TL;DR

• Kierownik: raz w roku kalendarzowym przechodzi szkolenie z wykonywania obowiązków ustawowych; udział jest udokumentowany (art. 8e ust. 1 i 3 ustawy o KSC). Dotyczy to też osoby, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa.
• Personel: podmiot zapewnia edukację z zakresu cyberbezpieczeństwa i podstawowe zasady cyberhigieny (art. 8 ust. 1 pkt 2 lit. i oraz j); kierownik zapewnia świadomość obowiązków wśród personelu (art. 8d pkt 4). Ustawa NIE określa częstotliwości szkoleń personelu.
• Coroczny cykl szkolenia personelu to dobra praktyka (PN-EN ISO/IEC 27001, pkt 7.2-7.3), nie wymóg ustawy. Kto twierdzi inaczej, myli dwa różne przepisy.
• Za brak szkolenia kierownikowi grozi osobista kara pieniężna do 300% wynagrodzenia (art. 73a ust. 1 pkt 4 i ust. 4); kary mogą być nakładane od 3.04.2028 r. (art. 35 ustawy zmieniającej).

Co dokładnie nakazuje ustawa

W tym obszarze ustawa zawiera DWA różne obowiązki o różnych reżimach - i to rozróżnienie jest najczęściej przekłamywane w materiałach rynkowych:

Obowiązek 1: coroczne szkolenie kierownika (art. 8e).

• Kto: kierownik podmiotu kluczowego lub podmiotu ważnego ORAZ osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa (art. 8e ust. 1).
• Jak często: raz w roku kalendarzowym (ust. 1) - czyli szkolenie trzeba powtórzyć w każdym kolejnym roku kalendarzowym.
• Z czego: zakres obejmuje wykonywanie obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9-12b, art. 14 i art. 15 (ust. 2). To nie jest kurs “cyberbezpieczeństwo ogólne” - to szkolenie z konkretnego katalogu obowiązków prawnych: rejestracja, SZBI, zadania kierownika, incydenty, audyt.
• Dowód: udział w szkoleniu jest udokumentowany (ust. 3).
• Sankcja: osobista kara pieniężna kierownika (art. 73a ust. 1 pkt 4), do 300% wynagrodzenia (ust. 4); nakładanie kar możliwe od 3.04.2028 r. (art. 35 ustawy zmieniającej).

Obowiązek 2: edukacja personelu i cyberhigiena (art. 8 ust. 1 pkt 2 lit. i oraz j).

W katalogu środków SZBI podmiot zapewnia “edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu” (lit. i) oraz “podstawowe zasady cyberhigieny” (lit. j). Do tego kierownik zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa (art. 8d pkt 4).

Czego tu NIE ma: częstotliwości. Ustawa nie mówi, że personel szkoli się co roku. Coroczny cykl szkolenia personelu to rekomendacja wdrożeniowa oparta na dobrej praktyce (PN-EN ISO/IEC 27001, pkt 7.2-7.3 i zał. A 6.3) - rozsądna, łatwa do obrony, ale nie ustawowa. Piszemy to wprost, bo różnica ma znaczenie: kierownik, który nie odnowił własnego szkolenia, narusza art. 8e; firma, która szkoli personel co dwa lata zamiast co rok, nie narusza żadnego przepisu wprost - co najwyżej musi umieć obronić adekwatność swojego cyklu (proporcjonalność z art. 8 ust. 1 pkt 2).

Jak to wygląda w praktyce małej firmy

1. Ustal, kto podlega art. 8e. Kierownik podmiotu oraz - jeżeli obowiązki kierownika w zakresie cyberbezpieczeństwa powierzono innej osobie - także ta osoba (art. 8e ust. 1). TODO-CONTENT: kwalifikacja “kierownika podmiotu” w konkretnych formach prawnych (zarząd wieloosobowy, JST) wymaga potwierdzenia radcy - pozycja w rejestrze niepewności.
2. Zaplanuj cykl kalendarzowy. “Raz w roku kalendarzowym” oznacza, że szkolenie z grudnia 2026 nie pokrywa roku 2027. Najbezpieczniejszy wzorzec operacyjny: stały termin w pierwszej połowie roku + przypomnienie z wyprzedzeniem.
3. Dokumentuj tak, żeby dowód był trwały. Art. 8e ust. 3 wymaga udokumentowania udziału. Dobry dowód zawiera: kto, kiedy, jaki zakres (mapowanie na katalog z ust. 2), potwierdzenie ukończenia. Rejestr, którego nie da się wstecznie “poprawić”, broni się lepiej niż luźne certyfikaty PDF w skrzynce mailowej.
4. Personel: minimum sensowne. Krótkie szkolenie podstawowe (cyberhigiena: hasła, MFA, phishing, zgłaszanie incydentów) dla wszystkich + potwierdzenia ukończenia w rejestrze. Cykl roczny przyjmij jako własną praktykę - i tak nazwij go w dokumentacji (“praktyka podmiotu”, nie “wymóg ustawy”).
5. Nowi pracownicy. Edukacja personelu (lit. i) obejmuje też onboarding - nowa osoba nie powinna czekać na doroczną turę.

