zabezpieczenie
szkolenia z cyberbezpieczeństwa
Krótki, powtarzany program, który uczy cały personel, co zauważać, co zgłaszać i jakie są zasady firmy. Przepisy wymagają szkoleń, a długość zostawiają Tobie. Najczęściej brakuje zapisu, że szkolenie się odbyło.
- co chroni
- stronę ludzką: czy personel zauważa coś dziwnego i wie, kogo powiadomić
- kto za to odpowiada
- HR za zapis, szef IT za treść
- zacznij od
- jedna krótka sesja dla organu zarządzającego i jedna dla wszystkich, z listą obecności
czym jest
Szkolenie z cyberbezpieczeństwa uczy cały personel, a organ zarządzający jako osobną grupę, jak zauważyć coś dziwnego, kogo powiadomić i jakie są zasady firmy. To zabezpieczenie dotyczące ludzi. Żadne narzędzie nie zrobi tego za Ciebie, choć może dostarczać kursy i prowadzić zapis.
Przepisy wymagają szkoleń, a długość, tematy i formę zostawiają Tobie. NIS2 wymienia organy zarządzające wprost. DORA czyni moduły obowiązkowymi dla wszystkich pracowników i kierownictwa wyższego szczebla. AI Act dodaje obowiązek dotyczący AI literacy u osób korzystających z systemów AI.
Program musi zostawić po sobie zapis. Prowadź, kto był, kiedy, na którym kursie i w której wersji materiału. Test phishingowy jest dla Ciebie użyteczny, a jego wyniki nie zastępują tego zapisu. Trzymaj je jako osobny zbiór.
podstawa NIS2 art. 20(2), 21(2)(g); DORA art. 13(6). Pola zapisu i forma są praktyką.
program szkoleń, który zostawia zapis
- 1wybierz odbiorcówwszyscy, administratorzy i finanse, organ zarządzający
- 2przeprowadź sesjękrótką, o Waszych narzędziach, zasadach i incydentach
- 3zapisz jąimię i nazwisko, data, kurs i pokazana wersja
- 4dopilnuj brakującychkażda nieobecna osoba, z zapisanym powodem
zmieniaj treść po każdym incydencie i powtarzaj dla nowych pracowników
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę ze 120 osobami, która co roku puszcza kurs uświadamiający.
Jeden kurs dla wszystkich, kupiony raz i odtwarzany w kółko. Lista ukończeń leży w portalu dostawcy i nikt nie sprawdza, kogo brakuje. Organ zarządzający nigdy w tym nie uczestniczył. Gdy audytor pyta, co dana osoba widziała dwa lata temu, nikt nie umie odpowiedzieć.
Organ zarządzający ma własną sesję i własny zapis. Administratorzy i finanse dostają przykłady z incydentów firmy. Lista pokazuje imię i nazwisko, datę, kurs i wersję, a każdą nieobecną osobę ktoś dopilnowuje. Test phishingowy leży obok zapisu, a nie zamiast niego.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 20(2) | Członkowie organów zarządzających muszą odbywać szkolenia. Do podobnych szkoleń dla pracowników zachęca się, na regularnych zasadach. | Zaplanuj osobną sesję dla organu zarządzającego i prowadź jej odrębny zapis. Program dla personelu zaoferuj pozostałym osobom. |
| NIS2 | NIS2 art. 21(2)(g) | Podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa. | Uruchom program, który się powtarza i obejmuje nowych pracowników w pierwszych tygodniach. Spisz, co obejmuje. |
| IR 2024/2690 | IR 2024/2690 załącznik 8.1 | Wymienieni dostawcy usług cyfrowych: program podnoszenia świadomości dla pracowników i kierownictwa, rozłożony w czasie, powtarzany i obejmujący nowych pracowników. W stosownych przypadkach sprawdza się jego skuteczność. | Oprzyj treść na własnych politykach i punktach kontaktowych. Zdecyduj, jak ocenisz, czy program działa. |
| DORA | DORA art. 13(6) | Programy świadomości w zakresie bezpieczeństwa ICT i szkolenia z operacyjnej odporności cyfrowej jako moduły obowiązkowe, dla wszystkich pracowników i kierownictwa wyższego szczebla, o złożoności dopasowanej do funkcji. | Uczyń udział obowiązkowym i dobierz głębokość do roli. Obejmij dostawców usług ICT, gdy wynika to z umów. |
| RODO | RODO art. 39(1)(b) | Inspektor ochrony danych monitoruje przestrzeganie przepisów, w tym działania zwiększające świadomość i szkolenia pracowników uczestniczących w przetwarzaniu. | Przekaż inspektorowi listę obecności i pozwól mu współdecydować o części o ochronie danych. |
| AI Act | AI Act art. 4 | Dostawcy i podmioty stosujące systemy AI podejmują środki wspierające AI literacy (kompetencje w zakresie AI) u pracowników korzystających z tych systemów. Brzmienie zastąpione Rozporządzenie 2026/1744 art. 1. | Dodaj do sesji własne zasady korzystania z AI i używane narzędzia, a zapisz, kto je usłyszał. |
| KSC | KSC art. 8e(1) | Polska: kierownik podmiotu i osoby, którym powierzono te obowiązki, odbywają szkolenie raz w roku kalendarzowym. | Wpisz do kalendarza coroczne szkolenie kierownictwa i prowadź jego zapis osobno. |
podstawa NIS2 art. 20(2), 21(2)(g); IR 2024/2690 załącznik 8.1 jako punkt odniesienia; DORA art. 13(6); RODO art. 39(1)(b); AI Act art. 4 w brzmieniu z Rozporządzenie 2026/1744 art. 1; KSC art. 8e(1). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy da się przypisać kursy grupom, takim jak cały personel, administratorzy czy organ zarządzający, i zobaczyć, kogo brakuje?
