Pracownik zgłasza podejrzane logowanie do firmowej poczty. Dostawca IT sprawdza, co się wydarzyło. Kierownictwo musi zdecydować, czy ograniczyć dostęp do usługi i uruchomić procedurę kryzysową. Każda z tych osób potrzebuje innej wiedzy. Wysłanie całej organizacji na ten sam webinar nie rozwiązuje tego problemu.
Szkolenia NIS2 i KSC warto zaplanować wokół odpowiedzialności uczestników, a nie wokół jednej prezentacji. Dla kierownictwa najważniejsze są decyzje, nadzór i obowiązki. Dla pracowników: rozpoznanie zagrożenia, bezpieczne zachowanie i zgłoszenie zdarzenia. Natomiast dla zespołów technicznych: wykonanie procedur w konkretnych systemach.
Ten poradnik pokazuje, jak rozdzielić te potrzeby, przygotować program i zebrać dokumentację, która pozwoli ustalić nie tylko, kto uczestniczył w szkoleniu, lecz także czego dotyczyła nauka i co organizacja zrobiła z jej wynikami.
Stan prawny: 8 października 2026 r. Artykuł dotyczy organizacji działających w Polsce.
Czy Twoja firma lub instytucja podlega NIS2 i KSC?
Nie każda firma podlega tym samym obowiązkom. Przed zamówieniem szkolenia trzeba sprawdzić rzeczywistą działalność organizacji, jej wielkość oraz szczególne kryteria objęcia ustawą. Sam kod PKD, zatrudnianie określonej liczby osób albo współpraca z dużym klientem nie wystarczają do rzetelnej kwalifikacji.
Punktem wyjścia są art. 5 i załączniki do ustawy o krajowym systemie cyberbezpieczeństwa. Obejmują one między innymi określone rodzaje działalności w energetyce, transporcie, ochronie zdrowia, usługach cyfrowych i produkcji oraz wskazane podmioty publiczne. Sektory i podstawy klasyfikacji przedstawia również oficjalne zestawienie dotyczące podmiotów kluczowych i ważnych. Nie jest to lista, którą można zastąpić zasadą „każda firma powyżej 50 pracowników”.
Nie utożsamiaj też obowiązków dostawcy z bezpośrednim podleganiem ustawie. Klient objęty KSC może wymagać odpowiednich zabezpieczeń, szkoleń lub dowodów ich realizacji w ramach współpracy. Taki wymóg umowny nie przesądza jednak sam w sobie o statusie dostawcy jako podmiotu kluczowego lub ważnego. To rozróżnienie wynika z oddzielnego uregulowania zakresu NIS2 i bezpieczeństwa łańcucha dostaw w art. 21 dyrektywy.
W przypadku podmiotów publicznych oraz działalności objętej przepisami sektorowymi kwalifikację i zakres obowiązków warto potwierdzić z osobą odpowiedzialną za obsługę prawną. Dopiero na tej podstawie można ustalić, jakie wymagania ma wspierać program szkoleniowy.
Jakie obowiązki szkoleniowe wynikają z NIS2 i polskiej ustawy?
NIS2: kompetencje kierownictwa i cyberhigiena
Art. 20 dyrektywy NIS2 przewiduje regularne szkolenia członków organów zarządzających podmiotów kluczowych i ważnych. Mają one pomóc rozpoznawać ryzyko, oceniać zarządzanie nim i rozumieć wpływ zagrożeń na świadczone usługi. Z kolei art. 21 ust. 2 lit. g wymienia cyberhigienę i szkolenia jako elementy środków zarządzania ryzykiem. W Polsce konkretne obowiązki należy odczytywać przede wszystkim z przepisów wdrażających dyrektywę, czyli znowelizowanej ustawy o KSC.
