Ile Zarabia Etyczny Haker w Polsce? Raport Płacowy

Branża cyberbezpieczeństwa w Polsce przeżywa "Złotą Erę". W 2025 roku niedobór specjalistów jest tak duży, że firmy licytują się o pracowników, oferując stawki, które jeszcze 3 lata temu wydawały się nierealne.

Jeśli zastanawiasz się, czy warto zrobić certyfikat CEH lub OSCP, odpowiedź brzmi: Tak, to inwestycja z najwyższą stopą zwrotu.

W tym raporcie przeanalizowaliśmy ponad 500 ofert pracy z portali takich jak JustJoinIT, NoFluffJobs oraz nasze własne dane Cyberlord z rekrutacji do projektów, aby dać Ci prawdziwy obraz zarobków w Polsce.

Średnie Wynagrodzenia w Polsce (Miesięcznie)

Rozróżniamy dwa główne modele zatrudnienia: Umowa o Pracę (UoP) (kwoty brutto) oraz Kontrakt B2B (kwoty netto na fakturze + VAT).

1. Junior Pentester / SOC Analyst (0-2 lata)

To wejście do branży. Wymagana wiedza o sieciach (TCP/IP), podstawy Linuxa i często jeden certyfikat (np. eJPT, Security+, CEH).

UoP: 7,000 – 11,000 PLN Brutto
B2B: 8,000 – 13,000 PLN Netto (+VAT)
Oczekiwania: Umiejętność zrobienia skanu Nmapem, obsługa Burp Suite (wersja Community), pisanie prostych raportów.

2. Mid Pentester / Security Consultant (2-5 lat)

To najczęstszy poziom rekrutacji. Tutaj "papierki" przestają wystarczać, liczy się praktyka. Wymagany OSCP (Offensive Security Certified Professional) lub ekwiwalent.

UoP: 14,000 – 20,000 PLN Brutto
B2B: 18,000 – 26,000 PLN Netto (+VAT)
Oczekiwania: Samodzielne przeprowadzanie testów penetracyjnych, testy API, Active Directory, bezbłędny angielski.

3. Senior Pentester / Red Teamer (5+ lat)

Elita. Ludzie, którzy potrafią napisać własnego exploita, ominąć systemy EDR/Antywirusowe i prowadzić pełne symulacje ataku na bank.

UoP: 22,000 – 35,000 PLN Brutto
B2B: 30,000 – 45,000 PLN Netto (+VAT)
Oczekiwania: Inżynieria wsteczna (Reverse Engineering), tworzenie niestandardowych narzędzi (Malware Development), mentoring młodszych kolegów.

4. CISO (Chief Information Security Officer)

Szef bezpieczeństwa w dużej korporacji. To rola zarządcza, nie techniczna.

Zarobki: 40,000 – 70,000 PLN+ miesięcznie.
W przypadku pracy dla zagranicznych firm (USA/UK) zdalnie z Polski, stawki te często przekraczają 100,000 PLN miesięcznie.

Co Podnosi Twoją Wartość w 2025 Roku?

Nie każdy haker zarabia tyle samo. Oto 3 czynniki (Mnożniki Płacowe), które decydują o tym, czy zarobisz 15k czy 30k.

1. Specjalizacja: Cloud & Blockchain

Klasyczne testy stron internetowych są "tanie". Prawdziwe pieniądze są w chmurze i krypto.

Cloud Security (AWS/Azure): +20% do pensji. Firmy desperacko szukają ludzi, którzy potrafią zabezpieczyć Kubernetesy.
Smart Contract Auditing: Audytorzy Blockchain zarabiają najwięcej, często rozliczani w dolarach ($150-$300 / godz.).

2. Niestandardowe Certyfikaty

Zapomnij o "papierowych tygrysach". Rekruterzy w 2025 szukają praktyków.

Wartość niska: CEH (Certified Ethical Hacker) – dobry na początek, ale niewystarczający dla starszego specjalisty.
Wartość Wysoka: OSCP, OSEP (Evasion), OSWE (Web), CISSP (dla managerów).

3. Język Angielski (C1/C2)

Praca dla polskiego Software House'u ma limit zarobków (tzw. sufit). Praca zdalna dla firmy z Londynu czy Nowego Jorku zdejmuje ten limit.

Różnica: Haker z B2 (komunikatywny) zarobi 20k PLN. Haker z C2 (Native-like) zarobi $10k USD (40k PLN) za tę samą pracę.

