Dlaczego taka usługa jest potrzebna?
Audyt zerowy KSC – zanim rozpocznie się kosztowne wdrożenie
Audyt zerowy KSC to dobrowolna diagnoza gotowości organizacji do wymagań ustawy o krajowym systemie cyberbezpieczeństwa oraz dyrektywy NIS2. Pokazuje, czy organizacja podlega regulacji, jakie usługi i systemy powinny znaleźć się w zakresie, które wymagania są już spełnione, gdzie istnieją luki oraz w jakiej kolejności należy je zamykać.
Nowelizacja ustawy o KSC, wdrażająca NIS2 do polskiego prawa, weszła w życie 3 kwietnia 2026 r. Wprowadziła szeroki katalog podmiotów kluczowych i ważnych, obowiązek wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji, odpowiedzialność kierownictwa, zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw, ciągłość działania, szkolenia oraz wieloetapowe zgłaszanie poważnych incydentów.
To nie jest usługa wyłącznie dla ochrony zdrowia. Zakres KSC obejmuje między innymi energię, transport, bankowość i infrastrukturę rynku finansowego, ochronę zdrowia, wodę pitną i ścieki, infrastrukturę cyfrową, usługi ICT, administrację publiczną i sektor kosmiczny. Obejmuje również między innymi usługi pocztowe, gospodarkę odpadami, chemię, żywność, wybrane obszary produkcji, dostawców usług cyfrowych oraz organizacje badawcze. W sektorach objętych odrębnymi regulacjami, takich jak finanse i DORA, zakres oceny ustalamy z uwzględnieniem relacji między przepisami.
Sama nazwa branży nie przesądza jeszcze o statusie. Znaczenie mają rodzaj świadczonej usługi, wielkość i forma organizacji, powiązania z innymi przedsiębiorstwami, rola w łańcuchu dostaw, wykorzystywane systemy oraz szczególne przesłanki ustawowe. Dlatego audyt rozpoczynamy od udokumentowanej kwalifikacji, a nie od kopiowania zestawu procedur.
Dlaczego warto zacząć od audytu zerowego?
Największym ryzykiem jest wdrażanie zabezpieczeń bez uzgodnionego zakresu i bez powiązania ich z usługami organizacji. Firma może mieć zaporę sieciową, kopie zapasowe i procedurę incydentową, ale nadal nie wiedzieć, od których systemów zależy kluczowa usługa, kto podejmuje decyzję w kryzysie, czy kopię da się odtworzyć oraz jakie ryzyko wnosi dostawca chmurowy, serwis OT albo podwykonawca.
Audyt zerowy KSC łączy perspektywę zarządczą, procesową, prawną i techniczną. Nie sprawdzamy wyłącznie, czy dokument istnieje. Szukamy dowodów, że mechanizm jest stosowany, testowany, monitorowany i doskonalony.
Co sprawdzamy?
- Status i terminy – ustalamy, czy organizacja jest podmiotem kluczowym, ważnym, publicznym albo pozostaje poza formalnym zakresem. Weryfikujemy obowiązek wpisu do wykazu oraz terminy wdrożenia.
- Zakres usług i procesów – identyfikujemy usługi objęte regulacją oraz procesy, które wpływają na ich ciągłość, jakość i bezpieczeństwo.
- Mapę zależności – łączymy usługi z systemami IT i OT, danymi, urządzeniami, lokalizacjami, personelem, infrastrukturą fizyczną i dostawcami.
- Ład i odpowiedzialność – oceniamy rolę kierownika podmiotu, sponsora, właścicieli ryzyka, zespołu cyberbezpieczeństwa, IT/OT, biznesu, zakupów, HR, komunikacji i IOD.
- SZBI i zarządzanie ryzykiem – sprawdzamy metodykę, rejestr ryzyka, kryteria akceptacji, plan postępowania oraz sposób zatwierdzania i przeglądania ryzyka.
- Środki techniczne i organizacyjne – weryfikujemy między innymi zarządzanie dostępem, MFA, aktywami, zmianą, podatnościami, aktualizacjami, logami, monitoringiem, kryptografią i bezpieczeństwem fizycznym.
- Łańcuch dostaw – analizujemy dostawców ICT, chmurę, outsourcing, serwis, umowy, wymagania bezpieczeństwa, ryzyko koncentracji, zastępowalność i plany wyjścia.
- Incydenty i komunikację – sprawdzamy klasyfikację, role, eskalację, współpracę z właściwym CSIRT oraz gotowość do ścieżki 24 godziny / 72 godziny / 1 miesiąc.
- Ciągłość działania – oceniamy BIA, plany BCP, plany awaryjne i odtworzeniowe, kopie zapasowe, parametry RTO/RPO oraz dowody z testów odtworzenia.
