Ile kosztuje przygotowanie firmy do KSC? Jak zaplanować budżet?

W skrócieKoszt przygotowania do ustawy o krajowym systemie cyberbezpieczeństwa (KSC) zależy od analizy ryzyka, wielkości podmiotu i modelu działania. Ani ustawa, ani ocena skutków regulacji nie podają kwot, więc budżet liczymy z jawnych założeń, osobno koszty jednorazowe, roczne i audyt. W trzech przykładach ich suma wynosi od 319 600 zł do 1 553 400 zł netto.

Dział IT przynosi listę zakupów pod NIS2, konsultant przysyła ofertę z jedną kwotą, a dyrektor finansowy nie ma jak sprawdzić, czy to dużo, czy mało. Decyzja i tak należy do kierownictwa, bo to kierownik podmiotu „planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa” (art. 8d pkt 2 ustawy o KSC). Podmioty, które w dniu wejścia w życie nowelizacji spełniały przesłanki uznania za podmiot kluczowy albo podmiot ważny, mają czas na wykonanie obowiązków z rozdziału 3 do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej z 23 stycznia 2026 r.), więc pieniądze na 2027 r. trzeba zaplanować teraz.

Nie podamy Ci średniej rynkowej, bo nie znaleźliśmy urzędowego źródła takiej liczby. Dajemy model: składowe kosztu, rozróżnienie między tym, co nakazuje ustawa, a tym, co jest wyborem sposobu realizacji, trzy przykładowe budżety z jawnymi założeniami i plik XLSX, w którym podstawisz własne stawki. Jeśli dopiero sprawdzasz, czego dotyczy ustawa, zacznij od naszego przewodnika po NIS2 i obowiązkach z ustawy o KSC.

Pobierz kalkulator budżetu KSC (XLSX) Arkusz z 14 pozycjami budżetu i założeniami trzech przykładów, w którym podstawisz własne stawki i ilości.

Dlaczego nikt nie poda Ci jednej kwoty

Autorzy nowelizacji sami zrezygnowali z szacunku. W ocenie skutków regulacji (OSR) do projektu ustawy, czyli w dokumencie opisującym przewidywane skutki zmian, czytamy: „Na tym etapie nie jest możliwe oszacowanie kosztów dostosowawczych po stronie przedsiębiorców w zależności od ich rodzajów z uwagi na brak danych”. Dalej OSR wyjaśnia, że koszty audytów, zatrudnienia specjalistów i wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI) „będą się znacząco różnić od wielkości i charakteru usług świadczonych przez podmiot”. Dokument wymienia tylko rodzaje wydatków: sprzęt, oprogramowanie, nowy personel i zewnętrzne usługi konsultingowe.

W innym miejscu OSR podaje powód: „konkretne środki techniczne i organizacyjne stosowane przez przedsiębiorców będą zależne od przeprowadzonego szacowania ryzyka”. O podmiotach publicznych pisze krótko: „Oszacowanie kosztów dostosowawczych nie jest możliwe”. OSR sporządzono 30 października 2025 r. dla projektu, a uchwalona ustawa różni się od projektu. W materiałach urzędowych, z których korzystaliśmy, nowszego szacunku kosztów dla firm nie ma.

Brak kwoty wynika z konstrukcji przepisów. Ustawa nie mówi, co kupić. Wymaga natomiast, by SZBI zapewniał „wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych”, a przy ich doborze wprost każe uwzględnić m.in. „koszty wdrożenia” oraz „wielkość podmiotu” (art. 8 ust. 1 pkt 2). Ministerstwo Cyfryzacji dodaje, że „cyberbezpieczeństwo wymaga nakładów i nie powinny one być pomijane w budżetach”, ale „muszą być to adekwatne środki, czyli takie, które są też dostosowane do możliwości podmiotu” (odpowiedź 4.1 w pytaniach i odpowiedziach Ministerstwa Cyfryzacji do ustawy o KSC, stanowisko niewiążące).

Składowe budżetu: co kupujesz, a co robisz sam

Budżet na wykonanie ustawy składa się z ośmiu grup kosztów. Część to wydatki jednorazowe na przygotowanie, część to koszty stałe, które wracają co roku. Przy każdej składowej podajemy przepis, z którego wynika obszar.

