Autor: Grzegorz Krzemiński

Ustawa o krajowym systemie cyberbezpieczeństwa robi rzecz, której przepisy robią rzadko: sama wylicza, czego kierownik podmiotu i jego pełnomocnik mają się nauczyć. Art. 8e ust. 2 to gotowy sylabus, napisany przez ustawodawcę. Zbudowałem na nim dwudniowe szkolenie, z którego wychodzi się nie z notatkami, tylko z zaczętymi dokumentami własnej organizacji.

Uczymy dokładnie tego, za co odpowiadasz

Zwróciłem uwagę na jedną rzecz w konstrukcji ustawy, o której nikt nie mówi. Lista przepisów, za które kierownik podmiotu odpowiada osobiście (art. 8c ust. 1), jest identyczna z listą przepisów, z których ma być przeszkolony (art. 8e ust. 2). Różni się jednym: art. 8c dokłada sam art. 8e, czyli odpowiedzialność za to, że szkolenie w ogóle się odbyło.

Program szkolenia nie jest więc moim pomysłem na to, co warto wiedzieć o NIS 2. Jest przełożeniem sylabusa ustawowego na dwanaście bloków po 45 minut, z których każdy ma przypisany przepis: wykaz podmiotów, system zarządzania, zadania kierownika, niekaralność, osoby kontaktowe, dokumentacja, incydenty, model obsługi z dostawcą, audyt. Nic z art. 8e ust. 2 nie zostaje poza programem, bo wtedy certyfikat nie byłby dowodem wykonania obowiązku z art. 8e ust. 3. A jest.

To nie jest szkolenie informatyczne

Ustawa nie wymaga od pełnomocnika umiejętności technicznych. Wymaga od niego ułożenia systemu, w którym każda z domen bezpieczeństwa robi swoje, a wyniki do siebie pasują. Kto szuka w UKSC wymagań konfiguracyjnych, przez dwa dni będzie ich szukał tam, gdzie ich nie ma.

Dlatego prowadzę to szkolenie z pozycji, z której patrzę na bezpieczeństwo od trzydziestu lat: nie z jednej domeny, tylko z pięciu naraz. Cyberbezpieczeństwo, ochrona fizyczna, ochrona przeciwpożarowa, tajemnica przedsiębiorstwa i ochrona danych osobowych stoją na jednym obiekcie i wchodzą sobie w drogę. Art. 10 ust. 3 pkt 2 UKSC każe pełnomocnikowi mieć dokumentację ochrony infrastruktury – czyli zmusza go do rozmowy z kimś, kto zarządza drzwiami, agregatem i strefami pożarowymi. Pełnomocnik, który tej rozmowy nie umie przeprowadzić, dostanie od ochrony fizycznej dokument, którego nie zrozumie, i podpisze.

Na szkoleniu pokazuję macierz powiązań tych pięciu systemów: na przekątnej własny zakres każdej domeny, poza przekątną praca jednej na rzecz drugiej. I siedem działań, które wszystkie domeny robią wspólnie, choć każda nazywa je inaczej. To jest ta część, po której uczestnicy mówią, że wreszcie wiedzą, o co pytać ludzi z innych działów.

Jak wygląda dzień

Dwa dni po sześć bloków, 9:00–15:00, na Teams. Każdy blok ma tę samą konstrukcję, bo ta sama konstrukcja jest w materiale: czego wymaga dyrektywa, jak to wykonała Polska, jak to robimy w praktyce, jakie dokumenty z tego powstają.

Ćwiczenia nie są na wymyślonej firmie. Przed szkoleniem uczestnicy dostają ankietę obiektu. Z nadesłanych opisów wybieram jeden i na nim pracujemy wspólnie, a kto chce, przenosi od razu na swój przypadek. Wynik każdego ćwiczenia to kawałek realnego dokumentu: deklaracja zakresu systemu na jednej stronie, wykaz ról z podstawą prawną i wskazaniem osoby albo luki, spis dokumentacji z zaznaczeniem, co w firmie już jest, klauzula do umowy z dostawcą, plan audytu.

Blok dziewiąty to scenka z zegarem. Zadaję incydent na obiekcie z ankiety, na ekranie idzie czas, sala wypełnia wczesne ostrzeżenie. Dwadzieścia cztery godziny z art. 23 ust. 4 dyrektywy wyglądają zupełnie inaczej, kiedy trzeba je zmieścić w formularzu, a nie przeczytać w przepisie. Czego nie da się zrobić w dobę bez przygotowania, widać po piętnastu minutach.

Materiał, który się nie zestarzeje

Materiał główny ma dwanaście rozdziałów, jeden na blok, i wewnątrz każdego stałą kolejność: dyrektywa, ustawa, praktyka, dokumenty. Do tego dwie rzeczy, które odróżniają go od streszczenia przepisów.

Pierwsza: rdzeń unijny i nakładki krajowe są oznaczone wprost. Przepis wykonujący dyrektywę nie zmieni się bez zmiany dyrektywy. Nakładka krajowa może zniknąć albo urosnąć przy każdej nowelizacji. Audyt co trzy lata z raportem do organu w trzy dni robocze, dostawca wysokiego ryzyka, sprawozdanie z postępu – to wszystko Polska dołożyła ponad dyrektywę. Kto zna rdzeń, wie, które obowiązki są trwałe, a które zależą od bieżącej polityki legislacyjnej.

Druga: stan prawny. UKSC zmienia brzmienie 28 października 2026 r. Sprawdziłem tę zmianę przed wydaniem materiału. Dotyczy zadań CSIRT, nie obowiązków podmiotu, więc program opisuje stan docelowy i nie wymaga aktualizacji po tej dacie. W materiale jest też rozdział o tym, jak samemu sprawdzić aktualność przepisu po kilku miesiącach, bo tego nikt pełnomocnikowi nie pokazuje.

Co dostajesz do ręki

Materiały idą w dwóch częściach, jak na wszystkich szkoleniach Europejskiej Akademii Bezpieczeństwa i Ochrony.

Przed szkoleniem: materiał główny, zestaw druków do ćwiczeń z instrukcjami i ankieta obiektu.

Do siedmiu dni po: akty prawne, ćwiczenia wypełnione ze mną, prezentacja, materiały dodatkowe oraz komplet wzorów dokumentacji systemowej UKSC z instrukcjami – 44 wzory, od karty kwalifikacji podmiotu, przez deklarację zakresu, polityki, powierzenie obowiązków za zgodą, komplet zgłoszeń i sprawozdań o incydentach, po plan audytu i protokół brakowania. Każdy wzór ma instrukcję wypełnienia, która działa w rękach kogoś, kto na szkoleniu nie był. Pakiet omawiamy na sali, ćwiczymy na wybranych elementach, resztę dostajesz gotową.

Do tego arkusz audytu własnej organizacji: 47 wymagań jednostkowych wyciągniętych z art. 8, 8c–8f, 10 i 11–12b, każde z metodą sprawdzenia i listą tego, co ma być okazane. Wypełniasz go kawałkami przez dwa dni i wychodzisz z listą luk z dowodami, którą zabierasz do organizacji.

Certyfikat jest dwujęzyczny, z zakresem tematycznym, i stanowi udokumentowanie udziału w rozumieniu art. 8e ust. 3 UKSC. Nie jest gadżetem. Jest dowodem, którego organ może zażądać.

Czego to szkolenie nie obiecuje

Dwa dni to mapa, nie warsztat. Wychodzisz wiedząc, co należy zrobić i co ma się znaleźć w dokumentach – nie jak profesjonalnie prowadzić każdy z procesów. Pełną kompetencję w szacowaniu ryzyka, dokumentacji, personelu, incydentach czy audycie dają odrębne szkolenia Akademii i w każdym rozdziale materiału jest wskazane, które. Pełnomocnik ma je w organizacji zidentyfikować i zaproponować kierownikowi, kto powinien je przejść.

Nie obiecuję też, że po szkoleniu system będzie gotowy. Obiecuję, że będzie zaczęty na własnych dokumentach, a nie na notatkach z wykładu.

Dla kogo

Osoby, którym kierownik podmiotu kluczowego lub ważnego powierzył obowiązki w zakresie cyberbezpieczeństwa. Kierownicy, którzy chcą wiedzieć, ile powierzenie z nich zdejmuje – odpowiedź: wykonanie tak, odpowiedzialność nie (art. 8c ust. 3). Członkowie organów wieloosobowych, bo gdy nikogo nie wskazano, odpowiadają wszyscy (art. 8c ust. 2). Osoby realizujące zadania z art. 8 i 11 obok swoich stanowisk. I konsultanci, którzy kupują kompetencję, nie zgodność.

Zobacz więcej o szkoleniu:Pełnomocnik ds. cyberbezpieczeństwa