- Ludzi i cyberhigienę – weryfikujemy świadomość personelu, szkolenia kierownictwa, kompetencje ról specjalistycznych i reakcję na phishing oraz inne scenariusze.
- Dokumentację i dowody – porównujemy polityki, procedury i instrukcje z zapisami operacyjnymi, wynikami testów, logami, protokołami i decyzjami zarządczymi.
Audyt zerowy, audyt ustawowy i ISO 27001 – trzy różne cele
- Audyt zerowy jest dobrowolną diagnozą. Kończy się raportem luk, oceną ryzyka i roadmapą wdrożenia.
- Ustawowy audyt KSC jest formalną i niezależną oceną. Podmiot kluczowy przeprowadza go co najmniej raz na trzy lata; podmiot ważny może otrzymać nakaz jego przeprowadzenia.
- Certyfikacja ISO/IEC 27001 jest dobrowolną oceną zgodności systemu z normą, wykonywaną przez akredytowaną jednostkę certyfikującą.
Ustawa nie wymaga „certyfikatu KSC” ani obowiązkowego certyfikatu ISO/IEC 27001. Wymaga natomiast działającego i udokumentowanego SZBI. Jeżeli wspieramy organizację we wdrożeniu, nie przedstawiamy później własnej diagnozy jako niezależnego audytu ustawowego. Pomagamy przygotować system, dowody i organizację do takiej oceny.
Najważniejsze punkty czasowe
Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., termin samorejestracji w wykazie upływa co do zasady 3 października 2026 r., obowiązki powinny zostać wdrożone do 3 kwietnia 2027 r., a pierwszy ustawowy audyt nowych podmiotów kluczowych powinien zostać przeprowadzony do 3 kwietnia 2028 r. Dla organizacji objętych regulacją później terminy liczy się od dnia spełnienia przesłanek. Każdy przypadek weryfikujemy indywidualnie.
Co otrzymuje organizacja?
- notę kwalifikacyjną z uzasadnieniem statusu i zakresu,
- mapę usług, procesów, systemów, aktywów, danych i dostawców,
- macierz wymagań KSC/NIS2 wraz z oceną spełnienia i wskazaniem dowodów,
- rejestr luk i ryzyk z priorytetem, właścicielem i rekomendacją,
- heatmapę gotowości dla zarządu oraz listę decyzji wymagających zatwierdzenia,
- roadmapę działań: quick wins, działania pilne i projekty systemowe,
- rekomendowany model ról, odpowiedzialności, KPI i przeglądów,
- indeks dowodów potrzebnych do kontroli lub niezależnego audytu,
- plan wdrożenia SZBI, ćwiczeń, szkoleń i dalszego utrzymania.
Audyt zerowy KSC może także objąć organizację formalnie pozostającą poza zakresem ustawy, jeżeli chce ona wykorzystać KSC i NIS2 jako punkt odniesienia dla cyberodporności, wymagań klientów lub bezpieczeństwa łańcucha dostaw. Dla placówek i organizacji medycznych przygotowaliśmy również osobną stronę KSC w ochronie zdrowia.
Jaka jest nasza rola?
Nasza rola – łączymy wymagania, technologię i realne procesy
LeanTrix prowadzi usługę przy merytorycznej współpracy z QualiTeam. Łączymy doświadczenie w zarządzaniu procesami, standaryzacji, zmianie organizacyjnej i rozwoju kompetencji z wiedzą o systemach zarządzania, ISO/IEC 27001, audytach oraz technologii. Dzięki temu cyberbezpieczeństwo nie zostaje zamknięte wyłącznie w dziale IT.
Audyt zerowy KSC prowadzimy wspólnie z zarządem, właścicielami usług i procesów, IT/OT, bezpieczeństwem, zakupami, utrzymaniem ruchu, HR, administracją, komunikacją oraz IOD – odpowiednio do profilu organizacji. Pracujemy na rzeczywistych procesach i dowodach, a nie na deklaracjach.
W trakcie projektu:
- prowadzimy kickoff z kierownictwem i uzgadniamy mandat, zakres oraz kryteria audytu,
- wykonujemy analizę kwalifikacyjną podmiotu i obowiązujących terminów,
- prowadzimy wywiady, obserwacje, przegląd dokumentacji oraz warsztaty mapowania zależności,
- analizujemy usługi, procesy, aktywa IT/OT, dane, lokalizacje i łańcuch dostaw,
- porównujemy wymagania KSC/NIS2 ze stanem faktycznym i dostępnymi dowodami,
- oceniamy ryzyka oraz proporcjonalność zastosowanych środków technicznych i organizacyjnych,
- sprawdzamy działanie procesu incydentowego, ciągłości działania i odtwarzania,
- prowadzimy ćwiczenie scenariuszowe, które ujawnia luki w decyzjach, eskalacji i komunikacji,
- porządkujemy rekomendacje według wpływu, pilności, wysiłku i zależności,
- prezentujemy zarządowi raport, heatmapę, roadmapę, właścicieli i proponowane KPI.
