Po czym poznać, że szkolenie przyniosło rzeczywisty efekt?

Dlaczego to pytanie w ogóle powstaje

Pytanie pada zwykle w dwóch momentach. Pierwszy to rozmowa o budżecie, kiedy zarząd chce wiedzieć, co organizacja dostała za pieniądze wydane na szkolenia. Drugi jest trudniejszy, po incydencie okazuje się, że osoby, które popełniły błąd były przeszkolone a ich udział w zajęciach udokumentowany. W obu sytuacjach organizacja ma komplet dowodów na to, że szkolenie się odbyło i nie ma niczego, co pokazywałoby co się po nim zmieniło.

Źródłem wątpliwości jest sposób w jaki przepisy formułują obowiązek. Ani RODO ani ustawa o KSC nie nakazują „przeprowadzić szkolenie” jako zdarzenia z własnym terminem. Obowiązek opisany jest rezultatem. Kierownik podmiotu kluczowego lub ważnego zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie (art. 8d pkt 4 ustawy o KSC). Administrator danych wdraża środki odpowiednie do ryzyka i musi móc to wykazać (art. 24 ust. 1 RODO). Szkolenie jest jednym z narzędzi prowadzących do tego stanu a nie stanem samym w sobie.

Dyrektywa NIS2 nazywa wprost zdolność, którą szkolenie ma dać. Członkowie organu zarządzającego mają odbywać regularne szkolenia „w celu zdobycia wystarczającej wiedzy i umiejętności pozwalających im rozpoznać ryzyko i ocenić praktyki zarządzania ryzykiem w cyberbezpieczeństwie oraz ich wpływ na usługi świadczone przez dany podmiot” (art. 20 ust. 2). To jest gotowe kryterium oceny. Jeżeli po szkoleniu członek zarządu nadal nie potrafi ocenić czy przyjęte środki odpowiadają ryzyku organizacji to cel wskazany w dyrektywie nie został osiągnięty, choćby zaświadczenie było podpisane.

Zaświadczenie o udziale jest dowodem obecności, nie dowodem kompetencji. Rozróżnienie tych dwóch rzeczy jest całą treścią pytania z tytułu.

Co trzeba ustalić przed decyzją

Co konkretnie miało się zmienić

Efektu nie da się zmierzyć, jeżeli przed szkoleniem nikt nie zapisał co ma być inaczej. „Podniesienie świadomości” nie jest celem sprawdzalnym, bo nie wskazuje ani osoby, ani sytuacji, ani zachowania.

Cel sprawdzalny opisuje zachowanie w konkretnym procesie. W organizacji z rozproszoną obsługą klienta może to być weryfikacja adresata przed wysłaniem dokumentu zawierającego dane osobowe. W zespole finansowym — potwierdzenie zmiany numeru rachunku innym kanałem niż ten, którym przyszła prośba. W gronie właścicieli procesów — zgłoszenie nowego przetwarzania do oceny przed uruchomieniem a nie po pierwszej skardze.

Ten zapis rozstrzyga też o formie zajęć. Zachowanie zmienia się na ćwiczeniu wykonywanym w warunkach zbliżonych do realnych, rzadziej po wykładzie o zasadach ogólnych.

Jaki był stan przed szkoleniem

Bez punktu odniesienia każdy późniejszy wynik jest liczbą bez znaczenia. Odsetek zgłoszonych podejrzanych wiadomości jest wynikiem dobrym albo złym wyłącznie w zestawieniu z tym, co ta sama organizacja notowała wcześniej.

