Czy podmiot ważny musi przeprowadzać cykliczny audyt KSC co trzy lata? Zgodnie z aktualnym FAQ Krajowego Systemu Cyberbezpieczeństwa — nie. Obowiązek zapewnienia takiego audytu dotyczy podmiotów kluczowych.
Kto ma obowiązek przeprowadzenia cyklicznego audytu?
FAQ KSC w pytaniu 9.1 wskazuje, że podmiot kluczowy ma obowiązek zapewnić, na własny koszt, przeprowadzenie audytu bezpieczeństwa systemu informacyjnego co najmniej raz na trzy lata. Audyt zgodności może być wewnętrzny albo zewnętrzny, ale musi zostać wykonany przez uprawnionych audytorów, właściwie akredytowaną jednostkę oceniającą zgodność albo CSIRT sektorowy.
Podmioty ważne nie mają obowiązku przeprowadzania cyklicznego audytu. Nie oznacza to jednak zwolnienia z pozostałych obowiązków KSC ani braku możliwości przeprowadzania dobrowolnych przeglądów i audytów.
Jaki powinien być zakres audytu podmiotu kluczowego?
Audyt powinien obejmować cały system informacyjny wykorzystywany przez podmiot, a nie tylko jego fragment bezpośrednio związany z konkretną usługą. FAQ uzasadnia to powiązaniami pomiędzy systemami: słabiej chroniony element może umożliwić oddziaływanie na kluczową działalność organizacji.
Praktyczna checklista przed audytem
Poniższe działania są rekomendacją praktyczną, a nie dodatkową listą obowiązków ustawowych przytoczoną z FAQ.
- potwierdź i udokumentuj status organizacji: podmiot kluczowy albo ważny;
- ustal datę ostatniego raportu oraz termin kolejnego audytu;
- sporządź mapę systemów, usług, integracji i zależności objętych zakresem;
- zweryfikuj kwalifikacje oraz niezależność planowanych wykonawców;
- przygotuj dokumentację SZBI, wyniki analizy ryzyka, rejestr incydentów i dowody realizacji zabezpieczeń.
Najczęstszy błąd w planowaniu
Zakres ograniczony wyłącznie do systemu obsługującego jedną usługę może być zbyt wąski. Przed zleceniem prac warto sprawdzić, jakie systemy wspierające, konta administracyjne, sieci, kopie zapasowe i usługi dostawców mogą wpływać na ciągłość kluczowej działalności.
Co warto ustalić teraz?
Najpierw potwierdź status podmiotu. Jeżeli organizacja jest podmiotem kluczowym, wyznacz właściciela przygotowań, określ pełny zakres systemu informacyjnego i zaplanuj termin z odpowiednim wyprzedzeniem.
Potrzebujesz pomocy w określeniu zakresu lub przygotowaniu organizacji? Zobacz zakres usług i zapytaj o audyt.
Źródło: FAQ – Krajowy System Cyberbezpieczeństwa, dział 9 „Audyty bezpieczeństwa systemu informacyjnego”, pytanie 9.1. Aktualne FAQ KSC (sprawdzono 9.10.2026 r.; dokument zawiera aktualizacje oznaczone jako październik 2026 r.).