Ile kosztuje audyt zgodności

Od czego zależy cena audytu

Cena audytu nie zależy od liczby znalezionych niezgodności ani od liczby stron raportu — zależy od liczby roboczodni pracy. A te wynikają z trzech rzeczy: wielkości podmiotu, liczby lokalizacji objętych weryfikacją na miejscu oraz tego, ile dokumentacji trzeba przeanalizować.

Wielkość podmiotu przekłada się wprost na zakres: liczbę komórek organizacyjnych, z którymi trzeba przeprowadzić ankiety, liczbę właścicieli aktywów do wywiadu, liczbę systemów do sprawdzenia, objętość polityk i procedur do przeczytania. Podmiot do 50 pracowników i podmiot powyżej 150 to dwa różne projekty — nie dlatego, że dokumenty są grubsze, ale dlatego, że rośnie liczba uzgodnień i wywiadów.

Liczba lokalizacji ma znaczenie tylko wtedy, gdy weryfikacja stanu faktycznego ma się odbyć w więcej niż jednej z nich. Każda dodatkowa lokalizacja to osobny dzień pracy z wywiadami, oględzinami i próbami kontrolnymi na miejscu.

Model wyliczenia: 2 000 zł netto za roboczodzień

Pracuję na jednej stawce: 2 000 zł netto za roboczodzień, czyli tyle samo, co 8 godzin przy stawce godzinowej testów penetracyjnych. Liczbę roboczodni wyliczam wzorem roboczodni = baza(wielkość podmiotu) + 1 × (lokalizacje − 1), a kwotę mnożę przez stawkę. Widełki wynoszą ±20%, bo rzeczywisty czas zależy od tego, jak uporządkowana jest dokumentacja i jak szybko udaje się zebrać ankiety.

Te same liczby są w kalkulatorze oraz w serwerze, który przelicza wycenę w treści wysyłanego zapytania. Jedno źródło prawdy: plik cennik.json — zmiana stawki lub progów działa bez przebudowy strony, a kwota na tej stronie nie rozjedzie się z kalkulatorem.

Na co składają się roboczodnie

Praca rozkłada się na cztery fazy, które opisuję w kolejności realizacji:

• Analiza dokumentacji SZBI — 35% czasu. Polityki i procedury, rejestr aktywów, analiza ryzyka, rejestry incydentów oraz zalecenia z poprzedniego audytu.
• Ankiety pracownicze i podmiotu — 20%. Kwestionariusze dla komórek organizacyjnych i użytkowników, opracowanie i porównanie odpowiedzi.
• Weryfikacja stanu faktycznego na miejscu — 33%. Wywiady, oględziny, przegląd konfiguracji i próby kontrolne w siedzibie oraz w lokalizacjach.
• Raport — 12%. Zestawienie ustaleń, ocena zgodności i wnioski z planem działań.

Te proporcje są stałe, więc widać z góry, ile czasu zajmie każdy etap — nie trzeba czekać na koniec, żeby się dowiedzieć, na co poszły dni.

Orientacyjne kwoty

Poniższe liczby wyliczyłem tym samym wzorem dla typowych podmiotów. Kwoty są netto, z widełkami ±20%.

Audyt KSC wyceniam tak samo jak audyt KRI, bo metoda i zakres pracy są identyczne — różni się podstawa prawna i termin pierwszego audytu. Progi bazowe są wspólne.

Audyt KRI i audyt KSC — czym się różnią

Audyt KRI wynika z §19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773) i jest obowiązkowy nie rzadziej niż raz na rok. Audyt zgodności z KSC opiera się na art. 15 ustawy o KSC (Dz.U. 2026 poz. 252, wdrażającej dyrektywę NIS2) i jest obowiązkowy co 3 lata, na własny koszt.

Metoda pracy jest ta sama: analiza dokumentacji, ankiety i weryfikacja stanu faktycznego na miejscu. Różni się zakres wymagań, do których porównuję stan faktyczny — w KRI są to wymagania z rozporządzenia, w KSC środki z art. 21 ust. 2 NIS2. Jeśli podmiot podlega obu reżimom, audyty prowadzi się osobno: jeden nie zastępuje drugiego.

