Audyt KRI to coroczny audyt wewnętrzny bezpieczeństwa informacji, którego wymaga od podmiotów publicznych rozporządzenie w sprawie Krajowych Ram Interoperacyjności. Obowiązuje dziś w wersji z 2024 r., a nie z 2012 r., jak wciąż podaje wiele poradników. Wyjaśniamy, kogo dotyczy, co obejmuje i kto sprawdza, czy został przeprowadzony.
Pytania „audyt KRI – co to jest” i „czy audyt KRI jest obowiązkowy” zadają najczęściej sekretarze gmin, dyrektorzy szkół, kierownicy ośrodków pomocy społecznej i informatycy obsługujący jednostki samorządowe. Odpowiedź jest krótka: tak, dla podmiotów publicznych jest obowiązkowy, i to co najmniej raz w roku. Poniżej opisujemy podstawę prawną, zakres i sposób przeprowadzenia audytu według stanu prawnego na listopad 2026 r. Jeśli szukasz wykonawcy, zakres naszej usługi opisuje strona Audyt KRI. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Co to jest KRI i skąd bierze się obowiązek audytu
KRI, czyli Krajowe Ramy Interoperacyjności, to potoczna nazwa rozporządzenia Rady Ministrów wydanego na podstawie art. 18 ustawy z 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Rozporządzenie określa trzy grupy wymagań:
- zasady interoperacyjności (§ 3–9), czyli to, jak systemy podmiotów publicznych mają ze sobą współpracować;
- minimalne wymagania dla rejestrów publicznych i elektronicznej wymiany informacji (§ 10–14);
- minimalne wymagania dla systemów teleinformatycznych (§ 15–20), w tym formaty danych (§ 18), system zarządzania bezpieczeństwem informacji (§ 19) i rozliczalność w dziennikach systemów (§ 20).
Kluczowy dla audytu jest § 19. Jego ust. 1 nakłada na podmiot obowiązek opracowania, ustanowienia, wdrożenia, eksploatacji, monitorowania, przeglądu, utrzymania i doskonalenia systemu zarządzania bezpieczeństwem informacji (SZBI). Ust. 2 wylicza 14 działań, których realizację ma zapewnić kierownictwo. Ostatnie z nich, pkt 14, brzmi: „zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok”. To właśnie jest audyt KRI.
Rozporządzenie KRI 2024 a stare KRI z 2012 r.
Od 23 maja 2024 r. obowiązuje rozporządzenie Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773). Zastąpiło ono rozporządzenie z 2012 r. (Dz.U. 2012 poz. 526, tekst jednolity Dz.U. 2017 poz. 2247). W praktyce oznacza to kilka rzeczy:
- Zmieniła się numeracja. Wymagania dotyczące SZBI, opisywane w starszych materiałach jako § 20, są teraz w § 19, a dzienniki systemów w § 20. Polityki i procedury, które powołują się na stare paragrafy, warto przy najbliższej aktualizacji poprawić.
- Obowiązek audytu pozostał. Rozporządzenie KRI 2024 utrzymuje wymóg audytu wewnętrznego co najmniej raz w roku.
- Normy nadal są punktem odniesienia. Zgodnie z § 19 ust. 3 wymagania uznaje się za spełnione, jeśli SZBI opracowano na podstawie PN-ISO/IEC 27001, zabezpieczenia na podstawie PN-ISO/IEC 27002, a zarządzanie ryzykiem na podstawie PN-ISO/IEC 27005.
Jeżeli Twój ostatni raport z audytu powołuje się wyłącznie na przepisy z 2012 r., to sygnał, że kryteria audytu nie zostały zaktualizowane.
Kogo dotyczy audyt KRI
Zakres podmiotowy wynika z art. 2 ustawy o informatyzacji. Pełne obowiązki dotyczą podmiotów publicznych z art. 2 ust. 1, m.in. jednostek sektora finansów publicznych: gmin, powiatów, województw i ich urzędów, jednostek budżetowych (np. publicznych szkół i przedszkoli, ośrodków pomocy społecznej), urzędów administracji rządowej. Ustawa obejmuje też inne państwowe jednostki organizacyjne, niektóre osoby prawne utworzone w celu realizacji zadań publicznych, związki tych podmiotów, instytuty badawcze, Sieć Badawczą Łukasiewicz i uczelnie niepubliczne.
