Szkolenie kadry zarządzającej KSC - obowiązek i zakres szkolenia

Kogo dotyczy obowiązek szkolenia kierownika podmiotu?

Podstawą obowiązku jest art. 8e ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce dyrektywę NIS2. Dotyczy on kierownika podmiotu kluczowego i podmiotu ważnego, a także osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. W spółce kierownikiem jest zwykle zarząd; przy organie wieloosobowym definicja obejmuje członków tego organu. W jednostce sektora finansów publicznych chodzi o kierownika jednostki. Nie każdy menedżer w organizacji jest więc kierownikiem w rozumieniu KSC.

Szkolenie zarządu NIS2 przygotowuje do decyzji, które należą do kierownictwa: zatwierdzania działań, zapewniania środków i nadzorowania wykonania obowiązków. Zgodnie z art. 8c powierzenie zadań innej osobie nie wyłącza odpowiedzialności kierownika. Uczestnictwo specjalisty IT nie zastępuje zatem udziału osób objętych art. 8e.

Punktem wyjścia jest ustalenie statusu organizacji. Zasady kwalifikacji opisujemy w artykule NIS2 - kogo dotyczy ustawa o KSC. W bankowości i infrastrukturze rynków finansowych art. 8i przewiduje odrębności związane z rozporządzeniem DORA. Nie znosi to szkolenia kierownictwa: obowiązki z art. 8c-8f stosuje się tam odpowiednio.

Jak często trzeba odbywać szkolenie według KSC?

Art. 8e ust. 1 wymaga szkolenia raz w roku kalendarzowym. To obowiązek cykliczny, dlatego szkolenie kierownictwa powinno mieć miejsce w rocznym planie działań, wraz z osobą odpowiedzialną za organizację i przechowywanie potwierdzeń.

Art. 33 ust. 1 nowelizacji określa okres dostosowania do obowiązków rozdziału 3 dla podmiotów spełniających przesłanki 3 kwietnia 2026 roku. W aktualnym FAQ (pkt 3.46, październik 2026) Ministerstwo Cyfryzacji wyjaśnia, że dla tej grupy pierwsze szkolenie trzeba przeprowadzić najpóźniej w 2027 roku; można odbyć je w 2026 roku, a kolejne w 2027. Jest to urzędowe objaśnienie zastosowania przepisów przejściowych. Sam art. 8e wymaga szkolenia raz w roku kalendarzowym. Dla podmiotów obejmowanych później pierwszy rok należy ustalić według momentu spełnienia przesłanek i właściwej ścieżki ustawowej.

Co musi obejmować szkolenie kadry zarządzającej KSC?

Szkolenie kierownictwa obejmuje decyzje i nadzór nad wykonywaniem obowiązków KSC. Szkolenia pracowników koncentrują się na bezpiecznej pracy i reagowaniu na zagrożenia. Program ograniczony do phishingu nie pokrywa całego zakresu wymaganego od kierownika. Formy zajęć dla obu grup opisujemy na stronie szkoleń z cyberbezpieczeństwa.

Art. 8e ust. 2 określa zakres przez odesłanie do konkretnych obowiązków w ustawie. Poniższe siedem obszarów porządkuje cały ten katalog. Jest to czytelny podział programu, a nie odrębna ustawowa lista modułów. Przy każdym obszarze wskazujemy jego podstawę prawną i znaczenie dla kierownictwa.

1. Wpis, aktualizacja i wykreślenie z Wykazu KSC

Art. 7b ust. 4, art. 7c i art. 7f ust. 3 dotyczą danych w wykazie: uzupełnienia wpisu z urzędu, złożenia wniosku o wpis, aktualizacji danych i wniosku o wykreślenie, gdy organizacja przestaje spełniać odpowiednie przesłanki. Kierownictwo powinno znać właściwy tryb, wymagane dane, zasady składania oświadczeń i podpisywania wniosków.

W praktyce szkolenie pomaga ustalić, kto monitoruje zmiany działalności i danych organizacji oraz kto przygotowuje i zatwierdza wnioski. Szczegóły procedury przedstawiamy w materiale o samoidentyfikacji NIS2 i rejestracji w Wykazie KSC.

