Wiele firm zakłada, że audyt z ustawy o KSC zrobi ta sama firma, która wdrażała im zabezpieczenia. W końcu zna system najlepiej. Problem w tym, że ustawa mówi wprost: audytu nie może przeprowadzić osoba, która w audytowanym podmiocie realizowała zadania z zakresu cyberbezpieczeństwa – także w roku poprzedzającym audyt. Zasada niezależności wyklucza więc często właśnie tych, o których firma myśli w pierwszej kolejności.
Poniżej rozpisujemy, kogo dotyczy audyt z art. 15 ustawy o krajowym systemie cyberbezpieczeństwa, kto może go przeprowadzić, co obejmuje i co trzeba zrobić z raportem. Dla podmiotów kluczowych pierwszy termin to 3 kwietnia 2028 r. – i to jest mniej czasu, niż się wydaje.
Najważniejsze w skrócie:
- Podmioty kluczowe przeprowadzają audyt co najmniej raz na 3 lata; pierwszy w ciągu 24 miesięcy od spełnienia kryteriów – dla większości firm do 3 kwietnia 2028 r.
- Podmioty ważne nie mają audytu cyklicznego – organ może go nakazać po incydencie poważnym lub innym naruszeniu przepisów.
- Audyt przeprowadza akredytowana jednostka oceniająca zgodność, co najmniej dwóch audytorów z wymaganymi certyfikatami lub praktyką albo sektorowy CSIRT.
- Audytorem nie może być osoba, która realizowała w firmie zadania z ustawy – także rok przed audytem.
- Kopię sprawozdania trzeba przekazać organowi właściwemu w ciągu 3 dni roboczych od jego otrzymania.
Mapa artykułu
Spis treści
Kogo dotyczy audyt i kiedy jest pierwszy termin
Audyt cykliczny dotyczy podmiotów kluczowych. Trzeba go przeprowadzić co najmniej raz na 3 lata, a okres liczy się od podpisania sprawozdania z poprzedniego audytu. Pierwszy audyt firma ma zrobić w ciągu 24 miesięcy od dnia, w którym spełniła kryteria podmiotu kluczowego. Dla organizacji, które spełniały je w dniu wejścia ustawy w życie, czyli 3 kwietnia 2026 r., daje to termin 3 kwietnia 2028 r. Odrębne zasady mogą dotyczyć dawnych operatorów usług kluczowych, którzy audyt już przeprowadzili.
Podmioty ważne nie mają obowiązku audytu cyklicznego. Organ właściwy może jednak nakazać audyt – w przypadku podmiotu ważnego wyłącznie po incydencie poważnym lub innym naruszeniu przepisów ustawy. Wtedy to audyt zewnętrzny, a termin na przekazanie sprawozdania wskazuje decyzja organu. Jeśli nie wiesz, do której grupy należysz, zacznij od tekstu jak sprawdzić status firmy w nowelizacji KSC.
Kto może przeprowadzić audyt KSC
Ustawa wskazuje trzy możliwości:
- jednostka oceniająca zgodność akredytowana w odpowiednim zakresie,
- co najmniej dwóch audytorów, którzy mają certyfikaty określone w rozporządzeniu wydanym na podstawie art. 15 ust. 8 albo odpowiednią praktykę (3 lata w audycie bezpieczeństwa systemów informacyjnych lub 2 lata przy ukończonych studiach podyplomowych w tym zakresie),
- sektorowy CSIRT, jeśli jego audytorzy spełniają te same warunki.
Za praktykę (u audytorów, którzy nie mają certyfikatu) ustawa uznaje m.in. udokumentowane wykonanie w ciągu 3 lat przed rozpoczęciem audytu 3 audytów bezpieczeństwa systemów informacyjnych lub ciągłości działania albo pracę przy takich audytach w wymiarze co najmniej pół etatu. Jaki certyfikat jest wymagany, rozstrzyga rozporządzenie – rynkowe nazwy, które często padają w tym kontekście (CISA, CISSP, ISO 27001 Lead Auditor), warto zawsze zestawić z jego aktualną treścią.
Zasada niezależności – kto odpada
To punkt, który najczęściej zaskakuje. Art. 15 ust. 2a wyklucza z audytu osobę, która w audytowanym podmiocie realizowała zadania z zakresu zarządzania bezpieczeństwem, obsługi incydentów czy kontaktów z systemem KSC – albo robiła to w roku poprzedzającym audyt.
W praktyce oznacza to, że wewnętrzny administrator czy firma, która wdrażała SZBI, zwykle nie powinni audytować sami siebie. Ustawa mówi o osobach, a nie o firmach, więc teoretycznie dostawca usług zarządzanych mógłby wyznaczyć innych ludzi. Komentatorzy uważają to jednak za rozwiązanie wątpliwe, a audyt, którego niezależność da się podważyć, niewiele firmie da. Bezpieczniej zaplanować audytora spoza tej relacji.
