Audyt NIS2 w zakładzie: jak się przygotować krok po kroku

Kto podlega audytowi i kiedy

Audyt cyberbezpieczeństwa dotyczy podmiotów kluczowych. Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. i wdraża dyrektywę NIS2. Pierwszy audyt podmiotu kluczowego przypada w ciągu 24 miesięcy od wejścia ustawy w życie, czyli do 3 kwietnia 2028 r., a kolejne nie rzadziej niż raz na 3 lata.

Wcześniej mija inny termin: podmioty spełniające przesłanki w dniu wejścia ustawy w życie mają 12 miesięcy, do 3 kwietnia 2027 r., na realizację obowiązków z rozdziału 3. To system zarządzania bezpieczeństwem informacji, dokumentacja, procedury incydentowe i osoby kontaktowe. Audytor w 2028 r. będzie sprawdzał, czy te elementy działały, a nie tylko czy istnieją.

Kary pieniężne za większość naruszeń można nałożyć po raz pierwszy po upływie 2 lat od wejścia ustawy w życie. Okres 2026–2028 jest więc oknem na budowę dowodów, a nie okresem bez obowiązków. Maksymalny pułap kar dla podmiotów kluczowych w dyrektywie NIS2 (art. 34) to 10 mln EUR lub 2% rocznego obrotu, zależnie od tego, która kwota jest wyższa.

Co audytor sprawdza w zakładzie przemysłowym

Zakres audytu wynika z obowiązków podmiotu: polityka szacowania ryzyka, analiza zasobów, bezpieczeństwo łańcucha dostaw ICT, ciągły monitoring, identyfikacja zagrożeń, szkolenie pracowników oraz procedury reagowania na incydenty. W zakładzie przemysłowym każdy z tych punktów ma część informatyczną i część OT, a audytor zwykle prosi o próbkę z obu.

Dla OT pytania są konkretne. Które sterowniki, panele HMI i stacje inżynierskie są w inwentarzu? Kto miał do nich dostęp zdalny w ostatnich miesiącach? Jak zakład dowodzi, że firma serwisowa weszła do strefy tylko na czas zleconej pracy? Odpowiedź w formie polityki nie wystarcza, potrzebny jest rejestr zdarzeń.

Dowód ma cztery cechy

Dobry dowód jest imienny, ma znacznik czasu, wskazuje podstawę (zezwolenie, zlecenie, procedurę) i jest niezmienialny po fakcie. Zrzut ekranu z arkusza edytowanego w dniu audytu nie spełnia żadnego z tych warunków.

Siedem kroków przygotowania

Poniższa kolejność sprawdza się, bo każdy krok daje materiał dla następnego. Całość można rozłożyć na kilka kwartałów, ale pierwsze trzy kroki warto zamknąć jak najszybciej.

• Krok 1. Samoidentyfikacja: ocena, czy podmiot jest kluczowy czy ważny, i wniosek o wpis do wykazu zgodnie z komunikatem Ministra Cyfryzacji dla swojej kategorii.
• Krok 2. Inwentaryzacja aktywów IT i OT z właścicielem każdego aktywa oraz strefą sieciową.
• Krok 3. Polityka szacowania ryzyka i rejestr ryzyk z datami przeglądów.
• Krok 4. Procedura zgłaszania incydentów: wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, sprawozdanie końcowe w ciągu miesiąca, z wyznaczonymi co najmniej dwiema osobami kontaktowymi.
• Krok 5. Rejestr dostępu zewnętrznego i podwykonawców do stref OT: kto, gdzie, kiedy, na jakiej podstawie.
• Krok 6. Szkolenia: coroczne dla kierownictwa i okresowe dla pracowników, z listą imienną i wynikami.
• Krok 7. Przegląd wewnętrzny na próbce: wylosuj 10 zdarzeń z ostatniego kwartału i sprawdź, czy każde da się odtworzyć z dokumentów.

Jak zebrać dowody z IT i OT

Dowody informatyczne zwykle istnieją: logi kontrolerów domeny, zgłoszenia w systemie ticketowym, konfiguracje. Problemem jest retencja i spójność. Ustal, jak długo przechowywane są logi, kto może je zmieniać i czy czas na urządzeniach jest zsynchronizowany. Bez wspólnego czasu nie złożysz osi zdarzeń.

W OT luka jest innego rodzaju. Sterowniki rzadko generują logi przydatne audytorowi, za to zakład zna fizyczne wejścia: kto wszedł do nastawni, kto otworzył szafę sterowniczą, która firma pracowała przy linii. Jeśli te dane są w segregatorze albo w książce wejść, trzeba je przenieść do postaci, którą da się przeszukać i powiązać z zezwoleniem na pracę.

Kontekst ryzyka dobrze ilustrują dane publiczne. W raporcie Snitch cytowanym w karcie źródłowej naliczono 8367 unikalnych hostów OT widocznych w internecie, a Raport roczny CERT Polska za 2025 r. wskazuje 260 783 zarejestrowanych incydentów. Audytor nie oczekuje, że zakład uniknie każdego zagrożenia, tylko że ma proces i dowód jego stosowania.

Dokumenty i normy jako szkielet dowodów

Normy nie zastępują ustawy, ale porządkują dowody. IEC 62443 pomaga opisać strefy, kanały i poziomy zabezpieczeń w OT, ISO/IEC 27001:2022 daje ramy systemu zarządzania bezpieczeństwem informacji, a ISO 22301 dotyczy ciągłości działania. Certyfikat nie oznacza zgodności z NIS2, lecz jest dobrym materiałem dowodowym, jeśli zakres certyfikacji obejmuje to, co audytor będzie badał.

Praktyczna zasada: dobierz normę do zakresu. OT opisujesz wg IEC 62443, organizację wg ISO 27001, ciągłość wg ISO 22301. Matryca, która łączy obowiązek ustawowy z dokumentem i miejscem przechowywania dowodu, jest pierwszym plikiem, o który poprosi audytor.

Rola systemu zezwoleń i kontroli dostępu

W zakładzie, który zleca prace firmom zewnętrznym, ślad ludzkiej obecności w strefach jest istotnym dowodem. InnerWeb zapisuje, kto i kiedy zmienił zezwolenie lub wynik szkolenia, a przy tworzeniu zezwolenia sprawdza kwalifikacje przypisanych pracowników. Każdy skan plakietki QR na bramie trafia do rejestru wejść i wyjść. To wspiera spełnienie wymogu rejestru dostępu zewnętrznego i dostarcza dowodu do audytu, ale nie zastępuje polityki bezpieczeństwa ani ocen ryzyka.

InnerWeb jest niezależnym systemem uzupełniającym i uszczelniającym istniejące systemy zezwoleń i szkoleń klienta. Nie musi ich zastępować, aby ślad audytowy stał się spójny.