Dlaczego certyfikaty decydują o przetargu
Pracuję po stronie technicznej cyberbezpieczeństwa i przez lata patrzyłem na to jak inżynier: liczy się, czy potrafisz zabezpieczyć system, a nie jakie masz literki po nazwisku. W zamówieniach publicznych jest odwrotnie. Najpierw urzędnik sprawdza literki. Jak ich nie masz, oferta leci do kosza, zanim ktokolwiek spojrzy na to, co umiesz.
Od wejścia dyrektywy NIS2 i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC) obowiązki bezpieczeństwa dotyczą tysięcy nowych podmiotów: urzędów, szpitali, spółek komunalnych, wodociągów. Każdy z nich musi robić audyty i kupować usługi bezpieczeństwa. Urzędnik ogłaszający przetarg nie oceni sam, czy twój inżynier jest dobry. Ma za to metodę prostszą: żąda certyfikatu, który ktoś już zweryfikował za niego.
Dla małej firmy IT certyfikat to nie linijka w CV, tylko warunek udziału w postępowaniu. Nie masz osoby z wymaganym certyfikatem, nie spełniasz warunku, a wtedy cena, referencje i najlepsze chęci nie liczą się wcale. Dlatego warto wiedzieć, które certyfikaty się liczą, co potwierdzają i gdzie się je zdobywa.
Skąd się biorą wymagania
Wymagania certyfikatowe w SWZ opierają się na trzech aktach prawnych. Warto je znać, bo wtedy wiesz, czego zamawiający może od ciebie żądać, a czego nie.
Po pierwsze, ustawa o KSC. Jej art. 15 nakłada na podmioty kluczowe obowiązek okresowego audytu bezpieczeństwa systemu informacyjnego. Taki audyt może przeprowadzić tylko osoba z certyfikatem z zamkniętego wykazu, który określa rozporządzenie Ministra Cyfryzacji z 12 października 2018 r. w sprawie wykazu certyfikatów uprawniających do przeprowadzenia audytu (Dz. U. 2018 poz. 1999). Ten dokument zamawiający kopiuje do SWZ niemal słowo w słowo. Widzisz w przetargu listę kilkunastu skrótów, od CISA przez CISSP po ISO 27001? To prawie zawsze przepisany załącznik do tego rozporządzenia.
Po drugie, Krajowe Ramy Interoperacyjności (KRI). Rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie KRI (Dz. U. 2024 poz. 773) nakłada obowiązek okresowego audytu bezpieczeństwa informacji na znacznie szerszą grupę podmiotów, od gmin po ministerstwa. (Uwaga: przepisy o KRI były w 2025 r. przebudowywane razem z nowelizacją ustawy o informatyzacji, więc przy konkretnym postępowaniu sprawdź aktualny stan prawny.) Rozporządzenie nie wymienia certyfikatów z nazwy, ale praktyka przetargowa je ujednoliciła: do audytu KRI zamawiający żądają tych samych certyfikatów co do audytu KSC, najczęściej ISO 27001 Lead Auditor, CISA albo CISSP.
Po trzecie, Prawo zamówień publicznych (PZP). To w nim siedzą mechanizmy, które zamieniają powyższe obowiązki w konkretne wymogi wobec ciebie: warunki udziału (kompetencje możesz wykazać też zasobami innego podmiotu, art. 118 PZP), podmiotowe środki dowodowe (czym udowadniasz, że masz certyfikowany personel) oraz przesłanki odrzucenia oferty z art. 226 PZP, w tym nowe, cyberbezpieczeństwowe (oferta oparta o sprzęt lub oprogramowanie dostawcy uznanego za dostawcę wysokiego ryzyka).
Łatwo o tym zapomnieć: rozporządzenie i większość SWZ wymagają certyfikatu wydanego przez akredytowaną jednostkę oceniającą zgodność (akredytacja np. PCA w Polsce albo UKAS w Wielkiej Brytanii) na podstawie normy PN-EN ISO/IEC 17024. Listę jednostek akredytowanych w Polsce w zakresie certyfikacji osób sprawdzisz w rejestrze Polskiego Centrum Akredytacji. Certyfikat personelu to nie to samo co dyplom ze szkolenia. Zanim zapłacisz za kurs „przygotowujący", sprawdź, czy na końcu dostaniesz certyfikat, który SWZ uzna.
