Audyt KRI - Audyt Krajowych Ram Interoperacyjności
Audyt KRI pozwala sprawdzić, czy jednostka realizująca zadania publiczne prawidłowo zarządza bezpieczeństwem informacji, systemami teleinformatycznymi i dokumentacją organizacyjną. Obejmuje między innymi analizę ryzyka, zarządzanie dostępami, kopie zapasowe, reagowanie na incydenty, aktualizację oprogramowania, logowanie zdarzeń oraz zgodność stosowanych procedur z rzeczywistym sposobem działania jednostki.
Podmioty realizujące zadania publiczne muszą przeprowadzać taki audyt nie rzadziej niż raz w roku
EDUODO przeprowadza niezależne audyty KRI dla urzędów, jednostek samorządu terytorialnego, szkół, placówek oświatowych, instytucji kultury oraz innych podmiotów wykorzystujących systemy teleinformatyczne do realizacji zadań publicznych. W ostatnich trzech latach przeprowadziliśmy ponad 100 audytów KRI.
Co to jest zewnętrzny audyt KRI?
Audyt KRI jest uporządkowaną oceną sposobu zarządzania bezpieczeństwem informacji w podmiocie realizującym zadania publiczne. Nie ogranicza się do sprawdzenia, czy jednostka posiada polityki, procedury i instrukcje.
Audytor porównuje dokumentację ze stanem faktycznym. Sprawdza na przykład, czy procedury są rzeczywiście stosowane, czy uprawnienia pracowników odpowiadają ich zadaniom i czy dane z kopii zapasowych da się odtworzyć. Pełny zakres opisujemy w tabeli poniżej.
Rozporządzenie KRI wymaga od podmiotów publicznych ustanowienia, wdrożenia, eksploatowania, monitorowania i doskonalenia systemu zarządzania bezpieczeństwem informacji zapewniającego między innymi poufność, dostępność, integralność, rozliczalność i niezawodność informacji.
Jak mawiał Louis Nizer: "Znaleźć w czymś błąd jest łatwo; zrobić coś lepiej może być trudno". Tymi słowami kieruję się podczas przeprowadzania audytu. Stawiam na praktyczne rozwiązania! Staram się pomóc zrozumieć, cierpliwie tłumacząc i odpowiadając na zadane pytania. Bo nie sztuką jest wytykać błędy, sztuką jest być skutecznym w swojej pracy audytora. Łukasz Lepiocha
Kogo dotyczy audyt KRI?
Wymagania Krajowych Ram Interoperacyjności dotyczą podmiotów realizujących zadania publiczne, które korzystają z systemów teleinformatycznych, rejestrów publicznych lub elektronicznej wymiany informacji.
Audyt KRI wykonuje się między innymi w:
- urzędach gmin, miast, powiatów i urzędach marszałkowskich,
- jednostkach organizacyjnych samorządu,
- szkołach i placówkach oświatowych,
- bibliotekach, domach kultury i instytucjach publicznych,
- jednostkach pomocy społecznej,
- podmiotach leczniczych realizujących zadania publiczne,
- jednostkach budżetowych i zakładach budżetowych,
- innych organizacjach korzystających z systemów do realizacji zadań publicznych.
Zakres audytu powinien zostać dostosowany do wielkości jednostki, liczby lokalizacji, rodzaju przetwarzanych informacji, wykorzystywanych systemów oraz poziomu ryzyka.
Czy audyt KRI jest obowiązkowy?
Tak. Kierownictwo podmiotu publicznego powinno zapewnić przeprowadzenie okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji nie rzadziej niż raz w roku.
Audyt warto wykonać również wtedy, gdy:
- wdrożono nowy system lub usługę elektroniczną,
- zmienił się dostawca obsługi informatycznej,
- jednostka przeniosła dane do chmury,
- wystąpił incydent bezpieczeństwa,
- zmieniono strukturę organizacyjną,
- dokumentacja SZBI nie była od dawna aktualizowana,
- poprzedni audyt wykazał istotne niezgodności,
- jednostka przygotowuje się do kontroli.
Podstawa prawna
Obowiązek audytu wynika z rozporządzenia Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. 2024 poz. 773). Zastąpiło ono rozporządzenie z 2012 r.
