Wpisz w wyszukiwarkę „ile kosztuje NIS2” i dostaniesz dziesięć tekstów o karach sięgających milionów euro. Ani jednego o tym, ile trzeba wydać, żeby tych kar uniknąć. Spróbuję odwrócić proporcje.
Ile to kosztuje — konkretna odpowiedź
Dla firmy na 20–50 stanowisk, z jednym serwerem lub kilkoma usługami w chmurze, wdrożenie wymagań mieści się zwykle w przedziale 15–60 tys. zł jednorazowo i 8–25 tys. zł rocznie na utrzymanie. To widełki, nie oferta — realna kwota zależy od tego, ile z tych rzeczy już masz. Firma z działającym backupem, porządkiem w kontach i monitoringiem zapłaci przy dolnej granicy albo poniżej. Firma, w której nikt nie wie, ile jest serwerów, zapłaci za nadrobienie zaległości, nie za NIS2.
I to jest sedno całego tekstu. Wymagania ustawy o krajowym systemie cyberbezpieczeństwa nie są egzotyczne. Analiza ryzyka, wiedza o własnych zasobach, kontrola dostępu, testowane kopie zapasowe, wykrywanie incydentów, przeszkoleni ludzie. Firma zarządzana rozsądnie ma większość z tego z innych powodów — bo nie chce stracić danych i nie chce stać przez trzy dni.
Skąd bierze się taka rozpiętość
Z punktu startu. Ten sam zakres prac w dwóch firmach o identycznej wielkości potrafi różnić się trzykrotnie, i decydują o tym trzy rzeczy: czy istnieje aktualna dokumentacja infrastruktury, czy uprawnienia są uporządkowane, czy jest cokolwiek, co zbiera logi. Reszta to szczegóły.
Rozbicie na składniki
Analiza ryzyka i dokumentacja
Szacunkowo 4–12 tys. zł. Zestaw dokumentów: polityka bezpieczeństwa, rejestr ryzyk z oceną i planem postępowania, plan ciągłości działania, procedury reagowania. Sam plik to jedno; sens ma dopiero warsztat z zarządem, na którym ustala się, co dla tej konkretnej firmy jest krytyczne. Kupiony gotowiec za 500 zł nie przejdzie kontroli, bo pierwsze pytanie brzmi: „proszę pokazać, jak państwo doszli do tej oceny”.
Inwentaryzacja zasobów
2–6 tys. zł. Lista sprzętu, systemów, usług chmurowych, kont, licencji, dostawców i adresów wystawionych do internetu. Najbardziej niedoceniana pozycja w całym zestawieniu i jednocześnie ta, która najszybciej się zwraca. Za każdym razem, gdy to robię, znajduje się coś, o czym firma zapomniała: serwer testowy z produkcyjnymi danymi, domena opłacana automatycznie od pięciu lat, aktywne konto po pracowniku z 2023 roku.
MFA i porządek w uprawnieniach
3–10 tys. zł. Włączenie drugiego składnika logowania w poczcie i systemach biznesowych, przegląd kont i uprawnień, likwidacja kont współdzielonych, oddzielenie kont administracyjnych od zwykłych. Sama technologia bywa darmowa — MFA w większości usług jest w cenie abonamentu, a wdrożenie drugiego składnika na własnym serwerze tożsamości też nie wymaga licencji. Płacisz za konfigurację, migrację użytkowników i za to, że ktoś przeprowadzi zespół przez zmianę bez trzech dni paraliżu.
Backup z testem odtwarzania
5–20 tys. zł jednorazowo, plus sprzęt lub abonament za przestrzeń. Największa rozbieżność w całej liście, bo zależy od ilości danych i od tego, czy istnieje drugie miejsce przechowywania. Kryterium jest jedno: kopia, z której nikt nie próbował odtworzyć danych, nie jest kopią. Test odtwarzania z protokołem to zresztą dokładnie ten dowód, którego oczekuje kontrola. Rozłożenie wdrożenia na etapy — najpierw systemy, bez których firma staje, potem reszta — pozwala zmieścić się w dolnej części widełek.
Monitoring i zbieranie logów
4–15 tys. zł jednorazowo. Wdrożenie systemu monitorowania dostępności i wydajności, centralne zbieranie logów z serwerów i urządzeń brzegowych, alerty na zdarzenia bezpieczeństwa. Oprogramowanie open source nic nie kosztuje, koszt to konfiguracja i dobranie tego, co faktycznie warto obserwować. Bez logów nie zgłosisz sensownie incydentu, bo nie odtworzysz, co się wydarzyło i kiedy.
Procedura zgłaszania incydentów
1–3 tys. zł. Najtańsza pozycja, najczęściej pomijana. Kto klasyfikuje zdarzenie, kto podejmuje decyzję o zgłoszeniu, kto pisze treść, kto informuje klientów, co robimy poza godzinami pracy. Terminy na zgłoszenie poważnego incydentu liczy się w godzinach, więc improwizacja o drugiej w nocy jest wykluczona. Jedna kartka A4 na ścianie serwerowni i w intranecie.