Certyfikaty audytorskie i zarządcze
Te certyfikaty wymienia wprost rozporządzenie. To twoja „wejściówka" do przetargów na audyty zgodności (KSC, KRI, dokumentacja SZBI) oraz do ról kierowniczych i compliance. Pogrupowałem je według organizacji, która je wydaje.
ISACA — audyt, ryzyko i ład IT
ISACA to jedno z najstarszych stowarzyszeń audytorów i specjalistów ładu IT. Jej certyfikaty wymagają nie tylko zdania egzaminu, ale też udokumentowania kilkuletniego doświadczenia i utrzymywania statusu przez ustawiczne kształcenie (CPE). Pełny katalog: isaca.org/credentialing.
| Certyfikat | Co potwierdza | Gdzie się pojawia w przetargach |
|---|---|---|
| CISA — Certified Information Systems Auditor | Audytowanie i kontrola systemów informatycznych (5 domen, wymóg ok. 5 lat doświadczenia). Najbardziej rozpoznawalny certyfikat audytorski na świecie. | Niemal każdy przetarg na audyt KSC/KRI. Często to osoba pełniąca rolę „audytora wiodącego". |
| CISM — Certified Information Security Manager | Strategiczne zarządzanie bezpieczeństwem informacji z perspektywy biznesu (poziom CISO). | Usługi doradcze (wdrożenie SZBI, outsourcing CISO) oraz rola „SOC Managera". |
| CRISC — Certified in Risk and Information Systems Control | Identyfikacja i ocena ryzyka IT w skali przedsiębiorstwa oraz projektowanie zabezpieczeń. | Przetargi na analizę ryzyka i modernizację infrastruktury krytycznej. |
| CGEIT — Certified in the Governance of Enterprise IT | Ład korporacyjny IT — strategia, optymalizacja zasobów, dostarczanie wartości. | Duże projekty doradcze przy transformacji cyfrowej dużych urzędów. |
ISC2 — bezpieczeństwo informacji i chmura
ISC2 to globalna organizacja non-profit ceniona za rygorystyczną weryfikację doświadczenia (tzw. endorsement) i kodeks etyczny. Pełny katalog: isc2.org/certifications.
| Certyfikat | Co potwierdza | Gdzie się pojawia w przetargach |
|---|---|---|
| CISSP — Certified Information Systems Security Professional | „Złoty standard" bezpieczeństwa (8 domen, wymóg ok. 5 lat doświadczenia). | Standard w SWZ — zarówno dla kadry audytorskiej, jak i głównego architekta bezpieczeństwa. |
| SSCP — Systems Security Certified Practitioner | Operacyjne, wdrożeniowe kompetencje inżynierskie (konfiguracja, monitoring, reagowanie). | Kadra średniego szczebla — utrzymanie sieci, firewalli (NGFW), endpoint security. |
| CCSP — Certified Cloud Security Professional | Bezpieczeństwo chmury obliczeniowej (architektura, dane, zgodność). Uwaga: nie ma go w rozporządzeniu — to wymóg rynkowy. | Migracje rejestrów do chmury, projekty typu Rządowa Chmura Obliczeniowa. |
Normy ISO — audytorzy wiodący
Certyfikaty audytora wiodącego norm ISO rozporządzenie uznaje pod warunkiem, że wydała je akredytowana jednostka wg ISO/IEC 17024. Egzaminy prowadzi wielu dostawców (m.in. PECB, BSI, TÜV, SGS), dlatego w tabeli podaję przykładowego wydawcę.
