Оператор основної послуги повинен перевірити дієвість заходів безпеки аудитом кібербезпеки протягом двох років від дня внесення до реєстру; аудит проводить сертифікований аудитор, а підсумковий звіт потрібно подати управлінню протягом 30 днів. Поза межами перехідних правил до кінця 2026 року замінити аудит самооцінюванням через єдину інформаційну систему може лише той, хто не надає критичної основної послуги, і навіть він мусить пройти аудит протягом п’яти років від внесення. Аудит повторюється також після кожної зміни, що має істотний вплив на заходи безпеки.
Після реєстрації в Національному управлінні безпеки увага компаній зосереджується на заходах безпеки та документації. Закон № 69/2018 Z. z. про кібербезпеку, однак, передбачає також, що їхню дієвість хтось незалежно перевірить. Чи має це бути зовнішній аудит, чи достатньо самооцінювання, залежить від того, чи надаєте ви критичну основну послугу.
Основне правило: аудит протягом двох років
Аудит кібербезпеки — це, відповідно до закону, перевірка виконання обов’язків і оцінка того, чи відповідають вжиті заходи безпеки вимогам закону та пов’язаних приписів. Строк є твердим:
Оператор основної послуги зобов’язаний перевірити дієвість вжитих заходів безпеки та виконання вимог, установлених цим законом, шляхом проведення аудиту кібербезпеки протягом двох років від дня внесення оператора основної послуги до реєстру операторів основної послуги.
Одноразовим аудитом обов’язок не вичерпується. Аудит потрібно повторити після кожної зміни, яка має істотний вплив на реалізовані заходи безпеки, а також у часовому інтервалі, який визначає підзаконний акт управління (§ 29 ч. 2). Проводить його сертифікований аудитор кібербезпеки (§ 29 ч. 3); звичайна внутрішня перевірка силами IT-відділу його не замінить. Витрати несе оператор.
Коли достатньо самооцінювання
Той, хто не надає критичної основної послуги, може у зазначений строк замінити аудит самооцінюванням через єдину інформаційну систему кібербезпеки. Самооцінювання проводить менеджер кібербезпеки, тобто особа, незалежна від управління експлуатацією та розвитком IT (§ 20 ч. 4 літ. a) і § 29 ч. 8). Однак навіть на цьому шляху зовнішнього аудиту повністю не уникнути. Такий оператор мусить пройти аудит протягом п’яти років від внесення до реєстру, а потім із періодичністю за підзаконним актом.
Критичною основною послугою є, наприклад, діяльність у секторі за додатком № 1 до закону, крім сектору публічної адміністрації, якщо її здійснює компанія, що перевищує межі середнього підприємства, а також послуга DNS чи кваліфікована довірча послуга (§ 18 ч. 1). Той, хто таку послугу надає, мусить повідомити про це управління, і самооцінювання йому не допоможе. Тому перед вибором шляху перевірте, як саме вас внесено до реєстру.
Підсумковий звіт і що з ним відбувається
Протягом 30 днів від завершення аудиту ви подаєте управлінню підсумковий звіт разом із заходами для усунення недоліків і строками їх усунення (§ 29 ч. 5). Останній підсумковий звіт є водночас обов’язковою частиною документації з безпеки (§ 4 ч. 1 літ. g) Постанови № 227/2025 Z. z.). Управління може будь-коли провести власний аудит або замовити його в сертифікованого аудитора, і то власним коштом (§ 29 ч. 6 і 7). Якщо управління виявить недоліки, воно може покласти на вас обов’язок провести аудит і виконати його рекомендації у визначений строк (§ 29j ч. 1 літ. a)).
Перехідний період до кінця 2026 року
Компанії, які були операторами основної послуги ще до 1 січня 2025 року і які закон тепер вважає операторами критичної основної послуги, можуть до 31 грудня 2026 року проводити аудит за приписами, чинними до кінця 2024 року (§ 34b ч. 7). Для першої та другої категорій мереж та інформаційних систем закон допускає, щоб аудит, строк якого настає у 2025 та 2026 роках, було замінено самооцінюванням (§ 34b ч. 8). Після цієї дати діють уже тільки нові правила.
Що загрожує і що ми рекомендуємо
Непроведення аудиту чи самооцінювання або неподання підсумкового звіту є адміністративним правопорушенням зі штрафом від 300 євро до 500 000 євро; так само оцінюється невиконання заходів для усунення недоліків за результатами аудиту (§ 31 ч. 1 літ. f) і g)). Тому запишіть строк аудиту одразу після внесення до реєстру та врахуйте, що аудитор перевірятиме також актуальність документації.
Ми оцінимо, чи поширюється на вас обов’язковий аудит або самооцінювання, і підготуємо правову частину документації так, щоб вона витримала перевірку аудитором, у межах послуги NIS2 та кібербезпека. Чи належите ви до операторів основної послуги, ми пояснюємо у відповіді чи поширюється на нас NIS2, а порядок дій під час інциденту — у відповіді кому і в який строк повідомляти про кібератаку.
Ця відповідь містить загальну інформацію про законодавство станом на 12 вересня 2026 р. Вона не є юридичною послугою та не замінює оцінювання конкретної справи. Обставини вашої ситуації можуть відрізнятися. Забронюйте консультацію, щоб обговорити їх.
