Kontrola KSC/NIS2 może objąć znacznie więcej niż sprawdzenie, czy firma posiada politykę bezpieczeństwa. Organ właściwy do spraw cyberbezpieczeństwa może żądać dokumentów, danych i wyjaśnień, przeprowadzić oględziny urządzeń, nośników oraz systemów informacyjnych, a przede wszystkim zweryfikować, czy System Zarządzania Bezpieczeństwem Informacji rzeczywiście działa. Podmiot powinien więc przygotować nie tylko procedury, lecz również dowody ich stosowania.
Polityka opisuje przyjętą zasadę, ale dopiero rejestr, protokół testu, zgłoszenie, log albo wypowiedź pracownika pokazują, czy organizacja tę zasadę realizuje. Rozbieżność między dokumentem a stanem systemów może być istotniejsza niż brak idealnie nazwanego załącznika.
Trybna miejscu lub zdalnie
Zastrzeżenia7 dni do protokołu
Firma powinna umieć pokazać, kto zatwierdził wymaganie, jak zostało ono wdrożone oraz jaki ślad pozostał po jego wykonaniu. Oficjalne FAQ Ministerstwa Cyfryzacji wskazuje wprost, że samo przedstawienie formalnie poprawnych dokumentów nie wystarcza do udowodnienia stosowania ustawy.
Kto prowadzi kontrolę KSC/NIS2?
Nadzór nad podmiotami kluczowymi i ważnymi sprawuje organ właściwy do spraw cyberbezpieczeństwa, określany również jako OWcyber. Właściwość wynika przede wszystkim z sektora albo podsektora działalności. Dla przedsiębiorcy komunikacji elektronicznej będzie to co do zasady Prezes UKE, dla podmiotów sektora bankowego i infrastruktury rynków finansowych Komisja Nadzoru Finansowego, a dla wielu dostawców usług ICT minister właściwy do spraw informatyzacji.
Nie należy utożsamiać organu kontrolnego z CSIRT ani z Systemem S46. CSIRT odpowiada za przyjmowanie i koordynowanie zgłoszeń incydentów oraz wsparcie operacyjne. S46 jest kanałem wykonywania określonych obowiązków. Organ właściwy sprawuje nadzór, prowadzi kontrolę, wydaje zalecenia, ostrzeżenia i nakazy oraz może wszcząć postępowanie dotyczące sankcji. Szczegółowy wykaz właściwości znajduje się w poradniku organy właściwe do spraw cyberbezpieczeństwa.
Jedna firma może podlegać kilku organom
Jeżeli organizacja działa w kilku regulowanych sektorach, organy mogą wspólnie sprawować nadzór i prowadzić kontrolę, a także wyznaczyć organ wiodący. Zakres przygotowania trzeba wtedy odnieść do wszystkich usług objętych KSC, a nie wyłącznie do działalności dominującej.
Kontrola, audyt ad hoc i ocena bezpieczeństwa – czym się różnią?
Ustawa przewiduje kilka odrębnych narzędzi nadzorczych. Pismo organu należy najpierw zakwalifikować, ponieważ inne będą podstawy działania, wykonawcy i rezultat kontroli, inne audytu nakazanego, a jeszcze inne oceny bezpieczeństwa systemu informacyjnego.
Kontrola
Może odbywać się w siedzibie, miejscu wykonywania działalności albo zdalnie. Kontroler zbiera dowody, dokonuje oględzin, żąda dokumentów i wyjaśnień, a ustalenia ujmuje w protokole.
Audyt ad hoc
Organ może nakazać jego przeprowadzenie, w szczególności po poważnym incydencie albo naruszeniu ustawy. Audyt nie jest tym samym co dobrowolny audyt zerowy przygotowujący firmę do wdrożenia.
Ocena bezpieczeństwa
Organ może zlecić właściwemu CSIRT ocenę bezpieczeństwa systemu informacyjnego. Badanie może dotyczyć faktycznej konfiguracji, podatności i odporności, a nie tylko dokumentacji organizacyjnej.
Odrębnymi środkami są żądanie informacji, danych i dokumentów oraz wezwanie do przedstawienia dowodów realizacji wymogów SZBI. Organ nie musi więc zawsze rozpoczynać pełnej kontroli w siedzibie, aby zweryfikować wybrany obszar działalności.
