Zaktualizowano: 8 września 2026
Kiedy zmiana QSA jest uzasadniona? Zmiana Qualified Security Assessora (QSA) jest uzasadniona, gdy audytor przestaje pełnić rolę partnera weryfikującego realne bezpieczeństwo, a zaczyna pełnić rolę wystawcy papieru. Relacja z QSA wydaje się trudna do zmiany – audytor zna środowisko, ma historię poprzednich audytów, a zmiana oznacza czas onboardingu. Ale koszt złego QSA przez 3-5 lat jest wyższy: audyty nieidentyfikujące realnych problemów, findings odkrywane przez acquirera lub incydent, AOC zakwestionowane przez klienta enterprise, lub – w najgorszym przypadku – naruszenie danych w środowisku, które przeszło audyt bez realnej weryfikacji.
Według raportu Verizon Payment Security Report 2024 mniej niż połowa organizacji utrzymuje pełną zgodność z PCI DSS między audytami – co oznacza, że „audyt z zerowymi findingami” w środowisku bez wyjątkowej dojrzałości powinien budzić pytania, nie satysfakcję.
Kiedy zmienić QSA – w skrócie:
- QSA, który rok po roku nie ma trudnych pytań i kończy audyt z zerowymi lub minimalnymi findingami, nie jest wyjątkowo dobry – prawdopodobnie testuje niewystarczająco głęboko, szczególnie w wymaganiach nowych w v4.0.1
- Findings w raporcie końcowym (a nie podczas audytu) eliminują możliwość remediation i wydłużają timeline do AOC – dobry QSA komunikuje w 24-48 godz. od odkrycia
- QSA nierozumiejący Twojego środowiska technicznego (cloud, kontenery, fintech) generuje ryzyko: realne luki mogą być pominięte, bo audytor nie wie czego szukać
- Oferta cenowa rosnąca 20-30% rocznie bez zmiany zakresu ani złożoności środowiska wymaga wyjaśnienia
- Zmiana QSA między cyklami (po AOC, przed nowym cyklem) jest operacyjnie najprostsza – nowy QSA prowadzi niezależną ocenę bez zobowiązania do potwierdzenia ustaleń poprzednika
- Patronusec jako akredytowany QSAC prowadzi niezależne scope-assessment dla organizacji rozważających zmianę – mapujemy CDE od zera, bez uprzedzeń wobec poprzednich ustaleń
Spis treści
Jakie 5 sygnałów wskazuje na QSA, z którym warto się rozstać?
Sygnał 1: Rok po roku zero lub minimalne findings
Możliwości są dwie: (a) organizacja ma wyjątkowo dojrzały program bezpieczeństwa – co QSA może zweryfikować i potwierdzić, lub (b) QSA testuje niewystarczająco głęboko. Statystyki branżowe wskazują, że option (b) jest częstsza. PCI DSS v4.0.1 wprowadził wymagania, które stały się obowiązkowe dopiero od 31 marca 2025 (11.3.1.2 uwierzytelnione skany, 6.4.3 inwentarz skryptów, 3.5.1.1 kryptograficzne funkcje skrótu z kluczem) – organizacje certyfikowane w tym roku powinny mieć findings dla tych wymagań, jeśli nie były wcześniej przygotowane.
Co sprawdzić: zapytaj QSA jak konkretnie testował wymagania 11.3.1.2, 6.4.3 i 3.5.1.1 podczas ostatniego audytu. Jeśli odpowiedź jest ogólna lub nieprecyzyjna – sygnał ostrzegawczy.
Sygnał 2: Findings pojawiają się dopiero w raporcie końcowym
Profesjonalny QSA komunikuje findings w ciągu 24-48 godz. od odkrycia – dając czas na kontekst, wyjaśnienie lub remediation zanim wymaganie jest zamknięte. QSA, który po 5-dniowym audycie dostarcza raport z 20 findingami po 3 tygodniach, odbiera możliwość reakcji i tworzy kryzys tam, gdzie powinien być dialog.
Sygnał 3: QSA nie rozumie Twojego środowiska technicznego
Audyt Kubernetes, gdy QSA pyta „co to jest etcd?” Audyt tokenizacji, gdy QSA nie rozumie jak działa PSP scope reduction. Audyt środowiska AWS, gdy QSA traktuje Security Groups jak klasyczne firewalle. Niezrozumienie środowiska technicznego nie tylko utrudnia audyt – generuje ryzyko, że realne luki zostaną pominięte.
