Audyt UKSC — kto musi, co ile lat i kto może go przeprowadzić

Obowiązek cyklicznego audytu bezpieczeństwa spoczywa na podmiotach kluczowych. To konsekwencja modelu nadzoru: podmioty kluczowe podlegają nadzorowi proaktywnemu, więc państwo nie czeka na incydent, tylko wymaga regularnego, udokumentowanego sprawdzenia stanu bezpieczeństwa.

Pierwszy audyt trzeba przeprowadzić do 3 kwietnia 2028 r., a następne co najmniej raz na trzy lata, licząc od dnia podpisania raportu z ostatniego audytu. Firma, która stanie się podmiotem kluczowym później, ma 24 miesiące od dnia spełnienia przesłanek, a dawni operatorzy usług kluczowych, którzy mieli już audyt, zachowują dotychczasowy cykl.

Niezależnie od tego cyklu organ właściwy do spraw cyberbezpieczeństwa może w drodze decyzji nakazać audyt zewnętrzny: podmiotowi kluczowemu w każdym czasie, a podmiotowi ważnemu po incydencie poważnym albo innym naruszeniu ustawy (art. 15 ust. 1b).

Jeśli nie masz pewności, do której kategorii należy Twoja organizacja, zacznij od oceny zakresu — bo to ona rozstrzyga, czy obowiązek audytu w ogóle Cię dotyczy.

To pytanie zaskakuje najwięcej organizacji, bo odpowiedź nie brzmi po prostu firma zewnętrzna. Ustawa wymienia trzy możliwości: akredytowaną jednostkę oceniającą zgodność, co najmniej dwóch audytorów albo CSIRT sektorowy (art. 15 ust. 2). Każdy z dwóch audytorów musi mieć certyfikat wskazany w rozporządzeniu ministra właściwego do spraw informatyzacji albo udokumentowaną praktykę w audycie bezpieczeństwa systemów informacyjnych. Jedna osoba z działu IT nie wystarczy.

Przepisy nie wykluczają audytu wewnętrznego - ci sami audytorzy mogą być pracownikami firmy, jeśli spełniają te warunki. Drugi warunek jest twardszy i to on najczęściej przesądza sprawę: niezależność. Audytu nie może przeprowadzić osoba, która w audytowanym podmiocie realizuje zadania z zakresu cyberbezpieczeństwa określone w ustawie (m.in. system zarządzania bezpieczeństwem, obsługa i zgłaszanie incydentów) albo realizowała je w ciągu roku przed rozpoczęciem audytu (art. 15 ust. 2a). Przepis dotyczy osób, a nie firm, ale praktyczny skutek jest prosty - nie można audytować własnej pracy.

Dla organizacji oznacza to konkretną konsekwencję planistyczną: doradca, który wdraża u Ciebie wymogi UKSC, nie będzie mógł przeprowadzić Twojego audytu. Role trzeba rozdzielić z rocznym wyprzedzeniem, a nie w tygodniu, w którym przypomina się o terminie.

Ustawa mówi o audycie bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi. Ministerstwo Cyfryzacji w swoich wyjaśnieniach idzie dalej: audyt powinien obejmować cały system informacyjny podmiotu, bo przez powiązania między systemami można wpłynąć na kluczową działalność. Zawężenie zakresu do jednej usługi warto więc uzasadnić na piśmie.

Efektem audytu jest raport podpisany przez audytorów. Podmiot kluczowy przekazuje jego kopię organowi właściwemu w postaci elektronicznej w ciągu 3 dni roboczych od otrzymania (art. 15 ust. 1a), a od daty raportu biegnie kolejny trzyletni cykl. Z perspektywy zarządu warto patrzeć na audyt właśnie przez pryzmat tego dokumentu: on zostaje po projekcie i on będzie czytany.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 r. i rozłożyła obowiązki na kilka lat. Audyt jest ostatnim z kamieni milowych, ale przygotowanie do niego zaczyna się od tych wcześniejszych — bo audytor sprawdzi dokładnie to, co miało powstać po drodze.

Innymi słowy: audyt w 2028 r. nie jest osobnym projektem, tylko egzaminem z pracy wykonanej do kwietnia 2027 r.

To najczęstsze nieporozumienie w tym temacie. Organizacje z certyfikatem ISO 27001 zakładają, że mają obowiązek odhaczony — i mylą się, bo przedmiot obu badań nie jest tożsamy.

Audyt UKSC dotyczy bezpieczeństwa systemu informacyjnego wykorzystywanego do świadczenia usługi. Certyfikacja ISO 27001 dotyczy systemu zarządzania bezpieczeństwem informacji, czyli ram organizacyjnych. Zakresy się przecinają, ale się nie pokrywają — a to, co w ISO jest deklarowanym zakresem certyfikacji, w UKSC wyznacza świadczona usługa.

Praktyczny wniosek jest jednak optymistyczny: wdrożone ISO 27001 to bardzo dobry punkt startu. Dużą część dowodów, dokumentacji i procesów da się wykorzystać ponownie, zamiast budować je od nowa.

Drugie mylenie pojęć dotyczy audytu zgodności i testów technicznych. Skanowanie podatności, audyt konfiguracji czy testy penetracyjne odpowiadają na pytanie czy da się to zaatakować. Audyt UKSC odpowiada na pytanie czy organizacja spełnia wymogi ustawy.

To nie są konkurencyjne działania, tylko uzupełniające się. Wyniki prac technicznych bywają dowodem w audycie zgodności — pokazują, że zarządzanie podatnościami faktycznie działa, a nie istnieje wyłącznie w polityce.

Audyt jest tym krótszy i tańszy, im mniej czasu audytor spędza na szukaniu dokumentów i ustalaniu, kto za co odpowiada. Największą oszczędność daje uporządkowanie materiału dowodowego, a nie dokupienie kolejnego narzędzia.

Zastrzeżenie, o którym trzeba powiedzieć wprost: ze względu na opisany wcześniej warunek niezależności doradca przygotowujący organizację do audytu nie może następnie tego audytu przeprowadzić. My pracujemy po stronie przygotowania — analiza luk, uporządkowanie dokumentacji i doprowadzenie organizacji do gotowości audytowej. Sam audyt zleca się niezależnemu zespołowi.