KSC
Ustawa o krajowym systemie cyberbezpieczeństwa
Znowelizowana ustawa (Dz.U. 2026 poz. 252): system zarządzania bezpieczeństwem, obsługa i zgłaszanie incydentów, obowiązki kierownika podmiotu.
SelfAudyt ZeroLayer, samoocena zgodności online
Sprawdź zgodność z KSC, NIS2 i RODO, zanim zapyta o nią audytor
Odpowiadasz na pytania o zabezpieczenia, procedury i dokumenty. Na końcu dostajesz wynik dla każdej regulacji, rejestr ryzyk i plan naprawczy z terminami.
Obejmuje
- KSC
- NIS2
- RODO
- ISO 27001
- Odwołania do przepisówPrzy pytaniach artykuł, z którego wynika wymóg
- Raport PDF i XLSXSkrót dla zarządu, szczegóły dla IT
Wynik audytuPrzykładowe dane
64%
Poziom dojrzałości
Rozwijający się
3 z 5 poziomów
- RODO78%
- NIS261%
- KSC55%
- ISO 2700166%
Najważniejsze luki
- Brak procedury zgłaszania incydentów do CSIRTKrytyczny
- Kopie zapasowe bez testu odtworzeniaWysoki
- Brak oceny bezpieczeństwa dostawców ITŚredni
Luki wychodzą na jaw w najgorszym momencie
Zwykle podczas kontroli, po incydencie albo wtedy, gdy kluczowy klient przysyła ankietę bezpieczeństwa. Na uzupełnianie dokumentów i zabezpieczeń zostaje wtedy najmniej czasu.
Obowiązki ze znowelizowanej ustawy o KSC trzeba wdrożyć do 3 kwietnia 2027 r. Kary dla kierownika podmiotu (art. 73a) mogą być nakładane od 3 kwietnia 2028 r.
- Nie wiadomo, od czego zacząć. Wymagania są rozrzucone po ustawie, dyrektywie, RODO i normie.
- Arkusz z wymaganiami żyje własnym życiem. Każdy dział ma swoją wersję i nikt nie odpowiada za całość.
- Zarząd pyta, ile brakuje do zgodności, a dostaje listę technicznych skrótów.
- Audyt zewnętrzny na pierwszym podejściu wytyka rzeczy, które dało się znaleźć samemu.
Od pierwszego pytania do planu naprawczego
Zwykle od 30 do 90 minut, zależnie od tego, ile regulacji Cię dotyczy. Bez instalacji, w przeglądarce.
- 1
Klasyfikacja podmiotu
Kilka pytań o sektor, wielkość i profil działalności. SelfAudyt ustala, które regulacje Cię dotyczą, i włącza tylko te moduły pytań.
- 2
Pytania audytowe
Odpowiadasz: tak, częściowo, nie albo nie dotyczy. Pytania mają wagi i odwołania do przepisów. Przy części z nich odpowiedź „nie” lub „częściowo” otwiera pytania doprecyzowujące.
- 3
Wynik i ryzyka
Wynik ogólny, dla każdej regulacji i obszaru. Każda luka trafia do rejestru ryzyk z oceną na matrycy 5×5.
- 4
Plan naprawczy
Działania szybkie, krótkoterminowe i długoterminowe, z terminami. Przypisujesz je osobom z zespołu i śledzisz postęp.
Praca w zespole
- Zaproś do organizacji osoby z IT, inspektora ochrony danych i kadry
- Role: właściciel, administrator, członek zespołu
- Każdy widzi swoje zadania z planu naprawczego
- Odpowiedzi zapisują się co 30 sekund, możesz przerwać i wrócić
Wypróbuj: Twój mini-audyt w 3 minuty
Tak działa SelfAudyt, tylko krócej. Ustal, które regulacje Cię dotyczą, odpowiedz na kilka pytań i zobacz własne ryzyka, plan naprawczy i podsumowanie dla zarządu.
Kogo dotyczy audyt?
RODO Ochrona danych osobowych
WłączonyKażda organizacja przetwarza co najmniej dane pracowników.
NIS2 Dyrektywa NIS2
WłączonySektor z załączników i organizacja powyżej progu małego przedsiębiorcy.
KSC Ustawa o KSC
WłączonySektor z załączników i organizacja powyżej progu małego przedsiębiorcy.
ISO 27001 ISO/IEC 27001:2022
PominiętyModuł włączysz, jeśli zaplanujesz certyfikację.
Uproszczony przykład. Klasyfikator w aplikacji pyta też o obrót i usługi krytyczne. Nie zastępuje analizy prawnej.
Raport, z którego skorzysta i zarząd, i administrator
Ten sam audyt daje dwa widoki: krótki dla zarządu i szczegółowy dla zespołu, który będzie zamykać luki.
Kolejne audyty porównasz na wykresie, np. co kwartał, i pokażesz zarządowi postęp.
