Europejski Miesiąc Cyberbezpieczeństwa 2026 — 10 kroków do audytu bezpieczeństwa danych w firmie

Październik to czas, w którym cała Unia Europejska przypomina sobie o cyberbezpieczeństwie — i dobry moment, żeby przeprowadzić audyt bezpieczeństwa danych w firmie, zanim zrobi to za Ciebie incydent albo kontrola. Dla właścicieli i managerów cyberbezpieczeństwo MŚP 2026 oznacza dziś połączenie dwóch światów: RODO, które od 2018 roku wymaga „odpowiednich środków" ochrony danych, oraz nowych przepisów o krajowym systemie cyberbezpieczeństwa. Poniżej znajdziesz 10 praktycznych kroków, które da się wykonać bez działu IT na 50 osób. Przy każdym kroku podpowiadam, co sprawdzić i jaki dowód warto zachować na wypadek pytań ze strony UODO.

Jeśli czytasz ten tekst już po październiku, nic straconego — audyt zadziała równie dobrze w każdym miesiącu roku.

Dlaczego audyt właśnie teraz?

Europejski Miesiąc Cyberbezpieczeństwa to coroczna kampania unijna organizowana przez agencję ENISA z inicjatywy Komisji Europejskiej, a w Polsce koordynowana przez NASK. Przez cały październik firmy, szkoły i instytucje organizują wydarzenia podnoszące świadomość zagrożeń. To dobry pretekst, by wreszcie zamienić „powinniśmy to kiedyś sprawdzić" w konkretny termin w kalendarzu.

Drugi powód jest prawny. Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2 i obejmuje znacznie więcej firm niż wcześniej — szacunki mówią o kilkudziesięciu tysiącach podmiotów. Termin samorejestracji w wykazie podmiotów kluczowych i ważnych upłynął 3 października 2026 r., a pełne dostosowanie się do obowiązków ma nastąpić do 3 kwietnia 2027 r. Nie każda firma podlega tym przepisom (liczy się sektor i wielkość), ale każda, która przetwarza dane osobowe, podlega art. 32 RODO.

Ten przepis wymaga wdrożenia środków technicznych i organizacyjnych adekwatnych do ryzyka — a ryzyko trzeba umieć wykazać. Zasada rozliczalności z art. 5 ust. 2 RODO oznacza, że to administrator, czyli Ty, musi udowodnić, że dane są chronione. Audyt jest najprostszym sposobem na zebranie takich dowodów. Sankcje nie są abstrakcją: naruszenie obowiązków z art. 25–39 RODO podlega karze do 10 mln euro lub 2% rocznego obrotu.

Czym jest audyt bezpieczeństwa danych, a czym nie jest?

Audyt to uporządkowany przegląd tego, jakie dane przetwarzasz, gdzie one leżą, kto ma do nich dostęp i czy zabezpieczenia faktycznie działają. Nie jest testem penetracyjnym (to osobna, bardziej techniczna usługa) ani jednorazowym „odhaczeniem" dokumentów. Wytyczne unijne dla MŚP podkreślają, że każdy audyt powinien kończyć się planem działania, którego realizację monitoruje kierownictwo.

W praktyce dobry audyt w małej i średniej firmie zajmuje od kilku dni do kilku tygodni, zależnie od liczby systemów i lokalizacji. Zacznij od prostej zasady: dla każdego kroku zapisuj nie tylko wniosek („mamy kopie zapasowe"), ale też dowód („test odtworzenia z 14 października, trwał 40 minut"). Dzięki temu audyt staje się archiwum dowodów, a nie kolejnym raportem do szuflady.

Warto też od początku ustalić, że audyt nie ma szukać winnych, tylko luk. Zespół, który boi się konsekwencji, będzie ukrywał problemy, a wtedy wyniki przeglądu nie będą warte papieru, na którym je spisano. Powiedz pracownikom wprost, że celem jest poprawa zabezpieczeń, i poproś o szczere odpowiedzi — to one najczęściej ujawniają realne ryzyka.

10 kroków do audytu bezpieczeństwa danych — firma w praktyce

Krok 1. Wyznacz zakres i właściciela audytu

Ustal, co dokładnie sprawdzasz: całą firmę, wybrany oddział czy jeden kluczowy system (np. CRM albo system kadrowy). Wskaż jedną osobę odpowiedzialną za doprowadzenie audytu do końca — bez właściciela takie przeglądy zwykle kończą się na dyskusji. Zadbaj też o poparcie zarządu, bo wnioski będą wymagały budżetu i decyzji. Dowód: krótka notatka z zakresem, terminem i osobą odpowiedzialną.

