Bezpłatna konsultacjaKonsultacja
Bezpieczeństwo dla SaaS

Twój SaaS ma przejść audyt klienta bankowego, due diligence inwestora i ustawę o KSC. Certyfikat ISO 27001 to dopiero początek.

Wymagania trafiają do SaaS-a z czterech stron naraz: klienci enterprise, klienci bankowi przenoszący DORA umowami, ustawa o KSC po NIS2 i inwestor w data roomie. Zamykamy je w jednej ścieżce, w stałych cenach, z próbką każdego produktu do obejrzenia przed zakupem.

  • Kwestionariusz od klienta enterprise wraca w 4 dni robocze, z listą pozycji do Twojej decyzji
  • Umowa z bankiem podpisana bez warunku "security", bo klauzule i plan wyjścia są gotowe
  • Obowiązki ustawowe i kontraktowe w jednym kalendarzu z właścicielem, zanim wyznaczy je termin
  • Certyfikat ISO 27001 w 6 do 9 miesięcy, z dowodami z zamkniętego cyklu, których wymaga jednostka certyfikująca
  • Zarząd i inwestor dostają raport, który mówi, co się zmieniło, a nie ile powstało dokumentów
Zobacz próbkę kompletu odpowiedzi (PDF) Opisz potrzebę
Czego ISO 27001 nie zamyka

Cztery wymagania, które trafiają do SaaS-a i nie znikają po certyfikacie

Certyfikat jest fundamentem i skraca kwestionariusze. Ale każde z poniższych wymagań ma własny termin, własnego pytającego i własną konsekwencję. Firmy z certyfikatem są nimi zaskakiwane tak samo jak firmy bez.

Klient bankowy lub ubezpieczyciel

DORA przenoszona na Ciebie umową

Czego wymaga
Klauzul wg art. 30 DORA: zgłaszanie incydentów w ich terminach, prawo audytu, plan wyjścia z usługi, informowanie o podwykonawcach. Wpisu do ich rejestru informacji o umowach ICT.
Kiedy
Przy podpisaniu i przy każdym odnowieniu umowy; audyt dokumentacyjny zwykle raz w roku.
Gdy brak
Umowa czeka na klauzule, audyt klienta kończy się ustaleniami, a plan wyjścia staje się warunkiem przedłużenia.

Zamyka to: wzorzec klauzul i ocena dostawców w poziomie Manager; strategia wyjścia i reprezentacja w audycie klienta w poziomie vCISO.

Ustawa o KSC po nowelizacji NIS2

Usługa chmurowa staje się podmiotem ważnym

Czego wymaga
Wpisu do wykazu, wyznaczenia osób do kontaktów, systemu zarządzania bezpieczeństwem wg rozdziału 3 i zgłaszania incydentów poważnych przez S46, z wczesnym ostrzeżeniem w 24 godziny.
Kiedy
Od progu średniego przedsiębiorcy (50 osób albo obrót i bilans powyżej 10 mln EUR). Wpis w 6 miesięcy od spełnienia przesłanek, obowiązki w 12.
Gdy brak
Kary administracyjne z ustawy o KSC i pytania od klientów, którzy sami są podmiotami kluczowymi lub ważnymi.

Zamyka to: bezpłatny test NIS2/UoKSC pokazuje punkt wyjścia, status potwierdza prawnik; poziom Manager wdraża obowiązki i osoby do kontaktów.

Klient z USA lub globalny enterprise

SOC 2 zamiast certyfikatu ISO

Czego wymaga
Raportu SOC 2 Type I lub Type II od audytora CPA, zwykle w zakresie Security, Availability, Confidentiality.
Kiedy
Warunek w ofercie lub w umowie; Type II wymaga okresu obserwacji, zwykle od 3 do 12 miesięcy.
Gdy brak
Oferta z USA czeka albo przechodzi do konkurenta z raportem.

Zamyka to: znaczna część kontroli wspólna z ISO 27001; mapowanie i przygotowanie na gotowym SZBI, audytor CPA po Twoim wyborze. Ścieżka w demo mapy drogowej poniżej.

Inwestor, fundusz, kupujący

Data room bezpieczeństwa w due diligence

Czego wymaga
Polityk, rejestru ryzyka z akceptacją Zarządu, wyników testów, listy dostawców i podprocesorów, historii incydentów, ekspozycji regulacyjnej.
Kiedy
W oknie 10 do 15 dni roboczych procesu, bez możliwości "dosłania później".
Gdy brak
Warunek w term sheecie, niższa wycena albo escrow na "naprawę bezpieczeństwa".