- Czy prowadzi zapis obecności lub ukończenia dla każdej osoby, z datą i kursem, który można wyeksportować?
- Czy przechowuje materiał w wersji, w jakiej go przeprowadzono, z oznaczeniem wersji, żeby pokazać, co dana osoba zobaczyła w danym roku?
- Czy możesz wgrać własną treść, na przykład swój punkt zgłaszania i swoje zasady dotyczące AI, czy tylko bibliotekę dostawcy?
- Czy zapisuje nowych pracowników i usuwa odchodzących na podstawie katalogu użytkowników, bez ręcznych list?
- Czy działa dla osób bez firmowego laptopa, takich jak pracownicy produkcji czy terenu?
- Czy potrafi przeprowadzić symulowany phishing i czy trzyma ten wynik oddzielnie od zapisu szkoleń?
- Czy jest dostępny w językach, w których mówi Twój personel, i czy możesz edytować treść?
- Ile kosztuje na użytkownika rocznie, gdy doliczysz współpracowników i osoby na część etatu?
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Przeprowadź jedną krótką sesję dla wszystkich i jedną dla organu zarządzającego. Prowadź listę obecności z imieniem i nazwiskiem, datą, kursem i wersją.
- solidnie
Podziel treść według ról, wpisuj nowych pracowników w pierwszych tygodniach i dopilnuj każdego brakującego nazwiska, zapisując powód.
- mocno
Zmieniaj treść po każdym incydencie, dodaj własne zasady korzystania z AI, oceń, czy program działa, i trzymaj wyniki phishingu jako drugi zapis.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
szkolenie bez zapisu
Jeśli żadna lista nie pokazuje, kto był, co mu pokazano i kiedy, nie ma czego przekazać. Prowadź zapis od pierwszej sesji.
test phishingowy wzięty za szkolenie
Wynik testu pokazuje, jak ludzie zachowali się jednego dnia. Nie dowodzi, że ktokolwiek został czegoś nauczony. Trzymaj go jako drugi zapis obok listy obecności.
jeden kurs dla wszystkich, w kółko
Organ zarządzający, administratorzy i finanse mają różne ryzyka. Te same slajdy co roku szybko przestają działać. Powtarzaj program i zmieniaj treść wraz z Waszymi incydentami.
organ zarządzający zostawia to personelowi
NIS2 wymienia organy zarządzające wprost. Program obejmujący tylko pracowników pomija osoby, na których ciąży obowiązek prawny.
nikt nie pilnuje nieobecnych
Ukończenie na poziomie 70% bez dalszych działań pokazuje, że zdecydowano się nie kończyć. Dopilnuj brakujących osób i zapisz powód.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| zapis obecności lub ukończenia: imię i nazwisko, data, kurs | HR | po każdej sesji |
| materiał w wersji, w jakiej go przeprowadzono, z oznaczeniem wersji | szef IT | raz w roku |
| zapis szkolenia organu zarządzającego, prowadzony oddzielnie od zapisu personelu | sekretarz spółki | raz w roku |
| lista osób, które opuściły sesję, i co z tym zrobiono | HR | co kwartał |
| wyniki testów phishingowych, trzymane obok zapisu, a nie w jego miejsce | szef IT | po każdym teście |
podstawa practice. Żaden przepis nie wylicza pól zapisu. Pola i częstotliwość są Twoim wyborem.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
- Rozporządzenie (UE) 2024/1689 (AI Act), tekst pierwotny (EUR-Lex)
- Rozporządzenie (UE) 2026/1744 (Digital Omnibus w sprawie AI), zmieniające AI Act (EUR-Lex)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (Dziennik Ustaw)
twój następny krok
Załóż dziś listę obecności z imieniem i nazwiskiem, datą, kursem i wersją, zanim zarezerwujesz pierwszą sesję.