Audyt wewnętrzny i przegląd zarządzania w SZBI a audyt z art. 15 KSC - czym się różnią

SZBI i ISO 27001 - audyt wewnętrzny a art. 15

Audyt wewnętrzny i przegląd zarządzania w SZBI a audyt z art. 15 KSC - czym się różnią

W skrócie

Słowo audyt w kontekście SZBI oznacza co najmniej trzy różne rzeczy: audyt wewnętrzny z normy, przegląd zarządzania i audyt z art. 15 ustawy o KSC. Mylenie ich prowadzi do błędnych wniosków, na przykład że skoro jednostka certyfikująca robi audyty, to obowiązek z ustawy jest załatwiony. Porządkujemy, co jest czym.

Jak to wygląda w praktyce

Firma z certyfikatem ISO 27001 zakłada, że regularne audyty jednostki certyfikującej pokrywają też obowiązek z ustawy. Inna firma myli audyt wewnętrzny z przeglądem zarządzania i nie robi tego drugiego. Jeszcze inna, będąc podmiotem kluczowym, w ogóle nie planuje audytu z art. 15, bo uznaje, że audyt wewnętrzny wystarcza. Każde z tych założeń jest błędne i każde może wyjść przy kontroli.

Co mówią przepisy

Zacznijmy od elementów systemu. W SZBI zbudowanym według normy audyt wewnętrzny i przegląd zarządzania to stałe, cykliczne czynności: firma sama sprawdza, czy system działa zgodnie z założeniami, a kierownictwo analizuje wyniki i podejmuje decyzje o zmianach. To część cyklu Deminga i nie trzeba do nich osoby z zewnątrz.

Audyt z art. 15 ustawy o KSC to coś innego. Dotyczy podmiotu kluczowego, który przeprowadza go na własny koszt co najmniej raz na 3 lata, licząc od podpisania raportu z ostatniego audytu (art. 15 ust. 1). Podmiot ważny nie ma obowiązku okresowego audytu, ale organ może go nakazać po incydencie poważnym albo innym naruszeniu ustawy (art. 15 ust. 1b). Audyt mogą przeprowadzić tylko osoby o wymaganych kwalifikacjach, a rozporządzenie o kwalifikacjach audytorów wymienia m.in. certyfikat audytora wiodącego ISO/IEC 27001. Obowiązuje też niezależność: audytu nie może przeprowadzić osoba, która w podmiocie realizuje zadania z art. 8 i art. 9-13 albo realizowała je w ciągu roku przed audytem (art. 15 ust. 2a). Kopię raportu podmiot kluczowy przekazuje organowi w 3 dni robocze (art. 15 ust. 1a). Kto dokładnie musi zrobić audyt z ustawy i kto może być audytorem, rozkładamy w poście o audycie bezpieczeństwa z KSC. A czy certyfikat w ogóle wystarcza, wyjaśniamy w artykule o KSC i ISO 27001.

Co zrobić krok po kroku

1. Zaplanuj audyt wewnętrzny jako element systemu. Ustal zakres, częstotliwość i audytorów wewnętrznych. To firma sprawdza samą siebie. Efekt: plan audytów wewnętrznych i ich raporty.
2. Prowadź przegląd zarządzania. Kierownictwo cyklicznie analizuje wyniki audytów, incydenty i zmiany ryzyka oraz decyduje o działaniach. Efekt: protokoły przeglądu zarządzania z decyzjami.
3. Sprawdź, czy jesteś podmiotem kluczowym. Obowiązek okresowego audytu z art. 15 dotyczy podmiotów kluczowych. Jeśli nim jesteś, zaplanuj audyt co najmniej raz na 3 lata. Efekt: pozycja w kalendarzu zgodności.
4. Zapewnij niezależność i kwalifikacje audytora z art. 15. Audytor nie może realizować w firmie zadań z art. 8 i 9-13 ani robić tego w roku przed audytem (art. 15 ust. 2a), a musi mieć wymagane kwalifikacje. Efekt: wybór niezależnych audytorów.
5. Przygotuj przekazanie raportu organowi. Kopię raportu z audytu z art. 15 przekazuje się organowi w 3 dni robocze (art. 15 ust. 1a). Efekt: procedura przekazania z osobą odpowiedzialną.

Jak sprawdzić, że zadziałało

Masz porządek, gdy w kalendarzu zgodności widać osobno audyty wewnętrzne i przeglądy zarządzania jako rytm systemu oraz, jeśli jesteś podmiotem kluczowym, audyt z art. 15 co najmniej raz na 3 lata. Dobrą kontrolą jest pytanie: kto przeprowadził ostatni audyt i czy był niezależny w rozumieniu art. 15 ust. 2a. Jeśli audyt zrobiła osoba prowadząca na co dzień bezpieczeństwo w firmie, to może być dobry audyt wewnętrzny, ale nie spełnia wymogu z art. 15.

Podstawa prawna i źródła

• art. 8 ust. 1-3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło) - art. 15 ust. 1, 1a, 1b i 2a
• rozporządzenie Ministra Cyfryzacji z dnia 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz.U. 2018 poz. 1999) - kwalifikacje audytorów
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026 (źródło) - dokument niewiążący - m.in. odpowiedzi 9.1 i 9.5

Stan prawny na 14 października 2026 r. Opis normy ISO/IEC 27001 jest ogólny, bez cytowania jej treści, bo norma jest objęta prawem autorskim. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo stanowisku organu właściwego do spraw cyberbezpieczeństwa.

Wróć do listy: najczęstsze pytania i problemy związane z NIS2 i KSC