50 certyfikatów w 2 lata. Tak wygląda europejska certyfikacja, którą dostaną teraz MSSP

24 lipca 2026 Europejska Agencja ds. Cyberbezpieczeństwa (ENISA) opublikowała pierwszy draft propozycji schematu certyfikacji dla dostawców usług zarządzanych cyberbezpieczeństwa (MSSP). No i już na wstępie tego dokumentu widzimy, że Europa bardzo skutecznie chce zniszczyć małe firmy świadczące tego typu usługi. A przecież tyle się mówi o inwestowaniu w tą branżę.

Ale od początku. Czym w ogóle jest taki dostawca usług zarządzanych. Można by na pierwszy rzut oka przyjąć, że jest to taki klasyczny outsourcing. No bo jedna firma zwyczajnie zamawia usługi innej firmy aby wykonać konkretną robotę, z tym, że w przypadku Managed Service przekazujemy cały proces biznesowy do takiego dostawcy, i w zasadzie traktujemy takiego dostawcę jako część naszej firmy. Taki model współpracy jest bardzo często widoczny w dwóch dziedzinach, finanse / HR oraz oczywiście IT. Czemu tak chętnie wybieramy taki właśnie model? Oczywiście wszystko się wiąże z kosztami. Firmy mają możliwość rozbudowania odpowiednich kompetencji u siebie wewnątrz, zatrudnić eksperta lub zwyczajnie podpisać umową z wyspecjalizowaną firmą.

Tak dla przykładu właściciel małej firmy usługowej, zatrudniającej 4 pracowników musiałby albo sam nauczyć się wszystkich przepisów finansowych robić wszystkie wyliczenia i wysyłać formularze, mógłby zatrudnić księgową lub też zamówić usługę w firmie księgowej. I tak jak pewne procesy związane z księgowością jak wystawianie faktur no to każdy w miarę kumaty człowiek ogarnie, tak wiedza jakie stawki VAT stosować, czy jak wypełniać formularze urzędowe, albo jak naliczać płace pracownikom to już wyższa szkoła jazdy dla przeciętnego przedsiębiorcy. Poza tym dla takiej osoby najważniejsza wiedza to ta która pozwala mu zarabiać pieniądze. Oczywiście można zatrudnić księgową lub księgowego, no ale czy dla kilku faktur miesięcznie i dla 4 pracowników czy jest to w ogóle opłacalny koszt? No więc jasne jest, że podpiszemy umowę z biurem księgowym, które nam to wszystko ogarnie i to za ułamek ceny jednego pracownika na etacie.

Nie inaczej jest w IT. Postęp w technologiach informacyjnych jest tak szybki, że właściciele biznesów, szczególnie tych mniejszych, musieliby zajmować się tylko IT, żeby zrozumieć w ogóle co do czego jak i z czym. Żeby zatrudnić w miarę doświadczonego specjalistę w Polsce trzeba wydać średnio 9000 złotych. W większych miastach te kwoty mogą być dwukrotnie wyższe a no i preferowane umowy B2B. No ale zawsze trzeba pamiętać o tym, że ten pracownik nie zawsze jest dostępny bo ma urlop albo zachoruje, no i wtedy zonk trzeba zatrudnić kolejnego. W przypadku mniejszych firm ewidentny przerost formy nad treścią, no ale wsparcie musi być nie przerwane w godzinach pracy no bo przecież nawet sklep spożywczy nie wyda paragonu jak przysłowiowy system nie działa. Jak system nie działa no to firma ponosi realne straty. Dlatego też uśmiechamy się do firmy zewnętrznej, która w cenie jednego informatyka zrobi nam kompleksową obsługę, zapewni specjalistów, infrastrukturę, aplikacje i jeszcze wymieni tonery w drukarce zanim czerwona lampka się zapali.

I tak jak tego typu usługi IT stały się powszechnością tak teraz usługi w zakresie cyberbezpieczeństwa rosną w siłę, a w szczególności dwa modele czyli Utrzymanie Operacyjne Cyberbezpieczeństwa (SOC as a Service) oraz Wirtualny Bezpiecznik (vCISO). Tylko, że jest jedna różnica bo usługi MSSP czyli Zarządzane Usługi Cyberbezpieczeństwa zasługują na szczególną uwagę. W niedawno zaktualizowanej Ustawie o Krajowym Systemie Cyberbezpieczeństwa, właśnie ta kategoria została uznana za podmiot kluczowy (czyli ten taki krytyczny dla funkcjonowania państwa). Każda firma która posiada więcej niż 9 pracowników i świadczy tego typu usługi automatycznie jest zaliczana do tego zacnego grona.

No więc o co cały ten raban ze schematem certyfikacji?

