Rok 2026 to moment, w którym regulacyjne wymogi szkoleniowe dla branż IT osiągają nowy poziom złożoności. Jeśli jesteś L&D Managerem, odpowiedzialnym za compliance lub zarządzasz zespołami IT w organizacji podlegającej regulacjom, musisz wiedzieć dokładnie: które szkolenia są obowiązkowe, kogo dotyczą, kiedy trzeba je zrealizować i jakie grożą kary za niezgodność. Ten artykuł to kompletna checklista obowiązkowych szkoleń IT w 2026 roku – praktyczny przewodnik, który pomoże Ci zaplanować budżet, harmonogram i uniknąć kosztownych kar.
Na skróty
- Jakie regulacje wymagają szkoleń IT w 2026?
- NIS2 — wymagania szkoleniowe i terminy wdrożenia
- DORA — obowiązki szkoleniowe dla sektora finansowego
- AI Act — nowy obowiązek AI literacy w organizacji
- RODO — ciągły obowiązek szkoleń dla zespołów IT
- Tabela zbiorcza — checklista obowiązkowych szkoleń per regulacja
- Wymagania branżowe — finanse, zdrowie, energetyka, administracja
- Jak zaplanować budżet na szkolenia compliance w 2026?
- Dofinansowanie szkoleń — KFS i inne źródła
- Jak EITT wspiera organizacje w spełnieniu wymogów szkoleniowych
- FAQ — najczęstsze pytania o obowiązkowe szkolenia IT
Jakie regulacje wymagają szkoleń IT w 2026?
Rok 2026 to czas pełnej implementacji kluczowych regulacji unijnych, które nakładają bezpośrednie obowiązki szkoleniowe na organizacje. Oto najważniejsze z nich:
NIS2 (Dyrektywa o bezpieczeństwie sieci i systemów informatycznych)– państwa członkowskie miały ją wdrożyć do 17 października 2024; w Polsce wdraża ją nowelizacja ustawy o KSC, obowiązująca od 3 kwietnia 2026. Wymaga szkoleń z cyberbezpieczeństwa dla kadry zarządzającej i zespołów IT w podmiotach kluczowych i ważnych. DORA (Digital Operational Resilience Act)– obowiązuje od 17 stycznia 2025. Nakłada szczegółowe wymogi szkoleniowe dla sektora finansowego w zakresie odporności cyfrowej, zarządzania ryzykiem ICT i testowania bezpieczeństwa. AI Act (Rozporządzenie o sztucznej inteligencji)– stosowany etapami od 2025; wymogi dla systemów wysokiego ryzyka od 2 grudnia 2027 i 2 sierpnia 2028. Art. 4 (AI literacy) dotyczy wszystkich dostawców i podmiotów stosujących systemy AI, nie tylko systemów wysokiego ryzyka. RODO (Ogólne rozporządzenie o ochronie danych)– obowiązuje od 2018; w 2026 r. UODO prowadzi kontrole według planu sektorowego, a po wyciekach danych medycznych rozszerzył go o dodatkowe kontrole w ochronie zdrowia (komunikat UODO z 16.09.2026). RODO nie nakłada wprost obowiązku szkolenia wszystkich pracowników, ale szkolenia są typowym środkiem organizacyjnym (art. 24 i 32 RODO), a ich monitorowanie należy do zadań inspektora ochrony danych (art. 39 ust. 1 lit. b). KSC (Ustawa o krajowym systemie cyberbezpieczeństwa) – polska implementacja NIS2 (od 3 kwietnia 2026); obejmuje podmioty kluczowe i ważne, a kierownika podmiotu zobowiązuje do szkolenia raz w roku kalendarzowym (art. 8e).
Dodatkowo sektor finansowy podlega nadzorowi KNF, a ochrona zdrowia i energetyka należą do sektorów objętych NIS2 i ustawą o KSC.
NIS2 — wymagania szkoleniowe dla organizacji
Dyrektywa NIS2 to najszersza regulacja cybernetyczna w UE, obejmująca ok. 160 tys. podmiotów w Europie, w tym ok. 10 tys. polskich firm. Wymogi szkoleniowe są tu kluczowym elementem zgodności.
Kogo dotyczy NIS2?
