Audyt KRI – lista kontrolna w tym artykule to praktyczne zestawienie tego, o co audytor zapyta w każdym obszarze § 19 ust. 2 i § 20 rozporządzenia KRI 2024, jakich dowodów zażąda i gdzie najczęściej pojawiają się luki. Na końcu opisujemy, jak powinien wyglądać raport z audytu, bo tego zwykle dotyczą pytania o „audyt KRI wzór”.
Listę przygotowaliśmy dla osób, które mają przeprowadzić audyt wewnętrzny w zakresie bezpieczeństwa informacji w urzędzie, szkole lub innej jednostce publicznej, oraz dla tych, które chcą się do niego przygotować. Opiera się na rozporządzeniu Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773) i stanie prawnym na listopad 2026 r. Jeśli potrzebujesz najpierw podstaw, przeczytaj artykuł audyt KRI: co to jest i kogo dotyczy. Jeśli wolisz zlecić całość, zakres usługi opisuje strona Audyt KRI. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Jak korzystać z listy kontrolnej audytu KRI
W wyszukiwarce wymagania często występują jako „rozporządzenie KRI art 19 ust 2”, choć w rozporządzeniu to paragraf: § 19 ust. 2. Wymienia on 14 działań, których realizację musi zapewnić kierownictwo podmiotu w ramach systemu zarządzania bezpieczeństwem informacji (SZBI). Poniżej grupujemy je tematycznie, parafrazując treść przepisu. Podział na tabele jest nasz, a dokładne brzmienie punktów sprawdź w tekście rozporządzenia na isap.sejm.gov.pl. Dosłownie przytaczamy tylko pkt 14, który jest podstawą samego audytu: „zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok”.
Dwie zasady pracy z listą:
- Dowód, nie deklaracja. Odpowiedź „tak, robimy kopie” nie jest ustaleniem. Ustaleniem jest raport z ostatniego testu odtworzenia albo jego brak.
- Normy jako punkt odniesienia. § 19 ust. 3 uznaje wymagania za spełnione, jeśli SZBI oparto na PN-ISO/IEC 27001, zabezpieczenia na PN-ISO/IEC 27002, a zarządzanie ryzykiem na PN-ISO/IEC 27005. Audytor może więc posiłkować się zabezpieczeniami z tych norm przy ocenie, czy dany środek jest adekwatny.
Audyt KRI – lista kontrolna: dokumentacja, inwentaryzacja i ryzyko
| Obszar | O co prosi audytor (dowody) | Typowe luki |
|---|---|---|
| Aktualizacja regulacji wewnętrznych | polityka bezpieczeństwa informacji i procedury z datą zatwierdzenia i historią zmian; zarządzenie kierownika; dowód przeglądu po zmianach prawa lub organizacji | dokumenty powołują się na rozporządzenie z 2012 r.; brak przeglądu od lat; procedury opisują systemy, których już nie ma |
| Inwentaryzacja sprzętu i oprogramowania | aktualny wykaz sprzętu i oprogramowania z rodzajem i konfiguracją; wykaz usług chmurowych; sposób aktualizacji wykazu | ewidencja księgowa zamiast inwentaryzacji IT; brak usług chmurowych i aplikacji SaaS; brak wersji oprogramowania |
| Okresowa analiza ryzyka | metodyka, ostatnia analiza, plan postępowania z ryzykiem, akceptacja ryzyka szczątkowego przez kierownictwo | analiza wykonana raz, przy wdrożeniu SZBI; ryzyka ogólne, niezwiązane z konkretnymi systemami; brak działań wynikających z analizy |
Lista kontrolna: ludzie, uprawnienia i dostawcy
| Obszar | O co prosi audytor (dowody) | Typowe luki |
|---|---|---|
| Zarządzanie uprawnieniami | procedura nadawania i odbierania dostępu; rejestr uprawnień; próbka wniosków; lista kont w systemach porównana z listą pracowników | aktywne konta osób, które odeszły; konta współdzielone; uprawnienia administratora na co dzień; brak bezzwłocznej zmiany przy zmianie stanowiska |
| Szkolenia | plan i program szkoleń; listy obecności lub raporty z platformy; szkolenia dla nowych pracowników; udział kierownictwa | jedno szkolenie przy wdrożeniu; brak dokumentacji; szkolenie ogólne bez zagrożeń typowych dla jednostki, np. phishingu |
