# Firma cyberbezpieczeństwa dla hardware w Polsce — brief ideacyjny

*Stan wiedzy: 24 października 2026. Brief syntetyzuje 16 notatek badawczych (regulacje, zagrożenia, segmenty klientów, konkurencja, technologia, model biznesowy, firmy porównywalne, talent). Liczby mają datę i odnośnik do listy źródeł na końcu (numer w nawiasie kwadratowym). Tam, gdzie notatki podają zakres, brief podaje zakres. Oceny własne oznaczono jako „ocena autora". Pozycje, których nie udało się zweryfikować u źródła, oznaczono „do weryfikacji".*

## 1. Streszczenie dla decydenta

**Teza.** W Polsce działa ok. 1,3 tys. producentów sprzętu z elektroniką (NACE C26–C30, co najmniej 50 osób zatrudnionych; Eurostat 2024 [86]) i kilkaset importerów sprzedających urządzenia pod własną marką, które prawo unijne traktuje jak producentów. Od 11 września 2026 r. wszyscy oni mają obowiązek zgłaszania aktywnie wykorzystywanych podatności w 24 godziny (CRA, art. 14 [4]), a od 11 grudnia 2027 r. bez spełnienia wymagań cyberbezpieczeństwa nie wolno im nakleić znaku CE na nowy produkt [1]. Urządzenia radiowe (Wi‑Fi, BLE, LTE) muszą spełniać wymagania cyber już od 1 sierpnia 2025 r. (RED DA [24]). Nikt w Polsce nie sprzedaje tym firmom usługi „bezpieczeństwo produktu" po polsku, w abonamencie, z automatyzacją i z przekazaniem do jednostki notyfikowanej; jedyna polska firma z zapakowaną usługą CRA (TestArmy CyberForces) robi to projektowo i bez automatyzacji [128], a zagraniczne platformy (ONEKEY, Exein) nie mają w Polsce ani partnera, ani cennika [148][152]. Enclave pokazuje model operacyjny („autonomiczny zespół bezpieczeństwa" z agentów AI plus Threat Feed dopasowany do stosu klienta), ale nie dotyka firmware, sprzętu ani OT i nie ma obecności w UE [76][82].

**Dla kogo.** Przyczółek: polscy, właścicielscy producenci urządzeń „na krawędzi sieci energetycznej" i ogrzewania — inteligentne liczniki, sterowniki stacji (RTU), ładowarki EV, sterowniki kotłów i pomp ciepła z aplikacją w chmurze — ok. 25–40 firm o zatrudnieniu 50–700 osób, rentownych, eksportujących do 20+ krajów, bez żadnego publicznego śladu funkcji „product security" (brak CVE, brak polityki CVD, brak ogłoszeń o pracę). Druga fala: producenci alarmów i smart home (Satel, Zamel, Ropam, Grenton) oraz importerzy własnomarkowi (Impakt, Lechpol, AB).

**Co sprzedawać.** Trzy poziomy jednej usługi: (L1) ciągły monitoring składu oprogramowania urządzenia (SBOM) i podatności, z obsługą zgłoszeń do platformy ENISA w reżimie 24/72 godziny — abonament 1,7–8,5 tys. zł miesięcznie za rodzinę produktów; (L2) ocena bezpieczeństwa produktu wspierana agentami AI, weryfikowana przez człowieka — 25–60 tys. zł za produkt; (L3) laboratorium sprzętowe — później, z partnerem. Opakowanie na start: „gotowość do CRA" w kopercie grantu SECURE (do 30 tys. EUR dotacji, 50 proc. kosztów, nabór do 11 grudnia 2026 [234]).

**Dlaczego teraz.** Trzy silniki: (1) kalendarz regulacyjny z twardymi datami w ciągu 14 miesięcy (CRA, rozporządzenie maszynowe 20 stycznia 2027, KSC/NIS2 3 kwietnia 2027, dyrektywa o odpowiedzialności za produkt 9 grudnia 2026); (2) realne incydenty w Polsce — 29 grudnia 2025 r. sabotaż co najmniej 30 farm wiatrowych i PV oraz dwóch elektrociepłowni z użyciem wyłącznie domyślnych haseł producentów [35], seria włamań do wodociągów i oczyszczalni 2024–2025 [42]; (3) AI po stronie atakujących i badaczy — liczba ujawnianych podatności podwoiła się w 2026 r. (5 045 w styczniu, 10 740 w sierpniu [57]), a PHP2Shell (21 października 2026) znaleziono ogólnodostępnymi modelami w kilka dni [62][63].

**Czego nie wiemy.** Gotowości do zapłaty polskich producentów (brak jakiejkolwiek ankiety); Polska nie wyznaczyła organu nadzoru rynku ani kar za CRA [15]; w całej UE nie ma jeszcze ani jednej jednostki notyfikowanej do CRA [138]; nie wiadomo, czy CyberForces lub Sii mają automatyzację pod maską [128][130]. To są pytania na pierwsze 90 dni, nie powody do odkładania.

**Rekomendacja.** Nie budować „Enclave dla sprzętu" jako platformy od pierwszego dnia. Wejść sekwencją: wariant B (CRA compliance-as-a-service, finansowany grantami klientów, 3 płatne pilotaże) jako przyczółek i źródło danych, przechodzący w wariant A (abonamentowy „autonomiczny zespół product security" z polskim Threat Feedem dla urządzeń) w ciągu 6–9 miesięcy; wariant C (zespół OT jako usługa dla operatorów) tylko jako podwykonawstwo i źródło wymagań od klientów producentów. W języku opcji: opcja jest tania do zabezpieczenia (20 rozmów, 3 pilotaże, jeden partner-laboratorium, jeden wniosek grantowy; koszt uwagi założyciela 1–2 dni w tygodniu przez 12 tygodni), sygnał zbiera się sam (odpowiedzi na cennik w PLN i na wniosek SECURE), wyzwalaczem do dołożenia są 3 podpisane pilotaże i jeden list intencyjny od jednostki notyfikowanej przed 11 grudnia 2026, a zabija ją brak choćby 2 płatnych pilotaży do końca stycznia 2027 lub odkrycie, że CyberForces/Sii już sprzedają to samo w abonamencie.

**Pierwszy krok.** W tym tygodniu: lista 18 firm z sekcji 4, polski cennik na jednej stronie, telefon do ICR Polska (jednostka notyfikowana RED z artykułami cyber od lutego 2025 [141]) i rejestracja na Warsaw Industry Week (3–5 listopada 2026 [124]).

## 2. Co robi Enclave i czego nie robi

**Model.** Enclave AI Inc. (spółka z Delaware, inżynieria w Tel Awiwie, sprzedaż w Nowym Jorku i San Francisco) wyszło z ukrycia 26 marca 2026 r. z rundą 6 mln USD prowadzoną przez 8VC, z aniołami Collisonem, Levie i Benioffem [77][83]; wycena 33 mln USD post-money pochodzi z jednego przedruku Business Insidera i nie jest potwierdzona przez firmę [83]. Produkt to hostowana „flota" agentów LLM, z których każdy dostaje jedną powierzchnię ataku aplikacji (kod, pull requesty, zależności, konfiguracja chmury, działające web/API), stawia hipotezę, testuje ją, a druga warstwa agentów weryfikuje każde znalezisko przez odtworzenie ataku; agent naprawczy przygotowuje poprawkę i po wdrożeniu powtarza oryginalny atak [76]. Osiem nazwanych „rozwiązań": ciągły pentest, przegląd PR, bezpieczeństwo kodu, ochrona zależności, monitoring CVE, triage, remediacja, agenci na zamówienie [76]. Wdrożenie: SaaS (app.enclave.ai), self-hosted tylko w planie Enterprise; SOC 2 Type II za okres 1 maja–31 lipca 2026 [84].

**Threat Feed.** Każdy przycisk „Start now" prowadzi do app.enclave.ai/threat-feed, za logowaniem; nie ma publicznego opisu ani wpisu o premierze [76]. Najbliższy opis publiczny to „CVE monitoring": agenci śledzą publikowane CVE, dopasowują je do tego, co wiadomo o stosie klienta, sprawdzają obecność i ekspozycję komponentu i tworzą „rekord ekspozycji" łączący advisory, pakiet, osiągalny punkt wejścia i status weryfikacji [79]. Innymi słowy: Threat Feed to spersonalizowany kanał „to dotyczy Ciebie, to nie" — i dokładnie to jest przenośne na urządzenia.

**Cennik i finansowanie.** Pro 100 USD/mies., Team 500 USD/mies. (nielimitowana liczba użytkowników), Enterprise na zapytanie; opłata za przestrzeń roboczą z limitem zużycia i dokupywaniem, nie za użytkownika ani za zasób; 14-dniowy trial z kartą; 1 000 USD kredytów dla startupów, do 10 000 USD dla opiekunów open source [78][81]. Modele: rodzina GPT‑6, Claude Opus 5.5 i Sonnet 5, modele otwarte przez własny „Router"; możliwość własnych kluczy (BYOK) [76]. Koszty pojedynczych przebiegów, które Enclave publikuje, są małe: GLM 5.3 zweryfikował 8 z 11 exploitów za 51,82 USD, GPT 5.6 Sol 9 z 11 za 149,21 USD [80].

**Czego nie ma.** Na 14 sprawdzonych stronach (strona główna, cennik, sześć stron rozwiązań, badania, open source, kariera, o nas, wpis startowy, mapa serwisu) nie pada ani razu słowo firmware, embedded, hardware, IoT, OT/ICS, binaria ani SBOM [76][85]. Architektura jest „wspomagana źródłami": agenci czytają kod, więc zasięg kończy się tam, gdzie kończy się dostęp do repozytorium i konta chmurowego; testy czarnej skrzynki urządzenia nie są częścią modelu (ocena autora na podstawie wszystkich stron produktu). Nie ma żadnego nazwanego klienta, referencji ani studium przypadku siedem miesięcy po starcie [76]. Obecność w UE ogranicza się do przedstawiciela RODO w Cork i standardowych klauzul umownych; dane są przetwarzane w USA; brak biur, ofert pracy i klientów w Europie, zero wzmianek o Polsce, CRA czy NIS2 [82][85].

**Co z tego wynika dla wariantu „Enclave dla sprzętu".**

| Element Enclave | Co przenieść | Co zmienić dla sprzętu w Polsce |
|---|---|---|
| Flota wyspecjalizowanych agentów + druga warstwa weryfikująca | Tak — wzorzec „agent stawia hipotezę, oracle potwierdza" | Oracle to emulacja firmware lub stanowisko laboratoryjne, nie żądanie HTTP; człowiek podpisuje każde znalezisko (sekcja 8) |
| Threat Feed dopasowany do stosu | Tak — to rdzeń usługi L1 | Stos to SBOM z binarium (Linux wbudowany, RTOS, biblioteki C), źródła to NVD/EUVD/KEV/EPSS/CNA jądra Linux/PSIRT producentów chipów (sekcja 8) |
| Cennik płaski, publiczny, za przestrzeń roboczą | Tak — publiczny cennik w PLN jest sam w sobie wyróżnikiem (nikt w Polsce go nie ma, sekcja 5) | Jednostka rozliczenia: rodzina produktów / obraz firmware, nie użytkownik |
| Self-serve, 14-dniowy trial | Częściowo | Polski producent 50–500 osób nie kupuje self-serve; pierwsze 10 klientów to sprzedaż założycielska z grantem (sekcja 10) |
| „Remediation agent" tworzący PR | Ograniczone | Poprawka w firmware to wydanie, podpis, OTA, często u dostawcy ODM; agent przygotowuje VEX/advisory i projekt zgłoszenia do ENISA, nie PR |
| Brak obecności w UE, dane w USA | Odwrócić | Dane w UE/on-prem, umowa powierzenia, autoryzacja właściciela systemu — to warunek pracy z firmware klienta i wymaganie polityk dostawców modeli [74] |

Wniosek: Enclave dowodzi, że „zespół bezpieczeństwa z agentów" da się sprzedać za 100–500 USD miesięcznie i że weryfikacja przez odtworzenie ataku jest tym, co odróżnia produkt od skanera. Nie dowodzi niczego o firmware, o Europie ani o producentach — tam trzeba zbudować własne dowody.

## 3. Dlaczego teraz

Trzy silniki działają równocześnie i każdy ma datę: popyt tworzony przez prawo, dowód ryzyka dostarczony przez realne ataki w Polsce i zmiana kosztów po stronie narzędzi.

### Silnik 1: regulacje z datami

| Data | Akt | Co się dzieje | Kogo dotyczy w Polsce | Źródło |
|---|---|---|---|---|
| 1 VIII 2025 | RED, rozporządzenie delegowane 2022/30 | Wymagania cyber (art. 3.3 d/e/f) dla urządzeń radiowych podłączonych do internetu, zabawek, wearables, urządzeń obsługujących pieniądze; samoocena tylko przy pełnym zastosowaniu EN 18031 bez ograniczeń, inaczej jednostka notyfikowana | Każdy producent/importer urządzeń z Wi‑Fi, BLE, LTE, LoRa | [24][26] |
| 10 XII 2024 / 11 VI 2026 | CRA (rozporządzenie 2024/2847) | Wejście w życie; od 11 VI 2026 stosują się przepisy o jednostkach notyfikowanych (rozdział IV) | Państwa członkowskie, jednostki oceniające | [1][6] |
| 11 IX 2026 | CRA art. 14 | Obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów: wczesne ostrzeżenie 24 h, zgłoszenie 72 h, raport końcowy 14 dni / 1 miesiąc, przez platformę ENISA; dotyczy też produktów wprowadzonych przed 11 XII 2027 | Wszyscy producenci produktów z elementami cyfrowymi; w Polsce koordynuje CSIRT NASK | [4][5][13][14] |
| 9 XII 2026 | Dyrektywa 2024/2853 o odpowiedzialności za produkt (PLD) | Termin transpozycji; dla produktów wprowadzonych po tej dacie: oprogramowanie jest produktem, brak aktualizacji i luka cyber to przesłanki wadliwości, obowiązek ujawnienia dowodów, domniemania; polski projekt UC163 w konsultacjach od września 2026 | Producenci, importerzy, dostawcy usług powiązanych | [30][31][32] |
| 11 XII 2026 | CRA art. 35(2) | Państwa „dążą" do zapewnienia wystarczającej liczby jednostek notyfikowanych; na 23 X 2026 w całej UE jest ich zero | Producenci produktów „ważnych" klasy I/II i „krytycznych" | [138] |
| 20 I 2027 | Rozporządzenie maszynowe 2023/1230 | Zastępuje dyrektywę maszynową; załącznik III pkt 1.1.9 i 1.2.1: ochrona przed uszkodzeniem przez połączenie, rejestrowanie ingerencji, identyfikacja oprogramowania istotnego dla bezpieczeństwa, odporność na „racjonalnie przewidywalne próby" osób trzecich; norma prEN 50742 jeszcze nie w Dzienniku Urzędowym (data 20 I wynika ze sprostowania; pierwotny druk OJ podaje 14 I, część polskich źródeł branżowych 1 I 2027) | Producenci maszyn, w tym rolniczych i CNC (C28) | [27][28][29] |
| 3 IV 2027 | Nowelizacja ustawy o KSC (NIS2), Dz.U. 2026 poz. 252 | Termin wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI) i podłączenia do S46; produkcja C26–C30 od wielkości „średniej" jest „podmiotem ważnym"; kary od 3 IV 2028 (do 10 mln EUR/2 proc., kierownik do 300 proc. wynagrodzenia) | Producenci sprzętu ≥50 osób i operatorzy OT; 67 698 podmiotów w wykazie na 2 X 2026 (we wrześniu media pisały o ponad 80 tys. wpisów) | [18][20][21][22] |
| 3 X 2027 | KSC | CSIRT-y sektorowe operacyjne; dla produkcji, chemii i kosmosu prowadzi go UDT | Producenci jako podmioty ważne | [19][23] |
| 11 XII 2027 | CRA — pełne stosowanie; uchylenie RED DA 2022/30 | Ocena zgodności, dokumentacja techniczna, deklaracja UE, CE, SBOM, polityka CVD, wsparcie ≥5 lat; kary do 15 mln EUR / 2,5 proc. obrotu; produkty klasy II i krytyczne zawsze przez jednostkę notyfikowaną | Wszyscy producenci i importerzy | [1][2][7][26] |

Cztery szczegóły z notatek zmieniają sprzedaż. Po pierwsze, obowiązek zgłoszeniowy z 11 września 2026 r. obejmuje produkty już sprzedane (art. 69(3) CRA) — producent sterownika kotła z 2019 r. musi dziś umieć zgłosić aktywnie wykorzystywaną podatność w 24 godziny, nawet jeśli nie musi doprowadzać go do zgodności [2]. Po drugie, na 2 października 2026 r. w Dzienniku Urzędowym UE nie ma żadnej normy zharmonizowanej do CRA; pierwsze cytowania prognozuje się na 2027 r., więc producenci produktów klasy I (routery, alarmy, zamki, kamery, mikrokontrolery z funkcjami bezpieczeństwa [8]) nie mogą liczyć na szybką ścieżkę samooceny i trafią na wąskie gardło jednostek notyfikowanych [9][10]. Po trzecie, Polska nie ma jeszcze ustawy wyznaczającej organ nadzoru rynku i kary za CRA: w 3 501 drukach Sejmu X kadencji nie ma takiego projektu, obecna ustawa o nadzorze rynku przewiduje kary do 100 tys. zł, a w 2024 r. wszystkie organy nałożyły łącznie 70 kar na 1,63 mln zł [15][16][17]. Straszak „15 mln EUR" jest na razie teoretyczny; realny nacisk idzie od klientów i eksportu (sekcja 10). Po czwarte, skala kosztów jest duża, a zrozumienie małe: Komisja szacowała w 2022 r. łączne koszty dostosowania do CRA na do ok. 29 mld EUR dla całego rynku UE [11], a w ankiecie ENISA z 2026 r. 54 proc. MŚP deklaruje ograniczone lub żadne zrozumienie oceny zgodności, a ponad 70 proc. prosi o szablony dokumentacji [12].

Nadzór działa dziś symbolicznie: w 2025 r. 11 organów w UE sprawdziło 14 231 urządzeń radiowych (64,5 proc. niezgodnych), ale wymagania art. 3.3 zbadano w zaledwie 38 przypadkach; najczęstsze braki to ocena ryzyka (54,8 proc. niezgodnych) i raporty z badań (53,9 proc.) [25]. UKE nie opublikowało żadnego komunikatu ani kampanii dotyczącej cyberbezpieczeństwa urządzeń radiowych [16].

### Silnik 2: zagrożenia w Polsce 2024–2026

CERT Polska zarejestrował 103 449 incydentów w 2024 r. i 260 783 w 2025 r. (+152 proc.), z rekordowymi 179 atakami ransomware, z których 46 zaczęło się od wystawionego do internetu pulpitu zdalnego [33]. Dla przemysłu liczą się małe liczby bezwzględne: w 2025 r. 95 incydentów w wodociągach, 93 w produkcji i 52 w energetyce [33]. Ekspozycja jest strukturalna: skanery CERT widzą w Polsce średnio 157 hostów Siemens S7, 102 Modbus, 124 Codesys i 157 BACnet dostępnych z internetu dziennie, system Snitch oznaczył w 2025 r. 8 367 unikalnych hostów OT (1,9 raza więcej niż rok wcześniej) [33], a w 2024 r. CERT wszedł pięcioma typowymi hasłami do 299 z 7 806 polskich serwerów VNC, w tym do paneli stacji uzdatniania wody i małych elektrowni wodnych [34].

Z tej ekspozycji zrobiono użytek. Prorosyjscy haktywiści wchodzili do paneli HMI oczyszczalni i stacji uzdatniania przez VNC z prostymi hasłami — Wydminy (IV 2024), Kuźnica (X 2024), Witkowo (IV 2025), Szczytno (V 2025), Jabłonna Lacka (IX 2025), Chodaczów (14 X 2025, czterocyfrowy PIN) [43][44]; raport ABW z 6 maja 2026 r. potwierdza naruszenia ICS w pięciu stacjach uzdatniania [42]; w jednym przypadku wyłączono wodę na ok. 6 godzin dla ok. 2 500 mieszkańców [33]; operatorzy brali atak za awarię [34].

