Ustawa o krajowym systemie cyberbezpieczeństwa (UKSC) wdraża dyrektywę NIS2 i wprowadza nowe obowiązki dla podmiotów kluczowych i ważnych.
Audyt zerowy daje organizacji jasny obraz: gdzie jest dziś, czego brakuje i co należy zrobić, żeby spełnić wymagania ustawy.
Czy podmiot podlega UKSC?
UKSC dotyczy podmiotów działających w sektorach z załącznika nr 1 (kluczowe) lub załącznika nr 2 (ważne) ustawy, które przekraczają próg średniego przedsiębiorcy. Dla niektórych kategorii próg jest niższy lub nie ma zastosowania, w szczególności dla dostawców zarządzanych usług bezpieczeństwa (MSSP).
Pierwszym krokiem jest kwalifikacja organizacji, którą realizujemy jako osobną usługę lub w ramach audytu zerowego.
Terminy z UKSC:
3 października 2026
wpis do wykazu podmiotów kluczowych i ważnych
3 kwietnia 2027
wdrożenie środków z art. 8 UKSC
Co 3 lata
audyt zgodności dla podmiotów kluczowych (art. 15 UKSC)
Na czym polega audyt zerowy (Gap Analysis)
Wskazujemy realne luki między wymogami UKSC a rzeczywistym stanem zabezpieczeń i procedur w organizacji. Nie oceniamy zgodności tylko na papierze. Sprawdzamy, czy zapisy w politykach mają pokrycie w architekturze i codziennych procesach IT.
Ile to kosztuje?
Audyt zerowy UKSC:
Od 16 000 PLN netto
Finalną wartość zależną od liczby spółek, skali organizacji oraz obecności środowiska OT ustalamy po krótkim wywiadzie wstępnym.
Prace dodatkowe poza ustalonym zakresem rozliczane w trybie T&M.
Co dokładnie zawiera audyt zerowy
Analiza dokumentacji
8 dni pracy konsultanta ds. cyberbezpieczeństwa podczas, których wykonywany jest przegląd dostarczonej dokumentacji (polityki, procedury, BCP, umowy z dostawcami). Sprawdzamy do 300 stron w standardowym zakresie.
Wywiady z kluczowymi pracownikami
Seria 4 spotkań (do 2h każde) z osobami odpowiedzialnymi za IT, bezpieczeństwo oraz procesy biznesowe w celu weryfikacji założeń dokumentacyjnych w praktyce.
Raport Gap Analysis
Mapa zgodności z UKSC, lista luk z priorytetyzacją i harmonogram prac wdrożeniowych. Wskazujemy, które obszary wymagają poprawy, a które należy stworzyć od nowa.
Trzy etapy dojścia do zgodności
Kwalifikacja
Ustalamy, czy podmiot podlega UKSC oraz czy kwalifikuje się jako podmiot ważny czy kluczowy.
Audyt zerowy
Identyfikujemy luki i opracowujemy roadmapę wraz z harmonogramem prac.
Wdrożenie
Wspólnie z zespołem Klienta tworzymy lub dostosowujemy polityki, procedury, wspieramy kierownictwo, przygotowujemy integrację z systemem S46, oraz doradzamy przy wdrożeniu środków technicznych. Ten etap jest wyceniane odrębnie - na podstawie wyników audytu zerowego.
Wycena kolejnego etapu
Szacunkowa pracochłonność i koszt etapu wdrożeniowego. Punkt wyjścia do planowania budżetu na dojście do zgodności.
Dlaczego warto zrobić audyt z Securitum
Łączymy zgodność i technologię. W zespole mamy ekspertów zarówno od strony technicznej, jak i compliance. Dzięki temu raport z audytu odzwierciedla rzeczywiste ryzyko, a rekomendacje przekładają się na konkretne rozwiązania.
Sankcje za brak zgodności z UKSC
Podmioty kluczowe:
do 10 mln EUR lub 2% rocznego światowego obrotu.
Podmioty ważne:
do 7 mln EUR lub 1,4% rocznego światowego obrotu.
Członkowie kierownictwa:
odpowiedzialność osobista z art. 8c-8f UKSC.
W szczególnych przepadkach:
ustawa przewiduje kary nawet do 100 mln zł.
FAQ
Q:
Co zawiera raport po audycie zerowym?
Ocenę spełnienia wymagań UKSC z podziałem na obszary, mapę zgodności, priorytety luk i roadmapę wdrożeniową. To dokument techniczno-organizacyjny wskazujący, co wdrożyć, zmodyfikować lub uzupełnić.
Q:
Czy pakiet obejmuje przygotowanie nowych procedur?
Nie. Audyt zerowy obejmuje identyfikację luk i rekomendacje. Opracowanie polityk i procedur to odrębny etap (wdrożenie), wyceniany po zakończeniu audytu.
Q:
Jakie dokumenty będą potrzebne?
Polityki bezpieczeństwa, procedury zarządzania incydentami, rejestr aktywów, analiza ryzyka, plany ciągłości działania (BCP/DRP), szablony umów z dostawcami, raporty z dotychczasowych audytów, dane identyfikujące podmiot (KRS, NIP, struktura). Pełną listę potwierdzamy po podpisaniu umowy.
Q:
Czy po audycie podmiot będzie spełniał wymagania UKSC?
Audyt zerowy to pierwszy etap. Klient otrzymuje plan działań, który należy wdrożyć (polityki, procedury, środki techniczne, szkolenia, integracja z systemem art. 46 ust. 1 UKSC). Rzeczywiste spełnienie wymagań następuje po wdrożeniu wszystkich rekomendacji w terminie przewidzianym przez ustawę.
Q:
Czym różni się podmiot kluczowy od ważnego?
Podmioty kluczowe podlegają wyższemu reżimowi nadzoru i wyższym sankcjom. Status zależy od sektora (zał. 1 lub 2 UKSC) i wielkości podmiotu. Weryfikujemy to w ramach kwalifikacji.
Q:
Obsługujecie spółki z siedzibą poza Polską?
Tak, w zakresie mapowania pod dyrektywę NIS2. Klasyfikacja pod lokalne implementacje Dyrektywy w innych państwach członkowskich wymaga indywidualnej wyceny.
Stan prawny na dzień publikacji: ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) wdrażająca dyrektywę (UE) 2022/2555 (NIS2).
