SZBIhub

SZBIhub dla firm objętych ustawą o KSC

Twoja firma podlega ustawie o KSC? Zbuduj SZBI bez konsultanta - 490 zł netto miesięcznie.

Wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji (SZBI) zgodnego z ustawą o KSC jest wymagane do 3.04.2027 r. od podmiotów, które 3.04.2026 r. spełniały przesłanki uznania za podmiot kluczowy lub ważny. Podmiot, który zacznie spełniać te przesłanki później, ma na to 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

ref

Ustawa o krajowym systemie cyberbezpieczeństwa (nowelizacja), Dz.U. 2026 poz. 252

art. 33 ust. 1 ustawy z 23.01.2026 r. (Dz.U. 2026 poz. 252) - podmioty spełniające przesłanki 3.04.2026 r.; art. 16 pkt 1 ustawy o KSC - podmioty spełniające przesłanki później (12 miesięcy od dnia ich spełnienia)

W SZBIhub Twój dział IT sam wygeneruje dokumentację SZBI, poprowadzi 4 rejestry dla obowiązków ustawowych i terminy z przypomnieniami oraz przeszkoli kierownictwo. Bez umawiania demo.

Załóż konto firmoweJesteś firmą IT? Program partnerski

Jeszcze nie teraz? Zacznij od bezpłatnej checklisty "SZBI do 3.04.2027 - kroki dla podmiotu ważnego".

Pobierz checklistę

Zwrot pierwszej płatności w ciągu 14 dni bez podawania powodu - zasady w Polityce zwrotów.

Stan prawny

Ostatni wpis w rejestrze zmian: 4 listopada 2026. Pełny rejestr

Dla firm IT - dlaczego teraz

Presja przychodzi od klientów, nie od urzędu

Zanim ktokolwiek ukarze Twojego klienta, jego własny kontrahent zapyta go o dowód zgodności - a on zapyta Ciebie.

Kontrahenci już proszą podmioty o wykazanie statusu zgodności z NIS2 - potwierdza to badanie CyberSmart "NIS2 Survey 2026" (n=670 liderów biznesu, 9 rynków europejskich, w tym Polska).

ref

CyberSmart, "NIS2 Survey 2026" (badanie OnePoll, n=670, 9 rynków europejskich, w tym Polska)

brak (obserwacja rynkowa, nie przepis prawny) - badanie rynkowe, nie ustawa

Zobacz źródło →
Duże firmy i instytucje publiczne już dziś proszą swoich dostawców IT o dowód zgodności - a lista pytających będzie rosła, gdy ich własne obowiązki ustawy o KSC wejdą w życie.

Klient pyta najpierw Ciebie, nie ustawodawcę. Odpowiadasz "jeszcze to ogarniamy" albo płacisz za niego konsultantowi - i to za każdego klienta z osobna. Publiczne cenniki konsultantów wyceniają samo doradcze wdrożenie SZBI/ISO 27001 w małej i średniej firmie na ok. 10-40 tys. zł netto (bez audytu certyfikującego), a publiczne poradniki szacują pełne dostosowanie do ustawy o KSC wraz z technologią na 150-600 tys. zł - zależnie od skali i punktu startu.

ref

TQM Consulting (cennik wdrożeń ISO 27001); SecIQ, "Wdrożenie KSC 2.0 - praktyczny poradnik" (22.02.2026); Doradcy365 (pakiet NIS2 od 9 499 zł netto)

obserwacja rynkowa (nie przepis prawny) - publiczne cenniki i poradniki wdrożeniowe, odczyt 11.07.2026

Zobacz źródło →

Efekt

Rozproszone Excele, Word i mail zamiast jednego kompletu dokumentów. Gotowego narzędzia po polsku, w cenie dostępnej dla MSP, po prostu nie było.

Dla firm IT - jak to działa

Trzy kroki, jedna wizyta u klienta

  1. Krok 1

    Zakwalifikuj klienta

    Wspólnie z klientem, w rozmowie (ok. 15 min), ustalacie czy jest podmiotem kluczowym, ważnym, czy poza zakresem ustawy o KSC.

