WebPrestige Jakub Sobieraj

Grafik, który trzy lata temu zaprojektował logo, przysyła wezwanie do zapłaty za „dalsze korzystanie z utworu”. Z przejętej skrzynki mailowej firmy wychodzi do kontrahenta „aktualizacja numeru konta” i 40 tys. zł trafia do oszustów. Właściciel jednoosobowej działalności łamie nogę siedem tygodni po zgłoszeniu się do chorobowego i przez pierwsze sześć tygodni zwolnienia nie dostaje z ZUS nic. Żadna z tych historii nie wymaga wielkiego pecha – wystarczy luka, której nikt nie zauważył, zanim zaczęła kosztować. W małej firmie takie luki zbierają się w trzech miejscach: w dokumentach, w infrastrukturze IT i w zabezpieczeniu finansowym właściciela.

Umowy, które faktycznie chronią

Dla większości umów handlowych polskie prawo nie wymaga szczególnej formy, więc akceptacja oferty mailem wiąże strony tak samo jak podpisany dokument. Problem zaczyna się tam, gdzie forma jest zastrzeżona pod rygorem nieważności. W małych firmach najczęściej chodzi o prawa autorskie: przeniesienie autorskich praw majątkowych wymaga formy pisemnej (art. 53 ustawy o prawie autorskim), a umowa obejmuje wyłącznie pola eksploatacji wyraźnie w niej wymienione (art. 41 ust. 2). Formę pisemną spełnia dokument z własnoręcznym podpisem albo z kwalifikowanym podpisem elektronicznym. Faktura za „projekt logo” i mail z plikami nie przenoszą więc żadnych praw, a firma korzysta z projektu najwyżej na podstawie licencji, której zakresu nikt nie określił.

Przy pracowniku na etacie prawa do utworu stworzonego w ramach obowiązków nabywa pracodawca z mocy art. 12 tej samej ustawy. Przy współpracownikach na B2B takiego automatyzmu nie ma, a to właśnie oni najczęściej projektują identyfikację wizualną, piszą kod i treści na stronę. Druga luka to umowy z klientami pisane pod dobre czasy. Brakuje w nich procedury odbioru, która mówi, kiedy usługa jest wykonana i od kiedy biegnie termin płatności, a także limitu odpowiedzialności odszkodowawczej, zwykle do wysokości wynagrodzenia. Bez takiego limitu firma, która zrobiła sklep internetowy za 8 tys. zł, może odpowiadać za utracone przez klienta zyski wielokrotnie wyższe od swojego honorarium. Ograniczenie nie działa przy szkodzie wyrządzonej umyślnie (art. 473 § 2 Kodeksu cywilnego), ale w pozostałych sytuacjach zamyka ryzyko w znanej kwocie.

Wzory umów starzeją się szybciej, niż się wydaje. Prawo dla przedsiębiorców zmienia się co kilka miesięcy, a szablon sprzed trzech lat potrafi odsyłać do nieobowiązujących przepisów albo pomijać nowe obowiązki informacyjne. Przegląd wzorów raz w roku i konsultacja większych kontraktów z prawnikiem przed podpisaniem kosztują mniej niż pierwszy spór.

RODO i zegar 72 godzin

RODO dotyczy każdej firmy, która ma choćby listę mailingową, bazę klientów w CRM albo jednego pracownika. Pierwsza rzecz do sprawdzenia to umowy powierzenia przetwarzania danych (art. 28 RODO) z każdym, kto przechowuje lub obsługuje te dane w Twoim imieniu: hostingiem, biurem rachunkowym, dostawcą narzędzia do newslettera czy programu do fakturowania. Duzi dostawcy udostępniają je w regulaminie albo w panelu klienta, więc wystarczy je zaakceptować i trzymać w dokumentacji. Przy freelancerach i małych agencjach umowę trzeba zwykle przygotować samodzielnie.

Druga rzecz to procedura na wypadek naruszenia, spisana zanim będzie potrzebna. Administrator ma 72 godziny od stwierdzenia naruszenia na zgłoszenie go Prezesowi UODO, a termin biegnie także w weekendy i święta. Zgłaszać trzeba tylko naruszenia, które mogą powodować ryzyko dla praw lub wolności osób, ale ocenę ryzyka należy udokumentować, a każde naruszenie wpisać do wewnętrznego rejestru (art. 33 ust. 5 RODO). Ta ocena musi być rzetelna: UODO nałożył na Link4 karę 103 752 zł za niezgłoszenie maila wysłanego do niewłaściwego adresata, choć firma sama uznała ryzyko za niskie. Jeśli w ciągu 72 godzin nie znasz wszystkich szczegółów, zgłaszasz to, co wiadomo, i uzupełniasz zgłoszenie później.