Szkolenie pracowników
1,5–5 tys. zł za cykl dla całego zespołu. Phishing, hasła, bezpieczne udostępnianie plików, zgłaszanie podejrzanych sytuacji. Do tego lista obecności i materiały — bo szkolenie nieudokumentowane formalnie się nie odbyło. Zarząd ma obowiązek szkolić się osobno i to nie jest kurtuazja: odpowiedzialność za bezpieczeństwo siedzi na poziomie kierownictwa.
Przegląd okresowy
3–8 tys. zł rocznie. Aktualizacja rejestru ryzyk, sprawdzenie, czy procedury nadążają za zmianami w firmie, kolejny test odtwarzania, przegląd uprawnień. Bez tego cała dokumentacja starzeje się w tempie mniej więcej roku.
Jednorazowo kontra co roku
Rozdziel te dwie rzeczy w budżecie, bo mieszanie ich prowadzi do nieprzyjemnych niespodzianek w drugim roku. Jednorazowo płacisz za analizę, dokumentację, konfigurację i pierwsze wdrożenia. Co roku wracają: przestrzeń na kopie zapasowe, abonamenty, szkolenie nowych osób i tych, którzy byli, przegląd dokumentacji, testy odtwarzania, aktualizacja danych w wykazie po każdej zmianie organizacyjnej.
Przy zleceniu utrzymania na zewnątrz koszt roczny często wchodzi w stały abonament za opiekę nad infrastrukturą zamiast być osobną pozycją. Wychodzi taniej niż projekt raz do roku, bo część pracy dzieje się przy okazji bieżącej obsługi.
Etapami wychodzi taniej niż jednym skokiem
Wielki projekt „wdrażamy NIS2” wyceniony jednym numerem jest droższy i częściej się wykoleja. Powód jest prozaiczny: wszystko dzieje się naraz, w firmie, która ma też swoją normalną robotę.
Sensowna kolejność na trzy kwartały:
- Kwartał pierwszy: inwentaryzacja, kwalifikacja podmiotu, rejestracja w wykazie, MFA na poczcie i najważniejszych systemach. Najwięcej bezpieczeństwa za najmniejsze pieniądze.
- Kwartał drugi: backup z realnym testem odtwarzania, monitoring i logi, procedura incydentów.
- Kwartał trzeci: analiza ryzyka na podstawie tego, co już wiesz o swojej infrastrukturze, dokumentacja, szkolenia, plan ciągłości działania.
Odwrotna kolejność — najpierw dokumentacja, potem technika — jest częstsza i gorsza. Analiza ryzyka pisana bez inwentaryzacji opisuje firmę wyobrażoną, a potem trzeba ją przepisywać.
Kary to nie jedyne ryzyko. Nawet nie największe
Nagłówki straszą kwotami liczonymi w procentach obrotu. Dla firmy na 30 osób bardziej prawdopodobny scenariusz jest inny i bardziej bolesny: przegrany przetarg. Podmioty objęte przepisami muszą zarządzać bezpieczeństwem swojego łańcucha dostaw, więc wpisują wymagania do kryteriów wyboru dostawcy i do umów. Brak dokumentacji oznacza odrzucenie oferty na etapie formalnym.
Widzę to już teraz w ankietach, które dostają moi klienci od większych kontrahentów: pytania o czas reakcji na incydent, o testy odtwarzania, o MFA, o to, kto ma dostęp do danych. Firma, która ma na to odpowiedzi z datami, wygrywa z firmą, która obiecuje dosłać. A koszt przygotowania tych odpowiedzi to ułamek wartości jednego utraconego kontraktu.
Pytanie nie brzmi „ile kosztuje NIS2”. Brzmi: ile z tego i tak powinniśmy mieć, tylko nikt tego nie policzył.
Od czego zacząć, żeby nie przepłacić
Od sprawdzenia, na czym stoisz. Nie da się sensownie wycenić wdrożenia bez wiedzy o tym, co już działa, a co jest dziurą. Audyt daje listę zasobów, ryzyk i braków w formie, którą można od razu przełożyć na budżet i harmonogram, a jego koszt jest przewidywalny — rozbiłem go osobno w tekście o tym, ile kosztuje audyt IT. W skali całego wdrożenia to zwykle kilka procent, a decyduje o sensowności reszty wydatków.
Wszystkie kwoty w tym tekście to szacunki dla typowej małej firmy w Warszawie i okolicach, zależne od zakresu, liczby systemów i stanu wyjściowego. Kwestie interpretacji przepisów zweryfikuj z prawnikiem — ja odpowiadam za stronę techniczną. Zacznij od przeglądu infrastruktury, a wycena reszty przestanie być zgadywanką.