Co powinno obejmować szkolenie NIS2 dla zarządu?

Dlaczego to pytanie w ogóle powstaje

Na rynku funkcjonują dwa różne produkty pod tą samą nazwą. Pierwszy to omówienie dyrektywy (UE) 2022/2555: cele, sektory, kalendarz wdrożenia w Unii. Drugi to szkolenie z obowiązków, które ciążą na konkretnym podmiocie na podstawie polskiej ustawy. Zarząd zamawia zwykle to pierwsze, a rozliczany jest z drugiego — bo dyrektywa wiąże państwo członkowskie, natomiast obowiązki organizacji i osobista odpowiedzialność kierownika podmiotu wynikają z ustawy o KSC w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r., obowiązującą od 3 kwietnia 2026 r.

Drugim źródłem wątpliwości jest sama konstrukcja obowiązku szkoleniowego. Ustawa wskazuje, kto się szkoli i jak często: kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzi szkolenie raz w roku kalendarzowym (art. 8e ust. 1), a udział w szkoleniu jest udokumentowany (art. 8e ust. 3). Zakres opisuje przez odesłanie do numerów artykułów, nie przez listę tematów. Czytelnik takiego przepisu wie, że ma się przeszkolić, ale nie widzi wprost, z czego.

To odesłanie ujawnia jednak coś istotnego. Katalog z art. 8e ust. 2 pokrywa się z katalogiem obowiązków, za które kierownik odpowiada na podstawie art. 8c ust. 1. Ustawodawca nie ułożył zatem programu ogólnorozwojowego — połączył zakres szkolenia z zakresem odpowiedzialności. To najkrótsza odpowiedź na pytanie, po co to szkolenie: ma przygotować konkretną osobę do rozliczenia z konkretnych obowiązków.

Co trzeba ustalić przed decyzją

Kto w organizacji podlega obowiązkowi

Pytanie brzmi banalnie, a w praktyce rozstrzyga o połowie kosztu. Obowiązek dotyczy kierownika podmiotu — czyli organu lub osoby zarządzającej podmiotem — oraz osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. W spółce z zarządem trzyosobowym, w której nie wskazano jednego odpowiedzialnego członka, przeszkolić trzeba cały zarząd. W grupie kapitałowej status ustala się osobno dla każdej spółki, więc jedno szkolenie „dla grupy” nie zamyka tematu w podmiotach, których kierownicy w nim nie uczestniczyli.

Osobno warto rozstrzygnąć, czy w szkoleniu ma brać udział ktoś jeszcze. Ustawa tego nie wymaga, ale osoba przygotowująca materiały decyzyjne dla zarządu i osoby wyznaczone do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa zwykle potrzebują tej samej wiedzy — inaczej zarząd dostaje na posiedzenie opracowanie, którego autor rozumiał temat inaczej niż on.

Kiedy obowiązek zaczyna wiązać

Ustawa reguluje cykl, a nie start. Art. 8e ust. 1 nakłada obowiązek odbycia szkolenia raz w roku kalendarzowym, art. 8e ust. 3 wymaga udokumentowania udziału — i na tym kończy się to, co wynika wprost z przepisu. Odrębnego terminu pierwszego szkolenia ustawa nie ustala: nie wskazuje ani daty granicznej, ani zdarzenia, od którego miałby biec.

Praktycznie oznacza to, że organizacja sama przyjmuje i zapisuje założenie co do pierwszego roku cyklu, a potem konsekwentnie się go trzyma — bo od niego zależy, kiedy wypada każde kolejne szkolenie. Rok kalendarzowy jest przy tym jednostką sztywną: szkolenie odbyte w grudniu wypełnia obowiązek za rok, w którym się odbyło, i nie przenosi go na następny.

Rekomendacja praktyczna, nie obowiązek ustawowy: pierwsze szkolenie przeprowadzić w ramach wdrożenia systemu zarządzania bezpieczeństwem informacji, przed upływem terminu na realizację obowiązków wskazanego w art. 33 ust. 1 ustawy nowelizującej, a rok jego przeprowadzenia traktować jako pierwszy rok cyklu.

Jaki zakres wyznacza ustawa

Art. 8e ust. 2 odsyła do konkretnych przepisów. Poniższe zestawienie przekłada je na obszary, o które zarząd faktycznie pyta, i na decyzje, które za każdym z nich stoją.

