Trzy oferty na biurku wyglądają niemal identycznie. Każda obiecuje kompleksową opiekę, szybką reakcję, bezpieczeństwo i indywidualne podejście. Różnią się ceną i kolorem logo. Na tej podstawie zarząd ma podjąć decyzję, która na najbliższe lata przesądzi o tym, kto ma dostęp do wszystkich danych firmy.
Oferty wyglądają podobnie, bo opisują to samo innymi słowami – i bo deklaracja nic nie kosztuje. Pytanie „czy macie doświadczenie w naszej branży” zawsze dostanie odpowiedź twierdzącą. Pytanie „proszę pokazać raport miesięczny, który dostaje klient o podobnym profilu, z zamazanymi danymi” – już nie zawsze.
Na tym polega cała różnica między porównywaniem ofert a ich ocenianiem. Poniżej znajdziesz arkusz zbudowany wokół dowodów: przy każdym kryterium jest pytanie, artefakt, o który warto poprosić, i odpowiedź, która powinna zapalić czerwoną lampkę.
Uczciwe zastrzeżenie: piszemy to jako firma, która sama świadczy usługi outsourcingu IT. Dlatego arkusz jest tak skonstruowany, żeby dało się nim ocenić również nas – i żebyśmy mogli w kilku miejscach wypaść przeciętnie. Jeśli poradnik o wyborze dostawcy prowadzi wyłącznie do jednego słusznego wyboru, to nie jest poradnik, tylko oferta.
Spis treści
- Zdefiniuj potrzeby przed zapytaniem ofertowym
- 10 kryteriów porównania
- Bezpieczeństwo dostępu dostawcy
- SLA i sposób raportowania
- Zakres, wyłączenia i projekty dodatkowe
- Dowody doświadczenia
- Umowa i exit plan
- Czerwone flagi
- Arkusz punktowy
Zdefiniuj potrzeby przed zapytaniem ofertowym
Zapytanie ofertowe o treści „prosimy o ofertę na obsługę IT dla 30 osób” gwarantuje trzy nieporównywalne odpowiedzi. Każdy dostawca wypełni lukę własnymi założeniami, a Ty dostaniesz trzy różne zakresy w podobnych cenach i nie dowiesz się, dlaczego.
Zanim wyślesz zapytanie, ustal cztery rzeczy.
Co konkretnie ma być obsługiwane. Nie „IT”, tylko: tyle a tyle stacji roboczych, serwery fizyczne i wirtualne, system ERP, poczta na konkretnej platformie, sieć w takiej a takiej lokalizacji, urządzenia specjalistyczne. Bez tego spisu porównujesz ceny za różne rzeczy.
Co jest krytyczne dla działania firmy. Które systemy zatrzymują przychód, kiedy przestają działać, i po jakim czasie. Ta jedna informacja bardziej wpływa na sensowną ofertę niż liczba pracowników.
Czego oczekujesz poza reakcją na awarie. Rozwój infrastruktury, doradztwo, planowanie budżetu, dokumentacja, raportowanie dla zarządu. Jeśli oczekujesz rozwoju, a kupisz reagowanie na awarie, konflikt jest kwestią miesięcy.
Jaki jest Twój profil ryzyka. Biuro rachunkowe przetwarzające dane klientów, firma produkcyjna z halą zatrzymującą się przy awarii sieci i agencja marketingowa mają zupełnie inne wagi tych samych kryteriów. Do tego wrócę przy arkuszu.
Efektem ma być krótkie zapytanie z jednakową listą pytań dla wszystkich dostawców. Wtedy różnice w odpowiedziach są informacją, a nie szumem.
10 kryteriów porównania
Każde kryterium ma tę samą strukturę: o co pytasz, jaki dowód powinien się pojawić, co powinno Cię zaniepokoić.
1. Zakres i granice odpowiedzialności.
Pytanie: co dokładnie wchodzi w abonament, a co jest rozliczane osobno?
Dowód: pisemna macierz odpowiedzialności – pozycja po pozycji, kto za co odpowiada.
Czerwona flaga: „wszystko w cenie” bez żadnych wyłączeń. Każda usługa ma granice; dostawca, który ich nie nazywa, ustali je jednostronnie przy pierwszym sporze.
Brytyjskie wytyczne NCSC dotyczące wyboru dostawcy usług zarządzanych (publikacja 24.11.2025, przegląd 24.06.2026) stawiają ten punkt na pierwszym miejscu wśród elementów umowy: należy jasno określić, za co odpowiada dostawca, a co pozostaje po stronie klienta.
2. Model pracy i dostępność.
Pytanie: w jakich godzinach działa wsparcie, kto odbiera zgłoszenie poza nimi i jak wygląda dojazd?
Dowód: opis procesu i godzin w umowie, nie na stronie.
Czerwona flaga: „jesteśmy dostępni zawsze” bez opisu, co to znaczy w praktyce i ile kosztuje.
3. Sposób przyjmowania zgłoszeń.
Pytanie: przez jaki kanał zgłaszamy problem i jak sprawdzamy status?
Dowód: system zgłoszeń z historią.
Czerwona flaga: zgłoszenia na prywatny numer konkretnego technika. To wygodne przez pierwsze pół roku i katastrofalne, gdy ten technik zmieni pracę.
4. Ludzie i ciągłość wiedzy.
Pytanie: ile osób zna nasze środowisko i co się dzieje, gdy główny opiekun jest niedostępny?
Dowód: opis zastępstwa i miejsce, w którym trzymana jest dokumentacja.
Czerwona flaga: całą wiedzę ma jedna osoba. To dokładnie ten problem, przed którym uciekasz z własnej firmy.
5. Dokumentacja.
Pytanie: co dokładnie dokumentujecie i czy dostaniemy to na własność?
Dowód: przykładowa, zanonimizowana dokumentacja innego klienta.
Czerwona flaga: dokumentacja istnieje wyłącznie w narzędziu dostawcy i nie opuszcza go w czytelnej formie.
6. Bezpieczeństwo dostępu. Osobna sekcja niżej.
7. Backup i ciągłość działania.
Pytanie: co obejmuje kopia zapasowa, gdzie leży i kiedy ostatnio testowaliście odtworzenie?
Dowód: raport z testu odtworzenia.
Czerwona flaga: deklaracja „mamy backup” bez dowodu odtworzenia – albo opisanie synchronizacji plików jako kopii zapasowej. To dwie różne rzeczy: synchronizacja replikuje również skasowanie i zaszyfrowanie pliku do wszystkich kopii, więc nie chroni przed najczęstszym scenariuszem utraty danych.
8. Raportowanie.
Pytanie: co dostaje zarząd i jak często?
Dowód: przykładowy raport miesięczny.
Czerwona flaga: raport to lista zamkniętych zgłoszeń. Zarządowi to nic nie mówi o stanie ryzyka.
9. Rozwój i doradztwo.
Pytanie: kto proponuje zmiany i jak planujemy budżet IT na rok?
Dowód: opis cyklicznego przeglądu.
Czerwona flaga: dostawca czeka na Twoje polecenia. Jeśli firma nie ma własnego działu IT, to nie ma kto tych poleceń formułować.
10. Zakończenie współpracy.
Pytanie: co się dzieje, gdy zrezygnujemy?
Dowód: opisany proces przekazania w umowie.
Czerwona flaga: unikanie tematu. Wracam do tego niżej.
Bezpieczeństwo dostępu dostawcy
To kryterium bywa pomijane, a jest najpoważniejsze. Dostawca IT ma uprawnienia administracyjne do wszystkiego, co masz. Jego bezpieczeństwo staje się Twoim bezpieczeństwem – a jego incydent może być Twoim incydentem, nawet jeśli u Ciebie nic się nie stało.
