Self-audit firmy, checklist 50 pytań do wykonania w 60 minut

Pełen audyt firmy kosztuje 200 000-600 000 zł i trwa 3-6 miesięcy. Self-audit kosztuje godzinę Twojego czasu i daje obraz, na podstawie którego możesz podjąć decyzje strategiczne, czy zlecać pełen audyt, na które obszary skoncentrować zasoby, jak duże luki masz vs benchmark branżowy.

Ten tekst zawiera checklist 50 pytań w pięciu wymiarach (zgodność, procesy IT, łańcuch dostaw, kultura, gotowość obronna). Każde pytanie jest binarne (TAK/NIE) lub trójstopniowe (TAK/CZĘŚCIOWO/NIE), żeby uniknąć “udawania”, które jest powszechne w samoocenie. Wszystkie pytania są skonstruowane tak, by wymagać konkretnych dowodów (dokumentów, dat, osób), odpowiedź “TAK” bez dowodu = “CZĘŚCIOWO” w realnej ocenie.

Wymagany czas: 45-75 minut, zależnie od stopnia znajomości firmy. Wymagana wiedza: średnia (członek zarządu lub dyrektor compliance powinien móc wykonać sam, dyrektor IT może potrzebować wsparcia w kilku pytaniach RODO).

Sekcja 1: Zgodność regulacyjna (15 pytań, 30 punktów)

Pytanie 1. Czy mamy aktualny rejestr czynności przetwarzania (RCP) zgodnie z artykułem 30 RODO, aktualizowany w ostatnich 12 miesiącach?

• TAK, kompletny i aktualny: 2 pkt
• CZĘŚCIOWO (istnieje, ale nieaktualny lub niepełny): 1 pkt
• NIE: 0 pkt

Pytanie 2. Czy każdy z naszych dostawców-procesorów danych osobowych ma podpisaną aktualną umowę powierzenia (artykuł 28 RODO)?

• TAK, wszyscy: 2 pkt
• CZĘŚCIOWO, większość: 1 pkt
• NIE, większość brakuje lub nieaktualna: 0 pkt

Pytanie 3. Czy mamy procedurę obsługi praw podmiotów danych (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw) z konkretnymi terminami?

• TAK, udokumentowana i przetestowana: 2 pkt
• CZĘŚCIOWO, istnieje, nieprzetestowana: 1 pkt
• NIE: 0 pkt

Pytanie 4. Czy wykonaliśmy DPIA (Data Protection Impact Assessment) dla wszystkich procesów wymagających zgodnie z artykułem 35 RODO?

• TAK, wszystkie wymagane: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE / nie zidentyfikowaliśmy: 0 pkt

Pytanie 5. Czy mamy procedurę zgłaszania naruszeń ochrony danych do PUODO w 72 godzinach, z odpowiedzialnymi osobami?

• TAK, udokumentowana, przetestowana: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 6. Jeśli podlegamy NIS2, czy zarejestrowaliśmy się w systemie CSIRT NASK?

• TAK / nie podlegamy NIS2 (zweryfikowane): 2 pkt
• TAK ale w opóźnieniu / nie wiemy czy podlegamy: 1 pkt
• NIE: 0 pkt

Pytanie 7. Czy zarząd przyjął formalną uchwałę zatwierdzającą system zarządzania ryzykiem cyberbezpieczeństwa (NIS2 art. 20) w ostatnich 12 miesiącach?

• TAK: 2 pkt
• CZĘŚCIOWO (starsza niż 12 m-cy lub niepełna): 1 pkt
• NIE: 0 pkt

Pytanie 8. Czy każdy członek zarządu odbył w ostatnich 12 miesiącach formalne szkolenie z cyberbezpieczeństwa (minimum 4 godziny, z dokumentacją)?

• TAK, wszyscy: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 9. Czy posiadamy formalną procedurę obsługi incydentu cyberbezpieczeństwa z trójstopniowym protokołem 24h/72h/30 dni (NIS2 art. 23)?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 10. Czy mamy IOD/DPO (Inspektora Ochrony Danych) wyznaczonego formalnie z odpowiednim umocowaniem?

• TAK / nie jesteśmy zobowiązani do wyznaczenia (zweryfikowane): 2 pkt
• TAK ale z niejasnym umocowaniem: 1 pkt
• NIE: 0 pkt

Pytanie 11. Czy mamy Cybersecurity Officera lub równoważną rolę z udokumentowanym zakresem obowiązków?