Zgodnie z § 19 ust. 2 pkt 14 kierownictwo podmiotu publicznego zapewnia okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji, nie rzadziej niż raz w roku.
Kiedy warto wykonać audyt poza corocznym terminem?
Audyt warto wykonać również wtedy, gdy:
- wdrożono nowy system lub usługę elektroniczną,
- zmienił się dostawca obsługi informatycznej,
- jednostka przeniosła dane do chmury,
- wystąpił incydent bezpieczeństwa,
- zmieniono strukturę organizacyjną,
- dokumentacja SZBI nie była od dawna aktualizowana,
- poprzedni audyt wykazał istotne niezgodności,
- jednostka przygotowuje się do kontroli.
Znajdź nas
Audyt KRI wewnętrzny czy zewnętrzny?
Określenie „audyt wewnętrzny” odnosi się do audytu wykonywanego na potrzeby organizacji. Nie oznacza automatycznie, że wszystkie czynności muszą zostać przeprowadzone przez pracownika jednostki.
Jednostka może skorzystać ze wsparcia zewnętrznego audytora, szczególnie gdy:
- nie posiada pracownika z odpowiednimi kompetencjami,
- potrzebuje niezależnej oceny,
- chce uniknąć sytuacji, w której osoba ocenia własną pracę,
- środowisko informatyczne jest rozbudowane,
- poprzednie kontrole wykazały niezgodności,
- potrzebna jest pomoc w określeniu priorytetów naprawczych.
Zewnętrzny audyt pozwala spojrzeć na organizację bez przyzwyczajeń wynikających z codziennej pracy i porównać jej praktyki z wymaganiami rozporządzenia oraz standardami bezpieczeństwa informacji.
Co obejmuje audyt KRI?
| Obszar audytu | Co sprawdzamy? | Przykładowe niezgodności |
|---|---|---|
| System zarządzania bezpieczeństwem informacji | Polityki, procedury, role i odpowiedzialności | Nieaktualna dokumentacja lub brak jej formalnego zatwierdzenia |
| Inwentaryzacja zasobów | Sprzęt, oprogramowanie, systemy oraz właścicieli poszczególnych zasobów | Niepełny spis urządzeń, aplikacji lub wykorzystywanych systemów |
| Analiza ryzyka | Metodykę, aktualność analizy oraz działania ograniczające zidentyfikowane ryzyko | Brak aktualnej analizy ryzyka lub planu postępowania z ryzykiem |
| Zarządzanie dostępami | Nadawanie, zmianę, odbieranie i okresowe przeglądy uprawnień | Aktywne konta byłych pracowników lub nadmierne uprawnienia użytkowników |
| Kopie zapasowe | Zakres, częstotliwość, sposób przechowywania oraz możliwość odtworzenia danych | Brak regularnych testów przywracania danych z kopii zapasowych |
| Bezpieczeństwo systemów | Aktualizacje, podatności, konfiguracje oraz stosowane zabezpieczenia techniczne | Nieaktualne systemy lub brak uporządkowanego zarządzania poprawkami |
| Bezpieczeństwo fizyczne | Ochronę pomieszczeń, serwerowni i sprzętu oraz kontrolę dostępu fizycznego | Niezabezpieczona serwerownia lub brak kontroli dostępu do pomieszczeń z urządzeniami |
| Incydenty bezpieczeństwa | Zgłaszanie, rejestrowanie, analizowanie i obsługę zdarzeń | Brak rejestru incydentów lub niejasna ścieżka ich zgłaszania |
| Logowanie zdarzeń | Zakres rejestrowanych logów, dostęp do nich, okres retencji oraz sposób analizy | Brak monitorowania działań administratorów lub niewystarczający zakres logowania |
| Praca zdalna i urządzenia mobilne | Zasady dostępu, ochronę urządzeń oraz bezpieczeństwo informacji poza siedzibą jednostki | Brak formalnych zasad pracy zdalnej lub korzystania z urządzeń mobilnych |
| Dostawcy zewnętrzni | Umowy serwisowe, zakres odpowiedzialności oraz wymagania dotyczące bezpieczeństwa | Brak zapisów regulujących ochronę informacji i zasady dostępu do systemów |
| Szkolenia pracowników | Zakres, częstotliwość i sposób dokumentowania działań edukacyjnych | Brak regularnych lub udokumentowanych szkoleń z bezpieczeństwa informacji |
| Ciągłość działania | Procedury awaryjne, przypisane odpowiedzialności oraz sposób reagowania na niedostępność systemów | Brak przygotowania na awarię, utratę dostępu do danych lub przerwę w działaniu systemów |
Więcej o tym, co najczęściej wychodzi podczas kontroli, piszemy w artykule o najczęstszych błędach ujawnianych podczas audytów KRI.
