Audyty Bezpieczeństwa
i Zgodności
Pomagamy organizacjom spełnić wymogi regulacyjne i branżowe standardy bezpieczeństwa. Przeprowadzamy audyty zgodności z ISO 27001, NIS2, RODO, KSC, PCI DSS i DORA - od analizy luk po pełne wsparcie przy certyfikacji.
- Doświadczenie z audytami ISO 27001, NIS2, DORA
- Audytorzy z certyfikatami CISA, CISSP, Lead Auditor
- Wsparcie od gap analysis po certyfikację
Wybierz audyt
Każdy audyt ma osobną stronę: co sprawdzamy, jak to przebiega i co dostajesz na koniec. Nie wiesz, od którego zacząć? Napisz, pomożemy wybrać.
Audyt NIS2
Dla podmiotów kluczowych i ważnych, które chcą poznać swoje luki wobec NIS2 i ustawy o KSC, zanim zapyta o nie organ albo audytor.
Zakres i przebiegAudyt KSC
Dla podmiotów kluczowych, które co najmniej raz na 3 lata przechodzą audyt z art. 15 KSC, i dla podmiotów ważnych, którym audyt nakazał organ.
Zakres i przebiegAudyt ISO 27001
Dla firm, które budują SZBI, potrzebują audytu wewnętrznego albo przygotowują się do certyfikacji ISO/IEC 27001.
Zakres i przebiegAudyt DORA
Dla banków, ubezpieczycieli, firm inwestycyjnych i płatniczych oraz dostawców ICT, którzy dostają od nich wymagania DORA.
Zakres i przebiegAudyt ISO 22301
Dla firm, które budują albo utrzymują system ciągłości działania i chcą go sprawdzić przed certyfikacją, audytem klienta albo prawdziwą awarią.
Zakres i przebiegRODO / GDPR
Audyt przetwarzania danych osobowych, ocena skutków (DPIA), weryfikacja podstaw prawnych, procedur zgłaszania naruszeń i bezpieczeństwa systemów IT przetwarzających dane.
Zapytaj o zakresPCI DSS
Ocena zgodności z wymaganiami bezpieczeństwa danych kart płatniczych. Skanowanie ASV, testy penetracyjne oraz przygotowanie do certyfikacji PCI DSS v4.0.
Zapytaj o zakresJak regulacje łączą się ze sobą?
ISO 27001, NIS2 i DORA nie istnieją w próżni. Tworzą spójny ekosystem, w którym jedna norma jest fundamentem dla kolejnych. Zrozumienie tych zależności to klucz do efektywnego wdrożenia.
ISO 27001
FundamentMiędzynarodowy standard SZBI. Stanowi bazę, na której opierają się wymogi NIS2 i DORA. Posiadanie certyfikatu ISO 27001 znacząco ułatwia wykazanie zgodności z oboma regulacjami.
Dyrektywa NIS2
Prawo UEArt. 21 ust. 1 NIS2 każe przy doborze środków uwzględniać, w stosownych przypadkach, odpowiednie normy europejskie i międzynarodowe. Certyfikowany SZBI według ISO 27001 pokrywa dużą część tych środków.
Rozporządzenie DORA
Sektor FinansowyDORA to lex specialis wobec NIS2 dla sektora finansowego. Wymaga ram zarządzania ryzykiem ICT analogicznych do ISO 27001, a od podmiotów wskazanych przez organ nadzoru (w Polsce KNF) także testów TLPT (red teaming).
Strategia: zacznij od ISO 27001
Wdrożenie ISO 27001 jako pierwszego kroku pozwala zbudować solidny fundament SZBI i pokryć znaczną część wymogów NIS2 i DORA jednocześnie. To najefektywniejsza kosztowo ścieżka do pełnej zgodności regulacyjnej.
Oś czasu regulacji
RODO (GDPR) przyjęte
Rozporządzenie o Ochronie Danych Osobowych wchodzi w życie (stosowane od maja 2018). Ustanawia standardy ochrony danych w UE.
ISO 27001:2022
Opublikowana zaktualizowana wersja normy z nowymi 11 kontrolkami, w tym bezpieczeństwo chmury, threat intelligence i ochrona danych.
NIS2 & DORA przyjęte
Parlament Europejski przyjmuje dyrektywę NIS2 oraz rozporządzenie DORA. Rozpoczynają się okresy transpozycji i przygotowań.
Termin transpozycji NIS2
Państwa członkowskie miały transponować NIS2 do prawa krajowego. Polska pracuje nad nowelizacją ustawy KSC (UKSC).
DORA obowiązuje
Rozporządzenie DORA zaczyna obowiązywać bezpośrednio we wszystkich krajach UE. Instytucje finansowe muszą być w pełni zgodne.
