Szkolenia z cyberbezpieczeństwa dla samorządu: jak szkolić urząd i jednostki

Szkolenia z cyberbezpieczeństwa dla samorządu to po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązek, a nie dodatek do grantu. Urząd gminy, starostwo i wiele jednostek podległych muszą zapewnić edukację całego personelu, a wójt, burmistrz lub starosta przechodzi szkolenie raz w roku. Ten tekst jest dla informatyka, sekretarza i inspektora, którzy muszą z tego zrobić działający, udokumentowany proces: od ustalenia, kogo szkolić, przez organizację szkoleń w urzędzie i jednostkach podległych, po dokumentację, którą pokażesz audytorowi.

1 raz

w roku kalendarzowym szkolenie kierownika jednostki i osoby, której powierzył obowiązki

Art. 8e ust. 1 ustawy o KSC, Dz.U. 2026 poz. 252

100%

wynagrodzenia: górna granica kary dla kierownika podmiotu publicznego

Art. 73a ust. 5 ustawy o KSC

15

zgłoszonych ataków ransomware w samorządach w 2025 r. (z 30 w podmiotach publicznych)

CERT Polska, Raport roczny 2025

Szkolenia a program Cyberbezpieczny Samorząd

Jednym z obszarów programu grantowego Cyberbezpieczny Samorząd było podniesienie kompetencji personelu JST, więc część urzędów rozpoczęła szkolenia w ramach grantu. Według komunikatu CPPC z 16.06.2026 r. termin realizacji projektów i kwalifikowalności wydatków minął 30.09.2026 r., a efekty trzeba utrzymać przez dwa lata. Strategia Cyberbezpieczeństwa RP (M.P. 2026 poz. 309) zapowiada kontynuację programu, ale zasad i terminów nowej edycji nie ogłoszono. Obowiązki z ustawy o KSC nie zależą od grantu, więc szkolenie nowych pracowników i coroczne szkolenie kierownika trzeba zaplanować niezależnie od niego. Stan programu, rozliczenie i otwarte nabory opisujemy na stronie Cyberbezpieczny Samorząd w serwisie ZeroLayer.

Jakie obowiązki ma JST po nowelizacji ustawy o KSC

Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) weszła w życie 3 kwietnia 2026 r. i przenosi do polskiego prawa dyrektywę NIS 2. Samorząd znalazł się w niej w osobnym sektorze „podmioty publiczne”. Pełny katalog podmiotów i sektorów omawiamy w artykule NIS2 i ustawa o KSC: kogo dotyczy, a specyfikę jednostek publicznych na stronie ustawa o KSC w podmiocie publicznym.

Kto jest podmiotem kluczowym, a kto ważnym

W załączniku nr 1 (podmioty kluczowe) w sektorze podmiotów publicznych wymieniono m.in.:

• w samorządzie województwa: jednostki budżetowe i zakłady budżetowe, z wyłączeniem m.in. jednostek oświatowych, jednostek pieczy zastępczej, większości jednostek pomocy społecznej i wojewódzkich urzędów pracy,
• w samorządzie powiatu: starostwo powiatowe,
• w samorządzie gminy: urząd gminy, jeżeli 1 stycznia danego roku zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty.

Załącznik nr 2 (podmioty ważne) obejmuje w tym sektorze samorządowe jednostki budżetowe, samorządowe zakłady budżetowe, samorządowe instytucje kultury oraz spółki wykonujące zadania o charakterze użyteczności publicznej. Ustawa dodaje warunek, że taki podmiot realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych. To dlatego szkoła, ośrodek pomocy społecznej czy zakład gospodarki komunalnej mogą mieć własne obowiązki. Status każdej jednostki trzeba ustalić osobno, na podstawie jej formy prawnej i zatrudnienia. Wstępnie sprawdzisz to w teście „Czy moja organizacja podlega KSC?”, w którym są osobne odpowiedzi dla starostwa, urzędu gminy i jednostek podległych.

Obowiązki związane z ludźmi

Kilka przepisów dotyczy wprost pracowników i kierownictwa:

• art. 8 ust. 1 pkt 2 lit. i i j: system zarządzania bezpieczeństwem informacji ma obejmować edukację z zakresu cyberbezpieczeństwa dla personelu i podstawowe zasady cyberhigieny,
• załącznik nr 4 (SZBI podmiotu ważnego będącego podmiotem publicznym): szkolenie osób przetwarzających informacje, ze szczególnym uwzględnieniem rodzajów cyberzagrożeń, zasad cyberhigieny, reagowania na incydent i świadomości skutków naruszenia zasad bezpieczeństwa,
• art. 8d pkt 4: kierownik zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje,
• art. 8e: kierownik i osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym, a udział jest udokumentowany.

