Ile kosztuje dokumentacja SZBI? Gotowe wzory można kupić za kilkaset złotych, ale nie jest to równoznaczne z wdrożeniem zgodnym z UoKSC. Indywidualna wycena zależy od zakresu usług, liczby systemów, lokalizacji, dostawców, istniejącej dokumentacji oraz tego, czy projekt obejmuje tylko przygotowanie dokumentów, czy również analizę ryzyka, szkolenia, testy i uruchomienie procedur. Kompleksowe wdrożenie SZBI w Kancelarii Manowiecki rozpoczyna się od 21 000 zł netto.
Oferta obejmująca sto wzorów może wymagać więcej pracy po stronie firmy niż projekt kończący się dwudziestoma dopasowanymi dokumentami, rejestrem ryzyka, przypisaniem odpowiedzialności i testem procedury incydentowej. Cena ma sens dopiero wtedy, gdy wiadomo, co wykonawca rozpozna, opracuje, wdroży i sprawdzi.
Dokumentacjazasady i procedury organizacji
Wdrożeniedziałający system i dowody
W Kancelarii Manowiecki pełne wdrożenie rozpoczyna się od 21 000 zł netto. Obejmuje ono nie tylko przygotowanie polityk i procedur, lecz także ich dostosowanie do organizacji, szkolenia, klauzule umowne oraz ćwiczenie reakcji na incydent. Technologie, prace wdrożeniowe IT i certyfikacja ISO 27001 mogą stanowić odrębne pozycje budżetowe.
Dlaczego dokumentacja SZBI nie ma jednej ceny?
Pod nazwą „dokumentacja SZBI” sprzedawane są usługi, których zakres trudno porównać bez dokładnego opisu. Dla jednego wykonawcy będzie to zestaw edytowalnych wzorów. Dla drugiego – seria warsztatów, inwentaryzacja aktywów, analiza procesów, rejestr ryzyka, polityki, procedury i konsultacje z IT. Trzeci doliczy szkolenia, testy, klauzule umowne, przygotowanie do audytu oraz wsparcie przy uruchomieniu systemu.
Różnica nie sprowadza się do jakości redakcji. Art. 10 UoKSC wymaga, aby podmiot kluczowy lub ważny dokumentację opracowywał, stosował i aktualizował. Ustawa rozróżnia dokumentację normatywną, opisującą zasady działania, oraz dokumentację operacyjną, czyli zapisy potwierdzające rzeczywiste wykonywanie procedur. Sam plik z polityką nie tworzy jeszcze działającego Systemu Zarządzania Bezpieczeństwem Informacji.
Ministerstwo Cyfryzacji wskazuje wprost, że kupiona dokumentacja, podpisana przez zarząd i odłożona do „szafy NIS2”, nie zapewnia realnego cyberbezpieczeństwa. Organizacja powinna znać swoje aktywa i ryzyka, dobrać adekwatne środki, uruchomić procedury oraz pozostawiać dowody ich stosowania. Dlatego dwie oferty po obu stronach tabeli cenowej mogą w rzeczywistości dotyczyć zupełnie innych produktów.
Koszt wdrożenia jest elementem oceny proporcjonalności
Art. 8 UoKSC nakazuje uwzględnić najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo incydentu, ekspozycję na ryzyko oraz możliwe skutki społeczne i gospodarcze. Nie oznacza to prawa do rezygnacji z wymaganych środków. Oznacza konieczność dobrania ich do rzeczywistego ryzyka i udokumentowania tej decyzji.
Ile kosztuje dokumentacja SZBI?
Pytanie, ile kosztuje dokumentacja SZBI, wymaga więc wskazania modelu usługi. Publiczne cenniki pokazują rozpiętość od kilkuset złotych za wzory do kilkudziesięciu tysięcy złotych za kompleksowy projekt. Poniższe poziomy służą do rozróżnienia tych ofert. Nie są jednolitą średnią rynkową, ponieważ wykonawcy inaczej definiują zakres, rezultat i udział klienta.