• TAK, pełny etat lub minimum 50%: 2 pkt
• CZĘŚCIOWO, rola łączona, niejasny zakres: 1 pkt
• NIE: 0 pkt

Pytanie 12. Czy wszyscy pracownicy ze stałym dostępem do systemów IT przeszli w ostatnich 12 miesiącach szkolenie cyberhigieny z dokumentacją uczestnictwa?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 13. Czy podlegamy regulacjom sektorowym (KNF, URE, UKE, sektorowe ochrony zdrowia, DORA, AI Act) i mamy aktualny status zgodności?

• TAK / nie podlegamy specjalnym regulacjom: 2 pkt
• CZĘŚCIOWO, częściowa zgodność: 1 pkt
• NIE: 0 pkt

Pytanie 14. Czy nasze klauzule informacyjne dla osób, których dane przetwarzamy (klienci, pracownicy, kandydaci), są zgodne z artykułami 13-14 RODO i aktualne?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 15. Czy w ostatnich 24 miesiącach mieliśmy audyt zgodności (RODO i/lub NIS2) zewnętrzny lub wewnętrzny z udokumentowanym raportem?

• TAK: 2 pkt
• CZĘŚCIOWO, fragmentaryczny: 1 pkt
• NIE: 0 pkt

Sekcja 2: Procesy IT i kontrole techniczne (12 pytań, 24 punkty)

Pytanie 16. Czy uwierzytelnianie wieloskładnikowe (MFA) jest wdrożone dla wszystkich kont administracyjnych, dostępu do systemów krytycznych i dostępu zdalnego?

• TAK, wszystkie kategorie: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 17. Czy mamy formalną procedurę zarządzania patchami z określonymi terminami reakcji na podatności (krytyczne ≤14 dni, wysokie ≤30 dni)?

• TAK, z dokumentacją realnych terminów: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 18. Czy w ostatnich 12 miesiącach przeprowadziliśmy zewnętrzny test penetracyjny lub równoważny audyt techniczny?

• TAK, z udokumentowanym raportem: 2 pkt
• CZĘŚCIOWO, skanowanie automatyczne: 1 pkt
• NIE: 0 pkt

Pytanie 19. Czy nasze kopie zapasowe krytycznych systemów są wykonywane regularnie, przechowywane offline/immutable, z testem odtworzenia w ostatnich 12 miesiącach?

• TAK, wszystkie trzy warunki: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 20. Czy mamy aktualny plan ciągłości działania (BCP) i plan odzyskiwania po awarii (DRP) z testem w ostatnich 12 miesiącach?

• TAK: 2 pkt
• CZĘŚCIOWO, istnieje, nietestowany: 1 pkt
• NIE: 0 pkt

Pytanie 21. Czy posiadamy politykę kryptografii określającą wymagane standardy szyfrowania w tranzycie i w spoczynku, faktycznie wdrożoną dla danych krytycznych?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 22. Czy mamy formalną procedurę nadawania i odbierania dostępów (onboarding/offboarding) z kwartalnymi przeglądami uprawnień?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 23. Czy w ostatnim audycie kont aktywnych w głównych systemach udział kont nieaktywnych był poniżej 5%?

• TAK, sprawdzone w 6 m-cach: 2 pkt
• NIE WIADOMO / nie sprawdzone: 0 pkt
• NIE, sprawdzone, powyżej 5%: 0 pkt

Pytanie 24. Czy mamy monitoring bezpieczeństwa (SIEM lub równoważny) z analizą logów krytycznych systemów?

• TAK, aktywny: 2 pkt
• CZĘŚCIOWO, częściowy: 1 pkt
• NIE: 0 pkt

Pytanie 25. Czy mamy segmentację sieci oddzielającą krytyczne systemy od pozostałej infrastruktury?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 26. Czy oceniamy poziom dojrzałości procesów IT (np. CMMI) i mamy plan rozwoju do wyższego poziomu?

• TAK, minimum poziom 3 z planem dalszym: 2 pkt
• CZĘŚCIOWO, poziom 2: 1 pkt
• NIE, poziom 1 lub nieoceniany: 0 pkt

Pytanie 27. Czy mamy zarządzanie zmianami w infrastrukturze IT z formalnym procesem zatwierdzania?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Sekcja 3: Łańcuch dostaw (8 pytań, 16 punktów)

Pytanie 28. Czy mamy aktualną mapę wszystkich dostawców IT i usług dotykających systemów krytycznych?

• TAK, z aktualizacją w 12 m-cach: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 29. Czy każdy dostawca jest sklasyfikowany pod względem ryzyka (krytyczny / istotny / pozostały)?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 30. Czy wszystkie umowy z dostawcami krytycznymi zawierają klauzule cyberbezpieczeństwa (powiadomienie o incydencie, prawo do audytu, standardy)?

