Punkt przewodnika: audyt luki (gap analysis) – Krok 2. Poziom: start. Zakładamy, że masz już ustalony status podmiotu i zamknięte formalności rejestracyjne.
Wyobraź sobie dwie wyspy. Na pierwszej stoisz dziś – to obecny stan Twojej organizacji. Druga wyspa to stan w pełni zgodny z ustawą o KSC. Między nimi trzeba zbudować most, a jego przęsłami są konkretne zadania wdrożeniowe. Audyt luki mierzy szerokość cieśniny i pokazuje, ile przęseł potrzebujesz i w jakim miejscu.
Bez tej mapy wdrożenie jest błądzeniem, i to błądzeniem kosztownym w bardzo konkretny sposób: łatwo wydać budżet na obszary, które już masz pokryte, a przeoczyć te, na których organ najłatwiej stwierdzi naruszenie. Audyt luki jest tani w porównaniu z tym, co porządkuje. W osi czasu wdrożenia jego miejsce to lipiec i sierpień 2026 r., zaraz po weryfikacji statusu.
Czego się nauczysz
- Czym gap analysis różni się od pisania dokumentów i od audytu z art. 15.
- Jak zbudowana jest jedna luka – i dlaczego dokument bez dowodu to nadal luka.
- Jak wygląda pełna mapa 27 grup luk (L-01 do L-27).
- Ile daje Ci wdrożone ISO 27001 i gdzie kończy się jego zasięg.
- Które braki są typowe dla organizacji „już certyfikowanych”.
- Jak zapisać wyniki, żeby powstała z nich lista zadań, a nie prezentacja.
- Co w grupie spółek wystarczy zrobić raz, na spółce wzorcowej.
1. Co to jest gap analysis i dlaczego zaczynamy od niej, nie od dokumentów
Audyt luki to porównanie stanu obecnego z wymaganiami ustawy i wskazanie, czego brakuje. Nic więcej i nic mniej: nie tworzy zabezpieczeń ani nie pisze polityk. Daje Ci listę.
Odruch bywa odwrotny. Po ustaleniu, że podlegasz przepisom, naturalnie chce się „zacząć wdrażać”, czyli otworzyć edytor i napisać politykę bezpieczeństwa. Problem w tym, że nie wiesz jeszcze, ile z wymaganych rzeczy już masz – często pod inną nazwą, w innym dokumencie, w innym dziale. Bez mapy powstają dwie równoległe straty: praca dublowana tam, gdzie zgodność już była, i cisza w miejscach, w których nikt nie wiedział, że czegoś brakuje.
Warto od razu rozdzielić trzy rzeczy, które w rozmowach zlewają się w jedno słowo „audyt”:
| Co to jest | Kto i kiedy | Po co |
| Audyt luki (gap analysis) | Ty, na starcie wdrożenia – lipiec i sierpień 2026 r. | zbudować listę zadań, mapa terenu |
| Audyt obowiązkowy (art. 15) | tylko podmiot kluczowy, co najmniej raz na 3 lata, na własny koszt, pierwszy do 3.04.2028 r. | ocena zgodności; raport do organu w 3 dni robocze od jego otrzymania (art. 15 ust. 1a) |
| Audyt ad hoc (nakaz organu) | na Twój koszt, dla kluczowego w każdym czasie, dla ważnego po incydencie poważnym lub naruszeniu (art. 15 ust. 1b, art. 53 ust. 2 pkt 2) | reakcja nadzoru, możliwa już dziś |
Ta różnica ma jedną praktyczną konsekwencję. Gap analysis możesz przeprowadzić wewnętrznie i nie musi go robić podmiot niezależny – ale jeśli planujesz, że ten sam dostawca będzie później prowadził Twój system bezpieczeństwa, zapamiętaj ograniczenie z art. 15 ust. 2a: audytu nie może przeprowadzić osoba, która realizuje w podmiocie audytowanym zadania z art. 8 oraz art. 9-13, ani osoba, która realizowała je w ciągu roku przed rozpoczęciem audytu. W praktyce wyklucza to dostawcę prowadzącego Twój SZBI.
