Koszt testów penetracyjnych 2026: cennik B2B

W 2026 roku pytanie rzadko brzmi już „czy zlecić test penetracyjny”. Częściej brzmi: ile powinien kosztować test, który naprawdę wykrywa luki, a nie tylko generuje PDF na potrzeby wewnętrznego sprawozdania. Koszt testów penetracyjnych bywa mylony z ceną skanu automatycznego, choć różnica w jakości jest znacznie większa niż różnica w cenie.

Ten przewodnik pokazuje, które elementy zakresu odpowiadają za rozpiętość ofert, i jak porównać dwóch dostawców tak, żeby decyzja obroniła się przed audytorem.

Rynek 2026: jakie stawki są realne

Wycena zależy od trzech rzeczy: co testujemy, jak głęboko i jak doświadczony zespół wykonuje pracę. Poniższa tabela pokazuje typowe przedziały dla firm kupujących test w modelu projektowym, a nie w rozliczeniu godzinowym.

Rodzaj testu	Typowy zakres prac	Widełki (EUR)	Widełki (USD)
Aplikacja webowa — prosty serwis	Strona wizytówka, formularze, brak logowania	3 500 – 7 500 EUR	4 000 – 8 000 USD
SaaS średniej wielkości	Wiele ról, API, płatności	11 000 – 23 000 EUR	12 000 – 25 000 USD
Platforma enterprise	Złożona logika, mikroserwisy, 50+ ról	32 000 – 75 000 EUR	35 000 – 80 000 USD
Infrastruktura zewnętrzna	Firewalle, VPN, serwery dostępne z internetu	4 500 – 14 000 EUR	5 000 – 15 000 USD
Sieć wewnętrzna i Active Directory	Symulacja intruza wewnątrz sieci	9 000 – 46 000 EUR	10 000 – 50 000 USD
Red team	Ludzie, procesy i technologia w jednym scenariuszu	46 000 – 185 000 EUR	50 000 – 200 000 USD
Retest po poprawkach	Weryfikacja zamknięcia usterek	15 – 30% wartości testu	15 – 30% wartości testu

Wszystkie kwoty to orientacyjne, typowe przedziały rynkowe na 2026 rok. Nie są ofertą ani gwarancją ceny: ten sam zakres wyceniony w EUR i USD różni się w zależności od kursu, lokalizacji zespołu i tego, czy dostawca rozlicza pracę w walucie klienta.

Co podnosi wycenę: sześć zmiennych, które kontrolujesz

Różnica między ofertami wynika z kilku parametrów zakresu. Ustal je przed rozmową o kwotach — wtedy oferty stają się porównywalne.

Liczba aplikacji i środowisk. Każda osobna aplikacja, API, repozytorium czy konto chmurowe mnoży godziny pracy. Jeden zakres adresów IP i pięć środowisk to nie ta sama praca, nawet przy identycznym kodzie.
Role i poziomy uprawnień. Test jako anonimowy gość, jako zwykły klient i jako administrator to praktycznie trzy przebiegi. Każda dodatkowa rola dokłada kombinacje, a błędy logiki biznesowej ukrywają się właśnie w kombinacjach.
Okno testowe. Prace nocne, weekendowe i blokady zmian wydłużają kalendarz, a kalendarz też jest pozycją w fakturze.
Głębokość raportu. Lista usterek to kilka godzin pracy. Dokument z wpływem biznesowym, krokami odtworzenia i rekomendacjami dopasowanymi do stosu technologicznego to kilka dni.
Warunki retestu. Jedna runda zwykle jest w cenie. Szerszy retest kosztuje więcej, ale usuwa spór o to, kto płaci, gdy poprawki wchodzą późno.
Doświadczenie zespołu. Projekt prowadzony przez juniora z przeglądem seniora jest tańszy niż projekt prowadzony przez seniora, a różnica wychodzi najwyraźniej przy łańcuchach ataków i błędach logiki. Poziomy kwalifikacji opisujemy szerzej w artykule o różnicy między CEH a pentesterem.

Praktyczna reguła: dobrze wyceniony projekt dla średniej aplikacji mieści się w widełkach pięciocyfrowych, a każde środowisko, rola i runda retestu przesuwa wycenę. Oferta, która pomija te parametry, jest placeholderem, nie budżetem.

Black box, white box i gray box: gdzie jest najlepszy stosunek ceny do wartości

Black box oznacza, że tester nie ma żadnej wiedzy o systemie. Musi poświęcić godziny na rozpoznanie i odkrywanie zasobów, które w dokumentacji zajęłyby kwadrans. Realistyczny scenariusz ataku zewnętrznego, ale najdroższy w przeliczeniu na godzinę efektywnej analizy.

White box daje testerowi dostęp do dokumentacji, diagramów architektury, a często także do kodu. Zespół szybciej trafia w miejsca, w których rzeczywiście może coś pęknąć, więc za tę samą kwotę zwykle powstaje więcej usterek. Minusem jest mniejszy realizm: taki test nie odpowie na pytanie, jak trudno jest wejść z zewnątrz.

Gray box to kompromis, który w większości projektów B2B daje najlepszy zwrot: testerzy dostają konta testowe i ograniczony kontekst, ale nie pełny kod. Zyskują na czasie, nie tracąc perspektywy atakującego.

Zgodność jako driver zakupowy: ISO 27001, SOC 2, PCI DSS i NIS2

W wielu przetargach test nie jest opcją, tylko warunkiem podpisania umowy — a oczekiwania audytorów przekładają się wprost na zakres i cenę.

