Audyt KSC Obowiązek podmiotów kluczowych i jak się do niego przygotować.
Podmiot kluczowy musi co najmniej raz na trzy lata przeprowadzić audyt bezpieczeństwa systemu informacyjnego, na którym opiera świadczoną usługę. Pierwszy audyt trzeba wykonać do 3 kwietnia 2028. Wyjaśniamy, kto może go przeprowadzić i jak przygotować firmę, żeby raport nie skończył się listą poważnych niezgodności.
Damian Waszczak, CBO, Senior Security AnalystZaktualizowano
Kogo dotyczy audyt
| Podmiot | Obowiązek audytu |
|---|---|
| Podmiot kluczowy | Co najmniej raz na trzy lata, na własny koszt. Pierwszy w ciągu 24 miesięcy od spełnienia kryteriów, czyli do 3 kwietnia 2028 dla firm objętych ustawą od jej wejścia w życie. |
| Podmiot ważny | Brak audytu okresowego. Organ właściwy może nakazać audyt decyzją, na przykład po poważnym incydencie albo po stwierdzeniu naruszenia. |
| Dawny operator usługi kluczowej | Jeśli przeprowadził już audyt na dotychczasowych zasadach, trzyletni cykl liczy się od daty tamtego audytu. |
Organ właściwy może zlecić audyt podmiotu kluczowego także poza cyklem. Raport z audytu przekazuje się organowi właściwemu w ciągu 3 dni roboczych.
Kto może przeprowadzić audyt
Jednostka oceniająca zgodność
Akredytowana jednostka oceniająca zgodność w odpowiednim zakresie.
Co najmniej dwóch audytorów
Każdy z certyfikatem z listy w rozporządzeniu (między innymi CISA, CISM, CISSP, ISO 27001 Lead Auditor) albo z trzyletnią praktyką w audycie bezpieczeństwa systemów informacyjnych, albo z dwuletnią praktyką i dyplomem studiów podyplomowych z tej dziedziny.
CSIRT sektorowy
Sektorowy zespół CSIRT, jeśli jego audytorzy spełniają te same warunki.
Niezależność audytora
Audytor nie może w ostatnim roku wykonywać w audytowanym podmiocie zadań z zakresu zarządzania bezpieczeństwem ani obsługi incydentów. Zewnętrzny SOC, który obsługuje Twoje incydenty, nie przeprowadzi więc Twojego audytu.
Jak przygotować się do audytu KSC
- 1
Potwierdź status i zakres
Upewnij się, że jesteś podmiotem kluczowym, i ustal, które systemy służą do świadczenia usługi. To one wyznaczają zakres audytu.
- 2
Analiza luk
Porównaj stan faktyczny z wymaganiami ustawy: szacowanie ryzyka, polityki, kontrola dostępu, uwierzytelnianie wieloskładnikowe, kopie zapasowe, ciągłe monitorowanie, zarządzanie podatnościami, łańcuch dostaw.
- 3
Dokumentacja SZBI
Audytor sprawdza nie tylko zabezpieczenia, ale też dokumentację normatywną i operacyjną. Ustawa wymaga przechowywania jej co najmniej przez dwa lata.
- 4
Testy techniczne
Skan podatności i testy penetracyjne pokazują, czy zabezpieczenia działają w praktyce, a nie tylko na papierze.
- 5
Usunięcie niezgodności
Najpoważniejsze luki zamknij przed audytem. Raport trafia do organu właściwego, więc lepiej, żeby nie zawierał niespodzianek.
- 6
Wybór audytora
Sprawdź certyfikaty i niezależność. Audytorem nie może być ten, kto w ostatnim roku prowadził u Ciebie zarządzanie bezpieczeństwem albo obsługę incydentów.
W czym pomagamy
Audyt przed audytem
Sprawdzamy, gdzie stoisz względem wymagań ustawy, i dajemy listę luk z priorytetami.
Testy penetracyjne
Manualne testy aplikacji webowych, API i aplikacji mobilnych, z bezpłatnym retestem.
Monitoring i obsługa incydentów
SOC 24/7 zapewnia ciągłe monitorowanie i zarządzanie incydentami, których śladów audytor będzie szukał w dokumentacji.
Symulacje phishingu
Dowód, że szkolenia z cyberhigieny działają, a nie tylko się odbyły.
Pamiętaj o wymogu niezależności: jeśli prowadzimy u Ciebie SOC i obsługę incydentów, formalny audyt KSC musi przeprowadzić ktoś inny. Przygotowanie do niego możemy zrobić razem.
Najczęstsze pytania o audyt KSC
Czy audyt KSC to to samo co certyfikacja ISO 27001?
Nie. Certyfikacja ISO 27001 potwierdza zgodność z normą, a audyt KSC jest obowiązkiem ustawowym, którego raport trafia do organu właściwego. Wdrożony system zgodny z ISO 27001 bardzo jednak ułatwia przygotowanie, bo wiele wymagań się pokrywa.
Czy audyt może przeprowadzić nasz wewnętrzny zespół?
Ustawa wprost tego nie wyklucza, jeśli audytorzy spełniają wymagania co do kwalifikacji i niezależności, a audyt prowadzą co najmniej dwie takie osoby. Przy wątpliwościach warto skonsultować się z prawnikiem.
Co grozi za brak audytu?
Nieprzeprowadzenie audytu w terminie jest jednym z naruszeń, za które organ właściwy może nałożyć karę pieniężną.
Czy podmiot ważny musi robić audyt?
Nie okresowo. Organ może go jednak nakazać decyzją, na przykład po poważnym incydencie. Dobrze przygotowana dokumentacja skraca wtedy cały proces.
Przygotujmy Cię do audytu
Opisz swoje środowisko i sektor. Zaproponujemy zakres analizy luk i testów przed audytem KSC.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com