Szkolenie NIS2 i KSC: kogo, jak często i jak dokumentować

Szkolenie NIS2 w polskiej ustawie o krajowym systemie cyberbezpieczeństwa to dwa osobne obowiązki: coroczne, udokumentowane szkolenie kierownika podmiotu (art. 8e) i edukacja całego personelu z cyberbezpieczeństwa i cyberhigieny (art. 8 ust. 1 pkt 2 lit. i oraz j). Większość ofert, które pojawiają się po wpisaniu „szkolenie NIS2”, to jedno- lub dwudniowe kursy prawne dla zarządu. Są potrzebne, ale odpowiadają tylko na połowę pytania. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC) mówi o szkoleniu kierownika podmiotu i osobno o edukacji całego personelu. W tym artykule rozkładamy oba obowiązki na konkretne przepisy: kogo trzeba przeszkolić, jak często, w jakim zakresie i co pokazać audytorowi.

Co ustawa o KSC mówi o szkoleniach

Nowelizacja z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252) wdraża do polskiego prawa dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r. Szkolenia pojawiają się w niej na dwóch poziomach, które łatwo pomylić. Oba dotyczą podmiotów kluczowych i ważnych. Jeśli nie wiesz, czy Twoja organizacja do nich należy, zacznij od testu „Czy moja organizacja podlega KSC?”. Sektory, progi wielkości i pełny katalog obowiązków omawia artykuł NIS2 i ustawa o KSC: kogo dotyczy.

Pierwszy poziom to cała organizacja. Art. 8 ust. 1 wymienia elementy systemu zarządzania bezpieczeństwem informacji, który wdraża podmiot kluczowy lub ważny. W pkt 2 lit. i ustawa wskazuje „edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu”, a w lit. j „podstawowe zasady cyberhigieny”. Do tego art. 8d pkt 4 nakłada na kierownika obowiązek zapewnienia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie.

Drugi poziom to kierownictwo. Art. 8e wprowadza coroczne szkolenie kierownika podmiotu i osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa.

Oba poziomy mają oparcie w dyrektywie. Art. 20 ust. 2 NIS2 zobowiązuje państwa członkowskie do wymagania szkoleń od członków organów zarządzających i do zachęcania podmiotów, by regularnie oferowały podobne szkolenia pracownikom. Art. 21 ust. 2 lit. g wśród środków zarządzania ryzykiem wymienia podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa.

1 raz

w roku kalendarzowym szkolenie kierownika podmiotu i osoby, której powierzył obowiązki

Art. 8e ust. 1 ustawy o KSC, Dz.U. 2026 poz. 252

300%

wynagrodzenia: górna granica kary dla kierownika podmiotu kluczowego lub ważnego

Art. 73a ust. 4 ustawy o KSC

100%

wynagrodzenia: górna granica kary dla kierownika podmiotu publicznego

Art. 73a ust. 5 ustawy o KSC

3.04.2027

termin wdrożenia obowiązków z rozdziału 3 dla podmiotów objętych ustawą od jej wejścia w życie

Art. 33 ust. 1 ustawy z 23.01.2026

Szkolenie zarządu: art. 8e w praktyce

Art. 8e ma trzy ustępy i każdy rozstrzyga inną kwestię: kto, z czego i jak to udowodnić.

Kogo obejmuje obowiązek

Szkolenie przechodzi kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Warto czytać ten przepis razem z art. 8c. Kierownik odpowiada za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, także gdy powierzył je innej osobie za jej zgodą. Jeżeli kierownikiem jest organ wieloosobowy, na przykład zarząd spółki, i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy członkowie tego organu.

Z tego wynika praktyczna wskazówka. Jeśli zarząd nie wyznaczył uchwałą jednej osoby odpowiedzialnej za cyberbezpieczeństwo, bezpieczniej założyć, że szkolenie powinni przejść wszyscy jego członkowie. Wyznaczenie osoby nie zdejmuje odpowiedzialności z kierownika, więc delegowanie tematu do działu IT nie zwalnia prezesa z udziału w szkoleniu.

Jaki zakres ma mieć szkolenie

Art. 8e ust. 2 nie mówi ogólnie o „cyberbezpieczeństwie”. Wylicza przepisy, których wykonywania dotyczy szkolenie: art. 7b ust. 4, 7c, 7f ust. 3, 8, 8d, 8f ust. 1 i 2, 9–12b, 14 i 15. W uproszczeniu chodzi o system zarządzania bezpieczeństwem informacji i szacowanie ryzyka, obowiązki samego kierownika, obsługę i zgłaszanie incydentów, dokumentację oraz audyt.

To szkolenie z zarządzania, a nie z rozpoznawania phishingu. Kierownik ma rozumieć, jakie decyzje podejmuje, jakie środki finansowe planuje i jak nadzoruje wykonanie zadań (art. 8d pkt 1–3). Dobrze, jeśli program szkolenia wprost odwołuje się do tych przepisów. Wtedy przy kontroli łatwo wykazać, że zakres pokrywa się z ustawą.

Jak dokumentować udział

Art. 8e ust. 3 brzmi krótko: „Udział w szkoleniu jest udokumentowany”. Ustawa nie określa formy. W praktyce dokument powinien pozwolić odpowiedzieć na cztery pytania: kto uczestniczył, kiedy, w jakim zakresie i czy szkolenie zakończył. Imienne zaświadczenie z datą i programem, lista obecności lub raport z platformy e-learningowej z wynikiem testu końcowego spełniają ten cel. Dwa wymagania warto mieć w kalendarzu: rok kalendarzowy, a nie 12 miesięcy od poprzedniego szkolenia, oraz osobny dowód dla każdej osoby.

Szkolenie wszystkich pracowników: co znaczy „edukacja personelu”

Tu leży luka, którą widać w ofertach rynkowych. Obowiązek z art. 8 ust. 1 pkt 2 lit. i oraz j dotyczy całego personelu: księgowości, kadr, obsługi klienta, pracowników produkcji z dostępem do systemów. Ustawa nie podaje dla nich częstotliwości ani liczby godzin. Wymaga, by środki były „odpowiednie i proporcjonalne do oszacowanego ryzyka”, co oznacza, że podmiot sam dobiera formę i rytm szkoleń i musi umieć to uzasadnić.

Art. 8d pkt 4 dokłada dwa konkretne wymagania. Personel ma być świadomy obowiązków i ma znać wewnętrzne regulacje. Samo przeszkolenie z ogólnej cyberhigieny nie wystarczy, jeśli pracownicy nie wiedzą, jak w ich firmie zgłasza się incydent albo jakie zasady obowiązują przy pracy zdalnej. Program dla pracowników powinien więc łączyć wiedzę ogólną z lokalnymi procedurami i potwierdzeniem, że pracownik się z nimi zapoznał.

O tym, jak wygląda codzienna cyberhigiena w organizacji, piszemy szerzej w artykule Cyberhigiena w firmie.

Podmioty publiczne mają gotową listę tematów

Ciekawy szczegół, który rzadko pojawia się w omówieniach. Podmiot ważny będący podmiotem publicznym, na przykład wiele jednostek samorządu, nie stosuje art. 8 ust. 1, tylko wdraża system spełniający wymogi z załącznika nr 4 do ustawy (art. 8 ust. 3). Ten załącznik w pkt I.17 wprost wymaga szkolenia osób zaangażowanych w przetwarzanie informacji, ze szczególnym uwzględnieniem:

• rodzajów cyberzagrożeń,
• podstawowych zasad cyberhigieny,
• reagowania na wystąpienie incydentu,
• świadomości skutków naruszenia zasad bezpieczeństwa informacji.

Pkt I.14 dodaje stosowanie zasad cyberhigieny przez pracowników, w tym kierownika podmiotu. Część II, czyli elementy, które system „może dodatkowo obejmować”, przewiduje w pkt 6 testowanie zasad cyberhigieny przez pracowników. Dla urzędu to gotowy szkielet programu szkoleń. Plan szkoleń dla urzędu i jednostek podległych opisujemy w tekście szkolenia z cyberbezpieczeństwa dla samorządu.

Jak często szkolić zarząd, IT i pracowników

Ustawa podaje częstotliwość tylko dla kierownika. Dla reszty organizacji decyduje analiza ryzyka. Poniższa tabela zestawia to, co wynika z przepisów, z praktyką, którą rekomendujemy.

Dlaczego nie raz w roku dla wszystkich? Jednorazowe szkolenie łatwo odhaczyć, ale wiedza z niego szybko się rozmywa, a oszuści zmieniają scenariusze częściej niż raz na rok. Krótsze, regularne moduły lepiej się bronią także przed audytorem, bo pokazują, że edukacja jest procesem, a nie jednorazowym wydarzeniem. Pomiar przez testy phishingowe daje z kolei dane, czy szkolenia zmieniają zachowanie.

Jakie dowody przygotować na audyt i kontrolę

Podmioty kluczowe przeprowadzają pierwszy audyt bezpieczeństwa systemu informacyjnego w ciągu 24 miesięcy od wejścia w życie nowelizacji (art. 33 ust. 2 ustawy zmieniającej), czyli do 3 kwietnia 2028 r. Audytor i organ nadzoru będą pytać o szkolenia w kategoriach dowodów, nie deklaracji. Warto zbudować teczkę, która zawiera:

1. Politykę lub procedurę szkoleń. Kto jest szkolony, z czego, jak często i na jakiej podstawie (odwołanie do analizy ryzyka).
2. Program szkoleń z mapowaniem na przepisy. Dla zarządu odwołanie do art. 8e ust. 2, dla pracowników do art. 8 ust. 1 pkt 2 lit. i, j, a w podmiotach publicznych do załącznika nr 4.
3. Imienne potwierdzenia udziału. Data, zakres, wynik testu, status ukończenia. Osobno dla kierownika, żeby spełnić art. 8e ust. 3.
4. Potwierdzenia zapoznania się z regulacjami wewnętrznymi. To odpowiada na art. 8d pkt 4.
5. Rejestr nowych pracowników i ich onboardingu. Pokazuje, że nikt nie pracuje w systemach bez przeszkolenia.
6. Wyniki pomiarów. Na przykład odsetek zgłoszeń podejrzanych wiadomości w kolejnych kampaniach symulacji.
7. Historię zmian programu. Co zaktualizowano po incydencie, zmianie przepisów lub wynikach testów.

Tę listę, z odwołaniami do przepisów, można też pobrać jako checklistę NIS2/KSC.

Akademia ZeroLayer generuje te zestawienia z panelu dyrektora: postęp w podziale na działy, imienne certyfikaty i osobny raport z rocznego szkolenia kierownika. Szczegóły opisujemy w sekcji Zgodność. Akademia dostarcza dokumentację szkoleń, ale ocena zgodności całej organizacji należy do audytora i obejmuje wiele innych obszarów.

Terminy: do kiedy trzeba zdążyć

Harmonogram wynika z przepisów przejściowych ustawy zmieniającej. Dotyczy podmiotów, które spełniały przesłanki podmiotu kluczowego lub ważnego w dniu wejścia w życie nowelizacji.

Okres przejściowy nie oznacza, że szkolenia można odłożyć. Obowiązek z art. 8e liczy się w latach kalendarzowych, a pierwsze szkolenie kierownika najpóźniej w 2027 r. daje już dowód do pierwszego audytu. Z kolei art. 73a ust. 1 pkt 2 i 3 pozwala ukarać kierownika także za niewykonanie obowiązków z art. 8 i 8d, czyli za brak edukacji personelu, a nie tylko za brak własnego szkolenia.

Jak wybrać szkolenie NIS2: pytania do dostawcy

Oferty szkoleń NIS2 różnią się formą (warsztat stacjonarny, webinar, e-learning), czasem trwania i odbiorcą. Ustawa nie narzuca formy, więc o wyborze powinno decydować to, czy szkolenie pozwoli wykonać i wykazać konkretne obowiązki. Firma kupująca szkolenie może przed zakupem zadać dostawcy kilka pytań:

1. Czy program szkolenia zarządu odwołuje się do przepisów z art. 8e ust. 2? Chodzi o system zarządzania bezpieczeństwem informacji, obowiązki kierownika, incydenty, dokumentację i audyt, a nie o ogólny przegląd dyrektywy.
2. Jaki dowód udziału dostanę? Imienny, z datą, zakresem i wynikiem, osobno dla każdego członka zarządu (art. 8e ust. 3).
3. Czy szkolenie obejmuje cały personel, czy tylko kierownictwo? Kurs dla zarządu nie wypełnia obowiązku edukacji pracowników z art. 8 ust. 1 pkt 2 lit. i oraz j.
4. Czy da się dodać nasze procedury? Art. 8d pkt 4 wymaga, żeby personel znał wewnętrzne regulacje podmiotu, np. sposób zgłaszania incydentu.
5. Jak szkolenie mierzy zmianę zachowań? Test wiedzy pokazuje, co pracownik zapamiętał. Symulacja phishingu pokazuje, co zrobi.
6. Kto aktualizuje treści po zmianach przepisów? Nowelizacja jest badana przez Trybunał Konstytucyjny, a rozporządzenia wykonawcze mogą doprecyzować wymagania.

Jeśli porównujesz oferty, dostępne warianty znajdziesz w sekcji Warianty.

Szkolenie dla zarządu a szkolenie dla pracowników: jak to połączyć

Najprostszy model, który polecamy, ma trzy elementy działające w jednym systemie. Zarząd przechodzi coroczne szkolenie z obowiązków ustawowych i dostaje krótkie podsumowania wyników całej organizacji. Pracownicy uczą się w krótkich formach rozłożonych na cały rok, od onboardingu po powtórki. Dział IT lub osoba odpowiedzialna za cyberbezpieczeństwo ma jeden panel, z którego eksportuje dowody i widzi, gdzie zespół popełnia najwięcej błędów.

W Akademii ZeroLayer, czyli szkoleniu z cyberbezpieczeństwa dla pracowników, zespół uczy się przez gry, quizy, mikrolekcje wideo i symulacje phishingu oparte na atakach, które widzimy na co dzień w naszej pracy. Tak to wygląda krok po kroku: jak działa Akademia. Jeśli chcesz najpierw sprawdzić poziom wiedzy w zespole, zacznij od krótkiego quizu.

Najczęściej zadawane pytania

Czy szkolenie z cyberbezpieczeństwa dla pracowników jest obowiązkowe według ustawy o KSC?

Dla podmiotów kluczowych i ważnych tak, choć ustawa nie używa słowa „szkolenie” w odniesieniu do całego personelu. Art. 8 ust. 1 pkt 2 lit. i i j wymaga edukacji z cyberbezpieczeństwa dla personelu i podstawowych zasad cyberhigieny jako części systemu zarządzania bezpieczeństwem informacji. W podmiotach publicznych załącznik nr 4 mówi wprost o szkoleniu i wskazuje jego tematy.

Jak często zarząd musi przechodzić szkolenie NIS2?

Kierownik podmiotu i osoba, której powierzył obowiązki w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym (art. 8e ust. 1). Gdy kierownikiem jest wieloosobowy zarząd bez wskazanej osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie, więc warto przeszkolić cały zarząd.

Czy szkolenie online spełnia wymogi art. 8e?

Ustawa nie określa formy szkolenia, tylko jego częstotliwość, zakres i obowiązek dokumentowania. Szkolenie online może je spełnić, jeśli program obejmuje przepisy wymienione w art. 8e ust. 2, a platforma zapisuje imienny dowód udziału z datą i wynikiem.

Jaka kara grozi za brak szkoleń?

Kierownikowi, który nie wykonuje obowiązku z art. 8e albo obowiązków z art. 8 lub 8d, można wymierzyć karę do 300% wynagrodzenia, liczonego jak ekwiwalent za urlop. W podmiotach publicznych górna granica wynosi 100%. Kary te można nakładać po raz pierwszy od 3 kwietnia 2028 r.

Kogo dotyczą te obowiązki?

Podmiotów kluczowych i ważnych w rozumieniu ustawy o KSC, czyli organizacji z sektorów wymienionych w załącznikach nr 1 i 2, które spełniają kryteria wielkości lub zostały uznane za takie podmioty. Jeśli nie masz pewności, czy Twoja organizacja jest objęta ustawą, wstępną odpowiedź da test „Czy moja organizacja podlega KSC?”, a ostateczną analizę warto zrobić z prawnikiem.

Zastrzeżenie

Ten artykuł ma charakter informacyjny i opisuje stan prawny na 15 października 2026 r. Nie jest poradą prawną. Prezydent skierował nowelizację do Trybunału Konstytucyjnego w trybie kontroli następczej, co nie wstrzymuje stosowania przepisów, ale może w przyszłości wpłynąć na ich treść. Zakres obowiązków konkretnej organizacji oraz program szkolenia kierownictwa warto skonsultować z prawnikiem lub audytorem.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw RP, 2 marca 2026
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2) — EUR-Lex, 14 grudnia 2022
• Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać — Ministerstwo Cyfryzacji, 2 kwietnia 2026
• Do kiedy trzeba wdrożyć NIS 2/UKSC w podmiotach kluczowych i ważnych: harmonogram obowiązków — LEX (Wolters Kluwer), 2026
• Nowelizacja ustawy o KSC zaczyna obowiązywać: rusza harmonogram wdrożenia NIS2 w Polsce — ITwiz, 2026