Terminy i kary

Podmioty, które w dniu wejścia ustawy w życie spełniały przesłanki uznania za kluczowe lub ważne, mają 12 miesięcy na realizację obowiązków z rozdziału 3, czyli do kwietnia 2027 r. (art. 33 ustawy nowelizującej). Pierwszy audyt podmiot kluczowy przeprowadza w ciągu 24 miesięcy.

Za niewykonanie obowiązków, w tym z art. 8, 8d i 8e, karze pieniężnej może podlegać kierownik podmiotu. Dla kierownika podmiotu publicznego górna granica to 100% wynagrodzenia liczonego jak ekwiwalent za urlop (art. 73a ust. 5). Jeśli podmiot publiczny podlega ustawie także z tytułu innego sektora, stosuje się wyższy limit 300%. Kary z art. 73 i 73a można nałożyć po raz pierwszy po upływie dwóch lat od wejścia ustawy w życie (art. 35).

Szerzej o samych przepisach piszemy w tekście szkolenie NIS2 i KSC.

Jak zorganizować szkolenia z cyberbezpieczeństwa dla samorządu: krok po kroku

Plan zakłada urząd gminy lub starostwo z kilkoma jednostkami podległymi. W mniejszej gminie część kroków zajmie godzinę.

Krok 1. Ustal, kogo dotyczy obowiązek

Zrób listę: urząd, jednostki budżetowe, zakłady, instytucje kultury, spółki komunalne. Przy każdej zapisz formę prawną, liczbę etatów i to, czy realizuje zadania publiczne z użyciem systemów informacyjnych. Ustawa pozwala JST zapewnić wspólną obsługę realizacji obowiązków z cyberbezpieczeństwa albo zawrzeć porozumienie z inną JST (art. 16e ust. 5 i 6). Jeżeli tak zrobicie, jedna jednostka może prowadzić szkolenia dla wszystkich, co upraszcza zakupy i raportowanie.

Krok 2. Podziel pracowników na grupy

Jedno szkolenie dla wszystkich rzadko działa. Praktyczny podział wygląda tak:

Krok 3. Dobierz tematy do ryzyk urzędu

Punktem wyjścia jest lista z załącznika nr 4: rodzaje zagrożeń, cyberhigiena, reagowanie na incydent, skutki naruszeń. Do tego dochodzą tematy specyficzne dla samorządu: fałszywe faktury i zmiana numeru rachunku wykonawcy, podszywanie się pod ePUAP lub inne instytucje, przekazywanie danych mieszkańców, praca zdalna. Ransomware nie jest teorią: CERT Polska odnotował w 2025 r. 179 ataków ransomware, z czego 30 zgłosiły podmioty publiczne, a połowa z nich dotyczyła administracji samorządowej. Dobry punkt startowy dla pracowników bez przygotowania technicznego opisujemy w tekście o cyberhigienie w firmie.

Krok 4. Wybierz formę, która dotrze do każdego

Pracownik OPS, który większość dnia spędza u podopiecznych, nie przyjdzie na trzygodzinny wykład. Tu lepiej sprawdzają się mikrolekcje po kilka minut, quizy i dostęp z telefonu. Szkolenie stacjonarne warto zostawić dla kierownictwa i ćwiczeń z obsługi incydentu, gdzie liczy się rozmowa.

Krok 5. Sprawdź zachowania, nie tylko wiedzę

Test wiedzy pokazuje, że ktoś przeczytał materiał. Symulacja phishingu pokazuje, co zrobi, gdy wiadomość przyjdzie w zwykły wtorek o 14:00. Kampanie warto powtarzać kilka razy w roku, z różnym poziomem trudności. O tym, jak przygotować takie testy w organizacji, piszemy na stronie testów phishingowych. Przed pierwszą kampanią poinformuj pracowników, że testy będą prowadzone, i ustal z inspektorem ochrony danych, jakie dane są zbierane.

Krok 6. Włącz szkolenie do onboardingu i cyklu rocznego

Nowy pracownik powinien przejść podstawowy moduł, zanim dostanie pełne uprawnienia do systemów. Raz w roku przypomnienie dla wszystkich, coroczne szkolenie dla kierownika i osoby odpowiedzialnej, a po poważniejszym incydencie lub zmianie procedur krótka aktualizacja. Kalendarz zapisz w polityce SZBI, żeby nie zależał od jednej osoby.

Jak udokumentować szkolenia na potrzeby audytu i kontroli

Art. 8e mówi wprost, że udział w szkoleniu kierownika ma być udokumentowany. Przy szkoleniach dla personelu dokumentacja jest równie potrzebna, bo audytor sprawdzi, czy edukacja z art. 8 i załącznika nr 4 faktycznie działa. Przygotuj teczkę, w której znajdą się:

1. zatwierdzony plan szkoleń na rok, z grupami docelowymi i tematami,
2. imienne listy uczestników z datami ukończenia modułów,
3. wyniki testów wiedzy i certyfikaty ukończenia,
4. raporty z kampanii phishingowych (odsetek otwarć, kliknięć i zgłoszeń, bez publicznego wskazywania osób),
5. potwierdzenie corocznego szkolenia kierownika i osoby odpowiedzialnej, z zakresem tematów odpowiadającym art. 8e ust. 2,
6. zapis zapoznania się pracowników z wewnętrznymi regulacjami (art. 8d pkt 4).

Jeżeli platforma sama generuje i eksportuje te raporty, przygotowanie do audytu jest dużo krótsze. Jak taki eksport wygląda, pokazuje przykładowy raport ze szkoleń, a listę dowodów z odwołaniami do przepisów zawiera checklista NIS2/KSC.

Co pokazać audytorowi

Sama teczka nie wystarczy, jeśli nie widać z niej, że szkolenia obejmują wszystkich i odpowiadają na wymagania ustawy. Przy kontroli przydaje się krótkie zestawienie, które łączy dokumenty w całość:

• który moduł pokrywa które wymagania: w podmiocie ważnym będącym podmiotem publicznym tematy z pkt I.17 załącznika nr 4 (cyberzagrożenia, cyberhigiena, reagowanie na incydent, skutki naruszeń), w podmiocie kluczowym edukację i cyberhigienę z art. 8 ust. 1 pkt 2 lit. i oraz j,
• jaki odsetek pracowników urzędu i każdej jednostki podległej ukończył szkolenie w danym roku,
• jak nowi pracownicy przechodzą szkolenie przed nadaniem pełnych uprawnień,
• co zmieniło się w programie po incydencie, zmianie procedur lub wynikach symulacji phishingu.

Zestawienie przygotowuje zwykle osoba odpowiedzialna za cyberbezpieczeństwo. Warto, żeby zatwierdził je kierownik jednostki, bo to on odpowiada za wykonanie obowiązków (art. 8c).

Gdzie w tym miejsce na Akademię ZeroLayer

Akademia ZeroLayer to zdalna platforma szkoleń z cyberbezpieczeństwa: mikrolekcje wideo, quizy, gry, symulacje phishingu, certyfikaty i panel dyrektora z raportami ze szkoleń. Szkolenia tego typu mogą być elementem projektów samorządowych, a to, czy wydatek jest kwalifikowalny w danym programie, każdorazowo rozstrzyga jego regulamin. Wdrożenia bezpieczeństwa w jednostkach publicznych opisuje strona ZeroLayer dla samorządów. Dostępne warianty opisujemy w sekcji Warianty, a zakres szkoleń dla urzędu i jednostek podległych omówimy na bezpłatnym demo.

Najczęściej zadawane pytania

Czy szkolenia dla urzędu trzeba finansować z grantu Cyberbezpieczny Samorząd?

Nie. Obowiązek edukacji personelu i corocznego szkolenia kierownika wynika z ustawy o KSC, a nie z umowy grantowej. Termin realizacji projektów w programie minął 30.09.2026 r., a Strategia Cyberbezpieczeństwa RP z marca 2026 r. zapowiada jego kontynuację bez ogłoszonych jeszcze zasad i terminów. Szkolenia trzeba więc zaplanować w budżecie jednostki niezależnie od grantu.

Czy każdy urząd gminy jest podmiotem kluczowym?

Nie. Załącznik nr 1 do ustawy o KSC wymienia urząd gminy, jeżeli 1 stycznia danego roku zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty. Starostwo powiatowe jest wymienione bez progu. Mniejszy urząd i jednostki podległe mogą być podmiotami ważnymi, jeżeli spełniają warunki z ustawy.

Kogo trzeba szkolić raz w roku?

Art. 8e wymaga corocznego szkolenia kierownika podmiotu oraz osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, z udokumentowanym udziałem. Dla pozostałych pracowników ustawa wymaga edukacji i szkoleń w ramach SZBI, bez wskazania częstotliwości. Cykl roczny jest rozsądną praktyką.

Jaka kara grozi kierownikowi jednostki?

Dla kierownika podmiotu kluczowego lub ważnego będącego podmiotem publicznym kara z art. 73a może wynieść do 100% wynagrodzenia liczonego jak ekwiwalent za urlop. Kary można nakładać po upływie dwóch lat od wejścia nowelizacji w życie, czyli nie wcześniej niż od kwietnia 2028 r.

Źródła

• Informacja o zmianach w dokumentacji konkursowej „Cyberbezpieczny Samorząd” — Centrum Projektów Polska Cyfrowa, 16.06.2026
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw, ogłoszona 02.03.2026
• Tekst ustawy Dz.U. 2026 poz. 252 (PDF) — Kancelaria Sejmu, ISAP, 2026
• Raport roczny 2025 z działalności CERT Polska — CERT Polska / NASK PIB, 2026
• Uchwała nr 92 Rady Ministrów z dnia 10 marca 2026 r. w sprawie Strategii Cyberbezpieczeństwa Rzeczypospolitej Polskiej (M.P. 2026 poz. 309) — Monitor Polski, 23.03.2026