Ile kosztuje wdrożenie DORA i NIS2. Uczciwie, bez ściemy.
No to pytanie za milion: ile to kosztuje. Każdy konsultant odpowie 'zależy' i ucieknie. My rozbijemy 'zależy' na konkretne pozycje.
No i klasyk pierwszej rozmowy: “dajcie widełki”. Uczciwa odpowiedź brzmi: koszt wdrożenia DORA czy NIS2 to nie jedna faktura, tylko kilka pozycji, z których największa zwykle nie jest fakturą wcale. Rozbijmy to.
TL;DR
- Koszt = konsulting + narzędzia + czas własnego zespołu (ten ostatni jest największy i niewidoczny)
- Im większa i bardziej rozproszona firma, tym drożej; widełki rozjeżdżają się o rząd wielkości
- Realne porównanie to nie "ile zapłacę", tylko "ile zapłacę vs ile grozi kara"
- Najwięcej przepala się na robieniu tego samego w trzech arkuszach
Z czego składa się koszt
Trzy worki. Pierwszy: konsulting i audyt (analiza luk, przygotowanie, audyt). Drugi: narzędzia (oprogramowanie GRC, monitoring, ewentualnie testy odporności). Trzeci, najczęściej pomijany: czas Twojego zespołu. To godziny IODa, CISO, IT i biznesu, które nie pójdą na nic innego. I to zwykle pozycja numer jeden, tylko nie ma jej na żadnej fakturze.
Co napędza widełki
Wielkość i złożoność. Mała firma usługowa to inny wszechświat niż grupa kapitałowa z dziesiątkami systemów i dostawców. Liczba lokalizacji, liczba procesów krytycznych, liczba dostawców ICT, dojrzałość startowa. Dlatego każdy poważny szacunek zaczyna się od analizy luk, a nie od cennika.
Build vs buy, czyli gdzie ucieka budżet
Można to zrobić w Wordzie i Excelu plus konsultant. Działa, do pierwszej zmiany. Potem dane się rozjeżdżają, ktoś przepisuje te same informacje między arkuszem RODO, plikiem DORA i rejestrem incydentów, a przed audytem zespół zbiera dowody dniami. To jest ukryty, powtarzalny koszt, który rośnie z każdym miesiącem.
Narzędzie zmienia rachunek: wpisujesz raz, dane są spójne, a sygnały i terminy pilnują się same. To nie znaczy “zawsze taniej”, tylko “przewidywalnie i bez przepalania godzin”.
Najważniejsza liczba: koszt vs kara
Tu jest sedno, o którym łatwo zapomnieć przy widełkach. Kary NIS2 sięgają 10 mln euro lub 2% obrotu, plus osobista odpowiedzialność zarządu. Kary DORA to okresowe sankcje liczone procentem obrotu i nadzór KNF. Koszt wdrożenia liczy się względem tego ryzyka, nie w próżni.
Jak my na to patrzymy
Nie sprzedajemy “zależy” i nie wróżymy z cennika. Najpierw Regulatory Checker mówi, co Cię w ogóle dotyczy, potem moduły DORA i NIS2 pokazują zakres pracy na realnych danych, a cennik jest jawny. Reszta to rozmowa, nie magia. Umów demo, policzymy to konkretnie dla Twojej firmy.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.