Das KRI-Audit 2026: § 19, Umfang und was sich 2027 ändert

Rechtslage: Das Audit steht in § 19, nicht in § 20

Die Verordnung des Ministerrats vom 21. Mai 2024 legt den polnischen Interoperabilitätsrahmen fest, die Mindestanforderungen an öffentliche Register und den elektronischen Informationsaustausch sowie die Mindestanforderungen an IKT-Systeme. Sie trat am 23. Mai 2024 in Kraft. ^[1]

Nach § 19 Abs. 1 hat die Leitung der Einrichtung ein Informationssicherheits-Managementsystem einzurichten, umzusetzen, zu betreiben, zu überwachen, zu überprüfen, aufrechtzuerhalten und zu verbessern. Das System soll Vertraulichkeit, Verfügbarkeit und Integrität von Informationen schützen, unter Berücksichtigung von Authentizität, Nachvollziehbarkeit, Nichtabstreitbarkeit und Zuverlässigkeit.

Die Auditanforderung lautet: ein regelmäßiges internes Audit im Bereich der Informationssicherheit sicherstellen, mindestens einmal jährlich. Die alte Bezeichnung "§ 20 Abs. 2 Nr. 14" ist daher nicht zu wiederholen. In der geltenden Verordnung betrifft § 20 die Aufzeichnung von Handlungen der Benutzer und Administratoren, den Zugriff auf Konfiguration und geschützte Daten sowie die Aufbewahrung der Protokolle - im Regelfall zwei Jahre, sofern besondere Vorschriften nichts anderes bestimmen. Diese Mechanismen können im Audit geprüft werden, sie sind aber nicht seine Rechtsgrundlage. ^[1]

Wen die Pflicht bindet

Der Kreis der Verpflichteten ist anhand von Artikel 2 des Informatisierungsgesetzes zu bestimmen, nicht anhand des Namens der Organisation. Das Gesetz erfasst unter anderem Einheiten des öffentlichen Finanzsektors, sonstige staatliche Organisationseinheiten ohne Rechtspersönlichkeit, bestimmte juristische Personen unter überwiegender öffentlicher Finanzierung oder Aufsicht, deren Verbände und Vereinigungen, Forschungsinstitute, Einheiten des Lukasiewicz-Netzwerks, nichtöffentliche Hochschulen sowie Föderationen von Einrichtungen des Hochschul- und Wissenschaftssystems. Das Gesetz enthält zudem Ausnahmen und Vorschriften, die nur für ausgewählte Einrichtungen gelten. ^[2]

• Gemeinde, Kreis oder Woiwodschaft: Größe und Einwohnerzahl begründen keine Befreiung. Die Stichprobe kann kleiner ausfallen, das jährliche Kriterium bleibt.
• Haushaltseinheit oder kommunaler Eigenbetrieb: fällt im Regelfall in den öffentlichen Finanzsektor; die erfassten Systeme und Prozesse sind gleichwohl korrekt zu bestimmen.
• Kommunale Gesellschaft oder andere juristische Person: weder Einbeziehung noch Ausnahme automatisch annehmen. Prüfen Sie die Voraussetzungen aus Artikel 2 Abs. 1 Nr. 3, darunter Gründungszweck, Finanzierung, Kontrolle und Besetzung der Organe.
• Gesundheitseinrichtung: Rechtsform und Eigentümerstatus sind bedeutsam. Allein die Erbringung von Gesundheitsleistungen entscheidet nicht über die Anwendung des gesamten KRI.
• Hochschule: öffentliche Hochschulen gehören zum öffentlichen Finanzsektor, nichtöffentliche werden in Artikel 2 Abs. 1 des Informatisierungsgesetzes genannt.

Erstellen Sie vor dem Audit eine kurze Umfangsnotiz: Grundlage der Einbeziehung, Organisationseinheiten, öffentliche Aufgaben, die diese Aufgaben stützenden Systeme, Standorte, Cloud-Dienste und Lieferanten. Das verringert sowohl das Risiko, ein System zu übersehen, als auch das Risiko, einen Bereich ohne passendes rechtliches Kriterium zu prüfen.

