Audyt informatyczny w firmie — wszystko, co musisz o nim wiedzieć

Aktualizacja: 3 sierpnia 2026

Audyt informatyczny pokazuje, w jakim stanie naprawdę jest informatyka w firmie. To ważne, bo w większości firm wiedza o własnym IT opiera się na odczuciu osób, które przy nim pracują, a odczucie prawie zawsze brzmi „jest w porządku”.

Czym właściwie jest audyt informatyczny i czym różni się od audytu bezpieczeństwa? Co dokładnie sprawdza się podczas audytu IT i jak wygląda jego przebieg z perspektywy firmy, która go zamawia? Co powinno znaleźć się w raporcie końcowym i od czego zależy cena? Kiedy audyt przestaje być dobrą praktyką, a staje się obowiązkiem wynikającym z przepisów?

Odpowiadamy na te pytania po kolei, opierając się na audytach, które prowadzimy dla firm i instytucji.

Czym jest audyt informatyczny?

Audyt informatyczny to uporządkowane sprawdzenie stanu faktycznego informatyki w firmie, obejmujące sprzęt, oprogramowanie, sieć, kopie zapasowe, uprawnienia i dokumentację, zakończone raportem, który mówi, co działa, co jest ryzykiem i od czego zacząć porządki. Brzmi prosto, tylko że pod tą samą nazwą sprzedaje się na rynku kilka bardzo różnych usług i część rozczarowań bierze się właśnie stąd, że klient zamówił coś innego, niż mu się wydawało.

Audyt informatyczny patrzy szeroko i pyta o kondycję całego środowiska, w tym o wydajność, legalność i porządek. Audyt bezpieczeństwa zawęża pole do odporności na zagrożenia. Zakresy się przecinają, bo podstawy bezpieczeństwa sprawdza się w obu, ale punkt ciężkości jest inny.

Test penetracyjny to jeszcze co innego, czyli kontrolowana próba włamania odpowiadająca na pytanie, czy da się wejść i którędy. Zdarza się, że firma zamawia pentest, dostaje raport pełen podatności i dopiero wtedy odkrywa, że nie ma komu ich załatać, bo nie wie nawet, ile ma serwerów.

Audyt zgodności prowadzi się pod konkretny przepis, na przykład ustawę o krajowym systemie cyberbezpieczeństwa, i kończy się listą rozbieżności wobec wymagań, a nie oceną kondycji IT. Wracamy do tego przy pytaniu o częstotliwość audytów.

I jeszcze jedno rozróżnienie, audyt nie jest kontrolą personalną. Słowo budzi w firmach odruch obronny, zwłaszcza u osób, które na co dzień odpowiadają za informatykę, więc powiedzmy to wprost. Administrator, który przez lata sam utrzymywał całą firmę, zwykle niczego nie zaniedbał, tylko fizycznie nie dał rady zrobić wszystkiego naraz. Dla takiej osoby audyt jest zwykle najlepszym argumentem, jaki dostanie w rozmowie z zarządem o budżecie.

Co dokładnie sprawdzamy podczas audytu?

Zakres dopasowuje się do wielkości organizacji, ale trzon jest powtarzalny i obejmuje pięć obszarów. Poniżej opisujemy je na poziomie pytań, na które audyt ma odpowiedzieć, bo to one są tu ciekawsze niż nazwy obszarów.

Infrastruktura i wydajność

Ile jest komputerów pracowników i ile z nich pracuje na systemie, który nie dostaje już aktualizacji bezpieczeństwa. Które serwery są objęte wsparciem producenta, a które przekroczyły ten termin i pracują na słowo honoru. Czy zasilanie awaryjne w serwerowni ma sprawne baterie, bo bywa, że ma je wyłącznie w dokumentacji. Gdzie jest wąskie gardło, przez które kilkudziesięciu pracowników traci codziennie po kilkanaście minut i nikt tego nie liczy, bo to się rozkłada na cały dzień.

