Audyt bezpieczeństwa z ustawy o krajowym systemie cyberbezpieczeństwa przeprowadza na własny koszt podmiot kluczowy, co najmniej raz na trzy lata, licząc od podpisania poprzedniego raportu. Podmiot ważny cyklicznego obowiązku nie ma, ale organ nadzoru może nakazać mu audyt po incydencie poważnym. Pierwszy termin dla firm objętych ustawą od kwietnia 2026 roku upływa 3 kwietnia 2028 roku.
Zarejestrowałeś firmę w Wykazie KSC i pojawiło się pytanie, co dalej. W wynikach wyszukiwania znajdziesz kilkanaście stron firm doradczych opisujących audyt w kategoriach analizy GAP, inwentaryzacji aktywów OT i przeglądu polityk. Wszystkie opisują ten sam proces dla dużej organizacji. Ten wpis odpowiada na inne pytanie: co ustawa faktycznie nakłada na firmę kilkunastoosobową, kiedy, i co możesz zrobić samodzielnie, zanim ktokolwiek wystawi Ci fakturę.
Podstawą jest ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 roku, ogłoszoną w Dzienniku Ustaw pod pozycją 252, która weszła w życie 3 kwietnia 2026 roku i wdraża NIS2 do polskiego prawa. Cytowane niżej przepisy pochodzą z tekstu ustawy, nie z opracowań.
Kto ma obowiązek audytu, a kto tylko tak myśli
Artykuł 15 ustęp 1 mówi wprost: audyt przeprowadza podmiot kluczowy, na własny koszt, co najmniej raz na 3 lata. Trzy lata liczy się od dnia sporządzenia i podpisania przez audytorów raportu z ostatniego audytu, a nie od daty kalendarzowej ani od dnia rejestracji. Jeżeli pierwszy raport podpiszesz w marcu 2028 roku, następny masz do marca 2031 roku.
Podmiot ważny cyklicznego obowiązku audytu nie ma. To jest różnica, którą większość opracowań zaciera, a ona realnie zmienia budżet na dwa lata do przodu. Jeżeli nie wiesz, po której stronie jesteś, zacznij od wpisu o sektorach załącznika I i sektorach załącznika II, a sam test zakresu rozbieramy w tekście czy NIS2 dotyczy mojej firmy.
Jest jednak druga droga do audytu i ona dotyczy również podmiotów ważnych. Artykuł 15 ustęp 1b pozwala organowi właściwemu do spraw cyberbezpieczeństwa nakazać decyzją audyt zewnętrzny: podmiotowi kluczowemu w każdym czasie, a podmiotowi ważnemu w przypadku incydentu poważnego albo innego naruszenia przepisów ustawy. Organ wskazuje wtedy termin przekazania raportu i rodzaj podmiotów uprawnionych do jego przeprowadzenia, może też określić zakres. Ustęp 1c dodaje, że taka decyzja podlega natychmiastowemu wykonaniu - nie odwołasz się od niej skutecznie przed wykonaniem.
Praktyczny wniosek dla podmiotu ważnego brzmi więc inaczej, niż sugeruje sama litera obowiązku. Cyklicznego audytu nie musisz robić. Ale w dniu, w którym zgłosisz incydent poważny, możesz go dostać nakazem, z terminem narzuconym z zewnątrz i bez czasu na przygotowanie.
Terminy, które naprawdę obowiązują
Firmy, które w dniu wejścia w życie nowelizacji spełniały przesłanki, mają zgodnie z artykułem 33 ustęp 1 dwanaście miesięcy na realizację obowiązków rozdziału 3, czyli do 3 kwietnia 2027 roku, oraz zgodnie z ustępem 2 dwadzieścia cztery miesiące na pierwszy audyt, czyli do 3 kwietnia 2028 roku. Firma, która przesłanki spełni później, liczy dwadzieścia cztery miesiące od dnia ich spełnienia - tak stanowi artykuł 16 punkt 2.