Marka zarejestrowana, nie tylko używana

Wpis w CEIDG, zarejestrowana domena i profil w mediach społecznościowych nie dają wyłącznego prawa do nazwy. Daje je dopiero znak towarowy. Zgłoszenie w Urzędzie Patentowym RP w jednej klasie kosztuje 400 zł przy złożeniu elektronicznym, a po pozytywnej decyzji dochodzi 400 zł za pierwsze 10 lat ochrony i 90 zł opłaty za publikację, łącznie 890 zł opłat urzędowych. Każda kolejna klasa to 120 zł przy zgłoszeniu i 400 zł za ochronę. Postępowanie bez sprzeciwów trwa zwykle około pół roku, ale ochrona liczy się od daty zgłoszenia i to ona co do zasady rozstrzyga o pierwszeństwie, a nie data rozpoczęcia używania nazwy. W 2026 roku małe i średnie firmy mogą odzyskać 75% opłat urzędowych (maksymalnie 700 euro) z unijnego programu SME Fund, pod warunkiem że wniosek o bon złożą przed zgłoszeniem znaku. Klas nie warto dobierać na zapas, bo znak nieużywany w danym zakresie przez 5 lat może wygasnąć.

Kopie zapasowe, które przetrwają atak

W 2025 roku CERT Polska zarejestrował 260 783 incydenty bezpieczeństwa, o 152% więcej niż rok wcześniej. Aż 97% z nich stanowiły oszustwa komputerowe, a spośród 179 ataków ransomware 129 zgłosiły firmy. Ransomware szyfruje dane i żąda okupu za klucz, a mała firma bez sprawnej kopii zapasowej ma wtedy do wyboru zapłacić albo odtwarzać wszystko od zera.

Najczęstsze złudzenie to traktowanie synchronizacji jako backupu. Folder na OneDrive, Dysku Google czy w Dropboxie przenosi zmiany niemal natychmiast, więc zaszyfrowane pliki trafiają do chmury tak samo szybko jak poprawne. Ratunkiem bywa historia wersji, ale ma ona ograniczony czas przechowywania i nie obejmuje poczty, bazy danych sklepu ani plików na serwerze. Podobnie jest z kopią robioną przez hosting: leży u tego samego dostawcy, do którego loguje się to samo, potencjalnie przejęte konto.

Bezpieczny układ opisuje zasada 3-2-1: trzy kopie danych na dwóch różnych nośnikach, z czego jedna poza siedzibą firmy. Warto dodać do niej czwarty element – kopię odłączoną od sieci albo zapisaną w trybie niezmienialnym (ang. immutable), do której ransomware nie ma dostępu. Równie ważne jak robienie kopii jest sprawdzanie, czy da się z niej coś odtworzyć. Próbne odtworzenie raz na kwartał, choćby jednego folderu i jednej bazy danych, pokazuje, czy backup działa, zanim przekonasz się o tym w najgorszym momencie.

Dostępy i konta administratora

W małej firmie wiele krytycznych dostępów należy do jednej osoby, często z zewnątrz. Domena bywa zarejestrowana na agencję, która robiła stronę, konto Google Workspace założył były pracownik, a do panelu hostingu loguje się freelancer, z którym współpraca skończyła się dwa lata temu. Wystarczy spór albo utrata kontaktu, żeby firma straciła kontrolę nad pocztą i stroną. Dlatego abonentem domeny powinna być sama firma, a konta administracyjne powinny być przypisane do firmowego adresu, a nie do czyjejś prywatnej skrzynki.

Skrzynka administratora to klucz do resetu haseł we wszystkich pozostałych usługach, więc wymaga uwierzytelniania dwuskładnikowego, najlepiej aplikacją lub kluczem sprzętowym zamiast SMS-a. Hasła do wspólnych usług lepiej trzymać w firmowym menedżerze haseł, który pozwala odebrać dostęp jednym kliknięciem, niż rozsyłać je w arkuszu. Przy odejściu pracownika albo końcu współpracy obowiązuje prosta lista kontrolna: wyłączenie kont, zmiana haseł do usług współdzielonych i odebranie uprawnień w panelach. To podstawy, na których opiera się bezpieczeństwo IT w firmie – bez nich nawet dobre oprogramowanie antywirusowe chroni tylko część tego, co da się zaatakować.

Phishing i podmienione numery kont

Phishing odpowiadał w 2025 roku za około 30% incydentów zarejestrowanych przez CERT Polska, czyli ponad 78 tys. zdarzeń. W firmach szczególnie groźny jest wariant z fałszywą zmianą numeru konta: przestępca przejmuje skrzynkę kontrahenta albo podszywa się pod jego domenę i wysyła „nowe dane do przelewu” razem z prawdziwą fakturą. Skuteczną obroną jest zasada, że każdą zmianę rachunku potwierdza się telefonicznie, pod numerem z własnej dokumentacji, a nie z treści maila.

