Rozdział 9. Audyty bezpieczeństwa systemu informacyjnego

Podmioty kluczowe mają obowiązek zapewnić przeprowadzenie, na własny koszt, co najmniej raz na 3 lata, audytu bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi. Musi on być przeprowadzony przez podmiot posiadający odpowiednią akredytację, dwóch audytorów legitymujących się odpowiednimi certyfikatami i doświadczeniem lub przez CSIRT sektorowy. Audyty na zgodność należy rozumieć jako przeprowadzane na zgodność z przepisami ustawy. Audyt może być audytem wewnętrznym lub zewnętrznym. Audyt powinien dotyczyć całego systemu informacyjnego wykorzystywanego przez dany podmiot, a nie jedynie jego części związanych z konkretną usługą. Wynika to z tego, że dzięki powiązaniom między poszczególnymi systemami można poprzez inne elementy systemu wpłynąć na kluczową działalność danego podmiotu.

Podmioty ważne nie mają obowiązku przeprowadzenia cyklicznego audytu.

Audyt może być przeprowadzony przez:

• 1)
  jednostkę oceniającą zgodność, akredytowaną w zakresie właściwym do podejmowanych ocen bezpieczeństwa systemów informacyjnych;
• 2)

  co najmniej dwóch audytorów posiadających:

  • a)
    certyfikaty określone w rozporządzeniu Ministra Cyfryzacji lub
  • b)
    co najmniej trzyletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych, lub
  • c)
    co najmniej dwuletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych i legitymujących się dyplomem ukończenia studiów podyplomowych w zakresie audytu bezpieczeństwa systemów informacyjnych, wydanym przez jednostkę organizacyjną, która w dniu wydania dyplomu była uprawniona, zgodnie z odrębnymi przepisami, do nadawania stopnia naukowego doktora nauk ekonomicznych, technicznych lub prawnych;
• 3)
  CSIRT sektorowy.

Następujące certyfikaty uprawniają do przeprowadzenia audytu:

1 Certified Internal Auditor (CIA);

2 Certified Information System Auditor (CISA);

3 Certyfikat audytora wiodącego systemu zarządzania bezpieczeństwem informacji według normy PN-EN ISO/IEC 27001 wydany przez jednostkę oceniającą zgodność, akredytowaną, w zakresie certyfikacji osób;

4 Certyfikat audytora wiodącego systemu zarządzania ciągłością działania PN-EN ISO 22301 wydany przez jednostkę oceniającą zgodność, akredytowaną zgodnie z przepisami ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, w zakresie certyfikacji osób;

5 Certified Information Security Manager (CISM);

6 Certified in Risk and Information Systems Control (CRISC);

7 Certified in the Governance of Enterprise IT (CGEIT);

8 Certified Information Systems Security Professional (CISSP);

9 Systems Security Certified Practitioner (SSCP);

10 Certified Reliability Professional;

11 Certyfikaty uprawniające do posiadania tytułu ISA/IEC 62443 Cybersecurity Expert.

Nie, audyt nie może być przeprowadzony przez osobę, która w tym samym podmiocie realizuje lub wcześniej realizowała zadania z zakresu SZBI oraz zgłaszania incydentów przez rok przed rozpoczęciem audytu.

Dotychczasowi operatorzy usług kluczowych przeprowadzają audyt bezpieczeństwa systemu informacyjnego wykorzystywanego w procesie świadczenia usługi zgodnie z zasadą określoną w art. 15 ust. 1, tj. co najmniej raz na 3 lata, licząc od dnia sporządzenia i podpisania raportu z ostatniego audytu.

Jednocześnie, zgodnie z przepisem przejściowym (art. 25), co do operatorów usług kluczowych, którzy wykonali audyt przed wejściem w życie nowelizacji ustawy, nie stosuje się obowiązku przeprowadzenia pierwszego audytu w terminie 24 miesięcy, o którym mowa w art. 16 pkt 2.

Oznacza to, że w ich przypadku zachowany zostaje dotychczasowy cykl audytowy. Przykładowo, jeżeli operator przeprowadził audyt w maju 2024 r., kolejny audyt powinien zostać przeprowadzony najpóźniej w maju 2027 r.

Jeżeli zgodnie z cyklem audytowym audyt wypada w trakcie okresu dostosowawczego to audyt obejmie realizację wymogów dotychczasowego systemu zarządzania bezpieczeństwem informacji – sprzed nowelizacji.

Dotychczasowi operatorzy usług kluczowych przeprowadzają pierwszy audyt w terminie 3 lat od dnia sporządzenia i podpisania ostatniego raportu z audytu.