Cyberbezpieczeństwo na fakturze — czyli jak nie płacić za pozory

Pełnomocnik SZBI, pełnomocnik SZCD, koordynator KSC/NIS2, vCISO i SOC pod lupą zarządu

Coraz więcej organizacji kupuje cyberbezpieczeństwo i ciągłość działania jako usługę. To normalne. Nie każda firma, urząd, spółka czy jednostka publiczna musi mieć na etacie własnego eksperta od ISO/IEC 27001, ISO 22301, KSC, NIS2, SOC, incydentów, audytów i jeszcze kilku innych skrótów, które brzmią jak alfabet po burzy.

Dlatego organizacje korzystają z pomocy zewnętrznych pełnomocników ds. SZBI, pełnomocników ds. SZCD, koordynatorów KSC/NIS2, vCISO, audytorów, SOC, MDR i doradców wdrożeniowych. I bardzo dobrze — pod warunkiem, że zarząd rozumie jedną prostą rzecz:

Zakup usługi to jeszcze nie nadzór.

Można mieć podpisaną umowę, comiesięczną fakturę, ładny raport, prezentację i osobę z tytułem „pełnomocnik” w stopce maila, a mimo to nie mieć realnie działającego systemu bezpieczeństwa. To jest największe ryzyko: organizacja myśli, że ma temat załatwiony, bo za niego płaci. A w praktyce płaci nie za bezpieczeństwo, tylko za poczucie bezpieczeństwa.

A to są dwie zupełnie różne rzeczy.

Faktura nie jest dowodem bezpieczeństwa

Zewnętrzny wykonawca może zrobić bardzo dużo dobrego. Może uporządkować dokumentację, przeprowadzić analizę ryzyka, pomóc w opracowaniu procedur, zbudować rejestry, przygotować organizację do audytu, wesprzeć obsługę incydentów, uruchomić raportowanie i wskazać realne luki.

Ale może też robić niewiele.

Może wysyłać ogólne raporty. Może raz na jakiś czas pojawić się na spotkaniu. Może przesłać dokumenty z szablonu. Może pisać, że „nie stwierdzono istotnych zagrożeń”, mimo że nikt porządnie nie sprawdził systemów, dostawców, kopii zapasowych ani ryzyk. Może wystawiać faktury za „bieżące wsparcie”, które w praktyce oznacza gotowość do odpowiedzi na maila.

I tu zaczyna się problem dla zarządu.

Bo w razie audytu, kontroli, incydentu albo poważnej awarii nikt nie będzie pytał tylko o to, czy organizacja miała podpisaną umowę. Pytania będą inne:

• Co wykonawca faktycznie zrobił?
• Kto to odebrał?
• Jakie są dowody?
• Czy zarząd wiedział, jakie ryzyka pozostają?
• Czy działania były testowane?
• Czy usługa zmniejszyła ryzyko, czy tylko generowała koszt?

To są pytania, na które nie odpowiada faktura. Na nie odpowiadają dowody.

Po wejściu nowych obowiązków wynikających z KSC/NIS2 ten problem staje się jeszcze poważniejszy. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa została ogłoszona w Dz.U. 2026 poz. 252, a Ministerstwo Cyfryzacji wskazało, że weszła w życie 3 kwietnia 2026 r. i od tej daty zaczęły biec terminy realizacji obowiązków przez podmioty objęte nowymi przepisami. Źródła: Dziennik Ustaw, Ministerstwo Cyfryzacji.

Dyrektywa NIS2 również przenosi ciężar odpowiedzialności na poziom kierownictwa: organy zarządzające mają zatwierdzać środki zarządzania ryzykiem cyberbezpieczeństwa i nadzorować ich wdrażanie. Źródło: EUR-Lex — Dyrektywa NIS2.

Organizacja może więc formalnie posiadać wykonawcę, pełnomocnika albo SOC, ale jeżeli nie potrafi wykazać realnego nadzoru nad ich pracą, nadal może mieć problem z wykazaniem należytej staranności.