Legalność oprogramowania

Zestawienie tego, co jest zainstalowane, z tym, na co firma faktycznie ma licencje. Ten obszar zaskakuje najczęściej, bo nieudokumentowane instalacje powstają zwykle bez złej woli, przy okazji wymiany komputera albo przejmowania stanowiska po kimś, kto odszedł. Sprawdzamy też, czy licencje są przypisane do właściwego podmiotu, co bywa problemem w grupach kapitałowych, oraz czy istnieją dowody zakupu w formie, którą da się okazać przy kontroli licencyjnej producenta. Znaleźć to samemu jest zdecydowanie tańsze.

Kopie zapasowe

Nie pytanie o to, czy backup jest, tylko czy obejmuje właściwe dane i czy da się z niego wrócić. Czy kopia obejmuje pocztę i pliki w Microsoft 365, bo bardzo wiele firm zakłada, że robi to za nie dostawca chmury. Czy kopia leży także poza siedzibą firmy. Czy istnieje kopia, do której nie da się dostać z sieci firmowej, czyli taka, której nie zaszyfruje ransomware razem z resztą. I wreszcie, czy ktokolwiek kiedykolwiek przeprowadził próbne odtworzenie. Backup, którego nikt nie odtwarzał, jest założeniem, a nie zabezpieczeniem, i to jest chyba najczęściej powtarzane zdanie w tej branży, które wciąż niewiele zmienia. Szerzej piszemy o tym przy okazji kopii zapasowych dla firm.

Podstawy bezpieczeństwa

Konta i uprawnienia, w tym klasyk gatunku, czyli aktywne konta osób, które dawno odeszły z firmy. Kto ma uprawnienia administratora i czy rzeczywiście musi je mieć, czy dostał je kiedyś na chwilę. Jak wygląda dostęp zdalny i czy jest chroniony drugim składnikiem logowania. Czy aktualizacje instalują się same, czy czekają na kogoś, kto znajdzie na to czas.

Dokumentacja

Czy wiedza o infrastrukturze istnieje gdziekolwiek poza głową jednej osoby. Czy jest aktualny schemat sieci, spis haseł administracyjnych w bezpiecznej formie, lista dostawców i umów oraz opis tego, co należy zrobić w razie poważnej awarii. To najczęściej pomijany obszar i jednocześnie ten, który najbardziej boli w dniu, w którym kluczowa osoba nie odbiera telefonu.

Jakie są główne cele audytu informatycznego?

Cele zależą od tego, kto zamawia audyt, i warto to powiedzieć otwarcie, bo lista uniwersalnych celów zwykle nic nie wnosi.

Zarząd zamawia audyt, żeby dowiedzieć się, na czym stoi firma, ile kosztuje utrzymanie tego stanu i gdzie leży ryzyko, którego nikt dotąd nie nazwał. Dyrektor finansowy chce wiedzieć, czy da się wydawać mniej albo przynajmniej wydawać przewidywalnie. Osoba odpowiedzialna za IT chce mieć na piśmie to, co od dwóch lat powtarza na spotkaniach. Kupujący spółkę chce wiedzieć, jakie zobowiązania techniczne przejmuje razem z nią, bo przestarzała infrastruktura jest zobowiązaniem dokładnie tak samo jak niespłacony kredyt.

Wszystkie te cele sprowadzają się do jednego. Zamiana przypuszczeń w dane, na których da się oprzeć decyzję. Dopóki firma opiera się na tym, co komu się wydaje, każda decyzja o inwestycji w IT jest zakładem.

Jak przebiega audyt informatyczny?

Z perspektywy firmy, która audyt zamawia, całość składa się z pięciu etapów. Poniżej każdy z nich rozpisany na to, co się w nim faktycznie dzieje i na co warto zwrócić uwagę.

Etap 1. Rozmowa wstępna

Punktem wyjścia jest ustalenie, co skłania Cię do audytu informatycznego. Inaczej wygląda audyt zamawiany przed przejęciem spółki, inaczej po awarii, a jeszcze inaczej wtedy, gdy zarząd chce po prostu wiedzieć, na czym stoi. Od tego zależy, gdzie położymy nacisk, jaki będzie zakres i ile to będzie kosztować.

