Dyrektywa NIS2 to nie tylko nowe przepisy techniczne czy procedury compliance. To fundamentalna zmiana w podejściu do cyberbezpieczeństwa, która stawia kompetencje zespołów IT w centrum strategii obronnej każdej organizacji. W rozmowach z klientami z sektora publicznego i obronnego regularnie słyszę to samo pytanie: “Od czego zacząć przygotowania do NIS2?” Odpowiedź zawsze zaczyna się od tego samego – od ludzi.
Ten artykuł, napisany z perspektywy doradczej, pokazuje, jakie konkretnie kompetencje muszą posiadać zespoły IT w kontekście NIS2, jakie obowiązki szkoleniowe nakłada dyrektywa oraz jak systematycznie budować gotowość organizacji na nowe wymagania regulacyjne.
Czym jest dyrektywa NIS2 i dlaczego szkolenia są kluczowe?
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555, znana jako NIS2, to następca pierwszej dyrektywy NIS z 2016 roku. Weszła w życie 16 stycznia 2023 roku, a państwa członkowskie UE miały obowiązek wdrożyć ją do swoich systemów prawnych do 17 października 2024 roku.
NIS2 znacząco rozszerza zakres regulacji – dotyczy już nie tylko operatorów usług kluczowych, ale również średnich i dużych przedsiębiorstw w 18 sektorach krytycznych i ważnych, w tym: energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, administracja publiczna, produkcja, gospodarka odpadami czy usługi pocztowe.
Dlaczego szkolenia to fundament zgodności z NIS2?
W wielu regulacjach compliance szkolenia to “nice to have” – coś, co trzeba zrobić dla dokumentacji. W NIS2 jest inaczej. Dyrektywa wprost wymaga, aby członkowie organów zarządzających odbywali regularne szkolenia z zakresu cyberbezpieczeństwa. Co więcej, artykuł 20 nakłada na podmioty objęte dyrektywą obowiązek stosowania “podstawowych praktyk w zakresie cyberhigieny i szkoleń z cyberbezpieczeństwa”.
Nie chodzi tu o formalność. Chodzi o budowanie realnej świadomości i kompetencji w całej organizacji – od zarządu po zespoły operacyjne. W praktyce oznacza to, że brak odpowiednich szkoleń może być podstawą do nałożenia kar, które w przypadku podmiotów kluczowych mogą sięgać 10 mln EUR lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa.
Jakie obowiązki szkoleniowe nakłada NIS2?
Dyrektywa NIS2 określa konkretne wymagania dotyczące szkoleń na różnych poziomach organizacji. Przyjrzyjmy się im systematycznie.
Szkolenia dla kadry zarządzającej – nowy standard odpowiedzialności
Artykuł 20 ust. 1 dyrektywy jest jednoznaczny: państwa członkowskie zapewniają, aby członkowie organów zarządzających podmiotów objętych dyrektywą odbywali szkolenia oraz aby podmioty te oferowały regularne szkolenia swoim pracownikom.
To przełomowa zmiana. Dotychczas zarządy mogły delegować odpowiedzialność za cyberbezpieczeństwo na dyrektorów IT czy CISO. NIS2 wprowadza osobistą odpowiedzialność członków zarządu za nadzór nad środkami cyberbezpieczeństwa i za aprobatę wdrażanych działań.
