Audyty bezpieczeństwa – trzy obszary, których wymaga od Ciebie prawo

Skąd bierze się obowiązek

Ustawa o zarządzaniu kryzysowym traktuje te obszary łącznie. Art. 6zu nakazuje podmiotowi krytycznemu sporządzić dokumentację jednego, zintegrowanego systemu zarządzania bezpieczeństwem – obejmującego system zarządzania bezpieczeństwem informacji, system zarządzania ciągłością działania usługi kluczowej, ochronę fizyczną i bezpieczeństwo osobowe oraz dokumentację ochrony infrastruktury krytycznej. Art. 6zz nakazuje ten system audytować. Ustawa o KSC dokłada odrębny audyt warstwy cyfrowej. Stąd trzy obszary opisane poniżej – nie trzy odrębne audyty ustawowe, lecz trzy moduły dwóch obowiązków.

1. Audyt bezpieczeństwa fizycznego i osobowego

Sprawdzamy nie to, czy plan ochrony istnieje, lecz czy działa. Weryfikujemy strefowanie obiektu i szczelność granicy zewnętrznej, kontrolę dostępu i rzeczywisty obieg uprawnień, systemy SSWiN i CCTV pod kątem pokrycia oraz realnej reakcji na alarm, a także jakość usługi wykonawcy ochrony wobec treści umowy. Osobno badamy bezpieczeństwo osobowe: weryfikację pracowników i podwykonawców mających dostęp do stref wrażliwych, procedurę odbierania uprawnień przy odejściu z pracy oraz podatność na zagrożenie wewnętrzne.

Sprawdzian kończymy próbą w warunkach rzeczywistych – mierzymy faktyczny czas reakcji i czujność personelu, a nie deklarowany.

Co osiąga organizacja

• Dowód zgodności gotowy do przedstawienia organowi do spraw podmiotów krytycznych podczas kontroli.

• Lista luk uszeregowana według ryzyka, z oszacowaniem kosztu usunięcia każdej z nich – podstawa wniosku inwestycyjnego.

• Zweryfikowany czas reakcji: wiadomo, ile realnie mija od zdarzenia do interwencji i gdzie w tym łańcuchu jest strata.

• Rozliczalny wykonawca ochrony – udokumentowana różnica między umową a wykonaniem daje podstawę do renegocjacji lub egzekwowania SLA.

2. Audyt systemu zarządzania ciągłością działania usługi kluczowej

Ciągłość działania jest obszarem, w którym najczęściej istnieje komplet dokumentów i nie istnieje zdolność. Zaczynamy od pytania podstawowego: czy analiza wpływu na biznes rzeczywiście identyfikuje usługę kluczową i procesy, od których ona zależy – czy tylko przepisuje strukturę organizacyjną. Następnie weryfikujemy, czy przyjęte czasy odtworzenia są osiągalne zasobami, które organizacja faktycznie posiada, czy plany mają wyznaczonych i dostępnych właścicieli, czy zależności od dostawców krytycznych zostały odwzorowane oraz czy plany były testowane – i z jakim wynikiem.

Element odrębny, często pomijany: sprzężenie planu ciągłości z planem ochrony obiektu. Scenariusz sabotażu uruchamia oba naraz i to właśnie na ich styku rodzi się chaos decyzyjny.

Co osiąga organizacja

• Potwierdzenie – albo zaprzeczenie – że deklarowane czasy odtworzenia usługi kluczowej są realne.

• Mapa zależności od dostawców krytycznych, przydatna także wobec obowiązku corocznej oceny ryzyka dostawców.

• Plany, które mają właściciela, wersję i datę ostatniego testu – zamiast załączników sprzed czterech lat.

• Gotowość do certyfikacji ISO 22301, jeśli organizacja wybierze tę ścieżkę – ustawa dopuszcza certyfikat jako alternatywę wobec audytu.

3. Audyt cyberbezpieczeństwa (bezpieczeństwa systemu informacyjnego)

Audyt obejmuje cały system informacyjny podmiotu, a nie wybraną usługę – bo właśnie przez system sąsiedni najczęściej dochodzi się do tego krytycznego. Oceniamy adekwatność i skuteczność wdrożonych środków zarządzania ryzykiem, kompletność dokumentacji normatywnej i operacyjnej, obsługę incydentów wraz z gotowością do zgłoszenia w wymaganych terminach oraz bezpieczeństwo łańcucha dostaw ICT.

W energetyce i przemyśle punktem ciężkości jest styk IT/OT: segmentacja sieci, zdalny dostęp serwisantów, bezpieczeństwo systemów sterowania i telemetrii. To obszar, do którego audyt czysto informatyczny zwykle nie sięga, a który decyduje o ciągłości procesu fizycznego.

Co osiąga organizacja

• Raport przygotowujący do spełnienia wymagań ustawowych, gotowy do przekazania organowi właściwemu w wymaganym terminie.

• Jasny obraz, które środki działają, a które istnieją wyłącznie w polityce.

• Zamknięcie luki między warstwą IT a OT – najczęstszego martwego pola w organizacjach przemysłowych.

• Spójność dokumentacji cyber z dokumentacją ochrony infrastruktury krytycznej – bez powielania tych samych treści w dwóch reżimach.

Terminy, o których warto wiedzieć już dziś

• Ustawa o KSC obowiązuje od 3 kwietnia 2026 r. Pierwszy audyt podmiotu kluczowego – do 3 kwietnia 2028 r., kolejne co najmniej raz na trzy lata.

• Ustawa o zarządzaniu kryzysowym obowiązuje od 4 lipca 2026 r. Właściwe organy mają dziewięć miesięcy na wyznaczenie podmiotów krytycznych i wpisanie ich do wykazu prowadzonego przez RCB.

• Od dnia wpisu: 30 dni na wyznaczenie pełnomocnika bezpieczeństwa usługi kluczowej, 9 miesięcy na ocenę ryzyka, 15 miesięcy na dokumentację zintegrowanego systemu.

• Audyt zintegrowanego systemu – co najmniej raz na trzy lata; ustawa dopuszcza alternatywnie posiadanie odpowiednich certyfikatów.

Ile kosztuje zaniechanie

• Brak audytu lub niewykonanie w terminie zaleceń pokontrolnych – kara do 200 000 zł (art. 6zzr ustawy o zarządzaniu kryzysowym).

• Brak oceny ryzyka – do 100 000 zł. Brak wdrożenia rozwiązań organizacyjno-technicznych – do 150 000 zł.

• W reżimie ustawy o KSC sankcje wobec podmiotów kluczowych sięgają poziomów przewidzianych dyrektywą NIS2, a odpowiedzialność obejmuje także kadrę kierowniczą.

Sankcja finansowa nie jest jednak największym ryzykiem. Największym jest przekonanie zarządu, że system działa – oparte na dokumencie, którego nikt nigdy nie sprawdził w warunkach obciążenia.

Efekt: raport z klasyfikacją ustaleń według ryzyka i oszacowaniem nakładów, wersja jednostronicowa dla zarządu oraz dokumentacja gotowa do przedstawienia organowi nadzoru.