Jak przygotować firmę na audyt bezpieczeństwa informacji?

Prawny audyt bezpieczeństwa informacji jest procesem weryfikacji zgodności organizacyjno-prawnej organizacji partnerskiej z wymogami ustawy o krajowym systemie cyberbezpieczeństwa, RODO oraz normą ISO/IEC 27001:2022. Prawny audyt bezpieczeństwa informacji nie jest testem penetracyjnym infrastruktury IT. Dla operatorów usług kluczowych art. 15 ustawy o krajowym systemie cyberbezpieczeństwa nakłada obowiązek przeprowadzenia prawnego audytu bezpieczeństwa informacji minimum raz na 2 lata.

Perspektywa Cyberpolex: W przeciwieństwie do firm IT, Cyberpolex nie instaluje firewalli, nie konfiguruje serwerów, nie przeprowadza testów penetracyjnych. Cyberpolex zapewnia ochronę prawną decyzji biznesowych co redukuje koszty wdrożenia o 25–40% dzięki eliminacji prac powtórnych.

Aktualizacja legislacyjna NIS2: Nadchodzi nowelizacja ustawy o KSC implementująca dyrektywę NIS2. W nowym stanie prawnym podział na „operatorów usług kluczowych” zostanie zastąpiony kategoriami „podmioty kluczowe” i „podmioty ważne”, co znacząco rozszerzy listę organizacji partnerskich objętych obowiązkiem audytowym.

Czym jest prawny audyt bezpieczeństwa informacji z perspektywy prawnej?

Rodzaje audytów bezpieczeństwa informacji (wewnętrzny, zewnętrzny, zgodności)

Typ audytu bezpieczeństwa informacji	Definicja prawna	Podmiot przeprowadzający prawny audyt bezpieczeństwa informacji
Wewnętrzny prawny audyt bezpieczeństwa informacji	Weryfikacja zgodności organizacji partnerskiej z wewnętrznymi politykami compliance	Auditor wewnętrzny pod nadzorem zarządu organizacji partnerskiej
Zewnętrzny prawny audyt bezpieczeństwa informacji	Ocena spełnienia wymogów art. 15 ustawy o KSC	Jednostka akredytowana lub auditor z certyfikatem CISA/CISM/CISSP/ISO 27001 Lead Auditor i 2-letnią praktyką w zakresie audytu systemów informacyjnych
Audyt zgodności compliance	Weryfikacja spełnienia norm ISO/IEC 27001:2022, NIS2, RODO	Jednostka certyfikująca lub kancelaria prawna specjalizująca się w cyberbezpieczeństwie prawnym

Kiedy prawny audyt bezpieczeństwa informacji jest wymagany prawem?

• Operator usługi kluczowej → obowiązek prawnego audytu bezpieczeństwa informacji co 2 lata (art. 15 ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa).
• Brak prawnego audytu bezpieczeństwa informacji = ryzyko kary administracyjnej do 1 mln PLN (obecny stan prawny) / do 10 mln EUR lub 2% rocznego obrotu (po implementacji dyrektywy NIS2).
• Naruszenie zasad przetwarzania danych osobowych (art. 5, 6, 9 RODO) = ryzyko kary do 20 mln EUR lub 4% rocznego obrotu światowego (art. 83 ust. 5 RODO).
• Zmiana dostawcy SaaS, wdrożenie systemu ERP, proces M&A → rekomendowany prawny audyt bezpieczeństwa informacji doraźny przed finalizacją transakcji.

Utrata certyfikatu ISO/IEC 27001:2022 w wyniku negatywnego zewnętrznego prawnego audytu bezpieczeństwa informacji może skutkować utratą kontraktów z podmiotami publicznymi. Podmioty publiczne wymagają certyfikacji jako warunku udziału w postępowaniu przetargowym.

Krok po kroku – jak przygotować organizację partnerską na prawny audyt bezpieczeństwa informacji?

1. Weryfikacja Rejestru Czynności Przetwarzania (zgodność z art. 30 RODO) — czas: 2–3 dni robocze.
   Rejestr powinien być aktualizowany przy każdej zmianie procesu przetwarzania danych osobowych.
2. Przegląd Polityki Bezpieczeństwa Informacji (PBI) pod kątem wymagań ISO/IEC 27001:2022 (sekcje: Organizacyjne, Ludzie, Fizyczne, Technologiczne) — czas: 1 dzień roboczy.
   Polityka Bezpieczeństwa Informacji obejmuje procedury kontroli dostępu, zarządzania incydentami, szkoleń personelu organizacji partnerskiej.
3. Audyt umów powierzenia przetwarzania danych (zgodność z art. 28 RODO) — czas: 3–5 dni roboczych.
   Umowa powierzenia zgodnie z art. 28 ust. 3 RODO wymaga 8 konkretnych zobowiązań podwykonawcy przetwarzającego dane osobowe.
4. Weryfikacja procedury zgłaszania incydentów (termin 72h z art. 33 RODO) — czas: 1 dzień roboczy.
   Zgłoszenie do organu nadzorczego w ciągu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych.
5. Szkolenie personelu organizacji partnerskiej z zakresu zgłaszania naruszeń (zgodność z art. 32 RODO + zasada rozliczalności art. 5 ust. 2 RODO) — czas: 4 godziny szkoleniowe.
   Na każdym szkoleniu powinna być lista obecności z podpisem uczestnika stanowi dowód compliance w postępowaniu kontrolnym UODO.

