Baza wiedzy

Obowiązki audytowe JST

Wejście w życie nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UoKSC), będącej implementacją unijnej dyrektywy NIS2, wprowadza szereg zmian. Struktura zarządzania bezpieczeństwem informacji w polskim sektorze publicznym została zdefiniowana na nowo. Dla Jednostek Samorządu Terytorialnego kluczowym wyzwaniem staje się integracja nowych przepisów z dotychczas obowiązującym Rozporządzeniem Rady Ministrów w sprawie Krajowych Ram Interoperacyjności. Warto podkreślić, że Krajowe Ramy Interoperacyjności od lat wyznaczają standardy w obszarze bezpieczeństwa systemów IT w administracji publicznej. Choć oba akty prawne dążą do podniesienia odporności teleinformatycznej Urzędów, wprowadzają one odmienne kryteria klasyfikacji. Dodatkowo wprowadzają różne procedury weryfikacyjne.

Zbieżność założeń systemowych

Zarówno KRI, KSC, jak i powiązana z nimi międzynarodowa norma ISO/IEC 27001 opierają się na podejściu zorientowanym na ryzyko. Oznacza to rezygnację z modelu reaktywnego na rzecz ciągłej analizy zagrożeń i podatności. Kluczowy jest także szacowany wpływ incydentów na ciągłość działania podmiotu publicznego. Zgodnie z Krajowymi Ramami Interoperacyjności zarządzanie ryzykiem jest obowiązkowe.

Główne punkty styczne systemów obejmują:

• Zarządzanie ciągłością działania (BCM): KSC nakłada obowiązek wdrażania i testowania planów odtworzeniowych oraz kopii zapasowych, co bezpośrednio koresponduje z mechanizmami KRI chroniącymi dostępność systemów.
• Rozliczalność działań: KRI wymaga technicznego powiązania operacji na danych chronionych z unikalnym identyfikatorem użytkownika i logowaniem zdarzeń. KSC rozszerza ten standard o obligatoryjny ciągły monitoring i uwierzytelnianie wieloskładnikowe (MFA).
• Łańcuch dostaw: Nowe przepisy wymuszają kontrolę poziomu cyberbezpieczeństwa u zewnętrznych dostawców usług IT. Jest tożsame z wytycznymi grupy zabezpieczeń A.5 normy ISO/IEC 27001:2022.

Kluczowe różnice KSC i KRI

Podstawowa różnica dotyczy kryterium kwalifikacji podmiotów. Rozporządzenie KRI obejmuje bezwzględnie wszystkie podmioty realizujące zadania publiczne, bez względu na wielkość struktury zatrudnienia. KSC wprowadza natomiast podział na podmioty kluczowe (np. starostwa powiatowe, samorząd województwa czy urzędy gmin zatrudniające minimum 50 osób). Dzieli je także na podmioty ważne (np. samorządowe jednostki budżetowe, instytucje kultury). Co istotne, Krajowe Ramy Interoperacyjności obejmują swoim zakresem wszystkie jednostki sektora publicznego.

Różnice te determinują częstotliwość i charakter audytów zewnętrznych:

Spełnienie trzyletniego wymogu audytowego wynikającego z UoKSC i przeprowadzenie audytu zewnętrznego nie zwalnia jednostki z corocznego obowiązku audytowego narzuconego przez KRI. Co więcej, zgodnie z Krajowymi Ramami Interoperacyjności, audyt bezpieczeństwa systemów teleinformatycznych pozostaje obligatoryjny niezależnie od innych wymogów prawnych.

Sankcje

KRI nie dysponuje autonomicznym taryfikatorem finansowym (odpowiedzialność ma charakter pośredni, wynikający m.in. z dyscypliny finansów publicznych czy Kodeksu Karnego). UoKSC wprowadza bezpośrednie kary administracyjne. Dla podmiotów kluczowych górna granica kary wynosi do 10 000 000 EUR (dolna 20 000 zł). Natomiast dla podmiotów ważnych do 7 000 000 EUR (dolna 15 000 zł). Dodatkowo organ kontrolny może nakładać okresowe kary pieniężne za każdy dzień opóźnienia w wykonaniu decyzji naprawczych (od 500 do 100 000 zł). W praktyce skuteczność polityki bezpieczeństwa IT w sektorze publicznym w dużym stopniu zależy od znajomości przepisów Krajowych Ram Interoperacyjności.