Ile kosztuje dostosowanie do wymogów KSC (NIS2)

Od czego zależy cena dostosowania do wymogów KSC

Cena zależy od liczby roboczodni potrzebnych na wdrożenie obowiązków. Liczba dni wynika z wielkości podmiotu — im więcej komórek organizacyjnych, systemów i uzgodnień, tym dłużej trwa diagnoza i przygotowanie dokumentacji. Stawka jest jedna: 2 000 zł netto za roboczodzień, taka sama jak w audytach zgodności i we wdrożeniu SZBI, czyli 8 godzin przy stawce godzinowej testów penetracyjnych.

Wielkość podmiotu przekłada się na zakres prac wprost: podmiot do 50 pracowników ma zwykle kilka komórek i kilkanaście systemów, podmiot do 150 — kilkanaście komórek i kilkadziesiąt systemów, a podmiot powyżej 400 pracowników wymaga uzgodnień rozłożonych na wiele tygodni, bo każda zmiana procedury dotyka kilku obszarów organizacji.

Model wyliczenia: 2 000 zł netto za roboczodzień

Liczbę dni liczę wzorem roboczodni = baza(wielkość podmiotu) + 1 × (lokalizacje − 1) + dodatki, a kwotę mnożę przez stawkę. Widełki wynoszą ±20%, bo czas zależy od tego, jak szybko udaje się uzgodnić dokumenty wewnątrz organizacji — a to jest praca po Państwa stronie, nie po mojej.

Te same liczby są w kalkulatorze i w serwerze, który przelicza wycenę w treści zapytania. Jedno źródło prawdy to plik cennik.json.

Cztery fazy pracy

Dostosowanie prowadzę w czterech etapach, rozliczanych proporcjonalnie do czasu:

• Diagnoza i plan — 25% czasu. Przegląd stanu obecnego, lista luk wobec środków z art. 21 ust. 2 NIS2 oraz harmonogram wdrożenia z podziałem na odpowiedzialności.
• Dokumentacja i procedury — 35% czasu. Polityki, procedury, rejestr aktywów, analiza ryzyka, plan ciągłości działania, zasady dostępu.
• Część techniczna — 25% czasu. Monitoring i logi, zarządzanie podatnościami, kopie zapasowe, kontrola dostępu — w zakresie, w jakim wymagają tego przepisy.
• Gotowość do zgłaszania i audytu — 15% czasu. Zgłaszanie incydentów do systemu S46, materiał dowodowy i sprawdzenie, czy dokumentacja wytrzymuje kontrolę.

Część techniczną realizuję jako wdrożenie i konfigurację, nie jako test. Nie prowadzę tu testów penetracyjnych — jeśli chcą Państwo zmierzyć odporność, to osobna usługa (testy penetracyjne, dzień zero).

Orientacyjne kwoty

Liczby wyliczone tym samym wzorem dla typowych podmiotów. Kwoty netto, widełki ±20%.

Przygotowanie do audytu — dodatek czy osobna usługa

Przegląd gotowości i uporządkowanie materiału dowodowego przed audytem z art. 15 ustawy o KSC to 2 roboczodnie, czyli 3 200 – 4 800 zł netto więcej. Sens jest taki: audyt ustawowy prowadzi niezależny podmiot i jego wynikiem jest raport — moja rola kończy się na przygotowaniu dowodów i sprawdzeniu, czy dokumentacja broni się przed pytaniami, które audytor zada.

Dodatek warto rozważyć zwłaszcza w pierwszym cyklu, gdy dokumentacja powstaje od zera. W kolejnych latach, gdy procesy już działają, wystarcza zwykle audyt zgodności bez dodatkowego przygotowania.

Terminy, które wyznaczają harmonogram

Nowelizacja ustawy o KSC (Dz.U. 2026 poz. 252), wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Wykaz podmiotów kluczowych i ważnych działa od 13 kwietnia 2026 r., a samorejestracja trwa do 3 października 2026 r. Okres dostosowawczy kończy się 3 kwietnia 2027 r., a pierwszy audyt bezpieczeństwa — dla podmiotów kluczowych — do 3 kwietnia 2028 r. Od tej samej daty obowiązują kary finansowe.

