Ile kosztuje audyt zero w szpitalu i co zawiera raport z audytu NIS 2?
- Audyt zero NIS 2 — cena wynosi 0 zł, a sesja trwa 1–2 godziny i do niczego nie zobowiązuje.
- To moderowana sesja robocza, a nie inwazyjny audyt infrastruktury ani test penetracyjny.
- Efektem jest raport z audytu NIS 2: mapa luk, priorytety i pierwszy plan działań.
- Audyt zerowy NIS 2 poprzedza decyzję budżetową o wdrożeniu — nie odwrotnie. Cena audytu NIS 2 w wersji pełnej zależy już od zakresu.
Spis treści
- Audyt zero NIS 2 — cena i co się na nią składa
- Dlaczego audyt zerowy jest bezpłatny i gdzie nie ma haczyka
- Co obejmuje audyt zerowy NIS 2 — przebieg sesji
- Co zawiera raport z audytu NIS 2?
- Audyt zerowy NIS 2 a pełny audyt zgodności — różnice
- Audyt zero a testy penetracyjne NIS 2 — to nie to samo
- Perspektywa zarządu: co dyrektor wynosi z audytu zerowego
- Perspektywa działu IT: co wynosi kierownik IT
- Obszary, które obejmuje ocena podczas audytu zerowego w szpitalu
- Kto powinien uczestniczyć w audycie zerowym szpitala
- Audyt zero NIS 2 w szpitalu — cena wdrożenia i to, co je różni
- Dlaczego zaczynamy od audytu zero, a nie od zakupów
- Co dzieje się po audycie zerowym?
- Najczęściej zadawane pytania dotyczące audytu zero w szpitalu
- Sprawdź, w jakim punkcie jest Twój szpital
Audyt zero NIS 2 — cena i co się na nią składa
Audyt zero NIS 2 — cena tej usługi wynosi 0 zł. To bezpłatna, wstępna sesja robocza trwająca od jednej do dwóch godzin, podczas której mapujemy stan bezpieczeństwa szpitala względem wymogów, jakie stawia dyrektywa NIS 2. Cena audytu NIS 2 w tej formule nie zależy od wielkości placówki — sesja wygląda tak samo w szpitalu powiatowym i klinicznym. Sesja nie wiąże się z żadnym zobowiązaniem i nie wymaga wcześniejszego przygotowania dokumentacji.
Nazwa bywa myląca, więc warto ją doprecyzować. Audyt zerowy NIS 2 nie jest formalnym audytem w rozumieniu przepisów — to diagnoza punktu wyjścia. Odpowiada na pytanie „gdzie jesteśmy”, a nie „czy spełniamy wszystkie wymogi dyrektywy co do joty”. Ta druga odpowiedź wymaga pełnego audytu zgodności, który jest osobną, płatną usługą o zupełnie innej głębokości. Dyrektywa NIS 2 nie narzuca formy takiej diagnozy wstępnej — to praktyka rynkowa, a nie obowiązek. Sama dyrektywa NIS 2 mówi o ocenie ryzyka, nie o nazwach usług.
Dlaczego audyt zerowy jest bezpłatny i gdzie nie ma haczyka
Bezpłatność wynika z prostej kalkulacji po obu stronach. Bez diagnozy nie da się złożyć szpitalowi sensownej oferty — można jedynie zgadywać zakres prac, a taka wycena jest albo zawyżona na wszelki wypadek, albo rozjeżdża się w trakcie realizacji. Placówka z kolei nie powinna podejmować decyzji budżetowej, nie wiedząc, jakie ma realne luki względem tego, czego wymaga dyrektywa NIS 2.
Przeprowadzenie audytu zerowego zajmuje nam kilka godzin pracy, a pozwala rozmawiać o konkretach zamiast o ogólnikach. To dlatego traktujemy go jako inwestycję we własną wiarygodność, a nie jako element kampanii sprzedażowej. Rzetelny audyt zgodności bywa zresztą argumentem, żeby części prac w ogóle nie zlecać na zewnątrz —
i to również jest uczciwy wynik takiej sesji.
