Zarząd pyta o jedną liczbę: „ile nas to będzie kosztowało, jeżeli się wydarzy”. Dyrektor IT sięga wtedy po raport, w którym ktoś policzył średni koszt ataku dla globalnej próby firm — i przynosi na posiedzenie kwotę opisującą firmy, których nie zna, w walutach, których nie używa, przy strukturze kosztów, której nie ma. Rozmowa kończy się tam, gdzie się zaczęła: liczba jest, tylko nikt jej nie broni.
Tymczasem rachunek za ransomware składa się z sześciu pozycji, a pięć z nich da się policzyć z danych, które firma już ma — z rachunku wyników, rejestru procesów i harmonogramu kopii zapasowych. Szósta, okup, jest jedyną, którą podaje napastnik, i jedyną, której nie kontrolujesz. Ten tekst pokazuje wzór dla każdej pozycji, wskazuje osobę w firmie, która ma potrzebne dane, i nazywa granicę, za którą szacowanie przestaje działać.
Ile naprawdę kosztuje atak ransomware w polskiej firmie?
Kosztuje tyle, ile wynosi suma sześciu pozycji policzonych na Twoich danych. Rachunek obejmuje przestój produkcyjny, odtworzenie systemów, utratę danych powstałych po ostatniej kopii, obsługę obowiązków regulacyjnych, komunikację wraz z pomocą prawną oraz wzmocnienie zabezpieczeń po zdarzeniu.
Skala zjawiska w Polsce jest znana i pochodzi z pierwszej ręki. CERT Polska w raporcie rocznym za 2025 rok, opublikowanym 8 kwietnia 2026 r., odnotował 179 ataków ransomware — wobec 147 w roku 2024 i 161 w rekordowym dotąd roku 2023. Zgłoszenia pochodziły w większości od podmiotów prywatnych (129), 30 od podmiotów publicznych, 20 od osób fizycznych.
Kontekst europejski ma bezpośredni wpływ na to, jak liczyć. ENISA w opracowaniu Threat Landscape 2025, obejmującym okres od 1 lipca 2024 r. do 30 czerwca 2025 r. i blisko 4 900 wyselekcjonowanych zdarzeń, wskazuje 82 rodziny ransomware użyte wobec organizacji z państw członkowskich, z Akirą na czele (11,6% wdrożeń), przed SafePay (10,1%) i Qilin (7,5%). Tak rozdrobniony rynek przekreśla scenariusz „policzmy koszt ataku konkretnej grupy o znanym zachowaniu” — rachunek trzeba zbudować na własnej infrastrukturze, bo tylko ona jest stała.
Dlaczego okup jest najmniejszą i najlepiej widoczną pozycją rachunku?
Okup jest widoczny, bo napastnik sam podaje kwotę — a to, że coś jest podane, nie znaczy, że jest największe ani że w ogóle powinno wejść do rachunku. Organizacje, które opracowały przewodnik #StopRansomware (CISA i FBI, publikacja z października 2023 r.), nie rekomendują płacenia i wskazują wprost, że zapłata nie zapewnia odszyfrowania danych, nie gwarantuje ustania kompromitacji systemów ani nieujawnienia informacji. Przewodnik przypomina też o ryzyku sankcyjnym opisanym w memorandum amerykańskiego OFAC z września 2021 r.
Do tego dochodzi problem z wiarygodnością samej groźby. CERT Polska opisuje w raporcie za 2025 rok zjawisko fałszywego podwójnego wymuszenia: żądanie okupu prawie zawsze straszy ujawnieniem danych, niezależnie od tego, czy napastnik cokolwiek wyniósł z infrastruktury. Zależność działa też w drugą stronę — szablonowa treść żądania niczego nie dowodzi, bo eksfiltracja mogła nastąpić mimo braku śladów w komunikacie.
Wniosek dla rachunku jest prosty. Kwota okupu jest ceną za informację, której prawdziwości nie potrafisz zweryfikować w momencie podejmowania decyzji. Pozostałe pięć pozycji dotyczy zdarzeń, które na pewno zaszły.
Jak policzyć koszt przestoju, zanim przestój nastąpi?
Przestój liczy się marżą, nie przychodem — i to jest pierwsza rzecz, którą trzeba poprawić w większości firmowych szacunków. Wzór ma trzy człony: marża pokrycia wypracowywana w godzinie × liczba godzin niedostępności × udział procesu zależnego od zaszyfrowanego systemu.
Marżę pokrycia na godzinę wylicza dyrektor finansowy z rachunku wyników: roczna marża pokrycia podzielona przez liczbę godzin rzeczywistej pracy. Udział procesu bierze się z rejestru procesów biznesowych — jeżeli firma robiła analizę wpływu na działalność, ta liczba już istnieje. Jeżeli nie robiła, jest to pierwszy sygnał, że rachunku nie da się domknąć bez wcześniejszej pracy.
