Dla zarządu, właściciela firmy, wójta, burmistrza, starosty i dyrektora jednostki oraz osoby, której powierzono obowiązki z cyberbezpieczeństwa. Status podmiotu, odpowiedzialność i kary, ryzyko, incydenty, audyt i plan na pierwsze 90 dni — z decyzjami „co robisz jako szef”.
Start › Kursy online › Szkolenie NIS2 dla kierownictwa
| Dla kogo | Kierownik podmiotu kluczowego lub ważnego (członkowie zarządu, właściciel, wójt, burmistrz, prezydent miasta, starosta, dyrektor szkoły, szpitala, ośrodka kultury) i osoba, której powierzono obowiązki z zakresu cyberbezpieczeństwa; także właściciele małych firm — dostawców podmiotów objętych NIS2 |
| Podstawa | Art. 8e ustawy o krajowym systemie cyberbezpieczeństwa (po nowelizacji z 23.01.2026 r., Dz.U. 2026 poz. 252) — szkolenie raz w roku kalendarzowym, udział udokumentowany |
| Zakres | Samoidentyfikacja i wykaz, odpowiedzialność i kary, SZBI i szacowanie ryzyka, środki i łańcuch dostaw, incydenty i zgłoszenia, audyt i kontrola, ciągłość działania, budżet i plan 90 dni, sektor publiczny |
| Forma | Online, we własnym tempie: 8 lekcji po 30 minut (4 godziny), schematy, historie z decyzjami, ćwiczenia, zadania dla własnej organizacji, test i zaświadczenie z kodem weryfikacji |
| Cena | 349 zł netto za osobę (429,27 zł z VAT) · zarząd do 5 osób — pakiet 1 290 zł netto (zapytaj) |
Uczciwie: kurs obejmuje wszystkie obowiązki, które art. 8e ust. 2 wymienia jako zakres szkolenia kierownika, i kończy się zaświadczeniem do dokumentacji. To jednak szkolenie — nie wdrożenie systemu zarządzania bezpieczeństwem informacji, nie audyt i nie porada prawna. Status podmiotu i zakres obowiązków ustala się indywidualnie.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdrożyła dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r., przesuwa odpowiedzialność za cyberbezpieczeństwo z działu IT na kierownika podmiotu. Kierownik odpowiada za wykonywanie obowiązków także wtedy, gdy powierzył je innej osobie (art. 8c), podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji, planuje środki finansowe i nadzoruje zadania (art. 8d), a raz w roku kalendarzowym przechodzi udokumentowane szkolenie (art. 8e).
Według komentarzy prawniczych na kierownika można nałożyć karę niezależną od kary dla podmiotu — do 300% wynagrodzenia, a w podmiotach publicznych do 100% — także za jednorazowe zaniechanie, np. brak szkolenia. Większość kar może być nakładana po 3 kwietnia 2028 r., ale obowiązki obowiązują już teraz, a wdrożyć je trzeba do 3 kwietnia 2027 r.
Art. 8e ust. 2 wymienia obowiązki, których dotyczy szkolenie kierownika. Każdy z nich ma w kursie swoje miejsce:
| Przepis | Obowiązek | Lekcja |
|---|---|---|
| art. 7b ust. 4, 7c, 7f ust. 3 | Wpis do wykazu, uzupełnienie danych po wpisie z urzędu, wykreślenie z uzasadnieniem | 1 |
| art. 8 | System zarządzania bezpieczeństwem informacji: ryzyko, środki techniczne i organizacyjne, łańcuch dostaw, ciągłość działania | 3, 4, 7 |
| art. 8d | Obowiązki kierownika: decyzje o SZBI, budżet, przydział zadań i nadzór, świadomość personelu, zgodność | 2, 8 |
| art. 8f ust. 1–2 | Informacja o niekaralności osób realizujących zadania | 2 |
| art. 9–12b | Osoby kontaktowe, dokumentacja, obsługa i zgłaszanie incydentów, wczesne ostrzeżenie, sprawozdania | 3, 5 |
| art. 14 | Własne struktury albo umowa z dostawcą usług zarządzanych w zakresie bezpieczeństwa | 3, 4 |
| art. 15 | Audyt bezpieczeństwa systemu informacyjnego | 6 |
Każda lekcja to krótkie części z pytaniem kontrolnym, schematy, cztery historie z decyzjami kierownika, ćwiczenia (dopasowanie, prawda czy fałsz, kolejność, studium przypadku), zadanie praktyczne dla własnej organizacji i pytania sprawdzające — razem ponad 80 pytań w puli testu.
