Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem?

Dlaczego to pytanie w ogóle powstaje

Dwa obowiązki szkoleniowe w tej samej ustawie są zbudowane zupełnie inaczej. Pierwszy ma adresata, cykl i dowód. Kierownik podmiotu kluczowego lub ważnego przechodzi szkolenie raz w roku kalendarzowym, a udział w nim jest udokumentowany (art. 8e). Drugi obowiązek nie ma żadnego z tych trzech elementów. Edukacja z zakresu cyberbezpieczeństwa dla personelu podmiotu jest jednym z elementów systemu zarządzania bezpieczeństwem informacji (art. 8 ust. 1 pkt 2 lit. i), obok podstawowych zasad cyberhigieny (lit. j). Nie stoi przy nich ani termin, ani lista stanowisk.

Drugie źródło wątpliwości leży w różnicy między dyrektywą a ustawą. Dyrektywa (UE) 2022/2555 nakłada obowiązek szkoleniowy na członków organu zarządzającego, a wobec pracowników jedynie „zachęca” podmioty do oferowania podobnych szkoleń (art. 20 ust. 2). Polski ustawodawca poszedł dalej i wpisał edukację personelu do katalogu środków, które podmiot ma wdrożyć. Kto czyta samą dyrektywę, wychodzi więc z wnioskiem, że poza zarządem szkolenia są dobrowolne. Z ustawy krajowej taki wniosek nie wynika.

Trzecia przyczyna jest organizacyjna. Pytanie o krąg osób pada zwykle wtedy, gdy w kalendarzu pojawi się już szkolenie kierownika. Wtedy okazuje się, że dla reszty organizacji nie ma gotowej listy. Schemat organizacyjny jej nie zastąpi, bo obowiązki z ustawy rozkładają się inaczej niż stanowiska.

Co trzeba ustalić przed decyzją

Kto poza kierownikiem jest wskazany w ustawie wprost

Art. 8e ust. 1 wymienia dwie role. Są to kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Obie podlegają temu samemu cyklowi rocznemu i temu samemu zakresowi z ust. 2. Obie muszą mieć udokumentowany udział w szkoleniu.

Ta druga rola bywa pomijana, ponieważ w wielu organizacjach istnieje faktycznie, a nie formalnie. Ktoś prowadzi temat na co dzień i przygotowuje materiały dla zarządu, ale powierzenie nigdy nie zostało zapisane. Powierzenie wymaga zgody tej osoby i nie zdejmuje odpowiedzialności z kierownika (art. 8c ust. 3). Praktyczny wniosek jest prosty. Jeżeli powierzenie istnieje, szkolą się obie strony. Jeżeli nie istnieje, najpierw trzeba rozstrzygnąć, czy ma istnieć.

Zakresowi szkolenia dla tych dwóch ról poświęcony jest osobny materiał. Tutaj wystarczy zaznaczyć, że jest to zakres odpowiedzialności kierownika podmiotu, a nie program dla specjalistów.

Kto realizuje zadania z art. 8 i art. 11

To najbardziej użyteczne kryterium doboru grup, ponieważ ustawa posługuje się nim w zupełnie innym celu. Przed dopuszczeniem do zadań z art. 8 lub art. 11 organizacja musi otrzymać od danej osoby informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). Wykonanie tego obowiązku wymaga imiennej listy takich osób.

Ta sama lista jest naturalnym punktem wyjścia do planu szkoleń. Obejmuje osoby realizujące zadania systemu zarządzania bezpieczeństwem informacji oraz osoby uczestniczące w obsłudze i zgłaszaniu incydentów. W średniej organizacji jest to zwykle kilkanaście osób z kilku różnych działów, a nie jeden zespół.

Przy tej okazji warto sprawdzić dwie rzeczy. Czy lista obejmuje osoby faktycznie wykonujące czynności, a nie tylko formalnych właścicieli obszarów. Czy obejmuje również zastępstwa, bo obowiązki incydentowe biegną niezależnie od urlopów i rotacji.

