Audyt KSC z art. 15 ustawy
Audyt KSC to ustawowy audyt bezpieczeństwa systemu informacyjnego, który podmiot kluczowy przechodzi co najmniej raz na 3 lata, a podmiot ważny wtedy, gdy nakaże to organ. Przeprowadzamy go jako niezależny wykonawca, a Ty dostajesz raport, którego kopię przekazujesz organowi. Jeśli w roku przed audytem wdrażaliśmy u Ciebie zabezpieczenia, przygotujemy Cię do audytu u innego uprawnionego wykonawcy.
- Raport z audytu ustawowego dla Ciebie i jego kopia dla organu
- Co najmniej dwóch audytorów z certyfikatami wymienionymi w przepisach
- Niezależność sprawdzona, zanim podpiszesz umowę
Twój kontakt:Bartosz MachnikAktualizacja:
Czym jest audyt KSC
Audyt KSC sprawdza bezpieczeństwo systemu informacyjnego, którego używasz do świadczenia usługi, razem z procesami i dostawcami, od których ta usługa zależy. Obowiązek wynika z art. 15 ustawy o krajowym systemie cyberbezpieczeństwa, dlatego spotkasz też nazwy: audyt ustawowy, audyt z art. 15 albo audyt UKSC.
Audytor patrzy z zewnątrz na to samo co Twoja wewnętrzna ocena skuteczności: czy zabezpieczenia działają i osiągają cel. Ocenia zapisy z okresu działania, np. dzienniki systemów, rejestry i protokoły testów, a nie deklaracje. Ani analiza luk metodą Audyt Zero, ani audyt wewnętrzny SZBI go nie zastąpią, ale pozwolą znaleźć luki, zanim zrobi to audytor.
W audycie nie mogą brać udziału osoby, które w czasie audytu albo w roku przed nim realizowały u Ciebie zadania z art. 8 i art. 9-13 KSC (art. 15 ust. 2a). Dlatego pracujemy na dwa sposoby. Jeśli w tym okresie nie realizowaliśmy u Ciebie takich zadań, przeprowadzamy audyt sami. Jeśli w tym czasie wdrażaliśmy u Ciebie zabezpieczenia, robimy ocenę skuteczności, czyli audyt przed audytem, a audyt ustawowy przeprowadza inny uprawniony wykonawca. Ocena skuteczności też jest zadaniem z art. 8, więc jeśli ją u Ciebie zrobimy, w tym okresie audytu ustawowego już nie przeprowadzimy. W audycie ustawowym nie oceniamy własnej pracy.
Kiedy potrzebujesz audytu ustawowego
- Jesteś podmiotem kluczowym od 3 kwietnia 2026 r. i pierwszy audyt musisz mieć za sobą do 3 kwietnia 2028 r.
- Twoja firma stała się podmiotem kluczowym później, więc na pierwszy audyt ma 24 miesiące od spełnienia przesłanek
- Jesteś podmiotem ważnym, a organ nakazał Ci audyt decyzją
- Kończysz wdrożenie zabezpieczeń i chcesz sprawdzić ich skuteczność, zanim zrobi to audytor ustawowy
Audyt ustawowy zamów wtedy, gdy zabezpieczenia już działają, bo audytor ocenia zapisy z okresu działania, a nie plany. Jeśli dopiero zaczynasz i chcesz wiedzieć, czego brakuje, potrzebujesz analizy luk metodą Audyt Zero. A jeśli nie wiesz jeszcze, czy Twoja firma jest podmiotem kluczowym, czy ważnym, zacznij od samoidentyfikacji.
Co sprawdza audyt bezpieczeństwa systemu informacyjnego
Zakres wyznacza usługa, którą świadczysz, a nie granice działu IT. Sprawdzamy systemy teleinformatyczne i dane, z których ta usługa korzysta, a także procesy, decyzje kierownictwa i dostawców, od których zależy. Ocenę opieramy na dokumentach i zapisach z okresu działania.
Zakres, aktywa i ryzyko
Porównujemy zakres SZBI z usługami, procesami i dostawcami, a inwentarz aktywów ze stanem technicznym. Oceniamy też, czy ryzyko szacujesz regularnie, także po zmianach i incydentach.
