praca
szkolenia
NIS2, DORA i RODO wymagają szkoleń, a AI Act dodaje własny. Jeden mały program z jedną listą obecności odpowiada na wszystkie. Porażką, która wychodzi na jaw, jest brak zapisu.
co to znaczy w praktyce
Słaby slajd to mniejszy problem niż brak zapisu. Utrzymaj program mały, powtarzaj go co roku i prowadź listę.
Obowiązek AI literacy zmienił się w lipcu 2026 r. i teraz mówi, że nie wymaga gwarantowania określonego poziomu u żadnej osoby. Krótka sesja o Waszych rzeczywistych narzędziach jest więc rozsądnym środkiem dla firmy tej wielkości. Resztę znajdziesz na stronie o AI Act.
podstawa NIS2 art. 21(2)(g); AI Act art. 4 w brzmieniu z Rozporządzenie 2026/1744 art. 1
co zdecydować
- Jakie narzędzia AI są dozwolone, do czego i do kogo pracownicy mają się zwracać?organ zarządzający, na wniosek IT
- Kto odpowiada za program szkoleń?HR, wspólnie z szefem IT
- Kiedy szkoli się kierownictwo, w Polsce raz w roku kalendarzowym?przewodniczący organu zarządzającego
podstawa AI Act art. 4 w brzmieniu z Rozporządzenie 2026/1744 art. 1; NIS2 art. 20(2); KSC art. 8e(1)
trzy grupy odbiorców, jeden program
podstawa NIS2 art. 20(2), 21(2)(g); DORA art. 13(6); AI Act art. 4; KSC art. 8e. Podział według tematów to praktyka.
co zbudować
- Zaplanuj dla wszystkich 30 minut rocznie (do Twojej decyzji): rozpoznawanie phishingu, zgłaszanie czegoś dziwnego, jakie dane wolno wprowadzać do narzędzia AI, do kogo dzwonić.
- Przeprowadź dla kierownictwa jedną sesję o ich obowiązkach: zatwierdzanie, nadzór, o co pytać. W Polsce kierownictwo szkoli się raz w roku kalendarzowym.
- Przeprowadź dla administratorów jedną sesję o tym, co pokazały Wasze własne incydenty i ocena ryzyka.
- Dodaj do sesji swoje zasady dotyczące AI. To rdzeń środków wspierających AI literacy (kompetencje w zakresie AI).
- Trzymaj listę obecności razem ze slajdami i goń tych, którzy nie przyszli.
podstawa NIS2 art. 21(2)(g); DORA art. 13(6); RODO art. 39(1)(b); IR 2024/2690 załącznik 8.1, 8.2 jako punkt odniesienia; KSC art. 8e(1). Długość i tematy są praktyką.
dowody, które zostają
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| lista obecności: imię i nazwisko, data, sesja | HR | po każdej sesji |
| materiał w wersji, w jakiej go przeprowadzono, z oznaczeniem wersji | szef IT | raz w roku |
| zapis szkolenia kierownictwa, w Polsce udokumentowanego | sekretarz spółki | raz w roku |
| spisane zasady korzystania z AI | organ zarządzający | raz w roku |
podstawa KSC art. 8e(3). Reszta jest praktyką.
jedno szkolenie, jedna lista
- 1przeprowadź szkoleniekrótkie, o Waszych narzędziach i incydentach
- 2sprawdź obecnośćimię i nazwisko, data, szkolenie
- 3zachowaj materiałrazem z jego wersją
ta lista pomaga odpowiedzieć
- NIS2szkolenia, w tym kadry zarządzającej
- DORAobowiązkowe moduły
- RODOświadomość pracowników
- AI Actśrodki wspierające AI literacy
podstawa NIS2 art. 20(2), 21(2)(g); DORA art. 13(6); RODO art. 39(1)(b); AI Act art. 4
gdzie to się psuje
szkolenie bez zapisu
Jeśli nie ma listy, nie ma czego pokazać. Prowadź ją od pierwszej sesji.
organ zarządzający je pomija
NIS2 wymienia kierownictwo wprost, a Polska wymaga, by szkolenie było coroczne i udokumentowane.
zasady AI, których nikt nie spisał
Pracownicy już używają tych narzędzi. Milczenie też jest decyzją.
podstawa NIS2 art. 20(2); KSC art. 8e(1), 8e(3)
co przepisy zostawiają otwarte
- Co uznać za wystarczające. Żaden przepis nie ustala godzin ani programu, choć DORA wymaga, by moduły były obowiązkowe, dla wszystkich pracowników i kierownictwa wyższego szczebla.
- Czy wyniki testów phishingowych należą do dowodów. Są użyteczne dla Ciebie i nie zastępują zapisu, że szkolenie się odbyło.
podstawa DORA art. 13(6)
sprawdź sam
co mówi każdy tekst, dla osoby sprawdzającej tę stronę
| tekst | mówi |
|---|---|
| NIS2 art. 21(2)(g) | Podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa. |
| NIS2 art. 20(2) | Kierownictwo musi odbywać szkolenia. Zachęca się do podobnych szkoleń dla pracowników. |
| IR 2024/2690 załącznik 8.1 | Wymienieni dostawcy usług cyfrowych: świadomość i higiena. Załącznik 8.2 dotyczy szkoleń z bezpieczeństwa. |
| DORA art. 13(6) | Szkolenia w zakresie świadomości i odporności są modułami obowiązkowymi, dla wszystkich pracowników i kierownictwa wyższego szczebla. |
| RODO art. 39(1)(b) | Inspektor ochrony danych monitoruje przestrzeganie przepisów, w tym działania zwiększające świadomość i szkolenia pracowników. |
| AI Act art. 4 | Dostawcy i podmioty stosujące systemy AI podejmują środki wspierające AI literacy u pracowników korzystających z tych systemów. Brzmienie zastąpione Rozporządzenie 2026/1744 art. 1. |
| KSC art. 8e(1) | Polska: kierownik podmiotu i osoby, którym powierzono te obowiązki, odbywają szkolenie raz w roku kalendarzowym. |
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
- Rozporządzenie (UE) 2024/1689 (AI Act), tekst pierwotny (EUR-Lex)
- Rozporządzenie (UE) 2026/1744 (Digital Omnibus w sprawie AI), zmieniające AI Act (EUR-Lex)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (Dziennik Ustaw)
twój następny krok
Wpisz do kalendarza 30-minutową sesję na przyszły miesiąc i załóż dziś listę obecności.