Najtrudniejszy jest człon środkowy, czyli liczba godzin. Nie zgaduj jej — zmierz na własnym środowisku, odtwarzając testowo jeden krytyczny system i mnożąc wynik przez liczbę systemów, które w scenariuszu ataku padną razem. To ćwiczenie, które kosztuje jeden dzień pracy zespołu i zamienia najbardziej sporną liczbę w rachunku w liczbę zmierzoną.
Ile kosztuje odtworzenie, skoro to nie jest samo przywrócenie kopii?
Odtworzenie kosztuje wielokrotnie więcej niż przywrócenie plików, bo przywrócenie jest tylko jednym z sześciu zadań. NIST w publikacji SP 1800-11 „Data Integrity: Recovering from Ransomware and Other Destructive Events” (wersja finalna, wrzesień 2020, NCCoE) wymienia sześć celów odtworzenia: „przywrócić dane do ostatniej znanej dobrej konfiguracji”, „wskazać właściwą wersję kopii (wolną od złośliwego kodu i danych na potrzeby odtworzenia)”, „zidentyfikować zmienione dane oraz datę i godzinę zmiany”, „ustalić tożsamość osób, które zmieniły dane”, „zidentyfikować inne zdarzenia zbieżne w czasie ze zmianą danych” i „określić wpływ zmiany danych” (tłumaczenie własne). Tylko pierwszy z nich odpowiada temu, co większość budżetów nazywa odtworzeniem.
Wzór: (liczba systemów do odtworzenia × zmierzony czas odtworzenia jednego × stawka godzinowa zespołu) + koszt wsparcia zewnętrznego + koszt weryfikacji integralności odtworzonych danych.
Licz przy tym pesymistycznie co do kopii. CERT Polska opisuje, że atakujący celowo lokalizują serwery kopii zapasowych i wirtualizatory: kopie na serwerach NAS zwykle nie były szyfrowane, tylko reinicjalizowano przestrzeń dyskową, a w przejętych wirtualizatorach szyfrowano pliki maszyn wirtualnych i usuwano migawki. Kopia, do której napastnik ma dostęp z tej samej sieci, jest w tym rachunku pozycją zerową. Jak zbudować zestaw, który to przetrwa, rozwijamy w tekście o ochronie danych przed ransomware.
Co kosztuje luka między ostatnią kopią zapasową a atakiem?
To jedyna pozycja rachunku, którą obniżasz czystą decyzją budżetową — i dlatego warto ją policzyć jako pierwszą. Wzór: liczba transakcji powstających w godzinie × koszt odtworzenia jednej transakcji z dokumentów źródłowych × liczba godzin między ostatnią kopią a atakiem.
Ostatni człon to Twoje RPO wyrażone w godzinach. Jeżeli kopia wykonuje się raz na dobę, w rachunku wpisujesz do 24 godzin pracy całej firmy — zamówienia, korekty, dokumenty magazynowe i uzgodnienia, które ktoś będzie musiał wprowadzić ponownie z papieru, poczty i pamięci. Koszt odtworzenia jednej transakcji zna kierownik działu, który ją obsługuje, a nie dział IT.
Ta pozycja rośnie liniowo z odstępem między kopiami, więc daje najczystszą rozmowę o budżecie, jaką da się przeprowadzić w tym temacie: skrócenie RPO z 24 godzin do czterech obniża tę pozycję sześciokrotnie, a koszt takiej zmiany jest znany z góry. To jest właśnie moment, w którym zamiast dyskusji o strachu pojawia się rachunek — a projektowanie takiego zestawu kopii to zakres naszych usług backupu i disaster recovery.
Które obowiązki regulacyjne uruchamia ransomware w polskiej firmie?
Uruchamia dwa niezależne zegary, a większość firm podlega tylko jednemu z nich. Pierwszy to RODO: administrator zgłasza naruszenie ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, a do zgłoszenia złożonego później dołącza wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO).
Drugi zegar dotyczy podmiotów kluczowych i ważnych w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa. W brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) art. 11 ust. 1 wymaga wczesnego ostrzeżenia o incydencie poważnym w ciągu 24 godzin, zgłoszenia incydentu w ciągu 72 godzin oraz sprawozdania końcowego w ciągu miesiąca od zgłoszenia. Warto zauważyć różnicę wobec dyrektywy (UE) 2022/2555, której art. 23 ust. 4 liczy te terminy od powzięcia wiedzy o incydencie — polska ustawa liczy je od momentu jego wykrycia.