Gotowe wzory
około 150–2 000 złPakiet plików do samodzielnego uzupełnienia. Może pomóc uporządkować strukturę, ale nie obejmuje poznania organizacji, analizy ryzyka, konsultacji z właścicielami procesów ani sprawdzenia wykonalności procedur.
Pojedynczy dokument lub ograniczony pakiet
od kilku tys. złPrzykładem może być polityka bezpieczeństwa, BCP, DRP albo procedura incydentowa przygotowana dla konkretnej firmy. Warto sprawdzić, czy cena obejmuje warsztaty, analizę stanu faktycznego i późniejsze poprawki.
Indywidualne wdrożenie
od 21 000 zł nettoAktualna cena początkowa kompleksowego wdrożenia w Kancelarii Manowiecki. Zakres obejmuje polityki, procedury, klauzule umowne, szkolenia zarządu i zespołów oraz ćwiczenie reakcji na incydent.
Rozbudowany program bezpieczeństwa
wycena indywidualnaGrupa kapitałowa, wiele lokalizacji, systemy OT, liczni dostawcy, wymagania sektorowe, certyfikacja i rozbudowane testy mogą zwiększyć koszt konsultingu do kilkudziesięciu lub ponad stu tysięcy złotych. Narzędzia i prace techniczne są zwykle liczone osobno.
Wycena dokumentacji SZBI powinna wskazywać nie tylko cenę, ale również założenia, produkty końcowe i wyłączenia. Jeżeli oferta mówi jedynie o „komplecie dokumentów zgodnym z NIS2”, bez informacji o analizie organizacji i sposobie odbioru, nie pozwala ocenić, czy rezultat będzie odpowiadał wymaganiom UoKSC.
Co właściwie kupuje firma?
| Model | Co otrzymuje firma | Udział wykonawcy | Najważniejsze ograniczenie | Kiedy ma sens |
|---|---|---|---|---|
| Szablony | Edytowalne wzory polityk, procedur i rejestrów | Dostarczenie plików i ewentualnej instrukcji | Całe dopasowanie, ryzyko i wdrożenie pozostają po stronie klienta | Organizacja posiada kompetentny zespół i potrzebuje jedynie punktu wyjścia |
| Dokumentacja indywidualna | Dokumenty opracowane na podstawie informacji o firmie | Warsztaty, redakcja, konsultacje i uzgodnienia | Może nie obejmować uruchomienia procesów, testów i zabezpieczeń technicznych | Firma ma już działający system i uzupełnia określone luki |
| Pełne wdrożenie | Ryzyko, dokumentacja, role, szkolenia, testy i dowody | Prowadzenie projektu od diagnozy do gotowości operacyjnej | Wymaga aktywnego udziału zarządu, IT i właścicieli procesów | System jest budowany od podstaw albo wymaga gruntownej przebudowy |
| Certyfikacja | Niezależna ocena zgodności z ISO/IEC 27001 i certyfikat | Audyt jednostki certyfikującej | Nie zastępuje wdrożenia; jest osobnym etapem i kosztem | Wymaga jej klient, przetarg, grupa kapitałowa lub strategia organizacji |
| Stała opieka | Aktualizacje, przeglądy, nadzór, raportowanie i wsparcie incydentowe | Cykliczna praca po wdrożeniu | Nie naprawi od razu wszystkich braków systemu niegotowego do utrzymania | SZBI działa i wymaga właściciela procesu oraz aktualizacji |
Pełną mapę polityk, procedur, rejestrów i dowodów przedstawia poradnik Dokumentacja SZBI – jakie dokumenty musi posiadać firma?. W wycenie nie trzeba mnożyć liczby plików. Jeden dobrze zaprojektowany rejestr może obsługiwać kilka wymagań, a wspólna procedura może łączyć działania IT, prawne i biznesowe. Liczy się pokrycie ryzyka oraz wykonalność.
