Nowe KRI 2027 to efekt dwóch równoległych zmian: nowelizacji ustawy o informatyzacji, która od 23 lutego 2027 r. daje nowe brzmienie art. 18, oraz znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która od 3 kwietnia 2026 r. reguluje system zarządzania bezpieczeństwem informacji (SZBI). Według projektu nowego rozporządzenia wymagania dotyczące SZBI znikną z KRI, a obowiązki podmiotu publicznego w zakresie SZBI i audytu będą wynikać z KSC i zależeć od jego statusu.
W wyszukiwarce trafisz na hasła „rozporządzenie KRI 2025” i „rozporządzenie KRI 2026 projekt”. Oba odnoszą się do tego samego procesu: w 2025 r. uchwalono zmianę ustawy, a w 2026 r. przygotowano projekt nowego rozporządzenia. Poniżej porządkujemy, co obowiązuje dziś, co zmieni się po 22 lutego 2027 r. i co jednostka powinna zrobić w najbliższych miesiącach. Opisujemy stan na listopad 2026 r.; artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Co obowiązuje dziś: KRI 2024 do 22 lutego 2027 r.
Aktualne jest rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773), obowiązujące od 23 maja 2024 r. Jego § 19 wymaga od podmiotu publicznego opracowania, wdrożenia, monitorowania i doskonalenia SZBI, a ust. 2 wymienia 14 obowiązków kierownictwa: od aktualizacji regulacji wewnętrznych i inwentaryzacji sprzętu, przez analizę ryzyka, szkolenia i zabezpieczenia techniczne, po pkt 14 – „zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok”. § 20 dotyczy rozliczalności w dziennikach systemów.
Te przepisy obowiązują do 22 lutego 2027 r. włącznie. Audyt za 2026 r. trzeba więc przeprowadzić na dotychczasowych zasadach, a kontrole z art. 25 ustawy o informatyzacji (w jednostkach samorządu terytorialnego prowadzi je wojewoda) mogą weryfikować spełnienie § 19. Podstawy wyjaśniamy w artykule audyt KRI – co to jest i kogo dotyczy, a zakres sprawdzeń w liście kontrolnej wymagań KRI. Jeśli audyt za 2026 r. jeszcze przed Tobą, opisujemy go na stronie usługi audyt KRI.
Nowelizacja z 2025 r. i projekt rozporządzenia KRI z 2026 r.
Ustawa z 25 lipca 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz.U. 2025 poz. 1158) nadaje nowe brzmienie art. 18 – przepisowi, na podstawie którego wydawane są KRI. Nowe brzmienie wchodzi w życie 23 lutego 2027 r., a wydane na starej podstawie KRI 2024 przestanie wtedy obowiązywać.
Na nowej podstawie ma zostać wydane nowe rozporządzenie. Projekt z 29 lipca 2026 r. przewiduje wejście w życie 23 lutego 2027 r. Najważniejsza zmiana według uzasadnienia projektu: usunięcie wymagań dotyczących SZBI, ponieważ ten obszar kompleksowo reguluje znowelizowana ustawa o KSC (ustawa z 23 stycznia 2026 r., Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. To nadal projekt: treść i termin mogą się zmienić, a postęp prac warto śledzić na stronie Rządowego Centrum Legislacji.
Nowe KRI 2027: co zostaje w rozporządzeniu, a co przechodzi do KSC
| Obszar | Do 22 lutego 2027 r. | Od 23 lutego 2027 r. (według projektu) |
|---|---|---|
| Zasady interoperacyjności | KRI 2024 | Nowe KRI |
| Rejestry publiczne i wymiana informacji w postaci elektronicznej | KRI 2024 | Nowe KRI |
| SZBI i coroczny audyt wewnętrzny (§ 19) | KRI 2024 | Usunięte z KRI; SZBI w KSC dla podmiotów kluczowych i ważnych |
| Bezpieczeństwo przetwarzania danych osobowych | RODO, art. 32 | RODO, art. 32 – bez zmian |
Dwie rzeczy są tu ważne. Po pierwsze, KRI nie znikają: nadal będą regulować interoperacyjność, rejestry i elektroniczną wymianę informacji, więc jednostka prowadząca rejestry czy wdrażająca systemy, np. EZD RP, dalej musi je stosować. Po drugie, RODO obowiązuje niezależnie od KRI i KSC. Szkoła czy urząd przetwarzają dane dzieci i mieszkańców, więc art. 32 RODO wymaga środków bezpieczeństwa odpowiednich do ryzyka, także w jednostkach, które nie są objęte KSC.
