Policz kolejne elementy cyberbezpieczeństwa firmy
Budżet NIS2/KSC nie powinien być jedną zbiorczą kwotą bez uzasadnienia. Po uzyskaniu wyniku warto rozłożyć projekt na konkretne zakupy i działania: audyt obecnego środowiska, zabezpieczenie kont, szkolenia, ochronę poczty oraz finansowe skutki możliwego incydentu. Dzięki temu łatwiej ustalić, które pozycje trzeba uruchomić natychmiast, które można zaplanować na kolejne kwartały, a które są już pokryte przez działające narzędzia i procesy.
Dla poczty firmowej przyda się także kalkulator kosztu zabezpieczenia poczty. Szerszy kontekst narzędzi i wydatków znajdziesz w akademii informatyki dla firm, a finansowe skutki ryzyka można połączyć z poradnikiem jak dobrać ubezpieczenie cyber risk.
Co liczy kalkulator kosztu wdrożenia NIS2/KSC?
Kalkulator kosztu wdrożenia NIS2/KSC szacuje nie tylko jednorazową cenę konsultanta. Model obejmuje analizę luk, inwentaryzację aktywów, ocenę ryzyka, przygotowanie systemu zarządzania bezpieczeństwem informacji, procedury reagowania na incydenty, ciągłość działania, bezpieczeństwo dostawców, szkolenia oraz techniczne zabezpieczenia kont, urządzeń, serwerów i kopii zapasowych. Wynik uwzględnia również koszty miesięczne, ponieważ cyberbezpieczeństwo nie kończy się w dniu podpisania dokumentacji.
Najważniejszą cechą modelu jest rozdzielenie kosztów organizacyjnych od technicznych. Firma może mieć nowoczesny antywirus i chmurę, a jednocześnie nie wiedzieć, kto podejmuje decyzję podczas incydentu, które systemy są naprawdę krytyczne, jak wygląda lista dostawców albo kiedy ostatnio odtworzono backup. Z drugiej strony organizacja może posiadać rozbudowane regulaminy, ale nie mieć MFA, centralnych logów i kontroli uprzywilejowanych kont. Oba przypadki wymagają innego budżetu.
Wynik jest orientacyjny i służy do planowania. Nie jest kwalifikacją prawną, potwierdzeniem zgodności ani ofertą wdrożeniową. Daje jednak punkt odniesienia przed rozmową z kancelarią, firmą audytową, integratorem, dostawcą SOC lub specjalistą odpowiedzialnym za bezpieczeństwo. Użytkownik może od razu zobaczyć, dlaczego oferta dla organizacji ze 150 urządzeniami i sześcioma systemami krytycznymi jest wyższa niż prosty audyt dokumentacji w małym biurze.
Stan prawny i terminy - ważna informacja
Według stanu na lipiec 2026 r. polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. Podmioty, które spełniały kryteria w dniu wejścia przepisów w życie, powinny zweryfikować obowiązek wpisu do Wykazu KSC do 3 października 2026 r., a termin wdrożenia obowiązków dla tej grupy wskazywany jest na 3 kwietnia 2027 r. Terminy i interpretacje mogą się zmieniać, dlatego przed podjęciem decyzji trzeba sprawdzić aktualne komunikaty właściwych organów.
Kalkulator celowo nie rozstrzyga automatycznie statusu firmy. O objęciu przepisami może decydować sektor działalności, rozmiar organizacji, charakter świadczonej usługi, struktura grupy kapitałowej, szczególne wyjątki oraz wskazanie podmiotu w przepisach. Wybór statusu w formularzu służy do dopasowania zakresu kosztów, a nie do wydania opinii prawnej.
Od czego zależy cena wdrożenia NIS2 w firmie?
Pierwszym czynnikiem jest skala. Liczba pracowników wpływa na liczbę kont, szkoleń, uprawnień i procesów biznesowych. Liczba urządzeń zwiększa koszt licencji, zarządzania aktualizacjami, EDR, szyfrowania, inwentaryzacji i wsparcia użytkowników. Liczba lokalizacji podnosi koszt sieci, kopii zapasowych, procedur awaryjnych oraz testów. Krytyczne systemy wymagają osobnej analizy zależności, właścicieli, dostawców, parametrów odtworzenia i scenariuszy incydentowych.
