Szkolenie zarządu KSC/NIS2 jest corocznym i udokumentowanym obowiązkiem kierownika podmiotu kluczowego lub ważnego oraz osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa. Nie wystarczy ogólna prezentacja o zagrożeniach. Program powinien przygotować kierownictwo do decyzji dotyczących SZBI, ryzyka, incydentów, S46, zasobów i nadzoru, a organizacja musi zachować wiarygodne dowody udziału.
Członek zarządu powinien po szkoleniu rozumieć, o jakie ryzyka pytać, jakie dokumenty zatwierdzać, kiedy żądać eskalacji oraz jak działać w pierwszych godzinach incydentu. Program należy połączyć z usługami, systemami i rzeczywistym modelem odpowiedzialności organizacji.
Zakresobowiązki wskazane w art. 8e UoKSC
Dowódudokumentowany udział
Szkolenie musi odbyć się w każdym roku kalendarzowym, obejmować wykonywanie obowiązków wymienionych w art. 8e i pozostawić dowód udziału. Ustawa nie narzuca minimalnej liczby godzin, formy zajęć ani akredytacji prowadzącego, ale ogólny webinar o phishingu nie pokrywa pełnego zakresu zarządczego.
Kto musi odbyć szkolenie zarządu KSC/NIS2?
Art. 8e ustawy o krajowym systemie cyberbezpieczeństwa wskazuje dwie grupy uczestników: kierownika podmiotu kluczowego lub ważnego oraz osobę, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Obowiązek dotyczy więc nie każdego przedsiębiorcy, lecz organizacji objętych UoKSC jako podmioty kluczowe albo ważne.
W spółce kapitałowej decyzje zarządcze wykonuje co do zasady zarząd. Ustawa przewiduje, że gdy kierownikiem podmiotu jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu. Powierzenie części obowiązków CISO, pełnomocnikowi, dyrektorowi IT albo zewnętrznemu dostawcy nie usuwa odpowiedzialności kierownika.
Kierownik podmiotu
Osoba lub organ odpowiedzialny za decyzje, budżet, przydzielenie zadań, nadzór i zgodność organizacji z UoKSC.
Osoba wykonująca obowiązki kierownika
Osoba, której formalnie powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, niezależnie od nazwy stanowiska.
Personel i zespoły techniczne
Pracownicy również wymagają edukacji, ale szkolenie personelu nie zastępuje corocznego szkolenia osób zarządzających.
Dyrektywa NIS2 wymaga regularnego szkolenia członków organów zarządzających, aby potrafili rozpoznawać ryzyko, oceniać praktyki zarządzania cyberbezpieczeństwem i rozumieć ich wpływ na świadczone usługi. Dlatego najbezpieczniejszą praktyką w wieloosobowym zarządzie jest objęcie programem wszystkich osób uczestniczących w decyzjach dotyczących ryzyka, budżetu i ciągłości działania, nawet jeżeli wewnętrznie wskazano jednego członka odpowiedzialnego za cyberbezpieczeństwo.
Pełnomocnik, osoba kontaktowa i administrator S46 to nie ta sama funkcja
Jedna osoba może łączyć kilka ról, ale każda z nich wymaga osobnej podstawy, zakresu uprawnień i zastępstwa. Szkolenie powinno pokazać zarządowi, kto koordynuje SZBI, kto może działać w S46, kto kontaktuje się z CSIRT i kto zatwierdza decyzje biznesowe.
Kiedy przeprowadzić pierwsze i kolejne szkolenie?
Ustawa posługuje się rokiem kalendarzowym, a nie okresem kolejnych dwunastu miesięcy. Szkolenie przeprowadzone w listopadzie 2027 r. realizuje obowiązek za 2027 r., lecz nie za 2028 r. Kolejne powinno odbyć się pomiędzy 1 stycznia a 31 grudnia 2028 r. Najprościej ustalić stały miesiąc i wpisać szkolenie do rocznego kalendarza zarządu oraz planu utrzymania SZBI.