Poziom dojrzałości
Rozwijający się
Regulacje
- RODO78%
- NIS261%
- KSC55%
- ISO 2700166%
Obszary
- Zarządzanie70%
- Procesy52%
- Technika64%
- Ludzie48%
- Dokumentacja81%
Pięć poziomów dojrzałości
- Zaawansowanyod 95%
- Zgodnyod 80%
- Rozwijający sięod 60%
- Niewystarczającyod 40%
- Krytycznyod 0%
Co dalej po pierwszym audycie
Wynik to dopiero punkt wyjścia. Te funkcje pomagają przygotować się do kontroli i utrzymać zgodność w kolejnych miesiącach.
Przygotowanie do kontroli
Wybierasz rodzaj kontroli (UODO, NIS2 i CSIRT, ISO 27001 albo KSC) i jej datę. Dostajesz odliczanie dni, checklistę audytora, luki do zamknięcia i ocenę gotowości.
Symulacja rozmowy z audytorem
Pytania, które może zadać audytor, z przykładową odpowiedzią i wskazówkami, jakie dokumenty mieć pod ręką.
Matryca priorytetów i harmonogram
Działania naprawcze na osi nakład pracy i redukcja ryzyka, a potem na osi czasu: 14, 90 i 365 dni. Widać, co zrobić najpierw.
Re-audyt częściowy
Nowy audyt startuje z odpowiedziami z poprzedniego. Poprawiasz tylko to, co się zmieniło.
Cykliczne powtórki
Ustawiasz, co ile dni wracasz do audytu, a aplikacja pokazuje termin następnego. Kolejny audyt porównasz z poprzednim na wykresie.
Własne pytania
Dodajesz pytania z wewnętrznych polityk albo wymagań klientów. W audycie mają oznaczenie „Własne”.
Porównanie z branżą
Twój wynik na tle mediany sektora i percentyl. Porównanie jest anonimowe i pojawia się, gdy w bazie są wyniki z Twojego sektora.
Widok holdingowy
Spółki z grupy na jednym ekranie: wynik każdej z nich, średnia grupy, łączna szacowana ekspozycja na kary i raport PDF.
Wypróbuj: przygotowanie do kontroli
Wybierz rodzaj kontroli, odhacz, co już masz, i zobacz pytanie, które może paść na rozmowie z audytorem.
Do kontroli
30 dni
Gotowość
40%
Checklista audytora
Symulacja rozmowy
„Kiedy kierownik podmiotu przeszedł ostatnie szkolenie z cyberbezpieczeństwa i jak to udokumentowano?”
W aplikacji odpowiedź zawiera miejsca na Wasze dane, np. daty i nazwy procesów.
Cztery regulacje w jednym audycie
Wymagania często się pokrywają: analiza ryzyka, incydenty, kopie zapasowe, szkolenia. Odpowiadasz raz, a wynik liczy się dla każdej regulacji, która Cię dotyczy.
NIS2
Dyrektywa (UE) 2022/2555
Środki zarządzania ryzykiem z art. 21, zgłaszanie incydentów z art. 23 i odpowiedzialność organów zarządzających z art. 20.
RODO
Rozporządzenie (UE) 2016/679
Rejestr czynności przetwarzania (art. 30), umowy powierzenia (art. 28), bezpieczeństwo przetwarzania (art. 32) i zgłaszanie naruszeń organowi nadzorczemu w ciągu 72 godzin (art. 33).
ISO 27001
ISO/IEC 27001:2022
Wymagania systemu zarządzania bezpieczeństwem informacji i zabezpieczenia z załącznika A. Przydaje się przed audytem certyfikacyjnym.
Klasyfikator na starcie wyłącza moduły, które Cię nie dotyczą, więc nie odpowiadasz na zbędne pytania.
Dla kogo jest SelfAudyt
Dla każdego, kto musi odpowiedzieć na pytanie, ile organizacji brakuje do zgodności, i nie chce zaczynać od pustego arkusza.
Firmy bez działu compliance
Dostajesz listę działań w kolejności, w jakiej warto je robić, zamiast kilkudziesięciu stron przepisów.
IT i bezpieczeństwo
Szczegółowe pytania techniczne, rejestr ryzyk i plan, który da się rozdzielić na zadania.
Prawnicy i inspektorzy ochrony danych
Pytania mają odwołania do przepisów, a moduł RODO sprawdza rejestr czynności, umowy powierzenia i zgłaszanie naruszeń.
Zarząd
Jeden wynik, największe ryzyka i decyzje do podjęcia. W podmiotach kluczowych i ważnych za cyberbezpieczeństwo odpowiada kierownik (art. 8c ustawy o KSC).
Grupy kapitałowe
Każda spółka robi własny audyt, a zarząd grupy widzi wszystkie wyniki i łączną ekspozycję w jednym widoku.
Samorządy i jednostki publiczne
Starostwa, urzędy gmin i jednostki podległe. Sprawdzisz, co już macie i co trzeba uzupełnić do 3 kwietnia 2027 r.
