Wiedza / Zgodność

Czy szkolenia z cyberbezpieczeństwa są obowiązkowe? Co mówi ustawa o KSC

Aktualizacja: sierpień 2026 · czas czytania ok. 6 min

Tak, i od 3 kwietnia 2026 roku nie jest to już kwestia interpretacji dyrektywy. Polska ustawa wymienia edukację personelu wprost w katalogu obowiązkowych środków, nakłada na kierownictwo obowiązek corocznego szkolenia i przewiduje za jego brak karę nakładaną osobiście na osoby kierujące podmiotem — obok kary dla samej firmy.

Jaka to dokładnie ustawa

Mowa o ustawie z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, ogłoszonej 2 marca 2026 r. (Dz.U. 2026 poz. 252). Zgodnie z art. 49 weszła w życie po upływie miesiąca od ogłoszenia, czyli 3 kwietnia 2026 r. To ona wdraża do polskiego porządku prawnego dyrektywę NIS2.

Całą ustawę o KSC w jednym dokumencie znajdziesz w tekście jednolitym (Dz.U. 2026 poz. 20), ale uwaga — obwieszczenie jest z 29 grudnia 2025 r., a więc sprzed omawianej nowelizacji. Przepisów szkoleniowych trzeba szukać w poz. 252.

Przepis pierwszy: edukacja personelu jest środkiem obowiązkowym

Art. 8 ust. 1 nakłada na podmiot kluczowy lub ważny obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji. W punkcie 2 ustawa wylicza środki techniczne i organizacyjne, które taki system musi obejmować, a wśród nich:

To istotne, bo lista nie jest zbiorem sugestii — to wyliczenie tego, co musi znaleźć się w systemie zarządzania bezpieczeństwem. Środki mają być „odpowiednie i proporcjonalne do oszacowanego ryzyka", co pozwala dobrać zakres szkolenia do skali organizacji, ale nie pozwala pominąć go w całości.

Przepis drugi: kierownik odpowiada za świadomość pracowników

Art. 8d wylicza obowiązki kierownika podmiotu kluczowego lub ważnego. Punkt 4 brzmi:

Zwróć uwagę na sformułowanie: nie „udostępnia materiały", tylko „zapewnia, że personel jest świadomy". To obowiązek rezultatu, a nie starannego działania — samo wysłanie prezentacji mailem go nie wypełnia, bo nie dowodzi, że ktokolwiek ją przeczytał i zrozumiał.

Przepis trzeci: coroczne, udokumentowane szkolenie kierownictwa

Art. 8e jest najbardziej konkretny z całej trójki:

Ustęp 2 określa zakres tego szkolenia — obejmuje wykonywanie obowiązków z art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9–12b, art. 14 i art. 15. Innymi słowy: kierownik ma rozumieć cały zakres obowiązków podmiotu, nie tylko ogólnie „wiedzieć o cyberbezpieczeństwie".

Kto konkretnie jest „kierownikiem"

To pytanie rozstrzyga, ile osób trzeba faktycznie przeszkolić — i tu najczęściej pojawia się błąd. Art. 2 pkt 8a ustawy o KSC nie definiuje kierownika samodzielnie, tylko odsyła do art. 3 ust. 1 pkt 6 ustawy o rachunkowości, a ten mówi: kierownikiem jednostki jest „członek zarządu lub innego organu zarządzającego, a jeżeli organ jest wieloosobowy — członkowie tego organu, z wyłączeniem pełnomocników".

W spółce z o.o. z trzyosobowym zarządem obowiązek z art. 8e dotyczy więc trzech osób, a nie jednej — a do tego dochodzi osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. W spółce jawnej i cywilnej kierownikiem są wspólnicy prowadzący sprawy spółki, w komandytowej — komplementariusze, u jednoosobowej działalności — sam przedsiębiorca. W jednostce sektora finansów publicznych ustawa o KSC wskazuje kierownika jednostki w rozumieniu art. 53 ust. 1 ustawy o finansach publicznych.

Powierzenie obowiązków nikogo nie zdejmuje z haczyka: art. 8c ust. 3 stanowi, że kierownik odpowiada także wtedy, gdy obowiązki powierzył innej osobie za jej zgodą, a art. 8c ust. 2 — że w organie wieloosobowym bez wskazanej osoby odpowiedzialnej odpowiadają wszyscy jego członkowie.

Drugi szczegół, który łatwo przeoczyć: ustawa liczy ten obowiązek w latach kalendarzowych, nie w rocznicach. Szkolenie z grudnia 2026 roku nie pokrywa roku 2027, choćby minęło od niego kilka tygodni.

Kto odpowiada, gdy zarząd jest wieloosobowy

Art. 8c ust. 2 rozstrzyga to jednoznacznie: jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiedzialność ponoszą wszyscy członkowie tego organu. Ustęp 3 dodaje, że powierzenie obowiązków innej osobie za jej zgodą nie zwalnia kierownika z odpowiedzialności. Delegowanie zadania jest możliwe, delegowanie odpowiedzialności — nie.

Kara jest osobista i liczona od wynagrodzenia

Art. 73a ust. 1 wymienia sytuacje, w których karze pieniężnej może podlegać sam kierownik. Punkt 3 dotyczy niewykonania obowiązków z art. 8d, punkt 4 — niewykonania obowiązku z art. 8e.

Kwotę liczy się według zasad obowiązujących przy ustalaniu ekwiwalentu pieniężnego za urlop. Co ważne, art. 73a ust. 3 przesądza, że kara dla kierownika jest niezależna od kary nakładanej na sam podmiot — mogą wystąpić obie naraz.

Ile realnie jest czasu — przepisy przejściowe

Sama ustawa obowiązuje od 3 kwietnia 2026 r., ale art. 33 ust. 1 daje podmiotom, które spełniały przesłanki już w dniu jej wejścia w życie, 12 miesięcy na realizację obowiązków z rozdziału 3 — a to właśnie tam znajdują się art. 8, 8d i 8e. Praktyczny termin dla tej grupy to więc 3 kwietnia 2027 r. Podmioty, które staną się kluczowe lub ważne później, liczą swoje terminy od dnia spełnienia przesłanek.

To jednak nie jest rok bezczynności. Art. 8e ust. 1 wymaga szkolenia kierownictwa raz w roku kalendarzowym, a ust. 3 — udokumentowania udziału. Dowodu za rok 2026 nie da się wytworzyć w 2027. Pierwszy audyt podmiotu kluczowego ma osobny, dłuższy termin — 24 miesiące (art. 33 ust. 2).

Uwaga na mit z datą 3 października 2026

W materiałach branżowych krąży ta data jako „termin wdrożenia NIS2". W ustawie jej nie ma. Dla podmiotów, które spełniały przesłanki 3 kwietnia 2026 r., termin złożenia wniosku o wpis do wykazu wyznacza harmonogram ogłaszany przez ministra właściwego do spraw informatyzacji (art. 33 ust. 3 w związku z art. 34 ust. 3 pkt 1), z odrębnymi datami dla poszczególnych rodzajów podmiotów — i harmonogram ten może zostać zmieniony (art. 34 ust. 5). Sześciomiesięczny termin z art. 7c ust. 1 biegnie natomiast od dnia spełnienia przesłanek, więc dotyczy podmiotów, które uzyskają ten status po wejściu ustawy w życie.

Czym udokumentować wykonanie obowiązku

Ustawa wymaga dokumentacji wprost tylko przy szkoleniu kierownictwa (art. 8e ust. 3), ale w praktyce organ nadzoru zapyta o dowody na całość. Zestaw, który się broni: