Decyzja o rozstaniu z dotychczasowym dostawcą IT zapada zwykle wcześniej, niż ktokolwiek ją wypowie na głos. Zgłoszenia wiszą po kilka dni, nikt nie potrafi powiedzieć, czy backup się wykonał, a pytanie o dokumentację kończy się obietnicą, że „wszystko jest u nas w systemie”. Problem w tym, że sama decyzja niczego nie rozwiązuje – a źle poprowadzona zmiana firmy IT potrafi kosztować więcej niż kolejny rok złej obsługi.
Ryzyko rzadko leży po stronie technologii. Leży w kolejności działań. Firma wypowiada umowę, licząc na czystą kartę, i dopiero wtedy odkrywa, że domena jest zarejestrowana na prywatne konto byłego administratora, licencje kupiono przez partnera, który właśnie przestał być jej partnerem, a jedyna kopia bazy danych leży na dysku w serwerowni, do której nie ma hasła.
Ten materiał opisuje kolejność, która chroni ciągłość działania: najpierw ustal, co posiadasz i kto tym steruje, potem zabezpiecz kontrolę, a dopiero na końcu kończ współpracę. Jest to procedura operacyjna, nie porada prawna – fragmenty dotyczące umowy wymagają rozmowy z radcą prawnym i wprost to zaznaczamy.
Spis treści
- Kiedy zmiana dostawcy jest uzasadniona
- Najpierw umowa i własność zasobów
- Plan przejęcia krok po kroku
- Okres przejściowy i komunikacja
- Protokół odbioru
- Brak dokumentacji lub współpracy
- Pierwsze 30 dni nowego dostawcy
- Checklista zbiorcza
Kiedy zmiana dostawcy jest uzasadniona
Nie każda frustracja uzasadnia zmianę. Część problemów wynika z zakresu, którego nikt nigdy nie ustalił, a nie z niekompetencji dostawcy. Jeśli umowa obejmuje reakcję na awarie, a firma oczekuje rozwoju infrastruktury, to nowy dostawca odtworzy dokładnie ten sam konflikt kilka miesięcy później.
Zmiana ma sens wtedy, gdy problem jest strukturalny i powtarzalny:
- Brak przejrzystości. Nie wiesz, co zostało zrobione, dlaczego i za co płacisz. Nie dostajesz raportów albo dostajesz zestawienia, z których nic nie wynika.
- Ryzyko skupione na jednej osobie. Całe środowisko zna jeden człowiek, nic nie jest udokumentowane, a jego urlop jest problemem operacyjnym firmy.
- Nieweryfikowalny backup. Dostawca deklaruje kopie zapasowe, ale nie potrafi pokazać dowodu odtworzenia. To sytuacja, w której firma dowiaduje się o stanie backupu w najgorszym możliwym momencie.
- Brak reakcji na zgłoszone ryzyko. Zgłaszasz problem – sprzęt bez wsparcia producenta, brak segmentacji, wspólne konto administratora – i przez rok nic się nie dzieje.
- Konflikt interesów. Dostawca zarabia wyłącznie na interwencjach, więc stabilne środowisko jest sprzeczne z jego modelem przychodu.
Jeśli powodem jest jednorazowa awaria albo spór o fakturę, warto najpierw wyczerpać rozmowę. Przejęcie administracji jest projektem, który zajmuje kilka tygodni i angażuje ludzi po Twojej stronie. Nie robi się go z emocji.
Jeżeli natomiast rozpoznajesz co najmniej dwa punkty z powyższej listy, przejdź dalej – reszta materiału opisuje, jak zrobić to bez zatrzymania firmy. Jeśli chcesz omówić własną sytuację, zobacz zakres stałej obsługi informatycznej albo napisz do nas przez formularz kontaktowy.
Najpierw umowa i własność zasobów
To jest moment, w którym najczęściej popełnia się błąd nieodwracalny. Wypowiedzenie umowy przed inwentaryzacją odbiera Ci jedyną realną dźwignię: dopóki trwa współpraca, dostawca ma umowny obowiązek działać. Po wypowiedzeniu masz już tylko dobrą wolę i okres wypowiedzenia, który zwykle biegnie szybciej, niż ustalasz, gdzie są hasła.
Kolejność, która działa: inwentaryzacja → potwierdzenie własności → zabezpieczenie kontroli → wypowiedzenie → przekazanie.