Co obejmuje audyt zerowy NIS 2 — przebieg sesji
Audyt zerowy NIS 2 ma stałą strukturę i składa się z czterech bloków. Nie prowadzimy w jej trakcie żadnych działań technicznych na systemach szpitala — pracę opieramy na rozmowie, dokumentach i tym, co dział IT sam pokaże.
- Inwentaryzacja systemów krytycznych — które systemy IT decydują o ciągłości leczenia: HIS, RIS, LIS, PACS, a także aparatura podłączona do sieci szpitalnej.
- Ocena obecnych zabezpieczeń — kopie zapasowe i ich testowanie, kontrola dostępu, uwierzytelnianie wieloskładnikowe, segmentacja i bezpieczeństwo sieci, aktualny poziom bezpieczeństwa fizycznego serwerowni.
- Największe obawy zespołu — to blok, w którym najwięcej wnosi dział IT; zwykle padają tu rzeczy, których nie widać w żadnej dokumentacji.
- Kontekst organizacyjny — kto za co odpowiada, jakie procedury bezpieczeństwa już istnieją, jak wygląda współpraca z dostawcami usług.
Audyt bezpieczeństwa na tym etapie ma charakter przeglądowy, a audyt infrastruktury ogranicza się do rozmowy i dokumentów. Tak prowadzony audyt infrastruktury nie obciąża systemów ani zespołu. Nie skanujemy sieci, nie uruchamiamy narzędzi w środowisku produkcyjnym i nie wymagamy dostępu do systemów informatycznych placówki. Pełny audyt bezpieczeństwa wygląda inaczej — i o tej różnicy piszemy niżej.
Co zawiera raport z audytu NIS 2?
Raport z audytu NIS 2 powstaje w ciągu kilku dni roboczych po sesji. Jest zwięzły — zwykle mieści się na kilku stronach. Zawiera pięć elementów:
- mapę luk odniesioną do wymagań dyrektywy NIS 2 — co już działa, czego brakuje, co wymaga jedynie udokumentowania;
- priorytety uszeregowane według ryzyka, a nie według łatwości wdrożenia;
- listę działań natychmiastowych, możliwych do wykonania bez budżetu i bez postępowania zakupowego;
- wstępny zakres prac wraz z widełkami czasowymi dla poszczególnych etapów;
- rekomendacje dotyczące środków zarządzania ryzykiem, opisane funkcjonalnie — bez wskazywania konkretnego producenta.
Ostatni punkt jest istotny. Raport z audytu NIS 2, który kończy się nazwą konkretnego rozwiązania i cennikiem, nie jest diagnozą, tylko ofertą w przebraniu. Dokument ma opisywać, jaką funkcję trzeba zapewnić, a nie co należy kupić. Dyrektywa NIS 2 wymaga skuteczności środków, nie konkretnych marek.
Wskazówka Coongi: Poproś o raport w formie, którą da się pokazać zarządowi.
Dokument techniczny z listą podatności nie przejdzie na posiedzeniu. Wartościowy raport ma dwie warstwy: jednostronicowe podsumowanie ryzyk językiem zarządczym oraz część szczegółową dla działu IT. Jeśli wykonawca nie potrafi dostarczyć obu, prawdopodobnie nie pracował wcześniej z placówką publiczną — a to oznacza, że kolejne dokumenty też trzeba będzie tłumaczyć samodzielnie.
Audyt zerowy NIS 2 a pełny audyt zgodności — różnice
Te dwie usługi bywają mylone, choć odpowiadają na inne pytania i mają inną cenę. Cena audytu NIS 2 w wersji pełnej bywa kilkukrotnie wyższa od kosztu samego wdrożenia pojedynczego zabezpieczenia, dlatego warto wiedzieć, za co się płaci. Poniższe zestawienie porządkuje podstawowe różnice.