Obszar wskazany w art. 8e ust. 2	Co obejmuje	Decyzja zarządu, którą obsługuje
Obowiązki rejestrowe (art. 7b ust. 4, art. 7c, art. 7f ust. 3)	Wniosek o wpis do Wykazu KSC, zgłaszanie zmiany danych, wykreślenie z wykazu po ustaniu przesłanek	Kto pilnuje statusu podmiotu i terminów aktualizacji danych
System zarządzania bezpieczeństwem informacji (art. 8)	Katalog środków od polityk szacowania ryzyka, przez bezpieczeństwo zasobów ludzkich, łańcuch dostaw ICT, ciągłość działania, monitorowanie, kryptografię i uwierzytelnianie wieloskładnikowe, po zarządzanie aktywami i kontrolę dostępu; w podmiocie ważnym będącym podmiotem publicznym — uproszczony system według załącznika do ustawy	Zakres wdrożenia, priorytety, budżet oraz podział na prace własne i powierzone dostawcy
Zadania kierownika podmiotu (art. 8d)	Decyzje dotyczące SZBI, planowanie środków finansowych, przydział zadań i nadzór nad ich wykonaniem, świadomość personelu, zgodność z prawem i regulacjami wewnętrznymi	Sposób, w jaki zarząd te zadania wykonuje — i czym to udokumentuje
Weryfikacja niekaralności personelu (art. 8f ust. 1 i 2)	Informacja z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji, przed dopuszczeniem osoby do zadań z art. 8 lub art. 11, oraz ponowne żądanie informacji przy uzasadnionym podejrzeniu; ważne poświadczenie bezpieczeństwa do klauzuli „poufne” lub wyższej zastępuje ten wymóg	Moment dopuszczenia do zadań i zmiana w procesie kadrowym
Kontakt i informowanie (art. 9)	Wyznaczenie co najmniej dwóch osób do kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa — jedna wystarcza wyłącznie mikro- i małemu przedsiębiorcy oraz podmiotowi ważnemu będącemu podmiotem publicznym; kanał zgłaszania cyberzagrożeń, podatności i incydentów; przekazywanie użytkownikom wiedzy o zagrożeniach	Obsada, zastępstwa i realna dostępność tych osób
Dokumentacja cyberbezpieczeństwa (art. 10)	Opracowanie i aktualizacja dokumentacji normatywnej i operacyjnej, przechowywanie przez co najmniej 2 lata	Kto utrzymuje dokumentację i w jakim trybie zarząd ją przegląda
Obsługa i zgłaszanie incydentów oraz sprawozdawczość (art. 11–12b)	Obsługa incydentu, klasyfikacja incydentu poważnego według progów, wczesne ostrzeżenie w 24 godziny i zgłoszenie w 72 godziny — oba liczone od wykrycia; sprawozdanie okresowe na wniosek CSIRT, sprawozdanie końcowe w miesiąc od zgłoszenia, sprawozdanie z postępu przy obsłudze niezakończonej; obowiązek informowania użytkowników usług; przekazywanie przez system S46	Droga eskalacji do kierownika i gotowość organizacji w pierwszej dobie
Struktury i audyt (art. 14, art. 15)	Własne struktury odpowiedzialne za cyberbezpieczeństwo albo umowa z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, a także audyt bezpieczeństwa systemu informacyjnego — w podmiocie kluczowym co najmniej raz na trzy lata, licząc od podpisania poprzedniego raportu	Model obsługi obszaru i harmonogram audytu

Zestawienie pokazuje, dlaczego szkolenie o zagrożeniach nie wystarcza. Poza jednym obszarem — bezpieczeństwem zasobów ludzkich i cyberhigieną — cała lista dotyczy organizacji pracy, umów, dokumentów i terminów, a nie techniki.

Jeden element warto na szkoleniu zweryfikować w procedurach, bo najczęściej jest w nich zapisany błędnie: adresat zgłoszenia. Ustawa kieruje je do właściwego CSIRT sektorowego, ale przepisy przejściowe utrzymują CSIRT MON, CSIRT NASK i CSIRT GOV jako adresatów do czasu ogłoszenia komunikatu o osiągnięciu przez CSIRT sektorowy zdolności operacyjnej — a na ich ustanowienie organy właściwe mają osiemnaście miesięcy.