Art. 2 ust. 1a rozszerza wybrane przepisy, w tym art. 13, na podmioty niepubliczne realizujące zadania publiczne na podstawie odrębnych przepisów albo na zlecenie podmiotu publicznego. Zakres obowiązków takiego podmiotu trzeba ustalić indywidualnie. Z ustawy wyłączone są m.in. służby specjalne, Kancelarie Sejmu, Senatu i Prezydenta oraz, z pewnymi wyjątkami, NBP.
| Kto | Obowiązek | Podstawa prawna |
|---|---|---|
| Urząd gminy, starostwo, urząd marszałkowski | SZBI i audyt wewnętrzny bezpieczeństwa informacji co najmniej raz w roku | art. 2 ust. 1 ustawy o informatyzacji, § 19 ust. 1 i ust. 2 pkt 14 KRI 2024 |
| Jednostki organizacyjne JST: szkoły, przedszkola, OPS, centra usług wspólnych | jak wyżej; odpowiada kierownik jednostki | art. 2 ust. 1 ustawy, § 19 KRI 2024 |
| Urzędy administracji rządowej | jak wyżej | art. 2 ust. 1 ustawy, § 19 KRI 2024 |
| Podmioty niepubliczne realizujące zadania publiczne | wybrane przepisy ustawy, w tym art. 13; zakres do ustalenia | art. 2 ust. 1a ustawy |
| Wszystkie podmioty przetwarzające dane osobowe | odpowiednie środki bezpieczeństwa i regularne testowanie ich skuteczności | art. 32 RODO (niezależnie od KRI) |
Czy audyt KRI jest obowiązkowy i kto to sprawdza
Dla podmiotów publicznych tak. § 19 ust. 2 pkt 14 nie zostawia swobody co do częstotliwości: audyt ma się odbyć nie rzadziej niż raz na rok. W praktyce najlepiej planować go w stałym rocznym cyklu, tak by między kolejnymi raportami nie powstawała luka dłuższa niż 12 miesięcy.
Nadzór reguluje art. 25 ustawy o informatyzacji. Kontrolę systemów teleinformatycznych używanych do realizacji zadań publicznych w jednostkach samorządu terytorialnego i ich jednostkach organizacyjnych przeprowadza wojewoda. W jednostkach podporządkowanych organom administracji rządowej lub przez nie nadzorowanych kontrolę prowadzi organ nadzorujący, a w pozostałych podmiotach publicznych minister właściwy do spraw informatyzacji. Samo rozporządzenie KRI nie przewiduje kar pieniężnych. Konsekwencją braku audytu są ustalenia i zalecenia pokontrolne, odpowiedzialność kierownika jednostki (służbowa lub dyscyplinarna) oraz słabsza pozycja w razie naruszenia ochrony danych osobowych, gdy organ nadzorczy pyta o środki z art. 32 RODO.
KRI wymaga audytu wewnętrznego, ale nie wskazuje, kto ma go przeprowadzić. Może to zrobić pracownik jednostki albo zewnętrzny audytor działający na zlecenie (outsourcing audytu wewnętrznego). Liczą się kompetencje, np. znajomość normy ISO/IEC 27001 na poziomie audytora wiodącego, oraz niezależność: informatyk nie powinien sam oceniać systemów, które sam konfiguruje.
Co obejmuje audyt KRI
Audyt sprawdza, czy SZBI działa w praktyce, a nie tylko czy istnieje polityka bezpieczeństwa w segregatorze. Typowy zakres obejmuje trzy warstwy:
Dokumentacja
Polityka bezpieczeństwa informacji i procedury, analiza ryzyka, inwentaryzacja sprzętu i oprogramowania, rejestr uprawnień, dokumentacja szkoleń, umowy z dostawcami IT (czy zawierają klauzule bezpieczeństwa), procedura zgłaszania incydentów, raport z poprzedniego audytu i stan realizacji zaleceń.
Wywiady
Rozmowy z kierownikiem jednostki, osobą odpowiedzialną za IT, inspektorem ochrony danych i wybranymi pracownikami. Ich celem jest sprawdzenie, czy procedury są znane i stosowane.
Weryfikacja techniczna
Przegląd konfiguracji i aktualizacji systemów, kont i uprawnień (w tym kont byłych pracowników), kopii zapasowych i testów odtwarzania, dzienników systemów z § 20, zabezpieczeń sieci i stacji roboczych. Często elementem audytu jest skanowanie podatności, które pokazuje nieaktualne oprogramowanie i usługi wystawione do internetu.