Drugim czynnikiem jest dojrzałość. Firma z aktualną inwentaryzacją, działającym MFA, testowanymi kopiami zapasowymi, centralnym monitoringiem i określonymi właścicielami ryzyka nie zaczyna od zera. W takim przypadku koszt przesuwa się w stronę potwierdzenia dowodów, uzupełnienia braków i przygotowania cyklu utrzymania. Organizacja działająca doraźnie musi najpierw uporządkować podstawy, a dopiero później wdrażać bardziej zaawansowane narzędzia.
Trzecim elementem jest rodzaj środowiska. Środowisko biurowe oparte na kilku usługach SaaS zwykle jest łatwiejsze do objęcia kontrolą niż zakład produkcyjny, magazyn automatyczny, operator infrastruktury lub firma z urządzeniami OT/ICS. W przemyśle nie każde urządzenie można szybko zaktualizować, wyłączyć albo objąć standardowym agentem bezpieczeństwa. Potrzebne są segmentacja, pasywny monitoring, uzgodnienia z automatyką i dostawcami maszyn, a przerwa testowa może wymagać osobnego okna serwisowego.
Czwartym czynnikiem jest model wykonania. Sama analiza luk kosztuje mniej, lecz pozostawia po stronie firmy zakup narzędzi i realizację zaleceń. Pełne wdrożenie obejmuje prowadzenie projektu do zamknięcia najważniejszych luk. Wariant zarządzany dodaje stałe utrzymanie, monitoring, raportowanie, obsługę incydentów i okresowe testy. Właśnie dlatego kalkulator pokazuje jednocześnie budżet jednorazowy i koszt miesięczny.
Podmiot kluczowy i ważny
Wybór statusu wpływa na model kosztowy, ponieważ organizacja musi przygotować nie tylko zabezpieczenia, ale także odpowiedzialności, dowody i sposób współpracy z organami. Podmiot kluczowy otrzymuje w kalkulatorze większy bufor na formalizację, nadzór, testy oraz obsługę środowisk o wyższym znaczeniu dla ciągłości usług. Podmiot ważny nadal potrzebuje pełnego systemu zarządzania ryzykiem, a różnica nie oznacza, że może ograniczyć się do krótkiej polityki bezpieczeństwa.
Firma, która nie zna statusu, powinna najpierw przeprowadzić samoidentyfikację. W praktyce warto zebrać kody i opis działalności, liczbę pracowników, dane finansowe, strukturę właścicielską, zakres usług, klientów, zależności od infrastruktury cyfrowej i informacje o grupie kapitałowej. Dopiero z takim zestawem można sensownie oceniać obowiązki.
Wdrożenie dobrowolne
Nie każda firma musi być objęta ustawą, aby skorzystać z podobnego modelu zarządzania bezpieczeństwem. Dostawcy współpracujący z większymi podmiotami coraz częściej otrzymują ankiety, wymagania umowne, obowiązek MFA, testów odtwarzania, terminowego zgłaszania incydentów i kontroli podwykonawców. Dobrowolne wdrożenie może więc wynikać z przetargu, oczekiwań klienta, wymagań ubezpieczyciela albo potrzeby ograniczenia przerw w działalności.
W kalkulatorze wariant dobrowolny ma niższy mnożnik formalny, ale nie usuwa technicznych kosztów. Jeżeli firma ma 500 urządzeń, brak kopii odseparowanej i brak kontroli kont uprzywilejowanych, koszt naprawy tych luk będzie podobny niezależnie od tego, czy impulsem jest ustawa, umowa z klientem czy audyt ubezpieczeniowy.
