Co składa się na koszt szkolenia cyberbezpieczeństwa pracowników?
Sam zakup platformy lub webinaru nie pokazuje pełnego budżetu. W kalkulatorze koszt programu jest rozdzielony na wydatki zewnętrzne oraz koszt wewnętrzny czasu pracy. Do pierwszej grupy należą m.in. licencje, trener, przygotowanie materiałów i testy phishingowe. Do drugiej: czas uczestników oraz praca IT, HR lub osoby administrującej programem.
To rozdzielenie jest ważne, ponieważ VAT dotyczy wydatków zewnętrznych, a nie wartości czasu własnych pracowników. Dzięki temu wynik pokazuje zarówno kwoty, które mogą pojawić się na fakturach, jak i szerszy koszt ekonomiczny programu dla firmy.
Kalkulator uwzględnia także nowe osoby zatrudniane w ciągu roku, koszt odnowienia wiedzy, kolejne kampanie phishingowe oraz kilkuletni okres analizy. Nie zastępuje oferty konkretnego dostawcy — ma służyć do budżetowania i porównywania scenariuszy.
Jak kalkulator liczy pierwszy rok i kolejne odnowienia?
Pierwszy rok obejmuje licencje dla obecnych i nowych uczestników, trenera, przygotowanie programu, materiały, zaplanowane testy phishingowe oraz czas pracowników i IT/HR. Rabat obniża tylko wydatki zewnętrzne. Bufor organizacyjny powiększa osobno część zewnętrzną i wewnętrzną, aby można było ująć dodatkowe terminy, poprawki albo nieplanowaną obsługę.
Odnowienie roczne obejmuje materiały przypominające dla obecnego zespołu, szkolenie nowych osób, kolejne testy phishingowe oraz roczną obsługę programu. W analizie wieloletniej kalkulator dolicza kolejne odnowienia i może uwzględnić wzrost kosztów w następnych latach.
Platforma, trener, przygotowanie, materiały i kampanie phishingowe. Tu uwzględniany jest VAT.
Czas uczestników oraz praca IT/HR. Kalkulator nie dolicza do tej części VAT.
Suma wydatków zewnętrznych brutto i kosztu czasu wewnętrznego.
Przykład dla firmy zatrudniającej 30 osób
Dla danych startowych kalkulator przyjmuje 30 obecnych pracowników i 6 nowych osób w pierwszym roku. Oznacza to 36 uczestników uwzględnionych w szkoleniu startowym. Przy cenie platformy 55 zł na osobę, trenerze za 1800 zł, przygotowaniu za 650 zł, materiałach za 500 zł i dwóch kampaniach phishingowych po 18 zł na osobę zewnętrzna baza kosztowa wynosi 6010 zł przed buforem i VAT.
Po doliczeniu 10% bufora organizacyjnego zewnętrzne wydatki wynoszą 6611 zł netto, czyli 8131,53 zł brutto przy VAT 23%. Koszt czasu uczestników i przygotowania IT/HR wynosi po buforze 3982 zł. Łączny koszt ekonomiczny pierwszego roku to więc około 12 113,53 zł.
Przy tych samych danych bazowy koszt ekonomiczny odnowienia wynosi około 5232,48 zł rocznie, a koszt trzyletni około 22 787,79 zł. To przykład działania modelu, a nie cennik rynkowy — własne stawki należy wpisać w formularzu.
Jak uwzględnić nowych pracowników i zakres szkolenia?
Pole „Nowe osoby / rok” wpływa już na pierwszy rok. Nowe osoby otrzymują licencję i szkolenie startowe, a ich czas pracy jest doliczany do kosztu wewnętrznego. W kolejnych latach ta sama liczba służy do oszacowania kosztu onboardingu nowych pracowników w ramach odnowienia programu.
Pole „Zakres szkolenia” jest scenariuszowym mnożnikiem kosztów zewnętrznych związanych bezpośrednio z treścią szkolenia: platformą, trenerem, przygotowaniem i materiałami. Nie mnoży kosztu testów phishingowych ani czasu pracowników i IT/HR. Współczynniki 0,85–1,45 nie są stawką branżową — służą do szybkiego porównania lżejszego i bardziej rozbudowanego wariantu przy tych samych cenach bazowych.
Jeżeli masz konkretną ofertę, najdokładniej będzie wpisać rzeczywiste ceny i pozostawić zakres możliwie blisko wariantu, który odpowiada zakresowi tej oferty.
Jak interpretować wynik testów phishingowych?
Kalkulator porównuje odsetek ryzykownych kliknięć przed szkoleniem i zakładany cel po szkoleniu. Na tej podstawie szacuje liczbę mniej ryzykownych kliknięć przy zadanej liczbie pracowników i kampanii. To prosty wskaźnik do budżetowania, a nie pełna ocena skuteczności programu.