Podmiot kluczowy a podmiot ważny – kiedy może rozpocząć się nadzór?
Nadzór prewencyjny i następczy
Organ może działać przed stwierdzeniem naruszenia oraz reagować na wykrytą niezgodność. Ustawa pozwala między innymi na kontrole, w tym doraźne, nakazanie audytu, ocenę bezpieczeństwa oraz żądanie dokumentów i dowodów.
Nadzór następczy
Działania organu mają charakter ex post, w szczególności gdy pojawi się uzasadnione podejrzenie naruszenia. Źródłem może być incydent, informacja od CSIRT, skarga, niespójne dane albo niewykonanie obowiązku.
Merytoryczne obowiązki obu kategorii podmiotów są zasadniczo takie same. Różnica dotyczy modelu nadzoru. Nie oznacza to, że podmiot ważny może rozpocząć gromadzenie dowodów dopiero po incydencie. Gdy organ otrzyma informację uzasadniającą podejrzenie naruszenia, organizacja powinna być gotowa przedstawić stan istniejący przed wszczęciem czynności, a nie dokumenty utworzone dopiero po otrzymaniu pisma.
Jak przebiega kontrola KSC/NIS2 krok po kroku?
Szczegółowy tryb zależy również od statusu kontrolowanego. Wobec przedsiębiorców stosuje się przepisy rozdziału 5 Prawa przedsiębiorców, natomiast wobec podmiotów niebędących przedsiębiorcami oraz jednostek samorządu terytorialnego – przepisy ustawy o kontroli w administracji rządowej. Nie należy więc zakładać jednego identycznego scenariusza dla spółki, urzędu i innego podmiotu publicznego.
Wszczęcie i zakres
Podmiot ustala podstawę prawną, organ, tryb, okres objęty kontrolą i listę zagadnień. Wyznacza koordynatora, zastępcę oraz kanał przekazywania materiałów.
Otwarcie kontroli
Weryfikowane są upoważnienia kontrolerów i osoby reprezentujące podmiot. Firma porządkuje zasady dostępu do pomieszczeń, systemów i dokumentów chronionych.
Zbieranie dowodów
Organ analizuje dokumenty, kopie, wydruki, logi i rejestry, prowadzi oględziny urządzeń oraz systemów, a także odbiera ustne lub pisemne wyjaśnienia.
Ustalenie stanu
Kontroler porównuje dokumentację z praktyką, próbkami zapisów i relacjami personelu. Bada przyczyny, zakres i skutki wykrytych rozbieżności.
Protokół
Protokół opisuje zakres, przebieg i ustalenia. W przypadku zastrzeżeń podmiot może odmówić podpisania i przedstawić umotywowane stanowisko w terminie 7 dni.
Zalecenia i naprawa
Organ może wezwać do usunięcia nieprawidłowości w wyznaczonym terminie. Firma realizuje plan naprawczy, gromadzi dowody i przygotowuje się do weryfikacji wykonania.
Kontrola może mieć charakter doraźny, może być prowadzona zdalnie, a szczegółowe zasady zależą od statusu podmiotu i podstawy działania organu. Procedura gotowości powinna uruchamiać się natychmiast po otrzymaniu pisma lub informacji o czynnościach, bez założenia, że firma zawsze otrzyma kilka tygodni na porządkowanie materiałów.
Jakie uprawnienia ma osoba prowadząca kontrolę?
W przypadku przedsiębiorcy osoba prowadząca czynności kontrolne może swobodnie wejść i poruszać się po terenie podmiotu bez obowiązku uzyskania przepustki, przeglądać dokumenty dotyczące jego działalności oraz pobierać i zabezpieczać dokumenty związane z zakresem kontroli. Może również sporządzać albo żądać sporządzenia kopii, odpisów, wyciągów, zestawień i obliczeń.
Uprawnienia obejmują także żądanie ustnych lub pisemnych wyjaśnień, przetwarzanie danych osobowych w zakresie niezbędnym do realizacji celu kontroli oraz oględziny urządzeń, nośników i systemów informacyjnych. Podmiot zapewnia niezbędne warunki techniczne, przedstawia dokumenty bez zbędnej zwłoki i sporządza kopie lub wydruki informacji zgromadzonych w systemach.
