Cyberbezpieczeństwo 2026: dlaczego identity security jest najdroższym segmentem M&A

Przez ostatnie dwanaście miesięcy kupujący w branży cyberbezpieczeństwa płacili za firmy z obszaru zarządzania tożsamością mnożniki, których nie da się uzasadnić ani tempem wzrostu przychodów, ani marżą. Nabywca płaci średnio 20,1x przychodu za aktywa z segmentu Identity & Access Management, podczas gdy giełda wycenia porównywalne spółki publiczne na 8,0x. Ta różnica nie jest przypadkiem ani szaleństwem rynku. To wycena opcji na przyszłą architekturę zakupową klienta korporacyjnego — i wycena strachu przed tym, że nie będzie się miało czego pokazać w przetargu za osiemnaście miesięcy.

Poniżej rozkładam ten mechanizm na czynniki pierwsze: gdzie dokładnie jest premia, kto ją płaci, skąd bierze się jej wysokość i jakie drugorzędne skutki poniesie strona kupująca technologię — czyli dyrektorzy IT i CISO, którzy z tą konsolidacją będą żyć przez kolejne trzy lata budżetowe.

Skala: rok, w którym cyberbezpieczeństwo przestało być segmentem niszowym

Punktem odniesienia dla całej analizy jest kilka liczb, które warto mieć przed oczami.

W 2025 roku ujawniona wartość transakcji M&A w cyberbezpieczeństwie przekroczyła 84 mld USD przy ośmiu megatransakcjach — wynika z zestawienia Windsor Drake za I kwartał 2026. Dwie z nich zdominowały statystykę: przejęcie Wiz przez Google za 32 mld USD oraz zakup CyberArk przez Palo Alto Networks za około 25 mld USD.

Ta druga transakcja jest dla naszego tematu kluczowa i warto uściślić jedną rzecz, którą wiele publikacji nadal podaje błędnie: transakcja Palo Alto–CyberArk została domknięta 11 lutego 2026 roku, po uzyskaniu zgód regulacyjnych w USA, UE, Wielkiej Brytanii i Izraelu — nie pod koniec 2026 roku, jak zakładały pierwotne harmonogramy z lipca 2025. Akcjonariusze CyberArk otrzymali 45,00 USD gotówką oraz 2,2005 akcji Palo Alto za każdą akcję. Największy na rynku dostawca PAM przestał być niezależnym podmiotem siedem miesięcy temu.

Znaczenie tej daty jest praktyczne: jeśli w Twojej analizie dostawców CyberArk figuruje jako niezależny gracz z własną mapą drogową, pracujesz na nieaktualnym założeniu.

Gdzie dokładnie jest premia: rozkład mnożników według segmentu

Większość komentarzy na temat wycen w cyberbezpieczeństwie operuje jedną średnią dla całej branży. To bezużyteczne. Rozrzut między podsegmentami jest większy niż rozrzut między cyberbezpieczeństwem a resztą oprogramowania.

Poniżej dane z zestawienia Finro obejmującego 265 spółek w dziewięciu niszach, stan na II kwartał 2026 (EV/Revenue, wartości średnie):

SegmentSpółki publiczneRynek prywatnyTransakcje M&APremia M&A vs. rynek prywatnyCloud Security16,4x16,2x31,0x+14,8xData Security6,6x17,7x29,2x+11,5xIdentity & Access Management8,0x14,1x20,1x+6,0xApplication Security6,5x16,4x14,8x–1,6xThreat Intelligence1,2x16,6x11,4x–5,2x

Pierwsza obserwacja jest oczywista: tylko trzy segmenty mają dodatnią premię przejęcia. W Application Security i Threat Intelligence nabywca płaci mniej niż ostatnia runda finansowania — co w praktyce oznacza, że część założycieli sprzedaje poniżej wyceny z cap table.

Druga obserwacja jest mniej oczywista i to ona jest sednem sprawy. W IAM różnica między wyceną giełdową (8,0x) a ceną transakcyjną (20,1x) wynosi 2,5-krotność. Publiczny rynek kapitałowy, mając do dyspozycji te same raporty kwartalne co dział M&A nabywcy, wycenia tożsamość dwuipółkrotnie taniej niż nabywcy strategiczni. Jedna z tych dwóch grup się myli — albo obie wyceniają zupełnie inne rzeczy.

Wyceniają inne rzeczy. I to jest pierwszy niewidoczny mechanizm w tej układance.

