Obowiązkowe szkolenie zarządu z KSC - kto musi je odbyć i jak je udokumentować?

W skrócieObowiązkowe szkolenie zarządu z KSC to szkolenie, które według art. 8e ustawy o krajowym systemie cyberbezpieczeństwa (KSC) raz w roku kalendarzowym przechodzi kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa. Przy zarządzie wieloosobowym definicja kierownika wskazuje członków zarządu. Udział trzeba udokumentować, na przykład listą obecności i zaświadczeniem.

Przed nowelizacją ustawa o KSC nie zawierała obowiązku szkolenia kierownictwa. Ustawa z 23 stycznia 2026 r., obowiązująca od 3 kwietnia 2026 r., dodała art. 8e: kierownik podmiotu kluczowego lub ważnego ma przechodzić szkolenie z cyberbezpieczeństwa w każdym roku kalendarzowym. Przepis ma trzy krótkie ustępy, a rodzi pytania, na które ustawa wprost nie odpowiada: czy szkoli się cały zarząd, czy jeden jego członek, czy pierwsze szkolenie musi się odbyć jeszcze w 2026 r., czy wystarczy kurs online i co pokazać organowi, gdy zapyta o dowód.

Zebraliśmy odpowiedzi z numerami przepisów i stanowiskami Ministerstwa Cyfryzacji: kto podlega obowiązkowi w spółce kapitałowej, w spółce osobowej, w jednoosobowej działalności i w jednostce publicznej, jak liczyć rok kalendarzowy, co musi obejmować program, jaki komplet dowodów przygotować i co grozi za zaniechanie. Tło, czyli kogo obejmuje ustawa i jakie nakłada obowiązki, opisuje nasz przewodnik po NIS2 i ustawie o KSC.

Jedno rozróżnienie na start: art. 8e dotyczy kierownictwa. Edukacja personelu wynika z innych przepisów i dokumentuje się ją inaczej, co rozpisujemy w tekście o tym, jak udokumentować szkolenia i budowanie świadomości pracowników.

Co mówi art. 8e ustawy o KSC, a czego w nim nie ma

Cały obowiązek mieści się w trzech ustępach. Przytaczamy je dosłownie, bo od ich brzmienia zależą wszystkie dalsze odpowiedzi:

• „Kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie.” (art. 8e ust. 1)
• „Zakres szkolenia obejmuje wykonywanie obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9-12b, art. 14 i art. 15.” (art. 8e ust. 2)
• „Udział w szkoleniu jest udokumentowany.” (art. 8e ust. 3)

Z tych zdań wynikają cztery rzeczy. Obowiązek jest osobisty: szkolenie przechodzi konkretna osoba, a nie „spółka”. Rytm wyznacza rok kalendarzowy, a nie okres dwunastu miesięcy. Zakres jest określony przez odesłanie do obowiązków podmiotu, więc ogólny kurs bezpiecznego korzystania z poczty i haseł go nie pokrywa. Dowód udziału jest wymagany, ale jego forma nie.

Równie ważne jest to, czego w przepisie nie ma. Ustawa nie określa liczby godzin, formy (stacjonarnie czy online), programu, kwalifikacji prowadzącego ani dokumentu, który trzeba wystawić. Nie zawiera też upoważnienia do wydania rozporządzenia o szkoleniu kierownika i według stanu na październik 2026 r. żaden akt wykonawczy w tej sprawie nie istnieje. Jeśli ktoś przedstawia „certyfikat” jako wymóg ustawowy, to przesada: ust. 3 mówi tylko, że udział jest udokumentowany. Zaświadczenie jest wygodnym dowodem, ale nie jedynym możliwym.

Ministerstwo Cyfryzacji w odpowiedzi 4.3 dokumentu „Pytania i odpowiedzi” opisuje treść szkolenia jako dotyczącą „zadań związanych z opracowaniem systemu zarządzania bezpieczeństwem informacji, zgłaszania incydentów, dokumentowania SZBI”. To stanowisko ministerstwa, a sam dokument zastrzega, że nie ma mocy prawnej. Wiążący zakres wyznacza art. 8e ust. 2, który rozpisujemy niżej.