Dane potrzebne do zbudowania punktu odniesienia organizacja zwykle już ma. Rejestr naruszeń prowadzony na podstawie art. 33 ust. 5 RODO obejmuje wszystkie naruszenia, także te niezgłoszone organowi, więc pokazuje powtarzalność błędów danego typu. Do tego dochodzą wewnętrzne zgłoszenia do zespołu bezpieczeństwa oraz sprawy kierowane do inspektora ochrony danych. Jeżeli organizacja dopiero porządkuje sposób rozpoznawania i kwalifikowania takich zdarzeń, uporządkowanie oceny incydentów i naruszeń jest krokiem wcześniejszym niż pomiar skuteczności szkoleń — bez wiarygodnego rejestru mierzy się jakość ewidencji a nie zachowanie ludzi.

Które dane pokazują efekt a które tylko aktywność

Poniższe zestawienie jest oceną praktyczną opartą na typowym układzie średniej i dużej organizacji. Nie wynika z przepisu i wymaga dopasowania do procesów oraz ryzyk konkretnego podmiotu.

Obszar	Wskaźnik aktywności	Wskaźnik efektu
Poczta elektroniczna i phishing	Odsetek osób, które ukończyły moduł szkoleniowy	Udział podejrzanych wiadomości zgłoszonych przez pracowników oraz czas od doręczenia do pierwszego zgłoszenia
Błędy w korespondencji	Wynik testu wiedzy o zasadach wysyłki	Liczba zdarzeń tego samego typu w rejestrze naruszeń w kolejnych okresach
Rozpoznawanie naruszeń	Liczba godzin zajęć	Udział zdarzeń wykrytych przez pracowników zamiast przez dział IT lub przez osobę, której dane dotyczą
Nowe procesy i systemy	Obecność właścicieli procesów na warsztacie	Liczba przetwarzań zgłoszonych do oceny przed uruchomieniem
Kierownictwo w reżimie KSC	Udokumentowany udział w szkoleniu (art. 8e ust. 3)	Decyzje podjęte po szkoleniu. Zatwierdzenie środków, przydział zadań i nadzór nad ich wykonaniem (art. 8d)

Wskaźniki z drugiej kolumny są potrzebne, bo bez nich nie wiadomo, kto szkolenia nie odbył. Rozstrzygające są jednak wskaźniki z kolumny trzeciej, ponieważ tylko one mówią o zachowaniu. Ostatni wiersz pokazuje to najostrzej. Ustawa wymaga udokumentowania udziału kierownika w szkoleniu ale sensem tego szkolenia jest wykonywanie zadań z art. 8d i to po nich widać jego skutek.

Punktem odniesienia przy budowie takiego zestawu bywa AR-in-a-Box, czyli pakiet narzędzi Agencji Unii Europejskiej do spraw Cyberbezpieczeństwa (ENISA) dla programów podnoszenia świadomości. Szablon rocznego programu ma w nim osobne pola na wskaźnik, miarę i sposób pomiaru, wypełniane razem z tematem zajęć i grupą odbiorców. Proponowane wskaźniki są pogrupowane w cztery kategorie a zmiana zachowania i zasięg szkolenia stanowią w tym podziale dwie różne rzeczy. To dobra praktyka, nie wymóg prawny, a jej wartość polega na tym, że każe ustalić mierniki przed uruchomieniem programu, a nie po nim.

Kiedy mierzyć

Pomiar bezpośrednio po zajęciach mierzy zapamiętanie treści. Pomiar po kilku miesiącach mierzy zmianę zachowania, czyli to, o co w szkoleniu chodziło. Program rozliczany wyłącznie testem końcowym daje więc obraz systematycznie lepszy od stanu faktycznego.

Drugie zastrzeżenie dotyczy pojedynczego wyniku. Jedno badanie nie odróżnia efektu szkolenia od sezonowości, zmiany w ruchu poczty czy kampanii, która akurat trafiła w organizację. Wniosek daje dopiero seria pomiarów prowadzona w tym samym rytmie, a to wymaga wcześniejszego ustalenia, kto ją prowadzi i skąd bierze dane.

Co zrobić, gdy efektu nie widać

Brak zmiany nie oznacza automatycznie, że szkolenie było złe. Do sprawdzenia są trzy wyjaśnienia, w tej kolejności.