Dla podmiotów, które spełniały przesłanki objęcia ustawą 3 kwietnia 2026 r., Ministerstwo Cyfryzacji wyjaśniło, że pierwsze szkolenie musi zostać przeprowadzone najpóźniej w 2027 r. Można je zorganizować jeszcze w 2026 r., ale wówczas potrzebne będzie również kolejne szkolenie w 2027 r. Rozsądną praktyką jest przeprowadzenie pierwszej sesji przed zakończeniem okresu dostosowawczego 3 kwietnia 2027 r., aby zarząd podejmował decyzje dotyczące wdrożenia już po przygotowaniu merytorycznym.
Organizacja może przeszkolić kierownictwo jeszcze w pierwszym roku obowiązywania nowych przepisów.
Stanowisko Ministerstwa dla podmiotów spełniających kryteria 3 kwietnia 2026 r.
Szkolenie z poprzedniego roku nie realizuje obowiązku w kolejnym roku kalendarzowym.
Warto przeprowadzić sesję uzupełniającą i nie czekać, gdy zmienia się zarząd albo profil ryzyka.
Ustawa nie ustanawia osobnej reguły dla członka zarządu powołanego pod koniec roku ani dla osoby nieobecnej na wspólnej sesji. Ostrożny model zakłada szkolenie nowej osoby w roku jej powołania oraz zorganizowanie udokumentowanej sesji uzupełniającej dla nieobecnego uczestnika. Nie należy dopisywać osoby do listy obecności, jeżeli faktycznie nie uczestniczyła w szkoleniu.
Jaki program szkolenia spełnia wymagania art. 8e?
Art. 8e nie pozostawia programu całkowicie swobodnego. Odsyła do obowiązków dotyczących wpisu do Wykazu, SZBI, odpowiedzialności kierownictwa, niekaralności personelu, osób kontaktowych, dokumentacji, incydentów, S46, struktur cyberbezpieczeństwa i audytów. Program powinien przełożyć te przepisy na decyzje podejmowane przez konkretną organizację.
Status i Wykaz KSC
Przesłanki objęcia ustawą, wpis, aktualizacja danych w 14 dni, odpowiedzialność za prawdziwość informacji i wykreślenie.
Odpowiedzialność kierownictwa
Decyzje dotyczące SZBI, finansowania, przydzielania zadań, nadzoru oraz granice delegowania obowiązków.
SZBI i zarządzanie ryzykiem
Zakres systemu, aktywa, dostawcy, ciągłość, dostęp, podatności, monitoring i ocena skuteczności zabezpieczeń.
Personel i kompetencje
Świadomość pracowników, role, konflikty interesów, coroczne szkolenia i sprawdzanie niekaralności właściwych osób.
Kontakty i System S46
Osoby kontaktowe, administratorzy, zastępstwa, bezpieczny dostęp, aktualność danych i komunikacja z CSIRT.
Incydenty i zgłoszenia
Kwalifikacja wpływu, moment wykrycia, eskalacja, terminy 24 i 72 godzin, raport końcowy oraz informowanie użytkowników.
Dokumentacja i dowody
Dokumentacja normatywna i operacyjna, zatwierdzanie, dostęp, wersjonowanie, retencja oraz dowody rzeczywistego stosowania.
Struktury i audyty
Wewnętrzne struktury lub dostawca usług zarządzanych, nadzór nad wykonawcą, audyty, zalecenia i działania korygujące.
| Obszar prawny | Pytanie, na które odpowiada zarząd | Element szkolenia | Praktyczny rezultat |
|---|---|---|---|
| Art. 7b–7f | Czy wpis do Wykazu jest kompletny i aktualny? | Terminy, dane, podpisy i odpowiedzialność za oświadczenie | Właściciel aktualizacji i procedura zgłoszenia zmiany |
| Art. 8 i 8d | Czy środki odpowiadają ryzyku i czy zapewniono zasoby? | SZBI, ryzyko, zabezpieczenia i decyzje budżetowe | Lista decyzji i informacji wymaganych od pełnomocnika lub CISO |
| Art. 8f | Kto realizuje zadania z art. 8 lub 11 i czy spełnia wymagania? | Zakres weryfikacji niekaralności oraz odpowiedzialność za dopuszczenie | Matryca osób, zadań i dowodów weryfikacji |
| Art. 9–10 | Kto komunikuje się z KSC i gdzie znajdują się dowody? | Osoby kontaktowe, S46, dokumentacja i kontrola wersji | Aktualna książka kontaktowa i indeks dokumentacji |
| Art. 11–12b | Kto podejmuje decyzję w pierwszych godzinach incydentu? | Kwalifikacja, eskalacja, 24/72 h, raport końcowy i komunikacja | Przećwiczona ścieżka decyzyjna i lista braków |
| Art. 14–15 | Czy struktura i audyt zapewniają wiarygodny nadzór? | Wewnętrzna funkcja, dostawca, zakres umowy i niezależność audytu | Plan przeglądów, audytów i rozliczania wykonawców |
Cyberhigiena jest ważnym elementem programu dla personelu, ale szkolenie kierownictwa z art. 8e powinno przygotować do wykonywania obowiązków ustawowych. Jeżeli materiał nie obejmuje odpowiedzialności, SZBI, ryzyka, incydentów, S46, dokumentacji, struktur i audytów, trudno wykazać zgodność jego zakresu z przepisem.