Trzeba wiedzieć, co się kupuje

Jednym z podstawowych problemów jest wrzucanie wszystkiego do jednego worka pod tytułem „cyberbezpieczeństwo”. Tymczasem pełnomocnik SZBI, pełnomocnik SZCD, koordynator KSC/NIS2, vCISO i SOC to nie są te same role.

Pełnomocnik ds. SZBI zajmuje się Systemem Zarządzania Bezpieczeństwem Informacji. Chodzi tu o ryzyka, zabezpieczenia, procedury, incydenty, dostawców, dostęp, dokumentację, szkolenia i raportowanie.

Pełnomocnik ds. SZCD zajmuje się Systemem Zarządzania Ciągłością Działania. To inny obszar. Tu najważniejsze są: BIA, procesy krytyczne, BCP, DRP, RTO, RPO, scenariusze awaryjne, testy odtworzeniowe i odpowiedź na pytanie, czy organizacja będzie w stanie działać, gdy coś poważnie się wysypie.

Koordynator KSC/NIS2 pilnuje obowiązków prawnych: terminów, kwalifikacji podmiotu, obowiązków ustawowych, incydentów, CSIRT, audytów i dowodów zgodności.

vCISO powinien być doradcą zarządu. Nie od pisania kolejnych procedur dla samego pisania, tylko od pokazania, gdzie organizacja ma największe ryzyka, na co warto wydać pieniądze, czego nie kupować i co powinno trafić na poziom decyzji kierownictwa.

SOC/MDR monitoruje zdarzenia, analizuje alerty i wspiera reakcję na incydenty. Ale SOC bez dobrych logów, jasnej eskalacji i reakcji po stronie organizacji jest jak alarm podłączony do pokoju, w którym nikt nie siedzi.

Jeżeli wykonawca mówi, że „robi wszystko”, zarząd powinien zapytać: co dokładnie znaczy wszystko? Bo „wszystko” bez zakresu, mierników i odpowiedzialności bardzo często oznacza: dużo obietnic, mało dowodów.

Zanim podpiszesz umowę, sprawdź wykonawcę

Zarząd nie powinien wybierać wykonawcy wyłącznie po cenie, prezentacji i obietnicy „kompleksowej zgodności”. W usługach SZBI, SZCD, KSC/NIS2, SOC czy vCISO najważniejsze jest to, kto faktycznie będzie wykonywał pracę i jak będzie rozliczany z efektu.

Nie wystarczy sprawdzić firmę. Trzeba sprawdzić ludzi, którzy będą świadczyć usługę.

Przed podpisaniem umowy warto ustalić:

• kto konkretnie będzie realizował zadania;
• jakie ma doświadczenie;
• czy wykonawca pokazuje metodykę pracy;
• czy ma przykładowe produkty: raport, analizę ryzyka, BIA, plan działań, raport SOC;
• czy posiada polisę OC;
• czy deklaruje odpowiedzialność za jakość;
• czy wskazuje, które działania wykona sam, a które wymagają udziału organizacji;
• czy potrafi jasno rozdzielić SZBI, SZCD, KSC/NIS2, SOC i audyt;
• czy zmiana kluczowych osób po stronie wykonawcy wymaga zgody organizacji.

Dobry wykonawca sam będzie oczekiwał jasnego zakresu, decyzyjności po stronie organizacji i realnego udziału kierownictwa. Bez tego nie da się dobrze wykonać usługi. Jeżeli wykonawca obiecuje pełną zgodność bez angażowania ludzi z organizacji, to nie sprzedaje wdrożenia. Sprzedaje iluzję.

Największy problem: usługa, której nikt nie rozlicza

Największym zagrożeniem nie jest sam outsourcing. Największym zagrożeniem jest brak nadzoru nad outsourcingiem.

Organizacja płaci za pełnomocnika, ale nikt nie sprawdza, czy analiza ryzyka została zaktualizowana. Płaci za SOC, ale nikt nie sprawdza, czy SOC widzi systemy krytyczne. Płaci za ciągłość działania, ale nikt nie pyta, kiedy ostatnio testowano DRP. Płaci za koordynację KSC/NIS2, ale nikt nie wie, czy obowiązki są przypisane, udokumentowane i wykonywane.