Kryterium | Audyt zerowy NIS 2 | Pełny audyt NIS 2 (zgodności) |
|---|---|---|
Pytanie, na które odpowiada | Gdzie jesteśmy i od czego zacząć | Czy spełniamy wymogi NIS 2 w pełnym zakresie |
Czas trwania | 1–2 godziny | Od kilku dni do kilku tygodni |
Głębokość | Przeglądowa, bez działań technicznych | Szczegółowa, z weryfikacją dowodów |
Rezultat | Raport z priorytetami i planem działań | Ocena zgodności formalna, z listą niezgodności |
Cena | 0 zł | Zależna od wielkości placówki i zakresu |
W praktyce audyt zerowy NIS 2 pełni funkcję zbliżoną do analizy luk, znanej też jako Gap Analysis — pokazuje odległość między stanem obecnym a wymaganym.
Pełny audyt NIS 2 wchodzi natomiast na poziom dowodowy: sprawdza nie deklaracje, lecz zapisy, konfiguracje i dokumentację. Taka ocena zgodności wymaga dostępu do systemów, a jej przeprowadzenie planuje się z wyprzedzeniem. Taka ocena zgodności bywa warunkiem zamknięcia projektu. Audyt nis w tej drugiej formie jest też obowiązkowy dla podmiotów kluczowych po upływie ustawowego terminu — tak przewiduje dyrektywa NIS 2 wdrożona ustawą o KSC. Audyt zgodności bywa zresztą powtarzany cyklicznie, a nie jednorazowo, bo tego oczekuje dyrektywa NIS 2.
Audyt zero a testy penetracyjne NIS 2 — to nie to samo
To najczęstsza obawa zgłaszana przez działy IT przed sesją, więc warto ją rozwiać wprost. Audyt zerowy NIS 2 nie ma z testami nic wspólnego poza słowem „audyt”.
Testy penetracyjne NIS 2 to kontrolowany atak na działającą infrastrukturę szpitala: symulacja włamania prowadzona przez zespół, który celowo szuka słabych punktów i próbuje je wykorzystać. Testy penetracyjne NIS 2 kończą się raportem z listą wykorzystanych podatności.
Testy penetracyjne NIS 2 wymagają pisemnych zgód, uzgodnionego okna czasowego, planu na wypadek zakłócenia pracy oddziału oraz gotowości do przerwania testu.
W szpitalu to poważne przedsięwzięcie organizacyjne, bo audyt cyberbezpieczeństwa infrastruktura obejmująca aparaturę medyczną znosi znacznie gorzej niż typowa sieć biurowa; audyt cyberbezpieczeństwa infrastruktura kliniczna wymaga wręcz osobnego reżimu — część urządzeń potrafi zareagować na zwykłe skanowanie portów.
Audyt zerowy NIS 2 nie robi nic z powyższych rzeczy. Nie skanuje, nie testuje, nie obciąża systemów i nie wpływa na ciągłość działania placówki. Testy penetracyjne NIS 2 mają sens później — po wdrożeniu zabezpieczeń, jako weryfikacja ich skuteczności. Wykonane przed uporządkowaniem podstaw generują długą listę podatności,
z którą i tak nie ma co zrobić, a bezpieczeństwo systemów nie rośnie od samego ich policzenia. Testy penetracyjne NIS 2 warto więc traktować jako etap kontrolny,
nie otwierający — a zlecać je dopiero wtedy, gdy podstawowe środki już działają.
Perspektywa zarządu: co dyrektor wynosi z audytu zerowego
Dla dyrektora najważniejszy jest jeden efekt: przejście od przeczucia do liczby. Przed sesją odpowiedź na pytanie o poziom cyberbezpieczeństwa placówki brzmi zwykle „chyba nieźle” albo „dział IT mówi, że są braki”. Dyrektywa NIS 2 wymaga jednak dowodów, a nie wrażeń. Po sesji jest to lista z priorytetami i szacunkiem czasu. Bezpieczeństwo cyfrowe przestaje być hasłem, a staje się pozycją w planie każdego szpitala.
