Audyt KRI —
roczny audyt bezpieczeństwa informacji

Audyt KRI to okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji, który musi zapewnić każdy podmiot realizujący zadania publiczne. Obowiązek wynika z § 19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773). Audyt obejmuje cały system zarządzania bezpieczeństwem informacji, a nie tylko infrastrukturę informatyczną — sprawdza również dokumentację, uprawnienia, szkolenia, umowy z dostawcami i obsługę incydentów.

Nie rzadziej niż raz na rok. Rozporządzenie określa minimalną częstotliwość, więc jednostka może audytować częściej — na przykład po dużej zmianie w systemach, po incydencie albo po reorganizacji. Liczy się zachowanie rocznego cyklu: jeżeli poprzedni audyt zakończył się w listopadzie, kolejny powinien się odbyć do listopada roku następnego.

Rozporządzenie nie wskazuje wykonawcy ani jego uprawnień. Mówi o audycie wewnętrznym, co oznacza audyt prowadzony na potrzeby jednostki, a nie audyt certyfikujący. Może go przeprowadzić własny pracownik albo podmiot zewnętrzny działający na zlecenie. Istotne jest, by osoba audytująca miała kompetencje w zakresie bezpieczeństwa informacji i nie oceniała obszaru, za który sama odpowiada — inaczej ustalenia nie mają wartości dowodowej przy kontroli.

Nie zwalnia. Paragraf 19 ust. 3 rozporządzenia wprowadza domniemanie: wymagania uznaje się za spełnione, jeżeli system zarządzania bezpieczeństwem informacji opracowano na podstawie Polskiej Normy PN-ISO/IEC 27001, a ustanawianie zabezpieczeń i zarządzanie ryzykiem prowadzi się zgodnie z PN-ISO/IEC 27002 i PN-ISO/IEC 27005. Roczny audyt wewnętrzny jest jednak jednym z tych wymagań, więc trzeba go przeprowadzać niezależnie od normy. Jednostka z działającym SZBI zgodnym z normą ma tę przewagę, że audyt z normy i audyt KRI można połączyć w jedno postępowanie.

Komplet, który odpowiada czternastu obszarom z § 19 ust. 2: aktualna polityka bezpieczeństwa i procedury, inwentaryzacja sprzętu i oprogramowania, raport z analizy ryzyka z planem postępowania, macierz uprawnień wraz z historią zmian, dokumentacja szkoleń, rejestr incydentów, rejestr umów z dostawcami oraz raport z poprzedniego audytu razem ze statusem działań poaudytowych. Osobno audytor sprawdzi dzienniki systemów wymagane przez § 20 rozporządzenia.

Paragraf 20 rozporządzenia wymaga obligatoryjnego odnotowywania dostępu do systemu z uprawnieniami administracyjnymi, dostępu do konfiguracji systemu wraz z konfiguracją zabezpieczeń oraz dostępu do danych podlegających prawnej ochronie w zakresie wymaganym przepisami. Zapisy dzienników przechowuje się przez okres wskazany w przepisach odrębnych, a gdy takich przepisów nie ma — przez dwa lata.

To dwa różne obowiązki o innej podstawie prawnej i innym zakresie. Audyt KRI dotyczy podmiotów realizujących zadania publiczne i wynika z rozporządzenia o Krajowych Ramach Interoperacyjności. Obowiązki wynikające z ustawy o krajowym systemie cyberbezpieczeństwa obejmują podmioty kluczowe i ważne, mają własne terminy i własny tryb. Jednostka samorządu może podlegać obu reżimom jednocześnie — wtedy warto zaplanować jedno postępowanie pokrywające oba zakresy, zamiast dwóch osobnych.