Po programie Cyberbezpieczny Samorząd: jak utrzymać szkolenia pracowników urzędu?

W skrócie: projekty z programu „Cyberbezpieczny Samorząd” można było realizować najpóźniej do 30 września 2026 r. Razem z nimi nie wygasł obowiązek szkolenia ludzi w urzędzie. Wynika on z ustawy o KSC: kierownik urzędu przechodzi udokumentowane szkolenie raz w roku kalendarzowym, a pracownicy mają znać swoje obowiązki i wewnętrzne zasady jednostki. Szkolenia trzeba więc zaplanować w budżecie urzędu na 2027 rok. Zobacz kurs e-learningowy dla urzędów.

Jeżeli Twoja gmina realizowała grant, ostatnie wydatki musiały zmieścić się w okresie kwalifikowalności, a rozliczenie trafiło do operatora. Teraz zostaje pytanie praktyczne: kto w 2027 roku zorganizuje szkolenia, z jakich pieniędzy i jak urząd wykaże, że się odbyły.

Piszemy dla sekretarza gminy, inspektora ochrony danych (IOD), informatyka i skarbnika, bo każda z tych osób odpowiada za inny kawałek tematu. Bez straszenia karami, za to z datami i przepisami.

Co oznacza koniec programu „Cyberbezpieczny Samorząd” dla urzędu?

„Cyberbezpieczny Samorząd” to projekt grantowy z programu Fundusze Europejskie na Rozwój Cyfrowy 2021-2027 (FERC), prowadzony przez Centrum Projektów Polska Cyfrowa (CPPC) jako operatora. W komunikacie z 16 czerwca 2026 r. CPPC uporządkowało terminy końcowe:

Dla urzędu wynika z tego jedno: okres kwalifikowalności się zamknął, więc nowych zakupów, w tym szkoleń, nie da się już rozliczyć z grantu. Szkolenie zamówione teraz trzeba sfinansować spoza projektu.

Ten sam komunikat przypomina o dwuletnim okresie utrzymania efektów projektu, który wynika z umowy o powierzenie grantu. Co dokładnie gmina ma utrzymać, określa jej umowa. Przejrzyj ją razem z wnioskiem rozliczającym, zanim zamkniesz teczkę projektu.

Rozliczenie grantu kończy sprawę z operatorem. Obowiązków, które urząd ma z mocy prawa, nie kończy.

Jakie obowiązki szkoleniowe urzędu zostają po programie?

Od 3 kwietnia 2026 r. urzędy gmin, starostwa i samorządowe jednostki budżetowe, które realizują zadania publiczne z wykorzystaniem systemów informacyjnych, podlegają ustawie o krajowym systemie cyberbezpieczeństwa (KSC) jako podmioty kluczowe albo ważne. Starostwo powiatowe jest podmiotem kluczowym zawsze. Urząd gminy jest nim wtedy, gdy zatrudnia na umowę o pracę co najmniej 50 osób w przeliczeniu na pełne etaty, stan na 1 stycznia. Mniejsze urzędy gmin są podmiotami ważnymi.

Podleganie ustawie to jeszcze nie termin. Obowiązki z rozdziału 3 ustawy, m.in. system zarządzania bezpieczeństwem informacji, szkolenia i zgłaszanie incydentów, urząd ma wdrożyć najpóźniej do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy zmieniającej).

Obowiązki szkoleniowe dotyczą obu kategorii, a ich podstawa jest rozłożona na kilka przepisów.

Kierownik jednostki: szkolenie raz w roku

Kierownik urzędu przechodzi szkolenie z cyberbezpieczeństwa raz w roku kalendarzowym, a jego udział musi być udokumentowany (art. 8e ustawy o KSC). Ten sam obowiązek ma osoba, której kierownik powierzył swoje obowiązki w zakresie cyberbezpieczeństwa, na przykład sekretarz gminy. Według wyjaśnień Ministerstwa Cyfryzacji (FAQ, pkt 3.46) pierwsze szkolenie trzeba przeprowadzić najpóźniej w 2027 r. To interpretacja ministerstwa, a nie tekst ustawy.

Kto w urzędzie jest kierownikiem w rozumieniu ustawy o KSC, ustawa wprost nie wskazuje: odsyła do kierownika jednostki sektora finansów publicznych (art. 2 pkt 8a). Warto to ustalić z radcą prawnym urzędu, zanim zaplanuje się szkolenia.

Powierzenie zadań sekretarzowi nie zdejmuje odpowiedzialności z kierownika (art. 8c). Jeśli kierownik przekazał te zadania, coroczne szkolenie przechodzą obie osoby.

Pracownicy: świadomość obowiązków i znajomość regulacji

Wobec pozostałych pracowników przepisy nie ustanawiają powszechnego, corocznego egzaminu. Kierownik musi jednak zapewnić, żeby personel był świadomy obowiązków z zakresu cyberbezpieczeństwa i znał wewnętrzne regulacje urzędu (art. 8d ustawy o KSC).

