Przewodnik po certyfikatach z zakresu cyberbezpieczeństwa wraz z rankingiem — aktualizacja 2026 (era AI)

Ten wpis napisałem w kwietniu 2024 i od tamtej pory stał się jednym z najchętniej czytanych tekstów na tym blogu. Jest tylko jeden problem: przez dwa lata zestarzał się bardziej niż niejeden poradnik przez dekadę. 💥 CASP+ formalnie nie istnieje, OSCP dorobił się następcy z terminem ważności, CEH dostał moduły AI, darmowy program ISC2 się skończył, a ceny egzaminów poszły ostro w górę. No i wydarzyło się coś większego: AI zaczęło przemeblowywać sam rynek pracy, na który te certyfikaty miały być biletem wstępu.

Dlatego zamiast pisać nowy tekst, po prostu go aktualizuję. Poniżej znajdziesz ten sam ranking 6 poziomów, ale z cenami i wersjami egzaminów na sierpień 2026, świeżym porównaniem popytu na rynku pracy (powtórzyłem moją analizę z Indeed po dwóch latach — wnioski są ciekawsze, niż się spodziewałem) oraz nową sekcją o tym, co z certyfikatami robi AI.

Najważniejsze zmiany od 2024 w skrócie:

• CompTIA CASP+ został przemianowany na SecurityX (grudzień 2024), a ceny egzaminów CompTIA wzrosły średnio o 20–30%
• OffSec wprowadził OSCP+ — tę samą certyfikację, ale z 3-letnim terminem ważności
• CEH doszedł do wersji 13 z modułami AI
• ISC2 zakończyło program darmowego CC po przekroczeniu miliona certyfikowanych — dziś egzamin kosztuje 199$
• ISACA wypuściła pierwsze certyfikacje stricte pod AI: AAIA (audyt AI) i AAISM (zarządzanie bezpieczeństwem AI) oraz praktyczny CCOA dla SOC
• CompTIA dołączyła do wyścigu: w lutym 2026 zadebiutował SecAI+ (298$) — certyfikat z zabezpieczania systemów AI i wykorzystania AI w obronie; na grudzień 2026 zapowiedziany jest SecOT+
• popyt na certyfikaty wejściowe (A+, ITIL) mocno spadł, a na praktyczne i chmurowe (OSCP, CCSP, CCSK) — wystrzelił

Spis treści

1. Co AI zrobiło z rynkiem pracy (i po co Ci to wiedzieć przed wyborem certyfikatu)
2. Rynek pracy 2024 vs 2026 — powtórzyłem analizę Indeed
3. Ranking: 6 poziomów certyfikacji
4. Nowi gracze: certyfikaty, które pokochała społeczność
5. Tabela porównawcza wszystkich certyfikatów
6. Czy certyfikaty w 2026 mają jeszcze sens?
7. FAQ
8. Subiektywna ocena i polecane materiały edukacyjne

Co AI zrobiło z rynkiem pracy (i po co Ci to wiedzieć przed wyborem certyfikatu)

Dwa lata temu pisałem, że certyfikaty „nie dają zatrudnienia tak jak pieniądze szczęścia, ale mogą znacząco wzbogacić CV przy wejściu na rynek pracy”. Dziś muszę to zdanie zaostrzyć: samo „wejście na rynek pracy” wygląda inaczej niż wtedy, gdy większość z tych certyfikatów projektowano.

Louis Nyffenegger, twórca PentesterLab (tej samej platformy, którą od lat polecam na końcu tego wpisu), powiedział na jednym z webinarów rzecz, która zapadła mi w pamięci: zostaniemy triagerami tego, co wypluje AI. Tak właśnie zaczyna wyglądać praca w IT już teraz. Coraz rzadziej „szukam podatności od zera”, coraz częściej automatyzuję, weryfikuję, filtruję i osadzam w kontekście biznesowym to, co wygenerowały narzędzia. Różnica polega na tym, że narzędzia zrobiły się nieporównanie sprytniejsze i dostępne dla każdego.

Co na to twarde dane?

Badacze ze Stanforda (zespół Erika Brynjolfssona, publikacja „Canaries in the Coal Mine”, listopad 2025) przeanalizowali dane płacowe największego amerykańskiego dostawcy usług kadrowo-płacowych. Wniosek: zatrudnienie osób w wieku 22–25 lat w zawodach najbardziej wystawionych na generatywną AI spadło względnie o ok. 16% — podczas gdy zatrudnienie doświadczonych specjalistów w tych samych rolach pozostało stabilne albo rosło. Pisząc prościej: AI nie zwalnia seniorów. AI zamyka drzwi, którymi do zawodu wchodzili juniorzy.

ISC2 w badaniu Cybersecurity Workforce Study 2025 (16 tys. respondentów, grudzień 2025) dorzuca resztę obrazu:

• 59% organizacji zgłasza krytyczne lub znaczące braki kompetencyjne — rok wcześniej było to 44%. Braków nie łata się już liczbą etatów, tylko konkretnymi umiejętnościami.
• Największy pojedynczy brak kompetencyjny? AI — wskazuje go 41% organizacji. Przed chmurą, przed bezpieczeństwem aplikacji, przed wszystkim.
• 39% organizacji ma zamrożone rekrutacje, a 24% przeszło zwolnienia w zespołach bezpieczeństwa.
• I moja ulubiona liczba z całego raportu: tylko 6% badanych weszło do branży przez certyfikaty. Najwięcej (56%) — przez doświadczenie w IT.
• Przy tym 73% respondentów uważa, że AI stworzy nowe, bardziej wyspecjalizowane role — nie mniej pracy, ale inną pracę.