Granice samooceny
Wynik pokazuje, jak organizacja sama ocenia swoje zabezpieczenia i dokumenty. Nie zastępuje audytu zewnętrznego, analizy prawnej ani certyfikacji ISO/IEC 27001. Pozwala za to zamknąć oczywiste luki przed audytem i mieć plan dla pozostałych.
Gdy przyjdzie czas na ocenę z zewnątrz, zespół ZeroLayer prowadzi audyty i usługi vCISO. Zobacz usługi ZeroLayer.
Z bloga
Jak przygotować dokumenty i procesy, które sprawdza samoocena i o które pyta audytor.
Zgodność
Audyt RODO krok po kroku: co sprawdzić przed audytorem i kontrolą UODO
Audyt RODO krok po kroku: 12 obszarów z przepisami, dowodami i planem naprawczym oraz to, co ustawa mówi o przebiegu kontroli UODO.
12 min czytania
Zgodność
Macierz ryzyka 5×5 i rejestr ryzyka: jak ocenić ryzyko w bezpieczeństwie informacji
Macierz ryzyka 5×5 w bezpieczeństwie informacji: skale prawdopodobieństwa i skutku, progi akceptacji, rejestr ryzyka z przykładem i wymogi KSC, NIS2, RODO.
11 min czytania
Zgodność
Plan ciągłości działania (BCP) i plan odtwarzania po awarii (DRP): co wpisać i czego wymaga NIS2
Plan ciągłości działania i plan odtwarzania po awarii: czym się różnią, co wpisać, jak testować i czego wymagają NIS2, ustawa o KSC i RODO w 2026 r.
12 min czytania
Najczęściej zadawane pytania
Nie ma tu Twojego pytania? Zadaj je na prezentacji albo napisz do nas.
Czym jest SelfAudyt?
To samodzielna ocena zgodności (ang. self-assessment). Organizacja odpowiada na uporządkowane pytania o zabezpieczenia, procedury i dokumenty, a narzędzie liczy wynik, wskazuje luki i układa plan naprawczy. W odróżnieniu od audytu zewnętrznego robisz to we własnym tempie, bez audytora.
Czy SelfAudyt zastępuje audyt zewnętrzny albo certyfikację ISO 27001?
Nie. SelfAudyt to samoocena: pokazuje, jak organizacja sama ocenia swoje zabezpieczenia. Nie jest opinią audytora, analizą prawną ani certyfikatem. Pomaga przygotować się do audytu, zamknąć oczywiste luki i zebrać dokumenty, o które zapyta audytor.
Ile trwa SelfAudyt?
To zależy od tego, ile regulacji Cię dotyczy i czy odpowiedzi znasz od ręki. Nie musisz robić wszystkiego naraz: odpowiedzi zapisują się automatycznie co 30 sekund, więc możesz przerwać i wrócić. Do pracy możesz zaprosić osoby z zespołu.
Skąd wiem, które regulacje mnie dotyczą?
SelfAudyt zaczyna się od klasyfikatora: sektor, liczba pracowników, obrót, przetwarzanie danych osobowych, usługi krytyczne i certyfikacja ISO 27001 (posiadana lub planowana). Na tej podstawie włącza odpowiednie moduły. O tym, czy organizacja jest podmiotem kluczowym lub ważnym, decydują kryteria z ustawy. Klasyfikator pomaga je wstępnie sprawdzić, ale nie zastępuje analizy prawnej.
Co dostanę po zakończeniu?
Wynik w procentach dla całej organizacji, każdej regulacji i każdego obszaru, poziom dojrzałości, rejestr ryzyk na matrycy 5×5 i plan naprawczy z terminami. Raport eksportujesz do PDF (pełny i podsumowanie dla zarządu) oraz do XLSX.
Czy SelfAudyt pomaga przygotować się do kontroli UODO albo audytu NIS2?
Tak. Po zakończonym audycie wybierasz rodzaj kontroli (UODO, NIS2 i CSIRT, ISO 27001 albo KSC) i jej termin. Dostajesz checklistę dokumentów, o które zwykle pyta audytor, listę luk do zamknięcia przed kontrolą i symulację rozmowy z przykładowymi odpowiedziami. To przygotowanie, nie gwarancja wyniku kontroli.
Gdzie są przechowywane nasze odpowiedzi?
Odpowiedzi przechowujemy na serwerach w Polsce.
Czy mogę powtarzać SelfAudyt?
Tak. Każdy audyt to osobna sesja, a wyniki kolejnych sesji porównasz na wykresie trendu. Re-audyt częściowy kopiuje odpowiedzi z poprzedniej sesji, więc poprawiasz tylko to, co się zmieniło. Dobrze sprawdza się rytm kwartalny albo powtórka po większej zmianie w organizacji.
Zobacz SelfAudyt na przykładzie Twojej organizacji
Pokażemy klasyfikator, pytania i przykładowy raport. Rozmowa jest bezpłatna i do niczego nie zobowiązuje.
- Wstępna klasyfikacja: KSC, NIS2, RODO, ISO 27001
- Przykładowy raport dla zarządu
- Odpowiedzi na pytania o wdrożenie