- Podmioty kluczowe: energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna
- Podmioty ważne: usługi pocztowe, gospodarka odpadami, produkcja, platformy cyfrowe, sektor żywnościowy
Średnie i duże przedsiębiorstwa (50+ pracowników, 10+ mln EUR obrotu) w tych sektorach podlegają NIS2.
Jakie szkolenia wymaga NIS2?
Kadra zarządzająca (C-level, zarząd):
- Szkolenie z cyberbezpieczeństwa i zarządzania ryzykiem
- Odpowiedzialność prawna i obowiązki zarządu w kontekście NIS2
- Zarządzanie incydentami i ciągłość działania
- Częstotliwość: raz w roku kalendarzowym, z udokumentowanym udziałem (art. 8e ustawy o KSC — dotyczy kierownika podmiotu kluczowego lub ważnego i osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa) Zespoły IT i cyberbezpieczeństwa:
- Zarządzanie ryzykiem cybernetycznym
- Wykrywanie i reagowanie na incydenty (CSIRT)
- Bezpieczeństwo łańcucha dostaw
- Zarządzanie podatnościami i patchowanie
- Częstotliwość: regularne szkolenia, dostosowane do roli Wszyscy pracownicy:
- Podstawy cyberhigieny (phishing, hasła, inżynieria społeczna)
- Zasady bezpiecznej pracy zdalnej
- Procedury zgłaszania incydentów
- Częstotliwość: przepisy nie określają; zalecamy co najmniej raz w roku i kampanie uświadamiające
Terminy i kary
- Wdrożenie w Polsce: ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), w życie od 3 kwietnia 2026 r.
- Kary: dla podmiotów kluczowych do 10 mln EUR lub 2% rocznego obrotu, dla ważnych do 7 mln EUR lub 1,4% obrotu (art. 34 NIS2) — za naruszenie obowiązków zarządzania ryzykiem i zgłaszania incydentów. Kierownik, który nie przechodzi corocznego szkolenia, może zostać ukarany kwotą do 300% wynagrodzenia (art. 73a ustawy o KSC; dla podmiotów publicznych do 100%)
- Dokumentacja: Organizacje muszą prowadzić rejestry szkoleń i udowodnić, że kadra zarządzająca odbyła wymagane kursy
DORA — wymagania szkoleniowe dla sektora finansowego
Rozporządzenie DORA obowiązuje od 17 stycznia 2025 roku i jest bezpośrednio stosowane w całej UE, bez potrzeby implementacji krajowej. Dotyczy wszystkich podmiotów sektora finansowego: banków, ubezpieczycieli, firm inwestycyjnych, instytucji płatniczych, funduszy emerytalnych, pośredników kredytowych i dostawców usług ICT dla tego sektora.
Jakie szkolenia wymaga DORA?
Kadra zarządzająca i kierownictwo:
- Zarządzanie ryzykiem ICT
- Zarządzanie ryzykiem dostawców zewnętrznych (third-party risk)
- Testowanie odporności cyfrowej (TLPT – Threat-Led Penetration Testing)
- Zarządzanie ciągłością działania i planowanie odzyskiwania po awarii
- Częstotliwość: regularny udział w szkoleniach (art. 5 ust. 4 DORA), bez określonej liczby Zespoły IT i cyberbezpieczeństwa:
- Zarządzanie incydentami związanymi z ICT
- Klasyfikacja i raportowanie incydentów (zgodnie z EBA, ESMA, EIOPA)
- Zarządzanie łańcuchem dostaw ICT
- Testowanie odporności (penetration testing, red teaming)
- Częstotliwość: ciągłe szkolenia, w tym zaawansowane testy praktyczne Zespoły zarządzania ryzykiem:
- Framework zarządzania ryzykiem ICT
- Współpraca z dostawcami usług ICT
- Wymiana informacji o zagrożeniach (threat intelligence)
- Częstotliwość: DORA nie określa liczby — członkowie organu zarządzającego regularnie uczestniczą w szkoleniach (art. 5 ust. 4), a szkolenia dla pracowników są częścią programu szkoleniowego (art. 13 ust. 6); rytm ustala polityka wewnętrzna
Terminy i kary
- Obowiązuje od: 17 stycznia 2025
- Sankcje: DORA nie określa kwot kar dla podmiotów finansowych — kary administracyjne ustalają państwa członkowskie (art. 50 ust. 3)
- Raportowanie: Incydenty ICT muszą być zgłaszane w ciągu 4 godzin (wstępne powiadomienie), 72 godzin (raport), 1 miesiąc (raport końcowy)
AI Act — obowiązek AI literacy w organizacji
Rozporządzenie o sztucznej inteligencji (AI Act) wprowadza w art. 4 nowy typ obowiązku kompetencyjnego: AI literacy, czyli umiejętność rozumienia i bezpiecznego wykorzystania systemów AI. Od 27 lipca 2026, w brzmieniu nadanym rozporządzeniem (UE) 2026/1744, dostawcy i podmioty stosujące systemy AI podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu i innych osób obsługujących systemy AI w ich imieniu. Przepis wprost zastrzega, że nie oznacza to obowiązku zapewnienia określonego poziomu kompetencji poszczególnych osób.
