Audyt zerowy i ustawowy audyt bezpieczeństwa odpowiadają na inne potrzeby. Audyt zerowy (analiza GAP) ma wcześnie wykryć luki, ustalić ryzyko i przygotować plan wdrożenia. Ustawowy audyt KSC jest formalnym mechanizmem oceny wykonywanym w przypadkach i terminach wynikających z przepisów oraz przez podmioty spełniające wymagania ustawowe. Wykonanie analizy GAP nie zastępuje ustawowego audytu, ale może przygotować organizację do późniejszej formalnej oceny.
Materiał edukacyjny
Opis audytu ustawowego (podmioty zobowiązane, terminy, częstotliwość, wymagania wobec audytorów) należy potwierdzić w aktualnych przepisach. Materiał nie stanowi opinii prawnej ani deklaracji, że dany wykonawca posiada uprawnienia do przeprowadzenia audytu ustawowego.
Odpowiedź bezpośrednia
Audyt zerowy / GAP służy ustaleniu stanu wyjściowego i zaplanowaniu wdrożenia — jest dobrowolny i biznesowy. Ustawowy audyt KSC jest formalnym mechanizmem oceny, wykonywanym zgodnie z przepisami i przez wykonawców spełniających wymagania ustawy. Analiza GAP nie zastępuje audytu ustawowego, ale zwykle jest najlepszym sposobem, by się do niego przygotować.
Najważniejsze różnice
| Kryterium | Audyt zerowy / GAP | Ustawowy audyt KSC |
|---|---|---|
| Cel | diagnoza i plan poprawy | formalna ocena spełnienia obowiązków |
| Obowiązek | dobrowolny, biznesowy | wynikający z przepisów i statusu podmiotu |
| Moment | przed lub w trakcie wdrożenia | zgodnie z ustawą i statusem podmiotu |
| Zakres | dopasowany do potrzeb i ryzyka | wynikający z obowiązujących wymagań |
| Wykonawca | dobierany do celu analizy | musi spełniać wymagania ustawowe |
| Rezultat | rejestr luk, ryzyk i roadmapa | sprawozdanie/raport zgodny z wymaganiami |
| Relacja | przygotowuje do programu | nie zastępuje wdrożenia |
Co obejmuje dobry audyt zerowy
- przegląd procesów, technologii i dowodów działania, nie tylko dokumentów,
- badanie próbek operacyjnych i technicznych,
- rejestr luk z ryzykiem, właścicielem i priorytetem,
- rozdzielenie „brak dokumentu” od „nieskuteczny proces”,
- roadmapę działań powiązaną z ryzykiem i terminami.
Kiedy wykonać audyt zerowy
- gdy organizacja nie zna stanu wyjściowego,
- przed przygotowaniem pełnego budżetu,
- przed zakupem technologii,
- przed budową dokumentacji,
- po zmianie zakresu, struktury lub modelu dostawców,
- przed formalnym audytem — jako działanie przygotowawcze.
Jak ocenić ofertę audytu
- czy zakres obejmuje procesy, technologię i dowody,
- czy wynik wskazuje ryzyko, właścicieli i priorytety,
- czy badane są próbki działania, nie tylko deklaracje,
- czy raport rozdziela brak dokumentu od nieskutecznego procesu,
- czy wykonawca jasno określa, jaki rodzaj audytu oferuje.
Nie. Audyt zerowy diagnozuje i planuje — zgodność powstaje dopiero w wyniku wdrożenia (procesy, zabezpieczenia, dowody). Dobra diagnoza skraca i porządkuje wdrożenie, ale go nie zastępuje.
Źródła: ustawa z 23.01.2026 r. o zmianie ustawy o KSC (Dz.U. 2026 poz. 252) oraz materiały Ministerstwa Cyfryzacji. Materiał ma charakter edukacyjny i nie stanowi opinii prawnej.
Chcesz zacząć od rzetelnej diagnozy?
Audyt zerowy wskaże luki, ryzyko i priorytety — i przygotuje organizację do dalszego wdrożenia oraz ewentualnego audytu formalnego.
Przewodnik po ustawie KSC 2026 (PDF)