Rekap: gap analysis daje listę zadań. To nie jest audyt z art. 15 i nie zastępuje go.
Zrób teraz: zanim napiszesz pierwszy dokument, zapisz w jednym pliku dwie kolumny: „wymagania ustawy” i „co już mamy”. Dalsza część tego artykułu wypełni je za Ciebie strukturą.
2. Struktura audytu luki: przepis + dokument normatywny + dowód operacyjny
To najważniejszy fragment całego artykułu, bo tu rozstrzyga się, czy Twoja zgodność będzie obronna. W każdej pojedynczej luce badasz trzy warstwy:
- Przepis – konkretne wymaganie ustawy, z podaniem artykułu. Nie „bezpieczeństwo dostępu ogólnie”, ale art. 8 ust. 1 pkt 2 lit. n.
- Dokument normatywny – zapis mówiący „jak ma być”: polityka, procedura, regulamin, standard konfiguracji.
- Dowód operacyjny – zapis dowodzący, że tak faktycznie jest: log, protokół, lista obecności, zrzut konfiguracji, rejestr, ticket.
Dopiero komplet wszystkich trzech warstw pozwala uznać wymaganie za spełnione w sposób obronny. Brak którejkolwiek z nich to luka – i to jest reguła, która zmienia wyniki audytów najczęściej.
Analogia jest domowa: dokument normatywny to przepis kulinarny, dowód operacyjny to zdjęcie gotowego ciasta i paragon za składniki. Sam przepis nie dowodzi, że ktoś kiedykolwiek piekł. Organ nie ocenia intencji, lecz zapisy.
Dlatego w praktyce audytu luki spotkasz cztery typy wyników, a nie dwa:
- zgodne – jest przepis, jest dokument, są dowody,
- luka dowodowa – dokument jest, ale nikt nie zbiera dowodów wykonania; najczęstszy wynik w dojrzałych organizacjach,
- luka normatywna – działanie faktycznie się dzieje, ale nie ma go w żadnym dokumencie; typowe dla dobrych zespołów IT,
- luka pełna – nie ma ani dokumentu, ani praktyki.
To rozróżnienie od razu wycenia pracę. Luka dowodowa bywa kwestią włączenia rejestru i wyznaczenia właściciela. Luka pełna to projekt. Wrzucenie obu do jednej rubryki „niezgodność” psuje każdy harmonogram.
Pamiętaj przy tym o wymogu z art. 10: dokumentacja jest normatywna i operacyjna, prowadzona z nadzorem wersji, a retencja wynosi minimum 2 lata od wycofania dokumentu. Dowód, którego nie da się odtworzyć po roku, nie jest dowodem.
Rekap: przepis, dokument, dowód. Trzy warstwy, jedna ocena. Brak jednej warstwy to luka.
Zrób teraz: wybierz jedno wymaganie, które „na pewno macie” – na przykład kontrolę dostępu. Poproś o dokument i o dowód z ostatniego kwartału. Wynik tego jednego testu powie Ci, ile pracy dowodowej Cię czeka.
3. 27 grup luk – pełna mapa obszarów do zamknięcia (L-01 do L-27)
W naszej metodyce audyt luki obejmuje 135 granularnych wymagań pogrupowanych w 27 grup luk. Każda grupa agreguje powtarzające się braki dowodowe, kontrolne lub organizacyjne i jest przypięta do konkretnych przepisów. To właśnie te 27 grup – wraz z podstawami prawnymi – stanowi listę zadań do zamknięcia.