Co powinien zawierać program

To już ocena praktyczna, nie treść przepisu. Program, który wykorzystuje ten czas sensownie, opiera się na materiale konkretnej organizacji i zawiera zwykle siedem elementów:

1. Mapę obowiązków podmiotu z przypisaniem ról — kto realizuje każdy z obszarów z tabeli powyżej i po czym zarząd pozna, że jest realizowany.
2. Wyjaśnienie konstrukcji odpowiedzialności: co znaczy, że powierzenie zadań nie przenosi odpowiedzialności, jak wygląda sytuacja organu wieloosobowego i na czym polega odrębność kary dla kierownika.
3. Czytanie analizy ryzyka na poziomie decyzyjnym — co zarząd zatwierdza, jaki poziom ryzyka akceptuje i jak to zapisuje.
4. Ćwiczenie decyzyjne na pierwszej dobie incydentu: kto informuje kierownika, w jakim czasie, kto decyduje o zgłoszeniu i co się dzieje, gdy decyzja zapada w piątek wieczorem.
5. Nadzór nad dostawcami — które zapisy umowne wymagają zmiany i kto w organizacji może je wynegocjować.
6. Przegląd dowodów: jak wygląda dokumentacja, którą organizacja pokaże audytorowi, i czego w niej dziś brakuje.
7. Kalendarz obowiązków własnej organizacji na najbliższe dwanaście miesięcy, z terminami, które ta organizacja realnie ma przed sobą.

Element czwarty jest w praktyce najbardziej pouczający. Rozmowa o obowiązku zgłoszenia zwykle kończy się ustaleniem, że informacja o incydencie dociera do zarządu wolniej, niż wymagają tego terminy sprawozdawcze — a to ustalenie zmienia procedurę, nie stan wiedzy.

Czym wykazać, że obowiązek został wykonany

Art. 8e ust. 3 wymaga udokumentowania udziału w szkoleniu, ale nie opisuje formy dokumentu. Wartość dowodową ma zestaw, który pozwala odtworzyć, czego szkolenie dotyczyło: program z zakresem odniesionym do przepisów wskazanych w art. 8e ust. 2, data i forma zajęć, imienne potwierdzenie udziału kierownika podmiotu oraz osoby, której powierzono obowiązki, a także materiały przekazane uczestnikom. Samo zaświadczenie z nazwą „Szkolenie NIS2” pokazuje, że ktoś gdzieś był.

Praktyczna uwaga do cyklu: przepis mówi o roku kalendarzowym, a nie o dwunastu miesiącach od poprzedniego szkolenia. Szkolenie odbyte w grudniu wypełnia obowiązek za rok, w którym się odbyło — nie przenosi go na rok następny. Organizacje, które planują szkolenia w cyklu rocznym liczonym od daty poprzedniego, po kilku latach wypadają z roku kalendarzowego niepostrzeżenie.

Czym to szkolenie różni się od szkolenia dla personelu

To dwa różne obowiązki i mylenie ich kosztuje albo pieniądze, albo zgodność. Szkolenie kierownika ma źródło w art. 8e i dotyczy imiennie wskazanych osób. Edukacja personelu z zakresu cyberbezpieczeństwa oraz podstawowe zasady cyberhigieny są natomiast elementami systemu zarządzania bezpieczeństwem informacji z art. 8, a kierownik odpowiada za to, by personel był świadomy obowiązków i znał wewnętrzne regulacje (art. 8d). Dla personelu ustawa nie podaje interwału — Ministerstwo Cyfryzacji w materiale pytań i odpowiedzi wskazuje, że edukacja powinna odbywać się na bieżąco i uwzględniać obowiązki personelu w ramach SZBI, obowiązujące procedury oraz przykłady incydentów. Wyjątkiem są podmioty ważne będące podmiotami publicznymi: dla nich załącznik do ustawy wymienia szkolenie osób zaangażowanych w przetwarzanie informacji jako konkretne działanie, a przegląd całego systemu nakazuje co najmniej raz w roku. Kogo poza kierownikiem podmiotu obejmuje ta druga grupa, rozstrzyga osobny materiał o doborze grup do szkolenia.

Z tego wynika prosty wniosek organizacyjny: jedno wydarzenie nie obsłuży obu obowiązków. Zarząd i personel potrzebują innej treści, a wspólne szkolenie zwykle kończy się materiałem zbyt technicznym dla zarządu i zbyt abstrakcyjnym dla pracowników. Jeżeli organizacja podlega równolegle RODO, praktyczniej jest ułożyć jeden plan szkoleń zamiast dwóch: twardy termin z ustawy o KSC wyznacza rytm dla ról kierowniczych, a kryteria z RODO — zakres dla pozostałych grup. Jak wyznaczyć ten drugi rytm, opisałem w materiale Jak często szkolić pracowników z ochrony danych osobowych?.