Kogo dotyczy AI Act?
- Organizacje wdrażające systemy AI wysokiego ryzyka (np. w rekrutacji, ocenie kredytowej, kontroli dostępu, ochronie zdrowia)
- Dostawcy modeli podstawowych (foundation models) o dużej skali
- Organizacje korzystające z systemów AI ogólnego przeznaczenia (GPAI)
Jakie szkolenia wymaga AI Act?
Zespoły wdrażające systemy AI wysokiego ryzyka:
- Zarządzanie ryzykiem AI
- Dokumentacja techniczna i transparency
- Zasady etycznego AI i bias mitigation
- Audyt i weryfikacja modeli AI
- Częstotliwość: AI Act nie określa częstotliwości; zalecamy odświeżanie co 12–24 miesiące i przy zmianie systemów lub ról Pracownicy wykorzystujący AI w pracy:
- AI literacy – podstawy działania systemów AI
- Bezpieczne korzystanie z narzędzi AI (ChatGPT, Copilot, etc.)
- Rozpoznawanie błędów i halucynacji AI
- Zarządzanie danymi treningowymi
- Częstotliwość: AI Act nie określa; zalecamy co najmniej raz w roku i kampanie uświadamiające Kadra zarządzająca:
- Strategiczne zarządzanie AI w organizacji
- Odpowiedzialność prawna za systemy AI
- Governance AI i compliance
- Częstotliwość: AI Act nie określa; zalecamy co 12 miesięcy i przy zmianach regulacyjnych
Terminy
- Zakaz praktyk AI niedopuszczalnego ryzyka i art. 4 (AI literacy): 2 lutego 2025
- Wymogi dla modeli GPAI: sierpień 2025
- Nowe brzmienie art. 4 (rozporządzenie (UE) 2026/1744): 27 lipca 2026
- Wymogi dla systemów wysokiego ryzyka: 2 grudnia 2027 (załącznik III) i 2 sierpnia 2028 (załącznik I)
RODO — ciągły obowiązek szkoleń dla zespołów IT
RODO obowiązuje od 2018 roku; w 2026 r. UODO prowadzi kontrole według planu sektorowego, a po wyciekach danych medycznych rozszerzył go o dodatkowe kontrole w ochronie zdrowia (komunikat UODO z 16.09.2026). RODO nie nakłada wprost obowiązku szkolenia wszystkich pracowników, ale szkolenia są typowym środkiem organizacyjnym (art. 24 i 32 RODO), a ich monitorowanie należy do zadań inspektora ochrony danych (art. 39 ust. 1 lit. b).
Jakie szkolenia wymaga RODO?