To bardzo wygodny model dla słabego wykonawcy. Stały przychód, mało pytań i dużo ogólnych sformułowań.

Dla organizacji to bomba z opóźnionym zapłonem.

Bo niezgodność albo naruszenie obowiązków często nie bierze się z tego, że organizacja niczego nie kupiła. Bierze się z tego, że kupiła usługę, ale nie nadzorowała jej wykonania. W efekcie miała umowę, ale nie miała działania. Miała faktury, ale nie miała dowodów. Miała raporty, ale nie miała realnej informacji zarządczej.

Abonament może być dobry albo może być pułapką

Model abonamentowy sam w sobie nie jest zły. Stałe wsparcie może mieć sens, zwłaszcza przy SZBI, SZCD, SOC, vCISO czy koordynacji KSC/NIS2. Warunek jest jeden: trzeba wiedzieć, za co się płaci.

Dobry abonament powinien mieć zakres, harmonogram, raportowanie, mierniki, produkty i dowody. Powinno być jasne, co wykonawca robi w każdym miesiącu, kwartale i roku. Co aktualizuje. Co testuje. Co raportuje. Jakie ryzyka zamyka. Jakie problemy eskaluje.

Zły abonament wygląda inaczej. Jest „bieżące wsparcie”, „konsultacje”, „nadzór”, „koordynacja” i „gotowość”. Tylko że po kilku miesiącach trudno wskazać, co faktycznie powstało.

A zarząd powinien pytać bardzo prosto:

• Co mamy po trzech miesiącach?
• Co mamy po sześciu miesiącach?
• Co mamy po roku?
• Czy ryzyka spadły?
• Czy plany są przetestowane?
• Czy dostawcy są ocenieni?
• Czy mamy dowody na wypadek kontroli?

Jeżeli odpowiedź brzmi: „odbyło się kilka spotkań i przesłano raport”, to jest za mało.

Umowa musi dawać narzędzia do rozliczenia usługi

Tego nie da się dobrze zrobić bez właściwej umowy. Umowa z wykonawcą powinna określać nie tylko ogólny zakres usługi, ale również produkty, terminy, mierniki, sposób raportowania, obowiązek usunięcia wad, odpowiedzialność za błędy, zasady poufności, OC wykonawcy, prawo do audytu i obowiązek przekazania wiedzy organizacji.

Jeżeli umowa mówi ogólnie o „bieżącym wsparciu”, a nie mówi, co ma z tego wsparcia wynikać, zarząd sam pozbawia się narzędzi rozliczania wykonawcy.

Dobrze skonstruowana umowa powinna jasno wskazywać:

• co wykonawca ma zrobić;
• w jakich terminach;
• jakie produkty ma przekazać;
• jakie dowody mają potwierdzać wykonanie;
• jak organizacja odbiera usługę;
• kiedy wykonawca musi poprawić błędy;
• jaką ponosi odpowiedzialność;
• jakie ma ubezpieczenie;
• jak wspiera organizację przy kontroli, audycie albo incydencie.

Bez tego organizacja może wiedzieć, że usługa jest słaba, ale nie mieć dobrego mechanizmu, żeby ją rozliczyć.

Odbiór usługi nie powinien być formalnością

Odbiór usługi nie powinien polegać na podpisaniu protokołu tylko dlatego, że „coś przyszło mailem”. Odbiór powinien oznaczać sprawdzenie, czy produkt jest kompletny, dostosowany do organizacji, zgodny z zakresem, możliwy do stosowania i poparty dowodami.

Jeżeli organizacja odbiera bez zastrzeżeń dokumenty generyczne albo raporty bez treści, później trudniej będzie wykazać, że wykonawca nie wykonał usługi należycie.

W praktyce warto przyjąć prostą zasadę: nie odbieramy aktywności, odbieramy rezultat.

