Rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (KRI) zobowiązuje podmioty realizujące zadania publiczne do zapewnienia bezpieczeństwa informacji przez wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) oraz do przeprowadzania audytu wewnętrznego w zakresie bezpieczeństwa informacji – nie rzadziej niż raz w roku (§ 19 ust. 2 pkt 14).
Audyt nie jest formalnością. Jego zadaniem jest sprawdzenie, czy wdrożone procedury rzeczywiście działają, oraz wskazanie konkretnych usprawnień, które podniosą poziom cyberbezpieczeństwa jednostki.
Kogo dotyczy Rozporządzenie KRI?
Rozporządzenie obejmuje podmioty publiczne, które przetwarzają rejestry publiczne w postaci elektronicznej. W praktyce są to m.in.:
- urzędy miast i gmin, starostwa powiatowe, powiatowe urzędy pracy,
- jednostki organizacyjne samorządu: szkoły, przedszkola, MOPS/GOPS, PCPR, biblioteki, ośrodki kultury, spółki komunalne,
- przedsiębiorstwa wodociągowe,
- inne podmioty realizujące zadania publiczne.
Z obowiązku audytu nie są zwolnione nawet małe jednostki – odpowiedzialność za dostosowanie do wymagań spoczywa na kierownictwie podmiotu.
Jakie obowiązki nakłada KRI?
Podmiot publiczny musi opracować, ustanowić, wdrożyć, eksploatować, monitorować, przeglądać, utrzymywać i doskonalić system zarządzania bezpieczeństwem informacji, który zapewnia poufność, dostępność i integralność informacji. Szczegółowy katalog obowiązków zawiera § 19 rozporządzenia.
Zakres audytu KRI
Podstawowy zakres audytu obejmuje:
- wdrożony System Zarządzania Bezpieczeństwem Informacji,
- politykę bezpieczeństwa i organizację bezpieczeństwa informacji,
- zarządzanie aktywami,
- bezpieczeństwo fizyczne, kontrolę dostępu i zarządzanie incydentami,
- zarządzanie systemami i sieciami oraz utrzymanie systemów informatycznych,
- ciągłość działania,
- analizę ryzyka,
- zgodność z KRI – w tym realizację zaleceń z poprzedniego audytu.
Audyt można rozszerzyć o szczegółową ocenę dokumentacji SZBI oraz planów ciągłości działania. Wynikiem jest raport z listą niezgodności i zaleceniami poaudytowymi, które pozwalają kierownictwu uporządkować obszary wymagające poprawy.
Kto powinien przeprowadzić audyt?
Audyt powinien wykonać audytor z odpowiednimi kwalifikacjami – rozporządzenie Ministra Cyfryzacji z 12 października 2018 r. określa wykaz certyfikatów uprawniających do przeprowadzania audytu. Równie ważna jest niezależność: osoba, która wdrażała SZBI w danej jednostce, nie powinna go potem oceniać. Więcej o tym piszę w artykule Wdrożenie SZBI i audyt KRI przez tego samego wykonawcę.
Audyt KRI razem z audytem RODO
Pełny obraz bezpieczeństwa daje połączenie audytu KRI z audytem bezpieczeństwa danych osobowych, którego wymagają art. 24 ust. 1 i art. 32 ust. 1 RODO. Oba audyty wzajemnie się uzupełniają, a przeprowadzone razem są tańsze niż zlecane osobno. Zobacz: Audyt RODO w jednostce publicznej.
Jak wykorzystać zalecenia poaudytowe?
Zalecenia to lista konkretnych działań i obowiązków wynikających z przepisów. Warto je wdrożyć w ciągu roku – wtedy kolejny audyt pokaże realną poprawę, a nie powtórzenie tych samych niezgodności.
Audyt KRI a ustawa o KSC
Jednostki samorządu są dziś także podmiotami kluczowymi lub ważnymi w rozumieniu nowej ustawy o krajowym systemie cyberbezpieczeństwa. Wymagania KRI i KSC w dużej części się pokrywają (SZBI, analiza ryzyka, ciągłość działania, szkolenia), dlatego warto planować audyt tak, aby od razu weryfikował oba obszary. Szczegóły: Ustawa o KSC i NIS2 – obowiązki.
Co oferujemy
- audyt KRI zgodny z § 19 Rozporządzenia KRI – dla urzędów i jednostek podległych,
- audyt w zakresie podstawowym (SZBI i plany ciągłości działania) lub rozszerzonym – ze szczegółową oceną dokumentacji SZBI i SZCD,
- audyt RODO łącznie z audytem KRI,
- raport z zaleceniami poaudytowymi i konsultacje przy ich wdrażaniu,
- audyt końcowy w projektach grantowych (Cyberbezpieczny Samorząd, Cyberbezpieczny Wodociąg).
Audyty prowadzą audytorzy wiodący ISO 27001 i ISO 22301. Zapraszamy do kontaktu.