Wejście w życie UKSC (Polska)
Nowelizacja UKSC transponująca NIS2 wchodzi w życie po vacatio legis trwającym 1 miesiąc. Nowe obowiązki dla podmiotów kluczowych i ważnych.
Rejestracja podmiotów (+6 mies.)
Obowiązek dokonania zgłoszenia do wykazu podmiotów kluczowych i ważnych prowadzonego przez ministra właściwego ds. cyfryzacji.
Wdrożenie SZBI (+12 mies.)
Termin wdrożenia systemu zarządzania bezpieczeństwem informacji zgodnego z wymogami UKSC/NIS2.
Pierwszy audyt (+24 mies.)
Obowiązkowy pierwszy audyt z art. 15 dla podmiotów kluczowych. Podmiot ważny przechodzi go tylko wtedy, gdy nakaże to organ.
ISO 27001:2022
Złoty standard zarządzania bezpieczeństwem informacji. System Zarządzania Bezpieczeństwem Informacji (SZBI) oparty na podejściu procesowym i ciągłym doskonaleniu (PDCA).
Relacje z innymi regulacjami
Art. 21 ust. 1 NIS2 wymaga odpowiednich i proporcjonalnych środków zarządzania ryzykiem i każe przy tym uwzględniać, w stosownych przypadkach, odpowiednie normy europejskie i międzynarodowe. ISO 27001 pokrywa dużą część tych środków, w tym zarządzanie incydentami, ciągłość działania i bezpieczeństwo łańcucha dostaw.
Ramy zarządzania ryzykiem ICT z rozdziału II DORA są podobne do ISO 27001, więc z certyfikowanego SZBI zostają w użyciu polityki, analiza ryzyka i zabezpieczenia. Trzeba dołożyć m.in. zgłaszanie poważnych incydentów w terminach DORA, rejestr informacji, zapisy z art. 30 w umowach z dostawcami ICT i TLPT, jeśli KNF wskaże Twój podmiot.
ISO 27001 wspiera realizację art. 32 RODO (bezpieczeństwo przetwarzania). Uzupełnieniem jest ISO 27701 - rozszerzenie SZBI o zarządzanie prywatnością (PIMS), które bezpośrednio mapuje się na wymogi RODO.
Kluczowe wymogi NIS2
Zarządzanie ryzykiem (Art. 21)
Obowiązkowe wdrożenie odpowiednich środków technicznych, operacyjnych i organizacyjnych. Ocena ryzyka musi obejmować łańcuch dostaw.
Raportowanie incydentów (Art. 23)
Wczesne ostrzeżenie w 24h, powiadomienie w 72h, raport końcowy w 1 miesiąc. Zgłaszanie do CSIRT lub właściwego organu krajowego.
Odpowiedzialność zarządu (Art. 20)
Zarząd osobiście odpowiada za zatwierdzanie i nadzorowanie środków cyberbezpieczeństwa. Obowiązkowe szkolenia dla kadry kierowniczej.
Bezpieczeństwo łańcucha dostaw
Ocena dostawców ICT, zarządzanie ryzykami związanymi z outsourcingiem i relacjami z partnerami technologicznymi.
Dyrektywa NIS2
Najszersza regulacja cyberbezpieczeństwa w historii UE. Wprowadza surowe wymogi dla podmiotów kluczowych i ważnych z 18 sektorów gospodarki. Polska ustawa o KSC, która wdraża NIS2, wymienia w załącznikach 19 sektorów.
Harmonogram wdrożenia NIS2 w Polsce
Od wejścia ustawy w życie organizacje mają ściśle określone terminy na rejestrację, wdrożenie systemu zarządzania bezpieczeństwem i pierwszy audyt.
Nie wiesz, czy musisz zgłosić firmę do Wykazu KSC?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa nakłada obowiązek samodzielnego zgłoszenia się do Wykazu. Nikt o tym nie przypomni, a za spóźnienie odpowiada kierownictwo. Przygotowaliśmy przewodnik, który prowadzi przez to krok po kroku: sektory z załączników, progi wielkości, rządowa ankieta, wniosek i komplet oficjalnych źródeł.
DORADigital Operational Resilience Act
Pierwsza paneuropejska regulacja dotycząca odporności cyfrowej sektora finansowego. Obowiązuje bezpośrednio od 17 stycznia 2025 - bez potrzeby transpozycji.
5 filarów DORA
Zarządzanie ryzykiem ICT
Ramy identyfikacji, ochrony, wykrywania, reagowania i odzyskiwania. Polityki bezpieczeństwa ICT, klasyfikacja aktywów i ciągłość działania.
