KSC 2026/2027 • art. 8e • szkolenie online
Obowiązkowe szkolenie KSCdla zarządu i kierownictwa.
Program przygotowany dla kierowników podmiotów kluczowych i ważnych oraz osób, którym powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Bez technicznego przeładowania – z naciskiem na decyzje, nadzór, odpowiedzialność i dowody wykonania obowiązków.
Online na żywo • cena 999 zł • udział dokumentowany zgodnie z art. 8e ust. 3 KSC
Wymóg ustawowy
Kto ma obowiązek przejść szkolenie?
Od 2027 r. szkolenie jest obligatoryjnym elementem realizacji KSC dla objętych nim kierowników. Art. 8e ustawy o krajowym systemie cyberbezpieczeństwa stanowi, że kierownik podmiotu kluczowego lub podmiotu ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym. Udział w szkoleniu musi być udokumentowany.
Od kiedy? Nowelizacja KSC weszła w życie 3 kwietnia 2026 r. Podmioty, które tego dnia spełniały przesłanki uznania za kluczowe lub ważne, realizują obowiązki rozdziału 3 w terminie 12 miesięcy od wejścia w życie ustawy, czyli do 3 kwietnia 2027 r. Dla podmiotów uzyskujących status później termin może wynikać z daty spełnienia przesłanek albo doręczenia decyzji. Szczegółowy zakres obowiązków może różnić się zależnie od sektora i statusu podmiotu; podczas szkolenia wskazywane są właściwe wyjątki.
Pełny zakres art. 8e ust. 2 KSC
Program szkolenia
Zakres szkolenia został zbudowany według odesłań ustawowych z art. 8e ust. 2 KSC: art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1–2, art. 9–12b, art. 14 i art. 15.
art. 7b ust. 4 • art. 7c • art. 7f ust. 3
1. Wykaz podmiotów kluczowych i ważnych
Obowiązki związane z obecnością podmiotu w wykazie KSC:
- uzupełnianie danych przy wpisie z urzędu,
- wniosek o wpis do wykazu i terminy jego złożenia,
- aktualizacja danych – w tym termin 14 dni od zmiany,
- oświadczenie kierownika i odpowiedzialność za prawdziwość danych,
- wniosek o wykreślenie po utracie przesłanek objęcia KSC.
art. 8
2. System zarządzania bezpieczeństwem informacji i zarządzanie ryzykiem
Co kierownik musi rozumieć i nadzorować w SZBI oraz w środkach zarządzania ryzykiem:
- systematyczne szacowanie ryzyka i zarządzanie ryzykiem,
- polityki bezpieczeństwa i polityki tematyczne,
- bezpieczeństwo nabywania, rozwoju, utrzymania i eksploatacji systemów oraz ich testowanie,
- bezpieczeństwo fizyczne i środowiskowe oraz kontrola dostępu,
- bezpieczeństwo zasobów ludzkich,
- bezpieczeństwo i ciągłość łańcucha dostaw ICT oraz ocena dostawców,
- ciągłość działania, plany awaryjne i odtworzeniowe,
- ciągłe monitorowanie systemów informacyjnych,
- ocena skuteczności środków technicznych i organizacyjnych,
- edukacja personelu i podstawowe zasady cyberhigieny,
- kryptografia i – gdy zasadne – szyfrowanie,
- bezpieczna komunikacja elektroniczna i MFA,
- zarządzanie aktywami i polityki kontroli dostępu,
- zbieranie informacji o cyberzagrożeniach i podatnościach,
- zarządzanie incydentami,
- mechanizmy poufności, integralności, dostępności i autentyczności danych,
- zarządzanie aktualizacjami i reagowanie na podatności,
- ochrona przed nieuprawnioną modyfikacją oraz działania ograniczające wpływ cyberzagrożeń.
art. 8d
3. Obowiązki zarządcze kierownika
- decyzje dotyczące przygotowania, wdrożenia, stosowania, przeglądu i nadzoru SZBI,
- zapewnienie adekwatnego finansowania cyberbezpieczeństwa,
- przydzielanie zadań i nadzorowanie ich wykonania,
- zapewnienie świadomości personelu i znajomości regulacji wewnętrznych,
- nadzór nad zgodnością z prawem i regulacjami organizacji.
art. 8f ust. 1–2
4. Weryfikacja osób realizujących zadania bezpieczeństwa
Wymóg przedstawienia informacji z KRK przed rozpoczęciem zadań z art. 8 lub 11 oraz ponowna weryfikacja w razie uzasadnionego podejrzenia skazania za przestępstwo przeciwko ochronie informacji.