Zespoły IT i administratorzy systemów:
- Zasady ochrony danych osobowych w IT
- Bezpieczeństwo przetwarzania (szyfrowanie, pseudonimizacja)
- Zarządzanie incydentami naruszenia ochrony danych
- Ochrona danych w chmurze i bezpieczne backupy
- Częstotliwość: RODO nie określa częstotliwości; zalecamy odświeżanie co 12–24 miesiące i przy zmianie systemów lub ról Kadra zarządzająca:
- Obowiązki administratora danych osobowych
- Odpowiedzialność cywilna i karna za naruszenia RODO
- Privacy by design i privacy by default
- Częstotliwość: RODO nie określa; zalecamy co 24 miesiące i przy zmianach organizacyjnych Wszyscy pracownicy:
- Podstawy RODO dla pracowników
- Rozpoznawanie prób phishingu i socjotechniki
- Zasady bezpiecznego przetwarzania danych
- Częstotliwość: RODO nie określa; zalecamy co najmniej raz w roku IOD (Inspektor Ochrony Danych):
- Zaawansowane szkolenia RODO
- Certyfikacja EXIN PDPF, PDPE, CIPP/E
- Częstotliwość: ciągły rozwój, zgodnie z wymogami roli
Kary
- Maksymalne kary: do 20 mln EUR lub 4% rocznego obrotu (dla najpoważniejszych naruszeń)
- Brak szkoleń: może zostać oceniony jako niewystarczający środek organizacyjny w rozumieniu art. 32 RODO (bezpieczeństwo przetwarzania)
Tabela zbiorcza — checklista obowiązkowych szkoleń per regulacja
| Regulacja | Kogo dotyczy | Wymagane szkolenia | Częstotliwość | Termin wdrożenia | Kary za brak zgodności |
|---|---|---|---|---|---|
| NIS2 | Podmioty kluczowe i ważne (energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, produkcja, usługi pocztowe) | Kadra zarządzająca: cyberbezpieczeństwo, zarządzanie ryzykiem Zespoły IT: CSIRT, bezpieczeństwo łańcucha dostaw Wszyscy: cyberhigiena | Kierownik: raz w roku kalendarzowym (art. 8e ustawy o KSC); pozostali: przepis nie określa | 3 kwietnia 2026 (ustawa o KSC, Dz.U. 2026 poz. 252) | 10 mln EUR lub 2% obrotu (podmioty kluczowe) 7 mln EUR lub 1,4% obrotu (podmioty ważne) |
| DORA | Sektor finansowy (banki, ubezpieczyciele, firmy inwestycyjne, płatności, dostawcy ICT) | Kadra: zarządzanie ryzykiem ICT Zespoły IT: testowanie odporności (TLPT), zarządzanie incydentami Risk teams: third-party risk | Regularne, zgodnie z polityką wewnętrzną | 17 stycznia 2025 | Ustalają państwa członkowskie (art. 50 ust. 3 DORA) |
| AI Act | Organizacje wdrażające AI wysokiego ryzyka, dostawcy modeli GPAI | Zespoły AI: zarządzanie ryzykiem AI, dokumentacja, audyt modeli Pracownicy: AI literacy Kadra: governance AI | Przepis nie określa (zalecamy co 12–24 mies.) | Etapami: art. 4 od 2 lutego 2025; systemy wysokiego ryzyka od 2 grudnia 2027 i 2 sierpnia 2028 | 35 mln EUR lub 7% obrotu (za praktyki zakazane); art. 4 nie jest objęty katalogiem kar z art. 99 |
| RODO | Wszystkie organizacje przetwarzające dane osobowe | Zespoły IT: bezpieczeństwo przetwarzania, zarządzanie incydentami Kadra: obowiązki administratora Wszyscy: podstawy RODO | Przepis nie określa (zalecamy co 12–24 mies.) | Obowiązuje od 2018 | 20 mln EUR lub 4% obrotu |
| KSC | Od 3 kwietnia 2026 r. ustawa o KSC wdraża NIS2: podmioty kluczowe i ważne (dawne kategorie OUK i DUC zastąpione) | Jak w wierszu NIS2 Zespoły: zgłaszanie incydentów do właściwego CSIRT | Kierownik: raz w roku kalendarzowym (art. 8e); pozostali: przepis nie określa | 3 kwietnia 2026 (Dz.U. 2026 poz. 252) | Jak w wierszu NIS2; w przypadkach z art. 73 ust. 5 do 100 mln zł; kierownik do 300% wynagrodzenia (art. 73a) |
Wymagania branżowe — finanse, zdrowie, energetyka, administracja
Oprócz ogólnych regulacji (NIS2, DORA, RODO, AI Act), poszczególne branże podlegają dodatkowym wymogom szkoleniowym.
