Bezpłatna konsultacjaKonsultacja
Starter w stałej cenie

Health-check dokumentacji SZBI

Dokumentacja bezpieczeństwa "jakaś jest": powstała na certyfikację, po incydencie albo z kupionego pakietu wzorów. Nikt nie wie, czy obroni się na audycie, w kwestionariuszu klienta albo przy kontroli. Ten starter daje odpowiedź w 10 dni roboczych: co jest dobre, co poprawić, w jakiej kolejności i ile to zajmie.

Przegląd 17 obszarów SZBI według listy 157 punktów kontrolnych, względem ISO/IEC 27001:2022 i kontroli z Deklaracji Stosowania. Zdalnie, na kopii dokumentów: zero instalacji, zero wchodzenia w Wasze systemy.

Realizuje: Rafał Dobrosielski, ISO 27001 Lead Auditor (BSI, IRCA), doświadczenie z wdrożeń ISO 27001, DORA i NIS2/KSC. Zaufali nam: Fincard, NetCredit, DS Stream, Pactum.

Zobacz raport, zanim zapłacisz

Publiczna próbka na fikcyjnym podmiocie: pełna ocena 17 obszarów, zestawienie 14 ustaleń z priorytetem, właścicielem i terminem, 3 karty ustaleń w układzie z pełnego raportu oraz plan etapów do certyfikacji.

Otwórz próbkę (PDF)
Wynik przed audytorem

Znasz ustalenia wcześniej niż jednostka certyfikująca

Priorytety, nie lista życzeń

Każde ustalenie z właścicielem, terminem i nakładem w dniach

Quick wins w cenie

Poprawki do zrobienia własnymi siłami, bez budżetu

Co dostajesz

  • Executive Summary dla Zarządu: wniosek główny w kilku zdaniach, trzy najważniejsze ryzyka, rekomendowane decyzje z nakładem i terminem oraz to, co już działa dobrze i na czym da się budować
  • Ocenę 17 obszarów SZBI: każdy obszar z kryterium (punkt normy lub kontrola Załącznika A), oceną zgodne, częściowo zgodne albo niezgodne i przypisanym ustaleniem
  • Kartę dla każdego ustalenia: klasyfikacja, kryterium, stan stwierdzony, dowód (nazwa pliku, data, wywiad), skutek i ryzyko, rekomendacja na poziomie wykonawczym, właściciel, termin i szacowany nakład w dniach
  • Quick wins: ustalenia do domknięcia własnymi siłami w godziny lub w jeden dzień, oznaczone osobno
  • Plan etapów: co zrobić w 14 dni, do 60 dni i do 120 dni, kiedy realnie umówić audyt wewnętrzny i kiedy zgłosić się do jednostki certyfikującej
  • Omówienie 30 minut: przechodzimy przez raport, odpowiadam na pytania, rekomenduję kolejny krok dopasowany do Waszych planów, nie do mojego cennika

Co jest sprawdzane

17 obszarów: kontekst i zakres SZBI, przywództwo i polityka, role i odpowiedzialności, ocena i postępowanie z ryzykiem, Deklaracja Stosowania, cele i mierniki, kompetencje i świadomość, nadzór nad dokumentacją, aktywa i klasyfikacja, kontrola dostępu i tożsamość, dostawcy, incydenty, ciągłość działania, bezpieczeństwo rozwoju oprogramowania, bezpieczeństwo operacyjne i podatności, zgodność prawna i ochrona danych osobowych, audyt wewnętrzny i przegląd zarządzania.
ZgodneDokument spełnia wymaganie i jest spójny z resztą systemu
Częściowo zgodneDokument istnieje, ale nie zawiera wszystkich elementów lub nie jest spójny
NiezgodneWymaganie nie jest spełnione; na audycie byłoby podstawą niezgodności
Nie dotyczyWymaganie nie ma zastosowania w Waszym zakresie
Fragment raportu: karta ustalenia HC-2026-01Demo SaaS Sp. z o.o. (podmiot fikcyjny). Tak wygląda każde z ustaleń w Twoim raporcie.
Fragment przykładowy
KlasyfikacjaNiezgodne. Priorytet K, krytyczny
Kryteriumpkt 6.1.3 lit. d ISO/IEC 27001:2022
Stan stwierdzonyDeklaracja Stosowania zawiera wszystkie 93 kontrole Załącznika A wraz ze statusem stosowania. Kolumna uzasadnienia pozostaje pusta dla 11 kontroli oznaczonych jako niemające zastosowania. Dokument nie zawiera odniesienia do identyfikatorów ryzyk z rejestru ryzyka ani informacji o stanie wdrożenia kontroli.
DowódPlik SoA_v1.0.xlsx z dnia 12.03.2026, arkusz Kontrole. Wywiad z rolą Kierownik IT z dnia 26.08.2026.
Skutek i ryzykoDeklaracja Stosowania jest jednym z pierwszych dokumentów sprawdzanych na etapie 1 audytu certyfikującego. W obecnej postaci nie wykazuje, że dobór kontroli wynika z oceny ryzyka. Skutkiem będzie niezgodność duża, wstrzymanie przejścia do etapu 2 i przesunięcie certyfikacji o jeden cykl audytowy przy zachowanym koszcie jednostki certyfikującej.
RekomendacjaUzupełnić uzasadnienia wyłączenia dla 11 kontroli. Dodać kolumnę z identyfikatorem ryzyka uzasadniającego zastosowanie kontroli oraz kolumnę stanu wdrożenia. Zatwierdzić dokument jako wersję 2.0.
Właściciel i terminPełnomocnik ds. SZBI. 14 dni. Ustalenie kwalifikuje się jako quick win, nakład około 1,5 dnia roboczego.