Sektor, wielkość z firmami powiązanymi i partnerskimi, wyjątki, wniosek o wpis, wpis z urzędu i uzupełnienie danych, wykreślenie, notatka statusowa.
Kto jest kierownikiem, organ wieloosobowy, powierzenie obowiązków, pięć obowiązków z art. 8d, szkolenie i niekaralność, kary dla podmiotu i kierownika, zakaz pełnienia funkcji, ślad decyzyjny.
Cykl SZBI, szacowanie ryzyka dla usług, macierz ryzyka, decyzje o ryzyku, dokumentacja, zespół wewnętrzny czy dostawca, uproszczony system dla publicznych podmiotów ważnych.
Mapa środków z art. 8, dziesięć decyzji obniżających ryzyko, ludzie i kultura, mapa dostawców, klauzule umowne, zamówienia publiczne, dostawcy wysokiego ryzyka.
Proces obsługi, osoby kontaktowe i system S46, 24 h / 72 h / miesiąc, sprawozdanie z postępu, pierwsza doba, okup, UODO, policja, komunikacja.
Audyt co najmniej raz na 3 lata dla podmiotów kluczowych, pierwszy do 3.04.2028 r., niezależność audytora, audyt na żądanie organu, nakazy i kary okresowe, teczka dowodów.
Analiza wpływu, RTO i RPO, plan ciągłości na dzień, w którym nic nie działa, komunikacja kryzysowa, ćwiczenia przy stole, cyberubezpieczenie.
Budżet według ryzyka, raport i wskaźniki dla zarządu, plan 90 dni, gmina, starostwo, szkoła i szpital, mała firma jako dostawca podmiotu kluczowego.
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252, w życie od 3.04.2026) obejmuje podmioty kluczowe i ważne z wyznaczonych sektorów — m.in. energetyki, transportu, ochrony zdrowia, wody, infrastruktury cyfrowej i usług ICT, administracji publicznej, gospodarki odpadami, produkcji i żywności — jeśli spełniają próg średniego przedsiębiorstwa: co najmniej 50 pracowników albo przychód lub suma bilansowa powyżej 10 mln EUR. Niezależnie od wielkości objęci są m.in. dostawcy DNS, rejestry domen, kwalifikowani dostawcy usług zaufania i przedsiębiorcy telekomunikacyjni, a jednostki publiczne wpisano do wykazu z urzędu.
Mikro i małe firmy zwykle nie podlegają ustawie bezpośrednio, ale jako dostawcy podmiotów kluczowych i ważnych dostają te same wymagania w umowach. Termin samodzielnego wpisu do wykazu minął 3 października 2026 r.; obowiązki, w tym system zarządzania bezpieczeństwem informacji, trzeba wdrożyć do 3 kwietnia 2027 r. Jeśli nie wiesz, czy NIS2 dotyczy Twojej organizacji — zapytaj, sprawdzimy to razem.
Podmioty publiczne zostały wpisane do wykazu z urzędu i mają 6 miesięcy od doręczenia wezwania na uzupełnienie danych. Według komentarzy urząd jednostki samorządu jest podmiotem kluczowym przy co najmniej 50 etatach, a mniejsze urzędy, szkoły i instytucje kultury to zwykle publiczne podmioty ważne z uproszczonym systemem (załącznik nr 4 do ustawy). Każda jednostka ma własny status i własnego kierownika — wójt czy starosta koordynuje, ale nie przejmuje odpowiedzialności dyrektorów. Kurs pokazuje, jak to poukładać i jak korzystać ze wspólnych usług.
Firma informatyczna, biuro rachunkowe, serwis automatyki czy hosting zwykle nie podlegają ustawie — ale ich klienci muszą dbać o bezpieczeństwo łańcucha dostaw. Ankiety, aneksy i wymagania w przetargach już się pojawiają. W kursie przygotujesz „pakiet bezpieczeństwa dostawcy”, który skraca negocjacje i odróżnia Cię od konkurencji.
Szkolenie to początek. Jako Pruszyński.IT pomagam firmom, spółkom komunalnym, szkołom i urzędom z Dobrego Miasta, Olsztyna, Lidzbarka Warmińskiego i okolic przejść od wiedzy do działania:
To pomoc techniczna i organizacyjna — nie zastępuje porady prawnej ani audytu z art. 15. Zobacz też usługi IT Pruszyński.IT.