Analiza luk, inwentaryzacja i ocena ryzyka
Najczęściej pierwszą pozycją w ofercie jest analiza luk NIS2/KSC. Dobra analiza nie polega na wypełnieniu krótkiej ankiety przez dział IT. Powinna rozpocząć się od ustalenia usług, procesów i systemów, bez których organizacja nie może działać. Następnie trzeba wskazać właścicieli biznesowych, dane, urządzenia, dostawców, zależności sieciowe, konta uprzywilejowane i miejsca przechowywania kopii zapasowych. Bez tego ocena ryzyka będzie zbiorem ogólnych stwierdzeń.
Koszt analizy rośnie, gdy inwentaryzacja jest nieaktualna lub rozproszona. Firmy często posiadają osobną listę komputerów, listę licencji, umowy z dostawcami, arkusz serwerów oraz wiedzę przechowywaną wyłącznie w głowie administratora. Projekt musi wtedy połączyć te źródła, usunąć duplikaty i przypisać odpowiedzialność. W organizacji z kilkoma lokalizacjami ważne jest również sprawdzenie, czy każda jednostka pracuje według tych samych zasad.
Ocena ryzyka powinna prowadzić do konkretnych decyzji: które ryzyko zmniejszamy, które akceptujemy, które przenosimy na dostawcę lub polisę, a którego unikamy przez zmianę procesu. Każda decyzja potrzebuje właściciela, terminu i dowodu realizacji. Dlatego koszt analizy luk nie kończy się na raporcie PDF. Użyteczny rezultat to uporządkowany rejestr ryzyka, plan postępowania i lista działań możliwa do połączenia z budżetem.
W kalkulatorze analiza luk jest zależna od liczby systemów, lokalizacji i pracowników. Liczba urządzeń wpływa na szczegółowość inwentaryzacji, ale nie zastępuje informacji o znaczeniu systemów. Dziesięć serwerów obsługujących proces krytyczny może wymagać więcej pracy niż kilkaset prostych urządzeń biurowych zarządzanych centralnie.
SZBI, polityki i odpowiedzialność kierownictwa
System zarządzania bezpieczeństwem informacji, czyli SZBI, nie powinien być katalogiem dokumentów skopiowanych z innej firmy. Musi opisywać sposób podejmowania decyzji w konkretnej organizacji. Potrzebne są role, odpowiedzialności, zasady raportowania, cykl oceny ryzyka, zarządzanie wyjątkami, przeglądy kierownictwa oraz mierniki pokazujące, czy zabezpieczenia działają. Dokumentacja ma wspierać operacje, a nie tylko wyglądać dobrze podczas kontroli.
Wdrożenie wymaga udziału zarządu lub kierowników jednostki. Dział IT może przygotować dane i wdrożyć narzędzia, ale nie powinien samodzielnie akceptować ryzyka biznesowego. To właściciel procesu określa, jaki czas przerwy jest dopuszczalny, które dane są najważniejsze i jaki poziom kosztu można zaakceptować. Kierownictwo powinno rozumieć stan bezpieczeństwa, priorytety i konsekwencje odłożenia działań.
Koszt dokumentacji zależy od liczby procesów i systemów, ale także od tego, czy organizacja ma już działające procedury. Istniejące polityki RODO, ciągłości działania, dostępu, zakupów IT lub zarządzania zmianą mogą zostać wykorzystane, jeśli odpowiadają rzeczywistości. Jeżeli dokument mówi o kwartalnym przeglądzie kont, a firma nigdy go nie wykonuje, sam dokument nie jest dowodem skuteczności.
Wynik kalkulatora uwzględnia przygotowanie dokumentacji i pracę warsztatową z właścicielami procesów. W większej organizacji część kosztu wynika z koordynacji: uzgodnienia zasad z HR, zakupami, prawnikiem, produkcją, sprzedażą, administracją i zarządem bywają bardziej czasochłonne niż napisanie samej procedury.
MFA i dostęp
MFA powinno chronić przede wszystkim pocztę, dostęp zdalny, usługi chmurowe i konta administracyjne. Sam zakup licencji nie wystarczy. Trzeba uporządkować konta, metody odzyskania dostępu, konta awaryjne, role administratorów, urządzenia zaufane oraz proces odbierania uprawnień po zmianie stanowiska lub odejściu pracownika.