Osobna uwaga o dacie 3 października 2026 roku, która krążyła po internecie jako termin ustawowy. Nie była nim. Ustawa w artykule 34 mówi tylko tyle, że minister ogłasza komunikat z harmonogramem składania wniosków o wpis, z osobnymi terminami dla poszczególnych rodzajów podmiotów, i że ten harmonogram można zmienić z przyczyn technicznych lub organizacyjnych. Data pochodziła z komunikatu ministra i już minęła. Co zrobić, jeśli firma nie złożyła wniosku w terminie, opisujemy we wpisie o rejestrze podmiotów.
Druga rzecz, o której nie przeczytasz na stronach sprzedających audyty: artykuł 35 nowelizacji przesądza, że kary pieniężne mogą być nałożone po raz pierwszy dopiero po upływie dwóch lat od wejścia ustawy w życie. Czyli nie wcześniej niż 3 kwietnia 2028 roku. Kto straszy Cię karami “od października”, sprzedaje strach, nie zgodność.
Co audytor faktycznie sprawdza
Zakres audytu to bezpieczeństwo systemu informacyjnego wykorzystywanego w procesie świadczenia usługi. W praktyce rozkłada się na trzy warstwy, a w małej firmie każda z nich sprowadza się do pytania o dowód.
| Warstwa | Co pyta audytor | Czym jest dowód |
|---|---|---|
| Organizacyjna | Kto odpowiada za cyberbezpieczeństwo i czy zarząd przeszedł szkolenie | Powołane struktury albo umowa z dostawcą usług zarządzanych, lista obecności ze szkolenia, zakres obowiązków |
| Techniczna | Czy masz MFA, kopie zapasowe, segmentację, aktualizacje, rejestrowanie zdarzeń | Konfiguracja, a nie deklaracja: zrzut ustawień, log z odtworzenia kopii, harmonogram aktualizacji |
| Łańcuch dostaw | Kto ma dostęp do Twoich systemów i co mówi o tym umowa | Rejestr dostawców, klauzule bezpieczeństwa, lista kont zewnętrznych z datą ostatniego przeglądu |
Najczęstszy zgrzyt w małych firmach nie dotyczy braku zabezpieczeń, tylko braku dowodu. Kopie zapasowe zwykle są. Rzadziej jest data ostatniego testu odtworzenia. Aktualizacje zwykle się robi. Rzadziej istnieje zapis, kto i kiedy je zatwierdził.
Trzeba też wiedzieć, że raport nie zostaje u Ciebie w szufladzie. Artykuł 15 ustęp 1a nakazuje podmiotowi kluczowemu przedstawić organowi właściwemu elektroniczną kopię raportu w terminie trzech dni roboczych od dnia jego otrzymania. Ustęp 7 przewiduje dodatkowo przekazanie kopii na wniosek wskazanych podmiotów. Audyt jest więc sprawozdaniem dla państwa, a nie wewnętrzną notatką - i to jest argument za tym, żeby wcześniej wiedzieć, co się w nim znajdzie.
Kto może przeprowadzić audyt
Artykuł 15 ustęp 2 dopuszcza trzy ścieżki: akredytowaną jednostkę oceniającą zgodność, co najmniej dwóch audytorów spełniających warunki kwalifikacyjne, albo CSIRT sektorowy, jeżeli jego audytorzy spełniają te same warunki. Audytor musi mieć certyfikat z wykazu ministra - rozporządzenie z 12 października 2018 roku wymienia między innymi CISA, CISSP, CISM, CRISC, CGEIT, SSCP, CIA oraz certyfikaty audytora wiodącego ISO/IEC 27001 i ISO 22301 - albo co najmniej trzyletnią praktykę w audycie bezpieczeństwa systemów informacyjnych, albo dwuletnią praktykę i studia podyplomowe z tego zakresu.
Nowelizacja dodała przy tym zasadę, która przesądza o wyborze wykonawcy. Artykuł 15 ustęp 2a: audytu nie może przeprowadzić osoba, która w audytowanym podmiocie realizuje zadania z artykułów 8 oraz 9-13, ani która realizowała je w ciągu roku przed rozpoczęciem audytu. Mówiąc po ludzku - firma, która prowadzi Ci bezpieczeństwo na co dzień, nie może Cię z niego audytować. Jeżeli Twój dostawca IT proponuje pakiet “obsługa plus audyt zgodności”, to zestawienie jest sprzeczne z ustawą.
