KRI w 2026 r. - Krajowe Ramy Interoperacyjności, § 20 SZBI, audyt co 24 miesiące dla JST i administracji

Czym jest KRI - struktura rozporządzenia

Pełna nazwa: Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych ^[1]. Akt wykonawczy do ustawy z 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne ^[2].

Struktura rozporządzenia

KRI obejmuje cztery główne obszary regulacyjne:

1. Rozdział 1 - Krajowe Ramy Interoperacyjności (§§ 1-7) - zasady interoperacyjności systemów teleinformatycznych podmiotów realizujących zadania publiczne. Trzy wymiary interoperacyjności:
   • Organizacyjna - procesy biznesowe między podmiotami.
   • Semantyczna - jednolite słowniki, klasyfikacje, struktury danych.
   • Techniczna - protokoły, formaty, interfejsy.
2. Rozdział 2 - Minimalne wymagania dla rejestrów publicznych (§§ 8-13) - format, dostępność, integralność, retencja, archiwizacja danych w rejestrach.
3. Rozdział 3 - Wymiana informacji w postaci elektronicznej (§§ 14-19) - standardy elektronicznego doręczenia, podpisu elektronicznego, formularzy.
4. Rozdział 4 - Minimalne wymagania dla systemów teleinformatycznych (§§ 20-22) - rdzeń regulacji bezpieczeństwa, w tym kluczowy § 20.

W praktyce największe znaczenie dla bezpieczeństwa ma § 20, który definiuje obowiązek SZBI i 14 wymagań szczegółowych. Pozostałe paragrafy mają charakter technicznej koordynacji systemów.

Historia i nowelizacje

• 12 kwietnia 2012 - przyjęcie rozporządzenia.
• 16 maja 2012 - publikacja w Dz.U. 2012 poz. 526.
• 31 maja 2012 - wejście w życie.
• Nowelizacje - kilka aktualizacji, głównie aktualizacja norm odsyłanych (przejście z ISO 27001:2005 na 27001:2013, potem na 27001:2022) oraz dostosowanie do innych regulacji (RODO, KSC).

KRI nie jest aktem zastąpionym - obowiązuje nadal. Po transpozycji NIS2 do KSC część podmiotów obecnie objętych KRI zostanie objęta również KSC/NIS2 (np. duże JST), ale KRI pozostanie podstawową regulacją dla mniejszych podmiotów publicznych.

Kogo dotyczy KRI - podmioty realizujące zadania publiczne

Zakres podmiotowy KRI wynika z ustawy o informatyzacji ^[2], która definiuje "podmiot realizujący zadania publiczne" jako:

Pełny katalog podmiotów

• Organy administracji rządowej - Prezes RM, ministerstwa, urzędy centralne, urzędy wojewódzkie, agencje rządowe (np. ARiMR, Agencja Mienia Wojskowego).
• Jednostki samorządu terytorialnego - gminy (urzędy gmin / miast), powiaty (starostwa, urzędy miast na prawach powiatu), województwa (urzędy marszałkowskie) wraz z ich jednostkami organizacyjnymi.
• Jednostki organizacyjne JST - szkoły publiczne (przedszkola, szkoły podstawowe, średnie), biblioteki publiczne, ośrodki kultury, ośrodki pomocy społecznej, MOPS / GOPS, zakłady gospodarki komunalnej, MZK, ZOZ samorządowe.
• Podmioty finansów publicznych - ZUS, NFZ, KRUS, BFG, NBP w zakresie zadań publicznych.
• Władza sądownicza - sądy powszechne, administracyjne, Sąd Najwyższy, NSA, prokuratury.
• Inne podmioty publiczne - Państwowa Inspekcja Pracy, Państwowa Inspekcja Sanitarna, Urząd Ochrony Konkurencji i Konsumentów, Urząd Komunikacji Elektronicznej, Polski Rejestr Statków, itp.
• Państwowe osoby prawne realizujące zadania publiczne (np. instytuty badawcze prowadzące badania na zlecenie państwa).
• Niepubliczne podmioty w zakresie wykonywanego konkretnego zadania publicznego (np. niepubliczne przedszkole otrzymujące dotację publiczną w zakresie tej dotacji; podmiot wykonujący zadania publiczne na zlecenie).