Mapa dzieli się na cztery bloki. Fundamenty agregują dziesiątki wymagań i decydują o tym, czy w ogóle jesteś widoczny dla systemu. Środki z art. 8 mają zasadę „jeden środek, jedna grupa”. Ludzie i formalności to obszar, w którym najczęściej wygrywa dobra wola, a przegrywa dokumentacja. Otoczenie regulacyjne pilnuje, żeby nie umknął Ci akt wykonawczy, który dotyczy właśnie Twojej branży.
| ID | Nazwa grupy luk | Podstawa prawna |
| L-01 | Status podmiotu, wpis do Wykazu KSC i operacjonalizacja S46 | art. 5 i zał. 1-2; art. 5a; art. 7, 7 ust. 2; przepisy o S46 (art. 46) |
| L-02 | Governance cyberbezpieczeństwa i odpowiedzialność kierownictwa | art. 8c ust. 1-3; art. 8d pkt 1-5; art. 8e ust. 1-3; art. 14; art. 20 ust. 1-2 |
| L-03 | Weryfikacja niekaralności personelu kluczowego | art. 8f ust. 1-4 |
| L-04 | Bezpieczeństwo dostawców ICT i łańcucha dostaw | art. 8 ust. 1 pkt 2 lit. e; art. 8 ust. 2 pkt 1-4 |
| L-05 | BCM, BCP i DRP oraz odtwarzanie | art. 8 ust. 1 pkt 2 lit. f |
| L-06 | Obsługa incydentów i raportowanie do CSIRT i organów | art. 11 ust. 1-2b; art. 12 ust. 1-8; art. 12a-12b |
| L-07 | Dokumentacja bezpieczeństwa i dowodowość SZBI | art. 10 ust. 1-8 |
| L-08 | Bezpieczeństwo HR i świadomość personelu | art. 8 ust. 1 pkt 2 lit. d oraz lit. i |
| L-09 | Komunikacja z użytkownikami i kanały kontaktowe KSC | art. 9 ust. 1 pkt 1-3 |
| L-10 | Stosowalność aktu wykonawczego CIR 2024/2690 | art. 8 ust. 1-2 w zw. z art. 21 ust. 5 NIS2; CIR (UE) 2024/2690 |
| L-11 | Audyt obowiązkowy i nadzór regulacyjny | art. 15 ust. 1, 1a-1c, 2a |
| L-12 | Bezpieczeństwo SDLC, zmian i testowania | art. 8 ust. 1 pkt 2 lit. b |
| L-13 | Kryptografia i szyfrowanie | art. 8 ust. 1 pkt 2 lit. k |
| L-14 | Zarządzanie aktywami | art. 8 ust. 1 pkt 2 lit. m |
| L-15 | Ocena skuteczności środków technicznych i organizacyjnych | art. 8 ust. 1 pkt 2 lit. h |
| L-16 | Monitoring ciągły, SOC i logowanie | art. 8 ust. 1 pkt 2 lit. g |
| L-17 | Threat intelligence i zarządzanie podatnościami | art. 8 ust. 1 pkt 3 |
| L-18 | Kontrola dostępu i uprawnienia | art. 8 ust. 1 pkt 2 lit. n |
| L-19 | Bezpieczeństwo fizyczne i środowiskowe | art. 8 ust. 1 pkt 2 lit. c |
| L-20 | Cyberhigiena | art. 8 ust. 1 pkt 2 lit. j |
| L-21 | Bezpieczna komunikacja i MFA | art. 8 ust. 1 pkt 2 lit. l |
| L-22 | Polityki bezpieczeństwa i ryzyka | art. 8 ust. 1 pkt 2 lit. a |
| L-23 | Systematyczne zarządzanie ryzykiem i podejście all-hazards | art. 8 ust. 1 pkt 1; art. 21 ust. 1 NIS2 |
| L-24 | Zarządzanie incydentami – model operacyjny | art. 8 ust. 1 pkt 4 |
| L-25 | Środki ochronne, aktualizacje i reakcja na podatności | art. 8 ust. 1 pkt 5 lit. a-d |
| L-26 | Dobrowolna wymiana informacji o cyberzagrożeniach | art. 29 i art. 30 NIS2 (dobrowolna wymiana informacji) |
| L-27 | Punkt odniesienia terminów wdrożeniowych | art. 16 pkt 1 i 2; art. 33 ust. 1-3 ustawy zmieniającej; FAQ Ministerstwa Cyfryzacji 2.31, 3.1, 3.32 |
Dwie uwagi do czytania tej tabeli. L-01 i L-06 to grupy, w których niezgodność jest najłatwiej widoczna z zewnątrz – Twojego wpisu w wykazie albo Twojego zgłoszenia incydentu po prostu nie ma. L-27 wygląda na biurokratyczny drobiazg, a jest fundamentem harmonogramu: obowiązki z rozdziału 3 ustawy realizuje się w terminie 12 miesięcy, a pierwszy audyt w terminie 24 miesięcy od dnia spełnienia przesłanek (art. 16 pkt 1 i 2), a dla podmiotów objętych ustawą już 3.04.2026 r. – od wejścia nowelizacji w życie (art. 33 ust. 1 i 2 ustawy zmieniającej). Nie od daty wpisu do wykazu. Pomylenie punktu odniesienia przesuwa cały plan.