- dokumenty pobrane przez kontrolera powinny zostać odpowiednio pokwitowane;
- kopie i wydruki potwierdza się za zgodność z oryginałem;
- udostępnienie materiałów odbywa się z poszanowaniem tajemnic prawnie chronionych;
- organ może zażądać tłumaczenia dokumentacji obcojęzycznej na koszt podmiotu;
- zakres żądanego tłumaczenia powinien pozostawać związany z prowadzoną kontrolą.
Jakich dokumentów może żądać organ?
Ustawa nie ustanawia jednej zamkniętej listy nazw plików. Organ może żądać danych, dokumentów i informacji potrzebnych do wykonywania nadzoru oraz dowodów realizacji wymogów SZBI. Zakres zależy od badanego obowiązku, usług podmiotu, incydentów, ryzyka i ustaleń pojawiających się w toku kontroli.
| Obszar | Przykładowe dokumenty | Dowód faktycznego stosowania | Typowy właściciel | Typowa niezgodność |
|---|---|---|---|---|
| Status i Wykaz KSC | Analiza kwalifikacyjna, dane wielkościowe i grupowe, wniosek o wpis, historia aktualizacji. | UPO, zaświadczenia, uchwała lub notatka zarządu, zgodność rekordu ze stanem faktycznym. | Zarząd / prawo | Nieaktualne kontakty, domeny albo klasyfikacja. |
| Ład i odpowiedzialność | Zakres SZBI, polityka, matryca ról, upoważnienia, zakresy obowiązków. | Zatwierdzenia, komunikacja, protokoły przeglądów, decyzje właścicieli ryzyka. | Zarząd / Pełnomocnik SZBI | Role istnieją tylko w dokumencie, bez umocowania i zasobów. |
| Ryzyko | Metodyka, rejestr ryzyka, kryteria akceptacji, plan postępowania z ryzykiem. | Aktualizacje po zmianach i incydentach, decyzje, zamknięte zadania i ocena skuteczności. | Właściciele ryzyka | Rejestr nie obejmuje usług, dostawców albo systemów krytycznych. |
| Aktywa i architektura | Rejestr informacji, systemów, urządzeń, lokalizacji i zależności; diagramy sieci. | Uzgodnienie z CMDB, inwentaryzacją, chmurą i rzeczywistą konfiguracją. | IT / bezpieczeństwo | Nieznane aktywa, nieaktualny diagram lub brak właściciela. |
| Dostęp i tożsamość | Polityka dostępu, matryca uprawnień, zasady kont uprzywilejowanych i MFA. | Przeglądy dostępów, bilety nadania i odebrania, logi, test kont awaryjnych. | IT / HR | Aktywne konta byłych pracowników albo brak przeglądów. |
| Incydenty | Procedura klasyfikacji, eskalacji, raportowania 24/72 h i komunikacji z CSIRT. | Rejestr zdarzeń, zgłoszenia S46, chronologia decyzji, raporty końcowe i ćwiczenia. | SOC / IT / prawo | Brak momentu wykrycia lub dowodu terminowego zgłoszenia. |
| Ciągłość i kopie | BCP, DRP, polityka backupu, RTO/RPO, scenariusze odtworzenia. | Raporty testów, wyniki odtworzeń, listy błędów, poprawki i retesty. | Biznes / IT | Backup istnieje, ale nie był odtwarzany albo obejmuje niepełne dane. |
| Podatności i zmiany | Procedury aktualizacji, skanowania, wyjątków i bezpiecznego zarządzania zmianą. | Raporty skanów, terminy usunięcia, akceptacje wyjątków, logi wdrożeń i retesty. | IT / bezpieczeństwo | Krytyczne podatności bez właściciela, terminu i eskalacji. |
| Monitoring i logi | Zakres monitoringu, retencja, źródła logów, reguły alertów i odpowiedzialność. | Próbki alertów, obsłużone zgłoszenia, dostępność logów i potwierdzenie ich integralności. | SOC / IT | Procedura wymienia systemy, które nie wysyłają logów. |
