Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (UKSC) weszła w życie 3 kwietnia 2026 r. Dla wielu organizacji oznacza to nie tylko wpis do Wykazu KSC, ale też konieczność wykazania, że zabezpieczenia faktycznie działają. Wyjaśniamy, czym jest audyt KSC i NIS2, kogo dotyczy, jak przebiega i jak się do niego przygotować.
Dwa rodzaje audytu
Mówiąc o „audycie KSC”, warto rozróżnić dwie sytuacje:
- Audyt przygotowawczy (analiza luk) — dobrowolny, prowadzony wcześniej. Pokazuje, które wymagania organizacja już spełnia, czego brakuje i od czego zacząć. Jego wynikiem jest plan działań.
- Audyt ustawowy — obowiązkowy dla podmiotów kluczowych, przeprowadzany w trybie i przez audytora spełniających wymagania ustawy. Potwierdza stan zgodności.
Według harmonogramu Ministerstwa Cyfryzacji podmioty, które spełniały kryteria w dniu wejścia w życie nowelizacji, mają czas do 3 kwietnia 2027 r. na wdrożenie obowiązków, a podmioty kluczowe przeprowadzają pierwszy audyt do 3 kwietnia 2028 r., a następnie co najmniej raz na trzy lata. Audyt przygotowawczy ma sens wtedy, gdy na wdrożenie brakujących elementów jest jeszcze czas.
Co obejmuje zakres audytu
Zakres zależy od organizacji, ale dobrze przeprowadzony audyt obejmuje zarówno dokumenty, jak i to, jak zabezpieczenia działają w praktyce.
Organizacja i dokumentacja
- klasyfikacja podmiotu i zakres usług objętych ustawą,
- system zarządzania bezpieczeństwem informacji (SZBI): polityki, role, odpowiedzialność kierownictwa,
- szacowanie i postępowanie z ryzykiem,
- bezpieczeństwo łańcucha dostaw — umowy i wymagania wobec dostawców,
- szkolenia kierownictwa i pracowników.
Zabezpieczenia techniczne
- inwentaryzacja zasobów i systemów,
- Active Directory, Entra ID i zarządzanie uprawnieniami, MFA,
- konfiguracja sieci, segmentacja, firewall i dostęp zdalny,
- Microsoft 365 i poczta elektroniczna,
- ochrona urządzeń — EDR i XDR,
- zarządzanie podatnościami i aktualizacjami,
- kopie zapasowe i testy odtwarzania.
Wykrywanie i reagowanie
- źródła logów i monitoring zdarzeń,
- procedury obsługi i zgłaszania incydentów w 24 i 72 godziny,
- plany ciągłości działania,
- dowody, że procedury były ćwiczone.
Jak przebiega audyt — etapy
- Rozmowa wstępna i ustalenie zakresu — które usługi, lokalizacje i systemy obejmuje audyt.
- Zebranie dokumentacji — polityki, procedury, rejestry, umowy z dostawcami.
- Wywiady — z kierownictwem, IT, osobami odpowiedzialnymi za procesy kluczowe.
- Weryfikacja techniczna — przegląd konfiguracji, testy wybranych zabezpieczeń, sprawdzenie kopii zapasowych.
- Analiza i ocena — porównanie stanu faktycznego z wymaganiami.
- Raport — lista luk z oceną ryzyka i priorytetami oraz rekomendacje.
- Omówienie wyników — z kierownictwem, które odpowiada za wdrożenie.
Jak się przygotować — lista dokumentów
Przed audytem warto zebrać:
- aktualny wykaz systemów, serwerów, aplikacji i usług chmurowych,
- schemat sieci,
- listę kont uprzywilejowanych i zasady ich nadawania,
- polityki bezpieczeństwa i procedury — nawet jeśli są niekompletne,
- ostatnią analizę ryzyka,
- umowy z kluczowymi dostawcami IT,
- raporty z testów odtwarzania kopii zapasowych,
- rejestr incydentów z ostatniego roku,
- informacje o szkoleniach.
Brak części dokumentów to nie powód, żeby przekładać audyt przygotowawczy — właśnie po to się go robi.
Najczęstsze luki
Z naszego doświadczenia najczęściej brakuje:
- aktualnej inwentaryzacji — nikt nie wie, ile jest serwerów i kto ma uprawnienia administratora,
- MFA dla dostępu zdalnego i kont uprzywilejowanych,
- przetestowanych kopii zapasowych — kopie są, ale nikt nie sprawdził, czy da się z nich odtworzyć system,
- monitoringu poza godzinami pracy — alerty są, ale nikt ich nie analizuje w nocy,
- procedury zgłaszania incydentów z przypisanymi osobami i zastępstwami,
- udziału kierownictwa — ustawa nakłada obowiązki na kierownika podmiotu, nie tylko na dział IT.
Co dalej po audycie
Raport jest początkiem pracy, nie jej końcem. Na jego podstawie powstaje plan wdrożenia z priorytetami i budżetem. Część elementów — monitoring, reagowanie, kopie zapasowe — można wdrożyć samodzielnie albo powierzyć zewnętrznemu zespołowi, np. w modelu zewnętrznego SOC.
Prowadzimy audyty KSC i NIS2 dla firm i instytucji w Warszawie i w całej Polsce. Umów bezpłatną konsultację, a ustalimy zakres dopasowany do Twojej organizacji.
Źródła: informacje Ministerstwa Cyfryzacji o nowelizacji UKSC (terminy wdrożenia i audytu), ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan na 26 września 2026 r.