Tu pojawia się ustalenie, które zmienia większość rachunków. Spośród 179 ataków zarejestrowanych przez CERT Polska w 2025 roku ani jeden nie osiągnął progu, od którego ustawa o krajowym systemie cyberbezpieczeństwa nakazuje traktować zdarzenie jako incydent poważny. To obserwacja z próby zgłoszeń, a nie z całej populacji polskich firm, więc nie zwalnia nikogo z własnej kwalifikacji — ale pokazuje, gdzie leży punkt ciężkości. Dla typowej średniej firmy realnym reżimem kosztowym po ataku jest RODO, a nie ustawa o KSC, i to RODO powinno wyznaczać budżet przygotowania.
W jakim reżimie policzyć ryzyko kary — RODO czy ustawa o KSC?
W tym, któremu podlegasz — a jeżeli podlegasz obu, prawodawca przewidział, że nie zapłacisz dwa razy za to samo zachowanie. Górne granice są zbliżone. RODO w art. 83 ust. 4 przewiduje karę do 10 000 000 EUR albo do 2% całkowitego rocznego światowego obrotu, przy czym stosuje się kwotę wyższą; ten pułap obejmuje obowiązki z art. 25–39, a więc również bezpieczeństwo przetwarzania i zgłaszanie naruszeń.
Ustawa o KSC po nowelizacji ustawia granicę podobnie, ale dokłada podłogę. Kara dla podmiotu kluczowego nie może przekroczyć 10 000 000 EUR albo 2% przychodów, nie może być jednak niższa niż 20 000 zł (art. 73 ust. 3). Dla podmiotu ważnego pułap wynosi 7 000 000 EUR albo 1,4% przychodów, a podłoga 15 000 zł (ust. 4). Przy naruszeniu powodującym bezpośrednie i poważne cyberzagrożenie organ nakłada karę do 100 000 000 zł (ust. 5).
Do rachunku wchodzi jeszcze pozycja, której firma nie ponosi. Karą pieniężną może zostać objęty kierownik podmiotu kluczowego lub ważnego — w kwocie do 300% otrzymywanego wynagrodzenia (art. 73a ust. 4 ustawy o KSC). Wreszcie art. 35 ust. 2 dyrektywy 2022/2555 przesądza, że jeżeli organ nadzorczy nałożył karę na podstawie RODO, organ nadzoru sieciowego nie nakłada kolejnej za to samo zachowanie.
Ile kosztuje ustalenie, czy dane naprawdę wyciekły, i zawiadomienie o tym?
Kosztuje tyle, ile analiza powłamaniowa — a jej cena zależy od tego, czy masz logi. CERT Polska wskazuje niedostateczną retencję dzienników, zwłaszcza z urządzeń brzegowych i kontrolera domeny Active Directory, jako znaczące utrudnienie w analizie: wiele zgłaszających firm nie ma centralnego kolektora logów, przez co dzienniki sięgają zaledwie kilku dni wstecz. Tymczasem infiltracja bywa rozłożona nawet na kilka tygodni.
Bez logów nie odpowiesz na pytanie, od którego zależy najdroższa część tej pozycji: czy trzeba zawiadomić osoby, których dane dotyczą. RODO wymaga takiego zawiadomienia przy wysokim ryzyku naruszenia praw lub wolności (art. 34 ust. 1), ale zwalnia z niego, gdy administrator wdrożył wobec tych danych środki uniemożliwiające odczyt osobom nieuprawnionym, w szczególności szyfrowanie (art. 34 ust. 3 lit. a).
Wzór: koszt analizy powłamaniowej + (liczba osób do zawiadomienia × koszt jednego zawiadomienia) + obsługa prawna i komunikacja. Dwa pierwsze człony zmniejsza się przed atakiem, nie po nim — pierwszy przez retencję logów, drugi przez szyfrowanie danych w spoczynku. Uporządkowanie działań po zdarzeniu obejmuje nasza usługa zarządzania post-incydentem.
Ile kosztuje wzmocnienie zabezpieczeń po ataku?
Kosztuje mniej więcej tyle, co ten sam program wdrożony planowo, ale wykonany pod presją i bez możliwości negocjacji terminu. Dobra wiadomość jest taka, że wiadomo, od czego zacząć, bo wektory powtarzają się rok do roku.
CERT Polska podaje, że w 46 incydentach ransomware zaatakowany podmiot miał publicznie dostępną usługę pulpitu zdalnego RDP, a liczba ta jest prawdopodobnie zaniżona. W dwóch zgłoszonych przypadkach od wystawienia RDP do internetu do przełamania hasła i infekcji minęły mniej niż dwa tygodnie. W zdecydowanej większości zdarzeń, w których dało się ustalić wektor, dostęp uzyskano przez usługi zdalne pozbawione uwierzytelniania dwuskładnikowego.
