Szkolenie cyber dla zarządu: Big 4 vs MSSP — kogo wybrać

Dlaczego to porównanie

Po wejściu KSC 2.0 (3 kwietnia 2026 r.) zarządy podmiotów kluczowych i ważnych muszą co rok odbyć udokumentowane szkolenie z cyberbezpieczeństwa (art. 8e). Pierwsze pytanie CFO: „kupić u doradcy strategicznego (Big 4), czy u dostawcy operacyjnego (MSSP)?"

Odpowiedź zależy od trzech zmiennych: celu szkolenia, posiadanego retainera doradczego i tolerancji na ryzyko regulacyjne.

Big 4 — co dostajesz

Deloitte, PwC, EY i KPMG w Polsce oferują szkolenia cyber dla zarządu w jednym z dwóch modeli:

• Standalone workshop — 1–2 dni warsztatów z konsultantami senior. Cena nieoficjalna, w retainerze klienta lub jako oddzielne SOW.
• W ramach Cyber Risk Retainer — szkolenie wpisane w roczny pakiet doradczy (NIS2 strategy, governance, audit support).

Mocne strony:

• Marka i autorytet — decyzja zarządu „idziemy z Big 4" jest łatwa do uzasadnienia przed radą nadzorczą i wspólnikami.
• Sieć międzynarodowa — przydatne dla spółek z grupami zagranicznymi (DORA, NIS2 across EU).
• Pełne wsparcie post‑training — partner doradczy zostaje, można konsultować ad‑hoc.
• Globalne benchmarki — case studies z innych krajów i rynków.

Słabe strony:

• Brak transparentnego cennika — wszystko „indywidualnie".
• Czas trwania (1–2 dni) — dla zajętego zarządu często barierą.
• Brak prawnika w panelu — w PL szkolenia Big 4 prowadzą konsultanci cyber, nie radcowie prawni z kancelarii.
• Brak własnego operacyjnego SOC — case studies są historyczne lub z innych klientów na podstawie post‑mortem, nie z bieżącej operacji.
• Premium overhead — płacisz markę i strukturę, nie tylko sam content.

MSSP — co dostajesz

Polskie MSSP (Managed Security Service Provider) — np. SecIQ, Sekurak, Trecom — mają w 2026 r. własne programy szkoleń dla zarządu, często bardziej praktyczne i tańsze.

Mocne strony:

• Transparentne ceny (przynajmniej u części) — Trecom 7 900–9 200 PLN online, SecIQ 12 000 / 19 500 / 2 500 PLN, EITT od 3 000/os.
• Case'y z własnego SOC — analityk z dziennego operations pokazuje incydenty, które obsłużył w tym samym tygodniu.
• Prawnik w panelu (część dostawców) — SecIQ ma prawnika prowadzącego godzinę o art. 8e i odpowiedzialności osobistej.
• Krótszy format — 2,5–3h dopasowane do kalendarza zarządu.
• Pakiet dowodowy art. 8e w cenie — certyfikat, raport agendy, oświadczenie, biblioteka e‑learning.

Słabe strony:

• Mniejsza marka — w niektórych organizacjach przejście „MSSP zamiast Big 4" wymaga uzasadnienia przed radą nadzorczą.
• Mniej globalnych benchmarków — case'y głównie z rynku PL.
• Brak retainera strategicznego — szkolenie to szkolenie, doradztwo to doradztwo (osobne usługi).

Tabela porównawcza

Trzy scenariusze decyzyjne

Scenariusz A — „Spółka średnia, bez retainera Big 4"

Spółka 100–500 osób, podmiot ważny w sektorze regulowanym (np. usługi cyfrowe, transport, B2B SaaS). Bez bieżącego retainera doradczego.

Rekomendacja: MSSP z transparentnym cennikiem (SecIQ, Trecom). Cena 12 000–19 500 PLN za sesję dedykowaną, pełny pakiet art. 8e w cenie, brak overheadu konsultingowego. Roczny budżet 25 000–40 000 PLN (szkolenie + biblioteka + ewentualne konsultacje vCISO).

Scenariusz B — „Duża spółka z aktywnym retainerem Big 4"

Spółka 500+ osób, podmiot kluczowy, aktywny retainer doradczy z jednym z Big 4 (np. NIS2 strategy + governance + audit support).

Rekomendacja: hybryda. Big 4 jako strategic partner na rok (governance, regulatory liaison, board reporting), MSSP jako dostawca rocznego szkolenia z art. 8e i operacyjnych case'ów. Powód: Big 4 nie ma własnego SOC, więc operacyjne case'y i tak musi czerpać z partnerów. Lepiej kupić te case'y bezpośrednio.

Scenariusz C — „Spółka publiczna lub regulowana, pod ścisłą kontrolą organu"

Spółka, w której każda decyzja zarządu wymaga uzasadnienia przed radą nadzorczą, akcjonariuszami lub regulatorem (np. spółki Skarbu Państwa, instytucje finansowe pod DORA).

Rekomendacja: Big 4 — głównie ze względu na markę, formalność dokumentacji i łatwość uzasadnienia decyzji. Dodatkowo MSSP jako uzupełnienie operacyjnych case'ów, jeśli budżet pozwala.

Co warto zapytać dowolnego dostawcy

Przed wyborem, niezależnie od Big 4 czy MSSP, sprawdź:

1. Kto konkretnie poprowadzi sesję — imię, CV, doświadczenie. Nie „certyfikowany trener".
2. Czy mogę porozmawiać z poprzednim klientem — referencja telefoniczna, nie tylko logo na slajdzie.
3. Co dostaję w pakiecie dowodowym — szczegółowa lista dokumentów po szkoleniu.
4. Co po szkoleniu — jakie są opcje follow‑up — i czy są w cenie, czy doliczane.
5. Jak Wasze szkolenie wpisuje się w art. 8d — które z 7 obszarów ustawy zostają omówione.

Jak SecIQ pozycjonuje się w tej rozgrywce

Nie konkurujemy z Big 4 na markę — konkurujemy na transparentność i dostęp do operacyjnego SOC. Naszym typowym klientem jest spółka 100–500 osób, która chce spełnić art. 8e dobrze, raz w roku, za znaną cenę, bez wciągania się w roczny retainer doradczy.

Trzech prowadzących w jednej sesji (prawnik + vCISO + analityk z SOC), publiczny cennik, pakiet dowodowy art. 8e w cenie. Zobacz program i ceny →

Źródła

• Deloitte Polska — Cyber Risk
• PwC Academy — oferta szkoleniowa
• EY Academy of Business — cyberbezpieczeństwo
• Trecom — NIS2 szkolenia dla zarządu
• SecIQ — strategia szkoleń + cennik
• SecIQ — Ile kosztuje szkolenie cybersecurity dla zarządu w 2026