Kto nie podlega KRI

• Spółki prawa handlowego nie wykonujące zadań publicznych.
• Podmioty prywatne (chyba że realizują konkretne zadanie publiczne).
• Niepubliczne placówki oświatowe finansowane wyłącznie z czesnego (RODO i ustawy oświatowe nadal obowiązują, ale nie KRI).

Skala

W Polsce KRI dotyczy:

• Ponad 2 800 gmin (w tym 944 miast na prawach gminy).
• 314 powiatów.
• 16 województw.
• Około 20 tys. szkół i innych jednostek oświatowych.
• Ponad 20 ministerstw i urzędów centralnych.
• Setki agencji, instytucji państwowych.

Łącznie dziesiątki tysięcy podmiotów. To rząd wielkości większy niż KSC (kilkaset OUK).

§ 20 KRI - obowiązek SZBI

§ 20 KRI to najważniejszy paragraf rozporządzenia dla bezpieczeństwa informacji. Brzmi (skrócona istota):

Podmiot realizujący zadania publiczne opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów, jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność.

Trzy filary § 20

1. Cykl PDCA (Plan-Do-Check-Act) - "opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali". To bezpośrednie zapożyczenie z PN-ISO/IEC 27001.
2. Triada CIA - poufność (Confidentiality), dostępność (Availability), integralność (Integrity). Standardowa definicja celów bezpieczeństwa informacji.
3. Atrybuty rozszerzone - autentyczność, rozliczalność, niezaprzeczalność, niezawodność. Wykraczają poza CIA, są charakterystyczne dla regulacji administracyjnych.

Domniemanie zgodności z ISO 27001

§ 20 ust. 3 KRI stwierdza, że wymagania uważa się za spełnione, jeśli SZBI jest opracowany na podstawie PN-ISO/IEC 27001, a ustanawiane zabezpieczenia, zarządzanie ryzykiem oraz audytowanie wykonywane są na podstawie odpowiednich norm. To kluczowy mechanizm - daje podmiotom drogę do udokumentowanej zgodności poprzez wdrożenie międzynarodowego standardu.

Cytowane normy:

• PN-ISO/IEC 27001 - wymagania SZBI (zob. artykuł o ISO 27001).
• PN-ISO/IEC 27002 - kodeks dobrych praktyk, zabezpieczenia (zob. artykuł o ISO 27002).
• PN-ISO/IEC 27005 - zarządzanie ryzykiem bezpieczeństwa informacji.
• PN-ISO/IEC 24762 - usługi odzyskiwania zdolności do działania po katastrofie.

W praktyce większość polskich JST nie certyfikuje się na ISO 27001, ale wdraża SZBI na podstawie normy - dokumentacja, polityki, procedury opierają się na strukturze ISO 27001, bez formalnego certyfikatu. To dopuszczalne i wystarczające dla spełnienia KRI.

14 wymagań bezpieczeństwa

§ 20 ust. 2 KRI wymienia 14 szczegółowych wymagań bezpieczeństwa. Poniżej każde z nich z praktycznym komentarzem:

1. Aktualne inwentaryzacje sprzętu i oprogramowania

Lista wszystkich urządzeń sieciowych, stacji roboczych, serwerów, oprogramowania (systemowego i aplikacyjnego). Aktualizowana w trybie ciągłym. Praktyka: CMDB (Configuration Management Database) lub minimum arkusz Excel z procedurą aktualizacji.

2. Klasyfikacja informacji ze względu na poufność

Cztery poziomy: publiczna / wewnętrzna / poufna / tajna (lub równoważne). Każda informacja w organizacji powinna być zaklasyfikowana. Dla danych osobowych klasyfikacja koreluje z kategoriami RODO (zwykłe vs szczególne, art. 9 RODO).

3. Szkolenia pracowników

Szkolenia onboarding dla nowych pracowników (minimum) i cykliczne szkolenia awareness dla wszystkich (zalecane min. raz w roku). Tematy: rozpoznawanie phishingu, hasła, polityka pracy z danymi osobowymi, postępowanie w razie incydentu. Zob. Security Awareness.