  2. Krok 2

    Wygeneruj komplet dokumentów

    Profil klienta i pierwszy komplet dokumentów SZBI pod Twoją marką, ze stopką o narzędziu SZBIhub.

    ~20 min

    na pierwszy komplet

  3. Krok 3

    Oddaj raport zgodności

    Raport z lukami i planem na 30/60/90 dni - gotowy materiał dla klienta na spotkanie, podpisany Twoją marką.

Przegląd aplikacji w 3 minuty, bez dźwięku, z napisami. Konto demonstracyjne, firma fikcyjna.

Przykładowy dokument (SPECIMEN)

Format wyjściowy generatora dokumentacji - do pobrania bez rejestracji. To próbka ze znakiem wodnym "SPECIMEN", nie gotowa dokumentacja zgodności.

Pobierz przykładowy PDF (SPECIMEN)

Co dostajesz

Konkretne moduły, nie obietnice

Zero teoretycznych 'kompleksowych rozwiązań' - to, co realnie używasz przy każdym kliencie.

Dokumentacja i rejestry

Generator dokumentacji SZBI

Wersjonowane szablony, eksport DOCX/PDF, zawsze pod Twoją marką.

Dokumentacja i rejestry

4 rejestry dla obowiązków ustawowych

Aktywa, ryzyka, incydenty i dostawcy - jeden komplet na klienta.

Dokumentacja i rejestry

Terminy ustawowe z przypomnieniami

Terminy ustawowe oraz coroczny cykl szkolenia i przeglądu SZBI - w jednym kalendarzu.
ref

Według szacunków Ministerstwa Cyfryzacji ustawa o KSC może objąć około 38 000 podmiotów (w tym ok. 27 000 podmiotów publicznych). Podmioty spełniające przesłanki 3.04.2026 miały złożyć wniosek o wpis do wykazu do 3.10.2026. Organ właściwy do spraw cyberbezpieczeństwa wpisuje do wykazu z urzędu podmiot kluczowy lub podmiot ważny, który nie zarejestrował się w tym wykazie.

gov.pl, "Nowelizacja ustawy o KSC - kogo obejmuje?" (20.04.2026); Dz.U. 2026 poz. 252

termin: art. 33 ust. 3 i art. 34 ust. 3 ustawy z 23.01.2026 r. (Dz.U. 2026 poz. 252) oraz komunikat Ministra Cyfryzacji z 8.04.2026 r. (Dz. Urz. MC 2026 poz. 7); wpis z urzędu: art. 42 ust. 1 pkt 2 ustawy o krajowym systemie cyberbezpieczeństwa (tekst jednolity Dz.U. 2026 poz. 20 ze zm.); liczba: szacunek Ministerstwa Cyfryzacji

Zobacz źródło →

Szkolenia

Szkolenie kierownika + niemutowalny rejestr

Kierownik podmiotu kluczowego lub ważnego odbywa szkolenie z zakresu cyberbezpieczeństwa raz w roku kalendarzowym, udokumentowane, na podstawie art. 8e ustawy o KSC.

ref

Ustawa o krajowym systemie cyberbezpieczeństwa (nowelizacja), Dz.U. 2026 poz. 252

art. 8e ust. 1 (obowiązek corocznego szkolenia) i ust. 3 (dokumentowanie udziału)

Certyfikat i rejestr ukończenia, do którego tylko się dopisuje i którego nie da się później "poprawić".

Dokumentacja i rejestry

Raport zgodności pod kontrolę

Gotowy do wydruku raport z lukami i planem 30/60/90 dni - dokument do przekazania klientowi na spotkaniu, nie wewnętrzny dashboard.

Marka partnera

Pod marką partnera

Klient widzi nazwę, logo i kolory Twojej firmy, subdomenę z Twoją nazwą i Twoją nazwę jako nadawcę e-maili, a dokumenty PDF i Word mają Twoją nazwę i logo oraz stopkę o narzędziu SZBIhub. White-label w planach Growth i Scale, w planie Starter logo i kolory.

White-label dla firm IT

Status modułów

Szkolenia i praca pod marką partnera są już wydane (plany Growth i Scale) - zobacz changelog. Dokładny zakres w każdym planie: cennik; co planujemy dalej: roadmapa.