KSC: coroczne szkolenie kierownika i dokumentacja udziału
Art. 8e ustawy o KSC wymaga szkolenia w każdym roku kalendarzowym od kierownika podmiotu kluczowego lub ważnego oraz osoby, której powierzono jego obowiązki dotyczące cyberbezpieczeństwa. Szkolenie ma dotyczyć wykonywania obowiązków wskazanych w tym przepisie, a udział musi być udokumentowany. Podstawę stanowi art. 8e ust. 1–3 ustawy o KSC.
Nie chodzi więc wyłącznie o poznanie definicji phishingu. Przy ustalaniu uczestników trzeba odnieść się do ustawowego pojęcia kierownika i struktury danego podmiotu. Samo przeszkolenie administratora IT nie zastępuje szkolenia osoby objętej tym obowiązkiem.
KSC: edukacja personelu
Edukacja pracowników nie jest dodatkiem, który można całkowicie pominąć po przeszkoleniu zarządu. Ministerstwo Cyfryzacji w odpowiedzi 3.8 dotyczącej szkoleń personelu wyjaśnia, że podmiot powinien edukować personel na bieżąco, uwzględniając zadania w systemie zarządzania bezpieczeństwem informacji, procedury i występujące zagrożenia. Nie oznacza to jednak identycznego, ustawowo ustalonego harmonogramu szkolenia dla każdego stanowiska.
Od kiedy trzeba realizować obowiązki?
Nowelizacja wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. Dla podmiotów spełniających kryteria już w tym dniu przewidziano zasadniczo czas do 3 kwietnia 2027 r. na realizację obowiązków z rozdziału 3, z uwzględnieniem przepisów szczególnych. Ministerstwo Cyfryzacji opisuje te terminy w komunikacie o obowiązkach podmiotów kluczowych i ważnych. Nie należy przenosić tej daty automatycznie na organizację, która spełniła kryteria później.
Termin wdrożenia obowiązków nie jest tym samym co częstotliwość późniejszych szkoleń. W planie trzeba uwzględnić zarówno pierwszy termin właściwy dla organizacji, jak i kolejne lata realizacji programu.
Program szkolenia: inne zadania zarządu, inne pracowników
Poniżej proponujemy podział programu według ról. To model organizacyjny, który należy dostosować do działalności i ryzyka danego podmiotu, a nie uniwersalna agenda narzucona wszystkim organizacjom przez ustawę.
Zarząd i kierownictwo: decyzje, zasoby i nadzór
Punktem wyjścia powinno być pytanie: jakie decyzje uczestnik ma podejmować po szkoleniu? Program warto oprzeć na ocenie ryzyka, podziale odpowiedzialności, nadzorze nad systemem zarządzania bezpieczeństwem informacji, czyli SZBI, finansowaniu zabezpieczeń oraz postępowaniu podczas incydentu.
Dobrym ćwiczeniem jest przegląd raportu dla zarządu. Czy dokument wskazuje, które usługi są zagrożone? Potwierdzenie czy opisuje skutki przestoju? Czy wiadomo, jakie działania są opóźnione, kto za nie odpowiada i jakie decyzje są potrzebne? Sama liczba wykrytych podatności niewiele mówi osobie, która ma ustalić priorytety inwestycji.
W agendzie nie warto pomijać mniej widowiskowych zadań: wpisu i aktualizacji danych w wykazie KSC, wyznaczenia kontaktów, weryfikacji personelu tam, gdzie jest wymagana, dokumentacji oraz obowiązków audytowych właściwych dla podmiotu. Przed zamówieniem szkolenia porównaj program z pełnym zakresem odesłań w art. 8e ust. 2, a nie tylko z jego marketingowym tytułem.
Taki kierunek ma szkolenie NIS2 i KSC dla zarządu oraz kadry kierowniczej StartCyber. Obejmuje odpowiedzialność, decyzje dotyczące bezpieczeństwa, incydentów i dostawców oraz dokumentowanie udziału. Zakres i materiały są dopasowywane do organizacji.