Lekcja nr 1: Certyfikat przestaje być biletem wstępu, a staje się filtrem HR i wymogiem zgodności z regulacjami. Bilet wstępu w 2026 wygląda tak: umiesz zweryfikować, czy to, co wypluło AI, jest prawdą — i co z tego wynika dla firmy. Certyfikat może to poświadczyć. Ale nie zastąpi.

Czy to znaczy, że ranking poniżej jest bez sensu? Przeciwnie. Właśnie dlatego go zaktualizowałem: skoro certyfikaty są coraz droższe, a ich rola się zmienia, tym ważniejsze jest, żeby wybrać ten właściwy, we właściwym momencie kariery — zamiast kolekcjonować papierki. Zwłaszcza że rynek wcale nie wycenia ich tak samo, co pokazuje kolejna sekcja.

Rynek pracy 2024 vs 2026 — powtórzyłem analizę Indeed

W 2024 zrobiłem prostą rzecz: wpisywałem nazwy certyfikatów w wyszukiwarkę ofert pracy Indeed (rynek USA) i zapisywałem liczbę ogłoszeń. Żadna nauka — szybki sondaż popytu. Ale powtórzony po dwóch latach tą samą metodą (bez filtrów, stan na 9 sierpnia 2026) daje coś cenniejszego niż pojedynczy pomiar: kierunek.

Co z tego czytam (między wierszami, jak zwykle 😈):

CISSP dalej jest królem — 10 350 ogłoszeń, +43% w dwa lata. Jeśli HR na świecie zna jeden certyfikat z cyberbezpieczeństwa, to właśnie ten. To się nie zmieniło i pewnie szybko się nie zmieni.

Certyfikaty wejściowe nurkują. CompTIA A+ spadł z 6 096 do 2 833 ogłoszeń (-54%), ITIL 4 Foundation o połowę, SSCP i CCNA też na minusie. To jest dokładnie ta sama historia, którą opowiadają dane Stanforda: stanowisk „wejściowych”, do których te certyfikaty były przepustką, jest po prostu mniej. Helpdesk i pierwsza linia wsparcia to najłatwiejsze cele automatyzacji.

Praktyka, chmura i zarządzanie ryzykiem rosną. OSCP +207% (627 → 1 925 ogłoszeń). CCSK +188%, CCSP +175%, CRISC +122%, CISM +83%. Rynek płaci za dwie rzeczy: za udokumentowaną umiejętność zrobienia czegoś rękami oraz za umiejętność zarządzenia ryzykiem, którego sam nie rozumie. Obie trudno zautomatyzować.

Smaczek dla wytrwałych: 1 776 ogłoszeń wciąż wymaga „CASP+” — certyfikatu, który formalnie nie istnieje od grudnia 2024. Nowa nazwa SecurityX pojawia się w 749. Rekruterzy aktualizują się wolniej niż wydawcy certyfikatów. 😈 Podobnie OSCP+ — nowa odmiana z terminem ważności — zdążył już wystąpić w 1 435 ogłoszeniach.

Ile w ogóle jest tej pracy — więcej czy mniej? Więcej. Amerykański CyberSeek naliczył 514 tys. otwartych stanowisk w cyberbezpieczeństwie w ciągu 12 miesięcy do kwietnia 2025 — o 57 tys. (+12%) więcej niż rok wcześniej. Do tego BLS prognozuje dla analityków bezpieczeństwa +29% zatrudnienia w dekadzie do 2034 — kilkukrotnie szybciej niż średnia dla wszystkich zawodów. Paradoks polega na tym, że jednocześnie 39% organizacji mrozi rekrutacje (ISC2). Jak to możliwe? Rynek rośnie i równocześnie podnosi poprzeczkę wejścia.

Najlepiej widać to w podziale na seniorów i juniorów. Sprawdziłem tą samą metodą (Indeed, USA, sierpień 2026): fraza „senior security” — 1 284 ogłoszenia. „Junior security” — 116. „Entry level security” — 142. Na jedno ogłoszenie juniorskie przypada dziś około pięć senioralnych. To jest dokładnie obraz z danych Stanforda: praca w cyberbezpieczeństwie jest — ale coraz rzadziej ta, od której kiedyś zaczynało się karierę.

Płace? Rosną — spokojnie, ale systematycznie. Mediana dla analityków bezpieczeństwa w USA to 124 910 $ rocznie (BLS, dane za maj 2024) wobec 120 360 $ rok wcześniej — +3,8% rok do roku.

