Co powinno obejmować szkolenie NIS2 dla zarządu?

Dlaczego to pytanie w ogóle powstaje

Na rynku funkcjonują dwa różne produkty pod tą samą nazwą. Pierwszy to omówienie dyrektywy (UE) 2022/2555. Obejmuje cele, sektory, kalendarz wdrożenia w Unii. Drugi to szkolenie z obowiązków, które ciążą na konkretnym podmiocie na podstawie polskiej ustawy. Zarząd zamawia zwykle to pierwsze, a rozliczany jest z drugiego — bo dyrektywa wiąże państwo członkowskie, natomiast obowiązki organizacji i osobista odpowiedzialność kierownika podmiotu wynikają z ustawy o KSC w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r., obowiązującą od 3 kwietnia 2026 r.

Drugim źródłem wątpliwości jest sama konstrukcja obowiązku szkoleniowego. Ustawa wskazuje, kto się szkoli i jak często. Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzi szkolenie raz w roku kalendarzowym (art. 8e ust. 1), a udział w szkoleniu jest udokumentowany (art. 8e ust. 3). Zakres opisuje przez odesłanie do numerów artykułów, nie przez listę tematów. Czytelnik takiego przepisu wie, że ma się przeszkolić, ale nie widzi wprost, z czego.

To odesłanie ujawnia jednak coś istotnego. Katalog z art. 8e ust. 2 pokrywa się z katalogiem obowiązków, za które kierownik odpowiada na podstawie art. 8c ust. 1. Ustawodawca nie ułożył zatem programu ogólnorozwojowego — połączył zakres szkolenia z zakresem odpowiedzialności. To najkrótsza odpowiedź na pytanie, po co to szkolenie. Ma przygotować konkretną osobę do rozliczenia z konkretnych obowiązków.

Co trzeba ustalić przed decyzją

Kto w organizacji podlega obowiązkowi

Pytanie brzmi banalnie, a w praktyce rozstrzyga o połowie kosztu. Obowiązek dotyczy kierownika podmiotu — czyli organu lub osoby zarządzającej podmiotem — oraz osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. W spółce z zarządem trzyosobowym, w której nie wskazano jednego odpowiedzialnego członka, przeszkolić trzeba cały zarząd. W grupie kapitałowej status ustala się osobno dla każdej spółki, więc jedno szkolenie „dla grupy” nie zamyka tematu w podmiotach, których kierownicy w nim nie uczestniczyli.

Osobno warto rozstrzygnąć, czy w szkoleniu ma brać udział ktoś jeszcze. Ustawa tego nie wymaga, ale osoba przygotowująca materiały decyzyjne dla zarządu i osoby wyznaczone do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa zwykle potrzebują tej samej wiedzy — inaczej zarząd dostaje na posiedzenie opracowanie, którego autor rozumiał temat inaczej niż on.

Kiedy obowiązek zaczyna wiązać

Ustawa reguluje cykl, a nie start. Art. 8e ust. 1 nakłada obowiązek odbycia szkolenia raz w roku kalendarzowym, art. 8e ust. 3 wymaga udokumentowania udziału — i na tym kończy się to, co wynika wprost z przepisu. Odrębnego terminu pierwszego szkolenia ustawa nie ustala. Nie wskazuje ani daty granicznej, ani zdarzenia, od którego miałby biec.

Praktycznie oznacza to, że organizacja sama przyjmuje i zapisuje założenie co do pierwszego roku cyklu, a potem konsekwentnie się go trzyma — bo od niego zależy, kiedy wypada każde kolejne szkolenie. Rok kalendarzowy jest przy tym jednostką sztywną. Szkolenie odbyte w grudniu wypełnia obowiązek za rok, w którym się odbyło, i nie przenosi go na następny.

Rekomendacja praktyczna, nie obowiązek ustawowy. Pierwsze szkolenie warto przeprowadzić w ramach wdrożenia systemu zarządzania bezpieczeństwem informacji, przed upływem terminu na realizację obowiązków wskazanego w art. 33 ust. 1 ustawy nowelizującej, a rok jego przeprowadzenia traktować jako pierwszy rok cyklu.

Jaki zakres wyznacza ustawa

Art. 8e ust. 2 odsyła do konkretnych przepisów. Poniższe zestawienie przekłada je na obszary, o które zarząd faktycznie pyta, i na decyzje, które za każdym z nich stoją.

