Coroczne szkolenie zarządu z cyberbezpieczeństwa: obowiązek osobisty

Kierownik podmiotu kluczowego lub ważnego ma obowiązek odbyć szkolenie z cyberbezpieczeństwa raz w roku kalendarzowym. To obowiązek osobisty, a nie zadanie działu IT czy compliance: za jego niedopełnienie kara sięga 300 proc. wynagrodzenia kierownika w podmiocie prywatnym i 100 proc. w publicznym, niezależnie od kary nałożonej na spółkę. Do tego dochodzi zakaz pełnienia funkcji zarządczych do czasu usunięcia uchybień.

Obowiązek osobisty, czyli coś, czego zarząd nie zna z dotychczasowego compliance

Większość obowiązków regulacyjnych, z którymi zarząd ma do czynienia na co dzień, działa według tego samego schematu. Obowiązek ciąży na spółce, spółka wyznacza właściciela procesu, właściciel raportuje, a sankcja, jeśli w ogóle się pojawi, obciąża majątek spółki. Kierownik odpowiada wtórnie.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa łamie ten schemat w jednym konkretnym punkcie. Obowiązek odbycia corocznego szkolenia jest przypisany do osoby, nie do organizacji. Nie da się go delegować ani zaliczyć przez fakt, że pracownicy przeszli e-learning. Kierownik albo się przeszkolił w danym roku kalendarzowym, albo nie.

Skąd bierze się ten obowiązek: od dyrektywy do polskiej ustawy

Źródłem jest art. 20 dyrektywy NIS2 (2022/2555). Ustęp 1 tego artykułu przesądza, że organy zarządzające podmiotów kluczowych i ważnych zatwierdzają środki zarządzania ryzykiem w cyberbezpieczeństwie, nadzorują ich wdrożenie i mogą ponosić odpowiedzialność za naruszenia. To jest fundament: zarząd nie jest odbiorcą raportu z bezpieczeństwa, tylko organem zatwierdzającym.

Ustęp 2 idzie dalej i nakłada na państwa członkowskie obowiązek zapewnienia, że członkowie organów zarządzających odbywają szkolenia. Ten sam przepis zachęca podmioty do oferowania podobnych szkoleń pracownikom. Rozróżnienie jest w tekście dyrektywy zbudowane celowo: dla kierownictwa jest to zobowiązanie, dla pracowników zachęta.

Trzeci element to art. 21 ust. 2 lit. g NIS2. Wymienia on podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa jako obowiązkowy składnik systemu zarządzania ryzykiem, obok analizy ryzyka, obsługi incydentów, ciągłości działania, bezpieczeństwa łańcucha dostaw, zarządzania podatnościami, kryptografii, kontroli dostępu i uwierzytelniania wieloskładnikowego. Tu adresatem nie jest już wyłącznie zarząd, tylko cała organizacja.

Polską implementację przyniosła ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, opublikowana w Dz.U. z 2 marca 2026 r., poz. 252, obowiązująca od 3 kwietnia 2026 r. Zgodnie z nowelizacją kierownik podmiotu kluczowego lub ważnego odbywa szkolenie z cyberbezpieczeństwa raz w roku kalendarzowym. Prezydent podpisał ustawę i jednocześnie skierował ją do Trybunału Konstytucyjnego w trybie kontroli następczej, kwestionując między innymi rozszerzenie zakresu na 18 sektorów, mechanizm dostawcy wysokiego ryzyka, polecenia zabezpieczające i surowość kar. Kontrola następcza nie wstrzymuje obowiązywania ustawy, więc terminy biegną normalnie.

Szkolenie kierownictwa a szkolenia pracowników. To nie jest to samo

Najczęstszy błąd wdrożeniowy polega na wysłaniu zarządu na ten sam kurs, co reszta organizacji. Formalnie to nie zamyka tematu, a merytorycznie jest stratą czasu w obie strony.

Terminy, formaty i ceny sesji dla organu zarządzającego znajdziesz na stronie Szkolenie zarządu z cyberbezpieczeństwa NIS2 i uKSC.

Ile to kosztuje, jeśli kierownik nie odbędzie szkolenia

Zakaz pełnienia funkcji zarządczych bywa dotkliwszy niż kwota. Odpowiada on art. 32 ust. 5 lit. b dyrektywy NIS2 i działa jako środek czasowy, do usunięcia uchybień. Dla spółki to luka w organie w środku sytuacji kryzysowej.

Organami nadzoru są Minister Cyfryzacji oraz organy sektorowe, w tym KNF, Prezes URE i Minister Zdrowia. Większość kar administracyjnych może być nakładana od 3 kwietnia 2028 r., co bywa mylnie odczytywane jako karencja dla całego reżimu. Obowiązki biegną wcześniej.

Program szkolenia zarządu: sześć bloków decyzyjnych

Szkolenie dla organu zarządzającego nie jest szkoleniem technicznym. Zarząd musi umieć podjąć sześć rodzajów decyzji i wiedzieć, kiedy zegar zaczyna tykać.