Dlaczego warto powierzyć nam audyt Krajowych Ram Interoperacyjności?
|
Ocena oparta na dowodach Wnioski formułujemy na podstawie dokumentacji, wywiadów, obserwacji i zweryfikowanych informacji, a nie wyłącznie deklaracji jednostki. |
Konkretne rekomendacje Raport nie ogranicza się do wskazania problemów. Każda istotna niezgodność otrzymuje rekomendację oraz sugerowany priorytet wdrożenia. |
Połączenie wiedzy prawnej i technicznej Oceniamy zarówno dokumentację i procedury, jak również praktyczne funkcjonowanie systemów, dostępów, kopii zapasowych i zabezpieczeń. |
|
Wsparcie po audycie Pomagamy zinterpretować ustalenia, zaplanować działania naprawcze i ustalić ich kolejność. |
Zakres dopasowany do jednostki Inaczej planujemy audyt małej szkoły, inaczej urzędu obsługującego wiele lokalizacji, systemów i usług elektronicznych. |
Efektywność Skupiamy się na rozwiązaniach, które zmniejszają ryzyko i podnoszą zgodność bez zbędnej biurokracji – tam, gdzie to możliwe, proponujemy szybkie wygrane. |
Jak przebiega audyt KRI?
Audyt KRI jest realizowany według uporządkowanego procesu, który pozwala ocenić zarówno dokumentację, jak i rzeczywisty sposób zarządzania bezpieczeństwem informacji w jednostce.
Ustalenie zakresu audytu
Na początku określamy:
- jednostki i lokalizacje objęte audytem,
- systemy teleinformatyczne i rejestry podlegające weryfikacji,
- procesy związane z bezpieczeństwem informacji,
- osoby uczestniczące w audycie,
- dokumenty niezbędne do przeprowadzenia oceny,
- harmonogram oraz sposób realizacji prac.
Analiza dokumentacji
Weryfikujemy między innymi politykę bezpieczeństwa informacji, dokumentację SZBI, analizę ryzyka, inwentaryzację zasobów, zasady zarządzania uprawnieniami, procedury tworzenia kopii zapasowych, dokumentację incydentów oraz umowy zawarte z dostawcami usług IT.
Wywiady i ocena stanu faktycznego
Rozmawiamy z osobami odpowiedzialnymi za zarządzanie jednostką, informatykę, bezpieczeństwo informacji, ochronę danych oraz obsługę poszczególnych systemów.
Sprawdzamy również, czy działania opisane w procedurach są faktycznie wykonywane i czy stosowane zabezpieczenia odpowiadają aktualnym potrzebom jednostki.
Ocena niezgodności i ryzyka
Każde ustalenie oceniamy pod względem jego znaczenia, możliwych konsekwencji oraz wpływu na bezpieczeństwo informacji. Oddzielamy niezgodności wymagające szybkiej reakcji od działań, które mogą zostać zaplanowane i wdrożone etapami.
Raport z audytu KRI
Po zakończeniu weryfikacji przygotowujemy raport zawierający:
- opis zakresu i metodyki audytu,
- podsumowanie stanu bezpieczeństwa informacji,
- wykaz zebranych dowodów audytowych,
- stwierdzone niezgodności i obszary ryzyka,
- odniesienia do właściwych wymagań KRI,
- ocenę znaczenia poszczególnych ustaleń,
- zalecenia naprawcze,
- sugerowane priorytety i terminy realizacji działań.
