Audyt cyberbezpieczeństwa dla JST – krok po kroku. Kompletna lista kontrolna na 2026

Zanim rozpoczniesz audyt – przygotowanie i zakres

Audyt cyberbezpieczeństwa dla JST to nie jest zwykłe "sprawdzenie, czy komputery działają". To kompleksowe badanie, które ma odpowiedzieć na jedno pytanie: czy Twoja gmina, szkoła lub spółka komunalna przetrwa cyberatak bez paraliżu? Brzmi dramatycznie? Bo takie są realia. Od 2026 roku obowiązki NIS2 dla gmin są bezwzględne – brak audytu to ryzyko kar finansowych i odpowiedzialności osobistej kierownictwa.

Zanim weźmiesz się za checklistę, musisz przygotować grunt. Oto co zrobić najpierw.

Określenie obszaru audytu

• Zidentyfikuj wszystkie systemy IT oraz dane osobowe – przetwarzane w urzędzie, szkołach i spółkach komunalnych. Nie chodzi tylko o komputery w magistracie. Chodzi też o dzienniki elektroniczne w szkołach, systemy księgowe w spółkach wodociągowych, platformy ePUAP, a nawet o terminale kart płatniczych w domach kultury. Jeśli czegoś nie uwzględnisz, to będzie to najsłabsze ogniwo.
• Ustal granice odpowiedzialności – które systemy są zarządzane wewnętrznie, a które przez zewnętrznych dostawców (np. chmura, hosting, systemy ERP). To kluczowe przy wdrożeniu NIS2 w szkole, gdzie często dyrektor nie ma pojęcia, że dziennik elektroniczny jest hostowany poza Polską.

Zgromadzenie dokumentacji

• Zbierz obowiązujące polityki bezpieczeństwa – procedury NIS2 i RODO, rejestry czynności przetwarzania, umowy z dostawcami usług IT. Bez tego audyt będzie jak szukanie igły w stogu siana – możesz coś znaleźć, ale nie wiesz, czy to ta igła.
• Sprawdź daty ważności – wiele JST ma polityki z 2019 roku, które nigdy nie były aktualizowane. To czerwona flaga. W 2026 roku to już nie przejdzie.

Wybór narzędzi i metodyki

• Wybierz sprawdzone narzędzia do skanowania podatności i zarządzania zgodnością – warto rozważyć platformę do zarządzania NIS2, która automatyzuje audyt i raportowanie dla JST. Ręczne robienie tego w Excelu? Zapomnij. To jak pisanie listów gołębiem pocztowym w dobie e-maili.
• Postaw na metodykę uznawaną przez organy nadzoru – np. opartą na normie ISO 27001 lub wytycznych CSIRT NASK. To uwiarygodni Twój audyt i ochroni Cię w razie kontroli.

Pamiętaj: audyt bez przygotowania to jak operacja bez diagnostyki – możesz zrobić więcej szkody niż pożytku.

Krok 1: Inwentaryzacja zasobów i klasyfikacja danych

To najnudniejszy, ale absolutnie najważniejszy krok. Bez mapy nie poprowadzisz armii. Bez inwentaryzacji nie przeprowadzisz audytu.

Mapa systemów i sieci

• Sporządź pełną listę sprzętu, oprogramowania, baz danych i usług chmurowych – wszystko, co ma adres IP lub przechowuje dane, musi być na liście. Nawet ten stary laptop w piwnicy, który "kiedyś działał".
• Oceń krytyczność każdego zasobu – dla ciągłości działania urzędu oraz poziom poufności, integralności i dostępności danych. System księgowy? Krytyczny. Strona BIP? Mniej krytyczna, ale też ważna. Drukarka sieciowa? Może być bramą dla ataku.

Kategoryzacja informacji

• Przyporządkuj dane do kategorii: osobowe (RODO), infrastruktura krytyczna (NIS2), tajemnice służbowe. To nie jest zabawa w etykietki – od tego zależy, jakie zabezpieczenia musisz zastosować.
• Zweryfikuj, czy wiesz, gdzie są dane wrażliwe – często okazuje się, że baza danych z PESELami uczniów w szkole leży na serwerze, który nie był łatany od dwóch lat. To proszenie się o kłopoty.

Krok 2: Analiza ryzyka i zgodności z przepisami

Analiza ryzyka to serce audytu. Bez niej nie wiesz, co jest naprawdę groźne, a co tylko wydaje się problemem. Dla JST to szczególnie ważne – budżet jest ograniczony, więc musisz wiedzieć, gdzie wydać pieniądze w pierwszej kolejności.

Identyfikacja zagrożeń

• Przeprowadź analizę ryzyka metodą szacowania prawdopodobieństwa i wpływu incydentów – np. ransomware, wyciek danych, awaria systemu. Nie wymyślaj koła na nowo – użyj gotowych szablonów z wytycznych NASK.
• Uwzględnij specyfikę JST – ataki na samorządy to już codzienność. W 2025 roku odnotowano 40% wzrost incydentów w polskich gminach. To nie jest teoria.

Ocena ryzyka prawnego i operacyjnego

• Sprawdź zgodność z wymogami NIS2 – procedury zgłaszania incydentów, plany ciągłości działania, szkolenia personelu. To nie są opcje do wyboru – to obowiązek. NIS2 dla jednostek samorządu terytorialnego wymaga, żebyś miał udokumentowane procedury i dowody, że działają.
• Zweryfikuj, czy polityka RODO jest aktualna – i czy zgody na przetwarzanie danych są prawidłowo zarządzane. Częsty błąd: urząd ma zgodę na przetwarzanie danych w celach podatkowych, ale używa ich do marketingu politycznego. To już nie jest błąd – to naruszenie.