| Certyfikat | Co potwierdza | Gdzie się pojawia w przetargach |
|---|---|---|
| ISO/IEC 27001 Lead Auditor (np. PECB, BSI, TÜV) | Pełny cykl audytu systemu zarządzania bezpieczeństwem informacji (SZBI) wg ISO 19011 i ISO/IEC 27001:2022. | Najczęściej wymieniany certyfikat w przetargach samorządowych. Przepustka do audytów KSC i KRI. |
| ISO 22301 Lead Auditor (np. PECB, BSI, TÜV) | Audyt systemu zarządzania ciągłością działania (BCMS) — analiza wpływu na biznes, disaster recovery. | Infrastruktura krytyczna (woda, energetyka, szpitale), usługi SOC z wymogiem BCP. |
Pozostałe certyfikaty z rozporządzenia
Wykaz uzupełniają certyfikaty z bardziej wyspecjalizowanych instytutów.
| Certyfikat | Co potwierdza | Gdzie się pojawia w przetargach |
|---|---|---|
| CIA — Certified Internal Auditor (The IIA) | Audyt wewnętrzny w szerokim ujęciu — ład korporacyjny, ryzyko, wykrywanie nadużyć (nie tylko IT). | Jednostki finansowe (ministerstwa, banki państwowe) — często dla równowagi zespołu audytowego. |
| CRP — Certified Reliability Professional (np. TÜV SÜD) | Inżynieria niezawodności — analiza FMECA, drzewa błędów, metodyka RAMS. | Nisze: systemy sterowania ruchem, obronność, krytyczne systemy produkcyjne. |
| ISA/IEC 62443 — Cybersecurity Expert (ISA) | Bezpieczeństwo automatyki przemysłowej i sterowania (OT, SCADA, sieci ICS). | Energetyka, ciepłownictwo, chemia, gospodarka wodna — audyt sieci przemysłowych. |
Certyfikaty techniczne i ofensywne
Tych certyfikatów rozporządzenie zwykle nie wymienia, bo sprawdzają twarde umiejętności, a nie znajomość dokumentacji. Pojawiają się w SWZ na usługi techniczne: budowę i obsługę centrów bezpieczeństwa (SOC), reagowanie na incydenty (incident response) i testy penetracyjne. Zamawiający, który płaci za realną obronę, chce dowodu, że inżynier potrafi coś więcej niż odhaczyć checklistę.
| Certyfikat | Co potwierdza | Gdzie się pojawia w przetargach |
|---|---|---|
| CEH / CEH Practical — Certified Ethical Hacker (EC-Council) | Etyczny hacking — identyfikacja luk metodami realnych atakujących. Wersja Practical to 6-godzinny egzamin w laboratorium. | Częsty wymóg w wielomilionowych przetargach na całodobowe usługi SOC. |
| CHFI — Computer Hacking Forensic Investigator (EC-Council) | Informatyka śledcza — zabezpieczanie i analiza dowodów po włamaniu. | Usługi reagowania na incydenty i analizy powłamaniowej (forensics). |
| OSCP+ — OffSec Certified Professional (OffSec) | Testy penetracyjne — 24-godzinny, w pełni praktyczny egzamin (m.in. kompromitacja środowiska Active Directory). Uznawany za najtrudniejszy cert techniczny. | Najwyżej punktowany cert techniczny — zespoły Red Team, testy penetracyjne dla obronności i finansów. |
Jeśli startujesz w przetargu na testy penetracyjne i widzisz w SWZ „certyfikat potwierdzający praktyczne umiejętności testowania", to prawie zawsze chodzi o OSCP albo CEH Practical, nie o egzamin teoretyczny.
Polskie certyfikaty NASK OSiC
To najnowszy element układanki. Ustawa z 25 czerwca 2025 r. o krajowym systemie certyfikacji cyberbezpieczeństwa (Dz. U. 2025 poz. 1017) powołała krajowy system certyfikacji, a jego ramieniem operacyjnym jest Ośrodek Standaryzacji i Certyfikacji przy NASK (NASK OSiC). Pełny katalog: certyfikacja.nask.pl. Wydaje je państwowa instytucja, dlatego budują zaufanie na szczeblu decydentów.