• TAK, wszystkie: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 31. Czy każdy dostawca krytyczny ma aktualny raport audytu (SOC 2, ISO 27001) lub wypełnił kwestionariusz cyberbezpieczeństwa w ostatnich 18 m-cach?

• TAK, wszyscy: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 32. Czy znamy subdostawców kluczowych dostawców z dostępem do naszych systemów lub danych?

• TAK, kompletna mapa: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 33. Czy mamy plan exit (alternatywni dostawcy, procedura migracji) dla kluczowych zależności?

• TAK, udokumentowany dla wszystkich krytycznych: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 34. Czy testowaliśmy w ostatnich 12 miesiącach procedurę reakcji na incydent po stronie dostawcy?

• TAK: 2 pkt
• NIE: 0 pkt

Pytanie 35. Czy łańcuch dostaw jest stałym punktem agendy zarządu raz w roku?

• TAK: 2 pkt
• CZĘŚCIOWO, okazjonalnie: 1 pkt
• NIE: 0 pkt

Sekcja 4: Kultura bezpieczeństwa (8 pytań, 16 punktów)

Pytanie 36. Czy w ostatnich 12 miesiącach przeprowadziliśmy ankietę kulturową dotyczącą cyberbezpieczeństwa wśród personelu?

• TAK, z udziałem >50%: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 37. Czy w ostatnich 12 miesiącach przeprowadziliśmy kontrolowany test phishingowy z analizą wyników?

• TAK: 2 pkt
• NIE: 0 pkt

Pytanie 38. Czy odsetek pracowników klikających na phishing jest poniżej 15% (benchmark branżowy)?

• TAK, sprawdzone testem: 2 pkt
• NIE / nie wiadomo: 0 pkt

Pytanie 39. Czy odsetek pracowników zgłaszających podejrzane wiadomości jest powyżej 30%?

• TAK: 2 pkt
• NIE / nie wiadomo: 0 pkt

Pytanie 40. Czy zarząd modeluje pożądane zachowania cyberbezpieczeństwa (używa MFA, managera haseł, nie obchodzi procedur)?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 41. Czy mamy program “champions cyber”, wyznaczone osoby w działach popularyzujące dobre praktyki?

• TAK: 2 pkt
• NIE: 0 pkt

Pytanie 42. Czy zgłaszanie incydentów (nawet własnych błędów) jest pozytywnie odbierane w organizacji (nie penalizowane)?

• TAK, udokumentowana polityka: 2 pkt
• CZĘŚCIOWO, niejasne: 1 pkt
• NIE, penalizujące: 0 pkt

Pytanie 43. Czy cyberbezpieczeństwo jest stałym elementem komunikacji wewnętrznej (newslettery, briefy)?

• TAK, regularnie: 2 pkt
• CZĘŚCIOWO, sporadycznie: 1 pkt
• NIE: 0 pkt

Sekcja 5: Gotowość obronna (7 pytań, 14 punktów)

Pytanie 44. Czy mamy aktualną listę kontaktów awaryjnych (CSIRT NASK, kancelaria prawna, firma incident response, ubezpieczyciel)?

• TAK, przetestowana: 2 pkt
• CZĘŚCIOWO, istnieje, nieprzetestowana: 1 pkt
• NIE: 0 pkt

Pytanie 45. Czy mamy retainer/umowę o gotowości z kancelarią prawną mającą doświadczenie w postępowaniach cyber?

• TAK: 2 pkt
• NIE: 0 pkt

Pytanie 46. Czy nasza polisa cyber/D&O pokrywa koszty obrony w postępowaniach administracyjnych?

• TAK, zweryfikowana: 2 pkt
• NIE WIEMY: 0 pkt
• NIE: 0 pkt

Pytanie 47. Czy mamy procedurę komunikacji kryzysowej (klienci, partnerzy, media) na różne scenariusze incydentów?

• TAK: 2 pkt
• CZĘŚCIOWO: 1 pkt
• NIE: 0 pkt

Pytanie 48. Czy posiadamy ubezpieczenie cyber liability z odpowiednim limitem (minimum 1% rocznego obrotu)?

• TAK: 2 pkt
• CZĘŚCIOWO, niższy limit: 1 pkt
• NIE: 0 pkt

Pytanie 49. Czy w ostatnich 12 miesiącach przeprowadziliśmy ćwiczenie tabletop (symulacja incydentu) dla zespołu kryzysowego?

