Audyt NIS2 z rejestrem luk i planem ich zamknięcia
Audyt NIS2 pokazuje, czego Twojej firmie brakuje do wymagań dyrektywy NIS2 i znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża ją w Polsce. To analiza luk dla podmiotów kluczowych i ważnych, w której każdy obowiązek oceniamy na podstawie dowodów. Dostajesz rejestr luk z właścicielami i planem ich zamknięcia.
- Ocena każdego obowiązku z ustawy o KSC oparta na dowodach
- Każda luka z właścicielem, terminem i kryterium zamknięcia
- Podstawa do decyzji zarządu o budżecie i priorytetach
Twój kontakt:Bartosz MachnikAktualizacja:
Czym jest audyt NIS2
Audyt NIS2 to analiza luk (gap analysis), czyli porównanie tego, jak Twoja firma działa dziś, z obowiązkami z ustawy o krajowym systemie cyberbezpieczeństwa. To ta ustawa, w brzmieniu obowiązującym od 3 kwietnia 2026 r., wdraża dyrektywę NIS2 w Polsce. Sprawdzamy wszystkie te obowiązki, m.in. wpis do wykazu, odpowiedzialność zarządu, SZBI, zgłaszanie incydentów, dostawców i ciągłość działania.
Audyty NIS2 prowadzimy metodą Audyt Zero, opisaną w naszym poradniku „Zgodność z KSC w sześciu etapach”. Każdy obowiązek oceniamy na trzech poziomach: czy rozwiązanie istnieje, czy wdrożono je w całym zakresie i czy działa w czasie. Ocena „spełnia” wymaga dowodu na każdym z nich. Jeśli ktoś zapewnia, że coś działa, ale nie ma na to dokumentu, zapisu ani wyniku testu, wpisujemy „nie wykazano spełnienia”, a w planie taka pozycja liczy się jak niezgodność.
Ta analiza nie zastępuje audytu bezpieczeństwa z art. 15 ustawy o KSC, który podmiot kluczowy przechodzi co najmniej raz na 3 lata. Nie jest też audytem wewnętrznym SZBI. To punkt startu: rejestr luk, na którym opierasz plan wdrożenia.
Kiedy zamówić audyt zgodności z NIS2
- Wiesz już, że Twoja firma jest podmiotem kluczowym albo ważnym, i chcesz poznać braki przed 3 kwietnia 2027 r., kiedy dla większości organizacji zaczynają się pełne obowiązki
- Masz certyfikat ISO 27001 i chcesz sprawdzić, czego norma nie obejmuje, np. wpisu do wykazu, terminów zgłaszania incydentów czy weryfikacji niekaralności
- Zarząd ma zatwierdzić plan i budżet na cyberbezpieczeństwo, a do tej decyzji potrzebuje listy faktycznych braków
- Jesteś podmiotem kluczowym i chcesz poznać luki na tyle wcześnie, żeby zamknąć je przed pierwszym audytem z art. 15 ustawy o KSC
Jeśli nie wiesz jeszcze, czy ustawa obejmuje Twoją firmę, zacznij od samoidentyfikacji. Gdy potrzebujesz audytu, który spełni obowiązek z art. 15 ustawy o KSC, albo sprawdzenia skuteczności zabezpieczeń przed nim, wybierz audyt KSC. Do oceny samego SZBI według normy, bez obowiązków z ustawy, wystarczy audyt ISO 27001. A jeśli luki są już znane, czas na wdrożenie NIS2: SZBI i procesy, których wymaga ustawa.
Co obejmuje analiza luk NIS2 (gap analysis)
Wymagania NIS2 trafiły do polskiego prawa jako obowiązki z ustawy o KSC. Analiza luk obejmuje je wszystkie, także ocenę skuteczności środków bezpieczeństwa. Przy każdym obowiązku zbieramy dokumenty, zapisy z okresu działania i, tam gdzie się da, wynik testu.
Zarząd, wpis do wykazu i S46
Szukamy śladu decyzji zarządu w uchwałach i planie finansowym oraz potwierdzeń corocznego szkolenia kierownictwa. Dane we wpisie do wykazu, np. zakresy IP i domeny, zestawiamy ze stanem technicznym, a przy koncie w S46 sprawdzamy, kto zastąpi jego administratora.
