Одит на сигурността · България · 2026

Колко струва одит на сигурността в България през 2026: реални цени по тип одит

"Дайте ми една цена за одит на сигурността." Това е най-честият първи имейл, който получаваме, и на него няма едно число за отговор. Цената варира пет пъти според това какъв одит точно ви трябва. Тук са реалните ценови диапазони за шестте типа одити на българския пазар, защо офертите се разминават толкова, петте червени флага, които издават евтина имитация, и какво да изисквате в обхвата, преди да подпишете.

Най-важното накратко

• Няма една цена за "одит на сигурността". Има поне шест различни услуги под това име, с диапазони от около 2 500 лв. за фокусиран облачен преглед до над 22 000 лв. за пълен NIS2 readiness одит на средна организация. Първата стъпка не е да питате за цена, а да определите кой одит ви трябва.
• Една и съща услуга се котира с 5-кратна разлика. Пентест на уеб приложение може да струва 4 000 лв. или 18 000 лв. Разликата идва от обхват, дълбочина, опит на екипа, ръчна работа срещу автоматичен скенер и качество на доклада. Ниската цена почти винаги означава автоматичен скен, преименуван като "одит".
• Резултатът, не часовете, определя стойността. Добрият одит ви оставя приоритизиран план за действие, който можете да изпълните, доказателства за всяка находка и разговор с инженер. Лошият оставя 80-странична автоматична разпечатка без контекст.
• Пет червени флага в офертата: цена без дефиниран обхват, "одит" без нито един час ръчна работа, доклад без retest, екип без референции и сертификати, и обещание за "100 на сто сигурност" или "гарантирано минаване" на регулаторна проверка.
• Fixed-price оферта е възможна само след scoping. Сериозен доставчик иска 20-40 минути да разбере средата ви (брой системи, технологии, облак, хора), преди да даде твърда цена. Който дава число по телефона за 2 минути, или ще надцени, за да се застрахова, или ще намали обхвата мълчаливо.
• Одитът е началото, не краят. Самият доклад не повишава сигурността ви с нито един процент. Стойността се отключва при изпълнението на препоръките. Затова гледайте не само цената на одита, а и дали доставчикът предлага remediation поддръжка или vCISO retainer след това.

Когато видите оферта за "пентест на уеб приложение" за 4 000 лв. до друга за 18 000 лв., нормалната реакция е да решите, че скъпата фирма просто печели повече. Понякога е така, но в по-голямата част от случаите двете оферти описват коренно различна работа под едно и също име. Има пет фактора, които заедно обясняват 5-кратната разлика, и всеки от тях си струва да разберете, преди да изберете по цена.

Първо, обхватът. "Одит на сигурността" може да означава една уеб система с 20 страници или цяла инфраструктура с 15 сървъра, три облака и 200 потребителя. Ако обхватът не е написан черно на бяло в офертата (брой системи, IP адреси, домейни, приложения, потребители), цената е безсмислена. Евтината оферта често е евтина просто защото покрива една десета от това, което мислите, че купувате.

Второ, ръчна работа срещу автоматичен скенер. Това е най-голямата разлика. Автоматичен скенер (Nessus, OpenVAS, Acunetix и подобни) пуска предефинирани проверки и генерира доклад за минути. Лицензът струва малко, така че доставчикът може да го продаде за 2 000-3 000 лв. с висок марж. Ръчен одит означава опитен човек, който мисли като нападател, открива логически грешки, верижи уязвимости и намира неща, които никой скенер не вижда. Това са дни човеко-труд на скъп специалист. Двете изглеждат еднакво в заглавието на офертата и нямат нищо общо в стойността.

Трето, опитът и сертификатите на екипа. Одит, направен от junior с курс отпреди година, и одит от инженер с 10 години опит и сертификати (OSCP, CISSP, ISO 27001 Lead Auditor) са различни продукти. Опитът се отразява в цената на часа, но и в това какво въобще ще бъде намерено. По-евтиният екип не намира по-малко проблеми, защото средата е по-сигурна, а защото не знае къде да гледа.

Четвърто и пето, дълбочината на доклада и наличието на retest. Доклад, който само изброява находки, струва по-малко от доклад с доказателство (proof of concept) за всяка, оценка на реалния риск за вашия бизнес, приоритизиран план и разговор с инженера, който да обясни. А retest (повторна проверка, че сте поправили нещата) почти никога не е включен в евтините оферти, въпреки че е точката, в която одитът реално намалява риска ви.

