Jak zbudować roczny plan szkoleń z RODO i NIS2?

Dlaczego to pytanie w ogóle powstaje

Plan szkoleń powstaje zwykle w ostatnim kwartale, razem z budżetem. Często jest listą kursów z oferty dostawcy albo kopią planu z poprzedniego roku. Taki dokument nie mówi, jakie ryzyko szkolenie ma zmniejszyć.

Rok 2027 jest pod tym względem szczególny. Podmioty spełniające przesłanki w dniu wejścia w życie nowelizacji wdrażają obowiązki z rozdziału 3 ustawy o KSC, w tym edukację personelu, do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy z 23 stycznia 2026 r.). Ich plan na 2027 r. zwykle będzie pierwszym, w którym oba reżimy spotkają się w jednym kalendarzu.

Trzecie źródło trudności jest organizacyjne. Szkolenia z ochrony danych prowadzi zwykle inspektor ochrony danych albo dział prawny, a z cyberbezpieczeństwa dział bezpieczeństwa. Powstają dwa plany dla tych samych ludzi i żaden nie mówi pracownikowi, że wystarczy jedno zgłoszenie podejrzanej wiadomości. Na podstawie tego jednego zgłoszenia organizacja ocenia, czy zdarzenie jest naruszeniem ochrony danych lub incydentem w rozumieniu ustawy o KSC.

Co trzeba ustalić przed decyzją

Czy plan szkoleń jest obowiązkowy

RODO nie posługuje się pojęciem planu szkoleń ani nie czyni go odrębnym obowiązkiem. Administrator i podmiot przetwarzający podejmują działania, żeby każda upoważniona osoba z dostępem do danych przetwarzała je wyłącznie na polecenie administratora, chyba że wymaga tego od niej prawo Unii lub prawo państwa członkowskiego (art. 32 ust. 4). Szkolenie jest jednym z takich działań. Środki wdraża administrator i w razie potrzeby poddaje je przeglądom oraz uaktualnia (art. 24 ust. 1).

Inspektor ochrony danych informuje administratora, podmiot przetwarzający i pracowników przetwarzających dane o ich obowiązkach oraz doradza im (art. 39 ust. 1 lit. a). Monitoruje też przestrzeganie przepisów i polityk ochrony danych, w tym szkolenia personelu uczestniczącego w operacjach przetwarzania (art. 39 ust. 1 lit. b). Administrator albo podmiot przetwarzający włącza go właściwie i niezwłocznie we wszystkie sprawy dotyczące ochrony danych (art. 38 ust. 1), a więc także w prace nad planem. Inspektor może przygotować treść warstwy ochrony danych i prowadzić zajęcia, a przyjmuje plan administrator albo podmiot przetwarzający, w praktyce decyzją kierownictwa. W mojej ocenie właścicielem tej warstwy w planie warto uczynić inną osobę, bo inspektor monitoruje potem szkolenia personelu (art. 38 ust. 6 i art. 39 ust. 1 lit. b).

Ustawa o KSC także nie używa pojęcia planu szkoleń. Edukacja z zakresu cyberbezpieczeństwa dla personelu i podstawowe zasady cyberhigieny to dwa z elementów systemu z art. 8 ust. 1 pkt 2. Według Ministra Cyfryzacji edukacja ta powinna odbywać się na bieżąco (pyt. 3.8). Powinna też uwzględniać obowiązki personelu w systemie i istniejące procedury, a także cyberzagrożenia i przykłady incydentów, z jakimi mierzy się podmiot. Kierownik zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie (art. 8d pkt 4).

Podmiot kluczowy lub ważny prowadzi dokumentację systemu zarządzania bezpieczeństwem informacji (art. 10 ust. 1 i ust. 3 pkt 1), która według ministra powinna ujmować wszystkie elementy z art. 8 (pyt. 3.5). W mojej ocenie plan szkoleń jest naturalnym miejscem, w którym ta dokumentacja opisuje edukację personelu. Zapisy z wykonania planu są wtedy dokumentacją operacyjną (art. 10 ust. 4). Według ministra sama dokumentacja to jednak za mało (pyt. 3.6).

