W co drugiej polskiej firmie 20-50-osobowej, do której zaglądamy, kluczowy serwer wciąż stoi na Windows Server 2012 R2. Trzyma bazę Comarch Optima albo Subiekta, udziały plikowe, kontroler domeny, czasem drukarkę sieciową i wydruk fiskalny. Działa. Nikt go nie rusza, bo „a po co, skoro chodzi".
Problem w tym, że od października 2023 Microsoft nie wypuszcza już łatek bezpieczeństwa dla tego systemu, a Windows Server 2016 skończy wsparcie w styczniu 2027. Każdy miesiąc na starym systemie to rosnąca dziura, o której antywirus nie napisze w dashboardzie. Ubezpieczyciel cyber to zauważy dopiero przy szkodzie — i wtedy odmówi wypłaty.
Ten tekst jest o tym, co realnie zrobić, jeśli akurat siedzisz na jednym z tych systemów. Bez straszenia, bez oferty enterprise'a za pół miliona.
Co dokładnie się skończyło i co się kończy
Trzy daty, które trzeba znać:
- Windows Server 2012 R2 — mainstream support skończył się 9 października 2018, extended support 10 października 2023. Dziś system dostaje łatki tylko przez program ESU (Extended Security Updates), płatny — dla wersji standard w typowej cenie kilkuset dolarów za rok za instancję, rosnącej co roku.
- Windows Server 2016 — mainstream skończył 11 stycznia 2022, extended kończy się 12 stycznia 2027. Zostało niecałe pół roku (na pisanie tego tekstu) do momentu, w którym też trzeba będzie płacić za łatki albo migrować.
- SQL Server 2012 i SQL Server 2014 — jeżeli razem z Windows Server 2012 R2 masz starą bazę Comarch Optima na SQL 2012 (a często masz), ona też nie dostaje łatek. SQL Server 2016 kończy wsparcie w lipcu 2026.
„System działa" to nie to samo, co „system jest bezpieczny". Nowe luki w Windows Server 2012 R2 pojawiają się co miesiąc — po prostu nie są dla ciebie łatane bez płatnego ESU.
Dlaczego to nie jest problem, który da się przeczekać
Trzy rzeczy dzieją się jednocześnie, gdy zostajesz na niewspieranym systemie:
Ubezpieczyciel cyber przestanie płacić. W polisach cyber dla MŚP, które widzimy od 2024 roku, standardem jest klauzula wykluczająca szkody, jeżeli po dacie X ubezpieczony korzysta z „niewspieranego przez producenta systemu operacyjnego lub bazy danych". Ransomware, który wejdzie przez lukę w SMB w 2012 R2, dla ubezpieczyciela nie jest już zdarzeniem losowym — jest wynikiem świadomego zaniedbania. W ostatnim roku widzieliśmy trzy takie odmowy wypłaty, każda w okolicach 200-400 tys. zł.
Audyt bezpieczeństwa u klienta korporacyjnego się nie zamknie. Coraz częstszy scenariusz: MŚP sprzedaje do korporacji, korporacja wysyła kwestionariusz bezpieczeństwa (często wynikający z DORA, NIS2 albo wewnętrznych polityk), jedna z pierwszych rubryk pyta o wersje systemów operacyjnych. „Windows Server 2012 R2" w tej rubryce oznacza w praktyce, że kontrakt jest zagrożony. Widzieliśmy dostawcę usług logistycznych, który stracił trzyletni kontrakt na 1,2 mln zł rocznie, bo nie chciał migrować serwera za 30 tys. zł.
Nowe wersje oprogramowania biznesowego przestaną się instalować. Comarch od 2024 nie certyfikuje najnowszych wersji Optimy na Windows Server 2012 R2. enova365 podobnie. Subiekt GT jeszcze się instaluje, ale kolejne wersje coraz częściej wymagają nowszego .NET-a, którego na 2012 R2 już nie ma. W praktyce ciągnie cię to w tył jednocześnie z systemem operacyjnym i z aplikacją, na której działasz.
Kombinacja tych trzech rzeczy oznacza, że „przeczekamy" nie jest strategią. Jest opóźnieniem, które kosztuje każdy miesiąc rosnącej kwoty za ESU (Microsoft podnosi ceny co roku), rosnącego ryzyka i rosnącej liczby zamkniętych drzwi.
