Stan prawny na: 02.11.2026

Kiedy jednostka zaczyna korzystać z systemu w chmurze, informatyk albo pełnomocnik do spraw bezpieczeństwa informacji zadaje pytanie: jak to się ma do KRI? Krajowe Ramy Interoperacyjności to rozporządzenie, które od lat wyznacza minimalne wymagania dla systemów teleinformatycznych w administracji publicznej, w tym obowiązek prowadzenia systemu zarządzania bezpieczeństwem informacji. Usługa chmurowa nie zwalnia jednostki z tych obowiązków. Zmienia natomiast to, jak je realizuje: część zadań przechodzi na dostawcę, a jednostka musi umieć wykazać, że to sprawdziła.

Ten artykuł pomaga przygotować listę pytań do dostawcy usługi SaaS i opisać usługę w dokumentacji bezpieczeństwa urzędu. Nie zastępuje audytu KRI ani opinii prawnej.

Czym są KRI i kogo dotyczą

Podstawą KRI jest ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Na jej podstawie Rada Ministrów wydała rozporządzenie w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych. Wymagania dotyczą podmiotów realizujących zadania publiczne, w tym gmin i ich jednostek.

Z punktu widzenia systemu rezerwacji najważniejsze są dwie grupy wymagań:

  • bezpieczeństwo informacji - podmiot opracowuje, ustanawia, wdraża, monitoruje i doskonali system zarządzania bezpieczeństwem informacji;
  • interoperacyjność - systemy mają umożliwiać wymianę danych w określonych formatach i współpracę z innymi systemami.

Usługa w chmurze w systemie zarządzania bezpieczeństwem

System zarządzania bezpieczeństwem informacji to nie dokument, tylko sposób działania: inwentaryzacja, analiza ryzyka, zasady dostępu, szkolenia, reagowanie na incydenty, kopie zapasowe, audyt. Usługa w chmurze wchodzi w każdy z tych elementów:

Element systemu Co oznacza dla usługi SaaS
Inwentaryzacja Usługa jest w wykazie systemów, z właścicielem biznesowym w urzędzie i opisem przetwarzanych danych
Analiza ryzyka Ryzyka po stronie dostawcy (awaria, wyciek, upadłość) i po stronie jednostki (konta, uprawnienia)
Umowy z podmiotami zewnętrznymi Umowa z dostawcą zawiera wymagania bezpieczeństwa, a nie tylko cenę
Zarządzanie dostępem Imienne konta, role, odbieranie dostępu po odejściu pracownika
Rozliczalność Dziennik działań: kto, co i kiedy zmienił
Kopie zapasowe Kto je robi, jak często, gdzie i czy da się je odtworzyć
Incydenty Jak dostawca informuje jednostkę i w jakim terminie
Szkolenia Pracownicy wiedzą, jak bezpiecznie korzystać z panelu
Audyt Jednostka ma prawo do informacji i audytu u dostawcy

Najczęstszy problem przy audycie KRI nie dotyczy samej chmury, tylko braku dokumentów: usługa działa, ale nikt nie wpisał jej do wykazu, nie ma analizy ryzyka, a umowa z dostawcą to faktura i regulamin ze strony internetowej.

Dziesięć obszarów do sprawdzenia u dostawcy

  1. Lokalizacja danych. Gdzie są serwery, kopie zapasowe i serwer poczty? Czy dane opuszczają Europejski Obszar Gospodarczy?
  2. Podwykonawcy. Lista dostawców infrastruktury i usług, z którymi pracuje dostawca, oraz tryb informowania o zmianach.
  3. Rozdzielenie danych jednostek. Jak dane jednej jednostki są oddzielone od danych innych klientów?
  4. Dostęp personelu dostawcy. Kto po stronie dostawcy ma dostęp do danych jednostki, jak jest zabezpieczony i czy jest rejestrowany?
  5. Uwierzytelnianie. Jak chronione są hasła, czy jest drugi składnik logowania, jak działają sesje?
  6. Dziennik działań. Czy system rejestruje zmiany danych i logowania? Jak długo przechowuje wpisy?
  7. Kopie zapasowe. Częstotliwość, szyfrowanie, retencja, testy odtworzenia.
  8. Incydenty. Termin i kanał powiadomienia jednostki, zakres informacji.
  9. Ciągłość działania. Co się dzieje przy awarii, jak długo trwa przywrócenie, czy dostawca ma plan ciągłości.
  10. Zakończenie umowy. Eksport danych, format, termin usunięcia danych i kopii.