Przy porównywaniu kolejnych kampanii warto używać podobnych scenariuszy. NIST zwraca uwagę, że trudność wiadomości phishingowej wpływa na wynik i sam click rate nie powinien być oceniany bez kontekstu. Dlatego spadek liczby kliknięć jest użyteczny jako trend, ale nie należy automatycznie utożsamiać go z liczbą unikniętych realnych incydentów.
Praktyczny program powinien też mierzyć inne zachowania, np. zgłaszanie podejrzanych wiadomości i reakcję po zauważeniu błędu. Materiały CISA podkreślają znaczenie regularnych szkoleń, aktualizowania przykładów zagrożeń i jasnego sposobu zgłaszania podejrzanych wiadomości.
Jak interpretować „redukcję ryzyka” w kalkulatorze?
Wartość redukcji ryzyka jest scenariuszem ekonomicznym. Kalkulator najpierw mnoży koszt pojedynczego incydentu przez roczne prawdopodobieństwo jego wystąpienia, a następnie przez wpisaną redukcję ryzyka. Przykładowo 25 000 zł kosztu incydentu przy 15% prawdopodobieństwie oznacza oczekiwaną stratę 3750 zł rocznie. Redukcja ryzyka o 18% daje orientacyjnie 675 zł rocznie.
Ta liczba nie jest gwarantowaną oszczędnością ani prognozą liczby incydentów. Skuteczność zależy także od ochrony kont, filtrów poczty, aktualizacji, uprawnień, kopii zapasowych i sposobu reagowania na zdarzenia. Dlatego wynik należy traktować jako jeden z wariantów do porównania z kosztem programu.
Jeśli nie masz wiarygodnego oszacowania prawdopodobieństwa albo redukcji ryzyka, lepiej wpisać ostrożne wartości i porównać kilka scenariuszy niż traktować jedną liczbę jako pewny zwrot z inwestycji.
Wskazówka od KalkulatorXXL
Najpierw policz wariant podstawowy na realnych cenach i kosztach czasu pracy. Dopiero później zmieniaj liczbę kampanii, zakres szkolenia i założenia dotyczące ryzyka. Dzięki temu od razu zobaczysz, która część budżetu rzeczywiście odpowiada za zmianę wyniku.
Najczęstsze błędy przy planowaniu budżetu szkoleniowego
- Liczenie tylko ceny platformy. Pomijany jest czas uczestników oraz praca IT/HR.
- Doliczanie VAT do czasu własnych pracowników. W kalkulatorze VAT dotyczy wyłącznie wydatków zewnętrznych.
- Pomijanie nowych osób. Onboarding po głównym szkoleniu nadal generuje koszt licencji i czasu pracy.
- Traktowanie mnożnika zakresu jak cennika rynkowego. Jest to wyłącznie scenariusz porównawczy.
- Porównywanie niepodobnych testów phishingowych. Łatwiejszy lub trudniejszy scenariusz może zmienić click rate niezależnie od jakości szkolenia.
- Uznawanie redukcji ryzyka za gwarantowany zwrot. To orientacyjne założenie scenariusza.
- Traktowanie szkolenia jako zamiennika zabezpieczeń technicznych. Edukacja powinna uzupełniać, a nie zastępować MFA, aktualizacje, ochronę urządzeń i backup.
Co policzyć po zaplanowaniu szkolenia?
Po ustaleniu budżetu szkolenia warto porównać go z kosztami zabezpieczeń technicznych. Dzięki temu widać, ile firma przeznacza na ograniczanie błędów użytkowników, a ile na ochronę kont, danych i urządzeń.
FAQ – koszt szkolenia cyberbezpieczeństwa pracowników
Źródła i założenia
- NIST SP 800-50 — Building an Information Technology Security Awareness and Training Program — struktura programu awareness/training i jego cykl życia.
- NIST TN 2276 — Phish Scale User Guide — interpretacja trudności symulowanych wiadomości phishingowych i wyników kampanii.
- CISA — Cyber Essentials Toolkit, Chapter 2: Your Staff, The Users — szkolenia, aktualizowanie wiedzy o zagrożeniach i zgłaszanie podejrzanych wiadomości.
- CERT Polska — zasady zgłaszania incydentów — oficjalny kanał zgłaszania podejrzanych wiadomości i incydentów.
Źródła wspierają sposób interpretacji programu szkoleniowego i testów phishingowych. Kwoty, rabaty, bufor, mnożniki zakresu, prawdopodobieństwo incydentu i redukcja ryzyka w kalkulatorze są założeniami scenariusza lub danymi wpisywanymi przez użytkownika — nie są stawkami ani wartościami zalecanymi przez NIST, CISA lub CERT Polska.
Ostatnia aktualizacja: 30.09.2026