Przy transakcjach powyżej 15 000 zł z czynnym podatnikiem VAT dochodzi druga warstwa, czyli sprawdzenie rachunku na białej liście. Limit liczy się od wartości transakcji, a nie pojedynczego przelewu, więc rozbicie płatności na raty go nie omija. Zapłata na rachunek spoza wykazu oznacza dziś utratę prawa do ujęcia wydatku w kosztach i solidarną odpowiedzialność za VAT sprzedawcy, chyba że w ciągu 7 dni od zlecenia przelewu złożysz zawiadomienie ZAW-NR do urzędu skarbowego właściwego dla sprzedawcy. We wrześniu 2026 roku parlament przyjął nowelizację, która znosi sankcję kosztową w PIT i CIT dla faktur wystawionych od 1 stycznia 2027 roku (ustawa czekała wówczas na podpis Prezydenta). Solidarna odpowiedzialność w VAT zostaje, więc sprawdzanie białej listy i ZAW-NR nadal mają sens.

OC działalności i OC kontraktowe

Polisa OC działalności gospodarczej w podstawowym wariancie obejmuje zwykle odpowiedzialność deliktową, czyli szkody wyrządzone osobom trzecim poza umową: klient poślizgnie się na mokrej podłodze w lokalu albo z Twojego biura zaleje się piętro niżej. Szkody wynikające z niewykonania lub nienależytego wykonania umowy, takie jak błąd w projekcie, opóźnienie czy wadliwa usługa, to OC kontraktowe, które w wielu ofertach trzeba dokupić jako rozszerzenie. Dla firm usługowych właśnie ta część ma największe znaczenie, bo najwięcej roszczeń bierze się z umów z klientami.

Przy wyborze polisy trzy rzeczy wymagają uwagi. Suma gwarancyjna powinna odpowiadać wartości największego kontraktu, a nie najniższej pozycji w kalkulatorze. Wyłączenia w OWU często dotyczą kar umownych, szkód w danych i czystych strat finansowych, czyli dokładnie tego, co w usługach B2B zdarza się najczęściej. Niektóre zawody, na przykład biura rachunkowe, doradcy podatkowi czy pośrednicy w obrocie nieruchomościami, mają OC obowiązkowe z mocy przepisów, ale ustawowa minimalna suma nie zawsze pokrywa realne ryzyko. Standardowe ubezpieczenia dla firm sprzedawane są w pakietach, więc przy porównaniu ofert trzeba zestawiać zakres OWU i wyłączenia, a nie samą cenę składki.

Mienie i zasada proporcji

Ubezpieczenie mienia chroni tylko do sumy, którą sam zadeklarujesz, a ta często bywa wpisana na podstawie wartości księgowej sprzed lat. Jeżeli suma ubezpieczenia jest niższa od rzeczywistej wartości mienia, większość OWU przewiduje zasadę proporcji: odszkodowanie maleje w takim stosunku, w jakim suma ubezpieczenia pozostaje do wartości mienia. Sprzęt i wyposażenie warte dziś 80 000 zł, a ubezpieczone na 40 000 zł, oznaczają przy zalaniu, które zniszczy rzeczy za 20 000 zł, wypłatę około 10 000 zł, choć szkoda mieści się w sumie ubezpieczenia. Bezpieczniej ubezpieczać mienie w wartości odtworzeniowej, czyli według ceny zakupu nowego odpowiednika, aktualizować sumę co roku i szukać w OWU klauzuli leeway, która toleruje niedoubezpieczenie zwykle na poziomie 10-20%. Laptopy i telefony używane poza biurem wymagają osobnego rozszerzenia, bo standardowa polisa chroni mienie w miejscu ubezpieczenia.

Chorobowe na JDG w 2026

Właściciel jednoosobowej działalności nie ma obowiązkowego ubezpieczenia chorobowego – przystępuje do niego dobrowolnie, składając zgłoszenie w ZUS. Składka wynosi 2,45% podstawy wymiaru, a prawo do zasiłku pojawia się dopiero po 90 dniach nieprzerwanego ubezpieczenia. Do tego okresu wlicza się wcześniejsze ubezpieczenie, na przykład z etatu, jeśli przerwa nie przekroczyła 30 dni. Kto zgłosi się do chorobowego dopiero wtedy, gdy zaczyna źle się czuć, przez pierwsze trzy miesiące nie dostanie nic.

