Audyt zgodności z KRI

Czym jest Audyt zgodności z Rekomendacjami KNF (KRI)?

Audyt zgodności z Rekomendacjami KNF (KRI) to weryfikacja zgodności instytucji finansowej z Rekomendacjami KNF dotyczącymi zarządzania ryzykiem IT (KRI), obejmująca ocenę procesów, dokumentacji i kontroli technicznych wymaganych przez regulatora.

Atrybut	Wartość
Regulacja	Rekomendacje KNF (D, M, KRI)
Dla kogo	Banki, ubezpieczyciele, TFI
Zakres	Procesy IT, bezpieczeństwo, ciągłość
Czas realizacji	2-4 tygodnie
Cena	od 45 000 PLN (stan na 2026)

Kontrola wykryła brak audytu - kara dla gminy

Gmina nie przeprowadzała audytów § 20 KRI przez 5 lat. Kontrola NIK wykryła naruszenie i nałożyła karę na kierownika jednostki. Dodatkowo brak audytu oznaczał, że gmina nie wiedziała o krytycznych lukach bezpieczeństwa - brak backup, słabe hasła, nieaktualne oprogramowanie.

Bez audytu KRI:

• Naruszenie obowiązku prawnego § 20 rozporządzenia KRI
• Kary dla osób odpowiedzialnych (wójt, burmistrz, sekretarz)
• Brak świadomości o lukach bezpieczeństwa w systemach
• Kontrola NIK, RIO może zakwestionować gospodarkę finansową

Audyt zgodny z wymogami § 20 + wsparcie w usuwaniu niezgodności

Nie zostawiamy Cię z raportem. Pomagamy naprawić znalezione niezgodności i przygotować dokumentację na przyszłe kontrole.

Co dostajesz:

• Audyt zgodny z wymogami § 20 rozporządzenia KRI
• Weryfikację zabezpieczeń systemów teleinformatycznych
• Przegląd polityk, procedur, dokumentacji bezpieczeństwa
• Raport z audytu z listą niezgodności i ich severity
• Plan remediacji z konkretnymi działaniami naprawczymi
• Wsparcie przy usuwaniu niezgodności (opcjonalnie)
• Dokumentację gotową do przedstawienia kontrolerom

Dla kogo?

Ta usługa jest dla Ciebie, jeśli:

• Jesteś podmiotem publicznym (ministerstwo, urząd, JST, szkoła, szpital)
• Musisz spełnić obowiązek § 20 KRI (audyt co 2-3 lata)
• Przygotowujesz się do kontroli NIK, RIO, UOD
• Chcesz sprawdzić bezpieczeństwo systemów teleinformatycznych
• Nie masz wewnętrznych zasobów do przeprowadzenia audytu

Podstawa prawna

§ 20 rozporządzenia KRI

Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2017 poz. 2247)

§ 20. 1. Podmiot publiczny zapewnia bezpieczeństwo informacji przetwarzanych w systemie teleinformatycznym poprzez:

1. wdrożenie i utrzymywanie polityki bezpieczeństwa;
2. wdrożenie mechanizmów bezpieczeństwa;
3. przeprowadzanie okresowych audytów bezpieczeństwa informacji.

Częstotliwość audytów

Rozporządzenie nie określa dokładnej częstotliwości. Praktyka:

• Co 2-3 lata - zalecane minimum
• Po znaczących zmianach - nowy system, migracja, incident
• Przed kontrolą - NIK, RIO, UODO

Zakres audytu § 20 KRI

1. Zarządzanie bezpieczeństwem

• Polityka bezpieczeństwa - czy istnieje, czy jest aktualna
• Procedury - kontrola dostępu, backup, zarządzanie incydentami
• Role i odpowiedzialności - administrator, IOD, użytkownicy
• Awareness - szkolenia z zakresu bezpieczeństwa IT

