Audyt bezpieczeństwa informacji (KRI)
Podmioty realizujące zadania publiczne mają obowiązek zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji — nie rzadziej niż raz na rok. Przeprowadzamy go w sposób możliwie najmniej uciążliwy dla bieżącego funkcjonowania jednostki.
Nowe wymagania cyberbezpieczeństwa (NIS2 / uKSC)
System wymagań właśnie się zmienia: zgodnie z ustawą z 25 lipca 2025 r. o zmianie ustawy o informatyzacji (Dz.U. 2025 poz. 1158) wymagania dotyczące systemu zarządzania bezpieczeństwem informacji przechodzą z rozporządzenia KRI do znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa, wdrażającej unijną dyrektywę NIS2. W praktyce oznacza to dla jednostek publicznych obowiązek potwierdzenia skuteczności zabezpieczeń audytem bezpieczeństwa do końca 2026 r. Pomagamy przejść przez ten okres przejściowy — od audytu zgodności z KRI po przygotowanie do wymagań uKSC.
Co obejmuje audyt
- ocenę systemu zarządzania bezpieczeństwem informacji (SZBI) — polityki, procedury, odpowiedzialności (zgodność z § 19 rozporządzenia KRI; metodycznie w oparciu o PN-ISO/IEC 27001),
- inwentaryzację i ocenę zabezpieczeń systemów teleinformatycznych służących do przetwarzania informacji i danych,
- weryfikację zarządzania uprawnieniami, szkoleń z zakresu bezpieczeństwa informacji, umów powierzenia i umów serwisowych,
- rozliczalność (logi) i ciągłość działania (kopie zapasowe, plany awaryjne),
- dostępność cyfrową serwisów (wymogi ustawy o dostępności cyfrowej — WCAG 2.1),
- raport z audytu: ustalenia, rozbieżności, rekomendacje i propozycja programu naprawczego.
Dla kogo jest audyt?
Jednostki sektora finansów publicznych i podmioty realizujące zadania publiczne, m.in.:
- organy administracji rządowej i samorządowej, sądy, prokuratura, organy kontroli,
- jednostki budżetowe i samorządowe zakłady budżetowe, fundusze celowe,
- SP ZOZ-y i spółki wykonujące działalność leczniczą,
- ZUS, KRUS, NFZ, państwowe i samorządowe osoby prawne,
- podmioty, którym powierzono realizację zadania publicznego.
Jak pracujemy
- Wykaz dokumentów — jednostka otrzymuje listę dokumentów do przygotowania dla audytorów.
- Wizyta audytorów — praca w jednostce, możliwie najmniej uciążliwa (zwykle 1–2 dni).
- Raport — ustalenia, rozbieżności i propozycje działań naprawczych.
Ocena coroczna w kolejnych latach przebiega prościej — na podstawie materiałów przekazanych drogą elektroniczną, zakończona raportem.
Najczęstsze pytania o audyt KRI
Czy audyt bezpieczeństwa informacji (KRI) jest obowiązkowy?
Tak. Podmioty realizujące zadania publiczne mają obowiązek zapewnić okresowy audyt wewnętrzny w zakresie bezpieczeństwa informacji nie rzadziej niż raz na rok — wynika to z § 19 ust. 2 pkt 14 rozporządzenia KRI (Dz.U. 2024 poz. 773). Realizację obowiązku kontroluje m.in. NIK.
Do kiedy trzeba potwierdzić skuteczność zabezpieczeń audytem?
Zgodnie z ustawą z 25 lipca 2025 r. (Dz.U. 2025 poz. 1158) wymagania dotyczące systemu zarządzania bezpieczeństwem informacji przechodzą do znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa, wdrażającej dyrektywę NIS2. W praktyce jednostki publiczne powinny potwierdzić skuteczność zabezpieczeń audytem bezpieczeństwa do końca 2026 r.
Jak przebiega audyt KRI i ile trwa?
W trzech krokach: jednostka otrzymuje wykaz dokumentów do przygotowania, audytorzy pracują w jednostce zwykle 1–2 dni (możliwie najmniej uciążliwie dla bieżącej pracy), a całość kończy raport z ustaleniami, rozbieżnościami i propozycją działań naprawczych. Ocena coroczna w kolejnych latach jest prostsza — na podstawie materiałów przekazanych elektronicznie.
Kto przeprowadza audyt w FINANSUS?
Audytorka z tytułem CIA (Certified Internal Auditor), po państwowym egzaminie na audytora wewnętrznego (Ministerstwo Finansów), z uprawnieniami audytora ISO 27001 i blisko dwudziestoletnią praktyką w jednostkach publicznych.
Porozmawiajmy o Twojej organizacji
Audyt, księgi rachunkowe, doradztwo czy szkolenia — napisz, a wrócimy z konkretną propozycją.