A który certyfikat płaci najlepiej? Policzyłem tak samo jak dwa lata temu — prosto z ogłoszeń. Metodologia bez zmian: dla każdego certyfikatu przechodzę wyniki z Indeed (USA) i z ogłoszeń, które podają widełki, biorę środek przedziału. Tym razem zebrało się 1 451 stawek z ponad 2 000 ogłoszeń (od 31 do 233 na certyfikat), przeliczonych na miesięczne kwoty w złotówkach po kursie NBP z dnia analizy (3,7324 zł/USD). Jedno zastrzeżenie, zanim spojrzysz w tabelę: złoty umocnił się od 2024 o ~7%, więc wzrosty w dolarach są wyraźnie większe, niż pokazują kwoty w PLN.

Co z tego wynika:

• Nowy król płac: CISM — średnio 51 758 zł miesięcznie (+19%). Dwa lata temu wygrywała chmura (CCSK), dziś zarządzanie bezpieczeństwem informacji. Rynek najlepiej płaci nie temu, kto klika, tylko temu, kto bierze odpowiedzialność.
• Ryzyko goni zarządzanie: CRISC 48 774 zł (+19%). W parze ze +122% wzrostem liczby ogłoszeń to najmocniejszy cichy zwycięzca całego zestawienia.
• Czołówka dalej bez rewolucji: CISSP 47 806 zł (+10%), CCSK 46 920 zł (+7%), CCSP 46 341 zł (+12%) — zarządzanie, ryzyko i chmura okupują całe podium.
• Spadki: CEH (−6%), CASP+ (−8%) i A+ (−19%). CEH tanieje mimo rosnącej liczby ogłoszeń — trafia do coraz niżej wycenianych ról. A CASP+ to już ogłoszeniowe zombie: nowe, lepiej płatne role szukają SecurityX.
• Największy procentowy skok płac: Security+ (+20%). ITIL-owe +24% traktuj z przymrużeniem oka — fraza „ITIL 4 Foundation” występuje dziś głównie w ogłoszeniach na seniorskie role menedżerskie, a nie dlatego, że sam certyfikat tyle daje.

Zestawienie w formie wykresów poniżej:

Dla porządku: globalne badanie ankietowe Skillsoft (2025) daje zbieżną czołówkę — chmura i zarządzanie ryzykiem na szczycie — więc to nie jest artefakt mojej próbki.

Na polskim podwórku danych per certyfikat brak. Punkt odniesienia, jaki mamy: według raportu HackerU/Devire (dane 2023/24) widełki dla inżynierów bezpieczeństwa rozciągały się od ok. 10 tys. zł brutto u juniorów do ok. 30 tys. u seniorów — nowszej, równie przekrojowej edycji na razie nie widziałem. Jeśli znasz świeższe polskie dane per certyfikat, podrzuć w komentarzu.

Lekcja nr 2: Nie pytaj „jaki certyfikat najłatwiej zdobyć”, tylko „za co rynek płaci coraz więcej”. W 2026 odpowiedź brzmi: praktyczna ofensywa, bezpieczeństwo chmury i zarządzanie ryzykiem. Certyfikaty wejściowe wciąż mają sens — ale już nie jako gwarancja pierwszej pracy, tylko jako uporządkowany program nauki podstaw.

Ranking: 6 poziomów certyfikacji

Zanim wejdziemy w mój ranking, jedno polecenie na start: jeśli chcesz zobaczyć pełną mapę setek certyfikatów bezpieczeństwa ułożonych według obszarów i poziomów trudności, zajrzyj do stale aktualizowanej Security Certification Roadmap Paula Jerimy’ego. W 2024 pokazywałem ją tu jako obrazek — ale lepiej klikać w oryginał, bo mapa żyje i zmienia się razem z rynkiem. Mój ranking to celowo coś innego: subiektywne sito, przez które przepuszczam tylko certyfikaty warte Twojego czasu i pieniędzy.

Kryteria się nie zmieniły: uznawalność i rozpoznawalność w branży, oferowana płaca rynkowa, koszty certyfikacji, trudność zdobycia oraz praktyczne zastosowanie wiedzy. Wszystkie ceny to oficjalne stawki wydawców w USD, stan na sierpień 2026 (u nas dochodzi VAT/kurs, a część wydawców ma ceny regionalne).

Zmiany w rankingu względem 2024:

• Poziomy dostają nowe nazwy. Stare „Pierwszy/Startowy/Wkręcający…” zamieniam na coś, co znam z pracy lepiej niż własną kieszeń: anatomię prawdziwego ataku. Nauka tego fachu układa się dokładnie tak samo — najpierw rekonesans, potem pierwszy przyczółek, aż w końcu trzymasz klucze do królestwa. Kolejność i zawartość poziomów bez zmian, zmienia się tylko szyld (i podtytuły zostają, bo je lubicie).
• Security+ przenoszę z poziomu 5 do 3. W 2024 wpisałem go wysoko, bo tak go widzą rekruterzy — ale opisywałem go jako „podstawowy” i to była niespójność, którą kilku z Was słusznie wytknęło. Rozpoznawalność ma mistrzowską, poziom trudności — solidnie podstawowy. Porządkuję.
• OSCP staje się OSCP+ (o różnicy niżej), CASP+ staje się SecurityX.
• Z pakietu ISACA wylatuje CSX-P (wycofany przez wydawcę), wchodzą CCOA, AAIA i AAISM. Dochodzi też nowość CompTIA — SecAI+.
• Reszta zostaje — ten podział broni się od dwóch lat i nie będę go psuł na siłę.