2. SZBI, szacowanie ryzyka i zabezpieczenia

Art. 8 obejmuje system zarządzania bezpieczeństwem informacji (SZBI). Kierownictwo powinno rozumieć, jak ocenia się ryzyko incydentu i dobiera środki proporcjonalne do ryzyka, wielkości podmiotu oraz skutków zakłócenia usług. W określonych podmiotach ważnych, w tym publicznych, zastosowanie ma szczególna ścieżka SZBI z art. 8 ust. 3 i załącznika nr 4.

Program powinien także wyjaśniać zbieranie informacji o zagrożeniach i podatnościach, zarządzanie incydentami oraz ograniczanie ich skutków: ochronę danych, aktualizacje, zapobieganie nieuprawnionym zmianom i reagowanie na wykryte podatności. Najważniejsze grupy środków wskazanych w art. 8 ust. 1 pkt 2 to:

• ▸Polityki szacowania ryzyka i bezpieczeństwa, w tym polityki tematyczne, oraz ocena skuteczności zabezpieczeń.
• ▸Bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji systemów, wraz z testowaniem.
• ▸Bezpieczeństwo fizyczne i środowiskowe, kontrole dostępu oraz bezpieczeństwo zasobów ludzkich.
• ▸Bezpieczeństwo i ciągłość łańcucha dostaw, z uwzględnieniem ryzyk związanych z dostawcami.
• ▸Wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania, awaryjnych i odtworzenia działalności.
• ▸Monitorowanie systemów informacyjnych w trybie ciągłym.
• ▸Edukacja personelu i podstawowe zasady cyberhigieny.
• ▸Zasady stosowania kryptografii, w tym szyfrowania w odpowiednich przypadkach.
• ▸Bezpieczna komunikacja elektroniczna, z uwierzytelnianiem wieloskładnikowym w odpowiednich przypadkach.
• ▸Zarządzanie aktywami i polityki kontroli dostępu.

3. Decyzje, budżet i nadzór kierownictwa

Art. 8d wskazuje pięć zadań kierownika: podejmowanie decyzji dotyczących SZBI, planowanie adekwatnych środków finansowych, przydzielanie zadań i nadzorowanie wykonania, zapewnianie świadomości personelu oraz zgodności działania z prawem i regulacjami wewnętrznymi.

Ten moduł szkolenia powinien łączyć obowiązki z konkretnymi decyzjami: jakie informacje zarząd otrzymuje o ryzyku, kto wykonuje działania naprawcze i jak sprawdzany jest ich postęp. Pomaga to przełożyć raport techniczny na priorytety, budżet i odpowiedzialność za wykonanie.

4. Weryfikacja osób realizujących zadania cyberbezpieczeństwa

Art. 8f ust. 1 i 2 dotyczy informacji z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji. Osoba realizująca zadania z art. 8 lub art. 11 przedstawia ją przed rozpoczęciem tych zadań. Kierownik dopuszcza tę osobę do ich realizacji po otrzymaniu informacji. Ustawa przewiduje też ponowną weryfikację przy uzasadnionym podejrzeniu skazania oraz szczególne zasady dla posiadaczy odpowiedniego poświadczenia bezpieczeństwa.

Szkolenie wyjaśnia, jakie role obejmuje weryfikacja i kto odpowiada za jej przeprowadzenie. Obowiązek ten odnosi się do osób wykonujących wskazane zadania, a nie automatycznie do wszystkich uczestników szkolenia.

5. Osoby kontaktowe, użytkownicy usług i dokumentacja

Art. 9 obejmuje wyznaczenie osób kontaktowych, udostępnianie użytkownikom wiedzy o cyberzagrożeniach, zapewnienie im możliwości zgłaszania zagrożeń, incydentów i podatności oraz korzystanie z systemu teleinformatycznego KSC po wpisie do wykazu. Program powinien uwzględniać wyjątki dotyczące liczby osób kontaktowych.

Art. 10 wymaga opracowywania, stosowania i aktualizowania dokumentacji bezpieczeństwa. Kierownictwo poznaje różnicę między procedurą a dowodem jej wykonania, zasady dostępu, ochrony, wersjonowania, przechowywania i niszczenia dokumentacji. Dzięki temu wie, czego oczekiwać od zespołu podczas przeglądu SZBI lub audytu. Zakres omawiamy w poradniku dokumentacji SZBI i analizy ryzyka.

6. Obsługa i zgłaszanie incydentów

Art. 11, 12, 12a i 12b obejmują obsługę i rejestrowanie incydentów, ich klasyfikację, zgłaszanie incydentów poważnych, współpracę z właściwymi zespołami CSIRT oraz usuwanie wskazanych podatności. Zakres obejmuje także komunikację z użytkownikami o poważnym cyberzagrożeniu i incydencie wpływającym na usługi.

Kierownictwo powinno poznać zasady i terminy przekazywania wczesnego ostrzeżenia, zgłoszenia, sprawozdania okresowego, końcowego i sprawozdania z postępu obsługi, a także wymagane informacje oraz ochronę tajemnic prawnie chronionych. Obowiązki dopasowuje się do rodzaju podmiotu, z uwzględnieniem wyjątków, m.in. z art. 12c dla podmiotów ważnych będących podmiotami publicznymi.

Na szkoleniu warto przepracować scenariusz zakłócenia usługi: kto podejmuje decyzję, kto dokonuje zgłoszenia i jak organizacja zapewnia szybki przepływ informacji. Taki scenariusz jest sposobem nauki, a nie dodatkowym wymogiem art. 8e.

7. Organizacja cyberbezpieczeństwa i audyt

Art. 14 dotyczy powołania struktur wewnętrznych odpowiedzialnych za cyberbezpieczeństwo albo zawarcia umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa. Szkolenie powinno wyjaśniać, jak określić zadania, zasady współpracy i nadzór nad ich realizacją.

Art. 15 obejmuje audyt: podmiot kluczowy przeprowadza go co najmniej raz na trzy lata, z uwzględnieniem odrębnych zasad pierwszego audytu. Organ może również nakazać audyt podmiotowi ważnemu przy incydencie poważnym lub innym naruszeniu ustawy. Kierownictwo poznaje wymagania wobec audytorów i ich niezależności oraz zasady przekazywania raportów.

Jak udokumentować udział w szkoleniu KSC?

Art. 8e ust. 3 wymaga udokumentowania udziału. Sam przepis nie określa jednolitego wzoru certyfikatu, liczby godzin ani obowiązkowego egzaminu. Nie ustanawia też akredytacji organizatora szkolenia. Wymagania dotyczące audytorów z art. 15 nie są wymaganiami wobec prowadzącego szkolenie.

Praktycznie warto zachować imienne potwierdzenia udziału, datę, program powiązany z obowiązkami ustawowymi i informację o organizatorze. To sposób dokumentowania, a nie ustawowy wzór zaświadczenia. Feelsecure przekazuje potwierdzenia udziału oraz informację o zakresie i terminie szkolenia.

Szkolenie kadry zarządzającej KSC z Feelsecure

W Feelsecure prowadzimy szkolenia dla zarządów i kadry kierowniczej, które wspierają realizację obowiązku KSC. Uwzględniamy opisane wyżej obszary w zakresie właściwym dla podmiotu. Program dobieramy do profilu organizacji, jej statusu, usług, podziału ról i wcześniejszych incydentów. Przekładamy ustawowe zagadnienia na język decyzji biznesowych i ryzyka.

Współpracę zaczynamy od ustalenia odbiorców, celu i formy szkolenia. Następnie uzgadniamy agendę i termin, a po szkoleniu przekazujemy dokumentację udziału. Dostępne formy i sposób współpracy opisujemy w ofercie szkoleń z cyberbezpieczeństwa.

Jeżeli przygotowujesz roczny plan szkoleń lub potrzebujesz programu dla kierownictwa, skontaktuj się z Feelsecure. Ustalimy, które obowiązki dotyczą Twojej organizacji i jak ująć je w szkoleniu. Szkolenie wspiera wykonanie konkretnego obowiązku; pełna zgodność wymaga także wdrożenia pozostałych działań KSC.

Stan prawny: październik 2026. Informacje mają charakter ogólny i nie stanowią porady prawnej. Zakres obowiązków i terminy należy potwierdzić dla konkretnego podmiotu.