Rekap: 27 grup, każda z podstawą prawną. Fundamenty, środki z art. 8, ludzie i formalności, otoczenie regulacyjne.
Zrób teraz: przejdź tabelę i postaw obok każdej grupy jedną z trzech liter: Z (mamy i mamy dowody), C (coś mamy), N (nie mamy). Nawet zgrubny przegląd w tej strukturze jest lepszy niż dokładna analiza bez struktury.
4. Jeśli masz ISO 27001 – jesteś w ~70% zgodności. Co wciąż brakuje?
Dobra wiadomość dla organizacji z wdrożonym ISO 27001: zwykle jesteś w około 70% zgodności z częścią merytoryczną ustawy. To nie przypadek. Merytoryczne serce KSC, czyli System Zarządzania Bezpieczeństwem Informacji, jest odpowiednikiem ISMS z ISO 27001 – komplet polityk, procedur i praktyk. Znaczna część 14 środków bezpieczeństwa z art. 8 ma tam swoje bezpośrednie odpowiedniki: ryzyko, aktywa, dostępy, kryptografia, ciągłość działania, dostawcy, monitorowanie.
Trzy zastrzeżenia, żeby ta liczba nie uśpiła czujności.
Pierwsze: 70% dotyczy części merytorycznej, nie całości obowiązków. Poza SZBI zostaje warstwa relacji z państwem – rejestracja, kanały kontaktowe, raportowanie, systemy państwowe. Tego w normie nie ma i nie mogło być.
Drugie: certyfikat nie jest dowodem na wymaganie ustawowe. Audytor certyfikacyjny badał zgodność z normą, a organ bada zgodność z artykułem. Dlatego w gap analysis każde wymaganie mapujesz osobno: przepis, dokument, dowód. Zapis „mamy ISO” nie zamyka żadnej pozycji.
Trzecie: brakująca warstwa to zwykle dowody, nie polityki. Organizacje certyfikowane mają dokumenty normatywne w dobrym stanie. Luki pojawiają się w warstwie operacyjnej: brakuje protokołów z testów, rejestrów przeglądów, potwierdzeń szkoleń, logów z zachowaną retencją.
Rekap: ISO 27001 pokrywa większość rdzenia SZBI. Nie pokrywa relacji z państwem i nie zastępuje dowodów.
Zrób teraz: weź swoją deklarację stosowania z ISO i dopisz do niej jedną kolumnę: „przepis KSC”. Puste wiersze w tej kolumnie to Twoje obszary specyficzne dla ustawy.
5. Typowe luki, których ISO 27001 nie pokrywa
Te pięć obszarów wraca w niemal każdym audycie luki organizacji certyfikowanej. Warto je znać z góry, bo są przewidywalne i można je zaplanować, zamiast odkrywać.
