W wielu jednostkach samorządu ta sama firma najpierw wdraża System Zarządzania Bezpieczeństwem Informacji, a potem przeprowadza audyt KRI, który ma ocenić ten system. To klasyczny konflikt interesów: audytor ocenia własną pracę.

Co mówi projekt ustawy o KSC?

Projekt ustawy wdrażającej NIS2 rozwiązuje ten problem wprost. Art. 8 nakłada na podmiot kluczowy lub ważny obowiązek wdrożenia SZBI, a przepis dotyczący audytu bezpieczeństwa (art. 15 ust. 2a projektu) stanowi:

Audyt nie może być przeprowadzony przez osobę realizującą w podmiocie audytowanym zadania, o których mowa w art. 8 oraz art. 9–13, lub która realizowała te zadania w podmiocie audytowanym w przeciągu roku przed rozpoczęciem audytu.

A Rozporządzenie KRI?

Rozporządzenie KRI tej kwestii nie reguluje. Postępowania na „wdrożenie SZBI wraz z audytem KRI” – także te finansowane z programu Cyberbezpieczny Samorząd – pokazują, że wielu zamawiających nie widzi problemu. Brakuje wymogu rozdzielenia ról, a często też kryteriów jakościowych, choć CPPC wielokrotnie zalecało je w webinariach dla uczestników programu.

Dlaczego to ważne?

  • Rzetelność zaleceń – audyt ma wskazać działania naprawcze, a wykonawca oceniający własną pracę nie ma motywacji, by wskazywać jej braki.
  • Wydatkowanie środków publicznych – audyt, który nie spełnia swojego celu, to wydane pieniądze bez efektu.
  • Odpowiedzialność kierownika – za niedostosowanie do przepisów odpowiada kierownictwo jednostki, a nie wykonawca.

Jak to rozwiązać?

Środowisko audytorskie już dziś rekomenduje rozdzielenie wdrożenia SZBI i audytu na dwóch niezależnych wykonawców. Przy przygotowaniu opisu przedmiotu zamówienia warto skonsultować się nie tylko z kierownictwem, ale również z audytorem.

Co oferujemy

  • niezależny audyt KRI i audyt SZBI – także w jednostkach, w których SZBI wdrażał inny wykonawca,
  • konsultacje przy przygotowaniu OPZ na wdrożenie SZBI i audyt,
  • wdrożenie SZBI w jednostkach, w których audyt przeprowadzi niezależny audytor.