NIS2 / KSC · audyt techniczny · aplikacje i API
Audyt techniczny pod NIS2 i KSC od wymagań do konkretnych poprawek w aplikacjach i API
Sprawdzam, jak Twoje aplikacje, API i infrastruktura wyglądają w obszarach, których dotyczą wymagania NIS2/KSC, i przygotowuję plan działań technicznych.
Dla firm, które przygotowują się do NIS2/KSC i chcą wiedzieć, co poprawić po stronie IT. Bez zmiany obecnego wykonawcy.
Audyt techniczny nie zastępuje obowiązkowego audytu zgodności z ustawą o KSC ani oceny prawnej.
- Użytkownicy i rolelogowanie, sesje, uprawnienia
- Aplikacja webowa / mobilnaOWASP, obsługa błędów, procesy
- APIdostęp do endpointów, walidacja, limity
- Integracje: płatności, ERP, CRMklucze, webhooki, zakres uprawnień
- Baza danych i kopieuprawnienia, ochrona danych, odtwarzanie
- Serwery, chmura, logisekrety, konfiguracja, monitoring
- 12+
- lat w stronach, aplikacjach i marketingu
- 150+
- projektów: pomagam na każdym etapie, od pomysłu po rozwój
- 2–6 tyg.
- od pomysłu do działającego produktu
- 2 h
- zwykle tyle czekasz na odpowiedź
Dla kogo
Kiedy warto zacząć od techniki?
- 01Zarząd pyta o gotowość na NIS2, a nikt nie wie, jak wygląda to technicznie.
- 02Masz polityki i procedury, ale nie wiesz, czy aplikacje za nimi nadążają.
- 03Dostawcy i integracje mają dostęp do Twoich danych i systemów.
- 04Nie masz pewności, czy incydent zostałby w ogóle zauważony.
- 05Kopie zapasowe są, ale nikt nie sprawdzał odtworzenia.
- 06Aplikacje i API budował zewnętrzny wykonawca.
Od wymagań do działań
NIS2 i KSC — od wymagań do konkretnych działań technicznych
Dyrektywa NIS2 i polskie przepisy o krajowym systemie cyberbezpieczeństwa wymagają od objętych nimi organizacji zarządzania ryzykiem, środków bezpieczeństwa i reagowania na incydenty. Przepisy mówią, co osiągnąć. Audyt pokazuje, jak wygląda to dziś w Twoich systemach.
Dokładny zakres ustalamy przed startem, więc nie każdy audyt obejmuje wszystkie obszary.
Kontrola dostępu
Wymagania: Dostęp tylko dla uprawnionych osób i systemów, uwierzytelnianie wieloskładnikowe.
Sprawdzam: Role i uprawnienia w aplikacji, konta administracyjne, sesje, logowanie do paneli.
Bezpieczeństwo systemów i aplikacji
Wymagania: Bezpieczeństwo przy rozwoju i utrzymaniu systemów.
Sprawdzam: Typowe ryzyka OWASP, konfiguracja środowisk, krytyczne procesy biznesowe.
Zarządzanie podatnościami
Wymagania: Wykrywanie i obsługa podatności.
Sprawdzam: Zależności ze znanymi lukami, aktualizacje, kolejność poprawek według ryzyka.
Kryptografia i ochrona danych
Wymagania: Zasady stosowania kryptografii i szyfrowania.
Sprawdzam: Konfiguracja HTTPS, przechowywanie haseł, szyfrowanie danych wrażliwych, sekrety.
Obsługa incydentów
Wymagania: Wykrywanie incydentów i reagowanie na nie.
Sprawdzam: Logi, monitoring błędów, czy incydent da się zauważyć i odtworzyć jego przebieg.
Łańcuch dostaw i integracje
Wymagania: Bezpieczeństwo relacji z dostawcami.
Sprawdzam: Klucze i uprawnienia integracji, przepływ danych do dostawców, webhooki.
Ciągłość działania
Wymagania: Kopie zapasowe i odtwarzanie po awarii.
Sprawdzam: Kopie, test odtworzenia, kto ma do nich dostęp, w uzgodnionym zakresie.
