Dobry audyt kończy się decyzjami opartymi na dowodach. Ta checklista pomaga przygotować współpracę i ocenić użyteczność raportu, bez udawania urzędowego wzoru.
Opracowanie: Synergia-Pro Audyt sp. z o.o. Weryfikacja źródeł: .
Krok 1. Ustal cel i granice badania
Wskaż, czy potrzebujesz rozpoznania luk, oceny zgodności, sprawdzenia wybranej usługi czy formalnego audytu KSC. Ustal listę systemów i dostawców. Zapisz również, czego badanie nie obejmuje. Bez tego dwie oferty o tej samej nazwie mogą dotyczyć zupełnie innych prac.
Audyt zerowy NIS2 ma sens jako punkt startu: porządkuje brakujące informacje i pilność zmian. Nie powinien kończyć się deklaracją zgodności całej organizacji, jeżeli obejmował tylko rozmowę i dokumenty wybranego działu.
Krok 2. Przygotuj matrycę dowodów
| Obszar | Pytanie robocze | Przykładowy dowód |
|---|---|---|
| Ryzyko | Kto zatwierdza sposób postępowania z ryzykiem? | Rejestr i udokumentowana decyzja właściciela. |
| Dostęp | Czy odejście pracownika kończy jego dostęp? | Zlecenie odebrania uprawnień i potwierdzenie wykonania. |
| Dostawcy | Kto odpowiada za usługę i eskalację? | Umowa, lista kontaktów i uzgodnione zasady współpracy. |
| Odporność | Czy istotne dane da się przywrócić? | Wynik testu odtworzenia i opis ograniczeń. |
| Incydenty | Czy zespół potrafi uruchomić reakcję? | Rejestr zdarzeń lub udokumentowane ćwiczenie. |
To autorska lista przygotowawcza. Obowiązkowy zakres wynika z właściwych przepisów oraz celu zlecenia. Materiały ENISA dotyczące rozporządzenia 2024/2690 mają wskazany zakres sektorowy; nie należy przedstawiać ich jako jednolitego obowiązku każdej firmy.
Krok 3. Sprawdź praktykę i wyjaśnij rozbieżności
Wywiad z administratorem pomaga zrozumieć proces, lecz deklarację trzeba zestawić z dowodem. Jeśli dokument mówi o kwartalnym przeglądzie kont, poproś o wykonane przeglądy i reakcję na ich wyniki. Wyjaśnij, czy brak materiału wynika z niewykonania czynności, innej formy zapisu czy ograniczenia dostępu.
Wyniku narzędzia nie traktuj jako gotowej opinii audytowej. Potwierdź kontekst, zakres i wpływ na usługę. Przed aktywnym testem wymagane są ustalenia dotyczące zgody, czasu, danych i możliwości przerwania prac.
Krok 4. Raport z audytu NIS2 – edukacyjny wzór
- Cel, odbiorca i granice wykorzystania raportu.
- Identyfikacja organizacji, usług, systemów i okresu.
- Podstawa oraz kryteria oceny.
- Zespół, niezależność, metodyka i ograniczenia.
- Ustalenia: kryterium → stan → dowód → znaczenie.
- Działania: właściciel, termin i sposób potwierdzenia.
- Wnioski, wyłączenia oraz załączniki.
Przykład edukacyjny ustalenia: „Dla wybranej grupy kont nie przedstawiono zatwierdzonego przeglądu. Należy ustalić, czy czynność wykonano i gdzie zapisano wynik”. To przykład sposobu komunikowania braku dowodu, nie fragment rzeczywistego audytu ani przesądzenie naruszenia ustawy.
Krok 5. Zaplanuj sprawdzenie wykonania zaleceń
Nie zamykaj działania wyłącznie na podstawie wysłanego e-maila. Określ, jaki dowód pokaże zmianę i kto go oceni. Dla procedury może to być przetestowany scenariusz, a dla uprawnień wynik ponownego przeglądu. Porównaj stan z ustaleniem, nie tylko liczbę przygotowanych dokumentów.
Przy zamówieniu audytu zgodności z NIS2 porównuj zakres i rezultat, a nie wyłącznie cenę. Warunki ustawowego audytu KSC wymagają odrębnej weryfikacji.
Źródła i zakres opracowania
Przepisy i wytyczne odróżniamy od naszych propozycji organizacji badania. Przykłady i checklisty są materiałem pomocniczym; kryteria zlecenia ustala się dla konkretnego podmiotu, programu i wersji dokumentów.
Ustal zakres i zapytaj o ofertę
Wskaż rodzaj organizacji lub programu, zakres i oczekiwany termin. Do pierwszego kontaktu nie przesyłaj haseł, pełnych akt osobowych, list płac ani kopii baz danych.
Audyty i kontrole realizujemy w całej Polsce: zdalnie, stacjonarnie u klienta lub hybrydowo. Audyt Kraków · Audyt Warszawa · Obszar działania.
Zapytaj o audyt
Opisz krótko swoje potrzeby. Pola oznaczone gwiazdką są wymagane.