Raportowanie incydentów w czterech etapach (L-06). Ustawa nie mówi „zgłoś incydent”, ale rozpisuje sekwencję: wczesne ostrzeżenie do CSIRT w 24 godziny od wykrycia (art. 12 ust. 1-2), zgłoszenie incydentu poważnego w 72 godziny wraz z wpływem, przyczynami i przebiegiem (art. 12 ust. 3-8), sprawozdanie okresowe na wniosek CSIRT (art. 11 ust. 1 pkt 4b) oraz sprawozdanie końcowe w miesiąc od zgłoszenia, a gdy obsługa trwa dłużej – sprawozdanie z postępu (art. 12a-12b). Jest tu jedno zastrzeżenie, o którym trzeba wiedzieć: na dziś nie wydano jeszcze szczegółowych wytycznych, jak oceniać i klasyfikować incydent jako poważny. Progi określa rozporządzenie wydane na podstawie art. 11 ust. 4 – do wejścia w życie nowego obowiązuje dotychczasowe, nie dłużej niż 12 miesięcy od wejścia nowelizacji w życie (art. 32 pkt 1 ustawy zmieniającej) – a metodę ich zastosowania musisz mieć własną i udokumentowaną.
Rejestracja w Wykazie KSC (L-01). Wniosek składany w systemie z art. 46 ust. 1, z danymi z art. 7 ust. 2 pkt 1-18 (art. 7c ust. 2), opatrzony jednym z podpisów z art. 7c ust. 6 i oświadczeniem kierownika z art. 7c ust. 5; termin wynika z harmonogramu ministra – dla większości podmiotów 3.10.2026 r. (art. 33 ust. 3 ustawy zmieniającej w zw. z art. 34 ust. 3 pkt 1). Norma nie zna takiego obowiązku.
Odpowiedzialność i szkolenia kierownika (L-02). Formalne przypisanie odpowiedzialności (art. 8c), zadania kierownika obejmujące decyzje, budżet i nadzór (art. 8d) oraz udokumentowane szkolenie kierownika i osób z powierzonymi obowiązkami, powtarzane co roku (art. 8e). ISO wymaga zaangażowania kierownictwa, ale nie imiennej odpowiedzialności ani corocznego szkolenia z dowodem udziału.
Weryfikacja niekaralności (L-03). Informacja o osobie z Krajowego Rejestru Karnego stwierdzająca niekaralność za przestępstwa przeciwko ochronie informacji, przedstawiana przez osobę przed rozpoczęciem realizacji zadań z art. 8 lub 11; alternatywą jest poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej (art. 8f ust. 1 i 3). To wymóg, który dotyka procesów HR i wymaga wyprzedzenia czasowego.
Podłączenie do systemu S46 (L-01). Konto w państwowym systemie wymiany informacji (art. 46), przeszkolone osoby kontaktowe i stały monitoring skrzynki – działa w niej fikcja doręczenia po 14 dniach od wysłania pisma (art. 46b). Dodatkowo niekorzystanie z S46 przy obowiązkach incydentowych, gdy jest wymagane, stanowi samodzielną podstawę kary dla podmiotu (art. 73 ust. 1 pkt 13).
Zauważ, co łączy te pięć pozycji: żadna nie jest technologią. To formalności, kanały i dowody. Dlatego organizacje o wysokiej dojrzałości technicznej bywają zaskoczone wynikiem audytu luki – miały wszystko poza tym, czego norma nigdy nie wymagała.
Rekap: cztery etapy raportowania, wykaz, kierownik, KRK, S46. Pięć przewidywalnych luk.
Zrób teraz: sprawdź jedną rzecz, którą da się sprawdzić w minutę: czy ktokolwiek w Twojej organizacji ma dziś dostęp do konta w S46. Odpowiedź „chyba tak” jest odpowiedzią „nie”.
6. Jak udokumentować wyniki audytu – format raportu i lista zadań naprawczych
Raport z gap analysis ma jedno zadanie: zamienić się w listę zadań z właścicielami i terminami. Wszystko, co tego nie robi, jest ozdobą.