| Umowy z podmiotami zewnętrznymi | umowy serwisowe i na usługi IT; klauzule bezpieczeństwa; umowy powierzenia danych; porozumienia z gminą lub CUW | brak zapisów o bezpieczeństwie i incydentach; zdalny dostęp serwisanta bez kontroli; brak wiedzy, kto ma hasła administracyjne |
Lista kontrolna: ochrona informacji i systemów
| Obszar | O co prosi audytor (dowody) | Typowe luki |
|---|---|---|
| Ochrona przed kradzieżą, nieuprawnionym dostępem i uszkodzeniem | kontrola dostępu fizycznego do serwerowni i archiwum; zasady haseł i uwierzytelniania; konfiguracja zapory i segmentacji sieci; monitorowanie dostępu | serwer w pomieszczeniu ogólnodostępnym; brak uwierzytelniania wieloskładnikowego do poczty i dostępu zdalnego; sieć gości połączona z siecią biurową |
| Praca mobilna i zdalna | zasady pracy zdalnej; szyfrowanie dysków laptopów; sposób łączenia z systemami (VPN); polityka dla urządzeń prywatnych | laptopy bez szyfrowania; dostęp do systemów z prywatnych komputerów bez zasad; pulpit zdalny wystawiony do internetu |
| Postępowanie z informacjami i nośnikami | zasady przechowywania i przekazywania informacji; procedura wycofania, wymazywania lub niszczenia nośników i sprzętu; protokoły niszczenia | sprzęt przekazywany lub sprzedawany bez bezpiecznego usunięcia danych; brak protokołów; nośniki USB bez kontroli |
| Bezpieczeństwo systemów: aktualizacje i podatności | proces aktualizacji systemów i aplikacji; raport ze skanowania podatności; reakcja na opublikowane podatności; wykaz systemów bez wsparcia producenta | systemy bez wsparcia; brak skanowania; aktualizacje „gdy ktoś ma czas”; nieaktualne CMS-y stron i BIP |
| Bezpieczeństwo systemów: awarie, kopie, kryptografia, zgodność | polityka kopii zapasowych; protokoły testów odtworzenia; stosowane mechanizmy kryptograficzne; kontrola zgodności konfiguracji z polityką i normami | kopie na dysku podłączonym na stałe do serwera; brak kopii odseparowanej; brak testów odtwarzania; brak przeglądów zgodności |
Część technicznych dowodów najłatwiej zebrać narzędziowo. Skanowanie podatności daje obiektywny obraz aktualności systemów, a oddzielone od sieci produkcyjnej i regularnie testowane kopie zapasowe zamykają jedną z najczęstszych luk.
Incydenty i § 20: dzienniki systemów
| Obszar | O co prosi audytor (dowody) | Typowe luki |
|---|---|---|
| Zgłaszanie incydentów | procedura zgłaszania incydentów w ustalony sposób; rejestr incydentów; przykłady obsłużonych zdarzeń i działań korygujących; dane kontaktowe do zgłoszeń | procedura istnieje, ale pracownicy jej nie znają; pusty rejestr przy znanych zdarzeniach; brak powiązania z procedurą naruszeń ochrony danych |
| Rozliczalność w dziennikach systemów (§ 20) | jakie zdarzenia są rejestrowane (logowania, zmiany uprawnień, operacje na danych); okres przechowywania; ochrona logów przed modyfikacją; kto i jak je przegląda | logi tylko lokalnie, nadpisywane po kilku dniach; brak logów z systemów chmurowych; nikt ich nie przegląda; brak synchronizacji czasu |
| Audyt wewnętrzny (§ 19 ust. 2 pkt 14) | raporty z audytów z ostatnich lat; plan audytu; stan realizacji zaleceń | przerwa dłuższa niż rok; brak niezależności audytora; zalecenia bez właściciela i terminu |
Jak powinien wyglądać raport z audytu KRI
Pytanie „audyt KRI wzór” dotyczy zwykle raportu. Nie publikujemy gotowego wzoru do pobrania, bo raport musi opisywać stan konkretnej jednostki, ale jego struktura powinna być powtarzalna. Poniższa tabela pokazuje elementy, które pozwalają kierownikowi podjąć decyzje, a kontrolującemu ocenić rzetelność audytu.