W praktyce oznacza to, że prezes, członkowie zarządu i rady nadzorczej muszą:
- Rozumieć krajobraz zagrożeń cybernetycznych dla swojej branży
- Znać kluczowe wymogi NIS2 i ich wpływ na organizację
- Być w stanie ocenić adekwatność środków ochrony wdrożonych w firmie
- Zatwierdzać polityki bezpieczeństwa i plany zarządzania ryzykiem
- Nadzorować proces zarządzania incydentami i raportowania
Szkolenia dla zespołów IT i bezpieczeństwa
To oczywisty obszar, ale NIS2 podnosi poprzeczkę. Podstawowa wiedza o firewallu czy antywirusie już nie wystarczy. Zespoły techniczne muszą posiadać kompetencje w zakresie:
- Zarządzania ryzykiem cyberbezpieczeństwa zgodnie z metodykami (ISO 27005, NIST)
- Obsługi incydentów według procedur (wykrywanie, analiza, reagowanie, odzyskiwanie)
- Zarządzania ciągłością działania i planowania odzyskiwania po awarii
- Bezpieczeństwa łańcucha dostaw i oceny dostawców technologicznych
- Zarządzania podatnościami i procesami patch management
- Implementacji kontroli dostępu, w tym uwierzytelniania wieloskładnikowego
- Stosowania szyfrowania i kryptografii
Szkolenia świadomościowe dla wszystkich pracowników
Dyrektywa wymaga “podstawowych praktyk w zakresie cyberhigieny”. W praktyce oznacza to programy awareness dla całej organizacji. Każdy pracownik powinien rozumieć:
- Jak rozpoznawać ataki phishingowe i inżynierię społeczną
- Zasady bezpiecznego zarządzania hasłami
- Procedury zgłaszania podejrzanych incydentów
- Polityki bezpieczeństwa obowiązujące w organizacji
- Konsekwencje naruszeń bezpieczeństwa
To nie może być jednorazowe szkolenie onboardingowe. NIS2 oczekuje regularności i ciągłego podnoszenia świadomości.
Jakie kompetencje musi mieć zespół IT w kontekście NIS2?
Przejdźmy od wymogów formalnych do praktycznych kompetencji. Z doświadczenia w pracy z klientami widzę, że zespoły IT potrzebują rozwinąć umiejętności w pięciu kluczowych obszarach.
1. Zarządzanie ryzykiem cyberbezpieczeństwa
To fundament. NIS2 wymaga systematycznego podejścia do identyfikacji, oceny i traktowania ryzyka. Zespół musi umieć:
- Przeprowadzać analizę ryzyka dla systemów i procesów
- Klasyfikować aktywa według ich krytyczności dla biznesu
- Oceniać prawdopodobieństwo i wpływ potencjalnych zagrożeń
- Definiować i wdrażać środki zaradcze
- Monitorować skuteczność kontroli bezpieczeństwa
W praktyce oznacza to znajomość frameworków takich jak ISO 27001, ISO 27005 czy NIST Cybersecurity Framework.
2. Incident Response – reagowanie na incydenty
NIS2 wprowadza rygorystyczne wymogi czasowe dla raportowania incydentów: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca.
Zespół musi dysponować umiejętnościami:
- Wykrywania anomalii i potencjalnych incydentów w czasie rzeczywistym
- Klasyfikacji incydentów według dotkliwości i wpływu
- Prowadzenia analizy forensycznej i root cause analysis
- Konteneryzacji zagrożenia i ograniczania szkód
- Dokumentowania incydentów zgodnie z wymogami regulacyjnymi
- Komunikacji z CSIRT i organami nadzorczymi
To wymaga nie tylko wiedzy technicznej, ale również znajomości procedur i umiejętności pracy pod presją czasu.
3. Zarządzanie ciągłością i odzyskiwanie po awarii
Dyrektywa wymaga, aby organizacje były przygotowane na utratę dostępności swoich systemów. Kluczowe kompetencje to:
- Identyfikacja procesów krytycznych i ich zależności
- Definiowanie celów RTO (Recovery Time Objective) i RPO (Recovery Point Objective)
- Projektowanie i testowanie procedur backup i restore
- Opracowywanie planów Business Continuity i Disaster Recovery
- Przeprowadzanie symulacji i testów odporności systemów
Wiele firm ma plany na papierze. NIS2 wymaga, aby były one testowane, aktualizowane i rzeczywiście działały.
4. Bezpieczeństwo łańcucha dostaw
To jeden z najtrudniejszych obszarów. NIS2 zobowiązuje podmioty do uwzględniania ryzyka związanego z dostawcami usług i produktów IT. Zespół musi umieć:
- Przeprowadzać due diligence dostawców pod kątem cyberbezpieczeństwa
- Oceniać praktyki bezpieczeństwa third-party
- Definiować wymagania bezpieczeństwa w umowach SLA
- Monitorować compliance dostawców w trakcie współpracy
- Zarządzać ryzykiem związanym z oprogramowaniem open source
W praktyce często spotykam się z sytuacją, w której organizacje korzystają z dziesiątek zewnętrznych usług (chmura, SaaS, zarządzane SOC), ale nie mają jasności, jakie ryzyka wprowadzają do swojego ekosystemu.