Pytania, które warto zadać:
- Jak chronicie własne konta administracyjne w naszym środowisku? NCSC zaleca, by konta uprzywilejowane były chronione uwierzytelnianiem dwuskładnikowym i by dostęp administracyjny mieli wyłącznie ci, którzy naprawdę go potrzebują. Odpowiedź „mamy silne hasła” jest odpowiedzią negatywną.
- Czy stosujecie zasadę minimalnych uprawnień? Ta sama wytyczna mówi wprost o dawaniu dostawcy tylko tych uprawnień, które są potrzebne do wykonania zadania. Stałe konto globalnego administratora „na wszelki wypadek” jest odwrotnością tej zasady.
- Kto z Waszej strony będzie mieć dostęp i jak to jest ewidencjonowane? Powinna istnieć lista, a nie ogólne „nasz zespół”.
- Co się dzieje, gdy Wasz pracownik odchodzi z firmy? Pytasz o proces odbierania dostępów. Brak procesu oznacza, że po latach współpracy w Twoim środowisku żyją konta ludzi, których nazwisk nie znasz.
- Z jakich podwykonawców korzystacie? NCSC zaleca ocenę ryzyka łańcucha dostaw dostawcy i wskazuje, że umowa powinna obejmować odpowiedzialność za podmioty trzecie wykorzystywane do świadczenia usługi. Jeśli część prac wykonuje ktoś inny, dotyczą go te same pytania.
- Jak nas powiadomicie, gdy incydent wystąpi u Was? Wytyczne mówią o ustaleniu procedury zgłaszania incydentów, w tym powiadomienia klienta o incydencie po stronie dostawcy. Czas powiadomienia powinien odpowiadać wadze zdarzenia i specyfice Twojej firmy.
- Czy macie przetestowany plan reagowania na incydenty? Nacisk na „przetestowany”. Plan w segregatorze to nie plan.
Warto też uważać na skróty myślowe w ofertach. „Zapewniamy bezpieczeństwo” może oznaczać zainstalowany program antywirusowy, może oznaczać system klasy EDR z aktywnym wykrywaniem i reakcją, a może oznaczać całodobowy monitoring prowadzony przez zespół analityków. To trzy różne usługi, trzy różne koszty i trzy różne poziomy ochrony. Poproś o nazwanie konkretów.
Żaden dostawca nie wyeliminuje ryzyka do zera – i taka deklaracja sama w sobie jest czerwoną flagą. Chodzi o to, żeby wiedzieć, co dokładnie kupujesz.
SLA i sposób raportowania
Przy porównywaniu ofert liczby SLA są najbardziej mylące, bo wyglądają obiektywnie.
Kluczowe rozróżnienie: czas reakcji to nie czas naprawy. Czas reakcji mówi, po jakim czasie ktoś zajmie się zgłoszeniem. Czas naprawy – kiedy problem zniknie. Dostawca może odpowiedzieć w 15 minut i naprawiać usterkę trzy dni; formalnie SLA jest dotrzymane. Oferta z reakcją „do 4 godzin” i realnym procesem bywa lepsza niż „do 15 minut” bez opisu, co dzieje się dalej.
Do porównania ofert potrzebujesz odpowiedzi na pięć pytań:
- Od kiedy biegnie czas – od zgłoszenia czy od jego przyjęcia?
- Kto nadaje priorytet i czy możesz się z nim nie zgodzić?
- Czy licznik działa poza godzinami pracy, w weekendy i święta?
- Co zatrzymuje licznik – na przykład oczekiwanie na Twoją decyzję albo na dostawę części?
- Co się dzieje, gdy SLA nie zostanie dotrzymane?