Decyzje kierownictwa
Szukamy śladów nadzoru: uchwał, protokołów przeglądów, budżetu i wyników ocen skuteczności, które trafiają do kierownika. Do tego dochodzi coroczne szkolenie kierownictwa z art. 8e KSC.
Dostęp, podatności i ludzie
Kontrola dostępu i MFA, obsługa podatności, zarządzanie zmianą, szkolenia według ról. Na próbkach sprawdzamy, czy działają w całym zakresie, np. czy konta osób, które odeszły, są zablokowane.
Incydenty i zgłoszenia w S46
Terminy zgłoszeń biegną od wykrycia, także w nocy i w weekend. Dlatego patrzymy na monitorowanie, dyżur decyzyjny i wynik ćwiczenia z pomiarem czasu, a nie tylko na procedurę.
Dostawcy i łańcuch dostaw
Przeglądamy rejestr dostawców krytycznych i umowy z nimi: wymagania bezpieczeństwa, termin zgłaszania incydentów, prawo do audytu. Pytamy też, kto śledzi decyzje o dostawcach wysokiego ryzyka.
Ciągłość działania i kopie
Sprawdzamy, czy kopie zapasowe są odseparowane od systemów produkcyjnych i czy ktoś odtworzył je na próbę. Plan ciągłości bez testu nie dowodzi, że przywrócisz usługę po incydencie.
Jak przebiega audyt z art. 15 KSC
Termin i niezależność
Ustalamy, do kiedy musisz mieć audyt, i sprawdzamy, czy w czasie audytu albo w roku przed nim realizowaliśmy u Ciebie zadania z art. 8 i art. 9-13 KSC. Jeśli tak, zamiast audytu proponujemy przygotowanie do niego.
Zakres
Spisujemy usługi, procesy, systemy i dostawców, od których zależy świadczenie usługi. Porównujemy ten zakres z zakresem SZBI i certyfikatu ISO 27001, jeśli go masz.
Dokumenty i zapisy
Czytamy polityki i procedury, a potem sprawdzamy zapisy, które pokazują, że działają: dzienniki systemów, rejestry, protokoły testów i ćwiczeń.
Wywiady i próbki
Rozmawiamy z kierownictwem, właścicielami procesów i administratorami. Na próbkach sprawdzamy, czy zabezpieczenia działają tak, jak opisują je dokumenty.
Raport i omówienie
Raport z ustaleniami i zaleceniami omawiamy z kierownictwem. Kopię raportu z audytu przekazujesz organowi w 3 dni robocze od otrzymania, a po przygotowaniu wiesz, co poprawić przed audytem ustawowym.
Na czym opieramy audyt
- Art. 15 KSC: kto przechodzi audyt, kto może go przeprowadzić i w jakim terminie raport trafia do organu
- Obowiązki z art. 8-13 KSC, a u dostawców m.in. chmury, centrów danych i usług zarządzanych także rozporządzenie wykonawcze (UE) 2024/2690
- Rozporządzenie Ministra Cyfryzacji z 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U. poz. 1999)
- Wymóg niezależności z art. 15 ust. 2a KSC, który stosujemy do całego PWNONE, a nie tylko do osób w zespole audytowym
- Wytyczne do prowadzenia audytu z norm ISO 19011 i ISO/IEC 27007
Co dostajesz po audycie
- Raport z audytu z art. 15 KSC, którego kopię przekazujesz organowi w 3 dni robocze od otrzymania
- Opis zakresu, z którego widać, że audyt objął systemy wykorzystywane do świadczenia usługi
- Ustalenia dla każdego obszaru wraz z dowodami, na których je oparliśmy
- Zalecenia z priorytetami, gotowe do wpisania do rejestru luk z właścicielem i terminem
- Omówienie wyników z kierownictwem, które zatwierdza działania korygujące
- Przy przygotowaniu do audytu: raport z oceny skuteczności z lukami do zamknięcia przed audytem ustawowym
Często zadawane pytania
Kogo dotyczy audyt KSC?
Audyt KSC, czyli audyt bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi, musi co najmniej raz na 3 lata przeprowadzić każdy podmiot kluczowy (art. 15 ust. 1 KSC). Podmiot ważny przeprowadza go tylko wtedy, gdy nakaże to organ decyzją (art. 15 ust. 1b KSC). Status kluczowy albo ważny firma ustala sama na podstawie przepisów, bez decyzji organu, więc to pierwsza rzecz do sprawdzenia.