Kierownik podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji na każdym etapie, od przygotowania po nadzór (art. 8d pkt 1). Planuje adekwatne środki finansowe na obowiązki z zakresu cyberbezpieczeństwa (art. 8d pkt 2) i przydziela zadania (art. 8d pkt 3). Kierownikiem jest według art. 2 pkt 8a kierownik jednostki w rozumieniu art. 3 ust. 1 pkt 6 ustawy o rachunkowości. Przy wieloosobowym zarządzie lub innym organie zarządzającym jest nim każdy członek tego organu z wyłączeniem pełnomocników ustanowionych przez jednostkę. W jednostce sektora finansów publicznych jest nim jej kierownik. Kierownik może powierzyć niektóre albo wszystkie obowiązki innej osobie za jej zgodą, ale nadal za nie odpowiada (art. 8c ust. 3).

Bardziej szczegółowe przepisy mają między innymi trzy grupy podmiotów.

• Podmiot ważny będący podmiotem publicznym albo wskazany w tym przepisie podmiot systemu szkolnictwa wyższego i nauki nie stosuje art. 8 ust. 1, a jego system spełnia wymogi załącznika nr 4 (art. 8 ust. 3). Załącznik wymienia szkolenie osób zaangażowanych w proces przetwarzania informacji (cz. I pkt 17). Szkolenie uwzględnia w szczególności rodzaje cyberzagrożeń, podstawowe zasady cyberhigieny i reagowanie na incydent. Obejmuje też świadomość skutków naruszenia zasad bezpieczeństwa informacji. Według ministra podmiot ważny będący podmiotem publicznym formalnie nie musi szacować ryzyka, ale do stosowania art. 32 RODO analiza ryzyka jest niezbędna (pyt. 3.15).
• Podmioty z art. 8b ust. 1, między innymi dostawcy usług chmurowych i dostawcy usług zarządzanych, stosują w ramach systemu z art. 8 ust. 1 środki z rozporządzenia wykonawczego Komisji (UE) 2024/2690. Według Ministra Cyfryzacji stosują je wyłącznie w zakresie działalności objętej rozporządzeniem (pyt. 3.47). Rozporządzenie wymaga programu podnoszenia świadomości dla pracowników, w tym członków organów zarządzających, a w stosownych przypadkach także bezpośrednich dostawców i usługodawców (pkt 8.1.2). Program jest zaplanowany w czasie tak, żeby działania się powtarzały i obejmowały nowych pracowników (pkt 8.1.2 lit. a), oraz aktualizowany i oferowany w zaplanowanych odstępach czasu (pkt 8.1.3). Na podstawie polityki bezpieczeństwa łańcucha dostaw i z uwzględnieniem wyników oceny ryzyka umowy z dostawcami i usługodawcami określają też wymogi dotyczące świadomości, umiejętności i szkoleń ich pracowników (pkt 5.1.4 lit. b). Podmiot wskazuje pracowników, których funkcje wymagają umiejętności istotnych dla bezpieczeństwa, i zapewnia im regularne szkolenia według programu dla funkcji i stanowisk (pkt 8.2.1 i 8.2.2). Skuteczność tych szkoleń podlega ocenie (pkt 8.2.3).
• Sektor bankowości i infrastruktury rynków finansowych nie stosuje przepisów ustawy o KSC dotyczących systemu zarządzania bezpieczeństwem informacji ani zgłaszania poważnych incydentów poza wyjątkami z art. 8i ust. 1. Wśród wyjątków jest art. 8 ust. 1 pkt 2 lit. j o cyberhigienie, a art. 8c–8f stosuje się odpowiednio (art. 8i ust. 2). Obowiązkowe moduły szkoleń dla wszystkich pracowników i kadry kierowniczej wyższego szczebla wynikają z art. 13 ust. 6 rozporządzenia DORA. Członkowie organu zarządzającego aktualizują wiedzę o ryzyku związanym z ICT, w tym przez regularny udział w specjalnych szkoleniach (art. 5 ust. 4).