| Dostawcy | Rejestr dostawców, kryteria oceny, ankiety, umowy, SLA i klauzule bezpieczeństwa. | Oceny okresowe, zgłoszone incydenty, testy ciągłości, nadzór nad podwykonawcami. | Zakupy / prawo / IT | Brak prawa audytu, terminów zgłoszeń lub planu wyjścia. |
| Szkolenia | Programy dla personelu i kierownictwa, materiały, harmonogramy. | Listy obecności, testy wiedzy, ćwiczenia phishingowe i działania po wynikach. | HR / Pełnomocnik SZBI | Szkolenie ogólne bez związku z rolą i bez potwierdzenia skuteczności. |
| Audyty i poprawa | Program audytów, raporty, rejestr niezgodności i działania korygujące. | Dowody zamknięcia, ocena skuteczności, przegląd kierownictwa i decyzje budżetowe. | Audyt / zarząd | Zalecenia oznaczone jako zamknięte bez retestu albo dowodu. |
Pełną mapę polityk, procedur, rejestrów i zapisów zawiera osobny poradnik Dokumentacja SZBI – jakie dokumenty musi posiadać firma?. W czasie kontroli ważniejsza od liczby plików jest spójność dokumentacji ze stanem technicznym, decyzjami zarządu i codziennym sposobem pracy.
Dokument to za mało – czym są dowody realizacji SZBI?
Dowodem może być protokół, zapis w systemie ticketowym, raport z testu, historia zmian, log techniczny, zatwierdzenie ryzyka, wynik ćwiczenia albo relacja pracownika. Organ może rozmawiać z personelem, aby ustalić, czy osoby wskazane w procedurze znają swoje zadania i faktycznie je wykonują.
Test gotowości dowodowej
Przed kontrolą sprawdź, czy każde kluczowe wymaganie można prześledzić od decyzji do rezultatu.
Nie należy antydatować protokołów, dopisywać wykonanych rzekomo testów ani przedstawiać projektu jako obowiązującej procedury. Jeżeli istnieje luka, bezpieczniej ją rzetelnie opisać, wskazać ryzyko, właściciela, termin i rozpoczęte działania naprawcze. Dostarczanie nieprawdziwych albo rażąco niedokładnych informacji jest traktowane przez ustawę szczególnie poważnie.
Jak przygotować zarząd, IT i pracowników do wyjaśnień?
Przygotowanie nie powinno polegać na uczeniu jednej wersji odpowiedzi. Celem jest upewnienie się, że osoby odpowiedzialne rozumieją swoje zadania i potrafią wskazać właściwy proces oraz zapis. Wypowiedź pracownika sprzeczna z polityką nie zawsze oznacza jego błąd. Może pokazywać, że dokument nie został zakomunikowany, szkolenie było nieskuteczne albo rzeczywisty proces działa inaczej.
Decyzje, ryzyko i zasoby
Kierownictwo powinno znać zakres usług objętych KSC, najważniejsze ryzyka, stan planu wdrożenia, wyniki audytów oraz przyczyny zaakceptowania istotnych wyjątków.
Spójność całego systemu
Koordynuje zakres odpowiedzi, indeks dokumentów, właścicieli obszarów i rejestr żądań. Nie powinien samodzielnie odpowiadać za fakty techniczne, których nie może potwierdzić.
Konfiguracja i dowody
Wyjaśniają architekturę, dostęp, monitoring, podatności, backup, incydenty i zależności od dostawców. Odpowiedzi muszą pozostawać zgodne z logami i konfiguracją.
Procesy poza działem IT
Potwierdzają szkolenia, onboarding, offboarding, role właścicieli usług, nadzór nad dostawcami i realizację planów ciągłości działania.
Protokół kontroli i 7 dni na zastrzeżenia
Protokół dokumentuje między innymi zakres i czas kontroli, ustalony stan faktyczny, stwierdzone nieprawidłowości oraz ich przyczyny i skutki. Przed podpisaniem trzeba porównać opis z przekazanymi materiałami, sprawdzić kompletność załączników i oddzielić bezsporne fakty od ocen wymagających wyjaśnienia.