Zostaw kontakt — odezwę się z ceną dla jednej osoby, całego zarządu lub kilku jednostek, a jeśli chcesz — z propozycją pomocy we wdrożeniu. Zapytanie do niczego nie zobowiązuje. Wolisz od razu porozmawiać? Zadzwoń: 578 906 106.
Kurs został zbudowany pod art. 8e: obejmuje wszystkie obowiązki wymienione w ust. 2 tego przepisu (wpis i dane w wykazie, system zarządzania bezpieczeństwem informacji, obowiązki kierownika, weryfikacja niekaralności, osoby kontaktowe, dokumentacja, obsługa i zgłaszanie incydentów, struktury i audyt), a na końcu jest test i zaświadczenie z datą, które dokumentuje udział (ust. 3). Szkolenie trzeba powtarzać w każdym roku kalendarzowym. Kurs nie jest wdrożeniem systemu, audytem ani poradą prawną — status podmiotu i zakres obowiązków ustala się indywidualnie.
Podmiotów kluczowych i ważnych z sektorów wymienionych w ustawie o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), które mają co najmniej 50 pracowników albo przychód lub sumę bilansową powyżej 10 mln EUR. Niezależnie od wielkości — m.in. dostawców DNS, rejestrów domen, kwalifikowanych dostawców usług zaufania i przedsiębiorców telekomunikacyjnych oraz jednostek publicznych. Mikro i małe firmy zwykle podlegają NIS2 pośrednio — przez wymagania w umowach z większymi klientami.
Kierownik podmiotu kluczowego lub ważnego — np. członkowie zarządu spółki, właściciel firmy, wójt, burmistrz, prezydent miasta, starosta, dyrektor szkoły, szpitala czy ośrodka kultury — oraz osoba, której kierownik powierzył obowiązki z zakresu cyberbezpieczeństwa (np. pełnomocnik, koordynator, kierownik IT). Szkolenie odbywa się raz w roku kalendarzowym, a udział musi być udokumentowany.
Kurs dla pracowników (Cyberbezpieczeństwo w pracy) uczy cyberhigieny: rozpoznawania phishingu, haseł, MFA, reagowania na incydent. Ten kurs jest dla kierownictwa i dotyczy decyzji: status podmiotu i wpis do wykazu, odpowiedzialność i kary, szacowanie ryzyka, budżet, dostawcy, decyzje w pierwszej dobie incydentu, audyt i kontrola, ciągłość działania i plan na pierwsze 90 dni. Oba kursy się uzupełniają.
Tak. Osobne części dotyczą sektora publicznego: wpisu z urzędu i uzupełnienia danych, statusu urzędu i jednostek organizacyjnych, uproszczonego systemu dla publicznych podmiotów ważnych (załącznik nr 4), roli wójta, starosty i dyrektora oraz specyfiki szkół i szpitali. Przykłady pochodzą z realiów samorządów, spółek komunalnych i szpitali powiatowych.
8 lekcji po 30 minut (łącznie 4 godziny zegarowe), w pełni online, we własnym tempie. Każda lekcja to krótkie części z pytaniem kontrolnym, schematy, cztery historie z decyzjami „co robisz jako szef”, ćwiczenia, zadanie praktyczne dla własnej organizacji i pytania sprawdzające. Na końcu test jednokrotnego wyboru i zaświadczenie z kodem weryfikacji.
349 zł netto za osobę (429,27 zł z VAT), zakup w sklepie online. Zarząd do 5 osób — pakiet 1 290 zł netto: napisz w formularzu albo zadzwoń. Przy kilku jednostkach samorządu albo z pomocą we wdrożeniu (np. MFA, kopie, procedura incydentów, plan 90 dni) — przygotuję wycenę.
Kurs przygotował Patryk Pruszyński — ponad 20 lat w IT i telekomunikacji (m.in. jako dyrektor techniczny sieci telekomunikacyjnej), studia z zakresu cyberbezpieczeństwa, specjalista ds. BHP. Źródła: ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa znowelizowana ustawą z 23.01.2026 r. (Dz.U. 2026 poz. 252) — art. 5, 7b–7f, 8–8f, 9–15, 73–76b; dyrektywa (UE) 2022/2555 (NIS2); rozporządzenie (UE) 2016/679 (RODO); komunikaty Ministerstwa Cyfryzacji (gov.pl) i materiały NASK; komentarze prawnicze do przepisów o karach i audycie. Pruszyński.IT, ul. Grudziądzka 3/1, 11-040 Dobre Miasto · tel. 578 906 106 · p.pruszynski.it@gmail.com · stan na 22.10.2026