Od czego zacząć plan szkoleń

Plan odpowiada na pytanie, które zachowania ludzi tworzą dziś ryzyko i które zmiany w organizacji stworzą je w przyszłym roku. Odpowiedź dają cztery wejścia.

1. Wyniki szacowania ryzyka. System z art. 8 ust. 1 ustawy o KSC zaczyna się od systematycznego szacowania ryzyka (pkt 1), a środki mają być proporcjonalne do oszacowanego ryzyka (pkt 2). RODO wiąże środki z ryzykiem naruszenia praw lub wolności osób fizycznych (art. 24 ust. 1 i art. 32 ust. 1). Ryzyku o wysokiej ocenie, którego źródłem jest zachowanie człowieka, warto przypisać w planie temat i grupę.
2. Wnioski z naruszeń i incydentów. Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych (art. 33 ust. 5 RODO), także te niezgłoszone organowi. Naruszenie wywołane błędem człowieka wskazuje grupę i temat do planu. Tak samo działają wnioski z zarządzania incydentami (art. 8 ust. 1 pkt 4 ustawy o KSC).
3. Zmiany zaplanowane na rok. Nowy system i nowy dostawca z dostępem do danych zmieniają to, co ludzie robią z danymi i systemami. Tak samo działa nowy proces przetwarzania albo reorganizacja. Szkolenie trafia do planu przed datą zmiany.
4. Wyniki pomiaru z poprzedniego roku. RODO wymienia regularne testowanie, mierzenie i ocenianie skuteczności środków wśród środków stosowanych w stosownym przypadku (art. 32 ust. 1 lit. d). Ustawa o KSC wymienia polityki i procedury oceny skuteczności środków jako element systemu (art. 8 ust. 1 pkt 2 lit. h). Miarą efektu może być odsetek zgłoszonych wiadomości w symulacji phishingu i czas od zdarzenia do zgłoszenia. Liczba wpisów w rejestrze naruszeń po dobrym szkoleniu może wzrosnąć, bo ludzie częściej zgłaszają, więc lepszą miarą jest powtarzalność tego samego błędu. Jak odróżnić efekt od samej aktywności, opisuje materiał Po czym poznać, że szkolenie przyniosło rzeczywisty efekt?.

Kogo i jak często wpisać do planu szkoleń

Wśród przepisów RODO i ustawy o KSC stały interwał ma tylko szkolenie z art. 8e ust. 1. Rytm pozostałych grup to ocena praktyczna dla średniej i dużej organizacji, dopasowywana do wyników szacowania ryzyka.

Grupa	Warstwy	Rytm w planie	Szkolenie poza kalendarzem
Kierownik podmiotu (w spółce kapitałowej co do zasady każdy członek zarządu) i osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa	zakres z art. 8e ust. 2 i wspólny rdzeń	raz w roku kalendarzowym (art. 8e ust. 1), najlepiej w pierwszym półroczu	nowy członek zarządu
Nowo zatrudnieni i zmieniający stanowisko	wspólny rdzeń i warstwa właściwa dla stanowiska	przed nadaniem dostępu	każde przyjęcie, zmiana roli i powrót po długiej nieobecności
Zespoły o wysokiej ekspozycji (kadry i obsługa klienta, sprzedaż i finanse)	wspólny rdzeń i ochrona danych w ich procesie	krótkie formy kilka razy w roku	powtarzalny błąd w rejestrze naruszeń
Właściciele procesów, zakupy i administratorzy uprawnień	wspólny rdzeń oraz ochrona danych i cyberbezpieczeństwo w ich decyzjach	warsztat raz w roku	nowy proces, system albo dostawca
Zespół bezpieczeństwa i obsługi incydentów (zadania z art. 8 i art. 11 ustawy o KSC) oraz osoby do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1)	wspólny rdzeń, warstwa cyberbezpieczeństwa i procedura zgłoszenia	stałe doskonalenie i ćwiczenie raz w roku	zmiana procedury, wnioski z incydentu
Pozostały personel	wspólny rdzeń	sesja raz w roku i krótkie przypomnienia	nowe zagrożenie w organizacji
Inspektor ochrony danych	wspólny rdzeń, zmiany prawa i praktyka organów	bieżące utrzymywanie wiedzy fachowej, na które administrator albo podmiot przetwarzający zapewnia zasoby (art. 38 ust. 2 RODO)	nowe wytyczne i decyzje organów