EDR i aktualizacje
Ochrona urządzeń obejmuje więcej niż program antywirusowy. Potrzebne są aktualizacje, polityki konfiguracji, szyfrowanie, kontrola aplikacji, reakcja na alerty i widoczność serwerów. Koszt rośnie, gdy firma używa wielu wersji systemów, prywatnych urządzeń lub maszyn, których nie można łatwo zaktualizować.
Logi i monitoring
Logi muszą trafiać do miejsca, w którym ktoś je analizuje. Centralizacja bez reguł, odpowiedzialności i czasu reakcji nie daje pełnej wartości. Firma powinna wiedzieć, które zdarzenia są alarmem, kto je odbiera, jak długo przechowuje dane oraz co dzieje się poza godzinami pracy.
Backup, odtwarzanie i ciągłość działania
Kopia zapasowa jest przydatna tylko wtedy, gdy można ją odtworzyć w wymaganym czasie. Wiele organizacji regularnie wykonuje backup, ale nie zna realnego czasu odtworzenia całego procesu. Przy awarii trzeba przywrócić nie tylko pliki, lecz również serwery, konfigurację, konta, certyfikaty, integracje i kolejność uruchamiania systemów. Dlatego test pojedynczego pliku nie zastępuje ćwiczenia odtworzenia usługi.
Budżet powinien obejmować dodatkową, odseparowaną kopię, ochronę kont administracyjnych backupu, monitoring wykonania zadań, retencję, szyfrowanie i testy. W środowisku chmurowym trzeba odróżnić wysoką dostępność usługi od kopii danych. Dostawca może utrzymywać platformę, ale klient nadal odpowiada za błędne usunięcie, zaszyfrowanie danych, niewłaściwe uprawnienia lub zbyt krótką historię wersji.
Ciągłość działania łączy technikę z decyzjami biznesowymi. Dla każdego procesu trzeba ustalić maksymalny dopuszczalny czas przerwy, minimalny zakres działania awaryjnego oraz kolejność przywracania. Firma może zaakceptować ręczną obsługę zamówień przez kilka godzin, ale nie kilkudniowy brak dostępu do systemu produkcyjnego. Bez takich ustaleń dział IT nie wie, czy powinien inwestować w szybsze odtworzenie, dodatkową replikę czy prostą procedurę pracy zastępczej.
Kalkulator zwiększa koszt wraz z liczbą systemów i lokalizacji, a zaznaczenie działającego backupu obniża budżet do poziomu weryfikacji i utrzymania. Pole należy zaznaczyć tylko wtedy, gdy odtworzenie było testowane, wyniki są zapisane, a błędy mają właściciela i termin naprawy.
Reagowanie na incydenty i obowiązek szybkiej komunikacji
Plan reagowania na incydenty powinien działać także w nocy, podczas urlopu administratora i wtedy, gdy poczta firmowa jest niedostępna. Potrzebne są alternatywne kontakty, lista osób decyzyjnych, zasady zabezpieczania dowodów, sposób współpracy z dostawcami oraz kryteria eskalacji. Organizacja musi odróżniać zwykłe zdarzenie od incydentu, który wymaga poważniejszej reakcji i zgłoszenia.
Wdrożenie obejmuje przygotowanie kart reakcji dla typowych scenariuszy: przejęcie konta, ransomware, wyciek danych, awaria dostawcy chmurowego, atak DDoS, utrata urządzenia, naruszenie w środowisku OT lub błąd aktualizacji. Każda karta powinna wskazywać pierwsze działania, osobę odpowiedzialną, informacje potrzebne do oceny skutków i zasady komunikacji z klientami, pracownikami, organami oraz mediami.
Ćwiczenie tabletop sprawdza, czy plan jest zrozumiały. Uczestnicy otrzymują scenariusz i podejmują decyzje bez wyłączania systemów. Dzięki temu można wykryć brak numeru telefonu, niejasną odpowiedzialność, problem z dostępem do kopii umowy lub sytuację, w której dwóch dostawców oczekuje, że drugi rozpocznie analizę. Koszt ćwiczenia jest zwykle niewielki w porównaniu z wartością znalezionych luk.