ISO 27001. Testowanie bezpieczeństwa jest częścią kontroli technicznych i oceny ryzyka. Audytor patrzy na powtarzalność, metodykę i to, czy wyniki trafiły do rejestru ryzyk.
SOC 2 Typ II. Raport z testu strony trzeciej jest standardowym dowodem dla klientów enterprise. Audytorzy oczekują metodyki, nie zrzutu z narzędzia.
PCI DSS. Wymagane są testy segmentacji i testy po istotnych zmianach w środowisku kartowym. Zakres bywa węższy, ale dokumentacja musi być bez zarzutu.
NIS2. Krajowe wdrożenia nakładają na podmioty kluczowe i ważne obowiązki w obszarze zarządzania ryzykiem, a testy bywają wskazywane jako jeden ze środków weryfikacji. Klienci coraz częściej pytają o dowody testów również u dostawców.

Praktyczny wniosek: audytor nie płaci za test, tylko za dowód. Raport oparty na rozpoznawalnej metodyce (OWASP WSTG, PTES, MITRE ATT&CK) i podpisany przez kwalifikowanych testerów jest wart więcej niż tańszy test bez dokumentacji.

Zakres i zasady współpracy: co musi trafić do umowy

Zmiany zakresu to zwykle skutek niedopisanego zakresu, nie zagrywka dostawcy. Umowa powinna zawierać siedem elementów:

Inwentarz aktywów. Nazwane domeny, zakresy IP, repozytoria, konta chmurowe i endpointy API oraz wszystko, co świadomie wyłączono z testu.
Dostępy i poświadczenia. Które konta otrzymują testerzy, jak są zakładane i kto odpowiada za nie w trakcie projektu.
Rules of engagement. Dozwolone techniki, działania zabronione (payloady niszczące dane, limity inżynierii społecznej, systemy osób trzecich), limity obciążenia i okna testowe.
Autoryzacja i eskalacja. Pisemna zgoda właściciela aktywów, wskazany kontakt techniczny i procedura natychmiastowego zatrzymania testu.
Produkty i format. Struktura raportu, model istotności i to, czy w cenie jest odprawa oraz podsumowanie dla zarządu.
Klauzula retestu. Liczba rund w cenie, termin ich wykorzystania i sposób potwierdzania zamknięcia usterek.
Przetwarzanie danych. Jak przechowywane są dowody i poświadczenia, jak są redagowane, jak długo zostają i kiedy są niszczone.

Jeśli oferta milczy o punktach drugim do siódmego, ta cisza stanie się później pozycją na fakturze. Podstawa prawna i pisemna autoryzacja to warunek konieczny każdego testu — więcej o tym w artykule o wymogach prawnych przed testem.

Raport, dowody i retest: co konkretnie kupujesz

Etykieta istotności bez dowodów jest opinią. Porównując oferty, sprawdź, czy próbka raportu zawiera: precyzyjne kroki odtworzenia, wskazanie dotkniętego komponentu do poziomu endpointu lub parametru, rozdzielony wpływ zaobserwowany i scenariusz najgorszy, zredagowane dowody (zrzuty, przechwycone żądania, logi), rekomendacje dopasowane do stosu oraz status retestu dla każdego wcześniejszego ustalenia.

Brakuje dwóch pierwszych elementów? To bliżej wyniku skanu niż testu. Brakuje ograniczeń zakresu? Raport po cichu zawyża pokrycie — i to jest groźniejszy błąd, bo wychodzi dopiero na kolejnym audycie.

Jak porównać dwie oferty bez zgadywania

Załóżmy platformę SaaS: trzy role, jedna aplikacja publiczna, jedno API, dwa środowiska chmurowe i audyt za cztery miesiące. Przychodzą dwie oferty.

Pozycja	Dostawca A (niższa cena)	Dostawca B (wyższa cena)
Test podstawowy	jeden przebieg, tylko dostęp anonimowy	trzy role uwierzytelnione
Retest	brak	jedna runda w cenie
Raport	wynik automatyczny, minimalna weryfikacja	ręczny, z przeglądem i podsumowaniem
Okno testowe	sztywne dwa dni	dopasowane do blokady zmian

Tańsza oferta nie jest nieuczciwa — po prostu nie opisuje tej samej pracy. Normalizuj pozycje, dolicz godziny na poprawki i retest, dopiero potem porównuj sumy. Alternatywą dla projektu o stałej cenie jest program bug bounty, ale ma zmienny koszt wypłat i nie zastępuje dowodu wymaganego przez audytora.

Czerwone flagi: „pentest” za 2 000 zł

Oferty rzędu kilkuset euro to zwykle skan automatyczny pod nową nazwą: brak testów logiki biznesowej, fałszywe trafienia, zero wsparcia w priorytetyzacji. Taki dokument bywa gorszy niż jego brak, bo daje złudzenie pokrycia.

Przykład: budżet pierwszej rundy

Firma usługowa z 60 pracownikami: portal klienta, sklep B2B, 25 adresów IP, Microsoft 365 i sieć z Active Directory. Pierwsza runda w 2026 roku to około 4 000–7 000 EUR za infrastrukturę zewnętrzną, 7 000–11 000 EUR za portal i sklep, 3 000–5 000 EUR za przegląd chmury i 1 500–3 000 EUR za retest — razem 15 500–26 000 EUR.

Podsumowanie

Budżetuj pod efekt, nie pod checkbox: ustal zakres, dopisz retest, sprawdź metodykę i porównuj oferty na poziomie pozycji, nie nagłówka. Skontaktuj się z Cyberlord, jeśli chcesz otrzymać wycenę dopasowaną do liczby aplikacji, ról i terminu audytu — z jasno opisanym zakresem i warunkami retestu.