Kontrola KSC: o co zapytają i co pokazać

1. 1.

   Poproszę o politykę analizy ryzyka i bezpieczeństwa systemów informacyjnych.

   Podstawa całej listy: udokumentowane podejście do ryzyka, z którego wynikają pozostałe środki. Kontrolujący sprawdza spójność między deklarowanym podejściem a tym, co realnie się dzieje.

   Secvalis pokrywa częśćDokument polityki VM

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. a (polityki szacowania ryzyka) — transpozycja art. 21 ust. 2 lit. a dyrektywy NIS2

2. 2.

   Poproszę o rejestr incydentów i opis trybu ich obsługi.

   Kontrolujący patrzy na kompletność wpisów i czas reakcji, a przy podmiotach objętych obowiązkiem zgłoszeniowym — także na terminy przekazania informacji.

   Secvalis generuje ten dowódRejestr incydentów

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 4 (zarządzanie incydentami) i art. 11 ust. 1 pkt 2 (dostęp do informacji o rejestrowanych incydentach dla CSIRT); dowody: art. 10 ust. 4 — transpozycja art. 21 ust. 2 lit. b dyrektywy NIS2

3. 3.

   Poproszę o plany ciągłości działania i odtworzenia działalności po awarii oraz zasady zarządzania kryzysowego.

   Ustawa mówi o planach awaryjnych i odtworzenia działalności, nie wprost o kopiach zapasowych — kopie są środkiem, nie przedmiotem żądania. Pytania dotyczą też przetestowania planu, nie tylko jego istnienia.

   Przygotowujesz sam

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. f (plany ciągłości działania, awaryjne i odtworzenia działalności) oraz art. 10 ust. 3 pkt 3 (dokumentacja systemu zarządzania ciągłością działania) — transpozycja art. 21 ust. 2 lit. c dyrektywy NIS2

4. 4.

   Poproszę o zasady bezpieczeństwa łańcucha dostaw i ocenę dostawców.

   Obejmuje wymagania wobec dostawców, ich weryfikację i postępowanie przy podatnościach w dostarczanych komponentach.

   Przygotowujesz sam

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. e oraz art. 8 ust. 2 pkt 1-4 (łańcuch dostaw) — transpozycja art. 21 ust. 2 lit. d dyrektywy NIS2

5. 5.

   Poproszę o zasady identyfikowania i obsługi podatności oraz przyjmowania zgłoszeń, wraz z dowodem ich stosowania.

   Serce tej litery: identyfikacja podatności w używanych systemach, priorytetyzacja i naprawa w określonym czasie, z zapisem historii.

   Secvalis generuje ten dowódŚledzenie SLA napraw

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 3 (zbieranie informacji o podatnościach) i pkt 5 lit. d (niezwłoczne działania po dostrzeżeniu podatności) oraz art. 9 ust. 1 pkt 3 (kanał zgłoszeń dla użytkownika usługi); dowody: art. 10 ust. 4 — transpozycja art. 21 ust. 2 lit. e dyrektywy NIS2

6. 6.

   Poproszę o sposób oceny skuteczności zastosowanych środków bezpieczeństwa.

   Pytanie o mierniki, nie o deklaracje: co mierzycie, jak często i co się dzieje, gdy wynik się pogarsza.

   Secvalis pokrywa częśćMetryki SLA / raporty

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. h (ocena skuteczności środków) — transpozycja art. 21 ust. 2 lit. f dyrektywy NIS2

7. 7.

   Poproszę o zasady podstawowej higieny cyberbezpieczeństwa i dowody szkoleń.

   Dwie różne rzeczy pod jednym hasłem. Szkolenia i zasady cyberhigieny to jedna podstawa, bieżące aktualizacje oprogramowania — osobna. Pierwsza wymaga dokumentacji kadrowej, druga wynika z danych technicznych.

   Secvalis pokrywa częśćŚledzenie SLA napraw

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. i-j (cyberhigiena i szkolenia); aktualizacje oprogramowania: pkt 5 lit. b — transpozycja art. 21 ust. 2 lit. g dyrektywy NIS2

8. 8.

   Poproszę o politykę stosowania kryptografii i szyfrowania.

   Obejmuje dobór algorytmów, zarządzanie kluczami i miejsca stosowania szyfrowania w tranzycie oraz w spoczynku.

   Przygotowujesz sam

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. k (stosowanie kryptografii) — transpozycja art. 21 ust. 2 lit. h dyrektywy NIS2

9. 9.

   Poproszę o zasady kontroli dostępu i wykaz zasobów objętych ochroną.

   Kontrolujący zestawia deklarowany wykaz zasobów z tym, co widać w systemach — rozbieżność jest częstszym ustaleniem niż sama luka techniczna.

   Secvalis pokrywa częśćEwidencja maszyn + kontekst

   ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. m-n (zarządzanie aktywami, kontrola dostępu) — transpozycja art. 21 ust. 2 lit. i dyrektywy NIS2

10. 10.

    Poproszę o informację o stosowaniu uwierzytelniania wieloskładnikowego.

    Dotyczy dostępu do systemów istotnych dla świadczonej usługi, w tym narzędzi administracyjnych i platform bezpieczeństwa. Wymóg jest formułowany jako stosowany w odpowiednich przypadkach, a nie bezwarunkowo.

    Secvalis pokrywa częśćWymuszenie MFA + pokrycie członków

    ustawa o KSC (Dz.U. 2026 poz. 252), art. 8 ust. 1 pkt 2 lit. l (bezpieczne środki komunikacji elektronicznej, uwzględniające uwierzytelnianie wieloskładnikowe w stosownych przypadkach) — transpozycja art. 21 ust. 2 lit. j dyrektywy NIS2

Materiał informacyjny, nie porada prawna. Lista jest orientacyjna i nie jest wyczerpująca — zakres żądań zależy od audytora, jednostki certyfikującej i specyfiki podmiotu. Nie rozstrzyga o statusie prawnym czytelnika ani o wyniku audytu.