NIS2: odpowiedzialność zarządu za cyberbezpieczeństwo nie kończy się na powołaniu działu IT. Audyt i dokumentacja pomagają wykazać realny nadzór nad ryzykiem.
Masz dział IT.
Masz agencje marketingowe.
Myślisz, że masz wszystko pod kontrolą?
Sprawdzimy to.
Dział IT zarządza systemami. Agencje marketingowe zarządzają dostępami. Firma doradcza proponuje infrastrukturę IT. Ale kto to wszystko kontroluje?
Audyt dla Zarządu pokazuje rzeczywistą kontrolę nad bezpieczeństwem IT, danych i dostawców – nie tę, którą zarząd widzi wyłącznie w raportach własnego działu lub usługodawcy.
300%
wynagrodzenia – osobista kara
dla prezesa lub członka zarządu wg NIS2
1 440 549 zł
największa kara UODO
nałożona w Polsce
82%
incydentów zaczyna się
od błędu ludzkiego – nie technicznego
24h
masz tyle czasu na zgłoszenie
incydentu bezpieczeństwa
Twój dział IT chroni systemy. A Ciebie kto ochroni?
Jest zasadnicza różnica między posiadaniem IT a kontrolą nad IT. Sam fakt, że firma ma dział IT, agencję marketingową albo dostawcę usług IT, nie oznacza jeszcze, że zarząd realnie kontroluje bezpieczeństwo. Oznacza tylko, że ktoś obsługuje systemy, ale odpowiedzialność zawsze ponosi zarząd.
Czy Twój dział IT raportuje do Ciebie - czy tylko odpowiada na Twoje pytania?
Raportowanie to regularne, ustrukturyzowane informowanie zarządu o stanie bezpieczeństwa, znanych lukach i incydentach. Odpowiadanie na pytania to zwykle tylko uzasadnianie bieżącej pracy.
Kiedy ostatnio otrzymałeś niezależny raport o stanie bezpieczeństwa IT?
Wewnętrzny dział IT ocenia wyniki własnej pracy. Zewnętrzny audyt pokazuje to, czego własny zespół często nie widzi albo nie komunikuje w języku decyzji zarządczych.
Kto dziś ma dostęp do Twoich systemów - i czy każda z tych osób powinna go nadal mieć?
Przy rotacji pracowników, zmianie agencji albo zakończeniu współpracy z dostawcą dostępy często pozostają aktywne. To nie jest wyłącznie problem IT, ale brak systemowej kontroli nad uprawnieniami.
Twoja agencja marketingowa zarządza kampaniami. Czy ma tylko te uprawnienia, których rzeczywiście potrzebuje?
Agencja potrzebuje dostępu do kampanii i treści, ale nie zawsze powinna mieć uprawnienia administratora do systemów, danych klientów, platform e-commerce czy bazy newsletterowej.
To nie jest problem techniczny.
To jest problem kontroli zarządczej.
Większość problemów związanych z bezpieczeństwem danych i systemów nie wynika wyłącznie z błędów technicznych. Wynika z nieuporządkowanych relacji między zarządem, działem IT, dostawcami i agencjami – oraz z braku systemowej kontroli nad dostępami, odpowiedzialnością i dokumentacją.
Dział IT nie może audytować własnej pracy
Zespół odpowiedzialny za bezpieczeństwo jest jednocześnie podstawowym źródłem informacji o stanie bezpieczeństwa. Zarząd otrzymuje obraz przygotowany przez osoby, których działania powinny podlegać niezależnej weryfikacji.
Dostawcy IT działają także we własnym interesie handlowym
Firmy doradcze i wdrożeniowe rekomendują rozwiązania, na których mogą zarabiać. Bez niezależnej weryfikacji zarząd nie ma narzędzi do oceny, czy kupuje rozwiązanie adekwatne, bezpieczne i rzeczywiście potrzebne.
Podmioty zewnętrzne często mają zbyt szerokie uprawnienia
Agencje marketingowe, software house’y i dostawcy usług regularnie uzyskują uprawnienia szersze niż wymagane. Z perspektywy zarządu kluczowe jest ustalenie, kto ma dostęp, po co i czy nadal powinien go mieć.
Kary nakładane przez Prezesa UODO.
Czy Twoja spółka będzie następna?
Kary nakładane przez Prezesa Urzędu Ochrony Danych Osobowych pokazują, że brak zabezpieczeń, brak weryfikacji dostawców, brak analizy ryzyka lub opóźnione zgłoszenie incydentu mogą mieć wymierny skutek finansowy.
do 300% wynagrodzenia
Co otrzymasz po audycie: Pakiet decyzyjny dla Zarządu
Nie ogólny raport „do wdrożenia kiedyś”, ale zestaw konkretnych materiałów, które zarząd może wykorzystać do podjęcia decyzji, udokumentowania należytego nadzoru i zaplanowania działań naprawczych.