Odpowiedzi warto dostać na piśmie, najlepiej jako załącznik do umowy powierzenia albo umowy o świadczenie usługi. O treści umowy powierzenia piszemy w artykule Umowa powierzenia przetwarzania danych w usłudze chmurowej.

Interoperacyjność: formaty i eksport danych

KRI wymagają, żeby dane w systemach publicznych dało się wymieniać w otwartych, opisanych formatach (załączniki do rozporządzenia). Dla systemu rezerwacji oznacza to przede wszystkim możliwość wyeksportowania danych, czyli niezależność od dostawcy.

Pytania praktyczne:

  • w jakich formatach można pobrać raporty i dane (na przykład CSV, PDF);
  • czy pełny eksport obejmuje dane, pliki i dokumenty;
  • czy eksport jest dostępny także po zakończeniu umowy i przez jaki czas.

Co zostaje po stronie gminy

Model SaaS przenosi na dostawcę serwery, aktualizacje, kopie zapasowe i zabezpieczenia infrastruktury. Po stronie jednostki zostaje:

  • wpis usługi do wykazu systemów i analiza ryzyka;
  • nadawanie i odbieranie uprawnień pracownikom, bez wspólnych kont;
  • regularny przegląd kont, na przykład raz na kwartał;
  • bezpieczeństwo komputerów, z których pracownicy logują się do panelu;
  • szkolenie pracowników i opiekunów obiektów;
  • reagowanie na incydenty po stronie jednostki, na przykład zgubiony telefon z dostępem do poczty;
  • nadzór nad dostawcą: przegląd umowy, informacje o zmianach podwykonawców, audyt.

Warto to zapisać w dokumentacji: „Usługa X, dostawca Y, właściciel w urzędzie Z, przegląd uprawnień co kwartał”. Audytor KRI zapyta właśnie o to.

Jak odpowiadamy na te pytania w ZAJMIJ.TO

Poniżej opisujemy zabezpieczenia usługi ZAJMIJ.TO w dwóch grupach.

Zabezpieczenia aplikacji:

  • trzy role pracowników (administrator, kierownik, pracownik) z zakresem ograniczonym do przypisanych jednostek i obiektów;
  • hasła przechowywane jako skrót bcrypt, czasowa blokada po pięciu nieudanych próbach logowania;
  • drugi składnik logowania, który administrator jednostki może włączyć dla każdego konta: jednorazowy kod wysyłany e-mailem albo kod z aplikacji uwierzytelniającej;
  • krótko ważne tokeny dostępu, rotacja tokenu odświeżającego i unieważnienie wszystkich sesji przy próbie jego ponownego użycia, z alertem e-mail;
  • dziennik aktywności z informacją, kto, co i kiedy zmienił, wraz z adresem IP; wpisy starsze niż 90 dni są przenoszone do archiwum dziennika;
  • raporty w CSV i potwierdzenia płatności w PDF.

Zabezpieczenia usługi abonamentowej:

  • osobna baza danych i osobne konto bazodanowe dla każdej jednostki;
  • codzienne, szyfrowane kopie zapasowe każdej jednostki poza serwerem aplikacji, co godzinę zapis zmian bazy (maksymalna utrata danych do 1 godziny) i cotygodniowy test odtworzenia;
  • obowiązkowy drugi składnik logowania dla kont naszego zespołu i nieedytowalny dziennik wejść wsparcia na konto jednostki z powiadomieniem jej administratora;
  • pełny eksport danych jednostki (baza danych, pliki, kluczowe zestawienia) przez link ważny 7 dni;
  • powiadamianie jednostki o naruszeniu ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia.

Lokalizację danych, listę podprzetwarzających i aktualny opis wszystkich zabezpieczeń podajemy na stronie bezpieczeństwo danych i RODO. Do dokumentacji systemu zarządzania bezpieczeństwem informacji przygotowaliśmy pakiet KRI: skrót jest publiczny, a pełną wersję pobiera administrator jednostki w panelu, gdy abonament jest włączony i opłacony.

Wyślij zgłoszenie

Źródła

Powiązane wpisy