W RODO decyduje dostęp do danych i działanie z upoważnienia administratora lub podmiotu przetwarzającego (art. 32 ust. 4), a nie rodzaj umowy. Ustawa o KSC mówi o personelu podmiotu i nie definiuje tego pojęcia (art. 8d pkt 4). W mojej ocenie obejmuje ono także osoby na umowach cywilnoprawnych pracujące w systemach podmiotu. Nie trafią one na szkolenie przez system kadrowy, więc plan wskazuje dla nich osobną drogę, na przykład obowiązek szkolenia w umowie. Wobec personelu zewnętrznego dostawcy minister wskazuje postanowienia umowne o bezpieczeństwie i poufności (pyt. 3.3), a w tej samej umowie można zapisać obowiązek szkolenia. Tak samo traktuje się zwykle pracowników spółki usług wspólnych w grupie kapitałowej. Wspólny plan grupy może mieć jeden rdzeń, ale każda spółka będąca podmiotem kluczowym lub ważnym przyjmuje swoją część decyzją własnego kierownictwa (art. 8d pkt 1). Jej kierownik przechodzi szkolenie z art. 8e ust. 1. Krąg osób w reżimie KSC opisuje materiał Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem?.

Jak połączyć RODO i NIS2 w jednym planie szkoleń

Tematy układają się w trzy warstwy.

• Wspólny rdzeń dla wszystkich. Rozpoznanie zdarzenia, jedna wewnętrzna ścieżka zgłoszenia i podstawowe zasady cyberhigieny. Same zasady są odrębnym środkiem systemu (art. 8 ust. 1 pkt 2 lit. j), a szkolenie uczy ich stosowania. Pracownik nie musi wiedzieć, który reżim się uruchamia. Musi wiedzieć, komu i jak szybko powiedzieć o zdarzeniu. Terminy w obu reżimach liczy się od innych momentów, co opisuje materiał Co zrobić po wykryciu incydentu?.
• Warstwa ochrony danych. Zasady przetwarzania w procesie danej grupy oraz zakres upoważnienia i polecenia administratora (art. 29 RODO). Obsługa klienta i kadry uczą się rozpoznawać żądania osób, a właściciele procesów i zakupy potrzebę umowy powierzenia albo oceny skutków.
• Warstwa cyberbezpieczeństwa. Obowiązki w systemie i procedury, które dana grupa stosuje. Osoby wyznaczone do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1) uczą się procedury zgłoszenia.

Warto, żeby kierownictwo wyznaczyło właściciela całego planu, który koordynuje jego przygotowanie i zmiany. Treść warstwy ochrony danych przygotowuje zwykle inspektor albo dział prawny, a warstwy cyberbezpieczeństwa osoba odpowiedzialna za system zarządzania bezpieczeństwem informacji. Wspólny rdzeń uzgadniają właściciele obu warstw.