Zanim cokolwiek wypowiesz, odpowiedz na cztery pytania.
Na kogo zarejestrowana jest domena? Nie „kto ją obsługuje”, tylko kto figuruje jako abonent u rejestratora. Domena zarejestrowana na dostawcę albo na prywatne konto jego pracownika to pojedynczy punkt, który może zatrzymać pocztę i stronę całej firmy.
Kto jest właścicielem subskrypcji i licencji? Microsoft 365 i Google Workspace bywają kupowane przez partnera. Rozwiązanie relacji z partnerem potrafi wpłynąć na rozliczenie subskrypcji. To samo dotyczy licencji na oprogramowanie serwerowe i systemy branżowe.
Gdzie fizycznie są kopie zapasowe i kto ma do nich dostęp? Jeśli backup działa na koncie dostawcy w jego chmurze, to nie jest Twój backup. To jego backup Twoich danych – a to zupełnie inna sytuacja prawna i operacyjna.
Czy istnieje umowa powierzenia przetwarzania danych? Jeśli dostawca ma dostęp do systemów z danymi osobowymi, przetwarza dane w Twoim imieniu. Zgodnie ze stanowiskiem Urzędu Ochrony Danych Osobowych (dostęp 16.07.2026) powierzenie przetwarzania odbywa się na podstawie pisemnej umowy – dopuszczalna jest też forma elektroniczna – a podmiot przetwarzający działa wyłącznie na udokumentowane polecenie administratora. UODO wskazuje przy tym, że odpowiedzialność za zawarcie takiej umowy spoczywa na obu stronach, więc brak dokumentu nie jest wyłącznie problemem dostawcy.
Wytyczne brytyjskiego National Cyber Security Centre dotyczące wyboru dostawcy usług zarządzanych (publikacja 24.11.2025, przegląd 24.06.2026) idą w tym samym kierunku: umowa powinna jednoznacznie określać, za co odpowiada dostawca, a co pozostaje po stronie klienta, i obejmować odpowiedzialność za podmioty trzecie, z których dostawca korzysta przy świadczeniu usługi.
Pytania do radcy prawnego, nie do dostawcy
Poniższe kwestie rozstrzyga prawnik na podstawie Twojej konkretnej umowy. Ten artykuł ich nie interpretuje i nie zastępuje takiej analizy:
- Jaki jest okres wypowiedzenia i od kiedy biegnie?
- Czy umowa zawiera obowiązek współdziałania przy zakończeniu współpracy i przekazania dokumentacji?
- Kto jest właścicielem wytworzonej dokumentacji i konfiguracji?
- Jakie są konsekwencje wypowiedzenia przed terminem?
- Czy istnieją zapisy o karach, wyłączności albo automatycznym przedłużeniu?
Wynikiem tej sekcji ma być jedna kartka: lista zasobów, przy każdym nazwisko właściciela formalnego i informacja, czy Twoja firma ma do niego samodzielny dostęp.
Plan przejęcia krok po kroku
Kolejność poniżej nie jest przypadkowa. Zaczynamy od zasobów, których utrata jest najbardziej dotkliwa i najtrudniejsza do odwrócenia, a kończymy na tych, które da się odtworzyć.
Domeny i DNS
Domena jest pierwsza, ponieważ steruje pocztą i obecnością firmy w internecie, a jej odzyskanie wbrew abonentowi bywa procesem na tygodnie.
Ustal abonenta u rejestratora i uzyskaj dostęp do panelu – najlepiej przez przeniesienie domeny na konto firmowe założone na adres w Twojej domenie, a nie na prywatną skrzynkę pracownika. Zrób pełny zrzut strefy DNS i zapisz go poza środowiskiem dostawcy. To zwykły plik tekstowy, ale bez niego odtworzenie konfiguracji poczty odbywa się metodą prób i błędów, na żywym organizmie.
Nie zmieniaj rekordów MX na tym etapie. Celem jest kontrola nad strefą, nie przełączanie usług.
Tożsamość i uwierzytelnianie
Drugi w kolejności jest system tożsamości – Microsoft Entra ID, Google Workspace albo Active Directory. Kto ma tożsamość, ten ma wszystko, co jest do niej podłączone.
