Ile kosztuje audyt bezpieczeństwa firmy, ceny rynkowe 2026 i co na nie wpływa
Audyt RODO małej firmy kosztuje zwykle od 1 500 do 5 000 zł, audyt zgodności z NIS2 od kilkunastu tysięcy złotych wzwyż, a techniczny audyt bezpieczeństwa od kilku do kilkudziesięciu tysięcy złotych. Cenę zmienia skala firmy, liczba systemów i to, czy wynikiem ma być dokument dla zarządu, czy raport pod kontrolę.
Spis treści
Widełki cenowe, wrzesień 2026
- Audyt RODO, mała firma 1 500 do 5 000 zł Co zmienia cenę: liczba procesów i dokumentów do przeglądu
- Audyt zgodności z NIS2 od kilkunastu tysięcy zł wzwyż Co zmienia cenę: zakres art. 21, liczba lokalizacji i dostawców
- Audyt techniczny IT od kilku do kilkudziesięciu tysięcy zł Co zmienia cenę: liczba systemów, testy penetracyjne, wywiady z zespołem
Stawki publikowane otwarcie przez polskich dostawców we wrześniu 2026. Cenę zmienia skala firmy, liczba systemów i oczekiwany kształt raportu.
Pytanie o cenę audytu pada zwykle po jednym z trzech zdarzeń: kontrahent przysłał ankietę bezpieczeństwa, zarząd przeczytał o karach z dyrektywy NIS2, albo w firmie zdarzył się incydent. W każdym z tych przypadków decyzja jest pilna, a rynek odpowiada widełkami od tysiąca pięciuset do kilkudziesięciu tysięcy złotych za usługę nazywaną tak samo. Ta rozpiętość nie bierze się z chciwości, tylko z tego, że pod jednym słowem kryją się co najmniej trzy różne prace.
Krótka odpowiedź
Stawki publikowane otwarcie przez polskich dostawców we wrześniu 2026 układają się mniej więcej tak:
| Rodzaj audytu | Typowe widełki | Co dostajesz |
|---|---|---|
| Audyt RODO dla małej firmy | 1 500 do 5 000 zł | Przegląd dokumentacji, rejestr czynności, klauzule, raport z rekomendacjami |
| Audyt RODO dla średniej firmy | 5 000 do 20 000 zł | To co wyżej plus wywiady z właścicielami procesów, ocena ryzyka, ocena skutków dla wybranych procesów |
| Audyt zgodności z NIS2 lub ustawą o krajowym systemie cyberbezpieczeństwa | 5 900 do 30 000 zł | Analiza luk wobec wymagań, ocena łańcucha dostaw, plan wdrożenia z harmonogramem |
| Techniczny audyt bezpieczeństwa IT | 3 500 do 25 000 zł | Skan podatności, przegląd konfiguracji, kontrola dostępu, kopie zapasowe, raport techniczny |
| Test penetracyjny aplikacji lub sieci | 8 000 do 60 000 zł | Kontrolowany atak, dowód wykorzystania podatności, retest po naprawie |
Dolne granice dotyczą firm do dziesięciu osób z jedną lokalizacją i prostym środowiskiem. Górne dotyczą organizacji wielooddziałowych, z produkcją, z własnym oprogramowaniem albo z obowiązkami sektorowymi.
Siedem rzeczy, które realnie windują wycenę
Liczba procesów przetwarzania, nie liczba pracowników. Firma z pięćdziesięcioma osobami i trzema procesami jest tańsza w audycie niż dziesięcioosobowa agencja marketingowa, która przetwarza dane klientów swoich klientów w dwudziestu narzędziach.
Liczba systemów i integracji. Każdy system to osobna konfiguracja uprawnień, osobne kopie zapasowe i osobna umowa powierzenia. Piętnaście narzędzi w chmurze to piętnaście osobnych sprawdzeń, nawet jeżeli każde zajmuje pół godziny.
Łańcuch dostaw. Wymagania NIS2 obejmują dostawców. Audyt, który obejmuje weryfikację dwudziestu kontrahentów, to inna praca niż audyt samej organizacji.
