Należy także dostrzec różnicę, jakie ustawodawca określił w zakresie podstaw prawnych, jak i w zakresie wymagań kwalifikacyjnych, które muszą być spełnione do realizacji poszczególnych zadań audytowych – w ramach czynności realizowanych podczas audytu wewnętrznego bezpieczeństwa informacji , i zadań kontrolnych – w ramach prowadzonych postępowań kontrolnych, czyli różnice dotyczące:

• osób, jakie uprawnione są do przeprowadzenia audytu wewnętrznego bezpieczeństwa informacji (Audyt KRI), na podstawie § 20 ust. 1 w zw. z ust. 2 pkt 14 Rozporządzenia KRI
• osób, jakie uprawnione są do prowadzenia postępowania kontrolnego, na podstawie art. 25 Ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. W tym przypadku Ustawodawca zdecydował się na wprowadzenie określonych prawem kryteriów, które muszą spełniać kontrolerzy realizujący zadania kontrolne.Wymagania te określone zostały w treści m.in. art. 28 Ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne oraz wydanym na podstawie art. 28 ust. 3 ww .Ustawy Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 10 września 2010 r. w sprawie wykazu certyfikatów uprawniających do prowadzenia kontroli projektów informatycznych i systemów teleinformatycznych. Innymi słowy, aby dana osoba mogła realizować zadania w ramach postępowania kontrolnego musi spełniać ww. kryteria formalnoprawne – w odniesieniu natomiast do osoby realizującej zadania w ramach audytu wewnętrznego bezpieczeństwa informacji, takich wymogów ustawodawca nie wprowadził, oczywiście adekwatny poziom wiedzy, i doświadczenia, musi iść za wyborem danej osoby, na realizatora Audytu KRI, o czym wspominałem powyżej wskazując proponowane kryteria wyboru.