Konkret: producent opakowań, 25 osób
Jeden z naszych klientów — 25-osobowy producent opakowań z tektury — do zeszłego roku prowadził całe IT na jednym serwerze z Windows Server 2012 R2. Serwer trzymał Comarch Optima w wersji z 2019 roku, udziały plikowe, kontroler domeny Active Directory i wydruki na drukarki sieciowe. Sprzęt fizyczny miał 8 lat, dyski SATA w RAID 1, 32 GB RAM. Backup do NAS-a raz dziennie, kopia off-site raz w tygodniu na zewnętrznym dysku, który jeździł do domu prezesa.
„Wszystko działa" — mówił prezes, kiedy przyszliśmy zrobić audyt na wniosek nowego klienta korporacyjnego. Klient wymagał wypełnienia kwestionariusza cyberbezpieczeństwa. Wypełnienie go uczciwie oznaczało zaznaczenie „system operacyjny bez wsparcia producenta", co w tej korporacji było automatyczną dyskwalifikacją dostawcy.
Zaproponowaliśmy trzy warianty:
- Wariant 1 — nowy serwer fizyczny, Windows Server 2022, migracja Optimy do najnowszej wersji, koszt sprzętu + robocizna: ok. 38 tys. zł jednorazowo, plus stary koszt utrzymania.
- Wariant 2 — przeniesienie Comarch Optima do Comarch Chmura (SaaS), reszta udziałów na SharePoint, likwidacja fizycznego serwera: ok. 12 tys. zł jednorazowo + 2 100 zł/miesiąc subskrypcji (wzrost o ok. 1 200 zł/mies. netto względem obecnych kosztów).
- Wariant 3 — model hybrydowy: Optima w chmurze Comarch, ale własny mały serwer (Windows Server 2022 Essentials) pod udziały plikowe, wydruki i AD, koszt: ok. 22 tys. zł jednorazowo + 1 600 zł/mies..
Klient wybrał wariant 2. Migracja trwała 6 tygodni, w tym 1 weekend faktycznego cutoveru (piątek wieczór do niedzieli wieczór). W poniedziałek rano 25 osób logowało się do Optimy w chmurze i pracowało. Fizyczny serwer zdemontowano po dwóch tygodniach obserwacji. Kontrakt z korporacyjnym klientem podpisano miesiąc później.
Co ważne: dla tej firmy „nic nie robić" oznaczałoby stratę tego kontraktu (600 tys. zł rocznie w perspektywie 3 lat) plus podwyższone ryzyko szkody ransomware nieobjętej ubezpieczeniem. Wariant 2 zwrócił się w pierwszym miesiącu nowego kontraktu.
Trzy ścieżki migracji, między którymi wybiera MŚP
Nie ma jednej dobrej odpowiedzi. Są trzy typowe ścieżki i wybór zależy od tego, ile masz on-prem, jak stabilne masz łącze i jak bardzo chcesz mieć własną szafę serwerową.
Ścieżka A: Nowy serwer on-prem (Windows Server 2022 lub 2025). Kupujesz nowy serwer fizyczny (albo drugą maszynę wirtualną na istniejącym host'cie Hyper-V/Proxmox), instalujesz aktualny Windows Server, migrujesz role. Koszt sprzętu dla 20-50 osób: 20-45 tys. zł. Licencja Windows Server 2022 Standard: 5-7 tys. zł. Robocizna migracji: 15-25 tys. zł. Ta ścieżka ma sens, jeśli masz sensowne łącze awaryjne, klimatyzowaną serwerownię i realnie potrzebujesz on-prem (np. dużych plików CAD, ciężkiej Optimy z bazą 50+ GB).
Ścieżka B: Do chmury z producentem aplikacji. Comarch, enova, InsERT — wszyscy oferują wersje SaaS/cloud swoich systemów. Nie migrujesz serwera, tylko przenosisz aplikację i dane do środowiska producenta. Model miesięczny za użytkownika, bez własnego sprzętu. Sensowne dla firm, które chcą pozbyć się serwerowni i mają dobre łącze internetowe. Ryzyko: uzależnienie od chmury producenta (lock-in), utrudnione własne integracje, wyższe koszty w skali 5 lat.
Ścieżka C: Hybryda — chmura publiczna (Azure/AWS) plus SharePoint. Serwer aplikacyjny (Optima, SQL Server) uruchamiasz jako maszynę wirtualną w Azure, pliki na SharePoint/OneDrive, tożsamość w Entra ID (dawne Azure AD). Ta ścieżka daje elastyczność i pełną kontrolę, ale wymaga kompetencji IT (własnych albo dostawcy). Koszt zaczyna się od 1 500-3 000 zł/mies. za samą infrastrukturę Azure dla 20-osobowej firmy.
