{"id":24690,"date":"2026-03-13T21:08:26","date_gmt":"2026-03-13T19:08:26","guid":{"rendered":"https:\/\/inteca.com\/?post_type=business-insights&p=24690"},"modified":"2026-03-20T15:37:57","modified_gmt":"2026-03-20T13:37:57","slug":"audyt-ksc-nis2","status":"publish","type":"business-insights","link":"https:\/\/inteca.com\/pl\/insighty-biznesowe\/audyt-ksc-nis2\/","title":{"rendered":"Audyt KSC po NIS2: dlaczego ten audyt wygl\u0105da inaczej ni\u017c wszystkie wcze\u015bniejsze"},"content":{"rendered":"

<\/p>\n

Audyt KSC<\/strong> po wdro\u017ceniu ustawy o Krajowym Systemie Bezpiecze\u0144stwa (KSC) nie jest ju\u017c klasycznym przegl\u0105dem dokument\u00f3w. To kontrola wykonania, gdzie pa\u0144stwo i w\u0142a\u015bciwe organy analizuj\u0105 dowody techniczne, logi oraz \u015bcie\u017cki decyzji, a nie wy\u0142\u0105cznie deklaracje w politykach. Dlatego audyt KSC sta\u0142 si\u0119 testem realnej odporno\u015bci organizacji.<\/p>\n

Dlaczego audyt KSC po nowelizacji to nie jest taki sam \u201ekolejny audyt\u201d?<\/h2>\n

Audyt po zmianach regulacyjnych to formalna kontrola skuteczno\u015bci dzia\u0142a\u0144, a nie tylko formalno\u015bci. W praktyce audyt bezpiecze\u0144stwa i audyt cyberbezpiecze\u0144stwa s\u0105 osadzone w nowym modelu nadzoru, gdzie dane dowodowe trafiaj\u0105 do analizy na poziomie krajowym, a odpowiednie kom\u00f3rki pa\u0144stwowe mog\u0105 uruchamia\u0107 dalsze dzia\u0142ania nadzorcze.<\/p>\n

To jest fundamentalna r\u00f3\u017cnica wzgl\u0119dem starego podej\u015bcia. Wcze\u015bniej wystarcza\u0142o wykaza\u0107, \u017ce istnieje polityka lub procedura. Dzi\u015b trzeba pokaza\u0107, \u017ce dany system, proces i operator wykonali konkretne czynno\u015bci w okre\u015blonym czasie i zakresie bezpiecze\u0144stwa.<\/p>\n

Co dok\u0142adnie zmienia ustawa o KSC i dyrektywa NIS2 w logice audytu?<\/h2>\n

Ustawa o KSC i dyrektywa NIS2 (dyrektywa parlamentu europejskiego i rady) przesuwaj\u0105 ci\u0119\u017car z modelu \u201ereassurance\u201d do modelu \u201ereceipt\u201d. To znaczy, \u017ce audytor ocenia wykonanie polityk, a nie sam fakt ich posiadania.<\/p>\n

W praktyce oznacza to, \u017ce:<\/p>\n

    \n
  • \n

    sama polityka w pliku Word nie zamyka tematu,<\/p>\n<\/li>\n

  • \n

    sama matryca r\u00f3l w Excelu nie potwierdza zgodno\u015bci,<\/p>\n<\/li>\n

  • \n

    kluczowe s\u0105 \u015blady wykonania i dane \u017ar\u00f3d\u0142owe.<\/p>\n<\/li>\n<\/ul>\n

    Nowe realia wynikaj\u0105 z ustawy z dnia 5 lipca 2018, podpisanej 1 sierpnia 2018, oraz jej kolejnych zmian wdra\u017caj\u0105cych NIS2. To one zamieniaj\u0105 audyt zgodno\u015bci z ustaw\u0105 w audyt operacyjny, powi\u0105zany z odpowiedzialno\u015bci\u0105 kadry zarz\u0105dczej.<\/p>\n

    \"\"<\/p>\n

    Jak wygl\u0105da przej\u015bcie od \u201epapieru\u201d do \u201elog\u00f3w wykonania\u201d?<\/h2>\n

    Nowy model dzia\u0142a prosto: polityka m\u00f3wi \u201eco\u201d, a log udowadnia \u201e\u017ce i kiedy\u201d. Dlatego audyt bezpiecze\u0144stwa systemu informacyjnego sprawdza wykonanie kontroli na danych technicznych.<\/p>\n

