Czy ustawa o KSC wymaga szkoleń dla pracowników?

Tak. Art. 8 ust. 1 pkt 2 lit. i ustawy o krajowym systemie cyberbezpieczeństwa wymienia edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu jako środek, który podmiot kluczowy lub ważny musi wdrożyć, a lit. j dodaje podstawowe zasady cyberhigieny. Art. 8d pkt 4 nakłada na kierownika obowiązek zapewnienia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa.

Jaka jest kara za brak szkolenia?

Art. 73a ust. 1 pkt 3 i 4 przewiduje karę pieniężną nakładaną osobiście na kierownika podmiotu za niewykonanie obowiązków z art. 8d i art. 8e. Kara może wynieść do 300% wynagrodzenia kierownika, a w podmiocie publicznym do 100% — niezależnie od kary nakładanej na sam podmiot.

Od kiedy obowiązują te przepisy?

Nowelizacja (Dz.U. 2026 poz. 252) została ogłoszona 2 marca 2026 r. i zgodnie z art. 49 weszła w życie po upływie miesiąca, czyli 3 kwietnia 2026 r. Podmioty, które w tym dniu spełniały już przesłanki uznania za kluczowe lub ważne, mają na wdrożenie obowiązków z rozdziału 3 — a więc także art. 8, 8d i 8e — 12 miesięcy, zgodnie z art. 33 ust. 1 ustawy nowelizującej, czyli czas do 3 kwietnia 2027 r. Podmioty uzyskujące ten status później liczą terminy od dnia spełnienia przesłanek. Nie jest to jednak rok bezczynności: art. 8e ust. 1 wymaga szkolenia kierownictwa raz w roku kalendarzowym, a ust. 3 — udokumentowania udziału.

Zgodność

Szkolenia to dziś obowiązek ustawowy

Q: Czy kierownictwo też musi się szkolić?

Tak. Zgodnie z art. 8e ust. 1 kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono jego obowiązki, raz w roku kalendarzowym przechodzi szkolenie. Art. 8e ust. 3 wymaga, aby udział w szkoleniu był udokumentowany.

Co dokładnie mówi ustawa o krajowym systemie cyberbezpieczeństwa. To nie jest już „dyrektywa, którą kiedyś wdrożą" — nowelizacja obowiązuje od 3 kwietnia 2026 roku i dla podmiotów kluczowych oraz ważnych wymienia wprost edukację personelu i coroczne szkolenie kierownictwa, z osobną karą pieniężną za ich brak.

Uruchom program szkoleniowy Przeczytaj analizę przepisów

Podstawa prawna

Trzy przepisy, które trzeba znać

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — tekst ogłoszony w Dzienniku Ustaw, do sprawdzenia u źródła.

art. 8 ust. 1 pkt 2

Edukacja personelu

Wśród środków technicznych i organizacyjnych, które podmiot kluczowy lub ważny musi wdrożyć, ustawa wymienia w lit. i) „edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu", a w lit. j) „podstawowe zasady cyberhigieny" — co się pod tym kryje.

art. 8d pkt 4

Odpowiedzialność kierownika

Kierownik podmiotu „zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie".

art. 8e

Coroczne szkolenie kierownictwa

Kierownik oraz osoba, której powierzono jego obowiązki, raz w roku kalendarzowym przechodzi szkolenie. Ustęp 3 dodaje wymóg twardy: „Udział w szkoleniu jest udokumentowany". „Kierownik" to przy tym nie jedno stanowisko — art. 2 pkt 8a odsyła do ustawy o rachunkowości, a ta przy organie wieloosobowym wskazuje członków tego organu, czyli cały zarząd.

Kara jest osobista

Najczęściej pomijany element nowelizacji: karę pieniężną ponosi kierownik podmiotu, nie tylko sam podmiot. Art. 73a ust. 1 wymienia wprost niewykonanie obowiązków z art. 8d (pkt 3) i art. 8e (pkt 4).


Kto	Maksymalna kara dla kierownika
Podmiot komercyjny	300% wynagrodzenia
Podmiot publiczny	100% wynagrodzenia

Kwota liczona według zasad ustalania ekwiwalentu za urlop (art. 73a ust. 4 i 5). Kara dla kierownika jest niezależna od kary nakładanej na sam podmiot.

