Cyfryzacja firmy z partnerem IT: od czego zacząć

Cyfryzacja małej firmy rzadko zaczyna się od sztucznej inteligencji. Zwykle zaczyna się od faktur, dokumentów i tego, kto w firmie pilnuje komputerów i kopii zapasowych. Ten poradnik zestawia dane Eurostatu i GUS o polskich firmach, obowiązki, które już działają (KSeF, AI Act, nowa ustawa o KSC), oraz zapisy, które według przepisów i wytycznych urzędowych powinna mieć umowa z zewnętrznym partnerem IT. Dane Eurostatu dotyczą firm zatrudniających co najmniej 10 osób, bo mikrofirm to badanie nie obejmuje.

1. Gdzie są polskie firmy na tle UE

Eurostat mierzy cyfryzację firm wskaźnikiem intensywności cyfrowej (Digital Intensity Index). Poziom podstawowy oznacza, że firma korzysta z co najmniej 4 z 12 mierzonych technologii. W 2025 roku miało go 58,98% polskich firm zatrudniających od 10 do 249 osób, wobec 71,39% w całej UE. Bardzo niski poziom miało 39,77% polskich firm, wobec 27,89% w UE. Lista 12 technologii zmienia się co rok, dlatego Eurostat publikuje dwie wersje wskaźnika i wyników z kolejnych lat nie należy porównywać wprost.

Wskaźnik (firmy od 10 osób)	Polska	UE
System ERP, 2025	39,10%	46,45%
System CRM, 2025	24,32%	28,51%
Płatne usługi w chmurze, 2025	54,71%	52,74%
Księgowość i finanse w chmurze, 2025	16,72%	30,68%
Co najmniej jedna technologia AI, 2025	8,36%	19,95%
E-faktury do automatycznego przetwarzania, 2023	14,81%	38,68%

Dane pochodzą ze zbiorów Eurostatu isoc_eb_iip, isoc_cicce_use, isoc_eb_ai i isoc_eb_ics. Z chmury polskie firmy korzystają częściej niż średnia unijna, a najczęściej kupowane usługi to poczta i pakiety biurowe. GUS podaje, że w 2025 roku pocztę w chmurze kupowało 37,3% firm, a oprogramowanie biurowe 28,0%.

2. Cel UE na 2030 rok i ocena Polski

Decyzja (UE) 2022/2481 ustanawia cele Cyfrowej Dekady. Do 2030 roku ponad 90% unijnych MŚP ma osiągnąć co najmniej podstawowy poziom intensywności cyfrowej, a co najmniej 75% przedsiębiorstw ma korzystać z chmury, dużych zbiorów danych albo sztucznej inteligencji.

W raporcie krajowym z 24 sierpnia 2026 Komisja Europejska ocenia, że Polska pozostaje w tyle w cyfryzacji firm i wykorzystaniu kluczowych technologii, zwłaszcza wśród MŚP. Pierwsza rekomendacja dla Polski dotyczy wzmocnienia cyfryzacji MŚP i przyspieszenia wdrażania zaawansowanych technologii. Komisja zwraca też uwagę na stagnację liczby specjalistów ICT.

3. Od czego zacząć: faktury, procesy, chmura

Pierwszy krok wymusza prawo. Według Ministerstwa Finansów wystawianie faktur w Krajowym Systemie e-Faktur jest obowiązkowe od 1 lutego 2026 dla podatników, których sprzedaż z VAT przekroczyła w 2024 roku 200 mln zł, i od 1 kwietnia 2026 dla pozostałych. Odbieranie faktur przez KSeF obowiązuje wszystkich od 1 lutego 2026. Do końca 2026 roku działają uproszczenia, a 1 stycznia 2027 kończy się okres bez sankcji.

KSeF zmienia fakturę w ustrukturyzowane dane, które program księgowy, ERP albo system obiegu dokumentów może przetworzyć bez przepisywania. To naturalny punkt startu automatyzacji. W 2023 roku, przed obowiązkowym KSeF, faktury papierowe wysyłało 81,79% polskich firm od 10 osób. Kolejne kroki to zwykle wspólna poczta i dokumenty w chmurze, opisane w porównaniu Microsoft 365 i Google Workspace, a potem system do zarządzania firmą (ERP) i relacjami z klientami (CRM). Z oprogramowania wspierającego zarządzanie procesami korzystało w 2025 roku 40,5% polskich firm według GUS.