Dyrektywa (UE) 2022/2555, czyli NIS2, którą ustawa wdraża, wymaga, by członkowie organu zarządzającego mieli „obowiązek odbywać regularne szkolenia”, i nie podaje częstotliwości (art. 20 ust. 2 dyrektywy). Polska ustawa jest tu konkretniejsza i to ona wiąże polską firmę. W sektorze bankowości i infrastruktury rynków finansowych przepisy art. 8c-8f, a więc także obowiązek szkolenia, stosuje się odpowiednio (art. 8i ust. 2). Wniosek Prezydenta do Trybunału Konstytucyjnego dotyczący znowelizowanej ustawy (sygn. K 19/26, według stanu na październik 2026 r. sprawa w toku, bez rozprawy) obejmuje dostawców wysokiego ryzyka, polecenie zabezpieczające i definicje produktu, usługi i procesu ICT (technologii informacyjno-komunikacyjnych), a nie art. 8e.

Kto musi przejść szkolenie: kierownik w różnych formach prawnych

Ustawa o KSC nie definiuje kierownika samodzielnie. Kierownikiem podmiotu kluczowego lub ważnego jest kierownik jednostki w rozumieniu art. 3 ust. 1 pkt 6 ustawy o rachunkowości, a w jednostce sektora finansów publicznych kierownik tej jednostki (art. 2 pkt 8a ustawy o KSC). Ustawa o rachunkowości uznaje za kierownika jednostki „członka zarządu lub innego organu zarządzającego, a jeżeli organ jest wieloosobowy - członków tego organu, z wyłączeniem pełnomocników ustanowionych przez jednostkę”.

Dla najczęstszych form prawnych daje to następującą listę osób:

Definicja nie wymienia rady nadzorczej ani prokurenta, a pełnomocników ustanowionych przez jednostkę wprost wyłącza. Te osoby mogą uczestniczyć w szkoleniu, ale art. 8e ich do tego nie zobowiązuje. Wniosek, że przy zarządzie wieloosobowym szkolenie przechodzi każdy członek zarządu, wyprowadzamy z połączenia trzech przepisów: art. 8e ust. 1, art. 2 pkt 8a ustawy o KSC i art. 3 ust. 1 pkt 6 ustawy o rachunkowości. Ustawa nie mówi tego jednym zdaniem.

Drugą grupę tworzy „osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa”. Ustawa jej nie definiuje. Czytamy ten zwrot w powiązaniu z art. 8c ust. 3, który dopuszcza powierzenie obowiązków kierownika innej osobie za jej zgodą, przy czym kierownik nadal ponosi odpowiedzialność. Jeżeli więc uchwała, pełnomocnictwo albo zakres obowiązków przekazuje komuś obowiązki kierownika w zakresie cyberbezpieczeństwa, na przykład dyrektorowi operacyjnemu lub pełnomocnikowi do spraw systemu zarządzania bezpieczeństwem informacji, czyli SZBI (ustawa go nie wymaga, co Ministerstwo Cyfryzacji potwierdza w odpowiedzi 3.44), ta osoba również przechodzi szkolenie w każdym roku kalendarzowym. Powierzenie nie zdejmuje obowiązku z zarządu, bo art. 8e wymienia obie grupy obok siebie.

Art. 8c ust. 2 dodaje, że jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy jego członkowie. Wskazanie jednego członka zarządu jako odpowiedzialnego za cyberbezpieczeństwo porządkuje odpowiedzialność, ale w naszej ocenie nie zwalnia pozostałych członków ze szkolenia, bo art. 8e mówi o kierowniku, a kierownikiem są wszyscy członkowie zarządu. Przykład: spółka produkcyjna zatrudniająca 450 osób, podmiot ważny, ma trzyosobowy zarząd, prokurenta i radę nadzorczą, a zarząd uchwałą powierzył obowiązki w zakresie cyberbezpieczeństwa dyrektorowi do spraw IT. Na liście szkolenia z art. 8e są cztery osoby: trzy osoby z zarządu i dyrektor.

W administracji publicznej obowiązki z art. 8c-8f może realizować jednostka wyznaczona przez ministra, wojewodę lub inny wskazany organ albo wspólna obsługa w samorządzie (art. 16e). Podmiot obsługiwany współpracuje z nią między innymi przez „uczestnictwo kierownika tej jednostki w szkoleniach z zakresu cyberbezpieczeństwa, jeżeli są prowadzone przez jednostkę wyznaczoną” (art. 16f pkt 4). Szerszy podział zadań między kierownictwem a zespołem technicznym opisujemy w tekście o tym, za co odpowiada zarząd, a za co dział IT.

