Ile kosztuje SIEM? Jak wycenić SIEM na liczbę assetów (2027) 

 
Koszt SIEM zależy od sposobu licencjonowania (wolumen logów, EPS albo liczba assetów), liczby źródeł logów, czasu przechowywania danych i tego, kto obsługuje system. Dla organizacji z 1500 assetów miesięczny koszt SIEM w modelu as a service wynosi zwykle 28 000 – 34 000zł netto. Kwota zależy od wybranych źródeł logow, typów urządze ń oraz wybranych modułów platformy wdrożenia.  

Trzy modele licencjonowania SIEM 

Wolumen logów (GB dziennie). Opłata za ilość danych, którą system przyjmuje każdego dnia. To najczęstszy model u dużych dostawców zagranicznych. Gdy podłączane jest nowe źródło logów opłata będzie rosła. 

Liczba zdarzeń na sekundę (EPS). Licencja określa, ile zdarzeń system może przetworzyć w ciągu sekundy. Wzrost opłaty możliwy jest w przypadku skoków ruchu, na przykład podczas incydentu, aktualizacji systemów albo skanowania sieci.  

Liczba assetów. Opłata za liczbę chronionych zasobów: serwerów, stacji roboczych, urządzeń sieciowych i aplikacji. Przy licencji per asset budżet jest przewidywalny. Koszt nie rośnie, gdy rośnie ilość logów.  Tak licencjonowany jest między innymi systemi SecureVisio. 

Co składa się na koszt SIEM 

• Licencja. Opłata jednorazowa (on-premise) albo abonament (SIEM jako usługa). 

• Infrastruktura. Serwery fizyczne lub w chmurze, razem z ich utrzymaniem. W modelu as a service ten koszt infrastruktury jest wliczony w miesięczny abonament. 

• Wdrożenie i integracja źródeł logów. Podłączenie firewalli, serwerów, Active Directory, usług chmurowych czy systemów OT oraz dopasowanie reguł korelacji do środowiska klienta. 

• Czas przechowywania danych. Dłuższy czas przechowywania logów wymaga więcej miejsca.  

• Dodatkowe moduły dostępne w ramach platformy. Na przykład analiza ryzyka, zarządzanie podatnościami i BIA.  

• Support i aktualizacja. Przy licencji on-premise to opłata roczna, w SIEMaaS to część subskrypcji. 

Przykładowe wyceny 

Wielkość organizacji	Liczba assetów	Model	Szacunkowy koszt (netto)
Średnia firma	300–1000	SIEM jako usługa z SOC	ok. 13 500–35 800 zł miesięcznie
Duża firma	1000–5000	SIEM jako usługa z SOC	od ok. 35 800 zł miesięcznie (do 159 000 zł + infrastruktura)
Enterprise	powyżej 5000	SIEM jako usługa z SOC	od ok. 159 000 zł miesięcznie + infrastruktura
Infrastruktura krytyczna, air-gap	od 500	on-premise	licencja od 265 000 zł jednorazowo + support od 52 500 zł rocznie

Jak liczymy: stawka za asset × liczba assetów + infrastruktura. Przykład: firma z 1000 assetów płaci za SIEM jako usługę 17 800 zł plus 4 000 zł za infrastrukturę, czyli 21 800 zł miesięcznie. Z obsługą SOC 24/7 dochodzi 14 000 zł, łącznie 35 800 zł miesięcznie. 

Kwoty w tabeli są orientacyjne. Ostateczna stawka zależy od środowiska klienta: rodzaju i liczby źródeł logów, wymaganego czasu przechowywania danych, wybranych modułów oraz wymogów regulacyjnych. Dokładną wycenę przygotujemy po wypełnieniu formularza poniżej. 

SIEM sam czy z SOC? 

SIEM to narzędzie. Zbiera logi, koreluje zdarzenia i generuje alerty, ale nie reaguje. Potrzebna jest osoba, która będzie analizować, odsiewać fałszywe alarmy i reagować na prawdziwe incydenty, także w nocy i w weekendy. Ataki rzadko zaczynają się w godzinach pracy. Obsługą zdarzen z systemów SIEM zajmują się analitycy, najczęściej zatrudniani w jednym z trzech modeli: 

Własny zespół SOC klienta. Obsadzenie dyżurów 24/7 przez cały rok wymaga co najmniej 5–6 etatów analityków, licząc urlopy i zwolnienia. Do tego dochodzą szkolenia, narzędzia i rotacja specjalistów, o których trudno na rynku. Z tego powodu na budowę własnego zespołu SOC decydują się wyłącznie bardzo duże organizacje.  

