Czy szkolenie z cyberbezpieczeństwa jest obowiązkowe z mocy prawa
Nie ma jednego przepisu, który nakazuje szkolenie z cyberbezpieczeństwa wszystkim firmom. Są za to trzy źródła obowiązku, które razem obejmują większość przedsiębiorstw: RODO, regulacje dla podmiotów kluczowych i ważnych oraz zapisy umowne.
Poniższe zestawienie ma charakter praktyczny i nie jest poradą prawną. Czy Twoja firma podlega konkretnej regulacji, ocenia prawnik.
Co wynika z RODO
RODO wymaga od administratora wdrożenia odpowiednich środków technicznych i organizacyjnych, a osoby upoważnione do przetwarzania danych mogą działać tylko na polecenie administratora. Nie da się wiarygodnie wykazać takich środków, jeśli pracownicy nigdy nie usłyszeli, jak wygląda wyłudzenie hasła czy fałszywa faktura. Rozporządzenie wprost wymienia też szkolenie osób biorących udział w przetwarzaniu jako zadanie związane z nadzorem nad ochroną danych.
Ponieważ najczęstsza przyczyna wycieku to błąd człowieka, organ nadzorczy po incydencie pyta zwykle, czy pracownicy byli przeszkoleni i czy jest na to dowód. Brak szkoleń nie jest sam w sobie karany, ale osłabia pozycję firmy po wycieku.
Co wynika z NIS2 i ustawy o KSC
Dyrektywa NIS2, wdrażana przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, nakłada na podmioty kluczowe i ważne obowiązek zarządzania ryzykiem, w tym podstawowej cyberhigieny i szkoleń. Osobno obejmuje kierownictwo: osoby zarządzające mają odpowiadać za nadzór nad środkami bezpieczeństwa i zdobywać wiedzę potrzebną do oceny ryzyka.
To realny obowiązek dla firm z wybranych sektorów, takich jak energetyka, transport, zdrowie, usługi cyfrowe czy część produkcji i handlu. Jeśli nie wiesz, czy jesteś objęty regulacją, zacznij od konsultacji z prawnikiem. Gdy odpowiedź brzmi tak, potrzebujesz cyklicznych szkoleń i rejestru ukończeń, a nie jednorazowej prezentacji. Szczegóły i kroki są w opisie szkolenia NIS2 z rejestrem dla audytora.
Szkolenie narzucone przez klienta w umowie
Dla wielu małych i średnich firm to właśnie umowa, a nie ustawa, jest powodem zakupu szkoleń. Duży klient dołącza do kontraktu aneks bezpieczeństwa albo przysyła ankietę, w której pyta o cykliczne szkolenia i testy phishingowe. Odpowiedź „robimy to raz na kilka lat” zwykle nie wystarcza.
Dotyczy to najczęściej firm IT, biur rachunkowych, logistyki, produkcji i agencji, które mają dostęp do danych lub systemów klienta. Jeśli jesteś w takiej sytuacji, przeczytaj, czego klient wymaga od dostawcy.
Jak często szkolić pracowników z cyberbezpieczeństwa
Przepisy nie podają częstotliwości, ale audytorzy i klienci oczekują cykliczności. Szkolenie wstępne dla nowego pracownika w pierwszych tygodniach i powtarzanie wiedzy co kilka miesięcy to ustalona praktyka. Raz w roku to minimum, które w badaniach i wdrożeniach okazuje się słabe, bo wiedza blednie po kilku tygodniach.
Dlatego coraz więcej firm wybiera krótkie lekcje i kampanie testowe co miesiąc zamiast jednej sesji z trenerem. Każda kampania zostawia ślad w rejestrze, a to jest dokument, o który prosi audytor.
Co zrobić, żeby szkolenie liczyło się jako dowód
- Zbierz listę osób mających dostęp do danych klientów lub systemów firmy, razem z działami.
- Ustal harmonogram roczny: szkolenie wstępne, kampanie okresowe i szkolenie kierownictwa.
- Zapisuj daty ukończeń, wyniki i listę osób do doszkolenia w jednym rejestrze.
- Zatwierdź politykę szkoleń i przechowuj ją razem z rejestrem. Dokumenty do podpisu możesz obiegać na przykład przez <a href="https://autoryzuj.pl/">podpis elektroniczny dokumentów w firmie</a>.
- Raz w roku przejrzyj program z zarządem i uzupełnij scenariusze o nowe oszustwa.
Ile kosztuje spełnienie tego wymogu
W Naiwna plan Zespół do 25 osób to 490 zł netto miesięcznie (245 zł przy płatności rocznej). Plan Firma do 100 osób kosztuje 1 290 zł netto miesięcznie i zawiera kampanie co tydzień, moduł dla zarządu oraz raport ryzyka per dział. Rejestr ukończeń i certyfikaty są w cenie. Zestawienie jest w cenniku, a porównanie modeli szkoleń w artykule ile kosztuje szkolenie z cyberbezpieczeństwa dla pracowników.
Dla porównania wynajęcie trenera na pół dnia dla kilkudziesięciu osób pochłania czas całego zespołu i nie obejmuje osób, które dołączą po terminie. Platforma szkoli także nowych pracowników od pierwszego dnia.
Od czego zacząć
Sprawdź, jak zespół radzi sobie dziś, w teście czujności. Wynik pokaże, które scenariusze trzeba ćwiczyć w pierwszej kolejności. Potem wybierz plan odpowiedni do liczby osób i uruchom pierwszą kampanię, tak aby rejestr zaczął się zapełniać jeszcze w tym miesiącu.