1. Analiza luk i szacowanie ryzyka (art. 8 ust. 1 pkt 1). Pełna analiza na start, potem cykliczne przeglądy, bo ustawa wymaga „systematycznego” szacowania ryzyka.
2. SZBI i dokumentacja (art. 8 i art. 10). Polityki, procedura obsługi incydentów, plany ciągłości działania, plany awaryjne i plany odtworzenia. Dokumentację podmiot „opracowuje, stosuje i aktualizuje” (art. 10 ust. 1), więc jej utrzymanie to koszt stały.
3. Środki techniczne (art. 8 ust. 1 pkt 2 i 5). Uwierzytelnianie wieloskładnikowe (MFA) w stosownych przypadkach, ochrona stacji roboczych i serwerów, np. narzędziem klasy EDR (wykrywanie zagrożeń i reagowanie na urządzeniach końcowych), kopie zapasowe i testy odtwarzania, aktualizacje. Część to zakupy jednorazowe, część licencje roczne.
4. Monitorowanie i obsługa incydentów (art. 8 ust. 1 pkt 2 lit. g i pkt 4, art. 11 i art. 14). Ustawa wymaga monitorowania „w trybie ciągłym” i obsługi incydentów. Do tych zadań powołujesz wewnętrzne struktury lub zawierasz umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (MSSP). W naszych przykładach to największy koszt stały.
5. Edukacja (art. 8e i art. 8 ust. 1 pkt 2 lit. i-j). Szkolenie kierownika podmiotu raz w roku kalendarzowym z udokumentowanym udziałem oraz edukacja personelu i zasady cyberhigieny.
6. Zarządzanie dostawcami (art. 8 ust. 1 pkt 2 lit. e i ust. 2). Przegląd umów, klauzule bezpieczeństwa, ocena kluczowych dostawców i ich późniejsze monitorowanie.
7. Audyt z art. 15. Dotyczy tylko podmiotu kluczowego, który przeprowadza go „na własny koszt, co najmniej raz na 3 lata” (art. 15 ust. 1). Podmiot ważny nie ma obowiązku okresowego audytu.
8. Czas własnych ludzi. Koordynacja, warsztaty, przegląd procedur, wdrożenia. Nie przechodzi przez księgowość jako faktura, ale odciąga ludzi od innych zadań, więc powinien znaleźć się w budżecie.

Wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz korzystanie z systemu S46 (systemu teleinformatycznego z art. 46 ustawy, przez który zgłasza się incydenty) to głównie czas. Według OSR dołączenie do systemu nie wymaga już zakupu specjalnych urządzeń. Minimalne wymagania opublikowane na stronie systemu S46 na gov.pl to stacja robocza z ochroną antywirusową i antymalware, przeglądarka oparta na silniku Chromium i łącze co najmniej 10 Mb/s.

Co nakazuje ustawa, a co jest Twoim wyborem

Ustawa wyznacza obszary i rezultaty, a nie produkty. To dobra wiadomość dla budżetu, bo największe kwoty zależą od Twoich decyzji o sposobie realizacji. Ministerstwo Cyfryzacji w swoich odpowiedziach kilka razy studzi zakupowy zapał:

• Centrum operacji bezpieczeństwa (SOC) nie jest wymagane. „Nie ma narzuconych rozwiązań technicznych czy organizacyjnych”, a podmioty mogą wybrać usługi komercyjne albo budowę własnych kompetencji, „często w ramach grupy kapitałowej” (odpowiedź 3.16).
• Ustawa jest neutralna technologicznie. W październikowej aktualizacji ministerstwo dodało, że ustawa „nie wskazuje konkretnych klas systemów teleinformatycznych ani konkretnych rozwiązań technicznych, których wdrożenie byłoby obligatoryjne dla osiągnięcia zgodności z jej wymaganiami” (odpowiedź 3.42).
• Monitorowanie ciągłe nie musi oznaczać nowego etatu. Ministerstwo pisze: „Niekoniecznie trzeba w tym celu zatrudniać dodatkową osobę, można skorzystać z narzędzi open-source typu SIEM i ustawić adekwatne reguły” (odpowiedź 3.3). SIEM to system, który zbiera i koreluje zdarzenia z wielu źródeł.
• MFA nie musi obejmować każdego konta. Ministerstwo podaje przykłady: zdalne logowanie, dostęp do wrażliwych informacji, konta administratorów, a dalej „wszędzie tam gdzie podmiot uzna to za konieczne w świetle szacowania ryzyka” (odpowiedź 3.3).
• Model działania jest do wyboru. Podmiot powołuje wewnętrzne struktury lub zawiera umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14), a ministerstwo dopuszcza zlecenie na zewnątrz tylko części zadań. Zastrzega przy tym, że nie powinno się ich powierzać np. „przeciążonemu działowi help-desk” (odpowiedź 3.19).
• Nie wszystko, co oferuje rynek, jest obowiązkowe. Pełnomocnik do spraw SZBI nie jest wymagany (odpowiedź 3.44), a certyfikat ISO/IEC 27001 również. Co daje norma, a czego nie załatwia, opisujemy w artykule KSC i ISO 27001: czy certyfikat wystarczy.
• Proporcje są ważniejsze niż rozmach. Ministerstwo podaje przykład (odpowiedź 3.3): „rozbudowany dział cyberbezpieczeństwa, z politykami bezpieczeństwa i odpowiednim SIEM nie będzie efektywny, jeżeli jednocześnie zaniedbane będzie szkolenie personelu z cyberhigieny”.