Ma to trzy praktyczne konsekwencje. Po pierwsze, raport z audytu NIS 2 jest dokumentem — a udokumentowana analiza to element wykazania należytej staranności,
co przy osobistej odpowiedzialności kierownika podmiotu ma wymierne znaczenie. Po drugie, daje podstawę do rozmowy z organem założycielskim o finansowaniu, opartą na konkretach zamiast na ogólnym haśle o cyberbezpieczeństwie. Po trzecie, porządkuje sekwencję: wdrożenie dyrektywy przestaje być jednym wielkim wydatkiem, a staje się kilkoma etapami, które da się rozłożyć w czasie. Zarządzanie ryzykiem staje się przy tym decyzją zarządczą, a nie zadaniem zleconym informatykom.
Perspektywa działu IT: co wynosi kierownik IT
Dla kierownika działu IT wartość jest inna, choć równie konkretna. Najczęściej audyt zerowy NIS 2 potwierdza to, co zespół zgłasza od dawna bez skutku — z tą różnicą, że tym razem mówi to strona zewnętrzna, w dokumencie skierowanym do zarządu.
Sesja nie generuje przy tym dodatkowej pracy operacyjnej: nie trzeba przygotowywać środowiska testowego, wystawiać dostępów ani pisać raportów przed spotkaniem. Porządkuje natomiast rozproszone wątki — bezpieczeństwo IT i bezpieczeństwo danych, zarządzanie incydentami, raportowanie incydentów do CSIRT, procedury bezpieczeństwa i ich aktualność — w jedną listę z jasnym wskazaniem, co jest pilne, a co może poczekać. Dla wielu zespołów to pierwszy moment, gdy bezpieczeństwo IT zostaje opisane w kategoriach ryzyka, a nie zgłoszeń serwisowych. Wyraźnie rozgranicza też, które zadania zostają po stronie szpitala niezależnie od tego, kogo wybierze do wdrożenia.
Wskazówka Coongi: Zderzcie obie listy przed sesją.
Poproście dyrektora i kierownika IT o samodzielne wypisanie trzech największych ryzyk placówki — osobno i bez konsultacji. Rozbieżność między tymi listami mówi o stanie zarządzania bezpieczeństwem więcej niż niejeden audyt. Jeśli zarząd martwi się karą, a dział IT brakiem kopii offline, to pierwszym zadaniem nie jest zakup narzędzia, tylko ustalenie wspólnego obrazu ryzyka.
Obszary, które obejmuje ocena podczas audytu zerowego w szpitalu
Poniższa lista pokazuje, o co konkretnie pytamy. Warto ją przejrzeć przed sesją — im więcej odpowiedzi znanych z góry, tym więcej czasu zostaje na rzeczy naprawdę sporne.
- Ocena bezpieczeństwa systemów dziedzinowych — HIS, RIS, LIS i PACS: kto nimi administruje, jak są aktualizowane, co się dzieje przy awarii.
- Bezpieczeństwo sieci — czy istnieje podział na strefy i czy aparatura medyczna jest oddzielona od sieci administracyjnej oraz gościnnej.
- Bezpieczeństwo danych — zakres kopii zapasowych, częstotliwość, ostatni przeprowadzony test odtworzenia.
- Środki zarządzania ryzykiem — czy analiza ryzyka istnieje, kiedy była aktualizowana i kto ją formalnie zatwierdził.
- Praktyka w zakresie zarządzania incydentami — kto wykrywa zdarzenie, kto je klasyfikuje i kto odpowiada za raportowanie incydentów do CSIRT; sprawne zarządzanie incydentami bywa tańsze niż kolejne narzędzie.
- Ciągłość działania — czy istnieją procedury pracy oddziału bez dostępu do systemów i czy były ćwiczone.
- Dostawcy usług cyfrowych — kto ma dostęp zdalny do infrastruktury, na jakich zasadach i czy jest on monitorowany.
- Systemy informatyczne obszaru administracyjnego szpitala — kadry, księgowość, obieg dokumentów, często pomijane w analizach.
- Decyzje dotyczące zarządzania bezpieczeństwem — kto je podejmuje i na jakiej podstawie.
Zakres celowo wykracza poza technikę, bo audyt cyberbezpieczeństwa infrastruktura szpitalna wymaga spojrzenia także na procedury. Dyrektywa NIS 2 kładzie nacisk na proces, nie na listę urządzeń, dlatego ocena bezpieczeństwa systemów bez pytania o odpowiedzialność i procedury byłaby niepełna.