SOC jako usługa. W Trecom dostępny w ramach stałej opłaty bazowej: 14-16 zł za każdy monitorowany asset miesięcznie. Dla organizacji z 1000 assetów to 14 000 zł miesięcznie za całodobowy monitoring prowadzony przez doświadczony zespół. W wielu firmach to mniej niż koszt jednego etatu analityka bezpieczeństwa. 
 
Finalna cena uzależniona od zakresu usług (zarządzanie incydentami, podatnościami, analiza malware, CTI, moduły godzinne – 24/7 czy analiza zdarzeń po godzinach). 

SOC hybrydowy. Klient zatrudnia kilku analityków a część obsługi (np. w nocy lub analizę zaawansowanych przypadków) zleca zewnętrznemu dostawcy usługi SOC.  

Więcej o tym wyborze piszemy w artykule [SOC wewnętrzny czy SOC jako usługa – link do części F]. 

Dodatkowe koszty SIEM on premise 

Opłaty rosną razem z wolumenem logów. Licencje liczone w GB dziennie albo EPS drożeją, gdy organizacja dołącza nowe systemy, przenosi usługi do chmury albo włącza bardziej szczegółowe logowanie. Firmy zaczynają wtedy ograniczać logowanie, żeby zmieścić się w budżecie, i tracą widoczność tam, gdzie jest najbardziej potrzebna. 

Osobne licencje na moduły. UEBA, zarządzanie podatnościami, analiza ryzyka czy obsługa incydentów bywają sprzedawane jako dodatki. Funkcje, które w prezentacji wyglądały na standard, w ofercie pojawiają się jako kolejne pozycje. 

Strojenie reguł. Świeżo wdrożony SIEM generuje dużo fałszywych alarmów. Dopasowanie reguł korelacji do środowiska organizacji wymaga czasu specjalistów, a środowisko zmienia się cały czas, więc ta praca nigdy się nie kończy. Jeśli nikt jej nie wykonuje, zespół zaczyna ignorować alerty. 

Przekroczenia limitów. Przy licencji EPS skok ruchu podczas incydentu może oznaczać utratę części zdarzeń albo konieczność szybkiego dokupienia wyższego progu. 

Przy licencji per asset i abonamencie obejmującym infrastrukturę te pozycje znikają albo są znane z góry. 

Jak przygotować się do wyceny 

Przed rozmową o wycenie warto zebrać: 

• liczbę serwerów (fizycznych i wirtualnych), 

• liczbę stacji roboczych, 

• liczbę urządzeń sieciowych (firewalle, przełączniki, routery, punkty dostępowe), 

• listę kluczowych aplikacji i usług chmurowych (np. Microsoft 365, Azure, AWS), 

• wymagany czas przechowywania logów, 

• wymogi regulacyjne, którym podlegacie (NIS2 i ustawa o KSC, DORA, inne), 

• informację, czy system musi działać w izolacji od internetu (air-gap), 

• informację, czy macie już SIEM, i jaki. 

Do pierwszej wyceny wystarczą przedziały. 

Wyceń SIEM dla swojej organizacji 

Pola formularza: 

1. Liczba assetów (do wpisania):  

2. Główne źródła logów (wielokrotny wybór): firewalle / serwery / Active Directory / chmura / OT 

3. Wymagany czas przechowywania logów (w miesiącach) 

4. Preferowany model: wdrożenie (on-premise) / SIEM jako usługa / hybrydowy 

5. Wymogi regulacyjne (wielokrotny wybór): NIS2 / KSC / DORA / inne 

6. Czy macie już SIEM? tak / nie; jeśli tak, jaki? 

7. Imię i nazwisko, firma, e-mail, telefon 

Przycisk: Wyślij zapytanie o wycenę 

FAQ 

---

Aleksander Bronowski – GTM Manager w Trecom z ponad sześcioletnim doświadczeniem w doradztwie transakcyjnym i technologicznym. Na co dzień wspiera klientów w doborze i projektowaniu rozwiązań z obszaru cyberbezpieczeństwa. Specjalizuje się w obszarze zarządzania incydentami, podatnościami i ryzykiem, a także NIS 2.