Punkt łamania ekonomicznego
Koszt cyber dzieli się na dwa składniki: audyt niezależny (z definicji zewnętrzny - wewnętrzny człowiek nie może audytować własnej pracy) i operacje codzienne (patche, monitoring, reakcja na incydenty, administracja).
Audyt niezależny musi pozostać zewnętrzny w każdym scenariuszu. RODO art. 32 wymaga “regularnego testowania skuteczności”; ISO 27001 wymaga audytu zewnętrznego; ubezpieczyciel cyber wymaga raportu zewnętrznego audytora. Wewnętrzny CISO nie zastępuje tej warstwy.
Operacje codzienne to zmienna. Można je outsourcować w trzech modelach:
- Informatyk godzinowo - 200-400 zł/godzinę, ad-hoc. Dla firm do 20-30 osób.
- MSSP w retainerze - 5-15 tys. zł miesięcznie, ciągły monitoring + alerty + reakcja. Dla 30-100 osób.
- Własny zespół - 200-500 tys. zł rocznie. Sens powyżej 100 osób.
Punkt łamania jest gdzieś w okolicach 50 pracowników: niżej outsourcing wygrywa cenowo (i dostępem do kompetencji), wyżej własny zespół ma więcej sensu.
Co dostajecie za 100 tys. zł rocznie
Roczny budżet 100 tys. zł brutto dla firmy 30-osobowej:
Wariant outsourcing. CyberAudyt CyberCerber raz w roku (wycena w cenniku), MSSP w retainerze 5-10 tys. zł miesięcznie (60-120 tys. zł rocznie). Razem z audytem ~65-130 tys. zł rocznie. Mieszczę się w 100 tys. zł.
Wariant własny. Junior cyber specialist ~12 tys. zł brutto miesięcznie + ZUS ~20% = 14,4 tys. zł, czyli 172 tys. zł rocznie tylko za pensję. Plus narzędzia 20-40 tys. zł rocznie. Plus brakuje audytora niezależnego (musicie i tak dokupić zewnętrzny audyt).
Wariant outsourcing wygrywa dla 30-osobowej firmy o ~70 tys. zł rocznie. Dla 80-osobowej firmy MSSP retainer rośnie do 10-15 tys. zł miesięcznie, własny mid-level ~16 tys. zł miesięcznie - już zbliżamy się do parity.
Co dostajecie za 250 tys. zł rocznie
Roczny budżet 250 tys. zł dla firmy 100-osobowej:
Wariant outsourcing. CyberAudyt CyberCerber raz w roku + Pentest co 2 lata + MSSP retainer 12-18 tys. zł miesięcznie. Razem ~200-260 tys. zł rocznie.
Wariant własny. Specjalista mid-level 15-18 tys. zł brutto miesięcznie + ZUS + benefity = ~250 tys. zł rocznie tylko pensja. Plus narzędzia. Plus zewnętrzny audyt. Razem ~300-350 tys. zł.
Outsourcing dla 100 osób wciąż delikatnie tańszy, ale punkt łamania już blisko. Powyżej 150 osób własny specjalista zaczyna mieć sens.
Strefa szarości 30-50 osób
Decyzja zależy od trzech czynników:
- Regulacja: czy podlegacie NIS2 (rzadko poniżej 50 osób)? Czy klient korporacyjny wymaga “dedykowanego specjalisty bezpieczeństwa”? Niektóre branże (finanse, zdrowie) faktycznie tego żądają w przetargach.
- Ryzyko: wysokie? Dane medyczne, dane finansowe, infrastruktura krytyczna = wcześniejsze przejście na własny zespół.
- Wzrost: czy w ciągu 2-3 lat planujecie zwiększenie do 80+ osób? Lepiej zacząć budować zespół wcześniej niż później.
W tej strefie często działa hybryda: outsourcing + jeden wewnętrzny IT-owiec z funkcją bezpieczeństwa jako część etatu (np. 30% czasu poświęca cyber, 70% klasyczne IT).
Przykład: 60-osobowa sieć stomatologiczna
Sieć 5 gabinetów w Polsce, łącznie ~60 pracowników (lekarze, asystenci, recepcja, administracja). Wcześniej miała tylko zewnętrznego informatyka na godziny + roczny audyt CyberCerber.
W 2025 r. dwie zmiany: 1) podpisany kontrakt z dużym ubezpieczycielem (wymóg cyklicznego dowodu monitorowania), 2) plan rozwoju do 8 gabinetów w 2027 r.
Decyzja: zatrudnienie junior cyber specialist (12 tys. zł brutto), pozostawienie zewnętrznego audytu CyberCerber jako niezależnej warstwy. Roczny koszt wzrósł z ~50 tys. zł do ~180 tys. zł, ale sieć przygotowała się do wymagań ubezpieczyciela i wzrostu skali.
Sekwencja: outsourcing → punkt łamania (klient + plan rozwoju) → częściowo wewnętrzny zespół. Trzy lata przed osiągnięciem progu opłacalności pełnego CISO.