1. Rekonesans — „Zacząłeś/aś coś robić!”

Każdy atak zaczyna się od rozpoznania terenu. Kariera też: na tym poziomie sprawdzasz, czy to w ogóle branża dla Ciebie.

CompTIA A+ — 274$ za egzamin (potrzebujesz dwóch: razem 548$)

Certyfikat absolutnego wejścia do IT: sprzęt, systemy operacyjne, sieci, podstawy bezpieczeństwa i rozwiązywanie problemów. Od 2025 obowiązuje nowa seria egzaminów 220-1201 i 220-1202 (poprzednią 220-110x wycofano). Bez formalnych wymagań wstępnych; CompTIA zaleca 9–12 miesięcy praktyki. Uwaga na zmianę ceny: w 2024 komplet kosztował 438$, dziś 548$ — a popyt w ogłoszeniach spadł o połowę. Jeśli Twoim celem jest bezpieczeństwo, a nie helpdesk, zastanów się, czy nie zacząć od razu od CC albo Security+.

CC – Certified in Cybersecurity (ISC2) — 199$

Tu zaszła duża zmiana: ISC2 zakończyło program „One Million Certified in Cybersecurity”, w ramach którego egzamin był darmowy — cel miliona certyfikowanych został osiągnięty. Dziś płacisz 199$. CC nadal jest świetnym, uczciwym „pierwszym certyfikatem z bezpieczeństwa”: podstawowe koncepcje bezpieczeństwa, zarządzanie, operacje, reagowanie na incydenty. Dobry sygnał dla pracodawcy, że traktujesz temat poważnie — ale już nie darmowy, więc licz koszt/korzyść.

2. Pierwszy dostęp — „Pierwszy krok za Tobą”

W ataku to moment zdobycia pierwszego przyczółka w sieci ofiary. Ty łapiesz swój pierwszy przyczółek w branży: fundamenty, bez których dalej się nie da.

CompTIA Network+ — 399$

Sieci od podstaw: konfiguracja i utrzymanie urządzeń, routing, segmentacja, standardy bezpieczeństwa sieciowego, rozwiązywanie problemów. Ciekawostka z mojej analizy Indeed: to jeden z najmocniej rosnących certyfikatów w ogłoszeniach (+101%). Sieci to wciąż fundament — także dla bezpieczników. Cena wzrosła z 319$ (2024) do 399$.

CompTIA PenTest+ — 439$

Teoria testów penetracyjnych: planowanie, rozpoznanie, skanowanie, eksploitacja, raportowanie. Aktualna wersja egzaminu PT0-003 obejmuje też ataki na środowiska chmurowe i elementy związane z AI. Uczciwie: to nadal egzamin „o pentestach”, nie egzamin „z pentestów” — praktykę zweryfikuje dopiero OSCP+ albo realne laby.

SSCP (ISC2) — 249$

Jedna z niewielu cen, które się nie zmieniły. Solidny certyfikat dla administratorów systemów i sieci, którzy skręcają w stronę bezpieczeństwa: siedem domen od kontroli dostępu przez kryptografię po incident response. W ogłoszeniach lekko traci (-17%), ale jako uporządkowanie wiedzy „adminowej” pod bezpieczeństwo — wciąż dobra opcja.

ITIL 4 Foundation — ok. 370 € (egzamin przez PeopleCert; ceny zależne od regionu)

Zarządzanie usługami IT: łańcuch wartości, praktyki, cztery wymiary ITSM. W ogłoszeniach spadek o połowę — i szczerze mówiąc, w ścieżce nastawionej czysto na bezpieczeństwo ITIL zawsze był dodatkiem, nie fundamentem. Zostawiam go w rankingu dla osób celujących w role na styku operacji i bezpieczeństwa.

3. Eskalacja uprawnień — „Już coś kumasz”

Napastnik na tym etapie zamienia konto zwykłego użytkownika na konto z realną władzą. Ty zamieniasz „robię wszystko po trochu” na konkretną specjalizację.

CompTIA Security+ — 439$ (przeniesiony w dół z poziomu 5)

Najbardziej rozpoznawalny podstawowy certyfikat bezpieczeństwa na świecie — m.in. dlatego, że jest wymogiem w wielu instytucjach publicznych USA. Kryptografia, IAM, bezpieczeństwo sieci i aplikacji, zagrożenia, zgodność z regulacjami. W ogłoszeniach +60%. Cena niestety też „urosła w siłę”: 349$ → 439$. Jeśli masz zrobić jeden teoretyczny certyfikat na początku drogi — nadal wskazałbym ten.

CompTIA CySA+ — 439$

Analityka bezpieczeństwa: monitorowanie, wykrywanie, analiza zagrożeń, reagowanie. Dobry kierunek dla przyszłych analityków SOC — a popyt rośnie (+52%). Warto zestawić z nowym ISACA CCOA (niżej), który celuje w tę samą rolę.

