Oprogramowanie do zarządzania dowodami w compliance i audytach

Nie tylko dokumentować compliance. Udowodnić je.

W Complaica zarządzają Państwo dowodami compliance — na przykład dla ISO 27001 i BSI IT-Grundschutz — razem z wymaganiami, ryzykami i działaniami, do których należą. Istotne zmiany są rejestrowane automatycznie; zarejestrowane dowody pozostają identyfikowalne w czasie i można je niezależnie zweryfikować. Kryptograficznie powiązany łańcuch dowodów i kwalifikowane znaczniki czasu eIDAS zabezpieczają wybrane stany — od pierwszego zakresu aż po audyt.

01Jeden ciągły łańcuch dowodów w całym cyklu życia compliance
02Automatyczne dowody z zakresu, potrzeb ochrony, ryzyk i działań
03Konfigurowalne reguły zdarzeń i kwalifikowane znaczniki czasu eIDAS
04Kryptograficznie weryfikowalna integralność i pełna historia
05Niezależna weryfikacja i eksportowalne dowody audytowe

Proszę o konto testowe Proszę o cennik

Łańcuch dowodów

Łańcuch dowodów Koncepcja compliance SZBI 2026

#1288 Audyt zakończony Audyt wewnętrzny SZBI 2026 b5a7b218…a964 eIDAS
#1287 Ustalenie zamknięte F-07 Zarządzanie poprawkami 7cc5e4d5…cd40
#1283 Ryzyko szczątkowe zaakceptowane R-12 Nieuprawniony dostęp 1b17a798…bf7f eIDAS
#1280 Konfiguracja Terraform zarejestrowana fw-dmz.tf 3a1424f5…d73a
#1279 Działanie zakończone M-114 Segmentacja sieci DMZ 32bf5712…c47c

Łańcuch zweryfikowany 1288 zdarzeń Ostatni punkt kontrolny 12.10.2026

EVIDENCE 01

Jeden łańcuch dowodów dla każdej koncepcji compliance

Wraz z utworzeniem koncepcji compliance w Complaica rozpoczyna się także jej łańcuch dowodów.

Łańcuch dokumentuje istotne stany, decyzje i zmiany w całym cyklu życia. Każde zarejestrowane zdarzenie odwołuje się do obiektów, których dotyczy, i jest kryptograficznie powiązane z wcześniejszą historią.

Łańcuch staje się w ten sposób weryfikowalną chronologią koncepcji compliance — od jej początkowej struktury, przez ocenę ryzyka i wdrażanie działań, aż po audyt.

Organizacja sama decyduje, które zdarzenia są rejestrowane automatycznie i kiedy tworzone są kwalifikowane elektroniczne znaczniki czasu.

EVIDENCE 02

Dowody compliance dla ISO 27001 i BSI IT-Grundschutz

Normy takie jak ISO 27001 i IT-Grundschutz BSI wymagają udokumentowanych dowodów: postępowania z ryzykiem, działań, audytów wewnętrznych i przeglądu zarządzania. Przykład z koncepcji SZBI pokazuje, jak decyzja dotycząca ryzyka staje się dowodem, który audytor może sprawdzić.

Przykład z koncepcji SZBI

01 Zatwierdzenie postępowania z ryzykiem R-12 Nieuprawniony dostęp Zarząd zatwierdza sposób postępowania z ryzykiem. Complaica rejestruje decyzję, osobę i czas jako zdarzenie dowodowe.
02 Wdrożenie działania M-114 Segmentacja sieci DMZ Eksploatacja IT wdraża działanie. Zmiany statusu i commit Terraform z pipeline’u trafiają do tego samego łańcucha.
03 Rejestracja dowodu technicznego Pentest-Bericht_DMZ_2026-Q3.pdf Raport zewnętrznego testera jest rejestrowany z hashem i łączony z działaniem, ryzykiem i A.8.20.
04 Zakotwiczenie stanu w czasie Punkt kontrolny · eIDAS Kwalifikowany znacznik czasu potwierdza stan łańcucha w tym momencie. Do dostawcy usług zaufania trafia tylko wartość hash.
05 Eksport pakietu weryfikacyjnego verification-package_ISMS-2026_1288.zip Na potrzeby audytu pełnomocnik ds. bezpieczeństwa eksportuje pakiet z danymi zdarzeń, wartościami hash, dowodami powiązań i znacznikiem czasu.

