Audyt KSC: kto może go przeprowadzić i jak wybrać audytora

Kto musi przeprowadzić audyt?

1. Podmiot kluczowy: cyklicznie i na własny koszt. Kolejny termin liczy się od dnia podpisania raportu z poprzedniego audytu.
2. Podmiot ważny: bez obowiązku cyklicznego. Organ właściwy może nakazać mu audyt decyzją, jeśli wystąpi incydent poważny albo inne naruszenie ustawy.

Od podmiotu kluczowego organ może zażądać audytu w każdej chwili.

Kto może być audytorem?

Zgodnie z art. 15 ust. 2 audyt przeprowadza:

1. jednostka oceniająca zgodność akredytowana w zakresie właściwym dla oceny bezpieczeństwa systemów informacyjnych,
2. co najmniej dwóch audytorów, z których każdy ma certyfikat z wykazu określonego w rozporządzeniu Ministra Cyfryzacji albo co najmniej 3 lata praktyki w audycie bezpieczeństwa systemów informacyjnych, albo 2 lata praktyki i dyplom studiów podyplomowych w tej dziedzinie,
3. CSIRT sektorowy, jeśli jego audytorzy spełniają te same warunki.

Ustawa nie przesądza wprost, że audytor musi być zewnętrzny. Warunek niezależności wyklucza jednak osoby, które zajmują się cyberbezpieczeństwem w podmiocie.

Które certyfikaty się liczą?

Wykaz certyfikatów określa rozporządzenie Ministra Cyfryzacji. Wykaz z 2018 r. obejmował między innymi CISA, CIA, CISM, CRISC, CGEIT, CISSP i SSCP. Certyfikaty audytora wiodącego ISO/IEC 27001 i ISO 22301 liczyły się tylko wtedy, gdy wydała je jednostka akredytowana w zakresie certyfikacji osób. Ministerstwo przygotowało projekt nowego wykazu, dlatego sprawdź wersję obowiązującą w dniu podpisania umowy.

Praktyczny wniosek: zaświadczenie o ukończeniu kursu „Lead Auditor”, nawet z egzaminem, to nie to samo co certyfikat wydany przez akredytowaną jednostkę certyfikującą osoby. Poproś o kopię certyfikatu i sprawdź, kto go wydał i czy ta jednostka ma akredytację, w Polsce nadawaną przez Polskie Centrum Akredytacji.

Dlaczego wdrożeniowiec nie może audytować?

Art. 15 ust. 2a wyklucza osobę, która realizuje w podmiocie zadania z art. 8 i art. 9 do 13 ustawy, w tym wdrażanie systemu zarządzania bezpieczeństwem informacji i obsługę incydentów, albo realizowała je w ciągu roku przed rozpoczęciem audytu.

Przepis mówi o osobie, nie o firmie. Firma, która wdrażała system i wystawia do audytu innych ludzi, nadal ocenia jednak własną pracę. My nie łączymy tych ról u jednego klienta.

Jak zapisać to w zapytaniu ofertowym?

1. Wymagaj co najmniej dwóch audytorów i kopii certyfikatów z wykazu albo dokumentów potwierdzających praktykę.
2. Wymagaj oświadczenia każdej osoby o spełnieniu warunku z art. 15 ust. 2a.
3. Nie łącz w jednym zamówieniu wdrożenia i audytu. To samo dotyczy połączenia doradztwa, oceny i dostaw.
4. Rezerwuj audytorów z wyprzedzeniem. Większość podmiotów kluczowych ma ten sam termin.

Co dzieje się z raportem?

Audytor przekazuje podmiotowi pisemny raport wraz z dokumentacją audytu. Podmiot przekazuje kopię raportu organowi właściwemu do spraw cyberbezpieczeństwa w ciągu 3 dni roboczych od jego otrzymania. Raport jest punktem wyjścia do nadzoru, więc niezgodności warto zamknąć albo zaplanować ich usunięcie, zanim trafi do organu.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 15 i 16 (ISAP)
• Rozporządzenie Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (ELI)
• Projekt rozporządzenia Ministra Cyfryzacji w sprawie wykazu certyfikatów uprawniających do przeprowadzania audytu (BIP MC)
• Ministerstwo Cyfryzacji, Q&A „Nowelizacja KSC”, aktualizacja z czerwca 2026, pyt. 1.11

Powiązane artykuły

• Podmiot kluczowy tylko przez grupę? Wyłączenie z art. 5 ust. 6 i 7 KSC
• Incydent poważny w KSC: jak go rozpoznać, zanim wejdą nowe progi