Przełom nastąpił 29 grudnia 2025 r. Według raportu CERT Polska z 30 stycznia 2026 r. skoordynowany, czysto destrukcyjny atak objął co najmniej 30 farm wiatrowych i PV, jedną dużą elektrociepłownię zaopatrującą blisko pół miliona odbiorców ciepła i jedną prywatną firmę produkcyjną [35]. Wejście prowadziło przez FortiGate z VPN bez MFA; w stacjach zniszczono firmware sterowników RTU Hitachi Energy RTU560 przez domyślne konto, skasowano pliki w RTU Mikroniki przez domyślne hasło root, zresetowano serwery portów Moxa przez domyślne dane logowania; w elektrociepłowni wiper zatrzymał EDR, więc ciepło płynęło dalej [36]. Uzupełnienie z 8 sierpnia 2026 r. opisuje drugą elektrociepłownię (50 tys. mieszkańców), do której weszli przez router Teltonika w farmie wiatrowej, tunelem do prywatnego APN‑u operatora sieci dystrybucyjnej, a stamtąd do sterownika WAGO PFC200 z hasłem „admin"; sterowniki Siemens S7 przełączono w STOP, turbina stanęła; CERT zaleca włączanie prywatnych APN‑ów do testów penetracyjnych [37]. ESET przypisał atak Sandwormowi [38], Dragos grupie ELECTRUM [39]; minister cyfryzacji mówił o „bardzo bliskim blackoucie", premier o 500 tys. osób, które mogły stracić ciepło [40][41]. Żaden z tych ataków nie wymagał dnia zerowego; wszystkie wykorzystały to, co znajduje ciągłe testowanie powierzchni ataku i przegląd konfiguracji urządzeń, a nazwy dostawców są teraz w raporcie państwowego CSIRT‑u — argument wobec każdego OEM sprzedającego do energetyki i wodociągów.

Dwa fakty domykają obraz. CERT Polska jako CNA opublikował 88 CVE w 2024 r. i 165 w 2025 r., dużą część w produktach polskich dostawców (Comarch ERP XL, mMedica, SIMPLE.ERP, centrale Slican, bramki SMSEagle, Fudo), i wymienia producentów, którzy w ogóle nie odpowiedzieli [33][34]. A sprawa Newag — blokady w pociągach Impuls ujawnione przez Dragon Sector w grudniu 2023 r., pozwy producenta przeciw badaczom na 6,45 mln zł i 5,1 mln zł, nierozstrzygnięte w marcu 2026 r. [45][46][47] — zmroziła niezależne badania w Polsce, co podnosi wartość testów zamawianych i autoryzowanych przez producenta.

### Silnik 3: AI po stronie atakujących i badaczy

Google Threat Intelligence Group (30 września 2026): miesięczna liczba ujawnianych podatności podwoiła się z 5 045 w styczniu do 10 740 w sierpniu 2026 r.; wykorzystywanych jest 18 miesięcznie wobec 10,5 w 2025 r.; podatności znajdowane przez AI częściej dają zdalne wykonanie kodu (50 proc. wobec 26 proc.); CVE‑2026‑1731 wykorzystano w cztery dni od ujawnienia; w maju 2026 r. przechwycono pierwszy skrypt exploita dnia zerowego napisany z pomocą generatywnej AI [57]. PHP2Shell (dwie luki w silniku PHP, CVSS 9,2, PHP 5.4–8.5, 21 października 2026) znalazły niezależnie dwa zespoły ogólnodostępnymi modelami: Calif odkrył lukę 1 sierpnia i miał exploit 14 sierpnia „bez specjalnego harnessu i bez dostępu do modeli niedostępnych dla wszystkich" [62]; Wiz: „jeden badacz zrobił w tydzień to, co wcześniej zajmowało światowej klasy zespołowi miesiące" [63]. Amazon zarejestrował próbę wykorzystania 17 października, cztery dni przed publikacją [64]; Cloudflare liczyło miliony prób do 22 października, Censys oceniło ponad 34 mln usług PHP jako podatne [65].

Po stronie obrony: finał DARPA AIxCC (8 sierpnia 2025) — systemy znalazły 54 z 63 podstawionych podatności i 18 prawdziwych dni zerowych, łatały średnio w 45 minut za ok. 152 USD na zadanie, wszystkie są open source [58]; Google Big Sleep udaremnił w lipcu 2025 r. wykorzystanie luki SQLite znanej tylko atakującym [60], CodeMender wprowadził 72 poprawki, każdą po przeglądzie człowieka [61]; Anthropic Project Glasswing (7 kwietnia 2026) — niedostępny publicznie model znalazł „tysiące podatności wysokiej wagi" i osiąga 83,1 proc. na CyberGym [59]. Benchmarki studzą: agenci rozwiązują 13–20 proc. zadań otwartego odkrywania (CVE‑Bench, CyberGym), ale 67–90 proc. zadań „wykorzystaj/załataj wskazaną lukę" (BountyBench) [70][71][72]. Atakujący używają agentów operacyjnie: kampania przeciw PaperCut (wrzesień 2026) prowadzona przez „setki agentów AI" skompromitowała 440 instancji w 48 krajach w ok. dwa dni [66]. Mandiant: exploity to najczęstszy wektor wejścia (32 proc.), mediana przekazania dostępu między grupami spadła z ponad 8 godzin w 2022 r. do 22 sekund w 2025 r. [67]; Verizon DBIR 2026: 31 proc. naruszeń zaczyna się od podatności [68]; VulnCheck: 28,3 proc. CVE wykorzystanych w I kw. 2025 r. miało dowody wykorzystania w ciągu doby od publikacji [69]. CERT Polska pisze wprost, że każda nowa podatność umożliwiająca zdalne wykonanie kodu na urządzeniu — „czy jest to router (…) czy PLC" — „jest natychmiast wykorzystywana", i sam używa agentów LLM w badaniach RouterOS oraz autonomicznego fuzzingu [33].

Co to znaczy dla pomysłu: 24‑godzinny zegar CRA napisano pod taki świat, a żaden polski producent średniej wielkości nie ma kogoś, kto o 2 w nocy sprawdzi, czy nowa luka w bibliotece dotyczy jego sterownika. Ta sama ekonomia (wiele tanich przebiegów agenta plus ludzka weryfikacja) po raz pierwszy pozwala małemu zespołowi obsłużyć kilkadziesiąt rodzin produktów. Ryzyko odwrotne też jest realne: curl zakończył program bug bounty 31 stycznia 2026 r. z powodu „AI slop" (poniżej 5 proc. potwierdzonych zgłoszeń) [73] — firma, która wyśle producentowi niezweryfikowane znaleziska agenta, straci reputację w jeden kwartał.

## 4. Kto jest klientem w Polsce

### Ile jest firm

Populacja jest mała i policzalna, co oznacza sprzedaż do nazwanych kont, a nie marketing masowy.

| NACE | Branża | Firmy ogółem (2024) | ≥10 osób | 50–249 osób | ≥250 osób | Eksport / produkcja sprzedana (GUS 2024) |
|---|---|---:|---:|---:|---:|---:|
| C26 | Komputery, elektronika, optyka | 3 349 | 443 | 102 | 42 | 52 proc. |
| C27 | Urządzenia elektryczne | 2 703 | 651 | 173 | 98 | 66 proc. |
| C28 | Maszyny i urządzenia | 6 047 | 1 448 | 407 | 87 | 51 proc. |
| C29 | Pojazdy (poza CRA, reżim UNECE R155) | 1 735 | 599 | 190 | 124 | 77 proc. |
| C30 | Pozostały sprzęt transportowy | 2 115 | 285 | 71 | 37 | 72 proc. |
| C32.5 | Wyroby medyczne (poza CRA, reżim MDR) | 6 554 | 218 | 45 | 18 | — |
| G46.5 | Hurt sprzętu ICT (importerzy) | 3 496 | 368 | 58 | 15 | — |
| G46.6 | Hurt maszyn | 9 028 | 947 | 143 | 18 | — |

Źródła: Eurostat sbs_sc_ovw (aktualizacja 30 IX 2026) [86], kody 3‑ i 4‑cyfrowe z sbs_ovw_act [87]; GUS, Rocznik Statystyczny Przemysłu 2025 — udział eksportu to iloraz policzony w notatce z dwóch tablic GUS, traktować jako wskaźnik [88]. Razem C26–C30: 15 949 firm, z czego 79 proc. to mikrofirmy; rdzeń do obsługi to 3 426 firm z co najmniej 10 osobami i 1 331 z co najmniej 50 (943 w przedziale 50–249) [86]. OSR nowelizacji KSC liczy 1 120 producentów C26–C30 z ≥50 pracownikami — rozbieżność z Eurostatem (1 331) wynika z innego roku i źródła rejestru; używać przedziału 1 120–1 330 [19]. Praktycznie każda firma ≥50 osób w tych kodach eksportuje (liczba eksporterów ≥50 osób równa lub wyższa od liczby firm) [89], a 72–86 proc. eksportu idzie do UE [88] — czyli znak CE z cyberbezpieczeństwem to dla nich warunek sprzedaży, nie formalność krajowa. Oficjalnego polskiego szacunku liczby „producentów" w rozumieniu CRA nie ma; przejrzysta derywacja z Eurostatu daje 1 600–5 000 firm ≥10 osób (rdzeń sprzętowy 1 200–2 500) [86]. Sto największych polskich OEM elektroniki miało w 2025 r. 18,49 mld zł przychodu [90].

Ten sam producent jest jednocześnie „producentem" w CRA i „podmiotem ważnym" w KSC (produkcja C26–C30 od wielkości średniej) [18] — jedno wejście do firmy może sprzedać bezpieczeństwo produktu i bezpieczeństwo zakładu.

### Nazwane firmy i ich sygnały

Polskie, właścicielskie firmy z własnym firmware, łącznością i eksportem skupiają się w czterech gniazdach. Energia: Apator (Toruń; 1 320,9 mln zł przychodu skonsolidowanego 2025 wg biznesradar [95], choć ranking tek.info.pl podaje 1,20 mld zł — rozbieżność do wyjaśnienia [90]), Mikronika (Poznań, RTU i automatyka stacyjna dla OSD, 305,6 mln zł 2024 [91][96]), Elektrometal Energetyka (sterowniki polowe e2TANGO, 173,4 mln zł 2025, +34 proc. [90][97]), Pozyton (liczniki, Częstochowa), Ekoenergetyka (ładowarki DC w 40+ krajach, linia 20 tys. sztuk rocznie, kredyt 741 mln zł z Pekao [98][99]), Sonel (analizatory jakości energii i liczniki Foxytech, 242 mln zł 2024 [104]). Ogrzewanie: TECH Sterowniki (Wieprz; 214,3 mln zł przychodu i 37,6 mln zł zysku netto 2025, ponad 600 pracowników, sterowniki Wi‑Fi, chmura Sinum, 25 krajów [92][93]), Plum (ok. 650 osób, elektronika IoT dla HVAC, gazu i wody, przychód +71,8 proc. w 2025 [90][94]), Hewalex, Kospel, Euroster, Compit. Alarmy i smart home: Satel (Gdańsk; 400 pracowników, 500 produktów, 75 rynków, własna produkcja [100]), Zamel/SUPLA (336 tys. domów, 90+ krajów [101]), Ropam, Grenton (30+ krajów, 70+ osób [102]). Telemetria i telekom: Inventia (170 tys. modułów w 67 krajach, specyfikowana w przetargach przepompowni), Techbase, Elproma (jedyny polski OEM z opublikowaną polityką skoordynowanego ujawniania podatności [103]). Do tego fiskalne (Posnet: ponad 250 pracowników, „co druga drukarka fiskalna" [105]), kolej (Medcom: 634,3 mln zł 2025, strona „Cybersecurity" w nawigacji [90][107]) i importerzy własnomarkowi (Impakt: marki Genesis, Natec, Lanberg, 40+ krajów [106]; AB S.A. z markami TB i Optimus).

Sygnał bezpieczeństwa publicznego u polskich OEM jest zerowy: w NVD nie ma ani jednego CVE przypisanego do Apatora, Mikroniki, Satela, TECH, Zamela, Ekoenergetyki, Posnetu czy Sonela (sprawdzono 24 X 2026), nie ma stron CVD poza Elpromą, nie ma ogłoszeń o pracę w product security [108]. To nie dowód bezpieczeństwa, tylko brak kultury ujawniania. Dla porównania kategorie, które te firmy produkują, dostają wysokie CVE, gdy ktoś spojrzy: centrale Fibaro (dziś własność Nice) — CVE‑2021‑20991 z CVSS 9,8 [108]; wallboxy GARO — CVE‑2021‑45876 z 9,8 [109].

### Kto kupuje w firmie i co już wymusza zakup

Nikt w polskim producencie 50–500 osób nie „ma" bezpieczeństwa produktu. Jedyny nazwany kupiec testów bezpieczeństwa po stronie producenta to dyrektor IT grupy Apator (referencja na stronie Afine, zakres aplikacyjny) [116]; etaty „product security" i „CRA Compliance Manager" tworzą w Polsce koncerny zagraniczne (Lenovo w Warszawie, ogłoszenie z 20 X 2026 [115]; Phoenix Contact, Renesas, Sonova, ASSA ABLOY). Ocena autora co do centrum zakupowego: decydent ekonomiczny to właściciel/zarząd (KSC czyni kierownika osobiście odpowiedzialnym za SZBI [18]), właściciel techniczny to dyrektor R&D, właściciel procesu to kierownik jakości/certyfikacji (teczka CE, relacja z laboratorium EMC/RED), dotychczasowy nabywca „security" to dyrektor IT, a sojusznik to key account eksportowy, który dostaje kwestionariusze od klientów niemieckich.

Twarde dowody popytu są w przetargach. Enea Operator w przetargach na liczniki zdalnego odczytu (2024–2025) punktuje kopię certyfikatu IEC 62443‑3‑x od akredytowanej jednostki [110]. PEC Gliwice wymaga potwierdzenia zgodności z IEC 62443 i NIST SP 800‑82 [111]. Gminy w przetargach na PV z magazynami punktują deklarację producenta falownika o zgodności z ISO 27001 lub IEC 62443 (10 punktów) [112]. Koleje Małopolskie w przetargu na naprawy P5 (grudzień 2025, 133,5 mln zł) wymagają przekazania całego oprogramowania „wraz z wszelkimi uwierzytelnieniami administracyjnymi (do systemów operacyjnych, baz danych, firmware)" i rozdają oferentom poufne wymagania cyberbezpieczeństwa [113]. Bezpieczeństwo liczników jest wprost w prawie (Dz.U. 2022 poz. 788: uwierzytelniony dostęp do interfejsów, szyfrowana komunikacja, kontrola integralności aktualizacji) [114]. W TED od 2024 r. jest 85 polskich ogłoszeń z „IEC 62443" i zero przetargów na testy firmware/IoT — popyt jest formułowany jako wymaganie wobec dostawcy, nie jako zakup usługi; to producent musi je spełnić [110].

Czynnik czasu dla OT: program „Cyberbezpieczne Wodociągi" (KPO) przyciągnął 896 wniosków, budżet urósł z 313 mln do ponad 590 mln zł, a przetargi mają typową wielkość ok. 1 mln zł na segmentację IT/OT, IDS dla SCADA i szkolenia, z terminem do czerwca 2026 [117][118][119]. W 2027 r. popyt przesunie się na audyty SZBI (termin 3 IV 2027) i testy, których granty nie objęły. Ciepłownictwo to 397 koncesjonowanych firm (URE, 31 XII 2025) [120], szpitali ogólnych jest 888 [121].

### Ranking segmentów i przyczółek

Skala 1–5 na trzech osiach (pilność × zdolność do zapłaty × dostępność), iloczyn z notatki segmentowej (ocena analityczna, nie ankieta):

| Miejsce | Segment | Wynik | Główny dowód |
|---|---|---:|---|
| 1 | Liczniki, automatyka sieciowa, ładowarki EV | 100 | Przetargi OSD punktują IEC 62443; prawo o licznikach; Apator, Mikronika, Elektrometal, Ekoenergetyka — duże, rentowne, bez CVD |
| 2 | Sterowniki grzewcze, kotły, pompy ciepła | 80 | Wi‑Fi/chmura (RED cyber od 1 VIII 2025); TECH 214 mln zł i 17,5 proc. marży netto; decyzje w Polsce |
| 3 | Alarmy, kontrola dostępu, smart home | 60 | Produkty klasy I w załączniku III CRA (do potwierdzenia na tekście OJ); CVE Fibaro 9,8; Satel 75 rynków |
| 4 | Importerzy własnomarkowi | 60 | „Producent przez markę" z firmware od ODM; AB 17 mld zł; marże cienkie |
| 5 | OT — OSD i ciepłownie | 50 | Budżety i pilność, ale zakupy przez procurement i tłok dostawców |
| 6 | Automatyka przemysłowa i pomiar; telekom | 48 | Sonel 242 mln zł; Elproma ma CVD; klienci pod NIS2 |
| 8 | OT — wodociągi | 45 | 896 wniosków KPO; lot ok. 1 mln zł przez integratorów |
| 9 | Kolej i autobusy | 40 | Newag; Koleje Małopolskie; długie cykle, spory sądowe |
| 10+ | Fiskalne, maszyny rolnicze, dystrybutorzy, automotive, obronność, AGD, 3D/CNC, oświetlenie, medyczne, EMS, szpitale | ≤36 | Decyzje za granicą, inne reżimy (MDR, R155), słabe finanse lub kanał zamiast klienta |

Przyczółek (ocena autora zgodna z notatką): 25–40 polskich producentów urządzeń „energy‑edge" i grzewczych, 50–700 osób, w Toruniu, Poznaniu, Warszawie, Częstochowie, Zielonej Górze, Gdańsku, Wieprzu i pod Białymstokiem. Powody: pilność jest już kontraktowa (przetargi) i regulacyjna (RED cyber, zgłoszenia CRA, prawo o licznikach, obowiązki ich klientów z KSC do 3 IV 2027); firmy są rentowne i eksportowe; jeden stos technologiczny (Linux wbudowany/RTOS + modem komórkowy/Wi‑Fi + chmura/OCPP/DLMS) pozwala jednej ofercie skalować się po segmencie; spotykają się w kilku miejscach (ENERGETAB, Warszawski Tydzień Energetyczny, Heating Tech, sekcja Smart Grids KIGEiT).

### Lista 18 firm na pierwsze rozmowy

| # | Firma | Dlaczego teraz | Co sprzedać najpierw |
|---|---|---|---|
| 1 | TECH Sterowniki (Wieprz) | 214,3 mln zł, 37,6 mln zł zysku 2025; Wi‑Fi + Sinum Cloud + eModul; 25 krajów; RED cyber już obowiązuje [92][93] | Pakiet dowodów EN 18031 + SBOM dla flagowej rodziny |
| 2 | Plum (Ignatki) | ok. 650 osób, +71,8 proc. 2025; elektronika IoT dla HVAC/gazu/wody plus dział EMS — mnożnik na klientów OEM [90][94] | L1 dla własnych urządzeń, oferta white-label dla ich klientów |
| 3 | Apator (Toruń) | 1,32 mld zł 2025; liczniki AMI; przetargi Enea punktują IEC 62443; już kupuje pentesty IT [95][110][116] | Dosprzedaż: firmware licznika, gotowość IEC 62443‑4‑1 |
| 4 | Mikronika (Poznań) | 305,6 mln zł; RTU dla OSD (podmioty kluczowe); jej RTU wymienione w raporcie CERT o 29 XII 2025 [35][96] | Dowody IEC 62443‑4‑2 i testy firmware |
| 5 | Elektrometal Energetyka (Warszawa) | 173,4 mln zł, +34 proc.; sterowniki e2TANGO [97] | Gotowość IEC 62443/CRA w fazie wzrostu |
| 6 | Ekoenergetyka (Zielona Góra) | ładowarki w 40+ krajach; kredyt 741 mln zł, inwestor PE; precedens GARO 9,8 [98][99][109] | Ocena OCPP/OTA + program CVD |
| 7 | Pozyton (Częstochowa) | liczniki i SKADEN; to samo prawo i przetargi w mniejszej skali | Lżejszy pakiet, szybka referencja |
| 8 | Satel (Gdańsk) | 400 osób, 75 rynków, własne firmware; alarmy prawdopodobnie klasa I CRA [100] | Klasyfikacja CRA + ścieżka do jednostki notyfikowanej |
| 9 | Zamel/SUPLA (Pszczyna) | chmura SUPLA 336 tys. domów, 90+ krajów, kamery GARDI [101] | Ocena urządzenie + chmura + aplikacja |
| 10 | Ropam (Myślenice) | alarmy z IP i aplikacją; szybka decyzja MŚP | Pakiet CRA dla rodziny NEO |
| 11 | Grenton | 30+ krajów, produkcja w UE, 70+ osób [102] | CRA dla chmury/aplikacji |
| 12 | Hewalex (Czechowice-Dziedzice) | Ekontrol i EMS OPTI‑ENER dla pomp ciepła (alternatywy: Kospel, Euroster) | RED/CRA dla sterowania zdalnego |
| 13 | Inventia (Warszawa) | telemetria LTE/NB‑IoT dla wodociągów w fali KPO | Dowody dla klientów z KSC |
| 14 | Elproma (Czosnów) | ma politykę CVD — dojrzały kupiec; serwery czasu dla energetyki i telekomów [103] | Pentest + zgodność CRA |
| 15 | Sonel (Świdnica) | 242 mln zł, spółka giełdowa, liczniki Foxytech [104] | Program product security z budżetem |
| 16 | Posnet | ponad 250 osób, Pospay2 łączy fiskalizację z płatnościami [105] | CRA poza reżimem GUM |
| 17 | Impakt (Mosina) | marki własne z firmware od ODM, 40+ krajów [106] | Pilot pakietu dla importerów |
| 18 | Medcom (Warszawa) | 634,3 mln zł, strona „Cybersecurity" — dowód presji klientów w kolei [107] | Konto referencyjne w transporcie |

Partnerzy, nie klienci, do zadzwonienia w tym samym tygodniu: Fideltronik (linia „walidacja i certyfikacja"), IŁ‑PIB LB‑EMC (laboratorium radiowe bez testów cyber), C&C Partners (dystrybutor z ISO 27001 i stroną NIS2), sekcje SIS‑SG i SPE KIGEiT [122].

