Audyt zgodności z ustawą o KSC — zanim zbada Was audytor albo organ
Trzy rodzaje audytu na trzy momenty wdrożenia: zerowy na start, ustawowy z art. 15 dla podmiotów kluczowych i weryfikacyjny po zakończonym projekcie. Wynikiem zawsze jest raport rozbieżności z podstawą prawną każdego ustalenia — i plan naprawczy.
Zapytaj o audyt →Który audyt jest dla Waszej jednostki
Nazwa „audyt NIS2" funkcjonuje na rynku w trzech znaczeniach. Rozdzielamy je wprost, żebyście zamawiali to, czego faktycznie potrzebujecie.
Audyt zerowy (gap analysis)
przed wdrożeniem albo na jego starcie
Zestawiamy stan faktyczny jednostki z wymaganiami ustawy o KSC: wykaz, dokumentacja, analiza ryzyka, obsługa incydentów, umowy z dostawcami. Wynikiem jest raport rozbieżności z listą działań ułożoną według wagi — gotowy plan wdrożenia, nie ogólniki.
Przygotowanie do audytu ustawowego
podmioty kluczowe — pierwszy audyt do 3 kwietnia 2028 r.
Podmiot kluczowy przechodzi audyt bezpieczeństwa systemu informacyjnego co 3 lata (art. 15 ustawy o KSC). Przygotowujemy jednostkę od strony dokumentacyjnej i organizacyjnej, porządkujemy dowody zgodności i prowadzimy jednostkę przez przebieg audytu — łącznie z odpowiedzią na ustalenia.
Audyt weryfikacyjny po wdrożeniu
po zakończeniu projektu wdrożeniowego
Sprawdzamy, czy wdrożenie — własne albo wykonane przez firmę zewnętrzną — rzeczywiście pokrywa obowiązki ustawowe. Częsty wynik: technologia działa, ale dokumentacja, rejestry i umowy nie wykazują zgodności, a to je bada organ i audytor.
Podmiot kluczowy przeprowadza audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata (art. 15 ustawy o KSC); pierwszy audyt przypada do 3 kwietnia 2028 r. — i od tej samej daty organ może nakładać kary. Przedmiotem pierwszego audytu będzie stan wdrożenia zbudowany w latach 2026–2027, dlatego audyt zerowy wykonany teraz jest najtańszym momentem na wykrycie braków. Nie wiesz, czy jednostka jest podmiotem kluczowym? Sprawdź status w teście →
Zakres i dokumenty
Ustalamy zakres (jednostka, systemy, jednostki podległe) i kompletujemy dokumentację wyjściową.
Badanie
Analiza dokumentacji, wywiady z osobami odpowiedzialnymi, przegląd procesów — na miejscu albo zdalnie.
Raport rozbieżności
Każde ustalenie z podstawą prawną, oceną wagi i rekomendacją. Bez ogólników typu „należy podnieść poziom bezpieczeństwa".
Plan naprawczy
Kolejność działań pod terminy ustawowe i budżet jednostki. Na życzenie prowadzimy też realizację planu.
Audyt nie zastępuje wdrożenia — pokazuje braki, ale ich nie usuwa. Jeżeli jednostka nie ma jeszcze SZBI, uczciwsza kolejność to audyt zerowy i od razu wdrożenie, nie audyt dla samego raportu. Nie sprzedajemy sprzętu, oprogramowania ani usług monitorowania — rekomendacje z raportu nie są ofertą handlową ukrytą w ustaleniach.
Czy audyt NIS2 jest obowiązkowy?
Obowiązkowy audyt bezpieczeństwa systemu informacyjnego dotyczy podmiotów kluczowych — co 3 lata, pierwszy do 3 kwietnia 2028 r. (art. 15 ustawy o KSC). Podmioty ważne nie mają tego obowiązku, ale audyt zerowy jest dla nich najszybszym sposobem ustalenia, co realnie mają do zrobienia do 3 kwietnia 2027 r.
Kto może przeprowadzić audyt ustawowy z art. 15?
Ustawa określa wymagania wobec osób przeprowadzających audyt (m.in. kwalifikacje i niezależność). Audyt zerowy i weryfikacyjny to usługi doradcze — może je wykonać kancelaria; przy audycie ustawowym organizujemy przebieg z udziałem audytorów spełniających wymogi i reprezentujemy jednostkę w jego toku.
Czym audyt KSC różni się od audytu KRI?
To dwa odrębne reżimy. Audyt KRI wynika z rozporządzenia o Krajowych Ramach Interoperacyjności i jest coroczny (audyt wewnętrzny bezpieczeństwa informacji w podmiotach publicznych). Audyt z art. 15 ustawy o KSC dotyczy podmiotów kluczowych i odbywa się co 3 lata. Wykonanie jednego nie zastępuje drugiego — w zamówieniach JST często są mylone, co bywa kwestionowane przy rozliczeniach.
Ile trwa audyt i ile kosztuje?
Zależnie od wielkości jednostki i liczby systemów: od ok. 2 tygodni (audyt zerowy małej jednostki) do kilku tygodni przy strukturach wielojednostkowych. Wycenę przedstawiamy na piśmie po rozmowie wstępnej — wpływa na nią liczba jednostek i spółek, stan dokumentacji oraz działalność sektorowa (np. zakład wod-kan). Pierwsza rozmowa jest bez opłat.
Zapytaj o audyt dla swojej jednostki
Odpowiadamy w 24 godziny robocze. W rozmowie wstępnej (bez opłat) ustalamy, który rodzaj audytu ma sens w Waszej sytuacji — zdarza się, że odradzamy audyt i wskazujemy tańszą drogę.
- Raport z podstawą prawną każdego ustalenia
- Prowadzi radca prawny — ustalenia objęte tajemnicą zawodową
- Bez sprzedaży sprzętu i licencji — brak konfliktu interesów