Ето шестте услуги, които българските компании най-често търсят под името "одит на сигурността", всяка с реален ценови диапазон в лева за 2026 година. Числата отразяват оферти на сериозни български и регионални доставчици за компании от 10 до 250 служители. Долният край на всеки диапазон е за малка, проста среда; горният за по-голяма или регулирана организация. Цените са без ДДС.

ISO 27001 gap одит е най-търсеният, когато западен или корпоративен клиент поиска сертификат. Той не е самата сертификация, а предварителната оценка колко далеч сте и какво трябва да направите. Цената зависи от това дали имате изобщо политики и процеси, или започвате от нула. Това е инвестиция, която после спестява от консултантската работа по внедряването.

Пентестът (на уеб приложение или мрежа) е там, където разликата между ръчна работа и скенер е най-болезнена. Ако виждате "пентест" за под 3 000 лв., в 95 на сто от случаите е автоматичен скан. Истинският пентест за дори средно по сложност приложение изисква няколко дни ръчна работа на опитен човек и затова стартира над 5 000 лв. За приложения, които обработват плащания или чувствителни данни, или когато клиент изисква пентест за договор, горният край на диапазона е оправдан.

GDPR и NIS2 одитите са регулаторни, не технически. GDPR одитът проверява документация, основания за обработка, договори с обработващи, права на субектите и технически и организационни мерки. NIS2 readiness одитът е по-широк и по-скъп, защото покрива 13-те минимални мерки по чл. 21 от Закона за киберсигурност, управлението, процеса за докладване на инциденти в срок 24/72 часа и сигурността на веригата на доставки. За субект, попадащ в обхвата на NIS2, този одит често е първата стъпка към съответствие преди контрол.

Одитът на Microsoft 365 е най-достъпният и често с най-висока възвръщаемост за малки компании, защото огромна част от българския бизнес живее в M365 или Google Workspace с подразбиращи се, несигурни настройки. А vCISO retainer-ът не е еднократен одит, а постоянен външен директор по сигурността на месечна база, който замества нуждата от скъп вътрешен CISO. За компании, които искат непрекъснат надзор вместо снимка веднъж годишно, това често е по-разумният модел.

Две уточнения за българския пазар. Първо, цените на местни и регионални доставчици са обикновено 20-40 на сто под тези на големите международни одиторски къщи за сравнима работа, но при местните е още по-важно да проверите кой конкретно ще тества, защото разликата в опита е по-голяма. Второ, за регулирани субекти част от разхода за NIS2 или киберсигурност понякога е допустим по европейски програми за дигитализация и устойчивост. Не разчитайте на това като сигурно финансиране, но си струва да попитате счетоводителя или консултанта по проекти, преди да заложите целия бюджет от собствени средства.

Цената има смисъл само срещу ясно дефиниран обхват. Преди да приемете коя да е оферта, изисквайте писмено, черно на бяло, следните осем неща. Ако доставчикът се колебае да ги напише, това само по себе си е отговор за качеството, което ще получите.

Най-подценяваните три реда в тази таблица са разговорът след одита, retest-ът и приоритизираният план. Доклад без тях е просто PDF. Доклад с тях е инструмент, който екипът ви наистина може да изпълни. Когато сравнявате две оферти с близка цена, тази, която включва разговор и retest, почти винаги е по-добрата сделка, дори ако е малко по-скъпа на хартия.

Обърнете внимание и на това дали обхватът е реалистичен спрямо цената. Ако някой ви обещава пълен одит на инфраструктура с 15 сървъра, три облака и пентест на приложение за 3 000 лв., аритметиката не работи. Един опитен инженер струва повече от това само за дните труд. Прекалено ниската цена за широк обхват означава, че нещо ще бъде свито мълчаливо, обикновено дълбочината на ръчната работа.

След като сте видели стотици оферти, започвате да разпознавате имитацията на одит по едни и същи сигнали. Ето петте, които издават, че плащате за автоматичен скан с красиво лого, а не за реален одит. Един от тях не е задължително проблем, но два или повече заедно са ясно предупреждение.

Когато имате три оферти на масата, изкушението е да подредите по цена и да изберете средната или най-евтината. Това е грешка. Правилният подход е първо да ги нормализирате към един и същ обхват, после да сравните стойност на лев, не абсолютна цена. Ето как.