Zalecamy prowadzić wyniki w jednym arkuszu, w którym jeden wiersz to jedno wymaganie:
| Kolumna | Co wpisujesz |
| ID grupy (L-01 do L-27) | przypisanie do mapy luk |
| Przepis | konkretny artykuł, ustęp, punkt, litera |
| Dokument normatywny | nazwa i wersja albo „brak” |
| Dowód operacyjny | rodzaj dowodu i okres, z którego pochodzi, albo „brak” |
| Ocena | zgodne, luka dowodowa, luka normatywna, luka pełna |
| Zadanie naprawcze | co konkretnie trzeba zrobić |
| Właściciel | imiennie, nie nazwa działu |
| Termin ustawowy | data z ustawy, jeśli istnieje |
| Priorytet | wynik z reguły poniżej |
Priorytetyzację proponujemy prowadzić według dwóch kryteriów naraz: terminu ustawowego i wykonalności bez systemu. Kolejność, która się z nich wyłania:
- Obowiązki zdarzeniowe i rejestracyjne. Tu terminy liczy się w godzinach i dniach od zdarzenia: 24 i 72 godziny przy incydencie, 14 dni na zmianę danych w wykazie, 7 dni na korektę po wezwaniu organu. Papier tego nie obsłuży nawet w jednej spółce, a to właśnie te obowiązki są najłatwiejsze do stwierdzenia przez organ.
- Terminy roku 2026 – rejestracja do 3.10.2026 r. i gotowość incydentowa.
- Rdzeń SZBI z terminem 3.04.2027 r. – w kolejności wynikającej z gap analysis; typowa sekwencja to ryzyko, dostępy, MFA, monitorowanie.
- Obowiązki cykliczne i audyt – z pierwszym audytem podmiotu kluczowego do 3.04.2028 r.
Na koniec rzecz, która decyduje o tym, czy raport cokolwiek zmieni: wynik przedstawiasz zarządowi i uzyskujesz formalną akceptację planu naprawczego. Nie z uprzejmości, lecz dlatego, że to kierownik podmiotu odpowiada za wykonanie obowiązków, zapewnia środki finansowe i przydziela zadania (art. 8c, 8d). Plan naprawczy bez decyzji o budżecie i właścicielach jest listą życzeń.
Argument, który działa na zarząd, jest jeden i wynika z asymetrii ryzyka: jedna przegapiona godzina z terminu 72 godzin przy poważnym incydencie to ekspozycja na karę do 10 mln EUR lub 2% rocznego przychodu przy podmiocie kluczowym (art. 73 ust. 3) i do 7 mln EUR lub 1,4% przy podmiocie ważnym (art. 73 ust. 4), a odrębnie na karę dla kierownika do 300% wynagrodzenia (art. 73a ust. 4). Koszt zamknięcia luki jest nieporównywalnie niższy.
Rekap: jeden wiersz na wymaganie, cztery typy oceny, priorytet z terminu i wykonalności, akceptacja zarządu na końcu.
Zrób teraz: dopisz do swojego arkusza kolumnę „właściciel” i wypełnij ją imiennie dla dziesięciu najpilniejszych wierszy. Zadanie bez nazwiska nie ma terminu.
7. Gap analysis w grupie spółek – co można zrobić raz dla spółki wzorcowej
W grupie kapitałowej audyt luki jest tym etapem, na którym oszczędności są największe – pod jednym warunkiem: że spółki dzielą infrastrukturę. A zwykle dzielą, i to właśnie dlatego wszystkie podlegają ustawie: wyłączenie z art. 5 ust. 6-7 wymaga niezależnego systemu informacyjnego albo braku wspólnego świadczenia usług z przedsiębiorstwami powiązanymi i partnerskimi.
Wystarczy raz: jedna pełna gap analysis dla spółki wzorcowej, jedna metodyka szacowania ryzyka, jeden wzór dokumentacji normatywnej, jeden centralny rejestr dostawców ICT, jeden wzór procedury incydentowej.
Musi być per spółka: dokumentacja operacyjna i dowody, obowiązki cykliczne pomnożone przez liczbę spółek, wpis w wykazie i konto S46 wraz z fikcją doręczenia na każdym z nich, uchwały zarządów.
