Krajowe Ramy Interoperacyjności (KRI) to rozporządzenie Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773), które zastąpiło wcześniejsze przepisy z 2012 r. Określa minimalne wymagania dla rejestrów publicznych, wymiany informacji w postaci elektronicznej oraz dla systemów teleinformatycznych podmiotów realizujących zadania publiczne - a więc także urzędów i jednostek JST.
Najważniejsze wymagania wobec JST
- Ustanowienie, wdrożenie i utrzymywanie SZBI (§ 19); oparcie go na normach PN-ISO/IEC 27001, 27002 i 27005 daje domniemanie spełnienia wymagań
- Okresowy audyt wewnętrzny z zakresu bezpieczeństwa informacji - nie rzadziej niż raz w roku
- Zarządzanie uprawnieniami, kopiami zapasowymi, aktualizacjami i incydentami
- Interoperacyjność rejestrów publicznych i wymiany informacji w postaci elektronicznej (dostępność cyfrową, w tym WCAG, reguluje odrębna ustawa z 4 kwietnia 2019 r.)
- Inwentaryzacja sprzętu i oprogramowania oraz rozliczalność działań w systemach
Relacja do KSC i RODO
KRI, KSC i RODO tworzą spójny zestaw obowiązków: KRI wyznacza minimalne standardy techniczno-organizacyjne dla systemów publicznych, KSC dokłada wymagania cyberbezpieczeństwa wynikające z NIS2, a RODO chroni dane osobowe. W praktyce ten sam SZBI obsługuje wymagania wszystkich trzech aktów, co przemawia za centralizacją kompetencji w LCC. Przepisy KRI o SZBI mają zostać usunięte z rozporządzenia do 22 lutego 2027 r.; od tego czasu wymagania cyberbezpieczeństwa podmiotów publicznych określa ustawa o KSC (Ministerstwo Cyfryzacji, Q&A 14.12).