| Sekcja raportu | Zawartość |
|---|---|
| Zakres | jednostka, lokalizacje, systemy, okres objęty audytem, wyłączenia z uzasadnieniem |
| Kryteria | § 19 i § 20 rozporządzenia KRI 2024, dokumenty wewnętrzne, normy PN-ISO/IEC 27001, 27002, 27005 |
| Metody | przegląd dokumentów, wywiady (role rozmówców), testy techniczne, dobór próbek |
| Ustalenia według wagi | dla każdego: stan faktyczny, wymaganie, dowód, waga (np. krytyczna, wysoka, średnia, niska), wpływ na poufność, integralność lub dostępność |
| Stan zaleceń z poprzedniego audytu | wdrożone, częściowo wdrożone, niewdrożone, z komentarzem |
| Rekomendacje | konkretne działania powiązane z ustaleniami, proponowany właściciel |
| Terminy | termin realizacji każdej rekomendacji, zależny od wagi ustalenia |
| Podpisy i zatwierdzenie | podpis audytora, oświadczenie o niezależności, przyjęcie raportu przez kierownika jednostki i decyzja o planie działań |
Dobry raport kończy się jednostronicowym podsumowaniem dla kierownictwa: ogólna ocena SZBI, trzy do pięciu najważniejszych ryzyk i to, co trzeba zrobić najpierw. Jeśli w jednostce nie ma osoby, która będzie pilnować realizacji zaleceń między audytami, tę rolę może pełnić vCISO. Przykład zastosowania listy w jednostce oświatowej opisujemy w artykule audyt KRI w szkole i przedszkolu.
Od 2027 r.: lista kontrolna przesunie się w stronę KSC
Obecne rozporządzenie KRI obowiązuje do 22 lutego 2027 r. Projekt nowego rozporządzenia z 29 lipca 2026 r. według uzasadnienia nie zawiera już wymagań SZBI, ponieważ reguluje je znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252). To projekt i może się zmienić. Dla podmiotów publicznych, które są podmiotami ważnymi, punktem odniesienia stanie się załącznik 4 do ustawy: inwentaryzacja, kontrola dostępu i minimalne uprawnienia, bezpieczna praca zdalna, odseparowane kopie z testami odtwarzania, procedury incydentowe, szkolenia z cyberhigieny (także dla kierownika) i aktualizacje, z przeglądem SZBI co najmniej raz w roku. Większość pozycji z powyższej listy przejdzie więc do nowego układu. Szczegóły opisujemy w tekście nowe KRI od 2027 i KSC.
FAQ: najczęściej zadawane pytania
Czy jest oficjalny wzór listy kontrolnej audytu KRI?
Rozporządzenie nie zawiera wzoru listy ani raportu. Lista kontrolna powinna wynikać z § 19 ust. 2 i § 20 oraz z dokumentów wewnętrznych jednostki, a jako punkt odniesienia można stosować normy PN-ISO/IEC 27001 i 27002.
Co oznacza audyt wewnętrzny w zakresie bezpieczeństwa informacji?
To okresowa, niezależna ocena, czy SZBI jednostki działa zgodnie z wymaganiami i własną dokumentacją. § 19 ust. 2 pkt 14 KRI 2024 wymaga go nie rzadziej niż raz na rok. Może go przeprowadzić pracownik albo zewnętrzny audytor.
Ile punktów ma § 19 ust. 2 rozporządzenia KRI?
Czternaście. Obejmują m.in. aktualizację regulacji, inwentaryzację, analizę ryzyka, uprawnienia, szkolenia, ochronę informacji, pracę mobilną, umowy z dostawcami, bezpieczeństwo systemów, incydenty i coroczny audyt.
Czy skan podatności jest obowiązkowym elementem audytu KRI?
Rozporządzenie nie nakazuje konkretnego narzędzia, ale wymagania dotyczące bezpieczeństwa systemów obejmują m.in. postępowanie z podatnościami technicznymi. Skan podatności jest najprostszym sposobem, by uzyskać na to dowód.
Kto zatwierdza raport z audytu KRI?
Raport podpisuje audytor, a przyjmuje kierownik jednostki, który decyduje o planie działań i odpowiada za wdrożenie zaleceń.
Chcesz przeprowadzić audyt według tej listy z niezależnym audytorem albo sprawdzić dokumentację przed kontrolą? Zobacz zakres usługi Audyt KRI i napisz do nas. Wycenę przygotujemy indywidualnie.