Zamyka to: pakiet data room utrzymywany na bieżąco i stanowisko na security review w poziomie vCISO; health-check jako obiektywny dowód stanu.

Dlaczego to ważne dla decyzji. Kupując "wdrożenie ISO 27001" dostajesz certyfikat. Kupując poziom zewnętrznego działu bezpieczeństwa dostajesz system, który odpowiada wszystkim czterem pytającym z tego samego rejestru ryzyka, tej samej dokumentacji i tego samego kalendarza. Certyfikat jest w tym po drodze.

ISO 27001 dla SaaS

Droga do certyfikatu w liczbach: etapy, czas, koszt całości

Nie sprzedajemy "wdrożenia" jako czarnej skrzynki. Certyfikat to poziom Manager z rolą Pełnomocnika w wymiarze 7 dni przez 6 do 9 miesięcy, poprzedzony health-checkiem, zakończony audytem wewnętrznym i utrzymany przez Specjalistę. Każdy etap ma cenę, którą znasz przed startem.

Tydzień 1 do 2

Health-check dokumentacji SZBI

17 obszarów, karty ustaleń, plan etapów z datami. Mówi, czy jesteś 3 czy 9 miesięcy od zgłoszenia.

3 400 złzaliczane na abonament
Miesiąc 1 do 6

Wdrożenie i zapisy: Manager 7 dni w miesiącu

Pełnomocnik ds. SZBI, rejestr ryzyka z akceptacją Zarządu, Deklaracja Stosowania, dostawcy, incydenty, szkolenia, zapisy z pełnego cyklu. Wymagania bezpieczeństwa w backlogu, nie obok produktu.

15 400 zł/mc92 400 zł za 6 mies.
Miesiąc 6 do 7

Audyt wewnętrzny i przegląd zarządzania

Audytor inny niż Pełnomocnik (wymóg bezstronności), rejestr niezgodności, działania korygujące, protokół przeglądu. Warunek formalny zgłoszenia.

w ceniepoziomu Manager
Miesiąc 7 do 9

Audyt certyfikujący, etap 1 i 2

Akredytowana jednostka po Twoim wyborze; pomagamy przy zapytaniu i wyborze. Obsługa audytora, odpowiedzi na ustalenia, certyfikat na 3 lata z audytami nadzoru.

15 do 25 tys. złkoszt jednostki, orientacyjnie
Po certyfikacie

Utrzymanie: Specjalista 3 lub 6 dni

Zapisy, przeglądy, kwestionariusze, szkolenia; audyt nadzoru bez zrywu przedaudytowego.

od 4 800 zł/mc3 dni w miesiącu

Koszt całości do certyfikatu

15 400 zł/mcManager 7 dni w miesiącu przez 6 do 9 miesięcy do zgłoszenia; health-check zaliczany; jednostka certyfikująca osobno. Netto. Koszt całości dla Twojego wymiaru i liczby miesięcy policzysz w kalkulatorze.
  • Wymiar 4 dni (8 800 zł/mc), gdy masz kogoś do pracy operacyjnej; wydłuża drogę, bo zapisy i przeglądy są po Twojej stronie
  • Po certyfikacie zejście do Specjalisty 3 dni: 4 800 zł/mc
  • Co dostaje sprzedaż: kwestionariusze krótsze lub pomijane u części klientów enterprise, odpowiedź "certyfikat plus SoA" zamiast 150 pytań
  • Czego certyfikat nie zamyka: KSC, klauzul DORA od banków, SOC 2, data roomu; te są w tym samym systemie, sekcja wyżej
Policz koszt całości w kalkulatorze wymiaru Sprawdź w 5 minut, jak daleko jesteś od ISO 27001 Zobacz próbkę raportu health-check (PDF)

Skąd 6 do 9 miesięcy, skoro dokumenty można napisać w miesiąc. Jednostka certyfikująca ocenia działanie systemu na podstawie zapisów z zamkniętego cyklu: przeglądy uprawnień z protokołem, szkolenie z listą, przegląd zarządzania, audyt wewnętrzny. Termin certyfikacji wyznacza kalendarz zbierania dowodów, nie tempo pisania polityk. Firmy, które to pomijają, płacą za audyt i dostają niezgodności duże na etapie 1.

Ścieżka SaaS-a

Od pierwszego kwestionariusza do certyfikatu i dalej, w stałych cenach

Nie musisz kupować całości. Każdy krok jest produktem z ceną, czasem i próbką; następny kupujesz, gdy pojawi się jego powód: kolejny klient, audyt, próg ustawowy albo runda.

Tydzień 1

Kwestionariusz od klienta

Komplet odpowiedzi w formacie klienta, lista decyzji, biblioteka na kolejne.