Dobór spółki wzorcowej ma znaczenie. Weź podmiot, który dzieli z grupą systemy i procesy, ale nie ten najprostszy – najlepiej średni pod względem złożoności i reprezentatywny dla profilu działalności. Wyniki takiej analizy przenosisz na pozostałe spółki jako punkt startowy, a dla każdej z nich weryfikujesz tylko trzy rzeczy: co robi lokalnie inaczej, jakie ma własne systemy poza wspólnym IT i jakie ma własne umowy z dostawcami.
Jest jednak granica, przy której model wzorcowy przestaje wystarczać, i lepiej znać ją zawczasu. Dowody są zawsze lokalne. Możesz mieć jeden wzór polityki dla trzydziestu spółek, ale trzydzieści zestawów protokołów z testów planów ciągłości, list obecności ze szkoleń i rejestrów przeglądów uprawnień. Rekomendujemy model scentralizowany – piastę i szprychy: centrala utrzymuje wzorce, metodykę i pakietowo organizuje szkolenia oraz audyty, a spółki wykonują minimum lokalne. Zasada jest ta sama co w całym wdrożeniu: co da się zrobić raz, zrób raz i instancjonuj; co jest per podmiot z mocy ustawy, zautomatyzuj i pilnuj systemowo.
Rekap: analiza raz na spółce wzorcowej, dowody zawsze lokalnie.
Zrób teraz: wskaż spółkę wzorcową i zapisz jedno zdanie uzasadnienia. Jeśli nie potrafisz go napisać, prawdopodobnie wybrałeś spółkę najwygodniejszą, nie najbardziej reprezentatywną.
Checklista do samodzielnego wykonania
Zebraliśmy tę metodykę w formie do odhaczania: lista nr 3 w pliku „10 checklist zgodności z ustawą o KSC” prowadzi audyt luki w sześciu punktach. Ma tam jednak szczególne miejsce, bo pozostałe dziewięć list jest materiałem, który w tym audycie sprawdzasz – od statusu podmiotu po pierwszy audyt. Pobierając komplet, dostajesz więc i narzędzie, i zakres.
Mini-test – sprawdź się w 6 pytaniach
- Po co robimy gap analysis przed pisaniem dokumentów?
- Wymień trzy warstwy badane w każdej luce.
- Masz politykę kontroli dostępu, ale nikt nie prowadzi przeglądów uprawnień. Jak nazywa się ten wynik?
- Czy audyt luki jest tym samym co audyt z art. 15?
- Które obszary specyficzne dla KSC zostają po wdrożonym ISO 27001?
- Co w grupie spółek zawsze musi być lokalne, nawet przy wspólnych wzorcach?
Odpowiedzi: 1. Żeby nie wydać budżetu na obszary już pokryte i nie przeoczyć tych, na których organ najłatwiej stwierdzi naruszenie. 2. Przepis, dokument normatywny, dowód operacyjny. 3. Luka dowodowa – dokument jest, dowodów wykonania nie ma. 4. Nie; audyt z art. 15 dotyczy tylko podmiotów kluczowych, co najmniej raz na 3 lata, na własny koszt, pierwszy do 3.04.2028 r., a przeprowadza go osoba niezaangażowana w zadania z art. 8 oraz 9-13 w tym podmiocie (art. 15 ust. 2a). 5. Cztery etapy raportowania incydentów, wpis do Wykazu KSC, odpowiedzialność i szkolenia kierownika, weryfikacja niekaralności (KRK) oraz podłączenie do S46. 6. Dokumentacja operacyjna, czyli dowody wykonania, a także wpis w wykazie, konto S46 i uchwała zarządu.
Co dalej
Masz mapę i listę zadań z właścicielami. Następny krok to rdzeń wdrożenia: 14 środków bezpieczeństwa z art. 8 i dokumentacja z art. 10, z terminem 3.04.2027 r. – budowane w kolejności, którą właśnie wyznaczyła Twoja gap analysis. Równolegle, z wyższym priorytetem niż podpowiada intuicja, idzie procedura incydentowa. O tym w kolejnych artykułach przewodnika.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: lipiec 2026 r. Przy wdrożeniu weryfikuj wydawane rozporządzenia wykonawcze oraz komunikaty Ministerstwa Cyfryzacji.