W kalkulatorze osobno można dodać ćwiczenie incydentowe oraz zewnętrzny SOC/MDR. SOC pomaga wykrywać i analizować zdarzenia, ale nie podejmie wszystkich decyzji biznesowych. Nadal potrzebny jest właściciel incydentu po stronie organizacji, kontakty do kierownictwa i ustalona ścieżka komunikacji.
Dostawcy, chmura i łańcuch dostaw
Znaczna część usług firmy zależy od podmiotów zewnętrznych: hostingu, chmury, księgowości, systemu ERP, operatora płatności, dostawcy łączy, serwisu maszyn, firmy programistycznej lub centrum danych. Ryzyko dostawcy nie znika po podpisaniu umowy. Trzeba wiedzieć, jakie dane i systemy są mu powierzone, jakie ma uprawnienia, z jakich podwykonawców korzysta oraz jak szybko zgłosi incydent.
Podstawowy program zarządzania dostawcami może obejmować klasyfikację krytyczności, ankietę bezpieczeństwa, minimalne wymagania umowne, potwierdzenie kopii zapasowych, zasady dostępu zdalnego i coroczny przegląd. Dla dostawcy krytycznego potrzebny jest głębszy przegląd: raporty z audytów, wyniki testów, plan ciągłości działania, lokalizacja danych, proces zarządzania podatnościami oraz warunki zakończenia współpracy.
Koszt tej części projektu zależy bardziej od liczby krytycznych relacji niż od całkowitej liczby faktur. Firma może mieć stu prostych dostawców biurowych i dwóch dostawców, bez których nie zrealizuje podstawowej usługi. To właśnie te dwie relacje powinny otrzymać priorytet. Przygotowanie rozszerzonego audytu wszystkich kontrahentów bez klasyfikacji zwykle prowadzi do dużego nakładu pracy i małej wartości.
Kalkulator pozwala oznaczyć istniejący proces dostawców oraz dodać rozszerzony audyt. Jeżeli organizacja posiada aktualną listę, klasyfikację, wymagania umowne i dowody przeglądów, koszt spada. Sama klauzula o zachowaniu poufności nie oznacza jednak, że ryzyko łańcucha dostaw jest zarządzane.
SOC, SIEM czy MDR?
SIEM zbiera i analizuje logi, lecz wymaga konfiguracji reguł, integracji źródeł, strojenia alertów i ludzi, którzy potrafią ocenić zdarzenie. Własny SOC daje kontrolę, ale jest kosztowny kadrowo. Dla wielu średnich firm praktyczniejszy jest MDR lub zewnętrzny SOC, który łączy narzędzia, analityków i ustalony czas reakcji. Przed wyborem trzeba sprawdzić zakres godzinowy, język obsługi, sposób eskalacji, liczbę źródeł logów i to, kto wykonuje działania naprawcze.
Najtańsza oferta może obejmować jedynie przekazanie alertu, podczas gdy droższa zawiera analizę, izolację urządzenia i wsparcie incydentowe. Kalkulator szacuje koszt miesięczny na podstawie urządzeń i krytycznych systemów, ale ostateczna cena zależy od wolumenu logów, technologii i oczekiwanej reakcji.
Testy penetracyjne
Test penetracyjny powinien mieć jasno określony zakres: aplikacja internetowa, sieć zewnętrzna, infrastruktura wewnętrzna, chmura, aplikacja mobilna lub dostęp zdalny. Cena rośnie wraz z liczbą systemów i złożonością autoryzacji. Sam skan automatyczny nie zastępuje ręcznej analizy, a raport bez retestu nie potwierdza, że krytyczne błędy zostały usunięte.
Opcję testów warto zaznaczyć, gdy firma ma systemy wystawione do internetu, aplikacje tworzone na zamówienie, istotne integracje lub nie wykonywała niezależnej weryfikacji od dłuższego czasu.