Potwierdź, że Twoja firma dysponuje co najmniej jednym kontem globalnego administratora, do którego dostawca nie ma dostępu, i że konto to jest chronione uwierzytelnianiem wieloskładnikowym powiązanym z urządzeniem osoby z firmy. NCSC zaleca w cytowanych wytycznych, aby konta uprzywilejowane były chronione uwierzytelnianiem dwuskładnikowym i aby dostawca otrzymywał wyłącznie uprawnienia niezbędne do wykonania zadania.
Zinwentaryzuj konta uprzywilejowane: kto je ma, od kiedy, po co i kiedy ostatnio ich użyto. Sprawdź też konta serwisowe i aplikacyjne – one przetrwają rozstanie z dostawcą, jeśli nikt o nich nie pomyśli, i to one najczęściej zostają jako niewidoczne wejście do środowiska.
Na tym etapie nie usuwaj kont dostawcy. Potrzebujesz go jeszcze do przekazania wiedzy. Usunięcie następuje po odbiorze.
Urządzenia i zarządzanie stacjami
Ustal, czym zarządzane są komputery: rozwiązaniem klasy RMM, Intune, polityką domenową czy niczym. Jeśli agent zarządzający należy do dostawcy, po rozstaniu straci wsparcie i trzeba zaplanować jego wymianę na stacjach – to prosta, ale czasochłonna operacja, którą lepiej rozłożyć w czasie niż robić w weekend przełączenia.
Sporządź spis sprzętu z numerami seryjnymi, przypisaniem do osób, datami zakupu i statusem wsparcia producenta. Osobno wypisz urządzenia bez wsparcia – to lista ryzyk, którą przejmuje nowy dostawca. NCSC zwraca uwagę, że umowa powinna określać, kto odpowiada za śledzenie dat zakończenia wsparcia i za działanie przed ich upływem.
Zwróć uwagę na szyfrowanie dysków. Jeśli stacje są zaszyfrowane, klucze odzyskiwania muszą być zdeponowane w Twoim systemie tożsamości, nie w narzędziu dostawcy. Utrata kluczy przy wymianie zarządzania oznacza utratę danych na urządzeniu.
Sieć
Zbierz dostępy administracyjne do routera, firewalla, przełączników i punktów dostępowych oraz aktualne kopie konfiguracji. Zapisz, jak wygląda segmentacja, jakie są reguły dostępu z zewnątrz i kto ma zdalny dostęp do sieci przez VPN.
Kontrakty na łącza i dostęp do paneli operatorów bywają pomijane, a potrafią zablokować diagnostykę awarii. Sprawdź, na kogo są wystawione.
Osobno wypisz każdy zdalny dostęp: konta VPN, przekierowania portów, narzędzia zdalnego pulpitu. To lista, którą po zakończeniu współpracy trzeba przejrzeć punkt po punkcie.
Chmura i licencje
Wypisz wszystkie subskrypcje: kto jest właścicielem, kto płaci, kiedy wygasają, przez jakiego partnera zostały kupione. Sprawdź, czy firmowe dane nie żyją na kontach prywatnych – to częstsze, niż się wydaje, i zwykle wychodzi dopiero przy migracji.
Zwróć uwagę na systemy branżowe i ERP. Zwykle mają osobne umowy wsparcia z producentem, niezależne od umowy z dostawcą IT, i wymagają osobnego przepisania osoby kontaktowej.
Backup
Backup zostawiam na koniec sekwencji, bo wymaga najwięcej uwagi i najczęściej rozczarowuje.
Zacznij od rozróżnienia, które w rozmowach bywa zacierane:
| Mechanizm | Co robi | Czego nie robi |
|---|---|---|
| Synchronizacja (OneDrive, Dysk Google) | Utrzymuje te same pliki na wielu urządzeniach | Nie chroni przed skasowaniem ani zaszyfrowaniem – zmiana replikuje się do wszystkich kopii |
| Replikacja | Utrzymuje bliźniaczą kopię systemu, zwykle dla dostępności | Powiela błąd i szkodliwą zmianę; nie jest cofnięciem w czasie |
| Snapshot | Zapisuje stan maszyny w punkcie czasu | Zwykle leży na tej samej infrastrukturze – dzieli jej los |
| Backup | Tworzy odrębną, odtwarzalną kopię z historią wersji | Nie jest nic wart bez testu odtworzenia |
| Archiwizacja | Przechowuje dane długoterminowo dla zgodności | Nie służy do szybkiego przywrócenia po awarii |
Następnie zadaj dostawcy trzy pytania i poproś o dowody, nie o deklaracje: co dokładnie jest objęte kopią, gdzie leżą kopie i kto ma do nich dostęp, kiedy ostatnio wykonano test odtworzenia i jaki był jego wynik.