Sygnał 4: Cena rośnie bez wyjaśnienia zmiany zakresu
QSA fees rosną z roku na rok – to naturalne. Ale wzrost o 20-30% bez zmiany zakresu, bez wzrostu złożoności środowiska i bez wyjaśnienia – to sygnał, że relacja jest traktowana jako captive contract.
Sygnał 5: Brak wsparcia wobec acquirera lub klientów enterprise po AOC
Acquirerzy i klienci enterprise zadają pytania po otrzymaniu AOC. Dobry QSA odpowiada na standardowe pytania dotyczące zakresu i metodyki bez dodatkowego billing. QSA, który znika po wystawieniu raportu, zostawia Cię samego z pytaniami, które powinny być jego domeną.
Patronusec Insight: Regularnie rozmawiamy z organizacjami, które mają „stały QSA od 5 lat” i nie potrafią powiedzieć, co ten QSA konkretnie przetestował podczas ostatniego audytu. Widzą AOC z „compliant” ale nie mają evidence, że testowanie wymagań 11.4.x (pentesty) czy 11.3.x (skany) było wystarczająco głębokie. Dobry audyt powinien dostarczyć Ci wiedzę o środowisku – nie tylko papier. W ramach analizy luk robimy niezależny review dokumentacji audytowej i wymieniamy co było testowane, a co mogło zostać pominięte.
Jak zmienić QSA między cyklami certyfikacyjnymi?
Zmiana QSA po wystawieniu AOC (przed nowym cyklem) jest operacyjnie najprostsza. Nowy QSA nie jest zobowiązany do potwierdzenia wyników poprzednika.
Krok 1: Timing
Najlepszy moment: 3-4 miesiące przed planowanym startem nowego cyklu audytowego. Czas na onboarding nowego QSA (2-4 tygodnie) i scope assessment przed Stage 1.
Krok 2: Zebranie dokumentacji historycznej
Przygotuj: ostatni ROC lub SAQ, diagramy sieciowe, scope definition, lista TPSP z AOC, lista systemów w CDE. Nowy QSA potrzebuje kontekstu historycznego, ale nie jest zobowiązany do akceptowania poprzednich ustaleń.
Krok 3: Scope assessment z nowym QSA
Dobry QSA zaczyna od niezależnego scope assessment – mapowania CDE, przeglądu listy TPSP. Moment, gdy nowy QSA może zidentyfikować problemy pominięte przez poprzednika.
Krok 4: Komunikacja z acquirerem
Nie musisz informować acquirera o zmianie QSA przed audytem – informujesz go wystawiając nowe AOC podpisane przez nową firmę QSAC. Acquirer nie ma prawa wymagać konkretnej firmy QSA (o ile to akredytowana QSAC z listy PCI SSC).
Krok 5: Onboarding nowego QSA
Zapewnij dostęp do: architektury sieci (diagramy), poprzednich scope definitions, listy systemów w CDE, listy TPSP z AOC. Dla złożonych środowisk: 2-4 tygodnie onboardingu.
Rozważasz zmianę QSA i chcesz wiedzieć co nowy audytor może znaleźć inaczej?
Patronusec przeprowadza niezależne scope-assessment dla organizacji rozważających zmianę – mapujemy CDE od zera, weryfikujemy segmentację technicznie i oceniamy dokumentację bez uprzedzeń wobec poprzednich ustaleń.
Umów niezależne scope-assessment
Czy nowy QSA może odkryć problemy, których poprzedni nie widział?
Tak – i to jest jeden z głównych argumentów za zmianą QSA, gdy jakość audytu budzi wątpliwości. Każda firma QSAC ma inny proces testowania, inne obszary ekspertyzy i nieco inne interpretacje wymagań.
Co nowy QSA może odkryć:
- Zakres CDE zdefiniowany zbyt wąsko przez poprzednika (pominięte connected-to systemy)
- Testowanie segmentacji prowadzone wyłącznie dokumentacyjnie, bez technicznej weryfikacji połączeń
- TPSP z wygasłymi AOC, które były „przeoczone”
- Wymagania v4.0.1, które poprzedni QSA traktował jako best practice, a są teraz mandatory (11.3.1.2, 6.4.3, 3.5.1.1)
Podejście do nowych discoveries:
Findings nowego QSA to możliwość naprawy problemów zanim odkryje je incydent lub organ nadzorczy. Potraktuj je jako wartość, nie kłopot – bo to właśnie powinna dostarczać zmiana audytora.