Co widzą osoby odpowiedzialne

Dla każdego wymagania aktualny stan i dowody, na których się opiera
Kto i kiedy podjął decyzję lub zamknął działanie
Gdzie brakuje dowodów lub są starsze, niż przewidziano

Co otrzymuje audytor

Historię wymagania: ocena, decyzja dotycząca ryzyka, działanie, dowód
Pakiet weryfikacyjny, którego integralność i znacznik czasu można sprawdzić bez dostępu do Complaica
Podstawę do oceny — czy dowód jest merytorycznie wystarczający, nadal rozstrzyga audytor

Więcej przykładów: od wymagania do audytu

ISO 27001 · 8.3 Postępowanie z ryzykiem w bezpieczeństwie informacji
1. Plan postępowania z ryzykiem
2. Akceptacja ryzyk szczątkowych
3. Działania z właścicielami
4. Historia decyzji
5. Sprawdzenie w audycie
ISO 27001 · 9.3 Przegląd zarządzania
1. Dane wejściowe przeglądu
2. Protokół i decyzje
3. Działania wynikające z przeglądu
4. Punkt kontrolny ze znacznikiem czasu eIDAS
5. Sprawdzenie w audycie
IT-Grundschutz · Określenie potrzeb ochrony (standard BSI 200-2)
1. Potrzeby ochrony procesów biznesowych
2. Dziedziczenie na aplikacje i systemy IT
3. Zatwierdzenie oceny
4. Historia zmian
5. Sprawdzenie w audycie
IT-Grundschutz · NET.1.1 Architektura i projekt sieci
1. Modelowanie sieci
2. Kontrola IT-Grundschutz wymagań
3. Konfiguracja zapory z Terraform
4. Raport z testu penetracyjnego
5. Sprawdzenie w audycie

Complaica rejestruje to, co zdecydowano, wdrożono i udokumentowano, i czyni tę historię weryfikowalną. Samo to nie sprawia, że organizacja spełnia normę.

Proszę o cennik

… albo po prostu zapytać na WhatsAppie.

EVIDENCE 03

Zarządzanie dowodami compliance w całym cyklu życia

Sześć faz, jeden łańcuch. W każdej fazie Complaica rejestruje zdarzenia, które później pokazują, co obowiązywało w danym momencie i kto o tym zdecydował.

01
01 · Zarządzanie zakresem

Zakres staje się identyfikowalny.
Complaica dokumentuje zakres koncepcji compliance wraz z jej strukturami organizacyjnymi i technicznymi.
Istotne zmiany są rejestrowane w łańcuchu dowodów i pozostają identyfikowalne w czasie.

Co można wykazać

Można odtworzyć, które jednostki organizacyjne, procesy i zasoby należały do zakresu w określonym momencie.
Typowe zdarzenia dowodowe
- e428690 Koncepcja compliance utworzona Kwalifikowany elektroniczny znacznik czasu (eIDAS)
- 82069a0 Zakres zdefiniowany lub zmieniony
- af5cdda Jednostka organizacyjna dodana lub usunięta
- fe96c5f Proces biznesowy przypisany do zakresu
- 8009ee1 Zasób dodany lub zmieniony
- 221a257 Wersja struktury zatwierdzona
02
02 · Potrzeby ochrony i klasyfikacja

Oceny z identyfikowalną podstawą.
Określenia potrzeb ochrony i klasyfikacje są powiązane z obiektami, których dotyczą, i dokumentowane w czasie.

Co można wykazać

Widoczny jest nie tylko bieżący wynik, ale także rozwój ocen i ich umiejscowienie w czasie.
Typowe zdarzenia dowodowe
- 7b56aef Potrzeba ochrony zasobu oceniona
- 2fd5ca4 Ocena zmieniona
- 0da7c18 Dziedziczona potrzeba ochrony zaktualizowana
- 5591da7 Krytyczność procesu biznesowego skorygowana
- 90b0551 Ocena potwierdzona lub zatwierdzona Kwalifikowany elektroniczny znacznik czasu (eIDAS)
03
03 · Wymagania i oceny zgodności

Każda ocena w kontekście swoich wymagań.
Complaica łączy wymagania z różnych norm z zabezpieczeniami, działaniami i ich ocenami.

Co można wykazać

Dla każdego wymagania można odtworzyć, która ocena obowiązywała w danym momencie i na jakich dowodach się opierała.
Typowe zdarzenia dowodowe
- 3d397df Wymaganie ocenione
- 25e20e2 Status zgodności zmieniony
- 4391a42 Uzasadnienie zaktualizowane
- 206115a Dowód przypisany
- 159098b Odchylenie stwierdzone
- 34c0416 Ocena zatwierdzona
04
04 · Zarządzanie ryzykiem

Od identyfikacji ryzyka do weryfikowalnej decyzji.
Ryzyka, ich oceny i decyzje o postępowaniu są dokumentowane wraz z zasobami, procesami i wymaganiami, których dotyczą.