Od czego zależy cena dokumentacji SZBI?
Największy wpływ na koszt ma nie liczba zatrudnionych sama w sobie, lecz złożoność usług, systemów i odpowiedzialności. Firma zatrudniająca trzydzieści osób może obsługiwać rozbudowaną platformę chmurową dla tysięcy klientów. Z kolei organizacja licząca dwieście osób może korzystać z kilku wystandaryzowanych systemów utrzymywanych centralnie.
Usługi i systemy
Wycena rośnie wraz z liczbą procesów wpływających na świadczenie usługi, aplikacji, integracji, lokalizacji, środowisk chmurowych i elementów infrastruktury, które trzeba zinwentaryzować i opisać.
Dojrzałość i istniejące dokumenty
Aktualna analiza ryzyka, rejestr aktywów, ISO 27001 lub działające procedury mogą ograniczyć zakres prac. Dokumenty nieaktualne i niespójne czasem wymagają jednak większego nakładu niż budowa od początku.
Chmura, OT i praca zdalna
Środowiska produkcyjne, systemy przemysłowe, kilka chmur, własne oprogramowanie i uprzywilejowany dostęp dostawców wymagają dodatkowych analiz, właścicieli i procedur.
Dostawcy i podwykonawcy
Każdy krytyczny dostawca oznacza analizę zależności, ocenę ryzyka, wymagania bezpieczeństwa, ścieżkę incydentową, plan wyjścia i często zmianę umowy.
Sektor i wymagania klientów
UoKSC może nakładać się na RODO, DORA, CRA, wymagania sektorowe, zamówienia publiczne i zobowiązania kontraktowe. Dokumentacja powinna tworzyć jeden system, a nie sprzeczne silosy.
Dokumenty, wdrożenie czy certyfikat
Inny nakład pracy oznacza napisanie polityki, inny przeprowadzenie warsztatów i ćwiczeń, a jeszcze inny przygotowanie organizacji do niezależnego audytu certyfikacyjnego.
Liczba osób zaangażowanych
Rozmowy z zarządem, IT, HR, zakupami, IOD i właścicielami usług są konieczne, jeżeli procedury mają odpowiadać praktyce. Więcej interesariuszy oznacza więcej uzgodnień i decyzji.
Termin i dostępność danych
Pilny projekt przed kontrolą, audytem klienta lub terminem ustawowym może wymagać równoległej pracy kilku specjalistów. Brak dokumentów źródłowych i opóźnione decyzje również zwiększają koszt.
Co powinno znaleźć się w profesjonalnej wycenie?
Dobra wycena dokumentacji SZBI powinna umożliwić zarządowi porównanie ofert bez zgadywania, co kryje się za nazwą pakietu. Liczba dokumentów jest informacją pomocniczą, ale nie powinna być głównym miernikiem. Znacznie ważniejsze są działania prowadzące do ich opracowania i kryteria odbioru.
Zakres
Jednostki, procesy, lokalizacje, usługi, systemy i regulacje objęte projektem.
Metodyka
Wywiady, analiza dokumentów, inwentaryzacja, ocena ryzyka i sposób uzgodnień.
Rezultaty
Polityki, procedury, rejestry, raporty, plany, szkolenia, testy i materiały dla zarządu.
Odpowiedzialność
Dane dostarczane przez klienta, osoby podejmujące decyzje oraz zadania IT i dostawców.
Odbiór
Liczba rund uwag, kryteria akceptacji, wersja końcowa i sposób przekazania dokumentacji.
Wyłączenia
Technologie, certyfikacja, testy techniczne, wdrożenia konfiguracji oraz utrzymanie po projekcie.
Oferta powinna również wskazywać harmonogram, dostępność wykonawcy, zasady poufności, własność dokumentów oraz sposób postępowania ze zmianami zakresu. Jeżeli istotne ryzyko zostanie ujawnione dopiero w trakcie projektu, strony powinny wiedzieć, czy jego obsługa mieści się w cenie, czy wymaga osobnego zlecenia.
