowiązuje KRI 2024. Nieaktualna podstawa prawna sugeruje nieaktualną metodykę.
- Audytor sprawdza to, co sam utrzymuje. Jeśli audyt robi firma administrująca Twoimi systemami, zapytaj o rozdzielenie ról i zespołów. Audyt wewnętrzny może być zlecony na zewnątrz, ale niezależność i kompetencje mają znaczenie.
- „Pakiet dokumentów” w cenie audytu. Gotowe wzory polityk bez dopasowania do jednostki dają dokumentację, która nie opisuje rzeczywistości i nie przejdzie kontroli.
- Brak informacji o poufności. Audytor widzi konfiguracje, uprawnienia, czasem dane osobowe. Brak zobowiązania do poufności lub umowy powierzenia, gdy jest potrzebna, to sygnał ostrzegawczy.
Audyt KRI – zapytanie ofertowe: co w nim zawrzeć
Dobre zapytanie ofertowe to najprostszy sposób, żeby dostać oferty, które da się porównać. Jeśli opiszesz jednostkę i oczekiwane produkty, wykonawcy wyceniają tę samą pracę, a nie własne założenia. Poniższa lista kontrolna sprawdza się zarówno w urzędzie, jak i w szkole.
| Element zapytania | Co wpisać |
|---|---|
| Przedmiot i podstawa | Audyt wewnętrzny w zakresie bezpieczeństwa informacji zgodnie z § 19 ust. 2 pkt 14 KRI 2024, okres objęty audytem, ewentualnie odniesienie do PN-ISO/IEC 27001 (§ 19 ust. 3). |
| Profil jednostki | Liczba użytkowników i stanowisk, liczba lokalizacji, serwery lokalne lub chmura, lista systemów, kto obsługuje IT (własny informatyk, CUW, firma zewnętrzna). |
| Istniejąca dokumentacja | Lista dokumentów SZBI z datami aktualizacji, informacja o poprzednim audycie i stanie wdrożenia zaleceń. |
| Zakres prac | Przegląd dokumentacji, wywiady, kontrole techniczne (wymienione z nazwy), skan podatności – tak lub nie, test penetracyjny jako opcja. |
| Produkty | Raport z ustaleniami i rekomendacjami, podsumowanie dla kierownika, plan działań, prezentacja wyników, opcjonalnie audyt sprawdzający. |
| Termin | Termin wizyty, projektu raportu i raportu końcowego; czas na uwagi zamawiającego. |
| Kwalifikacje audytora | Np. ISO/IEC 27001 Lead Auditor, doświadczenie w audytach jednostek sektora publicznego, sposób potwierdzenia (certyfikat, wykaz usług), oświadczenie o braku konfliktu interesów. |
| Poufność i dostęp | Zobowiązanie do zachowania poufności, umowa powierzenia przetwarzania danych osobowych, jeśli audytor będzie miał do nich dostęp, zasady dostępu do systemów i usunięcia materiałów po audycie. |
| Odbiór | Projekt raportu, termin na uwagi, raport końcowy, protokół odbioru jako warunek płatności. |
| Kryteria wyboru | Cena oraz np. doświadczenie lub zakres kontroli technicznych; wymagany sposób przedstawienia ceny (osobno zakres podstawowy i opcje). |
Zapytanie ofertowe a ustawa Pzp
Zamówienia o wartości poniżej progu stosowania ustawy Prawo zamówień publicznych jednostki zwykle udzielają na podstawie zapytania ofertowego, według wewnętrznego regulaminu. Powyżej progu obowiązują procedury Pzp. Przy umowie wieloletniej szacuje się wartość całego zamówienia, co może wpłynąć na wybór trybu, więc decyzję warto skonsultować z osobą odpowiedzialną za zamówienia w jednostce.