Patronusec Insight: Przy onboardingu nowych klientów po zmianie QSA regularnie odkrywamy, że testowanie segmentacji sieciowej było prowadzone wyłącznie dokumentacyjnie przez poprzednika – QSA akceptował schemat sieciowy jako dowód, bez technicznej weryfikacji że ruch jest faktycznie blokowany. Wymaganie PCI DSS 11.4.45 jest jednoznaczne: testowanie segmentacji musi być techniczne, nie dokumentacyjne. Kiedy robimy aktywne testy segmentacji z próbą przejścia z non-CDE do CDE – co jest jedynym dowodem akceptowalnym przez audytora dbającego o jakość. Szczegóły o naszym podejściu do testów penetracyjnych i segmentacji dostępne podczas bezpłatnej rozmowy.
FAQ – Kiedy zmienić QSA?
Czy mogę zmienić QSA w trakcie roku certyfikacyjnego?
Technicznie tak, ale operacyjnie kosztownie. Nowy QSA musi przyznać certyfikat na podstawie własnych testów. Jeśli poprzedni zakończył Stage 1, nowy musi zdecydować – akceptować te wyniki czy prowadzić własny Stage 1. Zmiana w środku audytu wydłuża timeline i zwiększa koszt. Zdecydowanie lepiej zmienić po zakończeniu cyklu.
Czy powinienem poinformować poprzedniego QSA o zmianie?
Tak – zawiadom poprzednią firmę QSAC o zakończeniu relacji z odpowiednim wyprzedzeniem (4-6 tygodni). Dobra praktyka: upewnij się, że masz wszystkie dokumenty projektu zanim zakończysz relację.
Czy nowy QSA ma dostęp do raportów poprzedniego?
Tylko jeśli mu je udostępnisz. Możesz to zrobić jako kontekst historyczny – przyspiesza onboarding. Ale nowy QSA i tak będzie prowadzić własną ocenę niezależnie od poprzednich wyników.
Co jeśli acquirer jest przywiązany do konkretnego QSA?
Acquirer nie może wymagać konkretnej firmy QSA – naruszałoby to zasady PCI SSC. Może wymagać akredytowanej QSAC z listy PCI SSC (co jest standardem). Jeśli acquirer wywiera presję na konkretnego vendora, warto skonsultować się z PCI SSC lub prawnikiem.
Jak Patronusec podchodzi do onboardingu klientów zmieniających QSA?
Zaczynamy od niezależnego scope assessment – mapujemy CDE samodzielnie. Dokumentujemy różnice względem poprzedniego scope jeśli je znajdziemy. Nie walidujemy poprzednika – prowadzimy własną, aktualną ocenę środowiska.
Ile kosztuje onboarding nowego QSA w Patronusec?
Scope assessment i onboarding są częścią projektu certyfikacyjnego – nie osobnym kosztem. Po bezpłatnej 30-minutowej rozmowie scope-assessment wyceniamy cały projekt (scope assessment + audyt) jako jedną stałą cenę. Dla klientów realizujących u nas pentest i audyt PCI DSS oferujemy preferencyjne pakiety.
Zmiana QSA – bezpłatna rozmowa scope-assessment
Patronusec jako akredytowany QSA prowadzi niezależne oceny dla organizacji rozważających zmianę – bez uprzedzeń i bez zobowiązań wobec poprzednich ustaleń.
W bezpłatnej 30-minutowej konsultacji pomożemy Ci:
- Omówić sygnały, które sugerują że zmiana QSA jest uzasadniona w Twojej sytuacji
- Wyjaśnić jak wygląda nasz niezależny process scope assessment i onboarding
- Przedstawić transparentną wycenę projektu z podziałem na etapy
- Zadać nam wszystkie 5 pytań z sygnałów z tego artykułu
Bezpłatna rozmowa scope-assessment | Certyfikacja PCI DSS | Analiza luk PCI DSS | Testy penetracyjne | vCISO
