Opieka techniczna strony: ile kosztuje i co ma być w umowie

Strona działa, więc łatwo uznać, że nic przy niej nie trzeba robić. Tymczasem wtyczki, motyw, wersja PHP i certyfikat SSL wymagają aktualizacji albo odnowienia, a kopia zapasowa przydaje się dopiero wtedy, gdy coś pójdzie źle. Dlatego wiele firm płaci za opiekę techniczną strony. Kłopot w tym, że pod tą samą nazwą kryją się bardzo różne usługi: od automatycznych aktualizacji raz w tygodniu po dyżur z reakcją na awarię w kilka godzin.

W tej poradzie pokazuję, ile kosztuje opieka techniczna strony w Polsce, co powinno znaleźć się w umowie i po czym poznać ofertę, która w razie awarii niewiele Ci da. Ceny i przepisy opisuję według stanu na 2 listopada 2026 r. To nie jest porada prawna: przy sklepie albo stronie, która zbiera dużo danych klientów, daj umowę do przeczytania prawnikowi.

Ile kosztuje opieka techniczna strony w 2026 roku

Przejrzałem publiczne cenniki kilku polskich firm i agencji (stan na koniec października 2026 r.). Większość sprzedaje opiekę w trzech pakietach, z ceną netto za miesiąc i za jedną stronę:

Prace ponad pakiet kosztują w tych cennikach od 139 do 200 zł netto za godzinę. Część firm rozlicza je co 15 minut, inne liczą co najmniej pełną godzinę.

Cena zależy głównie od liczby godzin w pakiecie, częstotliwości kopii i szybkości reakcji na awarię, więc porównuj zakres, a nie samą kwotę. U mnie opieka ma trzy pakiety: Czuwanie od 149 zł netto miesięcznie (monitoring, aktualizacje, kopia poza serwerem co tydzień, reakcja w 2 dni robocze), Standard od 349 zł (codzienne kopie, 1 godzina zmian w treści, reakcja w 1 dzień roboczy) i Pro od 749 zł (3 godziny prac, reakcja w 4 godziny, przy awarii także w weekend). Prace spoza zakresu wyceniam z góry albo godzinowo, po 160 zł netto za godzinę. Ile wynosi cały roczny koszt razem z domeną, hostingiem i pocztą, liczę w poradzie o kosztach utrzymania strony.

Zamknięty katalog czynności: co dokładnie robi opiekun

Słaby punkt wielu umów o opiekę to zapis „kompleksowa opieka nad stroną” bez listy, który w sporze każdy rozumie po swojemu. Poproś o zamknięty katalog czynności, czyli listę, w której przy każdej pozycji jest częstotliwość. Przykład:

• aktualizacje rdzenia CMS, wtyczek i motywu co tydzień, każda poprzedzona kopią i zakończona sprawdzeniem strony,
• pilne poprawki bezpieczeństwa w ustalonym czasie od ich wydania, np. w ciągu doby,
• kopia plików i bazy danych: codziennie w sklepie, co najmniej raz w tygodniu na stronie wizytówce,
• monitoring dostępności, ważności certyfikatu SSL i terminu odnowienia domeny,
• skan złośliwego kodu i przegląd kont administratorów,
• drobne zmiany w treści do limitu godzin,
• raport miesięczny: co zaktualizowano, jakie były awarie i ile godzin wykorzystano.

Dlaczego wtyczki są tu najważniejsze? Według raportu Patchstack w 2025 roku w ekosystemie WordPressa ujawniono 11 334 nowe podatności, o 42% więcej niż rok wcześniej. 91% dotyczyło wtyczek, a w samym rdzeniu WordPressa było ich tylko 6. Prawie połowa (46%) nie miała poprawki w chwili ujawnienia. Dlatego dobry opiekun nie tylko klika „Aktualizuj”, ale też potrafi wyłączyć albo zastąpić wtyczkę, gdy poprawki jeszcze nie ma.

Równie ważne jest to, czego katalog nie obejmuje. Zapytaj wprost o trzy sprawy:

1. Czy w cenie jest sprzątanie po włamaniu, czy to osobne zlecenie?
2. Czy w cenie jest zmiana wersji PHP? Według php.net PHP 8.2 traci wsparcie bezpieczeństwa 31 grudnia 2026 r.
3. Kto płaci za odnowienia licencji płatnych wtyczek i na kogo są wykupione?