Was aus § 19 tatsächlich folgt

Absatz 2 enthält vierzehn Nummern. Die folgenden Gruppen sind eine Arbeitsordnung des Audits, kein neuer Rechtskatalog:

1. Steuerung und Risiko. Aktuelle interne Regelungen, regelmäßige Risikoanalysen, Auswahl der Maßnahmen sowie zusätzliche Mittel, wenn das Risiko sie rechtfertigt.
2. Werte und Berechtigungen. Aktuelles Inventar von Hard- und Software samt Typ und Konfiguration, angemessene Berechtigungen und deren unverzügliche Änderung bei geänderten Aufgaben.
3. Menschen und Arbeitsweise. Schulungen zu Bedrohungen, Folgen von Verstößen, Verantwortung und Mitteln zur Verringerung menschlicher Fehler sowie Regeln für mobiles und ortsungebundenes Arbeiten.
4. Schutz von Informationen und Systemen. Überwachung des Zugriffs, Erkennung unbefugter Handlungen, Schutz vor Offenlegung, Veränderung, Löschung und Zerstörung, Aktualisierungen, Ausfallfestigkeit, Schutz von Systemdateien, risikoangemessene Kryptografie und Verringerung der aus Schwachstellen folgenden Bedrohungen.
5. Lieferanten und Datenträger. Sicherheitsklauseln in Verträgen mit Dritten sowie Regeln zur Verringerung des Diebstahlrisikos für Informationen und die Mittel ihrer Verarbeitung, einschließlich Mobilgeräten.
6. Vorfälle, Kontrollen und Audit. Regeln zur unverzüglichen Meldung von Vorfällen, Kontrollen der Systemkonformität sowie das jährliche interne Audit der Informationssicherheit.

Die Verordnung schreibt keiner Organisation eine identische technische Konfiguration vor. MFA, EDR, Netzsegmentierung, Festplattenverschlüsselung, unveränderliche Sicherungen oder eine Frist zur Behebung von Schwachstellen können angemessene Maßnahmen sein, ihr Einsatz und ihre Parameter sollten sich aber aus Risiko, besonderen Vorschriften, Verträgen und Architektur ergeben. KRI allein begründet weder eine allgemeine Frist von "30 Tagen bis zum Patch" noch eine jährliche Überprüfung aller Berechtigungen, kein CIS-Level-1-Profil und keine Pflicht zum Kauf einer bestimmten Produktklasse.

KRI und PN-ISO/IEC 27001 - eine Erleichterung, keine Zertifizierungspflicht

§ 19 Abs. 3 verweist ausdrücklich auf die polnischen Normen. Die Anforderungen der Absätze 1 und 2 gelten als erfüllt, wenn das Informationssicherheits-Managementsystem auf Grundlage der PN-ISO/IEC 27001 erarbeitet wurde und die Festlegung von Maßnahmen, das Risikomanagement und das Auditieren auf Grundlage der zugehörigen polnischen Normen erfolgen, darunter PN-ISO/IEC 27002 und PN-ISO/IEC 27005. ^{[1] [10] [11] [12]}

Das ist eine bedeutsame Konformitätsvermutung, aber keine Pflicht, ein ISO/IEC-27001-Zertifikat zu erlangen. Zertifizierung und internes Audit haben unterschiedliche Rollen. Ein Zertifikat allein ersetzt nicht den Nachweis, dass im betreffenden Jahr ein Audit stattgefunden hat, das die richtige Einrichtung, die richtigen Systeme und die geltenden rechtlichen Anforderungen erfasste.

Beim Entwurf des Auditprogramms helfen ISO 19011:2026 - die aktuellen Leitlinien zum Auditieren von Managementsystemen - sowie ISO/IEC 27007:2020 zum Auditieren von Informationssicherheits-Managementsystemen. ISO 19011:2026 ersetzte die Ausgabe von 2018. ^{[8] [9]}

Wie ein Audit abläuft, das ein brauchbares Ergebnis liefert

1. Mandat, Kriterien und Unabhängigkeit festlegen

Die Verordnung schafft weder eine Liste zugelassener KRI-Auditoren noch einen verbindlichen Satz von Zertifikaten. Sie bestimmt auch nicht, ob die Arbeit von Beschäftigten oder von einer Firma zu leisten ist. Die Leitung der Einrichtung sollte gleichwohl Kompetenz, Unparteilichkeit und eine Rollentrennung sicherstellen, sodass der Auditor nicht die eigene Umsetzung oder die eigene laufende Administration bewertet. Der polnische Oberste Rechnungshof behandelte in jüngsten Prüfungen eine Verletzung von Unabhängigkeit und Objektivität als Mangel des Audits. ^[3]

2. Umfang aus Prozessen und Systemen bilden

Verbinden Sie öffentliche Aufgaben mit Informationen, Anwendungen, Infrastruktur, Standorten, Personal und Lieferanten. Ein Umfang "IT-Abteilung" ist meist zu eng: Über Berechtigungen, Verträge, Schulungen, Betriebskontinuität und Risikoakzeptanz entscheiden auch Leitung, Personalwesen, Beschaffung, Prozessverantwortliche und fachliche Administratoren.

