Kto musi przeprowadzić cykliczny audyt?

Podmioty kluczowe mają obowiązek zapewnić przeprowadzenie, na własny koszt, co najmniej raz na 3 lata, audytu bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi. Musi on być przeprowadzony przez podmiot posiadający odpowiednią akredytację, dwóch audytorów legitymujących się odpowiednimi certyfikatami i doświadczeniem lub przez CSIRT sektorowy. Audyty na zgodność należy rozumieć jako przeprowadzane na zgodność z przepisami ustawy. Audyt może być audytem wewnętrznym lub zewnętrznym. Audyt powinien dotyczyć całego systemu informacyjnego wykorzystywanego przez dany podmiot, a nie jedynie jego części związanych z konkretną usługą. Wynika to z tego, że dzięki powiązaniom między poszczególnymi systemami można poprzez inne elementy systemu wpłynąć na kluczową działalność danego podmiotu.

Podmioty ważne nie mają obowiązku przeprowadzenia cyklicznego audytu.