Co zwykle nie jest wliczone w cenę dokumentacji?
Najczęstszym źródłem nieporozumień jest założenie, że cena dokumentacji obejmuje całe cyberbezpieczeństwo organizacji. Tymczasem opracowanie zasad nie zastępuje zakupu, konfiguracji i obsługi środków technicznych. W zależności od oferty poza podstawowym wynagrodzeniem mogą pozostać:
Technologia i prace IT
- EDR, SIEM, DLP, MFA i systemy kopii zapasowych,
- konfiguracja monitoringu, segmentacji i szyfrowania,
- testy penetracyjne i skanowanie podatności,
- hardening systemów oraz usuwanie luk,
- całodobowy SOC i reagowanie techniczne.
Ocena, utrzymanie i usługi dodatkowe
- audyt jednostki certyfikującej ISO 27001,
- cykliczne audyty wewnętrzne,
- stała aktualizacja dokumentów i rejestrów,
- obsługa rzeczywistych incydentów,
- dojazdy, tłumaczenia i prace poza zakresem.
Certyfikacja ISO/IEC 27001 jest odrębnym przedsięwzięciem. UoKSC wymaga wdrożenia systemu i odpowiednich środków, ale nie nakazuje każdemu podmiotowi uzyskania certyfikatu ISO 27001. Certyfikacji może jednak wymagać kontrahent, przetarg, grupa kapitałowa albo strategia biznesowa firmy. W takim przypadku projekt powinien od początku uwzględniać dodatkowe kryteria i niezależny audyt.
Czy istniejąca dokumentacja obniża koszt?
Tak, pod warunkiem że jest aktualna, odpowiada rzeczywistym procesom i może zostać wykorzystana bez tworzenia sprzeczności. Ministerstwo Cyfryzacji dopuszcza dostosowanie istniejącej dokumentacji opartej na standardach. Nie ma potrzeby budowania osobnego segregatora UoKSC, jeżeli organizacja może rozszerzyć działający system.
Najpierw trzeba jednak przeprowadzić audyt zerowy KSC/NIS2. Powinien on ustalić, które dokumenty można zachować, które wymagają aktualizacji, czego brakuje oraz czy codzienna praktyka odpowiada zapisanym zasadom. Sam certyfikat, data na okładce albo duża liczba procedur nie stanowią dowodu kompletności.
Jeżeli wzory nie pasują do architektury, organizacja może ponownie zapłacić za analizę i przepisanie dokumentacji. Dodatkowym kosztem jest czas pracowników potrzebny na samodzielne uzupełnianie plików, uzgadnianie sprzeczności oraz poprawki przed kontrolą lub ankietą kluczowego klienta.
Jak obniżyć koszt bez obniżania jakości?
Oszczędność nie powinna polegać na pomijaniu ryzyka, ciągłości działania albo procedury incydentowej. Można natomiast ograniczyć niepotrzebną pracę, uporządkować dane przed rozpoczęciem projektu i etapować wdrożenie według priorytetów.
Ustal właściwy zakres
Zidentyfikuj usługi i systemy wpływające na ich świadczenie. Nie opisuj bez potrzeby aktywów całkowicie odseparowanych od regulowanego procesu.
Uporządkuj materiały
Zbierz umowy, diagramy, listę systemów, procedury, wyniki audytów i rejestry. Wykonawca nie będzie odtwarzał tych informacji podczas kolejnych spotkań.
Wyznacz właściciela projektu
Jedna osoba powinna koordynować odpowiedzi, terminy i decyzje. Brak właściciela wydłuża każdą rundę uzgodnień.
Zaangażuj właściwe osoby
IT nie odpowie samodzielnie na pytania o procesy, personel, dostawców, zobowiązania prawne i tolerancję ryzyka zarządu.
Wykorzystaj działające rozwiązania
Aktualne elementy ISO, RODO, ciągłości działania i zarządzania dostawcami można zintegrować zamiast powielać.