Praktyczny wniosek: czas na samo wdrożenie obowiązków jest ograniczony i liczy się od terminu zakończenia okresu dostosowawczego, nie od daty wpisu. Prace, które zaczynają się na kilka tygodni przed terminem, kończą się harmonogramem napiętym i dokumentacją pisaną pod presją — a dokumentacja pisana pod presją rzadko opisuje rzeczywiste procesy.

Co zwiększa, a co zmniejsza kwotę

Kwotę podnoszą: wielkość podmiotu powyżej progu, więcej niż jedna lokalizacja, brak rejestru aktywów i analizy ryzyka (trzeba je wykonać), wiele systemów nieobjętych żadnym rejestrem, rozproszone uzgodnienia wymagające wielu spotkań oraz dodatek przygotowania do audytu. Kwotę obniżają: funkcjonujący system zarządzania (na przykład wdrożone SZBI), aktualna analiza ryzyka, jedna lokalizacja do prac na miejscu oraz wskazani właściciele aktywów i systemów przed startem.

Czego wycena nie obejmuje

Kwoty są netto — dochodzi VAT 23%. Nie obejmują: dojazdu poza Warszawę i okolice, zakupu sprzętu i licencji (na przykład narzędzi do zarządzania logami czy rejestrem ryzyka), prac budowlanych i instalacyjnych, audytu ustawowego prowadzonego przez podmiot niezależny ani kar administracyjnych. Nie obejmują też pracy po Państwa stronie: uzgodnień wewnętrznych, zatwierdzania dokumentów i wprowadzania procedur w życie — bez tego wdrożenie nie kończy się sukcesem, niezależnie od tego, jak dobra jest dokumentacja.

Ile to trwa

Roboczodni to dni pracy, nie dni kalendarzowe. Pracuję dwa dni w tygodniu, bo diagnoza i uzgodnienia wymagają udziału Państwa zespołu. Dostosowanie dla średniego podmiotu (10 roboczodni) zajmuje więc około pięciu tygodni, a dla dużego (15 dni) — około siedmiu i pół. Dodatek przygotowania do audytu wydłuża pracę o dwa dni.

Jak zamówić wycenę

Użyj kalkulatora — podaj wielkość podmiotu, liczbę lokalizacji i zaznacz dodatek, jeśli potrzebują Państwo przygotowania do audytu. Jeśli wolą Państwo rozmowę, wystarczy krótki opis w formularzu poniżej: wielkość podmiotu, liczba lokalizacji i to, czy są Państwo już w wykazie. Odpowiadam w ciągu 24 godzin w dni robocze.

Pytania o wycenę

Czy dostosowanie do KSC to to samo co audyt zgodności z KSC?+

Nie. Dostosowanie to wdrożenie obowiązków: dokumenty, procedury, konfiguracje i dowody. Audyt bada i ocenia — jego wynikiem jest raport niezależnego podmiotu. Jeśli chcą Państwo samo sprawdzenie stanu, właściwa jest audyt zgodności; jeśli trzeba wdrożyć obowiązki — dostosowanie.

Czy dodatek przygotowania do audytu jest konieczny?+

Nie jest obowiązkowy, ale ma sens w pierwszym cyklu, gdy dokumentacja powstaje od zera. To 2 roboczodnie na przegląd gotowości i uporządkowanie materiału dowodowego. W kolejnych latach, gdy procesy działają, zwykle wystarcza sam audyt.

Czy mają Państwo pewność, że mój podmiot podlega ustawie?+

Nie prowadzę porad prawnych i nie zastępuję radcy prawnego. W praktyce obowiązek wynika z kryteriów wielkości i rodzaju działalności oraz z wpisu do wykazu. Przy pierwszym kontakcie pomagam ustalić, czy kryteria Państwa obejmują — a jeśli nie, mówię to wprost.

Dostosowanie wdraża obowiązki. Sprawdzenie stanu to audyt zgodności, a budowa systemu zarządzania — wdrożenie SZBI. Odporność techniczną mierzą testy penetracyjne.