NIS2 szkolenie a koszty. Jak wykorzystać KFS 2026 i Akademię HR, zanim zamkną się nabory

Szkolenie NIS2 można częściowo sfinansować z dwóch źródeł, czyli z Krajowego Funduszu Szkoleniowego (KFS) i z programu Akademia HR. Nabór do Akademii HR trwa do 30 listopada 2026 i daje dofinansowanie do 80%, a terminy KFS ustala w swoim naborze powiatowy urząd pracy. Termin dostosowania do NIS2 mija 3 kwietnia 2027, więc budżet na szkolenia lepiej zaplanować teraz.

Masz pełny kalendarz i budżet do obrony przed zarządem, więc zdejmujemy z Ciebie szukanie po stronach urzędów. Poniżej znajdziesz mapę wymagań, programu szkolenia, dofinansowania i dowodów. Dzięki niej w swoich organizacjach zaplanujesz koszty, wskażesz osoby odpowiedzialne i wykażesz zgodność bez nocnego składania arkuszy.

Co dyrektywy NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa wymagają od szkoleń?

Dyrektywa NIS2 i polska ustawa o krajowym systemie cyberbezpieczeństwa wymagają od szkoleń trzech rzeczy, czyli objęcia zarządu, edukacji personelu i udokumentowania udziału. Dyrektywa (UE) 2022/2555 ustala wspólny poziom cyberbezpieczeństwa w całej Unii. Jej wymagania do polskiego prawa przeniosła nowelizacja ustawy, która weszła w życie 3 kwietnia 2026. To jedne z nowych regulacji, które realnie spadają na biurko HR. Dla Ciebie oznaczają listę wymogów prawnych, którą trzeba przełożyć na proces. Kluczowe zmiany to udokumentowanie udziału i objęcie szkoleniami całego personelu, a nie tylko działu IT.

Przepisy dotyczą podmiotów kluczowych i ważnych. Kierownikiem podmiotu jest każdy członek zarządu lub innego organu zarządzającego. System zarządzania bezpieczeństwem informacji, w skrócie SZBI, to zestaw procesów i dokumentów, które chronią systemy informacyjne firmy. Szkolenia są jego częścią. To podstawowe pojęcia, na których opiera się cała reszta tekstu.

Najostrzejszy zapis dotyczy zarządu. Kierownik podmiotu przechodzi szkolenie raz w roku kalendarzowym, a udział w nim musi być udokumentowany (art. 8e ust. 1 i 3). Obowiązek obejmuje też osobę, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa. Z cyberbezpieczeństwem w firmie wiąże się odpowiedzialność kierownika, dlatego ustawa opisuje jego szkolenie szczegółowo. Zakres tego szkolenia to wdrożenie i finansowanie SZBI oraz dokumentowanie, zgłaszanie, obsługa i raportowanie incydentów, w tym wymogi formalne wobec osób, które system wdrażają i incydenty obsługują. Podmioty mikro i małe mogą wskazać jedną osobę odpowiedzialną za tematykę NIS2.

Wobec pracowników ustawa jest ogólniejsza. Wymienia edukację z zakresu cyberbezpieczeństwa dla personelu oraz podstawowe zasady cyberhigieny (art. 8 ust. 1 pkt 2 lit. i oraz j). Kierownik ma zadbać, żeby personel znał swoje obowiązki w zakresie cyberbezpieczeństwa (art. 8d pkt 4). Podmiot ma też zapewnić każdemu użytkownikowi dostęp do wiedzy o zagrożeniach i wdrożyć mechanizm, w którym użytkownicy zgłaszają zagrożenia, podatności i incydenty. Cyberhigiena to podstawowe, codzienne nawyki, takie jak hasła, uwierzytelnianie dwuskładnikowe i rozpoznawanie phishingu. Razem z edukacją podnosi poziom świadomości zagrożeń w całej firmie.

SZBI obejmuje zarządzanie ryzykiem, kontrolę dostępu, plany ciągłości działania, monitoring, bezpieczeństwo łańcucha dostaw i testy zabezpieczeń. Podmiot ma opracować, stosować i aktualizować dokumentację bezpieczeństwa, a ta musi być chroniona przed dostępem osób nieuprawnionych. Dla HR wynika z tego jedno. Dane o szkoleniach to część dokumentacji, więc dbasz o nie tak samo jak o resztę, z uwzględnieniem ochrony danych osobowych. Pracujesz więc z trzema kluczowymi wymaganiami, czyli zapisem, cyklem i dostępem do wiedzy. To one budują bezpieczeństwo organizacji.