Luki: przychody prywatnych firm (Satel, Grenton, Zamel, Ropam, Pozyton, Hewalex, Inventia, Elproma, Posnet, Impakt) nie zostały zweryfikowane w KRS; klasyfikację alarmów, termostatów i ładowarek do załącznika III CRA trzeba potwierdzić na tekście Dziennika Urzędowego; nie ma żadnego wywiadu z klientem — gotowość do zapłaty jest hipotezą do sprawdzenia w planie 90 dni.

## 5. Co już jest na rynku i gdzie jest luka

### Polskie firmy usługowe

Na 21 sprawdzonych polskich firmach testujących i doradczych (stan stron na 23 X 2026) tylko TestArmy CyberForces (Wrocław) sprzedaje zarówno testy sprzętowe IoT (UART/JTAG/SPI, analiza firmware Binwalk/FAT, „zgodne z IEC 62443"), jak i zapakowaną usługę „Zgodność z CRA" (audyt podlegania, ocena ryzyka, dokumentacja, deklaracja zgodności, CE); zaleca ręczne powtórzenie testów „po każdej aktualizacji firmware'u, co najmniej raz w roku", wycena tylko na zapytanie [127][128]. SecuRing (Kraków) ma najgłębszy zakres testów urządzeń (elektronika, interfejsy debugowe, BLE/Zigbee/RFID, analiza obrazu firmware, łańcuch dostaw, chmura IoT), ale bez opakowania CRA czy EN 18031 [129]. Sii Polska reklamuje „zgodność z normami EU‑RED i EU‑CRA" w ramach embedded cybersecurity [130], Spyrosoft „CRA compliance" i partnerstwo z Cybellum od 2021 r. [131] — oba obsługują dużych OEM. Seqred (Warszawa) jest funkcjonalnie najbliżej: „Cybersecurity Bill of Materials" przez inżynierię wsteczną firmware i „Secure Product Development" dla producentów urządzeń IT/IoT/OT, 12 zgłoszonych CVE, ale bez słowa o CRA, bez cennika i bez automatyzacji [132][133]. ICsec sprzedaje pasywny IDS dla OT (SCADVANCE XP) przez 16 integratorów — do operatorów, nie do producentów [134]. Elmark (dystrybutor Moxa/TXOne; firewalle Moxa 3 042–5 025 zł) [135], Tekniska i ASTOR z butikiem Seqwise (pakiet „Cyberbezpieczny wodociąg" z grantem KPO do 300 tys. EUR) zabezpieczają sieci, nie testują urządzeń [136]. Securitum, Niebezpiecznik, Afine, ISEC, LogicalTrust, Prevenity, Redteam.pl, Trecom, Exatel, ComCERT, NASK S.A., Perceptus — brak linii firmware/CRA; jedyne publiczne sygnały cenowe to widełki budżetu w formularzu Niebezpiecznika (do 10/20/50/100 tys. zł) [137]. Nikt nie wymienia EN 18031. Nikt nie publikuje stawek dziennych.

### Laboratoria i jednostki notyfikowane

Sprawdzono bezpośrednio w unijnej bazie jednostek notyfikowanych (SMCS, 23 X 2026): Polska ma 99 aktywnych wpisów, ale tylko trzy polskie jednostki są notyfikowane do dyrektywy RED i wszystkie trzy do artykułów cyber 3.3 d/e/f w module B: ICR Polska (NB 2703, Warszawa, oddział koreańskiego ICR; notyfikacja z 19 II 2025), WSCT Polska (NB 2618, Rogoźnik; 1 VI 2026) i Intercert Global (NB 2957, Warszawa; 28 VIII 2026) [139]. Do CRA nie jest notyfikowana żadna jednostka w całej UE [138]. W schemacie EUCC Polska ma jednostkę certyfikującą NASK (CB 3212, 14 IV 2026) i laboratorium oceny Instytutu Łączności (ITSEF 3195, 3 II 2026) [140][142][143]; Łukasiewicz‑AI prowadzi ITSEF (PCA AB 1781) i jest polskim partnerem darmowej platformy samooceny CRA OSCRAT, uruchomionej 11 IX 2026 [144][145]. Jedyną polskojęzyczną ofertę testów EN 18031‑1/2/3 i ETSI EN 303 645 ma ICR Polska [141]; polskie spółki TÜV Rheinland, TÜV NORD, TÜV SÜD, DEKRA, Intertek, Bureau Veritas nie pokazują testów cyber produktów, a grupy robią to z zagranicy (SGS Brightsight ma akredytację RvA na moduł B CRA) [146]. Żadna jednostka nie publikuje cen; jedyna sproduktyzowana polska cena zgodności to pakiety EY do UKSC za 799/1 199/2 399 EUR [147]. Niepotwierdzona tabela kosztów ścieżek EN 18031 (samoocena 0–8 tys. EUR, laboratorium 15–40 tys., jednostka notyfikowana 40–100+ tys. EUR) — do weryfikacji.

### Platformy zagraniczne i gracze AI

| Gracz | Co robi | Firmware/OT | Cennik | Obecność w PL | CRA w marketingu | Źródło |
|---|---|---|---|---|---|---|
| ONEKEY (Düsseldorf) | Analiza binarna firmware, SBOM, Compliance Wizard, monitoring, AI Agent; usługi RED/CRA readiness; „CRA Fast Start" (19 II 2026) | tak | brak (/pricing 404) | brak (/partners 404), loga DACH | tak | [148][149] |
| Exein (Rzym) | Ochrona runtime urządzeń + Analyzer; 270 mln USD przy 1,7 mld USD (15 IX 2026) | tak | brak | brak (najbliżej Karlsruhe) | tak | [152] |
| Finite State, Cybellum (LG), NetRise (od IX 2026 w Dragos) | SBOM/firmware dla dużych OEM, automotive, medycyna | tak | brak | brak | tak | [153] |
| BugProve (Budapeszt) | Freemium analiza firmware (700–4 500 USD/mies.) | tak | historyczny | — | — | status „out of business" od 1 IX 2025 [154][155] |
| Nozomi (Mitsubishi Electric), Claroty, Dragos (Accenture), Forescout, Armis, Tenable OT, Microsoft Defender for IoT | Monitoring sieci OT dla operatorów | sieć tak, firmware nie | tylko Microsoft: 840–18 000 USD/zakład/rok | Exclusive Networks, Clico, Nomios | nie | [156][159][160] |
| XBOW, Horizon3, Pentera, RunSybil, Terra | Autonomiczny pentest web/sieć/chmura; XBOW nr 1 na amerykańskiej liście HackerOne w 2025 r. (ok. 1 060 zgłoszeń) | nie | Horizon3: 25–42,5 tys. USD/500 zasobów | Pentera: jeden kontakt handlowy na Polskę | Horizon3: NIS2 | [161][162][163][164] |
| Ethiack (Portugalia) | Hackbot + ludzie, SME | nie | 3 000 EUR/test; 9–12 tys. EUR/rok | brak | tak (FAQ) | [165] |
| Alias Robotics / CAI (Hiszpania) | Agenci cyber, roboty/OT, demo RE firmware | tak | 350 EUR/mies. za CSI PRO | brak, pusty program partnerski | NIS2, bez CRA | [167][168] |
| Strix, Shannon, Gecko, Corgea, Snyk, Semgrep | Agenci/AI dla kodu i web | nie | 29–50 USD/osobę; Gecko 100 USD/100 skanów; Snyk 4 000 kredytów za AI pentest | brak | nie | [169][170][172][173][174] |
| Enclave | sekcja 2 | nie | 100/500 USD/mies. | brak | nie | [76][78] |
| Aisle (Praga/SF) | Odkrywanie podatności w kodzie C (OpenSSL, curl); LOI Cohere 15 X 2026 | częściowo | brak | hub w Pradze | — | [171] |

### Biała plama

Macierz czterech atrybutów (język polski i lokalna sprzedaż; model ciągły; ramowanie CRA dla producentów; automatyzacja binarna/SBOM/monitoring) z głębią firmware jako piątym: polskie butiki mają język i głębię, ale nie ciągłość, nie automatyzację i (poza CyberForces) nie CRA; platformy mają ciągłość, automatyzację i CRA, ale nie język, nie partnera i nie cennik dla MŚP; jednostki notyfikowane wydają certyfikaty, nie usługę; OT‑platformy obsługują operatorów; Big4 (EY ma laboratorium OT) obsługują dużych; OSCRAT i EDIH dają darmową samoocenę i jednorazowe testy. Nikt nie łączy wszystkich pięciu, i nikt nie publikuje cen w PLN. Okno jest szacowane na ok. 14 miesięcy do 11 XII 2027, kiedy obowiązkowa ocena przez jednostki notyfikowane ściągnie do Polski grupy TIC i platformy; najbardziej prawdopodobne wejścia to ONEKEY przez polskie zakłady niemieckich OEM lub polskiego VAD‑a, EY rozszerzający sklep z UKSC na CRA, ICR Polska łączący testy EN 18031 z własnym certyfikatem oraz darmowy OSCRAT komodytyzujący dolny koniec (ocena autora na podstawie [147][148][141][145]).

## 6. Czego dowodzą firmy porównywalne

**Po stronie producentów pieniądze są małe, a wyjścia to przejęcia uzupełniające.** ONEKEY zbudował platformę zgodności CRA/RED jako spin‑off firmy pentestowej SEC Consult na ok. 6,8 mln USD łącznego kapitału (dane agregatora) [150][151]; sieć klientów i wiarygodność laboratoryjna rodzica zastąpiły marketing. Cybellum (Izrael) sprzedało 64 proc. udziałów LG Electronics we wrześniu 2021 r. po ok. 34,5 mln USD zebranych, z nagłówkową wartością 240 mln USD (dane agregatora, nieweryfikowalne u LG) [175]; pierwszymi klientami były koreańskie laboratoria testowe i OEM automotive, kanałem — firmy inżynieryjne, w tym polski Spyrosoft (2021) [176]. NetRise (Austin) po ok. 24,8 mln USD i sześciu latach trafił 21 IX 2026 do Dragos [153][177]. Red Balloon przeżył na 22,4 mln USD z DARPA [178]. Exein jest wyjątkiem (270 mln USD, wycena 1,7 mld USD) i zarobił to na ochronie runtime wbudowanej przez partnerów chipowych (MediaTek, Kontron), nie na narzędziach zgodności [152].

**Po stronie operatorów pieniądze są duże, ale kupujący jest inny.** Nozomi przekroczyło 100 mln USD przychodu i próg rentowności, zanim Mitsubishi Electric sfinalizowało przejęcie 28 I 2026 r. (cena nieujawniona; Milano Finanza podaje 883 mln USD) [156][157]; Accenture kupiło większość Dragos razem z runZero i NetRise przy łącznej wartości ok. 4,175 mld USD (18 VI 2026; 580 pracowników) [158]; Honeywell kupił SCADAfence (2023) dla „site managers, operations leaders and CISOs" [179]; Claroty zebrało 150 mln USD serii F (22 I 2026) i rozważa IPO [180]. Żaden komunikat tych firm z lat 2025–2026 nie wspomina CRA ani NIS2; producenci pojawiają się u nich jako partnerzy, nie klienci. Platformy kupują analizę firmware jako funkcję (NetRise, Phosphorus) — produkt skanujący firmware dla operatorów będzie konkurował z tymi roll‑upami, usługa produkująca dowody CRA/62443 dla producenta przed wysyłką nie.

**AI‑native pokazuje dwa tryby kapitału i podobny czas do klienta.** Tryb izraelsko‑amerykański: XBOW jednorożcem 26 miesięcy po założeniu, ok. 272 mln USD [161]; Terra 38 mln USD przy 25 osobach; Zafran ok. 20 mln USD ARR trzy lata po starcie. Tryb produktowy/europejski: Ethiack bootstrapowało do ok. 1 mln USD ARR, 50 klientów w 9 krajach i ponad 10 osób, zanim wzięło 4 mln EUR seed (10 XII 2024) i 300 tys. EUR grantu [166]; Gecko ma loga Fortune 500 przy dwóch osobach i cenniku 100 USD/mies. [173]; Corgea 2,6 mln USD i 6 osób [174]; Enclave 6 mln USD [77]. W obu trybach pierwsi klienci przychodzą w 6–18 miesięcy; tryb produktowy potrzebuje 5–10 razy mniej kapitału. Firmy z USA docierają do Europy późno i przez Wielką Brytanię: Pentera po ok. dziesięciu latach ma biura w Hamburgu, Londynie i Madrycie, a Polskę obsługuje jedna osoba z inside sales [164][181]. Ceny, które zadziałały dla MŚP, są płaskie i za jednostkę pracy (3 000 EUR za test, 9–12 tys. EUR rocznie za 50 zasobów, 100 USD za 100 skanów), nie za użytkownika [165][173]. Nikt nie wycenia „za linię produktową / za obraz firmware" — ta jednostka jest wolna.

**Polska i Czechy: małe rundy, pierwsi klienci z energetyki i sektora publicznego, kanał z dźwignią.** ICsec wzięło pierwszą w historii inwestycję ORLEN VC (czerwiec 2022, kwota nieujawniona) po budowaniu „od 2018" [182]; Secfense sprzedawało ministerstwom i bankowi spółdzielczemu, zanim w 2023 r. zdobyło pierwszego klienta zagranicznego [183]; Nethone po rundzie A 25 mln zł (2021) weszło do grupy Mangopay w listopadzie 2022 r., sześć lat od założenia [184]; Fudo Security wzięło 40 mln zł od bValue w styczniu 2025 r. po ok. 15 latach [185]. Czeskie firmy, które się przeskalowały, miały kanał mnożnikowy: Whalebone przez telekomy (15 mln CZK 2019 → 65 mln CZK 2021 → 13,35 mln EUR serii B w 2025, 110 osób) [186], Wultra przez banki (rentowna od 2023, 3 mln EUR w 2025) [187], Flowmon przez resellerów w 40 krajach (1 200 klientów przy sprzedaży do Kemp w 2020 r., które Progress kupił za 258 mln USD w 2021) [188][189]. Polski rynek VC: 3,4 mld zł w 2025 r., średni seed ok. 6 mln zł; rekordowe 5,03 mld zł po 9 miesiącach 2026 r., ale 74 proc. to ElevenLabs i ICEYE; mediana rundy w III kw. 2026 r. 4,6 mln zł [190][191]. Jedyna znaleziona polska runda cyber 2026 to Striga (audyt kodu AI on‑prem, 1 mln EUR seed) [192].

**Wnioski.** (1) Planować kapitał i wielkość transakcji jak ONEKEY, nie jak Claroty: 0,5–4 mln EUR pierwszych pieniędzy, ścieżka Ethiack (bootstrap na usługach do 0,5–1 mln EUR ARR, potem seed 3–5 mln EUR plus granty). (2) Zacząć od usług przywiązanych do daty regulacyjnej (ONEKEY wypuścił testy RED EN 18031 na miesiąc przed terminem RED i „CRA Fast Start" siedem miesięcy przed 11 IX 2026 [149]); następna twarda data to 11 XII 2027, więc oferta musi być na rynku najpóźniej w połowie 2027. (3) Nie budować freemium dla hobbystów (BugProve) ani firmy czysto badawczej bez pieniędzy publicznych (Red Balloon). (4) Szukać kanału z dźwignią: laboratoria i jednostki notyfikowane, EMS/ODM, integratorzy automatyki, ubezpieczyciele — jak telekomy dla Whalebone. (5) Celem wyjścia jest strategiczne przejęcie po 5–9 latach przez platformę OT, grupę OEM/automatyki, integratora IT lub grupę certyfikacyjną; kupujący cenią niezależną markę i rentowność (Nozomi, Dragos zachowały markę i CEO). (6) Rynek krajowy sam nie wystarczy — Wultra zarabia mniej niż połowę w Czechach, Fudo ma referencje niemieckie i austriackie; eksport do DACH i Skandynawii od drugiego roku.

## 7. Propozycja: trzy warianty firmy

Wszystkie trzy warianty korzystają z tego samego rdzenia technicznego (sekcja 8) i tej samej listy firm (sekcja 4); różnią się tym, kto płaci, za co i jak często. Ceny to propozycje zakotwiczone w polskich i europejskich punktach odniesienia z sekcji 9, nie notowania rynkowe.

| | A. „Autonomiczny zespół product security" | B. „CRA/RED compliance‑as‑a‑service" | C. „Zespół bezpieczeństwa OT jako usługa" |
|---|---|---|---|
| Klient | Producent 50–700 osób z własnym firmware i chmurą (lista 18) oraz importer własnomarkowy | Ten sam producent, ale kupujący w logice projektu i grantu; też MŚP spoza listy, które same zgłoszą się po SECURE | Operatorzy: wodociągi, ciepłownie, OSD, zakłady produkcyjne jako podmioty ważne KSC |
| Oferta | Abonament za rodzinę produktów: SBOM każdego wydania firmware, polski Threat Feed dopasowany do komponentów, VEX/advisory pisane przez człowieka, dyżur do zgłoszeń 24/72 h, pakiet dowodów CRA, coroczna ocena L2 | Stała cena: klasyfikacja produktów, analiza luk wobec załącznika I CRA i EN 18031, szkielet dokumentacji technicznej, SBOM, jedna ocena sprzętowo‑firmware'owa na rodzinę, polityka CVD, runbook zgłoszeń; potem retainer i ponowne oceny | Frakcyjny CISO + pasywny monitoring granicy OT/IT + kwestionariusze dostawców + atestacja wobec wymagań ubezpieczyciela + wsparcie zgłoszeń; ocena zakładu jako projekt wejściowy |
| Cena | Starter 1 700–2 500 zł/mies. (1 rodzina, ≤4 wydania/rok); Growth 5 000–8 500 zł/mies. (do 5 rodzin, portal dla importera); OEM 15 000–30 000 zł/mies. (bez limitu, on‑prem/UE, inżynier przypisany) | 20–60 tys. EUR (86–258 tys. zł) za 1–3 rodziny w ≤6 miesięcy, tak by po grancie SECURE klient płacił netto 10–30 tys. EUR; retainer 2–5 tys. zł/mies.; ponowna ocena 25–60 tys. zł | Retainer 5–15 tys. zł/mies.; ocena zakładu 30–80 tys. zł; raport gotowości ubezpieczeniowej 8–15 tys. zł |
| Kanał | Sprzedaż założycielska do 30–50 design partnerów; jednostki notyfikowane RED jako dostawcy leadów; KIGEiT; targi branżowe | Biuro grantowe (SECURE do 11 XII 2026, Dig.IT 2–30 XI 2026); EDIH; izby; prawnicy od CRA | Integratorzy i VAD‑y (Elmark, ASTOR, Tekniska, Clico/TXOne, Exclusive/Nozomi), SOC‑partner, brokerzy, UDT‑CERT |
| Co musi być prawdą | Producent zapłaci za ciągłość, zanim przyjdzie pierwsza kontrola (realnie od XII 2027); automatyzacja utrzyma koszt 0,5–1 dnia seniora na rodzinę miesięcznie; cennik w PLN nie zostanie podcięty przez darmowy OSCRAT | SECURE dopuszcza nasze pozycje kosztowe (tak: audyty, testy, dokumentacja, SBOM; usługi z UE/EOG [234][236]); klient zdąży przed 11 XII 2026; dokumentację zaakceptuje potem jednostka notyfikowana | Operator kupi od nowej firmy mimo tłoku (Nozomi/Claroty, Big4, integratorzy); da się wejść jako podwykonawca lotów KPO; da się przejść procurement publiczny |
| Główne ryzyko | Budżety 2026 płaskie (KPMG: tylko 3 z 14 obszarów rosną [225]); abonament na bezpieczeństwo produktu jest nawykiem do zbudowania | Przychód skokowy i zależny od kalendarza grantów; marża ludzka; „pułapka usługowa" bez produktu | Niska marża (40–60 proc.), długie cykle, ryzyko wypadku przy aktywnym testowaniu OT; konkurencja ma kanały |
| Sygnał, że działa | ≥10 abonamentów Growth w 9 miesięcy; odnowienie ≥85 proc. | 3 płatne pilotaże do końca I 2027, każdy ≥50 tys. zł, co najmniej jeden wniosek SECURE złożony wspólnie | 2 kontrakty podwykonawcze od integratorów KPO w 6 miesięcy |

**Rekomendacja (ocena autora): sekwencja B → A, C jako dopływ wymagań.** Wariant B jest najszybszą drogą do pierwszej faktury, bo pasuje do tego, jak polskie firmy już kupują (projektowo; 49 proc. średnich firm jest w trakcie audytu odporności [225]), ma zewnętrzne finansowanie (SECURE, Dig.IT), a zarząd rozumie „zgodność" lepiej niż „ciągłe testowanie". Ale B sam w sobie jest pułapką usługową — bez produktu kończy jak Seqred (bez cennika, bez skali). Dlatego każdy projekt B musi zostawiać po sobie zasoby produktu A: SBOM w systemie ewidencji, działający Threat Feed dla tej rodziny, szablony zgłoszeń, dane do automatyzacji. Po 3–5 projektach B oferta A jest naturalną kontynuacją: zgodność to stan ciągły (CRA wymaga obsługi podatności przez cały okres wsparcia, co najmniej 5 lat [2]), więc retainer B przechodzi w abonament A. Wariant C nie powinien być osobną firmą: operatorzy są najlepszym źródłem wymagań ciągnących producentów (przetargi OSD, ciepłownie, PZU), a wejście tam jako podwykonawca integratorów KPO jest tańsze niż budowa kanału OT. Czysty wariant A od pierwszego dnia („Enclave dla sprzętu") wymagałby kapitału na 12–18 miesięcy bez przychodu i zakładał nawyk, którego polski rynek jeszcze nie ma.