W praktyce większość MŚP, którym doradzamy, kończy na kombinacji B i C: aplikacja księgowo-magazynowa w chmurze producenta, tożsamość i pliki w Microsoft 365, żadnego fizycznego serwera na miejscu. Jest to zwykle najprostsze operacyjnie i najtańsze w utrzymaniu w perspektywie 3 lat.
Czego nie robić, choć podpowiada intuicja
Kilka wyborów, które wyglądają rozsądnie na pierwszy rzut oka, a w praktyce kończą się źle:
- Kupować ESU „na wieczność". ESU miało być rozwiązaniem tymczasowym. Cena rośnie co roku (typowo o 100% w drugim roku, o 100% w trzecim). Po dwóch latach ESU kosztuje więcej niż migracja. To jest most, nie cel.
- Migrować „w wolnej chwili" bez terminu. Widzieliśmy pięć firm, które od 2023 miały „w planie" migrację, a w 2025 nadal jej nie miały. Bez konkretnej daty w kalendarzu (i budżetu przypisanego do kwartału) to się po prostu nie dzieje.
- Robić upgrade in-place z 2012 R2 do 2019/2022. Microsoft wspiera to tylko w ograniczonym zakresie (2012 R2 → 2016 → 2019 → 2022, po kroku), a każdy krok potrafi coś zepsuć. Czyste zainstalowanie 2022 na nowym sprzęcie i migracja ról jest tańsze i pewniejsze niż trzy upgrade'y in-place.
- Zakładać, że backup wystarczy jako plan. Backup ratuje przed utratą danych. Nie ratuje przed lukami w kodzie systemu operacyjnego, przez które właśnie ktoś wchodzi. Backup i aktualne wsparcie to dwie różne warstwy obrony.
- Migrować serwer, ale zostawić stare stacje robocze Windows 10. Windows 10 kończy wsparcie w październiku 2025. Jeśli akurat rozglądasz się za migracją serwera, warto od razu zaplanować drugi projekt na stacje robocze — ten sam zespół, ten sam moment na uporządkowanie sprzętu.
Od czego zacząć w tym tygodniu
Jeśli po tym tekście masz w głowie „chyba mamy 2012 R2 albo 2016, ale nie jestem pewny", zrób w tej kolejności:
- Sprawdź, co masz. Zaloguj się na serwer (albo poproś swojego informatyka), otwórz
winverw wierszu poleceń — pokazuje wersję i build. Zapisz to. - Sprawdź, co na tym siedzi. Comarch Optima w jakiej wersji? SQL Server w jakiej wersji? Kontroler domeny AD? Udziały plikowe? Wydruki? Zrób prostą listę na kartce — to trzy linie tekstu, ale kluczowe do dalszej rozmowy.
- Sprawdź polisę cyber. Jeśli masz — przeczytaj klauzule o „niewspieranych systemach". Jeśli nie masz jasnego zapisu, zapytaj brokera pisemnie: „czy nasza polisa pokrywa szkody z tytułu ransomware, jeżeli nasz Windows Server 2012 R2 nie ma aktywnego ESU". Zachowaj odpowiedź na piśmie.
- Wpisz migrację do budżetu 2026. Nawet jeśli jeszcze nie wiesz, którą ścieżkę wybierzesz, zarezerwuj widełki 30-60 tys. zł na projekt migracji. Bez rezerwacji w budżecie nic się nie stanie.
- Poproś o wycenę porównawczą trzech ścieżek (A, B, C powyżej). Nie musisz od razu decydować — porównanie kwot i kosztów pięcioletnich zwykle sam podpowie odpowiedź.
Migracja starego serwera to nudny projekt. Nie ma na nim glorii, nie ma w nim AI, nie ma z niego czym się chwalić na LinkedIn. Ale jest to jeden z tych projektów, których brak wyrzuca firmę z kontraktów, z ubezpieczeń i — prędzej czy później — z sieci, bo ktoś przypadkiem zaszyfruje jej pliki. Zrób go, zanim zrobi go ktoś za ciebie w niekorzystnym momencie.
Jeśli chcesz omówić, która ścieżka pasuje do twojej sytuacji — sprzęt, aplikacje, łącze, ludzie — pierwsza rozmowa trwa 30 minut i jest bezpłatna.
Serwer, który „działa", ale nie dostaje łatek, jest serwerem, który działa do momentu, w którym ktoś do niego wchodzi.