Wytyczne NCSC podają orientacyjne wartości: dla spraw pilnych reakcję poniżej godziny, dla drobnych – jeden dzień roboczy, a rozwiązanie rutynowych spraw w dwa–trzy dni robocze. To wskazówki opracowane dla rynku brytyjskiego i nie należy ich traktować jako normy obowiązującej w Polsce ani jako obietnicy któregokolwiek dostawcy. Przydają się natomiast jako punkt odniesienia, gdy oferta odbiega od nich radykalnie w którąkolwiek stronę. Te same wytyczne zwracają uwagę na rzecz oczywistą, o której łatwo zapomnieć: krótszy czas reakcji podnosi koszt umowy.
Osobno oceń raportowanie. Poproś o przykładowy raport i sprawdź, czy odpowiada na pytania zarządu: co się wydarzyło, co jest zagrożeniem, co wymaga decyzji i pieniędzy. Lista zamkniętych zgłoszeń tego nie robi.
Zakres, wyłączenia i projekty dodatkowe
Najwięcej sporów w trakcie współpracy nie dotyczy jakości, tylko tego, czy dana praca mieściła się w abonamencie.
Poproś o jednoznaczne rozstrzygnięcie kilku typowych sytuacji granicznych: konfiguracja nowego stanowiska dla nowego pracownika, migracja poczty, wdrożenie nowego systemu, zakup i konfiguracja sprzętu, szkolenie zespołu, praca poza godzinami przy awarii, wizyta na miejscu, drobna zmiana w sieci. Dobry dostawca odpowie na każdą z nich słowem „wliczone” albo „osobno” i poda zasadę rozliczenia.
Zwróć uwagę na dwa mechanizmy cenowe. Model godzinowy z pulą godzin premiuje dostawcę za zużywanie czasu, model abonamentowy bez limitu premiuje za stabilne środowisko, ale wymaga precyzyjnych wyłączeń – inaczej dostawca musi się chronić przed nieograniczonym zobowiązaniem. Żaden nie jest z natury lepszy; ważne, żeby rozumieć, do czego zachęca.
Zapytaj też o zmiany. Firma za rok będzie mieć inne potrzeby. Sposób, w jaki dostawca opisuje zmianę zakresu i ceny, mówi więcej o przyszłej współpracy niż cała oferta.
Jeśli chcesz zobaczyć, jak taki rozdział zakresu wygląda w praktyce, opisaliśmy go na stronie outsourcingu IT. Kwestię samego kosztu rozłożyliśmy na czynniki w artykule o tym, ile kosztuje outsourcing IT.
Dowody doświadczenia
„Mamy wieloletnie doświadczenie” nie jest informacją. Poniżej rzeczy, które da się sprawdzić.
Referencje od firm o podobnym profilu. NCSC zaleca wprost pytanie o referencje od innych firm z sektora MŚP. Istotne jest „o podobnym profilu” – doświadczenie w obsłudze korporacji nie przekłada się na trzydziestoosobową firmę produkcyjną.
Rozmowa z obecnym klientem. Najbardziej wartościowy dowód i najrzadziej wykorzystywany. Warto zapytać nie o zadowolenie, tylko o konkret: jak wyglądała ostatnia poważna awaria i co się wtedy działo.
Certyfikaty i doświadczenie zespołu. Certyfikaty mogą być pomocnym potwierdzeniem znajomości określonych standardów lub technologii, ale nie powinny stanowić głównego kryterium wyboru firmy IT. ISO 27001 potwierdza funkcjonowanie systemu zarządzania bezpieczeństwem informacji w określonym zakresie, natomiast certyfikat producenta może świadczyć o znajomości konkretnego rozwiązania. Żaden z nich nie gwarantuje jednak sprawnej obsługi, szybkiej reakcji podczas awarii ani umiejętności dopasowania technologii do realnych potrzeb firmy.
Równie istotne są doświadczenie osób realizujących usługę, liczba lat pracy z podobnymi środowiskami, sposób diagnozowania problemów oraz stosowane procedury. W przypadku NexaIT opieramy kompetencje przede wszystkim na ponad dziesięciu latach praktycznego doświadczenia w obszarze IT, zdobywanego podczas projektowania, wdrażania, zabezpieczania i utrzymywania infrastruktury informatycznej. Dlatego podczas wyboru dostawcy warto pytać nie tylko o posiadane certyfikaty, lecz także o konkretne wdrożenia, sposób prowadzenia dokumentacji, standardy bezpieczeństwa i przebieg reakcji na rzeczywiste awarie.
Partnerstwa producenckie. Łatwo je zweryfikować w publicznych rejestrach partnerów. Warto to zrobić, bo słowo „partner” bywa używane luźno – czasem oznacza formalny status, a czasem po prostu to, że firma kupuje sprzęt u dystrybutora.
Dokumenty firmowe. Rejestry publiczne pokazują, jak długo firma faktycznie działa i kto za nią stoi. Zapytaj też o ubezpieczenie odpowiedzialności cywilnej i jego zakres – i poproś o dokument, a nie o zapewnienie.
Umowa i exit plan
Warunki wyjścia sprawdza się przed podpisaniem, bo później nie ma się już żadnej dźwigni negocjacyjnej.
NCSC zaleca upewnienie się, że czas trwania umowy odpowiada celom biznesowym i daje elastyczność, gdy firma zmienia kierunek – lub gdy jakość usługi przestaje odpowiadać. Wskazuje też, że umowa powinna określać, kto odpowiada za śledzenie dat zakończenia wsparcia dla systemów i za działanie przed ich upływem.
Pytania na etapie wyboru:
- Jaki jest okres wypowiedzenia i czy umowa przedłuża się automatycznie?
- Czy zawiera obowiązek współdziałania przy przekazaniu środowiska następcy?
- Kto będzie właścicielem dokumentacji, kont i konfiguracji?
- Czy licencje i subskrypcje będą kupowane na Twoją firmę, czy przez dostawcę?
- Kto jest abonentem domeny?
Ostatnie dwa punkty bywają rozstrzygające. Jeśli dostawca kupuje wszystko na siebie, przy rozstaniu przejmujesz nie tylko nowego opiekuna, ale i projekt odzyskiwania własnych zasobów. Opisaliśmy, jak wygląda taki proces, w tekście o zmianie firmy IT i przejęciu administracji.
Reakcja dostawcy na te pytania jest sama w sobie testem. Rzeczowa odpowiedź świadczy o tym, że firma ma proces. Zniecierpliwienie albo „po co pan o tym myśli, dopiero zaczynamy” świadczy o czymś przeciwnym.
Samą treść umowy powinien ocenić radca prawny. Ten artykuł nie jest poradą prawną i nie interpretuje zapisów umownych – wskazuje wyłącznie, o co zapytać.
Czerwone flagi
Poniższe punkty opisują zachowania, nie firmy. Pojedyncza flaga to sygnał do dopytania, nie wyrok. Kilka naraz to wzór.
- Odpowiedź na każde pytanie brzmi „tak, oczywiście”. Żadna firma nie robi wszystkiego dobrze. Dostawca, który nie potrafi nazwać granic swoich kompetencji, albo ich nie zna, albo je ukrywa.
- Brak wyłączeń w ofercie. Patrz wyżej.
- Deklaracja pełnego bezpieczeństwa. Nikt nie eliminuje ryzyka całkowicie.
- Cena wyraźnie poniżej pozostałych. Ktoś tu przyjął inny zakres – warto ustalić, który to element, zanim uzna się to za okazję.
- Presja czasowa. „Ta cena obowiązuje do końca miesiąca” przy umowie na kilka lat.
- Unikanie tematu zakończenia współpracy.
- Brak systemu zgłoszeń.
- Wiedza skupiona w jednej osobie.
- Niechęć do pokazania przykładowego raportu lub dokumentacji. Zanonimizowany artefakt można pokazać zawsze. Odmowa oznacza zwykle, że taki dokument nie istnieje.
