Pierwszy audyt KSC: kto ma termin do 3 kwietnia 2028 i kiedy zacząć zbierać dowody

3 kwietnia 2028 wygląda odlegle, ale najpierw sprawdź, czy ta data w ogóle jest twoja. Dotyczy podmiotów kluczowych, które spełniały przesłanki 3 kwietnia 2026 i wcześniej nie były operatorami usług kluczowych. Podmiot, który wejdzie w zakres później, liczy co do zasady 24 miesiące od dnia spełnienia przesłanek, więc jego termin jest inny i ruchomy. Dotychczasowi operatorzy usług kluczowych, którzy audyt już wykonali, zachowują trzyletni cykl.

Niezależnie od daty audyt sprawdza zgodność z ustawą, a dokumentacja operacyjna ma pokazywać, że wymagane czynności faktycznie były wykonywane. Materiał złożony w ostatnim tygodniu takiej historii nie zastąpi.

Tak samo ruchomy jest termin wdrożenia samych obowiązków. Podmioty, które spełniały przesłanki 3 kwietnia 2026, mają czas do 3 kwietnia 2027. Kto wchodzi w zakres później, ma co do zasady 12 miesięcy od tego momentu.

Czego nie da się odtworzyć wiarygodnie

Można dopisać politykę, uporządkować nazwy plików i przygotować prezentację. Trudniej odtworzyć:

• kiedy konkretna podatność została wykryta,
• jaki termin jej nadano,
• kto zdecydował o wyjątku,
• czy skanowanie obejmowało cały inwentarz,
• jak długo trwało usunięcie problemu,
• czy zarząd otrzymywał raporty i podejmował decyzje.

Screenshot z dnia audytu pokazuje stan. Nie pokazuje działania procesu przez wcześniejsze miesiące.

Najprostszy plan dowodowy

Nie trzeba tworzyć osobnego projektu "dowody". Wystarczy, żeby codzienna praca zostawiała datowany ślad:

1. inwentarz z właścicielami,
2. historia skanów i zakresu,
3. terminy oraz statusy znalezisk,
4. decyzje o akceptacji ryzyka z datą wygaśnięcia,
5. okresowe raporty dla kierownictwa,
6. eksport danych za wybrany okres.

Zakres audytu jest szerszy niż podatności. Te sześć punktów obejmuje tylko część technicznego zakresu, ale akurat tę pracochłonną do ręcznego odtwarzania.

Secvalis zapisuje część tej historii podczas obsługi podatności: skany i ich wyniki, daty wykrycia oraz daty, od których pozycje przestały być widoczne w kolejnych udanych skanach, statusy, przypisania, decyzje o akceptacji ryzyka z terminem przeglądu oraz eksport za wybrany okres. Nie potwierdza za to, że inwentarz maszyn jest kompletny, ani że kierownictwo faktycznie przeprowadziło przegląd. Nie gwarantuje wyniku audytu i nie zastępuje audytora.

Jeśli chcesz ocenić format materiału przed budową własnego eksportu, pobierz przykładowy Evidence Pack.

Źródła

• Ministerstwo Cyfryzacji: najważniejsze terminy nowelizacji KSC
• Oficjalne FAQ do ustawy o KSC
• Tekst nowelizacji ustawy o KSC, Dz.U. 2026 poz. 252 (terminy przejściowe: art. 16 i art. 33 ust. 2)