Dla jednostek publicznych

Audyt KRI — obowiązkowy audyt bezpieczeństwa informacji

Audyt KRI to okresowy audyt wewnętrzny bezpieczeństwa informacji, który każdy podmiot realizujący zadania publiczne musi zapewnić nie rzadziej niż raz na rok. Obowiązek wynika z § 19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773).

Czy audyt KRI jest obowiązkowy?

Tak. Przepis nie pozostawia uznaniu, czy audyt przeprowadzić — nakłada obowiązek jego zapewnienia co najmniej raz w roku. Nie ma progu wielkości jednostki ani wyłączenia dla małych urzędów i szkół.

Rozporządzenie nie wiąże terminu z końcem roku kalendarzowego. Liczy się odstęp między kolejnymi audytami — jeżeli poprzedni odbył się w listopadzie, kolejny powinien nastąpić najpóźniej w listopadzie następnego roku.

Kto może przeprowadzić audyt KRI?

Rozporządzenie nie stawia żadnych wymagań wobec osoby przeprowadzającej audyt KRI. Nie wymaga certyfikatów, nie wymaga audytora zewnętrznego i nie wymaga niezależności organizacyjnej. Przepis mówi o audycie wewnętrznym.

Sprawdziliśmy to na pełnym tekście aktu: słowo „audyt" występuje w całym rozporządzeniu dwa razy (§ 19 ust. 2 pkt 14 i ust. 3), a słowa „audytor" i „certyfikat" — ani razu.

Co z tego wynika praktycznie: audyt może przeprowadzić własny pracownik, audytor wewnętrzny jednostki albo firma zewnętrzna. Wybór podmiotu zewnętrznego bywa uzasadniony brakiem kompetencji technicznych w zespole i potrzebą spojrzenia z zewnątrz, ale nie jest wymogiem prawnym.

Jaka jest podstawa prawna audytu KRI?

Obowiązek wynika z rozporządzenia wykonawczego wydanego na podstawie art. 18 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne. Poniżej stan na 29 sierpnia 2026 r.

Kogo obejmuje obowiązek

Rozporządzenie mówi o „podmiocie realizującym zadania publiczne", a definicję zawiera art. 2 ustawy o informatyzacji. W praktyce obowiązek dotyczy między innymi:

• urzędów gmin i miast oraz starostw powiatowych,
• szkół i placówek oświatowych prowadzonych przez samorząd,
• samorządowych jednostek i zakładów budżetowych, w tym ośrodków pomocy społecznej,
• samorządowych instytucji kultury,
• instytutów badawczych, uczelni niepublicznych i federacji podmiotów systemu szkolnictwa wyższego.

Nie ma progu wielkości. Obowiązek dotyczy tak samo urzędu zatrudniającego trzysta osób, jak i szkoły z kilkunastoma etatami.

Audyt KRI a NIS2 — czy jedno zastępuje drugie?

Nie. Oba reżimy obowiązują równolegle. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która wdraża dyrektywę NIS2, nie zmienia niczego w KRI — nie nowelizuje ustawy o informatyzacji i ani razu nie używa słowa „interoperacyjność".

Co więcej, ustawa wdrażająca NIS2 wprost zakłada dalsze istnienie audytu KRI: art. 24 ust. 2 pkt 2 odsyła do „audytu wewnętrznego w zakresie bezpieczeństwa informacji, o którym mowa w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji".

Praktyczny wniosek dla samorządu: urząd gminy zatrudniający co najmniej 50 osób (stan na 1 stycznia) jest podmiotem kluczowym pod KSC — i jednocześnie podlega rocznemu audytowi KRI. Mniejsza gmina nie trafia do wykazu, ale obowiązek KRI ma tak samo. Sprawdź w trzech pytaniach, czy podlegasz NIS2.

Co obejmuje audyt KRI

Rozporządzenie nie zawiera zamkniętej listy kontrolnej audytu. Pobierz naszą listę z dosłownym brzmieniem wszystkich czternastu punktów § 19 ust. 2 — bez formularza. Wskazuje natomiast, że wymagania uznaje się za spełnione, jeżeli system zarządzania bezpieczeństwem informacji opracowano na podstawie PN-ISO/IEC 27001, a zabezpieczenia, zarządzanie ryzykiem i audytowanie prowadzi się według norm związanych, w tym PN-ISO/IEC 27002 i PN-ISO/IEC 27005 (§ 19 ust. 3). To wyznacza faktyczny zakres.

Audyt KRI w szkole

Szkoła prowadzona przez jednostkę samorządu terytorialnego jest samorządową jednostką budżetową, czyli jednostką sektora finansów publicznych — obowiązek rocznego audytu KRI dotyczy jej tak samo jak urzędu gminy. Nie ma tu progu wielkości ani odrębnego, łagodniejszego reżimu.

Specyfika szkoły, którą audyt musi objąć: dzienniki elektroniczne i dane uczniów, w tym dane szczególnych kategorii; konta nauczycieli i uczniów w usługach chmurowych; sprzęt wynoszony poza placówkę; pracownie komputerowe z kontami współdzielonymi; oraz przetwarzanie danych przez podmioty zewnętrzne obsługujące dziennik i stronę szkoły.

Zobacz rozszerzone omówienie audytu KRI w szkole, z zakresem dla dziennika elektronicznego, kont nauczycieli i pracowni. Odrębnie od KRI szkoła może trafić do załącznika nr 2 ustawy o krajowym systemie cyberbezpieczeństwa jako podmiot ważny. To dwa różne obowiązki — jeden nie zwalnia z drugiego.

Co zmienia się 23 lutego 2027 r.

Rozporządzenie KRI traci moc 23 lutego 2027 r. Powodem jest ustawa z 25 lipca 2025 r. (Dz.U. 2025 poz. 1158), której art. 1 pkt 19 wchodzi w życie po osiemnastu miesiącach od ogłoszenia i nadaje art. 18 ustawy o informatyzacji znacznie węższe brzmienie — nowa delegacja nie obejmuje już wprost Krajowych Ram Interoperacyjności.

Dotychczasowe przepisy wykonawcze obowiązują do 22 lutego 2027 r. Do tego dnia roczny audyt KRI obowiązuje normalnie. Czy po tej dacie powstanie nowe rozporządzenie odtwarzające ten obowiązek — na dzień publikacji tej strony nie jest przesądzone. Będziemy tę stronę aktualizować.

Ile kosztuje audyt KRI

Koszt zależy od liczby systemów, wielkości jednostki i tego, czy audyt ma objąć również testy techniczne. Nie podajemy jednej kwoty, bo audyt małej szkoły i audyt urzędu miasta to dwie różne prace. Widełki dla audytu bezpieczeństwa informacji są jawne — bez wypełniania formularza.

Zobacz orientacyjne widełki audytu albo policz zakres w kalkulatorze. To widełki orientacyjne, nie oferta handlowa.