5. Governance, Risk, Compliance (GRC)
NIS2 to nie jedyna regulacja, z którą muszą radzić sobie organizacje. Często nakłada się na RODO, DORA (dla sektora finansowego), AI Act czy normy ISO. Zespół potrzebuje kompetencji w zakresie:
- Zarządzania wieloma frameworkami compliance jednocześnie
- Dokumentowania polityk i procedur zgodnie z wymogami
- Przeprowadzania audytów wewnętrznych i zewnętrznych
- Raportowania do zarządu i organów nadzorczych
- Zarządzania dowodem zgodności
To bardziej kompetencje procesowe niż techniczne, ale w kontekście NIS2 absolutnie kluczowe.
Jakie szkolenia są wymagane dla kadry zarządzającej?
Wiele organizacji boryka się z pytaniem: czego konkretnie powinien się nauczyć zarząd w kontekście NIS2? Z mojego doświadczenia wynika, że skuteczne szkolenia dla kadry zarządzającej powinny obejmować trzy warstwy.
Warstwa strategiczna – zrozumienie kontekstu biznesowego
Zarząd nie musi znać szczegółów technicznych SIEM czy EDR. Musi jednak rozumieć:
- Krajobraz zagrożeń cybernetycznych dla swojej branży i firmy
- Potencjalny wpływ cyberataków na ciągłość działania i reputację
- Wymogi NIS2 i konsekwencje niezgodności (kary, odpowiedzialność osobista)
- Ramy odpowiedzialności członków zarządu w kontekście cyberbezpieczeństwa
- Wskaźniki (KPI, KRI) pozwalające ocenić poziom cyberodporności organizacji
Warstwa decyzyjna – zarządzanie ryzykiem
Zarząd zatwierdza strategię i polityki bezpieczeństwa. Potrzebuje więc kompetencji w zakresie:
- Metodyk oceny ryzyka (high-level)
- Interpretacji raportów z analiz ryzyka i audytów
- Zasad proporcjonalności środków ochrony do poziomu ryzyka
- Budżetowania inwestycji w cyberbezpieczeństwo (ROI vs. ROSI)
- Oceny propozycji technologicznych przedstawianych przez CISO/CIO
Warstwa nadzorcza – oversight nad procesami
Zarząd nadzoruje wdrażanie strategii. Musi umieć:
- Zadawać właściwe pytania CISO i zespołom IT
- Oceniać dojrzałość procesów bezpieczeństwa w organizacji
- Rozumieć raporty z incydentów i działań naprawczych
- Nadzorować proces zarządzania kryzysowego w przypadku poważnych ataków
- Komunikować kwestie cyberbezpieczeństwa do rady nadzorczej i interesariuszy
Szkolenia dla zarządu to nie może być “przegadanie slajdów”. Najskuteczniejsze formy to warsztaty scenariuszowe, symulacje kryzysowe (tabletop exercises) oraz case studies z rzeczywistych incydentów.
Plan szkoleniowy NIS2 – od czego zacząć?
Budowanie programu szkoleniowego zgodnego z NIS2 to proces, nie jednorazowa akcja. Oto sprawdzony framework, który stosuję w pracy z klientami.
Etap 1: Analiza potrzeb i gap analysis
Zanim zaczniesz szkolić, musisz zrozumieć:
- Kogo dokładnie obejmuje dyrektywa w Twojej organizacji (podmioty kluczowe vs. ważne)
- Jakie kompetencje już posiadasz w zespole
- Jakie luki kompetencyjne istnieją w kontekście wymogów NIS2
- Jakie role krytyczne są kluczowe dla zgodności (CISO, DPO, Incident Response Team)
Pomocne są narzędzia takie jak matryca kompetencji czy assessmenty oparte na frameworkach (NICE Cybersecurity Workforce Framework).