3 900 zł 4 dni robocze
Kup w sklepie
Tydzień 2 do 3

Health-check dokumentacji

Czy to, co masz, przejdzie audyt: 17 obszarów, karty ustaleń, plan do certyfikacji.

3 400 zł 10 dni roboczych
Kup w sklepie
Miesiąc 1 do 9

Manager do certyfikacji

Pełnomocnik, ryzyko z akceptacją Zarządu, SoA, dostawcy, audyt wewnętrzny, klauzule dla klientów bankowych.

od 8 800 zł/mc 4, 7 lub 10 dni
Policz wymiar
Po certyfikacie

Specjalista w utrzymaniu

Zapisy, przeglądy, kwestionariusze, szkolenia. System ma dowód działania na audyt nadzoru.

od 4 800 zł/mc 3, 6 lub 10 dni
Opis roli (PDF)
Runda, banki, USA

vCISO

Strategia i budżet, data room, DORA przez umowy, SOC 2, UoKSC, raport miesięczny z KRI.

od 15 000 zł/mc 5, 8 lub 10 dni
Opis roli (PDF)

Ile kosztuje Cię tydzień czekania na "security"

Klient enterprise nie mówi "nie". Mówi "wrócimy po kwestionariuszu" i deal stoi. Policz, ile wart jest każdy tydzień, w którym odpowiedź leży u sprzedaży.

27 700 złprzychodu przesuniętego w czasie przez opóźnienie deala
Koszt jednego tygodnia zwłoki4 600 zł
Odpowiedź na kwestionariusz w 4 dni robocze3 900 zł
Specjalista 3 dni w miesiącu, kolejne kwestionariusze w cenie4 800 zł/mc

Uproszczenie: wartość roczna podzielona przez 52 tygodnie razy tygodnie opóźnienia. Nie liczy ryzyka utraty deala ani kosztu czasu zespołu sprzedaży, które zwykle są większe.

Zobacz produkt przed zakupem

Próbki na dwóch fikcyjnych SaaS-ach, ta sama metodyka co u klientów

Demo SaaS (45 osób, przed certyfikacją) dla starterów i poziomów 1 i 2. Demo Platform (140 osób, klienci bankowi objęci DORA, oferty z USA, runda B) dla vCISO. Dokumenty są ze sobą spójne: te same ryzyka, terminy i decyzje przechodzą z diagnozy do mapy i do raportu.

Starter, 4 dni

Komplet odpowiedzi na kwestionariusz

128 pytań w formacie portalu klienta, 9 pozycji do decyzji (prawo audytu, polisa, incydenty), biblioteka odpowiedzi, rekomendacje przed kolejnym kwestionariuszem.

Otwórz PDF
Starter, 10 dni

Raport health-check dokumentacji SZBI

17 obszarów, 14 ustaleń z priorytetem, właścicielem i terminem, Executive Summary z decyzjami Zarządu i plan etapów do certyfikacji.

Otwórz PDF
Starter, 2 godziny

Notatka po konsultacji strategicznej

ISO 27001 czy SOC 2, w jakiej kolejności i za ile: rekomendacja na piśmie, ścieżka z etapami, kwoty i następne kroki. 790 zł, zaliczane na poczet projektu.

Otwórz PDF
vCISO, miesiąc 1

Diagnoza startowa SaaS-a z klientami bankowymi

Dojrzałość 2,1 na 4 mimo certyfikatu ISO: podmiot ważny UoKSC bez wpisu do wykazu, klauzule DORA z banków nierealizowane, oferty z USA bez SOC 2. Priorytety na 90 dni.

Otwórz PDF
vCISO, co miesiąc

Raport miesięczny dla Zarządu

Zaczyna się od efektów: wniosek KSC złożony przed terminem, audyt klienta bankowego bez ustaleń krytycznych, umowa za 1,4 mln przedłużona. Dalej ryzyka, decyzje, KRI, dni.

Otwórz PDF
vCISO, 12 miesięcy

Mapa drogowa z Ganttem

37 inicjatyw w 5 filarach: KSC i klienci DORA, ISO i SOC 2, technologia, ludzie i inwestorzy. Budżet 256 tys. zł powiązany z ryzykami, dashboard na pierwszej stronie.

Otwórz PDF

Do tego: raport po szkoleniu security awareness z zaświadczeniem i wynikami testu (PDF), bezpłatny test gotowości NIS2/UoKSC i opisy trzech poziomów roli z przykładowym miesiącem (na stronie działu bezpieczeństwa).

