KRI-Audit 2026: § 19, Nachweise, Umfang und die Rechtsänderung 2027

Rechtslage: geltendes KRI und Entwurf RD313

Die KRI-Verordnung vom 21. Mai 2024 trat am 23. Mai 2024 in Kraft.^[1] § 19 Abs. 1 verpflichtet die Leitung einer Stelle, ein Informationssicherheitsmanagementsystem einzurichten, umzusetzen, zu betreiben, zu überwachen, zu überprüfen, aufrechtzuerhalten und fortlaufend zu verbessern. Absatz 2 enthält operative Anforderungen unter anderem zu internen Regelungen, Inventaren, Berechtigungsmanagement, Schulungen, mobilem und remote Arbeiten, Informationsschutz, Updates, Schwachstellen, Verträgen mit externen Parteien, Meldung von Sicherheitsvorfällen, Konformitätskontrollen und Audit.

Parallel gilt seit dem 3. April 2026 das novellierte Gesetz über das nationale Cybersicherheitssystem, während seit Juli 2026 der Entwurf RD313 für eine neue KRI-Verordnung im Arbeitsprogramm der Regierung steht.^[5][6] Es handelt sich um getrennte Rechtsregime. Ein Bericht mit dem Titel "KRI/NIS2/ISO-Audit" muss deshalb für jede Schlussfolgerung die jeweiligen Kriterien nennen.

Die geltende Verordnung wird jedoch nicht unbegrenzt fortgelten. Eine Änderung der gesetzlichen Ermächtigungsgrundlage im polnischen Informatisierungsgesetz tritt am 23. Februar 2027 in Kraft.^[4] In der Begründung zu RD313 erläutert die Regierung, dass die Verordnung von 2024 bis zum Inkrafttreten neuer Ausführungsvorschriften anwendbar bleibt und mit der Änderung der Ermächtigung ihre Geltung verliert.^[6]

Am 29. August 2026 ist RD313 weiterhin ein Entwurf und kein geltendes Recht. Eine Stelle darf nicht so geprüft werden, als sei der Entwurf bereits verbindlich. Eine vorbereitende Gap-Analyse ist möglich, muss aber eindeutig als vorausschauende Empfehlung und nicht als aktuelle Rechtsanforderung gekennzeichnet werden.

Für wen gilt KRI?

Der persönliche Anwendungsbereich folgt aus dem Gesetz über die Informatisierung der Tätigkeit von Stellen, die öffentliche Aufgaben erfüllen, und nicht allein aus der Bezeichnung der Organisation.^[2] Er umfasst unter anderem Einheiten des öffentlichen Finanzsektors und weitere in Art. 2 genannte Stellen, wobei das Gesetz auch Ausnahmen und Sonderregelungen enthält.

Bei Gemeinde, Kreis oder Woiwodschaft begründen Größe oder Einwohnerzahl keine allgemeine Ausnahme vom jährlichen Audit. Bei einer kommunalen Gesellschaft oder einer anderen juristischen Person darf dagegen nicht allein aus öffentlichem Eigentum auf KRI-Anwendbarkeit geschlossen werden. Rechtsform und gesetzliche Voraussetzungen sind zu prüfen.

Ebenso entscheidet die Bezeichnung "Gesundheitseinrichtung" nicht automatisch über die Anwendung des gesamten KRI-Regimes. Rechtsform und gesetzlicher Status sind maßgeblich.

Das erste Arbeitsdokument des Audits sollte deshalb eine Scope-Notiz enthalten mit:

• Rechtsgrundlage für die KRI-Anwendbarkeit;
• Organisationseinheiten und Standorten;
• öffentlichen Aufgaben und unterstützenden Systemen;
• Cloud-Diensten und von Dienstleistern betriebenen Systemen;
• Ausschlüssen und deren Begründung.

Was § 19 tatsächlich verlangt

§ 19 Abs. 2 enthält 14 Punkte. Die folgenden Gruppen sind eine Arbeitsstruktur für das Audit und kein neuer Rechtskatalog.

Governance und Risiko. Zu prüfen sind die Aktualität interner Regelungen, die tatsächliche Durchführung von Risikoanalysen und die Art der Auswahl von Sicherheitsmaßnahmen. Eine Risikotabelle allein beweist kein funktionierendes System. Erforderlich sind Entscheidungen, Verantwortliche und nachvollziehbare Nachweise der Risikobehandlung.

Assets, Konfiguration und Berechtigungen. Es ist ein aktuelles Inventar von Hard- und Software einschließlich Typ und Konfiguration zu führen. Der Auditor sollte dieses Inventar mit einer Stichprobe der realen Umgebung abgleichen und nicht nur das Vorhandensein einer Datei bestätigen. Berechtigungen müssen zu den Aufgaben passen und bei Änderungen der Tätigkeit unverzüglich angepasst werden. Praktisch werden Stichproben neuer Beschäftigter, versetzter Personen und ausgeschiedener Mitarbeiter geprüft.