Do kiedy trzeba przeprowadzić pierwszy audyt KSC?
Podmiot kluczowy istniejący 3 kwietnia 2026 r. musi przeprowadzić pierwszy audyt KSC do 3 kwietnia 2028 r. (art. 33 ust. 2 ustawy z 23 stycznia 2026 r. nowelizującej KSC). Podmiot, który stał się kluczowy później, ma na to 24 miesiące od spełnienia przesłanek (art. 16 pkt 2 KSC). Kolejne audyty przeprowadza się co najmniej raz na 3 lata, licząc od podpisania raportu. Nie zostawiaj audytu na marzec 2028 r.: zabraknie czasu na poprawki, a od 3 kwietnia 2028 r. organ może nakładać kary pieniężne, także za brak audytu (art. 35 ustawy nowelizującej, art. 73 ust. 1 KSC).
Kto może przeprowadzić audyt z art. 15 KSC?
Audyt z art. 15 KSC mogą przeprowadzić trzy rodzaje wykonawców: akredytowana jednostka oceniająca zgodność; co najmniej dwóch audytorów z certyfikatami albo praktyką określonymi w przepisach; CSIRT sektorowy (art. 15 ust. 2 KSC). Wykaz certyfikatów zawiera rozporządzenie Ministra Cyfryzacji z 12 października 2018 r. (Dz. U. poz. 1999). Wykonawca musi też spełnić wymóg niezależności z art. 15 ust. 2a KSC. W PWNONE audyt prowadzi co najmniej dwóch audytorów z certyfikatami z tego wykazu.
Czy firma, która wdrażała SZBI, może przeprowadzić audyt ustawowy?
Nie, jeśli robiła to w czasie audytu albo w roku przed nim. Art. 15 ust. 2a KSC wyklucza z audytu osoby, które w tym okresie realizowały w audytowanym podmiocie zadania z art. 8 i art. 9-13 KSC, np. wdrażały SZBI albo obsługiwały incydenty. Jeśli Twój doradca wdrożeniowy albo dostawca usług zarządzanych chce przeprowadzić audyt, sprawdź ten warunek przed podpisaniem umowy. W PWNONE stosujemy go do całej firmy: tam, gdzie w tym okresie wdrażaliśmy zabezpieczenia, przygotowujemy Cię do audytu, a przeprowadza go inny uprawniony wykonawca.
Czy certyfikat ISO 27001 albo inny audyt zastępuje audyt KSC?
Certyfikat ISO 27001 nie zastępuje audytu KSC. Zakres certyfikacji bywa węższy niż systemy wykorzystywane do świadczenia usługi, a audyt z art. 15 ma własne wymagania co do wykonawcy, niezależności i przekazania raportu organowi. Nie zastępują go też audyt wewnętrzny SZBI ani analiza luk, np. metodą Audyt Zero. Audyt bezpieczeństwa systemu teleinformatycznego zrobiony z innego powodu liczy się jako audyt KSC tylko wtedy, gdy spełnia wszystkie warunki art. 15 KSC.
Co zrobić z raportem z audytu KSC?
Kopię raportu przekazujesz organowi właściwemu do spraw cyberbezpieczeństwa w 3 dni robocze od otrzymania raportu (art. 15 ust. 1a KSC). Jeśli Twoja firma jest podmiotem krytycznym albo operatorem infrastruktury krytycznej, kopię dostaje też dyrektor Rządowego Centrum Bezpieczeństwa, gdy o nią wystąpi (art. 15 ust. 7 KSC). Zalecenia wpisz do rejestru luk z właścicielem i terminem, bo organ może nakazać podmiotowi kluczowemu ich wdrożenie (art. 53 ust. 5 KSC).
Porozmawiaj z Bartoszem Machnikiem o audycie KSC
Bartosz Machnik, CBDO PWNONE, opisał audyt z art. 15 w poradniku „Zgodność z KSC w sześciu etapach”, a w 2026 roku zrobiliśmy ponad 10 audytów pod KSC. Sprawdzi z Tobą, do kiedy musisz mieć audyt, jaki zakres powinien objąć i czy możemy go przeprowadzić, czy przygotujemy Cię do audytu u innego wykonawcy. Jeśli okaże się, że Twoja firma nie musi przechodzić audytu, powie to wprost.
Umów rozmowę o audycie KSC