Drugi wymóg dotyczy systemu zarządzania bezpieczeństwem informacji (SZBI). System musi obejmować szkolenie osób zaangażowanych w przetwarzanie informacji: w podmiocie ważnym wynika to z załącznika nr 4 do ustawy (cz. I pkt 17), a w kluczowym art. 8 ust. 1 pkt 2 lit. i wymaga edukacji z zakresu cyberbezpieczeństwa dla personelu. Sam SZBI urząd ma wdrożyć najpóźniej do 3 kwietnia 2027 r. Jeśli urząd przygotowuje teraz dokumentację SZBI, opis szkoleń powinien znaleźć się w niej od początku.

Lekcja dla kierownictwa w naszym kursie podsumowuje to jako zalecaną praktykę: cykl roczny z potwierdzeniem ukończenia.

KRI § 19: stosowany do lutego 2027 r.

Rozporządzenie w sprawie Krajowych Ram Interoperacyjności z 2024 roku w § 19 nakłada na kierownictwo jednostki obowiązek zapewnienia szkoleń osobom, które przetwarzają informacje. Zakres jest wymieniony wprost: zagrożenia, skutki naruszeń, w tym odpowiedzialność prawna, oraz stosowanie zabezpieczeń.

Rozporządzenie w tym kształcie jest stosowane do 22 lutego 2027 r. Nie oznacza to końca obowiązku. Szkolenie personelu wynika także z ustawy o KSC, więc po tej dacie zmieni się podstawa prawna w dokumentacji urzędu, a nie sam obowiązek. Przy aktualizacji polityki bezpieczeństwa sprawdź, czy odwołuje się do KSC, a nie wyłącznie do KRI.

RODO i informacja publiczna

Art. 32 RODO wymaga od administratora odpowiednich środków technicznych i organizacyjnych. W gminie administratorem jest zwykle wójt lub burmistrz jako organ. Udokumentowane szkolenia są jednym z elementów, które organ nadzorczy bierze pod uwagę, gdy ocenia, czy urząd takie środki zastosował.

Informacja publiczna nie jest osobnym obowiązkiem szkoleniowym, ale w kursie dla urzędu nie może jej zabraknąć. Wniosek może przyjść zwykłym e-mailem, a urząd ma na odpowiedź co do zasady 14 dni. Ten sam kanał wykorzystują oszuści. Prośba o wersje systemów, schemat sieci albo nazwy kont wygląda jak wniosek, a służy do rozpoznania urzędu przed atakiem. Mail „Nowy wniosek o informację publiczną - kliknij, aby pobrać” z linkiem do strony logowania to zwykły phishing. Pracownik kancelarii powinien umieć odróżnić jedno od drugiego.

Co sprawdzić w urzędzie jeszcze przed końcem 2026 roku?

Krótka lista, podzielona według tego, kto zwykle ma potrzebne informacje:

• Sekretarz gminy: czy kierownik urzędu powierzył komuś obowiązki w zakresie cyberbezpieczeństwa. Jeśli tak, ta osoba też potrzebuje corocznego, udokumentowanego szkolenia.
• Sekretarz i kadry: lista osób, które przetwarzają informacje, z datą ostatniego szkolenia i dokumentem, który je potwierdza. Sprawdź zwłaszcza osoby zatrudnione po ostatnim szkoleniu.
• Informatyk: czy projekt SZBI opisuje szkolenia, czyli kogo obejmują, jak często się odbywają i gdzie urząd przechowuje potwierdzenia.
• IOD: czy program szkolenia obejmuje sytuacje z codziennej pracy urzędu, na przykład wysyłkę danych mieszkańców, anonimizację dokumentów i wnioski o informację publiczną.
• Skarbnik: pozycja na szkolenia w budżecie na 2027 rok. Po zamknięciu grantu szkolenia trzeba sfinansować spoza projektu.

Jak utrzymać szkolenia bez grantu?

Jednorazowe szkolenie zostawia listę obecności, która z każdym miesiącem obejmuje mniejszą część zespołu, bo w urzędzie pojawiają się nowe osoby. Dlatego lepiej sprawdza się cykl niż pojedyncze wydarzenie.

Model, który da się utrzymać w urzędzie liczącym kilkanaście albo kilkadziesiąt osób:

1. Raz w roku cały personel przechodzi kurs z potwierdzeniem ukończenia. Termin można związać z kalendarzem urzędu, na przykład z pierwszym kwartałem.
2. Kierownik i osoba, której powierzył obowiązki, przechodzą dodatkowo część dla kierownictwa, a potwierdzenie ukończenia trafia do dokumentacji szkoleń. Taka część nie jest jednak szkoleniem w pełnym zakresie art. 8e: coroczne szkolenie kierownika obejmuje m.in. zarządzanie bezpieczeństwem informacji i obsługę incydentów, więc trzeba je zaplanować osobno. Moduł dla kierownictwa w naszym kursie kończy się certyfikatem ukończenia modułu, który tego szkolenia nie dokumentuje.
3. Nowy pracownik dostaje dostęp do kursu w pierwszych tygodniach pracy, zamiast czekać na kolejną edycję.
4. Raport ukończeń trafia do dokumentacji SZBI. Po incydencie jedno z pierwszych pytań brzmi: czy pracownicy byli szkoleni i czy da się to wykazać?