Stałe punkty kalendarza

Szkolenie kierownika i osoby z art. 8e ust. 1. Odbywa się raz w roku kalendarzowym, a udział w nim jest udokumentowany (art. 8e ust. 1 i 3). Obejmuje co do zasady każdego członka zarządu, także gdy wskazano osobę odpowiedzialną z art. 8c ust. 2. Adresatem art. 8e ust. 1 jest bowiem kierownik w rozumieniu art. 2 pkt 8a, a wskazanie zmienia tylko krąg odpowiedzialnych. Przepis mówi o roku kalendarzowym, a nie o odstępie 12 miesięcy. Według Ministra Cyfryzacji w podmiotach, które spełniały przesłanki 3 kwietnia 2026 r., pierwsze szkolenie kierownika musi się odbyć najpóźniej w 2027 r. (pyt. 3.46). Podmiot objęty ustawą później ma 12 miesięcy na obowiązki z rozdziału 3, liczonych od spełnienia przesłanek albo od doręczenia decyzji o uznaniu (art. 16 pkt 1, art. 7l ust. 7 pkt 1 i art. 7m ust. 6 pkt 1). Zakres szkolenia obejmuje wykonywanie obowiązków wskazanych w art. 8e ust. 2, między innymi w systemie zarządzania bezpieczeństwem informacji (art. 8) oraz przy obsłudze i zgłaszaniu incydentów (art. 11–12b). Program tego szkolenia opisuje materiał Co powinno obejmować szkolenie NIS2 dla zarządu?.

Wspólny rdzeń przed 3 kwietnia 2027 r. W podmiotach, które spełniały przesłanki 3 kwietnia 2026 r., rekomenduję zaplanować wspólny rdzeń dla całego personelu i szkolenia zespołu bezpieczeństwa na styczeń i luty 2027 r. Do 3 kwietnia edukacja personelu ma już działać (art. 33 ust. 1 ustawy nowelizującej), a marzec zostaje zapasem na przełożenie zajęć. Dawni operatorzy usług kluczowych zgłaszają incydenty poważne według art. 11–12b w nowym brzmieniu najpóźniej od 3 października 2026 r. (art. 33 ust. 4 ustawy nowelizującej). Jeżeli nie przećwiczyli jeszcze ścieżki zgłoszenia, warto zrobić to niezwłocznie.

Szkolenie przed nadaniem dostępu. Nie ma daty w kalendarzu, bo zależy od przyjęć i zmian stanowisk. Plan rezerwuje na nie budżet i prowadzącego według liczby przyjęć, zmian ról i powrotów z ostatniego roku. RODO, ustawa o KSC i rozporządzenie 2024/2690 nie uzależniają nadania uprawnień od szkolenia. Takie uzależnienie jest dobrą praktyką wykonania art. 32 ust. 4 RODO.

Przegląd planu. Środki z art. 24 ust. 1 RODO w razie potrzeby poddaje się przeglądom i uaktualnia. Podmiot ważny będący podmiotem publicznym przegląda system co najmniej raz w roku albo bezzwłocznie w sytuacjach wskazanych w części III załącznika nr 4. Warto zaplanować przegląd w połowie roku i przegląd końcowy z raportem dla kierownictwa.

Ćwiczenie reakcji na incydent. Ustawa o KSC wymaga testowania planów ciągłości działania (art. 8 ust. 1 pkt 2 lit. f). Rozporządzenie 2024/2690 wymaga testowania procedur reagowania na incydenty w zaplanowanych odstępach czasu (pkt 3.5.5), a załącznik nr 4 testowania procedury na wypadek awarii lub incydentu (cz. I pkt 12). Ćwiczenie angażuje te same osoby co szkolenia, więc jego datę warto ustalić w tym samym kalendarzu.

Przykładowy układ roku wygląda tak.

• I kwartał. Wspólny rdzeń dla całego personelu i szkolenia zespołu bezpieczeństwa.
• I–II kwartał. Szkolenie zarządu i przegląd w połowie roku.
• III kwartał. Ćwiczenie reakcji na incydent, warsztaty dla właścicieli procesów i zebranie wejść.
• IV kwartał. Przegląd końcowy i wycena planu na kolejny rok.
• Cały rok. Szkolenia przed nadaniem dostępu i krótkie formy dla zespołów o wysokiej ekspozycji.

