Polskie firmy kupują SIEM, ale nie potrafią z niego korzystać

Blisko połowa średnich i dużych firm w Polsce korzysta już z systemów SIEM, jednak tylko co dziewiąta organizacja osiągnęła poziom dojrzałości pozwalający skutecznie wykrywać i automatycznie reagować na cyberataki. Najnowszy raport Trecom i Splunk pokazuje, że problemem nie jest już brak technologii, lecz niedojrzałe procesy, niedobór specjalistów i niewystarczające przygotowanie do wymogów dyrektywy NIS2. W efekcie kosztowne rozwiązania bezpieczeństwa często pełnią jedynie funkcję narzędzi do gromadzenia logów, a różnice w poziomie przygotowania poszczególnych branż sięgają nawet pięciokrotności.

Raport „SIEM 2026. Najważniejsze ustalenia o stanie polskiego rynku cyberbezpieczeństwa”, przygotowany przez Trecom i Splunk na podstawie badania 1008 decydentów z firm zatrudniających ponad 50 pracowników, przynosi otrzeźwiający obraz polskiej cyberochrony. Z jednej strony rynek wydaje się technologicznie nasycony – aż 45,8% organizacji korzysta już z systemów SIEM (Security Information and Event Management). Z drugiej, zaledwie 13,1% z nich deklaruje, że poziom automatyzacji procesów reagowania na incydenty (IR) przekracza u nich 40%.

Pomiędzy tymi dwoma wskaźnikami rysuje się główna teza raportu: polskie organizacje nie cierpią na brak nowoczesnych platform, ale na drastyczny niedobór procesów, procedur i wykwalifikowanych kadr, które pozwoliłyby realnie wykorzystać te narzędzia.

„Organizacje bez udokumentowanych procedur obsługi incydentów osiągają skuteczność porównywalną z firmami, które nie wdrożyły żadnego rozwiązania detekcji. SOC nie działa automatycznie – wymaga zaangażowania specjalistów, podziału ról (red/blue/purple team) oraz ciągłej inżynierii reguł korelacji. Rosnąca liczba incydentów wynika nie z eskalacji zagrożeń zewnętrznych, lecz z podstawowych zaniedbań w obszarze świadomości pracowników i wewnętrznych procedur bezpieczeństwa. Jest to problem do zaadresowania szkoleniami i zmianą kultury organizacyjnej, a nie kolejnymi warstwami technologii” – wskazuje Rafał Okun, inżynier ds. bezpieczeństwa IT w firmie Trecom.

Większość organizacji wpada w pułapkę myślenia, że sam zakup licencji rozwiązuje problem bezpieczeństwa. W efekcie zaawansowane platformy, zamiast aktywnie wykrywać anomalie, stają się jedynie pasywnymi, drogimi bazami danych.

Rynek dwóch prędkości

Analiza wskazuje, że polski rynek systemów SIEM jest głęboko pęknięty, a poziom adopcji nie rośnie w sposób liniowy. Prawdziwa rewolucja i zmiana podejścia następują dopiero po przekroczeniu progu 250 pracowników. To właśnie w tym miejscu kończy się ujęcie cyberbezpieczeństwa jako „opcji”, a zaczyna traktowanie go jako krytycznego elementu infrastruktury.

W najmniejszych badanych podmiotach (51–100 pracowników) system SIEM posiada zaledwie 25,2% firm. W segmencie średnim (101–250 zatrudnionych) wskaźnik ten rośnie nieznacznie – do 29,7%. Prawdziwy skok obserwujemy w przedziale 251–500 pracowników, gdzie odsetek wdrożeń gwałtownie rośnie do 51,4%. Powyżej tej granicy posiadanie SIEM staje się rynkowym standardem: w firmach zatrudniających 501–1000 osób system ten posiada 66,1% badanych, a w przedziale 1001–5000 pracowników wskaźnik ten sięga imponujących 89,1%.

Co ciekawe, na samym szczycie struktury wielkościowej pojawia się zaskakująca anomalia. W największych przedsiębiorstwach, zatrudniających powyżej 5000 pracowników, odsetek posiadania SIEM spada do 83,3% (o 5,8% mniej niż w segmencie 1001–5000). Jak wskazują autorzy raportu, może to wynikać z obecności skomplikowanych, rozproszonych środowisk legacy lub specyficznych, dedykowanych rozwiązań autorskich, które trudniej zaklasyfikować jako klasyczny, pojedynczy system SIEM.

Równie ciekawie prezentują się plany na najbliższe 12 miesięcy. Chęć wdrożenia platformy SIEM deklaruje 32,5% ogółu badanych (328 firm). Aż 69,5% z tej grupy to podmioty z sektora mid-market (51–250 pracowników). Jednocześnie małe i średnie firmy generują aż 77,1% deklaracji o całkowitym braku planów wdrożeniowych (ogółem wdrożenia nie planuje 21,6% badanych). Oznacza to, że średni biznes jest obecnie najbardziej dynamicznym, ale i najbardziej spolaryzowanym obszarem rynku.

