KRI – czy audyty są obowiązkowe?

Tak. Podmiot realizujący zadania publiczne powinien zapewnić okresowy audyt wewnętrzny bezpieczeństwa informacji nie rzadziej niż raz na rok. Wymóg wynika z § 19 ust. 2 pkt 14 rozporządzenia w sprawie Krajowych Ram Interoperacyjności. Dotyczy także urzędów i jednostek samorządu terytorialnego realizujących zadania publiczne.

Co oznacza „raz na rok”?

To minimalna częstotliwość audytu, a nie termin przypadający zawsze w tym samym miesiącu. Jednostka powinna zaplanować cykl, udokumentować zakres i wynik badania oraz sprawdzić wykonanie zaleceń. Sama aktualizacja polityki bezpieczeństwa ani zakup narzędzia nie zastępują audytu. Jeśli po zmianie systemu lub poważnym incydencie ryzyko wzrosło, dodatkowy przegląd może być potrzebny wcześniej.

Co powinien sprawdzić audyt KRI?

§ 19 wymaga utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji. Dlatego audyt powinien odnieść procedury do dowodów ich stosowania. Przykładowy zakres obejmuje:

• aktualność regulacji wewnętrznych i inwentaryzacji sprzętu oraz oprogramowania;
• analizę ryzyka, zarządzanie uprawnieniami i szkolenia osób przetwarzających informacje;
• ochronę systemów, kopie zapasowe, obsługę incydentów i zasady współpracy z dostawcami;
• ustalenia z poprzedniego audytu i stan działań naprawczych.

Zakres technicznych czynności zależy od systemów i ryzyka jednostki. Audyt nie jest tym samym co test penetracyjny, choć uzgodniony test może dostarczyć mu dowodów.

Jaki wynik powinien dostać kierownik jednostki?

Raport powinien wskazywać zbadany zakres, zastosowane kryteria, ustalenia poparte dowodami i zalecenia. Na tej podstawie kierownictwo może określić właścicieli działań, terminy i sposób sprawdzenia, czy poprawki zadziałały. Sam raport nie usuwa wykrytych luk.

Coroczny audyt KRI należy odróżnić od audytu przewidzianego w ustawie o krajowym systemie cyberbezpieczeństwa dla określonych podmiotów kluczowych. Organizacja może podlegać obu regulacjom, lecz ich podstawy i terminy wymagają osobnej oceny. Wyjaśniamy to w opisie audytu KRI i na stronie o KSC 2026.