Granice usługi
Co jest poza audytem technicznym
Czy przepisy Cię obejmują
Ocena, czy organizacja jest podmiotem kluczowym lub ważnym, to zadanie dla prawnika.
Prawna ocena zgodności
Polityki, procedury i odpowiedzialność zarządu ocenia prawnik lub doradca ds. zgodności.
Obowiązkowy audyt KSC
Przeprowadzają go podmioty i osoby spełniające wymagania ustawy.
Raport techniczny może być dla nich materiałem wejściowym: pokazuje stan systemów, dowody i plan poprawek.
Rezultat
Co otrzymasz?
Raport, który zarząd może pokazać jako dowód działań, a zespół IT lub dostawca dostaje z niego listę zadań.
- Podsumowanie dla zarządu
- Problemy przypisane do obszarów NIS2
- Ocena ryzyka i priorytety
- Dowody techniczne i opis wpływu
- Zalecenia naprawcze
- Plan działań dla zespołu IT lub dostawcy
Raport techniczny z audytu bezpieczeństwa
Przykład
Podsumowanie dla zarządu
1
ryzyko wysokie
2
ryzyko średnie
0
ryzyko niskie
| Obszar | Problem | Ryzyko | Rekomendacja |
|---|---|---|---|
| Kontrola dostępu | Brak kontroli dostępu do zasobu API | Wysokie | Weryfikacja uprawnień po stronie serwera |
| Podatności | Nieaktualna zależność aplikacji | Średnie | Aktualizacja i testy regresyjne |
| Incydenty | Brak logów nieudanych logowań | Średnie | Rejestrowanie zdarzeń i alerty |
Proces
Jak wygląda współpraca?
- 01Konsultacja i określenie zakresuOmawiamy architekturę, technologie, cele i granice sprawdzenia. Podpisuję NDA, jeśli jest potrzebne.
- 02Analiza technicznaSprawdzam uzgodnione komponenty i konfiguracje: kod, API, ustawienia środowisk.
- 03Raport i rekomendacjeDokument z ryzykami, dowodami i zaleceniami, omówiony na krótkim spotkaniu.
- 04Wsparcie we wdrożeniu poprawekOpcjonalnie, jako osobna usługa: poprawki w kodzie i ponowne sprawdzenie.
Aktywne testy prowadzę wyłącznie po pisemnej zgodzie właściciela systemu i po uzgodnieniu granic testowania.
Technologie
Systemy, które znam od środka
- Next.js
- React
- Node.js
- TypeScript
- REST API
- PHP / Laravel
- WordPress
- WooCommerce
- PostgreSQL
- Supabase
- Vercel
- Docker
12+ lat projektowania i budowy aplikacji webowych, API i sklepów, więc oceniam nie tylko listę podatności, ale też architekturę i koszt poprawek. W 2021 roku pracowałem dla Open Systems, szwajcarskiej firmy z branży cyberbezpieczeństwa, przy aplikacji webowej i aplikacji na Androida do monitorowania incydentów bezpieczeństwa.
Opinie klientów
„Współpracowaliśmy z Vladem przy projekcie opartym na Next.js. Od początku wiedział, co robi, nie komplikował niepotrzebnie rozwiązań i potrafił sam zaproponować lepsze podejście. Szczególnie doceniam jego pracę nad wydajnością strony. Wszystko zostało dostarczone zgodnie z ustaleniami.”
George B. CEO w firmie finansowej
„Potrzebowaliśmy szybko zbudować MVP, żeby sprawdzić nasz pomysł w praktyce. Vlad pomógł nam wybrać rozsądne rozwiązania i skupić się na tym, co naprawdę było potrzebne na start. Nie próbowaliśmy budować wszystkiego od razu, ale jednocześnie zadbał o to, żeby projekt można było później rozwijać bez zaczynania od zera.”
Alex N. Product Manager w StartupX
„Vlad szybko zorientował się w naszym projekcie i wskazał kilka problemów, których wcześniej nie traktowaliśmy priorytetowo. Uporządkował kwestie związane z bazą danych i bezpieczeństwem. Podobało mi się, że nie ograniczał się do wykonania zadań, ale też jasno tłumaczył, dlaczego warto coś zmienić i jakie mogą być konsekwencje.”