3. Matrix Kriterium-Nachweis-Test erarbeiten

Benennen Sie zu jeder Anforderung den erwarteten Nachweis und die Prüfweise. Ein Inventar bestätigen etwa nicht nur Tabellen, sondern der Abgleich des Registers mit dem Verzeichnisdienst, der Verwaltungskonsole und einer Geräteprobe. Die Wirksamkeit des Entzugs von Berechtigungen bestätigt eine Stichprobe beendeter Arbeitsverhältnisse und geänderter Positionen. Vertragliche Sicherungen prüft man an einer Stichprobe aktiver Lieferanten.

4. Nachweise aus mehreren Quellen sammeln

Ein Interview zeigt den erklärten Prozess, ein Dokument den entworfenen, und Konfiguration, Protokolleintrag, Ticket und Testergebnis zeigen den ausgeführten. Eine belastbare Schlussfolgerung sollte auf risikoangemessenen Nachweisen beruhen. Ein Audit aus der Ferne ist für einen Teil des Umfangs möglich, doch die Besichtigung des Serverraums, physischer Sicherungen oder der Arbeit am Standort kann einen Besuch erfordern.

5. Abweichung von Empfehlung trennen

Eine Abweichung verlangt ein konkretes Kriterium und den Nachweis seiner Nichterfüllung. Eine Empfehlung kann die Widerstandsfähigkeit erhöhen, auch wenn sie nicht wörtlich aus KRI folgt. Diese Trennung schützt den Bericht davor, Vorlieben des Auditors als Rechtspflicht darzustellen.

6. Kreis mit Korrekturmaßnahmen schließen

Bestimmen Sie zu jeder Feststellung Eigentümer, Priorität, Maßnahme, Frist und Art der Überprüfung. Ein von der zuständigen Leitungsebene akzeptiertes Risiko verschwindet nicht; es sollte samt Begründung und Datum der erneuten Überprüfung im Register bleiben.

Der Bericht: in der Vorschrift nicht benannt, aber der zentrale Nachweis

§ 19 Abs. 2 Nr. 14 sagt nicht, dass das Audit "in Schriftform" zu erfolgen habe, und legt weder Seitenzahl noch Bewertungsskala fest. Ohne festgehaltene Nachweise lässt sich die Erfüllung der Pflicht jedoch schwer belegen und die Nacharbeit kaum steuern. Eine gute Dokumentation umfasst deshalb:

• den genehmigten Zweck, Umfang, die Kriterien, den Prüfzeitraum und die Zusammensetzung des Teams;
• Unparteilichkeitserklärungen und eine Beschreibung der Grenzen des Audits;
• das Arbeitsprogramm, die Stichprobe und ein Register der erlangten Nachweise;
• Feststellungen erfasst als: Kriterium, Sachstand, Nachweis, Folge oder Risiko;
• eine Zusammenfassung für die Leitung, die Grenzen und Unsicherheiten nicht verbirgt;
• einen Maßnahmenplan und das Ergebnis der Prüfung seiner Umsetzung.

Seitenzahl und Personentage hängen von der Zahl der Systeme, Standorte und Lieferanten, von der Komplexität und von der Qualität der früheren Dokumentation ab. Allgemeine Spannen für eine "kleine" oder "mittlere" Gemeinde ohne Klärung des Umfangs sind Scheingenauigkeit.