4. Polityka dostępu do informacji

Procedura nadawania, weryfikacji i odbierania uprawnień. Zasada least privilege. Cykliczne przeglądy uprawnień (minimum raz w roku). Procedura "leaver" - usunięcie kont po odejściu pracownika.

5. Ochrona przed nieautoryzowanym dostępem

Mechanizmy techniczne: hasła zgodne z polityką (minimum 12 znaków, złożoność), MFA dla dostępu zdalnego i kont uprzywilejowanych, kontrola dostępu fizycznego (karty, kody PIN), monitoring wejść.

6. Kopie zapasowe

Strategia 3-2-1: minimum 3 kopie, na 2 różnych nośnikach, 1 offsite (poza lokalizacją produkcyjną). Regularny test odzyskiwania - minimum raz na rok dla systemów krytycznych. To najczęściej pomijany element - backup robi się, ale nikt go nigdy nie testował.

7. Ochrona przed złośliwym oprogramowaniem

Antywirus / EDR na wszystkich stacjach roboczych i serwerach. Aktualne sygnatury. Skanowanie wszystkich plików przychodzących (email, USB, downloadów). Whitelist aplikacji dla krytycznych systemów.

8. Mechanizmy kryptograficzne

Szyfrowanie:

• W spoczynku: BitLocker, LUKS dla dysków stacji roboczych zwłaszcza mobilnych. Szyfrowanie baz danych z danymi osobowymi.
• W tranzycie: TLS 1.2+ dla wszystkich aplikacji web, HTTPS, VPN z szyfrowaniem dla zdalnego dostępu.
• Komunikacja: szyfrowana poczta (S/MIME, PGP) dla wymiany danych poufnych z partnerami.

9. Ochrona przed atakami

Środki techniczne przeciw atakom: firewall, IDS/IPS, WAF dla aplikacji web, monitoring sieci. Hardening systemów (zob. Hardening) - usunięcie domyślnych kont, wyłączenie nieużywanych usług, ograniczenie portów.

10. Rejestrowanie zdarzeń

Logi systemowe i bezpieczeństwa centralnie zbierane (SIEM lub minimum centralny syslog), retencja minimum 12 miesięcy, ochrona przed manipulacją, regularne przeglądy.

11. Procedury ciągłości działania

Plan ciągłości działania (BCP) - jak organizacja kontynuuje krytyczne procesy w razie awarii. Plan odzyskiwania po awarii (DRP) - jak technicznie przywrócić systemy. Testy: tabletop minimum raz w roku, test full failover - rzadziej.

12. Ochrona przed kompromitacją kont uprzywilejowanych

Konta administracyjne: silne hasła (min. 16 znaków), MFA, PAM/PIM (Privileged Access Management - vault haseł, sesje nagrywane, czasowe nadawanie uprawnień), separacja od kont użytkowych (administrator nie loguje się tym samym kontem do poczty).

13. Audyt min. raz na 24 miesiące

Niezależny audyt SZBI, raport, plan działań korygujących (osobna sekcja niżej).

14. Dokumentacja SZBI

Wszystkie elementy SZBI udokumentowane: polityki, procedury, instrukcje, dowody (logs, raporty, rejestry). Kluczowa zasada audytu: "jeśli nie jest udokumentowane - nie istnieje".

Audyt KRI - co 24 miesiące

Audyt to najbardziej weryfikowalny obowiązek KRI. Wymóg: nie rzadziej niż raz na 24 miesiące (§ 20 ust. 2 pkt 14).

Charakter audytu

KRI mówi o "audycie wewnętrznym" - w polskim prawie audyt wewnętrzny ma określone znaczenie (ustawa o finansach publicznych, art. 272). Praktycznie audyt KRI może być:

• Wewnętrzny - przez komórkę audytu wewnętrznego JST (np. w urzędzie marszałkowskim, ministerstwie).
• Zlecony zewnętrznie - jako audyt wewnętrzny zlecony na zewnątrz (np. firmie audytorskiej). To najczęstsza praktyka w mniejszych JST.

Szczegółowy opis - artykuł o audycie KRI.

