NIS2/KSC2: Jak udokumentować szkolenia i budowanie świadomości pracowników?

W skrócieSzkolenia i budowanie świadomości pracowników dokumentujesz w dwóch ścieżkach: udział kierownika w corocznym szkoleniu z art. 8e potwierdzasz dowodem udziału, a edukację personelu z art. 8 ustawy o krajowym systemie cyberbezpieczeństwa (KSC) planem, potwierdzeniami, testami, zapisami z ćwiczeń i oceną skuteczności. Wszystko spina jeden rejestr.

„Wymagane jest udowodnienie stosowania przepisów ustawy a nie przedstawienie formalnie poprawnych dokumentów” - tak Ministerstwo Cyfryzacji opisuje dowody realizacji wymogów dotyczących systemu zarządzania bezpieczeństwem informacji w odpowiedzi 11.6 dokumentu „Pytania i odpowiedzi”. Dla szkoleń to ważna wskazówka. Lista obecności z jednego dnia w roku niewiele pokazuje, jeśli nie widać, czego dotyczyło szkolenie, kto go nie przeszedł, czy ktoś sprawdził wiedzę i czy po ćwiczeniach coś się w firmie zmieniło.

Ustawa o KSC stawia tu dwa różne wymagania. Kierownik podmiotu przechodzi szkolenie raz w roku kalendarzowym, a jego udział ma być udokumentowany (art. 8e). Personel ma być objęty edukacją i zasadami cyberhigieny w ramach systemu zarządzania bezpieczeństwem informacji (SZBI, art. 8), a kierownik ma zapewnić, że pracownicy znają swoje obowiązki i wewnętrzne regulacje (art. 8d pkt 4). Pokazujemy, jak udokumentować obie ścieżki: od planu, przez potwierdzenia i testy, po ćwiczenia, rejestr i ocenę skuteczności. Szersze tło obowiązków opisuje nasz przewodnik po NIS2 i ustawie o KSC.

Pobierz rejestr szkoleń i świadomości KSC (XLSX) Pięć arkuszy: plan roczny, szkolenia kierownika (art. 8e), szkolenia personelu, kampanie i ćwiczenia oraz ocena skuteczności, z fikcyjnymi przykładami bez nazwisk.

Dwie ścieżki: szkolenie kierownika i edukacja personelu

Ustawa traktuje kierownictwo i pracowników osobno, więc i dokumentacja ma dwie ścieżki.

Ścieżka kierownika. Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie o zakresie z art. 8e ust. 2, a „udział w szkoleniu jest udokumentowany” (art. 8e ust. 1-3). To jedyny przepis ustawy, który wprost każe dokumentować udział w szkoleniu. Kogo dokładnie obejmuje i jak liczyć rok kalendarzowy, wyjaśniamy w tekście o obowiązkowym szkoleniu zarządu z KSC.

Ścieżka personelu. SZBI ma zapewniać między innymi „edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu” i „podstawowe zasady cyberhigieny” (art. 8 ust. 1 pkt 2 lit. i-j), bezpieczeństwo zasobów ludzkich (lit. d) oraz „polityki i procedury oceny skuteczności środków technicznych i organizacyjnych” (lit. h). Kierownik „zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie” (art. 8d pkt 4). Ministerstwo Cyfryzacji dodaje, że edukacja „powinna odbywać się na bieżąco, powinna uwzględniać obowiązki personelu podmiotu w ramach SZBI, istniejące procedury, a także cyberzagrożenia czy przykłady incydentów” (odpowiedź 3.8). Dyrektywa (UE) 2022/2555, czyli NIS2, ujmuje ten sam obszar jako „podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa” (art. 21 ust. 2 lit. g dyrektywy).

Dla personelu ustawa nie ma osobnego przepisu o dokumentowaniu. W naszej ocenie obowiązek zapisów wynika jednak z art. 10: dokumentacja operacyjna to „zapisy poświadczające wykonywanie czynności wymaganych przez postanowienia zawarte w dokumentacji normatywnej” (art. 10 ust. 4). Jeżeli polityka bezpieczeństwa albo plan szkoleń w dokumentacji SZBI przewiduje szkolenia, to listy obecności, raporty z platformy i wyniki testów są zapisami z ich wykonania.