KRI a KSC: podmiot publiczny kluczowy czy ważny
Pojęcie „podmiot publiczny” w KSC definiuje znowelizowana ustawa: to podmiot wymieniony w załączniku 1 lub 2 do ustawy, w sektorze „podmioty publiczne”. Od tego, w którym załączniku i z jakim statusem znajdzie się jednostka, zależą jej obowiązki dotyczące SZBI w KSC.
| Status w KSC | Przykłady | SZBI | Audyt lub przegląd |
|---|---|---|---|
| Podmiot kluczowy (załącznik 1) | Wiele jednostek sektora finansów publicznych; ustawa przewiduje wyłączenia, np. dla samorządowych jednostek oświatowych | Pełny SZBI według art. 8 | Audyt bezpieczeństwa co najmniej raz na 3 lata (art. 15); pierwszy w ciągu 24 miesięcy od uzyskania statusu |
| Podmiot ważny będący podmiotem publicznym (załącznik 2) | Samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, instytucje kultury, spółki komunalne | Zamiast art. 8 ust. 1 – SZBI spełniający wymagania załącznika 4 | Przegląd SZBI co najmniej raz w roku (część III załącznika 4) i dokumentowanie działań (część IV) |
| Jednostka poza KSC | Zależy od klasyfikacji | Brak obowiązku z KSC; po 23 lutego 2027 r. – według projektu – także z KRI | Brak obowiązku z KRI według projektu; RODO, art. 32 nadal obowiązuje |
Nie zakładaj z góry, że Twoja jednostka jest lub nie jest objęta KSC. Status szkoły, przedszkola, ośrodka pomocy społecznej czy instytucji kultury trzeba ustalić indywidualnie, na podstawie załączników i wyłączeń w ustawie. W tym pomaga audyt NIS2 / KSC, który zaczyna się od klasyfikacji podmiotu.
SZBI w KSC: co zawiera załącznik 4
Dla podmiotów ważnych będących podmiotami publicznymi załącznik 4 określa minimalny zakres SZBI. Obejmuje m.in.:
- inwentaryzację aktywów ICT,
- kontrolę dostępu i zasadę najmniejszych uprawnień,
- bezpieczną pracę zdalną i kontrolę poczty elektronicznej,
- kopie zapasowe odseparowane logicznie i fizycznie oraz testy odtwarzania,
- procedury obsługi incydentów i ochronę antywirusową,
- szkolenia z cyberhigieny, także dla kierownika jednostki,
- aktualizacje oprogramowania i korzystanie ze stabilnych wersji,
- przegląd SZBI co najmniej raz w roku i dokumentowanie podejmowanych działań.
Część tych wymagań jest bardziej konkretna niż w KRI 2024. Przykładem są kopie zapasowe: nie wystarczy, że istnieją, trzeba je odseparować i testować odtwarzanie.
Mapowanie: obszary § 19 KRI 2024 a załącznik 4 do KSC
Tabela pomaga przygotować się na nowe KRI 2027 i wykorzystać dotychczasową dokumentację SZBI przy przejściu na wymagania KSC dla podmiotu ważnego będącego podmiotem publicznym. Jest orientacyjna: przed wdrożeniem porównaj ją z aktualnym tekstem załącznika 4.
| Obszar § 19 KRI 2024 | Odpowiednik w załączniku 4 do KSC | Uwagi |
|---|---|---|
| SZBI oparty na PN-ISO/IEC 27001 (ust. 1 i 3) | SZBI spełniający wymagania załącznika 4 (zamiast art. 8 ust. 1) | SZBI zbudowany na ISO/IEC 27001 pozostaje dobrą podstawą |
| Aktualizacja regulacji wewnętrznych | Przegląd SZBI (część III) i dokumentowanie działań (część IV) | Wyniki przeglądu powinny prowadzić do aktualizacji dokumentów |
| Inwentaryzacja sprzętu i oprogramowania | Inwentaryzacja produktów, usług i procesów ICT (cz. I pkt 1) | Dotychczasowa ewidencja to punkt wyjścia |
| Okresowa analiza ryzyka | Załącznik 4 nie wymienia wprost szacowania ryzyka; u podmiotu kluczowego wymaga go art. 8 ust. 1 pkt 1 | Podejście oparte na ryzyku wymaga też art. 32 RODO; warto utrzymać |
| Zarządzanie uprawnieniami pracowników | Dostęp tylko dla uprawnionych, minimalne uprawnienia, cofanie i modyfikacja uprawnień (cz. I pkt 4–7) | Dodaj regularny przegląd kont i uprawnień |
| Szkolenia | Cyberhigiena, także kierownika jednostki, i szkolenia z zagrożeń oraz reagowania na incydenty (cz. I pkt 14 i 17) | Udział kierownika wprost wymagany |