Pracownicy: rozpoznanie zagrożenia i właściwa reakcja
Dla pracowników zaproponuj sytuacje związane z ich codzienną pracą: wiadomość o zmianie numeru rachunku kontrahenta, prośbę o udostępnienie dokumentów, nieoczekiwane zatwierdzenie logowania albo telefon od osoby podszywającej się pod wsparcie IT. Tematy takie jak ochrona kont, wieloskładnikowe uwierzytelnianie, praca zdalna i bezpieczne udostępnianie danych powinny prowadzić do konkretnego zachowania.
Od pracownika zgłaszającego podejrzane zdarzenie nie oczekuj samodzielnej kwalifikacji prawnej incydentu. Zaprojektuj szkolenie tak, aby wiedział, kiedy zgłosić podejrzenie, jakiego kanału użyć i co przekazać. Weryfikację oraz zgłoszenia zewnętrzne pozostaw rolom wyznaczonym w procedurach organizacji.
Ten zakres rozwija szkolenie z phishingu i świadomości cyberbezpieczeństwa dla pracowników. Warto połączyć je z pokazaniem rzeczywistego procesu zgłaszania zdarzeń, zamiast kończyć na ogólnym zaleceniu „skontaktuj się z IT”.
IT, bezpieczeństwo i właściciele procesów: wykonanie procedur
Osobno zaplanuj rozwój kompetencji osób, które konfigurują systemy, nadają dostęp, zarządzają dostawcami lub odpowiadają za ciągłość działania. Dla administratora przydatne będzie ćwiczenie z obsługi podejrzanego konta. Dla zakupów: analiza obowiązków dostawcy. Natomiast,dla właściciela procesu: decyzja o pracy w trybie awaryjnym.
Nie próbuj zmieścić wszystkich tych zadań w jednym szkoleniu świadomościowym. Wspólny moduł może wyjaśniać zasady zgłaszania i odpowiedzialność, ale zadania specjalistyczne wymagają odrębnego zakresu.
Przykład ćwiczenia: incydent zaczyna się przed końcem pracy
Scenariusz szkoleniowy: w piątek o 15:40 pracownik otrzymuje wiadomość o pilnej zmianie rachunku do płatności. Otwiera załącznik, a następnie zauważa nietypowe zachowanie komputera. Osoba zwykle odpowiedzialna za IT jest nieobecna. Nie wiadomo jeszcze, czy doszło do naruszenia bezpieczeństwa.
Zespół pracowników ma wskazać właściwy kanał zgłoszenia i przygotować krótką informację: co zauważono, kiedy, na jakim urządzeniu i jakie działania już wykonano. Trener sprawdza, czy uczestnicy potrafią skorzystać z obowiązującej instrukcji, a nie tylko powtórzyć definicję incydentu.
Kierownictwo dostaje kolejne pytanie: kto podejmie decyzję o ograniczeniu dostępu do systemu, jeśli może to zatrzymać realizację zamówień? Zespół techniczny ustala sposób weryfikacji i zabezpieczenia informacji. Osoba odpowiedzialna za komunikację wskazuje, kogo poinformować i jak pracować, gdy poczta nie jest zaufanym kanałem.
Po ćwiczeniu zapisz konkretne ustalenia. Przykładowo: brak aktualnego kontaktu zastępczego, niejasny podział decyzji albo procedura, do której nie da się dostać bez działającego komputera. Każdemu zadaniu przypisz właściciela i termin. Przed kolejnym ćwiczeniem sprawdź, czy uzgodnione zmiany rzeczywiście wprowadzono.
Jak udokumentować szkolenie NIS2 i KSC?
Przepis wymaga udokumentowania udziału w szkoleniu kierownictwa. Nie należy utożsamiać tego z uzyskaniem certyfikatu zgodności całej organizacji z NIS2. Taki certyfikat uczestnictwa ma znacznie węższe znaczenie. W wyjaśnieniach Ministerstwa Cyfryzacji dotyczących dokumentacji podkreślono, że same dokumenty nie zastępują stosowanych w praktyce zabezpieczeń i procedur.