Już tłumaczę. Szacuje się, że w Europie operuje obecnie około 4 tysięcy takich firm. Wg. Polskich szacunków jest od kilkudziesięciu do ponad stu firm z czego znacząca większość to MŚP czyli małe i średnie przedsiębiorstwa. Skoro znacząca większość to właśnie MŚP to oznacza, że wszystkie te firmy podlegają pod przepisy UKSC. To oznacza, że te firmy raz na 3 lata przechodzą audyt zgodności, mają konkretne wymagania względem zarządzania cyberbezpieczeństwem a także obowiązują je drakońskie kary za uchybienia. Na domiar złego w związku z pracami nad tzw. Europejskim Aktem o Cyberbezpieczeństwie (CSA), rozpoczęto prace nad opracowaniem schematu certyfikacji dla takich właśnie podmiotów. Nie będę tu spekulował nad adaptacją tego schematu w Polsce, ale możemy spokojnie założyć, że taki certyfikat zacznie być wymagany przede wszystkim przez państwowe podmioty, które zechcą zakupić tego typu usługi. Przypominam tych jest ponad 60 tysięcy w Polsce. I tak same wymogi tego standardu mogą być problematyczne w kilku kwestiach, tak największym zagrożeniem a zarazem istotą całego problemu to sam proces certyfikacji. Unia Europejska stwierdziła, że każdą z tych firm czyli taką która zatrudnia 10 osób oraz taką która zatrudnia 500 osób będzie mierzyć tą samą miarką. A przecież różnic jest wiele począwszy od profilu klienta kończąc na budżecie. I oczywiście tego typu usługodawcy to przecież jak układ odpornościowy u człowieka, jeśli nie działa to szybko zachorujemy a zgon może być bardzo bolesny.

No i teraz przechodzimy do sedna czyli jak ma wyglądać taki proces certyfikacji. Otóż wpierw powstaną tak zwane ciała akredytacyjne, które będą oceniać zgodność podmiotów ze standardem, a następnie urząd będzie wydawał certyfikat. Nie jest to nic nowego ponieważ ten sam schemat widnieje przy Europejskim certyfikacie cyberbezpieczeństwa dla produktów cyfrowych (EUCC). Program został wprowadzony w 2024 roku. No i teraz klu całej historii, ponieważ do dnia dzisiejszego powstały całe 39 jednostek akredytowanych, które przez 2 lata swojej działalności wydały całe 50 certyfikatów. W Polsce istnieją dwie jednostki akredytowane czyli NASK-PIB oraz Instytut Łączności, które do tej pory nie wydały ani jednego certyfikatu.

Sam schemat uwzględnia 3 poziomy certyfikacji, podstawowy, istotny oraz wysoki. Niestety poziom podstawowy nie zezwala na tzw. Self-Assessment czyli deklaratywny. Taki Self-Assessment polega na tym, że organizacja świadcząca tego typu usługi wypełnia deklaracje, załącza dowody i wysyła do urzędu, który po weryfikacji wystawia taki certyfikat.

Oczywiście trzeba pamiętać, że certyfikat nie jest obowiązkowy dla wszystkich podmiotów, jednakże będzie on wymagany od firm, które będą chciały startować w przetargach w ramach Unijnej Cyber Rezerwy, a w Polsce taki certyfikat może być wymagany przez urzędy państwowe jaki jednostki samorządowe, czyli np. przez szpitale. Jak na kraj w którym mamy może lekko ponad setkę takich podmiotów no to za bardzo nie mamy w czym wybierać. I tu nie chodzi mi o jakość dostarczanych usług a raczej fakt, że zwyczajnie takich podmiotów jest mało. Co gorsza większość z nich nie będzie stać na uzyskanie takiej odznaki albo utknie w kolejce do certyfikacji. Największym pewniakiem organizacji, które zdobędą taki certyfikat to spółki skarbu państwa i zagraniczne podmioty, które z chęcią taki certyfikat uzyskają poza Polskim urzędem. A zatem istnieje bardzo duże ryzyko, że małe firmy MSSP zwyczajnie nie będą miały szans walczyć o te najlepsze kontrakty od spółek skarbu państwa, banków, firm z sektorów energetycznych czy transportowych. I nawet jeśli jakaś mała firma pokusi się o zdobycie tego certyfikatu to zwyczajnie utknie w kolejce, bo priorytet będą mieli Ci więksi (oni zapewne już stoją w kolejce). Kto na tym straci? No właśnie, ten mały przedsiębiorca, od którego wymaga się wdrożenia mechanizmów cyberbezpieczeństwa, ale jego usługodawca podniósł ceny o 200% bo chce walczyć o intratne kontrakty, a i tak nie stać go będzie na zatrudnienie specjalisty.

Czy zatem możemy stwierdzić, że Unia Europejska kręci bat na europejskich dostawców usług zarządzanych? Czas chyba na to aby rynek cyberbezpieczeństwa sam zaczął się regulować bo inaczej zostaną tylko duże amerykańskie lub państwowe podmioty.