Kto powinien uczestniczyć w audycie zerowym szpitala
Minimalny skład to dwie osoby: ktoś decyzyjny oraz ktoś, kto zna systemy IT placówki od środka. Przeprowadzenie audytu w takim składzie zajmuje najmniej czasu. Bez osoby decyzyjnej sesja traci połowę wartości, bo pytania o odpowiedzialność, budżet i priorytety pozostają bez odpowiedzi, a właśnie one najsilniej wpływają na kształt planu.
Audyt bezpieczeństwa tej skali nie wymaga większego zespołu. Warto zaprosić również inspektora ochrony danych, jeśli placówka takiego wyznaczyła, a przy rozbudowanym środowisku także osobę odpowiedzialną za umowy z dostawcami usług cyfrowych. Wiele luk w łańcuchu dostaw wychodzi na jaw dopiero wtedy, gdy przy jednym stole siedzą osoby od techniki i od kontraktów.
Audyt zero NIS 2 w szpitalu — cena wdrożenia i to, co je różni
Analiza jest bezpłatna, ale wdrożenie już nie — i warto te dwie rzeczy rozdzielić od początku. Cena audytu NIS 2 bywa myląco utożsamiana z kosztem całego projektu. Cena audytu NIS 2 w wersji zerowej wynosi zero, natomiast koszt wdrożenia wycenia się dopiero po diagnozie, bo wcześniej nie ma czego wyceniać.
Samo wdrożenie systemu zarządzania bezpieczeństwem informacji to najdroższa pozycja w całym projekcie.
Na cenę wdrożenia wpływa pięć czynników: wielkość placówki i liczba lokalizacji, stan wyjściowy infrastruktury, liczba dostawców z dostępem zdalnym, zakres wymaganych szkoleń oraz to, czy szpital chce prowadzić monitoring samodzielnie, czy powierzyć go na zewnątrz. Szczegółowe porównanie kosztów obu modeli opisujemy w osobnym wpisie o outsourcingu i budowie własnego zespołu. Na koszt wpływa też liczba systemów objętych oceną, bo wdrożenie systemu zarządzania
w placówce wielooddziałowej wymaga więcej pracy dokumentacyjnej.
Wskazówka Coongi: Zaplanuj audyt zero pod kalendarz budżetowy, nie pod kalendarz ustawy.
Wyniki muszą trafić na biurko dyrektora przed terminem składania planu finansowego, a nie po nim. Audyt wykonany miesiąc po zamknięciu budżetu oznacza w praktyce rok zwłoki — niezależnie od tego, ile czasu formalnie zostało do terminu ustawowego. To najczęstszy powód, dla którego szpitale zaczynają wdrożenie później, niż planowały.
Dlaczego zaczynamy od audytu zero, a nie od zakupów
Najdroższy błąd we wdrożeniach polega na odwróceniu kolejności: najpierw zakup narzędzia, potem pytanie, jaki problem ono rozwiązuje. Tymczasem dyrektywa NIS 2 wymaga środków proporcjonalnych do ryzyka, a nie najbogatszych funkcjonalnie. W takim układzie placówka kupuje to, co akurat miał w ofercie sprzedawca, a nie to,
co realnie ogranicza jej ryzyko.
Skutek jest zwykle podobny. Budżet wydany, a incydenty bezpieczeństwa nadal możliwe w miejscach, których nikt nie sprawdził. Incydenty bezpieczeństwa rzadko zaczynają się tam, gdzie zainwestowano najwięcej. Środki bezpieczeństwa dobrane bez analizy chronią to, co łatwo zabezpieczyć, a nie to, co najbardziej narażone. Dobrze dobrane środki bezpieczeństwa wynikają z analizy, a nie z katalogu produktów, i temu właśnie służy zarządzanie ryzykiem: ustaleniu, gdzie incydenty cyberbezpieczeństwa uderzyłyby najmocniej i co trzeba zabezpieczyć w pierwszej kolejności. Środki zarządzania ryzykiem opisuje się wtedy funkcjonalnie, a nie zakupowo.