    Przyk\u0142ady dowod\u00f3w, kt\u00f3rych mo\u017ce za\u017c\u0105da\u0107 audytor:<\/p>\n

      \n
    1. \n

      Log rotacji kluczy i potwierdzenie, \u017ce mechanizm dzia\u0142a cyklicznie.<\/p>\n<\/li>\n

    2. \n

      Logi IAM potwierdzaj\u0105ce przegl\u0105d uprawnie\u0144 i szybkie odci\u0119cie dost\u0119pu.<\/p>\n<\/li>\n

    3. \n

      Zapis SIEM pokazuj\u0105cy moment wykrycia incydent i uruchomienie reakcji.<\/p>\n<\/li>\n

    4. \n

      \u015acie\u017ck\u0119 akceptacji ryzyka przez zarz\u0105d.<\/p>\n<\/li>\n

    5. \n

      Dow\u00f3d, \u017ce plan ci\u0105g\u0142o\u015b\u0107 dzia\u0142ania zosta\u0142 przetestowany.<\/p>\n<\/li>\n<\/ol>\n

      To dlatego audytowa\u0107 trzeba ju\u017c nie tylko dokumenty, ale ca\u0142y systemu bezpiecze\u0144stwa i jego dzia\u0142anie pod presj\u0105 czasu.<\/p>\n

      Czy informacje audytowe s\u0105 analizowane centralnie i co to oznacza dla firmy?<\/h2>\n

      Tak, w nowym modelu nadzoru informacje audytowe i materia\u0142 dowodowy s\u0105 wykorzystywane przez w\u0142a\u015bciwe organy publiczne. Je\u015bli analiza wyka\u017ce powa\u017cne luki, podmiot mo\u017ce zosta\u0107 obj\u0119ty dodatkowymi czynno\u015bciami, a pa\u0144stwo mo\u017ce wej\u015b\u0107 w tryb pog\u0142\u0119bionej kontroli.<\/p>\n

      To oznacza realne konsekwencje: wi\u0119ksza cz\u0119stotliwo\u015b\u0107 kontroli, obowi\u0105zek szybkiego dostarczenia danych, wy\u017csze ryzyko sankcji i wi\u0119ksza presja na jako\u015b\u0107 prowadzenia audytu. W praktyce rynkowej ro\u015bnie te\u017c odpowiedzialno\u015b\u0107 zawodowa audytor\u00f3w. B\u0142\u0119dy w krytycznych obszarach mog\u0105 skutkowa\u0107 utrat\u0105 zaufania regulatora, utrat\u0105 kontrakt\u00f3w i wy\u0142\u0105czeniem z kolejnych post\u0119powa\u0144.<\/p>\n

      Jakie s\u0105 terminy i sankcje, gdy audyt wyka\u017ce zaniedbania?<\/h2>\n

      Po NIS2 kontrola ma \u201ezegar\u201d. Dla powa\u017cnego incydentu obowi\u0105zuj\u0105 terminy 24h, 72h i 1 miesi\u0105c na kolejne etapy zg\u0142oszenia. Dla wielu organizacji pozostaje te\u017c cykl okresowy, np. raz na 2 lata, ale nadz\u00f3r mo\u017ce uruchomi\u0107 kontrol\u0119 ad hoc.<\/p>\n

      Dodatkowo kluczowy i krytyczny jest poziom odpowiedzialno\u015bci kierownictwa. Kary administracyjne mog\u0105 si\u0119ga\u0107 10 mln EUR lub 2% obrotu dla podmiot\u00f3w essential oraz 7 mln EUR lub 1,4% dla important. W Polsce raporty bran\u017cowe wskazuj\u0105 te\u017c na wysok\u0105 odpowiedzialno\u015b\u0107 osobist\u0105 mened\u017cer\u00f3w.<\/p>\n

      \"O\u015b
      Harmonogram zegarowy raportowania incydent\u00f3w powa\u017cnych do CSIRT \u2014 terminy obowi\u0105zuj\u0105ce od 2 kwietnia 2026.<\/em><\/figcaption><\/figure>\n

      Kogo dotyczy audyt i jakie podmioty musz\u0105 przeprowadzi\u0107 audyt priorytetowo?<\/h2>\n