Jak przeprowadzić szkolenie praktycznie?
UoKSC nie określa minimalnego czasu trwania, formy stacjonarnej ani obowiązkowej akredytacji prowadzącego. Daje to elastyczność, ale również przenosi na organizację odpowiedzialność za właściwe dobranie programu. Format powinien zależeć od wielkości zarządu, sektora, dojrzałości SZBI, historii incydentów i zakresu powierzonych obowiązków.
Szkolenie prowadzone online
Dobre dla rozproszonego zarządu i aktualizacji wiedzy, pod warunkiem potwierdzenia tożsamości i uczestnictwa.
- sesja na żywo,
- pytania uczestników,
- raport obecności,
- materiały w wersji oznaczonej datą.
Warsztat dla zarządu
Łączy wymagania prawne z ryzykiem, usługami i strukturą organizacji.
- analiza własnych przypadków,
- mapa decyzji,
- ćwiczenie incydentowe,
- lista działań po szkoleniu.
Szkolenie i tabletop
Najlepsze przy wysokim ryzyku, braku wcześniejszych ćwiczeń albo zmianie całego modelu reagowania.
- realistyczny scenariusz,
- udział IT, prawa i komunikacji,
- obserwacja czasu reakcji,
- raport i plan naprawczy.
Nagranie może wspierać szkolenie, ale samo odtworzenie pliku nie zawsze pozwala potwierdzić tożsamość uczestnika, faktyczny udział i możliwość zadawania pytań. Jeżeli organizacja korzysta z e-learningu, powinna zachować log ukończenia, czas aktywności, wersję materiału i wynik sprawdzenia wiedzy. Dla zarządu lepsza jest sesja na żywo, która umożliwia omówienie odpowiedzialności i aktualnych ryzyk.
Ćwiczenie 0–24–72: zarząd podczas incydentu
Najbardziej użytecznym elementem szkolenia jest krótka symulacja. Przykładowy scenariusz może dotyczyć ransomware, niedostępności kluczowej usługi, wycieku danych lub awarii dostawcy chmurowego. Uczestnicy powinni otrzymywać informacje etapami, tak jak podczas rzeczywistego zdarzenia, i podejmować decyzje mimo niepełnego obrazu sytuacji.
Kto potwierdza zdarzenie, chroni dowody, informuje zarząd i może odizolować system?
Czy zdarzenie może być incydentem poważnym, kto uruchamia S46 i jakie dane są dostępne?
Jaki jest wpływ na usługę, użytkowników i inne podmioty oraz kto zatwierdza komunikację?
Jakie były przyczyny, szkody, działania ograniczające ryzyko i decyzje zapobiegające powtórzeniu?
Ćwiczenie nie powinno oceniać wyłącznie wiedzy pamięciowej. Ma sprawdzić, czy role są jasne, dane kontaktowe aktualne, administratorzy mają dostęp do S46, a zarząd wie, kiedy podejmuje decyzję samodzielnie i kiedy potrzebuje informacji od IT, pełnomocnika, IOD, ubezpieczyciela albo dostawcy. Szczegółową ścieżkę raportowania opisuje poradnik Zgłoszenie incydentu NIS2 – terminy 24 i 72 godziny.