Dwie grupy podmiotów mają wymagania bardziej szczegółowe:

• podmiot ważny będący podmiotem publicznym stosuje SZBI z załącznika nr 4 do ustawy: szkolenie osób przetwarzających informacje ma obejmować rodzaje cyberzagrożeń, podstawowe zasady cyberhigieny, reagowanie na incydent i świadomość skutków naruszenia zasad bezpieczeństwa informacji (pkt I.17), zasady cyberhigieny stosują pracownicy łącznie z kierownikiem (pkt I.14), podmiot może testować zasady cyberhigieny przez pracowników (pkt II.6), a realizację działań dokumentuje (pkt IV),
• podmioty stosujące rozporządzenie wykonawcze Komisji (UE) 2024/2690, czyli między innymi dostawcy usług DNS, usług chmurowych, centrów przetwarzania danych i usług zarządzanych (art. 8b ust. 1), mają program podnoszenia świadomości zaplanowany w czasie, powtarzany, obejmujący nowych pracowników i członków organów zarządzających, a w stosownych przypadkach testowany pod kątem skuteczności (pkt 8.1 załącznika). Szkolenia stanowiskowe mają być dostosowane do stanowiska, a ich skuteczność oceniana (pkt 8.2).

Sankcje rozkładają się tak samo jak obowiązki. Za SZBI, który nie spełnia wymogów z art. 8 ust. 1, karze pieniężnej podlega podmiot (art. 73 ust. 1 pkt 3), a kierownik może podlegać karze za niewykonanie obowiązków z art. 8 i art. 8d (art. 73a ust. 1 pkt 2-3) oraz z art. 8e (pkt 4). Kary z tych przepisów mogą być nałożone po raz pierwszy po 3 kwietnia 2028 r. (art. 35 ustawy nowelizującej z 23 stycznia 2026 r.).

Plan szkoleń i programy według ról

Dokumentacja szkoleń zaczyna się od planu, a nie od listy obecności. Plan pokazuje, że edukacja jest zaplanowana w SZBI i ma właściciela, a w kontroli lub audycie staje się punktem odniesienia: porównuje się z nim to, co faktycznie się odbyło. Kierownik podejmuje decyzje w zakresie SZBI oraz przydziela zadania i nadzoruje ich wykonanie (art. 8d pkt 1 i 3), dlatego plan roczny warto zatwierdzić uchwałą zarządu, razem z planem szkolenia samego zarządu.

Plan układaj według ról, a nie według listy kursów. Ten sam temat ma inną głębokość dla osoby z działu płac, administratora systemów i członka zarządu. Punktem wyjścia mogą być cztery tematy, które ustawa wymienia w załączniku nr 4 dla podmiotów ważnych będących podmiotami publicznymi: rodzaje cyberzagrożeń, podstawowe zasady cyberhigieny, reagowanie na incydent i świadomość skutków naruszenia zasad (pkt I.17). Firma prywatna nie musi stosować tego załącznika, ale to rozsądna lista minimalna.

Program każdego szkolenia zapisz w krótkim dokumencie: cel, grupa docelowa, tematy, forma i czas trwania, prowadzący, sposób sprawdzenia wiedzy, wersja i data aktualizacji. Wersja ma znaczenie, bo o podstawowych zasadach cyberhigieny Ministerstwo Cyfryzacji pisze: „jest to klauzula generalna, zmienna z uwagi na postęp technologiczny” (odpowiedź 3.3). Program sprzed dwóch lat może więc nie odpowiadać dzisiejszym zagrożeniom. Oznaczanie kolejnych wersji dokumentów należy zresztą do nadzoru nad dokumentacją (art. 10 ust. 6 pkt 3).