Nabywca strategiczny nie kupuje przychodu. Kupuje pozycję w tabeli porównawczej

Inwestor giełdowy wycenia strumień pieniężny: przychód, powtarzalność, marżę, tempo wzrostu. Nabywca strategiczny wycenia coś innego — koszt nieposiadania danej funkcjonalności w momencie, w którym klient korporacyjny będzie ją wpisywał jako wymóg obowiązkowy w zapytaniu ofertowym.

To fundamentalnie inna kalkulacja. Nie „ile ta firma zarobi", tylko „ile stracimy w odnowieniach, jeśli konkurent będzie miał tę rubrykę odhaczoną, a my nie". Przy platformie generującej ponad miliard dolarów rocznego przychodu powtarzalnego, ryzyko utraty pięciu procent bazy odnowieniowej ma wartość liczoną w dziesiątkach milionów rocznie — bezterminowo. Na tym tle zapłacenie 200 mln USD za firmę o przychodach rzędu kilkunastu milionów przestaje być ekstrawagancją. Zaczyna być tanią polisą.

Stąd bierze się prawidłowość, której nie widać w samych mnożnikach: premia M&A jest wysoka tam, gdzie funkcjonalność jest trudna do zbudowania samodzielnie i szybko staje się obowiązkowa w przetargach. Cloud Security, Data Security i IAM spełniają oba warunki. Threat Intelligence spełnia tylko drugi — i dlatego transakcje w tym segmencie zamykają się poniżej wycen prywatnych.

Przy negocjowaniu wyjścia z firmy technologicznej to jest jedyne pytanie, które ma znaczenie. Nie „ile mamy ARR", tylko „czy brak nas w portfolio nabywcy kosztuje go odnowienia".

Dlaczego akurat tożsamości nieludzkie: wyjście z pułapki licencji per-seat

Teraz przechodzimy do sedna — dlaczego w obrębie IAM najgorętszym miejscem nie jest logowanie użytkowników, tylko tożsamości nieludzkie (non-human identities, NHI): konta serwisowe, klucze API, tokeny, certyfikaty, workloady i agenci AI.

Powód jest ekonomiczny, nie technologiczny, i rzadko wypowiadany wprost.

Klasyczne platformy zarządzania tożsamością sprzedają licencje w przeliczeniu na użytkownika. Oznacza to, że maksymalny możliwy przychód od danego klienta jest z góry ograniczony liczbą jego pracowników. Można podnosić cenę za stanowisko, można dosprzedawać moduły, ale sufit jest strukturalny: zatrudnienie w korporacjach rośnie o kilka procent rocznie, w latach chudych spada. Model licencyjny oparty na ludziach to biznes o wzroście liniowym z wbudowanym ogranicznikiem.

Tożsamości maszynowe ten ogranicznik usuwają. Ich liczba nie zależy od zatrudnienia, tylko od stopnia automatyzacji — a ta rośnie wykładniczo wraz z wdrażaniem agentów AI. Przy proporcjach rzędu 40:1 czy 82:1 na korzyść maszyn, ten sam klient, ta sama umowa i ta sama baza handlowa generują wielokrotnie większy potencjał przychodowy. Bez pozyskania ani jednego nowego logo.

To nie jest teoria. To jest mechanizm, który widać w raportach kwartalnych. Na konferencji wynikowej za IV kwartał roku obrotowego 2026 Mark McClain, prezes i założyciel SailPoint, podał, że tożsamości nieludzkie odpowiadały za mniej więcej jedną czwartą przyrostu tożsamości SaaS w kwartale i stanowią około 11% wszystkich tożsamości objętych governance w modelu SaaS. Jednocześnie firma zamknęła rok obrotowy 2026 z ARR na poziomie 1,125 mld USD przy wzroście 28% rok do roku, a w wynikach za II kwartał roku obrotowego 2027 (ogłoszonych 9 września 2026) pokazała ARR 1,231 mld USD i podtrzymała cel co najmniej 2,1 mld USD ARR na rok obrotowy 2029.

Podwojenie ARR w trzy lata w kategorii dojrzałej nie wydarzy się dzięki ludziom. Musi przyjść z warstwy, w której liczba licencjonowanych obiektów rośnie razem z adopcją automatyzacji. Dlatego zakupy w obszarze NHI nie są defensywnym łataniem portfolio — są zakupem nowego licznika w modelu przychodowym.

90 dni, w których skonsolidował się cały segment NHI

Między początkiem maja a końcem lipca 2026 roku trzej najczęściej wymieniani niezależni dostawcy rozwiązań NHI przestali być niezależni. To nie jest zbieg okoliczności — to kaskada wywołana przez jeden ruch.