4. Automatyzacja i AI: dane i obowiązki

Eurostat mierzy osobno zastosowanie AI do automatyzacji przepływów pracy i wspierania decyzji. W 2025 roku korzystało z niego 2,60% polskich firm od 10 osób i 5,35% w UE, a AI do organizacji procesów administracyjnych lub zarządzania 3,58% w Polsce i 6,19% w UE. Polskie firmy, które rozważały AI, ale jej nie wdrożyły, najczęściej wskazywały brak wiedzy, koszty i niejasne skutki prawne. O ochronie danych przy AI w pakiecie biurowym piszemy w tekście o Microsoft 365 Copilot w firmie.

Firma, która korzysta z systemu AI w działalności zawodowej, jest w AI Act podmiotem stosującym. Od 2 lutego 2025 obowiązuje art. 4 o kompetencjach w zakresie AI. Rozporządzenie (UE) 2026/1744, w mocy od 27 lipca 2026, zmieniło jego brzmienie. Firmy mają podejmować środki wspierające rozwój kompetencji personelu, bez obowiązku zapewnienia określonego poziomu każdej osobie. Przepisy o systemach wysokiego ryzyka przesunięto na 2 grudnia 2027 i 2 sierpnia 2028.

5. Dlaczego zewnętrzny partner IT

Polskie firmy częściej niż unijne oddają IT na zewnątrz. W 2024 roku funkcje ICT wykonywali wyłącznie zewnętrzni dostawcy w 61,35% polskich firm od 10 osób, wobec 44,78% w UE. Wyłącznie własnymi pracownikami obsługiwało IT 15,72% polskich firm.

Specjalistów ICT zatrudniało w 2024 roku 25,99% polskich firm, a rekrutować ich próbowało 5,64%. Mała firma, która chce wdrożyć KSeF, ERP i kopie zapasowe, najczęściej robi to więc z partnerem. Tym ważniejsze jest, co znajdzie się w umowie z nim.

6. Co musi być w umowie z partnerem IT

Partner, który administruje twoimi serwerami, pocztą albo komputerami, zwykle ma dostęp do danych osobowych. Jest wtedy podmiotem przetwarzającym, a art. 28 RODO wymaga umowy powierzenia na piśmie, także w formie elektronicznej. Europejska Rada Ochrony Danych zaznacza, że taka umowa nie powinna przepisywać RODO, tylko konkretnie opisać, jak wymagania będą spełnione i jaki poziom bezpieczeństwa obowiązuje.

Dobrą listą kontrolną jest też rozporządzenie wykonawcze (UE) 2024/2690, które opisuje umowy z dostawcami dla podmiotów objętych NIS2. Łącząc je z RODO, w umowie z partnerem warto sprawdzić:

• przetwarzanie danych wyłącznie na twoje udokumentowane polecenie i poufność osób, które mają do nich dostęp,
• zgodę na podwykonawców i pełną odpowiedzialność partnera za ich działania,
• zgłaszanie incydentów bez zbędnej zwłoki,
• prawo do audytu i inspekcji albo do otrzymywania sprawozdań z audytu,
• usunięcie albo zwrot danych i kopii po zakończeniu współpracy oraz obowiązki stron przy rozwiązaniu umowy.

Umowę o obsługę IT, której nie regulują inne przepisy, Kodeks cywilny każe traktować jak zlecenie (art. 750). Uprawnienia do wypowiedzenia z ważnych powodów nie można się zrzec z góry (art. 746 § 3). Karę umowną, na przykład za przekroczenie czasu naprawy, można zastrzec dla zobowiązań niepieniężnych (art. 483), a dłużnik może żądać jej zmniejszenia, gdy jest rażąco wygórowana (art. 484 § 2).

6.1. SLA: jakie parametry mają znaczenie

Wytyczne Komisji Europejskiej dotyczące SLA wskazują, że dostępność usługi trzeba podać jako wartość liczbową z określoną metodą pomiaru. Zaznaczają też, że czas reakcji wsparcia nie obejmuje czasu zamknięcia zgłoszenia, więc umowa powinna określać osobno czas reakcji i czas rozwiązania. Przy zakończeniu umowy SLA powinna podawać okres, w którym odbierzesz swoje dane, zanim dostawca je usunie.

Dla kopii zapasowych przydają się dwa pojęcia z NIST SP 800-34. RTO to maksymalny czas niedostępności systemu, zanim skutki dla firmy staną się nie do przyjęcia. RPO to punkt w czasie, do którego da się odtworzyć dane z ostatniej kopii. Oba warto wpisać do umowy jako liczby, bo od nich zależy, jak często partner robi kopie i jak szybko musi je przywrócić.