1. Miernik mierzy nie to. Wzrost liczby zgłoszeń bywa odczytywany jako pogorszenie, choć zwykle oznacza, że ludzie zaczęli zgłaszać zamiast ukrywać.
2. Proces wymusza obejście. Jeżeli poprawne zachowanie zajmuje więcej czasu niż niepoprawne albo wymaga uprawnień, których pracownik nie ma, szkolenie tego nie odwróci.
3. Szkolenie nie odpowiadało sytuacji. Materiał ogólny, przygotowany bez wiedzy o procesach organizacji, nie zmienia zachowania w żadnym z nich.

Kolejność ma znaczenie praktyczne. Powtórzenie szkolenia jest najczęstszą reakcją na brak efektu i najrzadziej trafną, bo dwa pierwsze wyjaśnienia leżą poza salą szkoleniową.

Czym udokumentować efekt a nie sam udział

Zasada rozliczalności (art. 5 ust. 2 RODO) przenosi ciężar dowodu na administratora a w reżimie cyberbezpieczeństwa odpowiada jej wymóg posiadania polityk i procedur oceny skuteczności środków (art. 8 ust. 1 pkt 2 lit. h ustawy o KSC). W obu przypadkach dokumentem jest nie sam wynik, tylko ślad decyzji, którą wynik uruchomił.

Wartość dowodową ma zestaw, który pozwala odtworzyć rozumowanie: cel szkolenia zapisany jako zachowanie, wynik pomiaru sprzed i po zajęciach, wniosek z porównania oraz decyzja podjęta na tej podstawie wraz z datą. Lista obecności pozostaje przy tym potrzebna, bo w podmiotach objętych ustawą o KSC udokumentowanie udziału kierownika w szkoleniu jest samodzielnym obowiązkiem (art. 8e ust. 3). Odpowiada jednak na inne pytanie, czy szkolenie się odbyło, a nie czy coś zmieniło.

W organizacjach objętych RODO nadzór nad tym obszarem ma przypisanego adresata. Monitorowanie przestrzegania przepisów przez inspektora ochrony danych obejmuje wprost działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania „oraz powiązane z tym audyty” (art. 39 ust. 1 lit. b RODO). Sprawdzenie, czy program szkoleń działa, jest więc zadaniem wynikającym z rozporządzenia, a nie dodatkową inicjatywą inspektora.

Praktyka nadzorcza pokazuje, jak ten brak wygląda z zewnątrz. W nieprawomocnej decyzji DKN.5131.34.2023 z 13 czerwca 2026 r. Prezes UODO ustalił, że skuteczność stosowanych środków mających zapewnić bezpieczeństwo przetwarzania nie była przez administratora regularnie testowana ani mierzona, a szkolenia dla pracowników przeprowadzono dopiero po naruszeniu. Dowód powstały po zdarzeniu nie zastępuje dowodu z okresu, którego dotyczy postępowanie.

Warstwa przejściowa ma tu znaczenie dla planowania. Podmioty, które w dniu wejścia w życie nowelizacji ustawy o KSC spełniały przesłanki uznania za podmiot kluczowy albo ważny, realizują obowiązki z rozdziału 3 — w tym wdrożenie systemu zarządzania bezpieczeństwem informacji — w terminie 12 miesięcy od jej wejścia w życie, czyli do 3 kwietnia 2027 r. Organizacja, która zacznie mierzyć skuteczność dopiero z końcem tego okresu, wejdzie w niego bez punktu odniesienia sprzed.