Etap 2: Priorytetyzacja i roadmapa
Nie da się przeszkolić wszystkich ze wszystkiego od razu. Priorytetyzuj według:
- Ryzyka regulacyjnego – co jest wymagane przez NIS2 bezwzględnie
- Ryzyka operacyjnego – gdzie brak kompetencji może prowadzić do incydentów
- Harmonogramu wdrożenia NIS2 – kiedy krajowe przepisy wchodzą w życie
- Dostępności zasobów – budżet, czas zespołów, dostępność trenerów
Stwórz roadmapę na 12-18 miesięcy z jasnymi milestone’ami.
Etap 3: Dobór form szkoleniowych
Różne role wymagają różnych form:
- Zarząd: Warsztaty strategiczne (4-8h), symulacje kryzysowe (tabletop), executive briefings
- CISO/Security Managers: Szkolenia certyfikacyjne (CISSP, CISM, ISO 27001 Lead Implementer), warsztaty z GRC
- Zespoły IT/SOC: Szkolenia techniczne (incident response, threat hunting, secure architecture), laboratoria hands-on
- Wszyscy pracownicy: E-learning z awareness, mikro-szkolenia, symulacje phishingu
Różnorodność form zwiększa efektywność i utrzymuje zaangażowanie.
Etap 4: Wdrożenie i pomiar efektywności
Przeprowadź szkolenia zgodnie z planem, ale – i to kluczowe – mierz ich skuteczność:
- Testy wiedzy przed i po szkoleniu
- Symulacje incydentów i ćwiczenia praktyczne
- Audyty wewnętrzne sprawdzające zastosowanie wiedzy w praktyce
- Wskaźniki operacyjne: czas reakcji na incydenty, liczba fałszywych alarmów, wyniki testów penetracyjnych
Etap 5: Ciągłe doskonalenie
NIS2 wymaga regularnych szkoleń. Zbuduj program ciągłego rozwoju:
- Cykliczne odświeżanie wiedzy (np. co 12 miesięcy)
- Szkolenia aktualizacyjne po zmianach w przepisach lub infrastrukturze
- Szkolenia on-the-job i mentoring dla młodszych członków zespołu
- Uczestnictwo w konferencjach branżowych i wymiana doświadczeń
Kary za niezgodność z NIS2 – ile może kosztować brak szkoleń?
Brak odpowiednich szkoleń może być traktowany jako niedopełnienie obowiązków określonych w NIS2. Konsekwencje finansowe są bardzo dotkliwe.
Wysokość kar
Dla podmiotów kluczowych: do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa (w zależności od tego, która kwota jest wyższa).
Dla podmiotów ważnych: do 7 mln EUR lub 1,4% całkowitego rocznego światowego obrotu.
Co może skutkować karą w kontekście szkoleń?
- Brak udokumentowanych szkoleń dla członków zarządu
- Brak regularnych programów awareness dla pracowników
- Nieodbycie wymaganych szkoleń przez kluczowy personel (CISO, zespoły SOC)
- Brak kompetencji prowadzący do incydentu lub niewłaściwej reakcji na incydent
- Niewykazanie “należytej staranności” w budowaniu kompetencji zespołów
W praktyce, organy nadzorcze będą oceniać nie tylko, czy szkolenia się odbyły, ale czy były adekwatne, skuteczne i regularnie aktualizowane.
NIS2 a inne regulacje – integracja szkoleń
Wiele organizacji musi jednocześnie spełniać wymogi kilku regulacji. Dobrą praktyką jest budowanie zintegrowanych programów szkoleniowych.
NIS2 + RODO
Przecinające się obszary: bezpieczeństwo danych osobowych, procedury reakcji na naruszenia, dokumentacja i audyty.
NIS2 + DORA (dla sektora finansowego)
DORA (Digital Operational Resilience Act) nakłada dodatkowe wymogi na sektor finansowy. Szkolenia powinny obejmować zarówno wymogi NIS2, jak i specyficzne dla DORA aspekty odporności operacyjnej.
NIS2 + ISO 27001
Wiele firm ma wdrożony ISO 27001. Dobra wiadomość: wymogi szkoleniowe ISO 27001 (kontrola A.6.3 w wersji 2022) są kompatybilne z NIS2. Można rozbudować istniejący program o specyficzne elementy dyrektywy.
NIS2 + AI Act
Dla organizacji używających systemów AI w procesach związanych z cyberbezpieczeństwem (np. AI w SOC) konieczne będzie również szkolenie z AI Act, szczególnie w zakresie governance i oceny ryzyka systemów AI.