Diagnoza bez interesu w sprzedaży technologii
Nie sprzedajemy sprzętu ani licencji bezpieczeństwa. Dzięki temu rekomendacje wynikają z ryzyka i potrzeb procesu, a nie z katalogu produktów. Audyt zerowy nie jest automatycznie testem penetracyjnym. Zakres testów technicznych dobieramy do ryzyka i uzgadniamy osobno, aby nie zakłócać działania systemów, zwłaszcza środowisk OT i usług krytycznych.
Jeżeli organizacja potrzebuje wdrożenia, pomagamy zbudować SZBI, dokumentację, role, plan postępowania z ryzykiem, procesy incydentowe, ciągłość działania, wymagania dla dostawców, szkolenia oraz pakiet dowodowy. Jeżeli celem jest ustawowy audyt KSC albo certyfikacja ISO/IEC 27001, przygotowujemy organizację do niezależnej oceny i pilnujemy rozdzielenia ról.
Ekspert prowadzący i zespół wdrożeniowy
W części systemowej i technologicznej współpracujemy z dr. Ściborem Sobieskim, ekspertem ds. strategii, systemów zarządzania i IT oraz współzałożycielem i prezesem QualiTeam. Zespół dobieramy do profilu badanego podmiotu: inaczej wygląda audyt przedsiębiorstwa produkcyjnego z OT, inaczej dostawcy usług cyfrowych, jednostki publicznej, firmy logistycznej, organizacji badawczej czy podmiotu infrastrukturalnego.
Kończymy wspólnym przeglądem zarządczym. Nie przekazujemy jedynie listy niezgodności. Uzgadniamy sekwencję działań, odpowiedzialności, wymagane zasoby, sposób mierzenia postępu i warunki przejścia do wdrożenia. Celem jest system, który działa również po zakończeniu projektu.
Garść faktów
Wsparcie wdrożeniowe
Wsparcie realizujemy w oparciu o proces Kata, co pozwala dostosować nasze działania do specyfiki Twojej organizacji, uwzględniając wspólnie wyznaczone cele. Proces Kata składa się z czterech kluczowych elementów, które umożliwiają efektywną realizację założeń.
Działamy wg PDCA
P
PLAN
PLAN – kwalifikacja, zakres i plan audytu
W fazie PLAN ustalamy, jakie wymagania rzeczywiście dotyczą organizacji. Audyt zerowy KSC zaczynamy od statusu, usług i ryzyka, a nie od gotowej listy dokumentów.
- analizujemy sektor, rodzaj działalności, formę prawną, wielkość, powiązania i szczególne przesłanki ustawowe,
- ustalamy status podmiotu kluczowego, ważnego, publicznego albo pozostającego poza formalnym zakresem,
- weryfikujemy obowiązek wpisu do wykazu oraz terminy rejestracji, wdrożenia i audytu,
- identyfikujemy usługi objęte regulacją oraz procesy wpływające na ich świadczenie,
- tworzymy wstępną mapę systemów IT/OT, danych, aktywów, lokalizacji i dostawców,
- uzgadniamy kryteria odniesienia: KSC, NIS2, właściwe akty wykonawcze, wymagania sektorowe i – pomocniczo – ISO/IEC 27001,
- zbieramy dokumentację, rejestry, wyniki testów, umowy, logi i inne dowody,
- ustalamy z kierownictwem kryteria ryzyka, skalę dojrzałości i sposób raportowania,
- przygotowujemy harmonogram wywiadów, obserwacji, warsztatów i bezpiecznych weryfikacji technicznych.
Rezultatem PLAN jest karta zakresu audytu: co sprawdzamy, według jakich kryteriów, z kim, na jakich dowodach oraz jakie systemy i procesy wymagają szczególnej ostrożności.
D
DO
DO – audyt stanu faktycznego i test gotowości
W fazie DO przechodzimy od dokumentów do praktyki. Weryfikujemy, jak organizacja zarządza cyberbezpieczeństwem w codziennej pracy i czy deklarowane mechanizmy mają potwierdzenie w dowodach.