Co można wykazać

Decyzje dotyczące ryzyka można prześledzić w całym ich cyklu życia.
Typowe zdarzenia dowodowe
- 6ec6b44 Ryzyko zidentyfikowane
- 7fb0e35 Prawdopodobieństwo lub skutek ocenione
- 068095c Ocena ryzyka zmieniona
- 95da879 Postępowanie z ryzykiem postanowione
- 572681e Ryzyko szczątkowe zaakceptowane Kwalifikowany elektroniczny znacznik czasu (eIDAS)
- 19b8fcc Ryzyko ocenione ponownie
05
05 · Działania i wdrożenie techniczne

Od decyzji do rzeczywistego wdrożenia.
Complaica łączy działania z wymaganiami, ryzykami i dowodami ich wdrożenia.
Łańcuch dowodów dokumentuje istotne zmiany i zatwierdzenia. Dzięki integracjom można też rejestrować zewnętrzne artefakty i zdarzenia techniczne.

Co można wykazać

Widoczny staje się związek między wymaganiem merytorycznym, decyzją organizacyjną i wdrożeniem technicznym.
Typowe zdarzenia dowodowe
- ecf3934 Działanie utworzone lub zmienione
- e4ebdce Osoba odpowiedzialna przypisana
- f85c5f2 Status wdrożenia zaktualizowany
- ff4cad8 Działanie zakończone
- f3e74e3 Dowód wdrożenia dodany
- bb6522c Konfiguracja Terraform zarejestrowana
- 5019ad1 Wynik wdrożenia zarejestrowany
- e08c42f Konfiguracja techniczna zweryfikowana
Przykład spójnego łańcucha dowodów
1. Wymaganie bezpieczeństwa
2. Działanie
3. Wniosek o zmianę
4. Commit Terraform
5. Konfiguracja zapory
6. Weryfikacja
06
06 · Audyty i ciągłe doskonalenie

Gotowość do audytu — z weryfikowalną historią.
Audyty korzystają z bieżącego stanu danych compliance i z udokumentowanej historii istotnych zdarzeń.

Co można wykazać

Audytorzy mogą odtworzyć, które oceny, działania i dowody były zarejestrowane w określonym momencie.
Typowe zdarzenia dowodowe
- 53fe039 Audyt rozpoczęty
- 980f257 Zakres audytu ustalony
- 2bb0a72 Dowody sprawdzone
- 185949e Ustalenie zarejestrowane
- d06539c Działanie korygujące określone
- 6e11303 Ustalenie zamknięte
- 561fbb7 Audyt zakończony Kwalifikowany elektroniczny znacznik czasu (eIDAS)
- d19f1a9 Kwalifikowany punkt kontrolny utworzony Kwalifikowany elektroniczny znacznik czasu (eIDAS)

EVIDENCE 04

Automatyczne rejestrowanie dowodów w trakcie pracy

Łańcuch dowodów nie jest składany ręcznie po fakcie. Complaica rejestruje istotne zdarzenia w chwili, gdy zachodzą.

Konfigurowalne reguły określają:

01Które typy obiektów są monitorowane.
02Które zmiany są zdarzeniem dowodowym.
03Które zmiany stanu są pomijane.
04Które metadane i stany obiektów są rejestrowane.
05Które zdarzenia automatycznie wywołują kwalifikowany znacznik czasu.

Proszę o konto testowe

Reguły zdarzeń

Koncepcja compliance SZBI 2026

Dodaj regułę

Obiekt	Zdarzenie	Łańcuch dowodów	Kwalifikowany znacznik czasu
Koncepcja compliance	Utworzona	Automatycznie	Tak
Zakres	Zmieniony	Automatycznie	Nie
Zasób	Potrzeba ochrony zatwierdzona	Automatycznie	Tak
Ryzyko	Ocena zmieniona	Automatycznie	Nie
Ryzyko	Ryzyko szczątkowe zaakceptowane	Automatycznie	Tak
Działanie	Zakończone	Automatycznie	Nie
Audyt	Zamknięty	Automatycznie	Tak

EVIDENCE 05

Rejestrowanie dokumentów zewnętrznych i dowodów technicznych

Nie wszystkie istotne dowody powstają w Complaica. Użytkownicy mogą w każdej chwili zarejestrować w łańcuchu dowodów dodatkowe obiekty, dokumenty lub artefakty techniczne.