CCNA (Cisco) — 300$

Klasyk sieciowy: routing i switching, sieci bezprzewodowe, automatyzacja, podstawy bezpieczeństwa. W ogłoszeniach lekki spadek (-14%) — ale CCNA to wciąż jeden z tych certyfikatów, które „wszyscy znają”, i mocny fundament pod bezpieczeństwo sieci.

CEH (EC-Council) — 1 199$ (egzamin w centrum Pearson VUE) + 100$ opłaty aplikacyjnej

Podtrzymuję to, co napisałem dwa lata temu: wyśmiewany przez wyjadaczy za teoretyczność, uwielbiany przez rekruterów. Od września 2024 obowiązuje wersja v13, mocno reklamowana jako „AI-powered” — doszły moduły o atakowaniu i wykorzystywaniu narzędzi AI. W ogłoszeniach +61%, więc HR-owa wartość trzyma się dobrze. Ale relacja ceny do praktycznej wiedzy nadal jest najsłabsza w całym zestawieniu. Za te pieniądze masz prawie OSCP+.

GSEC (GIAC) — 999$

Szeroki, solidny certyfikat „security essentials” od GIAC/SANS: obrona sieci, kryptografia, utwardzanie konfiguracji systemów, wykrywanie włamań. Cena podskoczyła z 949$ na 999$ (a z kursem SANS to zupełnie inna półka cenowa). Popyt stabilny. Jakość — jak zwykle u SANS — bez zarzutu.

Professional Cloud Security Engineer (Google) — 200$

Bezpieczeństwo na GCP: IAM, konfiguracja sieci, ochrona danych, monitorowanie (Security Command Center, Cloud Armor, IAP). Wciąż najtańszy sposób, żeby udokumentować kompetencje chmurowe u jednego z wielkiej trójki.

AWS Certified Security – Specialty — 300$

Zaawansowana specjalizacja dla ludzi pracujących z AWS (aktualny egzamin: SCS-C03): IAM, KMS, Security Hub, GuardDuty, automatyzacja zabezpieczeń. I uwaga: według Skillsoft to najlepiej płatny certyfikat IT w ogóle (~204 tys. $ rocznie w danych globalnych). Chmura + security to w tej chwili najbardziej dochodowe skrzyżowanie kompetencji na rynku.

SecAI+ (CompTIA) — 298$ (nowość: premiera 17 lutego 2026)

Pierwszy certyfikat CompTIA z nowej serii o bezpieczeństwie AI (egzamin CY0-001): ochrona systemów, danych i modeli AI, obrona przed atakami typu adversarial, wykorzystanie AI w wykrywaniu i reagowaniu oraz zgodność (NIST AI RMF, GDPR). Zalecane 2+ lata praktyki w bezpieczeństwie. Jest za świeży, żeby ocenić jego siłę w rekrutacjach — ale to wyraźny sygnał, że „AI security” przestaje być niszą. CompTIA zapowiada już kolejny certyfikat z tej serii (SecOT+, grudzień 2026).

4. Ruch w głąb sieci — „No, no, ktoś tu się nieźle spisał!”

Napastnik na tym etapie porusza się już swobodnie między systemami ofiary. Zawodowo to poziom seniora, który płynnie łączy kilka obszarów naraz.

SecurityX (dawniej CASP+, CompTIA) — 544$

Grudzień 2024: CompTIA przemianowało CASP+ na SecurityX i wciągnęło go do serii „Xpert”. Merytorycznie to nadal ten sam profil: zaawansowana architektura bezpieczeństwa, inżynieria, ryzyko, reagowanie — dla praktyków, którzy nie chcą iść w stronę czysto menedżerską (to odróżnia go od CISSP). Zabawne, że w ogłoszeniach stara nazwa wciąż bije nową 1 776 do 749 — przy zmianie CV warto na razie wpisywać obie. 😉

GSE (GIAC Security Expert) — nowa ścieżka: egzaminy GX po 499$ (1 299$ bez certyfikatu bazowego)

Najbardziej prestiżowa ścieżka GIAC przeszła gruntowną przebudowę. Zamiast legendarnego, jednorazowego egzaminu praktycznego (na który trzeba było lecieć na miejsce), GSE zdobywa się dziś etapami: 6 certyfikacji Practitioner + 4 czterogodzinne egzaminy Applied Knowledge z serii GX. Każdy egzamin GX kosztuje 499$, jeśli masz wymagany certyfikat bazowy (1 299$ bez niego) — komplet czterech to ok. 2 000$, wciąż taniej niż stara formuła z dojazdem i ryzykiem „wszystko albo nic”. To nadal liga „pokaż, że umiesz wszystko naraz”.

5. Domain Admin — „Widzą Cię, ekspercie!”

Konto Domain Admina kontroluje całą domenę — to cel większości pentestów. Zawodowo: jesteś ekspertem, po którego się dzwoni, kiedy robi się poważnie.