Najczęstsze błędy

• Mylenie oceny szkolenia z oceną efektu. Ankieta satysfakcji mówi, jak uczestnicy ocenili prowadzącego. O zachowaniu po powrocie do pracy nie mówi nic.
• Pomiar wyłącznie w dniu szkolenia. Test tuż po zajęciach sprawdza pamięć krótkotrwałą i systematycznie zawyża obraz programu.
• Traktowanie wzrostu liczby zgłoszeń jako złego wyniku. W większości organizacji to pierwszy widoczny objaw działającego szkolenia, a nie pogorszenia stanu bezpieczeństwa.
• Mierzenie całej organizacji jednym wskaźnikiem. Uśredniony wynik ukrywa zespół, w którym nic się nie zmieniło, a to właśnie on wyznacza ryzyko.
• Zamykanie sprawy powtórką szkolenia. Bez sprawdzenia, czy problem leży w procesie, kolejne zajęcia dokładają dowód aktywności i nie zmieniają wyniku.

Wnioski i dalsze kroki

Pytanie „czy szkolenie zadziałało” jest odpowiedzią wtórną wobec pytania „co miało się zmienić i skąd to zobaczymy”. Organizacja, która postawi je przed zamówieniem zajęć, dostaje dwie rzeczy naraz: program dopasowany do własnych procesów oraz dowód skuteczności środka organizacyjnego, którego i tak wymagają od niej przepisy.

Kolejność, która sprawdza się przy porządkowaniu tego obszaru:

1. Zapisz cel każdego szkolenia jako zachowanie w konkretnym procesie, a nie jako temat zajęć.
2. Ustal punkt odniesienia z danych, które już masz: rejestru naruszeń, zgłoszeń wewnętrznych i spraw kierowanych do inspektora.
3. Wybierz dla każdej grupy jeden wskaźnik efektu i jeden wskaźnik aktywności — pierwszy do wniosków, drugi do wykazania zasięgu.
4. Zaplanuj drugi pomiar w odstępie kilku miesięcy i wskaż osobę, która go wykona.
5. Zanim zamówisz powtórkę, sprawdź, czy poprawne zachowanie jest w danym procesie wykonalne.
6. Zapisz decyzję podjętą na podstawie wyniku wraz z datą — to ona, a nie sama liczba, jest treścią rozliczalności.

Po przejściu tej sekwencji odpowiedź na pytanie z tytułu przestaje zależeć od wrażenia po zajęciach. Organizacja pokazuje, co się zmieniło, na czym to widać i co postanowiła zrobić dalej.

Materiały powiązane

• Jak często szkolić pracowników z ochrony danych osobowych? — cykl szkoleń i wyzwalacze poza harmonogramem, czyli decyzja, którą koryguje się wynikiem pomiaru.
• Co powinno obejmować szkolenie NIS2 dla zarządu? — zakres szkolenia kierownika podmiotu wyznaczony przez ustawę oraz sposób udokumentowania udziału.
• Co zrobić po wykryciu incydentu? — przebieg pierwszej doby, z którego pochodzi część danych o skuteczności szkoleń.
• Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem? — krąg osób poza kierownikiem podmiotu i sposób jego wyprowadzenia z art. 8 i art. 11.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 5 ust. 2, art. 24 ust. 1, art. 32 ust. 1 lit. d i art. 39 ust. 1 lit. b, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 19.08.2026)
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 8 ust. 1 pkt 2, art. 8d, art. 8e i załącznik nr 4, tekst ujednolicony — Kancelaria Sejmu, ISAP: isap.sejm.gov.pl (dostęp: 19.08.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 33 ust. 1 — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 19.08.2026)
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), art. 20 ust. 2 i art. 21 ust. 2 — EUR-Lex: eur-lex.europa.eu (dostęp: 19.08.2026)
• Decyzja Prezesa UODO DKN.5131.34.2023 z 13 czerwca 2026 r. (nieprawomocna) — baza orzeczeń Urzędu Ochrony Danych Osobowych: orzeczenia.uodo.gov.pl (dostęp: 19.08.2026)
• AR-in-a-Box — zestaw narzędzi do budowy programów podnoszenia świadomości wraz z proponowanymi wskaźnikami oceny ich skuteczności, wersja 3 (2024) — Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA): enisa.europa.eu (dostęp: 19.08.2026)