Osoby wyznaczone do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa

Podmiot kluczowy lub ważny wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1). Jedna osoba wystarcza wyłącznie mikro- i małemu przedsiębiorcy oraz podmiotowi ważnemu będącemu podmiotem publicznym (art. 9 ust. 2 i 3). Po uzyskaniu wpisu do wykazu podmiot rozpoczyna korzystanie z systemu teleinformatycznego, przez który przekazuje zgłoszenia (art. 9 ust. 1 pkt 4).

Ustawa nie przewiduje dla tych osób odrębnego obowiązku szkoleniowego. O zakresie przygotowania przesądza jednak samo zadanie. Chodzi o obsługę systemu zgłoszeniowego oraz o terminy liczone od wykrycia incydentu poważnego. To ocena praktyczna, nie treść przepisu. Jest to jednak ocena łatwa do obrony, bo osoba wyznaczona do kontaktu bez tej wiedzy nie wykona zadania, do którego została wyznaczona.

Które role wynikają z samego katalogu środków

Elementy systemu zarządzania bezpieczeństwem informacji ustawa wylicza w art. 8 ust. 1 pkt 2. Każdy z nich ma w organizacji właściciela, a znaczna ich część leży poza działem IT. Poniższe zestawienie przypisuje elementy do ról i wskazuje, czego dotyczy przygotowanie tych osób. Jest to ocena praktyczna oparta na typowym układzie średniej i dużej organizacji, a nie katalog wynikający z przepisu.

Element systemu (art. 8 ust. 1 pkt 2)	Kto zwykle decyduje	Czego dotyczy przygotowanie
Bezpieczeństwo zasobów ludzkich (lit. d)	Dział kadr i przełożeni	Zatrudnienie, zmiana roli i odejście pracownika; weryfikacja niekaralności przed dopuszczeniem do zadań z art. 8f
Bezpieczeństwo i ciągłość łańcucha dostaw ICT (lit. e)	Zakupy i właściciele umów	Kryteria oceny dostawcy z art. 8 ust. 2 oraz zapisy umowne dotyczące bezpieczeństwa
Bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemu (lit. b)	Zespoły rozwoju i utrzymania, prowadzący projekty	Wymagania bezpieczeństwa w projekcie i testowanie systemu przed uruchomieniem
Zarządzanie aktywami i polityki kontroli dostępu (lit. m i n)	Administratorzy uprawnień, przełożeni akceptujący wnioski	Minimalny zakres uprawnień, przeglądy dostępu, odbieranie uprawnień po zmianie roli
Plany ciągłości działania i odtworzenia (lit. f)	Właściciele procesów	Rola procesu w świadczeniu usługi, warunki uruchomienia planu, udział w testach
Edukacja personelu i cyberhigiena (lit. i oraz j)	Cały personel korzystający z systemu	Rozpoznawanie zdarzeń, ścieżka zgłoszenia wewnętrznego, obowiązujące regulacje

Zestawienie pokazuje, dlaczego lista grup zbudowana ze schematu organizacyjnego jest zwykle niepełna. Trzy pierwsze wiersze dotyczą działów, które w rozmowie o cyberbezpieczeństwie nie pojawiają się jako pierwsze, a odpowiadają za decyzje trudne do odwrócenia po fakcie.

Gdzie przebiega granica „całego personelu”

System zarządzania bezpieczeństwem informacji wdraża się w systemie informacyjnym wykorzystywanym w procesach wpływających na świadczenie usługi (art. 8 ust. 1). To zawęża zakres minimalny. Obowiązek dotyczy osób korzystających z tego systemu, a nie automatycznie każdej osoby zatrudnionej w organizacji.

Zawężenie działa jednak tylko wtedy, gdy organizacja potrafi wskazać granicę systemu. Tam, gdzie procesy pomocnicze korzystają z tej samej infrastruktury i tych samych kont, granica praktycznie nie istnieje. Objęcie całego personelu bywa wtedy rozwiązaniem prostszym niż dowodzenie, kto do systemu nie należy.