## 8. Produkt i technologia na start

### Trzy poziomy zdolności (3–6 miesięcy)

**L1 — monitoring, SBOM, obsługa podatności i zgłoszeń (produkt pierwszy).** Na wejściu obraz firmware albo artefakty budowania klienta; na wyjściu SBOM na wydanie, lista „to Cię dotyczy" z rankingiem, VEX (formalne „nie dotyczy" z uzasadnieniem), tygodniowy advisory i projekty zgłoszeń do platformy ENISA. Składniki są dojrzałe i darmowe: ekstrakcja unblob (ONEKEY) i binwalk v3 (przepisany w Rust, mniej fałszywych trafień) [195][196]; EMBA jako całościowa analiza firmware z SBOM, emulacją i raportem (GPL‑3.0; ≥8 rdzeni, 16 GB RAM, 30–100 GB dysku) [193][194]; dopasowanie podatności cve‑bin‑tool (359 detektorów binarnych, dopasowanie po PURL, triage VEX w CSAF/OpenVEX/CycloneDX) oraz Grype/Trivy/OSV‑Scanner [197]; OWASP Dependency‑Track 5.x jako system ewidencji SBOM/VEX per klient (CycloneDX 1.7, KEV, semantyka VEX zgodna z CISA) [198]; po stronie budowania Yocto generuje SPDX domyślnie, esp‑idf‑sbom robi SPDX/CycloneDX dla ESP32 [199]. Rola modelu językowego: rozumowanie o wersjach dotkniętych, wyjaśnienie, projekt tekstu — nie dopasowanie. Koszt tokenów L1: dziesiątki dolarów miesięcznie na rodzinę produktów.

**L2 — ocena produktu wspierana agentami (projekt).** Automatyczna analiza składu i emulacja (EMBA), przegląd zdekompilowanego kodu przez agentów podłączonych do narzędzi inżynierii wstecznej — GhidraMCP (11,5 tys. gwiazdek), ReVa, oficjalny serwer MCP Hex‑Rays dla IDA (25 IX 2026) [200][201] — przegląd konfiguracji i sekretów, przegląd łańcucha aktualizacji i rozruchu (wzorce TUF/Uptane), odtworzenie każdego kandydata na znalezisko w emulacji przed raportem, ocena CVSS v4/SSVC i raport podpisany przez człowieka. Do kupienia: jedna licencja IDA Expert (od 4 999 EUR/rok) lub Binary Ninja Commercial (1 799 USD) [202][203], serwer klasy Hetzner AX102 (159 EUR/mies.) [204], tokeny. Ocena zużywająca 20–100 mln tokenów kosztuje ok. 100–2 000 USD przy cenach Opus 5.5 (4/20 USD za mln tokenów), o połowę mniej wsadowo, kilkakrotnie mniej na Sonnet 5.5 (2/10 USD) lub GPT‑5.6 Sol (4/20 USD) [205][206]; AIxCC: średnio 152 USD na zadanie [58]. Ludzie są kosztem dominującym: 5–10 dni seniora na pierwszą ocenę typowego urządzenia (założenie planistyczne).

**L3 — laboratorium sprzętowe (później, z partnerem).** Zrzuty pamięci, interfejsy debugowe, radio, zabezpieczenia fizyczne — praca ludzka, AI jako analityk; raporty na poziomie certyfikacji przez akredytowane laboratorium partnera (ICR Polska, IŁ‑PIB, Łukasiewicz‑AI). Aplikacje mobilne i chmura towarzysząca mają własny, dojrzały i w dużej mierze automatyzowalny stos (MASVS/MASTG, MobSF, Frida/objection; OWASP API Top 10, Burp 499 USD, ZAP, RESTler, Schemathesis, TruffleHog) — tu agent sprawdza się najlepiej, bo oracle jest jasny. Dla OT obowiązuje doktryna NIST SP 800‑82r3: na produkcji wyłącznie pasywnie, aktywne testy tylko na replice lub w oknie serwisowym — NIST cytuje ping sweep, który obrócił ramię robota o 180 stopni, i test penetracyjny, który na 4 godziny zatrzymał tłoczenie gazu [222]. Agent nigdy nie wysyła samodzielnie aktywnego ruchu do żywego OT.

### Polski Threat Feed dla urządzeń: źródła

Kanał musi być wielożródłowy z założenia. NVD od 15 IV 2026 wzbogaca (CPE/CVSS/CWE) tylko CVE z katalogu KEV, oprogramowania federalnego i „krytycznego"; zaległości sprzed 1 III 2026 oznaczono „Not Scheduled" — dopasowanie tylko po CPE traci zasięg po cichu [207]. EUVD ENISA (od 13 V 2025, darmowa) nie miała w teście VulnChecka ponad 50 tys. CVE i „nie może być jedynym źródłem" [208][209]. Wobec ok. 10 tys. ujawnień miesięcznie i 0,23 proc. faktycznie wykorzystywanych [57] to sygnały eksploatacji robią z potopu krótką listę: CISA KEV, EPSS (codzienne prawdopodobieństwo wykorzystania w 30 dni) [210], VulnCheck Community (KEV, NVD++, baza exploitów XDB) [211], raporty Shadowserver dla netbloków klienta [212]. Dla urządzeń decydują źródła upstream: CNA jądra Linux (nadaje CVE każdej poprawce w stabilnych gałęziach i mówi wprost, że zastosowanie to problem użytkownika) [213], PSIRT‑y RTOS (Zephyr: embargo ≤90 dni, rejestr wczesnych powiadomień), PSIRT‑y producentów chipów (Espressif, Nordic, NXP, ST, Microchip, TI, Realtek, MediaTek), trackery dystrybucji, kanały CSAF producentów OT z BSI TR‑03183 jako profilem SBOM/VEX [215], advisories i polityka CVD CERT Polska (90 dni; CSIRT NASK jest ustawowym koordynatorem) [214]. Dopasowanie „purl‑first" (SBOM z budowania, cve‑bin‑tool/Grype), z CPE jako zapasem.

### Ograniczenia jakości i jak je obsłużyć

Zmierzone tryby błędów są duże: spójność narzędzi SBOM w wykrywaniu pakietów 7,8–12,8 proc. [216]; 92 proc. fałszywych trafień w skanerach opartych na SBOM, głównie przez nieosiągalny kod [217]; werdykty LLM o podatności zmieniają się w 17–26 proc. przypadków po zmianie nazw identyfikatorów [218]; curl zamknął bug bounty przez „AI slop" [73]. Każdy działający system łączy AI z twardym oracle i człowiekiem (CodeMender, Big Sleep, AIxCC, Project Ire z precyzją 0,98 na sterownikach Windows [75]). Stąd trzy bramki: (1) skład — dwa niezależne generatory (binarny i z budowania) uzgodnione, świadomość backportów jądra/dystrybucji; (2) wykorzystywalność — etykieta „wykorzystywalne" tylko po odtworzeniu w emulacji lub laboratorium, inaczej „w badaniu" w VEX; (3) raportowanie — człowiek podpisuje każde znalezisko i każde „nie dotyczy", ślad modelu zachowany jako dowód. Dostawcy modeli narzucają warunki: polityka użycia Anthropic (od 12 XI 2026) zabrania wykrywania i wykorzystywania podatności „bez autoryzacji właściciela systemu", a najzdolniejszy model cyber jest w programie weryfikacyjnym [74][59]; domyślnie dane API są kasowane po 30 dniach, przetwarzanie regionalne w UE kosztuje ok. 10 proc. więcej [223][205]. Praktyka: pisemna autoryzacja klienta przed każdą analizą, umowa zero‑retention lub region UE dla firmware, samodzielnie hostowany model otwarty jako zapas na odmowy (Enclave robi to samo przez swój Router [76]).

### Ramy prawne testów w Polsce

Kodeks karny karze nieuprawniony dostęp (art. 267, do 2 lat, ściganie na wniosek), ingerencję w dane i systemy (art. 268–269a, do 8 lat przy infrastrukturze publicznej) i dostarczanie narzędzi przystosowanych do takich czynów (art. 269b); każdy przepis zależy od braku uprawnienia, więc pisemne zlecenie właściciela produktu/systemu jest podstawą prawną usługi, a wyjątki art. 269b §1a i 269c (działanie wyłącznie w celu zabezpieczenia systemu, niezwłoczne powiadomienie dysponenta, brak szkody) są zapasem, nie modelem biznesowym [219]. Inżynieria wsteczna firmware klienta to kwestia umowy; dla komponentów osób trzecich prawo autorskie pozwala obserwować, badać i testować program (art. 75 ust. 2 pkt 2) i dekompilować dla interoperacyjności (pkt 3), a sprzeczne klauzule umowne są nieważne (art. 76) [220]; ustawa o zwalczaniu nieuczciwej konkurencji uznaje inżynierię wsteczną legalnie posiadanego produktu za zgodne z prawem pozyskanie informacji (art. 11 ust. 7) [221]. Elementy zlecenia: podmiot, produkty/wersje/numery seryjne i środowiska w zakresie, okna czasowe, wyłączenia (produkcyjne OT, chmura osób trzecich), zasady danych, kontakty awaryjne, prawo stop; umowa z limitem odpowiedzialności i klauzulami IP/publikacji; NDA; umowa powierzenia RODO; dla urządzeń u klientów producenta — odrębna zgoda operatora. Firma powinna opublikować własną politykę CVD z 90‑dniowym terminem zgodnym z CERT Polska [214].

### Tokeny vs ludzie

Narzędzia i infrastruktura to ok. 1 000–1 500 EUR miesięcznie (licencja IDA amortyzowana ok. 420 EUR, serwer 160–320 EUR, SaaS/CI), tokeny ok. 500–2 000 EUR miesięcznie przy wolumenach startowych, jednorazowe wyposażenie laboratorium w niskich dziesiątkach tysięcy złotych (ceny sprzętu laboratoryjnego nie zostały pobrane — do weryfikacji); ludzie to 106–179 tys. zł miesięcznie za pięcioosobowy zespół (sekcja 11). Automatyzacja nie zastępuje ludzi — pozwala jednemu seniorowi obsłużyć 10–20 rodzin produktów w L1 zamiast dwóm. Sekwencja: L1 (najmniej kapitału, przychód powtarzalny, bezpośrednio pod zegar art. 14), z jego danych L2, L3 gdy są dwaj seniorzy i stanowisko; od pierwszego dnia publiczny cennik w PLN, dane wyłącznie w UE, polityka CVD.

## 9. Model biznesowy i cennik

### Polskie kotwice cenowe

Rynek cyberbezpieczeństwa w Polsce przekroczył 2,7 mld zł w 2024 r. i według prognozy PMR miał sięgnąć ok. 3,5 mld zł w 2025 r. [229]; 73 proc. polskich firm 10+ korzystało w 2022 r. z zewnętrznych dostawców bezpieczeństwa ICT (UE 68 proc.), ale tylko 29 proc. małych firm ma własnych ludzi od tego [227], a w indeksie Cisco 2025 zaledwie 3 proc. polskich organizacji jest „dojrzałych" [228] — kupuje się więc usługę zarządzaną, nie narzędzie. Polscy dostawcy prawie nie publikują cen; istniejące kotwice: COIG (cennik SOC, lipiec 2025) — SOC Standard 2 600 zł netto/mies., SOC Pro od 8 900 zł, SOC Elite od 24 900 zł, z monitoringiem OT przez sondy na PLC/HMI/RTU; jednorazowo audyt bezpieczeństwa OT od 17 000 zł, pentest aplikacji webowej od 12 000 zł, dokumentacja SZBI od 15 000 zł [230]; przewodnik cenauslug.pl (IX 2026, szacunki) — pentest web 20–45 tys. zł, pentest sieci 10–15 tys. zł, audyt ISO 27001 13,8–18 tys. zł [231]; widełki budżetu Niebezpiecznika do 10/20/50/100 tys. zł [137]; sklep EY z oceną zgodności z UKSC za 799/1 199/2 399 EUR [147]. Europejskie odniesienia dla usług AI: Ethiack 3 000 EUR za test i 9–12 tys. EUR rocznie za 50 zasobów [165]; Alias CSI PRO 350 EUR/mies. [167]; Horizon3 25–42,5 tys. USD rocznie za 500 zasobów [163]; Snyk 4 000 kredytów (ok. 4 000 USD) za pentest AI [172]; Microsoft Defender for IoT 840–18 000 USD za zakład rocznie [159]. Koperta SECURE (koszt ≤60 tys. EUR, dotacja ≤30 tys. EUR) definiuje, ile MŚP wyda na „gotowość do CRA" [234][236]; składki cyber‑ubezpieczeń (2–8 tys. zł rocznie dla firm 10–50 osób, 8–35 tys. zł dla 50–250 osób; źródło wtórne) wyznaczają sufit dla retainerów „ubezpieczeniowych" [233].

### Trzy modele przychodowe

| Model | Jednostka | Cena (PLN) | Cena (EUR, ok.) | Kotwica | Marża brutto (ocena) |
|---|---|---|---|---|---|
| A. Abonament product security | rodzina produktów / miesiąc | Starter 1 700–2 500; Growth 5 000–8 500; OEM 15 000–30 000 | 400–580; 1 200–2 000; 3 500–7 000 | między seatem AI (350 EUR) a wejściem Ethiack (9–12 tys. EUR/rok); poniżej SOC Standard COIG (2 600 zł) i SOC Pro (8 900 zł) | 65–75 proc. przy automatyzacji L1 |
| B. Projekt CRA/RED + retainer | projekt na 1–3 rodziny; miesiąc retainera; ponowna ocena | 86–258 tys.; 2–5 tys./mies.; 25–60 tys. | 20–60 tys.; 470–1 160; 5,8–14 tys. | koperta SECURE; ponowna ocena powyżej pentestu web (12–45 tys. zł), bo dochodzi sprzęt i firmware | 45–60 proc. (ludzie) |
| C. Zespół OT jako usługa | zakład / miesiąc; ocena zakładu | 5–15 tys./mies.; 30–80 tys.; raport ubezpieczeniowy 8–15 tys. | 1,2–3,5 tys.; 7–19 tys.; 1,9–3,5 tys. | audyt OT COIG od 17 tys. zł — nasza ocena musi zawierać testy i dowody (KSC, warunki ubezpieczyciela), inaczej wejść od 17–30 tys. | 40–60 proc. |

Zasady z benchmarków SaaS (Bessemer): zwrot kosztu pozyskania klienta poniżej 12 miesięcy w SMB i poniżej 18 w mid‑market, LTV:CAC ≥3, marża brutto ok. 70 proc., retencja brutto 85–90 proc. [249]. Przy rocznej wartości abonamentu Starter 25 tys. zł dopuszczalny koszt pozyskania to ok. 17–18 tys. zł — do zrobienia sprzedażą założycielską i biurem grantowym, nie siecią handlowców.

### Finansowanie klienta

- **SECURE / ECCC (Cyfrowa Europa):** do 30 tys. EUR dotacji dla MŚP będącego producentem, importerem lub dystrybutorem produktów z elementami cyfrowymi, 50 proc. kosztów, koszty kwalifikowane do 60 tys. EUR, projekt do 180 dni, zaliczka 40 proc., usługi świadczone z UE/EOG; drugi nabór 1 X–11 XII 2026, budżet 11,5 mln EUR; kwalifikowane: audyty i certyfikacja, testy podatności i penetracyjne, zabezpieczenie infrastruktury IT/OT, procesy obsługi incydentów, szkolenia [234][235][236]. Pierwszy nabór (5 mln EUR) przyciągnął ok. 260 wniosków z 28 krajów, niemal połowa na przygotowanie do CRA [271]. Niemiecki SCHUTZWERK już wystawia listę usług embedded kwalifikowanych w SECURE — wzór do skopiowania [236].
- **Dig.IT (ARP, FENG):** dotacje 150–850 tys. zł do 50 proc. kosztów dla MŚP produkcyjnych z co najmniej 5 zamkniętymi latami obrotowymi, projekty od 300 tys. zł netto, nabór 2–30 XI 2026 (ARP może skrócić); komponent obowiązkowy to zakup i wdrożenie technologii cyfrowych lub oprogramowania; w cyberbezpieczeństwie nie można finansować antywirusów, firewalli ani menedżerów haseł; wymagane oferty dostawców i analiza potrzeb i ryzyk [237][238]. Licencja platformy product security plus wdrożenie pasuje do komponentu obowiązkowego; szablon „oferta dostawcy" i „analiza potrzeb i ryzyk" musi być gotowy przed 2 XI 2026.
- **FENG/FBiO (BGK, KPO):** Fundusz Bezpieczeństwa i Obronności ok. 23 mld zł (ok. 16 mld zł pożyczek, ok. 7 mld zł kapitału przez Chrobry S.A.) finansuje m.in. cyberbezpieczeństwo infrastruktury krytycznej; w miesiąc wnioski sięgnęły 12 mld zł, z czego 43 proc. z komponentem cyfrowym lub cyber; nowa pożyczka FENG dla producentów technologii podwójnego zastosowania z umorzeniem do 70 proc., minimum 2 mln zł, nabór od 29 X 2026 [239]. To pieniądz pożyczkowy — argumentem jest bankowalność i zgodność.
- **Darmowe pierwsze kroki:** EDIH CyberSec (Poznań) daje MŚP bezpłatne pentesty i oceny sieci przemysłowych [240]; OSCRAT — darmowa samoocena CRA [145]. Płatna propozycja musi być kontynuacją (monitoring, ponowne testy po każdym wydaniu, utrzymanie dowodów), nie jednorazowym audytem.

### Finansowanie firmy

Bezzwrotne, celowane w cyber: NCC‑PL/CPPC (granty 30–60 tys. EUR dla MŚP cyber; w 2025 r. 168 wniosków, 32 dofinansowane, średnio ok. 236 tys. zł) [241]; CYSSDE (do 200 tys. EUR przy 50 proc. dla dostawców testów, którzy dostarczą co najmniej 10 testów użytkownikom końcowym — zarazem pozyskanie klientów) [242]; PARP „Start‑ups Are Us" (100 proc. kosztów misji zagranicznych dla startupów cyber 1–5 lat) [243]; PAIH Polskie Mosty Technologiczne (do 150–180 tys. zł na ekspansję poza UE) [244]; nabór konsorcjalny Cyfrowej Europy CYBER‑11 do 14 I 2027 z tematami EULEG (20 mln EUR, wdrażanie CRA/NIS2, także wsparcie dla podmiotów trzecich) i AI4SME (20 mln EUR, 75 proc. dla MŚP) [248]; NCBR — 40 konkursów na ponad 4 mld zł w 2026 r., Ścieżka SMART dopuszcza dual‑use [272]. Większe: EIC Accelerator (grant poniżej 2,5 mln EUR plus 0,5–10 mln EUR kapitału; od 17 VI 2026 otwarty dla dual‑use; terminy 2026 m.in. 4 XI) [245] — precedens w niszy: Alias Robotics z 2,5 mln EUR [168]; NATO DIANA przez jedyny polski akcelerator FORT Kraków (pierwsza kohorta zakończona w maju 2026 r., w niej polski startup cyber Vidoc) [246]. Kapitał: nowe fundusze PFR Ventures z marca 2026 r. wymieniają cyberbezpieczeństwo (Epic Investments) i dual‑use deep tech (Invento Fund II) [247]; polska runda seed to 3–8 mln zł [190][191]. Ocena autora: „granty klientów + CYSSDE/NCC‑PL + usługi" przez 12–18 miesięcy, potem seed 3–5 mln zł pod dowodem 0,5–1 mln EUR przychodu powtarzalnego; dual‑use jako rama dla DIANA/EIC (firmware dronów, radiostacji, sterowników energetycznych).