Spotkanie nie jest rezultatem. Rezultatem może być uzgodniony rejestr ryzyk, aktualizacja BIA, raport z testu DRP, status działań korygujących, raport z oceny dostawców albo lista decyzji dla zarządu. Jeżeli po stronie wykonawcy nie ma konkretnego produktu, po stronie organizacji nie powinno być automatycznego odbioru.

Odpowiedzialność prawna i finansowa wykonawcy usługi

Zewnętrzny wykonawca nie może odpowiadać za wszystko, co dzieje się w organizacji. Nie zastępuje zarządu, właścicieli procesów, IT ani kierownictwa. Ale to nie znaczy, że nie odpowiada za nic.

Jeżeli wykonawca przyjmuje na siebie określone zadania — na przykład prowadzenie SZBI, aktualizację analizy ryzyka, koordynację KSC/NIS2, obsługę SOC, opracowanie BIA, przygotowanie BCP/DRP, audyt albo doradztwo vCISO — powinien odpowiadać za ich należyte wykonanie.

W praktyce oznacza to, że jeżeli wykonawca zobowiązał się do wykonania określonych zadań i wykonał je źle albo nie wykonał ich wcale, organizacja powinna mieć możliwość dochodzenia konsekwencji. Dlatego odpowiedzialność wykonawcy nie może być tylko ogólnym hasłem z umowy. Musi być powiązana z konkretnym zakresem, produktami, terminami, kryteriami odbioru i polisą OC.

Jeżeli wykonawca źle wykonuje usługę, organizacja powinna mieć możliwość:

• żądania usunięcia wad;
• wstrzymania odbioru;
• naliczenia kar umownych;
• żądania poprawek bez dodatkowego wynagrodzenia;
• dochodzenia odszkodowania;
• skorzystania z polisy OC wykonawcy;
• rozwiązania umowy z winy wykonawcy;
• żądania wsparcia przy kontroli, jeżeli problem dotyczy produktów wykonawcy.

To szczególnie ważne przy usługach, które mogą mieć skutki regulacyjne i finansowe. Jeżeli wykonawca przygotuje błędną analizę ryzyka, nieaktualną dokumentację, fikcyjne BIA, nietestowalny DRP, raport SOC bez pokrycia źródeł logów albo audyt bez realnej weryfikacji, organizacja może ponieść realne koszty. Nie tylko koszt poprawy dokumentów, ale też koszt audytu naprawczego, obsługi prawnej, opóźnień, utraty czasu, niezgodności, błędnych decyzji zarządu albo niewłaściwego przygotowania do kontroli.

Dlatego w umowie warto unikać zapisów, które sztucznie ograniczają odpowiedzialność wykonawcy do symbolicznej kwoty, na przykład jednomiesięcznego wynagrodzenia. Przy usługach, które mają wpływ na zgodność, cyberbezpieczeństwo, ciągłość działania i ryzyka kierownictwa, taki limit może być kompletnie nieadekwatny.

Profesjonalny wykonawca powinien zaakceptować odpowiedzialność za jakość swojej pracy. Jeżeli od początku próbuje wyłączyć prawie całą odpowiedzialność, ograniczyć ją do minimalnej kwoty, nie chce wskazać konkretnych produktów i nie chce pokazać polisy OC, to zarząd powinien bardzo uważnie przeczytać nie ofertę, ale umowę. Bo oferta zwykle brzmi pięknie. Umowa pokazuje, kto naprawdę bierze ryzyko na siebie.

Pozorna usługa kosztuje podwójnie

Najdroższa nie jest usługa, która ma wysoką cenę. Najdroższa jest usługa, która nie daje efektu.

Najpierw organizacja płaci wykonawcy. Potem okazuje się, że trzeba zatrudnić kogoś innego, żeby poprawił dokumenty, zrobił prawdziwą analizę ryzyka, przeprowadził BIA, sprawdził dostawców, uporządkował SOC, przetestował backup, przygotował dowody i wyprostował zaległości.

Czyli organizacja płaci dwa razy. Najpierw za pozór, potem za naprawę pozoru.