Geografia Płac: Warszawa, Kraków, Wrocław vs Zdalny B2B

Lokalizacja ma znaczenie, choć mniejsze, niż zakłada większość kandydatów. Warszawa wciąż płaci najlepiej na etatach, głównie w segmentach mid i senior – tam rezydują centrale finansowe i największe zespoły bezpieczeństwa. Kraków i Wrocław trzymają się tuż za stolicą; w obu miastach siedzą oddziały globalnych firm technologicznych i software house'ów, więc różnice w widełkach bywają kosmetyczne. W pozostałych dużych miastach (Poznań, Trójmiasto, Katowice) stawki UoP schodzą wyraźniej, często o jedną piątkę szerokości widełek.

Przy kontrakcie B2B sprawa się jednak rozjeżdża: adres zamieszkania znika z równania, bo faktura nie pyta, czy siedzisz przy rondzie ONZ, czy pod Nowym Sączem. Dlatego doświadczeni pentesterzy coraz częściej osiadają w tańszych miejscowościach, rozliczając rynkowe stawki z klientami z Warszawy, Londynu czy Frankfurtu. Jeśli myślisz o tej branży w kategoriach długoterminowych, praca zdalna plus swobodny angielski robią dla portfela więcej niż kod pocztowy.

Branże, Które Płacą Powyżej – i Poniżej – Rynku

To, ile dostaniesz, zależy częściej od sektora pracodawcy niż od tytułu na wizytówce. Rozkład wygląda w przybliżeniu tak:

Finanse i bankowość: banki, procesorzy płatności i fintechy płacą wyraźnie powyżej średniej. Presja regulacyjna (DORA, wytyczne KNF) daje im roczny budżet na bezpieczeństwo, którego przeciętna firma nie ma. Bonus: doświadczenie przy systemach transakcyjnych to najlepszy rozdział w CV przyszłego red teamera.
E-commerce i platformy płatnicze: duży ruch, dane kart i sezonowe szczyty wymuszają inwestycje w testy aplikacji i API – stawki mocno rynkowe i częściej w górnej replice widełek.
Telekomunikacja: ogromna powierzchnia ataku plus kultura dyżurów, więc do bazowych widełek dochodzi dodatek za on-call.
Poniżej rynku: małe software house'y, administracja publiczna, edukacja czy większość szpitali. Mniej gotówki, ale zwykle spokojniejszy rytm i mniejsza rotacja – dla jednych impuls do ucieczki, dla innych scena, na której spokojnie dorasta się do pierwszego OSCP.

Nie znaczy to, że niższa branża to zły start: dwa lata w rzeczowym SOC uczą eskalacji incydentów i pracy z SIEM lepiej niż gonitwa od audytu do audytu. Trzeba tylko wiedzieć, że to etap szkoleniowy, nie finał płacowy.

Freelancing i Bug Bounty: Ile można dorobić?

Wielu etycznych hakerów pracuje na etacie, a po godzinach "poluje" na błędy.

Bug Bounty: Znalezienie krytycznego błędu w Google czy Facebooku to jednorazowy strzał rzędu $5,000 - $10,000 (ok. 20-40 tys. PLN). Przeczytaj nasz Poradnik Bug Bounty 2025.
Pentesty na Zlecenie: Wykonanie audytu dla małej firmy (sklep internetowy) to zlecenie na 3-5 dni za 5,000 - 10,000 PLN.

Dorabianie do etatu w bug bounty to jednak gra o innej zmienności niż pensja: bywają miesiące z zerem na koncie, a jedna trafna nagroda wyrównuje cały kwartał. Trzy rzeczy, o których rzadko mówi się przy rekrutacji:

Cena w czasie: utrzymywanie realnych wyników pochłania kilka–kilkanaście godzin tygodniowo na śledzenie changelogów vendorów, testy i redakcję zgłoszeń. W praktyce to drugi, niepełnoetatowy job z loteryjnym wynagrodzeniem.
Duplikaty i triage: sporą część zgłoszeń zamyka się jako duplikaty albo informacje – odporność na rozstrzygnięcie w stylu "Not Applicable" jest częścią warsztatu, nie porażką.
Formalności: zajrzyj do własnej umowy o pracę, czy nie wymaga zgody na dodatkową aktywność zarobkową, i nie testuj celów, które kolidują z obowiązkami wobec pracodawcy.

Dzień Faktury vs Miesiąc Etatu: Jak To Policzysz?

Porównywanie kwoty netto z faktury z kwotą brutto z wypłaty to porównywanie jabłek z gruszkami. Na kontrakcie sam odprowadzasz ZUS, nie masz płatnego urlopu ani L4, a między projektami potrafią pojawić się tygodnie bez faktury. Praktyczna reguła przeliczenia: żeby żyć tak jak na etacie o danej kwocie, na B2B potrzebujesz mniej więcej 1,3–1,4-krotności tej kwoty.