Zakres audytu

Audyt KRI obejmuje:

1. Dokumentację SZBI - polityka bezpieczeństwa, procedury, analiza ryzyka, plan ciągłości działania, plan zarządzania incydentami.
2. Środki techniczne - weryfikacja przez próbkowanie: konfiguracje hardeningu, MFA, szyfrowania, backupu, logowania, antywirusa.
3. Dowody operacyjne - rejestry zdarzeń, raporty z testów backupu, listy szkoleń, raporty z poprzednich audytów.
4. Świadomość personelu - wywiady z losowo wybranymi pracownikami (czy wiedzą jak zgłosić incydent, jak rozpoznać phishing, gdzie znaleźć polityki).
5. Testy techniczne (opcjonalnie, zalecane) - skanowanie podatności (zob. Skanowanie podatności), test penetracyjny (zob. Testy penetracyjne).

Raport audytowy

Raport zawiera:

• Cele i zakres audytu.
• Metodyka.
• Stwierdzenia (findings) - z klasyfikacją (krytyczne / wysokie / średnie / niskie).
• Rekomendacje działań korygujących.
• Plan postępowania - kto, co, do kiedy.
• Ocena ogólna stanu SZBI.

Raport przekazywany jest kierownikowi jednostki (wójt, burmistrz, prezydent, dyrektor, minister) i może być żądany przez NIK / RIO / kontrolę zewnętrzną.

Kompetencje audytora

Wymagania nie są wprost określone w KRI, ale rynkowy standard to:

• CIS^[19]A (Certified Information Systems Auditor) - ISACA.
• ISO 27001 Lead Auditor - akredytowane szkolenie + egzamin.
• Doświadczenie - minimum 3-5 lat w audycie bezpieczeństwa IT, najlepiej w sektorze publicznym.
• Niezależność - brak konfliktu interesów (nie wdraża SZBI tej samej jednostki).

Koszt audytu KRI

W zależności od skali jednostki:

• Mała gmina (do 10 tys. mieszkańców): 10-20 tys. zł za audyt.
• Średnia gmina / urząd miasta (10-50 tys.): 20-40 tys. zł.
• Duża jednostka (powyżej 50 tys. mieszkańców, urząd marszałkowski): 40-100 tys. zł.
• Ministerstwo / urząd centralny: 100-300 tys. zł.

Kontrola NIK i RIO

KRI nie ma bezpośrednich kar pieniężnych, ale konsekwencje pośrednie są realne.

Najwyższa Izba Kontroli (NIK)

NIK regularnie kontroluje stan informatyzacji administracji ^[5]. Co kilka lat publikowany jest raport "Bezpieczeństwo teleinformatyczne podmiotów publicznych". Wnioski NIK z ostatnich lat:

• Większość JST posiada dokument polityki bezpieczeństwa, ale często nieaktualny lub niezgodny z faktycznymi praktykami.
• Brak udokumentowanej analizy ryzyka w wielu JST.
• Audyt KRI nie jest przeprowadzany w terminie w wielu jednostkach (lub w ogóle).
• Słabe testy ciągłości działania - plany są, ale nie są testowane.
• Konflikt interesów w audycie - audytor wdraża i audytuje to samo SZBI.

Negatywna ocena NIK skutkuje:

• Publikacją wniosków w raporcie publicznym (reputation damage).
• Wystąpieniami pokontrolnymi z rekomendacjami.
• Wnioskami do organów ścigania w razie podejrzeń naruszenia prawa.
• Pisemnymi zaleceniami z terminem realizacji.

Regionalna Izba Obrachunkowa (RIO)

RIO kontroluje gospodarkę finansową JST. KRI wpada w zakres kontroli w aspekcie:

• Zasadności wydatków na IT - czy budżet uwzględnia obowiązki KRI.
• Realizacji projektów cyfryzacji - czy spełniają wymagania KRI.
• Pozyskania środków UE - czy nie naruszono zasad kwalifikowalności wymagających zgodności z KRI.

Ministerstwo Cyfryzacji / Pełnomocnik Rządu ds. Cyberbezpieczeństwa

Może prowadzić kontrole w jednostkach administracji rządowej. W razie poważnych braków formułuje zalecenia, w skrajnych przypadkach wnioskuje o odpowiedzialność dyscyplinarną.