### Prosta symulacja: ilu klientów na jaki przychód (symulacja autora, pierwsze 12 miesięcy sprzedaży, ceny ze środka widełek)

| Scenariusz | Projekty B | Abonamenty A (średnio 8 opłaconych miesięcy) | Ponowne oceny | Podwykonawstwo OT (C) | Przychód roczny | Wobec kosztu zespołu (sekcja 11) |
|---|---|---|---|---|---|---|
| Ostrożny | 4 × 100 tys. = 400 tys. | 6 × Starter 2 100 × 8 = 101 tys. | 0 | 1 × 60 tys. | ok. 0,56 mln zł | pokrywa ok. 1/3 rocznego kosztu 5 osób (1,66 mln zł mid) — sygnał do zatrzymania lub odchudzenia do 3 osób |
| Bazowy | 8 × 120 tys. = 960 tys. | 8 × Starter 2 100 + 4 × Growth 6 500 = 42,8 tys./mies. × 8 = 342 tys. | 3 × 40 tys. = 120 tys. | 2 × 60 tys. = 120 tys. | ok. 1,54 mln zł | blisko progu rentowności zespołu 4–5 osób |
| Ambitny | 12 × 150 tys. = 1,8 mln | 12 × Starter + 7 × Growth + 1 × OEM 20 000 = 90,7 tys./mies. × 8 = 726 tys. | 6 × 45 tys. = 270 tys. | 3 × 70 tys. = 210 tys. | ok. 3,0 mln zł | rentowność z marginesem; uzasadnia seed i drugi zespół |

Wniosek: w pierwszym roku przychód robią projekty B (60–65 proc.), ale wartość firmy robią abonamenty A — każdy projekt B musi kończyć się podpisanym abonamentem (cel: ≥70 proc. konwersji). Progi z notatki kadrowej: ok. 55 ocen po ok. 30 tys. zł rocznie lub 14–18 retainerów po 8–10 tys. zł miesięcznie dla zespołu 5 osób (mid) [253].

## 10. Go‑to‑market w Polsce

### Kanały

**Jednostki notyfikowane i laboratoria (kanał z dźwignią, dziś pusty).** Trzy polskie jednostki RED z artykułami cyber (ICR Polska, WSCT, Intercert) sprzedają certyfikaty modułu B i potrzebują od producenta modelu zagrożeń, pliku decyzyjnego EN 18031 i raportów z testów — można im dostarczać gotowe teczki i leady; ICR jest zarazem konkurentem w testach [139][141]. IŁ‑PIB LB‑EMC i Łukasiewicz‑ITR mają przepływ klientów radiowych/EMC bez testów cyber [143]; NASK (jednostka certyfikująca, EUCC) i Łukasiewicz‑AI (ITSEF, OSCRAT) są właścicielami schematów i partnerami grantowymi [142][144][145]; UDT‑CERT audytuje KSC po stronie operatorów i od października 2027 r. prowadzi CSIRT sektorowy dla produkcji — kanał poleceń do zakładów [23]. Umowa poleceniowa/white‑label z marżą partnera 15–30 proc. (konwencja, bez polskiego źródła).

**Dystrybutorzy i integratorzy automatyki.** Elmark (Moxa/TXOne, 90+ osób), ASTOR (120 certyfikowanych partnerów, program wodociągowy KPO), Tekniska (oceny OT wg IEC 62443), 16 integratorów ICsec, C&C Partners, linia walidacji i certyfikacji Fideltronik [134][135][136]; VAD‑y OT: Exclusive Networks (Nozomi, Forescout, Tenable), Clico (TXOne, Rapid7), Nomios [160]. Zabezpieczają sieci i sprzedają pudełka; brakuje im warstwy usług i dowodów — to miejsce na nas, zwłaszcza w wariancie C.

**Izby i klastry.** KIGEiT: ok. 262 członków, sekcje Smart Grids SIS‑SG (29 firm), produkcji elektroniki SPE, aparatury elektrycznej SPAE, urządzeń fiskalnych SDFUR; nowa sekcja potrzebuje 10 członków inicjujących, a izba nie ma programu CRA (ostatnie materiały z 2022 r.) [122]; PIIT zrobił jeden webinar CRA 10 IX 2026 [123]; Izba Kolei, PIPC (chemia), PIGMiUR (186 producentów maszyn rolniczych), #CyberMadeInPoland.

**Targi i konferencje (do stycznia 2027 i dalej).** Warsaw Industry Week 3–5 XI 2026, Advanced Threat Summit 17–18 XI 2026 (CISO; strefa „Polish Technologies Zone"), Oh My H@ck 2 XII 2026 (1 450 osób w 2025), Warszawski Tydzień Energetyczny 12–14 I 2027 (33 tys. zwiedzających), Warsaw Manufacturing Week 19–21 I 2027, InfraSEC Forum 24–25 II 2027 (OT, ok. 30 partnerów), Securex 19–20 V 2027, CONFidence 24–25 V 2027, ENERGETAB we wrześniu, Heating Tech i Wodkan Tech 7–9 IX 2027, TEK.day (1 603 uczestników we wrześniu 2026) [124][125][250][262][264][90].

**Ubezpieczyciele i brokerzy.** PZU publikuje minimalne wymagania (firewall i AV klasy komercyjnej, kopie w izolowanym środowisku, krytyczne łatki w 30 dni, MFA na dostępie zdalnym także dla dostawców, „środowisko produkcyjne odizolowane od środowiska IT") i nie pokrywa kar NIS2/DORA, jeśli nie wynikają z incydentu [232] — gotowa lista kontrolna do atestacji; brokerzy to kanał na później, bo tylko 13–28 proc. MŚP ma polisę cyber [233].

**EDIH‑y.** 21 hubów; CyberSec w Poznaniu daje darmowe testy — być podwykonawcą hubu i płatną kontynuacją [240].

### Przekaz sprzedażowy: nie kary, tylko utrata rynku, postoje i odpowiedzialność

Kartoteka 36 przypadków z lat 2022–2026 pokazuje, że najdroższe konsekwencje słabego bezpieczeństwa urządzeń nie przyszły z kar produktowych (w UE praktycznie ich nie ma), lecz z wykluczenia z rynku, postojów, przerzucania odpowiedzialności i nakazów „odłączyć". Do polskiego producenta: Newag — roszczenia 11,5 mln zł i dwa lata postępowań, bez żadnej kary regulatora [45][46]; raport CERT Polska wymienia z nazwy Hitachi Energy, Mikronikę, Moxę, WAGO, Teltonikę i Fortinet jako urządzenia z domyślnymi hasłami, przez które zatrzymano turbinę i zniszczono sterowniki w 30 stacjach [36][37]; UODO ukarał American Heart of Poland kwotą blisko 1,5 mln zł za ransomware możliwe dzięki serwerom bez wsparcia od 2020 r. [48]. Do eksportera: Jaguar Land Rover stanął na pięć tygodni (196 mln GBP kosztu bezpośredniego, gwarancja rządowa do 1,5 mld GBP) [49]; Asahi opublikowało wyniki roczne dopiero 8 VII 2026 i ujawniło „istotną słabość" kontroli wewnętrznej [50]; Clorox pozwał dostawcę IT na 380 mln USD [51]; Johnson Controls — 27 mln USD netto [56]. Do importera: Hikvision — od wytycznych zakupowych w Wielkiej Brytanii (2022) przez nakaz zamknięcia w Kanadzie (2025) po odmowę certyfikacji w Indiach (2026) [54]; TP‑Link — pozwy czterech stanów (7 X 2026) i zakaz importu nowych zagranicznych routerów do USA (23 III 2026) [53]; monitory Contec — FDA/CISA zalecają odłączenie, bo nie ma łatki [52]; autobusy Yutong — badania nad zdalnym wyłączaniem przez SIM w Norwegii i Wielkiej Brytanii [55]. Do zarządu: KPMG 2026 — 96 proc. firm miało incydent w 2025 r., a barierą numer jeden nie jest budżet (19 proc.), tylko brak wsparcia najwyższego kierownictwa (29 proc.) [224][225]; prasa branżowa pisze już, że CRA zmienia zasady wyboru dostawców [126]. Pierwszoekranowe roszczenie: polski dostawca, dane w UE/on‑prem — 59 proc. polskich specjalistów woli dostawców europejskich [226]; niemieccy odbiorcy formalizują wymagania przez Charter of Trust (17 wymagań wobec dostawców) [251], a np. Relpol wysyła 67 proc. produkcji głównie do klientów niemieckich [252].

### Sekwencja pierwszych 10 klientów

1–3: szybcy decydenci z własnym firmware i Wi‑Fi (TECH Sterowniki, Elproma, Ropam lub Pozyton) — płatny pilotaż B z wnioskiem SECURE do 11 XII 2026. 4–5: dwa leady od jednostki notyfikowanej RED na teczkę EN 18031 + pentest. 6–7: alarm/smart home (Satel, Zamel) po pierwszym polskim studium przypadku i wystąpieniu na Securex/OMH. 8: importer (Impakt) jako pilot pakietu „CRA w pudełku". 9–10: energetyka (Mikronika, Apator, Elektrometal) z argumentem przetargów Enea i raportu CERT — dłuższy cykl, większa wartość, start rozmów w listopadzie 2026, zamknięcie do połowy 2027 (ocena autora). Równolegle jeden kontrakt podwykonawczy OT z integratorem KPO jako źródło wymagań i referencji.

### Okno czasowe

Do 11 XII 2027 jest ok. 14 miesięcy. W tym czasie: 11 XII 2026 zamyka się SECURE, 20 I 2027 wchodzi rozporządzenie maszynowe, 3 IV 2027 mija termin SZBI, w 2027 r. spodziewane są pierwsze normy zharmonizowane i pierwsze jednostki notyfikowane do CRA. Firma, która przed grudniem 2027 r. ma podpisane trzy polskie jednostki notyfikowane, jednego VAD‑a OT i kohortę 10–20 klientów z grantów, będzie trzymać kanał, zanim przyjdą ONEKEY, Brightsight i Big4 (ocena autora na podstawie sekcji 5–6).

## 11. Zespół, koszty i talent

### Skład i koszt (B2B, faktura miesięczna netto, październik 2026; stawki orientacyjne ±20 proc.)

| Rola | Nisko | Środek | Wysoko | Podstawa |
|---|---:|---:|---:|---|
| Senior badacz bezpieczeństwa firmware / inżynieria wsteczna (×2) | 25 000 | 32 000 | 42 000 | senior pentester 25–35 tys. zł B2B plus premia RE +30–50 proc.; reverser 5+ lat 30–45 tys. zł brutto w NASK/Securing [253][254] |
| Senior inżynier embedded (C/RTOS/Linux wbudowany) | 20 000 | 25 000 | 30 000 | średnia IT Antal 19,9 tys. zł brutto; sufit architekt senior B2B 30,2 tys. zł (niska pewność) [255][256] |
| Inżynier AI/platformy (agenci LLM, backend) | 18 000 | 25 000 | 35 000 | średnia AI/ML 19,5 tys. zł B2B (Just Join IT/N‑iX, 2026) [255] |
| Lead sprzedaży i zgodności (podstawa) | 18 000 | 24 000 | 30 000 | GRC 12–26 tys.; security manager 22–42 tys. brutto (2023) [253]; prowizja osobno |
| **Rdzeń 5 osób / mies.** | **106 000** | **138 000** | **179 000** | rocznie 1,27 / 1,66 / 2,15 mln zł |
| Opcjonalnie: junior pentester (ścieżka OSCP) | 10 000 | 13 000 | 17 000 | junior 9–17 tys. zł brutto [253] |
| Opcjonalnie: pula freelancerów, 3 osoby × 5–10 dni × 2 000–4 000 zł/dzień | 30 000 | 45 000 | 120 000 | stawka dzienna 2 000–4 000 zł [254] |

Na umowie o pracę dolicz ok. 20 proc. składek po stronie pracodawcy (9,76 + 6,5 + wypadkowe + 2,45 + 0,10 proc.); płaca minimalna 2026 to 4 806 zł [270]. Średni polski seed (ok. 6 mln zł) kupuje ok. 36 miesięcy środkowego kosztu rdzenia bez innych wydatków, a 3–4 mln zł — 18–24 miesiące [190][191]. Cenniejsza niż druga pensja seniora jest pula freelancerów: trzech pentesterów po 7 dni w miesiącu kosztuje 42–84 tys. zł, czyli tyle co dwóch etatowych seniorów, bez stałego zobowiązania — dopasowane do skokowego popytu na oceny urządzeń. ESOP jest dziś standardem w polskich umowach inwestycyjnych (vesting 3–5 lat), ale polskich statystyk wielkości puli nie ma [269]. Dźwignie kosztowe w kolejności wpływu: jeden senior plus dwóch mid z pipeline'u CTF/ECSC zamiast dwóch seniorów (oszczędność 15–20 tys. zł/mies.), frakcyjni seniorzy z emigracji na 5–10 dni w miesiącu, B2B dla ról technicznych.

### Skąd brać ludzi

Polski talent niskopoziomowy jest głęboki na szczycie i cienki w liczbach. Trzy pokolenia drużyn CTF klasy światowej: Dragon Sector (założony w lutym 2013, nr 1 na świecie wg CTFtime w 2014, 2018 i 2019; w składzie badacz Google Project Zero, inżynier Google, lider badań Invisible Things Lab) [257], p4 (nr 3–8 na świecie 2018–2020) i justCatTheFish (nr 4 w 2023, nr 11 w 2025, najlepsza polska drużyna 2022–2025, korzenie na AGH i UWr) [258]; CTFtime ocenia tylko 22 polskie drużyny rocznie, a trzy elitarne drużyny wystawiły łącznie ok. 80 nazwisk w 13 lat — to lista do przepracowania osoba po osobie, nie rynek [259]. Polska była 2. w ECSC 2021 i 3. w 2024 i gościła ECSC 2025 w Warszawie; absolwenci (limit wieku 25 lat) mają dziś 20–33 lata — dokładnie przedział junior‑mid do firmware [260]. Senior firmware'owe jądro, które zostało w kraju: Invisible Things Lab (Qubes OS, SGX, BIOS/SMM) [265], 3mdeb w Gdańsku (coreboot/Dasharo, UEFI, LVFS) [266], krąg Warszawskiego Hackerspace'u (ul. Żelazna 103A; warsztat elektroniczny, CNC, laser; otwarte spotkania w czwartki od 18:00 — udokumentowana droga do Dragon Sector dla co najmniej dwóch członków) [261], CERT Polska. Emigranci (HexArcana Gynvaela Coldwinda w Zurychu, założona 2023 — szkolenia i usługi) to doradcy, trenerzy i konsultanci frakcyjni, nie etaty [267]. Trzy konferencje po 1 400–2 000 osób to miejsce naboru: Mega Sekurak Hacking Party (Kraków, 26–27 X 2026; 1 400+ na miejscu w 2025) [263], Oh My H@ck (Warszawa, 2 XII 2026; 1 450 osób w 2025; bilety 399–1 289 zł) [262], CONFidence (Kraków, 24–25 V 2027; ok. 2 000) [264]; „wioska firmware" (UART/JTAG, zrzuty SPI) byłaby tam wyróżnikiem, bo treści sprzętowych jest mało. Inżynierów embedded (nie tylko security) brać z wydziałów elektroniki i telekomunikacji w czterech miastach CTF (PW EiTI, AGH, PWr/UWr, PG ETI) i douczać bezpieczeństwa — pula samego security jest za mała.

### Konkurencja o ludzi i co z nią zrobić

Google/Microsoft/Cisco (w Polsce i zdalnie z Zurychu/Londynu), obronność (WB Group — 12 spółek, w tym Flytronic i Radmor [268]; MON rekrutuje na uczelniach przez Akademię CyberMil) i zachodni pracodawcy zdalni płacący 1,5–3 razy więcej (senior pentester zdalnie dla firmy brytyjskiej 50–70 tys. zł, lokalnie 25–32 tys. zł; dane orientacyjne) [254]. Firmy nie wygra się gotówką w górnym decylu; wygrywa się autonomią, prawem do publikacji, dostępem do sprzętu (prawdziwe laboratorium) i jakością problemów — to lewary, które emigranci sami ujawniają własnymi przedsięwzięciami [267]. Partnerstwo przed podkupywaniem: ITL i 3mdeb to potencjalni podwykonawcy i najbardziej prawdopodobne źródło doświadczonych firmware'owców; podbieranie z dwóch małych butików byłoby widoczne w maleńkiej społeczności.

## 12. Ryzyka i co musi być prawdą

| # | Ryzyko | Dowód / skala | Mitigacja |
|---|---|---|---|
| 1 | Popyt przyjdzie później niż daty: producenci czekają na pierwsze kontrole (realnie po XII 2027), budżety 2026 płaskie | KPMG: inwestycje rosną tylko w 3 z 14 obszarów [225]; 13 proc. średnich firm outsourcuje testy infrastruktury [225]; Polska bez organu nadzoru CRA [15] | Sprzedawać pod zegar klienta (przetargi, eksport, RED już obowiązuje), nie pod kary; finansować pilotaże grantami; test popytu w 90 dni zamiast budowy produktu |
| 2 | Darmowe substytuty kotwiczą cenę na zerze | OSCRAT (11 IX 2026) [145]; darmowe pentesty EDIH CyberSec [240] | Sprzedawać ciągłość i dowody, nie jednorazowy audyt; być podwykonawcą EDIH |
| 3 | Szybsze wejście konkurenta z gotowym produktem | ONEKEY „CRA Fast Start" i AI Agent [149]; EY ma sklep z pakietami UKSC [147]; CyberForces ma stronę CRA [128]; Sii/Spyrosoft dla dużych OEM [130][131] | Podpisać 3 polskie jednostki notyfikowane i KIGEiT przed nimi; publiczny cennik PLN; rozważyć partnerstwo technologiczne z ONEKEY zamiast wyścigu |
| 4 | Wąskie gardło norm i jednostek notyfikowanych przesunie część popytu w czasie lub za granicę | 0 jednostek CRA w UE; brak norm w OJ do X 2026 [138][9] | Produkty klasy domyślnej (ok. 90 proc. rynku) nie potrzebują jednostki [1]; dla klasy I przygotowywać teczki pod moduł B u ICR/WSCT/Intercert |
| 5 | Jakość AI: fałszywe trafienia i halucynacje niszczą reputację | 92 proc. FP w skanerach SBOM [217]; curl zamknął bounty przez „AI slop" [73] | Trzy bramki z nie‑LLM‑owym oracle; człowiek podpisuje wszystko; publikować wskaźnik potwierdzonych znalezisk |
| 6 | Dostawcy modeli odmawiają lub ograniczają dostęp; dane firmware klienta poza UE | AUP Anthropic 12 XI 2026 [74]; retencja 30 dni [223]; Enclave notuje odmowy modeli frontier [76] | Pisemna autoryzacja do każdej analizy; regiony UE/zero‑retention; samodzielnie hostowany model otwarty jako zapas; wcześnie aplikować do programów weryfikacyjnych |
| 7 | Talent: dwóch seniorów firmware może nie być do zatrudnienia w Polsce w 90 dni | ok. 80 nazwisk elity w 13 lat [259]; defence i Big Tech licytują [268] | Jeden senior + frakcyjny konsultant + dwóch mid z CTF/ECSC; partnerstwa z ITL/3mdeb; laboratorium jako magnes |
| 8 | Prawne: spór z producentem w stylu Newag, kwestie IP przy inżynierii wstecznej komponentów | Pozwy 11,5 mln zł wobec badaczy [45] | Pracować wyłącznie na zlecenie właściciela; umowa z klauzulami IP/publikacji; art. 75 pr. aut. i art. 11 ust. 7 uznk jako podstawa dla komponentów [220][221]; własna polityka CVD |
| 9 | Pułapka usługowa i zależność od grantów | Seqred bez cennika; ICsec z modułami B+R z dotacji [132][134] | Każdy projekt B kończy się abonamentem; granty jako akcelerator, nie model przychodu; metryka: udział MRR w przychodzie |
| 10 | Wypadek przy testach OT (zatrzymanie procesu u operatora) | Przypadki NIST: ramię robota, 50 tys. USD wafli, 4 godziny bez gazu [222] | Pasywnie na produkcji, aktywnie tylko na replice/w oknie; OC zawodowe (składki niezweryfikowane — do wyceny) |
| 11 | Koncentracja na jednym segmencie (energetyka) z długim procurementem | Enea wymaga przychodu ≥100–200 mln zł od dostawców liczników [110] | Równoległa fala grzewczo‑smart‑home z szybkimi decyzjami MŚP |
| 12 | Koszt uwagi założyciela przekracza plan; firma potrzebuje operatora na miejscu | — | Jasny limit 1–2 dni/tydz. w teście 90 dni; zatrudnić lead sprzedaży/zgodności jako pierwszą osobę, nie inżyniera |

**Założenia zabójcze (jeśli fałszywe, projekt nie ma sensu w tej formie).** (a) Polski producent 50–700 osób zapłaci 20–60 tys. EUR za „gotowość do CRA" przy 50‑procentowym grancie — do sprawdzenia trzema podpisanymi pilotażami. (b) Da się dostarczyć L1 (SBOM + feed + VEX + dyżur) za ≤1 dzień seniora na rodzinę miesięcznie — do sprawdzenia na firmware trzech pilotażowych klientów. (c) Jednostki notyfikowane RED chcą partnera, a nie konkurenta — do sprawdzenia jedną rozmową z ICR Polska i jedną z WSCT. (d) CyberForces/Sii/Spyrosoft nie mają już abonamentu z automatyzacją pod maską — do sprawdzenia jednym zapytaniem ofertowym jako klient.