• TAK: 2 pkt
• NIE: 0 pkt

Pytanie 50. Czy mamy wspólny rejestr incydentów obsługujący wymogi NIS2 i RODO?

• TAK: 2 pkt
• CZĘŚCIOWO, oddzielne: 1 pkt
• NIE: 0 pkt

Punktacja i interpretacja

Maksimum: 100 punktów. Sekcje: zgodność (30), procesy IT (24), łańcuch dostaw (16), kultura (16), gotowość obronna (14).

90-100 punktów: gotowość znakomita. Twoja firma jest w czołówce branży. Pełen audyt zewnętrzny rekomendowany dla potwierdzenia stanu i benchmarku. Inwestycje w certyfikację i rozwój zaawansowanych obszarów.

75-89 punktów: gotowość wysoka. Solidne fundamenty. Drobne luki do uzupełnienia. Pełen audyt zewnętrzny co 24-36 miesięcy. Plan działań na 6 miesięcy.

60-74 punkty: gotowość umiarkowana. Działający system z istotnymi lukami. Pełen audyt zewnętrzny w ciągu 12 miesięcy. Konkretny plan inwestycji 200 000-600 000 zł na 12-18 miesięcy.

45-59 punktów: gotowość niska. Istotne luki w wielu obszarach. Pilna decyzja zarządu o priorytetowym programie. Pełen audyt zewnętrzny w ciągu 6 miesięcy z planem naprawczym 12-24 miesięcy.

Poniżej 45 punktów: gotowość minimalna lub krytyczna. Systemowe braki. Realne ryzyko maksymalnych sankcji w razie kontroli lub incydentu. Pełen audyt zewnętrzny pilnie. Plan transformacyjny 18-24 miesięcy z budżetem 500 000 zł i więcej.

Mapowanie wyników na priorytety

Sprawdź sekcje z najniższą punktacją (procentowo). To obszary priorytetowe.

Niski wynik w sekcji 1 (zgodność): problem regulacyjny. Pierwsze działania: rejestracja CSIRT NASK, formalizacja zarządcza, plan zgodności RODO+NIS2.

Niski wynik w sekcji 2 (procesy IT): problem operacyjny. Inwestycja w narzędzia (MFA, monitoring, backup), formalizacja procedur, procedura patch management.

Niski wynik w sekcji 3 (łańcuch dostaw): najczęściej zaniedbany obszar. Mapa dostawców, klasyfikacja, renegocjacje umów, plan exit.

Niski wynik w sekcji 4 (kultura): problem długoterminowy. Programy szkoleniowe, transformacja komunikacji, leadership behaviors zarządu.

Niski wynik w sekcji 5 (gotowość obronna): problem strategiczny. Kontraktowanie kancelarii, polisy cyber, ćwiczenia tabletop, plan komunikacji kryzysowej.

Co dalej po self-audit

Krok 1: walidacja wyniku. Test wykonany solo to test marketingowy. Walidacja przez drugą osobę (najlepiej z innej perspektywy) podnosi wiarygodność.

Krok 2: dyskusja w zarządzie. Wynik samoaudytu jako punkt agendy. Decyzje strategiczne na jego podstawie.

Krok 3: decyzja o pełnym audycie zewnętrznym. Jeśli wynik poniżej 75, pełen audyt zewnętrzny w ciągu 6 miesięcy. Powyżej 75, co 24-36 miesięcy.

Krok 4: plan działań na 90 dni. Konkretne kroki w obszarach najsłabszych z budżetem i odpowiedzialnymi.

Krok 5: powtórzenie self-audit za 6 miesięcy. Mierzenie postępu.

Bibliografia

• Komisja Europejska. (2022). Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2). https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
• Parlament Europejski i Rada UE. (2016). Rozporządzenie (UE) 2016/679 (RODO). https://eur-lex.europa.eu/eli/reg/2016/679/oj
• NIST. (2024). Cybersecurity Framework 2.0. National Institute of Standards and Technology. https://doi.org/10.6028/NIST.CSWP.29
• ISO. (2022). ISO/IEC 27001:2022, Załącznik A. https://www.iso.org/standard/27001
• ENISA. (2025). NIS2 technical implementation guidance. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance
• Verizon. (2024). 2024 Data Breach Investigations Report. Verizon Business. https://www.verizon.com/business/resources/reports/dbir/

---

Self-audit to początek strategii, nie koniec. W cotygodniowym newsletterze SkanujFirme.pl publikujemy interpretacje wyników podobnych testów dla różnych typów firm, plus konkretne plany 90-dniowe i 12-miesięczne. Zapisz się, bezpłatnie i wykorzystaj ten test jako punkt wyjścia.