Sektor finansowy
- DORA (od 2025): obowiązkowe dla wszystkich podmiotów finansowych
- Rekomendacje UKNF: szkolenia z zarządzania ryzykiem operacyjnym, cyberbezpieczeństwa, bezpieczeństwa aplikacji
- AML (Anti-Money Laundering): szkolenia z wykrywania prania pieniędzy i finansowania terroryzmu
- Częstotliwość: przepisy nie określają jednego interwału (np. art. 52 ustawy o przeciwdziałaniu praniu pieniędzy wymaga udziału w programach szkoleniowych bez liczby); w praktyce zalecamy co najmniej raz w roku
Ochrona zdrowia
- NIS2: podmioty lecznicze jako sektor kluczowy
- RODO + ochrona danych medycznych: specyficzne wymagania dla danych wrażliwych (art. 9 RODO)
- Szkolenia wymagane: zarządzanie bezpieczeństwem systemów medycznych (HIS, PACS), ochrona danych pacjentów, zarządzanie incydentami
- Częstotliwość: kierownik podmiotu kluczowego lub ważnego raz w roku kalendarzowym (art. 8e ustawy o KSC); dla personelu przepisy nie określają, zalecamy co najmniej raz w roku
Energetyka
- NIS2: sektor kluczowy
- Normy IEC 62443: standard bezpieczeństwa systemów sterowania przemysłowego
- Szkolenia wymagane: bezpieczeństwo OT (operational technology), ochrona SCADA, zarządzanie ryzykiem w infrastrukturze krytycznej
- Częstotliwość: kierownik podmiotu kluczowego lub ważnego raz w roku kalendarzowym (art. 8e ustawy o KSC); dla pozostałych przepisy nie określają, zalecamy co najmniej raz w roku
Administracja publiczna
- NIS2: sektor kluczowy
- Ustawa o informatyzacji: obowiązki cyberbezpieczeństwa dla urzędów
- RODO: szczególne wymogi dla jednostek sektora publicznego
- Szkolenia wymagane: cyberbezpieczeństwo w administracji, ochrona danych obywateli, zarządzanie incydentami
- Częstotliwość: Krajowe Ramy Interoperacyjności (§ 20 ust. 2 pkt 6, Dz.U. 2024 poz. 773) wymagają szkolenia osób przetwarzających informacje, bez określonej częstotliwości; zalecamy co najmniej raz w roku
Jak zaplanować budżet na szkolenia compliance w 2026?
Planowanie budżetu szkoleniowego to jedno z największych wyzwań dla L&D Managerów w 2026 roku. Oto praktyczne podejście:
Krok 1: Zmapuj obowiązki szkoleniowe
Najpierw ustal, które regulacje dotyczą Twojej organizacji:
- Czy jesteś w sektorze objętym NIS2? (sprawdź listę podmiotów kluczowych i ważnych)
- Czy działasz w sektorze finansowym? (DORA)
- Czy wdrażasz systemy AI? (AI Act)
- Czy przetwarzasz dane osobowe? (RODO)
Krok 2: Policz, ilu pracowników wymaga szkolenia
Przykład dla firmy 500 osób (sektor finansowy, objęta NIS2 i DORA):
| Grupa | Liczba osób | Wymagane szkolenia | Szacowany koszt |
|---|---|---|---|
| Kadra zarządzająca | 10 | NIS2 + DORA + RODO | 20 000 PLN |
| Zespoły IT (50 osób) | 50 | NIS2 + DORA + RODO + cyberbezpieczeństwo zaawansowane | 100 000 PLN |
| Zespoły compliance (10 osób) | 10 | DORA + RODO + audyt bezpieczeństwa | 25 000 PLN |
| Wszyscy pracownicy | 500 | RODO + cyberhigiena | 50 000 PLN |
| RAZEM | 500 | 195 000 PLN |
Koszt szkolenia dla kadry: 2 000 PLN/osoba (szkolenia zamknięte, konsultacje) Koszt szkolenia dla zespołów IT: 2 000 PLN/osoba (zaawansowane, hands-on) Koszt szkolenia dla compliance: 2 500 PLN/osoba (certyfikacje, audyt) Koszt szkolenia dla pracowników: 100 PLN/osoba (e-learning, kampanie)
Krok 3: Uwzględnij dodatkowe koszty
- Certyfikacje: EXIN (PDPF, PDPE), PECB (ISO 27001 Lead Implementer), EC-Council (CEH)
- Audyt zgodności: analiza luk (gap analysis) – 20 000 - 50 000 PLN
- Symulacje phishingowe: 5 000 - 15 000 PLN/rok
- Konsultacje prawne: interpretacja regulacji – 10 000 - 30 000 PLN
Krok 4: Zaplanuj harmonogram
- Q1 2026: Szkolenia kadry zarządzającej (NIS2, DORA), analiza luk
- Q2 2026: Szkolenia zespołów IT i compliance
- Q3 2026: Szkolenia pracowników (RODO, cyberhigiena), symulacje phishingowe
- Q4 2026: Szkolenia zaawansowane, certyfikacje, testy audytowe
Dofinansowanie szkoleń — KFS i inne źródła
Dobra wiadomość: wiele szkoleń compliance można dofinansować ze środków publicznych.