Na tym samym spotkaniu ustala się dwie rzeczy, które później trudno nadrobić. Pierwsza to punkt odniesienia, czyli wzorzec, względem którego oceniany będzie stan faktyczny. Bywa nim:

• norma ISO/IEC 27001,
• zalecenia producentów używanych rozwiązań,
• wewnętrzna polityka bezpieczeństwa,
• wymagania prawne.

Pytanie „względem czego oceniacie” pada rzadko, a wyjaśnia bardzo dużo, ponieważ bez wskazanego wzorca raport jest zbiorem opinii audytora, z którymi da się dyskutować w nieskończoność. Druga rzecz to odbiorca raportu, bo dokument pisany dla zarządu i dokument pisany dla działu IT różnią się nie stopniem szczegółowości, tylko językiem i kolejnością treści.

Etap 2. Zebranie dostępów i danych

Potrzebne są konta z uprawnieniami do odczytu w kluczowych systemach, lista lokalizacji, dostęp do dokumentacji, jeśli istnieje, oraz kontakt do osoby, która zna środowisko od strony praktycznej. To jedyny moment, w którym audyt realnie zajmuje czas Waszym ludziom.

Warto tu zwrócić uwagę na dwie rzeczy. Po pierwsze, dobrą praktyką jest praca audytora wyłącznie na uprawnieniach do odczytu. Audyt nie powinien niczego w środowisku zmieniać, a zamawiający ma pełne prawo tego wymagać i zapisać to w umowie. Po drugie, ten etap sam w sobie bywa pierwszym ustaleniem. Jeżeli okazuje się, że do części systemów nie ma haseł, bo znał je poprzedni administrator, albo że nikt nie potrafi wskazać, kto jest właścicielem konkretnego serwera, to nie jest przeszkoda w audycie. To jest jego wynik i trafia do raportu.

Etap 3. Inwentaryzacja i analiza

Najdłuższy etap i w dodatku ten, który decyduje o wartości całości. Analizie podlega zwykle pięć warstw. Infrastruktura fizyczna i serwerowa. Sieć wraz z urządzeniami brzegowymi. Systemy i aplikacje razem z ich konfiguracją. Sposób zarządzania danymi, w tym kopie zapasowe, uprawnienia i kontrola dostępu. Wreszcie procesy, czyli to, kto co robi, na jakiej podstawie i co się dzieje, kiedy tej osoby nie ma.

Ostatnia warstwa bywa pomijana i akurat w niej leży najwięcej trwałego ryzyka, ponieważ złą konfigurację da się poprawić w jeden wieczór, a brak procedury odbierania uprawnień będzie produkował te same ustalenia przy każdym kolejnym audycie.

Po stronie narzędzi wykorzystuje się skanery podatności, oprogramowanie inwentaryzujące sprzęt i zainstalowane aplikacje, analizę konfiguracji urządzeń sieciowych i serwerów, przegląd logów oraz analizę ruchu w sieci. Wszystkie mają jednak wspólne ograniczenie, o którym warto wiedzieć przed lekturą raportu. Narzędzia pokazują stan, ale nie pokazują powodu. Skaner powie, że port jest otwarty, a system nie ma najnowszej aktualizacji. Dopiero rozmowa z osobą, która zna środowisko, pokazuje, czy jest to przeoczenie, czy świadoma decyzja podjęta dlatego, że z tego portu korzysta aplikacja kupiona od zewnętrznego dostawcy, a aktualizacja rozłożyła ją przy poprzedniej próbie. Audyt oparty wyłącznie na wydruku z narzędzia produkuje listę, której nikt nie jest w stanie wdrożyć.

Warto też wiedzieć, że testy penetracyjne nie są standardowym elementem audytu informatycznego. Zamawia się je osobno i zwykle wtedy, gdy podstawy są już uporządkowane, bo kontrolowana próba włamania do środowiska, w którym i tak wiadomo o kilkudziesięciu brakujących aktualizacjach, niewiele wnosi. Jeśli w ofercie pojawiają się testy penetracyjne w cenie audytu, warto dopytać o ich zakres, ponieważ pod tą nazwą bywa opisywany zwykły skan podatności.