Czy dotychczasowe szkolenie obejmuje pełny zakres art. 8e?
Możemy zweryfikować program, dokumentację i przygotować warsztat oparty na rzeczywistych ryzykach, usługach oraz modelu odpowiedzialności Twojej organizacji.
Umów bezpłatną konsultacjęJak udokumentować wykonanie obowiązku szkoleniowego?
Art. 8e ust. 3 wymaga udokumentowania udziału, ale nie wprowadza urzędowego wzoru. Organizacja powinna więc przygotować taki zestaw zapisów, który pozwala odtworzyć kto, kiedy, w jakiej formie i w jakim zakresie odbył szkolenie. Dokumenty powinny być objęte nadzorem nad dokumentacją SZBI: mieć właściciela, wersję, zasady dostępu i ustalony okres przechowywania.
Sam certyfikat
Potwierdza nazwę i uczestnika, ale może nie wskazywać programu, czasu, wersji materiałów ani związku z art. 8e.
Program i lista obecności
Pozwalają ustalić zakres, datę i uczestników. Warto dodać dane prowadzącego oraz potwierdzenie faktycznego udziału.
Pełna teczka szkolenia
Łączy program, obecność, materiały, sprawdzenie wiedzy, wynik ćwiczenia, rekomendacje i działania zatwierdzone po szkoleniu.
| Dokument | Co powinien zawierać | Co potwierdza | Typowy błąd |
|---|---|---|---|
| Program | Moduły, odniesienia do art. 8e, cele, czas i forma | Zakres zgodny z ustawą | Ogólny tytuł bez listy omawianych obowiązków |
| Lista uczestników | Imię, nazwisko, funkcja, data i potwierdzenie udziału | Udział właściwych osób | Lista zaproszonych zamiast faktycznie obecnych |
| Raport platformy | Tożsamość, czas połączenia, ukończenie i aktywność | Udział online | Sam link lub zrzut ekranu bez identyfikacji |
| Materiały | Wersja, data, stan prawny i identyfikacja prowadzącego | Treść przekazaną uczestnikom | Nieoznaczona prezentacja możliwa do późniejszej zmiany |
| Test lub pytania | Zakres, wynik, próg i ewentualne działania uzupełniające | Zrozumienie kluczowych zagadnień | Test zastępujący udział albo pytania niedotyczące roli zarządu |
| Protokół ćwiczenia | Scenariusz, decyzje, obserwacje, luki i właściciele działań | Praktyczne wykorzystanie wiedzy | Brak terminów i odpowiedzialności za wykryte braki |
| Certyfikat | Uczestnik, nazwa, data, organizator i zakres | Imienne ukończenie szkolenia | Certyfikat bez powiązania z programem i listą obecności |
| Rejestr szkoleń | Rok, osoby objęte obowiązkiem, status i termin kolejnej sesji | Ciągłość corocznego obowiązku | Brak kontroli zmian w składzie zarządu |
Test wiedzy nie jest wprost wymagany przez art. 8e. Może jednak pokazać, czy uczestnicy rozumieją najważniejsze obowiązki i gdzie potrzebne jest uzupełnienie programu. Podobnie certyfikat jest użytecznym elementem, lecz nie powinien być jedynym dowodem. Najsilniejszy materiał tworzy spójny ciąg: program, udział, wiedza, ćwiczenie, rekomendacje i wykonane działania.
Dokumentacja szkolenia może zawierać informacje o ryzyku, podatnościach, strukturze systemów i scenariuszach reagowania. Należy więc ograniczyć dostęp, oznaczyć wersje i oddzielić ogólne materiały edukacyjne od załączników zawierających wrażliwe dane organizacji. Zasady dokumentowania całego systemu opisuje artykuł Dokumentacja SZBI – polityki, procedury i rejestry.
Jak ocenić skuteczność szkolenia?
Lista obecności potwierdza uczestnictwo, ale nie odpowiada na pytanie, czy szkolenie poprawiło gotowość organizacji. Ocena skuteczności powinna być proporcjonalna. Może obejmować krótki test, pytania sytuacyjne, obserwację ćwiczenia, ankietę uczestników i sprawdzenie wykonania rekomendacji po kilku miesiącach.