Ustal też dwa parametry, które określają, na co firma faktycznie się godzi. RPO to maksymalna akceptowalna utrata danych liczona w czasie – odpowiedź na pytanie „ile godzin pracy możemy stracić”. RTO to maksymalny czas przywrócenia usługi – „jak długo możemy nie działać”. Jeśli nikt w firmie nie zna tych wartości, backup nie jest zaprojektowany, tylko włączony.
Przed przejściem dalej wykonaj niezależną kopię krytycznych danych, do której dostęp ma wyłącznie Twoja firma. To jedyny element całej procedury, którego nie należy odkładać ani delegować.
Więcej o tym, jak odróżnić działający backup od pozornego, opisaliśmy w artykule o backupie danych w firmie.
Okres przejściowy i komunikacja
Okres równoległy, w którym stary dostawca jeszcze odpowiada za środowisko, a nowy już je poznaje, jest najbezpieczniejszym wariantem zmiany. Zwykle trwa od dwóch do sześciu tygodni, zależnie od złożoności środowiska i tego, ile udało się ustalić na etapie inwentaryzacji.
Zasada podziału odpowiedzialności powinna być jednoznaczna: stary dostawca odpowiada za działanie, nowy za poznanie i przygotowanie. Rozmycie tej granicy kończy się sytuacją, w której przy awarii każdy wskazuje na drugiego, a firma stoi.
Ustal jedną osobę po swojej stronie, która prowadzi projekt i podejmuje decyzje. Nie musi być techniczna, ale musi mieć mandat.
Komunikacja z odchodzącym dostawcą powinna być rzeczowa i pisemna. Nie ma potrzeby uzasadniania decyzji ani wchodzenia w spór o przeszłość – potrzebujesz konkretnych rzeczy w konkretnym terminie. Neutralny ton nie jest uprzejmością, tylko interesem: dostawca w konflikcie przekazuje minimum, a Ty potrzebujesz maksimum.
Pracownikom wystarczy prosty komunikat: zmieniamy firmę obsługującą IT, od dnia X zgłoszenia kierujcie tutaj, w okresie przejściowym może wystąpić krótka przerwa w tych usługach. Nadmiar szczegółów technicznych generuje pytania, nie spokój.
Protokół odbioru
Przekazanie środowiska bez protokołu to rozmowa, którą za miesiąc każdy pamięta inaczej. Protokół nie musi być dokumentem prawniczym – musi być listą pozycji z kryterium zaliczenia i podpisem.
Każda pozycja powinna mieć trzy elementy: zasób, dowód wykonania i kryterium zaliczenia. Dowodem nie jest zdanie „przekazano hasła”, tylko potwierdzone logowanie osoby z Twojej firmy albo z firmy przejmującej.
| Obszar | Dowód wykonania | Kryterium zaliczenia |
|---|---|---|
| Domena | Zrzut ekranu panelu rejestratora z danymi abonenta | Firma figuruje jako abonent i loguje się samodzielnie |
| DNS | Eksport strefy | Plik zapisany poza środowiskiem starego dostawcy |
| Tożsamość | Lista kont uprzywilejowanych | Konto administratora firmy działa, MFA powiązane z osobą z firmy |
| Backup | Raport z testu odtworzenia | Odtworzono wskazany plik lub system i potwierdzono jego poprawność |
| Sieć | Kopie konfiguracji urządzeń | Nowy dostawca loguje się do każdego urządzenia |
| Licencje | Zestawienie subskrypcji z właścicielem | Firma jest właścicielem lub zna ścieżkę przejęcia |
| Dokumentacja | Przekazany komplet | Nowy dostawca potwierdza kompletność po przeglądzie |
| Konta dostawcy | Lista kont do usunięcia | Konta wyłączone, następnie usunięte po okresie karencji |
Ostatnia pozycja jest osobnym krokiem i wykonuje się ją po potwierdzeniu, że wszystko inne działa. Kolejność: wyłącz konta, odczekaj ustalony okres karencji, sprawdź, czy nic nie przestało działać, dopiero potem usuń. Natychmiastowe usunięcie potrafi zatrzymać zadanie, o którym nikt nie wiedział, i pozbawić Cię możliwości szybkiego cofnięcia zmiany.