Audyt ustawowy to nie to samo co audyt gotowości
Tu leży sedno i to jest rozróżnienie, którego nie znajdziesz na stronach konkurencji, bo zaciera im ofertę.
Audyt ustawowy to ten z artykułu 15. Ma termin, wymagania wobec audytora, raport idzie do organu. Dla większości firm objętych ustawą od kwietnia 2026 roku wypada do 3 kwietnia 2028 roku.
Audyt gotowości robisz dla siebie, kiedy chcesz i w zakresie, jaki ustalisz. Nikt go nie wymaga i nikomu go nie wysyłasz. Jego sens jest czysto ekonomiczny: masz dziś dwa lata na usunięcie długu technicznego, więc możesz rozłożyć koszty na osiem kwartałów zamiast kondensować je w trzy miesiące przed terminem.
Różnica między tymi dwoma podejściami nie jest teoretyczna. Firma, która zaczyna przygotowania na trzy miesiące przed audytem ustawowym, kupuje wszystko naraz, najdrożej i bez czasu na sprawdzenie, czy rozwiązanie działa. Firma, która zaczyna dwa lata wcześniej, w pierwszym roku zamyka rzeczy, które nic nie kosztują poza godziną pracy, a budżet zostawia na to, co faktycznie wymaga pieniędzy.
Co widać z zewnątrz, zanim ktokolwiek wejdzie do firmy
Część zakresu audytu jest sprawdzalna bez dostępu do Twojej sieci, z tego samego miejsca, z którego patrzy atakujący. Konfiguracja poczty, certyfikaty, nagłówki bezpieczeństwa - to wszystko widać publicznie. My skanujemy to w ramach PreScanu i wyniki są konsekwentne.
W skanach polskich biur rachunkowych, które przeprowadziliśmy we wrześniu 2026 roku, 88 procent firm nie egzekwuje DMARC - albo nie ma rekordu w ogóle, albo ma go ustawionego wyłącznie w trybie monitorowania, który niczego nie blokuje. 66 procent nie ma rekordu DKIM, czyli podpisu, po którym serwer odbiorcy poznaje, że wiadomość naprawdę wyszła od Ciebie. 41 procent ma SPF ustawiony miękko, więc podszycie się pod domenę kończy się w najlepszym razie oznaczeniem wiadomości jako podejrzanej, a nie jej odrzuceniem. Do tego 91 procent nie wysyła nagłówka HSTS, 15 procent ma problem z certyfikatem, a 3 procent nie szyfruje strony w ogóle.
To nie są egzotyczne podatności. To są ustawienia w panelu DNS, w większości do poprawienia w jedno popołudnie, bez kupowania czegokolwiek. I to jest pierwsze, co zobaczy audytor, bo zobaczy to przed pierwszym spotkaniem.
| Sprawdzalne z zewnątrz | Wymaga dostępu do firmy |
|---|---|
| SPF, DKIM, DMARC, DNSSEC | MFA na kontach i w systemach dziedzinowych |
| Certyfikaty i nagłówki bezpieczeństwa | Test odtworzenia kopii zapasowej |
| Usługi wystawione do internetu | Segmentacja sieci i uprawnienia |
| Adresy firmowe w wyciekach danych | Rejestr dostawców i umowy |
Co zrobisz sam przed audytem
Pięć ruchów, od najtańszego. Każdy jest w zakresie audytu i każdy możesz odhaczyć bez konsultanta.
