W skrócie
Audyt KSC może przeprowadzić akredytowana jednostka oceniająca zgodność, co najmniej dwóch audytorów z certyfikatem z listy lub z udokumentowaną praktyką albo CSIRT sektorowy. Audytorem nie może być osoba, która w podmiocie prowadzi zadania SZBI lub obsługi incydentów albo wykonywała je w roku przed audytem.
Najważniejsze wnioski
- Audyt KSC prowadzi akredytowana jednostka oceniająca zgodność, co najmniej dwóch uprawnionych audytorów albo CSIRT sektorowy (art. 15 ust. 2 ustawy o KSC).
- Uprawnienia daje jeden z 11 certyfikatów z rozporządzenia Dz.U. 2018 poz. 1999 (m.in. CISA, CISM, CISSP, ISO/IEC 27001 Lead Auditor), 3 lata praktyki albo 2 lata praktyki i studia podyplomowe z audytu.
- Audytorem nie może być osoba, która w audytowanym podmiocie realizuje zadania z art. 8 lub 9-13 albo wykonywała je w roku przed rozpoczęciem audytu (art. 15 ust. 2a).
- Podmioty kluczowe w dniu 3 kwietnia 2026 r. (poza byłymi operatorami usług kluczowych) muszą przeprowadzić pierwszy audyt do 3 kwietnia 2028 r., a potem co najmniej raz na 3 lata.
- Kopię raportu z audytu podmiot przekazuje organowi właściwemu w ciągu 3 dni roboczych od jego otrzymania (art. 15 ust. 1a).
Audyt KSC, czyli audyt bezpieczeństwa systemu informacyjnego z art. 15 ustawy o krajowym systemie cyberbezpieczeństwa, może przeprowadzić akredytowana jednostka oceniająca zgodność, zespół co najmniej dwóch uprawnionych audytorów albo CSIRT sektorowy. Każdy audytor potrzebuje certyfikatu z listy ministra albo udokumentowanej praktyki. Do tego dochodzi nowy warunek niezależności: rok przerwy od pracy przy Waszym systemie. Nie przeprowadzamy formalnych audytów KSC. W ramach przygotowania do audytu KSC robimy przegląd przed audytem i wskazujemy, kto może Was audytować.
Kto może przeprowadzić audyt KSC?
Art. 15 ust. 2 ustawy o KSC daje trzy drogi. Pierwsza to jednostka oceniająca zgodność akredytowana na podstawie ustawy o systemach oceny zgodności i nadzoru rynku. Druga to co najmniej dwóch audytorów, z których każdy spełnia jeden z warunków kwalifikacji. Trzecia to CSIRT sektorowy, jeśli jego audytorzy spełniają te same warunki.
W praktyce większość podmiotów wybierze drugą drogę: firmę audytorską albo dwóch niezależnych audytorów. Ustawa nie tworzy rejestru audytorów KSC i nie wymaga licencji od ministerstwa (stan na 16 października 2026 r.). To Wy sprawdzacie uprawnienia przed podpisaniem umowy, bo to Wasz raport trafi do organu.
| Kto | Warunek |
|---|---|
| Jednostka oceniająca zgodność | akredytacja na podstawie ustawy o systemach oceny zgodności i nadzoru rynku |
| Zespół audytorów | co najmniej 2 osoby, każda z certyfikatem z listy albo z udokumentowaną praktyką |
| CSIRT sektorowy | audytorzy spełniający te same warunki co zespół audytorów |
Jakie certyfikaty i jaka praktyka uprawniają audytora?
Listę certyfikatów zawiera załącznik do rozporządzenia Ministra Cyfryzacji z 2018 r. (Dz.U. 2018 poz. 1999). Nowelizacja z 2026 r. go nie uchyliła i nie zmieniła podstawy z art. 15 ust. 8, więc lista nadal obowiązuje. Zawiera 11 pozycji:
- CIA (Certified Internal Auditor)
- CISA (Certified Information Systems Auditor)
- certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według PN-EN ISO/IEC 27001, wydany przez akredytowaną jednostkę certyfikującą osoby
- certyfikat audytora wiodącego systemu zarządzania ciągłością działania według PN-EN ISO 22301, wydany na tych samych zasadach
- CISM (Certified Information Security Manager)
- CRISC (Certified in Risk and Information Systems Control)
- CGEIT (Certified in the Governance of Enterprise IT)
- CISSP (Certified Information Systems Security Professional)
- SSCP (Systems Security Certified Practitioner)
- Certified Reliability Professional
- ISA/IEC 62443 Cybersecurity Expert
Bez certyfikatu audytor kwalifikuje się praktyką: co najmniej 3 lata w audycie bezpieczeństwa systemów informacyjnych albo 2 lata i dyplom studiów podyplomowych w zakresie audytu bezpieczeństwa systemów informacyjnych.