Typowe sytuacje

Z czym przychodzą SaaS-y i od czego zaczynają

Seed lub seria A: pierwszy klient enterprise przysłał 150 pytań

Sprzedaż odpowiada na kolanie, CTO nie ma czasu, odpowiedzi z dwóch kwestionariuszy się różnią i klient to zauważył.

Start: kwestionariusz w stałej cenie, potem Specjalista 3 dniZobacz próbkę kompletu

Bank w portfelu: aneks z klauzulami DORA i prawo audytu

Dział prawny banku przysłał klauzule, których nikt u Ciebie nie rozumie, a za trzy miesiące audyt dokumentacyjny.

Start: health-check, potem Manager 7 dniZobacz próbkę raportu

Przekroczyliście 50 osób i ktoś wspomniał o ustawie o KSC

Nikt nie wie, czy podlegacie, od kiedy i co trzeba złożyć. Termin wpisu może już biec.

Start: bezpłatny test NIS2/UoKSC i konsultacja strategiczna 790 zł, potem Manager z rolą PełnomocnikaZrób test gotowości

Runda B albo oferta z USA warunkowana SOC 2

Fundusz chce data room w 10 dni, klient z USA pyta o Type II, a bezpieczeństwo nie ma właściciela na poziomie Zarządu ani budżetu.

Start: konsultacja strategiczna 790 zł, potem vCISO 8 lub 10 dniZobacz demo raportu miesięcznego
Dlaczego PushSec

Znamy obie strony stołu: audytora i dostawcę

Audytor wiodący ISO 27001 z praktyką wdrożeń DORA w instytucji płatniczej i audytów ISO w firmach technologicznych. Wiemy, o co pyta bank, czego szuka jednostka certyfikująca i co czyta inwestor.

ISO 27001 Lead Auditor (BSI, IRCA)

Certyfikat audytora wiodącego, nie kurs weekendowy. Dokumentacja jest pisana pod to, czego szuka audytor na etapie 1 i 2.

DORA z praktyki instytucji płatniczej

Wdrożenie DORA po stronie podmiotu nadzorowanego, czyli po stronie, która pisze klauzule, które trafiają potem do Ciebie jako dostawcy.

Stałe ceny i próbki zamiast wyceny

Każdy starter ma cenę, czas i publiczną próbkę. Poziomy roli mają stałą dniówkę i wymiar do wyboru. Nie negocjujesz ceny, wybierasz zakres.

Bez zatrzymywania developmentu

Wymagania bezpieczeństwa idą do backlogu, sekrety i zależności do pipeline'u, dowody z narzędzi, które już masz. Nie budujemy biurokracji obok produktu.

Konsultant przypisany, nadzór Lead Auditora

Jedna osoba prowadzi Twoją organizację przez cały okres umowy; nad każdym produktem czuwa Lead Auditor, więc zastępstwo nie oznacza utraty kontekstu.

System, nie certyfikat

Jeden rejestr ryzyka, jedna dokumentacja i jeden kalendarz odpowiadają klientowi bankowemu, ustawie o KSC, audytorowi SOC 2 i inwestorowi. Certyfikat jest po drodze.

"Firma jest rzetelnym partnerem merytorycznym i biznesowym, realizuje usługi z należytą starannością. Powierzone zadania są wykonywane w pełni profesjonalnie i z dbałością o jakość."

DS StreamFirma technologiczna, audyt i doradztwo ISO 27001Tak wygląda raport z przeglądu dokumentacji

"PushSec łączy podejście praktyczne z uwzględnieniem wymagań regulacyjnych. Dzięki współpracy poprawiliśmy poziom organizacji w obszarze bezpieczeństwa informacji, zgodności oraz odporności operacyjnej."

FincardInstytucja płatnicza, wdrożenie DORA, model vCISOTak wygląda raport miesięczny w tym modelu

"Rafał Dobrosielski wykazał się rzetelnością, kompetencją, dbałością o klienta oraz szeroką znajomością tematyki bezpieczeństwa IT. Wykłady zostały bardzo dobrze ocenione przez uczestników."