Dobrym miernikiem nie jest wyłącznie średnia punktów. Znaczenie ma to, czy zarząd potrafi wskazać najważniejsze ryzyka, wie, kto może uruchomić S46, rozumie terminy raportowania i otrzymuje dane potrzebne do nadzoru. Jeżeli podczas ćwiczenia ujawniono brak dostępu, nieaktualny numer telefonu albo niejasny próg eskalacji, działaniem po szkoleniu powinno być usunięcie tej luki i sprawdzenie rezultatu.
Szkolenie może zasilić przegląd zarządczy SZBI
Wnioski z warsztatu warto włączyć do rejestru działań, raportu dla kierownictwa i planu doskonalenia. Dzięki temu szkolenie nie funkcjonuje jako odizolowane wydarzenie HR, lecz jako część systemu zarządzania ryzykiem.
Co grozi za brak szkolenia zarządu?
Art. 73a UoKSC wskazuje niewykonanie obowiązku z art. 8e jako podstawę osobistej kary pieniężnej dla kierownika podmiotu kluczowego lub ważnego. Kara może wynosić do 300% wynagrodzenia obliczanego według zasad stosowanych przy ustalaniu ekwiwalentu za urlop. Dla określonych kierowników podmiotów publicznych limit wynosi do 100% wynagrodzenia.
Przepisy przejściowe odsuwają możliwość nakładania większości kar z art. 73a, ale nie przesuwają obowiązku wdrożenia wymagań ani prowadzenia dowodów. Organ może wcześniej wykonywać kompetencje nadzorcze, badać dokumentację i wydawać zalecenia. Brak szkolenia może również ujawnić szerszy problem: zarząd podejmował decyzje o ryzyku, budżecie lub incydencie bez wiedzy wymaganej przez NIS2 i UoKSC.
Zewnętrzny pełnomocnik, kancelaria, CISO albo dostawca usług zarządzanych mogą przygotować szkolenie, SZBI i rekomendacje. Zarząd nadal odpowiada za decyzje, zasoby, nadzór i wykonanie obowiązków przez organizację. Samo podpisanie umowy z ekspertem nie zastępuje aktywnego udziału kierownictwa.
Checklista organizacji szkolenia
Zaznacz elementy, które zostały przygotowane. Test nie stanowi oceny prawnej, ale pokazuje, czy organizacja ma spójny program i pakiet dowodowy.
Gotowość szkolenia zarządu
Program, udział, ćwiczenie i dowody.
Najczęstsze błędy
Pierwszym błędem jest utożsamienie szkolenia zarządu ze szkoleniem ogólnym dla pracowników. Inne są cele, odpowiedzialność i decyzje obu grup. Drugi problem to program skopiowany z ustawy bez przełożenia na strukturę organizacji. Zarząd zna wówczas numery artykułów, ale nadal nie wie, kto uruchamia procedurę i jakich danych powinien zażądać.
Trzeci błąd to certyfikat bez dokumentacji programu. Czwarty to brak sesji uzupełniającej dla osoby nieobecnej lub nowego członka zarządu. Piąty polega na niewykorzystaniu wniosków z ćwiczenia: wykryte luki pozostają w protokole bez właściciela, terminu i późniejszego sprawdzenia.
Nie należy również tworzyć dowodów po fakcie. Antydatowana lista obecności, certyfikat dla osoby nieuczestniczącej albo program przygotowany dopiero na potrzeby kontroli mogą być poważniejszym problemem niż uczciwie opisana luka wraz z planem naprawczym. Zakres kontroli i sposób oceny dowodów opisuje poradnik Kontrola KSC/NIS2 – przebieg i wymagane dokumenty.
Najczęściej zadawane pytania
Czy każdy członek zarządu musi przejść szkolenie KSC/NIS2?
W przypadku organu wieloosobowego zakres obowiązku należy ocenić z uwzględnieniem formalnego wskazania osoby odpowiedzialnej. NIS2 odnosi regularne szkolenia do członków organu zarządzającego, a UoKSC przewiduje odpowiedzialność wszystkich członków, gdy nie wskazano osoby odpowiedzialnej. Bezpieczną praktyką jest więc przeszkolenie całego zarządu uczestniczącego w decyzjach dotyczących cyberbezpieczeństwa.