Jeżeli podmiot nie zgadza się z ustaleniami, może odmówić podpisania protokołu i złożyć umotywowane pisemne zastrzeżenia w terminie 7 dni od przedstawienia protokołu do podpisu. Zastrzeżenie powinno wskazywać konkretne ustalenie, wyjaśniać błąd i odwoływać się do dowodu. Sama odmowa podpisania bez przedstawienia argumentów nie usuwa ustaleń kontroli.
- utwórz tabelę: numer ustalenia, stanowisko podmiotu, dowód i żądana korekta;
- sprawdź, czy protokół rozróżnia brak dokumentu od braku wykonania czynności;
- wyjaśnij rozbieżności wynikające z zakresu systemu, daty albo wersji dokumentu;
- nie odkładaj zbierania dowodów do szóstego lub siódmego dnia;
- zachowaj potwierdzenie terminowego przekazania zastrzeżeń.
Po analizie zastrzeżeń organ może je uwzględnić, oddalić lub przeprowadzić dodatkowe czynności. Zasadna zmiana lub uzupełnienie protokołu następuje w formie aneksu. Protokół elektroniczny doręczany jest na adres do doręczeń elektronicznych, dlatego ten kanał powinien mieć właściciela i zastępstwo.
Co może nastąpić po kontroli?
Jeżeli zgromadzone informacje wskazują na możliwość naruszenia ustawy, organ przekazuje zalecenia pokontrolne i wyznacza termin usunięcia nieprawidłowości. W zależności od sprawy może także wystosować ostrzeżenie albo zastosować środki egzekwujące obowiązki, w tym nakazać zapewnienie zgodności SZBI, zgłoszenie incydentu, wykonanie zaleceń z audytu lub poinformowanie użytkowników o cyberzagrożeniu.
Wobec podmiotu kluczowego katalog środków jest szerszy i w określonych warunkach może prowadzić do ustanowienia urzędnika monitorującego, czasowego ograniczenia działalności albo zakazu pełnienia funkcji zarządczych do czasu usunięcia uchybień. Organ przed zastosowaniem środków oraz przed nałożeniem kary informuje o wstępnych ustaleniach i umożliwia przedstawienie stanowiska.
Odroczenie części kar nie odracza kontroli
Zasadnicze kary pieniężne objęte przepisem przejściowym mogą być nakładane po 3 kwietnia 2028 r., z wyjątkiem kary ekstraordynaryjnej. Nie przesuwa to terminów wdrożenia obowiązków ani nie odbiera organom prawa do prowadzenia nadzoru, żądania dokumentów, wydawania zaleceń i nakazów.
Rodzaje sankcji i odpowiedzialność kierownictwa zostały szerzej omówione w artykule Kary KSC i NIS2 dla zarządu w 2026 r..
Jak przygotować firmę do kontroli w 30 dni?
Dni 1–3: mandat i zespół
Wyznacz koordynatora, zastępcę, właścicieli obszarów, prawnika oraz zasady kontaktu z organem. Utwórz rejestr żądań, terminów i przekazanych wersji.
Dni 4–8: zakres
Ustal usługi, systemy, lokalizacje, okres i obowiązki objęte kontrolą. Przygotuj indeks dokumentów oraz mapę powiązań z dowodami.
Dni 9–15: próbki
Sprawdź konta, incydenty, kopie, podatności, dostawców, szkolenia i działania korygujące. Porównaj procedury z konfiguracją i zapisami.
Dni 16–20: luki
Oddziel niezgodności możliwe do usunięcia od ryzyk wymagających dłuższego planu. Każdej luce przypisz właściciela, termin i dowód naprawy.
Dni 21–25: próba
Przeprowadź kontrolowaną symulację żądania dokumentów, wywiadów i oględzin. Zbadaj czas odpowiedzi oraz spójność informacji z różnych działów.
Dni 26–30: gotowość
Zamknij pakiet dowodowy, potwierdź reprezentację, dostęp do systemów, ochronę tajemnic i sposób reagowania na dodatkowe żądania.