## 13. Pomysły niestandardowe z punktem zaczepienia

1. **Publiczny „Polski Threat Feed dla urządzeń".** Otwarta strona i kanał RSS/CSAF: które podatności z ostatniego tygodnia dotyczą urządzeń sprzedawanych w Polsce (po kategoriach i producentach), z oceną KEV/EPSS po polsku. Punkt zaczepienia: NVD od 15 IV 2026 nie wzbogaca większości CVE [207], EUVD nie ma ponad 50 tys. rekordów [209], a CERT Polska publikuje 165 CVE rocznie, w tym w produktach polskich dostawców, którzy nie odpowiadają [33]. Feed jest lejkiem sprzedażowym (producent widzi swoją kategorię), dowodem kompetencji i darmowym PR; wersja płatna to dopasowanie do konkretnego SBOM.
2. **„CRA w pudełku" dla importerów.** Stały pakiet dla hurtowników i sieci sprzedających pod własną marką (AB z markami TB/Optimus, Impakt, Lechpol): kwestionariusz dla ODM, skan firmware przed wysyłką, SBOM, umowny obowiązek aktualizacji, rejestr zgłoszeń. Punkt zaczepienia: wytyczne Komisji — kto sprzedaje „pod własną nazwą lub znakiem towarowym", jest producentem z pełnymi obowiązkami art. 13/14 [3]; w Polsce jest 368 hurtowników ICT z ≥10 osobami [86] i nikt ich nie obsługuje (sekcja 5).
3. **Agent dyżurny 24 h.** Usługa „zgłoszenie do ENISA w 24 godziny" jako osobny, tani SKU: monitorowanie sygnałów eksploatacji dla komponentów klienta, projekt wczesnego ostrzeżenia, prowadzenie przez platformę SRP (rejestracja Assigned Representative, wybór CSIRT NASK). Punkt zaczepienia: platforma działa od 11 IX 2026, zgłoszenie składa się raz i trafia do CSIRT i ENISA, a nieprawidłowy wybór CSIRT unieważnia zgłoszenie [5][13]; obowiązek dotyczy produktów sprzed 2027 r. [2]. Cena rzędu składki ubezpieczeniowej (kilka tysięcy złotych rocznie) — produkt wejściowy dla setek firm spoza listy 18.
4. **Pakiet dla eksporterów do Niemiec i Skandynawii.** „Dowody dla niemieckiego klienta": SBOM w profilu BSI TR‑03183, odpowiedzi na 17 wymagań Charter of Trust, mapowanie na IEC 62443‑4‑1, gotowe załączniki do kwestionariuszy TISAX. Punkt zaczepienia: 72–86 proc. eksportu C26–C30 idzie do UE [88], Relpol wysyła 67 proc. do klientów głównie niemieckich [252], a niemieccy dostawcy (ONEKEY, SCHUTZWERK) już używają CRA i SECURE jako języka sprzedaży [149][236].
5. **„Bezpieczeństwo jako element certyfikacji CE".** Umowa z trzema polskimi jednostkami notyfikowanymi RED: producent dostaje jedną ścieżkę — testy i teczka u nas, certyfikat modułu B u nich; w 2027 r. to samo dla CRA, gdy zostaną notyfikowane. Punkt zaczepienia: Polska dopiero od 2025–2026 ma trzy jednostki z artykułami cyber (ICR 19 II 2025, WSCT 1 VI 2026, Intercert 28 VIII 2026) i żadna nie publikuje cen ani nie ma partnera od testów [139][141].
6. **Testy prywatnych APN‑ów i urządzeń brzegowych dla OSD i ciepłowni.** Wąski produkt C: „czy ktoś może wejść z farmy wiatrowej do Twojej elektrociepłowni?" — pasywna inwentaryzacja plus test na replice ścieżki modem → APN → PLC. Punkt zaczepienia: CERT Polska opisał dokładnie tę ścieżkę (Teltonika → prywatny APN → WAGO z hasłem „admin" → S7 w STOP), nazwał konfigurację „często spotykaną w Polsce" i zalecił włączenie APN‑ów do testów penetracyjnych [37]. Jeden slajd z raportu państwowego CSIRT‑u sprzedaje tę usługę.
7. **Testy „zaproszone" dla kolei i sekcja KIGEiT.** Oferta dla przewoźników i producentów taboru: autoryzowany przegląd firmware i logiki serwisowej, by uniknąć „momentu Newag". Punkt zaczepienia: Koleje Małopolskie wymagają już przekazania firmware i poświadczeń administracyjnych [113], Medcom ma stronę „Cybersecurity" [107], a pozwy wobec badaczy trwają [45]. Równolegle: sekcja „cyberbezpieczeństwo produktu" w KIGEiT potrzebuje tylko 10 członków‑założycieli [122] — lista 18 wystarczy, a izba nie ma programu CRA.
8. **Lane dual‑use.** To samo laboratorium i te same agenci dla firmware dronów, radiostacji i sterowników energetycznych, finansowane przez FORT Kraków/DIANA i pożyczkę FENG z umorzeniem do 70 proc. (od 29 X 2026, minimum 2 mln zł) [246][239]. Punkt zaczepienia: SAFE wymaga co najmniej 65 proc. komponentów z UE [273], co premiuje dostawców z udokumentowaną proweniencją oprogramowania; WB Group (12 spółek) i cała fala dronowa potrzebują audytowalnego firmware [268].

## 14. Plan 90 dni i test popytu

Założenie: start w ostatnim tygodniu października 2026, koniec w ostatnim tygodniu stycznia 2027. Cel testu: nie zbudować firmy, tylko kupić tanio informację, czy opcja warta jest dołożenia. Budżet uwagi założyciela: 1–2 dni w tygodniu; budżet gotówki: do ok. 60–90 tys. zł (jeden frakcyjny senior firmware na 8–10 dni/mies. przez 3 miesiące, jeden lead sprzedaży/zgodności od tygodnia 3, serwer, jedna licencja, bilety na trzy wydarzenia; ocena autora na stawkach z sekcji 11).

| Tygodnie | Co robimy | Twarde daty | Wynik mierzalny |
|---|---|---|---|
| 1–2 | Jednostronicowy cennik w PLN (L1/L2/B) i opis pakietu SECURE z pozycjami kosztowymi; lista 18 + 10 rezerwowych z nazwiskami (R&D, jakość, zarząd); umowa pilotażowa, szablon autoryzacji testów, NDA, polityka CVD; telefony do ICR Polska, WSCT, Intercert; rejestracja na Warsaw Industry Week; zgłoszenie do Mega Sekurak Hacking Party, jeśli jeszcze możliwe | MSHP 26–27 X; Dig.IT otwiera się 2 XI [238][263] | 10 umówionych rozmów; 1 spotkanie z jednostką notyfikowaną |
| 3–4 | 20 rozmów z producentami (scenariusz: ich produkty, RED od 2025, zgłoszenia od września, przetargi klientów, eksport); 5 rozmów z partnerami (Elmark/ASTOR, Fideltronik, IŁ‑PIB, KIGEiT SIS‑SG, EDIH CyberSec); zapytanie ofertowe „jako klient" do CyberForces i Sii o abonament CRA | Warsaw Industry Week 3–5 XI; Dig.IT 2–30 XI [124][237] | ≥10 rozmów z osobą decyzyjną; 3 firmy proszą o ofertę; wiemy, co oferuje konkurencja |
| 5–6 | Oferty dla 5 firm (projekt B 20–60 tys. EUR, sformatowany pod wniosek SECURE); wspólne pisanie 3 wniosków SECURE; pierwsze firmware dwóch chętnych przez EMBA/unblob/cve‑bin‑tool do Dependency‑Track — pomiar godzin seniora na rodzinę | ATS 17–18 XI (udział, bez stoiska) [250] | 3 podpisane listy intencyjne; pierwszy SBOM i lista „dotyczy/nie dotyczy" dla 2 produktów; czas seniora zmierzony |
| 7–8 | Podpisanie 3 płatnych pilotaży (≥50 tys. zł każdy, część płatna z góry); złożenie wniosków SECURE do 11 XII; list intencyjny z jedną jednostką notyfikowaną o przekazywaniu teczek; wystąpienie lub stoisko na OMH; decyzja o wniosku do CYSSDE/CYBER‑11 jako konsorcjant | SECURE zamyka się 11 XII; OMH 2 XII [234][262] | **Bramka 1 (11 XII):** 3 pilotaże podpisane, 3 wnioski SECURE złożone, 1 LOI jednostki notyfikowanej |
| 9–10 | Realizacja L1 dla pilotaży: feed dopasowany do SBOM, pierwsze VEX/advisory, próbny „dry run" zgłoszenia 24/72 h; pierwsza ocena L2 z odtworzeniem w emulacji; rekrutacja: lista 30 nazwisk z CTFtime/konferencji, 5 rozmów, 1 oferta dla seniora lub mid | — | Pierwsze znaleziska potwierdzone u klienta; wskaźnik fałszywych trafień zmierzony; 1 zobowiązanie kadrowe |
| 11–12 | Warszawski Tydzień Energetyczny z referencją pilotażu; oferty abonamentu A dla pilotażowych klientów; decyzja o wniosku konsorcjalnym CYBER‑11 (termin 14 I); podsumowanie: koszt uwagi, godziny seniora na rodzinę, odpowiedzi na cennik, rozmowy z Mikroniką/Apatorem/Elektrometalem umówione na Q1 | WTE 12–14 I; CYBER‑11 14 I [124][248] | **Bramka 2 (koniec stycznia):** ≥1 pilotaż chce abonamentu; ≥2 nowe firmy w negocjacjach; godziny seniora ≤1,5 dnia/rodzinę/mies. |

**Co musi się wydarzyć, żeby kontynuować (dołożyć kapitał i czas).** Trzy płatne pilotaże podpisane do 11 XII 2026 o łącznej wartości ≥150 tys. zł; co najmniej jedna jednostka notyfikowana RED gotowa do umowy poleceniowej; co najmniej 10 z 20 rozmów potwierdza budżet i osobę decyzyjną (nie „ciekawe, wróćmy za rok"); pomiar pokazuje ≤1,5 dnia seniora na rodzinę produktów miesięcznie w L1 po onboardingu; jeden senior lub dwóch mid zrekrutowanych lub zakontraktowanych frakcyjnie. Jeśli cztery z pięciu warunków są spełnione — przejść do fazy 2: zespół 4–5 osób, 10 klientów do czerwca 2027, wniosek NCC‑PL/CYSSDE, rozmowy z PFR‑owymi funduszami pod koniec 2027.

**Co zabija projekt.** Mniej niż dwa płatne pilotaże do końca stycznia 2027 mimo grantu 50 proc.; odkrycie, że CyberForces, Sii lub ONEKEY przez polskiego partnera sprzedają już abonament z automatyzacją w PLN; brak jakiegokolwiek zainteresowania jednostek notyfikowanych i laboratoriów partnerstwem (wtedy kanał nie istnieje); pomiar >3 dni seniora na rodzinę miesięcznie bez perspektywy spadku (model L1 nie skaluje się); niemożność zakontraktowania choćby jednego seniora firmware w 90 dni. W takim razie opcję zamyka się z zyskiem informacyjnym: lista 18 kontaktów, działający pipeline SBOM i wiedza o rynku, które można sprzedać partnerowi (np. ONEKEY lub Seqred) lub schować do szuflady do 2027 r.

**Koszt uwagi założyciela.** Tygodnie 1–4 są najdroższe (rozmowy i cennik wymagają głowy założyciela: ok. 2 dni/tydz.); od tygodnia 5 lead sprzedaży/zgodności przejmuje kalendarz, a założyciel schodzi do 1 dnia/tydz. na decyzje, trzy wydarzenia i rozmowy z większymi kontami. Sygnał zbiera się bez stałej uwagi: odpowiedzi na cennik, liczba złożonych wniosków SECURE, godziny seniora w arkuszu. Po bramce 2 potrzebny jest operator na miejscu — ten test nie zastąpi decyzji, kto prowadzi firmę na co dzień.

## 15. Otwarte pytania do Macieja

1. Ile dni w tygodniu i przez ile miesięcy możesz dać tej opcji, zanim potrzebny będzie operator na pełny etat — i czy znasz osobę, która mogłaby nim być?
2. Czy pierwsze pieniądze mają być wyłącznie z przychodu i grantów (ścieżka Ethiack), czy dopuszczasz seed 3–5 mln zł w 2027 r. z funduszem PFR‑owym (Epic Investments, Invento II)?
3. Czy chcesz budować własne laboratorium sprzętowe (L3) i kadrę firmware, czy świadomie zostajesz w L1/L2 z partnerami (ICR/IŁ‑PIB/3mdeb) i akceptujesz, że głębia sprzętowa jest wynajęta?
4. Czy masz w zasięgu relacje z którąś z firm z listy 18 (lub z ich właścicielami), które skracają pierwsze trzy rozmowy — czy startujemy na zimno?
5. Jak daleko chcesz iść w stronę dual‑use/obronności (DIANA, FENG z umorzeniem, drony, radiostacje)? To przyspiesza finansowanie, ale wprowadza poświadczenia bezpieczeństwa i inny rytm sprzedaży.
6. Czy akceptujesz, że przez pierwsze 12 miesięcy 60–65 proc. przychodu będzie projektowe (wariant B), a produkt (A) będzie budowany z marży usług — czy wolisz od razu produktowy zakład z większym kapitałem i dłuższym okresem bez przychodu?
7. Jaką rolę ma pełnić AI w opowieści dla klienta: na pierwszym planie („autonomiczny zespół") czy w tle („polski zespół product security, szybszy dzięki agentom")? Polski producent 50–500 osób może ufać drugiej narracji bardziej.
8. Czy partnerstwo technologiczne lub resellerskie z ONEKEY (najbliższy analog, bez partnera w Polsce) jest dla Ciebie opcją, czy chcesz pozostać w pełni niezależny technologicznie?
9. Jaki jest Twój próg bólu na ryzyko prawne typu Newag — czy firma ma publikować własne badania podatności w polskich produktach (budowa marki, ale konflikt z potencjalnymi klientami), czy pracować wyłącznie na zlecenie?
10. Czy publiczny „Polski Threat Feed dla urządzeń" (pomysł 1) może powstać przed pierwszym klientem jako tani sygnał popytu i narzędzie rekrutacyjne — i kto miałby go utrzymywać przez pierwsze 90 dni?

## 16. Źródła

Regulacje (sekcja 3)
1. Komisja Europejska, strona polityki Cyber Resilience Act (aktualizacja 7 IX 2026) — https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
2. Komisja Europejska, FAQ CRA v1.4 (4 IX 2026) — https://ec.europa.eu/newsroom/dae/redirection/document/122331
3. Komisja Europejska, wytyczne do CRA, załącznik do C(2026) 5252 (27 VII 2026) — https://ec.europa.eu/newsroom/dae/redirection/document/131456
4. Komisja Europejska, CRA reporting obligations (11 IX 2026) — https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
5. ENISA, The CRA Single Reporting Platform is launched (11 IX 2026) — https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
6. Komisja Europejska, CRA conformity assessment (31 VII 2026) — https://digital-strategy.ec.europa.eu/en/policies/cra-conformity-assessment
7. Rozporządzenie 2024/2847, art. 64 (kopia tekstu OJ) — https://www.european-cyber-resilience-act.com/Cyber_Resilience_Act_Article_64.html
8. cyberresilienceact.eu, załączniki CRA (2026) — https://www.cyberresilienceact.eu/annexes.html
9. Agoria, CRA implementation update on standards (2 X 2026) — https://www.agoria.be/en/services/expertise/technical-regulations-standardisation/technical-regulations/cyber-resilience-act-implementation-update-on-references-and-standards-with-experts-feedback
10. IBF Solutions, Current status of standardisation for the CRA (6 X 2026) — https://www.ibf-solutions.com/en/news-and-knowledge/technical-papers-and-news-on-ce-marking/current-status-of-standardisation-for-the-cyber-resilience-act
11. Komisja Europejska, SWD(2022) 283, streszczenie oceny skutków (15 IX 2022) — https://ec.europa.eu/newsroom/dae/redirection/document/89553
12. ENISA, SME CRA Survey Report (24 VI 2026) — https://www.enisa.europa.eu/sites/default/files/2026-06/SME%20CRA%20survey%20report.pdf
13. Ministerstwo Cyfryzacji, Europejska platforma zgłaszania podatności i incydentów w ramach CRA (24 IX 2026) — https://www.gov.pl/web/cyfryzacja/europejska-platforma-zglaszania-podatnosci-i-incydentow-w-ramach-aktu-o-cyberodpornosci
14. CERT Polska, CRA – nowe obowiązki dla producentów oprogramowania (25 V 2026) — https://cert.pl/posts/2026/05/cra-dobre-praktyki/
15. Sejm RP, API druków X kadencji (odpytane 23 X 2026) — https://api.sejm.gov.pl/sejm/term10/prints
16. Ustawa o systemach oceny zgodności i nadzoru rynku, t.j. Dz.U. 2025 poz. 568 (29 IV 2025) — https://api.sejm.gov.pl/eli/acts/DU/2025/568/text.pdf
17. UOKiK, Raport dotyczący funkcjonowania systemu nadzoru rynku w 2024 r. (lipiec 2025) — https://uokik.gov.pl/Download/1445
18. Ustawa z 23 I 2026 r. o zmianie ustawy o KSC, Dz.U. 2026 poz. 252 (2 III 2026) — https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20260000252/O/D20260252.pdf
19. Sejm, druk nr 1955 z uzasadnieniem i OSR (7 XI 2025) — https://api.sejm.gov.pl/sejm/term10/prints/1955/1955.pdf
20. Ministerstwo Cyfryzacji, FAQ do nowelizacji KSC (kwiecień 2026) — https://www.gov.pl/attachment/4a661bd4-712c-4faf-8025-bcad437e5a29
21. CRN, Wpisało się już 80 tys. podmiotów kluczowych i ważnych (9 IX 2026) — https://crn.pl/aktualnosci/wpisalo-sie-juz-80-tys-podmiotow-kluczowych-i-waznych-wg-ksc
22. ITwiz, KSC: pół roku na zabezpieczenie firm (23 X 2026) — https://itwiz.pl/ksc-pol-roku-na-zabezpieczenie-firm-najwieksze-luki-tkwia-w-podstawach/
23. UDT, UDT z nową misją – CSIRT sektorowy (2026) — https://www.udt.gov.pl/aktualnosci/udt-z-nowa-misja-bedzie-wspierac-kluczowe-sektory-gospodarki-w-ochronie-przed-cyberzagrozeniami
24. Komisja Europejska (DG GROW), Guidance on the application of EN 18031:2024 (2025, plik 17 II 2026) — https://single-market-economy.ec.europa.eu/document/download/dafe8c0f-c6a4-4faf-ae3f-bd9cbf828889_en?filename=COM%20-%20RED%20HS%20cyber%20-%20Guidance_v1.pdf
25. ADCO RED, Report on market surveillance statistics for 2025 (14 IV 2026) — https://single-market-economy.ec.europa.eu/document/download/ddf24613-cb79-40ad-b69c-9228de954f1a_en?filename=ADCO%20RED%20report%20on%20market%20surveillance%20statistics%20for%202025.pdf
26. IoT Approval, RED cybersecurity to CRA transition (27 II 2026) — https://www.iotapproval.com/articles/red-cybersecurity-to-cyber-resilience-act-transition
27. Rozporządzenie (UE) 2023/1230 w sprawie maszyn, tekst PL (UDT, OJ L 165 z 29 VI 2023) — https://www.udt.gov.pl/images/baza-wiedzy/przepisy/files/pdf/Rozporzadzenie-maszynowe.pdf
28. Multicert, Rozporządzenie maszynowe 2023/1230 od 2027 (2 VI 2026) — https://multicert.pl/blog/rozporzadzenie-maszynowe-2023-1230-od-2027/
29. iTeh, prEN 50742:2025 Safety of machinery – Protection against corruption (stan 23 X 2026) — https://standards.iteh.ai/catalog/standards/clc/36b30e54-1944-4a79-a720-790152a8b083/pren-50742-2025
30. Prawo.pl, Producent programu komputerowego odpowie za szkody (12 VI 2026) — https://www.prawo.pl/prawo/producent-programu-komputerowego-odpowie-za-szkody-na-zyciu-i-zdrowiu,1546168.html
31. Rządowe Centrum Legislacji, projekt UC163 (od 7 IX 2026) — https://legislacja.gov.pl/projekt/12414306
32. KRK Legal, Product liability: objectives of the draft bill implementing the PLD (27 VIII 2026) — https://krk.legal/en/aktualnosci/product-liability-objectives-of-the-draft-bill-implementing-the-pld-in-poland-published/