FAQ – najczęstsze pytania o szkolenia NIS2
Czy NIS2 określa minimalną liczbę godzin szkoleń?
Nie. Dyrektywa nie precyzuje wymaganej liczby godzin. Nakłada obowiązek, aby szkolenia były “regularne” i “odpowiednie”. W praktyce oznacza to, że muszą być proporcjonalne do ryzyka i złożoności organizacji. Dla zarządu można przyjąć minimum 8-16h rocznie, dla zespołów technicznych 40-80h rocznie.
Kto może prowadzić szkolenia z NIS2?
Szkolenia mogą prowadzić zarówno eksperci wewnętrzni, jak i zewnętrzni dostawcy szkoleń. Kluczowe jest, aby trener posiadał odpowiednie kompetencje merytoryczne (certyfikaty takie jak CISSP, CISM, ISO 27001 Lead Auditor) oraz praktyczne doświadczenie w cyberbezpieczeństwie. Warto wybierać dostawców z udokumentowanym doświadczeniem w szkoleniach compliance.
Czy szkolenia muszą kończyć się certyfikatem?
NIS2 nie wymaga certyfikacji. Wymaga natomiast dokumentowania odbytych szkoleń. W praktyce warto prowadzić rejestr szkoleń zawierający: kto, kiedy, w jakim zakresie odbył szkolenie oraz wyniki testów kompetencji. Certyfikaty branżowe (CISSP, CEH, ISO 27001) są mile widziane, ale nie obowiązkowe.
Jak często należy przeprowadzać szkolenia?
Dyrektywa wymaga regularności. Przyjęte best practices sugerują:
- Zarząd: minimum raz w roku
- Zespoły IT/Security: co najmniej raz w roku + szkolenia aktualizacyjne po istotnych zmianach
- Wszyscy pracownicy: minimum raz w roku + ciągłe mikro-szkolenia (np. symulacje phishingu co kwartał)
Co w przypadku małych zespołów IT – jak zapewnić wszystkie kompetencje?
Mniejsze organizacje mogą korzystać z modelu hybrydowego:
- Kluczowe kompetencje (incident response, zarządzanie ryzykiem) rozwijać wewnętrznie
- Specjalistyczne obszary (audyty, forensyka, threat intelligence) outsourcować do Managed Security Service Providers (MSSP)
- Korzystać z external CISO (vCISO) do nadzoru strategicznego
Ważne, aby zespół wewnętrzny rozumiał, jak współpracować z dostawcami zewnętrznymi i nadzorować ich pracę.
Czy e-learning spełnia wymogi NIS2?
Tak, pod warunkiem że:
- Jest interaktywny i angażujący
- Zawiera mechanizmy weryfikacji wiedzy (testy, quizy)
- Jest regularnie aktualizowany
- Jest uzupełniony o elementy praktyczne (symulacje, scenariusze, case studies)
Samo “przeklikanie” slajdów nie wystarczy. E-learning jest szczególnie skuteczny dla szkoleń awareness, ale szkolenia specjalistyczne dla IT powinny zawierać komponenty hands-on (laboratoria, warsztaty).
Jak udokumentować szkolenia zgodnie z wymogami NIS2?
Dobra dokumentacja powinna zawierać:
- Program szkolenia (zakres merytoryczny)
- Listę uczestników z podpisami/potwierdzeniami
- Datę i czas trwania szkolenia
- Dane trenera/dostawcy szkolenia
- Wyniki testów kompetencji (jeśli były przeprowadzone)
- Certyfikaty ukończenia
Warto prowadzić centralny rejestr szkoleń w organizacji, dostępny dla audytorów i organów nadzorczych.
Jak EITT wspiera organizacje w przygotowaniu do NIS2
W EITT od lat wspieramy organizacje w budowaniu kompetencji zespołów IT i bezpieczeństwa. Dyrektywa NIS2 to dla nas naturalne przedłużenie tej misji. Rozumiemy, że compliance to nie cel sam w sobie – to sposób na zbudowanie realnej odporności cyfrowej organizacji.