OSCP / OSCP+ (OffSec) — 1 749$ (kurs PEN-200 + podejście do egzaminu)

Najważniejsza zmiana w całym rankingu. Od listopada 2024, zdając ten sam legendarny 24-godzinny egzamin praktyczny, dostajesz dwa tytuły: OSCP (dożywotni, jak dotąd) oraz OSCP+ — ważny 3 lata i odnawiany przez recertyfikację, kolejny egzamin OffSec albo punkty CPE. Po co ta zmiana? Rynek (i regulatorzy) coraz częściej wymagają certyfikacji „aktualnych”, nie zdobytych raz na zawsze. Cena wzrosła z 1 499$ do 1 749$ (poprawka 249$, roczna subskrypcja Learn One 2 749$). W ogłoszeniach OSCP urósł o +207% — najwięcej w całym zestawieniu. Jeżeli chcesz robić pentesty zawodowo, to jest nadal ten jeden certyfikat, który realnie coś udowadnia.

Certyfikacje ISACA — 575$ (członkowie) / 760$ (pozostali) za egzamin

Porządki w pakiecie. Filary bez zmian: CISA (audyt systemów — 3 289 ogłoszeń na Indeed), CISM (zarządzanie bezpieczeństwem informacji, +83% popytu), CRISC (ryzyko IT, +122%), CGEIT (ład IT), CDPSE (prywatność/inżynieria danych osobowych). Wycofany został praktyczny CSX-P. W zamian ISACA wypuściła trzy nowości, które dobrze pokazują, dokąd idzie branża: CCOA (Certified Cybersecurity Operations Analyst — praktyczny cert dla analityków SOC, 2025) oraz pierwsze na rynku certyfikacje stricte AI: AAIA (Advanced in AI Audit) i AAISM (Advanced in AI Security Management). Za wcześnie, żeby oceniać ich siłę w rekrutacjach — ale jeśli audytujesz albo zarządzasz systemami z komponentem AI, to jest kierunek, który obserwowałbym uważnie.

CCSP (ISC2) — 599$

Bezpieczeństwo chmury na poziomie architektury: projektowanie, operacje, zgodność, kryptografia. Cena bez zmian, za to popyt +175% — trzeci najlepszy wynik w zestawieniu. W czasach, gdy „wszystko jest w chmurze”, CCSP przestał być niszą, a stał się jednym z najbardziej opłacalnych ruchów kariery (wg Skillsoft ~172 tys. $ rocznie).

Azure Security Engineer Associate (AZ-500, Microsoft) — 165$ (cena w USA; w Polsce płacisz równowartość regionalną u Pearson VUE)

Zabezpieczanie środowisk Azure i hybrydowych: tożsamość, ochrona platformy, dane, aplikacje. Drobna korekta względem 2024: narzędzie, które opisywałem jako „Azure Security Center”, nazywa się dziś Microsoft Defender for Cloud. Microsoft stosuje ceny regionalne, więc w Polsce zapłacisz inaczej niż w USA.

6. Święty Graal — „Osiągnąłeś mistrzostwo. Czas na emeryturę!”

W ataku Święty Graal to dane, po które przyszło się od początku. W karierze: certyfikaty zdobywane już nie dla uprawnień, tylko dla prestiżu.

CISSP (ISC2) — 749$ (w Europie 719€)

Król się nie zmienił. Wymaga udokumentowanych 5 lat doświadczenia w co najmniej dwóch domenach bezpieczeństwa, a w ogłoszeniach występuje częściej niż jakikolwiek inny certyfikat bezpieczeństwa na świecie (10 350 ofert na Indeed, +43%). Osiem domen od zarządzania ryzykiem po bezpieczeństwo oprogramowania. Jeśli celujesz w role architekta, managera czy CISO — prędzej czy później ktoś Cię o niego zapyta.

CCSK (Cloud Security Alliance) — 445$ (wersja v5, w cenie dwa podejścia)

Nadal najbardziej uniwersalny (wendorowo-neutralny) certyfikat bezpieczeństwa chmury — i nadal świetny stosunek ceny do wartości, mimo podwyżki z 395$. Aktualna wersja v5 (2024) dodała m.in. zagadnienia zero trust i AI. W moim zestawieniu z Indeed to procentowo drugi najszybciej rosnący certyfikat (+188%, choć z niskiej bazy). Chmurowy odpowiednik reguły „ucz się fundamentów, nie interfejsów”.

Nowi gracze: certyfikaty, które pokochała społeczność (a rekruterzy jeszcze nie)

W rankingu 2024 ich nie było, a przez ostatnie dwa lata zrobiły furorę w społeczności — głównie jako tańsza i bardzo praktyczna alternatywa dla OSCP:

• HTB CPTS (Hack The Box — Certified Penetration Testing Specialist) — 10-dniowy egzamin praktyczny zakończony pełnym raportem. Voucher ~210$, a najlepiej wychodzi z subskrypcją HTB Academy Silver (490$/rok, voucher w cenie).
• PNPT (TCM Security — Practical Network Penetration Tester) — 499$ za szkolenie + egzamin z darmową poprawką w cenie: 5 dni testu (OSINT, Active Directory), 2 dni na raport i 15-minutowe omówienie wyników na żywo z pentesterami. Ze wszystkich egzaminów, jakie znam, ten wygląda najbardziej jak prawdziwe zlecenie.
• CRTO (Zero-Point Security — Red Team Ops) — kurs za £365 z podejściem do egzaminu w cenie. Wejście w świat red teamingu i frameworków C2 bez zastawiania nerki.
• BSCP (PortSwigger — Burp Suite Certified Practitioner) — ok. 99$ za podejście; egzamin od twórców Burpa i darmowej WebSecurityAcademy, którą polecam niżej.