Raz w roku kalendarzowym: jak liczyć rok i kiedy pierwsze szkolenie

„Raz w roku kalendarzowym” to nie to samo co „co 12 miesięcy”. Rok kalendarzowy trwa od 1 stycznia do 31 grudnia. Z brzmienia przepisu wynika, że w każdym takim roku ma się odbyć szkolenie, a minimalnego ani maksymalnego odstępu między dwoma kolejnymi ustawa nie ustala. Szkolenie w grudniu 2026 r. i kolejne w styczniu 2027 r. przypadają więc na dwa różne lata kalendarzowe, choć dzieli je kilka tygodni. Ministerstwo Cyfryzacji dopuszcza, by pierwsze szkolenie przeprowadzić „jeszcze w 2026 r. a kolejne w 2027 r.” (odpowiedź 3.46), ale o odstępie między nimi nie pisze.

Kiedy pierwsze szkolenie? Art. 8e leży w rozdziale 3 ustawy, a podmioty, które spełniały przesłanki uznania za podmiot kluczowy albo ważny w dniu wejścia w życie nowelizacji, realizują obowiązki z rozdziału 3 w terminie 12 miesięcy, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). W którym roku kalendarzowym ma się odbyć pierwsze szkolenie, ustawa wprost nie mówi. Ministerstwo Cyfryzacji odpowiada w październikowej aktualizacji, że „po raz pierwszy szkolenie kierownika podmiotu kluczowego lub podmiotu ważnego musi być przeprowadzone najpóźniej w 2027 r.” (odpowiedź 3.46). To stanowisko ministerstwa, nie przepis, ale ustawa innej wskazówki nie daje.

Planując termin, pamiętaj o kolejności decyzji. W okresie dostosowawczym zarząd podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji i planuje środki finansowe na obowiązki z zakresu cyberbezpieczeństwa (art. 8d pkt 1-2). Szkolenie przed tymi decyzjami daje więcej niż szkolenie po nich, dlatego warto nie odkładać go na koniec 2027 r. Pełny harmonogram okresu przejściowego opisujemy w tekście o tym, co trzeba przygotować do 3 kwietnia 2027 r.

Trzy warianty kalendarza pokazują, gdzie kończy się zgodność z brzmieniem przepisu:

Podmiot, który spełni przesłanki później, ma 12 miesięcy od tego dnia na obowiązki z rozdziału 3 (art. 16 pkt 1). Ustawa nie mówi, w którym roku kalendarzowym taka firma ma przeprowadzić pierwsze szkolenie, więc bezpiecznie jest zmieścić je w tych 12 miesiącach, a kolejne planować w każdym następnym roku. Nie rozstrzyga też sytuacji osoby, która dołącza do zarządu w trakcie roku. Najprościej objąć ją najbliższą edycją szkolenia albo szkoleniem wprowadzającym w tym samym roku kalendarzowym i odnotować datę powołania w rejestrze. To dobra praktyka, a nie wymóg wprost z przepisu.

Zakres szkolenia: dziewięć bloków z art. 8e ust. 2

Art. 8e ust. 2 nie wymienia tematów, tylko odsyła do obowiązków podmiotu. Po rozpisaniu odesłań powstaje dziewięć bloków, które szkolenie ma obejmować. Ostatnia kolumna tabeli pokazuje, co kierownik powinien umieć po szkoleniu. To nasza propozycja celu, a nie brzmienie ustawy.

Przy wyborze szkolenia zestaw jego program z tą tabelą moduł po module. Obszar, którego program nie obejmuje, uzupełnij krótkim materiałem wewnętrznym, na przykład godzinnym spotkaniem z osobą odpowiedzialną za cyberbezpieczeństwo, i odnotuj to w rejestrze szkoleń. Tak przygotowane zestawienie staje się częścią dowodu, że szkolenie miało zakres wymagany przez ustawę.