Co zwiększa, a co zmniejsza kwotę

Kwotę podnoszą: liczba pracowników powyżej progu danej wielkości, więcej niż jedna lokalizacja do weryfikacji na miejscu, brak aktualnego rejestru aktywów (trzeba go odtworzyć), rozproszona dokumentacja w kilku wersjach oraz audyt prowadzony pierwszy raz w podmiocie. Kwotę obniżają: uporządkowany rejestr aktywów i aktualna analiza ryzyka, jedno miejsce weryfikacji, udostępnienie dokumentacji w formie uzgodnionej przed startem i prowadzenie audytu cyklicznie, bo każdy kolejny przebiega sprawniej.

Czego wycena nie obejmuje

Kwoty są netto — dochodzi VAT 23%. Nie obejmują: dojazdu do lokalizacji poza Warszawą i okolicami, pracy naprawczej po audycie (usunięcia niezgodności), wdrożenia brakujących zabezpieczeń ani przygotowania dokumentacji, której w podmiocie nie ma. Nie obejmują też czasu po Państwa stronie: osoby do kontaktu, zebrania ankiet i udostępnienia dokumentów. Audyt ocenia i opisuje stan — nie naprawia go, i to rozróżnienie jest w raporcie utrzymane.

Ile trwa audyt w czasie kalendarzowym

Roboczodni to dni pracy, nie dni kalendarzowe. Przyjmuję dwa dni pracy w tygodniu, bo audyt wymaga udziału Państwa zespołu — wywiady, ankiety i wizyty planuję z wyprzedzeniem. Audyt o zakresie 7 roboczodni zajmuje więc około trzech i pół tygodnia, a 11 dni — około sześciu tygodni. Terminy ustalam w zapytaniu; nie prowadzę kilku audytów równolegle, więc termin jest realny.

Jak zamówić wycenę

Najszybciej: użyj kalkulatora, wybierz wielkość podmiotu i liczbę lokalizacji — dostaniesz liczbę roboczodni i kwotę, a kalkulator dopnie je do formularza zapytania. Jeśli wolą Państwo rozmowę, wystarczy krótki opis w formularzu poniżej: wielkość podmiotu, liczba lokalizacji i to, czy audyt dotyczy KRI, czy zgodności z KSC. Odpowiadam w ciągu 24 godzin w dni robocze.

Pytania o wycenę

Czy audyt KRI i audyt KSC można połączyć w jeden?+

Nie. To dwa różne obowiązki wynikające z różnych aktów prawnych i żaden nie zastępuje drugiego. Metoda pracy oraz zakres weryfikacji są wspólne, więc drugi audyt prowadzę sprawniej — część materiału i wywiady można wykorzystać ponownie.

Jak często trzeba przeprowadzać audyt KRI?+

§19 ust. 2 pkt 14 rozporządzenia Rady Ministrów z 21 maja 2024 r. wskazuje, że audyt przeprowadza się nie rzadziej niż raz na rok. Audyt zgodności z KSC, na podstawie art. 15 ustawy o KSC, jest obowiązkowy co 3 lata i na własny koszt.

Kto musi zlecić audyt — czy wystarczy audyt wewnętrzny?+

Przepisy wskazują na audyt prowadzony przez podmiot niezależny od obszaru, który podlega audytowi. Audyt własny, prowadzony przez ten sam zespół, który odpowiada za bezpieczeństwo, rzadko jest uznawany za spełniający ten warunek. Jeśli Państwa sytuacja jest nietypowa, warto to potwierdzić u swojego radcy prawnego — to pytanie prawne, nie techniczne.

Audyt ocenia zgodność. Jeśli chcą Państwo dodatkowo zmierzyć odporność w praktyce, osobno opisuję test dnia zero oraz testy penetracyjne. Budowę systemu zarządzania opisuję w wdrożeniu SZBI, a obowiązki ustawowe — w dostosowaniu do KSC.