Dla samorządów: gminy, powiaty, jednostki podległe
Szkolenia z cyberbezpieczeństwa dla samorządu, z dokumentacją pod KSC
Mikrolekcje wideo, quizy, gry i symulacje phishingu dla urzędników, z certyfikatami i raportami ze szkoleń. Dla urzędu gminy, starostwa i jednostek podległych, także po zakończeniu projektu Cyberbezpieczny Samorząd.
- Osobna ścieżka i raport dla kierownika (art. 8e)
- Certyfikaty z numerem i raporty w podziale na działy
- Scenariusze z ataków, które widzimy na co dzień
Kogo w samorządzie obejmuje ustawa o KSC
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Samorząd jest w niej w osobnym sektorze „podmioty publiczne”, w załącznikach nr 1 i 2.
Podmioty kluczowe
- Urząd gminy, jeżeli 1 stycznia danego roku zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty
- Starostwo powiatowe, bez progu zatrudnienia
- W samorządzie województwa: jednostki budżetowe i zakłady budżetowe, z wyłączeniem m.in. jednostek oświatowych, pieczy zastępczej, większości jednostek pomocy społecznej i wojewódzkich urzędów pracy
Podmioty ważne
- Samorządowe jednostki budżetowe i samorządowe zakłady budżetowe
- Samorządowe instytucje kultury
- Spółki wykonujące zadania o charakterze użyteczności publicznej
- Warunek: podmiot realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych
Dlatego szkoła, ośrodek pomocy społecznej czy zakład gospodarki komunalnej mogą mieć własne obowiązki. Status każdej jednostki ustala się osobno, na podstawie formy prawnej i zatrudnienia. JST może zapewnić wspólną obsługę obowiązków z cyberbezpieczeństwa albo zawrzeć porozumienie z inną JST (art. 16e ust. 5 i 6), a wtedy jedna jednostka może prowadzić szkolenia dla wszystkich.
Opis jest orientacyjny i nie zastępuje analizy prawnej. Sprawdź w teście, czy Twoja jednostka podlega KSC.
Obowiązki szkoleniowe urzędu i jednostek podległych
Ustawa rozdziela szkolenie kierownictwa i edukację personelu. Podmiot ważny będący podmiotem publicznym wdraża system zarządzania bezpieczeństwem informacji według załącznika nr 4 do ustawy (art. 8 ust. 3), który wprost wymienia tematy szkoleń.
Za niewykonanie obowiązków z art. 8, 8d i 8e karze może podlegać kierownik podmiotu. W podmiocie publicznym górna granica to 100% wynagrodzenia liczonego jak ekwiwalent za urlop (art. 73a ust. 5). Obowiązki trzeba wdrożyć do 3 kwietnia 2027 r., a kary można nakładać od 3 kwietnia 2028 r.
Co dostajesz do teczki audytowej
- Raport z datą, zakresem i wynikiem każdego szkolenia, w podziale na działy
- Certyfikaty z unikalnym numerem do weryfikacji
- Osobna ścieżka i osobny raport dla kierownika, pod art. 8e ust. 3
- Wyniki symulacji phishingu jako test zasad cyberhigieny
Art. 8e
Kierownik jednostki: raz w roku kalendarzowym
Wójt, burmistrz, starosta lub kierownik jednostki oraz osoba, której powierzył obowiązki w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym. Udział ma być udokumentowany (ust. 3).
Załącznik nr 4, pkt I.17
Szkolenie osób przetwarzających informacje
Ze szczególnym uwzględnieniem czterech obszarów:
- rodzajów cyberzagrożeń
- podstawowych zasad cyberhigieny
- reagowania na wystąpienie incydentu
- świadomości skutków naruszenia zasad bezpieczeństwa informacji
Załącznik nr 4, pkt I.14
Cyberhigiena w codziennej pracy
Stosowanie zasad cyberhigieny przez pracowników, w tym kierownika podmiotu. Część II załącznika przewiduje dodatkowo testowanie tych zasad (pkt 6), na przykład symulacją phishingu.
Po Cyberbezpiecznym Samorządzie: jak utrzymać efekty projektu
Cyberbezpieczny Samorząd (FERC, Działanie 2.2) realizuje Centrum Projektów Polska Cyfrowa z NASK PIB jako Operatorem. Jednym z czterech obszarów wsparcia było podniesienie kompetencji kluczowego personelu JST.
- graniczny termin realizacji projektów i kwalifikowalności wydatkówCPPC, komunikat z 16.06.2026
- 30.09.2026
- termin weryfikacji wniosków rozliczających przez OperatoraCPPC, komunikat z 16.06.2026
- 31.03.2027
- okres utrzymania efektów wynikający z umowy o powierzenie grantuCPPC, komunikat z 16.06.2026
- 2 lata
Większość JST rozlicza teraz projekty i utrzymuje ich efekty. W źródłach CPPC nie znaleźliśmy informacji o kolejnym naborze w tej formule, więc to, co wdrożono, trzeba utrzymać z własnego budżetu. Nowi pracownicy i tak muszą przejść szkolenie.
- 1
Onboarding nowych osób
Podstawowy moduł, zanim pracownik dostanie pełne uprawnienia do systemów.
- 2
Cykl roczny
Przypomnienie dla wszystkich i coroczne szkolenie kierownika oraz osoby odpowiedzialnej, zapisane w polityce SZBI.
- 3
Symulacje phishingu
Kilka kampanii w roku, z różnym poziomem trudności. Pracowników informujesz wcześniej, a zakres zbieranych danych ustalasz z inspektorem ochrony danych.
- 4
Dokumentacja na kontrolę
Plan szkoleń, imienne listy, wyniki testów, certyfikaty i raporty z kampanii w jednej teczce.
O kwalifikowalności konkretnego wydatku decydują regulamin konkursu, schemat grantowy i umowa o powierzenie grantu, a nie deklaracja dostawcy. Szczegóły i źródła: Cyberbezpieczny samorząd: jak szkolić pracowników urzędu.
Bezpłatny materiał
Checklista NIS2/KSC dla urzędu i jednostek podległych
Co powinno się znaleźć w dokumentacji szkoleń kierownika i pracowników, zanim przyjdzie audyt albo kontrola. Z odwołaniem do konkretnych przepisów.
Checklista NIS2/KSC: szkolenia personelu i kierownika
Co przygotować w dokumentacji szkoleń personelu i kierownika, z odwołaniem do konkretnych przepisów.
- Szkolenie kierownika raz w roku (art. 8e)
- Edukacja personelu i cyberhigiena (art. 8 ust. 1 pkt 2 lit. i, j)
- Lista dowodów, o które zapyta audytor
Pytania przed zakupem
Faktura, umowa powierzenia, dostępność, hosting. Nie ma tu Twojego pytania? Zadaj je na prezentacji albo napisz do nas.
Czy szkolenia można było sfinansować z programu Cyberbezpieczny Samorząd?
Program obejmował obszar kompetencyjny, czyli podniesienie wiedzy kluczowego personelu JST. Według komunikatu CPPC z 16.06.2026 r. graniczny termin kwalifikowalności wydatków minął 30.09.2026 r. O tym, czy konkretny wydatek był kwalifikowalny, decydują regulamin konkursu, schemat grantowy i umowa o powierzenie grantu, a w razie wątpliwości infolinia Operatora.
Czy wystawiacie fakturę dla jednostki samorządu?
Tak, wystawiamy fakturę VAT na jednostkę samorządu terytorialnego.
Czy podpiszecie umowę powierzenia przetwarzania danych osobowych?
Tak, podpisujemy z urzędem lub jednostką umowę powierzenia przetwarzania danych osobowych zgodną z art. 28 RODO.
Czy platforma spełnia WCAG 2.1 AA?
Tak, platforma spełnia wymagania WCAG 2.1 na poziomie AA. Tego standardu ustawa o dostępności cyfrowej wymaga od stron i aplikacji podmiotów publicznych.
Gdzie są hostowane dane pracowników?
W Polsce. Dane pracowników przechowujemy na serwerach zlokalizowanych w Polsce.
Czy szkolenie online spełnia wymogi art. 8e?
Ustawa nie określa formy szkolenia, tylko jego częstotliwość, zakres i obowiązek dokumentowania. Szkolenie online może je spełnić, jeśli program obejmuje przepisy wymienione w art. 8e ust. 2, a platforma zapisuje imienny dowód udziału z datą i wynikiem.
Czy jeden urząd może kupić szkolenia dla jednostek podległych?
Ustawa pozwala JST zapewnić wspólną obsługę realizacji obowiązków z cyberbezpieczeństwa albo zawrzeć porozumienie z inną JST (art. 16e ust. 5 i 6). Wtedy jedna jednostka może prowadzić szkolenia dla wszystkich, co upraszcza zakupy i raportowanie.
Zobacz Akademię na przykładzie urzędu
Pokażemy raporty, certyfikaty i symulacje phishingu dla urzędu i jednostek podległych. Rozmowa trwa około 30 minut, bez zobowiązań.