Kiedy dotychczasowi operatorzy usług kluczowych mają obowiązek przeprowadzić audyt?

Dotychczasowi operatorzy usług kluczowych przeprowadzają audyt bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi zgodnie z zasadą określoną w art. 15 ust. 1, tj. co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z ostatniego audytu.

Jednocześnie, zgodnie z przepisem przejściowym (art. 25), co do operatorów usług kluczowych, którzy wykonali audyt przed wejściem w życie nowelizacji ustawy, nie stosuje się obowiązku przeprowadzenia pierwszego audytu w terminie 24 miesięcy, o którym mowa w art. 16 pkt 2.

Oznacza to, że w ich przypadku zachowany zostaje dotychczasowy cykl audytowy. Przykładowo, jeżeli operator przeprowadził audyt w maju 2024 r., kolejny audyt powinien zostać przeprowadzony najpóźniej w maju 2027 r.

Jeżeli zgodnie z cyklem audytowym audyt wypada w trakcie okresu dostosowawczego to audyt obejmie realizację wymogów dotychczasowego systemu zarządzania bezpieczeństwem informacji – sprzed nowelizacji.