Pentesty to z natury praca projektowa – audyt średniej firmy zajmuje kilka–kilkanaście dni roboczych, zwykle rozłożonych na tygodnie. Dlatego freelancerzy myślą stawką dzienną, nie miesięczną: w tym segmencie dzienne widełki są szerokie, bo zależą od zakresu, odpowiedzialności za raport i profilu klienta. Zanim podpiszesz zlecenie, sprawdź, czy cena obejmuje retest po poprawkach i ile kosztuje ustny briefing dla zarządu – doradzenie biznesowi bywa warte więcej niż sama technika.

Negocjacje Poza Kwotą Bazową: O Co Grać, Gdy Widełki Są Zamknięte

Czasem budżet na stanowisko jest po prostu zamknięty i żadna sztuka negocjacyjna tego nie ruszy. Wtedy warto przestawić rozmowę z jednej liczby na cały pakiet:

Budżet szkoleniowy: jeden finansowany attempt na OSCP czy OSEP to więcej realnej wartości niż kilkaset złotych podwyżki. Zapytaj wprost, ile firma wydaje rocznie na rozwój jednego specjalisty.
Konferencje i społeczność: bilet, dojazd i nocleg na większym evencie security (w kraju lub w Europie) to koszt, który dział finansów łatwiej zaakceptuje niż podwyżkę bazową – a Tobie daje kontakty, które za dwa lata zamienią się w oferty.
On-call: jeśli rola obejmuje reagowanie na incydenty, dyżury powinny mieć osobną stawkę – retainer plus stawka za godziny wywołań. Ustne "czasem coś wyskoczy" to najtańszy sposób, by przejąć Twoje wieczory za darmo.
Sprzęt i licencje: pełna wersja Burp Suite Pro, sensowny laptop, wyposażenie do testów radiowych i dostęp do labów – w skali firmy niewiele, dla Ciebie codzienny warsztat.
Premia roczna: ustal, czy jest gwarantowana, czy "zależna od wyników" – od tej różnicy zależy, czy zobaczysz ją w ogóle.

Ścieżka Kariery: Co Wyzwala Skok Płacowy?

Widełki z pierwszej sekcji nie rosną same z każdym rokiem stażu. Skok płacowy wyzwala w tej branży konkretny zestaw dowodów:

Junior → Mid: pierwszy w pełni samodzielny pentest – od scopingu, przez testy, po raport, bez prowadzenia za rękę. Do tego certyfikat oparty na praktyce (klasa OSCP) i angielski na poziomie, w którym umiesz obronić ustalenia przed klientem. Zwykle kosztuje to 2–4 lata intensywnej roboty, nie pauzy na kursach.
Mid → Senior: specjalizacja, po której klienci zaczynają pytać po imieniu – chmura, Active Directory, aplikacje krytyczne. Plus raporty niewymagające redakcji i zdolność wytłumaczenia zarządowi, czemu znalezisko ma znaczenie. To moment przejścia z wykonawcy w osobę odpowiedzialną za rezultat.
Senior → Lead / Head of: prowadzenie zespołu, metodologia i pre-sale, czyli tłumaczenie ryzyka na budżet klienta. Tu nie liczy się, ile luk znajdujesz samodzielnie, tylko ile projektów utrzymuje się, bo jesteś w nich filarem.

Osoby przychodzące z innej części IT (administrator, developer) często skracają pierwszy etap – znają już kontekst systemów, brakuje im wyłącznie warsztatu ofensywnego. Ile trwa nauka niemal od kompletnego zera? Rozpisujemy to w osobnym materiale.

Przyszłość Rynku (Prognoza 2026-2030)

Czy AI (Sztuczna Inteligencja) zabierze pracę hakerom? Nie. AI zmieni pracę hakerów. Zamiast szukać prostych błędów SQL Injection (które AI znajdzie w sekundę), hakerzy będą musieli szukać błędów w logice biznesowej oraz... błędów w samym AI (Adversarial AI Attacks).

Popyt na ludzi, którzy rozumieją, jak oszukać algorytm, będzie rósł wykładniczo.

Podsumowanie: Czy opłaca się wejść w IT Security?

Cyberbezpieczeństwo to obecnie jedna z najlepiej opłacanych i najbezpieczniejszych (ironicznie) ścieżek kariery. Wymaga ciągłej nauki – to co umiesz dziś, za 2 lata będzie przestarzałe. Ale jeśli masz pasję do łamania kodów i rozumienia "jak to działa pod maską", rynek wynagrodzi Cię królewsko.

Szukasz pracy lub chcesz podnieść swoje kompetencje? Śledź nasz blog, gdzie publikujemy techniczne poradniki.

Polecane dla Ciebie:

Przegląd

Kluczowe decyzje, ryzyka i działania wdrożeniowe dla tego tematu.