Odpowiedzialność osobista

Kierownik jednostki (wójt, burmistrz, prezydent, dyrektor) ponosi odpowiedzialność za organizację bezpieczeństwa:

• Dyscyplinarna - w razie naruszenia obowiązków służbowych.
• Cywilna - w razie szkód wynikłych z zaniedbań.
• Karna - w skrajnych przypadkach (art. 165 § 1 pkt 4 KK - sprowadzenie niebezpieczeństwa dla wielu osób; art. 268 KK - utrudnianie zapoznania się z informacją uprawnionej osobie; art. 107 ustawy o ochronie danych osobowych).

RODO i konsekwencje wycieków

JST jest administratorem danych osobowych w rozumieniu RODO ^[7]. Naruszenie KRI prowadzące do wycieku danych może skutkować:

• Karą RODO - do 20 mln EUR lub 4% obrotu (dla JST - 4% obrotu nie ma zastosowania, kara do 10 mln EUR dla podmiotów publicznych w polskiej ustawie o ochronie danych osobowych).
• Obowiązkiem zgłoszenia do PUODO w 72h.
• Obowiązkiem powiadomienia osób, których dane dotyczą.
• Pozwami cywilnymi mieszkańców / petentów.

Mapping do PN-ISO/IEC 27001 i 27002

KRI § 20 ust. 3 daje domniemanie zgodności dla SZBI wdrożonego na podstawie ISO 27001. To kluczowy mechanizm - daje jednoznaczną drogę do udokumentowanej compliance.

Struktura ISO 27001:2022

ISO 27001 składa się z dwóch części:

• Wymagania zarządcze (klauzule 4-10) - kontekst organizacji, przywództwo, planowanie, wsparcie, działanie, ocena, doskonalenie.
• Załącznik A - 93 zabezpieczenia w 4 grupach:
  • A.5 Zabezpieczenia organizacyjne (37 controls).
  • A.6 Zabezpieczenia personalne (8 controls).
  • A.7 Zabezpieczenia fizyczne (14 controls).
  • A.8 Zabezpieczenia technologiczne (34 controls).

Szczegóły zabezpieczeń są w ISO 27002:2022 ^[4]. Zob. artykuł o ISO 27002.

Mapping 14 wymagań KRI -> ISO 27001:2022

Każde z 14 wymagań § 20 KRI ma odpowiednik w ISO 27001:2022 Annex A:

1. Inwentaryzacja sprzętu i oprogramowania -> A.5.9 Inventory of information and other assoc^[18]iated assets.
2. Klasyfikacja informacji -> A.5.12 Classification of information, A.5.13 Labelling of information.
3. Szkolenia -> A.6.3 Information security awareness, education and training.
4. Polityka dostępu -> A.5.15 Access control, A.5.16 Identity management, A.5.18 Access rights.
5. Ochrona przed nieautoryzowanym dostępem -> A.5.17 Authentication information, A.8.5 Secure authentication.
6. Kopie zapasowe -> A.8.13 Information backup.
7. Złośliwe oprogramowanie -> A.8.7 Protection against malware.
8. Kryptografia -> A.8.24 Use of cryptography.
9. Ochrona przed atakami -> A.8.20 Networks security, A.8.21 Security of network services, A.8.22 Segregation of networks.
10. Rejestrowanie zdarzeń -> A.8.15 Logging, A.8.16 Monitoring activities.
11. Ciągłość działania -> A.5.29 Information security during disruption, A.5.30 ICT readiness for business continuity.
12. Konta uprzywilejowane -> A.8.2 Privileged access rights.
13. Audyt -> klauzula 9.2 Internal audit ISO 27001 (wymaganie obligatoryjne).
14. Dokumentacja -> klauzula 7.5 Documented information.

Wniosek: certyfikat ISO 27001 = pełna zgodność z KRI § 20. Audyt KRI w jednostkach certyfikowanych ISO 27001 sprowadza się do weryfikacji aktualności certyfikatu i raportów z nadzoru jednostki certyfikującej.