Menschen und Arbeitsweise. KRI verlangt Schulungen für Personen, die an der Informationsverarbeitung beteiligt sind. Inhalte umfassen Bedrohungen, Folgen von Verstößen, Verantwortung und Maßnahmen zur Begrenzung menschlicher Fehler. Die Verordnung schreibt nicht für alle Organisationen dieselbe Schulungsfrequenz vor. Regeln für mobiles und remote Arbeiten sowie ihre tatsächliche Anwendung sind gesondert zu prüfen.

Systemschutz und Schwachstellen. Das Audit umfasst die Überwachung von Zugriffen, den Schutz vor unbefugter Offenlegung, Veränderung, Löschung oder Zerstörung von Informationen, Softwareaktualisierung, Schutz von Systemdateien, risikoadäquate Kryptographie und die Begrenzung von Gefahren aus veröffentlichten Schwachstellen. KRI legt weder eine universelle Frist "30 Tage für jeden Patch" fest noch verlangt es CIS Level 1 oder den Kauf einer bestimmten EDR-Klasse. Technische Parameter müssen aus Risiko, Architektur und weiteren anwendbaren Anforderungen hergeleitet werden, was diesen Bereich mit Schwachstellenscanning und Hardening verbindet.

Dienstleister und Datenträger. Verträge mit externen Parteien sollen Anforderungen an die Informationssicherheit enthalten. Das Audit endet nicht mit dem Fund einer Sicherheitsklausel. Zu prüfen sind tatsächlicher Zugriff und Verantwortungsumfang des Dienstleisters sowie der Mechanismus, mit dem die Organisation dessen Leistung überwacht.

Vorfälle, Kontrollen und Audit. KRI verlangt Regeln zur unverzüglichen Meldung von Vorfällen, Konformitätskontrollen von Systemen und ein jährliches internes Audit der Informationssicherheit.^[1]

KRI und PN-ISO/IEC 27001

§ 19 Abs. 3 ist wichtig, wird aber häufig überinterpretiert. Die Anforderungen aus § 19 Abs. 1 und 2 gelten als erfüllt, wenn das ISMS auf Grundlage von PN-ISO/IEC 27001 entwickelt wurde und die Einrichtung von Maßnahmen, das Risikomanagement und das Auditieren auf Grundlage der angegebenen verbundenen Polnischen Normen erfolgt, darunter PN-ISO/IEC 27002 und PN-ISO/IEC 27005.^{[1][9][10][11]}

Daraus folgt keine Pflicht zur ISO/IEC-27001-Zertifizierung. Zertifikat und jährliches KRI-Audit beantworten unterschiedliche Fragen. Eine Zertifizierung kann starke Nachweise für die Reife des ISMS liefern, entbindet die Leitung aber nicht davon, das gesetzlich verlangte Audit im richtigen Umfang und Intervall sicherzustellen.

Auditmethodik im Jahr 2026

ISO 19011:2026 wurde am 27. Mai 2026 veröffentlicht, ersetzte die Ausgabe von 2018 und ist die aktuelle Leitlinie zum Auditieren von Managementsystemen.^[7] ISO/IEC 27007:2020 bleibt die veröffentlichte Norm zum Auditieren von ISMS, obwohl ISO ihren Status als "to be revised" kennzeichnet und an einer Folgeausgabe arbeitet.^[8]

Diese Normen unterstützen die Methodik. Sie verändern weder die KRI-Pflicht noch schaffen sie eine staatliche KRI-Auditorlizenz.

Ein belastbares Audit sollte umfassen:

1. Festlegung von Mandat und Kriterien;
2. Analyse der öffentlichen Aufgaben, Prozesse und Systeme im Scope;
3. Dokumentenprüfung;
4. Interviews mit Prozessverantwortlichen;
5. Prüfung einer Stichprobe von Nachweisen;
6. technische Verifikation ausgewählter Konfigurationen, Konten, Logs, Backups und Systeme;
7. Vergleich von Aussagen, Dokumentation und realem Zustand;
8. Formulierung von Findings mit zugeordnetem Kriterium;
9. Maßnahmenplan;
10. Nachprüfung der wichtigsten Findings.

Das Audit darf nicht auf Fragen wie "Gibt es eine Prozedur?" reduziert werden. Für Backups kann ein Restore-Test der Nachweis sein, für Berechtigungen eine Kontenstichprobe, für Updates der tatsächliche Systemstatus, für Logging Ereignisse und Aufbewahrungsdauer und für Dienstleister Vertrag plus Überwachungsnachweis.