Gdzie da się oszczędzić bez obniżania bezpieczeństwa? Na wykorzystaniu tego, co już masz: systemu według normy, procedur wdrożonych z powodu innych przepisów, narzędzi zawartych w posiadanych licencjach. Na usługach świadczonych w ramach grupy kapitałowej. Na dobrze ustalonym zakresie, bo SZBI obejmuje systemy wpływające na świadczenie usługi, a nie wszystko, co działa w firmie. Podmioty publiczne mogą wykonywać część obowiązków wspólnie, przez jednostkę wyznaczoną albo w ramach porozumienia jednostek samorządu terytorialnego (art. 16e).

Ustawa pozwala też ministrowi udzielać wsparcia finansowego podmiotom publicznym i prywatnym w ramach programów (art. 45a), ale szczegółowe warunki każdego programu określa rozporządzenie. Do 9 października 2026 r. w Dzienniku Ustaw nie ogłoszono żadnego rozporządzenia wydanego na podstawie znowelizowanej ustawy. OSR projektu wymieniał programy dla samorządów i administracji, np. „Cyberbezpieczny Samorząd”, ale to dane z października 2025 r.

Trzy przykładowe organizacje i nasze założenia

Przykłady są fikcyjne. Każda stawka i każda ilość to nasze założenie, a nie średnia rynkowa ani cennik. Przyjęliśmy jednakowe stawki jednostkowe dla wszystkich trzech organizacji, żeby różnice wynikały z wielkości i decyzji, a nie z cen. Kwoty są netto. Jeżeli Twoja organizacja nie odlicza VAT, dolicz podatek do stawek usług i zakupów w pliku.

• A. Firma usługowa z sektora gospodarowania odpadami. 60 osób, zbieranie i transport odpadów, dwie lokalizacje, obrót poniżej progów dużego przedsiębiorstwa. Gospodarowanie odpadami (to jej główna działalność) jest w załączniku nr 2 do ustawy, a firma z 60 osobami nie jest już małym przedsiębiorstwem, więc jest podmiotem ważnym (art. 5 ust. 2 pkt 2). Przyjmujemy: 60 kont, 70 urządzeń, dwie osoby w dziale IT, brak certyfikatu ISO/IEC 27001, monitorowanie i obsługę incydentów zleconą dostawcy, bez własnego etatu bezpieczeństwa.
• B. Producent leków. 280 osób, zakład produkcyjny z systemami automatyki. Podmioty produkujące leki (sekcja C dział 21 klasyfikacji NACE) są w załączniku nr 1, a 280 osób to więcej niż próg średniego przedsiębiorstwa, więc firma jest podmiotem kluczowym (art. 5 ust. 1 pkt 1). Przyjmujemy: 280 kont, 330 urządzeń, certyfikat ISO/IEC 27001 obejmujący tylko dział IT, jeden etat specjalisty do spraw cyberbezpieczeństwa i monitorowanie przez dostawcę.
• C. Szpital powiatowy. 450 osób na umowach o pracę i umowach cywilnoprawnych, podmiot leczniczy niebędący przedsiębiorcą. Taki podmiot jest kluczowy, jeżeli zatrudnia co najmniej 250 osób (art. 5 ust. 8 pkt 2), a ministerstwo zaleca liczyć wszystkie formy zatrudnienia (odpowiedź 3.23). Przyjmujemy: 380 urządzeń, MFA dla 300 kont (zdalny dostęp, administratorzy, dostęp do danych pacjentów), brak certyfikatu, jeden etat specjalisty i monitorowanie przez dostawcę.

Trzy pozycje są ryczałtami zależnymi od wielkości organizacji: wdrożenie kopii zapasowych odseparowanych od sieci produkcyjnej, rezerwa na działania z planu postępowania z ryzykiem i roczna pula na edukację. Ich wartości dla A, B i C pokazujemy w tabeli budżetów poniżej.