Certyfikacja vs zgodność na podstawie normy

Dwie ścieżki:

• Pełna certyfikacja ISO 27001 - akredytowany audyt zewnętrzny, certyfikat ważny 3 lata, audyty nadzorcze co rok. Koszt: 30-100 tys. zł rocznie (dla średniej organizacji), korzyść: jednoznaczny dowód, ułatwienia w przetargach, wzmocnienie pozycji w wymianie z partnerami.
• SZBI "na podstawie ISO 27001" bez certyfikacji - wdrożenie zgodne z normą, ale bez audytu jednostki certyfikującej. Audyt KRI co 24 miesiące. Koszt: niższy w długim okresie, ale brak zewnętrznej walidacji.

KRI vs KSC vs NIS2

Trzy regulacje krajowe / europejskie często mylone, ale obejmujące różne podmioty:

Tabela porównawcza

• KRI - rozporządzenie z 12 kwietnia 2012 r. Dotyczy: podmioty realizujące zadania publiczne (administracja, JST, szkoły, szpitale publiczne nieobjęte KSC). Brak kar pieniężnych, kontrola NIK/RIO. Wymagania: § 20 (SZBI + 14 wymagań), audyt co 24 miesiące.
• KSC - ustawa z 5 lipca 2018 r. Dotyczy: operatorzy usług kluczowych (OUK) w 7 sektorach krytycznych (energia, transport, banki, szpitale powyżej progu, woda, infrastruktura cyfrowa, DUC). Kary do 1 mln zł (KSC obecny) lub 10 mln EUR (po NIS2). Wymagania: SZBI, SOC 24/7, zgłaszanie incydentów (24h), audyt co 24 miesiące. Zob. artykuł o KSC.
• NIS2 - dyrektywa UE 2022/2555. Dotyczy: 18 sektorów, w tym administracja publiczna. Po transpozycji do KSC (UC59) obejmie dużo szerszy katalog podmiotów. Kary do 10 mln EUR + osobista odpowiedzialność zarządu. Zob. artykuł o NIS2.

Mapping podmiotów

• Mała gmina (do 50 tys. mieszkańców): KRI tak, NIS2 prawdopodobnie nie (zależnie od polskiej transpozycji), KSC nie.
• Duża gmina, miasto na prawach powiatu: KRI tak, NIS2 prawdopodobnie tak (po transpozycji), KSC tylko w zakresie szpitali / wodociągów powyżej progu.
• Urząd marszałkowski: KRI tak, NIS2 tak (po transpozycji), KSC nie bezpośrednio.
• Ministerstwo: KRI tak, NIS2 tak (administracja centralna), KSC nie bezpośrednio.
• Szpital wojewódzki: KRI tak (jednostka organizacyjna JST), KSC tak (powyżej 75 łóżek), NIS2 tak (po transpozycji).
• Szkoła publiczna: KRI tak, KSC nie, NIS2 raczej nie.
• ZUS, NFZ: KRI tak, KSC tak (infrastruktura krytyczna), NIS2 tak.

Wnioski praktyczne:

• KRI jest powszechniejsze (dotyczy każdej JST), ale ma lżejszy reżim (brak kar pieniężnych).
• NIS2 będzie bardziej dotkliwe dla większych jednostek - kary, osobista odpowiedzialność.
• Wdrożenia mogą być wspólne - SZBI zgodny z ISO 27001 spełnia KRI, KSC i NIS2 jednocześnie (z drobnymi uzupełnieniami).

Wdrożenie KRI od zera

Dla jednostek bez SZBI typowy projekt wdrożeniowy trwa 6-12 miesięcy. Etapy:

Faza 1: Audyt zerowy (1-2 miesiące)

• Analiza stanu obecnego - co już istnieje (polityki, procedury, środki techniczne).
• Mapping do 14 wymagań § 20 KRI.
• Identyfikacja luk (gap analysis).
• Raport zerowy z planem działań.

Faza 2: Polityki i procedury (2-3 miesiące)

• Pakiet dokumentów SZBI - 30-50 dokumentów dla średniej gminy.
• Polityka bezpieczeństwa informacji (zatwierdzona przez wójta / burmistrza).
• Procedury operacyjne (zarządzanie incydentami, kopie zapasowe, zarządzanie dostępem).
• Analiza ryzyka i plan postępowania z ryzykiem.
• Plan ciągłości działania, plan zarządzania kryzysowego.