Każdą z tych pozycji łatwo przeoczyć, a każda może oznaczać dodatkową fakturę.

Czas reakcji to nie czas naprawy

„Reakcja do 4 godzin” brzmi dobrze, ale zwykle oznacza tylko, że w tym czasie ktoś odpisze albo zacznie pracę, a nie że strona będzie już działać. Czas naprawy, czyli przywrócenia działania, to osobna liczba, która rzadko pojawia się w cennikach.

W umowie ustal:

1. Kategorie zgłoszeń, na przykład: awaria krytyczna (strona nie działa, sklep nie przyjmuje zamówień, włamanie), błąd (nie działa formularz albo jedna podstrona) i zmiana (nowy tekst, zdjęcie).
2. Czas reakcji dla każdej kategorii i to, czy liczy się tylko w godzinach pracy, czy przez całą dobę.
3. Kanał zgłoszenia. W jednym z przejrzanych cenników ten sam pakiet daje 4 godziny na reakcję po telefonie, także wieczorem i w weekend, ale 8 godzin po e-mailu i tylko w dni robocze.
4. Docelowy czas przywrócenia działania przy awarii krytycznej, na przykład z ostatniej kopii. Nawet jeśli opiekun zapisze go jako cel, a nie gwarancję, masz liczbę, do której można się odnieść.
5. Skutek niedotrzymania terminów, na przykład obniżka abonamentu za dany miesiąc albo prawo do wypowiedzenia umowy bez okresu wypowiedzenia.

Patchstack podaje, że przy lukach atakowanych najintensywniej mediana czasu do masowych ataków wyniosła 5 godzin. Przy pilnej poprawce liczy się więc doba, a nie tydzień.

Kopie zapasowe i monitoring: gdzie, jak często i kto sprawdza

Przy kopiach zapasowych umowa powinna odpowiadać na cztery pytania:

• Gdzie leżą kopie? Co najmniej jedna musi być poza serwerem strony i poza kontem hostingowym. Kopia na tym samym serwerze może zniknąć razem ze stroną przy włamaniu albo zawieszeniu konta. Szczegóły opisuję w poradzie o kopii zapasowej strony i zasadzie 3-2-1.
• Jak często i jak długo? Na przykład codziennie, z przechowywaniem kopii z ostatnich 30 dni. To ważne, bo włamanie bywa zauważone po kilku tygodniach.
• Kto testuje przywracanie? Raz na kwartał opiekun odtwarza kopię w miejscu testowym i odnotowuje wynik w raporcie.
• Czy dostaniesz kopię na żądanie? Wpisz, że w ustalonym terminie, np. 2 dni robocze, dostajesz aktualną kopię plików i bazy.

Przy sklepie i formularzach to nie tylko wygoda. Art. 32 RODO wymienia wśród środków bezpieczeństwa zdolność do szybkiego przywrócenia dostępności danych osobowych po incydencie fizycznym lub technicznym oraz regularne testowanie zabezpieczeń.

Monitoring powinien obejmować dostępność strony sprawdzaną co kilka minut, ważność certyfikatu SSL, termin odnowienia domeny oraz nowe konta administratorów i zmiany w plikach. Zapytaj też, kto dostaje alarm i co z nim robi w nocy. Bez dyżuru monitoring oznacza tylko tyle, że ktoś rano przeczyta maila.

Godziny w pakiecie, prace dodatkowe i wypowiedzenie

Ustal na piśmie:

• ile godzin obejmuje pakiet i czy niewykorzystane przechodzą na kolejny miesiąc (w części cenników nie przechodzą),
• jak liczony jest czas: co 15 minut czy za każdą rozpoczętą godzinę,
• jaka jest stawka za prace ponad pakiet i że każda taka praca wymaga Twojej akceptacji przed startem,
• co jest „drobną zmianą”, a co już nowym zleceniem, na przykład nowa podstrona albo nowa funkcja.

W przejrzanych cennikach, które podają warunki umowy, standardem jest umowa na czas nieokreślony z miesięcznym albo 30-dniowym wypowiedzeniem. Ostrożnie podchodź do umowy na 12 albo 24 miesiące z karą za wcześniejsze rozwiązanie i automatycznym przedłużeniem o kolejny rok.