Tak wygląda to zestawienie dla naszego szkolenia „Obowiązki z NIS2 / KSC2 w praktyce decyzji zarządczych”. Opieramy się wyłącznie na opublikowanym programie:

Program obejmuje więc wprost SZBI, decyzje kierownika i incydenty, a wykaz, kontakty, dokumentację i audyt częściowo. Weryfikacja niekaralności i wybór modelu z art. 14 (własne struktury lub dostawca usług zarządzanych w zakresie cyberbezpieczeństwa) nie mają w nim osobnego punktu, więc te dwa tematy warto domknąć wewnętrznie. Dzień otwiera i zamyka test wiedzy, a uczestnicy dostają zaświadczenia, co ułatwia udokumentowanie udziału.

Jak udokumentować udział: komplet dowodów i wzór uchwały

Jedyny wymóg ustawowy brzmi: „Udział w szkoleniu jest udokumentowany” (art. 8e ust. 3). Ustawa nie mówi, czym, więc w naszej ocenie wystarczy każdy dowód, który pozwoli wykazać udział konkretnej osoby w szkoleniu o zakresie z ust. 2. Organ właściwy do spraw cyberbezpieczeństwa może w ramach nadzoru wystąpić o dostęp do dokumentów koniecznych do jego wykonywania (art. 53 ust. 2 pkt 5, wobec podmiotów ważnych w związku z art. 53 ust. 17), a za wykonanie art. 8e odpowiada kierownik (art. 8c ust. 1).

Proponujemy komplet siedmiu elementów. To dobra praktyka, a nie lista z ustawy, ale każdy element odpowiada na pytanie, które może paść w nadzorze:

1. Uchwała zarządu o planie szkoleń na dany rok: kto, kiedy, w jakim zakresie, kto organizuje i przechowuje dowody. Pokazuje, że szkolenie jest zaplanowane, a nie przypadkowe.
2. Program zestawiony z art. 8e ust. 2 według tabeli z poprzedniej sekcji, z adnotacją, jak uzupełniono brakujące bloki.
3. Lista obecności z podpisami albo raport z platformy szkoleniowej z godzinami logowania i czasem udziału.
4. Imienne zaświadczenia z datą, formą, czasem trwania, organizatorem i zakresem.
5. Materiały szkoleniowe w wersji, z której korzystano.
6. Wynik sprawdzenia wiedzy, jeżeli szkolenie je przewiduje.
7. Wpis w rejestrze szkoleń z odnośnikami do powyższych dowodów.

Pobierz rejestr szkoleń i świadomości KSC (XLSX) Arkusz „Szkolenia kierownika (art. 8e)” ma kolumny na rok kalendarzowy, funkcję, datę, zakres wobec art. 8e ust. 2, dowód udziału i uzupełnienie zakresu.

Poniżej wzór uchwały o planie szkoleń. To szkic do dostosowania przez prawnika spółki, a nie gotowy dokument dla każdej formy prawnej:

Ustawa nie podaje, jak długo przechowywać dowód udziału. Najprościej trzymać go razem z dokumentacją SZBI i objąć tymi samymi zasadami nadzoru: dostęp tylko dla upoważnionych, ochrona przed utratą, oznaczanie wersji (art. 10 ust. 6). Dla dokumentacji dotyczącej bezpieczeństwa systemu informacyjnego ustawa wymaga przechowywania przez co najmniej 2 lata od jej wycofania z użytkowania (art. 10 ust. 7).

Co grozi za brak szkolenia i od kiedy

Za niewykonanie obowiązku z art. 8e „karze pieniężnej może podlegać kierownik” podmiotu kluczowego lub ważnego (art. 73a ust. 1 pkt 4), „jeżeli przemawia za tym czas, zakres lub charakter naruszenia”. Kara jest więc fakultatywna, a nie automatyczna. Może dotyczyć także zaniechania jednorazowego (art. 73a ust. 2). Nakłada ją w drodze decyzji organ właściwy do spraw cyberbezpieczeństwa dla danego sektora (art. 74 ust. 1).

Górna granica kary to 300% wynagrodzenia otrzymywanego przez ukaranego, obliczanego według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop (art. 73a ust. 4). W podmiocie publicznym granica wynosi 100% (art. 73a ust. 5), chyba że podmiot publiczny podlega ustawie także jako podmiot z innego sektora wymienionego w pierwszym lub drugim załączniku do ustawy, wtedy stosuje się 300%. Przepis nie wskazuje wprost, za jaki okres liczy się to wynagrodzenie, dlatego nie podajemy przykładowych kwot.