Raport przekazujemy najpóźniej w ciągu 21 dni od zakończenia czynności audytowych.
Omówienie wyników audytu
Po przekazaniu raportu omawiamy najważniejsze ustalenia oraz wyjaśniamy znaczenie wykrytych niezgodności. Wskazujemy również, które działania należy wdrożyć w pierwszej kolejności i jak zaplanować dalsze prace nad poprawą bezpieczeństwa informacji.
Na tym współpraca się nie kończy: w cenie audytu jest wsparcie w zakresie jego ustaleń. Praktyczne wskazówki opisujemy też w artykule jak wdrożyć zalecenia audytu KRI.
Jakie dokumenty przygotować do audytu KRI?
Przed rozpoczęciem audytu warto zgromadzić:
- politykę bezpieczeństwa informacji,
- dokumentację SZBI,
- aktualną analizę ryzyka,
- inwentaryzację sprzętu i oprogramowania,
- wykaz systemów oraz usług,
- zasady zarządzania kontami i uprawnieniami,
- dokumentację kopii zapasowych,
- wyniki testów odtwarzania,
- procedurę obsługi incydentów,
- rejestr incydentów,
- zasady aktualizacji oprogramowania,
- zasady pracy zdalnej,
- umowy z dostawcami usług IT,
- potwierdzenia szkoleń pracowników,
- raport z poprzedniego audytu.
Brak części dokumentów nie uniemożliwia wykonania audytu. Jest jednak istotnym ustaleniem, które powinno zostać opisane w raporcie wraz z rekomendacją jego usunięcia.
Ile kosztuje audyt KRI i ile trwa?
Od czego zależy cena audytu KRI?
Cenę audytu KRI ustalamy indywidualnie, po poznaniu jednostki i oczekiwanego zakresu prac. Na wycenę wpływają przede wszystkim:
- liczba lokalizacji i jednostek podległych objętych audytem,
- liczba systemów teleinformatycznych i rejestrów,
- zakres weryfikacji: dokumentacja i wywiady lub również ocena zabezpieczeń technicznych,
- forma realizacji: na miejscu lub częściowo zdalnie.
W cenie każdego audytu jest wsparcie w zakresie jego ustaleń. Bezpłatną wycenę przygotowujemy niezwłocznie po otrzymaniu zapytania.
Ile trwa audyt KRI?
Wizyta audytora w siedzibie jednostki trwa zwykle kilka godzin. Następnie w biurze analizujemy zebraną dokumentację i dowody audytowe. Cały audyt zamyka się zazwyczaj w kilku dniach. Raport przekazujemy najpóźniej w ciągu 21 dni od zakończenia czynności audytowych.
Kto przeprowadza audyt KRI w EDUODO?
Audyty KRI prowadzi dwóch audytorów EDUODO, którzy zajmują się bezpieczeństwem informacji i audytami KRI od 2017 roku. Posiadają certyfikaty audytorskie wydane przez TÜV.
W ostatnich trzech latach przeprowadziliśmy ponad 100 audytów KRI, m.in. w:
- starostwach powiatowych,
- urzędach miast,
- ośrodkach pomocy społecznej,
- jednostkach oświatowych,
- jednostkach podległych urzędom wojewódzkim.
Dzięki temu znamy specyfikę zarówno małej szkoły, jak i urzędu z wieloma jednostkami podległymi. Przykład z praktyki opisujemy w studium przypadku audytu KRI w urzędzie gminy.
Co zyskują Państwo po wdrożeniu zaleceń z audytu KRI?
|
Mniej przestojów i szybsza reakcja Usprawnione kopie zapasowe, jasne procedury i gotowość do działania w razie awarii lub incydentu. |
Porządek w dostępach i odpowiedzialnościach Uprawnienia, role i obieg decyzji są uporządkowane, dzięki czemu łatwiej utrzymać kontrolę nad systemami. |
Spójna dokumentacja KRI i RODO Jedne zasady bezpieczeństwa zamiast dublowania dokumentów i rozbieżności między praktyką a formalnościami. |
|
Realne ograniczenie ryzyk Priorytety działań są ustawione pod ryzyko, a nie pod wygodę, co przekłada się na lepszą odporność organizacji. |
Łatwiejsze utrzymanie zgodności w czasie Mechanizmy przeglądów, aktualizacji i szkoleń wspierają ciągłą zgodność, a nie jednorazowe poprawki. |
Lepsza jakość e-usług Stabilniejsze systemy i większa przewidywalność obsługi spraw dla interesantów. |
Referencje
Planetarium Śląskie – Śląski Park Nauki w Chorzowie, jednostka oświatowa Samorządu Województwa Śląskiego. Przeprowadziliśmy tam kilka audytów w pełnym zakresie wymagań rozporządzenia KRI.