Was die Prüfungen des Rechnungshofs zeigen

In einem im Juli 2026 veröffentlichten Bericht beschrieb der polnische Oberste Rechnungshof eine Stichprobe von 17 Behörden, die die wertmäßig höchsten Zuwendungen des Programms "Cybersichere Kommune" in Anspruch nahmen. In acht davon (47 Prozent) war das Audit für 2023 oder 2024 nicht durchgeführt, unzuverlässig durchgeführt oder Unabhängigkeit und Objektivität waren verletzt. Das ist ein Ergebnis für eine bestimmte Stichprobe, keine Schätzung für alle polnischen Gebietskörperschaften. ^[3]

In einer gesonderten, 2025 berichteten Prüfung von 24 Behörden war in neun Fällen das Audit für 2023 nicht durchgeführt oder es wurden Unzuverlässigkeit beziehungsweise ein Problem mit Unabhängigkeit und Objektivität festgestellt. In 17 Behörden war keine Leitlinie zur Betriebskontinuität aufgestellt, in 12 wurden Informationswerte unvollständig erfasst und klassifiziert, und in 11 Verträgen über IT-Beschaffung oder IT-Dienstleistungen fehlten angemessene Sicherheitsklauseln. ^[4]

Beide Ergebnisse stützen zwei Schlüsse: Ein Audit darf nicht bei der Prüfung enden, ob Dokumente existieren, und seine Stichprobe und Schlussfolgerungen sollten nicht über die untersuchte Grundgesamtheit hinaus verallgemeinert werden.

KRI-Audit und KSC/NIS2-Audit

Die Novelle des Gesetzes über das nationale Cybersicherheitssystem wurde am 2. März 2026 verkündet und trat am 3. April 2026 in Kraft. Sie ist kein Entwurf mehr. Das Gesetz verwendet die Begriffe wesentliche Einrichtung und wichtige Einrichtung. Die Einordnung einer Einrichtung verlangt eine eigene Analyse nach Gesetz und Anlagen; sie folgt nicht automatisch daraus, dass KRI gilt. ^[5]

• KRI: derzeit ein internes Audit der Informationssicherheit mindestens einmal jährlich, für Einrichtungen im Anwendungsbereich der einschlägigen Vorschriften des Informatisierungsgesetzes und der Verordnung.
• KSC: eine wesentliche Einrichtung unterliegt einem Audit mindestens alle drei Jahre; die zuständige Behörde kann in den gesetzlich bestimmten Fällen ein Audit anordnen, für eine wichtige Einrichtung gilt ein anderer Aufsichtsmechanismus.
• Übergangsfristen: Für Einrichtungen, welche die Kriterien am Tag des Inkrafttretens erfüllten, sieht das Gesetz im Regelfall 12 Monate für die Pflichten aus Kapitel 3 und 24 Monate für das erste Audit einer wesentlichen Einrichtung vor.

Ein Team kann gemeinsames Beweismaterial erheben, doch der Bericht sollte eine Matrix enthalten, welche die Kriterien von KRI, KSC und - sofern angewandt - ISO/IEC 27001 trennt. Ein KSC-Audit sollte nicht als automatischer Ersatz für ein KRI-Audit dargestellt werden, und umgekehrt ebenso wenig. NIS2 ist die unionsrechtliche Quelle, doch 2026 sind die laufenden Pflichten polnischer Einrichtungen vorrangig anhand des verabschiedeten KSC-Gesetzes zu beurteilen. ^[6]

Was sich 2027 ändern kann

Im ELI-Eintrag zur Verordnung von 2024 ist als Aufhebungsdatum der 23. Februar 2027 vermerkt. Im Juli 2026 wurde der Entwurf RD313 einer neuen Verordnung veröffentlicht, mit geplanter Annahme durch den Ministerrat im vierten Quartal 2026. In der Begründung des Entwurfs wird angekündigt, die Anforderungen an das Informationssicherheits-Managementsystem aus dem neuen KRI zu streichen, da dieser Bereich durch das novellierte KSC-Gesetz geregelt werden soll. ^{[1] [7]}

Kein Audit: was sich ohne Überinterpretation sagen lässt

Die KRI-Verordnung enthält keinen eigenen Katalog von Geldbußen für ein fehlendes Audit. Die Nichterfüllung der Pflicht ist gleichwohl eine Abweichung, die eine Prüfung aufdecken kann und welche die Möglichkeit schwächt, eine ordnungsgemäße Aufsicht über die Informationssicherheit zu belegen.

Die Höchstsanktionen aus DSGVO, NIS2 oder dem KSC-Gesetz sind nicht automatisch auf jeden Fall zu übertragen. Eine Haftung in diesen Regelwerken setzt deren eigenen sachlichen und persönlichen Anwendungsbereich, den Verstoß gegen eine konkrete Pflicht und die Durchführung des zugehörigen Verfahrens voraus. Ein fehlendes KRI-Audit kann Teil einer umfassenderen Bewertung sein, entscheidet aber für sich genommen nicht über eine Sanktion nach einem anderen Gesetz.