Stan prawny na 6 października 2026 r. Szkolenie z cyberbezpieczeństwa dla kierownictwa firmy nie jest zaleceniem, lecz obowiązkiem zapisanym wprost w ustawie o krajowym systemie cyberbezpieczeństwa (KSC), nazywanej potocznie NIS2 lub KSC 2.0. Poniżej wyjaśniamy, co mówi przepis, kogo dotyczy, jak często trzeba się szkolić i jak to udokumentować.
Czy szkolenie dla zarządu jest obowiązkowe?
Tak. Art. 8e ust. 1 ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa stanowi, że kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie. Przepis wprowadziła nowelizacja z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r.
To samo wynika z pytań i odpowiedzi opublikowanych na cyber.gov.pl: podmiot musi edukować swój personel w obszarze cyberbezpieczeństwa, a obowiązkowemu szkoleniu podlega także kierownik podmiotu kluczowego lub ważnego.
Kogo dotyczy obowiązek szkolenia
Obowiązek dotyczy dwóch grup osób:
- kierownika podmiotu kluczowego lub ważnego - ustawa definiuje go jako kierownika jednostki w rozumieniu ustawy o rachunkowości, kierującego podmiotem; według art. 3 ust. 1 pkt 6 tej ustawy jest to członek zarządu lub innego organu zarządzającego, a przy organie wieloosobowym - członkowie tego organu (z wyłączeniem pełnomocników);
- osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa.
Obowiązek ciąży więc na kierownictwie podmiotów kluczowych i ważnych, a nie na każdej firmie. To, czy firma się do nich zalicza, wynika z samooceny. Według komunikatu na gov.pl podmioty kluczowe i ważne były obowiązane po samoocenie złożyć do 3 października 2026 r. wniosek o wpis do wykazu. Szczegóły o kryteriach i wykazie znajdziesz w artykule NIS2 / KSC 2.0: kto musi być w wykazie.
Jak często i czego ma dotyczyć szkolenie
Ustawa mówi o szkoleniu raz w roku kalendarzowym. Przepis posługuje się więc rokiem kalendarzowym, a nie okresem 12 miesięcy od poprzedniego szkolenia.
Zakres wyznacza art. 8e ust. 2: szkolenie obejmuje wykonywanie obowiązków wskazanych w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9-12b, art. 14 i art. 15 ustawy. Art. 8e nie określa natomiast długości szkolenia, jego formy (stacjonarnej lub online), certyfikatu ani wymagań wobec organizatora, a także nie podaje osobnej daty pierwszego szkolenia. Ten sam komunikat na gov.pl wskazuje 12 miesięcy (do 3 kwietnia 2027 r.) na wdrożenie obowiązków z zakresu systemu zarządzania bezpieczeństwem informacji, ale nie omawia w tym miejscu szkolenia kierownika. Wątpliwości co do terminu warto rozstrzygnąć z prawnikiem.
Jak udokumentować szkolenie
Art. 8e ust. 3 mówi krótko: udział w szkoleniu jest udokumentowany. Ustawa nie wskazuje formy dokumentu, więc poniższa lista to praktyka, a nie wymóg ustawowy. Przydatne są:
- imię i nazwisko osoby przeszkolonej oraz jej funkcja w podmiocie;
- data szkolenia i nazwa organizatora lub prowadzącego;
- program lub zakres tematów, najlepiej odniesiony do art. 8e ust. 2;
- lista obecności albo potwierdzenie ukończenia kursu oraz otrzymane materiały.
Dokumenty warto przechowywać razem z pozostałą dokumentacją dotyczącą cyberbezpieczeństwa i gromadzić je za każdy rok kalendarzowy, także dla osoby z powierzonymi obowiązkami kierownika.
Gdzie znaleźć szkolenie dla zarządu
Jeśli szukasz materiału do samodzielnej nauki dla kadry zarządzającej, zobacz Szkolenie NIS2 dla zarządu; to, czy konkretne szkolenie wystarczy w Twojej organizacji, warto ocenić z doradcą, bo art. 8e nie określa wymagań wobec jego programu. Artykuł ma charakter informacji ogólnej i nie stanowi porady prawnej.