 

Dokumentacja compliance i polityki — checklista przedaudytowa prawnego audytu bezpieczeństwa informacji

Dokument compliance	Podstawa prawna	Częstotliwość aktualizacji	Konsekwencje braku dokumentu compliance
Rejestr Czynności Przetwarzania	art. 30 RODO	przy każdej zmianie procesu przetwarzania danych	kara administracyjna do 10 mln EUR lub 2% obrotu (art. 83 ust. 4 RODO)
Polityka Bezpieczeństwa Informacji	ISO/IEC 27001:2022 (4 sekcje: Organizacyjne, Ludzie, Fizyczne, Technologiczne)	raz w roku lub przy zmianie analizy ryzyka	utrata certyfikatu ISO, negatywna ocena zewnętrznego prawnego audytu bezpieczeństwa informacji
Procedura zgłaszania incydentów	art. 33 RODO	raz w roku + po każdym incydencie bezpieczeństwa danych	kara do 20 mln EUR lub 4% obrotu za brak zgłoszenia naruszenia w terminie 72h (art. 83 ust. 5 RODO)
Umowa powierzenia przetwarzania danych	art. 28 RODO	przy każdej zmianie podwykonawcy przetwarzającego dane	odpowiedzialność solidarna Administratora Danych Osobowych i podmiotu przetwarzającego za szkody (art. 82 ust. 4 RODO)
Polityka haseł i kontroli dostępu	ISO/IEC 27001:2022 (sekcja: Technologiczne)	raz w kwartale	naruszenie art. 32 RODO (bezpieczeństwo przetwarzania danych osobowych)

 

Weryfikacja dostępu i uprawnień — aspekt prawny prawnego audytu bezpieczeństwa informacji

• Najmniejsze uprawnienia (least privilege) dla wszystkich kont użytkowników — wymóg art. 32 ust. 1 lit. d RODO.
• Przegląd uprawnień dostępu: co kwartał. Dokumentacja przeglądu uprawnień stanowi dowód należytej staranności w postępowaniu kontrolnym organu nadzorczego.
• MFA (uwierzytelnianie wieloskładnikowe) dla kont uprzywilejowanych — rekomendacja ENISA oraz wymóg wielu standardów branżowych cyberbezpieczeństwa.
• Brak segregacji uprawnień dostępu = naruszenie art. 32 RODO = odpowiedzialność zarządu organizacji partnerskiej za niewdrożenie odpowiednich środków technicznych i organizacyjnych ochrony danych.

Adresowanie lęku persony: W przypadku kontroli Urzędu Ochrony Danych Osobowych brak dokumentacji przeglądu uprawnień dostępu może zostać uznany za okoliczność obciążającą przy wymiarze kary administracyjnej za naruszenie RODO.

Rozmowy z personelem organizacji partnerskiej — jak przeprowadzić wywiad w ramach prawnego audytu bezpieczeństwa informacji?

• • Pytanie 1: „W jaki sposób zgłasza Pan/Pani podejrzenie naruszenia bezpieczeństwa danych osobowych?”
    Oczekiwana odpowiedź personelu organizacji partnerskiej: wskazanie procedury wewnętrznej zgłaszania incydentów, kontaktu do Inspektora Ochrony Danych lub przełożonego odpowiedzialnego za compliance.
  • Pytanie 2: „Czy zna Pan/Pani procedurę reakcji na incydent bezpieczeństwa danych w terminie 72 godzin?”
    Oczekiwana odpowiedź personelu organizacji partnerskiej: świadomość terminu zgłoszenia naruszenia do organu nadzorczego oraz obowiązków Administratora Danych Osobowych wynikających z art. 33 RODO.
  • Pytanie 3: „Gdzie znajduje się aktualna wersja Polityki Bezpieczeństwa Informacji organizacji partnerskiej?”
    Oczekiwana odpowiedź personelu organizacji partnerskiej: wskazanie repozytorium dokumentów compliance (intranet, platforma szkoleniowa, fizyczna teczka z dokumentacją).