Faza 3: Wdrożenia techniczne (3-6 miesięcy)

• Hardening stacji roboczych i serwerów (zob. Hardening).
• MFA dla zdalnego dostępu i kont uprzywilejowanych.
• Antywirus / EDR na wszystkich urządzeniach.
• Backup z testem odzyskiwania.
• Logowanie centralne (syslog/SIEM).
• Szyfrowanie dysków, baz danych z danymi osobowymi.

Faza 4: Szkolenia i kultura (1-2 miesiące, ciągłe)

• Szkolenia onboarding dla nowych pracowników.
• Cykliczne szkolenia awareness - minimum raz w roku.
• Symulacje phishingu - testy świadomości personelu.
• Komunikacja wewnętrzna - plakaty, newslettery, e-learning.

Faza 5: Pierwszy audyt (1 miesiąc)

• Audyt zgodności z KRI § 20.
• Raport audytowy z planem działań korygujących.
• Komunikacja wyników do kierownictwa.
• Plan utrzymania (kolejny audyt za 24 miesiące).

Koszt wdrożenia

Średnia gmina (5-10 tys. mieszkańców, 30 stacji):

• Konsulting + dokumentacja: 30-60 tys. zł.
• Inwestycje techniczne (oprogramowanie, licencje, sprzęt): 20-50 tys. zł.
• Audyt: 15-25 tys. zł.
• Łącznie pierwszy rok: 70-150 tys. zł.
• Bieżące koszty rocznie potem: 30-60 tys. zł (utrzymanie licencji, szkolenia, audyt co 2 lata).

Większa jednostka (50-100 tys. mieszkańców, kilkaset stacji) - 200-500 tys. zł pierwszego roku.

Najczęstsze błędy JST i administracji

Po kontrolach NIK ^[5] i własnych audytach KRI obserwujemy powtarzające się błędy:

1. Polityka bezpieczeństwa = templatka z internetu. Pobrana z forum / strony konkurencji, nieodzwierciedlająca realiów jednostki. Pracownicy nigdy jej nie czytali.
2. Brak udokumentowanej analizy ryzyka. Albo jej nie ma, albo jest sprzed 5+ lat, albo nigdy nie była aktualizowana po istotnych zmianach (np. wdrożenie e-PUAP, ePłatności).
3. Plan ciągłości działania nigdy nie testowany. Dokument istnieje, ale nigdy nie sprawdzano, czy faktycznie działa - np. czy backup się przywróci, czy alternatywna lokalizacja jest dostępna.
4. Backup robi się, ale nikt go nigdy nie odtwarzał. Klasyk. Gdy przychodzi ransomware lub awaria - okazuje się, że backup jest uszkodzony lub niekompletny.
5. Brak MFA dla zdalnego dostępu. Pracownik łączy się przez VPN z hasłem (czasami słabym), zdarza się logowanie kradzionym kredensjalami.
6. Konta administracyjne używane do codziennej pracy. Pracownik IT loguje się tym samym kontem do administracji systemu i do poczty - rośnie ryzyko kompromitacji.
7. Logi nieprzeglądane i niechronione. Logi się gromadzą, ale nikt nie przegląda. W razie incydentu okazuje się, że już nie ma odpowiednich logów (retencja niewystarczająca).
8. Audyt KRI przez własnego dostawcę. Konflikt interesów - audytor sprawdza własne wdrożenie. Wynik audytu pozytywny ale niewiarygodny.
9. Brak szkoleń awareness lub szkolenia raz na 5 lat. Pracownicy nie wiedzą, jak rozpoznać phishing, dane osobowe wysyłane mailem, hasła zapisywane na karteczkach.
10. Stare oprogramowanie bez wsparcia. Windows 7, Windows Server 2008, stare wersje aplikacji bez patchowania. Najczęstsza furtka dla ransomware.
11. Brak hardeningu. Domyślne hasła routerów, domyślne konta administracyjne, niepotrzebne usługi włączone. Łatwy cel dla podstawowych skanerów.
12. Brak inwentaryzacji sprzętu i oprogramowania. Kierownictwo nie wie, ile jest urządzeń w sieci ani co na nich jest zainstalowane. Niemożliwa weryfikacja patchowania ani polityki.