Warto znać harmonogram, bo od niego zależy budżet. Obowiązki trzeba zrealizować do 3 kwietnia 2027. Termin rejestracji w wykazie podmiotów upłynął 3 października 2026. Pierwszy audyt podmiotów kluczowych przypada do 3 kwietnia 2028, a kolejne odbywają się co najmniej raz na 3 lata. Kary administracyjne za większość obowiązków można nakładać dopiero po 3 kwietnia 2028. Okres między terminem dostosowania a pierwszym audytem to rok na zbieranie dowodów, a nie na odtwarzanie ich z pamięci.

W części opracowań jako początek obowiązków pojawia się październik 2024. To termin, do którego państwa Unii miały przenieść dyrektywę do prawa krajowego. Dyrektywy UE działają tak, że termin transpozycji nie jest terminem dla firmy. W Polsce przepisy obowiązują od 3 kwietnia 2026, więc data z 2024 roku nie jest Twoim terminem.

Jak ułożyć NIS2 szkolenie w zakresie cyberbezpieczeństwa, żeby spełniało wymagania?

Dobre szkolenie z NIS2 ma trzy ścieżki, osobne dla zarządu, zespołów technicznych i pozostałych pracowników, a każda kończy się zapisem w ewidencji. Tak układają się różne ścieżki dydaktyczne, dobrane do roli i poziomu zaawansowania uczestników. Zarząd nie musi uczyć się szyfrowania, a administrator nie potrzebuje wykładu o odpowiedzialności zarządu. Liczy się też doświadczenie zawodowe uczestników, bo początkujący i specjaliści potrzebują innego tempa.

Formę wybierasz według celu. Kursy online i e-learning dobrze obsługują wszystkich pracowników, bo skalują się i zapisują wynik automatycznie. Warsztaty sprawdzają się u zarządu i zespołów technicznych, bo da się na nich omówić realne scenariusze. Mówiąc po ludzku, nie ma jednej formy, która pasuje do wszystkich. Dopasuj formę do grupy, a zapis do wymagań ustawy.

Program każdej ścieżki zbuduj z tych samych klocków. Dla zarządu to zarządzanie ryzykiem, ciągłość działania i bezpieczeństwo łańcucha dostaw, bo od nich zależy podstawa skutecznego zarządzania bezpieczeństwem. Dla zespołów technicznych to zabezpieczenia, szyfrowania i kontrola dostępu. Dla pracowników to praktyczne zapoznanie z procedurą zgłaszania incydentu, wprowadzenie w cyberhigienę i krótkie testy wiedzy. Każda ścieżka ma budować kompetencje i umiejętności, a nie tylko odhaczać ukończenie. Celem jest zwiększenie świadomości i wzmocnienie odporności firmy, a Ty masz co pokazać audytorowi. Opracowanie programu zacznij od realnych przypadków. Ich omówienie jest ważniejsze niż same przepisy. Zakładaj, że audytor położy większy nacisk na zapis niż na samą obecność na sali.

Do treści opartych na cyberbezpieczeństwie służą platformy szkoleń z cyberbezpieczeństwa. Jeśli zależy Ci na czasie, sprawdź, jak szybko uruchomić szkolenia NIS2 na własnej platformie. Wdrażanie szkoleń zaczyna się od ról i zdarzeń, a nie od wyboru kursu. Planowanie zacznij od mapy osób i ich zadań, potem dobierz treści, a na końcu dopasuj formę.

Czy obsługa incydentów i inne tematy z zakresu cyberbezpieczeństwa wchodzą do szkolenia wszystkich pracowników?

