Kierownik podmiotu kluczowego lub ważnego - także szkoły, ośrodka pomocy społecznej czy biblioteki, które są podmiotem ważnym - raz w roku kalendarzowym przechodzi szkolenie z cyberbezpieczeństwa (art. 8e ust. 1 znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa). To samo dotyczy osoby, której powierzył obowiązki kierownika w tym zakresie. Udział w szkoleniu musi być udokumentowany (art. 8e ust. 3), a za wykonanie obowiązków z ustawy kierownik odpowiada osobiście, nawet jeśli powierzył je komuś innemu (art. 8c). Poniżej wyjaśniamy, kogo to dotyczy, co powinno obejmować szkolenie i jak je zapisać.
Kto jest kierownikiem podmiotu
Ustawa definiuje kierownika podmiotu kluczowego lub ważnego w art. 2 pkt 8a. W firmie jest nim kierownik jednostki w rozumieniu ustawy o rachunkowości, a w jednostce sektora finansów publicznych - kierownik jednostki z art. 53 ust. 1 ustawy o finansach publicznych. W praktyce:
- w szkole i przedszkolu - dyrektor,
- w ośrodku pomocy społecznej - kierownik albo dyrektor ośrodka,
- w bibliotece i domu kultury - dyrektor instytucji kultury,
- w urzędzie gminy - wójt, burmistrz lub prezydent miasta,
- w spółce - zarząd.
Jeśli kierownikiem jest organ wieloosobowy, na przykład zarząd, i nie wskazano w nim osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2).
Za co kierownik odpowiada osobiście
Nowelizacja z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która wdrożyła dyrektywę NIS2, przenosi odpowiedzialność za cyberbezpieczeństwo na kierownictwo. Art. 8c ust. 1 mówi, że kierownik odpowiada za wykonywanie przez podmiot obowiązków z ustawy - m.in. dotyczących wykazu, SZBI, osoby do kontaktów, dokumentacji, incydentów i audytu. Powierzenie obowiązków innej osobie, za jej zgodą, tej odpowiedzialności nie znosi (art. 8c ust. 3).
Art. 8d wymienia, co kierownik robi:
- podejmuje decyzje o przygotowaniu, wdrożeniu, stosowaniu, przeglądzie i nadzorze SZBI,
- planuje środki finansowe na cyberbezpieczeństwo,
- przydziela zadania z cyberbezpieczeństwa i nadzoruje ich wykonanie,
- zapewnia, że personel zna swoje obowiązki i wewnętrzne regulacje,
- zapewnia zgodność działania podmiotu z przepisami i regulacjami wewnętrznymi.
Szkolenie nie jest więc formalnością. Ma przygotować kierownika do decyzji, które i tak musi podejmować. Dyrektywa NIS2 ujmuje to wprost: członkowie organów zarządzających mają zdobyć wiedzę pozwalającą rozpoznawać ryzyko i oceniać praktyki zarządzania nim (art. 20 ust. 2 dyrektywy 2022/2555).
Szkolenie raz w roku kalendarzowym
Art. 8e ust. 1 obejmuje dwie osoby: kierownika i osobę, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Jeśli dyrektor szkoły powierzył je wicedyrektorowi, szkolą się oboje.
Przepis mówi o roku kalendarzowym, a nie o dwunastu miesiącach od poprzedniego szkolenia. Ustawa nie wskazuje też, w którym miesiącu ma się ono odbyć. Obowiązki z rozdziału 3 trzeba wdrożyć do 3 kwietnia 2027 (art. 33 ust. 1 ustawy nowelizującej), dlatego pierwsze szkolenie warto przeprowadzić przed tą datą - kierownik podejmuje decyzje o wdrożeniu SZBI właśnie w tych miesiącach.
Ustawa nie wymaga certyfikatu, akredytowanego prowadzącego ani minimalnej liczby godzin. Szkolenie może prowadzić firma zewnętrzna, inspektor ochrony danych z odpowiednią wiedzą albo jednostka wyznaczona przez gminę do wspólnej obsługi cyberbezpieczeństwa - podmioty publiczne uczestniczą w szkoleniach, które taka jednostka prowadzi (art. 16f pkt 4).
Co powinno obejmować szkolenie
Zakres wyznacza art. 8e ust. 2: wykonywanie obowiązków z art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9-12b, art. 14 i art. 15. Przekładając to na tematy:
- wykaz podmiotów kluczowych i ważnych - uzupełnienie i zmiana danych, wykreślenie (art. 7b-7f),
- SZBI - szacowanie ryzyka, środki techniczne i organizacyjne, a dla podmiotu ważnego publicznego wymagania załącznika nr 4 (art. 8),
- obowiązki samego kierownika z art. 8d,
- informacja z Krajowego Rejestru Karnego od osób realizujących zadania z art. 8 i 11 (art. 8f),
- osoba do kontaktów, dokumentacja bezpieczeństwa i incydenty - w tym terminy zgłoszeń przez system S46 (art. 9-12b),
- struktury wewnętrzne albo umowa z dostawcą usług zarządzanych (art. 14),
- audyt bezpieczeństwa (art. 15).