Co powinien zawierać plan szkoleń

Każda pozycja planu, czyli grupa z tematem, ma kilka stałych pól.

• Podmiot (administrator), grupa i liczba osób.
• Warstwa, temat i forma zajęć.
• Źródło pozycji, czyli jedno z czterech wejść planu.
• Termin, czas trwania na osobę i suma godzin.
• Prowadzący i właściciel z imienia i nazwiska.
• Koszt.
• Cel z progiem i źródłem pomiaru.
• Pokrycie, czyli odsetek osób z grupy przeszkolonych w terminie.
• W trakcie roku wynik i następny krok.

Największą pozycją budżetu często jest czas pracy uczestników, a nie faktura dostawcy, więc suma godzin trafia do kierownictwa razem z kwotą. Szkolenie z planu, na które pracownik idzie na polecenie przełożonego albo które jest niezbędne do danego rodzaju pracy lub pracy na danym stanowisku i nakazują je między innymi przepisy prawa lub regulamin, odbywa się na koszt pracodawcy i w miarę możliwości w godzinach pracy. Czas takiego szkolenia poza normalnymi godzinami pracy, także kursu ukończonego wieczorem, wlicza się do czasu pracy (art. 94¹³ Kodeksu pracy). Przepis dotyczy tylko pracowników. U zleceniobiorców i współpracowników B2B zasady udziału w szkoleniu i zapłatę za jego czas określa umowa.

Przy e-learningu plan zapisuje termin ukończenia i moment, w którym zaległość trafia do przełożonego. Imienne wyniki testów i symulacji phishingu są danymi osobowymi pracowników. Plan określa, jak długo się je przechowuje i czy raportuje się je dla osób, czy dla grup. Umowa z zewnętrzną platformą, zwykle podmiotem przetwarzającym, spełnia art. 28 RODO. Warto zapisać w niej formę przekazania wyników po zakończeniu współpracy. O usunięciu albo zwrocie danych decyduje administrator (art. 28 ust. 3 lit. g).