Dopisz też zapis o rozstaniu. W ustalonym terminie po końcu umowy opiekun przekazuje aktualną kopię plików i bazy, wszystkie dostępy i listę licencji, a potem usuwa swoje konta. Kopie z danymi klientów usuwa albo Ci zwraca, zależnie od Twojej decyzji.

Dane klientów: umowa powierzenia (art. 28 RODO)

Opiekun z dostępem do panelu, bazy danych i kopii widzi dane osobowe: zgłoszenia z formularza, zamówienia i konta klientów. Twoja firma jest ich administratorem, a opiekun zwykle podmiotem przetwarzającym. Art. 28 RODO wymaga wtedy umowy, która określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych i kategorie osób. Umowa ma formę pisemną, także elektroniczną (art. 28 ust. 9). Tekst rozporządzenia znajdziesz na stronie UODO.

Przy opiece technicznej szczególnie ważne są cztery zapisy:

• opiekun przetwarza dane tylko na Twoje udokumentowane polecenie, a osoby z dostępem zobowiązały się do poufności,
• z innych firm (np. miejsce na kopie, narzędzie do monitoringu) korzysta tylko za Twoją wcześniejszą pisemną zgodą, szczegółową albo ogólną (art. 28 ust. 2),
• po zakończeniu umowy usuwa albo zwraca dane i usuwa ich kopie (art. 28 ust. 3 lit. g),
• naruszenie ochrony danych zgłasza Ci bez zbędnej zwłoki (art. 33 ust. 2).

Ostatni punkt warto zamienić na liczbę. Jako administrator masz 72 godziny od stwierdzenia naruszenia na zgłoszenie go Prezesowi UODO, chyba że jest mało prawdopodobne, by naruszenie powodowało ryzyko dla osób, których dane dotyczą (art. 33 ust. 1). Wpisz więc, że opiekun informuje Cię np. w ciągu 24 godzin od wykrycia włamania, które mogło objąć dane. W UE trwają prace nad zmianą zasad zgłaszania naruszeń (pakiet Digital Omnibus), ale na dzień publikacji tej porady obowiązuje termin 72 godzin. Więcej o umowie powierzenia przy budowie strony piszę w poradzie o umowie na wykonanie strony internetowej.

Czerwone flagi w ofercie opieki

Każdy z tych punktów to powód, żeby dopytać przed podpisaniem:

• „Kompleksowa opieka” bez listy czynności i bez częstotliwości.
• Kopie „robione przez hosting” albo brak odpowiedzi na pytanie, gdzie leżą.
• Czas reakcji bez definicji: nie wiadomo, od kiedy jest liczony, w jakich godzinach i jakim kanałem zgłaszać awarię.
• Domena, hosting albo jedyne konto administratora na opiekuna. Domena i pełne konto administratora mają być Twoje. Gdy serwer prowadzi opiekun (sam oferuję domenę i hosting jako osobną usługę), umowa mówi, jak i kiedy przeniesiesz stronę do innego dostawcy.
• Długa umowa z karą i automatycznym przedłużeniem.
• Brak umowy powierzenia przy sklepie, formularzu albo newsletterze.
• Brak raportu. Płacisz co miesiąc, ale nie wiesz, co zostało zrobione.
• „Nielimitowane zmiany” w najtańszym pakiecie. Zapytaj, ile to godzin w praktyce i co się dzieje, gdy zgłoszeń jest dużo.

Podsumowanie

Opiekę techniczną strony oceniaj po liście, a nie po kwocie: co opiekun robi, jak często, w jakim czasie reaguje i ile kosztuje praca ponad pakiet. Sprawdź, gdzie leżą kopie, jak wygląda rozstanie i czy przy danych klientów jest umowa powierzenia. Ceny i przepisy podaję według stanu na 2 listopada 2026 r., więc przed podpisaniem sprawdź aktualny cennik wykonawcy.

Jeśli chcesz oddać aktualizacje i kopie w jedne ręce, opieka techniczna kosztuje u mnie od 149 zł netto miesięcznie w pakiecie Czuwanie, od 349 zł w pakiecie Standard i od 749 zł w pakiecie Pro, a nowi klienci dostają 20% rabatu na pierwszy miesiąc. Gdy nie wiesz, w jakim stanie jest Twoja strona, zacznij od audytu bezpieczeństwa: dostaniesz raport z ocenami i listą poprawek.