Etapuj działania
Najpierw zamknij ryzyka krytyczne i wymagania ustawowe, a rozwój dojrzałości oraz certyfikację zaplanuj jako kolejne etapy.
Sprawdź, jak złożona będzie Twoja wycena
Poniższa checklista nie oblicza ceny. Pokazuje, ile obszarów może wymagać dodatkowego rozpoznania przed przygotowaniem wiarygodnej oferty. Zaznacz odpowiedzi, które opisują Twoją organizację.
Czynniki zwiększające zakres projektu
Im więcej zaznaczeń, tym ważniejszy jest audyt i indywidualna wycena.
Jak przygotować firmę do wyceny dokumentacji SZBI?
Wykonawca nie powinien wyceniać projektu wyłącznie na podstawie liczby pracowników. Przed rozmową warto przygotować krótką informację o podmiocie, sektorze, świadczonych usługach, strukturze organizacyjnej, lokalizacjach i głównych systemach. Potrzebna będzie również lista kluczowych dostawców, certyfikatów, regulacji oraz dokumentów, które już funkcjonują.
Nie trzeba wysyłać pełnej dokumentacji przed zawarciem umowy. Na etapie wyceny wystarcza zazwyczaj spis dokumentów, opis środowiska i odpowiedzi na pytania zakresowe. Wrażliwe diagramy, rejestry podatności i szczegóły incydentów powinny być przekazywane dopiero w uzgodnionym, bezpiecznym kanale i według zasady wiedzy koniecznej.
Warto również określić oczekiwany rezultat: uzupełnienie luk, pełne wdrożenie zgodne z UoKSC, przygotowanie do certyfikacji, odpowiedź na wymagania klienta czy zbudowanie systemu utrzymywanego później przez stałą opiekę nad SZBI. Bez tej decyzji wykonawcy mogą wycenić różne cele, a pozornie tańsza oferta nie rozwiąże rzeczywistego problemu.
Dokumentacja, wdrożenie czy stała opieka?
Audyt zerowy
Właściwy, gdy zarząd nie zna aktualnego poziomu zgodności i nie wie, które dokumenty lub zabezpieczenia już spełniają wymagania. Wynikiem jest mapa luk i plan działań.
Kompleksowe wdrożenie
Potrzebne, gdy firma musi stworzyć system, przeprowadzić ryzyko, przypisać role, przygotować dokumentację, przeszkolić ludzi i uruchomić procedury. Zobacz harmonogram wdrożenia SZBI.
Dokumentacja indywidualna
Rozsądna, gdy organizacja ma działający system, ale audyt wykazał konkretne braki, na przykład w ciągłości działania, zarządzaniu dostawcami lub obsłudze incydentów.
Stały nadzór
Potrzebny po wdrożeniu, aby dokumenty, rejestry, ryzyka i procedury nadążały za zmianami prawa, technologii, usług i dostawców.
Najczęściej zadawane pytania
Ile kosztuje dokumentacja SZBI dla małej firmy?
Cena zależy od usługi, systemów, dostawców i stanu istniejących materiałów. Gotowe wzory kosztują od kilkuset złotych, ale indywidualny projekt obejmujący rozpoznanie organizacji, ryzyko, procedury i wdrożenie wymaga osobnej wyceny. Kompleksowe wdrożenie w Kancelarii Manowiecki rozpoczyna się od 21 000 zł netto.
Czy gotowy pakiet dokumentów wystarczy do zgodności z KSC?
Nie. UoKSC wymaga opracowania, stosowania i aktualizowania dokumentacji oraz wdrożenia adekwatnych środków bezpieczeństwa. Szablony mogą być punktem wyjścia, ale muszą zostać dostosowane do usług, systemów, ryzyka i rzeczywistego sposobu działania firmy.
Czy cena obejmuje analizę ryzyka?