Wzór na tę pozycję jest nietypowy, bo nie zależy od ataku: koszt planowanego programu wzmocnienia × mnożnik pilności. Mnożnik to jedyna zmienna, na którą wpływasz decyzją o terminie. Firma, która policzy tę pozycję przed zdarzeniem, dostaje wynik, który sam się broni w rozmowie z zarządem — bo dokładnie tę kwotę i tak wyda, tylko drożej.
Dlaczego zapłata okupu nie zdejmuje kosztu odtworzenia?
Bo klucz deszyfrujący nie jest kopią zapasową i nie odpowiada na żadne z pytań, które trzeba zadać po ataku. Odszyfrowanie przywraca pliki; nie mówi, która wersja danych jest wolna od złośliwego kodu, kto i kiedy je zmienił ani jaki był zakres zmiany — czyli nie realizuje pięciu z sześciu celów odtworzenia wymienionych w NIST SP 1800-11.
Przestój także już się wydarzył. W chwili, gdy zapada decyzja o negocjacjach, pozycje pierwsza i trzecia rachunku są zamknięte, a zegary regulacyjne biegną — art. 33 ust. 1 RODO nie zawiesza się na czas rozmów z napastnikiem.
Jest jeszcze pułapka po drugiej stronie tej decyzji. CERT Polska odnotowuje, że rozpoznanie użytej rodziny ransomware bywa poważnym wyzwaniem, a część grup celowo rezygnuje z rozgłosu: nie podpisuje notek, nie prowadzi bloga, korzysta z fragmentów cudzych komunikatów. Podmiot bez kopii zapasowej zostaje wtedy z oczekiwaniem na publiczny dekryptor, którego termin nie jest znany nikomu. Czym dokładnie różnią się warianty tego zagrożenia, opisuje nasz przewodnik po ransomware.
Jak zbudować własny rachunek kosztu ransomware?
Zbierz sześć wierszy, przypisz każdemu właściciela liczby i policz to, co da się policzyć dziś. Poniższa tabela jest arkuszem roboczym — kolumna ostatnia mówi, czy pozycja jest szacowalna przed zdarzeniem, czy dopiero po nim.
| Pozycja rachunku | Wzór | Kto w firmie ma dane | Szacowalna przed atakiem |
|---|---|---|---|
| Przestój | Marża na godzinę × godziny niedostępności × udział procesu | Dyrektor finansowy i właściciel procesu | Tak |
| Odtworzenie | (Systemy × czas odtworzenia × stawka) + wsparcie + weryfikacja | Kierownik infrastruktury | Tak, po teście odtworzenia |
| Utrata danych po ostatniej kopii | Transakcje na godzinę × koszt odtworzenia jednej × RPO w godzinach | Kierownicy działów operacyjnych | Tak |
| Obsługa regulacyjna | Godziny pracy zespołu i doradców na zgłoszenia w terminach 24/72 h i miesiąc | Inspektor ochrony danych | Tak |
| Ustalenie zakresu i zawiadomienia | Analiza powłamaniowa + (osoby × koszt zawiadomienia) + obsługa prawna | Inspektor ochrony danych i dział prawny | Częściowo — zależy od retencji logów |
| Wzmocnienie po zdarzeniu | Koszt planowanego programu × mnożnik pilności | Kierownik bezpieczeństwa | Tak |
Wiersz „Odtworzenie” zakłada, że kopia w ogóle istnieje po ataku — a to jest osobne założenie, nie oczywistość: warunki, przy których kopia przetrwa przejęcie konta administratora, opisujemy w tekście o backupie niezmiennym (immutable) dla firm.
Granica szacowania. Pięć pozycji policzysz dziś, przy biurku, z danych, które firma już ma. Szósta — kara administracyjna — nie jest szacowalna, bo zależy od decyzji organu, a nie od Twojej arytmetyki. Do rachunku wpisz zamiast niej podłogę ustawową (20 000 zł dla podmiotu kluczowego, 15 000 zł dla ważnego) i zaznacz, że to wartość minimalna, a nie oczekiwana. Rachunek, w którym jedna pozycja jest jawnie oznaczona jako niepoliczalna, broni się przed zarządem lepiej niż taki, w którym wszystkie liczby wyglądają na pewne.
Kolejność pracy ma znaczenie. Zacznij od pozycji trzeciej, bo jest najczystsza i najszybciej pokazuje, ile kosztuje obecne RPO. Potem zmierz czas odtworzenia jednego systemu, bo to jedyny sposób, żeby pozycja druga przestała być zgadywaniem. Dopiero mając te dwie liczby, wracaj do rozmowy o budżecie — teraz masz w niej dane, a nie cudze średnie. W nFlo taką pracę prowadzimy w ramach planu ciągłości działania i disaster recovery, gdzie rachunek kosztów przestoju jest punktem wyjścia, a nie efektem ubocznym wdrożenia.