Krok 3: Testy techniczne i kontrola dostępu

Teoria teorią, ale prawda wychodzi w testach. To krok, w którym sprawdzasz, czy Twoje zabezpieczenia faktycznie działają, czy tylko ładnie wyglądają w dokumentacji.

Skanowanie podatności i testy penetracyjne

• Wykonaj skanowanie podatności na wszystkich publicznych i wewnętrznych systemach JST – usuń krytyczne luki. Skaner pokaże Ci, co jest nie tak. Twoim zadaniem jest to naprawić, a nie tylko odhaczyć w checklistcie.
• Przeprowadź testy penetracyjne na kluczowych aplikacjach – np. ePUAP, systemy księgowe. To kosztuje, ale jest niezbędne. Lepiej, żeby błąd znalazł Twój pentester niż prawdziwy haker.

Zarządzanie tożsamością i uprawnieniami

• Sprawdź, czy konta użytkowników mają minimalne niezbędne uprawnienia – i czy wdrożono uwierzytelnianie wieloskładnikowe (MFA). W 2026 roku brak MFA to jak brak zamka w drzwiach do urzędu.
• Usuń nieaktywne konta – często okazuje się, że były pracownik ma nadal dostęp do systemu. To nie jest tylko zaniedbanie – to realne ryzyko wycieku danych.

Krok 4: Ocena procedur i szkoleń

Technologia to jedno, ale najsłabszym ogniwem zawsze jest człowiek. Nawet najlepsze zabezpieczenia techniczne nie pomogą, jeśli pracownik kliknie w link z phishingiem.

Procedury reagowania na incydenty

• Zweryfikuj, czy procedura zgłaszania incydentów jest znana pracownikom – i czy była testowana w ciągu ostatniego roku. Nie chodzi o to, żeby wisiała na stronie BIP. Chodzi o to, żeby każdy wiedział, co zrobić, gdy zobaczy podejrzanego maila.
• Sprawdź, czy procedura obejmuje zgłoszenie do CSIRT NASK – to wymóg NIS2. Jeśli nie wiesz, jak to zrobić, to znaczy, że masz lukę w procedurach.

Świadomość personelu

• Sprawdź, czy wszystkie osoby przetwarzające dane przeszły szkolenie z cyberbezpieczeństwa i RODO w 2026 roku – nie wystarczy, że szkolenie było w 2023. Wymogi się zmieniają, a ataki ewoluują. Szkolenie musi być cykliczne.
• Upewnij się, że polityka haseł i bezpieczeństwa stacji roboczych jest stosowana w praktyce – blokada ekranu, szyfrowanie dysków, zakaz zapisywania haseł na karteczkach przy monitorze. Brzmi banalnie? A jednak wciąż to widzę w urzędach.

Krok 5: Raport z audytu i plan naprawczy

Audyt bez raportu to jak wycieczka bez zdjęć – nikt nie uwierzy, że była. Raport to dokument, który Cię ochroni w razie kontroli. I to nie tylko przed karą, ale też przed zarzutami o zaniedbanie.

Struktura raportu

• Przygotuj raport zawierający: listę stwierdzonych niezgodności, ocenę ryzyka, zalecenia oraz harmonogram wdrożenia poprawek. To nie ma być esej – ma być konkretnie, po polsku i z datami.
• Dołącz dowody – zrzuty ekranu, logi, wyniki skanów. Bez tego raport jest tylko opinią, a nie dokumentem dowodowym.

Priorytety działań korygujących

• Ustal priorytety działań – najpierw usuń luki krytyczne (np. brak łat, słabe hasła) i dostosuj procedury do NIS2. Potem zajmij się średnimi i niskimi. Nie próbuj wszystkiego naraz – to droga do wypalenia i błędów.
• Wykorzystaj platformę do zarządzania NIS2 – do ciągłego monitorowania postępów i automatycznego generowania raportów dla organu nadzoru. Ręczne raportowanie w Excelu to strata czasu i ryzyko pomyłki. Narzędzie zrobi to za Ciebie szybciej i dokładniej.

Pamiętaj: audyt to nie koniec, tylko początek. Cyberbezpieczeństwo to proces, nie jednorazowa akcja.

Podsumowanie – co zabierasz z tej checklisty?

Audyt cyberbezpieczeństwa dla JST to nie fanaberia. To obowiązek wynikający z NIS2 i RODO. I choć brzmi jak biurokratyczny koszmar, w praktyce daje Ci spokój ducha – wiesz, co masz, co jest zagrożone i co robić, gdy coś pójdzie nie tak.

Najważniejsze wnioski:

• Przygotuj się – zbierz dokumentację i wybierz narzędzia, zanim zaczniesz audyt.
• Zrób inwentaryzację – nie pomijaj żadnego zasobu, nawet tego w piwnicy.
• Przetestuj technicznie – skanowanie i pentesty to must-have, nie opcja.
• Szkol personel – ludzie to najsłabsze ogniwo, ale też pierwsza linia obrony.
• Działaj systematycznie – raport, plan naprawczy, ciągłe monitorowanie. I korzystaj z narzędzi, które automatyzują tę pracę.

Jeśli szukasz sprawdzonego rozwiązania, które pomoże Ci przejść przez cały proces audytu i późniejszego zarządzania zgodnością – od inwentaryzacji, przez analizę ryzyka, po raportowanie – platforma do zarządzania NIS2 jest stworzona właśnie dla JST. Automatyzuje to, co w audycie zajmuje najwięcej czasu, i daje Ci pewność, że niczego nie przeoczyłeś. A w 2026 roku to się po prostu opłaca.