Krok 2. Zinwentaryzuj dane i systemy

Nie ochronisz tego, o czym nie wiesz. Spisz, jakie kategorie danych osobowych przetwarzasz (klienci, pracownicy, kandydaci, kontrahenci), w jakich systemach oraz gdzie fizycznie się znajdują — serwer, chmura, laptopy, telefony, szuflady. Porównaj wynik z rejestrem czynności przetwarzania z art. 30 RODO; różnice zwykle ujawniają zapomniane arkusze i „cienie IT", czyli narzędzia wdrożone przez działy bez wiedzy zarządu. Dowód: aktualny rejestr i lista systemów.

Krok 3. Oceń ryzyko

Dla każdego procesu zadaj dwa pytania: co może pójść nie tak i jak bardzo zaszkodzi to osobom, których dane dotyczą. Wyciek listy newslettera to inny kaliber niż wyciek dokumentacji medycznej czy numerów PESEL pracowników. Przypisz każdemu ryzyku prosty poziom (niski, średni, wysoki) i zdecyduj, które z nich zaadresujesz w pierwszej kolejności. Dowód: macierz ryzyka, nawet w postaci jednego arkusza.

Krok 4. Sprawdź dostępy i uprawnienia

Wyeksportuj listę kont w kluczowych systemach i zapytaj o każde: czy ta osoba nadal tu pracuje i czy potrzebuje takiego zakresu dostępu? Szczególnie ryzykowne są konta byłych pracowników, konta współdzielone („biuro@…") oraz uprawnienia administratorskie nadane „na wszelki wypadek". Sprawdź, czy uwierzytelnianie wieloskładnikowe (MFA) jest włączone przynajmniej dla poczty, kont administracyjnych i systemów z danymi wrażliwymi. Dowód: lista kont po przeglądzie i potwierdzenie włączenia MFA.

Krok 5. Zweryfikuj zabezpieczenia techniczne

Sprawdź podstawy, które odpowiadają za większość incydentów: aktualizacje systemów i aplikacji, ochronę antywirusową lub klasy EDR, konfigurację zapory sieciowej oraz szyfrowanie dysków w laptopach i telefonach firmowych. Osobno obejrzyj sieć Wi-Fi (czy goście nie siedzą w tej samej sieci co serwery) i zdalny dostęp pracowników. Utracony niezaszyfrowany laptop to jeden z najczęstszych, a jednocześnie najłatwiejszych do uniknięcia powodów zgłoszeń naruszeń. Dowód: raport z narzędzi zarządzania urządzeniami lub zrzuty konfiguracji.

Krok 6. Przetestuj kopie zapasowe

Samo posiadanie backupu niczego nie gwarantuje — liczy się to, czy da się z niego odtworzyć dane w rozsądnym czasie. Zapytaj: jak często powstają kopie, gdzie są przechowywane (najlepiej w co najmniej jednym miejscu odłączonym od sieci) i kiedy ostatnio ktoś próbował je odtworzyć. Przy atakach ransomware właśnie ta zdolność przesądza, czy firma wraca do pracy po godzinach, czy po tygodniach. Dowód: protokół z próbnego odtworzenia danych.

Krok 7. Przejrzyj dostawców i umowy powierzenia

Twoje dane są często bezpieczne tylko tak, jak najsłabszy dostawca: biuro rachunkowe, hosting, system CRM, firma od newslettera. Sprawdź, czy z każdym z nich masz umowę powierzenia zgodną z art. 28 RODO i czy wiesz, jakie środki bezpieczeństwa stosuje. Głośna kara UODO dla spółki Fortum Marketing, wynosząca ok. 4,9 mln zł, dotyczyła właśnie braku skutecznej weryfikacji zabezpieczeń podmiotu przetwarzającego. Dowód: wykaz dostawców z datami umów i notatką z oceny ich zabezpieczeń.

Krok 8. Sprawdź procedurę reagowania na incydenty

Zadaj pytanie testowe: gdyby jutro o 17:00 pracownik zgłosił zgubiony służbowy telefon z pocztą firmową, kto w firmie wie, co robić? RODO wymaga zgłoszenia naruszenia do UODO bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia, o ile naruszenie rodzi ryzyko dla osób. Firmy objęte przepisami NIS2 muszą dodatkowo liczyć się z wieloetapowym zgłaszaniem poważnych incydentów, z pierwszym etapem w ciągu 24 godzin — dokładne terminy wdrożenia tych obowiązków warto sprawdzić w aktualnych przepisach. Dowód: procedura, rejestr naruszeń i lista kontaktów awaryjnych.

Krok 9. Zbadaj czynnik ludzki

Większość skutecznych ataków zaczyna się od kliknięcia w złośliwy link albo podania hasła na fałszywej stronie. Sprawdź, kiedy ostatnio pracownicy przechodzili szkolenie z bezpieczeństwa i czy obejmowało ono realne przykłady, takie jak phishing, podszywanie się pod prezesa czy bezpieczne korzystanie z AI. Dobrym uzupełnieniem są krótkie, kontrolowane testy phishingowe, które pokazują stan świadomości lepiej niż ankieta. Regularne szkolenia RODO i cyberbezpieczeństwa dla zespołu to jedna z najtańszych inwestycji w całym audycie. Dowód: listy obecności i materiały szkoleniowe.