Przejrzyj też konta serwisowe i integracje – powiązania z systemami zewnętrznymi bywają wystawione na adres e-mail dostawcy.
Brak dokumentacji lub współpracy
Zdarza się, że dostawca nie przekazuje wiedzy: nie odpowiada, zasłania się brakiem czasu albo twierdzi, że dokumentacja nie istnieje. Zwykle nie jest to złośliwość, tylko fakt – w wielu małych firmach IT dokumentacja rzeczywiście nigdy nie powstała, a wiedza żyła w głowie jednej osoby.
Nie eskaluj konfliktu przed zabezpieczeniem kontroli. Awantura kosztuje Cię dostęp, którego jeszcze potrzebujesz.
Praktyczna kolejność w takiej sytuacji:
- Wystąp pisemnie z konkretną listą pozycji i terminem. Pismo dokumentuje próbę współpracy – przyda się, jeśli sprawa trafi do prawnika.
- Odtwórz stan z systemów, nie z opowieści. Panel rejestratora domen, panel operatora, konsole Microsoft 365 lub Google Workspace, konfiguracje urządzeń sieciowych i faktury. Faktury są przy tym niedocenianym źródłem: pokazują, za co firma faktycznie płaci, a więc jakie usługi istnieją.
- Odzyskaj kontrolę tam, gdzie jesteś właścicielem. Jako abonent domeny albo właściciel subskrypcji zwykle możesz przejść procedurę odzyskania dostępu u dostawcy usługi.
- Przyjmij, że wiedza przepadła, i zaplanuj odtworzenie. Nowy dostawca inwentaryzuje środowisko od zera. To kosztuje czas, ale jest wykonalne i policzalne.
- Skonsultuj z prawnikiem, jeżeli umowa przewiduje obowiązek współdziałania, a dostawca go nie realizuje. To moment na ocenę prawną, nie na samodzielną interpretację zapisów.
Sytuacja graniczna, która wymaga natychmiastowej reakcji: dostawca odmawia współpracy i nadal ma aktywny dostęp do środowiska. Wtedy zabezpieczenie kont uprzywilejowanych staje się pilne i wykonuje się je niezależnie od stanu rozmów, z zachowaniem zapisów o tym, kto i kiedy zmienił dostęp.
Pierwsze 30 dni nowego dostawcy
Przejęcie nie kończy się w dniu przekazania. Kończy się wtedy, gdy środowisko jest opisane, a firma wie, czego się spodziewać.
Dni 1–7. Nowy dostawca weryfikuje inwentaryzację i konfrontuje ją z rzeczywistością – na tym etapie zwykle wychodzą rzeczy, o których nie było mowy w protokole. Uruchamia monitoring i kanał zgłoszeń. Priorytetem jest wykrywanie awarii, nie optymalizacja.
Dni 8–14. Weryfikacja backupu własnymi narzędziami i pierwszy test odtworzenia po Twojej stronie. Przegląd kont uprzywilejowanych i usunięcie tych, które zostały po poprzedniej współpracy. Lista ryzyk krytycznych – sprzęt bez wsparcia, brak segmentacji, konta współdzielone.
Dni 15–30. Uzupełnienie dokumentacji do stanu, w którym środowisko może przejąć inna osoba z zespołu. Ustalenie priorytetów zgłoszeń i zasad ich obsługi. Pierwszy raport dla zarządu: co zastano, co naprawiono, co wymaga decyzji i pieniędzy.
Dobrym miernikiem jakości pierwszego miesiąca jest właśnie ten raport. Jeśli po trzydziestu dniach nowy dostawca nie potrafi opisać, co zastał, to zmiana była przeprowadzką, a nie przejęciem.
Warto przy okazji ustalić zasady, na jakich będą obsługiwane zgłoszenia – czym różni się czas reakcji od czasu naprawy i kto nadaje priorytet. Uzgodnienie tego na starcie oszczędza późniejszych nieporozumień.
