Nasze usługi obejmują audyt zgodności funkcjonowania instytucji i podmiotów realizujących zadania publiczne z przepisami w zakresie informatyzacji oraz interoperacyjności systemów teleinformatycznych. Audyt ma na celu zapewnienie, że organizacja prawidłowo wywiązuje się ze swoich obowiązków wynikających z Krajowych Ram Interoperacyjności, a tym samym minimalizuje ryzyko ewentualnych nieprawidłowości, niezgodności i związanych z nimi odpowiedzialności. Realizujemy także doradztwo oraz przygotowanie dokumentacji związanej z Systemem Zarządzania Bezpieczeństwem Informacji – SZBI. Spełnienie wymagań Krajowych Ram Interoperacyjności oraz odpowiedni system zarządzania bezpieczeństwem informacji jest zasadniczym elementem zapewnienia zgodności działalności podmiotów publicznych (i współpracujących z nimi podmiotów prywatnych) nie tylko z wymogami prawa, ale także bezpieczeństwa i wiarygodności podmiotu.
Zasady i cele audytu Krajowych Ram Interoperacyjności
Audyt w zakresie Krajowych Ram Interoperacyjności opiera się na analizie dokumentacji i procesów w podmiocie, przeprowadzonej przez niezależnego i bezstronnego audytora. Podczas audytu badane są zarówno aspekty organizacyjne, prawne, organizacyjne i techniczne, co pozwala na uzyskanie pełnego obrazu zgodności z regulacjami dotyczącymi Krajowych Ram Interoperacyjności. Celem audytu Krajowych Ram Interoperacyjności jest weryfikacja zgodności z przepisami oraz wzrost efektywności i bezpieczeństwa przetwarzanych danych. Audyt to także rekomendacja działań, które ograniczą ryzyko incydentów związanych z niezgodnością z Krajowymi Ramami Interoperacyjności bądź nieprawidłowym zarządzaniem systemami informatycznymi. Działania audytowe oraz związane z nimi zalecenia to także realny wpływ na wzrost świadomości personelu w zakresie interoperacyjności i bezpieczeństwa przetwarzanych w systemach danych.
Podstawą prawną przeprowadzania audytu Krajowych Ram Interoperacyjności jest Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Tj. Dz.U. 2024 poz. 773 z późn. zm.) oraz Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (t.j. Dz. U. z 2024 r. poz. 1557, 1717).
Rozporządzenie określa m.in. zasady funkcjonowania systemów teleinformatycznych oraz wymiany informacji między podmiotami publicznymi. Ustawa z kolei wyznacza ogólne ramy prawne, w których obliguje podmioty do realizowania zadań przy użyciu właściwej technologii informatycznej.
Kogo dotyczy Audyt Krajowych Ram Interoperacyjności ?
Audyt Krajowych Ram Interoperacyjności jest obowiązkowy dla:
- Wszystkich jednostek samorządu terytorialnego (gmin, powiatów, województw) i ich jednostek organizacyjnych.
- Organów administracji rządowej oraz instytucji państwowych realizujących zadania publiczne
- Podmiotów publicznych odpowiedzialnych za utrzymanie bądź zarządzanie systemami teleinformatycznymi, służącymi do realizacji usług publicznych
- Podmiotów prywatnych wykonujących zadania publiczne na zlecenie administracji (outsourcing usług), które są zobowiązane do przestrzegania wymagań KRI w swoim zakresie.
Jak często jest wymagane przeprowadzenie audytu KRI?
Audyt zgodności z zasadami Krajowych Ram Interoperacyjności przeprowadza się nie rzadziej niż raz na rok.
Wynika to z Rozporządzenia Krajowych Ram Interoperacyjności (KRI) ‑ §19 ust. 2 pkt 14 tj., który stwierdza wprost – „Zarządzanie bezpieczeństwem informacji realizowane jest w szczególności przez zapewnienie przez kierownictwo podmiotu publicznego warunków umożliwiających realizację i egzekwowanie następujących działań – zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok”.
System Zarządzania Bezpieczeństwem Informacji (SZBI) – obowiązki i cele
System Zarządzania Bezpieczeństwem Informacji (SZBI) to zorganizowany zbiór zasad, procedur, środków technicznych i organizacyjnych, którego celem jest skuteczna ochrona informacji – zarówno cyfrowych, jak i papierowych – przed nieuprawnionym dostępem, utratą, zniszczeniem czy naruszeniem poufności.
Kogo dotyczy SZBI?
Wdrożenie SZBI jest obowiązkowe lub silnie rekomendowane dla określonych grup podmiotów, w szczególności:
- Jednostek sektora publicznego, m.in.: urzędów gminy, powiatu, województwa, jednostek budżetowych, szkół, szpitali i instytucji wykonujących zadania publiczne – Obowiązek ten wynika z Rozporządzenia w sprawie Krajowych Ram Interoperacyjności (KRI).
- Operatorów usług kluczowych (OUK), np. w branżach: energetycznej, transportowej, ochrony zdrowia, bankowości – Zobowiązania te określa ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC).
- Firm przetwarzających dane wrażliwe i osobowe – szczególnie gdy skala przetwarzania jest istotna (np. placówki medyczne, firmy ubezpieczeniowe, e-commerce, kancelarie, biura rachunkowe).
- Organizacji ubiegających się o certyfikację ISO/IEC 27001 – międzynarodowej normy potwierdzającej skuteczność i dojrzałość procesów bezpieczeństwa informacji.
Co obejmuje SZBI?
SZBI nie ogranicza się jedynie do zabezpieczeń IT. System ten obejmuje informacje w każdej formie, zarówno dokumenty papierowe, dane przetwarzane elektroniczne, rejestry, ewidencje oraz bazy danych. Obejmuje także Infrastrukturę, w tym serwerownie, sprzęt komputerowy, sieci, systemy zasilania awaryjnego, monitoring. SZBI obejmuje także zasoby ludzkie i procedury ,w tym: szkolenia pracowników, polityki dostępu do informacji, instrukcje zarządzania incydentami i reagowania na zagrożenia, itp..
Główne cele SZBI
Celem wdrożenia SZBI jest zapewnienie:
- Poufności – tylko uprawnione osoby mają dostęp do informacji,
- Integralności – dane są dokładne, kompletne i chronione przed nieautoryzowanymi zmianami,
- Dostępności – dane są dostępne, gdy są potrzebne uprawnionym użytkownikom.
Za ustanowienie, wdrożenie, monitorowanie i ciągłe doskonalenie SZBI odpowiada najwyższe kierownictwo organizacji. To ono ponosi strategiczną odpowiedzialność za ochronę informacji oraz zapewnienie zasobów i nadzoru nad systemem.
Audyt w zakresie Krajowych Ram Interoperacyjności dotyczy twojego podmiotu ? Szukasz firmy zapewniającej profesjonalne wsparcie w każdym etapie audytu? Potrzebujesz dokumentacji regulujących system bezpieczeństwa informacji w Twojej firmie zgodnie z wymogami KRI, KSC oraz ISO/IEC 27001 ? Skontaktuj się z Nami. Zapraszamy do współpracy.