DataNabywcaCelWartość4 maja 2026CiscoAstrix Securitynieujawniona (sprzedaż samodzielna zakończona 30 czerwca)15–29 czerwca 2026SailPointEntro Securityok. 200 mln USD wg doniesień branżowych17 czerwca 2026Quest SoftwareAnetacnieujawniona28 lipca 2026CyeraOasis Securityok. 1 mld USD (list intencyjny)

Wzorzec jest tu ważniejszy niż poszczególne kwoty. Gdy w kategorii istnieje kilkunastu dostawców, ale tylko trzech lub czterech jest realnie „kupowalnych" — czyli ma wystarczającą bazę klientów korporacyjnych, pokrycie integracyjne i zespół nadający się do wchłonięcia — pierwsze przejęcie automatycznie zmniejsza pulę o jedną trzecią i podnosi cenę wszystkiego, co zostało. Każdy kolejny nabywca ma słabszą pozycję negocjacyjną niż poprzedni i mocniejszy powód, by działać natychmiast. To klasyczna kaskada niedoboru i to ona wyjaśnia, dlaczego cztery transakcje zmieściły się w kwartale zamiast rozłożyć na dwa lata.

Dla pełnego kontekstu technologicznego dwóch czerwcowych transakcji — co dokładnie wnoszą Anetac i Entro, jak działa detekcja NHIDR i dlaczego obie platformy trafiły akurat do tych nabywców — przydatna jest szczegółowa analiza transakcji Quest–Anetac i SailPoint–Entro, która rozkłada obie akwizycje na poziomie architektury produktu i pokrycia typów poświadczeń.

Dlaczego jedna firma kosztuje 200 mln USD, a druga miliard

Zestawienie z tabeli powyżej rodzi oczywiste pytanie. Entro i Oasis działały w tej samej kategorii, konkurowały o tych samych klientów i oferowały zbliżony zakres funkcjonalny. Różnica w cenie to około pięciokrotność.

Standardowe wyjaśnienie — „Oasis miał więcej ARR" — jest prawdopodobnie niepełne. Istotniejsza jest struktura kapitałowa.

Oasis Security pozyskał łącznie 190–195 mln USD, w tym rundę B na 120 mln USD w marcu 2026. Entro zebrało rząd wielkości mniej. W transakcjach tej wielkości zebrany kapitał z preferencją likwidacyjną wyznacza podłogę cenową: żaden fundusz nie zatwierdzi wyjścia, które oznacza stratę na papierze, dopóki nie zostanie do tego zmuszony przez wyczerpanie gotówki. Firma, która wzięła 195 mln USD, nie może zostać sprzedana za 200 mln bez awantury w radzie nadzorczej — niezależnie od tego, ile faktycznie zarabia.

Wniosek jest sprzeczny z intuicją i wart zapamiętania: w tym segmencie wysokość pozyskanego finansowania jest silniejszym predyktorem ceny sprzedaży niż wynik finansowy. Kolejna runda nie tylko rozwadnia założycieli — ustawia minimalną cenę, poniżej której transakcja przestaje być możliwa. Przy dobrej koniunkturze to dźwignia. Przy złej — kajdany, które blokują wyjście na dwa lata.

Dla kupującego oprogramowanie płynie stąd praktyczna wskazówka. Dostawca, który właśnie zamknął dużą rundę, jest jednocześnie mniej podatny na przejęcie w najbliższych kilkunastu miesiącach (podłoga cenowa za wysoka) i bardziej skłonny do agresywnego dyskontowania, żeby dogonić wycenę. Runda finansowania jest publiczną informacją o pozycji negocjacyjnej sprzedawcy.

Drugorzędne skutki dla strony kupującej technologię

Konsolidacja jest zwykle opisywana z perspektywy sprzedających. Dla organizacji kupujących ma trzy konkretne konsekwencje, które rzadko trafiają do budżetu na czas.

Zmiana jednostki rozliczeniowej. Wraz z przesunięciem wartości z tożsamości ludzkich na maszynowe zmienia się podstawa licencjonowania — z liczby pracowników na liczbę zarządzanych tożsamości. Oznacza to, że koszt bezpieczeństwa tożsamości przestaje być kosztem stałym powiązanym z zatrudnieniem, a staje się kosztem zmiennym rosnącym razem z automatyzacją. Każdy wdrożony agent AI to pozycja kosztowa w odnowieniu za rok. Prawie nikt nie ma tego w prognozie.

Zanik rabatu za konkurencję. Dopóki w kategorii jest pięciu niezależnych dostawców, ich obecność w przetargu obniża cenę dostawcy platformowego. Po konsolidacji ten mechanizm znika — funkcjonalność staje się modułem w cenniku podmiotu, z którym i tak już się ma umowę. Historycznie oznacza to wzrost ceny efektywnej przy odnowieniu.

