• admin@kibc
• 24 czerwca 2026
• Brak komentarzy

Zapewnienie skutecznej ochrony informacji w sektorze publicznym od lat opierało się na konkretnych filarach prawnych. Dla większości urzędów, szpitali, uczelni czy instytucji samorządowych pojęciem kluczowym był coroczny audyt KRI. Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa diametralnie to zmieniła. Stoimy obecnie w obliczu reformy, która ma na celu uporządkowanie i uproszczenie obowiązków nakładanych na podmioty publiczne. Co dokładnie się zmieni?

Czym są Krajowe Ramy Interoperacyjności (KRI)?

Krajowe Ramy Interoperacyjności to zbiór wymagań i standardów określonych Rozporządzeniem Rady Ministrów. Ich głównym zadaniem jest ujednolicenie systemów teleinformatycznych stosowanych przez podmioty realizujące zadania publiczne, tak aby mogły one bezpiecznie i efektywnie wymieniać między sobą dane.

Kluczowym elementem tego rozporządzenia, w wersji z 21 maja 2024 r., było zobowiązanie instytucji do opracowania, wdrożenia i utrzymywania Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). To właśnie w ramach SZBI podmioty publiczne musiały regularnie, nie rzadziej niż raz w roku, przeprowadzać okresowy audyt wewnętrzny bezpieczeństwa informacji, znany powszechnie jako audyt KRI.

Obowiązki w zakresie cyberbezpieczeństwa na mocy KRI

Do tej pory na mocy przepisów o KRI podmioty publiczne były zobligowane do realizacji szeregu działań o charakterze technicznym i organizacyjnym. Należały do nich m.in.:
– dbanie o dostępność i integralność zasobów informacyjnych.
– kontrola dostępu do systemów oraz dbanie o wysoki poziom świadomości pracowników (regularne szkolenia z cyberbezpieczeństwa).
– monitorowanie zagrożeń oraz wdrażanie procedur natychmiastowego zgłaszania naruszeń bezpieczeństwa danych.
– przeprowadzanie okresowego audytu SZBI przez niezależne podmioty lub wykwalifikowanych audytorów wewnętrznych.

KRI 2027 – koniec z dublowaniem przepisów

Sytuacja ta ulega jednak diametralnej zmianie. Zgodnie z najnowszymi wytycznymi Ministerstwa Cyfryzacji, które opisuje czerwcowa aktualizacja Q&A dotyczących nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa z 2026 roku, głównym i nadrzędnym aktem prawnym regulującym obowiązki cyberbezpieczeństwa podmiotów publicznych staje się znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) z 2026 roku.

Co za tym idzie, aby uniknąć uciążliwej dla instytucji dwutorowości prawnej i powielania tych samych wymagań w dwóch różnych aktach, ustawodawca zdecydował o całkowitym wyłączeniu przepisów dotyczących cyberbezpieczeństwa z rozporządzenia KRI. Przepisy nakazujące wdrażanie SZBI na poziomie KRI zostaną z niego trwale usunięte.

Jak czytamy w punkcie 14.12 Q&A Ministerstwa Cyfryzacji:
Czy podmioty publiczne mają obowiązek stosować wymogi cyberbezpieczeństwa zawarte w rozporządzeniu w sprawie Krajowych Ram Interoperacyjności?
Obowiązki dotyczące cyberbezpieczeństwa podmiotów publicznych znajdują się w ustawie o KSC. Rozporządzenie Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych, będzie zmienione – zostaną z niego usunięte przepisy dotyczące wdrożenia systemu zarządzania bezpieczeństwem informacji.
Będzie ono zmienione do 22 lutego 2027 r., co wynika z art. 15 ustawy z dnia 25 lipca 2025 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw. Do czasu zmiany rozporządzenia ono nadal obowiązuje.

Co to oznacza dla podmiotów publicznych w praktyce?

Przede wszystkim jest to krok w stronę racjonalizacji prawa i zmniejszenia biurokracji. Dotychczasowa konieczność jednoczesnego spełniania kryteriów rozporządzenia KRI oraz rygorystycznych, nowoczesnych wymogów ustawy o KSC rodziła chaos interpretacyjny i generowała dodatkowe koszty administracyjne, np. konieczność zlecania osobnych audytów zgodności.

Co warto jednak podkreślić, pomimo zapowiadanej reformy i wyczyszczenia rozporządzenia KRI z zapisów bezpieczeństwa, Ministerstwo Cyfryzacji wyraźnie podkreśla, że do czasu formalnej zmiany rozporządzenia, czyli najpóźniej do 22 lutego 2027 r., dotychczasowe przepisy KRI nadal bezwzględnie obowiązują. Podmioty publiczne nie mogą zatem zaniechać obecnych działań audytowych aż do momentu oficjalnego wejścia w życie nowelizacji.

Jak przygotować się do nowelizacji KRI w 2027 roku?

Wszystkie podmioty publiczne powinny zacząć płynnie przenosić środek ciężkości swoich strategii ochronnych na wymagania wynikające bezpośrednio z ustawy o KSC. Nowe ramy prawne mają być bardziej spójne, przejrzyste i dostosowane do realiów współczesnych cyberzagrożeń, eliminując sztuczne dublowanie struktur.

Niemniej jednak, zaplanowane na najbliższe miesiące audyty KRI muszą zostać zrealizowane zgodnie z dotychczasowym harmonogramem.

Z pełną treścią najważniejszych pytań i odpowiedzi dotyczących nowelizacji KSC i przepisów KRI można zapoznać się w poniższym dokumencie: QA nowelizacja KSC

źródło: czerwcowa aktualizacja Q&A dotyczących nowelizacji KSC przygotowanych przez Ministerstwo Cyfryzacji