Obszar wskazany w art. 8e ust. 2	Co obejmuje	Decyzja zarządu, którą obsługuje
Obowiązki rejestrowe (art. 7b ust. 4, art. 7c, art. 7f ust. 3)	Wniosek o wpis do Wykazu KSC, zgłaszanie zmiany danych, wykreślenie z wykazu po ustaniu przesłanek	Kto pilnuje statusu podmiotu i terminów aktualizacji danych
System zarządzania bezpieczeństwem informacji (art. 8)	Katalog środków od polityk szacowania ryzyka, przez bezpieczeństwo zasobów ludzkich, łańcuch dostaw ICT, ciągłość działania, monitorowanie, kryptografię i uwierzytelnianie wieloskładnikowe, po zarządzanie aktywami i kontrolę dostępu; w podmiocie ważnym będącym podmiotem publicznym — uproszczony system według załącznika do ustawy	Zakres wdrożenia, priorytety, budżet oraz podział na prace własne i powierzone dostawcy
Zadania kierownika podmiotu (art. 8d)	Decyzje dotyczące SZBI, planowanie środków finansowych, przydział zadań i nadzór nad ich wykonaniem, świadomość personelu, zgodność z prawem i regulacjami wewnętrznymi	Sposób, w jaki zarząd te zadania wykonuje — i czym to udokumentuje
Weryfikacja niekaralności personelu (art. 8f ust. 1 i 2)	Informacja z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji, przed dopuszczeniem osoby do zadań z art. 8 lub art. 11, oraz ponowne żądanie informacji przy uzasadnionym podejrzeniu; ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej zastępuje ten wymóg	Moment dopuszczenia do zadań i zmiana w procesie kadrowym
Kontakt i informowanie (art. 9)	Wyznaczenie co najmniej dwóch osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa — jedna wystarcza wyłącznie mikro- i małemu przedsiębiorcy oraz podmiotowi ważnemu będącemu podmiotem publicznym; kanał zgłaszania cyberzagrożeń, podatności i incydentów; przekazywanie użytkownikom wiedzy o zagrożeniach	Obsada, zastępstwa i realna dostępność tych osób
Dokumentacja cyberbezpieczeństwa (art. 10)	Opracowanie i aktualizacja dokumentacji normatywnej i operacyjnej, przechowywanie przez co najmniej 2 lata	Kto utrzymuje dokumentację i w jakim trybie zarząd ją przegląda
Obsługa i zgłaszanie incydentów oraz sprawozdawczość (art. 11–12b)	Obsługa incydentu, klasyfikacja incydentu poważnego według progów, wczesne ostrzeżenie w 24 godziny i zgłoszenie w 72 godziny — oba liczone od wykrycia; sprawozdanie okresowe na wniosek CSIRT, sprawozdanie końcowe w miesiąc od zgłoszenia, sprawozdanie z postępu przy obsłudze niezakończonej; obowiązek informowania użytkowników usług; przekazywanie przez system S46	Droga eskalacji do kierownika i gotowość organizacji w pierwszej dobie
Struktury i audyt (art. 14, art. 15)	Własne struktury odpowiedzialne za cyberbezpieczeństwo albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, a także audyt bezpieczeństwa systemu informacyjnego — w podmiocie kluczowym co najmniej raz na trzy lata, licząc od podpisania poprzedniego raportu	Model obsługi obszaru i harmonogram audytu

Zestawienie pokazuje, dlaczego szkolenie o zagrożeniach nie wystarcza. Poza jednym obszarem — bezpieczeństwem zasobów ludzkich i cyberhigieną — cała lista dotyczy organizacji pracy, umów, dokumentów i terminów, a nie techniki.

Jeden element warto na szkoleniu zweryfikować w procedurach, bo najczęściej jest w nich zapisany błędnie. Jest nim adresat zgłoszenia. Ustawa kieruje je do właściwego CSIRT sektorowego, ale przepisy przejściowe utrzymują CSIRT MON, CSIRT NASK i CSIRT GOV jako adresatów do czasu ogłoszenia komunikatu o osiągnięciu przez CSIRT sektorowy zdolności operacyjnej — a na ich ustanowienie organy właściwe mają osiemnaście miesięcy.

Co powinien zawierać program

To już ocena praktyczna, nie treść przepisu. Program, który wykorzystuje ten czas sensownie, opiera się na materiale konkretnej organizacji i zawiera zwykle siedem elementów.