Zasiłek wynosi 80% podstawy, którą stanowi średnia podstawa składki chorobowej z ostatnich 12 miesięcy pomniejszona o 13,71%. Wyliczenie w tabeli zakłada, że przez cały ten okres składki szły od tej samej podstawy, a od zasiłku pobierana jest jeszcze zaliczka na PIT. Na preferencyjnym ZUS-ie chorobowe daje więc niespełna tysiąc złotych miesięcznie, co rzadko pokrywa koszty firmy w czasie dłuższej przerwy. Składkę można opłacać od wyższej podstawy, w 2026 roku maksymalnie od 23 550 zł, ale wyższa podstawa podnosi też składki emerytalną i rentową, a podwyższenie tuż przed chorobą nie zwiększy zasiłku od razu, bo liczy się średnia z roku.

Od 2022 roku obowiązują dwie zasady, o których wielu przedsiębiorców nie wie. Spóźniona płatność składki nie wyłącza już z dobrowolnego ubezpieczenia chorobowego. Wypłatę blokuje natomiast zadłużenie w składkach na ubezpieczenia społeczne, które w dniu powstania prawa do zasiłku przekracza 1% minimalnego wynagrodzenia, czyli w 2026 roku 48,06 zł. Spłata całości w ciągu 6 miesięcy przywraca zasiłek za cały okres choroby. Samo e-zwolnienie też nie wystarczy, bo przedsiębiorca musi złożyć w ZUS wniosek Z-3b. Ponieważ zasiłek rzadko pokrywa stałe koszty działalności, rozsądnym uzupełnieniem bywa prywatne ubezpieczenie od utraty dochodu.

Żadne z tych zabezpieczeń nie wymaga dużego budżetu. Przegląd umów pod kątem praw autorskich, jedna próba odtworzenia backupu, sprawdzenie, kto jest abonentem domeny, i porównanie sumy ubezpieczenia z aktualną wartością sprzętu to razem jedno popołudnie. Kosztuje ono mniej niż pierwsza luka, która ujawni się sama.

Najczęściej zadawane pytania

Czy umowa zawarta mailem jest ważna?

Tak, w większości przypadków, bo prawo nie wymaga dla nich szczególnej formy. Wyjątkiem są umowy, dla których forma pisemna jest zastrzeżona pod rygorem nieważności, na przykład przeniesienie autorskich praw majątkowych. Takie umowy wymagają własnoręcznego podpisu albo kwalifikowanego podpisu elektronicznego.

Czy każdy wyciek danych trzeba zgłosić do UODO?

Nie. Zgłoszenia wymaga naruszenie, które może powodować ryzyko dla praw lub wolności osób, których dane dotyczą. Każde naruszenie trzeba jednak wpisać do wewnętrznego rejestru razem z oceną ryzyka, a na zgłoszenie jest 72 godziny od stwierdzenia naruszenia.

Ile kosztuje rejestracja znaku towarowego w Polsce?

Opłaty urzędowe w Urzędzie Patentowym RP za jedną klasę przy zgłoszeniu elektronicznym wynoszą łącznie 890 zł: 400 zł za zgłoszenie, 400 zł za 10 lat ochrony i 90 zł za publikację. Każda kolejna klasa kosztuje dodatkowo 520 zł. Część opłat można odzyskać z programu SME Fund, jeśli wniosek złoży się przed zgłoszeniem znaku.

Czy synchronizacja z chmurą zastępuje kopię zapasową?

Nie. Synchronizacja przenosi do chmury każdą zmianę, także zaszyfrowanie plików przez ransomware. Kopia zapasowa musi być oddzielona od danych roboczych, a przynajmniej jedna jej wersja powinna być odłączona od sieci albo niezmienialna.

Po ilu dniach przedsiębiorca dostaje zasiłek chorobowy?

Po 90 dniach nieprzerwanego dobrowolnego ubezpieczenia chorobowego. Do tego okresu wlicza się wcześniejsze ubezpieczenie, na przykład z umowy o pracę, jeśli przerwa między okresami nie przekroczyła 30 dni.

Czy spóźniona składka ZUS odbiera prawo do chorobowego?

Od 2022 roku spóźnienie nie wyłącza z dobrowolnego ubezpieczenia chorobowego. Zasiłek zostanie jednak wstrzymany, jeśli w dniu powstania prawa do niego zadłużenie składkowe przekracza 1% minimalnego wynagrodzenia, czyli 48,06 zł w 2026 roku. Spłata w ciągu 6 miesięcy przywraca zasiłek za cały okres choroby.

Czym różni się OC deliktowe od kontraktowego?

OC deliktowe obejmuje szkody wyrządzone osobom trzecim poza umową, na przykład wypadek klienta w lokalu firmy. OC kontraktowe dotyczy szkód wynikających z niewykonania lub nienależytego wykonania umowy, na przykład błędu w projekcie. W wielu polisach dla firm ta druga część jest płatnym rozszerzeniem.