- Dyskredytowanie poprzedniego dostawcy. Firma, która zaczyna od opowieści o niekompetencji poprzednika, kiedyś będzie opowiadać o Tobie.
Arkusz punktowy
Poniższy arkusz to nasza propozycja metodyki, a nie standard branżowy. Wagi zależą od profilu firmy – dlatego podaję trzy warianty zamiast jednego.
Każde kryterium oceniasz w skali 0-3:
- 0 – brak odpowiedzi lub odpowiedź wymijająca;
- 1 – deklaracja bez dowodu;
- 2 – deklaracja z częściowym dowodem;
- 3 – dowód w postaci dokumentu lub artefaktu.
| Kryterium | Biuro usługowe / rachunkowe | Firma produkcyjna | Firma handlowa / usługowa |
|---|---|---|---|
| Zakres i macierz odpowiedzialności | 3 | 3 | 3 |
| Bezpieczeństwo dostępu dostawcy | 3 | 2 | 2 |
| Backup z dowodem odtworzenia | 3 | 3 | 3 |
| SLA z jasnymi zasadami liczenia | 2 | 3 | 2 |
| Ciągłość wiedzy i zastępstwo | 2 | 3 | 2 |
| Dokumentacja przekazywana klientowi | 2 | 2 | 2 |
| Raportowanie dla zarządu | 2 | 2 | 2 |
| Doradztwo i planowanie budżetu | 1 | 2 | 2 |
| Referencje z podobnego profilu | 2 | 3 | 2 |
| Warunki zakończenia współpracy | 3 | 3 | 3 |
Wynik liczysz jako sumę iloczynów oceny i wagi. Nie chodzi o precyzję – chodzi o to, żeby różnice między ofertami przestały być kwestią wrażenia.
Dwie uwagi do interpretacji. Po pierwsze, oferta z najwyższym wynikiem nie musi być najlepszym wyborem, jeśli wypada słabo w kryterium o wadze 3 – brak dowodu odtworzenia backupu nie kompensuje się świetnym raportowaniem. Po drugie, cena celowo nie jest kryterium w arkuszu. Najpierw ustal, które oferty w ogóle spełniają Twoje wymagania; dopiero wśród nich porównuj koszt. Odwrotna kolejność prowadzi do wyboru najtańszego zakresu, a nie najtańszej usługi.
Wybór na dowodach, nie na wrażeniu
Sprowadza się to do jednej zmiany nawyku: zamiast pytać „czy robicie X”, proś o pokazanie X. Deklaracja jest darmowa, artefakt nie. Dostawca, który ma proces, pokaże go bez oporu – bo pokazywanie go jest tańsze niż tłumaczenie, dlaczego nie może.
Jeśli chcesz zastosować ten arkusz do nas, umów rozmowę i poproś o macierz odpowiedzialności oraz zakres, na jaki jesteśmy gotowi się zobowiązać. Odpowiemy na te same pytania, które zadajesz innym – łącznie z tymi, w których nie wypadamy najlepiej.
Zastrzeżenie
Materiał ma charakter informacyjny. Nie stanowi porady prawnej. Ocena treści umowy z dostawcą usług IT, w tym warunków odpowiedzialności i zakończenia współpracy, wymaga konsultacji z radcą prawnym.
Źródła
- National Cyber Security Centre, Choosing a Managed Service Provider (MSP), publikacja 24.11.2025, przegląd 24.06.2026 — https://www.ncsc.gov.uk/guidance/choosing-a-managed-service-provider-msp (dostęp 16.07.2026)
- ENISA, Cybersecurity for SMEs — Challenges and Recommendations, czerwiec 2021 — https://www.enisa.europa.eu/publications/enisa-report-cybersecurity-for-smes (dostęp 16.07.2026)
Stan na 16 lipca 2026 r.