Utrzymanie

Utrzymanie, nie dokumenty

Komplet wzorów można kupić w jeden dzień. Trudniejsze jest to, co dzieje się potem: terminy, rejestry i szkolenie co rok. To robi SZBIhub.

Zakup od ręki, kartą.

Plan Firma kupujesz kartą w aplikacji. Po płatności konto samo przechodzi na plan Firma.

Incydenty z zegarem 24 i 72 godzin.

Rejestr incydentów liczy terminy od chwili wykrycia: wczesne ostrzeżenie do 24 godzin, zgłoszenie do 72 godzin, sprawozdanie końcowe. Zgłoszenie w S46 robisz Ty, my pilnujemy czasu.
ref

Incydent poważny wymaga wczesnego ostrzeżenia w 24 h i zgłoszenia w 72 h od wykrycia. Wyjątek: do podmiotu ważnego będącego podmiotem publicznym nie stosuje się obowiązku wczesnego ostrzeżenia (art. 12c ustawy o KSC), obowiązek zgłoszenia w 72 h pozostaje.

Ustawa o krajowym systemie cyberbezpieczeństwa (nowelizacja), Dz.U. 2026 poz. 252

art. 11 ust. 1 pkt 4 (wczesne ostrzeżenie, nie później niż 24 h od wykrycia) i pkt 4a (zgłoszenie, do 72 h od wykrycia) ustawy o krajowym systemie cyberbezpieczeństwa. Wyjątek: art. 12c (podmiot ważny będący podmiotem publicznym - bez wczesnego ostrzeżenia, zgłoszenie w 72 h pozostaje)

Rejestr dostawców.

Lista dostawców z oznaczeniem usług ICT, odwołaniem do umowy i notatką z oceny ryzyka, połączona z dokumentacją SZBI. Dostawca ICT bez oceny ryzyka jest widoczny jako luka.

Szkolenie kierownika z art. 8e z certyfikatem.

Kurs dla kierownika podmiotu w aplikacji, raz w roku kalendarzowym. Po ukończeniu certyfikat z numerem i kodem do weryfikacji.

Treść z datą stanu prawnego.

Każdy dokument ma w metryce wersję szablonu i datę stanu prawnego. Gdy szablon dostanie nową wersję, zobaczysz, które sekcje dodano, zmieniono lub usunięto, i możesz zaktualizować dokument do najnowszego szablonu. Kiedy i dlaczego zmieniła się treść prawna SZBIhub, widać z datą w rejestrze zmian prawnych. Przegląd dokumentów po zmianie przepisów należy do Ciebie.

Dla firm IT - ekonomia partnera

Marża to Twoja sprawa - my pokazujemy tylko arytmetykę

Ty ustalasz cenę opieki nad zgodnością z ustawą o KSC - poniżej widać dokładnie, ile z tego zostaje po koszcie platformy.

790 zł

Plan Growth / mies.

Do 20 organizacji klienckich

79 zł

Koszt platformy / klient / mies.

Przy 10 klientach na planie Growth

300-800 zł

Rekomendowana stawka partnera / klient / mies.

Rekomendowane przez SZBIhub widełki wyceny opieki nad zgodnością z ustawą o KSC to 300-800 zł netto/klient/mies. - to nasza rekomendacja handlowa dla partnerów (cenę zawsze ustala partner), spójna z publicznymi cennikami pełnej opieki IT dla małych firm (od ok. 500 do ok. 5 500 zł/mies.).

ref

SZBIhub (rekomendacja); kontekst rynkowy: Sztorm IT, Pietruczyk IT, PRO-Admin, Sectum, Intelion - publiczne cenniki opieki IT 2026

rekomendacja handlowa SZBIhub (nie przepis prawny, nie dane rynkowe) - kontekst: publiczne cenniki opieki IT dla MSP, odczyt 11.07.2026

Zobacz źródło →
Różnica między tą stawką a kosztem platformy to Twoja marża - nie negocjujemy jej ani jej nie narzucamy.

Policz swoją marżę

Ten sam kalkulator wraca na pełnej stronie cennika - liczy w Twojej przeglądarce, żadne dane nigdzie nie trafiają.