Raportowanie incydentów
Klasyfikacja incydentów ICT i zgłoszenia do organu nadzoru. Wstępne powiadomienie w 4 h od sklasyfikowania incydentu jako poważny i co do zasady najpóźniej 24 h od chwili, gdy się o nim dowiesz. Sprawozdanie śródokresowe w 72 h od wstępnego powiadomienia, końcowe najpóźniej miesiąc po ostatnim sprawozdaniu śródokresowym.
Testy odporności cyfrowej
Regularne testy penetracyjne, skanowanie podatności, testy scenariuszowe. Podmioty wskazane przez organ nadzoru przechodzą też testy TLPT (Threat-Led Penetration Testing) co najmniej co 3 lata.
Zarządzanie ryzykiem ICT stron trzecich
Due diligence dostawców ICT, klauzule umowne, strategie wyjścia. Kluczowi dostawcy ICT podlegają bezpośredniemu nadzorowi EBA/ESMA/EIOPA.
Wymiana informacji o zagrożeniach
Zachęta do wymiany informacji o cyberzagrożeniach między podmiotami finansowymi w ramach zaufanych społeczności (ISAC).
ISO 22301:2019
Norma dla systemu zarządzania ciągłością działania (SZCD, ang. BCMS). W audycie sprawdzamy, czy po ataku ransomware, pożarze serwerowni albo upadku dostawcy firma wróci do pracy w czasie, który sama uznała za dopuszczalny.
Co sprawdzamy w audycie
BIA i ocena ryzyka (pkt 8.2)
Sprawdzamy, czy analiza obejmuje wszystkie działania priorytetowe i czy RTO oraz RPO ustalili właściciele procesów, a nie sam dział IT. Wartości przepisane z szablonu wychodzą na jaw przy pierwszym pytaniu o to, skąd się wzięły.
Strategie ciągłości (pkt 8.3)
Zestawiamy RTO z tym, co firma faktycznie potrafi. Jeśli odtworzenie bazy danych trwa 12 godzin, cel 4 godzin jest nierealny.
Plany i komunikacja (pkt 8.4)
Plan ma wskazywać konkretne osoby i ich zastępców. Sprawdzamy też, czy zespół uruchomi go, kiedy nie działa firmowa poczta ani komunikator.
Program ćwiczeń (pkt 8.5)
Plan, którego nikt nie przećwiczył, to hipoteza. Czytamy raporty z ćwiczeń i sprawdzamy, czy wnioski z nich trafiły z powrotem do planów.
Kopie zapasowe od strony technicznej
Grupy ransomware zwykle zaczynają od usunięcia kopii zapasowych. Sprawdzamy, czy backup jest odseparowany od domeny i sieci produkcyjnej oraz kiedy ktoś ostatnio odtworzył z niego cały system, a nie pojedynczy plik.
Jak wygląda nasz audyt?
Realizujemy audyty w sposób uporządkowany i transparentny. Na każdym etapie informujemy o postępach i angażujemy odpowiednie osoby z Twojej organizacji.
Kick-off i Rozpoznanie
Warsztaty inicjujące z interesariuszami. Ustalamy zakres audytu, wybrane normy/regulacje, harmonogram i kluczowe systemy do weryfikacji.
Analiza Dokumentacji
Przegląd istniejących polityk, procedur i rejestrów. Mapowanie procesów przetwarzania informacji i identyfikacja aktywów krytycznych.
Audyt Techniczny i Organizacyjny
Wywiady z kluczowymi osobami, weryfikacja konfiguracji systemów, kontrola dostępu, logi, kopie zapasowe. Testy techniczne bezpieczeństwa.
Raportowanie i Plan Naprawczy
Szczegółowy raport z niezgodnościami, priorytetami i konkretnymi rekomendacjami. Roadmapa wdrożenia z oszacowaniem czasu i zasobów.
Wdrożenie i Wsparcie
Pomagamy wdrażać zalecenia - od tworzenia polityk, przez konfigurację systemów, po przygotowanie zespołu do audytu certyfikującego.
Co dostarczamy?
Nie kończymy na raporcie. Dostarczamy pakiet dokumentów, polityk i rekomendacji, a następnie pomagamy je wdrożyć.
Analiza Luk (Gap Analysis)
Szczegółowa macierz zgodności porównująca aktualny stan organizacji z wymaganiami wybranej normy lub regulacji. Wskazanie brakujących kontroli i priorytetów wdrożeniowych.
Polityki i Procedury
Opracowanie lub aktualizacja kompletnej dokumentacji SZBI: Polityka Bezpieczeństwa Informacji, procedury zarządzania incydentami, plan ciągłości działania (BCP/DRP).