Checklista zbiorcza
Skrócona lista kontrolna całej procedury. Punkty należy wykonywać w tej kolejności.
Przed wypowiedzeniem umowy
- [ ] Ustalono abonenta domeny i uzyskano dostęp do panelu rejestratora
- [ ] Wyeksportowano strefę DNS i zapisano poza środowiskiem dostawcy
- [ ] Firma ma własne konto administratora z MFA w systemie tożsamości
- [ ] Zinwentaryzowano konta uprzywilejowane, serwisowe i aplikacyjne
- [ ] Ustalono właściciela każdej subskrypcji i licencji
- [ ] Potwierdzono, gdzie są kopie zapasowe i kto ma do nich dostęp
- [ ] Wykonano niezależną kopię krytycznych danych
- [ ] Spisano sprzęt z numerami seryjnymi i statusem wsparcia
- [ ] Zebrano konfiguracje urządzeń sieciowych
- [ ] Sprawdzono, czy istnieje umowa powierzenia przetwarzania danych
- [ ] Prawnik ocenił warunki wypowiedzenia i obowiązek współdziałania
Okres przejściowy
- [ ] Ustalono podział odpowiedzialności między dostawcami na piśmie
- [ ] Wyznaczono osobę prowadzącą projekt po stronie firmy
- [ ] Zakomunikowano zmianę pracownikom
- [ ] Ustalono termin i zakres przekazania
Odbiór
- [ ] Każda pozycja protokołu ma dowód wykonania i kryterium zaliczenia
- [ ] Wykonano test odtworzenia z backupu i potwierdzono wynik
- [ ] Nowy dostawca potwierdził kompletność dokumentacji
- [ ] Konta starego dostawcy wyłączono, odczekano karencję i usunięto
- [ ] Przejrzano zdalne dostępy: VPN, przekierowania portów, zdalny pulpit
- [ ] Przepisano osoby kontaktowe u producentów i operatorów
Pierwsze 30 dni
- [ ] Monitoring i kanał zgłoszeń działają
- [ ] Backup zweryfikowany narzędziami nowego dostawcy
- [ ] Powstała lista ryzyk krytycznych
- [ ] Dokumentacja pozwala przejąć środowisko innej osobie
- [ ] Zarząd otrzymał raport otwarcia
Zmiana firmy IT jest projektem, nie decyzją
Najważniejsze w całej procedurze nie jest tempo, tylko kolejność. Firmy, które tracą dane albo stają na kilka dni, prawie zawsze zaczynają od wypowiedzenia umowy, a inwentaryzację robią pod presją czasu i emocji. Firmy, które przechodzą przez to spokojnie, najpierw ustalają, co posiadają, potem zabezpieczają kontrolę, a rozmowę o zakończeniu współpracy prowadzą z pozycji kogoś, kto ma już klucze do własnego domu.
Jeśli planujesz zmianę dostawcy i chcesz przejść ją bez przestoju, porozmawiajmy o planie przejęcia środowiska. Zaczynamy od inwentaryzacji i mapy odpowiedzialności – dopiero na tej podstawie da się powiedzieć, co jest wykonalne i w jakim czasie. Zakres stałej opieki opisaliśmy na stronie outsourcingu IT.
Zastrzeżenie
Materiał ma charakter informacyjny i opisuje praktykę operacyjną. Nie stanowi porady prawnej. Ocena zapisów konkretnej umowy, warunków jej wypowiedzenia, kwestii własności zasobów oraz obowiązków wynikających z przepisów o ochronie danych osobowych wymaga konsultacji z radcą prawnym znającym Twoją dokumentację.
Źródła
- National Cyber Security Centre, Choosing a Managed Service Provider (MSP), publikacja 24.11.2025, przegląd 24.06.2026 — https://www.ncsc.gov.uk/guidance/choosing-a-managed-service-provider-msp (dostęp 16.07.2026)
- Urząd Ochrony Danych Osobowych, Powierzenie przetwarzania — https://uodo.gov.pl/pl/315/1913 (dostęp 16.07.2026)
- ENISA, Cybersecurity for SMEs — Challenges and Recommendations, czerwiec 2021 — https://www.enisa.europa.eu/publications/enisa-report-cybersecurity-for-smes (dostęp 16.07.2026)
Stan na 16 lipca 2026 r.