Roczny audyt KRI warto zaplanować jako sprawdzenie działania bezpieczeństwa informacji. Powtórzenie starej checklisty bez aktualnych dowodów nie pokazuje, co zmieniło się w jednostce.
Opracowanie: Synergia-Pro Audyt sp. z o.o. Weryfikacja źródeł: .
Co oznacza „nie rzadziej niż raz na rok”
W stanie prawnym sprawdzonym 16 października 2026 r. podstawą jest § 19 ust. 2 pkt 14 rozporządzenia KRI z 21 maja 2024 r. Chodzi o okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji, nie o coroczne wykonanie każdego możliwego testu IT.
Zaplanuj datę z wyprzedzeniem, uwzględniając poprzednie badanie i dostępność zespołu. Przy zmianie przepisów ponownie sprawdź podstawę oraz zakres. Uzasadnij wybór obszarów analizą ryzyka i istotnymi zmianami systemów.
Checklista: pytanie, dowód i właściciel
| Obszar | Co przygotować |
|---|---|
| Zasoby i ryzyko | Aktualny wykaz systemów, właścicieli i analiza ryzyka. |
| Uprawnienia | Zasady dostępu, próbka zmian i wyniki przeglądów. |
| Utrzymanie | Dowody aktualizacji i nadzoru nad usługami zewnętrznymi. |
| Incydenty | Sposób zgłaszania, rejestr i wykonane działania. |
| Odporność | Plan kopii oraz dowód testu odtwarzania. |
| Doskonalenie | Wcześniejsze zalecenia i sprawdzenie ich wykonania. |
Każda pozycja powinna mieć osobę, która potrafi wyjaśnić proces. Brak dokumentu nie musi mieć tego samego znaczenia co brak zabezpieczenia. W raporcie należy rozdzielić te sytuacje.
Ile kosztuje audyt KRI?
Na cenę wpływa liczba jednostek i lokalizacji, zakres systemów, forma pracy i wymagany poziom weryfikacji technicznej. Inny nakład wymaga przegląd dokumentów jednej jednostki, a inny badanie wielu placówek z odrębnymi dostawcami. Wycena powinna pokazywać różnicę.
Do zapytania przygotuj liczbę użytkowników, kluczowe systemy, lokalizacje, outsourcing IT i datę raportu. Zapytaj, czy cena obejmuje rozmowy, weryfikację dowodów, spotkanie podsumowujące i sprawdzenie uwag. Unikaj wyboru wyłącznie na podstawie liczby stron raportu.
Wzór raportu z audytu KRI – sensowny układ
- Identyfikacja jednostki, okresu, celu i kryteriów.
- Zakres, próba, zespół i ograniczenia oceny.
- Opis ustaleń powiązanych z dowodami.
- Rekomendacje i priorytety.
- Plan reakcji kierownictwa oraz sposób monitorowania.
To układ pomocniczy, nie urzędowy formularz. Warto dodać tabelę: ustalenie, znaczenie, właściciel, termin, dowód wykonania. Pozwala ona wykorzystać raport do zarządzania, zamiast pozostawić go w archiwum.
KRI, interoperacyjność i ISO 27001
Pełny audyt zgodności z rozporządzeniem KRI może wymagać zakresu szerszego niż bezpieczeństwo informacji. Sprawdź, czy zamówienie obejmuje również wymagania dotyczące interoperacyjności i wymiany danych. ISO/IEC 27001 pomaga uporządkować SZBI, lecz ocena musi odnosić się do rzeczywiście objętych nim procesów.
Zobacz zakres audytu KRI dla JST i urzędu i ustal granice badania przed porównaniem ofert.
Źródła i zakres opracowania
Przepisy i wytyczne odróżniamy od naszych propozycji organizacji badania. Przykłady i checklisty są materiałem pomocniczym; kryteria zlecenia ustala się dla konkretnego podmiotu, programu i wersji dokumentów.
Ustal zakres i zapytaj o ofertę
Wskaż rodzaj organizacji lub programu, zakres i oczekiwany termin. Do pierwszego kontaktu nie przesyłaj haseł, pełnych akt osobowych, list płac ani kopii baz danych.
Audyty i kontrole realizujemy w całej Polsce: zdalnie, stacjonarnie u klienta lub hybrydowo. Audyt Kraków · Audyt Warszawa · Obszar działania.
Zapytaj o audyt
Opisz krótko swoje potrzeby. Pola oznaczone gwiazdką są wymagane.