Większość prac na tym etapie wykonuje się zdalnie. Na miejscu trzeba być tam, gdzie trzeba zobaczyć sprzęt, serwerownię, okablowanie i warunki, w jakich to wszystko pracuje. Firma przez ten czas pracuje normalnie.

Etap 4. Raport i omówienie

Zebrane ustalenia porządkuje się według wagi ryzyka, a nie według kolejności, w jakiej zostały znalezione, i zestawia z punktem odniesienia ustalonym na pierwszym spotkaniu. Ustaleniem jest przy tym także brak czegoś. Nieistniejąca procedura na wypadek awarii albo nieistniejący spis dostępów są ustaleniami dokładnie tak samo jak źle skonfigurowana zapora, choć w żadnym narzędziu się nie pokażą.

Raport przekazuje się na spotkaniu, nie mailem z załącznikiem. To ma znaczenie praktyczne, ponieważ część ustaleń wymaga kontekstu, a część wymaga rozmowy o tym, co zrobić najpierw. Na tym spotkaniu powinny być dwie strony naraz, czyli osoba decyzyjna i osoba odpowiedzialna za IT. Rozdzielenie tych rozmów jest najprostszym sposobem, żeby raport utknął między nimi.

Etap 5. Decyzja

Raport i plan działań są własnością zamawiającego. Możecie je zrealizować własnymi siłami, z dowolnym wykonawcą albo z nami.

Największym ryzykiem po audycie nie jest to, że rekomendacje okażą się za drogie. Jest nim to, że nie stanie się nic, bo raport trafi do segregatora, a firma wróci do bieżących spraw. Zabezpieczenie jest proste i warto je wprowadzić od razu na spotkaniu zamykającym. Każdy punkt planu dostaje osobę odpowiedzialną i termin, a całość wraca na stół po ustalonym czasie, choćby po to, żeby stwierdzić, że nic się nie zmieniło. To jedna godzina pracy, która decyduje o tym, czy audyt był wydatkiem, czy inwestycją.

Ile trwa audyt informatyczny?

Dla małej firmy, czyli kilkunastu stanowisk i jednego serwera, audyt zamyka się zwykle w jednym do dwóch tygodni od startu prac do przekazania raportu. Środowiska większe lub rozproszone po kilku lokalizacjach to kilka tygodni wzwyż. Harmonogram podajemy przed startem, nie w trakcie.

Jeśli chodzi o zaangażowanie Waszego zespołu – realnie potrzeba kilku godzin pracy osoby, która zna środowisko, rozłożonych na cały okres audytu, oraz udziału w spotkaniu otwierającym i zamykającym.

Co znajdziesz w raporcie z audytu IT?

Raport z audytu bywa rozczarowaniem i zwykle z jednego powodu. Okazuje się zbiorem zrzutów ekranu i wydruków z narzędzi skanujących, po którym wiadomo dużo i nie wiadomo nic. Taki dokument formalnie zamyka usługę i nie da się na nim oprzeć żadnej decyzji. Dobry raport ma trzy warstwy.

Podsumowanie dla zarządu

Dwie, maksymalnie trzy strony napisane językiem decyzji, a nie konfiguracji. Jaki jest ogólny stan środowiska, jakie są trzy najpoważniejsze ryzyka, ile kosztuje ich usunięcie i co się stanie, jeśli firma nie zrobi nic.

Ustalenia szczegółowe

Każde opisane w tym samym schemacie, czyli co stwierdzono, jakie to niesie ryzyko, jak pilne jest działanie i co konkretnie należy zrobić. Pojedynczy wpis wygląda mniej więcej tak. Stwierdzono aktywne konta trzech byłych pracowników z dostępem do zasobów sieciowych. Ryzyko nieuprawnionego dostępu do danych. Priorytet wysoki. Rekomendacja polega na wyłączeniu kont i wprowadzeniu procedury odbierania uprawnień przy rozstaniu z pracownikiem.