Ocena Ryzyka
Metodyczna identyfikacja, analiza i wycena ryzyk bezpieczeństwa informacji. Matryca ryzyka z przypisanymi odpowiedzialnościami i planami postępowania z ryzykiem.
Audyt Techniczny
Weryfikacja konfiguracji systemów IT, sieci, serwerów i aplikacji pod kątem wymagań normatywnych. Hardening, kontrola dostępu, szyfrowanie i logowanie zdarzeń.
Szkolenia Pracowników
Programy awareness dla pracowników i kadry zarządzającej. Symulacje phishingowe, warsztaty z reagowania na incydenty oraz szkolenia z polityk i procedur bezpieczeństwa.
Wsparcie przy Certyfikacji
Towarzyszymy podczas audytu certyfikującego. Pomagamy odpowiadać na pytania audytorów, prezentować dowody i zamykać ewentualne niezgodności w wyznaczonym terminie.
Dlaczego warto wybrać PWNONE?
Łączymy wiedzę techniczną z doświadczeniem audytorskim. Nasi specjaliści nie tylko znajdują braki w zgodności, ale rozumieją kontekst techniczny i potrafią wskazać najskuteczniejsze rozwiązania.
Audytorzy z certyfikatami
CISA, CISSP, ISO 27001 Lead Auditor, CRISC - nasz zespół posiada uznawane międzynarodowo certyfikaty audytorskie i bezpieczeństwa.
Podejście oparte na ryzyku
Nie wdrażamy „na ślepo" - priorytetyzujemy kontrolki na podstawie realnego ryzyka dla Twojego biznesu, branży i modelu zagrożeń.
Pentest + Compliance = pełny obraz
Jako firma pentesterska i audytorska jednocześnie, łączymy oba światy. Audyt zgodności uzupełniamy o realne testy techniczne bezpieczeństwa.
Przeprowadzonych audytów zgodności
Klientów uzyskało certyfikację
Obsługiwanych norm i regulacji
Certyfikowanych audytorów
Pytania o audyty bezpieczeństwa
Które audyty są obowiązkowe, a które dobrowolne?
Obowiązkowy jest audyt bezpieczeństwa z art. 15 ustawy o KSC. Podmiot kluczowy przechodzi go co najmniej raz na 3 lata, a jeśli spełniał kryteria 3 kwietnia 2026, pierwszy raz do 3 kwietnia 2028. Podmiot ważny przechodzi go tylko wtedy, gdy nakaże to organ. Analiza luk NIS2 oraz audyty ISO 27001 i ISO 22301 są dobrowolne, choć certyfikatu ISO coraz częściej wymagają kontrahenci.
Jak wybrać audyt dla mojej firmy?
Firma objęta ustawą o KSC zaczyna od audytu NIS2, czyli analizy luk wobec obowiązków z ustawy, a podmiot kluczowy potrzebuje też audytu z art. 15. Instytucja finansowa wybiera audyt DORA. Przed certyfikacją SZBI przyda się audyt ISO 27001, a gdy kilka godzin przestoju oznacza dla Ciebie realne straty, audyt ISO 22301. Nie wiesz, czy ustawa Cię obejmuje? Zacznij od samoidentyfikacji.
Czym audyt zgodności różni się od testu penetracyjnego?
Audyt zgodności porównuje Twoje procesy, dokumenty i konfigurację z wymaganiami normy albo ustawy. Test penetracyjny sprawdza w praktyce, czy da się obejść zabezpieczenia. Robimy jedno i drugie, więc audyt zgodności uzupełniamy o testy techniczne.
Jak przebiega audyt?
Zaczynamy od warsztatu, na którym ustalamy zakres, normy i harmonogram. Potem przeglądamy dokumenty, rozmawiamy z osobami odpowiedzialnymi i sprawdzamy konfigurację systemów, dostępy, logi i kopie zapasowe. Kończymy raportem i planem naprawczym. Przy audycie z art. 15 KSC obowiązuje wymóg niezależności (art. 15 ust. 2a), więc u jednego klienta robimy albo audyt, albo przygotowanie do niego.
Co dostaję po audycie?
Raport z listą niezgodności, ich priorytetami i rekomendacjami oraz plan naprawczy z szacunkiem czasu i zasobów. Przy analizie luk dostajesz też macierz zgodności, która zestawia wymagania normy albo ustawy z tym, co już działa w Twojej firmie.
Kto prowadzi audyty w PWNONE?
Audyty prowadzą audytorzy z zespołu PWNONE, a rodzaj i zakres audytu ustalasz z Bartoszem Machnikiem, audytorem wiodącym ISO/IEC 27001 i audytorem NIS2 z certyfikatami TÜV NORD Polska. W 2026 roku przeprowadziliśmy ponad 10 audytów pod KSC.