Ryzyko mapy drogowej. Przejęty produkt przez pierwsze 12–18 miesięcy przechodzi integrację z platformą nabywcy. W tym czasie rozwój funkcjonalności spowalnia, a priorytety przesuwają się w stronę kompatybilności z resztą portfolio, nie potrzeb dotychczasowych klientów. Jeśli kontrakt odnawia się w tym oknie, warto negocjować zobowiązania dotyczące mapy drogowej, nie tylko ceny.

Czego szukać w kolejnych kwartałach

Trzy sygnały wyprzedzające, na które warto patrzeć zamiast na nagłówki o transakcjach.

Rundy C i D w kategoriach sąsiadujących z tożsamością. Duża runda w wąskiej niszy bezpieczeństwa to sygnał, że fundusze wyceniają tę niszę jako przyszły obowiązkowy moduł platformy. Runda wyprzedza przejęcie zwykle o 12–24 miesiące.

Język używany w komunikacji kwartalnej. Gdy dostawca zaczyna raportować liczbę tożsamości pod zarządzaniem zamiast liczby klientów lub stanowisk, oznacza to zmianę modelu przychodowego — i zapowiada zakupy w obszarze, który ten licznik napędza.

Rozjazd między wyceną giełdową a transakcyjną w danym segmencie. Utrzymująca się różnica taka jak obecne 8,0x versus 20,1x w IAM to informacja, że nabywcy widzą w kategorii coś, czego nie widzi rynek publiczny. Historycznie zwykle mieli rację co do kierunku — i regularnie przepłacali co do skali.

Najczęstsze pytania

Dlaczego firmy identity security są wyceniane wyżej niż inne segmenty cyberbezpieczeństwa?Ponieważ tożsamość stała się podstawowym wektorem ataku, a jednocześnie funkcjonalnością trudną do odtworzenia samodzielnie i szybko stającą się wymogiem obowiązkowym w przetargach korporacyjnych. Nabywcy wyceniają nie przyszły przychód przejmowanej firmy, lecz koszt utraty odnowień w sytuacji, gdy konkurent ma daną funkcjonalność, a oni nie.

Ile wynoszą mnożniki wyceny w segmencie IAM w 2026 roku?Według zestawienia Finro za II kwartał 2026, średnie EV/Revenue w segmencie Identity & Access Management wynosi 8,0x dla spółek publicznych, 14,1x na rynku prywatnym i 20,1x w transakcjach M&A. Ogólnorynkowo negocjacje w cyberbezpieczeństwie w 2026 roku klastrują się w przedziale 6–8x ARR, przy 8–10x dla aktywów uznanych za strategiczne.

Czym są non-human identities i dlaczego napędzają konsolidację?To tożsamości przypisane nie ludziom, lecz elementom infrastruktury: kontom serwisowym, aplikacjom, workloadom, kluczom API, tokenom, certyfikatom i agentom AI. Napędzają konsolidację, bo ich liczba rośnie wraz z automatyzacją, a nie z zatrudnieniem — co pozwala dostawcom przełamać sufit przychodowy modelu licencjonowania w przeliczeniu na użytkownika.

Czy przejęcie CyberArk przez Palo Alto Networks zostało już sfinalizowane?Tak. Transakcja o wartości około 25 mld USD została domknięta 11 lutego 2026 roku, po uzyskaniu zgód akcjonariuszy i regulatorów w USA, UE, Wielkiej Brytanii i Izraelu.

Źródła i materiały uzupełniające

• Finro, Cybersecurity Valuation Multiples Q2 2026 — zestawienie 265 spółek w dziewięciu niszach
• Windsor Drake, Cybersecurity Valuation Report Q1 2026
• SailPoint, raporty wyników za rok obrotowy 2026 oraz II kwartał roku obrotowego 2027 (SEC, formularz 8-K)
• Komunikaty prasowe Palo Alto Networks, Cisco, Quest Software i SailPoint dotyczące omawianych transakcji
• Mergermarket / ION Analytics, Dealspeak North America — analiza mnożników transakcyjnych w cyberbezpieczeństwie

Materiał ma charakter analityczny i informacyjny. Nie stanowi rekomendacji inwestycyjnej ani porady w zakresie doboru rozwiązań bezpieczeństwa. Kwoty transakcji nieujawnionych oficjalnie podano za doniesieniami branżowymi i należy je traktować jako szacunkowe.

‍