| Certyfikat | Co potwierdza | Gdzie się pojawia w przetargach |
|---|---|---|
| Lider Odporności Cyfrowej | Kompetencje zarządcze kadry kierowniczej podmiotów objętych KSC/NIS2 — strategia, komunikacja kryzysowa, kierowanie reakcją na incydent. Program akredytowany przez PCA. | Kryterium pozacenowe w doradztwie przy wdrożeniu NIS2 — coraz częściej w SWZ. |
| Ścieżki specjalistyczne (Architekt, Audytor, Specjalista ds. incydentów) | Kompetencje techniczne oparte o unijne ramy (ENISA ECSF), wg normy ISO/IEC 17024. | Krajowy, akredytowany odpowiednik certyfikatów zagranicznych na role projektowe. |
| Firma Bezpieczna Cyfrowo | Certyfikacja dla MŚP — samoocena dojrzałości + ocena zgodności przez audytorów NASK. Daje znak „Firma Bezpieczna Cyfrowo". | Przewaga w łańcuchu dostaw — ułatwia korzystanie z domniemania spełnienia wymogów bezpieczeństwa. |
| Common Criteria / EUCC | Ocena bezpieczeństwa produktów (sprzęt, oprogramowanie) wg ISO/IEC 15408, na poziomach EAL. | Przetargi sprzętowe — SWZ potrafi wprost wymagać produktu z ważnym certyfikatem (np. EAL3/EAL4+). |
Jedna różnica jest tu ważna: Common Criteria certyfikuje produkt, nie człowieka. Jeśli twoja oferta opiera się o sprzęt sieciowy bez ważnego certyfikatu CC, podlega odrzuceniu i nie uratuje jej nawet najlepszy zespół.
Jak to wygląda w SWZ
Zobaczmy, jak te certyfikaty układają się w realnym przetargu. Przy prostym audycie dla małej gminy wystarczy jedna osoba z ISO 27001 Lead Auditor. Przy większych usługach, jak utrzymanie SOC dla podmiotu szczebla ministerialnego, zamawiający wymaga całego zespołu, zwykle 5-10 dedykowanych specjalistów. Typowy podział ról wygląda tak:
- Zarządzanie: SOC Manager z CISSP albo CISM.
- Compliance: co najmniej dwie osoby z ISO 27001 Lead Auditor i CISA.
- Linia operacyjna i ofensywna: analitycy i specjaliści incident response z certyfikatami praktycznymi (CEH, OSCP).
To rozdrobnienie jest celowe. Zamawiający nie chce dostać ani zespołu samych menedżerów, który polegnie przy ataku ransomware, ani grupy świetnych hakerów, którzy nie udokumentują incydentu zgodnie z wymogami KSC.
Spełnienie warunków to dopiero bilet wstępu. O wygranej decyduje kryterium oceny ofert. Cena w przetargach cyberbezpieczeństwa to dziś zwykle ok. 60% punktów (w projektach złożonych potrafi spaść do 40%), resztę zamawiający przyznaje za doświadczenie i kwalifikacje zespołu. Audytor z samym CISA spełnia minimum i dostaje 0 punktów premiowych. Dorzuć do zespołu eksperta z rzadszą kombinacją certyfikatów, a zbierzesz tyle punktów, że nadrobisz wyższą cenę i wyprzedzisz tańszą konkurencję bez takiej kadry.
I najważniejsze dla małej firmy: nie musisz mieć wszystkiego u siebie. Art. 118 PZP pozwala oprzeć się na zasobach innego podmiotu, w konsorcjum albo jako podmiot udostępniający zasoby, o ile ten podmiot realnie wykona część zamówienia wymagającą danych certyfikatów. Dla wielu mniejszych firm IT to jedyna droga, żeby w ogóle wejść w te przetargi.
Najczęstsze pułapki
- Pułapka 1. Mylisz zaświadczenie ze szkolenia z certyfikatem personelu. SWZ często wymaga certyfikatu wydanego przez akredytowaną jednostkę wg ISO/IEC 17024. Dyplom „ukończenia kursu ISO 27001" to nie to samo co „ISO/IEC 27001 Lead Auditor". Czytaj treść warunku co do słowa.
- Pułapka 2. Bierzesz certyfikat techniczny, gdy SWZ chce audytorskiego (i odwrotnie). OSCP nie zastąpi ISO 27001 Lead Auditor w audycie KRI, a CISA nie przejdzie tam, gdzie wymagany jest praktyczny pentest. To dwie różne kategorie. Sprawdź, której dotyczy postępowanie.