Pełny raport zawiera taką kartę dla każdego ustalenia. Zobacz całą próbkę (PDF).

Co się dzieje po zakupie

1Do 2 godzin w dni robocze dostajesz mail z listą dokumentów

Polityki, procedury, rejestry, Deklaracja Stosowania i rejestr ryzyka, jeśli są. Przekazujesz to, co macie, w formie, w jakiej jest: bałagan w plikach to też informacja diagnostyczna, nie wstyd.

2Przegląd i dwa wywiady, 10 dni roboczych od kompletu

Czytam dokumentację tak, jak zrobi to audytor certyfikujący albo oceniający TPRM Waszego klienta: pod kątem spójności, aktualności i zgodności ze stanem faktycznym. Dwa wywiady po 45 minut weryfikują, czy zapisane procesy naprawdę działają.

3Raport i omówienie 30 minut online

Dostajesz raport z ustaleniami, priorytetami i planem etapów, omawiamy go wspólnie. Raport jest napisany tak, żeby dało się z nim pracować beze mnie: każde ustalenie ma właściciela, termin i nakład.

Audyt albo termin klienta bliżej niż za 3 tygodnie?Napisz przed zakupem. Po krótkim triage (do 2 godzin w dni robocze) powiem, czy zdążymy z raportem przed Twoim terminem i czy w Twojej sytuacji lepszym pierwszym krokiem nie jest od razu domykanie ustaleń zamiast diagnozy.

Dla kogo

  • Firmy przed audytem certyfikującym lub nadzoru, które chcą znać ustalenia wcześniej niż audytor
  • Firmy z dokumentacją z pakietu wzorów albo sprzed lat, która nie widziała zmian w organizacji
  • Firmy przed audytem klienta bankowego lub pierwszym dużym kwestionariuszem, żeby odpowiedzi z dokumentów kleiły się z rzeczywistością
  • Podmioty ważne i kluczowe na gruncie ustawy o KSC, które mają SZBI i chcą wiedzieć, czego brakuje względem rozdziału 3
  • Nowy manager, zarząd albo inwestor, który chce wiedzieć, na czym firma realnie stoi

Czego potrzebuję od Ciebie

Na start, w dniu zakupuDostęp do repozytorium albo kopia dokumentacji SZBI: polityki, procedury, rejestry (ryzyka, aktywów, dostawców, incydentów), Deklaracja Stosowania, zapisy z przeglądów i szkoleń, jeśli są.
W trakcie, około 2 godzin łącznieDwa wywiady po 45 minut (zwykle osoba od IT i osoba od operacji) oraz 30 minut wspólnego omówienia raportu.

Czego ten starter nie obejmuje: testów technicznych, skanów podatności i weryfikacji konfiguracji systemów; nie jest audytem wewnętrznym w rozumieniu pkt 9.2 normy ani audytem certyfikującym. Ocenia dokumentację i zapisy udostępnione przez Was, według stanu na dzień przeglądu. Poufność: NDA przed przekazaniem materiałów, praca na kopii, usunięcie materiałów na Twoje życzenie po zakończeniu. OC zawodowe 1,5 mln zł z klauzulą cyber i RODO.

3 400 złnetto, doliczamy 23% VAT. Stała cena bez dopłat za liczbę dokumentów, realizacja 10 dni roboczych od przekazania dokumentacji.

Raport z ustaleniami i planem etapów zostaje u Ciebie niezależnie od dalszej współpracy. Nakład po Twojej stronie: dwa wywiady po 45 minut i 30 minut omówienia.

Co dalej po starterze: raport sam w sobie jest planem pracy z terminami i nakładem, więc etapy 1 do 3 można zrealizować własnymi siłami. Jeśli chcecie, żeby ktoś ten plan dowiózł, naturalne kroki to Pełnomocnik ds. SZBI (od 8 800 zł netto/mc za 4 dni) do certyfikacji albo poziom Specjalisty (od 4 800 zł netto/mc za 3 dni), który utrzymuje porządek, zamiast odtwarzać go co rok. Audyt wewnętrzny przed certyfikacją wykonuje inny audytor niż Pełnomocnik, bo norma wymaga bezstronności.