Ustawa nie podaje dla pracowników ani cyklu, ani liczby godzin, więc zakres i częstotliwość dobiera firma na podstawie własnej analizy ryzyka. Wszyscy muszą wiedzieć, jak zgłosić incydent, ale pełna obsługa incydentów należy do wyspecjalizowanego zespołu. Zespół ten uczy się, jak wygląda zarządzanie incydentami, zasady reagowania i komunikacja w kryzysie, a firma przygotowuje plan zarządzania kryzysowego i ćwiczy go. Dla zarządu cykl jest sztywny, bo raz w roku kalendarzowym. Dla personelu decyzja należy do organizacji, dlatego zapisz, jaki cykl przyjęto i z jakiego powodu. Nie obiecuj nikomu konkretnej liczby godzin, bo ustawa jej nie określa. Przed wdrożeniem potwierdź tę interpretację z prawnikiem.

Czy KFS 2026 i Akademia HR sfinansują szkolenie NIS2?

KFS 2026 sfinansuje szkolenie NIS2 pod warunkiem, że urząd pracy uzna je za zgodne z priorytetem, a Akademia HR dofinansuje kompetencje zespołu HR, a nie szkolenia dla ogółu pracowników. Obie ścieżki finansują usługi, a nie licencje na oprogramowanie, więc system do ewidencji zaplanuj w osobnym budżecie. Żeby w pełni skorzystać z dofinansowania, ustal najpierw, kto naprawdę potrzebuje szkolenia.

Priorytety krajowe na 2026 rok są cztery. Pierwszy dotyczy zarządzania i komunikacji w firmie opartej na przeciwdziałaniu dyskryminacji i mobbingowi. Drugi to umiejętności w zawodach deficytowych. Trzeci to kształcenie związane z nowymi procesami, technologiami i narzędziami pracy, w tym umiejętności cyfrowe i sztuczna inteligencja. Czwarty dotyczy zdrowia, opieki i ekonomii społecznej. Województwa i powiaty dodają własne priorytety. Opis trzeciego priorytetu nie wymienia cyberbezpieczeństwa wprost, więc decyzja należy do urzędu. Uzasadnij we wniosku związek szkolenia z wdrożeniem nowych technologii, na przykład z uruchomieniem ewidencji szkoleń. Przed wnioskiem zadzwoń do urzędu i zapytaj, czy temat mieści się w priorytetach jego powiatu.

Wniosek składa pracodawca elektronicznie do powiatowego urzędu pracy, w którym działa firma. Warunek podstawowy to opłacanie składek na Fundusz Pracy co najmniej przez 6 miesięcy przed wnioskiem. KFS obejmuje szkolenia, potwierdzenie umiejętności wraz z wydanym dokumentem, studia podyplomowe, badania wymagane do szkolenia i ubezpieczenie wypadkowe. Terminy ogłasza urząd, więc w każdym powiecie wyglądają inaczej, a poziom dofinansowania i limity sprawdzisz w ogłoszeniu o naborze. Pracownik, który ma wziąć udział w szkoleniu, musi zmieścić się w zasadach tego naboru.

Akademia HR działa inaczej. Dofinansowuje do 80% usług szkoleniowych i doradczych dla właścicieli, kadry HR i menedżerów, a zgłoszenia przyjmuje do 30 listopada 2026. Pozostałe 20% pokrywa firma. Program obejmuje mikro, małe, średnie i duże przedsiębiorstwa, ale jednoosobowe działalności bez pracowników są wykluczone. Firma musi spełniać warunki pomocy de minimis i mieć raport z autodiagnozy HR. Usługi wybiera się z Bazy Usług Rozwojowych, a wniosek przechodzi przez jednego z operatorów programu. Część operatorów zamyka nabór wcześniej, jeden z nich podaje przykładowo 26 października 2026, więc datę sprawdź u swojego operatora.

Opis Akademii HR nie wspomina o szkoleniach z cyberbezpieczeństwa ani o NIS2. Program finansuje kompetencje osób odpowiedzialnych za politykę personalną, takie jak zarządzanie pracą zdalną, analityka HR czy wykorzystanie narzędzi ICT w HR. Traktuj go jako wsparcie dla zespołu, który prowadzi proces szkoleń, a nie dla samych szkoleń NIS2.

Różnice między oboma programami widać w ośmiu miejscach.

Z tabeli wynika prosty podział. KFS sprawdzasz dla zarządu i personelu, a Akademię HR dla zespołu, który prowadzi cały proces.

Jak połączyć dofinansowanie z procesem szkoleń, żeby nie stracić dowodów i być gotowym na audyt?