Първо, изравнете обхвата. Върнете се при тримата доставчици и поискайте оферта за абсолютно същия предмет (същите системи, същата дълбочина, същия резултат). Често след това упражнение трите оферти се сближават драстично, защото евтината е била евтина заради свит обхват. Ако някой откаже да преоферира с ясен обхват, изключете го.

Второ, разберете модела на ценообразуване. Fixed-price (твърда цена) дава предвидимост и е за предпочитане за ясно дефиниран одит. Time and materials (по часове) има смисъл само за неясен или текущ обхват и носи риск от изненади. За еднократен одит настоявайте за fixed-price след scoping. Ако някой дава твърда цена без да е разбрал средата ви, той или ще надцени за застраховка, или ще намали обхвата по-късно.

Трето, мислете за целия жизнен цикъл, не само за одита. Одитът намира проблемите, но поправянето им струва време и понякога пари. Доставчик, който предлага и поддръжка по внедряването на препоръките или vCISO retainer, ви спестява втория кръг търсене и преговори. За много български компании най-разумният път е еднократен одит, който да установи изходната точка, последван от лек месечен retainer, който държи нещата в ред между годишните проверки.

Най-важната истина за цената на одита е, че самият доклад не повишава сигурността ви с нито един процент. Купувате карта, не пътуване. Стойността се отключва едва когато изпълните препоръките. Виждали сме компании, които платиха за отличен одит, прибраха доклада в чекмедже и шест месеца по-късно бяха пробити точно през уязвимостта на първа страница. Платиха за знание и не го използваха.

Затова, когато оценявате цената, мислете за пълния разход до резултат, не само за одита. Типичният път е: одит (намира проблемите), remediation (поправяте ги, вътрешно или с помощ), retest (потвърждава, че са затворени), после лек текущ надзор, който държи нещата в ред. Компания, която гледа само цената на одита и пропуска бюджет за поправянето, харчи пари за карта, която няма да следва.

За повечето български компании от 20 до 150 души най-икономичният модел през 2026 е комбинация: еднократен задълбочен одит, който установява изходната точка и приоритетите, последван от vCISO retainer от няколкостотин до няколко хиляди лева на месец, който осигурява изпълнението, държи политиките живи и подготвя организацията за следващата регулаторна или клиентска проверка. Това струва значително по-малко от вътрешен CISO и многократно по-малко от цената на един успешен пробив или регулаторна глоба.

Практичен начин да планирате бюджета е правилото "една трета към две трети": заделете около една трета за самия одит и две трети за поправянето на това, което той намери. Ако похарчите 10 000 лв. за отличен одит и нямате нито лев за корекциите, реалната ви сигурност не помръдва. Затова при първия разговор с доставчика питайте не само "колко струва одитът", а и "какъв порядък разход да очаквам за типичните корекции след него". Честният отговор на втория въпрос ви казва повече за доставчика, отколкото офертата за първия. Който премълчава, че одитът е само първата трета от пътя, или не разбира пълната картина, или не иска да я знаете.

Финансовият директор от Пловдив, с който започнахме, накрая избра не най-евтината и не най-скъпата оферта. Избра тази, която първа го попита какво всъщност се опитва да постигне. Оказа се, че голям клиент изисква доказателство за сигурност за подновяване на договор, а не пълна ISO сертификация. Правилният одит за неговата ситуация беше фокусиран преглед на инфраструктурата плюс пентест на ключовото приложение, около 11 000 лв., последван от лек месечен надзор. Спести над 13 000 лв. спрямо най-скъпата оферта, защото купи точно това, което му трябваше, а не това, което звучеше най-внушително.

Това е поуката за всеки, който купува одит на сигурността за пръв път. Цената варира пет пъти не защото пазарът е хаотичен, а защото под едно име се крият шест различни услуги. Не започвайте с въпроса "колко струва", а с "кой одит решава моя конкретен проблем". Дефинирайте обхвата, изисквайте ръчна работа и retest, проверете кой ще работи, и сравнявайте стойност на лев, не голото число. Тогава цената спира да е загадка и става нормално бизнес решение.

Искате fixed-price оферта с ясен обхват за вашата конкретна ситуация? Свържете се с нас за безплатен scoping разговор или пишете на alexander@atlantsecurity.com. Ще ви кажем честно кой одит ви трябва, дори ако е по-малкият.