Przykłady kosztu NIS2 dla małej, średniej i większej organizacji
Mała organizacja z 30 pracownikami, 40 urządzeniami, jedną lokalizacją i kilkoma usługami chmurowymi może rozpocząć od analizy luk, uporządkowania dostępu, kopii zapasowej, planu incydentowego i podstawowych dokumentów. Jeżeli MFA i zarządzanie urządzeniami już działają, koszt jednorazowy może być znacznie niższy niż w firmie o podobnej wielkości, która używa wspólnych kont i nie ma testów odtworzenia. Miesięczne utrzymanie będzie obejmować głównie licencje, monitoring i okresowe wsparcie.
Średnia firma ze 150 pracownikami, kilkoma lokalizacjami i systemem ERP potrzebuje szerszych warsztatów, klasyfikacji procesów, kontroli dostawców i centralnych logów. Koszt rośnie, gdy oddziały mają różne konfiguracje, a uprawnienia są nadawane ręcznie. W takim przypadku część budżetu trzeba przeznaczyć na integrację tożsamości, uporządkowanie kont serwisowych, segmentację sieci i test odtworzenia całej usługi, a nie tylko pojedynczej bazy danych.
Większa organizacja z kilkuset pracownikami, własnymi aplikacjami, zakładem produkcyjnym i systemami OT wymaga etapowego programu. Najpierw trzeba ustalić granice środowiska IT i OT, bezpieczny dostęp serwisowy, krytyczne zależności oraz zakres monitoringu, który nie zakłóci produkcji. Projekt może wymagać kilku wykonawców: konsultanta organizacyjnego, integratora sieci, zespołu OT, dostawcy SOC, prawnika i firmy wykonującej testy.
Nie należy porównywać ofert wyłącznie przez cenę całkowitą. Jedna oferta może obejmować tylko dokumentację i kilka spotkań, a druga także wdrożenie MFA, EDR, backupu, centralnych logów, testów i roczne utrzymanie. Kalkulator pokazuje podział budżetu, aby łatwiej porównać, co rzeczywiście jest kupowane.
Jak ułożyć harmonogram wdrożenia na 90, 180 i 365 dni?
W pierwszych 90 dniach warto zamknąć luki, które mogą prowadzić do szybkiego i poważnego incydentu. Zwykle są to brak MFA, niekontrolowane konta administratorów, niepewny backup, nieaktualne systemy wystawione do internetu, brak kontaktów awaryjnych i brak podstawowej widoczności zdarzeń. Równolegle należy rozpocząć inwentaryzację oraz ustalić właścicieli kluczowych procesów i systemów.
W okresie do 180 dni organizacja może rozwinąć SZBI, formalną ocenę ryzyka, proces dostawców, polityki dostępu, szkolenia, procedury incydentowe i centralny monitoring. To dobry moment na ćwiczenie tabletop, ponieważ ujawni braki w świeżo przygotowanych zasadach. Wdrożenia techniczne powinny być połączone z dowodami: raportami z konfiguracji, wynikami testów, listami uczestników i protokołami akceptacji.
W perspektywie 365 dni system powinien wejść w cykl utrzymania. Potrzebne są przeglądy ryzyka, raportowanie do kierownictwa, testy odtwarzania, aktualizacja listy dostawców, plan audytów i mierniki. Nie chodzi o jednorazowe zakończenie projektu, lecz o działający mechanizm, który wykrywa zmiany: nową usługę chmurową, przejęcie firmy, zmianę dostawcy, nową lokalizację lub wzrost znaczenia procesu.
Kalkulator podaje orientacyjny czas na podstawie nakładu pracy i skali. Harmonogram może być dłuższy, jeśli zakupy wymagają przetargu, systemy mają ograniczone okna serwisowe, a kluczowi pracownicy są dostępni tylko w określonych terminach. Skracanie projektu przez równoczesne uruchomienie wszystkich działań może zwiększyć koszt koordynacji i ryzyko błędów.