1. Mapę obowiązków podmiotu z przypisaniem ról — kto realizuje każdy z obszarów z tabeli powyżej i po czym zarząd pozna, że jest realizowany.
2. Wyjaśnienie konstrukcji odpowiedzialności. Chodzi o to, co znaczy, że powierzenie zadań nie przenosi odpowiedzialności, jak wygląda sytuacja organu wieloosobowego i na czym polega odrębność kary dla kierownika.
3. Czytanie analizy ryzyka na poziomie decyzyjnym — co zarząd zatwierdza, jaki poziom ryzyka akceptuje i jak to zapisuje.
4. Ćwiczenie decyzyjne na pierwszej dobie incydentu. Rozstrzyga ono, kto informuje kierownika, w jakim czasie, kto decyduje o zgłoszeniu i co się dzieje, gdy decyzja zapada w piątek wieczorem.
5. Nadzór nad dostawcami — które zapisy umowne wymagają zmiany i kto w organizacji może je wynegocjować.
6. Przegląd dowodów. Odpowiada na pytanie, jak wygląda dokumentacja, którą organizacja pokaże audytorowi, i czego w niej dziś brakuje.
7. Kalendarz obowiązków własnej organizacji na najbliższe dwanaście miesięcy, z terminami, które ta organizacja realnie ma przed sobą.

Element czwarty jest w praktyce najbardziej pouczający. Rozmowa o obowiązku zgłoszenia zwykle kończy się ustaleniem, że informacja o incydencie dociera do zarządu wolniej, niż wymagają tego terminy sprawozdawcze — a to ustalenie zmienia procedurę, nie stan wiedzy.

Czym wykazać, że obowiązek został wykonany

Art. 8e ust. 3 wymaga udokumentowania udziału w szkoleniu, ale nie opisuje formy dokumentu. Wartość dowodową ma zestaw, który pozwala odtworzyć, czego szkolenie dotyczyło. Składają się na niego program z zakresem odniesionym do przepisów wskazanych w art. 8e ust. 2, data i forma zajęć, imienne potwierdzenie udziału kierownika podmiotu oraz osoby, której powierzono obowiązki, a także materiały przekazane uczestnikom. Samo zaświadczenie z nazwą „Szkolenie NIS2” pokazuje, że ktoś gdzieś był.

Praktyczna uwaga do cyklu jest jedna. Przepis mówi o roku kalendarzowym, a nie o dwunastu miesiącach od poprzedniego szkolenia.

Organizacje, które planują szkolenia w cyklu rocznym liczonym od daty poprzedniego, po kilku latach wypadają z roku kalendarzowego niepostrzeżenie.

Czym to szkolenie różni się od szkolenia dla personelu

To dwa różne obowiązki i mylenie ich kosztuje albo pieniądze, albo zgodność. Szkolenie kierownika ma źródło w art. 8e i dotyczy imiennie wskazanych osób. Edukacja personelu z zakresu cyberbezpieczeństwa oraz podstawowe zasady cyberhigieny są natomiast elementami systemu zarządzania bezpieczeństwem informacji z art. 8, a kierownik odpowiada za to, by personel był świadomy obowiązków i znał wewnętrzne regulacje (art. 8d). Dla personelu ustawa nie podaje interwału — Ministerstwo Cyfryzacji w materiale pytań i odpowiedzi wskazuje, że edukacja powinna odbywać się na bieżąco i uwzględniać obowiązki personelu w ramach SZBI, obowiązujące procedury oraz przykłady incydentów. Wyjątkiem są podmioty ważne będące podmiotami publicznymi. Dla nich załącznik do ustawy wymienia szkolenie osób zaangażowanych w przetwarzanie informacji jako konkretne działanie, a przegląd całego systemu nakazuje co najmniej raz w roku. Kogo poza kierownikiem podmiotu obejmuje ta druga grupa, rozstrzyga materiał Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem?.

Z tego wynika prosty wniosek organizacyjny. Jedno wydarzenie nie obsłuży obu obowiązków. Zarząd i personel potrzebują innej treści, a wspólne szkolenie zwykle kończy się materiałem zbyt technicznym dla zarządu i zbyt abstrakcyjnym dla pracowników. Jeżeli organizacja podlega równolegle RODO, praktyczniej jest ułożyć jeden plan szkoleń zamiast dwóch. Twardy termin z ustawy o KSC wyznacza rytm dla ról kierowniczych, a kryteria z RODO — zakres dla pozostałych grup. Jak wyznaczyć ten drugi rytm, opisałem w materiale Jak często szkolić pracowników z ochrony danych osobowych?.