Art. 8c dodaje, że jeśli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu — a powierzenie obowiązków komuś innemu nie zwalnia kierownika z odpowiedzialności.

Jak platforma pokrywa te przepisy

Edukacja personelu (art. 8 ust. 1 pkt 2 lit. i) — 24 moduły obejmujące phishing, hasła, MFA, incydenty, dane, łańcuch dostaw.
Cyberhigiena (art. 8 ust. 1 pkt 2 lit. j) — moduły podstawowe plus powtórki rozłożone w czasie.
Świadomość personelu (art. 8d pkt 4) — egzamin sprawdza, czy pracownik faktycznie zna zasady, a nie tylko dostał materiał.
Szkolenie kierownictwa (art. 8e ust. 1) — osobna ścieżka dla kadry zarządzającej, odnawiana co rok kalendarzowy.
Dokumentowanie udziału (art. 8e ust. 3) — imienny certyfikat z datą i wynikiem, plus raport zbiorczy do pobrania w każdej chwili.

Terminy, które warto rozróżniać


Co	Kiedy	Podstawa
Wejście w życie nowelizacji	3 kwietnia 2026	art. 49 — miesiąc od ogłoszenia (2 marca 2026)
Wdrożenie obowiązków z rozdziału 3 (w tym art. 8, 8d i 8e)	3 kwietnia 2027	art. 33 ust. 1 — 12 miesięcy dla podmiotów, które spełniały przesłanki w dniu wejścia w życie
Pierwszy audyt (podmioty kluczowe)	3 kwietnia 2028	art. 33 ust. 2 — 24 miesiące
Wniosek o wpis do wykazu	wg harmonogramu	art. 33 ust. 3 — komunikat ministra, art. 34 ust. 3 pkt 1

Uwaga na mit. W obiegu krąży data „3 października 2026" jako termin wdrożenia obowiązków. W ustawie jej nie ma. Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., termin złożenia wniosku o wpis do wykazu wyznacza harmonogram ogłaszany przez ministra (art. 33 ust. 3 w związku z art. 34 ust. 3 pkt 1), z osobnymi datami dla poszczególnych rodzajów podmiotów — i może on ulec zmianie. Sześciomiesięczny termin z art. 7c ust. 1 biegnie natomiast od dnia spełnienia przesłanek, czyli dotyczy podmiotów, które staną się kluczowe lub ważne już po wejściu ustawy w życie.

Ile realnie jest czasu. Art. 33 ust. 1 daje podmiotom, które spełniały przesłanki 3 kwietnia 2026 r., 12 miesięcy na wdrożenie obowiązków z rozdziału 3 — a szkolenia są ich częścią. To nie znaczy jednak, że można zacząć w marcu 2027: art. 8e ust. 1 wymaga szkolenia kierownictwa raz w roku kalendarzowym, a art. 8e ust. 3 — udokumentowania udziału. Dowód musi więc powstać w roku, którego dotyczy.

Źródła

Sprawdź w oficjalnym tekście

Nie chcemy, żebyś wierzył nam na słowo. Oba akty publikuje Dziennik Ustaw (Rządowe Centrum Legislacji).

Nowelizacja — Dz.U. 2026 poz. 252 — ustawa z 23 stycznia 2026 r., ogłoszona 2 marca, obowiązuje od 3 kwietnia 2026 r. To w niej znajdziesz art. 8 ust. 1 pkt 2 lit. i oraz j, art. 8d, art. 8e i art. 73a, czyli wszystkie przepisy cytowane na tej stronie.
Tekst jednolity — Dz.U. 2026 poz. 20 — obwieszczenie Marszałka Sejmu z 29 grudnia 2025 r., przydatne do czytania ustawy w całości. Uwaga: jest wcześniejszy niż nowelizacja, więc nowych obowiązków szkoleniowych jeszcze nie zawiera — te są wyłącznie w poz. 252.

Zbierz dowody, zanim zapyta o nie organ nadzoru

Wersja próbna pozwala przejść całą ścieżkę: szkolenie, egzamin, certyfikat, raport.

Zacznij za darmo