Element planu	Co zapisać	Skąd wymóg	Wyjątki i ograniczenia
Grupy	Role i zakres dostępu, imiennie osoby z zadaniami z art. 8 i art. 11	art. 8d pkt 4 i art. 8f ust. 1 ustawy o KSC, art. 32 ust. 4 RODO	załącznik nr 4 cz. I pkt 17 mówi o osobach zaangażowanych w przetwarzanie informacji, rozporządzenie 2024/2690 pkt 8.2.1 o funkcjach istotnych dla bezpieczeństwa
Tematy	Wspólny rdzeń, warstwa ochrony danych, warstwa cyberbezpieczeństwa	art. 8d pkt 4 ustawy o KSC i załącznik nr 4 cz. I pkt 17, rozporządzenie 2024/2690 pkt 8.1.2 lit. c i 8.2.3, art. 13 ust. 6 DORA	dobór pozostałych tematów należy do organizacji
Szkolenie kierownika	Termin w roku kalendarzowym, zakres z art. 8e ust. 2, sposób udokumentowania	art. 8e ustawy o KSC	podmioty kluczowe i ważne; w bankowości art. 8e stosuje się odpowiednio (art. 8i ust. 2), obok art. 5 ust. 4 DORA
Szkolenie przed dostępem	Rezerwa budżetu i prowadzącego, powiązanie z wnioskiem o uprawnienia	art. 32 ust. 4 RODO, rozporządzenie 2024/2690 pkt 8.1.2 lit. a i 8.2.4	rozporządzenie 2024/2690 wymaga objęcia programem nowych pracowników i szkolenia osób przenoszonych na stanowiska istotne dla bezpieczeństwa; uzależnienie dostępu od szkolenia to dobra praktyka
Forma	Szkolenie lub warsztat, e-learning, symulacja albo ćwiczenie	dobra praktyka	RODO i ustawa o KSC nie określają formy; koszt i czas pracy pracowników przy szkoleniach odbywanych na polecenie przełożonego albo przy szkoleniach niezbędnych do danego rodzaju pracy lub stanowiska i wymaganych między innymi przepisami prawa lub regulaminem (art. 94¹³ Kodeksu pracy)
Miara efektu	Cel, pomiar przed i po, wynik uruchamiający korektę	art. 32 ust. 1 lit. d RODO, art. 8 ust. 1 pkt 2 lit. h ustawy o KSC, rozporządzenie 2024/2690 pkt 8.1.3 i 8.2.3	RODO — „w stosownym przypadku”; program świadomości z rozporządzenia 2024/2690 testuje się „w stosownych przypadkach”, a odstąpienie wymaga udokumentowania (art. 2 ust. 2); szkolenia z pkt 8.2.1 ocenia się bez zastrzeżenia (pkt 8.2.3); lit. h nie dotyczy podmiotów z art. 8 ust. 3 ani bankowości
Dokumentacja	Program, imienna lista z datą, wynik sprawdzenia	art. 8e ust. 3, art. 10 ust. 4 i art. 53c ustawy o KSC oraz załącznik nr 4 cz. IV, art. 5 ust. 2 RODO	w mojej ocenie art. 10 nie stosuje się w sektorze bankowości i infrastruktury rynków finansowych (art. 8i ust. 1)
Budżet i właściciel	Kwota i suma godzin, właściciel każdej pozycji, akceptacja kierownictwa	art. 8d pkt 2 i 3 ustawy o KSC, art. 24 ust. 1 i art. 32 ust. 1 RODO	po stronie RODO decyzja należy do administratora albo podmiotu przetwarzającego
Przegląd	Termin przeglądu i lista zdarzeń, które zmieniają plan	art. 24 ust. 1 RODO, załącznik nr 4 cz. III, rozporządzenie 2024/2690 pkt 8.2.5	żaden akt nie wyznacza rocznego przeglądu samego planu szkoleń

W nadzorze organ może zażądać dokumentów za wskazany okres, z terminem adekwatnym do zakresu żądania i nie krótszym niż 7 dni (art. 53c ust. 1 i 2 ustawy o KSC). Dokumentacja wykonania planu ma pozwalać szybko zestawić listy, wyniki i decyzje za każdy rok. Skład dokumentacji potwierdzającej wykonanie planu opisuje materiał Jak udokumentować szkolenie, żeby było dowodem dla organu?.

Jak plan szkoleń zmienia się w ciągu roku

Obok kalendarza plan zawiera listę zdarzeń, które go zmieniają. Są nimi w szczególności naruszenie albo incydent wywołane błędem człowieka oraz nowy system, proces lub dostawca. Plan zmienia też zmiana przepisów albo stanowiska organu, reorganizacja i wynik pomiaru poniżej progu.

Warto, żeby właściciel planu zapisywał każdą zmianę z datą i powodem. Taki zapis jest prostym dowodem przeglądu środków z art. 24 ust. 1 RODO. W budżecie warto zostawić rezerwę na szkolenia nieplanowane.

Najczęstsze błędy

• Dwa plany dla tych samych ludzi. Osobny plan RODO i osobny plan KSC dublują wspólny rdzeń i mogą dawać sprzeczne instrukcje zgłaszania zdarzeń.
• Szkolenie zarządu na koniec roku. Przełożenie zajęć z grudnia wypycha je poza rok kalendarzowy z art. 8e ust. 1.
• Warunek bez blokady w procesie. Plan mówi o szkoleniu przed dostępem, a wniosek o uprawnienia nie wymaga potwierdzenia szkolenia. Nowa osoba może wtedy dostać dostęp pierwszego dnia.

