Ile kosztuje audyt KRI i SZBI: od czego zależy cena, plan audytu i lista kontrolna
Opublikowano 4.11.2026 · czytanie ok. 3 min
„Audyt KRI cena” i „ile kosztuje audyt SZBI” wpisuje wielu dyrektorów i sekretarzy, zanim wyśle zapytanie ofertowe. Odpowiedź zależy od tego, jakiego audytu jednostka potrzebuje. W szkole i małym urzędzie to zwykle audyt wewnętrzny, który można zrobić własnymi siłami.
Jaki audyt jest potrzebny
| Audyt | Kogo dotyczy | Kto może przeprowadzić |
|---|---|---|
| Audyt wewnętrzny z § 19 ust. 2 pkt 14 rozporządzenia o KRI, raz w roku, do 23 lutego 2027 r. | podmioty realizujące zadania publiczne, m.in. szkoły, OPS, urzędy | przepis nie określa kwalifikacji; dobrze, żeby audytor nie oceniał własnej pracy |
| Przegląd systemu z Załącznika nr 4, część III, co najmniej raz w roku | podmiot ważny publiczny: szkoła, przedszkole, OPS, mniejszy urząd gminy | jednostka sama |
| Audyt bezpieczeństwa z art. 15 ustawy o KSC, co najmniej raz na 3 lata | podmioty kluczowe, np. starostwo, urząd gminy zatrudniający co najmniej 50 osób | audytor spełniający wymagania art. 15 ust. 2, który nie realizuje w tej jednostce zadań z art. 8 i 9–13 ani nie robił tego w roku przed audytem (ust. 2a) |
Od czego zależy cena
- rodzaj audytu: wewnętrzny czy z art. 15 ustawy o KSC,
- liczba systemów, lokalizacji i stanowisk,
- stan dokumentacji: czy są rejestry, wyniki testów kopii, potwierdzenia szkoleń,
- czy audyt kończy się tylko raportem, czy także planem działań naprawczych,
- czy audytor przyjeżdża na miejsce, czy pracuje na udostępnionych dowodach.
Czas pracy i porównywanie ofert
Przy audycie wewnętrznym największym kosztem jest czas. Jeśli przez rok nie było zapisów, audytor musi zbierać informacje od ludzi i z komputerów. Jeśli zapisy są prowadzone na bieżąco, audyt sprowadza się do sprawdzenia dowodów i rozmowy.
Ceny firm zewnętrznych bardzo się różnią, dlatego warto porównać kilka ofert z tym samym zakresem. Przy audycie wewnętrznym w szkole albo ośrodku liczy się przede wszystkim, ile godzin pracownik poświęci na zebranie dowodów.
Plan audytu w pięciu krokach
- Zakres i kryteria: § 19 ust. 2 rozporządzenia o KRI i Załącznik nr 4 ustawy o KSC.
- Audytor i termin: osoba, która nie prowadzi na co dzień audytowanych obszarów, termin najlepiej razem z przeglądem systemu.
- Zebranie dowodów: rejestry, wyniki testów, potwierdzenia szkoleń, protokoły incydentów.
- Rozmowy i sprawdzenie na miejscu: czy stan faktyczny zgadza się z dokumentami.
- Raport i plan działań naprawczych z terminami i osobami odpowiedzialnymi.
Lista kontrolna: od czego zacząć
- czy inwentaryzacja sprzętu, programów i usług w chmurze jest aktualna,
- czy uprawnienia osób, które odeszły albo zmieniły zadania, zostały odebrane,
- czy kopie zapasowe są odseparowane i czy był test ich odtworzenia,
- czy jest procedura na wypadek awarii lub incydentu i czy ją przetestowano,
- czy pracownicy i kierownik przeszli szkolenie w tym roku i jest to udokumentowane,
- czy rejestr incydentów jest prowadzony, także dla zdarzeń niezgłoszonych do CSIRT,
- czy przegląd systemu odbył się w ciągu ostatniego roku.
Audyt w portalu i-SZBI
Portal prowadzi audyt wewnętrzny krok po kroku: pytania z listy kontrolnej, dowody zebrane w ciągu roku, ocena i plan działań naprawczych z terminami. Raport drukujesz od razu. Audyt może przeprowadzić Twój pracownik albo zaprzyjaźniona firma, której dajesz dostęp do portalu w ustalonym zakresie.
Koszt to abonament portalu i czas Twojego pracownika, bez osobnej faktury za każdy audyt. Aktualne ceny są na stronie /cennik. Jeśli jednostka jest podmiotem kluczowym i potrzebuje audytu z art. 15, portal przygotuje dla audytora zewnętrznego komplet dowodów z całego roku, co skraca jego pracę.
Audytor znajdzie w portalu także dowody szkoleń: wyniki testów, zaświadczenia pracowników i kierownika oraz raporty z kampanii phishingowych.
Nie wiesz, jaki status ma Twoja jednostka? Kalkulator ustali go w kilka minut, bez logowania.
Najczęstsze pytania
Czy audyt KRI musi przeprowadzić firma zewnętrzna?
Nie. § 19 ust. 2 pkt 14 rozporządzenia o KRI mówi o audycie wewnętrznym i nie określa kwalifikacji audytora. Dobrą praktyką jest natomiast, żeby audytor nie oceniał własnej pracy.
Czy audyt KRI będzie potrzebny po 23 lutego 2027 r.?
Obowiązek z § 19 obowiązuje do tego dnia. Niezależnie od tego obowiązek z ustawy o KSC istnieje od 3 kwietnia 2026 r., z terminem wykonania 3 kwietnia 2027 r.: podmiot ważny publiczny przegląda system z Załącznika nr 4 do ustawy o KSC co najmniej raz w roku, a podmiot kluczowy ma audyt z art. 15 co najmniej raz na 3 lata.