Najczęstsze błędy

• Szkolenie o dyrektywie zamiast o obowiązkach podmiotu. Omówienie NIS2 na poziomie unijnym jest użyteczne jako wprowadzenie, ale nie pokrywa zakresu z art. 8e ust. 2, bo obowiązki wynikają z ustawy krajowej.
• Program techniczny dla odbiorcy zarządczego. Przegląd typów ataków nie przygotowuje do zatwierdzenia analizy ryzyka ani do decyzji o zgłoszeniu incydentu.
• Pominięcie osoby, której powierzono obowiązki kierownika. Ustawa wymienia ją obok kierownika podmiotu, a w praktyce to ona prowadzi temat na co dzień.
• Przeszkolenie jednego członka zarządu przy braku formalnego wskazania odpowiedzialnego. Jeżeli wskazania nie ma, odpowiedzialność obejmuje wszystkich członków organu.
• Dowód ograniczony do listy obecności. Bez programu i zakresu nie da się wykazać, że szkolenie odpowiadało przepisom, do których odsyła ustawa.
• Odkładanie szkolenia na koniec okresu dostosowawczego. Odroczone są kary, nie obowiązki — a szkolenie przeprowadzone wcześnie pokazuje, czego brakuje w pozostałych obszarach, na które termin jest ten sam.
• Szkolenie zamiast analizy luk. Szkolenie porządkuje wiedzę zarządu o obowiązkach; nie zastępuje ustalenia, które z nich organizacja już spełnia.

Wnioski i dalsze kroki

Pytanie o zakres szkolenia ma nietypowo konkretną odpowiedź, bo ustawodawca powiązał go z odpowiedzialnością kierownika podmiotu. Dobre szkolenie dla zarządu to zatem nie wykład o cyberbezpieczeństwie, tylko przegląd obowiązków własnej organizacji zakończony listą decyzji do podjęcia i listą dowodów do skompletowania.

Kolejność, która sprawdza się przy zamawianiu takiego szkolenia:

1. Ustal imiennie, kto podlega obowiązkowi: kierownik podmiotu, członkowie organu wieloosobowego przy braku wskazania osoby odpowiedzialnej oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa.
2. Zestaw obowiązki z art. 8e ust. 2 ze stanem faktycznym organizacji — ten dokument jest jednocześnie materiałem szkoleniowym i wstępem do analizy luk.
3. Zażądaj od prowadzącego programu odniesionego do przepisów, a nie do agendy tematycznej.
4. Zaplanuj termin w roku kalendarzowym, nie w cyklu dwunastomiesięcznym, i zapisz przyjęte założenie co do pierwszego roku cyklu.
5. Ustal, co pozostanie po szkoleniu jako dowód i gdzie będzie przechowywane.
6. Zapisz decyzje, które na szkoleniu zapadły — to one, a nie zaświadczenie, są jego rezultatem.

Jeżeli organizacja dopiero układa kolejność prac, samo szkolenie nie jest pierwszym krokiem. Pierwszym jest rozstrzygnięcie, kto odpowiada i jaki jest punkt wyjścia, a zaraz po nim analiza luk w przygotowaniu do NIS2 i KSC — bez niej szkolenie omawia obowiązki w oderwaniu od tego, ile z nich organizacja już spełnia.

Materiały powiązane

• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — kolejność decyzji zarządu po ustaleniu, że organizacja podlega ustawie o KSC.
• Co zrobić po wykryciu incydentu? — pierwsza doba, terminy zgłoszeń i sprawozdawczość, czyli materiał do ćwiczenia decyzyjnego z punktu czwartego programu.
• Jak często szkolić pracowników z ochrony danych osobowych? — obowiązek szkoleniowy w RODO, wyzwalacze poza harmonogramem i sposób wykazania efektu.
• Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem? — krąg osób poza kierownikiem podmiotu i sposób jego wyprowadzenia z art. 8 i art. 11.

Źródła

• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, art. 8c–8f, art. 9–15 i art. 73a, tekst ujednolicony — Kancelaria Sejmu, ISAP: isap.sejm.gov.pl (dostęp: 18.08.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — przepisy przejściowe, Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 18.08.2026)
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), art. 20 — EUR-Lex: eur-lex.europa.eu (dostęp: 18.08.2026)
• Nowelizacja ustawy o KSC — pytania i odpowiedzi — Ministerstwo Cyfryzacji: gov.pl (dostęp: 18.08.2026)
• Nowelizacja ustawy o KSC — obowiązki podmiotów kluczowych i ważnych — Ministerstwo Cyfryzacji: gov.pl (dostęp: 18.08.2026)