Plan działań z priorytetami

Lista kroków ułożona według relacji ryzyka do kosztu, tak żeby ograniczony budżet trafił najpierw tam, gdzie chroni najwięcej. Bez tej warstwy raport zamienia się w listę problemów bez kolejności, a wtedy firma zaczyna zwykle od rzeczy najłatwiejszej, a nie najważniejszej.

Do tego dochodzi omówienie na żywo, bo raport, którego nikt nie wytłumaczył, ląduje w segregatorze i tam kończy swoją karierę.

Dlaczego audyt informatyczny jest ważny?

Audyt jest ważny nie dlatego, że firmom grożą spektakularne zagrożenia, tylko dlatego, że ryzyko w informatyce narasta cicho i nie daje żadnych objawów aż do dnia, w którym daje wszystkie naraz.

Konta ludzi, których dawno nie ma w firmie

Rozstanie z pracownikiem kończy się zwykle na oddaniu laptopa, klucza do biura i rozliczeniu urlopu. Konto w domenie, dostęp do dysku sieciowego, skrzynka pocztowa i login do systemu, z którego korzystał raz w miesiącu, zostają, bo nie ma ich na żadnej liście kontrolnej. W małej firmie takich kont bywa kilka, w firmie z dwustuosobową rotacją bywa ich kilkadziesiąt, a każde z nich jest działającym wejściem do środowiska, którego nikt nie obserwuje. Naprawa jest tania i sprowadza się do jednej procedury spinającej dział kadr z osobą odpowiedzialną za IT, tylko że nikt jej nie napisze, dopóki ktoś nie policzy tych kont na piśmie.

Backup, który nigdy nie był odtwarzany

Kopie się robią, harmonogram działa, raporty przychodzą na maila i wszystko wygląda w porządku, ponieważ system raportuje wyłącznie to, że wykonał zadanie, a nie to, że z efektu tego zadania da się odzyskać firmę. Pytanie, czy ktokolwiek kiedykolwiek przeprowadził próbne odtworzenie, zawisa w powietrzu w naprawdę dużej części firm. Problem polega na tym, że odpowiedź poznaje się w najgorszym możliwym momencie, czyli wtedy, gdy odtworzenie jest jedyną dostępną opcją. Test odtworzenia trwa kilka godzin i jest jedyną formą sprawdzenia, która cokolwiek znaczy.

Poczta i pliki w chmurze poza kopią zapasową

Powszechne założenie brzmi, że skoro dane leżą u dużego dostawcy, to są bezpieczne, i to założenie jest w połowie słuszne. Dostawca odpowiada za dostępność swojej usługi oraz za to, że nie zgubi danych po swojej stronie. Nie odpowiada natomiast za plik skasowany przez użytkownika cztery miesiące temu, za skrzynkę usuniętą razem z kontem zwolnionego pracownika ani za skutki przejęcia czyjegoś loginu. Standardowe okresy, przez które dostawca trzyma usunięte dane, liczy się w dniach, a nie w miesiącach, i po ich upływie nie ma już czego przywracać.

Sprzęt bez wsparcia producenta w krytycznym miejscu

Serwer pracuje ósmy rok, nikt go nie rusza, bo działa, i właśnie to jest problem, ponieważ decyzja o jego wymianie nigdy nie ma swojego dnia w kalendarzu. Trudność zaczyna się w momencie awarii, kiedy okazuje się, że części nie ma w obiegu, wsparcie producenta skończyło się cztery lata temu, a odtworzenie tej samej konfiguracji na nowym sprzęcie zajmie kilka dni, których firma nie ma. Audyt nie każe wymieniać wszystkiego naraz. Pokazuje, które urządzenia znalazły się poza wsparciem i które z nich obsługują procesy, bez których firma się zatrzymuje, a to zwykle krótka lista, którą da się rozłożyć na dwa budżety.