Tylko wtedy, gdy oferta wskazuje ją w zakresie. Analiza ryzyka jest podstawą doboru dokumentów i zabezpieczeń, dlatego profesjonalne wdrożenie powinno obejmować metodykę, identyfikację ryzyk, ich ocenę oraz plan postępowania.
Czy wdrożenie SZBI obejmuje zabezpieczenia techniczne?
Nie zawsze. Projekt może określić wymagane środki i skoordynować ich wdrożenie, ale licencje, sprzęt, konfiguracje, testy penetracyjne, monitoring lub usługi SOC często są rozliczane osobno. Należy to sprawdzić w wyłączeniach oferty.
Czy certyfikacja ISO 27001 jest wliczona w cenę?
Zwykle nie. Audyt certyfikacyjny wykonuje niezależna jednostka certyfikująca i stanowi osobną pozycję. Wycena wdrożenia może obejmować przygotowanie organizacji do certyfikacji, ale powinna wyraźnie odróżniać oba koszty.
Czy posiadanie ISO 27001 obniża koszt dostosowania do UoKSC?
Może obniżyć koszt, jeżeli system jest aktualny, ma właściwy zakres i działa w praktyce. Konieczna jest jednak analiza luk prawnych, sektorowych i operacyjnych. Sam certyfikat nie potwierdza wykonania wszystkich obowiązków UoKSC.
Ile trwa przygotowanie dokumentacji SZBI?
Ograniczony dokument może powstać w kilka tygodni, natomiast pełne wdrożenie zwykle trwa od trzech do sześciu miesięcy. Harmonogram zależy od dostępności danych, liczby osób uczestniczących w warsztatach, tempa decyzji zarządu i zakresu działań technicznych.
Jakie dane są potrzebne do przygotowania wyceny?
Podstawą są informacje o sektorze, usługach, liczbie lokalizacji, systemach, dostawcach, strukturze organizacyjnej, istniejących certyfikatach i dokumentach oraz oczekiwanym terminie i rezultacie projektu.
Czy dokumentację SZBI można przygotować samodzielnie?
Tak, jeżeli organizacja ma kompetencje prawne, procesowe i techniczne oraz potrafi przeprowadzić analizę ryzyka, uzgodnić role i przetestować procedury. Odpowiedzialność za zgodność i skuteczność systemu pozostaje po stronie kierownictwa niezależnie od tego, kto przygotował dokumenty.
Ile kosztuje późniejsza aktualizacja SZBI?
Koszt zależy od częstotliwości zmian, liczby systemów i oczekiwanej gotowości incydentowej. Może być rozliczany godzinowo, projektowo albo w abonamencie. Przed wyborem modelu warto ustalić częstotliwość przeglądów, zakres raportowania i czas reakcji.
Podsumowanie: cena powinna odpowiadać rezultatowi
Ile kosztuje dokumentacja SZBI? Odpowiedź zależy od tego, czy firma kupuje wzory, indywidualne dokumenty, czy działający system. Najtańsza oferta nie musi być najtańszym sposobem osiągnięcia zgodności, jeżeli cały ciężar analizy, wdrożenia i późniejszych poprawek pozostaje po stronie organizacji.
Wiarygodna wycena wskazuje zakres, metodę pracy, rezultaty, udział klienta, kryteria odbioru i wyłączenia. Powinna także rozdzielać koszt dokumentacji od technologii, certyfikacji i późniejszego utrzymania. Zarząd otrzymuje wtedy podstawę do decyzji budżetowej, a nie tylko liczbę plików opatrzonych nazwą NIS2.
Ustal, ile kosztuje dokumentacja SZBI dla Twojej firmy
Nie wiesz, czy potrzebujesz samych dokumentów, pełnego wdrożenia czy aktualizacji istniejącego systemu? Podczas bezpłatnej konsultacji ustalimy zakres organizacji, stan obecnej dokumentacji i obowiązki wynikające z UoKSC. Na tej podstawie otrzymasz propozycję kolejnych działań oraz wycenę odpowiadającą rzeczywistemu zakresowi projektu.