      Priorytet dotyczy podmiot\u00f3w odpowiedzialnych za us\u0142ugi kluczowe i us\u0142ug cyfrowych. To m.in. sektor energetyczny, transport, zdrowie, finanse, infrastruktura cyfrowa i inne obszary o znaczeniu kluczowy dla pa\u0144stwa.<\/p>\n

      Typowy operator us\u0142ugi kluczowej musi przeprowadzi\u0107 audyt tak, aby wykaza\u0107 poziomu bezpiecze\u0144stwa i zdolno\u015b\u0107 utrzymania \u015bwiadczenia us\u0142ug. Ka\u017cdy taki podmiot powinien te\u017c dokumentowa\u0107 procesy reakcji na incydent, zarz\u0105dzanie ryzykiem i adekwatny zestaw zabezpiecze\u0144.<\/p>\n

      Co musi zawiera\u0107 kompleksowy audyt bezpiecze\u0144stwa systemu informacyjnego?<\/h2>\n

      Kompleksowy zakres powinien obejmowa\u0107 zar\u00f3wno warstw\u0119 organizacyjn\u0105, jak i informatyczny rdze\u0144 operacji. Dlatego audyt bezpiecze\u0144stwa systemu informacyjnego wykorzystywanego do \u015bwiadczenia us\u0142ugi kluczowej powinien obejmowa\u0107 tak\u017ce:<\/p>\n

        \n
      • \n

        identyfikacje aktyw\u00f3w i ryzyk,<\/p>\n<\/li>\n

      • \n

        bezpiecze\u0144stwa informacji i ochrony danych,<\/p>\n<\/li>\n

      • \n

        bezpiecze\u0144stwa IT i system\u00f3w IT,<\/p>\n<\/li>\n

      • \n

        testy penetracyjne,<\/p>\n<\/li>\n

      • \n

        gotowo\u015b\u0107 do raportowania incydent\u00f3w,<\/p>\n<\/li>\n

      • \n

        bezpiecze\u0144stwo \u0142a\u0144cucha dostaw,<\/p>\n<\/li>\n

      • \n

        ci\u0105g\u0142o\u015bci \u015bwiadczenia us\u0142ug,<\/p>\n<\/li>\n

      • \n

        dokumentacja pod wymaganiami ustawy o KSC.<\/p>\n<\/li>\n<\/ul>\n

        To w\u0142a\u015bnie audyt bezpiecze\u0144stwa systemu informacyjnego staje si\u0119 dzi\u015b centrum oceny zgodno\u015bci i odporno\u015bci.<\/p>\n

        Jak wygl\u0105da przeprowadzanie audytu krok po kroku po wdro\u017ceniu NIS2\/KSC?<\/h2>\n

        1) Ustalenie zakresu i metodyki<\/h3>\n

        Najpierw definiujesz, jaki podmiot i jaki system podlega ocenie, oraz kt\u00f3re wymaganiami ustawy s\u0105 krytyczne. Na tym etapie okre\u015blasz te\u017c metodyki i w\u0142a\u015bcicieli proces\u00f3w.<\/p>\n

        2) Zebranie dowod\u00f3w wykonania<\/h3>\n

        Nast\u0119pnie zbierasz dane techniczne i operacyjne. Opr\u00f3cz dokumentacji licz\u0105 si\u0119 logi, alerty SIEM, dane IAM i potwierdzenia wdro\u017cenie.<\/p>\n

        3) Ocena luk i ryzyka<\/h3>\n

        Trzeci krok to ocena bezpiecze\u0144stwa i zgodno\u015b\u0107 z wymaganiami ustawy o krajowym systemie cyberbezpiecze\u0144stwa, oraz dyrektywy NIS2. Tu powstaje mapa luk wraz z priorytetami.<\/p>\n

        4) Plan naprawczy i w\u0142a\u015bciciele dzia\u0142a\u0144<\/h3>\n

        Czwarty etap to plan zamkni\u0119cia luk. Ka\u017cde dzia\u0142anie musi mie\u0107 w\u0142a\u015bciciela, termin i mierzalny rezultat, aby spe\u0142ni\u0107 wymagania ustawy.<\/p>\n

        5) Walidacja i sta\u0142e monitorowanie<\/h3>\n

        Ostatni krok to powtarzalny monitoring. To warunek, aby utrzyma\u0107 poziomu bezpiecze\u0144stwa system\u00f3w informacyjnych i nie wraca\u0107 do modelu \u201epapierowego\u201d.<\/p>\n\n