Najczęstsze błędy

• Szkolenie o dyrektywie zamiast o obowiązkach podmiotu. Omówienie NIS2 na poziomie unijnym jest użyteczne jako wprowadzenie, ale nie pokrywa zakresu z art. 8e ust. 2, bo obowiązki wynikają z ustawy krajowej.
• Program techniczny dla odbiorcy zarządczego. Przegląd typów ataków nie przygotowuje do zatwierdzenia analizy ryzyka ani do decyzji o zgłoszeniu incydentu.
• Pominięcie osoby, której powierzono obowiązki kierownika. Ustawa wymienia ją obok kierownika podmiotu, a w praktyce to ona prowadzi temat na co dzień.
• Przeszkolenie jednego członka zarządu przy braku formalnego wskazania odpowiedzialnego. Jeżeli wskazania nie ma, odpowiedzialność obejmuje wszystkich członków organu.
• Dowód ograniczony do listy obecności. Bez programu i zakresu nie da się wykazać, że szkolenie odpowiadało przepisom, do których odsyła ustawa.
• Odkładanie szkolenia na koniec okresu dostosowawczego. Odroczone są kary, nie obowiązki — a szkolenie przeprowadzone wcześnie pokazuje, czego brakuje w pozostałych obszarach, na które termin jest ten sam.
• Szkolenie zamiast analizy luk. Szkolenie porządkuje wiedzę zarządu o obowiązkach; nie zastępuje ustalenia, które z nich organizacja już spełnia.

Wnioski i dalsze kroki

Pytanie o zakres szkolenia ma nietypowo konkretną odpowiedź, bo ustawodawca powiązał go z odpowiedzialnością kierownika podmiotu. Dobre szkolenie dla zarządu to zatem nie wykład o cyberbezpieczeństwie, tylko przegląd obowiązków własnej organizacji zakończony listą decyzji do podjęcia i listą dowodów do skompletowania.

Kolejność, która sprawdza się przy zamawianiu takiego szkolenia.

1. Ustal imiennie, kto podlega obowiązkowi. Są to kierownik podmiotu, członkowie organu wieloosobowego przy braku wskazania osoby odpowiedzialnej oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa.
2. Zestaw obowiązki z art. 8e ust. 2 ze stanem faktycznym organizacji — ten dokument jest jednocześnie materiałem szkoleniowym i wstępem do analizy luk.
3. Zażądaj od prowadzącego programu odniesionego do przepisów, a nie do agendy tematycznej.
4. Zaplanuj termin w roku kalendarzowym, nie w cyklu dwunastomiesięcznym, i zapisz przyjęte założenie co do pierwszego roku cyklu.
5. Ustal, co pozostanie po szkoleniu jako dowód i gdzie będzie przechowywane.
6. Zapisz decyzje, które na szkoleniu zapadły — to one, a nie zaświadczenie, są jego rezultatem.

Jeżeli organizacja dopiero układa kolejność prac, samo szkolenie nie jest pierwszym krokiem. Pierwszym jest rozstrzygnięcie, kto odpowiada i jaki jest punkt wyjścia, a zaraz po nim analiza luk w przygotowaniu do NIS2 i KSC — bez niej szkolenie omawia obowiązki w oderwaniu od tego, ile z nich organizacja już spełnia.

Materiały powiązane

• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejność decyzji zarządu po ustaleniu, że organizacja podlega ustawie o KSC.
• Co zrobić po wykryciu incydentu? — pierwsza doba, terminy zgłoszeń i sprawozdawczość, czyli materiał do ćwiczenia decyzyjnego z punktu czwartego programu.
• Jak często szkolić pracowników z ochrony danych osobowych? — obowiązek szkoleniowy w RODO, wyzwalacze poza harmonogramem i sposób wykazania efektu.
• Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem? — krąg osób poza kierownikiem podmiotu i sposób jego wyprowadzenia z art. 8 i art. 11.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 8c–8f, art. 9–15 i art. 73a, tekst ujednolicony — Kancelaria Sejmu, ISAP: isap.sejm.gov.pl (dostęp: 18.08.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — przepisy przejściowe, Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 18.08.2026)
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), art. 20 — EUR-Lex: eur-lex.europa.eu (dostęp: 18.08.2026)
• Nowelizacja ustawy o KSC — pytania i odpowiedzi — Ministerstwo Cyfryzacji: gov.pl (dostęp: 18.08.2026)
• Nowelizacja ustawy o KSC — obowiązki podmiotów kluczowych i ważnych — Ministerstwo Cyfryzacji: gov.pl (dostęp: 18.08.2026)