W szpitalu ta kolejność ma dodatkowe uzasadnienie. Incydenty cyberbezpieczeństwa nie kończą się tu na stratach finansowych, gdyż dotykają dostępności leczenia, dlatego zarządzanie ryzykiem musi uwzględniać skutki kliniczne, a nie wyłącznie techniczne. Cyberbezpieczeństwo jest w szpitalu elementem bezpieczeństwa pacjenta,
a incydenty cyberbezpieczeństwa mają swoją cenę wyrażoną w odwołanych zabiegach. Dlatego zarządzanie ryzykiem prowadzi się tu wspólnie z osobami odpowiedzialnymi za organizację leczenia.
Co dzieje się po audycie zerowym?
Po otrzymaniu raportu szpital ma trzy drogi i każda z nich jest w porządku. Może zrealizować plan samodzielnie, korzystając z dokumentu jako mapy drogowej — łącznie z tym, co dotyczy działania kluczowych systemów szpitala. Może zlecić na zewnątrz wybrane obszary, zwykle te najbardziej czasochłonne. Może też powierzyć całość jednemu wykonawcy, który poprowadzi prace w zakresie cyberbezpieczeństwa od analizy po monitoring.
Raport zostaje w placówce niezależnie od podjętej decyzji i nie jest obwarowany żadnym warunkiem dalszej współpracy. Jeśli szpital wykorzysta go do rozmowy z innym dostawcą, uznamy to za naturalną konsekwencję rzetelnie wykonanego audytu.
Najczęściej zadawane pytania dotyczące audytu zero w szpitalu
Czy audyt zero to ukryta rozmowa handlowa?
Nie. Audyt zerowy NIS 2 ma ustaloną strukturę diagnostyczną, a jego efektem jest raport z priorytetami, nie oferta. Rozmowa o zakresie współpracy może nastąpić dopiero po przekazaniu dokumentu i wyłącznie na życzenie szpitala. Raport pozostaje w placówce bez względu na dalsze decyzje.
Kto powinien uczestniczyć w audycie zerowym ze strony szpitala?
Minimum to osoba decyzyjna oraz osoba znająca infrastrukturę informatyczną placówki. Warto dołączyć inspektora ochrony danych, a przy rozbudowanym środowisku również osobę odpowiedzialną za umowy z dostawcami. Sesja bez udziału decydenta traci znaczną część wartości.
Ile trwa przeprowadzenie audytu i przygotowanie raportu?
Sama sesja trwa 1–2 godziny, a raport z audytu NIS 2 przekazujemy w ciągu kilku dni roboczych od jej zakończenia. Dokument jest zwięzły i obejmuje mapę luk, priorytety oraz listę działań natychmiastowych. Objętość celowo utrzymujemy na poziomie kilku stron, aby był realnie czytany przez zarząd.
Czy audyt zerowy zastępuje obowiązkowy audyt podmiotu kluczowego?
Nie zastępuje. Obowiązkowy audyt NIS 2 dla podmiotu kluczowego to formalne badanie przewidziane ustawą, przeprowadzane po upływie określonego terminu.
Sprawdza wymagania dyrektywy w pełnym zakresie, łącznie z dokumentacją. Audyt zerowy jest diagnozą wstępną, która ma przygotować szpital do tego badania i ograniczyć liczbę niezgodności, jakie wykaże późniejszy audyt zgodności.
Sprawdź, w jakim punkcie jest Twój szpital
Audyt zero NIS 2 cena — to jedno z częstszych pytań wpisywanych w wyszukiwarkę Google. odpowiedź na to pytanie brzmi: zero złotych. Sesja audytu zero w szpitalu trwa 1–2 godziny, nie wymaga przygotowań i kończy się konkretnym dokumentem. To najprostszy sposób, aby zamienić ogólne pytanie o gotowość placówki w listę priorytetów z terminami — zanim incydenty cyberbezpieczeństwa zrobią to za nas.