Zagrożenia i konsekwencje (sekcje 3, 10)
33. CERT Polska, Raport roczny 2025 (8 IV 2026) — https://cert.pl/uploads/docs/Raport_CP_2025.pdf
34. CERT Polska, Raport roczny 2024 (3 IV 2025) — https://cert.pl/uploads/docs/Raport_CP_2024.pdf
35. CERT Polska, Raport: incydent w sektorze energii (30 I 2026) — https://cert.pl/posts/2026/01/raport-incydent-sektor-energii-2025/
36. CERT Polska, Energy Sector Incident Report 2025 (PDF, 30 I 2026) — https://cert.pl/uploads/docs/CERT_Polska_Energy_Sector_Incident_Report_2025.pdf
37. CERT Polska, Uzupełnienie raportu o incydencie w sektorze energii (8 VIII 2026) — https://cert.pl/posts/2026/08/uzupelnienie-raportu-incydent-sektor-energii-2025/
38. ESET Research, Sandworm cyberattack on Poland's power grid (23 I 2026) — https://www.welivesecurity.com/en/eset-research/eset-research-sandworm-cyberattack-poland-power-grid-late-2025/
39. Dragos, ELECTRUM targets distributed energy in Poland (28 I 2026) — https://www.dragos.com/blog/poland-power-grid-attack-electrum-targets-distributed-energy-2025
40. Spider's Web, Byliśmy krok od wielkiego blackoutu (14 I 2026) — https://spidersweb.pl/2026/01/bylismy-krok-od-wielkiego-blackoutu.html
41. Spider's Web, Cyberataki na energetykę – rząd ujawnia szczegóły (15 I 2026) — https://spidersweb.pl/2026/01/cyberataki-na-energetyke-rzad-ujawnia-szczegoly.html
42. SecurityWeek, Polish security agency reports ICS breaches at five water treatment plants (8 V 2026) — https://www.securityweek.com/polish-security-agency-reports-ics-breaches-at-five-water-treatment-plants/
43. Defence24, Polish water and sewage sector under pro-Russian attacks (4 II 2026) — https://defence24.com/other/polish-water-and-sewage-sector-under-pro-russian-attacks-what-does-this-mean
44. Spider's Web, Cyberatak na oczyszczalnię Chodaczów (17 X 2025) — https://spidersweb.pl/2025/10/cyberatak-rosja-na-oczyszczalnie-chodaczow.html
45. Spider's Web, Newag – pozew przeciw Dragon Sector i SPS (2 III 2026) — https://spidersweb.pl/2026/03/newag-impuls-pozew-dragon-sector-sps.html
46. iFixit, Polish train maker is suing the hackers (28 VII 2025) — https://www.ifixit.com/News/112008/polish-train-maker-is-suing-the-hackers-who-exposed-its-anti-repair-tricks
47. Sejm, odpowiedź Ministerstwa Sprawiedliwości na interpelację nr 7395 (7 II 2025) — https://api.sejm.gov.pl/sejm/term10/interpellations/attachment/ATTDDRKF5/i07395-o1.pdf
48. Niebezpiecznik, 1,5 mln zł kary dla firmy medycznej po ataku ransomware (13 VIII 2024) — https://niebezpiecznik.pl/post/15-mln-zlotych-kary-dla-firmy-medycznej-po-ataku-ransomware/
49. gov.uk, Government backs Jaguar Land Rover with 1.5 billion loan guarantee (28 IX 2025) — https://www.gov.uk/government/news/government-backs-jaguar-land-rover-with-15-billion-loan-guarantee
50. Asahi Group Holdings, notice on material weakness (27 VII 2026) — https://www.asahigroup-holdings.com/en/newsroom/detail/20260727-0204.html
51. SecurityWeek, Clorox sues Cognizant for 380 million (24 VII 2025) — https://www.securityweek.com/clorox-sues-cognizant-for-380-million-over-2023-hack/
52. BleepingComputer, Backdoor found in two healthcare patient monitors (30 I 2025) — https://www.bleepingcomputer.com/news/security/backdoor-found-in-two-healthcare-patient-monitors-linked-to-ip-in-china/
53. Wikipedia, TP-Link (z odesłaniami do Reuters/PCMag, stan 23 X 2026) — https://en.wikipedia.org/wiki/TP-Link
54. Wikipedia, Hikvision (z odesłaniami do Reuters/Global News/Times of India, stan 23 X 2026) — https://en.wikipedia.org/wiki/Hikvision
55. Dagbladet Børsen, Alarm etter norsk Kina-sjekk (11 XI 2025) — https://borsen.dagbladet.no/nyheter/alarm-etter-norsk-kina-sjekk/83833719
56. BleepingComputer, Johnson Controls says ransomware attack cost 27 million (31 I 2024) — https://www.bleepingcomputer.com/news/security/johnson-controls-says-ransomware-attack-cost-27-million-data-stolen/

AI po stronie ataku i obrony (sekcje 3, 8)
57. Google Threat Intelligence Group, Vulnerability Discovery and Exploitation Trends in the AI Era (30 IX 2026) — https://cloud.google.com/blog/topics/threat-intelligence/vulnerability-discovery-and-exploitation-trends-in-the-ai-era
58. DARPA, AI Cyber Challenge results (8 VIII 2025) — https://www.darpa.mil/news/2025/aixcc-results
59. Anthropic, Project Glasswing (7 IV 2026, aktualizacja X 2026) — https://www.anthropic.com/glasswing
60. Google, Cybersecurity updates summer 2025 – Big Sleep (15 VII 2025) — https://blog.google/technology/safety-security/cybersecurity-updates-summer-2025/
61. Google DeepMind, Introducing CodeMender (6 X 2025) — https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/
62. Calif, PHP2Shell (X 2026) — https://calif.io/php2shell
63. Wiz Research, PHP2Shell (21 X 2026) — https://www.wiz.io/blog/php2shell-php-rce
64. AWS Security Blog, Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure (21 X 2026) — https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
65. The Register, Hackers pile on PHP2Shell (22 X 2026) — https://www.theregister.com/cyber-crime/2026/10/22/hackers-pile-on-php2shell-as-aws-reveals-attacks-began-before-disclosure/5304749
66. GreyNoise, AI-orchestrated campaign against PaperCut NG/MF (9 IX 2026) — https://www.greynoise.io/blog/ai-orchestrated-campaign-against-papercut-ng-mf
67. Mandiant, M-Trends 2026 Executive Edition (2026) — https://services.google.com/fh/files/misc/m-trends-2026-executive-edition-en.pdf
68. Verizon, Data Breach Investigations Report 2026 — https://www.verizon.com/business/resources/reports/dbir/
69. VulnCheck, Exploitation trends Q1 2025 (24 IV 2025) — https://www.vulncheck.com/blog/exploitation-trends-q1-2025
70. CVE-Bench (arXiv 2503.17332, 2025) — https://arxiv.org/abs/2503.17332
71. CyberGym (arXiv 2506.02548, 2025–2026) — https://arxiv.org/abs/2506.02548
72. BountyBench (arXiv 2505.15216, 2025) — https://arxiv.org/abs/2505.15216
73. Daniel Stenberg, blog curl – koniec bug bounty (I 2026) — https://daniel.haxx.se/blog/2026/01/
74. Anthropic, Usage Policy (obowiązuje od 12 XI 2026) — https://www.anthropic.com/legal/aup
75. Microsoft Research, Project Ire (5 VIII 2025) — https://www.microsoft.com/en-us/research/blog/project-ire-autonomously-identifies-malware-at-scale/

Enclave (sekcja 2)
76. Enclave, strona główna (stan 23 X 2026) — https://enclave.ai/
77. Enclave, Security's Blindspot & The Last Mile of Shipping Software (26 III 2026) — https://enclave.ai/blog/securitys-blindspot
78. Enclave, Pricing (stan 23 X 2026) — https://enclave.ai/pricing
79. Enclave, CVE monitoring (stan 23 X 2026) — https://enclave.ai/solutions/cve-monitoring
80. Enclave, The exploit survival curve just went to zero (10 IX 2026) — https://enclave.ai/blog/the-exploit-survival-curve-just-went-to-zero
81. Enclave, Why we're giving open source a security team (22 X 2026) — https://enclave.ai/blog/why-were-giving-open-source-a-security-team
82. Enclave, Privacy Policy (16 III 2026) — https://enclave.ai/legal/privacy-policy
83. Business Insider (przedruk benzatine.com), Startup Enclave secures 6 million (26 III 2026) — https://benzatine.com/news-room/startup-enclave-secures-6-million-to-uncover-ai-code-vulnerabilities
84. Enclave, Trust Center (stan 23 X 2026) — https://trust.enclave.ai/
85. Enclave, Careers (stan 23 X 2026) — https://enclave.ai/careers

Segmenty klientów (sekcja 4)
86. Eurostat, sbs_sc_ovw – Enterprise statistics by size class (aktualizacja 30 IX 2026) — https://ec.europa.eu/eurostat/databrowser/view/sbs_sc_ovw/default/table
87. Eurostat, sbs_ovw_act (aktualizacja 30 IX 2026) — https://ec.europa.eu/eurostat/databrowser/view/sbs_ovw_act/default/table
88. GUS, Rocznik Statystyczny Przemysłu 2025 (16 II 2026) — https://stat.gov.pl/obszary-tematyczne/roczniki-statystyczne/roczniki-statystyczne/rocznik-statystyczny-przemyslu-2025,5,19.html
89. Eurostat, ext_tec01 – Trade by enterprise characteristics (aktualizacja 8 X 2026) — https://ec.europa.eu/eurostat/databrowser/view/ext_tec01/default/table
90. tek.info.pl, TOP 100 polskich OEM 2026 (15 X 2026) — https://tek.info.pl/article/5663/top_100_polskich_oem_2026
91. tek.info.pl, TOP100 polskich OEM 2025 (22 X 2025) — https://tek.info.pl/article/4903/top100_polskich_oem_2025
92. TECH Sterowniki, strona firmowa (stan 24 X 2026) — https://tech-controllers.com/
93. analizafirm.pl, ranking producentów elektroniki (stan 24 X 2026) — https://analizafirm.pl/ranking/producenci-elektroniki/
94. Plum, kariera (stan 24 X 2026) — https://plum.pl/kariera/
95. biznesradar.pl, Apator – rachunek zysków i strat (stan 24 X 2026) — https://www.biznesradar.pl/raporty-finansowe-rachunek-zyskow-i-strat/APATOR
96. Mikronika, strona firmowa (stan 24 X 2026) — https://www.mikronika.pl/
97. Elektrometal Energetyka, strona firmowa (stan 24 X 2026) — https://elektrometal-energetyka.pl/
98. Ekoenergetyka, O nas (stan 24 X 2026) — https://ekoenergetyka.com/pl/o-nas/
99. Ekoenergetyka, komunikat prasowy o finansowaniu 741 mln zł (VI 2024) — https://ekoenergetyka.com/wp-content/uploads/2024/06/komunikat-prasowy-ekoenergetyka-zdobywa-pln-741-mln-na-dynamiczny-rozwoj.pdf
100. Satel, O firmie (stan 24 X 2026) — https://www.satel.pl/firma/
101. SUPLA, strona platformy (stan 24 X 2026) — https://www.supla.org/
102. Grenton, About us (stan 24 X 2026) — https://grenton.com/about-us-2/
103. Elproma Electronics, strona firmowa z polityką CVD (stan 24 X 2026) — https://elpromaelectronics.com/
104. Strefa Inwestorów, Sonel z rekordowym zyskiem (22 IV 2025) — https://strefainwestorow.pl/wiadomosci/20250422/sonel-z-rekordowym-zyskiem-netto-131-mln-zl-w-4q24-rekordowe-wyniki-i
105. Posnet, O nas (stan 24 X 2026) — https://www.posnet.com.pl/o-nas
106. Impakt, strona firmowa (stan 24 X 2026) — https://impakt.com.pl/
107. Medcom, strona firmowa (stan 24 X 2026) — https://www.medcom.com.pl/
108. NVD, CVE-2021-20991 (Fibaro Home Center) — https://nvd.nist.gov/vuln/detail/CVE-2021-20991
109. NVD, CVE-2021-45876 (GARO wallbox) — https://nvd.nist.gov/vuln/detail/CVE-2021-45876
110. TED 22543-2024, Enea Operator – liczniki zdalnego odczytu (12 I 2024) — https://ted.europa.eu/pl/notice/22543-2024/pdf
111. TED 89635-2025, PEC Gliwice – cyfryzacja (10 II 2025) — https://ted.europa.eu/pl/notice/89635-2025/pdf
112. TED 202925-2025, Gmina Gorzkowice – PV i magazyny (31 III 2025) — https://ted.europa.eu/pl/notice/202925-2025/pdf
113. TED 795576-2025, Koleje Małopolskie – naprawy P5 (1 XII 2025) — https://ted.europa.eu/pl/notice/795576-2025/pdf
114. Rozporządzenie w sprawie wymagań dla liczników zdalnego odczytu, Dz.U. 2022 poz. 788 — https://api.sejm.gov.pl/eli/acts/DU/2022/788/text.pdf
115. LinkedIn, Lenovo – Cyber Resilience Act Compliance Manager, Warszawa (20 X 2026) — https://pl.linkedin.com/jobs/view/cyber-resilience-act-compliance-manager-at-lenovo-4447144035
116. Afine, strona główna z referencją Apator (stan 24 X 2026) — https://afine.com/
117. Ministerstwo Cyfryzacji, Cyberbezpieczne Wodociągi – blisko 900 wniosków (9 X 2025) — https://www.gov.pl/web/cyfryzacja/cyberbezpieczne-wodociagi--blisko-900-wnioskow-o-dofinansowanie
118. ITwiz, Cyberbezpieczne Wodociągi: 590 mln zł (10 II 2026) — https://itwiz.pl/cyberbezpieczne-wodociagi-590-mln-zl-na-bezpieczenstwo-infrastruktury-krytycznej/
119. TED 127612-2026, Piotrkowskie Wodociągi i Kanalizacja (2026) — https://ted.europa.eu/en/notice/-/detail/127612-2026
120. URE, Energetyka cieplna w liczbach 2025 (17 VII 2026) — https://www.ure.gov.pl/pl/cieplo/energetyka-cieplna-w-l/13361,2025.html
121. GUS, Zdrowie i ochrona zdrowia w 2024 r. (17 XII 2025) — https://stat.gov.pl/obszary-tematyczne/zdrowie/zdrowie/zdrowie-i-ochrona-zdrowia-w-2024-r-,1,15.html
122. KIGEiT, członkowie i sekcje (stan 24 X 2026) — https://kigeit.org.pl/czlonkowie_kigeit/
123. PIIT, webinar TKP: Cyber Resilience Act (10 IX 2026) — https://piit.org.pl/wydarzenia/tkp-webinar-cyber-resilience-act-cra-nowe-obowiazki-dla-producentow-importerow-i-dystrybutorow-z-rynku-ict
124. Ptak Warsaw Expo, kalendarz targów (stan 24 X 2026) — https://warsawexpo.eu/kalendarz-targow/
125. InfraSEC Forum 2027 (stan 24 X 2026) — https://infrasecforum.pl/
126. ITwiz, Cyber Resilience Act zmienia zasady wyboru dostawców (14 IX 2026) — https://itwiz.pl/cyber-resilience-act-zmienia-zasady-wyboru-dostawcow/

Konkurencja, laboratoria, platformy (sekcja 5)
127. TestArmy CyberForces, Testy urządzeń IoT (stan 23 X 2026) — https://cyberforces.com/testy-urzadzen-iot
128. TestArmy CyberForces, Zgodność z CRA (stan 23 X 2026) — https://cyberforces.com/cra
129. SecuRing, Testy bezpieczeństwa urządzeń (stan 23 X 2026) — https://www.securing.pl/pl/service/testy-bezpieczenstwa-urzadzen/
130. Sii Polska, Embedded cybersecurity (stan 23 X 2026) — https://sii.pl/oferta/embedded-systems/embedded-cybersecurity/
131. Spyrosoft, Cybersecurity services (stan 23 X 2026) — https://spyro-soft.com/services/cybersecurity
132. Seqred, Cybersecurity Bill of Materials (stan 23 X 2026) — https://seqred.pl/cbom/
133. Seqred, Secure Product Development (stan 23 X 2026) — https://seqred.pl/secure-product-development/
134. ICsec, Partnerzy (stan 23 X 2026) — https://icsec.pl/partnerzy/
135. Elmark Automatyka, sklep – cyberbezpieczeństwo przemysłowe (stan 23 X 2026) — https://www.elmark.com.pl/sklep/cyberbezpieczenstwo-przemyslowe
136. ASTOR, Cyberbezpieczny wodociąg (stan 23 X 2026) — https://www.astor.com.pl/oferta/branze/cyberbezpieczny-wodociag.html
137. Niebezpiecznik, Testy penetracyjne (stan 23 X 2026) — https://niebezpiecznik.pl/testy-penetracyjne/
138. Single Market Compliance Space, jednostki notyfikowane do CRA (stan 23 X 2026) — https://webgate.ec.europa.eu/single-market-compliance-space/notified-bodies/notified-body-list?filter=legislationId:167953,notificationStatusId:1
139. Single Market Compliance Space, jednostki notyfikowane RED – Polska (stan 23 X 2026) — https://webgate.ec.europa.eu/single-market-compliance-space/notified-bodies/notified-body-list?filter=legislationId:154428,countryId:616,notificationStatusId:1
140. Single Market Compliance Space, EUCC – Polska (stan 23 X 2026) — https://webgate.ec.europa.eu/single-market-compliance-space/notified-bodies/notified-body-list?filter=legislationId:164702,countryId:616,notificationStatusId:1
141. ICR Polska, Badania wyrobów – cyberbezpieczeństwo (stan 23 X 2026) — https://icrpolska.com/badania-wyrobow/cyberbezpieczenstwo/
142. NASK, Certification (stan 23 X 2026) — https://nask.pl/certification
143. Instytut Łączności – PIB, Laboratorium Oceny Bezpieczeństwa (LOB) (stan 23 X 2026) — https://www.gov.pl/web/instytut-lacznosci/lob
144. Łukasiewicz – AI, Laboratorium ITSEF (stan 23 X 2026) — https://ai.lukasiewicz.gov.pl/laboratorium-itsef-it-security-evaluation-facility/
145. Łukasiewicz – AI, Platforma OSCRAT oficjalnie uruchomiona (11 IX 2026) — https://ai.lukasiewicz.gov.pl/2026/09/11/platforma-oscrat-oficjalnie-uruchomiona-lukasiewicz-ai-partnerem-projektu/
146. SGS Brightsight, CRA notified body services (stan 23 X 2026) — https://www.brightsight.com/cra-notified-body-services
147. EY Polska, Ocena zgodności z UKSC (stan 23 X 2026) — https://www.ey.com/pl_pl/services/cybersecurity/ocena-zgodnosci-z-uksc
148. ONEKEY, strona główna (stan 23 X 2026) — https://www.onekey.com/
149. ONEKEY, Press releases 2024–2026 — https://www.onekey.com/press-releases
150. ONEKEY, About us (stan 23 X 2026) — https://onekey.com/about-us
151. CB Insights, ONEKEY (stan 23 X 2026) — https://www.cbinsights.com/company/onekey
152. tech.eu, Exein raises 270M at 1.7B valuation (15 IX 2026) — https://tech.eu/2026/09/15/exein-raises-270m-at-1-7b-valuation-claims-title-of-europe-s-most-valuable-cybersecurity-scaleup/
153. Dragos, Dragos acquires NetRise and runZero (21 IX 2026) — https://www.dragos.com/blog/dragos-acquires-netrise-runzero-xot-platform
154. AlternativeTo, BugProve (aktualizacja 15 IX 2025) — https://alternativeto.net/software/bugprove/about/
155. PitchBook, BugProve profile (status Out of Business, 1 IX 2025) — https://pitchbook.com/profiles/company/458766-73
156. Nozomi Networks, Mitsubishi Electric completes acquisition (28 I 2026) — https://www.nozominetworks.com/press-release/nozomi-networks-enters-next-phase-of-growth-as-mitsubishi-electric-completes-acquisition
157. Milano Finanza, Nozomi ceduta a Mitsubishi per 883 milioni (9 IX 2025) — https://www.milanofinanza.it/news/de-benedetti-maxi-exit-nella-cybersecurity-l-italo-americana-nozomi-ceduta-a-mitsubishi-per-883-milioni-202509091945299723
158. Dragos, Dragos OT cybersecurity with Accenture (18 VI 2026) — https://www.dragos.com/resources/press-release/dragos-ot-cybersecurity-with-accenture
159. Microsoft, Defender for IoT pricing (stan 23 X 2026) — https://www.microsoft.com/en-us/security/business/endpoint-security/microsoft-defender-iot-pricing
160. Exclusive Networks Poland, Vendors (stan 23 X 2026) — https://www.exclusive-networks.com/pl/vendors/
161. XBOW, XBOW raises 120M to scale (18 III 2026) — https://xbow.com/news/xbow-raises-120m-to-scale
162. XBOW, Top 1: how XBOW did it (24 VI 2025) — https://xbow.com/blog/top-1-how-xbow-did-it
163. AWS Marketplace, Horizon3 NodeZero (stan 23 X 2026) — https://aws.amazon.com/marketplace/pp/prodview-l4tou5vhpvarm
164. Pentera, Contact us (stan 23 X 2026) — https://pentera.io/contact-us/
165. Ethiack, Pricing (stan 23 X 2026) — https://ethiack.com/pricing
166. Ethiack, Ethiack raises a 4 million funding round (10 XII 2024) — https://blog.ethiack.com/blog/ethiack-raises-a-4-million-funding-round-to-develop-ai-powered-hackbots
167. Alias Robotics, Cybersecurity Superintelligence – cennik CSI (stan 23 X 2026) — https://aliasrobotics.com/cybersecuritysuperintelligence.php
168. GitHub, aliasrobotics/cai (archiwum, stan 23 X 2026) — https://github.com/aliasrobotics/cai
169. Strix, Pricing (stan 23 X 2026) — https://strix.ai/pricing
170. Keygraph, Shannon (stan 23 X 2026) — https://keygraph.io/
171. Dealroom, Cohere signs LOI to buy AISLE (15 X 2026) — https://dealroom.co/news/162867-cohere-signs-loi-to-buy-ai-vulnerability-hunter-aisle-adding-cyber-to-it/
172. Snyk, Plans (stan 23 X 2026) — https://snyk.io/plans/
173. Gecko Security, Pricing (stan 23 X 2026) — https://gecko.security/pricing
174. Corgea, Pricing (stan 23 X 2026) — https://corgea.com/pricing

