Audyt bezpieczeństwa informacji z wyjaśnieniami

Są problemy interpretacyjne dotyczące rozporządzenia z 12 kwietnia 2012 r. w sprawie m.in. Krajowych Ram Interoperacyjności (Dz.U. poz. 526). Dlatego Ministerstwo Finansów i Ministerstwo Administracji i Cyfryzacji opublikowały wyjaśnienia (m.in. na stronie www.mf.gov.pl). Wątpliwości dotyczą m.in. przepisu, który zobowiązuje jednostki z sektora finansów publicznych, które nie wdrożyły systemu zarządzania bezpieczeństwem informacji (zgodnie z normami wskazanymi w par. 20 ust. 3 rozporządzenia), do zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji - nie rzadziej niż raz na rok. Resorty wyjaśniają, że użycie w rozporządzeniu sformułowania "audyt wewnętrzny" nie miało na celu obligatoryjnego przypisania tego obowiązku komórkom audytu wewnętrznego. Ustawodawca nie określił sposobu, trybu czy rodzaju audytu ani też osób czy komórek organizacyjnych, którym należałoby go powierzyć. Zatem decyzja co do tego, komu zostanie powierzone prowadzenie omawianego audytu, spoczywa na kierownictwie jednostki.