Trzy ligi dojrzałości wobec NIS2

Wprowadzenie dyrektywy NIS2 oraz nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa (UoKSC) miało zrównać poziom ochrony w kluczowych sektorach gospodarki. Badanie pokazuje jednak, że zamiast spójnego frontu obrony, w Polsce mamy do czynienia z trzema zupełnie różnymi ligami dojrzałości. Średnia ocena gotowości do wymogów NIS2 w skali kraju wynosi zaledwie 5,00/10 (podobnie jak średnia samoocena skuteczności detekcji – 4,97/10).

• Pierwsza liga (Liderzy): To sektory, w których ponad 40% podmiotów deklaruje wysoką gotowość (ocena 7–10). Należą tu finanse i ubezpieczenia (średnia ocena 6,49, a wysoka gotowość u 51,5% firm), energetyka i utilities (analogicznie 6,04/44,4%) oraz ochrona zdrowia (5,67/40,2%).
• Druga liga (Średnia krajowa): To sektory z gotowością na poziomie 25–35%. Znajdziemy tu IT i telekomunikację (średnia 5,52/32,1), transport (5,37/30,1), handel i e-commerce (średnia 4,17/27,4%), przemysł (średnia 4,17/24,4) oraz administrację publiczną (średnia 4,65/23,9).
• Trzecia liga (Outsiderzy): Reprezentowana jest głównie przez edukację, gdzie średnia gotowość wynosi dramatyczne 3,05, a zaledwie 9,7% placówek ocenia swoje przygotowanie wysoko. Aż 62,9% podmiotów z tego sektora ocenia się w najniższym przedziale (1-3).

Największym wyzwaniem dla polskiej gospodarki jest jednak kondycja przemysłu. Stanowi on największą część badanej próby (n=197), a jednocześnie plasuje się na szarym końcu pod względem przygotowania (średnia 4,17). W zderzeniu z faktem, że przemysł zostaje bezpośrednio objęty rygorami NIS2, wspomniana niska dojrzałość tworzy najpoważniejszą lukę bezpieczeństwa w kraju.

Ciągły monitoring 24/7 to wciąż luksus

Zapewnienie całodobowej ochrony i ciągłego monitorowania środowiska IT to jeden z fundamentów skutecznej obrony przed atakami. Tymczasem w Polsce tryb 24/7 pozostaje przywilejem nielicznych. Zaledwie 39,2% badanych organizacji posiada SOC działający bez przerwy. Blisko połowa (46,5%) monitoruje swoje systemy w sposób niepełny (w trybie hybrydowym lub tylko w godzinach pracy biura), a ponad jedna czwarta (26,6%) realizuje monitoring wyłącznie doraźnie, bez jakiejkolwiek ciągłości operacyjnej.

Zbudowanie własnego, wewnętrznego SOC działającego w trybie 24/7/365 to gigantyczny koszt i wyzwanie logistyczne. Wymaga zatrudnienia co najmniej kilkunastu analityków pracujących w systemie zmianowym. Nic dziwnego, że własnym całodobowym SOC dysponuje zaledwie 9,4% polskich firm (w segmencie 51–100 pracowników wskaźnik ten wynosi równe 0%, a w segmencie 101–250 zaledwie 2,7%). Własny SOC staje się opłacalny i realny dopiero w firmach powyżej 1000 pracowników (posiada go 33,7% podmiotów zatrudniających 1001–5000 osób oraz 28,3% powyżej 5000).

Dla zdecydowanej większości rynku jedyną szansą na zapewnienie ciągłości ochrony jest outsourcing. Spośród 395 firm posiadających ciągły monitoring, aż 75,9% (300 podmiotów) opiera się na usługach zewnętrznych dostawców MSSP (Managed Security Service Provider).

„Rynek nie ma dziś problemu z dostępnością narzędzi, lecz kompetencji i zdolności operacyjnych. Tam, gdzie organizacje nie są w stanie zbudować ciągłości zarządzania incydentami samodzielnie, model MSSP staje się warunkiem osiągnięcia minimalnego poziomu bezpieczeństwa zgodnego z wymaganiami regulatorów – i realnym przeciwdziałaniem cyberzagrożeniom” – komentuje Michał Kaczmarek, SOC Manager w Trecom.

Fabryczne ustawienia, czyli jak zmarnować potencjał technologii

Jak wynika z raportu, największa słabość polskiego cyberbezpieczeństwa tkwi w braku inżynierii detekcji. Posiadanie nawet najlepszego systemu SIEM nie chroni przed atakiem, jeśli reguły wykrywania zagrożeń nie są stale aktualizowane i dopasowywane do specyfiki firmy. Tymczasem tylko 14,1% organizacji w Polsce aktualizuje reguły bezpieczeństwa co najmniej raz w miesiącu. Z kolei 28,1% bazuje wyłącznie na ustawieniach fabrycznych dostarczonych przez producenta oprogramowania.