Krok 10. Udokumentuj, zaplanuj działania i powtórz

Zbierz wnioski w jednym dokumencie: co jest w porządku, co wymaga poprawy i co jest pilne. Każdej luce przypisz osobę odpowiedzialną, termin i orientacyjny koszt, a całość przedstaw zarządowi do zatwierdzenia. Ustal termin kolejnego przeglądu — dla większości MŚP rozsądnym rytmem jest audyt roczny, uzupełniony o szybkie kontrole po większych zmianach (nowy system, fuzja, przeprowadzka biura). Dowód: raport z audytu i zatwierdzony plan naprawczy.

Checklista RODO bezpieczeństwo — co pokazać audytorowi

Poniższe zestawienie możesz wydrukować i potraktować jako listę kontrolną swojego przeglądu.

Samodzielnie czy z zewnętrznym audytorem?

Pierwszy przegląd w małej firmie często da się przeprowadzić samodzielnie, korzystając z powyższych kroków. Zewnętrzny audytor ma jednak przewagę, której nie zastąpi żadna lista: patrzy świeżym okiem, zna typowe błędy z wielu firm i nie ma interesu w tym, by ocenić własną pracę pozytywnie. To ważne zwłaszcza tam, gdzie przetwarzasz dane wrażliwe, masz kilka lokalizacji albo przygotowujesz się do wymogów NIS2.

Jeśli szukasz wsparcia, ochrona danych Poznań audyt to zapytania, które warto kierować do podmiotów znających lokalny rynek i branże Wielkopolski. Przed wyborem sprawdź, czy audytor wskaże konkretne działania naprawcze, a nie tylko listę niezgodności. Jeśli dopiero porządkujesz dokumentację od zera, rozsądnym punktem wyjścia bywa kompleksowe wdrożenie RODO, a po nim stały nadzór — na przykład w ramach outsourcingu IOD. O tym, jak RODO, NIS2 i DORA zazębiają się przy jednym incydencie, przeczytasz w osobnym artykule: jeden cyberincydent, trzy zgłoszenia.

FAQ — najczęstsze pytania o audyt bezpieczeństwa danych

Czy audyt bezpieczeństwa danych jest obowiązkowy? RODO nie nakazuje wprost „zrobienia audytu raz w roku", ale wymaga regularnego testowania i oceniania skuteczności zabezpieczeń (art. 32 ust. 1 lit. d) oraz wykazywania zgodności (art. 5 ust. 2). W praktyce audyt jest najprostszym sposobem spełnienia tych wymogów. Dodatkowo firmy objęte przepisami o krajowym systemie cyberbezpieczeństwa mają osobne obowiązki, w tym część podmiotów kluczowych — obowiązkowe audyty w kolejnych latach.

Jak często powinno się przeprowadzać audyt? Dla większości małych i średnich firm rozsądnym minimum jest przegląd raz w roku. Dodatkową kontrolę warto zrobić po każdej istotnej zmianie: wdrożeniu nowego systemu, migracji do chmury, zmianie dostawcy lub po incydencie. Im większe ryzyko (np. dane medyczne), tym częściej.

Ile kosztuje audyt bezpieczeństwa danych w MŚP? Cena zależy od liczby systemów, lokalizacji i głębokości analizy — prosty przegląd dokumentacji i procedur w małej firmie to zupełnie inny wydatek niż audyt z elementami technicznymi w firmie średniej. Rzetelny audytor przedstawia wycenę po krótkiej rozmowie o skali działalności, a nie z góry narzuconego cennika. Koszt warto zestawić z potencjalną karą i kosztami przestoju po incydencie.

Czy audyt RODO i audyt cyberbezpieczeństwa (NIS2) to to samo? Nie, choć mają część wspólną. Audyt RODO skupia się na ochronie danych osobowych i prawach osób, a audyt w ramach NIS2 dotyczy bezpieczeństwa systemów informacyjnych i ciągłości usług, także tych niezwiązanych z danymi osobowymi. Dobrze zaplanowany przegląd może jednak wykorzystać te same dowody — rejestr systemów, analizę ryzyka czy procedury incydentowe — dla obu obszarów.

Co zrobić, jeśli audyt wykaże poważne niezgodności? Przede wszystkim nie panikować i nie ukrywać wyników. Uporządkuj luki według ryzyka, przypisz im osoby odpowiedzialne i terminy, a najpilniejsze (np. brak MFA, brak procedury naruszeń) usuń w pierwszej kolejności. Udokumentowany plan naprawczy pokazuje organowi nadzorczemu, że firma działa świadomie — a to realnie wpływa na ocenę sytuacji w razie kontroli.