SZBI, ryzyko i aktywa
Oceniamy zakres SZBI, metodę szacowania ryzyka i to, czy inwentarz aktywów zgadza się z tym, co widać w sieci. Polityki czytamy razem z zapisami, które pokazują, że ktoś je stosuje.
Zabezpieczenia systemów i ludzi
MFA, uprawnienia, obsługa podatności, kryptografia, ochrona fizyczna i szkolenia według ról. Działanie sprawdzamy na próbce, np. czy konta osób, które odeszły z firmy, są zablokowane.
Dostawcy i łańcuch dostaw
Rejestr dostawców ICT z oceną krytyczności, wymagania bezpieczeństwa w umowach i gotowość na decyzje o dostawcach wysokiego ryzyka. Czytamy umowy pod kątem tego, czy dowiesz się o incydencie u dostawcy na czas.
Incydenty i zgłoszenia do CSIRT
Monitorowanie, kryteria incydentu poważnego i ścieżka zgłoszeń przez S46: wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin od wykrycia. Sprawdzamy, czy decyzję o zgłoszeniu ktoś podejmie także w sobotę wieczorem.
Ciągłość działania i kopie zapasowe
Analiza wpływu na działalność, plany ciągłości i odtworzenia oraz kopie odseparowane od sieci produkcyjnej. Dowodem działania jest protokół z próbnego odtworzenia.
Jak przebiega audyt
Zakres oceny
Zaczynamy od wyniku kwalifikacji: statusu firmy i rodzajów działalności. Na tej podstawie ustalamy, które usługi, procesy, systemy i zależności od dostawców obejmie ocena.
Pytania kontrolne i dowody
Do każdego obowiązku przypisujemy pytanie kontrolne, oczekiwany dowód i sposób sprawdzenia. Dzięki temu wiesz z góry, jakich dokumentów i zapisów będziemy potrzebować.
Wywiady, dokumenty i testy
Rozmawiamy z właścicielami procesów i czytamy zapisy z okresu, w którym proces powinien działać. Zabezpieczenia techniczne sprawdzamy testem albo na próbce, a nie na słowo administratora.
Ocena każdego obowiązku
Ustalamy, czy rozwiązanie istnieje, czy wdrożono je w całym zakresie i czy działa w czasie. Ocenę „nie dotyczy” wpisujemy tylko z uzasadnieniem, a obowiązek, który nie jest jeszcze wymagalny, oceniamy według stanu przygotowania.
Raport dla zarządu
Przedstawiamy raport kierownictwu i wskazujemy luki w obowiązkach z własnym terminem ustawowym, np. w zgłaszaniu incydentów. Zarząd decyduje o priorytetach, a rejestr luk staje się podstawą planu wdrożenia.
Na czym opieramy audyt
- Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. (Dz. U. z 2026 r. poz. 252)
- Dyrektywa (UE) 2022/2555, czyli NIS2, którą ta ustawa wdraża do polskiego prawa
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690, jeśli świadczysz m.in. usługi DNS, chmurowe, centrów danych albo usługi zarządzane
- Metoda Audyt Zero z poradnika PWNONE „Zgodność z KSC w sześciu etapach” (stan prawny na 30.09.2026)
- Doświadczenie z praktyki: w 2026 roku zrobiliśmy ponad 10 audytów pod KSC
Co dostajesz po audycie
- Raport z oceną każdego obowiązku i dowodem, na którym ją oparliśmy
- Rejestr luk z brakującym elementem, właścicielem, terminem i kryterium zamknięcia
- Wyróżnione luki w obowiązkach z własnym terminem ustawowym, np. w zgłaszaniu incydentów
- Wstępny obraz ryzyka, od którego zaczniesz szacowanie ryzyka w SZBI
- Propozycja priorytetów i planu zamknięcia luk do decyzji zarządu
Często zadawane pytania
Czy audyt NIS2 jest obowiązkowy?
Ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża NIS2 w Polsce, nie wymaga wprost analizy luk. Obowiązkowy jest audyt bezpieczeństwa z art. 15 tej ustawy: podmiot kluczowy przeprowadza go co najmniej raz na 3 lata, a podmiot ważny tylko wtedy, gdy nakaże to organ. Analiza luk nie zastępuje tego audytu, ale pokazuje braki wcześniej, kiedy jest jeszcze czas na poprawki.
Co obejmuje gap analysis NIS2?
Gap analysis NIS2, czyli analiza luk, obejmuje obowiązki z ustawy o krajowym systemie cyberbezpieczeństwa, przez którą Polska wdrożyła NIS2: wpis do wykazu, odpowiedzialność zarządu, SZBI z szacowaniem ryzyka, zabezpieczenia, dostawców, obsługę i zgłaszanie incydentów, ciągłość działania i ocenę skuteczności. W metodzie Audyt Zero każdy obowiązek ocenia się na trzech poziomach: czy rozwiązanie istnieje, czy wdrożono je w całym zakresie i czy działa w czasie. Wynikiem jest rejestr luk z właścicielem, terminem i kryterium zamknięcia każdej z nich.
Jakie są wymagania NIS2 w Polsce?
W Polsce wymagania NIS2 wynikają z ustawy o krajowym systemie cyberbezpieczeństwa, której nowe brzmienie obowiązuje od 3 kwietnia 2026 r. Podmiot kluczowy albo ważny składa wniosek o wpis do wykazu, wdraża SZBI oparty na szacowaniu ryzyka, zarządza ryzykiem dostawców i zgłasza incydenty poważne do CSIRT, co do zasady z wczesnym ostrzeżeniem w ciągu 24 godzin i zgłoszeniem w ciągu 72 godzin od wykrycia. Kierownik podmiotu odpowiada za wykonanie obowiązków i raz w roku kalendarzowym przechodzi szkolenie z cyberbezpieczeństwa. Większość organizacji musi spełnić pełne obowiązki do 3 kwietnia 2027 r.
Czy pre-weryfikacja zgodności z NIS2 na Biznes.gov.pl wystarczy?
Nie, bo służy do czegoś innego. Bezpłatna ankieta „Pre-weryfikacja zgodności z zaleceniami NIS2” na Biznes.gov.pl pomaga ustalić, czy firma jest podmiotem kluczowym, ważnym, czy jest poza zakresem ustawy, a jej wynik ma charakter orientacyjny. Audyt NIS2 to kolejny krok: na podstawie dokumentów, zapisów i testów sprawdza, czy każdy obowiązek z ustawy o KSC jest wykonany.
Czy audyt NIS2 ma sens, jeśli firma ma certyfikat ISO 27001?
Tak. Certyfikat ISO 27001 to dobry punkt wyjścia, ale zakres certyfikacji bywa węższy niż zakres wyznaczony przez ustawę o krajowym systemie cyberbezpieczeństwa, czyli polskie wdrożenie NIS2. Ustawa ma też obowiązki bez odpowiednika w normie, np. wpis do wykazu, terminy zgłaszania incydentów, weryfikację niekaralności i audyt z art. 15. Analiza luk porównuje oba zakresy i pokazuje, co trzeba uzupełnić.
Kiedy najlepiej zrobić audyt NIS2?
Na początku przygotowań, gdy status firmy jest już ustalony, a plan wdrożenia jeszcze nie powstał. W poradniku PWNONE „Zgodność z KSC w sześciu etapach” analiza luk metodą Audyt Zero to drugi etap, zaraz po kwalifikacji i decyzjach zarządu. Dla większości organizacji pełne obowiązki zaczynają się 3 kwietnia 2027 r., a po analizie trzeba jeszcze oszacować ryzyko, wdrożyć procesy i zebrać dowody ich działania.
Porozmawiaj z Bartoszem Machnikiem o audycie NIS2
Bartosz Machnik, CBDO PWNONE, jest autorem poradnika „Zgodność z KSC w sześciu etapach”. Ma certyfikaty TÜV NORD Polska: audytora wiodącego SZBI według ISO/IEC 27001 oraz „Wymagania Dyrektywy NIS2” z 2025 r. W 30-minutowej rozmowie sprawdzi z Tobą status organizacji, terminy i najważniejsze luki, a potem zaproponuje zakres audytu.
Umów rozmowę o audycie NIS2