Audytor prawny Cyberpolex przeprowadza wywiad z członkiem zespołu organizacji partnerskiej w obecności reprezentanta zarządu. Wynik wywiadu audytowego jest dokumentowany w raporcie poaudytowym prawnego audytu bezpieczeństwa informacji z podziałem na: zgodność proceduralna compliance, luki świadomościowe personelu, rekomendacje naprawcze dla organizacji partnerskiej.

Najczęstsze błędy compliance w prawnym audycie bezpieczeństwa informacji i jak uniknąć konsekwencji prawnych?

Brak procedur compliance — konsekwencje prawne prawnego audytu bezpieczeństwa informacji

Błąd compliance organizacji partnerskiej	Podstawa prawna	Sankcja administracyjna	Rozwiązanie Cyberpolex
Brak aktualizacji Rejestru Czynności Przetwarzania >12 miesięcy	art. 30 RODO	kara administracyjna do 10 mln EUR lub 2% obrotu (art. 83 ust. 4 RODO)	Szablon rejestru compliance + przegląd kwartalny z protokołem aktualizacji
„Szkolenia na papierze” bez ewidencji frekwencji personelu	art. 32 RODO + zasada rozliczalności art. 5 ust. 2 RODO	brak dowodu compliance = kara w postępowaniu kontrolnym UODO	System ewidencji szkoleń compliance z podpisem elektronicznym i timestamp czasu szkolenia
Brak procedury reakcji na incydent bezpieczeństwa danych w 72h	art. 33 RODO	kara do 20 mln EUR lub 4% obrotu + odpowiedzialność cywilna za szkody (art. 83 ust. 5 RODO)	Gotowa procedura reakcji na incydent + symulacja incydentu bezpieczeństwa (tabletop exercise)
Umowy powierzenia przetwarzania danych bez klauzul art. 28 ust. 3 RODO	art. 28 RODO	odpowiedzialność solidarna Administratora Danych i podmiotu przetwarzającego za szkody (art. 82 ust. 4 RODO)	Szablon umowy powierzenia przetwarzania danych z klauzulami zgodnymi z wytycznymi Europejskiej Rady Ochrony Danych (EROD/EDPB)

Dlaczego podejście prawne przed technicznym redukuje koszty wdrożenia compliance w organizacji partnerskiej?

Standardowe podejście rynkowe:
firma IT wdraża zabezpieczenia techniczne infrastruktury → potem prawnik dostosowuje dokumentację compliance → koszty wdrożenia rosną o 30–50% z powodu prac powtórnych i konieczności adaptacji rozwiązań technicznych do wymogów prawnych RODO, ustawy o KSC i ISO/IEC 27001:2022.

Metoda Cyberpolex:
Prawny audyt bezpieczeństwa informacji → identyfikacja wymogów compliance → audyt techniczny infrastruktury → wdrożenie rozwiązań = redukcja kosztów wdrożenia o 25–40% dzięki eliminacji prac powtórnych i zapewnieniu, że rozwiązania techniczne od początku spełniają wymogi RODO, ustawy o krajowym systemie cyberbezpieczeństwa i normy ISO/IEC 27001:2022.

Cyberpolex nie jest firmą IT. Cyberpolex nie instaluje firewalli, nie konfiguruje serwerów, nie przeprowadza testów penetracyjnych infrastruktury IT ale zapewnia ochronę prawną decyzji biznesowych organizacji partnerskiej — minimalizuje odpowiedzialność zarządu za naruszenia bezpieczeństwa informacji poprzez precyzyjne zdefiniowanie wymogów compliance przed wdrożeniem rozwiązań technicznych cyberbezpieczeństwa.

W projektach realizowanych przez Cyberpolex średni czas przygotowania organizacji partnerskiej do zewnętrznego prawnego audytu bezpieczeństwa informacji wynosi 6–8 tygodni, przy 92% skuteczności uzyskania pozytywnego wyniku audytu compliance za pierwszym podejściem.

Organizacja partnerska gotowa na prawny audyt bezpieczeństwa informacji? Sprawdź, czy organizacja partnerska spełnia wymogi prawne compliance

Cyberpolex oferuje bezpłatną, 30-minutową konsultację online w celu wstępnej oceny zgodności organizacji partnerskiej z wymogami prawnego audytu bezpieczeństwa informacji. Raport wstępny z identyfikacją luk compliance organizacja partnerska otrzymuje w ciągu 48 godzin roboczych.

Nota prawna: Niniejszy artykuł ma charakter informacyjny i nie stanowi porady prawnej w rozumieniu art. 6 ustawy o radcach prawnych. Każda sytuacja compliance organizacji partnerskiej wymaga indywidualnej analizy przez prawnika specjalizującego się w cyberbezpieczeństwie prawnym. Cyberpolex zastrzega sobie prawo do aktualizacji treści w przypadku zmian przepisów prawa ochrony danych osobowych i cyberbezpieczeństwa.