Częste pytania

Czym to się różni od gap analizy i audytu wewnętrznego?
Health-check to przegląd dokumentacji i zapisów: czy są spójne, aktualne i zgodne z tym, jak firma działa, oraz czy obronią się przed audytorem. Gap analiza bada zgodność całej organizacji z konkretną normą lub regulacją, punkt po punkcie, także tam, gdzie dokumentów jeszcze nie ma. Audyt wewnętrzny to formalny wymóg pkt 9.2 normy przed certyfikacją, z audytorem bezstronnym wobec systemu. Health-check jest najtańszym pierwszym krokiem i często pokazuje, że gap analiza może poczekać albo że trzeba ją zrobić szybciej, niż planowaliście.
Dlaczego 10 dni roboczych, skoro to "tylko" dokumentacja?
Bo raport ma wartość dopiero wtedy, gdy sprawdza spójność między dokumentami i ze stanem faktycznym: czy Deklaracja Stosowania wynika z rejestru ryzyka, czy zapisy potwierdzają, że przeglądy naprawdę się odbyły, czy polityki opisują procesy, które istnieją. To wymaga przeczytania całości i dwóch wywiadów. Pobieżny przegląd w dwa dni dałby listę braków formalnych, a nie odpowiedź, czy przejdziecie audyt.
Nasza dokumentacja to kilka plików i spory chaos. Czy to nie za wcześnie?
To dokładnie właściwy moment. Raport przy małej dokumentacji skupia się na tym, czego brakuje i w jakiej kolejności to tworzyć, więc zamiast oceny bałaganu dostajesz plan budowy z terminami. Nie ma progu wejścia w postaci "porządnej" dokumentacji.
Czy raport powie nam, kiedy realnie możemy iść na certyfikację?
Tak, to jedna z głównych odpowiedzi. Plan etapów wskazuje, kiedy dokumentacja będzie gotowa i kiedy będziecie mieć zapisy z zamkniętego cyklu, których wymaga jednostka certyfikująca. Najczęstszym powodem przesunięcia terminu nie są polityki, tylko brak dowodów, że system działa; próbka raportu pokazuje dokładnie ten mechanizm.
Co z poufnością przekazanych dokumentów?
Standardowo podpisuję NDA przed otrzymaniem materiałów. Pracuję na kopii, dokumenty nie trafiają do żadnych zewnętrznych narzędzi bez uzgodnienia, a po zakończeniu usuwam je na Twoje życzenie. Raport jest wyłącznie do Twojego użytku. Pracę zabezpiecza OC zawodowe 1,5 mln zł z klauzulą cyber i RODO.
Czy raport ocenia ludzi, którzy tę dokumentację pisali?
Nie. Raport ocenia dokumenty względem wymagań i stanu faktycznego, bez szukania winnych; każda karta ustalenia kończy się rekomendacją, nie zarzutem. W praktyce zespoły, które pisały dokumentację, dostają konkretną listę poprawek zamiast ogólnej krytyki i to one najczęściej najbardziej z niego korzystają.
Czy raport nadaje się do pokazania Zarządowi, klientowi albo inwestorowi?
Tak, i tak jest napisany. Executive Summary jest w języku decyzji (wniosek, trzy ryzyka, rekomendowane decyzje z nakładem), a nie w języku normy. Klientowi lub inwestorowi udostępnia się zwykle samo podsumowanie, pod NDA, jako dowód, że niezależny przegląd został wykonany i że macie zatwierdzony plan; w próbce widać dokładnie ten układ.
Czy raport może być po angielsku?
Tak, na życzenie przygotowuję wersję angielską lub dwujęzyczną, gdy odbiorcą jest audytor albo klient zagraniczny. Zgłoś to przy zakupie, bo wydłuża realizację o 2 dni robocze.
Jak wygląda płatność i faktura?
Kupujesz online jak każdy produkt w sklepie. Do zamówienia automatycznie wystawiana jest faktura VAT na dane firmy podane przy zakupie (z NIP). Jeśli wolisz przelew tradycyjny, wybierz go przy składaniu zamówienia: dostaniesz dane do przelewu, a realizacja rusza po zaksięgowaniu wpłaty.
Zamów starter: 3 400 zł netto

Inne startery: odpowiedź na kwestionariusz bezpieczeństwa, 3 900 zł · samoidentyfikacja KSC, 2 400 zł · konsultacja strategiczna 2h, 790 zł. Wszystkie z publiczną próbką.

Pytanie przed zakupem: napisz lub zadzwoń, odpowiadam do 2 godzin w dni robocze.