Wnioski i dalsze kroki

Wejścia do planu szkoleń warto zebrać dwa lub trzy miesiące przed zamknięciem budżetu, a wycenę przygotować miesiąc później. Kto zaczyna w listopadzie, może najpierw przedstawić kierownictwu do przyjęcia stałe punkty kalendarza i uzupełnić pozostałe pozycje w pierwszym kwartale.

1. Wyznacz właściciela planu i datę, na którą przedstawi kierownictwu projekt razem z budżetem. Inspektora ochrony danych, jeżeli jest wyznaczony, włącz od początku prac.
2. Zleć właścicielowi szacowania ryzyka, inspektorowi i zespołowi bezpieczeństwa przekazanie wniosków i wyników pomiaru z mijającego roku. Od działu IT i kadr zbierz listę zmian na kolejny rok.
3. Zatwierdź grupy według ról i dostępu wraz z imiennym wykazem osób realizujących zadania z art. 8 i art. 11 ustawy o KSC.
4. Wyznacz właścicieli warstwy ochrony danych i warstwy cyberbezpieczeństwa, którzy razem uzgadniają wspólny rdzeń. Właścicielem warstwy ochrony danych warto uczynić inną osobę niż inspektor, który może jednak przygotować jej treść. Dla każdej grupy zapisz cel i próg, który uruchamia korektę.
5. Wpisz do kalendarza szkolenie kierownika i osoby z art. 8e ust. 1 w pierwszym półroczu, ćwiczenie oraz dwa przeglądy planu. W podmiocie, który spełniał przesłanki 3 kwietnia 2026 r., zaplanuj wspólny rdzeń i szkolenia zespołu bezpieczeństwa na styczeń i luty 2027 r.
6. Wyceń plan w kwocie i godzinach pracy, z rezerwą na szkolenia przed nadaniem dostępu i na zmiany w ciągu roku.
7. Przyjmij plan decyzją kierownictwa.

Materiały powiązane

• Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem? — krąg osób w reżimie KSC.
• Jak często szkolić pracowników z ochrony danych osobowych? — uzasadnienie rytmu dla poszczególnych grup.
• Co powinno obejmować szkolenie NIS2 dla zarządu? — zakres obowiązkowego szkolenia kierownika.
• Po czym poznać, że szkolenie przyniosło rzeczywisty efekt? — wskaźniki efektu zamiast wskaźników aktywności.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — art. 5 ust. 2, art. 24 ust. 1, art. 28, art. 29, art. 32 ust. 1 i 4, art. 33 ust. 5, art. 38 ust. 1, 2 i 6 oraz art. 39 ust. 1 lit. a i b — eur-lex.europa.eu.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 2 pkt 8a, art. 7l ust. 7, art. 7m ust. 6, art. 8, art. 8b ust. 1, art. 8c–8f, art. 8i, art. 9–12b, art. 16, art. 53c i załącznik nr 4 — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252 — art. 33 ust. 1 i 4 oraz art. 49 — isap.sejm.gov.pl.
• Ustawa z dnia 29 września 1994 r. o rachunkowości, tekst jednolity Dz.U. 2026 poz. 522 ze zm. (tekst ujednolicony Kancelarii Sejmu) — art. 3 ust. 1 pkt 6 — isap.sejm.gov.pl.
• Ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy, tekst jednolity Dz.U. 2026 poz. 1245 — art. 94¹³ — isap.sejm.gov.pl.
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. — art. 2 ust. 2 oraz załącznik, pkt 3.5.5, 5.1.4 lit. b, 8.1.2, 8.1.3 i 8.2.1–8.2.5 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (DORA) — art. 5 ust. 4 i art. 13 ust. 6 — eur-lex.europa.eu.
• Minister Cyfryzacji, Krajowy system cyberbezpieczeństwa — pytania i odpowiedzi do nowelizacji ustawy o KSC, aktualizacja z października 2026 r. — pyt. 3.3, 3.5, 3.6, 3.8, 3.15, 3.46 i 3.47 — cyber.gov.pl.