Obowiązek zapewnienia okresowego (lecz nie rzadziej niż raz na rok) audytu wewnętrznego w zakresie bezpieczeństwa informacji przetwarzanych w systemie teleinformatycznym wprowadził § 20 ust. 2 pkt 14 rozporządzenia Rady Ministrów z 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (Rysunek 1, Rysunek 2), minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (dalej: rozporządzenie w sprawie systemów teleinformatycznych).

Audyt wewnętrzny bezpieczeństwa informacji jest procesem, który obejmuje analizę aktualnego stanu zabezpieczenia zasobów informacyjnych pod względem: poufności, integralności i dostępności.

Głównym celem przeprowadzania audytu bezpieczeństwa jest znalezienie błędów w funkcjonowaniu systemu kontroli, uprawnień użytkowników, zabezpieczeń oraz wykorzystanie analizy ryzyka do oceny które z zaistniałych nieprawidłowości są najważniejsze i wymagają dokładnej oceny.

W wyniku audytu powstaje raport rekomendujący niezbędne zmiany służące do zapewnienia odpowiedniego poziomu zabezpieczeń.