Osobno warto zauważyć, że ustawa mówi o „personelu podmiotu”, a nie o pracownikach. Osoby współpracujące na innej podstawie niż umowa o pracę korzystają z tych samych systemów i popełniają te same błędy. Kryterium podziału jest zakres zadań i dostęp, nie rodzaj umowy.

Podmiot ważny będący podmiotem publicznym ma inny punkt odniesienia

Podmiot ważny będący podmiotem publicznym nie stosuje art. 8 ust. 1, tylko wymogi z załącznika nr 4 do ustawy (art. 8 ust. 3). Ten sam przepis obejmuje część uczelni w zakresie, w jakim realizują zadania publiczne. Załącznik jest w interesującym nas temacie bardziej konkretny niż przepisy ogólne.

Część I załącznika wymienia szkolenie osób zaangażowanych w proces przetwarzania informacji jako środek minimalizujący wystąpienie incydentów (pkt 17). Podaje przy tym zakres tematyczny. Są to rodzaje cyberzagrożeń, podstawowe zasady cyberhigieny, reagowanie na incydent oraz świadomość skutków naruszenia zasad bezpieczeństwa informacji. Osobny punkt wymaga stosowania zasad cyberhigieny przez pracowników korzystających z systemów informacyjnych, w tym przez kierownika podmiotu (pkt 14). Przegląd całego systemu odbywa się co najmniej raz w roku (część III załącznika).

Dla tej grupy podmiotów odpowiedź na pytanie z tytułu jest więc najbliższa gotowej. Krąg wyznacza udział w przetwarzaniu informacji, a zakres tematyczny jest w załączniku wypisany wprost.

Co zrobić z personelem dostawcy

Podmiot realizuje zadania własnymi strukturami odpowiedzialnymi za cyberbezpieczeństwo albo na podstawie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14). Wybór modelu nie zmienia adresata obowiązków wobec własnego personelu. Za świadomość swoich ludzi odpowiada podmiot.

Do rozstrzygnięcia zostaje styk obu stron. Ktoś po stronie podmiotu przyjmuje informację od dostawcy, ocenia ją i uruchamia decyzję o zgłoszeniu. Ta osoba potrzebuje przygotowania niezależnie od kompetencji dostawcy, ponieważ adresatem obowiązku zgłoszeniowego pozostaje podmiot kluczowy lub ważny.

Kiedy lista musi być gotowa

Podmioty spełniające przesłanki kwalifikacji 3 kwietnia 2026 r. mają dwanaście miesięcy na realizację obowiązków z rozdziału dotyczącego podmiotów kluczowych i ważnych, czyli czas do 3 kwietnia 2027 r. (art. 33 ust. 1 nowelizacji z 23 stycznia 2026 r.). Podmiot, który spełni przesłanki później, ma dwanaście miesięcy od tego momentu (art. 16 ustawy o KSC). Edukacja personelu należy do tego samego rozdziału co pozostałe elementy systemu.

Sama lista grup powstaje jednak wcześniej i niejako przy okazji. Jest produktem ubocznym dwóch innych prac. Pierwszą jest ustalenie zakresu systemu zarządzania bezpieczeństwem informacji, drugą wskazanie osób realizujących zadania z art. 8 i art. 11. Organizacja, która dopiero ustala zakres obowiązków i stan przygotowania, nie zbuduje wiarygodnej listy grup przed tym ustaleniem.