Przy rejestracji zapisywane są hash kryptograficzny, tożsamość obiektu, źródło, czas i powiązane metadane. Rejestrację można powiązać z wymaganiami, ryzykami, działaniami, zasobami lub audytami.

Przykłady

Polityka bezpieczeństwa informacji w PDF
Zatwierdzona koncepcja bezpieczeństwa
Zewnętrzny raport z audytu
Wynik testu penetracyjnego
Plik konfiguracyjny zapory
Manifest Terraform
Raport incydentu z SIEM
Certyfikat dostawcy

Rejestracja dowodu

Zarejestruj dowód

Plik

Raport-pentest_DMZ_2026-Q3.pdf PDF · 2,4 MB · SHA-256 706de67c…d417

Powiąż z

M-114 Segmentacja sieci DMZ

R-12 Nieuprawniony dostępA.8.20 Bezpieczeństwo sieci

Źródło

Zewnętrzny dostawca testów

Opis

Test penetracyjny DMZ po zakończeniu segmentacji sieci, raport końcowy.

Utwórz kwalifikowany znacznik czasu Do dostawcy usług zaufania trafia wyłącznie wartość hash.

Anuluj Zarejestruj

EVIDENCE 06

Łańcuch dowodów z kwalifikowanymi znacznikami czasu eIDAS

Każde zdarzenie dowodowe jest kryptograficznie powiązane z wcześniejszą historią. Dzięki temu późniejsze zmiany stają się wykrywalne.

Dla wybranych przez Państwa stanów można tworzyć kwalifikowane elektroniczne znaczniki czasu zgodne z eIDAS. Potwierdzają one stan kryptograficzny łańcucha w określonym momencie i umożliwiają niezależne sprawdzenie jego zakotwiczenia w czasie.

Hash dowodu

Identyfikuje zarejestrowaną treść lub stan.

Łańcuch dowodów

Kryptograficznie łączy zarejestrowane zdarzenia ze sobą.

Kwalifikowany znacznik czasu

Niezależnie potwierdza, że określony stan łańcucha istniał najpóźniej we wskazanym momencie.

Punkt kontrolny obejmuje całą historię zarejestrowaną do tej chwili.

Zdarzenie 001 d56bc121 eIDAS
Zdarzenie 002 dfe4f0b6
Zdarzenie 003 c256f59f eIDAS
Zdarzenie 004 e6e64286
Zdarzenie 005 e9a8facd eIDAS

Punkt kontrolny przy zdarzeniu 001

Punkt kontrolny przy zdarzeniu 003 · obejmuje zdarzenia 001⁠–⁠003

Punkt kontrolny przy zdarzeniu 005 · obejmuje zdarzenia 001⁠–⁠005

Znaczniki czasu wydaje kwalifikowany dostawca usług zaufania. Same dane i dokumenty nie muszą być mu przekazywane.

Proszę o konto

… albo po prostu zapytać na WhatsAppie.

EVIDENCE 07

Śledzenie dowodów audytowych w eksploratorze łańcucha

Complaica oferuje nawigowalny widok łańcucha dowodów.

Użytkownicy mogą

01Przeglądać zdarzenia chronologicznie.
02Otwierać pojedyncze bloki.
03Sprawdzać wartości hash i powiązania.
04Przechodzić do pierwotnych obiektów w Complaica.
05Otwierać zewnętrzne dokumenty i artefakty techniczne, o ile są dostępne i mają do nich uprawnienia.
06Sprawdzać kwalifikowane znaczniki czasu i status weryfikacji.
07Odtwarzać stany historyczne.
08Analizować powiązane zdarzenia i dowody.

Eksplorator łańcucha

Eksplorator łańcucha dowodów Szukaj hasha, obiektu lub wykonawcy

Blok #1279

Działanie zakończone

Hash: 32bf57129b9e9c283bcfcb8f0fc16ed23d168283af8bd558a3c6f33d7abfc47c
Poprzedni hash: 241fabff52eff6ea9854e96fda0f0fc912f2684bf7ccde289a7ccc042eb39a99
Obiekt źródłowy: M-114 Segmentacja sieci DMZ
Wykonawca: T. Yilmaz
Czas: 08.10.2026, 14:02 UTC
Weryfikacja: Integralność zweryfikowana
Kwalifikowany znacznik czasu: Brak — obejmuje go następny punkt kontrolny