Audyt cyberbezpieczeństwa firmy — co zrobisz sam, co zlecisz i kiedy musisz to zrobić

103 449 incydentów — tyle potwierdził CERT Polska w 2024 roku. To o 30 procent więcej niż rok wcześniej. W 2025 roku liczba przekroczyła już 240 tysięcy. Cyberprzestępcy nie pytają, czy Twoja firma jest za mała — boty skanujące sieć nie sprawdzają liczby pracowników. Sprawdzają, czy port jest otwarty i czy hasło jest słabe.

Audyt cyberbezpieczeństwa brzmi jak duże i drogie przedsięwzięcie zarezerwowane dla korporacji. W praktyce to ustrukturyzowane spojrzenie na to, jak Twoja firma jest chroniona i co zrobić, żeby zmniejszyć ryzyko. Można zacząć samemu, jeszcze dziś, bez żadnych narzędzi. Można też zlecić to specjalistom. Jak zdecydować co i kiedy — właśnie o tym jest ten artykuł.

Czym jest audyt cyberbezpieczeństwa i co obejmuje

Audyt cyberbezpieczeństwa to systematyczna ocena stanu zabezpieczeń organizacji: jakie dane posiadasz, jak są chronione, kto ma do nich dostęp i co się dzieje, gdy coś pójdzie nie tak. Zakres audytu obejmuje zarówno kwestie techniczne — konfigurację sieci, aktualność oprogramowania, polityki haseł, backup — jak i organizacyjne: procedury reagowania na incydenty, szkolenia pracowników, umowy z dostawcami.

Audyt nie jest tym samym co test penetracyjny, czyli pentest. Pentest to kontrolowany atak na Twoje systemy, prowadzony przez specjalistów sprawdzających, czy uda im się włamać. Audyt to diagnostyka — inwentaryzacja i ocena stanu bezpieczeństwa. Optymalne podejście dla większości MŚP: najpierw audyt (co mamy i jakie są luki), potem w razie potrzeby pentest (czy luki są realnie wykorzystywalne przez atakującego).

Ważna aktualizacja regulacyjna: 3 kwietnia 2026 roku weszła w życie nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa wdrażająca dyrektywę NIS2. Dla podmiotów kluczowych i ważnych pierwszy obowiązkowy audyt zewnętrzny musi być przeprowadzony do 3 kwietnia 2028 roku, a kolejne co najmniej raz na trzy lata. Brak audytu może się wiązać z karą od 500 zł do 100 tys. zł za każdy dzień opóźnienia.

Co możesz zrobić sam — audyt wewnętrzny w jeden dzień

Audyt wewnętrzny nie wymaga specjalistycznych narzędzi ani wiedzy technicznej na poziomie eksperta. Wymaga czasu, skupienia i gotowości do zadawania trudnych pytań. Oto obszary, które powinieneś sprawdzić w pierwszej kolejności.

Obszar 1 — Hasła i dostęp: Czy wszyscy pracownicy mają unikalny login i hasło do każdego systemu? Czy wdrożone jest uwierzytelnianie dwuskładnikowe MFA przynajmniej na pocztę firmową, VPN i panel administracyjny? Czy byłym pracownikom zostały odebrane wszystkie dostępy? Czy nie ma wspólnych haseł używanych przez kilka osób?

Obszar 2 — Aktualizacje i podatności: Czy wszystkie komputery i serwery mają aktualne systemy operacyjne i poprawki bezpieczeństwa? Czy oprogramowanie używane w firmie jest w aktualnych, wspieranych wersjach? Czy router i firewall mają aktualne oprogramowanie układowe?

Obszar 3 — Backup: Czy firma ma regularne, automatyczne kopie zapasowe kluczowych danych? Czy ostatnio — w ciągu ostatnich trzech miesięcy — testowano przywracanie danych z backupu? Czy przynajmniej jedna kopia danych jest przechowywana poza siecią firmową lub w chmurze? Czy kopia nie jest podłączona do sieci na stałe, co narażałoby ją na zaszyfrowanie przez ransomware?