Do 50 - limit organizacji klienckich planu Scale.

Stawkę ustalasz Ty - to Twoja relacja z klientem, nie nasza.

Plan platformy

-

Koszt platformy/klient/mies.

-

Twoja marża/klient/mies.

-

Dla firm IT - uczciwość

Czego NIE robimy

Większość dostawców pomija tę sekcję. My wolimy powiedzieć wprost, gdzie kończy się nasz zakres - inżynier inżynierowi.

Nie składamy wniosków za klienta - celowo

Zero zależności od rządowych API i harmonogramów urzędowych, których nie kontrolujemy. Rejestrację w Wykazie i zgłoszenia incydentów robicie Ty albo klient, na własnym koncie - my dajemy checklisty i instrukcje krok po kroku.

Nie świadczymy porady prawnej

Generator dokumentacji i rejestry to narzędzie, nie kancelaria. Tam, gdzie prawo wymaga interpretacji konkretnego przypadku, mówimy to wprost i odsyłamy do radcy prawnego - zobacz też disclaimer przy każdym narzędziu.

Nie mamy (jeszcze) integracji PSA/RMM

Obecnie brak integracji z narzędziami PSA/RMM partnerów - jawnie na roadmapie zamiast cichego pominięcia. Termin: nieokreślony. Ta sama pozycja jawnie na publicznej roadmapie, nie tylko tutaj.

Nie konkurujemy z Tobą o Twojego klienta

Nie zakładamy kont klientom, których obsługujesz, i nie wspieramy ich z pominięciem Ciebie.

Kto to buduje

Za SZBIhub stoi jedna osoba: Karol Dawid Karwat, inżynier oprogramowania, prezes zarządu Normfort sp. z o.o. (KRS 0001256018) - własną firmę software'ową prowadzi od 2015 roku, mieszka i pracuje w Polsce. Kto to buduje, jak i z czyim wsparciem, opisujemy bez owijania na stronie o nas.

Dla firm IT - bezpieczeństwo i architektura

Stack jawnie, nie „zaufaj nam”

To samo, co pokazalibyśmy audytorowi Twojego klienta - zero czarnej skrzynki.

  • Stack

    .NET 10, PostgreSQL, hosting w UE - żadnego podprocesora danych Twoich klientów spoza Europy.

  • Izolacja tenantów

    Granica między partnerem a organizacją klienta jest twardą granicą danych: aplikacja filtruje każde zapytanie, a w kodzie platformy wzmacniają ją dodatkowo zasady Postgres Row-Level Security na tabelach z danymi organizacji i partnerów.

  • Audit log append-only

    Rejestr zdarzeń (logowania, eksporty, impersonacje, zatwierdzenia dokumentów) zapisywany w trybie append-only: pilnuje tego aplikacja, a w kodzie platformy także trigger bazodanowy, który zawsze odrzuca usunięcie wpisu, a zmianę dopuszcza tylko przy anonimizacji danych osobowych (RODO) po usunięciu konta organizacji.

  • MFA

    Uwierzytelnianie dwuskładnikowe (TOTP), wymuszone dla ról administracyjnych.

  • Kopie zapasowe

    Kopie bazy danych wykonujemy od 17 lipca 2026, szyfrujemy je po naszej stronie przed wysłaniem i przechowujemy we Francji, ale odtworzenia z kopii na produkcji jeszcze nie wykonaliśmy - szczegóły i granice pomiaru na stronie /security.

  • Eksport rejestrów do CSV i PDF

    Każdy rejestr (aktywa, ryzyka, incydenty, dostawcy) eksportujesz już dziś do CSV i PDF. Projektujemy produkt tak, żebyś odchodził z danymi, nie z zerem. Docelowo: pełny eksport danych organizacji na żądanie (dokumenty DOCX/PDF, rejestry CSV, profil) - funkcja planowana, nie jest jeszcze dostępna.

Lista 4 subprocesorów (hosting, e-mail transakcyjny, kopie zapasowe, DNS/CDN) - publikowana jawnie, z lokalizacją i zakresem przetwarzanych danych, wraz z podmiotami, które świadomie pozostają poza tą listą.