Czy potrzebny jest dowód, czy wystarczy opinia. Przegląd dokumentów jest tani. Weryfikacja, czy zapisany proces faktycznie działa, wymaga wywiadów, próbkowania i testów, i kosztuje wielokrotnie więcej.
Termin. Audyt na przyszły tydzień, bo klient wstrzymał umowę, kosztuje więcej niż audyt zaplanowany na kwartał.
Forma raportu. Raport dla zarządu, raport dla działu IT i dokumentacja do przedstawienia kontrahentowi to trzy różne dokumenty. Część dostawców liczy je osobno.
Retest. Sprawdzenie po wdrożeniu rekomendacji bywa doliczane, a bez niego audyt kończy się listą zadań, której nikt nie odhacza.
Trzy audyty, które ludzie mylą
Audyt RODO odpowiada na pytanie, czy przetwarzanie danych osobowych ma podstawę prawną, czy jest udokumentowane i czy zabezpieczenia są adekwatne do ryzyka. Sprawdza dokumenty, procesy i umowy. Nie sprawdza, czy serwer ma aktualne poprawki.
Audyt zgodności z NIS2 odpowiada na pytanie, czy organizacja spełnia wymagania dotyczące zarządzania ryzykiem, zgłaszania incydentów, ciągłości działania i bezpieczeństwa łańcucha dostaw. Dotyczy podmiotów kluczowych i ważnych, a odpowiedzialność spoczywa na kierownictwie osobiście.
Techniczny audyt bezpieczeństwa odpowiada na pytanie, czy da się wejść. Skanuje podatności, sprawdza konfiguracje, uprawnienia, uwierzytelnianie wieloskładnikowe i kopie zapasowe.
Firmy najczęściej kupują pierwszy, potrzebują trzeciego, a obowiązek mają z drugiego. Wycena, która nie mówi wprost, który to z tych trzech, jest niemożliwa do porównania z inną.
Audyt zerowy, czyli od czego zacząć taniej
Zanim zamówisz pełne badanie, sensowniej jest zrobić rozpoznanie: ustalić, czy firma w ogóle podlega pod NIS2, jakie ma procesy i gdzie są największe luki. Taki audyt zerowy zajmuje od jednego do trzech dni i kosztuje ułamek pełnej usługi, a jego wynikiem jest decyzja o zakresie właściwego audytu. Bez niego łatwo kupić badanie szersze albo węższe niż potrzeba.
Darmową wersję tego rozpoznania można zrobić samodzielnie: skan bezpieczeństwa firmy zadaje pytania, na które i tak odpowiesz każdemu audytorowi, i pokazuje, które obszary wymagają uwagi w pierwszej kolejności.
Czego wymagać w ofercie, żeby dało się ją porównać
Uczciwa wycena zawiera sześć elementów. Brak któregokolwiek oznacza, że porównujesz jabłka z gruszkami.
- Zakres wyrażony w obiektach, nie w słowach. Ile procesów, ile systemów, ile lokalizacji, ilu dostawców.
- Metoda. Czy to przegląd dokumentów, wywiady, testy techniczne, czy kombinacja. Jaka norma albo jakie przepisy stanowią punkt odniesienia.
- Pracochłonność w dniach i skład zespołu. Audyt za trzy tysiące, w którym pracuje jedna osoba przez pół dnia, to nie jest audyt.
- Postać wyniku. Ile raportów, dla kogo, czy jest wersja dla zarządu, czy rekomendacje mają priorytety i szacunek kosztu wdrożenia.
- Co nie wchodzi w cenę. Wdrożenie rekomendacji, dokumentacja, szkolenie pracowników i retest zwykle są osobno.
- Odpowiedzialność. Czy audytor podpisuje raport imiennie, czy odpowiada za wnioski, jakie ma ubezpieczenie.
Czerwone flagi w tanich ofertach
Cena poniżej dolnej granicy widełek zwykle oznacza jedną z czterech rzeczy: raport wygenerowany z szablonu bez kontaktu z firmą, sam skan automatyczny nazwany audytem, usługę wstępną, po której dopiero przychodzi właściwa wycena, albo przygotowanie do sprzedaży czegoś innego. Żadna z tych rzeczy nie jest sama w sobie oszustwem, ale żadna nie jest też audytem, na który powoła się kontrahent albo organ nadzoru.