Co najbardziej alarmujące, w grupie podmiotów polegających wyłącznie na regułach domyślnych znajduje się aż 95 firm, które posiadają wdrożony, własny system SIEM. Oznacza to, że co trzecia organizacja z własnym SIEM (33,6%) zainwestowała ogromne środki w zaawansowane narzędzie, którego potencjału w ogóle nie wykorzystuje.

„Administracja systemem SIEM wymaga od nas ciągłego procesu dostrajania reguł, zmian warunków korelacji, aby być gotowym na odparcie ataku. Bo SIEM wdrożony, ale nieaktualizowany, z czasem staje się po prostu Log Managementem” – ostrzega Marcin Kądzik, Security Engineer w Trecom.

Zależność tę widać wyraźnie w twardych danych z badania. Centralizacja logów i zaawansowana analityka dają najwyższą różnicę w dojrzałości operacyjnej w całym raporcie. Firmy z pełną centralizacją osiągają ocenę skuteczności detekcji na poziomie 7,28/10, podczas gdy te bez centralizacji zaledwie 4,04/10. Ta różnica to największa dysproporcja wykazana w badaniu. Sam system SIEM podnosi ocenę skuteczności o 1,87 pkt (5,98 dla firm z SIEM vs 4,11 bez niego), co dowodzi, że technologia bez odpowiedniego wdrożenia i codziennej pracy inżynierskiej szybko traci swoją wartość.

Bariery i budżety. Co blokuje rozwój polskiego SOC?

Analiza Trecom i Splunk wskazuje, że rok 2026 upłynie pod znakiem zderzenia z barierami finansowymi i kadrowymi. Polski rynek jest silnie rozwarstwiony pod względem budżetów na cyberbezpieczeństwo. Podczas gdy 12,1% organizacji planuje przeznaczyć na ten cel ponad 1 mln zł, to aż 34,7% zamierza zamknąć się w kwocie do 200 tys. zł. Przy tak skromnych budżetach samodzielne zbudowanie skutecznej ochrony graniczy z cudem.

Największe przeszkody w rozwoju zdolności reagowania na incydenty (IR) nie leżą jednak w technologii. Respondenci najczęściej wskazywali braki kadrowe (27,8%) oraz ograniczone budżety (25,7%). Łącznie oba problemy odpowiadają za ponad połowę wszystkich wskazań. Dopiero na kolejnych miejscach znalazły się: brak dojrzałych procesów (12,8%), nadmiar alertów (11,1%), problemy z integracją narzędzi (8,3%).

Podobny obraz wyłania się z pytania o największe wyzwania stojące przed organizacjami w 2026 roku. Respondenci wskazali przede wszystkim: braki kadrowe (59%), rosnącą liczbę incydentów (55,4%) i wymagania regulacyjne związane z NIS2 i UoKSC (54,3%). Dopiero znacznie dalej znalazły się kwestie technologiczne, takie jak zbyt duża liczba alertów (25,2%), brak widoczności środowiska IT (21,2%), zarządzanie podatnościami (18,8%), bezpieczeństwo chmury (16,4%) czy trudności z tworzeniem skutecznych reguł detekcji (13,4%).

„Wnioski z raportu są spójne z tym, co obserwujemy w praktyce: przyszłość rynku to nie rywalizacja “build vs buy”, ale świadome projektowanie modelu operacyjnego bezpieczeństwa – często hybrydowego – w którym kluczową rolę odgrywa właściwy dobór technologii, a jeszcze większą partner, który potrafi ją przełożyć na realną zdolność operacyjną” – podsumowuje Paweł Sokół, dyrektor sprzedaży w Trecom.

W tym kontekście dostawcy usług MSSP zyskują sporą przewagę rynkową. Oferują model rozliczeń OpEx zamiast CapEx, a udostępniając własne zespoły inżynierów, zdejmują z barków polskich firm dwa największe problemy: brak budżetu na start i rąk do pracy.

Przedstawione powyżej dane to jedynie wycinek pierwszego tak szczegółowego badania polskiego rynku cyberbezpieczeństwa. Chcesz dowiedzieć się, jak Twoja branża wypada na tle konkurencji? Poszukujesz informacji na temat tego, jak skutecznie zaplanować budżet i wdrożenie systemu SIEM w zgodzie z wymogami NIS2? Pobierz bezpłatnie pełną treść raportu „SIEM 2026. Najważniejsze ustalenia o stanie polskiego rynku cyberbezpieczeństwa”, aby zyskać dostęp do kompletnych analiz, wykresów i rekomendacji ekspertów.

RAPORT MOŻNA POBRAĆ NA STRONIE: https://www.trecom.pl/raport-czy-twoja-organizacja-naprawde-jest-bezpieczna-czy-tylko-ma-siem/?utm_source=itwiz&utm_medium=article&utm_campaign=raport-siem-2026