A teraz kubeł zimnej wody — sprawdziłem je tą samą metodą na Indeed: CPTS występuje w… 1 ogłoszeniu (pełna fraza „HTB CPTS” — w 6), BSCP w 3, eJPT w 10. Liczników PNPT i CRTO nie dało się uczciwie policzyć, bo skróty kolidują z ogłoszeniami z zupełnie innych branż (pozdrawiam pielęgniarki pediatryczne z wyników dla „PNPT” 😉). Dla porównania: OSCP — 1 925 ogłoszeń. Ciekawostka: sama fraza „Hack The Box” pojawia się w 63 ogłoszeniach — ale niemal zawsze jako „mile widziane doświadczenie z platform typu HTB”, czyli jako miejsce nauki, nie jako wymagany papier. I to jest cała ta historia w pigułce: platformę znają wszyscy, certyfikatu nie wymaga prawie nikt.

Lekcja nr 3: Społeczność i rekruterzy żyją w różnych światach. Certyfikaty społecznościowe potrafią nauczyć więcej niż niejeden „wielki” — ale w systemach rekrutacyjnych jeszcze nie istnieją. Strategia na 2026: ucz się na nich, a do CV dołóż jeden, który HR rozpozna bez googlania.

Tabela porównawcza — wszystkie certyfikaty w jednym miejscu

* ceny regionalne lub do potwierdzenia u wydawcy — szczegóły w opisach wyżej.

Czy certyfikaty w 2026 mają jeszcze sens?

Krótko: tak, ale nie tak jak kiedyś.

Napiszę to wprost, choć trochę podcinam gałąź, na której siedzi ten wpis: jeżeli masz do wydania jedną pulę pieniędzy i czasu, to w 2026 sam certyfikat jest gorszą inwestycją niż w 2024. Wejściówki do branży nie kupisz — tych drzwi pilnuje dziś AI i zamrożone budżety rekrutacyjne. Certyfikat działa w trzech sytuacjach: gdy przechodzi Cię przez filtr HR i ATS, czyli systemy automatycznie odsiewające CV (CISSP, Security+), gdy wymaga go regulacja albo klient (świat po NIS2/DORA lubi „papiery”) i gdy program nauki do niego autentycznie buduje umiejętność, której rynek potrzebuje (OSCP+, certy chmurowe).

Gdybym dziś zaczynał od zera, zrobiłbym to tak: CC albo Security+ jako uporządkowanie podstaw → setki godzin praktyki (laby, CTF-y, PentesterLab, własne projekty) → OSCP+ albo ścieżka chmurowa (CCSK/CCSP/AWS), zależnie od tego, co mnie kręci. A obok tego — i to jest nowość względem 2024 — od pierwszego dnia uczyłbym się pracować z AI: nie „promptować”, tylko weryfikować. Bo triager, o którym mówił Louis, to nie jest ktoś, kto klika „zatwierdź”. To ktoś, kto wie, kiedy kliknąć „odrzuć”.

Lekcja nr 4: Certyfikat to dowód, że przeszedłeś uporządkowany proces nauki. W erze, w której AI wypluwa gotowe odpowiedzi, wartość ma właśnie proces — bo tylko on daje Ci prawo powiedzieć „to jest bzdura” z pełnym przekonaniem.

FAQ — najczęstsze pytania

Od jakiego certyfikatu zacząć przygodę z cyberbezpieczeństwem w 2026?

Od CC (ISC2, 199$), jeśli chcesz taniego sprawdzenia, czy to branża dla Ciebie, albo od Security+ (CompTIA, 439$), jeśli chcesz od razu najbardziej rozpoznawalny podstawowy certyfikat. Ale żaden z nich nie zastąpi praktyki — traktuj je jak program nauczania, nie przepustkę.

Ile kosztuje zdobycie certyfikatu cyberbezpieczeństwa?

Podstawowe: 199–550$. Średniozaawansowane: 300–1 300$. Zawodowe praktyczne (OSCP+): 1 749$ z kursem. Do tego często dochodzą roczne opłaty członkowskie (np. ISC2 50$, ISACA) i koszty recertyfikacji. U większości wydawców ceny wzrosły o 15–30% względem 2024 (CompTIA, OffSec, GIAC, CSA); ISC2, ISACA, AWS i Google trzymają stawki, a najbardziej „podrożał” CC — bo przestał być darmowy.

Czy CEH się jeszcze opłaca?

Zależy, co optymalizujesz. Pod rekruterów i wymogi formalne (m.in. amerykańskie instytucje) — działa, popyt w ogłoszeniach wzrósł o 61%. Pod realne umiejętności — za 1 299$ (egzamin + aplikacja) masz prawie cały OSCP+, który uczy nieporównanie więcej praktyki.

Czy AI zabierze pracę pentesterom i analitykom bezpieczeństwa?