1. Kwalifikacja podmiotu

Wejście do systemu następuje przez samoidentyfikację, a brak wpisu do wykazu nie zwalnia z obowiązków. Próg wejścia to co najmniej 50 zatrudnionych albo obrót lub suma bilansowa powyżej 10 mln EUR w sektorze z załącznika. Duży podmiot z załącznika nr 1 jest podmiotem kluczowym, średni podmiot z załącznika nr 1 oraz średni lub większy z załącznika nr 2 jest podmiotem ważnym. Liczba objętych podmiotów rośnie z około 400 do ponad 10 000 w 18 sektorach.

2. Zatwierdzanie środków zarządzania ryzykiem

To jest czynność organu, nie rekomendacja do przyjęcia. Zarząd zatwierdza katalog środków obejmujący analizę ryzyka i polityki bezpieczeństwa, obsługę incydentów, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo nabywania i utrzymania systemów, zarządzanie podatnościami, ocenę skuteczności środków, cyberhigienę i szkolenia, kryptografię, bezpieczeństwo zasobów ludzkich, kontrolę dostępu oraz uwierzytelnianie wieloskładnikowe. Termin wdrożenia SZBI i pełnych środków technicznych to 3 kwietnia 2027 r.

3. Proces 24 / 72 / miesiąc i kto go uruchamia

Zegar liczy się od wykrycia, nie od potwierdzenia. Wczesne ostrzeżenie w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca liczonego od zgłoszenia 72-godzinnego. Adresatem jest właściwy CSIRT sektorowy, poprzez system S46, a CSIRT sektorowy przekazuje sprawę do CSIRT krajowego w ciągu 8 godzin. Zarząd musi mieć imiennie wskazaną osobę uprawnioną do uruchomienia procedury oraz zastępcę na wypadek nieobecności. Incydentem poważnym jest zdarzenie powodujące lub mogące spowodować przerwanie usługi, straty finansowe albo poważną szkodę materialną lub niematerialną innym podmiotom.

4. Ryzyko łańcucha dostaw i dostawca wysokiego ryzyka

Obowiązki obejmują ocenę ryzyka dostawców ICT, klauzule cyberbezpieczeństwa w umowach oraz weryfikację i audyty dostawców. Osobnym mechanizmem jest uznanie dostawcy za dostawcę wysokiego ryzyka decyzją administracyjną Ministra Cyfryzacji. Skutkiem jest obowiązek wycofania produktów lub usług w terminie od 4 do 7 lat, przy czym 7 lat dotyczy sprzętu w funkcjach krytycznych. Dla zarządu to temat planowania kapitałowego: decyzja o dostawcy podjęta dzisiaj może wymusić wymianę infrastruktury.

5. Polecenie zabezpieczające

Nowelizacja wprowadza instytucję polecenia zabezpieczającego, kwestionowaną we wniosku Prezydenta do Trybunału Konstytucyjnego. Zarząd musi mieć wcześniej rozstrzygnięte, kto w organizacji przyjmuje takie polecenie, jak jest ono eskalowane i w jakim trybie wykonywane.

6. Dokumentowanie i kalendarz

Ostatni blok to praca kalendarzowa. Podmioty kluczowe podlegają audytowi co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028 r., podmioty ważne nadzorowi następczemu. Termin złożenia wniosku o wpis do wykazu upływa 3 października 2026 r.

Dlaczego to nie jest formalność: wektor jest ludzki

Raport roczny CERT Polska za 2025 rok pokazuje strukturę zagrożeń, która przesądza o tym, czym powinno być szkolenie. Zgłoszeń było 658 320, o 10 proc. więcej niż rok wcześniej. Unikalnych zarejestrowanych incydentów odnotowano 260 783, przy czym skok o 152 proc. wynika w dużej mierze ze zmiany sposobu klasyfikacji i agregacji, więc nie należy go czytać jako czystego wzrostu zagrożenia. Dziennie to ponad 1 800 zgłoszeń i ponad 700 incydentów.

Kluczowa jest struktura. Oszustwa komputerowe to 253 238 przypadków, czyli 97 proc. wszystkich incydentów, wobec 95 proc. w 2024 roku. Sam phishing to około 78 000 zdarzeń, 30 proc. wszystkich zarejestrowanych. Dla porównania złośliwe oprogramowanie to 3 438 przypadków, a ransomware 179. Najczęściej podszywano się pod OLX, 28,5 tys. przypadków, i Allegro, 22,5 tys.

Wniosek dla zarządu jest prosty. Dominującym wektorem nie jest luka w firewallu, tylko decyzja człowieka podjęta pod presją czasu. Ofiarami były między innymi energetyka, sektor wodno-kanalizacyjny, szpitale, administracja samorządowa i firmy prywatne. Szkolenie kierownictwa jest więc elementem realnej kontroli ryzyka, a nie pozycją dowodową. To także powód, by zestawiać je z kompetencjami kadry, którymi zajmuje się platforma psychoedukacyjna psychozdrowie.online.

