Audyt KRI dla urzędów i jednostek publicznych

Sprawdzamy, czy bezpieczeństwo informacji w Twojej jednostce spełnia wymagania § 19 rozporządzenia o Krajowych Ramach Interoperacyjności z 2024 r. Otrzymujesz raport z oceną każdego obszaru i zestawem zaleceń.

Strona główna » Audyty IT » Audyt KRI

Audyt KRI – coroczny obowiązek jednostek publicznych

Od 2024 r. obowiązuje rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773). Zastąpiło ono przepisy z 2012 r., ale obowiązek pozostał: podmiot realizujący zadania publiczne prowadzi system zarządzania bezpieczeństwem informacji i co najmniej raz w roku przeprowadza audyt wewnętrzny w tym zakresie (§ 19 ust. 2 pkt 14).

Audyty KRI wykonujemy od 2012 r. – zrealizowaliśmy ich ponad 350. Sprawdzamy polityki bezpieczeństwa i to, jak działają w praktyce, a raport pomaga przygotować się do kontroli w zakresie bezpieczeństwa informacji.

Czego wymaga § 19 rozporządzenia KRI?

wdrożenia i utrzymania systemu zarządzania bezpieczeństwem informacji,
realizacji 14 działań z § 19 ust. 2 – od analizy ryzyka po zgłaszanie incydentów,
audytu wewnętrznego bezpieczeństwa informacji nie rzadziej niż raz na rok.

Wymagania uznaje się za spełnione, jeśli system opracowano na podstawie normy PN-ISO/IEC 27001, a zabezpieczenia i zarządzanie ryzykiem – na podstawie PN-ISO/IEC 27002 i PN-ISO/IEC 27005.

Dla kogo jest audyt KRI?

Audyt kierujemy do podmiotów realizujących zadania publiczne, które muszą spełniać wymagania rozporządzenia KRI, m.in.:

Urzędy gmin i miast

Urzędy miejskie i gminne.

Starostwa i urzędy pracy

Starostwa powiatowe i powiatowe urzędy pracy.

Szkoły i placówki oświatowe

Szkoły i inne placówki oświatowe.

ZUS i KRUS

Zakład Ubezpieczeń Społecznych i Kasa Rolniczego Ubezpieczenia Społecznego.

Administracja rządowa

Organy administracji rządowej oraz organy kontroli państwowej i ochrony prawa.

Sądy i prokuratury

Sądy i jednostki prokuratury.

Co sprawdzamy podczas audytu KRI?

Weryfikujemy 14 działań, które § 19 ust. 2 rozporządzenia KRI nakłada na kierownictwo podmiotu – zarówno w politykach i procedurach, jak i w codziennej praktyce.

1. Aktualne regulacje wewnętrzne

Czy polityki i procedury nadążają za zmianami w otoczeniu jednostki.

2. Inwentaryzacja sprzętu i oprogramowania

Aktualny wykaz zasobów z ich rodzajem i konfiguracją.

3. Analiza ryzyka

Okresowa ocena ryzyka utraty poufności, integralności i dostępności informacji oraz działania ograniczające to ryzyko.

4. Uprawnienia osób przetwarzających informacje

Czy dostęp odpowiada zadaniom i obowiązkom pracowników.

5. Zmiana uprawnień

Bezzwłoczna aktualizacja dostępu przy zmianie zadań pracownika.

6. Szkolenia z bezpieczeństwa informacji

Zagrożenia, skutki naruszeń – w tym odpowiedzialność prawna – oraz stosowane zabezpieczenia.

7. Ochrona przed kradzieżą i nieuprawnionym dostępem

Monitorowanie dostępu, wykrywanie nieautoryzowanych działań i zabezpieczenia systemów, sieci i aplikacji.

8. Praca mobilna i zdalna

Zasady bezpiecznej pracy poza siedzibą jednostki.

9. Ochrona przed ujawnieniem i zniszczeniem

Zabezpieczenie informacji przed nieuprawnionym ujawnieniem, modyfikacją, usunięciem lub zniszczeniem.

10. Umowy z dostawcami

Zapisy gwarantujące bezpieczeństwo informacji w umowach serwisowych.

11. Postępowanie z informacjami i urządzeniami

Zasady ograniczające ryzyko kradzieży informacji i urządzeń, w tym mobilnych.

12. Bezpieczeństwo systemów teleinformatycznych

Aktualizacje, ochrona przed awariami i utratą danych, kryptografia oraz obsługa podatności.

13. Zgłaszanie incydentów

Szybkie zgłaszanie naruszeń w ustalony sposób, który pozwala od razu reagować.

14. Audyt wewnętrzny

Okresowy audyt bezpieczeństwa informacji, nie rzadziej niż raz na rok.

Co otrzymujesz po audycie KRI?

Każdy raport z audytu KRI zawiera:

graficzne przedstawienie poziomu spełnienia wymagań,
część opisową dla każdego badanego obszaru,
zestaw zaleceń dopasowanych do Twojej jednostki.

Po audycie zostajemy do dyspozycji. Jeśli trzeba, przyjedziemy i pomożemy rozwiązać wykryte problemy.

Co zyskuje Twoja jednostka

obiektywną ocenę polityk bezpieczeństwa i działania systemu zarządzania bezpieczeństwem informacji,
spełnienie obowiązku corocznego audytu z rozporządzenia KRI,
zalecenia dotyczące środków technicznych i organizacyjnych,
większą świadomość ryzyk i podatności,
lepszą ochronę danych osobowych zgodnie z RODO,
przygotowanie do kontroli w zakresie bezpieczeństwa informacji.

Najczęstsze pytania o audyt KRI

Czy audyt KRI jest obowiązkowy?

Tak. Zgodnie z § 19 ust. 2 pkt 14 rozporządzenia o Krajowych Ramach Interoperacyjności podmiot realizujący zadania publiczne musi zapewnić okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok.

Które rozporządzenie KRI obowiązuje obecnie?

Rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. 2024 poz. 773). Zastąpiło ono rozporządzenie z 12 kwietnia 2012 r. Wymagania dotyczące bezpieczeństwa informacji opisuje § 19.

Co sprawdzacie podczas audytu KRI?

Weryfikujemy 14 działań z § 19 ust. 2 – m.in. aktualność regulacji wewnętrznych, inwentaryzację sprzętu i oprogramowania, analizę ryzyka, uprawnienia, szkolenia, bezpieczeństwo systemów teleinformatycznych i zgłaszanie incydentów.

Czy audyt KRI to to samo co audyt KSC/NIS2?

Nie. Audyt KRI sprawdza wymagania rozporządzenia KRI, a audyt KSC – obowiązki z ustawy o krajowym systemie cyberbezpieczeństwa. Zakresy częściowo się pokrywają, dlatego oba audyty warto zaplanować razem. Szczegóły audytu NIS2 i KSC.