- prowadzimy wywiady z kierownictwem, właścicielami usług, IT/OT, bezpieczeństwem i funkcjami wspierającymi,
- mapujemy zależność: usługa – proces – system – aktywo – dostawca – ryzyko – kontrola,
- przeglądamy SZBI, polityki, procedury, instrukcje, rejestry ryzyka, decyzje i zapisy operacyjne,
- sprawdzamy zarządzanie dostępem, MFA, aktywami, podatnościami, zmianą, aktualizacjami, logami i monitoringiem,
- weryfikujemy bezpieczeństwo fizyczne oraz powiązanie środowisk IT i OT,
- analizujemy umowy i praktyki zarządzania dostawcami, chmurą, serwisem i outsourcingiem,
- sprawdzamy kopie zapasowe, wyniki testów odtworzenia, BIA, BCP, plany awaryjne i DR,
- prowadzimy ćwiczenie incydentowe obejmujące decyzje, eskalację, komunikację i ścieżkę 24 h / 72 h / 1 miesiąc,
- oceniamy program cyberhigieny, szkolenia kierownictwa i kompetencje osób pełniących kluczowe role,
- rejestrujemy luki, ryzyka, dowody i rekomendacje w jednym arkuszu audytowym.
Nie wykonujemy inwazyjnych testów bez uzgodnienia. Jeżeli test penetracyjny, skan podatności albo test OT jest uzasadniony ryzykiem, proponujemy go jako wyraźnie określony element dodatkowy.
C
CHECK
CHECK – ocena zgodności, skuteczności i dojrzałości
W fazie CHECK porównujemy wymagania z udokumentowanym stanem faktycznym. Oddzielamy brak dokumentu od braku skutecznego zabezpieczenia, ponieważ oba problemy wymagają innej reakcji.
- oceniamy każde wymaganie jako spełnione, częściowo spełnione, niespełnione albo nieadekwatne do zakresu,
- weryfikujemy jakość dowodów oraz to, czy środki są wdrożone, stosowane, monitorowane i testowane,
- sprawdzamy kompletność mapy usług, aktywów, dostawców i właścicieli ryzyka,
- oceniamy proporcjonalność zabezpieczeń do prawdopodobieństwa i skutku incydentu,
- analizujemy gotowość kierownictwa do decyzji, finansowania, nadzoru i komunikacji kryzysowej,
- weryfikujemy czas wykrycia, eskalacji i reakcji oraz możliwość dotrzymania terminów raportowania,
- sprawdzamy realną zdolność odtworzenia usług, nie tylko istnienie kopii zapasowej,
- wyodrębniamy luki krytyczne, szybkie działania naprawcze i projekty wymagające budżetu,
- tworzymy heatmapę gotowości według obszarów KSC/NIS2 i poziomów ryzyka,
- przeprowadzamy przegląd ustaleń z właścicielami procesów przed raportem dla zarządu.
Raport CHECK pokazuje nie tylko „czego brakuje”, ale również jaki jest skutek luki, jaki dowód będzie potrzebny, kto powinien zostać właścicielem działania i co należy wykonać w pierwszej kolejności.
A
ACT
ACT – roadmapa wdrożenia, odpowiedzialności i utrzymanie
W fazie ACT przekładamy wyniki na wykonalny program. Rekomendacje porządkujemy według ryzyka, obowiązujących terminów, zależności, potrzebnych zasobów i spodziewanego efektu.
- przygotowujemy plan działań 0–30 dni, 31–90 dni oraz projekty systemowe do realizacji w dalszej perspektywie,
- przypisujemy właścicieli, terminy, budżet, mierniki i kryteria zamknięcia każdej luki,
- ustalamy model RACI dla kierownictwa, właścicieli usług, bezpieczeństwa, IT/OT i funkcji wspierających,
- projektujemy lub aktualizujemy SZBI, dokumentację normatywną i wymagane zapisy operacyjne,
- planujemy postępowanie z ryzykiem, ćwiczenia incydentowe, testy ciągłości i odtwarzania,
- porządkujemy wymagania dla dostawców, umowy, ocenę ryzyka łańcucha dostaw i plany wyjścia,
- budujemy program szkoleń kierownictwa, personelu i ról specjalistycznych,
- tworzymy indeks dowodów oraz plan przygotowania do kontroli, audytu ustawowego lub dobrowolnej certyfikacji ISO/IEC 27001,
- ustalamy KPI, rytm przeglądów zarządczych i coroczny cykl doskonalenia,
- wspieramy rollout rozwiązania na kolejne procesy, lokalizacje lub spółki grupy.
ACT kończy pierwszy cykl PDCA i uruchamia następny. Organizacja otrzymuje kolejność działań, odpowiedzialności oraz mechanizm utrzymania cyberodporności wraz ze zmianami technologii, dostawców, procesów i zagrożeń.
Chcesz dowiedzieć się więcej? Skontaktuj się z nami!
Nasi klienci