Po pierwsze, ustaw politykę DMARC na odrzucanie i dodaj DKIM. To jedna zmiana w DNS, a zamyka najczęstszy wektor podszycia się pod Twoją firmę wobec klientów. Po drugie, włącz MFA wszędzie, gdzie się da, zaczynając od poczty i kont z dostępem do danych klientów. Po trzecie, odtwórz kopię zapasową na próbę i zapisz datę - samo istnienie kopii nie jest dowodem, dowodem jest udane odtworzenie. Po czwarte, zrób listę dostawców, którzy mają dostęp do Twoich systemów, i sprawdź, czy któreś konto nie należy do kogoś, kto już z Tobą nie pracuje. Po piąte, zapisz, kto w firmie odpowiada za cyberbezpieczeństwo, i umów szkolenie dla osób zarządzających - to obowiązek z ustawy, nie dobra praktyka.
Czego nie zrobisz sam: oceny ryzyka w formie, którą audytor uzna za kompletną, oraz weryfikacji, czy zabezpieczenia faktycznie działają, a nie tylko są włączone. To jest moment, w którym potrzebujesz kogoś z zewnątrz - i tutaj zasada niezależności z artykułu 15 ustęp 2a działa na Twoją korzyść, bo wyklucza konflikt interesu po stronie wykonawcy.
Szerzej o samych wymaganiach technicznych piszemy w przewodniku środki techniczne RODO i NIS2, a całość obowiązków zbieramy w przewodniku NIS2 i UKSC dla małej firmy.
Najczęstsze pytania
Kiedy muszę przeprowadzić pierwszy audyt NIS2?
Podmioty, które spełniały przesłanki w dniu wejścia w życie nowelizacji, mają na pierwszy audyt dwadzieścia cztery miesiące od 3 kwietnia 2026 roku, czyli czas do 3 kwietnia 2028 roku. Firma, która przesłanki spełni później, liczy dwadzieścia cztery miesiące od dnia ich spełnienia.
Kto może wykonać audyt bezpieczeństwa zgodny z UKSC?
Akredytowana jednostka oceniająca zgodność, co najmniej dwóch audytorów z certyfikatem z wykazu ministra lub z odpowiednią praktyką audytową, albo CSIRT sektorowy spełniający te same warunki. Audytu nie może przeprowadzić osoba, która w ciągu ostatniego roku realizowała w audytowanej firmie zadania z zakresu bezpieczeństwa.
Czy podmiot ważny musi robić audyt?
Cyklicznego obowiązku nie ma - artykuł 15 ustęp 1 mówi wyłącznie o podmiocie kluczowym. Organ właściwy może jednak nakazać podmiotowi ważnemu audyt zewnętrzny w przypadku incydentu poważnego albo innego naruszenia przepisów ustawy, a taka decyzja podlega natychmiastowemu wykonaniu.
Czy audyt NIS2 to to samo co test penetracyjny?
Nie. Audyt bada zgodność systemu zarządzania bezpieczeństwem z wymaganiami ustawy i kończy się raportem dla organu nadzoru. Test penetracyjny sprawdza, czy konkretne zabezpieczenia da się obejść, i kończy się listą podatności. Audyt może obejmować testy, ale ich nie zastępuje - różnice rozbieramy w ocenie podatności IT.
Co się stanie, jeśli nie zrobię audytu w terminie?
Brak audytu w terminie z artykułu 15 ustęp 1 lub artykułu 16 punkt 2 jest podstawą kary pieniężnej. Przy czym artykuł 35 nowelizacji przesądza, że kary mogą być nakładane po raz pierwszy dopiero po upływie dwóch lat od wejścia ustawy w życie, czyli nie wcześniej niż 3 kwietnia 2028 roku.
Do pierwszego audytu ustawowego zostało półtora roku, a najtańsze poprawki z jego zakresu widać z zewnątrz już teraz. Zamów bezpłatny PreScan: w 24 godziny pokażemy, jak Twoja domena wygląda z perspektywy atakującego i które ustawienia poprawisz sam, zanim zaczniesz wydawać pieniądze.
Materiał informacyjny, nie jest to porada prawna. Stan prawny na październik 2026 roku, na podstawie ustawy o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym ustawą z 23 stycznia 2026 roku (Dz.U. 2026 poz. 252). O tym, czy Twoja firma jest podmiotem kluczowym czy ważnym, decyduje indywidualna analiza - w razie wątpliwości skonsultuj się z radcą prawnym.