Krajowy Fundusz Szkoleniowy (KFS)
- Wysokość dofinansowania: do 70% kosztów (do 90% w podmiotach zatrudniających do 9 osób), maks. 200% przeciętnego wynagrodzenia na uczestnika — zgodnie z art. 126 ustawy o rynku pracy i służbach zatrudnienia
- Dla kogo: podmioty, które przez co najmniej 6 miesięcy przed złożeniem wniosku opłacały składki na Fundusz Pracy (lub są z nich zwolnione z mocy prawa); finansowani mogą być pracownicy, pracodawcy, osoby prowadzące działalność i osoby na umowach cywilnoprawnych (art. 125 ust. 8 i 10)
- Warunki: starosta ocenia zgodność z priorytetami KFS na dany rok, z potrzebami lokalnego lub regionalnego rynku pracy oraz cenę szkolenia na tle rynku (art. 125 ust. 13)
- Ważne ograniczenie: KFS nie finansuje kształcenia, które pracodawca jest obowiązany zapewnić na podstawie odrębnych przepisów (art. 125 ust. 12 pkt 2) — dlatego szkolenie kierownika podmiotu wymagane art. 8e ustawy o KSC najpewniej nie zostanie sfinansowane (ocena należy do starosty). Z KFS można sfinansować szkolenia wykraczające poza ustawowy obowiązek, np. certyfikacje IT czy pogłębione kompetencje z cyberbezpieczeństwa
- Jak wnioskować: wniosek składa się elektronicznie do powiatowego urzędu pracy właściwego według siedziby lub miejsca prowadzenia działalności (art. 126 ust. 4)
PARP (Polska Agencja Rozwoju Przedsiębiorczości)
- Program Kompetencje dla Firm: dotacje na szkolenia w zakresie kompetencji cyfrowych
- Wysokość dofinansowania: do 80% kosztów
- Dla kogo: MŚP (mikro, małe, średnie przedsiębiorstwa)
Bony szkoleniowe (WUP)
- Wysokość: do 5 000 PLN na pracownika
- Dla kogo: firmy w wybranych regionach
- Szkolenia objęte: certyfikacje IT, cyberbezpieczeństwo, compliance
Ulga podatkowa na szkolenia
- Art. 26d ustawy o PIT: pracodawca może odliczyć do 50% wydatków na szkolenia pracowników od podstawy opodatkowania
- Dla kogo: wszystkie firmy
Jak EITT wspiera organizacje w spełnieniu wymogów szkoleniowych
EITT to partner, który rozumie złożoność regulacyjną 2026 roku. Oferujemy kompleksowe wsparcie dla L&D Managerów i działów compliance:
Nasze szkolenia compliance
NIS2 — Cyberbezpieczeństwo dla kadry zarządzającej
- Odpowiedzialność prawna zarządu w kontekście NIS2
- Zarządzanie ryzykiem cybernetycznym
- Zarządzanie incydentami i ciągłość działania
- Format: szkolenie zamknięte, 1-2 dni
- Dla kogo: C-level, zarząd, kierownicy IT DORA — Odporność cyfrowa dla sektora finansowego
- Zarządzanie ryzykiem ICT
- Zarządzanie ryzykiem dostawców zewnętrznych (third-party risk)
- Testowanie odporności (TLPT)
- Format: szkolenie zamknięte, 2 dni
- Dla kogo: banki, ubezpieczyciele, fintech AI Act — AI literacy i zarządzanie AI
- Podstawy działania systemów AI
- Zarządzanie ryzykiem AI wysokiego ryzyka
- Governance AI i compliance
