Szkolenia i świadomość cyberbezpieczeństwa w uKSC
Co ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych — oraz jak udokumentować program szkoleń przed audytorem.
uKSC NIS2 KRI §19 Realizacja KSC (LEX) KRI §19 (LEX)
1. Co mówi uKSC o szkoleniach?
Nowelizacja ustawy o KSC (transpozycja NIS2, Dz.U. 2026 poz. 252) rozszerza wymagania SZBI o edukację personelu i cyberhigienę, a wobec kierownictwa wprowadza osobistą odpowiedzialność oraz obowiązkowe szkolenie roczne.
Art. 8 ust. 1 pkt 2 lit. i–j — SZBI
Środki organizacyjne w systemie zarządzania bezpieczeństwem informacji obejmują m.in.:
- edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu;
- podstawowe zasady cyberhigieny.
Art. 8e — szkolenie kierownictwa
Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie. Zakres obejmuje m.in. art. 8, art. 8d, art. 11, art. 15. Udział jest udokumentowany.
Art. 8c–8d — odpowiedzialność zarządcza
Kierownik ponosi odpowiedzialność za cyberbezpieczeństwo podmiotu i m.in. zapewnia świadomość obowiązków personelu oraz zna wewnętrzne regulacje. Za niewykonanie obowiązków grozi kara pieniężna do 300 % wynagrodzenia (art. 73a; dla podmiotu publicznego do 100 %).
Art. 9 ust. 1 pkt 2 — użytkownicy usługi
Podmiot zapewnia użytkownikom usługi dostęp do wiedzy o cyberzagrożeniach i skutecznych sposobach zabezpieczenia — w szczególności przez informacje na stronie internetowej (dopuszczalne hiperłącze do CSIRT lub MC).
Art. 11 ust. 1 pkt 1 — obsługa incydentu
Zdolność do obsługi incydentów wymaga kompetentnego personelu. W praktyce audytowej dowodem są certyfikaty i szkolenia kierunkowe (np. incident handling) oraz raporty z ćwiczeń (symulacje phishingu, ransomware).
KRI §19 ust. 2 pkt 6 — sektor publiczny
Dla podmiotów publicznych (zał. nr 4 do uKSC) obowiązuje m.in. szkolenie osób zaangażowanych w przetwarzanie informacji w zakresie:
- zagrożeń bezpieczeństwa informacji,
- skutków naruszenia zasad (w tym odpowiedzialności prawnej),
- środków minimalizujących błędy ludzkie.
Tekst jednolity: Dz.U. 2026 poz. 20 · nowelizacja NIS2: Dz.U. 2026 poz. 252
2. Dla kogo planować szkolenia?
Ustawa nie podaje jednego uniwersalnego programu — wymaga adekwatności do roli i ryzyka. Poniższy podział odpowiada typowej praktyce audytowej SZBI:
Kierownictwo
Art. 8e — roczne szkolenie obowiązkowe. Zakres prawny, nadzór, budżet, odpowiedzialność osobista.
IT / bezpieczeństwo / IR
Obsługa incydentów (art. 11), SOC/CSIRT, playbooki, weryfikacja niekaralności (art. 8f).
Personel ogółem
Edukacja i cyberhigiena (art. 8), KRI §19 — phishing, hasła, MFA, raportowanie podejrzanych zdarzeń.
Użytkownicy usługi
Art. 9 — materiały na stronie www, kanał zgłoszeń cyberzagrożeń i podatności.
3. Proponowany cykl szkoleniowy (PDCA)
Plan — macierz ról i wymagań
Określ, kto musi przejść jakie szkolenie (kierownictwo / IT / wszyscy pracownicy), częstotliwość (roczne vs. onboarding) oraz minimalną treść zgodną z art. 8e i KRI.
Realizacja — szkolenie + weryfikacja wiedzy
Warsztat stacjonarny lub e-learning, lista obecności, materiały. Po szkoleniu awareness — test praktyczny (np. quiz phishingowy).
Ćwiczenia — tabletop i symulacje
Raz w roku (lub częściej) ćwiczenie obsługi incydentu — suchy przebieg ransomware lub phishingu. Dowód dla art. 11 ust. 1 pkt 1.
Dokumentacja i przegląd
Archiwizacja list, certyfikatów, wyników testów min. 2 lata (spójnie z art. 10). Coroczny przegląd programu przez kierownictwo (art. 8d).
4. Dowody dla audytora
Zasada operacyjna uKSC: jeśli nie ma zapisu — trudno wykazać spełnienie obowiązku.
- Plan szkoleń — harmonogram, grupy docelowe, treść merytoryczna.
- Lista obecności — podpisana, z datą, tematem i prowadzącym.
- Certyfikat ukończenia — dla uczestników (szczególnie kierownictwa, art. 8e).
- Wyniki testu wiedzy — quiz phishing, wynik progowy, data.
- Protokół ćwiczenia — scenariusz, uczestnicy, wnioski (lessons learned).
- Materiały dla użytkowników usługi — zrzut strony www (art. 9).