Wiedza wyłącznie w jednej głowie

Nie ma schematu sieci, nie ma spisu haseł administracyjnych w bezpiecznej formie, nie ma opisanej procedury na wypadek poważnej awarii. Firma działa poprawnie dopóty, dopóki jedna konkretna osoba odbiera telefon, i przez lata odbiera, więc problem nie istnieje. Ujawnia się przy zwolnieniu lekarskim w gorszym tygodniu, przy wypowiedzeniu albo przy przejęciu obsługi przez kogoś nowego, kiedy okazuje się, że przekazanie wiedzy oznacza jej odtworzenie od zera. To jest zresztą ustalenie, którego nie pokaże żadne narzędzie skanujące, bo dotyczy czegoś, czego nie ma.

Żadna z tych rzeczy nie wygląda groźnie i to jest dokładnie powód, dla którego trwają latami. Każda z nich jest też tania w naprawie w momencie, w którym się ją znajdzie, i kosztowna w momencie, w którym znajdzie się sama. Audyt jest po prostu chwilą, w której ktoś siada i wypisuje je wszystkie w jednym dokumencie, razem z kolejnością, w jakiej warto się nimi zająć.

Kto przeprowadza audyt informatyczny?

Audyt IT może być przeprowadzony przez wewnętrzny zespół lub przez zewnętrzną firmę zajmującą się audytami informatycznymi.

Audyt wewnętrzny jest tańszy i bywa wystarczający, jeśli firma ma dojrzały dział IT, który potrafi spojrzeć na własną pracę krytycznie i ma czas, żeby przez kilka tygodni robić coś poza gaszeniem bieżących pożarów. Oba te warunki trzeba spełnić naraz i to jest jego główne ograniczenie.

Audyt zewnętrzny daje trzy rzeczy, których wewnętrzny z definicji nie da. Świeże spojrzenie, bo luki najtrudniej widzi ten, kto pracuje z nimi codziennie i przyzwyczaił się, że tak po prostu jest. Porównanie z innymi środowiskami, bo zewnętrzny wykonawca widział kilkaset firm, a wewnętrzny zespół widział jedną. I wreszcie niezależność, która ma znaczenie wtedy, gdy raport ma trafić do zarządu, do inwestora albo na stół w rozmowie o budżecie, bo dokument napisany przez osobę oceniającą własną pracę zawsze będzie czytany z zastrzeżeniem.

Najlepiej wychodzą audyty prowadzone razem z wewnętrznym IT, a nie obok niego. My wnosimy metodykę i porównanie, dział IT wnosi znajomość środowiska i kontekst decyzji, które kiedyś zapadły z konkretnego powodu. Firmy, w których audyt przebiegł najlepiej, to te, w których administrator był przewodnikiem, a nie osobą przesłuchiwaną. Zobacz, jak wygląda nasz audyt IT.

Korzyści z przeprowadzenia audytu informatycznego

Przeprowadzenie audytu informatycznego może przynieść wiele korzyści dla Twojej firmy. Oto niektóre z nich:

Zapewnienie zgodności z przepisami

Audyt bezpieczeństwa informatycznego ocenia, czy systemy informatyczne i zasoby organizacji odpowiednio chronią mienie oraz utrzymują integralność danych, stosując mechanizmy kontroli wewnętrznej. Ocenia również zgodność z obowiązującymi przepisami prawnymi oraz standardami bezpieczeństwa. Dzięki temu organizacje mogą uniknąć kar za niewłaściwe postępowanie.

Optymalizacja działań IT

Audytorzy są w stanie zidentyfikować obszary, w których można wprowadzić usprawnienia i zmniejszyć koszty. Może to obejmować optymalizację infrastruktury, zmianę procesów lub aktualizację oprogramowania.

Zwiększenie bezpieczeństwa danych

Audyt IT pomaga w identyfikacji i zabezpieczeniu słabych punktów w systemach informatycznych. Poprzez wykrywanie i naprawę potencjalnych zagrożeń, audyt redukuje ryzyko utraty danych, ataków cybernetycznych oraz naruszenia prywatności.

Zwiększenie wydajności

Dzięki audytowi informatycznemu można zidentyfikować i naprawić potencjalne problemy, które mogą wpływać na wydajność systemów informatycznych. Poprawa wydajności może prowadzić do zwiększenia produktywności i efektywności działania firmy.