- Format: szkolenie otwarte i zamknięte, 1 dzień
- Dla kogo: zespoły AI, kadra zarządzająca, pracownicy RODO — Ochrona danych osobowych w praktyce
- Zasady RODO dla zespołów IT
- Bezpieczeństwo przetwarzania danych
- Zarządzanie incydentami naruszenia ochrony danych
- Format: e-learning + szkolenie stacjonarne, 1 dzień
- Dla kogo: zespoły IT, IOD, kadra zarządzająca Cyberbezpieczeństwo — szkolenia praktyczne
- Cyberhigiena dla pracowników
- Zaawansowane szkolenia dla zespołów IT (CSIRT, pentesting)
- Symulacje phishingowe i red team exercises
- Format: e-learning, warsztaty, szkolenia zamknięte
- Dla kogo: wszyscy pracownicy, zespoły IT
Nasze podejście
- Dopasowanie do branży: Nie sprzedajemy szkoleń z katalogu. Każdy program dostosowujemy do Twojego sektora (finanse, zdrowie, energetyka).
- Hands-on: Zero teorii. Uczymy tego, co można zastosować od razu.
- Eksperci: Trenerzy z doświadczeniem w dużych bankach, spółkach energetycznych i instytucjach ochrony zdrowia.
- Raportowanie: Otrzymujesz pełną dokumentację szkoleń – niezbędną przy audytach zgodności.
- Certyfikaty: Wydajemy certyfikaty uczestnictwa (obowiązek dokumentowania szkoleń w NIS2, DORA).
Jak zaczynamy?
- Konsultacja: Rozmawiamy o Twoich potrzebach i regulacjach, którym podlegasz.
- Analiza luk (gap analysis): Sprawdzamy, które szkolenia są obowiązkowe dla Twojej firmy.
- Plan szkoleniowy: Projektujemy harmonogram szkoleń na 2026 rok.
- Wdrożenie: Realizujemy szkolenia (zamknięte, otwarte, e-learning).
- Raportowanie: Dostarczamy dokumentację zgodności. Skontaktuj się z nami: eitt.pl/kontakt | eitt.pl/szkolenia
FAQ — najczęstsze pytania o obowiązkowe szkolenia IT
Czy szkolenia NIS2 są obowiązkowe dla całego zarządu?
Tak. Dyrektywa NIS2 nakłada bezpośrednią odpowiedzialność na kadrę zarządzającą za zapewnienie cyberbezpieczeństwa organizacji. Członkowie zarządu muszą odbyć szkolenia z zakresu zarządzania ryzykiem cybernetycznym i bezpieczeństwa ICT. Brak udokumentowanych szkoleń może skutkować karami dla zarządu i organizacji.
Jak udowodnić zgodność z DORA podczas audytu UKNF?
UKNF wymaga dokumentacji wszystkich działań związanych z zarządzaniem ryzykiem ICT, w tym szkoleń. Musisz posiadać:
- Rejestry szkoleń (kto, kiedy, jakie szkolenia odbył)
- Certyfikaty uczestnictwa
- Wewnętrzne polityki szkoleniowe
- Raporty z testów odporności (TLPT)
EITT dostarcza pełną dokumentację szkoleń, zgodną z wymogami UKNF.
Czy małe firmy (do 50 pracowników) muszą przestrzegać NIS2?
Co do zasady, NIS2 dotyczy średnich i dużych przedsiębiorstw (50+ pracowników, 10+ mln EUR obrotu). Jednak małe firmy mogą podlegać regulacji, jeśli są jedynym dostawcą usługi w sektorze kluczowym lub są kluczowi dla funkcjonowania łańcucha dostaw. Sprawdź status swojej firmy w kontekście NIS2.
Jakie kary grożą za brak szkoleń RODO?