Osobna kategoria to darmowy audyt jako wabik. Bezpłatne rozpoznanie ma sens i sam je proponuję, natomiast bezpłatny pełny audyt nie istnieje, bo to od trzech do kilkunastu dni pracy specjalisty.
Ile to trwa
| Zakres | Czas kalendarzowy | Pracochłonność |
|---|---|---|
| Audyt zerowy, rozpoznanie | 2 do 5 dni | 1 do 3 dni roboczych |
| Audyt RODO, mała firma | 2 do 3 tygodnie | 3 do 6 dni roboczych |
| Audyt NIS2, średnia firma | 4 do 8 tygodni | 10 do 20 dni roboczych |
| Techniczny audyt IT | 2 do 4 tygodnie | 5 do 12 dni roboczych |
Czas kalendarzowy jest dłuższy niż pracochłonność, bo audyt czeka na dostęp do systemów, na terminy wywiadów i na dokumenty od dostawców. To najczęstsza przyczyna opóźnień i zwykle leży po stronie badanej firmy, nie audytora.
Wzór zapytania ofertowego
Skopiuj, uzupełnij i wyślij do trzech dostawców. Oferty staną się porównywalne.
Zwracamy się z prośbą o wycenę audytu w zakresie: (RODO / zgodność z NIS2 i ustawą o krajowym systemie cyberbezpieczeństwa / techniczne bezpieczeństwo IT).
Dane organizacji: branża (…), liczba pracowników (…), liczba lokalizacji (…), liczba kluczowych systemów (…), liczba dostawców przetwarzających nasze dane (…), własne oprogramowanie: (tak / nie).
Powód audytu: (wymóg kontrahenta / przygotowanie do obowiązków NIS2 / incydent / przegląd cykliczny).
Prosimy o podanie w ofercie: zakresu w liczbie procesów i systemów, metody pracy i podstawy odniesienia, pracochłonności w dniach oraz składu zespołu, postaci raportu wraz z odbiorcami, pozycji wyłączonych z ceny, terminu realizacji oraz warunków retestu.
Termin nadsyłania ofert: (…). Kryteria wyboru: (cena / doświadczenie w branży / termin).
Najczęstsze pytania
Czy audyt RODO i audyt NIS2 można połączyć? Tak, i zwykle się opłaca. Obszary wspólne to zarządzanie ryzykiem, kontrola dostępu, obsługa incydentów, kopie zapasowe i umowy z dostawcami. Połączone badanie kosztuje mniej niż suma dwóch osobnych, zwykle od piętnastu do trzydziestu procent taniej.
Czy potrzebujemy audytu, jeżeli mamy inspektora ochrony danych? Inspektor monitoruje zgodność na bieżąco, ale ocenia własną organizację. Audyt zewnętrzny daje spojrzenie z zewnątrz i dokument, którym można się posłużyć wobec kontrahenta albo organu. Te dwie rzeczy się nie zastępują.
Co jeżeli audyt wykaże poważne braki? Raport jest dokumentem wewnętrznym i nie trafia do żadnego organu. Wykazanie braków przed kontrolą jest korzystne: świadczy o działaniu w dobrej wierze i daje czas na naprawę. Ukrycie problemu przed samym sobą nie usuwa problemu.
Czy mały sklep internetowy potrzebuje audytu NIS2? Prawdopodobnie nie, bo obowiązki dotyczą podmiotów kluczowych i ważnych z określonych sektorów i powyżej określonej wielkości. Prawdopodobnie natomiast podlega pod RODO i pod wymagania własnych dostawców płatności. Ustalenie tego jest dokładnie zadaniem audytu zerowego.
Ile kosztuje sam raport, bez wdrożenia? Raport jest zawsze częścią audytu i nie kupuje się go osobno. Osobno kupuje się wdrożenie rekomendacji, a jego koszt zależy od tego, ile z nich firma wykona sama.