Dofinansowanie i zgodność z NIS2 wymagają tego samego, czyli zapisu, kto, kiedy i na jakim szkoleniu był. Dotacja wymaga dokumentów rozliczeniowych, a audyt wymaga ewidencji. Jeden rejestr obsługuje oba te cele, a monitorowanie ukończeń przestaje być podwójną pracą HR. To nie wina HR, że dane są dziś w kilku arkuszach. Problem leży w arkuszu i kalendarzu, a nie w ludziach.

Arkusz i wiadomości mailowe działają do pierwszej większej rotacji. Potem HR ręcznie szuka, kto nie ukończył szkolenia, a odpowiedź i tak jest nieaktualna. Ewidencja, która powstaje przy każdym ukończeniu, kosztuje mniej niż ewidencja odtwarzana przed audytem. Uprzedzam, to nie magia. System zdejmuje z HR przepisywanie danych, a decyzje o rolach i cyklach zostają po stronie ludzi.

Proces w sześciu krokach wygląda tak.

1. Sprawdź status firmy, czyli składki na Fundusz Pracy, wielkość przedsiębiorstwa i limit pomocy de minimis.
2. Zapytaj powiatowy urząd pracy o nabór i priorytety, a operatora Akademii HR o datę zamknięcia naboru.
3. Podziel odbiorców na grupy, czyli zarząd, zespoły obsługi incydentów, personel i zespół HR.
4. Zbierz dokumenty, takie jak autodiagnoza, uzasadnienie związku z nowym narzędziem i decyzja zarządu.
5. Wybierz usługę zgodną z warunkami programu i zachowaj dokument potwierdzający ukończenie.
6. Zapisz wynik w jednej ewidencji i raportuj ukończenia i zaległości zarządowi.

Każdy z tych kroków zdejmuje z HR jedną rzecz do pilnowania. Ewidencja to przetwarzanie danych osobowych, więc ogranicz do niej dostęp i dopilnuj ochrony danych osobowych. W formularzu zapisu opisz, jak przebiega przetwarzanie podanych danych osobowych uczestników. Przed wnioskiem zadaj urzędowi lub operatorowi cztery pytania.

• Czy temat szkolenia mieści się w priorytetach tego naboru.
• Jaki jest poziom dofinansowania i limit na uczestnika.
• Jaki dokument potwierdzi ukończenie szkolenia.
• Do kiedy trwa nabór i kiedy zapadnie decyzja.

Wybór zależy od tego, kogo szkolisz. Jeśli to zarząd i personel, sprawdź KFS i zapytaj urząd o priorytet. Jeśli to zespół HR, który prowadzi proces, sprawdź Akademię HR do 30 listopada 2026. Jeśli brakuje jednego miejsca na ewidencję, zacznij od ewidencji, bo przyda się przy dotacji i przy audycie. Jeśli zarząd liczy kilku członków, prowadź osobny roczny zapis dla każdego, bo obowiązek jest osobisty. Szkolenia NIS2 działają jak rytuał, a nie wydarzenie, więc zapis powstaje przy każdym ukończeniu.

Raport dla zarządu powinien pokazywać cztery rzeczy, bo na nim opiera się skuteczne zarządzanie zgodnością. Pierwsza to odsetek ukończeń w podziale na grupy. Druga to zaległości z terminami i osobami odpowiedzialnymi. Trzecia to szkolenia kierownika w bieżącym roku kalendarzowym. Czwarta to zmiany ról, po których szkolenie nie zostało jeszcze przypisane. Taki raport wspiera też obowiązki sprawozdawcze wobec zarządu i ułatwia planowanie utrzymania ewidencji w kolejnych latach. Gdy zmienia się prawo albo wchodzą nowe przepisy, zmieniasz materiał w jednym miejscu, a nie w dziesięciu plikach.

Do ewidencji i raportów przydaje się LMS do szkoleń i compliance, a gdy arkusz przestaje nadążać, wchodzi LMS zamiast Excela. Przypisanie ról i terminów ułatwiają systemy szkoleniowe dla firm, a w większych organizacjach LMS dla dużej firmy z raportami na żądanie. Przypomnienia można oprzeć na automatyzacji procesów z pomocą AI. Gdy gotowe narzędzie nie pasuje do procesu, rozważ dedykowane oprogramowanie na zamówienie. Podobne wymagania obsługuje system zarządzania zgodnością budowany jako platforma RegTech.