Umowa wieloletnia: audyt KRI w 2026 r. i przejście na wymagania KSC
Audyt KRI jest obowiązkiem corocznym, dlatego część jednostek zawiera umowy na kilka lat. W latach 2026–2027 trzeba jednak uwzględnić zmianę przepisów. KRI 2024 obowiązuje do 22 lutego 2027 r. Projekt nowego rozporządzenia KRI z 29 lipca 2026 r., planowany na 23 lutego 2027 r., usuwa wymagania dotyczące SZBI, bo reguluje je znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC). Podmioty publiczne będące podmiotami ważnymi w KSC mają przeglądać SZBI zgodny z załącznikiem 4 co najmniej raz w roku, a podmioty kluczowe – przeprowadzać audyt bezpieczeństwa co najmniej raz na 3 lata.
W praktyce umowa wieloletnia może wyglądać tak:
- Rok 2026: audyt KRI według § 19 KRI 2024, z analizą luk wobec wymagań KSC właściwych dla statusu jednostki.
- Od 2027 r.: coroczny przegląd SZBI według załącznika 4 KSC (podmiot ważny) albo przygotowanie do audytu z art. 15 KSC (podmiot kluczowy).
- Mechanizm zmiany zakresu: projekt rozporządzenia może się jeszcze zmienić, a status jednostki w KSC trzeba ustalić indywidualnie, więc umowa powinna przewidywać dostosowanie zakresu.
Szczegóły tej zmiany opisujemy w artykule nowe KRI 2027 i KSC. Jeśli jednostka potrzebuje stałego wsparcia między audytami, sprawdzi się model vCISO.
Jak przygotować jednostkę, żeby audyt był krótszy
Część kosztu to czas, który audytor spędza na szukaniu informacji. Możesz go skrócić, przygotowując przed rozpoczęciem prac:
- aktualną listę systemów, serwerów i stanowisk z informacją, kto je utrzymuje,
- komplet dokumentów SZBI i raport z poprzedniego audytu ze statusem zaleceń,
- kontakt do informatyka lub dostawcy IT i zgodę na jego udział w wywiadach,
- harmonogram dostępności kierownika jednostki i pracowników,
- konto lub sposób bezpiecznego udostępnienia konfiguracji i logów do wglądu.
FAQ: najczęściej zadawane pytania
Ile kosztuje audyt KRI w szkole?
Koszt zależy od liczby stanowisk, systemów i lokalizacji, stanu dokumentacji i zakresu kontroli technicznych. W szkole zakres jest zwykle mniejszy niż w urzędzie. Najdokładniejszą wycenę dostaniesz, opisując profil szkoły w zapytaniu ofertowym.
Czy audyt KRI można zlecić firmie zewnętrznej?
Tak. KRI wymaga audytu wewnętrznego, ale może go przeprowadzić pracownik jednostki albo zewnętrzny audytor działający na jej zlecenie. Liczą się kompetencje i niezależność od audytowanych obszarów.
Czy na audyt KRI trzeba ogłaszać przetarg?
Zależy od szacunkowej wartości zamówienia. Poniżej progu stosowania Pzp jednostki zwykle stosują zapytanie ofertowe według wewnętrznego regulaminu. Przy umowie wieloletniej liczy się wartość całego zamówienia.
Co powinno znaleźć się w zapytaniu ofertowym na audyt KRI?
Przedmiot i podstawa prawna, profil jednostki, lista dokumentacji, zakres prac z kontrolami technicznymi, oczekiwane produkty, terminy, kwalifikacje audytora, zasady poufności i warunki odbioru.
Czy w 2027 roku nadal trzeba robić audyt KRI?
KRI 2024 z obowiązkiem corocznego audytu obowiązuje do 22 lutego 2027 r. Według projektu nowych KRI wymagania dotyczące SZBI przejdą do KSC, gdzie obowiązki zależą od statusu jednostki. Projekt może się jeszcze zmienić.
Potrzebujesz wyceny audytu dla urzędu, szkoły lub kilku jednostek obsługiwanych przez CUW? Zobacz zakres usługi audyt KRI i prześlij nam profil jednostki lub zapytanie ofertowe. Przygotujemy wycenę z wyraźnym podziałem na zakres podstawowy i opcje.