2. Zabezpieczenia techniczne

• Kontrola dostępu - uwierzytelnianie, hasła, uprawnienia
• Firewall - separacja sieci wewnętrznej od internetu
• Antywirus - ochrona przed malware, aktualizacje
• Backup - kopie zapasowe, testy restore
• Szyfrowanie - dane wrażliwe, dyski, komunikacja
• Patching - aktualizacje bezpieczeństwa systemów

3. Bezpieczeństwo fizyczne

• Serwerownia - kontrola dostępu, klimatyzacja, UPS
• Stacje robocze - zabezpieczenie przed kradzieżą
• Niszczenie nośników - procedura kasacji dysków, dokumentów

4. Ciągłość działania

• Plan ciągłości - BC/DR plan
• Backup - częstotliwość, retencja, testy odtwarzania
• Redundancja - krytyczne systemy (np. ePUAP, systemy finansowe)

5. Zgodność prawna

• RODO - zgodność z wymogami ochrony danych osobowych
• Ustawa o ochronie informacji niejawnych - jeśli dotyczy
• Ustawa o krajowym systemie cyberbezpieczeństwa - operatorzy usług kluczowych

Typowe niezgodności w podmiotach publicznych

Na podstawie naszych audytów, najczęstsze problemy:

1. Brak lub przestarzała polityka bezpieczeństwa - 80% podmiotów
2. Słabe hasła - brak wymogu złożoności, brak rotacji - 70%
3. Nadmierne uprawnienia - wszyscy admini mają pełny dostęp - 65%
4. Nieregularne backupy - lub brak testów restore - 60%
5. Nieaktualne oprogramowanie - brakujące patche security - 75%
6. Brak logowania zdarzeń - nie ma czego przejrzeć po incydencie - 50%
7. Brak planu awaryjnego - co robić jak serwer padnie - 55%

Co NI�Ż w raporcie

Raport zgodny z wymogami KRI zawiera:

1. Executive Summary - streszczenie dla kierownictwa
2. Zakres audytu - audytowane systemy i obszary
3. Metodyka - standardy użyte (ISO 27001, NIST, CIS)
4. Findings - lista niezgodności z severity (Critical/High/Medium/Low)
5. Risk Assessment - ocena ryzyka dla każdej niezgodności
6. Remediation Plan - konkretne działania naprawcze
7. Annexes - checklist, screenshots, dokumenty

Powiązane pojęcia

Dowiedz się więcej o kluczowych pojęciach związanych z tą usługą:

• CIS
• DoS
• IAM
• IoT
• KNF
• RODO
• SSE
• Tor

Dlaczego nFlo?

nFlo to zespół doświadczonych specjalistów ds. cyberbezpieczeństwa z ponad 500 zrealizowanymi projektami. W ramach usługi Audyt zgodności z KRI oferujemy:

• Zespół certyfikowanych ekspertów — nasi specjaliści posiadają certyfikaty CISSP, CISA, CEH, OSCP i inne uznawane w branży
• Metodyczne podejście — każdy projekt realizujemy w oparciu o uznane standardy (ISO 27001, NIST CSF, CIS Controls)
• Raport z konkretnymi rekomendacjami — nie tylko identyfikujemy problemy, ale dostarczamy priorytetyzowaną listę działań naprawczych
• Wsparcie po projekcie — pomagamy we wdrożeniu rekomendacji i monitorujemy postęp
• 98% retencja klientów — nasze wyniki mówią same za siebie

Jak wygląda proces realizacji?

1. Spotkanie wstępne i analiza potrzeb — poznajemy specyfikę Twojej organizacji, infrastrukturę IT i wymagania regulacyjne
2. Przygotowanie zakresu i harmonogramu — definiujemy zakres prac, metodologię i timeline
3. Realizacja — nasi eksperci przeprowadzają prace zgodnie z uzgodnionym planem
4. Raportowanie — dostarczamy szczegółowy raport z wynikami, oceną ryzyka i priorytetyzowanymi rekomendacjami
5. Prezentacja wyników — omawiamy wyniki z zespołem technicznym i zarządem
6. Wsparcie wdrożeniowe — pomagamy zaplanować i wdrożyć działania naprawcze