Osobno potraktuj dwie grupy, które łatwo pominąć. Nowe osoby potrzebują szkolenia wstępnego na początku pracy i pełnego szkolenia w najbliższej edycji. Dla podmiotów stosujących rozporządzenie 2024/2690 to wymóg wprost: program ma obejmować nowych pracowników (pkt 8.1.2 lit. a załącznika). Personel dostawców z dostępem do Twoich systemów to druga grupa. Ministerstwo Cyfryzacji, odpowiadając na pytanie o weryfikację niekaralności, wskazuje, że bezpieczeństwo personelu wykonawców i podwykonawców należy zapewniać przez zarządzanie ryzykiem łańcucha dostaw i postanowienia umowne (odpowiedź 3.48). W praktyce oznacza to klauzulę o szkoleniu ludzi dostawcy w umowie albo krótkie szkolenie z Twoich zasad dostępu zdalnego, odnotowane w rejestrze. Jak sprawdzać dostawców szerzej, opisujemy w tekście KSC a dostawcy: o co zapytać firmę IT, hosting i dostawcę chmury.

Potwierdzenia udziału i testy wiedzy

Potwierdzenie udziału ma odpowiedzieć na trzy pytania: kto, kiedy i w czym uczestniczył. Forma zależy od sposobu prowadzenia szkolenia:

Najsłabszym dowodem jest samo oświadczenie pracownika, że zapoznał się z polityką bezpieczeństwa. Pokazuje, że dokument do niego trafił, ale nie pokazuje, czy pracownik umie zastosować zasady. Poradnik NASK-PIB „Od wymagań do działania” wśród najczęstszych błędów wymienia „Ocenianie skuteczności działań wyłącznie na podstawie frekwencji lub ukończenia szkolenia” oraz brak weryfikacji, czy pracownicy potrafią wykorzystać wiedzę w praktyce (s. 37). Poradnik zastrzega, że nie jest oficjalnym stanowiskiem Ministerstwa Cyfryzacji, ale dobrze opisuje, czego szukać w dowodach.

Dlatego do potwierdzenia udziału dołóż test wiedzy. Kilka zasad, które ułatwiają późniejsze wykazanie skuteczności:

• pytania dotyczą Twoich procedur, a nie ogólnej teorii, np. „jak u nas zgłosić podejrzaną wiadomość” albo „kogo powiadomić, gdy dostawca prosi o zmianę numeru rachunku”,
• próg zaliczenia jest zapisany w programie (w przykładzie z pliku XLSX to 70%), a niezaliczenie kończy się powtórką z terminem,
• test przed szkoleniem może być anonimowy, bo mierzy poziom grupy, a test po szkoleniu przypisz do osoby, jeśli ma być dowodem,
• wyniki przypisane do osób traktuj jak dane osobowe pracowników i ustal z osobą odpowiedzialną za ochronę danych, kto je widzi i jak długo są przechowywane.

Jak długo przechowywać potwierdzenia? Ustawa nie podaje osobnego terminu dla szkoleń. Jeżeli traktujesz je jako część dokumentacji SZBI, stosuj zasady z art. 10: nadzór nad dostępem i wersjami (ust. 6) oraz przechowywanie przez co najmniej 2 lata od wycofania dokumentacji z użytkowania (ust. 7).

Ćwiczenia i symulacje phishingu: jak je dokumentować

Ustawa nie nakazuje symulacji phishingu, czyli wysyłania pracownikom w celach szkoleniowych fałszywych wiadomości, które naśladują próby wyłudzenia danych. Daje jednak podstawę, żeby je prowadzić i dokumentować: SZBI obejmuje polityki i procedury oceny skuteczności środków (art. 8 ust. 1 pkt 2 lit. h), a podmioty ważne będące podmiotami publicznymi mogą testować zasady cyberhigieny przez pracowników (załącznik nr 4 pkt II.6). Poradnik NASK-PIB wymienia „ćwiczenia praktyczne i symulacje phishingu” wśród praktycznych form budowania świadomości (s. 35).

Symulacja dotyczy zachowań konkretnych ludzi, dlatego przed jej uruchomieniem trzeba ją przemyśleć od strony pracowniczej i ochrony danych osobowych. Ustawa o KSC tych kwestii nie reguluje, więc podajemy praktyki do uzgodnienia, a nie wymogi prawne:

• decyzja zarządu albo osoby upoważnionej, z celem, zakresem i wskaźnikami,
• uzgodnienie z działem kadr i z osobą odpowiedzialną za ochronę danych: jakie dane zbiera narzędzie, kto widzi wyniki, jak długo są przechowywane,
• informacja dla pracowników, że firma prowadzi program symulacji, bez podawania terminów, na przykład w polityce bezpieczeństwa,
• raportowanie zbiorcze, a wyniki imienne tylko tam, gdzie służą dodatkowemu szkoleniu i zostało to uzgodnione,
• zasada, że kliknięcie w symulacji kończy się szkoleniem, a nie karą, oraz rezygnacja z tematów, które nadużywają zaufania pracowników, takich jak fałszywe informacje o wynagrodzeniach.