Co obejmuje audyt
Audyt dotyczy systemu informacyjnego wykorzystywanego do świadczenia usługi. Systemy w firmie są zwykle ze sobą połączone, więc sztuczne zawężanie zakresu do jednego serwera rzadko ma sens – a organ, nakazując audyt, może sam określić jego zakres. Ważne: to audyt bezpieczeństwa systemu, a nie certyfikacja systemu zarządzania w rozumieniu ISO/IEC 27001 – dlatego jedno nie zastępuje drugiego.
Audytor sprawdza, czy obowiązki z ustawy działają w praktyce: szacowanie ryzyka, zabezpieczenia, obsługa i zgłaszanie incydentów, plany ciągłości działania, dokumentacja. Pełną listę wymagań, które trzeba mieć wdrożone, opisaliśmy w artykule co trzeba wdrożyć do 3 kwietnia 2027 r.
Sprawozdanie: 3 dni robocze na przekazanie
Audytor przekazuje sprawozdanie firmie, a firma ma 3 dni robocze od jego otrzymania, żeby przesłać kopię w postaci elektronicznej do organu właściwego do spraw cyberbezpieczeństwa. Sprawozdanie z wykrytymi nieprawidłowościami to dokument, który organ może potem wykorzystać przy nadzorze – kolejny powód, żeby nie wchodzić w audyt nieprzygotowanym.
Mit czy fakt
| Twierdzenie | Werdykt | Dlaczego |
|---|---|---|
| „Mamy ISO 27001, więc audyt KSC mamy z głowy” | Mit | Certyfikat bardzo pomaga, ale audyt KSC dotyczy bezpieczeństwa systemu informacyjnego i wymagań ustawy, a nie systemu zarządzania. |
| „Audyt zrobi nasz informatyk” | Zwykle mit | Musi spełniać wymagania kwalifikacyjne i nie może realizować w firmie zadań z ustawy – a informatyk zwykle je realizuje. |
| „Podmiot ważny nigdy nie przechodzi audytu” | Pół prawdy | Nie ma audytu cyklicznego, ale organ może go nakazać po incydencie poważnym lub innym naruszeniu ustawy. |
| „Audyt robimy raz i spokój” | Mit | Podmiot kluczowy powtarza go co najmniej raz na 3 lata. |
| „Do 2028 r. jest mnóstwo czasu” | Ryzykowne | Audyt ocenia obowiązki, które trzeba wdrożyć już do 3 kwietnia 2027 r. Na poprawki po audycie wewnętrznym zostaje niewiele. |
Jak przygotować firmę do audytu
Najrozsądniej zrobić najpierw analizę luk – kilka miesięcy przed audytem, żeby był czas na poprawki. Sprawdź, czy masz aktualne szacowanie ryzyka, czy procedura zgłaszania incydentów była kiedykolwiek przećwiczona, czy plan ciągłości działania był testowany i czy logi pokazują, że zabezpieczenia działają, a nie tylko są opisane. Ćwiczenie planów pomaga też wykazać symulacja ataku ransomware.
Jak pomagamy przy audycie KSC
Przygotowujemy firmy do audytu: robimy analizę luk względem wymagań ustawy, porządkujemy dokumentację i pomagamy wdrożyć brakujące zabezpieczenia. Przeprowadzamy też audyt bezpieczeństwa – tam, gdzie nie byliśmy wcześniej wdrożeniowcem ani dostawcą usług zarządzanych danej firmy. Jeśli pełnimy dla Was jedną z tych ról, powiemy to wprost i ustalimy, jak zachować niezależność audytu.
FAQ – audyt KSC
Czy audyt cykliczny może przeprowadzić ktoś z firmy?
Ustawa nie przesądza tego wprost, a część komentatorów dopuszcza audyt wewnętrzny. Audytor musi jednak spełniać wymagania kwalifikacyjne i zasadę niezależności. Audyt zlecony przez organ zawsze jest zewnętrzny.
Ile trwa audyt KSC?
Zależy od wielkości systemu informacyjnego i gotowości dokumentacji. Więcej czasu niż sam audyt zajmuje zwykle przygotowanie – dlatego warto zacząć od analizy luk.
Komu przekazuje się sprawozdanie?
Kopię sprawozdania firma przesyła elektronicznie do organu właściwego do spraw cyberbezpieczeństwa w ciągu 3 dni roboczych od jego otrzymania.
Co jeśli firma stanie się podmiotem kluczowym później?
Wtedy pierwszy audyt trzeba przeprowadzić w ciągu 24 miesięcy od dnia spełnienia kryteriów.
Czy certyfikat ISO 27001 zwalnia z audytu?
Nie. Ułatwia przygotowanie, bo wiele wymagań się pokrywa, ale nie zastępuje audytu z ustawy o KSC.