Shadow AI: ryzyko, którego rok temu nie było na agendzie

IBM Cost of a Data Breach Report 2025 podaje średni globalny koszt naruszenia na poziomie 4,44 mln USD, wobec 4,88 mln USD w 2024 roku. Średni czas wykrycia i powstrzymania naruszenia to 241 dni.

Istotniejsza dla zarządu jest inna liczba. Organizacje z wysokim poziomem shadow AI ponoszą o 670 000 USD wyższe koszty naruszenia. Naruszenie modeli lub aplikacji AI zgłosiło 13 proc. organizacji, a 97 proc. z nich nie miało właściwej kontroli dostępu do AI. To ryzyko nie powstaje w dziale IT, tylko w zespołach, które samodzielnie wprowadzają narzędzia AI do procesów, bez rejestru i bez oceny ryzyka.

Jak udokumentować odbycie szkolenia

Skoro obowiązek jest osobisty, dowód też musi być imienny. Zbiorcza faktura za szkolenie zarządu niczego nie potwierdza.

• Imienne zaświadczenie lub certyfikat dla każdego kierownika osobno, z datą, zakresem merytorycznym i liczbą godzin.
• Lista obecności podpisana przez uczestników, a przy formach zdalnych raport frekwencji z platformy z identyfikacją uczestnika i czasem udziału.
• Program szkolenia jako załącznik, pozwalający wykazać, że obejmowało ono zagadnienia wymagane od organu zarządzającego, a nie ogólną cyberhigienę.
• Wpis w rejestrze compliance z datą kolejnego szkolenia, przypisany do roku kalendarzowego, a nie do dwunastu miesięcy od poprzedniego.
• Uchwała lub protokół potwierdzający zatwierdzenie środków zarządzania ryzykiem przez organ, bo szkolenie i zatwierdzenie to dwa odrębne dowody.

Rok kalendarzowy jest tu istotny. Szkolenie odbyte w grudniu 2026 i kolejne w styczniu 2028 oznacza, że rok 2027 pozostaje niepokryty, mimo że odstęp wynosi nieco ponad rok. Bezpieczna praktyka to stały termin w pierwszym półroczu.

Najczęstsze pytania

Czy szkolenie może odbyć jedna osoba w imieniu całego zarządu?

Nie. Obowiązek ma charakter osobisty i dotyczy kierownika podmiotu, a dyrektywa NIS2 w art. 20 ust. 2 mówi o członkach organów zarządzających. Uczestnictwo jednego członka zarządu nie zwalnia pozostałych, a dowodem odbycia szkolenia jest dokument imienny, nie faktura wystawiona na spółkę.

Czy wystarczy szkolenie e-learningowe?

Przepisy nie narzucają formy szkolenia, więc forma zdalna jest dopuszczalna, o ile pozwala udokumentować udział konkretnej osoby, zakres merytoryczny i czas trwania. Kluczowe jest to, żeby program obejmował zagadnienia decyzyjne organu zarządzającego, czyli kwalifikację podmiotu, zatwierdzanie środków zarządzania ryzykiem, terminy zgłoszeń incydentów, ryzyko łańcucha dostaw i polecenie zabezpieczające, a nie wyłącznie podstawową cyberhigienę adresowaną do pracowników.

Nasza spółka nie została wpisana do wykazu podmiotów. Czy obowiązek nas dotyczy?

Kwalifikacja następuje przez samoidentyfikację, a brak wpisu do wykazu nie zwalnia z obowiązków. Jeśli podmiot działa w jednym z 18 sektorów objętych ustawą i osiąga co najmniej próg średniego przedsiębiorcy, czyli co najmniej 50 zatrudnionych albo obrót lub sumę bilansową powyżej 10 mln EUR, obowiązki, w tym coroczne szkolenie kierownika, mają zastosowanie niezależnie od statusu rejestrowego.

Czy kara dla kierownika zastępuje karę dla spółki?

Nie. Kara nakładana na kierownika, do 300 proc. jego wynagrodzenia w podmiocie prywatnym i do 100 proc. w podmiocie publicznym, jest wymierzana niezależnie od kary administracyjnej nakładanej na podmiot. Podmiot kluczowy odpowiada do 10 mln EUR albo 2 proc. przychodów, a podmiot ważny do 7 mln EUR albo 1,4 proc. przychodów, przy czym stosuje się kwotę wyższą.

Od kiedy realnie grożą kary?

Większość kar administracyjnych za naruszenie obowiązków może być nakładana od 3 kwietnia 2028 r., a termin wdrożenia SZBI i pełnych środków technicznych to 3 kwietnia 2027 r. Nie oznacza to jednak bezczynności do 2028 roku: podmioty będące operatorami usług kluczowych już przed 3 kwietnia 2026 r. stosują obowiązki zgłaszania incydentów od razu, a szkolenie kierownika jest rozliczane w cyklu rocznym, więc każdy pominięty rok kalendarzowy pozostaje luką w dokumentacji.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Numeracja jednostek redakcyjnych znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa podana jest orientacyjnie.