Do pobrania i wydruku, bez zapisów
Lista kontrolna audytu KRI — wzór oparty na § 19
Czternaście punktów z § 19 ust. 2 rozporządzenia Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773), w brzmieniu dosłownym, z podpowiedzią, co przy każdym sprawdzić. Bez formularza i bez podawania adresu e-mail.
Zanim użyjesz innej listy z internetu — sprawdź, na jaki akt się powołuje. Rozporządzenie z 2012 r. (Dz.U. 2012 poz. 526, t.j. Dz.U. 2017 poz. 2247) utraciło moc 23 maja 2024 r. Listy odsyłające do „§ 20 ust. 2 pkt 14" opierają się na nieobowiązującym przepisie.
Czternaście punktów do sprawdzenia
Kolumna środkowa to dosłowne brzmienie przepisu — nie parafraza. Kolumna prawa to nasza podpowiedź, czym ten punkt jest w praktyce jednostki publicznej.
| Przepis | Brzmienie § 19 ust. 2 | Co sprawdzić w praktyce |
|---|---|---|
| pkt 1 | zapewnienia aktualizacji regulacji wewnętrznych w zakresie dotyczącym zmieniającego się otoczenia | Data ostatniej aktualizacji polityki bezpieczeństwa informacji. Zobacz wzór struktury tego dokumentu. Czy uwzględnia zmiany z ostatniego roku: nowe systemy, pracę zdalną, zmiany prawa. |
| pkt 2 | utrzymywania aktualności inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji obejmującej ich rodzaj i konfigurację | Czy istnieje wykaz sprzętu i oprogramowania z konfiguracją. Czy zgadza się ze stanem faktycznym. Kto go aktualizuje i kiedy robił to ostatnio. |
| pkt 3 | przeprowadzania okresowych analiz ryzyka utraty integralności, dostępności lub poufności informacji oraz podejmowania działań minimalizujących to ryzyko | Dokument analizy ryzyka z datą. Czy po analizie podjęto działania — sama analiza bez działań nie spełnia przepisu. |
| pkt 4 | podejmowania działań zapewniających, że osoby zaangażowane w proces przetwarzania informacji posiadają stosowne uprawnienia | Rejestr upoważnień. Czy zakres uprawnień odpowiada zadaniom. Czy nikt nie ma dostępu „na zapas”. |
| pkt 5 | bezzwłocznej zmiany uprawnień, w przypadku zmiany zadań osób, o których mowa w pkt 4 | Procedura przy zmianie stanowiska i przy odejściu z pracy. Sprawdź konta osób, które odeszły w ostatnim roku — to najczęstsze uchybienie. |
| pkt 6 | zapewnienia szkolenia osób zaangażowanych w proces przetwarzania informacji | Lista obecności i program szkolenia. Przepis wymienia trzy obowiązkowe zagadnienia: zagrożenia, skutki naruszeń wraz z odpowiedzialnością prawną oraz stosowanie środków bezpieczeństwa. |
| pkt 7 | zapewnienia ochrony przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami | Monitorowanie dostępu, wykrywanie nieautoryzowanych działań i środki blokujące dostęp na poziomie systemów operacyjnych, usług sieciowych i aplikacji — przepis wymienia te trzy warstwy wprost. |
| pkt 8 | ustanowienia podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość | Zasady pracy zdalnej i na urządzeniach mobilnych. Szyfrowanie dysków w laptopach wynoszonych poza jednostkę. |
| pkt 9 | zabezpieczenia informacji w sposób uniemożliwiający nieuprawnionemu jej ujawnienie, modyfikacje, usunięcie lub zniszczenie | Kontrola dostępu do plików i baz, ochrona przed usunięciem, kopie zapasowe i ich odtwarzalność. |
| pkt 10 | zawierania w umowach serwisowych podpisanych ze stronami trzecimi zapisów gwarantujących odpowiedni poziom bezpieczeństwa informacji | Umowy z dostawcą dziennika elektronicznego, hostingu, systemu dziedzinowego. Czy zawierają zapisy o bezpieczeństwie i powierzeniu danych. |
| pkt 11 | ustalenia zasad postępowania z informacjami, zapewniających minimalizację wystąpienia ryzyka kradzieży informacji i środków przetwarzania informacji, w tym urządzeń mobilnych | Zasady wynoszenia sprzętu, postępowania z nośnikami, niszczenia dokumentów i dysków. |
| pkt 12 | zapewnienia odpowiedniego poziomu bezpieczeństwa w systemach teleinformatycznych | Przepis wymienia osiem elementów: aktualizacje oprogramowania, minimalizowanie ryzyka utraty informacji przy awarii, ochrona przed błędami i nieuprawnioną modyfikacją, kryptografia adekwatna do zagrożeń, bezpieczeństwo plików systemowych, redukcja ryzyk z opublikowanych podatności, niezwłoczne działanie po wykryciu podatności, kontrola zgodności z normami. |
| pkt 13 | bezzwłocznego zgłaszania incydentów naruszenia bezpieczeństwa informacji w określony i z góry ustalony sposób | Czy procedura zgłaszania istnieje i czy pracownicy ją znają. Rejestr incydentów z ostatniego roku. |
| pkt 14 | zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok | Data poprzedniego audytu i raport. To ten punkt czyni audyt obowiązkowym. |
Katalog nie jest zamknięty. Ustęp 2 mówi „w szczególności", a ust. 4 nakazuje ustanowić dodatkowe zabezpieczenia, jeżeli uzasadnia to analiza ryzyka. Lista jest minimum, nie sufitem.
Skrót: kiedy uznaje się wymagania za spełnione
Zgodnie z § 19 ust. 3 wymagania z ustępów 1 i 2 uznaje się za spełnione, jeżeli system zarządzania bezpieczeństwem informacji opracowano na podstawie PN-ISO/IEC 27001, a ustanawianie zabezpieczeń, zarządzanie ryzykiem i audytowanie odbywa się według norm związanych: PN-ISO/IEC 27002 przy zabezpieczeniach i PN-ISO/IEC 27005 przy ryzyku.
Praktycznie: jednostka z wdrożonym SZBI według ISO 27001 ma domniemanie zgodności i audyt sprowadza się do potwierdzenia, że system realnie działa. Jednostka bez SZBI musi wykazać każdy z czternastu punktów osobno.
Ważność tej listy: do 22 lutego 2027 r. Rozporządzenie traci moc 23 lutego 2027 r. wskutek zawężenia delegacji z art. 18 ustawy o informatyzacji przez ustawę z 25 lipca 2025 r. (Dz.U. 2025 poz. 1158). Do tego dnia roczny audyt obowiązuje normalnie. Szczegóły i kalendarz dat.