W fikcyjnym przykładzie z pliku XLSX pierwsza symulacja objęła 420 skrzynek: kliknęło 61 osób (14,5%), 9 podało hasło (2,1%), a 74 osoby zgłosiły wiadomość (17,6%). Wnioskiem było szkolenie uzupełniające dla jednego działu i przycisk zgłaszania w programie pocztowym. Obie decyzje trafiły do rejestru z właścicielem i terminem, a druga tura sprawdziła, czy zadziałały.

Ćwiczenie przy stole (ang. tabletop), czyli omówienie przy stole fikcyjnego incydentu krok po kroku, dokumentuje się protokołem: uczestnicy, scenariusz, decyzje z godzinami, wykryte luki i działania naprawcze. Ustawa nie wymaga takiego ćwiczenia, ale SZBI obejmuje testowanie planów ciągłości działania, planów awaryjnych i planów odtworzenia działalności (art. 8 ust. 1 pkt 2 lit. f). Gotowy scenariusz z kolejnymi zdarzeniami i pytaniami do zarządu znajdziesz w tekście o tym, jak przeprowadzić ćwiczenie cyberataku dla zarządu.

Rejestr działań: pięć arkuszy pliku XLSX

Rejestr spina obie ścieżki i wszystkie formy działań. Plik do pobrania ma pięć arkuszy z fikcyjnymi wierszami przykładowymi dla spółki produkcyjnej zatrudniającej 450 osób, która jest podmiotem ważnym. Przykłady nie zawierają nazwisk: osoby identyfikuje funkcja albo numer kadrowy. Rolę osoby odpowiedzialnej za bezpieczeństwo informacji pełni w przykładzie CISO (z ang. Chief Information Security Officer).

Trzy zasady prowadzenia rejestru. Każdy wiersz ma odnośnik do miejsca, w którym leży dowód. Plik ma wersje i ograniczony dostęp, tak jak reszta dokumentacji bezpieczeństwa (art. 10 ust. 6). Stan rejestru co pół roku trafia na posiedzenie zarządu razem z oceną skuteczności, bo to kierownik nadzoruje wykonanie zadań (art. 8d pkt 3).

Ocena skuteczności: wskaźniki i porównanie przed i po

Ocena skuteczności nie jest dodatkiem do szkoleń. SZBI ma obejmować „polityki i procedury oceny skuteczności środków technicznych i organizacyjnych” (art. 8 ust. 1 pkt 2 lit. h), a edukacja personelu jest jednym z tych środków (lit. i). Ministerstwo Cyfryzacji opisuje, co w tym celu ustalić: „które aktywności w SZBI podmiotu będą monitorowane, jakie będą wskaźniki (KPI), kiedy, w jakich interwałach będą monitorowane, kto będzie to robił, czy nastąpi ich ewaluacja oraz kto za to będzie odpowiedzialny” (odpowiedź 3.3).

Na start wystarczy sześć wskaźników. Każdy ma definicję i źródło, żeby za rok policzyć go tak samo. Wartości w tabeli pochodzą z fikcyjnego przykładu w pliku XLSX:

Liczby czytaj ostrożnie. Dwie symulacje z różnymi scenariuszami nie są w pełni porównywalne, więc w rejestrze zapisuj temat każdej wiadomości i oceniaj trend z kilku tur, a nie jedną zmianę. Wskaźnik bez decyzji niewiele daje. W przykładzie wynik nowych osób (92% przy celu 100%) skończył się decyzją, że szkolenie wstępne staje się warunkiem nadania dostępu do systemów, a przesunięcie jednego szkolenia na kolejny rok zatwierdził zarząd.