Wynikiem jest raport dla kierownika jednostki z ustaleniami, oceną ich wagi i rekomendacjami. Szczegółowe pytania audytora i typowe luki w każdym obszarze § 19 i § 20 rozpisaliśmy w artykule Audyt KRI – lista kontrolna. Specyfikę jednostek oświatowych opisujemy w tekście audyt KRI w szkole i przedszkolu.
Jak przygotować się do audytu
- Zbierz dokumenty SZBI i sprawdź, czy powołują się na KRI 2024, a nie na rozporządzenie z 2012 r.
- Zaktualizuj inwentaryzację sprzętu, oprogramowania i usług chmurowych, łącznie z systemami dostarczanymi przez gminę lub zewnętrznych dostawców.
- Wyciągnij raport z poprzedniego audytu i opisz, które zalecenia wdrożono.
- Ustal zakres i kryteria: lokalizacje, systemy, rodzaj testów technicznych, termin raportu.
- Wskaż osoby do wywiadów i zapewnij audytorowi dostęp do konsol administracyjnych w trybie tylko do odczytu.
Jeśli porównujesz oferty, w artykule ile kosztuje audyt KRI i jak przygotować zapytanie ofertowe opisujemy, od czego zależy wycena i co wpisać do zapytania.
Zmiana od 23 lutego 2027 r.: nowe KRI i KSC
Ustawa z 25 lipca 2025 r. (Dz.U. 2025 poz. 1158) nadaje nowe brzmienie art. 18 ustawy o informatyzacji od 23 lutego 2027 r. Obecne rozporządzenie KRI 2024 obowiązuje do 22 lutego 2027 r. Projekt nowego rozporządzenia z 29 lipca 2026 r., zgodnie z uzasadnieniem, nie zawiera już wymagań dotyczących SZBI, bo te reguluje kompleksowo znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252, w mocy od 3 kwietnia 2026 r.). To wciąż projekt i może się zmienić.
Do 22 lutego 2027 r. obowiązek audytu z § 19 ust. 2 pkt 14 pozostaje w mocy, więc audyt zaplanowany na 2026 r. trzeba przeprowadzić. Co dalej z SZBI, kiedy podmiot publiczny jest podmiotem kluczowym lub ważnym w KSC i jak zmienia się audyt, wyjaśniamy w tekście nowe KRI od 2027 i KSC. Jeśli Twoja jednostka może podlegać KSC, sprawdź też nasz audyt NIS2.
FAQ: najczęściej zadawane pytania
Audyt KRI – co to jest w skrócie?
To audyt wewnętrzny bezpieczeństwa informacji wymagany przez § 19 ust. 2 pkt 14 rozporządzenia KRI 2024. Sprawdza, czy podmiot publiczny ma działający system zarządzania bezpieczeństwem informacji i czy realizuje wymagania dotyczące m.in. ryzyka, uprawnień, szkoleń, kopii zapasowych i incydentów.
Czy audyt KRI jest obowiązkowy dla gminy?
Tak. Gmina i jej urząd są podmiotami publicznymi w rozumieniu art. 2 ust. 1 ustawy o informatyzacji, więc muszą przeprowadzać audyt nie rzadziej niż raz w roku. Dotyczy to także jednostek organizacyjnych gminy, np. szkół i OPS.
Kto kontroluje realizację KRI w samorządzie?
Zgodnie z art. 25 ustawy o informatyzacji kontrolę w jednostkach samorządu terytorialnego i ich jednostkach organizacyjnych przeprowadza wojewoda.
Czy audyt KRI może wykonać firma zewnętrzna?
Tak. Rozporządzenie wymaga audytu wewnętrznego, ale nie określa, kto ma go przeprowadzić. Jednostka może zlecić go zewnętrznemu audytorowi. Raport trafia do kierownika jednostki, który odpowiada za wdrożenie zaleceń.
Które rozporządzenie KRI obowiązuje w 2026 r.?
Rozporządzenie Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773), obowiązujące od 23 maja 2024 r. do 22 lutego 2027 r. Wymagania SZBI są w § 19, a nie w § 20 jak w wersji z 2012 r.
Potrzebujesz audytu KRI za 2026 r. albo chcesz sprawdzić, czy dokumentacja SZBI jest aktualna? Zobacz zakres usługi Audyt KRI i napisz do nas. Wycenę przygotujemy indywidualnie na podstawie liczby lokalizacji, użytkowników i systemów.