Najczęstsze błędy

• Jeden kurs dla wszystkich jako całość obowiązku. Moduł o hasłach i phishingu obsługuje cyberhigienę, a nie zadania osób realizujących art. 8 i art. 11.
• Lista grup zbudowana ze schematu organizacyjnego. Punktem wyjścia jest zakres systemu i podział zadań, nie struktura działów.
• Pominięcie osoby, której powierzono obowiązki kierownika. Ustawa wymienia ją obok kierownika podmiotu w art. 8e ust. 1.
• Wyłączenie zakupów i działu kadr, bo „to nie są role techniczne”. Ocena dostawcy i dopuszczenie osoby do zadań są czynnościami wskazanymi w ustawie.
• Uznanie, że umowa z dostawcą zdejmuje obowiązek wobec własnego personelu. Zmienia się model realizacji zadań, nie adresat obowiązków.
• Szkolenie osób z art. 8 i art. 11 bez wcześniejszej listy imiennej. Ta sama lista jest potrzebna do weryfikacji niekaralności, więc powstaje w organizacji tak czy inaczej.
• Powielenie treści szkolenia kierownika w szkoleniu dla personelu. Zakres z art. 8e ust. 2 dotyczy odpowiedzialności za wykonanie obowiązków, a nie codziennych czynności pracownika.

Wnioski i dalsze kroki

Ustawa odpowiada na pytanie z tytułu pośrednio i właśnie dlatego odpowiedź bywa pomijana. Ustawa wskazuje z nazwy jedną rolę poza kierownikiem podmiotu. Krąg pozostałych osób organizacja wyprowadza sama — z zakresu swojego systemu, z podziału zadań i z udziału w obsłudze incydentów. Wynik tej pracy jest jednocześnie planem szkoleń i dowodem, że rezultat wymagany przez art. 8d pkt 4 został zaplanowany świadomie.

Poniższa kolejność porządkuje to ustalenie.

1. Sprawdź, czy powierzono komuś obowiązki kierownika w zakresie cyberbezpieczeństwa i czy jest na to ślad. Ta osoba podlega obowiązkowi szkoleniowemu razem z kierownikiem.
2. Wypisz imiennie osoby realizujące zadania z art. 8 i art. 11 wraz z zastępstwami. Lista jest i tak potrzebna do weryfikacji niekaralności.
3. Dodaj osoby wyznaczone do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.
4. Przejdź katalog środków z art. 8 ust. 1 pkt 2 i przypisz do każdego elementu rolę, która o nim faktycznie decyduje.
5. Rozstrzygnij granicę „całego personelu” przez dostęp do systemu informacyjnego, a nie przez rodzaj umowy.
6. W podmiocie ważnym będącym podmiotem publicznym zestaw wynik z punktami 14 i 17 załącznika nr 4.
7. Zapisz, po czym poznasz, że rezultat z art. 8d pkt 4 został osiągnięty — inaczej po roku zostanie sama lista obecności.

Materiały powiązane

• Co powinno obejmować szkolenie NIS2 dla zarządu? — zakres obowiązkowego szkolenia kierownika podmiotu i osoby, której powierzono jego obowiązki.
• Po czym poznać, że szkolenie przyniosło rzeczywisty efekt? — sposób sprawdzenia rezultatu wymaganego przez art. 8d pkt 4.
• Co zrobić po wykryciu incydentu? — sekwencja pierwszej doby, czyli materiał dla grup wskazanych w punktach drugim i trzecim.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 8, art. 8c–8f, art. 9, art. 14, art. 16 oraz załącznik nr 4, tekst ujednolicony, Kancelaria Sejmu — isap.sejm.gov.pl (dostęp: 19.08.2026).
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), art. 33 — dziennikustaw.gov.pl (dostęp: 19.08.2026).
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS 2), art. 20 ust. 2 i art. 21 ust. 2 lit. g — eur-lex.europa.eu (dostęp: 19.08.2026).
• Nowelizacja ustawy o KSC — pytania i odpowiedzi, pyt. 3.8 o szkolenia dla personelu, Ministerstwo Cyfryzacji — gov.pl (dostęp: 19.08.2026).
• Nowelizacja ustawy o KSC — obowiązki podmiotów kluczowych i ważnych, Ministerstwo Cyfryzacji — gov.pl (dostęp: 19.08.2026).