Unabhängigkeit und Kompetenz

KRI schafft keine staatliche Lizenzliste für Auditoren und keinen verpflichtenden Katalog persönlicher Zertifikate. Die Organisation bleibt dennoch für die Glaubwürdigkeit der Prüfung verantwortlich.

Eine Person, die das geprüfte System täglich administriert oder die zu bewertende Maßnahme gerade selbst implementiert hat, kann die eigene Arbeit nur eingeschränkt objektiv prüfen. ISO 19011 behandelt Unparteilichkeit und Objektivität als wesentliche Auditaspekte.^[7]

Das bedeutet nicht, dass jedes Audit extern vergeben werden muss. In einer größeren Organisation kann ein unabhängiges internes Auditteam ausreichend getrennt sein. In einer kleinen Stelle, in der eine Person fast die gesamte IT verantwortet, kann ein externer Auditor den Interessenkonflikt praktisch reduzieren. Das ist ein anderes Kriterium als beim KSC-Audit, wo das Gesetz die Prüfung eigener gesetzlicher Aufgaben ausdrücklich untersagt.

Was der Bericht enthalten sollte

Die Verordnung gibt kein Berichtsformular vor. Der Bericht ist dennoch der zentrale Nachweis für die Durchführung des Audits und sollte einem fachkundigen Leser ermöglichen nachzuvollziehen, was untersucht wurde.

Ein sinnvolles Minimum umfasst:

• Rechtsgrundlage und Kriterien;
• organisatorischen und technischen Umfang;
• Audittermine;
• Auditteam und Aspekte der Unabhängigkeit;
• verwendete Methoden;
• Größe und Auswahlmethode der Stichprobe;
• Einschränkungen;
• Findings mit konkretem Kriterium und Nachweis;
• Auswirkungs- oder Risikobewertung;
• Empfehlungen;
• Maßnahmenplan, Verantwortliche und Fristen;
• den Nachweis, der zum Schließen eines Findings erforderlich ist.

Eine Bewertung "konform" oder "nicht konform" ohne Nachweis ist eine Meinung und kein Auditfinding.

Was die Kontrolle des Obersten Rechnungshofs gezeigt hat

Eine Kontrolle des polnischen Obersten Rechnungshofs in 24 Kommunalverwaltungen zeigte, dass das Problem nicht nur fehlende Dokumente betrifft. In 17 Stellen fehlten Business-Continuity-Richtlinien, in 12 war die Identifikation oder Klassifizierung von Assets unvollständig, in 11 fehlten notwendige Sicherheitsbestimmungen in IT-Dienstleistungs- oder Beschaffungsverträgen. In neun Ämtern war kein Audit durchgeführt worden oder es war nicht zuverlässig.^[3]

Diese Ergebnisse dürfen nicht auf alle polnischen Kommunen übertragen werden. Sie zeigen jedoch, warum ein ausschließlich fragebogenbasiertes Audit Umsetzungsprobleme übersehen kann. Ein Fragebogen fragt, ob ein Verfahren existiert; eine Prüfung stellt fest, ob es jemand ausgeführt hat.

KRI, KSC und NIS2

Seit dem 3. April 2026 unterliegt ein Teil öffentlicher Einrichtungen gleichzeitig KRI und dem novellierten KSC.^[5] Die Kriterien sind nicht identisch.

KRI verlangt für erfasste Stellen ein jährliches internes Informationssicherheitsaudit. Das KSC enthält eigenständige Cybersicherheitspflichten und verlangt von wesentlichen Einrichtungen mindestens alle drei Jahre ein gesetzliches Sicherheitsaudit des für die Leistungserbringung verwendeten Informationssystems.^[5]

Ein gemeinsames Projekt kann Interviews und Nachweise teilen. Der Bericht muss jedoch kenntlich machen, welches Finding auf KRI, welches auf KSC und welches auf einer freiwillig angewandten Norm beruht. Ein kombiniertes Audit darf Rechtsgrundlagen nicht verwischen, weil die Stelle sonst nicht weiß, was genau von ihr verlangt wurde und wem gegenüber sie verantwortlich ist.

Was sich am 23. Februar 2027 ändert

Am 29. August 2026 lassen sich zwei Aussagen mit hoher Sicherheit treffen:

• die geltende KRI-Verordnung ist weiterhin in Kraft;
• aufgrund der geänderten gesetzlichen Ermächtigung soll sie mit dem neuen Regime ab dem 23. Februar 2027 außer Kraft treten; RD313 soll die neue Ausführungsverordnung bilden.^[4][6]

Der aktuelle RD313-Entwurf darf nicht als endgültiger Rechtstext für 2027 dargestellt werden. Bis zur Verkündung kann er sich ändern. Ein Auditbericht sollte deshalb zwei Ebenen trennen: Findings gegenüber dem heute geltenden Recht und eine deutlich gekennzeichnete vorausschauende Analyse, die keine Abweichung begründet.