Kiedy trzeba przeprowadzić pierwsze szkolenie?
Według stanowiska Ministerstwa Cyfryzacji podmioty spełniające kryteria 3 kwietnia 2026 r. powinny przeprowadzić pierwsze szkolenie najpóźniej w 2027 r. Mogą zrobić to w 2026 r., ale wtedy powinny przeprowadzić kolejne również w 2027 r. Praktycznie warto przeszkolić zarząd przed podejmowaniem kluczowych decyzji wdrożeniowych.
Czy szkolenie trzeba powtarzać co 12 miesięcy?
Nie jest to dokładnie ten sam sposób liczenia. Ustawa wymaga szkolenia raz w roku kalendarzowym. Najprościej wyznaczyć stały miesiąc w każdym roku i pilnować zmian w składzie zarządu.
Czy szkolenie online spełnia wymagania UoKSC?
Tak, ponieważ ustawa nie narzuca formy stacjonarnej. Trzeba jednak udokumentować tożsamość, faktyczny udział, datę, program i materiały. W przypadku platformy online warto zachować raport obecności i ukończenia.
Ile godzin powinno trwać szkolenie zarządu?
Ustawa nie określa minimalnej liczby godzin. Czas powinien pozwalać na rzeczywiste omówienie obowiązków z art. 8e i ich zastosowanie w organizacji. Bardzo krótki webinar może nie wystarczyć do omówienia wymaganego zakresu.
Czy bezpłatny webinar lub nagranie wystarczy?
Może stanowić element edukacji, ale powinien obejmować pełny zakres obowiązków i pozostawiać dowód uczestnictwa. Ogólne nagranie bez identyfikacji uczestnika, programu i sprawdzenia ukończenia tworzy słaby materiał dowodowy.
Czy certyfikat wystarczy jako dowód?
Certyfikat pomaga, ale najlepiej przechowywać go razem z programem, listą uczestników, materiałami i potwierdzeniem formy oraz czasu szkolenia. Sam dokument z nazwą wydarzenia może nie pokazywać zgodności zakresu z art. 8e.
Czy zarząd musi zdać test wiedzy?
Art. 8e wymaga udokumentowanego udziału, a nie zdania egzaminu. Test, pytania sytuacyjne lub ćwiczenie są jednak dobrym sposobem oceny skuteczności i wykrycia obszarów wymagających uzupełnienia.
Co zrobić z członkiem zarządu powołanym w trakcie roku?
Ustawa nie przewiduje osobnego wyjątku. Najbezpieczniej zorganizować dla niego udokumentowane szkolenie w roku powołania, zwłaszcza przed pierwszymi decyzjami dotyczącymi SZBI, ryzyka lub incydentów.
Jak długo przechowywać dokumentację szkolenia?
Dokumenty należy objąć zasadami nadzoru nad dokumentacją bezpieczeństwa, kontrolą dostępu, wersjonowaniem i retencją. Okres powinien pozwalać wykazać realizację obowiązku w kolejnych cyklach, podczas audytu i kontroli; należy również uwzględnić wymagania art. 10 UoKSC i sektorowe zasady archiwizacji.
Podsumowanie
Szkolenie zarządu KSC/NIS2 powinno łączyć prawo, zarządzanie ryzykiem i praktyczne decyzje. Jego celem nie jest wyłącznie przedstawienie nowych przepisów, ale przygotowanie kierownictwa do nadzoru nad SZBI, zapewnienia zasobów, rozliczania właścicieli działań i reagowania na incydenty.
Organizacja powinna wykazać nie tylko to, że spotkanie odbyło się, lecz również kogo objęło, jaki miało program i jakie działania z niego wyniknęły. Najsilniejszy dowód tworzą program powiązany z art. 8e, potwierdzenie faktycznego udziału, wersjonowane materiały, praktyczne ćwiczenie oraz rejestr rekomendacji i decyzji.
Przygotuj szkolenie, które zostawia wiedzę i dowody
Umów bezpłatną konsultację z adwokatem i audytorem. Przygotujemy szkolenie zarządu KSC/NIS2, dokumentację udziału oraz praktyczne rekomendacje wynikające z przeprowadzonego warsztatu.