Na potrzeby wewnętrznego nadzoru proponujemy przechowywać poniższy zestaw. To rekomendowany pakiet dowodów, a nie ustawowy wzór dokumentacji wymagany w identycznej postaci od każdej organizacji.
| Element dokumentacji | Co warto zapisać |
|---|---|
| Program szkolenia | Tematy, cele, grupę odbiorców i powiązanie z obowiązkami oraz procedurami organizacji. |
| Informacje o realizacji | Datę, czas trwania, formę, prowadzącego i wersję wykorzystanych materiałów. |
| Potwierdzenie uczestnictwa | Imienną listę obecności lub wiarygodny zapis udziału online, z możliwością ustalenia roli uczestnika. |
| Ocena efektów | Wnioski z ćwiczenia, rozmowy sprawdzającej lub testu, zależnie od przyjętej metody. |
| Dalsze działania | Braki do uzupełnienia, osoby odpowiedzialne, terminy oraz potwierdzenie wykonania uzgodnionych zadań. |
Oddziel potwierdzenie obecności od oceny umiejętności. Lista uczestników odpowiada na pytanie, kto brał udział. Wynik ćwiczenia pomaga ocenić, czy dana osoba potrafi wykonać zadanie. Sam fakt wysłania zaproszenia lub prezentacji nie pozwala sprawdzić ani jednego, ani drugiego.
Ustal również, kto przechowuje dokumentację i kto ma do niej dostęp. Korzystaj ze służbowego repozytorium, a nie prywatnej skrzynki organizatora. Zakres danych i okres przechowywania uzgodnij z osobami odpowiedzialnymi za dokumentację i ochronę danych w organizacji.
Jak często szkolić i jak sprawdzać efekty?
Obowiązek dotyczący kierownictwa trzeba uwzględnić w rocznym kalendarzu. Dla pozostałego personelu warto połączyć wprowadzenie do zasad bezpieczeństwa przy rozpoczęciu pracy, okresowe przypomnienia oraz dodatkową edukację po zmianie narzędzi, obowiązków lub procedur.
Przykładowo, wdrożenie nowego sposobu zatwierdzania logowania jest dobrym momentem na krótkie ćwiczenie dotyczące nieoczekiwanych próśb o autoryzację. Po zmianie procesu płatności przećwicz weryfikację prośby o zmianę rachunku. Nie czekaj z takim tematem wyłącznie na termin kolejnej dużej prezentacji.
Ocenę programu oprzyj na kilku pytaniach: jaka część właściwej grupy ukończyła szkolenie, kto potrzebuje uzupełnienia, czy uczestnicy potrafią zgłosić zdarzenie i czy wykonano działania ustalone podczas ćwiczeń. Jeżeli korzystasz z symulacji phishingu, nie oceniaj całości programu jedynie na podstawie liczby kliknięć. Uwzględnij również zgłoszenia i warunki, w których przeprowadzono próbę.
Są to proponowane mierniki zarządcze. Nie stanowią ustawowych progów zaliczenia. Ustal je tak, aby pomagały poprawić proces, a nie służyły publicznemu porównywaniu lub zawstydzaniu pracowników.
Co sprawdzić przed zamówieniem szkolenia?
Zamiast zaczynać od pytania o liczbę slajdów, poproś organizatora o odpowiedź na cztery kwestie:
- Zakres: jak program odpowiada obowiązkom właściwym dla naszej organizacji i ról uczestników?
- Praktyka: jakie decyzje lub działania przećwiczymy i czy użyjemy naszych procedur?
- Prowadzący: jakie ma doświadczenie w tematach, których dotyczy szkolenie?
- Dokumentacja: jak zostanie potwierdzony udział, jakie materiały otrzymamy i co zrobimy z wykrytymi brakami?