Pełny opis bezpieczeństwa: /security →

Cennik

Cennik zawsze publiczny, w złotówkach

Bez „umów demo” - cenę znasz od razu. Cztery plany partnerskie i plan Firma, limity co do sztuki, żadnych ukrytych progów - pełna tabela, przełącznik mies./rocznie i kalkulator marży są na stronie cennika.

NFR

0 zł netto/mies.

2 organizacje: Twoja własna i demo, bez organizacji klientów

Starter

390 zł netto/mies.

do 5 organizacji klienckich

Growth

790 zł netto/mies.

do 20 organizacji klienckich

Scale

1490 zł netto/mies.

do 50 organizacji klienckich

Zobacz pełny cennik i kalkulator marży

FAQ

Pytania, które i tak zada Twoja księgowa

Zero owijania w bawełnę - łącznie z pytaniami o fakturę od Paddle i o kary.

Dlaczego przy zakupie przez Paddle fakturę wystawia Paddle, a nie SZBIhub?

Przy zakupie przez Paddle sprzedawcą jest Paddle (Merchant of Record) - to Paddle rozlicza VAT UE i wystawia fakturę, a przy podaniu NIP w formularzu płatności VAT rozliczany jest odwrotnym obciążeniem, tak jak przy każdym zagranicznym SaaS (Microsoft, AWS). Plan Firma możesz też zamówić e-mailem na kontakt@szbihub.pl: dostajesz fakturę pro forma, a po wpływie przelewu fakturę VAT od Normfort sp. z o.o. wystawioną w dniu wpływu i aktywację planu. Kwoty w cenniku są netto w PLN. Przykładowa faktura (specimen) jest dostępna na stronie cennika.

Co z karami - jaki jest stan faktyczny?

Poniżej stan faktyczny wraz z referencją do ustawy - sprawdź źródło w jednym kliknięciu.

Przepisy o karach pieniężnych za naruszenie obowiązków ustawy o KSC weszły w życie 3.04.2026 r., ale większość z tych kar (art. 73 ust. 1-4, art. 73a-73c i art. 76b) może zostać po raz pierwszy nałożona po upływie 2 lat od wejścia w życie nowelizacji, tj. po 3.04.2028 r. Odroczenie nie obejmuje kary z art. 73 ust. 5.

ref

Ustawa o krajowym systemie cyberbezpieczeństwa (nowelizacja), Dz.U. 2026 poz. 252

art. 35 ustawy z 23.01.2026 r. (odroczenie kar z art. 73 ust. 1-4, art. 73a-73c i art. 76b do 3.04.2028) w zw. z art. 49 tej ustawy (wejście w życie 3.04.2026); wyjątek: art. 73 ust. 5 (kara do 100 mln zł za naruszenia powodujące bezpośrednie i poważne zagrożenie - obowiązuje od 3.04.2026, nieobjęta odroczeniem)

Co się dzieje, gdy zmieni się ustawa?

Zmiany przepisów i dokumentów, które dotyczą treści serwisu i platformy, odnotowujemy w publicznym Rejestrze zmian prawnych: data, źródło, werdykt i co zaktualizowaliśmy. O każdej aktualizacji decyduje człowiek. Nie prowadzimy dziś cotygodniowego, automatycznego skanu przepisów - opis procesu jest na stronie rejestru.

Czy mogę odejść z danymi?

Już dziś każdy rejestr (aktywa, ryzyka, incydenty, dostawcy) eksportujesz do CSV lub PDF z poziomu platformy. Pełny eksport wszystkich danych organizacji jednym kliknięciem - komplet dokumentów, rejestrów i terminów w jednym archiwum ZIP - jest zaplanowany, ale jeszcze nie jest dostępny. Zero lock-in to zasada projektowa produktu, nie tylko slogan: nie budujemy formatów, z których nie da się wyeksportować danych.

Kto za tym stoi?

SZBIhub jest budowany przez jednego inżyniera (nie zespół sprzedażowy) - bez oderwanych od produktu obietnic. Spółką prowadzącą jest Normfort sp. z o.o. KRS 0001256018, ul. Dywizjonu 303 139/55, 01-470 Warszawa.