Do tego dochodzi koszt najgorszy: czas. Przez kilka albo kilkanaście miesięcy zarząd mógł być przekonany, że temat jest prowadzony, podczas gdy realne ryzyka dalej rosły. Niezałatane podatności, brak testów DRP, nieocenieni dostawcy, nieprzeszkoleni pracownicy, źle skonfigurowany monitoring — to wszystko nie czeka grzecznie, aż organizacja odkryje, że wykonawca głównie fakturował.

Skutki dla organizacji mogą być poważne

Brak nadzoru nad zewnętrznymi usługami może uderzyć w organizację z kilku stron.

Po pierwsze, regulacyjnie. Organizacja może nie być w stanie wykazać, że realnie wdrożyła wymagane działania. Sama umowa z wykonawcą nie jest dowodem zgodności. Dowodem są wykonane działania, decyzje, raporty, testy, rejestry i skuteczny nadzór.

Po drugie, finansowo. Trzeba zapłacić za naprawę, dodatkowe audyty, prawników, ekspertyzy, nowe wdrożenia, zmianę wykonawcy albo obsługę incydentu. Mogą pojawić się też kary, roszczenia, przestoje i utrata zaufania.

Po trzecie, operacyjnie. Źle działający SOC może nie wykryć incydentu. Nietestowany DRP może nie pozwolić na odtworzenie systemów. Nieaktualna analiza ryzyka może pominąć najważniejsze zagrożenia. Brak oceny dostawcy może spowodować, że krytyczna usługa przestanie działać wtedy, gdy będzie najbardziej potrzebna.

Po czwarte, zarządczo. Kierownictwo traci kontakt z rzeczywistością. Dostaje ogólne zapewnienia zamiast konkretnej informacji: co działa, co nie działa, co wymaga decyzji i ile to będzie kosztować.

A zarząd nie potrzebuje bajek. Zarząd potrzebuje faktów.

Konflikt interesów trzeba kontrolować

Szczególną ostrożność trzeba zachować wtedy, gdy ten sam podmiot jednocześnie wdraża, utrzymuje, audytuje i potwierdza skuteczność własnej pracy.

To nie zawsze oznacza nierzetelność, ale zawsze oznacza ryzyko konfliktu interesów.

Firma, która wdraża SZBI, nie powinna bezkrytycznie audytować własnego wdrożenia. Dostawca IT nie powinien samodzielnie potwierdzać, że jego konfiguracje są bezpieczne. SOC nie powinien być jedynym źródłem oceny skuteczności własnego monitoringu. Doradca rekomendujący narzędzia powinien ujawniać, czy ma powiązania handlowe z ich dostawcami.

Zarząd powinien przynajmniej okresowo korzystać z niezależnej weryfikacji. Nie po to, żeby szukać winnych, ale po to, żeby nie budować bezpieczeństwa na samoocenie wykonawcy.

Ubezpieczenie pomaga, ale nie zastępuje nadzoru

OC wykonawcy, ubezpieczenie cyber, D&O i rezerwa budżetowa są potrzebne. Ale nie można ich traktować jak zamiennika nadzoru.

OC wykonawcy ma sens wtedy, gdy umowa jasno określa, co wykonawca miał zrobić i co zrobił źle. Ubezpieczenie cyber może pomóc przy incydencie, ale ubezpieczyciel może zapytać, czy organizacja miała podstawowe zabezpieczenia, procedury i testy. D&O może chronić osoby zarządzające przed skutkami roszczeń związanych z pełnieniem funkcji, ale nie jest licencją na brak decyzji, brak budżetu i brak kontroli.

Najgorszy model to podpisać umowę, kupić polisę i uznać, że temat jest zamknięty. To nie jest zarządzanie ryzykiem. To wiara w dokumenty. A wiara w dokumenty bez testów i dowodów ma ograniczoną skuteczność — szczególnie w piątek po 16:00, kiedy zaczyna się incydent.