Jeśli po audycie potrzebne jest wsparcie w samych decyzjach, a nie w robocie, od tego jest doradztwo informatyczne.

Ile kosztuje audyt informatyczny?

Nie ma jednej ceny, bo audyt małego biura i audyt zakładu produkcyjnego z trzema lokalizacjami to dwie różne prace. Są za to konkretne czynniki, które tę cenę tworzą, i warto je znać, zanim porówna się dwie oferty, które różnią się dwukrotnie.

• Liczba stanowisk i serwerów. Główny parametr, od niego zależy pracochłonność inwentaryzacji.
• Liczba lokalizacji. Każda dodatkowa to osobna sieć, osobny sprzęt i zwykle osobna wizyta.
• Zakres. Audyt celowany w jeden obszar, na przykład same kopie zapasowe, kosztuje wyraźnie mniej niż kompleksowy. Najbardziej pracochłonna jest zwykle pogłębiona weryfikacja legalności oprogramowania, bo wymaga zestawienia instalacji z dokumentami zakupowymi, a te bywają rozsiane po kilku skrzynkach mailowych.
• Stan dokumentacji. Im mniej firma o sobie wie, tym więcej pracy trzeba włożyć w ustalenie stanu faktycznego. To pewien paradoks, bo firmy w największym nieładzie potrzebują audytu najbardziej i płacą za niego najwięcej.
• Model rozliczenia. Sprawdź, czy dostajesz wycenę ryczałtową, czyli znaną z góry, czy stawkę godzinową z widełkami. Ryczałt jest dla zamawiającego wygodniejszy, bo koszt nie rośnie w miarę odkrywania kolejnych problemów, a odkrywanie problemów jest w tej usłudze zjawiskiem oczekiwanym.

O co warto zapytać, porównując oferty. Czy cena obejmuje omówienie raportu i czy raport zawiera plan działań z priorytetami, czy wyłącznie listę ustaleń. Czy wizyty w kolejnych lokalizacjach są liczone osobno. I czy raport pozostaje Waszą własnością, użyteczną także wtedy, gdy wdrożenie zlecicie komu innemu, bo to pytanie potrafi rozstrzygnąć więcej niż różnica w cenie.

Jak często powinien być przeprowadzany audyt informatyczny?

Dla większości firm rozsądny rytm to raz na jeden do dwóch lat. Do tego audyt poza kolejnością przy zdarzeniach, które zmieniają układ sił, czyli przy przejęciu firmy lub obsługi informatycznej, przed większą inwestycją technologiczną i po każdym poważnym incydencie.

Dla części firm to jednak przestało być kwestią rozsądku. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która weszła w życie 3 kwietnia 2026 roku i wdraża w Polsce dyrektywę NIS2, nakłada na podmioty kluczowe obowiązek przeprowadzenia audytu bezpieczeństwa. Pierwszy termin to 3 kwietnia 2028 roku, kolejne audyty co najmniej raz na trzy lata.

Trzy rzeczy warto tu rozdzielić, bo w rozmowach mieszają się najczęściej. Po pierwsze, to nie jest ten sam audyt. Audyt wymagany ustawą jest audytem zgodności i sprawdza konkretne wymagania przepisu, więc audyt informatyczny opisany w tym tekście go nie zastępuje. Po drugie, obowiązek nie dotyczy wszystkich, a kwalifikacja zależy od sektora działalności i wielkości firmy, o czym piszemy szerzej przy wdrożeniu NIS2 i zgodności z KSC. Po trzecie, kolejność bywa odwrotna, niż się wydaje, bo firmy pytają najpierw o audyt ustawowy, choć praktyczniej zacząć od ustalenia, na czym się w ogóle stoi. Co z tego wynika, opisujemy osobno w tekście o tym, od czego zacząć przygotowania do KSC i NIS2.

Chcesz sprawdzić, na czym stoi Twoje IT? Umów audyt IT.

(+48) 790 213 841 Izabela Gorwa Data Protection Supervisor