Program szkolenia kierownika z art. 8e ustawy o KSC (NIS2)

W skrócie

• Program szkolenia kierownika to plan corocznego szkolenia osoby kierującej podmiotem w zakresie cyberbezpieczeństwa.
• Kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzi szkolenie (art. 8e ustawy o KSC).
• Udział w szkoleniu jest udokumentowany (art. 8e ustawy o KSC).
• Kurs SZBIhub dla kierownika ma pięć lekcji: czy i jak ustawa dotyczy organizacji, osobista odpowiedzialność kierownika, decyzje w SZBI, incydent poważny w pierwszej dobie oraz audyt, nadzór i cykl roczny. Kończy go test z 10 pytań, próg zaliczenia to 80 procent, a liczba podejść jest ograniczona do trzech.

Co szkolenie musi obejmować według ustawy

1. Kogo dotyczy. Kierownika podmiotu kluczowego lub ważnego oraz osobę, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa (art. 8e ustawy o KSC).
2. Jak często. Raz w roku kalendarzowym.
3. Zakres. Szkolenie obejmuje wykonywanie obowiązków, o których mowa w art. 7b ust. 4, art. 7c, art. 7f ust. 3, art. 8, art. 8d, art. 8f ust. 1 i 2, art. 9-12b, art. 14 i art. 15 ustawy o KSC.
4. Dowód. Udział w szkoleniu jest udokumentowany.

Szkolenie kierownika to inny obowiązek niż edukacja personelu. Podmiot zapewnia w ramach SZBI edukację z zakresu cyberbezpieczeństwa dla personelu i podstawowe zasady cyberhigieny (art. 8 ust. 1 pkt 2 lit. i oraz j), a kierownik zapewnia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa (art. 8d pkt 4).

Jak zorganizować szkolenia kierownika i personelu, opisuje artykuł Szkolenia i świadomość (art. 8e). Ta strona pokazuje sam program.

Fragment wzoru

Poniżej dosłowny fragment lekcji „Osobista odpowiedzialność kierownika” z kursu SZBIhub. Każda z pięciu lekcji kursu zaczyna się od celu lekcji, a ta jest druga w kolejności, po lekcji o statusie organizacji. Pokazuje, za co kierownik odpowiada osobiście i jakie zadania przypisuje mu art. 8d ustawy o KSC. Ten fragment nie ma pól do wypełnienia.

Cel lekcji: po tej lekcji wiesz, za co odpowiadasz osobiście, czego nie da się zdelegować i jakie sankcje przewidziano.

Odpowiedzialność jest osobista i niedelegowalna. Kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie obowiązków w zakresie cyberbezpieczeństwa (art. 8c ust. 1 ustawy o KSC). Możesz powierzyć wykonywanie obowiązków innej osobie - pracownikowi lub firmie zewnętrznej - ale powierzenie nie zwalnia Cię z odpowiedzialności (art. 8c ust. 3). W praktyce: podpisujesz się pod tym, jak organizacja zarządza cyberbezpieczeństwem, niezależnie od tego, kto wykonuje pracę.

Twoje ustawowe zadania (art. 8d ustawy o KSC):

1. podejmujesz decyzje o przygotowaniu, wdrożeniu, stosowaniu, przeglądzie i nadzorze SZBI (pkt 1);
2. planujesz adekwatne środki finansowe (pkt 2) - budżet na cyberbezpieczeństwo jest Twoim zadaniem ustawowym, nie dobrą wolą;
3. przydzielasz zadania z zakresu cyberbezpieczeństwa i nadzorujesz ich wykonanie (pkt 3);
4. zapewniasz, że personel zna swoje obowiązki i regulacje wewnętrzne (pkt 4);
5. zapewniasz zgodność działania podmiotu z prawem i regulacjami wewnętrznymi (pkt 5).

Jak dopasować wzór do firmy

1. Ustal, kto się szkoli. Kierownik podmiotu, a jeśli obowiązki kierownika w zakresie cyberbezpieczeństwa powierzono innej osobie, także ona. Sprawdź to w dokumentach, które powierzają obowiązki, zanim zaplanujesz szkolenie.
2. Zaplanuj termin w roku kalendarzowym. Obowiązek liczy się w roku kalendarzowym, więc wpisz szkolenie do kalendarza z zapasem przed końcem roku.
3. Zadbaj o dowód. W kursie SZBIhub zaliczenie testu tworzy wpis w rejestrze szkoleń i zaświadczenie.
4. Odróżnij szkolenie personelu. Kurs dla kierownika nie zastępuje edukacji personelu. Ustawa nie określa częstotliwości szkoleń personelu.
5. Zacznij od okresu próbnego. Program stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty.