Obowiązkowe szkolenia z cyberbezpieczeństwa po wdrożeniu NIS2 / KSC. Kogo trzeba szkolić co roku?

12 listopada 2026

4m 47s

Ustawa o Krajowym Systemie Cyberbezpieczeństwa wprowadza obowiązkowe szkolenia w podmiotach kluczowych i ważnych. Raz w roku kalendarzowym szkolenie przechodzi kierownik podmiotu oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Organizacja ma również zapewnić edukację personelu, dla której ustawa nie określa jednej częstotliwości.

Nowelizacja UoKSC wdrażająca dyrektywę NIS2 weszła w życie 3 kwietnia 2026 r. Jeśli planujesz szkolenia w firmie, zacznij od ustalenia dwóch rzeczy: kto podlega obowiązkowi z art. 8e i jakiej wiedzy potrzebują poszczególne zespoły, żeby stosować zasady bezpieczeństwa w codziennej pracy.

Kogo dotyczą obowiązki szkoleniowe wynikające z NIS2 / UoKSC?

Obowiązki opisane w tym artykule dotyczą podmiotów kluczowych i ważnych. Status organizacji ustala się na podstawie kryteriów ustawowych, w tym rodzaju działalności i, w wielu przypadkach, wielkości przedsiębiorstwa. Dlatego punktem wyjścia jest sprawdzenie, czy firma spełnia przesłanki objęcia ustawą.

Obszar	Czego wymaga ustawa	Podstawa prawna
Szkolenie kierownika i osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa	Szkolenie raz w roku kalendarzowym i udokumentowanie udziału	Art. 8e UoKSC
Edukacja personelu	Uwzględnienie edukacji w systemie zarządzania bezpieczeństwem informacji oraz zapewnienie znajomości obowiązków i wewnętrznych regulacji	Art. 8 ust. 1 pkt 2 lit. i oraz art. 8d pkt 4 UoKSC

Co powinny obejmować obowiązkowe szkolenia NIS2?

Art. 8e ust. 2 odsyła do konkretnych obowiązków ustawowych. Program szkolenia powinien pokazywać, jak wykonywać je w organizacji. W praktyce oznacza to między innymi omówienie decyzji dotyczących systemu zarządzania bezpieczeństwem informacji, planowania środków finansowych, przydzielania zadań i nadzoru nad ich realizacją. W zakresie szkolenia są też obowiązki dotyczące obsługi i zgłaszania incydentów oraz audytu, jeśli obowiązek audytu ma zastosowanie do danego podmiotu.

Dobrym punktem wyjścia do rozmowy z kierownictwem jest sytuacja, w której awaria lub cyberatak zakłóca świadczenie usługi. Kto przekazuje informację do kierownictwa? Kto podejmuje decyzje o dalszym działaniu? Jak organizacja ustala, czy incydent trzeba zgłosić, i kto odpowiada za zgłoszenie? Taki scenariusz pozwala odnieść ustawowe obowiązki do podziału ról w firmie.

Udział w szkoleniu trzeba udokumentować. W praktyce warto zachować datę, program i imienne potwierdzenie uczestnictwa. Przy ustalaniu listy uczestników należy sprawdzić, kto jest kierownikiem podmiotu w rozumieniu ustawy i komu formalnie powierzono jego obowiązki. Ma to znaczenie zwłaszcza przy wieloosobowym zarządzie.

Przeczytaj również: Nowa ustawa o Krajowym Systemie Cyberbezpieczeństwa – najważniejsze zmiany i obowiązki

Czy pracownicy muszą co roku przechodzić szkolenie z cyberbezpieczeństwa?

UoKSC wymaga edukacji personelu, a częstotliwość raz w roku kalendarzowym wskazuje w art. 8e dla kierownika i osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa. Dla personelu firma może dobrać formę i częstotliwość edukacji do zadań poszczególnych zespołów oraz ryzyka, z jakim się spotykają.

Przykładowo zespół finansowy może przećwiczyć weryfikację prośby o zmianę numeru rachunku dostawcy. Osoby obsługujące klientów mogą przejść scenariusz podszywania się pod klienta. Każdy uczestnik powinien wiedzieć, gdzie znaleźć wewnętrzne zasady i jak zgłosić podejrzane zdarzenie. Tę wiedzę można przekazywać m.in. podczas wdrożenia nowych osób, w e-learningu lub na warsztatach.

Do kiedy trzeba zrealizować obowiązki szkoleniowe?

Dla podmiotów, które 3 kwietnia 2026 r. spełniały już kryteria podmiotu kluczowego lub ważnego, art. 33 ust. 1 ustawy nowelizującej przewiduje 12 miesięcy na realizację obowiązków z rozdziału 3 UoKSC. Termin ten upływa 3 kwietnia 2027 r. Obejmuje m.in. obowiązki związane ze szkoleniem kierownictwa i edukacją personelu. Coroczną częstotliwość szkolenia kierownictwa określa odrębnie art. 8e.

Jak zaplanować szkolenia w firmie objętej UoKSC?

Ustal uczestników szkolenia kierownictwa. Zweryfikuj podział obowiązków i sprawdź, kto podlega art. 8e.
Powiąż program z przepisami i procedurami firmy. Omów, kto podejmuje decyzje, przydziela zadania i nadzoruje ich realizację.
Dopasuj edukację do ról. Wybierz sytuacje, z którymi poszczególne zespoły rzeczywiście spotykają się w pracy.
Ustal sposób dokumentowania. Zadbaj o dowód udziału kierownictwa w szkoleniu i prowadź ewidencję działań edukacyjnych dla personelu.

Najczęstsze pytania o szkolenia NIS2 i UoKSC

Art. 8e UoKSC nie określa formy szkolenia. Przy wyborze szkolenia online należy sprawdzić, czy jego program obejmuje wymagane obowiązki i czy udział uczestników można udokumentować.

Art. 8e wymaga udokumentowania udziału. Nie wskazuje egzaminu ani określonego certyfikatu jako warunku spełnienia tego obowiązku.

Dla kierownictwa – nie. Samo szkolenie z phishingu nie obejmuje pełnego zakresu obowiązków wskazanych w art. 8e ust. 2 ustawy o KSC, w tym nadzoru nad systemem zarządzania bezpieczeństwem informacji oraz obowiązków związanych z obsługą i zgłaszaniem incydentów.

Dla pracowników – może być częścią edukacji z cyberbezpieczeństwa. To, czy trzeba uzupełnić je o inne tematy, zależy od ryzyka i zadań pracowników. Firma powinna zadbać także o to, by personel znał swoje obowiązki i wewnętrzne zasady, w tym wiedział, komu i jak zgłaszać podejrzane zdarzenia.