- Pułapka 3. Wpisujesz jedną osobę do kilku wymaganych ról. Część SWZ zakazuje łączenia ról (np. ta sama osoba jako audytor i jako wykonawca zadań SZBI), bo audyt ma być niezależny. Zaplanuj obsadę, zanim złożysz ofertę.
- Pułapka 4. Zapominasz o ważności certyfikatu. Certyfikaty trzeba odnawiać (CPE, ponowne egzaminy, np. OSCP+ co 3 lata). Certyfikat wygasły to brak spełnienia warunku. Sprawdź daty, zanim wykażesz osobę.
- Pułapka 5. Polegasz na zasobach partnera tylko „na papierze". Jeśli wykazujesz certyfikaty podmiotu trzeciego z art. 118 PZP, ten podmiot musi realnie wykonać część zamówienia, do której te kompetencje są potrzebne. Fikcyjne udostępnienie zasobów to prosta droga do odrzucenia oferty.
Przykład z życia
Postępowanie samorządowe na przeprowadzenie audytu bezpieczeństwa informacji zgodnego z KRI dla średniej wielkości urzędu miejskiego, wartość zamówienia ok. 85 000 zł netto. SWZ, zgodnie z praktyką opartą na rozporządzeniu Ministra Cyfryzacji, wymagała wykazania co najmniej jednej osoby z certyfikatem ISO/IEC 27001 Lead Auditor wydanym przez akredytowaną jednostkę oraz jednej osoby z CISA.
Mała firma IT (8 osób) miała świetnego inżyniera z wieloletnim doświadczeniem w bezpieczeństwie, ale bez „papierowego" certyfikatu audytora wiodącego. Miał tylko zaświadczenie o ukończeniu szkolenia ISO 27001. Oferta z najniższą ceną została odrzucona, bo zaświadczenie ze szkolenia nie spełniało warunku certyfikatu personelu wg ISO/IEC 17024.
Na kolejny, podobny przetarg ta sama firma weszła inaczej. Dogadała się z zaprzyjaźnioną kancelarią audytową na zasadzie art. 118 PZP: audytor wiodący z ISO 27001 Lead Auditor i CISA wszedł jako podmiot udostępniający zasoby i poprowadził część audytową, a firma IT zrobiła warstwę techniczną. Oferta spełniła warunki i wygrała, a wypożyczenie kompetencji audytora kosztowało wielokrotnie mniej niż utrata kontraktu. Przy okazji policzyli, że własny certyfikat audytora wiodącego zwróciłby się po dwóch-trzech takich postępowaniach.
Co dalej
Jeśli planujesz wejść w przetargi cyber dla sektora publicznego, rozłóż to na trzy kroki. Najpierw ustal, w jakich postępowaniach chcesz startować: w audytach (priorytet to ISO 27001 Lead Auditor, CISA, CISSP) czy w usługach technicznych (wtedy CEH, OSCP). Potem policz, co bardziej się opłaca: zdobyć certyfikat u siebie czy pozyskać kompetencje partnera z art. 118 PZP. Przy pojedynczym przetargu zwykle wygrywa partner, przy regularnym starcie własny certyfikat. Na końcu obserwuj polski system certyfikacji NASK OSiC: certyfikaty krajowe i znak Firma Bezpieczna Cyfrowo będą w SWZ coraz częstsze, a wcześnie zdobyty znak daje przewagę w łańcuchu dostaw.
Jedna rada na koniec: zanim cokolwiek kupisz, przeczytaj warunek udziału w konkretnym SWZ. Najwięcej kłopotu sprawiają trzy rzeczy: słowo „akredytowany", wymagana liczba osób i zakaz łączenia ról. To one przesądzają, czy oferta przejdzie ocenę, czy odpadnie na starcie.
Wypełniasz przetargi ręcznie? Janusz robi to za Ciebie — analizuje SWZ, wyłapuje warunki udziału i czerwone flagi, wypełnia formularze. Wypróbuj 14 dni za darmo.
Tekst napisał Aleksander Zębrowski. AI używany jako asystent (research, draft, struktura). Final review: redakcja Przetargowego Janusza.