Michał R. CTO w TechCorp
„Mieliśmy aplikację, w której każda większa zmiana zaczynała być problemem. Vlad pomógł nam uporządkować kod, przebudować część starszych rozwiązań i wprowadzić testy automatyczne. Teraz znacznie łatwiej pracuje się nad kolejnymi funkcjami. Doceniam też jego cierpliwość w tłumaczeniu technicznych tematów osobom spoza zespołu developerskiego.”
Sara K. Product Owner w WebSolutions
Najczęstsze pytania
Czy moja firma podlega NIS2/KSC?
Tego nie rozstrzygam. O tym, czy organizacja jest podmiotem kluczowym lub ważnym, decyduje ocena prawna: sektor, wielkość i rodzaj usług. Techniczną część przygotowuję wtedy, gdy wiesz już, że przepisy Cię dotyczą, albo gdy chcesz się przygotować, bo wymaga tego np. Twój klient.
Czy audyt jest obowiązkowy w ramach NIS2?
Przepisy NIS2 i KSC nakładają obowiązki na podmioty, które im podlegają, w tym zarządzanie ryzykiem i środki bezpieczeństwa. Czy Twoja organizacja jest objęta przepisami i jakie audyty są dla niej obowiązkowe, rozstrzyga ocena prawna, której ta usługa nie obejmuje. Audyt techniczny pomaga przygotować obszary techniczne: dostęp, aplikacje, podatności, monitoring i kopie zapasowe.
Czy audyt techniczny zastępuje audyt zgodności KSC?
Nie. Obowiązkowy audyt w ramach ustawy o KSC przeprowadzają podmioty i osoby spełniające wymagania ustawy. Audyt techniczny to niezależna ocena aplikacji i API: pokazuje konkretne ryzyka i poprawki, które warto wdrożyć, także przed audytem zgodności.
Czym ten audyt różni się od ISO 27001?
ISO 27001 to system zarządzania bezpieczeństwem informacji i certyfikacja całej organizacji. Ten audyt dotyczy techniki: konkretnych aplikacji, API i konfiguracji. Wyniki mogą się przydać przy obu tematach, ale nie dają certyfikatu.
Ile kosztuje techniczny audyt pod NIS2?
Cenę ustalam indywidualnie po określeniu zakresu: liczby aplikacji i API, integracji, środowisk i obszarów, które mamy sprawdzić. Dostajesz stałą kwotę na piśmie, zanim zacznę pracę.
Jak długo trwa audyt?
To zależy od wielkości systemu i uzgodnionego zakresu. Termin podaję razem z wyceną. Problemy o wysokim ryzyku zgłaszam od razu, nie czekając na końcowy raport.
Co, jeśli nie mamy własnego zespołu IT?
Raport piszę tak, żeby zrozumiał go zarząd i wykonawca. Poprawki mogę przekazać Twojemu dostawcy albo wdrożyć sam jako osobną usługę, a potem sprawdzić je ponownie.
Czy audyt obejmuje dostawców i integracje?
Tak, od strony Twojego systemu: jakie klucze i uprawnienia mają integracje, jakie dane trafiają do dostawców i jak zabezpieczone są webhooki. Systemów samych dostawców nie testuję bez ich zgody.
Wycena
Sprawdź bezpieczeństwo swojej aplikacji
Napisz, jakie systemy chcesz sprawdzić i na jakim etapie przygotowań jesteś. Odpowiadam zwykle w ciągu 2 godzin roboczych, a po konsultacji wysyłam zakres, termin i cenę na piśmie.
- 1. Krótka rozmowa o architekturze i celach.
- 2. Zakres, termin i stała cena na piśmie.
- 3. Pisemna zgoda na testy i NDA, jeśli potrzebne.
Haseł, kluczy API i innych dostępów nie wysyłaj przez formularz. Ustalimy bezpieczny sposób ich przekazania po uzgodnieniu zakresu.
Powiązane usługi