Ukryte koszty, których często nie ma w pierwszej ofercie
Pierwszym ukrytym kosztem jest czas własnych pracowników. Konsultant potrzebuje informacji od IT, HR, zakupów, prawa, kierownictwa i właścicieli procesów. Jeżeli projekt obejmuje kilkadziesiąt warsztatów, koszt wewnętrzny może być znaczący. Firma powinna zarezerwować czas na przygotowanie danych, akceptację dokumentów, testy i poprawki, zamiast traktować wdrożenie jako zadanie wykonywane całkowicie na zewnątrz.
Drugim kosztem są integracje. Cena licencji MFA, EDR lub SIEM może wyglądać atrakcyjnie, ale konfiguracja starszych systemów, migracja kont, poprawa sieci i dostosowanie aplikacji bywają droższe niż sam abonament. Warto sprawdzić, czy oferta zawiera uruchomienie, migrację, dokumentację, szkolenie administratorów i wsparcie po wdrożeniu.
Trzecia grupa to utrzymanie dowodów. Każda kontrola musi mieć właściciela i częstotliwość. Ktoś musi wykonywać przeglądy kont, analizować alerty, zatwierdzać ryzyko, sprawdzać backup, aktualizować listę dostawców i raportować wyniki. Jeżeli firma nie ma odpowiednich osób, potrzebna będzie usługa zewnętrzna lub dodatkowy etat.
Czwartym kosztem jest usuwanie długu technologicznego. Stary serwer, niewspierana aplikacja lub urządzenie OT mogą wymagać wymiany, segmentacji albo dodatkowego zabezpieczenia. Kalkulator daje bufor zależny od dojrzałości i środowiska, ale duża modernizacja infrastruktury powinna być policzona osobnym projektem inwestycyjnym.
Najczęstsze błędy przy planowaniu budżetu NIS2
Pierwszy błąd to zakup dokumentacji bez sprawdzenia rzeczywistego środowiska. Gotowe wzory mogą przyspieszyć pracę, ale wymagają dopasowania do procesów, odpowiedzialności i narzędzi. Dokument, którego nikt nie zna i nie wykonuje, nie zmniejsza ryzyka. Drugi błąd to skupienie całego budżetu na narzędziach. Nawet dobre narzędzie generuje małą wartość, jeśli nie ma właściciela, reguł reakcji i czasu na analizę.
Trzeci błąd to liczenie wyłącznie kosztu pierwszego roku. Licencje, SOC, audyty, testy, szkolenia i przeglądy będą wracać. Warto od początku wyznaczyć budżet utrzymaniowy, aby system nie przestał działać po zakończeniu projektu. Czwarty błąd to brak priorytetów. Próba jednoczesnego poprawienia wszystkich obszarów może zablokować firmę i rozproszyć odpowiedzialność.
Piąty błąd to nieuwzględnienie dostawców. Firma może dobrze chronić własne konta, ale pozostawić stały zdalny dostęp serwisowy bez MFA albo nie wiedzieć, jak dostawca zgłosi incydent. Szósty błąd to brak ćwiczeń. Plan incydentowy i plan ciągłości działania powinny zostać sprawdzone w praktyce, ponieważ dopiero ćwiczenie pokazuje niejasne decyzje i brakujące kontakty.
Siódmy błąd to oczekiwanie jednej dokładnej ceny przed analizą luk. Rzetelna wycena powinna mieć założenia, zakres i wyłączenia. Jeśli wykonawca nie pyta o liczbę urządzeń, systemów, lokalizacji, dostawców i obecne zabezpieczenia, podana kwota może później wzrosnąć albo obejmować jedynie powierzchowny zakres.
Jak porównać oferty wykonawców?
Porównaj listę rezultatów: raport luk, rejestr ryzyka, dokumentację, wdrożone konfiguracje, szkolenia, testy, retest, warsztaty zarządu i wsparcie po projekcie. Sprawdź liczbę systemów, lokalizacji i dostawców objętych ceną. Zapytaj, kto odpowiada za wdrożenie rekomendacji i czy oferta obejmuje dowody wykonania.
Ważne są także warunki zmiany zakresu. Umowa powinna wyjaśniać, co stanie się po odkryciu dodatkowych systemów, integracji lub lokalizacji. Dzięki temu najtańsza cena początkowa nie zamieni się w serię dopłat.