Budżety trzech organizacji pozycja po pozycji

Tabela pokazuje wszystkie 14 pozycji z pliku XLSX. W nawiasie podajemy ilość i stawkę, a kwota jest ich iloczynem. Suma obejmuje koszty jednorazowe przygotowania, 12 miesięcy kosztów stałych i w podmiotach kluczowych pierwszy audyt z art. 15, który podmioty istniejące 3 kwietnia 2026 r. przeprowadzają do 3 kwietnia 2028 r. (art. 33 ust. 2 ustawy nowelizującej).

Co widać w liczbach? Po pierwsze, w organizacjach B i C największe pozycje roczne to monitorowanie i etat specjalisty: razem 438 000 zł z 689 000 zł kosztów rocznych w B i 468 000 zł z 774 600 zł w C. W tych pozycjach decyzja o modelu działania (własny zespół, dostawca albo model mieszany) zmienia budżet najbardziej. Organizacja A nie ma etatu, a monitorowanie u dostawcy kosztuje ją 42 000 zł rocznie. W pliku XLSX każda pozycja jest oznaczona jako wymagana albo opcjonalna. Opcjonalne są w naszych przykładach dwie pozycje: ochrona stacji klasy EDR, której ustawa nie nazywa, i etat specjalisty, bez którego można się obejść przy umowie z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Razem to 21 000 zł w A, 339 000 zł w B i 354 000 zł w C.

Po drugie, czas własnych ludzi przy wdrożeniu to 54 000 zł w A, 144 000 zł w B i 198 000 zł w C. Te kwoty nie wyjdą z konta firmy, ale bez tych dni pracy przygotowanie stanie. Po trzecie, rezerwa na plan postępowania z ryzykiem (40 000 zł, 150 000 zł i 200 000 zł) to najmniej pewna pozycja: jej prawdziwa wysokość wyjdzie dopiero z analizy, np. gdy okaże się, że trzeba wydzielić sieć automatyki albo wymienić system, którego producent nie wspiera.

Po czwarte, w organizacji B przyjęliśmy tyle samo dni na dokumentację co w mniejszej firmie A, bo część dokumentów z systemu według normy da się dostosować. Ministerstwo pisze, że organizacje z SZBI według standardów „mogą wykorzystać i dostosować już istniejącą dokumentację” (odpowiedź 3.6). Więcej dni wymaga za to analiza luk, bo zakres ustawy obejmuje automatykę produkcyjną spoza certyfikatu.

Kolejność wydatków: co przed 3 kwietnia 2027 r., a co później

Nie wszystko trzeba kupić od razu, a część wydatków bez wcześniejszych decyzji będzie chybiona. Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., rozsądna kolejność wygląda tak:

1. Do końca 2026 r. Uchwała zarządu z właścicielem budżetu, analiza luk i ryzyka, ustalenie statusu i zakresu. Jeżeli nie złożyłeś wniosku o wpis do wykazu w terminie, który minął 3 października 2026 r., a organizacji nie wpisano z urzędu, złóż go od razu. Ministerstwo przypomina, że samorejestracja jest dostępna przez cały czas (odpowiedź 2.32).
2. Pierwszy kwartał 2027 r. Dokumentacja SZBI, procedura obsługi i zgłaszania incydentów, osoby do kontaktu, dostęp do S46, uwierzytelnianie wieloskładnikowe, kopie zapasowe odseparowane od sieci produkcyjnej z pierwszym testem odtworzenia, aneksy do umów z kluczowymi dostawcami.
3. Do 3 kwietnia 2027 r. Wszystkie obowiązki z rozdziału 3 ustawy (art. 33 ust. 1 ustawy nowelizującej). Według harmonogramu ministra to także ostatni dzień na rozpoczęcie korzystania z S46.
4. Do końca 2027 r. Kolejne testy planów ciągłości i odtworzenia, ćwiczenia, ocena skuteczności środków. Według stanowiska ministerstwa (odpowiedź 3.46) pierwsze szkolenie kierownika musi się odbyć najpóźniej w 2027 r., a potem w każdym roku kalendarzowym.
5. Do 3 kwietnia 2028 r. Pierwszy audyt podmiotów kluczowych (art. 33 ust. 2 ustawy nowelizującej). Pieniądze na audyt warto zarezerwować w budżecie na 2027 r.

Firma, która spełni przesłanki później, liczy terminy od dnia ich spełnienia: 6 miesięcy na wniosek o wpis (art. 7c ust. 1), 12 miesięcy na obowiązki z rozdziału 3 i 24 miesiące na pierwszy audyt podmiotu kluczowego (art. 16). Harmonogram prac krok po kroku opisujemy w artykule KSC: co trzeba przygotować do 3 kwietnia 2027 roku.