Obszar 4 — Sieć i firewall: Czy sieć gości jest oddzielona od sieci firmowej? Czy firewall UTM lub NGFW jest skonfigurowany i aktywnie filtruje ruch sieciowy? Sprzętowe rozwiązania sieciowe takie jak FortiGate lub Zyxel pozwolą mieć wgląd w to, co dzieje się w sieci firmy.

Obszar 5 — Ochrona endpoint: Czy wszystkie stacje robocze mają zainstalowane i aktualne oprogramowanie antywirusowe lub EDR? Systemy klasy EDR i XDR idą znacznie dalej niż klasyczny antywirus — wykrywają zagrożenia na podstawie zachowania, nie tylko sygnatur.

Obszar 6 — Procedury i świadomość: Czy pracownicy wiedzą, co robić, gdy podejrzewają phishing lub inny incydent? Czy istnieje procedura zgłaszania incydentów? Kiedy ostatnio przeprowadzano szkolenie z cyberbezpieczeństwa? Platformy szkoleniowe takie jak KnowBe4 czy G DATA Academy pozwolą zmierzyć i poprawić świadomość zespołu.

Kiedy audyt wewnętrzny nie wystarczy — 5 sygnałów

Audyt wewnętrzny jest dobrym punktem startowym, ale ma ograniczenia — głównie wynikające z efektu normalizacji: przyzwyczajamy się do własnych procesów i przestajemy widzieć ich słabości. Zewnętrzny audytor patrzy świeżym okiem i zadaje pytania, które wewnętrzny zespół uznał za oczywiste.

Audyt zewnętrzny jest niezbędny, gdy: firma podlega pod NIS2 lub KSC i jest podmiotem kluczowym lub ważnym — zewnętrzny audyt to obowiązek regulacyjny; firma przetwarza duże ilości danych osobowych, finansowych lub medycznych; doszło do incydentu bezpieczeństwa i chcesz wiedzieć, jak duży był jego zasięg; firma chce uzyskać certyfikat ISO 27001 lub wygrywać przetargi wymagające dowodów bezpieczeństwa; planuje się wdrożenie nowego systemu IT lub przejęcie innej firmy.

Ile kosztuje zewnętrzny audyt cyberbezpieczeństwa? Dla firmy dziesięcio- do pięćdziesięcioosobowej standardowy audyt z raportem i rekomendacjami kosztuje od 3 do 8 tysięcy złotych netto. Pełny audyt z testem socjotechnicznym i symulacją phishingu — od 8 do 15 tysięcy złotych. To ułamek potencjalnych strat po incydencie, gdzie średnia strata MŚP w Polsce wynosi od 25 do 150 tysięcy złotych.

Checklista samooceny — 10 obszarów, TAK lub NIE

Co powinien zawierać raport z audytu

Dobry raport z audytu cyberbezpieczeństwa nie służy do półki. Powinien zawierać: inwentaryzację aktywów IT — listę systemów, urządzeń i danych objętych oceną; ocenę ryzyka — identyfikację luk w zabezpieczeniach z przypisanym poziomem krytyczności; plan działań naprawczych — konkretne zadania z przypisanym właścicielem i terminem realizacji; ocenę zgodności regulacyjnej — czy firma spełnia wymogi NIS2, KSC i RODO.

Jeśli audytor dostarcza raport w stylu ogólnikowych rekomendacji bez priorytetyzacji — to sygnał ostrzegawczy. Raport musi być narzędziem działania, nie dokumentacją do szuflady.

Podsumowanie — zacznij już dzisiaj

Audyt cyberbezpieczeństwa to nie jednorazowe wydarzenie — to cykl. Zacznij od audytu wewnętrznego, używając checklisty z tego artykułu. Zidentyfikuj najważniejsze luki i wdrażaj poprawki. Następnie zleć zewnętrzny audyt, żeby zweryfikować, czy Twoja ocena była kompletna. Jeśli podlegasz pod KSC, pamiętaj o terminie: pierwszy obowiązkowy audyt zewnętrzny do 3 kwietnia 2028 roku.

Chcesz przeprowadzić audyt, ale nie wiesz od czego zacząć? Skontaktuj się z naszymi specjalistami — pomożemy ocenić aktualny stan bezpieczeństwa Twojej firmy i opracować plan naprawczy, który można wdrożyć stopniowo, bez rewolucji w budżecie IT.