Ustal też zasady uzupełniania nieobecności i zakres personalizacji. Krótki briefing dla osób znających już temat może mieć inny cel niż pierwsze szkolenie całego kierownictwa. Porównuj oferty o podobnym zakresie, a nie wyłącznie cenę za godzinę.
Gdy szkolenie jest częścią szerszego porządkowania bezpieczeństwa, pomocny będzie również nasz przewodnik, jak zabezpieczyć firmę lub instytucję. Pokazuje, jak połączyć edukację z odpowiedzialnością, oceną ryzyka, procedurami i zabezpieczeniami technicznymi.
Szkolenia NIS2 i KSC: odpowiedzi na częste pytania
Czy szkolenie musi mieć określoną liczbę godzin?
Art. 8e KSC nie ustanawia jednej minimalnej liczby godzin dla wszystkich organizacji. Określa natomiast uczestników, częstotliwość, zakres obowiązków objętych szkoleniem i dokumentowanie udziału. Dlatego czasu trwania nie należy traktować jako samodzielnego dowodu spełnienia wymagań. Punktem odniesienia pozostaje treść art. 8e oraz wymagania właściwe dla danego podmiotu.
Czy szkolenie NIS2 i KSC może odbyć się online?
Sam art. 8e nie narzuca formy stacjonarnej. Przy szkoleniu online zaplanuj sposób identyfikacji uczestników, potwierdzenia udziału i realizacji programu. Dostęp do nagrania nie powinien być mylony z potwierdzeniem jego ukończenia. Sprawdź także ewentualne dodatkowe wymagania dotyczące organizacji lub zamówienia.
Czy wszyscy pracownicy muszą przechodzić ten sam kurs co zarząd?
Nie należy projektować identycznego programu tylko po to, aby uprościć organizację szkolenia. Kierownictwo potrzebuje przygotowania do nadzoru i wykonywania swoich obowiązków. Pracownicy potrzebują wiedzy dopasowanej do zadań i procedur. Część treści może być wspólna, ale cele i ćwiczenia powinny odpowiadać rolom.
Czy ukończenie szkolenia oznacza zgodność z NIS2?
Nie. Szkolenie wspiera realizację części obowiązków, ale nie zastępuje zarządzania ryzykiem, wdrożenia zabezpieczeń, obsługi incydentów i nadzoru. Wymagania obejmują znacznie szerszy zakres, wskazany między innymi w art. 21 NIS2. Dokument uczestnictwa nie potwierdza spełnienia wszystkich tych obowiązków przez organizację.
Jak StartCyber wspiera firmy i instytucje?
W StartCyber prowadzimy szkolenia z cyberbezpieczeństwa dla firm i instytucji online oraz stacjonarnie. Zakres dopasowujemy do sektora, ról uczestników, wykorzystywanych narzędzi i sposobu zgłaszania zdarzeń w organizacji.
Przed realizacją ustalamy cel i agendę. W zależności od uzgodnionego programu materiały końcowe mogą obejmować dokumentację udziału, materiały dla uczestników, wstępną mapę odpowiedzialności, rekomendacje i plan dalszych działań. Ich zakres określamy w ofercie.
Przygotowujesz szkolenia dla swojej organizacji? W zapytaniu podaj branżę lub rodzaj instytucji, role i orientacyjną liczbę uczestników, preferowaną formę oraz termin. Dodaj, czy celem jest przygotowanie kierownictwa do obowiązków KSC, edukacja pracowników, czy szerszy program rozwoju kompetencji.
Poproś o program i wycenę szkolenia dla swojej firmy lub instytucji. Nie musisz mieć gotowej agendy.
Artykuł ma charakter edukacyjny i nie zastępuje analizy prawnej obowiązków konkretnej organizacji. Podane propozycje programu, ćwiczeń i dokumentacji należy dostosować do właściwych przepisów, ryzyka i wewnętrznych zasad.