A co z karami jako argumentem budżetowym? Trzymajmy się faktów. Podmiotowi kluczowemu grozi kara do 10 mln euro lub 2% przychodów, przy czym stosuje się kwotę wyższą, i nie mniej niż 20 000 zł. Podmiotowi ważnemu grozi kara do 7 mln euro lub 1,4% przychodów i nie mniej niż 15 000 zł (art. 73 ust. 3-4). Kierownikowi podmiotu grozi kara do 300% wynagrodzenia liczonego jak ekwiwalent za urlop, a w podmiocie publicznym do 100% (art. 73a ust. 4-5). Te kary mogą zostać nałożone po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej). Art. 35 nie wymienia kary do 100 mln zł z art. 73 ust. 5, którą ministerstwo nazywa wyjątkiem od tej zasady (odpowiedzi 12.1 i 12.6), ani środków nadzorczych z art. 53. Przede wszystkim jednak obowiązki trzeba wykonać wcześniej niż kończy się moratorium, więc budżet, który zakłada działania dopiero w 2028 r., spóźni się o rok.

Od czego zacząć planowanie budżetu

Najpierw ustal, kim jesteś w rozumieniu ustawy, bo status zmienia budżet. Podmiot kluczowy ma okresowy audyt i nadzór także przed wystąpieniem naruszenia, podmiot ważny nie. Różnice zebraliśmy w artykule o tym, czym podmiot kluczowy różni się od podmiotu ważnego. Potem zrób analizę luk i ryzyka, zanim kupisz cokolwiek poza nią. Bez niej nie wiesz, które środki są proporcjonalne.

Następnie pobierz kalkulator, wpisz stawki z ofert i wynagrodzeń, a ilości z inwentaryzacji kont i urządzeń. Potrzebujesz trzech liczb: kosztu jednorazowego, kosztu rocznego i, w podmiocie kluczowym, kosztu audytu. Arkusz „Kalkulator” liczy je sam: pod listą 14 pozycji są wiersze „RAZEM”, „w tym wymagane” i „w tym opcjonalne”, a pod nimi „w tym koszty jednorazowe”, „w tym koszty roczne (12 miesięcy)” i „w tym audyt (co najmniej raz na 3 lata)”. Budżet zatwierdź uchwałą zarządu razem z właścicielem i harmonogramem, bo to kierownik podejmuje decyzje o SZBI, planuje środki finansowe i przydziela zadania (art. 8d pkt 1-3). Jak podzielić te decyzje między kierownictwo a specjalistów, opisujemy w tekście o tym, za co odpowiada zarząd, a za co dział IT.

Na koniec ustal rytm przeglądów. Raz na kwartał zarząd powinien zobaczyć wykonanie budżetu, opóźnienia i zmiany w ocenie ryzyka. Ustawa wymaga systematycznego szacowania ryzyka, więc budżet będzie się zmieniał razem z nim.

Podstawa prawna i źródła

• art. 8 ust. 1 ustawy o KSC - SZBI i proporcjonalność środków (koszty wdrożenia, wielkość podmiotu)
• art. 8d pkt 1-3 ustawy o KSC - decyzje kierownika, planowanie środków finansowych, przydział zadań
• art. 8e, art. 10, art. 11 i art. 14 ustawy o KSC - szkolenie kierownika, dokumentacja, incydenty, wewnętrzne struktury lub umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa
• art. 15-16 ustawy o KSC - audyt podmiotu kluczowego na własny koszt
• art. 5 ust. 1-2 i 8 ustawy o KSC, załącznik nr 1 i załącznik nr 2 - status podmiotu kluczowego i ważnego
• art. 16e i art. 45a ustawy o KSC - wspólna realizacja obowiązków w sektorze publicznym, wsparcie finansowe
• art. 73 ust. 3-5 i art. 73a ust. 4-5 ustawy o KSC - wysokość kar
• art. 33 ust. 1-2 i art. 35 ustawy nowelizującej - terminy dostosowania i pierwszy audyt, pierwsze kary
• Ustawa o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony, stan na 8.10.2026 (Sejm, ELI)
• Ustawa nowelizująca z 23 stycznia 2026 r., Dz.U. 2026 poz. 252
• Druk sejmowy nr 1955: projekt nowelizacji z oceną skutków regulacji
• Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja październik 2026
• System S46: minimalne wymagania techniczne i funkcjonalne
• Ministerstwo Cyfryzacji: najważniejsze terminy nowelizacji ustawy o KSC