Praktykę trzeba udokumentować, na przykład wykonaniem trzech audytów w ciągu ostatnich 3 lat przed rozpoczęciem audytu (art. 15 ust. 3). O tym, co daje sam certyfikat, piszemy w tekście o znaczeniu certyfikatu CISA dla zgodności.
Na czym polega niezależność audytora i rok przerwy?
Nowy art. 15 ust. 2a mówi: audyt nie może być przeprowadzony przez osobę, która w audytowanym podmiocie realizuje zadania z art. 8 lub art. 9-13, albo realizowała je w okresie roku przed rozpoczęciem audytu. Art. 8 to system zarządzania bezpieczeństwem informacji, art. 9-13 to m.in. osoba kontaktowa, obsługa i zgłaszanie incydentów.
Przepis dotyczy osób, nie całych firm. Wykluczeni są więc Wasz pełnomocnik ds. SZBI, administratorzy, którzy obsługują incydenty, i konsultanci zewnętrzni, którzy budowali Wam SZBI albo prowadzą go w stałej obsłudze. Pracownicy audytu wewnętrznego mogą wejść do zespołu tylko wtedy, gdy sami nie wykonywali tych zadań.
Kiedy pierwszy audyt i kogo dotyczy?
Obowiązkowy audyt dotyczy podmiotów kluczowych. Te, które miały ten status w dniu wejścia w życie nowelizacji (3 kwietnia 2026 r.), przeprowadzają pierwszy audyt do 3 kwietnia 2028 r. (art. 33 ust. 2 ustawy nowelizującej). Byli operatorzy usług kluczowych zachowują swój dotychczasowy cykl. Kolejne audyty trzeba przeprowadzać co najmniej raz na 3 lata.
- Nowy podmiot kluczowy przeprowadza pierwszy audyt w ciągu 24 miesięcy od spełnienia przesłanek (art. 16 pkt 2).
- Podmiot ważny nie ma audytu okresowego. Organ może go nakazać decyzją po incydencie poważnym albo innym naruszeniu ustawy (art. 15 ust. 1b). Decyzja wskazuje, kto może go przeprowadzić i w jakim terminie przekazać kopię raportu.
- Raport z audytu podmiot przekazuje organowi właściwemu do spraw cyberbezpieczeństwa w ciągu 3 dni roboczych od jego otrzymania (art. 15 ust. 1a).
Brak audytu w terminie to osobna podstawa kary pieniężnej (art. 73). Takie kary organ może nakładać od 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Terminy potwierdza strona Ministerstwa Cyfryzacji o obowiązkach podmiotów, a pełny tekst to Dz.U. 2026 poz. 252. Harmonogram prac do 2027 r. rozpisaliśmy w planie wdrożenia KSC na 26 tygodni.
Czym przegląd przed audytem różni się od audytu KSC?
Audyt KSC kończy się raportem, który trafia do organu i liczy się jako spełnienie obowiązku z art. 15. Audyt gotowości tego nie robi. To przegląd, który pokazuje luki przed formalnym audytem: brakujące dowody, kontrole tylko na papierze, niedokończoną analizę ryzyka. Może go zrobić także firma, która wdrażała u Was SZBI, bo przegląd nie zastępuje audytu.
| Kryterium | Przegląd przed audytem | Audyt KSC (art. 15) |
|---|---|---|
| Kto | dowolny zespół, także wdrożeniowy | akredytowana jednostka, co najmniej 2 uprawnionych audytorów albo CSIRT sektorowy |
| Niezależność | nie jest wymagana | rok przerwy od zadań z art. 8 i 9-13 (art. 15 ust. 2a) |
| Wynik | lista luk i plan poprawek | raport z audytu dla organu w 3 dni robocze |
| Czy spełnia obowiązek | nie | tak |
Uważajcie na oferty, w których ta sama firma wdraża SZBI, a potem „audytuje” go w tym samym roku. Jeśli te same osoby wykonywały zadania z art. 8, taki raport nie spełni warunku z art. 15 ust. 2a. Najpierw przegląd, potem poprawki, a formalny audyt na końcu, przez inne osoby.