Firmy porównywalne (sekcja 6)
175. CB Insights, Cybellum (stan 23 X 2026) — https://www.cbinsights.com/company/cybellum
176. Cybellum, News (stan 23 X 2026) — https://cybellum.com/news/
177. CB Insights, NetRise (stan 23 X 2026) — https://www.cbinsights.com/company/netrise
178. PRWeb, Red Balloon Security brings OFRAK to the commercial market (5 VI 2024) — https://www.prweb.com/releases/securing-embedded-devices-with-the-defend-from-within-approach-to-firmware-security-red-balloon-security-with-support-from-darpa-brings-ofrak-to-the-commercial-market-302164496.html
179. Honeywell, Honeywell to acquire SCADAfence (10 VII 2023) — https://www.honeywell.com/us/en/press/2023/07/honeywell-to-acquire-scadafence-strengthening-its-cybersecurity-software-portfolio
180. PR Newswire, Claroty secures 150 million in Series F (22 I 2026) — https://www.prnewswire.com/news-releases/claroty-secures-150-million-in-series-f-funding-to-lead-charge-on-securing-the-worlds-mission-critical-infrastructure-302667496.html
181. Wikipedia, Pentera (stan 23 X 2026) — https://en.wikipedia.org/wiki/Pentera
182. MamStartup, ORLEN VC inwestuje w ICsec (2 VI 2022) — https://mamstartup.pl/orlen-vc-inwestuje-w-icsec-to-pierwsza-inwestycja-funduszu-nalezacego-do-pkn-orlen/
183. MamStartup, Secfense – podsumowanie 2023 (13 XII 2023) — https://mamstartup.pl/secfense-rozpoczelo-wspolprace-z-pierwszym-zagranicznym-klientem-podsumowanie-2023/
184. ISBtech, Nethone łączy siły z Mangopay (29 XI 2022) — https://www.isbtech.pl/2022/11/nethone-laczy-sily-z-mangopay/
185. MamStartup, 40 mln zł dla Fudo Security od bValue (20 I 2025) — https://mamstartup.pl/40-mln-zl-dla-polskich-ekspertow-od-cyberbezpieczenstwa-trzecia-inwestycja-bvalue-fund-wedruje-do-fudo-security/
186. CzechCrunch, Whalebone – Series B (18 II 2025) — https://cc.cz/investory-zaujal-startup-z-brna-ktery-ma-za-cil-ochranit-miliardu-uzivatelu-ziskal-stovky-milionu/
187. CzechCrunch, Wultra – runda 2025 (15 I 2025) — https://cc.cz/utoky-kvantovych-pocitacu-se-blizi-wultra-chce-ochranit-banky-nabira-miliony-a-miri-do-singapuru/
188. Help Net Security, Kemp acquires Flowmon (9 XI 2020) — https://www.helpnetsecurity.com/2020/11/09/kemp-acquires-flowmon/
189. Wikipedia, Kemp Technologies (przejęcie przez Progress za 258 mln USD, 2021) — https://en.wikipedia.org/wiki/Kemp_Technologies
190. ITwiz, Wartość inwestycji VC w Polsce w 2025 r. – 3,4 mld zł (2 II 2026) — https://itwiz.pl/w-2025-roku-wartosc-inwestycji-venture-capital-w-polsce-wyniosla-34-mld-zl/
191. ITwiz, Polskie startupy zebrały ponad 5 mld zł (22 X 2026) — https://itwiz.pl/polskie-startupy-zebraly-ponad-5-mld-zl-ale-dwie-firmy-odpowiadaja-za-74-tej-kwoty/
192. MamStartup, Striga – 1 mln EUR seed (23 VI 2026) — https://mamstartup.pl/aby-audyt-bezpieczenstwa-byl-w-zasiegu-kazdego-zespolu/

Technologia, dane, prawo (sekcja 8)
193. GitHub, EMBA – firmware security analyzer (stan 24 X 2026) — https://github.com/e-m-b-a/emba
194. EMBA wiki, Installation (stan 24 X 2026) — https://github.com/e-m-b-a/emba/wiki/Installation
195. GitHub, onekey-sec/unblob – releases (do 4 VI 2026) — https://github.com/onekey-sec/unblob/releases
196. GitHub, ReFirmLabs/binwalk – releases (v3.1.0) — https://github.com/ReFirmLabs/binwalk/releases
197. GitHub, intel/cve-bin-tool – releases (v3.4) — https://github.com/intel/cve-bin-tool/releases
198. GitHub, DependencyTrack/dependency-track – releases (5.1–5.2, 2026) — https://github.com/DependencyTrack/dependency-track/releases
199. Yocto Project, Creating a Software Bill of Materials (stan 24 X 2026) — https://docs.yoctoproject.org/dev/dev-manual/sbom.html
200. GitHub, LaurieWired/GhidraMCP (stan 24 X 2026) — https://github.com/LaurieWired/GhidraMCP
201. GitHub, HexRaysSA/ida-mcp – official IDA MCP server (25 IX 2026) — https://github.com/HexRaysSA/ida-mcp
202. Hex-Rays, Pricing (stan 24 X 2026) — https://hex-rays.com/pricing
203. Binary Ninja, Purchase (stan 24 X 2026) — https://binary.ninja/purchase/
204. Hetzner, Dedicated root server AX line (stan 24 X 2026) — https://www.hetzner.com/dedicated-rootserver/matrix-ax/
205. Anthropic, Claude pricing (stan 24 X 2026) — https://platform.claude.com/docs/en/about-claude/pricing
206. OpenAI, API pricing (stan 24 X 2026) — https://developers.openai.com/api/docs/pricing
207. NIST, NVD announcements (15 IV 2026 i późniejsze) — https://www.nist.gov/itl/nvd
208. SecurityWeek, ENISA launches European Vulnerability Database (14 V 2025) — https://www.securityweek.com/eu-cybersecurity-agency-enisa-launches-european-vulnerability-database/
209. Cloud Security Alliance, research note: ENISA CVE Root, dual governance (18 V 2026) — https://labs.cloudsecurityalliance.org/research/csa-research-note-enisa-cve-root-dual-governance-20260518-cs/
210. FIRST, EPSS (stan 24 X 2026) — https://www.first.org/epss/
211. VulnCheck, Community (stan 24 X 2026) — https://vulncheck.com/community
212. Shadowserver, Network reporting (stan 24 X 2026) — https://www.shadowserver.org/what-we-do/network-reporting/
213. kernel.org, CVE process of the Linux kernel CNA (stan 24 X 2026) — https://docs.kernel.org/process/cve.html
214. CERT Polska, Coordinated Vulnerability Disclosure policy (stan 24 X 2026) — https://cert.pl/en/cvd/
215. BSI, Technische Richtlinie TR-03183 (stan 24 X 2026) — https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr03183/TR-03183_node.html
216. Wang i in., spójność narzędzi SBOM (arXiv 2601.05622, I 2026) — https://arxiv.org/abs/2601.05622
217. Zhou, Dacier, Konstantinou, A Reality Check on SBOM-based Vulnerability Management (arXiv 2511.20313, XI 2025) — https://arxiv.org/abs/2511.20313
218. Ullah i in., LLMs cannot reliably identify and reason about security vulnerabilities (arXiv 2312.12575, IEEE S&P 2024) — https://arxiv.org/abs/2312.12575
219. Kodeks karny, tekst jednolity (Sejm ELI, stan 28 VIII 2026) — https://api.sejm.gov.pl/eli/acts/DU/1997/553/text/U/D19970553Lj.pdf
220. Ustawa o prawie autorskim i prawach pokrewnych, tekst jednolity (Sejm ELI, stan 16 X 2026) — https://api.sejm.gov.pl/eli/acts/DU/1994/83/text/U/D19940083Lj.pdf
221. Ustawa o zwalczaniu nieuczciwej konkurencji, tekst jednolity (Sejm ELI, stan 30 I 2026) — https://api.sejm.gov.pl/eli/acts/DU/1993/211/text/U/D19930211Lj.pdf
222. NIST SP 800-82 Rev. 3, Guide to Operational Technology Security (IX 2023) — https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-82r3.pdf
223. Anthropic Privacy Center, How long do you store my organization's data (aktualizacja 1 VII 2026) — https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data

Model biznesowy, finansowanie, GTM (sekcje 9–10)
224. KPMG, Barometr cyberbezpieczeństwa 2026 (III 2026) — https://kpmg.com/pl/pl/wiedza/technologia/barometr-cyberbezpieczenstwa-2026.html
225. KPMG, Barometr cyberbezpieczeństwa 2026 – pełny raport PDF (III 2026) — https://assets.kpmg.com/content/dam/kpmgsites/pl/pdf/2026/03/Raport-KPMG-w-Polsce-Barometr-cyberbezpiecze%C5%84stwa-2026.pdf.coredownload.inline.pdf
226. ESET/DAGMA, Cyberportret polskiego biznesu 2025 (2025) — https://www.eset.com/pl/about/newsroom/press-releases/news/cyberbezpieczenstwo-polskich-firm-w-nowej-rzeczywistosci-druga-edycja-raportu-eset-i-dagma-bezpieczenstwo-it
227. Eurostat, isoc_cisce_ra – ICT security in enterprises (2022/2024, pobrane 24 X 2026) — https://ec.europa.eu/eurostat/api/dissemination/statistics/1.0/data/isoc_cisce_ra?format=JSON&lang=EN&geo=PL&geo=EU27_2020&geo=DE&geo=CZ&time=2022&time=2024&unit=PC_ENT&indic_is=E_ITSEC3OWN&indic_is=E_ITSEC3EXT&indic_is=E_ITSEC3
228. Cisco, Cybersecurity Readiness Index 2025 – Poland (V 2025) — https://mikrokontroler.pl/wp-content/uploads/2025/05/2025_Cisco_Cybersecurity_Readiness_Index_PL.pdf
229. ITwiz, Cyberbezpieczeństwo napędza wzrost rynku IT w Polsce (PMR, 3 II 2026) — https://itwiz.pl/cyberbezpieczenstwo-napedza-wzrost-rynku-it-w-polsce/
230. COIG, Oferta SOC Lite/Pro/Elite – cennik (PDF, 29 VII 2025) — https://rejestracja.coig.pl/wp-content/uploads/Oferta-SOC-Lite-SOC-Pro-SOC-Elite-8-1.pdf
231. cenauslug.pl, Przewodnik: bezpieczeństwo IT i audyty (24 IX 2026) — https://cenauslug.pl/przewodnik/bezpieczenstwo-it-i-audyty
232. PZU, Bezpieczne dane, bezpieczny biznes – FAQ ubezpieczenia cyber (13 XI 2025) — https://www.pzu.pl/_fileserver/item/1565064
233. freenance.io, Ubezpieczenie cyber 2026 w Polsce – koszty (2026, źródło wtórne) — https://freenance.io/ubezpieczenia/ubezpieczenie-cyber-2026-poland-koszt-firma-hacking-ransomware-rodo-procedura/
234. SECURE4SME, Second open call (1 X–11 XII 2026) — https://secure4sme.eu/cascade-funding/second-open-call
235. NCC-PL, Drugi konkurs grantowy dla MŚP objętych CRA (X 2026) — https://www.gov.pl/web/cyber-nccpl/drugi-konkurs-grantowy-dla-msp-objetych-cra
236. SCHUTZWERK, EU SECURE4SME funding (2026) — https://www.schutzwerk.com/en/funding/eu-secure4sme/
237. erste.pl, Dig.IT – cyfrowa transformacja firm (nabór 2/2026) — https://www.erste.pl/nowa-energia/dotacje/dig-it-cyfrowa-transformacja-firm
238. Grant Thornton, webinar Dig.IT (22 X 2026) — https://grantthornton.pl/?p=52183
239. ITwiz, 10 mld zł na cyfryzację firm – FBiO i instrument dual-use (12 VIII 2026) — https://itwiz.pl/10-mld-zl-na-cyfryzacje-firm-na-jakie-wsparcie-moga-liczyc-msp/
240. CyberSec EDIH, Krajowe Centrum Bezpiecznej Transformacji Cyfrowej (stan 24 X 2026) — https://cyber-sec.net.pl/
241. NCC-PL, Cyberbezpieczeństwo zyskuje wsparcie – projekty ruszyły (2026) — https://www.gov.pl/web/cyber-nccpl/cyberbezpieczenstwo-zyskuje-wsparcie--projekty-ruszyly
242. NCC-PL, Granty do 200 000 EUR dla organizacji specjalizujących się w cyberbezpieczeństwie (CYSSDE, 2026) — https://www.gov.pl/web/cyber-nccpl/granty-w-wysokosci-do-200-000--dla-organizacji-specjalizujacych-sie-w-cyberbezpieczenstwie
243. MamStartup, PARP uruchamia program Start-ups Are Us (13 V 2026) — https://mamstartup.pl/cyberbezpieczenstwo-bez-granic-w-parp-rusza-program-start-ups-are-us/
244. PAIH, Polskie Mosty Technologiczne (nabór 4N/2026) — https://www.paih.gov.pl/polskie-mosty-technologiczne/
245. European Innovation Council, EIC Accelerator 2026 — https://eic.ec.europa.eu/eic-funding-opportunities/eic-accelerator_en
246. Defence24, FORT Kraków finalizuje pierwszą turę akceleracji NATO DIANA (22 V 2026) — https://defence24.pl/wiadomosci/przyszlosc-obronnosci-w-rekach-innowatorow-fort-krakow-finalizuje-pierwsza-ture-akceleracji-w-ramach-nato-diana
247. ITwiz, PFR Ventures uruchamia 260 mln zł dla startupów (17 III 2026) — https://itwiz.pl/pfr-ventures-uruchamia-260-mln-zl-dla-startupow/
248. Rannís, New ECCC call for proposals under the Digital Europe Programme (4 IX 2026) — https://island.is/en/news/new-eccc-call-for-proposals-under-the-digital-europe-programme-is-open-for-applications
249. Bessemer Venture Partners, Scaling to 100 Million (21 IX 2021) — https://www.bvp.com/atlas/scaling-to-100-million
250. Advanced Threat Summit 2026 (17–18 XI 2026) — https://atsummit.pl/
251. Siemens / Charter of Trust, Principle 2 – baseline requirements for suppliers (11 III 2019) — https://assets.new.siemens.com/siemens/assets/api/uuid:eb293be1-cf86-45f6-9eb5-28b013210639/charteroftrust-principle2-20190311.pdf
252. Relpol, wstępne wyniki za 2024 r. (28 III 2025) — https://www.relpol.pl/en/content/download/77739/3125564/Raport%20bie%C5%BC%C4%85cy%202%20Wst%C4%99pne%20wyniki%20za%202024.pdf

Zespół i talent (sekcja 11)
253. freenance.io, Zarobki w cyberbezpieczeństwie 2026 – pentester, CISO, SOC (2026, dane orientacyjne) — https://freenance.io/zawody/zarobki-cyberbezpieczenstwo-2026-pentester-ciso-soc-analyst-polska-praca/
254. freenance.io, Zarobki w cyberbezpieczeństwie 2026 (2026, dane orientacyjne) — https://freenance.io/zarobki/zarobki-w-cyberbezpieczenstwie-2026/
255. ITwiz, Którzy specjaliści IT zarobią najwięcej w 2026 roku (Just Join IT/N-iX, 3 II 2026) — https://itwiz.pl/ktorzy-specjalisci-it-zarobia-najwiecej-w-2026-roku/
256. ITwiz, 15. raport płacowy Antal (30 IX 2026) — https://itwiz.pl/?p=75075
257. CTFtime, Dragon Sector (team 3329) — https://ctftime.org/team/3329
258. CTFtime, justCatTheFish (team 33893) — https://ctftime.org/team/33893
259. CTFtime, Poland country ranking 2025 — https://ctftime.org/stats/2025/PL
260. ECSC, Past editions (2018–2025) — https://ecsc.eu/past-editions
261. Warszawski Hackerspace (stan 23 X 2026) — https://hackerspace.pl/
262. Oh My H@ck 2026 (2 XII 2026) — https://omhconf.pl/
263. Sekurak, Mega Sekurak Hacking Party 2026 – 26 i 27 października (2026) — https://sekurak.pl/26-i-27-tak-beda-dwa-dni/
264. CONFidence 2027 (24–25 V 2027) — https://confidence-conference.org/
265. Invisible Things Lab (stan 23 X 2026) — https://invisiblethingslab.com/
266. 3mdeb, About us (stan 23 X 2026) — https://3mdeb.com/about-us/
267. HexArcana, O nas (stan 23 X 2026) — https://hexarcana.pl/about/
268. WB Group, strona grupy (stan 23 X 2026) — https://www.wbgroup.pl/en/
269. MamStartup, ESOP jako must have w umowie inwestycyjnej – Lawmore (3 II 2025) — https://mamstartup.pl/esop-jako-must-have-w-umowie-inwestycyjnej-o-programach-motywacyjnych-opowiada-michalina-gdula-lawmore/
270. gov.pl, Minimalne wynagrodzenie za pracę w 2026 r. — https://www.gov.pl/web/rodzina/minimalne-wynagrodzenie-za-prace

Uzupełnienia
271. NASK, Ponad 11 mln euro na cyberbezpieczeństwo firm – drugi nabór w programie SECURE (X 2026) — https://www.nask.pl/aktualnosci/ponad-11-mln-euro-na-cyberbezpieczenstwo-firm-trwa-drugi-nabor-w-programie-secure
272. NCBR, Przestrzeń dla odważnych technologii – oferta konkursowa 2026 (20 II 2026) — https://www.gov.pl/web/ncbr/przestrzen-dla-odwaznych-technologii-ncbr-z-szeroka-oferta-konkursowa-dla-nauki-i-biznesu-w-2026-roku
273. Komisja Europejska, SAFE – Security Action for Europe (stan 23 X 2026) — https://defence-industry-space.ec.europa.eu/eu-defence-industry/safe-security-action-europe_en