Kary z art. 73a „mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy” (art. 35 ustawy nowelizującej), czyli po 3 kwietnia 2028 r. Ministerstwo Cyfryzacji potwierdza tę datę w odpowiedzi 12.1. Moratorium dotyczy nakładania kar, a nie samego obowiązku: szkolenie trzeba przechodzić od pierwszego roku, w którym obowiązki z rozdziału 3 są wymagalne. Czy po 3 kwietnia 2028 r. organ może ukarać za zaniedbanie z wcześniejszych lat, ustawa wprost nie rozstrzyga.

Trzy rzeczy warto wiedzieć dodatkowo. Katalog naruszeń, za które karę płaci sam podmiot (art. 73 ust. 1), nie wymienia art. 8e, więc brak szkolenia obciąża przede wszystkim kierownika. Organ może też odstąpić od kary, jeżeli waga naruszenia i znaczenie naruszonych przepisów są znikome, a kierownik zaprzestał naruszania prawa (art. 76a ust. 9). Art. 73a wymienia jako adresata kary kierownika, a nie osobę, której powierzono obowiązki. Kierownik odpowiada jednak za wykonanie art. 8e przez podmiot (art. 8c ust. 1), więc brak szkolenia tej osoby w naszej ocenie także obciąża kierownictwo.

Od czego zacząć: sześć kroków

Jeżeli firma jest podmiotem kluczowym lub ważnym, a szkolenie kierownictwa nie jest jeszcze zaplanowane, zacznij od tych kroków:

1. Spisz osoby objęte art. 8e: kierowników według formy prawnej i osoby, którym powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Sprawdź uchwały, pełnomocnictwa i zakresy obowiązków.
2. Podejmij uchwałę o planie szkoleń na 2027 r., a jeśli chcesz zacząć wcześniej, także na 2026 r. Wpisz termin zapasowy przed końcem roku kalendarzowego.
3. Wybierz szkolenie i zestaw program z art. 8e ust. 2 blok po bloku. Luki zaplanuj do uzupełnienia wewnętrznie.
4. Zbierz dowody: listę obecności lub raport z platformy, zaświadczenia, materiały i wynik testu.
5. Załóż rejestr i trzymaj go razem z dokumentacją SZBI.
6. Zaplanuj kolejne lata i nowe osoby: szkolenie w każdym roku kalendarzowym i szkolenie dla członka zarządu powołanego w trakcie roku.

Po szkoleniu zarząd ma lepsze podstawy, żeby nadzorować wykonanie obowiązków przez zespół. Praktyczną listę pytań do osoby, która w firmie odpowiada za cyberbezpieczeństwo, zebraliśmy w tekście 15 pytań, które zarząd powinien zadać osobie odpowiedzialnej za cyberbezpieczeństwo.

Podstawa prawna i źródła

• art. 2 pkt 8a ustawy o KSC - definicja kierownika podmiotu kluczowego lub ważnego
• art. 8c i art. 8d ustawy o KSC - odpowiedzialność i zadania kierownika
• art. 8e ust. 1-3 ustawy o KSC - szkolenie kierownika i osoby, której powierzono obowiązki kierownika
• art. 8i ust. 2, art. 16e i art. 16f pkt 4 ustawy o KSC - sektor bankowy i podmioty publiczne
• art. 73a, art. 74 ust. 1 i art. 76a ust. 9 ustawy o KSC - kara dla kierownika
• art. 33 ust. 1 i art. 35 ustawy z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) - okres dostosowawczy i moratorium kar
• art. 3 ust. 1 pkt 6 ustawy o rachunkowości - kierownik jednostki
• art. 20 ust. 2 dyrektywy (UE) 2022/2555 (NIS2) - szkolenia członków organów zarządzających
• Ustawa o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony (Kancelaria Sejmu, ISAP)
• Ustawa nowelizująca z 23 stycznia 2026 r., Dziennik Ustaw 2026 poz. 252
• Ustawa o rachunkowości, tekst ujednolicony (Kancelaria Sejmu, ISAP)
• Ministerstwo Cyfryzacji: pytania i odpowiedzi do znowelizowanej ustawy o KSC (aktualizacja październik 2026), odpowiedzi 3.44, 3.46, 4.3, 4.5 i 12.1
• Dyrektywa (UE) 2022/2555 (NIS2) w serwisie EUR-Lex