Jak sprawdzić audytorów przed podpisaniem umowy?
- Skład zespołu. Poproście o imienną listę co najmniej dwóch audytorów, którzy faktycznie poprowadzą audyt.
- Kwalifikacje. Dla każdej osoby: kopia certyfikatu z listy z 2018 r. (z datą ważności) albo dokumenty praktyki, np. wykaz trzech audytów z ostatnich 3 lat. Przy jednostce oceniającej zgodność: zakres akredytacji.
- Oświadczenie o niezależności. Każdy audytor potwierdza na piśmie, że w roku przed startem nie realizował u Was zadań z art. 8 ani 9-13. Sprawdźcie to z listą Waszych dostawców i konsultantów.
- Zakres. Audyt obejmuje system informacyjny wykorzystywany do świadczenia usługi. Spiszcie, które systemy, lokalizacje i dostawcy wchodzą w zakres.
- Terminy. Data rozpoczęcia, data raportu i Wasze 3 dni robocze na przekazanie go organowi. Zostawcie zapas przed 3 kwietnia 2028 r.
- Dostęp do dowodów. Ustalcie, jak audytorzy dostaną dokumentację SZBI, logi i rejestry. Zautomatyzowane logi systemowe też są dokumentacją operacyjną (art. 10 ust. 4).
Od czego zacząć zbieranie dowodów, pokazujemy na przykładzie zarządzania aktywami i katalogu danych. Jeśli Waszej firmy wciąż nie ma w wykazie, zacznijcie od tekstu o wykazie KSC po 3 października.
Co zrobić przed pierwszym audytem
Najpierw ustalcie, czy jesteście podmiotem kluczowym i od kiedy, bo od tego zależy termin. Potem wypiszcie osoby, które wykonują u Was zadania z art. 8 i 9-13: żadna z nich nie poprowadzi audytu. Na koniec wybierzcie zespół audytorów i zarezerwujcie termin w 2027 r., z zapasem na poprawki.
Formalnego audytu nie przeprowadzimy. Zrobimy przegląd przed audytem KSC, pomożemy domknąć luki i wskażemy, kto może Was audytować. Zakres opisujemy przy wdrożeniu KSC i NIS2 i w konsultingu IT. Jeśli chcecie omówić Wasz harmonogram, napiszcie do nas.
Najczęściej zadawane pytania
- Czy jeden audytor może przeprowadzić audyt KSC?
Nie, chyba że audyt prowadzi akredytowana jednostka oceniająca zgodność. Art. 15 ust. 2 wymaga zespołu co najmniej dwóch audytorów, z których każdy ma certyfikat z listy albo udokumentowaną praktykę.
- Czy firma, która wdrażała nam SZBI, może zrobić audyt KSC?
Nie przez te same osoby, jeśli w roku przed rozpoczęciem audytu realizowały u Was zadania z art. 8 lub 9-13 (art. 15 ust. 2a). Przepis dotyczy osób, więc inny, niezależny zespół tej firmy nie jest z góry wykluczony, ale musi to wykazać.
- Czy jest rejestr uprawnionych audytorów KSC?
Nie (stan na 16 października 2026 r.). Uprawnienia wynikają z certyfikatu z rozporządzenia Dz.U. 2018 poz. 1999 albo z udokumentowanej praktyki i sprawdzacie je sami.
- Do kiedy trzeba przeprowadzić pierwszy audyt KSC?
Podmioty kluczowe w dniu 3 kwietnia 2026 r. mają czas do 3 kwietnia 2028 r., chyba że były operatorami usług kluczowych i zachowują dotychczasowy cykl. Nowe podmioty kluczowe mają 24 miesiące od spełnienia przesłanek, a potem audyt powtarza się co najmniej raz na 3 lata.
- Czy podmiot ważny musi robić audyt KSC?
Podmiot ważny nie ma audytu okresowego. Organ może go nakazać decyzją po incydencie poważnym lub innym naruszeniu ustawy (art. 15 ust. 1b).