NetCreditFirma finansowa, szkolenia z cyberbezpieczeństwaTak wygląda raport po szkoleniu
FAQ dla SaaS

Pytania, które padają przed decyzją

ISO 27001 czy SOC 2, w jakiej kolejności?
Jeśli większość przychodu jest z UE, najpierw ISO 27001: rozpoznaje go każdy klient europejski, zamyka wymagania klientów bankowych i jest fundamentem pod obowiązki UoKSC. SOC 2 dokładasz, gdy podpisujesz klienta z USA: znaczna część kontroli jest wspólna, więc Type I na gotowym SZBI zajmuje typowo 3 do 4 miesiące. Konsultacja strategiczna za 790 zł kończy się pisemną rekomendacją dla Twojego przypadku; próbka notatki.
Ile trwa i ile kosztuje droga do certyfikatu ISO 27001 w SaaS?
Z dokumentacją z szablonów i działającym IT: typowo 6 do 9 miesięcy do zgłoszenia, bo jednostka certyfikująca chce zapisów z zamkniętego cyklu, nie samych polityk. Od zera: 9 do 12 miesięcy. Koszt: Manager 7 dni w miesiącu, czyli 15 400 zł/mc, plus jednostka certyfikująca, przy firmie do 50 osób orientacyjnie od 10 do 20 tys. zł; koszt całości dla Twojego wymiaru i liczby miesięcy jest w kalkulatorze. Health-check po 10 dniach mówi, gdzie jesteś, i daje plan z datami. Nakład zależy od liczby systemów, lokalizacji i osób, a potwierdzamy go po audycie zerowym. Sekcja "ISO 27001 w liczbach" wyżej.
Mamy certyfikat. Czy podlegamy pod ustawę o KSC?
Certyfikat nie ma na to wpływu. Liczy się wielkość (od progu średniego przedsiębiorcy) i rodzaj usługi: SaaS mieści się w pojęciu usługi przetwarzania w chmurze, więc przy spełnieniu progu stajesz się podmiotem ważnym z obowiązkiem wpisu w 6 miesięcy. Orientacyjnie sprawdzisz to w bezpłatnym teście NIS2/UoKSC, a status podmiotu potwierdza prawnik.
Klient bankowy przysłał klauzule DORA. Czy musimy je podpisać?
Bank musi je mieć w umowie z dostawcą ICT (art. 30 DORA), więc negocjujesz treść, nie ich obecność. Kluczowe pozycje: terminy zgłaszania incydentów, prawo audytu (dokumentacyjny vs on-site, na czyj koszt), plan wyjścia, podwykonawcy. W poziomie Manager przygotowujemy stanowisko do każdej klauzuli i wzorzec dla kolejnych klientów.
Ile to kosztuje i czy ceny są ostateczne?
Startery: 790 do 3 900 zł, stała cena, w sklepie. Poziomy roli: stała dniówka (1 600, 2 200, 3 000 zł) razy wymiar dni; od 4 800 zł za 3 dni w miesiącu. Kalkulator wymiaru jest na stronie działu bezpieczeństwa. Ceny netto, doliczamy 23% VAT.
Czy zewnętrzna osoba może być naszym Pełnomocnikiem ds. SZBI?
Tak. Norma wymaga przypisania odpowiedzialności i uprawnień, nie etatu. Warunkiem jest formalne umocowanie przez Zarząd, którego projekt dostarczamy w pierwszym miesiącu. Audyt wewnętrzny robi wtedy inny audytor, bo Pełnomocnik nie może audytować własnej pracy.
Co zostaje u nas, jeśli zakończymy?
Wszystko: plan działania, rejestry, polityki, biblioteka odpowiedzi, protokoły. Dokumentacja leży w Twoim repozytorium od pierwszego dnia. Umowa od 3 miesięcy, potem miesięczne wypowiedzenie z sesją przekazania.
Czy odpowiadacie za wynik audytu?
Odpowiadamy za jakość pracy, przygotowanie i dokumentację decyzji. Decyzja o certyfikacie należy do jednostki certyfikującej, a ocena do klienta lub organu; nie gwarantujemy ich wyniku i nie przyjmujemy kar umownych. Każda niezgodność dostaje plan działań w 14 dni. Pracę zabezpiecza OC zawodowe 1,5 mln zł.
Następny krok

Zacznij od tego, co blokuje Cię dziś

Każdy z trzech kroków jest opisany i wyceniony z góry. Żaden nie zobowiązuje do kolejnego.

Kwestionariusz od klienta, 3 900 zł

Komplet odpowiedzi w 4 dni robocze, lista decyzji, biblioteka na kolejne. Zakup w sklepie z fakturą.

Kup w sklepie

Oferta w dwóch wariantach

Opisz, co blokuje Cię dziś. Po krótkim rozpoznaniu dostajesz propozycję wejściową i docelową z cenami per obszar.

Opisz potrzebę

Sprawdź sam w 5 minut

Bezpłatne testy gotowości online: ISO 27001, NIS2/UoKSC, SOC 2 i inne. Wynik i raport PDF od razu, bez podawania e-maila.

Wybierz test

Odpowiadamy w ciągu 1 dnia roboczego.

info@pushsec.pl · (+48) 780 519 553 · Poziomy roli i kalkulator wymiaru