Raport dla Zarządu
Wyniki audytu w języku decyzji - bez żargonu technicznego. Priorytety według stopnia ryzyka. Gotowy do prezentacji radzie nadzorczej lub inwestorom.
Analiza odpowiedzialności osobistej
Prawna ocena ryzyka każdego członka zarządu. Co naraża, co chroni i jakie działania eliminują odpowiedzialność - z odniesieniem do konkretnych przepisów.
Mapa ryzyk dostępowych
Przegląd kluczowych obszarów, w których dostęp do systemów, danych lub narzędzi może tworzyć ryzyko dla spółki i zarządu.
Plan naprawczy 30/60/90 dni
Harmonogram działań z przypisanymi właścicielami i mierzalnym efektem każdego kroku. Zaprojektowany tak, by zarząd mógł monitorować realizację.
Procedury onboarding i offboarding IT
Gotowe checklisty dla działu kadr i IT. Formalna procedura nadawania i odbierania dostępów - ze ścieżką dokumentacji i archiwizacji.
Konsultacja wdrożeniowa
2 godziny z ekspertem po dostarczeniu raportu. Odpowiedzi na pytania zarządu. Opcjonalnie: prezentacja dla rady nadzorczej lub inwestorów.
Zakres i wycena
Wybierz zakres dopasowany do aktualnej sytuacji organizacji. Dokładna wycena może zostać potwierdzona po krótkiej rozmowie diagnostycznej i określeniu liczby systemów, dostawców oraz poziomu złożoności organizacji.
Diagnoza Zarządu
Wiesz, że masz ryzyko. Nie wiesz jeszcze, gdzie leży i co zrobić najpierw. Diagnoza to odpowiedź na to pytanie – w 2 tygodnie, bez angażowania działu IT.
- Audyt RODO i dokumentacji bezpieczeństwa
- Weryfikacja procedur onboarding i offboarding
- Raport dla Zarządu z priorytetami ryzyk
- Analiza odpowiedzialności osobistej zarządu
- Szkic priorytetów naprawczych
- 1 godzina konsultacji po raporcie
- Mapa ryzyk dostępowych – pracownicy i podmioty zewnętrzne Pełny Audyt
- Weryfikacja umów z dostawcami IT i agencjami Pełny Audyt
- Niezależna ocena oferty lub infrastruktury IT Pełny Audyt
- Procedury onboarding i offboarding IT (gotowe dokumenty) Pełny Audyt
- Plan naprawczy 30/60/90 dni z właścicielami zadań Pełny Audyt
- Audyt zgodny z ISO 27001 – dokument dla kontrahentów Pełny Audyt
Diagnoza nie zastępuje pełnego audytu – pokazuje, gdzie leżą Twoje największe ryzyka i jakie decyzje wymagają priorytetu. Większość klientów przechodzi na Pełny Audyt lub Compliance Partner po otrzymaniu raportu.
Pobierz próbkę audytu →Pełny Audyt Zarządu
Kompletna weryfikacja bezpieczeństwa IT, danych i dostawców – realizowana zgodnie z normą ISO 27001. Dokument, który możesz pokazać kontrahentom, inwestorom i radzie nadzorczej.
- Pełny audyt: cyberbezpieczeństwo, RODO, NIS2 – zgodny z ISO 27001
- Mapa ryzyk dostępowych – pracownicy i podmioty zewnętrzne
- Weryfikacja umów z dostawcami IT i agencjami
- Niezależna ocena oferty lub infrastruktury IT
- Raport dla Zarządu z mapą ryzyk dostępowych
- Analiza odpowiedzialności każdego członka zarządu
- Procedury onboarding i offboarding IT (gotowe dokumenty)
- Plan naprawczy 30/60/90 dni z właścicielami zadań
- 2 godziny konsultacji i prezentacja wyników dla zarządu
- Nadzór nad wdrożeniem planu naprawczego Compliance Partner
- Wdrożenie systemu bezpieczeństwa informacji (ISMS) Compliance Partner
- Bieżące wsparcie RODO i cyberbezpieczeństwa Compliance Partner
- Wsparcie przy incydentach bezpieczeństwa Compliance Partner
- Roczny przegląd audytowy i monitoring zmian regulacyjnych Compliance Partner
Audyt identyfikuje ryzyka i dostarcza plan działania. Jeśli zależy Ci na tym, żeby ktoś pilnował wdrożenia i reagował na bieżąco – Compliance Partner daje to w abonamencie.