Jeżeli organizacja nie zna jeszcze pełnego stanu zgodności, pierwszym krokiem może być audyt zerowy KSC/NIS2. Jest to działanie przygotowawcze prowadzone na zlecenie firmy, a nie kontrola administracyjna. Po wdrożeniu systemu gotowość dowodową może utrzymywać stała opieka nad SZBI.
Najczęstsze błędy po otrzymaniu informacji o kontroli
Masowe tworzenie procedur
Nowe dokumenty nie zastępują wcześniejszych dowodów działania. Nadmiar niesprawdzonych polityk zwiększa ryzyko sprzeczności z praktyką i pomiędzy wersjami.
Jedna osoba odpowiada za wszystko
Pełnomocnik nie powinien potwierdzać konfiguracji, której nie zweryfikował. Odpowiedzi wymagają udziału właścicieli procesów, IT, HR, zakupów i zarządu.
Przekazywanie bez rejestru
Bez indeksu nie wiadomo, jaka wersja dokumentu została udostępniona, kiedy ją przekazano i czy późniejsze wyjaśnienie odnosi się do tego samego materiału.
Ukrywanie znanej luki
Nierzetelna informacja pogarsza sytuację. Znane ryzyko należy opisać wraz z decyzją, zabezpieczeniami kompensującymi i planem usunięcia.
Najczęściej zadawane pytania
Czy kontrola KSC/NIS2 może odbyć się zdalnie?
Tak. Znowelizowana ustawa pozwala właściwemu organowi prowadzić kontrolę podmiotu kluczowego w siedzibie, miejscu wykonywania działalności albo zdalnie. Wobec podmiotów ważnych nadzór ma charakter następczy, ale jego środki również obejmują kontrolę i żądanie materiałów.
Czy organ może oglądać systemy i urządzenia?
Tak. Osoba prowadząca kontrolę przedsiębiorcy może przeprowadzać oględziny urządzeń, nośników i systemów informacyjnych. Może również żądać wydruków i kopii informacji zgromadzonych w systemach oraz ustnych lub pisemnych wyjaśnień.
Czy certyfikat ISO 27001 wystarczy podczas kontroli?
Nie. Certyfikat może być jednym z dowodów dojrzałości systemu, ale nie zastępuje wykazania zgodności z konkretnymi obowiązkami UoKSC. Organ może zbadać zakres certyfikacji, aktualność dokumentacji, dowody działania i obszary nieobjęte audytem certyfikacyjnym.
Ile czasu firma ma na zastrzeżenia do protokołu?
Podmiot kontrolowany może odmówić podpisania protokołu i złożyć umotywowane pisemne zastrzeżenia w terminie 7 dni od dnia przedstawienia protokołu do podpisu. Zastrzeżenia powinny wskazywać konkretne ustalenia oraz dowody uzasadniające zmianę.
Czy organ może żądać dokumentów po angielsku w polskim tłumaczeniu?
Organ może wskazać dokumentację sporządzoną w języku obcym, która ma zostać przetłumaczona na język polski. Powinien określić zakres dokumentów, ich związek z kontrolą oraz termin, a koszt tłumaczenia ponosi kontrolowany podmiot.
Czy brak kary do 2028 r. oznacza brak kontroli?
Nie. Przepis przejściowy dotyczący części kar nie zawiesza obowiązków ani kompetencji nadzorczych. Organ może wcześniej kontrolować, żądać dokumentów i dowodów, nakazywać audyt, wydawać zalecenia oraz stosować inne środki przewidziane ustawą.
Czy kontrola może doprowadzić do zawiadomienia UODO?
Tak. Jeżeli podczas nadzoru organ stwierdzi podejrzenie naruszenia ochrony danych osobowych, powinien poinformować Prezesa UODO w terminie 7 dni od stwierdzenia podejrzenia. Jedno zdarzenie może więc uruchomić równolegle działania na gruncie KSC i RODO.
Otrzymali Państwo pismo dotyczące kontroli KSC/NIS2?
Możemy przeanalizować zakres żądania, uporządkować pakiet dokumentów i dowodów, przygotować osoby odpowiedzialne do wyjaśnień oraz wesprzeć firmę przy protokole i działaniach naprawczych. Łączymy reprezentację prawną z praktyczną oceną działania SZBI i wymagań ISO 27001.