Brak szkoleń może zostać oceniony jako niewystarczający środek organizacyjny w rozumieniu art. 32 RODO (bezpieczeństwo przetwarzania). Za naruszenie art. 32 Prezes UODO może nałożyć karę do 10 mln EUR lub 2% rocznego obrotu (art. 83 ust. 4 RODO); próg do 20 mln EUR lub 4% obrotu dotyczy m.in. naruszenia zasad przetwarzania (art. 83 ust. 5).
Czy AI Act wymaga szkoleń w 2026?
Art. 4 AI Act (AI literacy) obowiązuje od 2 lutego 2025. Od 27 lipca 2026, w brzmieniu nadanym rozporządzeniem (UE) 2026/1744, dostawcy i podmioty stosujące systemy AI podejmują środki, które wspierają rozwój kompetencji w zakresie AI swojego personelu — przepis nie wymaga zapewnienia określonego poziomu kompetencji poszczególnych osób, a szkolenia są najprostszym sposobem realizacji i udokumentowania tych środków. Art. 4 nie jest wymieniony w katalogu kar z art. 99 ust. 3–5. Wymogi dla systemów wysokiego ryzyka stosuje się od 2 grudnia 2027 (załącznik III) i od 2 sierpnia 2028 (załącznik I).
Jak często trzeba odnawiać szkolenia z cyberbezpieczeństwa?
Zależy od regulacji:
- NIS2 / ustawa o KSC: kierownik podmiotu kluczowego lub ważnego — raz w roku kalendarzowym (art. 8e); dla pozostałych pracowników przepisy nie określają częstotliwości
- DORA: regularnie, zgodnie z polityką wewnętrzną — rozporządzenie nie określa częstotliwości
- RODO: rozporządzenie nie określa częstotliwości; zalecamy co 12–24 miesiące
Dodatkowo zalecamy kampanie uświadamiające co kwartał (np. symulacje phishingowe).
Czy można dofinansować szkolenia compliance z KFS?
Tylko częściowo. Środki KFS nie mogą pokrywać kształcenia, które pracodawca jest obowiązany zapewnić na podstawie odrębnych przepisów (art. 125 ust. 12 pkt 2 ustawy o rynku pracy i służbach zatrudnienia) — szkolenie wymagane wprost przez przepisy, np. coroczne szkolenie kierownika podmiotu z art. 8e ustawy o KSC, najpewniej nie zostanie sfinansowane z KFS (ostateczną ocenę wniosku przeprowadza starosta). Dofinansowanie można uzyskać na szkolenia wykraczające poza ustawowy obowiązek, np. certyfikacje IT czy pogłębione kompetencje z cyberbezpieczeństwa: do 70% kosztów (do 90% w podmiotach zatrudniających do 9 osób), maks. 200% przeciętnego wynagrodzenia na uczestnika (art. 126). Wniosek składasz elektronicznie do powiatowego urzędu pracy.
Podsumowanie: kluczowe wnioski dla L&D Managerów
Rok 2026 to rok compliance dla branż IT. Regulacje NIS2, DORA, AI Act, RODO i KSC nakładają bezprecedensowe obowiązki szkoleniowe, a kary za niezgodność sięgają dziesiątek milionów euro. Dla L&D Managerów oznacza to konieczność:
- Zmapowania obowiązków szkoleniowych – które regulacje dotyczą Twojej organizacji?
- Zaplanowania budżetu – szkolenia compliance to inwestycja rzędu 100 000 - 500 000 PLN rocznie (dla firm 500+ osób)
- Wdrożenia harmonogramu szkoleń – kadra zarządzająca, zespoły IT, wszyscy pracownicy
- Dokumentowania zgodności – rejestry szkoleń, certyfikaty, raporty
EITT wspiera organizacje w całym procesie – od analizy luk, przez projektowanie programów szkoleniowych, po wdrożenie i raportowanie. Nasi eksperci znają specyfikę Twojej branży i wiedzą, jak przełożyć wymogi regulacyjne na praktyczne szkolenia.
Nie czekaj do audytu. Zaplanuj szkolenia compliance na 2026 już dziś.
Skontaktuj się z EITT: eitt.pl/kontakt | Zadzwoń: +48 22 257 22 20 Sprawdź nasze szkolenia: eitt.pl/szkolenia EITT – trenerzy-praktycy, ponad 2500 szkoleń w katalogu. Praktyczna wiedza, którą zastosujesz od razu.