Pobierz próbkę audytu →Compliance Partner
Pełny audyt, wdrożenie systemu bezpieczeństwa informacji i stały nadzór – w jednym abonamencie. Nie zostajesz z raportem sam. My pilnujemy, żeby to działało.
Pełny Audyt Zarządu w cenie abonamentu – bez dodatkowej opłaty na starcie.
- Pełny Audyt Zarządu (ISO 27001) na starcie współpracy – bez dopłaty
- Wdrożenie systemu bezpieczeństwa informacji (ISMS)
- Nadzór nad realizacją planu naprawczego 30/60/90 dni
- Niezależna weryfikacja ofert IT przed podpisaniem umowy
- Bieżące wsparcie RODO i cyberbezpieczeństwa
- Wsparcie przy incydentach bezpieczeństwa
- Monitoring zmian regulacyjnych NIS2 i RODO
- Roczny przegląd audytowy
Większość klientów trafia tu po Diagnozie lub Pełnym Audycie – kiedy widzą, że samo zidentyfikowanie ryzyk to za mało i potrzebują kogoś, kto dopilnuje wdrożenia. Minimalny okres współpracy: 12 miesięcy.
Pobierz próbkę audytu →
Od pierwszego kontaktu do gotowego raportu -
cztery tygodnie.
Audyt realizowany jest zdalnie i nie wymaga ingerencji w kod źródłowy ani infrastrukturę. Angażuje zarząd tylko tam, gdzie konieczna jest decyzja, wyjaśnienie priorytetów lub potwierdzenie sposobu działania organizacji.
Rozmowa diagnostyczna
Krótka rozmowa w celu ustalenia sytuacji organizacji, liczby systemów, dostawców, priorytetów zarządu oraz potencjalnych obszarów ryzyka.
Audyt techniczno-prawny
Analiza dokumentacji, rozmowy z kluczowymi osobami, weryfikacja dostępów, dostawców, procedur oraz sposobu raportowania bezpieczeństwa do zarządu.
Raport i dokumenty
Przygotowanie raportu zarządczego, mapy ryzyk, rekomendacji, planu naprawczego oraz materiałów potrzebnych do udokumentowania działań.
Konsultacja i decyzje
Omówienie wyników z zarządem, odpowiedzi na pytania, uporządkowanie priorytetów i wskazanie pierwszych decyzji do podjęcia po audycie.
Prawnik + specjalista IT + audytor ISO 27001 - razem, nie osobno
Najczęstsze pytania zarządów
Poniżej znajdziesz odpowiedzi na pytania, które najczęściej pojawiają się przed rozpoczęciem audytu zarządczego bezpieczeństwa IT, danych i dostawców.
Tak, ponieważ obowiązki związane z bezpieczeństwem danych i dokumentacją wynikają nie tylko z NIS2, ale również z RODO, umów z kontrahentami, wymagań klientów enterprise oraz zasad należytej staranności zarządu. Dodatkowo wiele firm będzie ocenianych jako element łańcucha dostaw większych podmiotów.
Standardowy audyt trwa zwykle 2-4 tygodnie. Ceny zależą od zakresu, liczby procesów, systemów i lokalizacji objętych analizą. Wycena jest przygotowywana po krótkiej rozmowie diagnostycznej.
Przepisy dotyczące cyberbezpieczeństwa i ochrony danych przewidują odpowiedzialność organizacji oraz dodatkowo prywatną odpowiedzialność osób zarządzających za brak odpowiednich środków technicznych, organizacyjnych i dokumentacyjnych. Audyt pomaga ustalić, gdzie ryzyko jest realne i jakie działania należy podjąć w pierwszej kolejności.
Tak. Jednym z kluczowych obszarów jest weryfikacja podmiotów zewnętrznych: agencji marketingowych, dostawców IT, software house’ów, usług SaaS i innych firm mających dostęp do danych, systemów lub paneli administracyjnych.
Standardowo audyt trwa około 3–4 tygodni. Dokładny termin zależy od liczby systemów, dostawców, dokumentów, osób zaangażowanych po stronie organizacji oraz zakresu weryfikacji technicznej i prawnej.
Zarząd otrzymuje raport zarządczy, analizę odpowiedzialności, mapę dostępów i uprawnień, plan naprawczy 30/60/90 dni oraz rekomendacje dotyczące procedur i dokumentacji. Zakres dokumentów zależy od wybranego pakietu.
Nie. Próbka audytu służy temu, aby pokazać styl pracy, strukturę raportu i poziom konkretu, jakiego może oczekiwać zarząd. Dopiero po zapoznaniu się z materiałem możesz zdecydować, czy chcesz przejść do rozmowy diagnostycznej.
Gotowy sprawdzić ryzyka swojej firmy?
Legal Check IT Sp. z o.o.
KRS: 0001181920
NIP: 6343057729