Nie zabierze — zmienia jej charakter. Dane pokazują dwie rzeczy naraz: zatrudnienie osób zaczynających karierę w rolach wystawionych na AI spadło o ok. 16% (Stanford), ale 73% specjalistów spodziewa się nowych, bardziej wyspecjalizowanych ról (ISC2). Rośnie wartość weryfikacji, kontekstu i odpowiedzialności — czyli tego, czego nie da się delegować na model.

Który certyfikat daje najwyższe zarobki?

Według mojej analizy widełek z ogłoszeń na Indeed (USA, sierpień 2026): CISM (~51,8 tys. zł mies.), CRISC (~48,8 tys.) i CISSP (~47,8 tys.) — czyli zarządzanie, ryzyko i architektura. W globalnym badaniu Skillsoft czołówkę uzupełnia AWS Security – Specialty. Kwot nie przenoś 1:1 na polskie widełki, ale kierunek „zarządzanie + ryzyko + chmura” jest uniwersalny.

Subiektywna ocena i polecane materiały edukacyjne

Osobiście uważam — może wbrew powszechnej opinii — że najlepszym fundamentem nauki wciąż jest akademicki porządek. Mając solidne podstawy, łatwiej zdobywa się komercyjne certyfikaty. A z materiałów komercyjnych polecam wyłącznie te, które sam dobrze znam (kolejność nieprzypadkowa):

• PentesterLab — najlepsza platforma do nauki, jaką znam. Louis Nyffenegger nie tylko zbudował miejsce do ćwiczenia ogromnej liczby podatności, ale w wielu miejscach dogłębnie tłumaczy, na czym dana podatność polega. Ten sam Louis, którego cytuję wyżej — polecam śledzić także jego przemyślenia o AI w pentestach.
• WebSecurityAcademy — darmowa platforma ćwiczeniowa od twórców Burp Suite. Nie znam lepszego wprowadzenia do bezpieczeństwa aplikacji webowych.
• INE Security — egzaminy dobrze odzwierciedlają esencję pracy pentestera: oprócz „roota” liczy się znalezienie wszystkich podatności i sensowny raport.

Z rodzimego podwórka:

• Zaufana Trzecia Strona — kursy i webinary Adama Haertle
• Sekurak Academy — szkolenia i webinary Sekuraka
• Niebezpiecznik — szkolenia
• Jakub Mrugalski / UW-TEAM — kursy i materiały
• Security by Szurek — materiały Kacpra Szurka

Podsumowanie

Dwa lata temu ten wpis kończył się listą kursów. Dziś kończę go inaczej, bo i czasy inne: certyfikaty nie umarły — zmieniły funkcję. Z biletu wstępu stały się mnożnikiem: wzmacniają tego, kto ma praktykę, i coraz słabiej maskują jej brak. Wybieraj więc nie ten certyfikat, który najłatwiej zdać, tylko ten, którego program nauczy Cię czegoś, czego AI za Ciebie nie zrobi. A potem idź i rób — laby, CTF-y, własne projekty. Papier poczeka.

A jeśli reprezentujesz firmę i zamiast zbierać certyfikaty wolisz sprawdzić, jak Wasze systemy zniosłyby kontakt z prawdziwym napastnikiem — od tego są testy penetracyjne. Wyceń pentest w kalkulatorze albo po prostu napisz do mnie. 🔓

Źródła 📚

• ISC2 Cybersecurity Workforce Study 2025 (braki kompetencyjne, AI, ścieżki wejścia do branży)
• Brynjolfsson, Chandar, Chen — „Canaries in the Coal Mine?”, Stanford Digital Economy Lab, 2025 (−16% zatrudnienia 22–25-latków w zawodach wystawionych na AI)
• OffSec — „Everything you need to know about the OSCP+” (OSCP+ i 3-letnia ważność)
• CompTIA — „Introducing SecurityX: CASP+ Gets an Update and Rebrand”
• EC-Council — zapowiedź CEH v13
• ISACA — AAIA (Advanced in AI Audit), AAISM (AI Security Management), CCOA
• ISC2 — zakończenie programu 1 Million Certified in Cybersecurity
• Cennik egzaminów ISC2 · Cennik GIAC · Nowa ścieżka GSE — GIAC · CCSK v5 — CSA · CISA — ISACA
• CompTIA SecAI+ (CY0-001) · AWS Security – Specialty · Google Professional Cloud Security Engineer
• Skillsoft — Top-Paying IT Certifications 2025 (zarobki wg certyfikatów)
• CyberSeek — 514 359 otwartych stanowisk, +12% r/r (NIST, czerwiec 2025) · BLS — Information Security Analysts (mediana płac, prognoza +29%)
• Nowi gracze: CPTS — HTB Academy · PNPT — TCM Security · CRTO — Zero-Point Security · BSCP — PortSwigger
• Liczby ogłoszeń i stawki: analiza własna ogłoszeń na indeed.com (USA) — kwiecień 2024 i 9 sierpnia 2026, ta sama metodologia; płace = środek widełek podanych w ogłoszeniach (1 451 stawek z 2 000+ ogłoszeń), przeliczenie po średnim kursie NBP 3,7324 zł/USD z 7.08.2026

Aktualizacja: sierpień 2026. Pierwotna wersja wpisu: kwiecień 2024.