Co przygotować przed zapytaniem ofertowym?
Przygotuj orientacyjną liczbę użytkowników i urządzeń, listę lokalizacji, krytyczne systemy, opis sieci, wykaz dostawców, istniejące polityki, wyniki wcześniejszych audytów i narzędzia bezpieczeństwa. Wskaż oczekiwany termin oraz to, czy potrzebujesz samej analizy, pełnego wdrożenia czy stałej obsługi.
Nie trzeba mieć idealnej inwentaryzacji. Warto jednak uczciwie zaznaczyć braki, ponieważ ich uporządkowanie jest częścią kosztu i czasu projektu.
Jak interpretować wynik gotowości?
Wskaźnik gotowości nie jest wynikiem audytu ani certyfikatem. Pokazuje, jak zaznaczone mechanizmy i deklarowana dojrzałość wpływają na punkt startowy. Niski wynik oznacza, że organizacja prawdopodobnie musi równocześnie uporządkować role, dokumentację i podstawowe zabezpieczenia. Średni wynik sugeruje, że część procesów działa, ale potrzebne są dowody, spójność między działami i zamknięcie konkretnych luk.
Wysoki wynik nie oznacza braku pracy. Dojrzała organizacja nadal potrzebuje regularnych testów, przeglądów ryzyka, aktualizacji dokumentacji, oceny dostawców i raportowania. Koszt przesuwa się wtedy z dużej modernizacji na utrzymanie oraz niezależne potwierdzanie skuteczności. To ważne, ponieważ firma może mieć wszystkie wymagane narzędzia, ale używać ich w ograniczonym zakresie lub nie reagować na alerty.
Przy zaznaczaniu pól należy stosować surowe kryterium. MFA jest wdrożone, jeśli obejmuje najważniejsze usługi i konta, a wyjątki są kontrolowane. Backup jest wdrożony, jeśli odtworzenie zostało przetestowane. Proces dostawców działa, jeśli istnieje klasyfikacja, wymagania i przeglądy. Szkolenie działa, jeśli jest regularne, obejmuje właściwe grupy i pozostawia wyniki.
Najbardziej użyteczne jest policzenie kilku wariantów. Najpierw zaznacz stan obecny, potem plan po zamknięciu najważniejszych luk, a na końcu wariant z SOC, testami i wsparciem prawnym. Różnica między wynikami pokazuje koszt kolejnych etapów i pomaga przygotować plan inwestycji.
Ciekawostka
Największą różnicę w kosztach często tworzy nie liczba pracowników, lecz jakość inwentaryzacji i możliwość centralnego zarządzania. Firma z większą liczbą urządzeń, ale spójną tożsamością, aktualizacjami i logami może wdrożyć wymagania taniej niż mniejsza organizacja z wieloma wyjątkami i niewspieranymi systemami.
Kiedy wynik wymaga zwiększenia bufora?
Zwiększ bufor, gdy firma ma środowisko OT, wiele spółek, systemy bez wsparcia, rozproszoną administrację, częste przejęcia, brak aktualnej dokumentacji albo zależy od kilku krytycznych dostawców. Większy zapas jest także potrzebny, gdy projekt musi zostać wykonany szybko lub w warunkach ograniczonych okien serwisowych.
Kiedy koszt może być niższy?
Koszt może być niższy, gdy organizacja ma aktualną inwentaryzację, centralne zarządzanie tożsamością i urządzeniami, testowany backup, działający proces incydentowy, umowy z wymaganiami bezpieczeństwa oraz osoby odpowiedzialne za ryzyko. Trzeba jednak potwierdzić te elementy dowodami, a nie tylko deklaracją.
Wskazówka od KalkulatorXXL
Najpierw policz wariant obecny, a potem zaznacz trzy najważniejsze mechanizmy, które planujesz wdrożyć. Porównanie pokaże, ile budżetu pochłonie pierwszy etap i jak zmieni się koszt utrzymania. W praktyce lepiej zamknąć kilka krytycznych luk z pełnymi dowodami niż rozproszyć środki na wiele niedokończonych działań.