Zgodnie z Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych nakłada obowiązek zapewnienia bezpieczeństwa informacji oraz okresowego audytu w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok.

Rozporządzenie zawiera wytyczne w zakresie bezpieczeństwa informacji w jednostce samorządowej, zaś wymagany co roczny audyt ma być weryfikacją wdrożonych procedur i rozwiązań zapewniających bezpieczeństwo danych. Audyt powinien zawierać zalecenia i wytyczne zmian oraz modyfikacji infrastruktury, mające zapewnić właściwy poziom bezpieczeństwa danych.

Kogo dotyczy audyt KRI?

Rozporządzenie KRI dotyczy podmiotów publicznych, w których przetwarzane są rejestry publiczne w postaci teleinformatycznej. Powinny się dostosować do niego:

• Urzędy Gmin i Miast
• Starostwa Powiatowe
• Powiatowe Urzędy Pracy
• jednostki organizacyjne, np. szkoły, przedszkola, Gminne i Miejskie Ośrodki Pomocy Społecznej GOPS/MOPS, Centra Usług Wspólnych CUW, Powiatowe Centra Pomocy Rodzinie PCPR, biblioteki, ośrodki kultury, spółki miejskie
• podmioty publiczne, np. stowarzyszenia, kluby sportowe, organizacje rządowe, inne instytucje
• sądy

Audyt KRI i audyt RODO

Dla pełnej oceny jednostki audyt KRI powinien być rozszerzony o audyt bezpieczeństwa danych osobowych – wymóg art.24 pkt.1 i art.32 pkt.1 RODO. Połączone audyty KRI i RODO dają pełen obraz zarządzania bezpieczeństwem informacji.

Czy wymóg audytu dotyczy każdego podmiotu publicznego ?

Kierownictwo jednostki ma obowiązek zapewnienia okresowego audytu w zakresie bezpieczeństwa informacji. Z wymogu audytu KRI nie są zwolnione nawet małe podmioty publiczne. Należy jednostkę dostosować do wymogów rozporządzenia i jest za to odpowiedzialne kierownictwo.

Jaki obowiązki nakłada Rozporządzenie Krajowe Ramy Interoperacyjności?

Podmiot realizujący zadania publiczne ma obowiązek opracowania i ustanowienia, wdrożenia i eksploatowania, monitorowania i przeglądania oraz utrzymania i doskonalenia systemu bezpieczeństwa informacji zapewniającego poufność, dostępność i integralność informacji oraz do weryfikacji dostosowania się do Rozporządzenia. Więcej obowiązków zawiera par.20 pkt.1, 2, 3 i 4.

Jak często i z czego wynika obowiązek przeprowadzenia audytu?

Rozporządzenie w par. 20 ust.2 pkt 14 mówi o obowiązku “zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok”.