Jakie artefakty trzeba mieć

Najczęstsze błędy

1. “Ustawa wymaga corocznego szkolenia wszystkich pracowników”. Nie wymaga. Coroczność dotyczy kierownika (art. 8e ust. 1); personel ma mieć zapewnioną edukację i cyberhigienę bez ustawowej częstotliwości (art. 8 ust. 1 pkt 2 lit. i-j). To najczęstsze przekłamanie w ofertach szkoleniowych na tym rynku.
2. Szkolenie kierownika “z cyberbezpieczeństwa” zamiast z obowiązków. Zakres z art. 8e ust. 2 to konkretne przepisy (rejestracja, SZBI, incydenty, audyt) - generyczny kurs o hakerach nie pokrywa katalogu.
3. Brak dokumentacji udziału. Szkolenie było, dowodu nie ma - art. 8e ust. 3 wymaga udokumentowania; przy kontroli liczy się zapis.
4. Pominięcie osoby z powierzonymi obowiązkami. Jeżeli zarząd powierzył cyberbezpieczeństwo np. dyrektorowi IT, to art. 8e obejmuje także jego - a odpowiedzialność i tak zostaje przy kierowniku (art. 8c ust. 3).
5. Szkolenie raz, przy wdrożeniu. Cykl jest kalendarzowy: brak szkolenia w danym roku kalendarzowym to zaległość, której nie nadrobi szkolenie styczniowe następnego roku.

Checklista do odhaczenia

• Wiem, kto w naszym podmiocie podlega art. 8e (kierownik + ewentualnie osoba z powierzonymi obowiązkami)
• Szkolenie kierownika za bieżący rok kalendarzowy: zaplanowane albo wykonane (art. 8e ust. 1)
• Zakres szkolenia pokrywa katalog z art. 8e ust. 2 (mam mapowanie tematów na artykuły)
• Udział jest udokumentowany w sposób trwały (art. 8e ust. 3)
• Personel przeszedł szkolenie podstawowe z cyberhigieny (art. 8 ust. 1 pkt 2 lit. i-j)
• Rejestr szkoleń personelu istnieje i jest aktualny (art. 8d pkt 4)
• Onboarding nowych pracowników obejmuje moduł edukacji cyber
• W dokumentacji SZBI cykl szkoleń personelu jest nazwany praktyką podmiotu, nie wymogiem ustawy

Pytania i odpowiedzi

Czy szkolenie kierownika z art. 8e musi kończyć się certyfikatem? Ustawa wymaga udokumentowania udziału (art. 8e ust. 3), nie certyfikatu w konkretnej formie. Trwałe potwierdzenie (kto, kiedy, jaki zakres) spełnia przepis; certyfikat jest wygodną formą tego potwierdzenia.

Kto płaci karę za brak szkolenia kierownika - firma czy kierownik? Kara z art. 73a ust. 1 pkt 4 jest karą osobistą kierownika, do 300% jego wynagrodzenia (ust. 4). Kary mogą być nakładane od 3.04.2028 r. (art. 35 ustawy zmieniającej z 23.01.2026 r.).

Czy e-learning wystarczy jako szkolenie z art. 8e? Ustawa nie określa formy szkolenia - określa zakres (ust. 2) i wymóg udokumentowania (ust. 3). E-learning pokrywający katalog obowiązków, z trwałym potwierdzeniem ukończenia, mieści się w brzmieniu przepisu. TODO-LEGAL-REVIEW: potwierdzić z kancelarią, czy nie ma stanowisk organów zawężających formę.

Jak często szkolić personel? Ustawa nie podaje częstotliwości (art. 8 ust. 1 pkt 2 lit. i-j). Rekomendujemy cykl roczny plus onboarding nowych osób - jako dobrą praktykę zgodną z PN-EN ISO/IEC 27001 pkt 7.2-7.3, świadomie oznaczoną w dokumentacji jako praktyka podmiotu.

Źródła

• Ustawa o KSC - tekst ujednolicony Kancelarii Sejmu z 2026-07-07: isap.sejm.gov.pl (PDF)
• Ustawa z 23.01.2026 r. (Dz. U. 2026 poz. 252): ISAP
• PN-EN ISO/IEC 27001, pkt 7.2-7.3, zał. A 6.3 - norma, dobra praktyka, nie przepis

Ten artykuł jest narzędziem informacyjnym, nie poradą prawną. Status treści: 0.9-draft, przed przeglądem kancelarii (TODO-LEGAL-REVIEW).