KSC / NIS2 · weryfikacja techniczna
Sprawdzamy, czy deklarowane zabezpieczenia działają w praktyce. Wynikiem nie jest wyłącznie lista dokumentów, lecz materiał dowodowy, ryzyka i wykonalny plan naprawczy.
Aktualizacja merytoryczna: 26 lipca 2026 r. · źródła: Ministerstwo Cyfryzacji i Dziennik Ustaw
// zakres
Audyt zaczynamy od kontekstu biznesowego, systemów wspierających usługi oraz odpowiedzialności. Następnie porównujemy stan faktyczny z wymaganiami i dobrymi praktykami, takimi jak CIS Controls, ISO/IEC 27001 oraz właściwe standardy OWASP.
Każde istotne stwierdzenie powinno mieć podstawę: konfigurację, log, wynik testu, zapis procesu, próbę odtworzenia lub rozmowę z właścicielem. Dzięki temu zarząd i zespół techniczny otrzymują wspólny obraz sytuacji.
// rezultat
Raport zarządczy pokazuje wpływ na biznes, priorytety, właścicieli ryzyk i decyzje wymagające budżetu. Część techniczna zawiera dowody, sposób odtworzenia problemu, ocenę ryzyka i rekomendowane zabezpieczenia.
Wyniki prezentujemy zespołowi technicznemu i zarządowi. Raport może zostać przygotowany po polsku lub angielsku, a prace są realizowane na podstawie uzgodnionego zakresu i NDA.
// ważne rozróżnienie
Techniczny audyt gotowości służy znalezieniu luk i przygotowaniu organizacji. Nie jest automatycznie ustawowym, obowiązkowym audytem KSC.
Jeżeli konkretna oferta obejmuje ustawowy audyt, umowa musi jednoznacznie wskazywać taki zakres oraz udział uprawnionego audytora lub partnera. W pozostałych przypadkach BSTA nie przedstawia usługi jako audytu ustawowego.
// źródła pierwotne
Terminy i ogólne obowiązki na tej stronie zweryfikowano w oficjalnych materiałach. Zakres dla konkretnej organizacji wymaga indywidualnej kwalifikacji.
// pytania i odpowiedzi
Czas zależy od liczby systemów i jednostek organizacyjnych. Typowy pentest trwa około 14 dni, natomiast szerszy audyt gotowości jest planowany indywidualnie.
Tak. Pentest Web, API, infrastruktury, chmury, aplikacji mobilnej lub AI może być osobnym modułem technicznego audytu gotowości.
Tak. Zalecenia grupujemy według ryzyka, zależności i horyzontu czasowego, najczęściej w etapach 0–30, 31–60 i 61–90 dni.
Nie, chyba że konkretna oferta i umowa wyraźnie przewidują ustawowy audyt realizowany z udziałem uprawnionego audytora lub partnera.
// powiązane materiały
// kolejny krok
Opisz branżę, liczbę systemów i oczekiwany termin. Wrócimy z pytaniami lub wstępnym zakresem zwykle w 24 godziny.