Co zarząd powinien robić praktycznie

Zarząd nie musi wchodzić w każdy szczegół techniczny. Ale powinien regularnie wymagać prostych odpowiedzi:

• Co zostało wykonane?
• Jaki jest dowód?
• Jakie ryzyko zostało zmniejszone?
• Co nadal nie działa?
• Czego wykonawca nie widzi albo nie obejmuje usługą?
• Jakie decyzje musi podjąć kierownictwo?
• Ile będzie kosztować usunięcie braków?

To wystarczy, żeby oddzielić realną usługę od pozornej aktywności.

Dobrze jest też wymagać raportów kwartalnych dla kierownictwa. Nie technicznych elaboratów, tylko informacji zarządczej: najważniejsze ryzyka, status działań, incydenty, podatności, dostawcy, szkolenia, wyniki testów, stan BCP/DRP, rekomendacje i decyzje do podjęcia.

Raport nie ma pokazywać, że wykonawca był zajęty. Ma pokazywać, czy organizacja jest bezpieczniejsza i lepiej przygotowana niż trzy miesiące wcześniej.

Zdrowy model współpracy

Dobry model nie polega na tym, że organizacja oddaje wszystko jednej firmie i czeka na spokój. Dobry model polega na jasnym podziale ról.

Zarząd podejmuje decyzje, zatwierdza budżet, akceptuje ryzyka i wymaga raportów. Pełnomocnik ds. SZBI porządkuje bezpieczeństwo informacji. Pełnomocnik ds. SZCD odpowiada za ciągłość działania. Koordynator KSC/NIS2 pilnuje obowiązków prawnych. vCISO wspiera zarząd strategicznie. SOC/MDR monitoruje i eskaluje zdarzenia. IT wdraża i utrzymuje zabezpieczenia techniczne. IOD i prawnik zabezpieczają dane osobowe, umowy i odpowiedzialność. Niezależny audytor sprawdza, czy to wszystko faktycznie działa.

Kluczowe jest jedno: każdą z tych ról trzeba rozliczać. Nie z liczby spotkań. Nie z liczby slajdów. Nie z liczby faktur.

Z efektu.

Konkluzja

Zewnętrzne wsparcie w zakresie SZBI, SZCD, KSC/NIS2, vCISO, SOC/MDR i audytu może być bardzo wartościowe. Może uporządkować organizację, zmniejszyć ryzyka, poprawić decyzje zarządu i przygotować organizację na incydenty, kontrole oraz zakłócenia.

Ale tylko wtedy, gdy zarząd nadzoruje wykonanie tych usług.

Największym ryzykiem nie jest to, że organizacja korzysta z zewnętrznych ekspertów. Największym ryzykiem jest to, że płaci za usługi, których nikt realnie nie rozlicza.

Dlatego zarząd nie powinien pytać wyłącznie: „ile kosztuje pełnomocnik, SOC albo doradca?”. Powinien pytać:

• Co będziemy mieli po trzech miesiącach, po sześciu miesiącach i po roku?
• Jakie ryzyka spadną?
• Jakie dowody powstaną?
• Jakie plany zostaną przetestowane?
• Czy dostawcy będą nadzorowani?
• Czy w razie kontroli pokażemy realne działania, czy tylko umowę i faktury?

Dobra usługa zewnętrzna powinna po kilku miesiącach zostawiać organizację w lepszym stanie niż wcześniej: z mniejszym ryzykiem, lepszymi dowodami, przetestowanymi planami, bardziej świadomym kierownictwem i jasną listą decyzji do podjęcia. Jeżeli tego nie ma, organizacja nie kupuje bezpieczeństwa. Kupuje administracyjny komfort.

Bo w razie incydentu, kontroli albo poważnego zakłócenia organizacji nie obroni faktura za usługę. Obronią ją decyzje, dowody, działające procedury, przetestowane plany, właściwie nadzorowani wykonawcy i zarząd, który wie, za co płaci.

Nie płać za samą obecność wykonawcy. Płać za efekt, dowód i odpowiedzialność.

Autor: Mariusz Piskorczyk — ekspert ds. cyberbezpieczeństwa, ochrony danych osobowych, LA ISO/IEC 27001, ISO 22301, KSC/NIS2 oraz zarządzania ryzykiem, AI