art. 9
5. Osoby kontaktowe, użytkownicy i system KSC
- wyznaczenie osób odpowiedzialnych za kontakty z podmiotami KSC,
- zapewnienie użytkownikom wiedzy o cyberzagrożeniach,
- kanał do zgłaszania cyberzagrożeń, incydentów i podatności,
- korzystanie z systemu teleinformatycznego KSC po wpisie do wykazu.
art. 10
6. Dokumentacja i dowody wykonania obowiązków
- dokumentacja normatywna i operacyjna,
- dokumentacja SZBI, ochrony infrastruktury, ciągłości działania i dokumentacja techniczna,
- kontrola dostępu do dokumentów i ochrona ich integralności,
- wersjonowanie, retencja dokumentacji i protokoły brakowania,
- logi i inne zapisy jako dowody realizacji procedur.
art. 11 • art. 12 • art. 12a • art. 12b
7. Obsługa i raportowanie incydentów poważnych
- zapewnienie obsługi incydentu i klasyfikacja incydentu jako poważnego,
- dostęp właściwego CSIRT do informacji o rejestrowanych incydentach,
- wczesne ostrzeżenie – nie później niż w ciągu 24 godzin od wykrycia,
- zgłoszenie incydentu poważnego – nie później niż w ciągu 72 godzin od wykrycia,
- sprawozdanie okresowe na wniosek CSIRT sektorowego,
- sprawozdanie końcowe – co do zasady nie później niż w ciągu miesiąca od zgłoszenia,
- sprawozdanie z postępu, gdy obsługa incydentu jeszcze trwa,
- współdziałanie z CSIRT i przekazywanie niezbędnych informacji, także prawnie chronionych,
- zakres danych wymaganych w ostrzeżeniu, zgłoszeniu i sprawozdaniu końcowym,
- informowanie użytkowników o poważnym cyberzagrożeniu lub incydencie, gdy wymagają tego przepisy,
- praktyczny model eskalacji zarządczej i podejmowania decyzji w pierwszych godzinach incydentu.
art. 14
8. Organizacja funkcji cyberbezpieczeństwa
Powołanie wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo albo zawarcie umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa – oraz odpowiedzialność kierownika za skuteczny nadzór nad tym modelem.
art. 15
9. Audyt cyberbezpieczeństwa
Obowiązkowy audyt podmiotu kluczowego co najmniej raz na 3 lata, przekazywanie raportu oraz możliwość nakazania zewnętrznego audytu także w innych przypadkach przewidzianych ustawą. Jak przygotować zarząd do audytu i jakich dowodów oczekiwać.
odpowiedzialność kierownika • art. 8c i art. 73a
10. Odpowiedzialność osobista i sankcje
Praktyczne omówienie odpowiedzialności kierownika za wykonanie obowiązków KSC, odpowiedzialności organu wieloosobowego, skutków delegowania zadań oraz przesłanek odpowiedzialności pieniężnej kierownika.
warsztat zarządczy
11. Checklista decyzji zarządu
Jak przełożyć ustawę na cykl decyzji: kto odpowiada, co musi być zatwierdzone, jakie raporty mają trafiać do zarządu, jakie KPI/KRI monitorować i jakie dowody pozostawić na potrzeby kontroli lub audytu.
Rezultat szkolenia
Co otrzymuje uczestnik?
Udokumentowanie udziału
Potwierdzenie udziału pozwalające wykazać wykonanie obowiązku szkoleniowego z art. 8e ust. 3 KSC.Materiały po szkoleniu
Skrócona checklista obowiązków kierownika, terminy raportowania incydentów oraz lista obszarów do nadzoru zarządczego.Perspektywa zarządcza
Bez przeładowania techniką – nacisk na decyzje, nadzór, ryzyko, odpowiedzialność i praktyczne pytania do zespołów IT/bezpieczeństwa.Aktualny stan prawny
Zakres oparty na ustawie z 23 stycznia 2026 r. nowelizującej KSC, obowiązującej od 3 kwietnia 2026 r.
Szkolenie online
Zarezerwuj szkolenie dla zarządu
Ustal termin online i liczbę uczestników. Program obejmuje pełny zakres ustawowy oraz praktyczne omówienie odpowiedzialności kierownika.
Podstawa prawna
Źródła
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252), w szczególności art. 8c–8f oraz art. 33 przepisów przejściowych.