Dowody na kontrolę i audyt: od czego zacząć

Organ właściwy do spraw cyberbezpieczeństwa może w ramach nadzoru wystąpić o informacje niezbędne do oceny środków z art. 8 ust. 1 pkt 2 i 5, o dostęp do dokumentów oraz o „przedstawienie dowodów realizacji wymogów” z art. 8 ust. 1 (art. 53 ust. 2 pkt 4-6, wobec podmiotów ważnych w związku z art. 53 ust. 17). Żądanie wskazuje termin nie krótszy niż 7 dni (art. 53c ust. 2 pkt 5 i ust. 4). Podmiot kluczowy przechodzi też audyt co najmniej raz na 3 lata, a audytor sporządza sprawozdanie na podstawie zebranych dokumentów i dowodów (art. 15 ust. 1 i 5).

Ministerstwo Cyfryzacji wylicza, co może być dowodem: „dokumenty np. procedury, polityki, upoważnienia, zakresy obowiązków ale również relacje personelu” (odpowiedź 11.6). Ostatnie słowa są ważne dla szkoleń. Kontrolujący może zapytać pracownika, jak zgłasza incydent, a odpowiedź pokaże więcej niż lista obecności.

Jeśli dziś masz tylko rozproszone listy obecności, zacznij od sześciu kroków:

1. Rozdziel ścieżki: lista osób z art. 8e i lista grup personelu według ról.
2. Przygotuj plan roczny i zatwierdź go uchwałą zarządu razem z planem szkolenia kierownictwa.
3. Spisz programy z wersją i datą oraz przygotuj testy oparte na Twoich procedurach.
4. Załóż rejestr z pliku XLSX i wpisuj każde działanie z odnośnikiem do dowodu.
5. Przed pierwszą symulacją phishingu uzgodnij zasady z działem kadr i z osobą odpowiedzialną za ochronę danych.
6. Co pół roku przedstaw zarządowi wskaźniki i zapisz decyzje, które z nich wynikają.

Szkolenia to tylko część dokumentacji bezpieczeństwa. Pełną mapę, w której mają swoje miejsce, opisujemy w tekście o tym, jakie dokumenty przygotować do wdrożenia KSC.

Podstawa prawna i źródła

• art. 8 ust. 1 pkt 2 lit. d, f, h, i, j ustawy o KSC - elementy SZBI: zasoby ludzkie, plany ciągłości, ocena skuteczności, edukacja personelu, cyberhigiena
• art. 8d pkt 1, 3 i 4 ustawy o KSC - decyzje kierownika, nadzór i świadomość personelu
• art. 8e ust. 1-3 ustawy o KSC - szkolenie kierownika i udokumentowanie udziału
• art. 10 ust. 4, 6 i 7 ustawy o KSC - dokumentacja operacyjna, nadzór nad dokumentacją, przechowywanie
• art. 53 ust. 2 pkt 4-6 i ust. 17, art. 53c ustawy o KSC - żądanie informacji, dokumentów i dowodów
• art. 73 ust. 1 pkt 3 i art. 73a ust. 1 pkt 2-4 ustawy o KSC - kary, art. 35 ustawy nowelizującej (Dz.U. 2026 poz. 252) - moratorium
• załącznik nr 4 do ustawy o KSC, pkt I.14, I.17, II.6 i IV - SZBI podmiotu ważnego będącego podmiotem publicznym
• art. 21 ust. 2 lit. g dyrektywy (UE) 2022/2555 (NIS2), pkt 8 załącznika do rozporządzenia wykonawczego Komisji (UE) 2024/2690
• Ustawa o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (Kancelaria Sejmu, ISAP)
• Ustawa nowelizująca z 23 stycznia 2026 r., Dziennik Ustaw 2026 poz. 252
• Ministerstwo Cyfryzacji: pytania i odpowiedzi do znowelizowanej ustawy o KSC (aktualizacja październik 2026), odpowiedzi 3.3, 3.8, 3.48 i 11.6
• NASK-PIB: Od wymagań do działania, poradnik do znowelizowanej ustawy o KSC (29.09.2026)
• Dyrektywa (UE) 2022/2555 (NIS2) w serwisie EUR-Lex
• Rozporządzenie wykonawcze Komisji (UE) 2024/2690 w serwisie EUR-Lex