| Praca mobilna, ochrona przed nieuprawnionym dostępem | Zasady pracy zdalnej (cz. I pkt 8), kontrola poczty e-mail (pkt 9), oprogramowanie antywirusowe (pkt 13) | Kontrola poczty to wymaganie bardziej szczegółowe niż w KRI |
| Zabezpieczenia techniczne i obsługa podatności | Stabilne, wspierane wersje oprogramowania (cz. I pkt 15–16); odseparowane kopie zapasowe i testy odtwarzania (pkt 10–11) | W KRI 2024 ujęte ogólnie, w załączniku 4 konkretnie |
| Klauzule bezpieczeństwa w umowach z dostawcami, zasady utylizacji nośników | Klauzule bezpieczeństwa w umowach serwisowych – cz. II pkt 7 (element fakultatywny); utylizacji nośników załącznik nie wymienia wprost | Utrzymaj jako dobrą praktykę i element zgodności z RODO |
| Zgłaszanie incydentów | Procedury na wypadek awarii i incydentu, testowane (cz. I pkt 12 i 18) | KSC nakłada też odrębne obowiązki raportowania incydentów |
| Coroczny audyt wewnętrzny (pkt 14) | Przegląd SZBI co najmniej raz w roku (część III), dokumentacja (część IV) | Podmiot kluczowy: zamiast tego audyt z art. 15 co najmniej raz na 3 lata |
Co zrobić teraz: harmonogram 2026–2027
| Okres | Co zrobić |
|---|---|
| Do końca 2026 r. | Przeprowadź audyt KRI za 2026 r. według § 19 KRI 2024. Ustal status jednostki w KSC (kluczowy, ważny, poza ustawą) – jeśli jest objęta KSC, obowiązki z tej ustawy mogą jej dotyczyć już teraz, równolegle z KRI. Zaplanuj budżet na 2027 r. |
| Do 22 lutego 2027 r. | Zrób analizę luk między obecnym SZBI a załącznikiem 4 (podmiot ważny) lub art. 8 (podmiot kluczowy). Uzupełnij braki, które łatwo przeoczyć: odseparowane kopie z testem odtwarzania, szkolenie kierownika, kontrolę poczty. Śledź prace nad projektem KRI. |
| Od 23 lutego 2027 r. | Stosuj nowe KRI (jeśli wejdą w życie) w zakresie interoperacyjności i rejestrów. Podmiot ważny: przegląd SZBI co najmniej raz w roku i dokumentacja. Podmiot kluczowy: audyt z art. 15 w ciągu 24 miesięcy od uzyskania statusu, potem co najmniej co 3 lata. Jednostka poza KSC: środki z art. 32 RODO i decyzja, czy utrzymać SZBI oraz coroczny przegląd jako dobrą praktykę. |
Jeśli zamawiasz audyty w umowie wieloletniej, uwzględnij tę zmianę w zakresie i warunkach zmiany umowy. Piszemy o tym w artykule ile kosztuje audyt KRI i jak przygotować zapytanie ofertowe. Przy braku własnych kompetencji w zakresie bezpieczeństwa stałe wsparcie zapewni vCISO.
FAQ: najczęściej zadawane pytania
Kiedy wchodzi nowe rozporządzenie KRI?
Projekt z 29 lipca 2026 r. przewiduje wejście w życie 23 lutego 2027 r., czyli w dniu wejścia w życie nowego brzmienia art. 18 ustawy o informatyzacji. Do 22 lutego 2027 r. obowiązuje KRI 2024. Projekt może się jeszcze zmienić.
Czy w 2026 roku trzeba jeszcze robić audyt KRI?
Tak. KRI 2024 z obowiązkiem audytu wewnętrznego nie rzadziej niż raz na rok obowiązuje do 22 lutego 2027 r.
Czy SZBI znika z KRI?
Według uzasadnienia projektu tak, bo SZBI reguluje znowelizowana ustawa o KSC. Dla podmiotów publicznych objętych KSC obowiązek SZBI wynika wtedy z tej ustawy.
Czy każda szkoła jest podmiotem ważnym w KSC?
Nie można tego zakładać. Status zależy od załączników do ustawy i przewidzianych w niej wyłączeń, dlatego każdą jednostkę trzeba sklasyfikować indywidualnie.
Czym różni się audyt podmiotu kluczowego od przeglądu SZBI podmiotu ważnego?
Podmiot kluczowy przeprowadza audyt bezpieczeństwa co najmniej raz na 3 lata (art. 15 KSC). Podmiot ważny będący podmiotem publicznym przegląda SZBI według załącznika 4 co najmniej raz w roku i dokumentuje działania.
Chcesz przeprowadzić ostatni audyt według KRI 2024 i od razu sprawdzić gotowość na wymagania KSC? Zobacz usługę audyt KRI i napisz do nas. Ustalimy status jednostki w KSC i przygotujemy wycenę audytu z analizą luk.