Dobre szkolenie pokazuje te przepisy na przykładzie własnej jednostki: jakie ma systemy, kto zgłasza incydent, ile ma na to czasu i jakie decyzje czekają kierownika w najbliższym przeglądzie SZBI.
Jak udokumentować szkolenie
Art. 8e ust. 3 wymaga, by udział był udokumentowany, ale nie określa formy. Praktyczny zapis w ewidencji szkoleń zawiera:
| Element | Przykład |
|---|---|
| Uczestnik | imię i nazwisko, stanowisko, rola (kierownik albo osoba, której powierzono obowiązki) |
| Data | dzień szkolenia, a przy kilku częściach - każda z nich |
| Tematyka | program odniesiony do art. 8e ust. 2 |
| Prowadzący | firma albo osoba, jednostka wyznaczona przez gminę |
| Forma | stacjonarnie, zdalnie, e-learning |
| Dowód | zaświadczenie, lista obecności, potwierdzenie ukończenia kursu |
| Kolejny termin | szkolenie w następnym roku kalendarzowym |
Dla podmiotu ważnego publicznego taki zapis jest też częścią dokumentowania działań SZBI, którego wymaga załącznik nr 4 cz. IV.
Szkolenia pracowników
Kierownik zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa (art. 8d pkt 4). Podmioty kluczowe i ważne mają w SZBI edukację personelu i zasady cyberhigieny (art. 8 ust. 1 pkt 2 lit. i i j). Podmiot ważny publiczny szkoli osoby zaangażowane w przetwarzanie informacji m.in. z rodzajów cyberzagrożeń, cyberhigieny, reagowania na incydent i skutków naruszenia zasad bezpieczeństwa (załącznik nr 4 cz. I pkt 17), a zasady cyberhigieny stosuje każdy pracownik, łącznie z kierownikiem (pkt 14).
Te szkolenia warto prowadzić razem ze szkoleniami RODO, których program przygotowuje często inspektor ochrony danych (art. 39 ust. 1 lit. b RODO). Jedna ewidencja szkoleń pokazuje wtedy, kto, kiedy i z czego został przeszkolony. Więcej o inspektorze w artykule Inspektor ochrony danych w jednostce publicznej.
Szkolenie a przegląd SZBI
Podmiot ważny publiczny przegląda SZBI co najmniej raz w roku, a także bezzwłocznie po rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa albo zmianie, która może wpłynąć na ryzyko incydentu poważnego (załącznik nr 4 cz. III). Decyzje o przeglądzie podejmuje kierownik (art. 8d pkt 1).
Oba terminy dobrze ze sobą połączyć. Szkolenie przed przeglądem przygotowuje kierownika do decyzji, a przegląd sprawdza, czy szkolenia - kierownika i pracowników - się odbyły i czy coś trzeba zmienić. Kolejność, która sprawdza się w praktyce: szkolenie kierownika, przegląd SZBI z obszarem szkoleń, decyzje kierownika zapisane w protokole, plan szkoleń pracowników na kolejny rok. Szerzej o całym wdrożeniu piszemy w artykule Wdrożenie SZBI krok po kroku.
Kary dla kierownika
Kierownik, który nie wykonuje obowiązku z art. 8e, może zostać ukarany (art. 73a ust. 1 pkt 4). Kara wynosi do 300% jego wynagrodzenia, a dla kierownika podmiotu publicznego do 100% (art. 73a ust. 4-5). Organ uwzględnia przy tym możliwości finansowe kierownika (art. 76a ust. 1). Gdy podmiot kluczowy, który nie jest podmiotem publicznym, nie wykona nakazu albo decyzji organu, organ może też zakazać kierownikowi pełnienia funkcji zarządczych do czasu usunięcia uchybień (art. 53 ust. 9 pkt 6 i ust. 10).
Kary z ustawy można nałożyć po raz pierwszy po 3 kwietnia 2028 (art. 35 ustawy nowelizującej). Obowiązek szkolenia działa jednak od 3 kwietnia 2027. Szczegóły w artykule Kary w ustawie o KSC.
Jak pomaga Cyberenu
W Cyberenu ewidencja szkoleń przypisuje każde szkolenie do osoby z wykazu pracowników, z datą, rodzajem, tematyką i prowadzącym. Przy włączonym SZBI dochodzi rodzaj „szkolenie kierownika”, a kalendarz wylicza termin kolejnego - rok po ostatnim, czyli ostrożniej niż koniec roku kalendarzowego - i przypomina o nim 30 dni wcześniej.
Przegląd SZBI zapisuje się z datą, powodem, uczestnikami, ustaleniami w każdym obszarze, w tym w obszarze szkoleń, i decyzjami kierownika. Kolejny przegląd przypada rok po ostatnim. O szkolenie, wdrożenie albo przegląd możesz zapytać przez formularz kontaktowy.