6.2. Bezpieczny dostęp partnera

Partner IT łączy się z twoimi systemami zdalnie, więc jego dostęp jest częścią twojego bezpieczeństwa. CERT Polska zaleca, by każdy dostęp zdalny do zasobów firmowych wymagał uwierzytelniania dwuskładnikowego, by kopie zapasowe były odizolowane i nie ucierpiały przy ataku, oraz by przywracanie z kopii było testowane. Jak włączyć drugi składnik, opisuje poradnik o weryfikacji dwuetapowej, a rodzaje kopii tekst o kopii zapasowej komputera. Według GUS kopie zapasowe robiło w 2025 roku 65,8% polskich firm.

7. Czy dotyczy cię NIS2 i nowa ustawa o KSC

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026. Obejmuje podmioty kluczowe i ważne z sektorów wymienionych w załącznikach. Dla sektorów z załącznika nr 1 próg to co najmniej średni przedsiębiorca. W załączniku nr 1 jest sektor zarządzania usługami ICT, czyli dostawcy usług zarządzanych, a dostawca usług zarządzanych w zakresie cyberbezpieczeństwa jest podmiotem kluczowym już jako mały przedsiębiorca.

Podmioty objęte ustawą muszą zapewnić bezpieczeństwo łańcucha dostaw usług ICT, plany ciągłości działania i uwierzytelnianie wieloskładnikowe. Według gov.pl wniosek o wpis do wykazu trzeba złożyć do 3 października 2026, a system zarządzania bezpieczeństwem informacji wdrożyć do 3 kwietnia 2027. Jeśli twoja firma nie jest objęta ustawą, jej wymagania wobec dostawców nadal są użyteczną miarą przy wyborze partnera.

8. Dofinansowanie cyfryzacji

Program Dig.IT Transformacja Cyfrowa, prowadzony przez Agencję Rozwoju Przemysłu w ramach FENG, finansuje oprogramowanie, sprzęt, wdrożenie i szkolenia. Jest przeznaczony dla MŚP z przetwórstwa przemysłowego i usług produkcyjnych, a według portalu biznes.gov.pl grant wynosi od 150 000 do 850 000 zł. Pilotażowy nabór zakończył się 28 listopada 2025, wpłynęło w nim 146 wniosków. Aktualne warunki i terminy sprawdzisz w regulaminie naboru.

Firmy z innych branż mogą skorzystać z Europejskich Hubów Innowacji Cyfrowych. Według Ministerstwa Rozwoju i Technologii ich celem jest wsparcie transformacji cyfrowej mikro, małych i średnich firm przez szkolenia, testowanie przed inwestycją i pomoc w poszukiwaniu finansowania.

9. Partner artykułu: Ralkom

Ten artykuł powstał we współpracy z firmą Ralkom, która świadczy usługi IT dla małych i średnich firm z Poznania i Wielkopolski, w tym w Szamotułach, Gnieźnie i Wągrowcu. Według oferty Ralkom zakres usług obejmuje infrastrukturę i sieci, administrację serwerami Linux i Windows Server, wdrożenia Microsoft 365 ze szkoleniami z Teams i praktycznego wykorzystania AI, kopie zapasowe w chmurze oraz strony i sklepy internetowe.

Ralkom oferuje bezpłatny, 30-minutowy audyt, który obejmuje kopie zapasowe, ryzyko ransomware, aktualność serwerów i oprogramowania oraz podstawowe luki strony i systemów firmowych. Wynikiem jest raport z zaleceniami wysyłany e-mailem. Pakiety abonamentowe kosztują od 280 zł netto miesięcznie dla jednego stanowiska, od 700 zł dla zespołu do 5 osób i od 1000 zł dla zespołu do 10 osób. Administracja serwerem to dodatkowe 350 zł netto miesięcznie za serwer. Według firmy umowy zawierają SLA z gwarantowanym czasem reakcji i rozwiązania i są zawierane na 12 miesięcy z miesięcznym okresem wypowiedzenia. Przed podpisaniem umowy z każdym partnerem sprawdź w niej punkty z sekcji 6.

10. Podsumowanie

Polskie firmy częściej niż unijne oddają IT na zewnątrz, a rzadziej korzystają z ERP, e-faktur i AI. KSeF sprawił, że pierwszy krok cyfryzacji jest już obowiązkowy, a AI Act i nowa ustawa o KSC określają, czego wymagać od siebie i od dostawców. Wybierając partnera IT, porównuj nie tylko cenę abonamentu, ale też umowę powierzenia, liczby w SLA, zasady zakończenia współpracy i sposób, w jaki partner łączy się z twoimi systemami.