„Kompleksowe podejście do Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) i wnikliwe raporty (…) dostarczyły nam bardzo konkretnych i praktycznych wskazówek.”
Dyrektor Planetarium i Obserwatorium Astronomicznego im. Mikołaja Kopernika w Chorzowie, październik 2026
Szkoła Podstawowa nr 3 im. Mikołaja Kopernika w Wągrowcu. Przeprowadziliśmy tam audyt bezpieczeństwa informacji i zgodności z wymaganiami KRI, a także pełnimy funkcję Inspektora Ochrony Danych.
„Opracowane rekomendacje nie ograniczały się do wskazania obszarów wymagających poprawy, lecz stanowiły wartościowe, praktyczne wsparcie (…).”
p.o. Dyrektora Szkoły Podstawowej nr 3 im. Mikołaja Kopernika w Wągrowcu, 2026
Dom Pomocy Społecznej w Liskowie, jednostka pomocy społecznej w powiecie kaliskim. Od kilku lat wspieramy ją w zakresie ochrony danych osobowych i bezpieczeństwa informacji, przeprowadziliśmy tam również audyt zgodności z wymaganiami KRI.
„Działania te zostały przeprowadzone z należytą starannością, w sposób uporządkowany i profesjonalny, z uwzględnieniem specyfiki funkcjonowania naszej jednostki.”
p.o. Dyrektora Domu Pomocy Społecznej w Liskowie, październik 2026
FAQ – audyt KRI
Na czym polega audyt KRI?
Audyt polega na porównaniu sposobu zarządzania bezpieczeństwem informacji i systemami teleinformatycznymi z wymaganiami KRI. Obejmuje analizę dokumentacji, rozmowy z pracownikami, ocenę stosowanych zabezpieczeń oraz przygotowanie raportu z niezgodnościami i rekomendacjami.
Jak często należy wykonywać audyt KRI?
Audyt wewnętrzny w zakresie bezpieczeństwa informacji powinien być wykonywany nie rzadziej niż raz w roku.
Kto może przeprowadzić audyt KRI?
Audyt powinien przeprowadzić audytor posiadający wiedzę z zakresu bezpieczeństwa informacji, systemów teleinformatycznych, zarządzania ryzykiem i wymagań KRI. Istotna jest również niezależność osoby oceniającej od obszarów, które sama tworzyła lub za które odpowiada.
Czy audyt KRI można przeprowadzić zdalnie?
Część prac może zostać wykonana zdalnie, zwłaszcza analiza dokumentacji i wywiady. Zakres zdalnej realizacji zależy jednak od rodzaju systemów, liczby lokalizacji i konieczności weryfikacji zabezpieczeń na miejscu.
Czy brak dokumentacji uniemożliwia wykonanie audytu?
Nie. Brak dokumentacji jest jednym z możliwych ustaleń audytowych. Audytor powinien wskazać, które dokumenty są wymagane, jakie ryzyko powoduje ich brak oraz w jakiej kolejności należy je przygotować.
Czy audyt KRI zastępuje audyt RODO?
Nie. Oba audyty częściowo obejmują podobne procesy, ale mają odmienny zakres i podstawę prawną. Audyt KRI koncentruje się szerzej na bezpieczeństwie informacji i systemów wykorzystywanych do realizacji zadań publicznych.
Co otrzymuje jednostka po audycie?
Jednostka otrzymuje raport zawierający zakres audytu, stwierdzone niezgodności, ocenę ryzyka, odniesienia do wymagań KRI oraz rekomendacje i priorytety działań naprawczych.