Nasze podejście
Nie wierzymy w szkolenia “z katalogu”. Każda organizacja ma inny profil ryzyka, inne systemy, inną kulturę. Dlatego zaczynamy od zrozumienia Twoich potrzeb:
- Przeprowadzamy assessment kompetencji zespołu w kontekście NIS2
- Identyfikujemy luki i obszary największego ryzyka
- Projektujemy program szkoleniowy dopasowany do Twojej organizacji
- Wdrażamy szkolenia w formach dostosowanych do ról (warsztaty, e-learning, symulacje)
- Pomagamy zmierzyć efektywność i budować ciągły program rozwoju
Nasze programy szkoleniowe NIS2
Dla kadry zarządzającej:
- Warsztat “NIS2 dla zarządu” (8h) – strategia, ryzyka, odpowiedzialność
- Tabletop exercise – symulacja incydentu cybernetycznego dla zarządu
- Executive briefings – regularne aktualizacje o krajobr zagrożeń
Dla zespołów IT i bezpieczeństwa:
- Zarządzanie ryzykiem cyberbezpieczeństwa (ISO 27005, NIST CSF)
- Incident Response i Cyber Crisis Management
- Secure Architecture i Zero Trust
- GRC (Governance, Risk, Compliance) dla specjalistów IT
- Bezpieczeństwo łańcucha dostaw i third-party risk management
Dla wszystkich pracowników:
- Programy Security Awareness dostosowane do branży
- Symulacje phishingu i social engineering
- Mikro-szkolenia i kampanie komunikacyjne
Dlaczego EITT?
- 500+ ekspertów z praktycznym doświadczeniem w cyberbezpieczeństwie
- 2500+ przeprowadzonych szkoleń dla organizacji z sektorów objętych NIS2
- 4.8/5 średnia ocena od uczestników szkoleń
- Dopasowanie do specyfiki branży – rozumiemy różnice między sektorem publicznym, finansowym czy przemysłowym
- Kompleksowe wsparcie – od analizy potrzeb po pomiar efektywności szkoleń
Podsumowanie – inwestuj w kompetencje, nie tylko w technologię
Dyrektywa NIS2 to przełom w europejskim podejściu do cyberbezpieczeństwa. Po raz pierwszy regulacje stawiają równy nacisk na technologię i na ludzi – ich wiedzę, świadomość i kompetencje.
Kluczowe wnioski:
- NIS2 nakłada bezpośredni obowiązek szkoleń dla zarządu i pracowników
- Brak odpowiednich kompetencji może skutkować karami do 10 mln EUR lub 2% obrotu
- Zespoły IT potrzebują kompetencji w 5 obszarach: zarządzanie ryzykiem, incident response, ciągłość działania, łańcuch dostaw, GRC
- Skuteczny program szkoleniowy to proces, nie jednorazowa akcja – wymaga analizy, priorytetyzacji, wdrożenia i ciągłego doskonalenia
- Integracja z innymi regulacjami (RODO, DORA, ISO 27001) pozwala budować efektywniejsze programy
W moich rozmowach z klientami często pada pytanie: “Czy nie możemy po prostu kupić lepszego firewall’a i być zgodnym z NIS2?” Odpowiedź brzmi: nie. Najlepsza technologia w rękach zespołu bez odpowiednich kompetencji to marnowanie pieniędzy. Najbardziej wartościowa inwestycja w cyberbezpieczeństwo to inwestycja w ludzi.
Potrzebujesz wsparcia w przygotowaniu zespołu do NIS2?
Skontaktuj się z nami – pomożemy Ci przeprowadzić assessment kompetencji i zbudować program szkoleniowy zgodny z wymogami dyrektywy.
Sprawdź nasze szkolenia z cyberbezpieczeństwa | Skontaktuj się z ekspertem
Przeczytaj również
- Dyrektywa NIS2: co firmy muszą wiedzieć i jak się przygotować?
- AI Agents w enterprise - czego musi nauczyć się zespół
- Szkolenia IT dla software house - jak rozwijać zespół R&D
Rozwijaj swoje kompetencje
Chcesz pogłębić wiedzę z tego obszaru? Sprawdź nasze szkolenie prowadzone przez doświadczonych trenerów EITT.
➡️ Dyrektywa NIS2 w praktyce: przygotowanie organizacji — szkolenie EITT