E-learning ma tu przewagę organizacyjną. Referat podatkowy nie musi zamykać okienka na cały dzień, a pracownik na pół etatu przechodzi lekcje we własnym tempie. Rozpoznawanie ataków przez SMS, telefon i kod QR omawiamy szerzej w artykule o phishingu poza mailem.

Jedno zastrzeżenie, które powinno paść przed zakupem. Szkolenie wspiera realizację obowiązków i pomaga wykazać, że pracownicy znają zasady. Nie oznacza, że jednostka spełniła wszystkie wymagania prawa, bo te obejmują także zabezpieczenia techniczne, procedury i ich codzienne stosowanie.

Czy szkolenie dla urzędu może być zwolnione z VAT?

Może. Status JST sam w sobie nie daje zwolnienia - decyduje źródło finansowania szkolenia:

• szkolenie zawodowe finansowane w całości ze środków publicznych może być zwolnione na podstawie art. 43 ust. 1 pkt 29 lit. c ustawy o VAT,
• szkolenie zawodowe finansowane ze środków publicznych co najmniej w 70% może być zwolnione na podstawie § 3 ust. 1 pkt 14 rozporządzenia Ministra Finansów z 20 grudnia 2013 r.

Fakturę bez VAT wystawiamy na podstawie oświadczenia jednostki złożonego przed wystawieniem faktury. Skarbnik powinien więc przygotować oświadczenie razem z zamówieniem, a nie po otrzymaniu faktury.

Kurs cyberbezpieczeństwa dla urzędów

Przygotowaliśmy kurs e-learningowy z cyberbezpieczeństwa dla urzędów, którego fabuła toczy się w urzędzie gminy. Pracownicy nie muszą przekładać przykładów z firmy na realia urzędu, bo widzą od razu referat, kancelarię i wniosek mieszkańca.

• 18 lekcji, licząc z wprowadzeniem,
• 7 symulacji decyzyjnych, w których pracownik wybiera, co zrobić w konkretnej sytuacji,
• osobny moduł dla kierownictwa,
• certyfikaty ukończenia i raport ukończeń dla urzędu,
• dostęp przez 12 miesięcy.

Zamówienie lub pytanie o program wystarczy wysłać na adres info@etechnologie.pl. Jeśli Twoja jednostka spełnia warunki zwolnienia z VAT, dołącz oświadczenie do zamówienia.

Podsumowanie

• Projekty z programu „Cyberbezpieczny Samorząd” mogły trwać najpóźniej do 30.09.2026. Nowych szkoleń nie da się już rozliczyć z grantu.
• Obowiązek szkoleń wynika z ustawy o KSC: kierownik urzędu szkoli się raz w roku kalendarzowym (pierwszy raz najpóźniej w 2027 r. według FAQ Ministerstwa Cyfryzacji), a personel ma znać obowiązki i wewnętrzne regulacje.
• KRI w obecnym kształcie jest stosowane do 22.02.2027, ale obowiązek szkolenia personelu zostaje w KSC.
• SZBI, który urząd ma wdrożyć najpóźniej do 3.04.2027, musi obejmować szkolenie osób przetwarzających informacje.
• Szkolenie wspiera realizację obowiązków. Zgodności z przepisami samo nie zapewnia.

Kogo dokładnie obejmuje ustawa i jakie ma terminy, opisujemy w przewodniku Ustawa o KSC (NIS2): kogo dotyczy i jakie nakłada obowiązki. Program kursu i zakres modułu dla kierownictwa znajdziesz na stronie kursu dla urzędów.

Źródła

• Centrum Projektów Polska Cyfrowa - informacja o zmianach w dokumentacji konkursowej projektu „Cyberbezpieczny Samorząd” z 16.06.2026.
• Ustawa o krajowym systemie cyberbezpieczeństwa (po nowelizacji z 23 stycznia 2026 r.) - art. 2 pkt 8a, art. 5 ust. 2 pkt 8, art. 8, 8c, 8d, 8e, załącznik nr 1 i załącznik nr 4.
• Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) - art. 33 ust. 1.
• Ministerstwo Cyfryzacji - pytania i odpowiedzi do ustawy o KSC, pkt 3.46 (wyjaśnienia ministerstwa, bez mocy prawnej).
• Rozporządzenie Rady Ministrów w sprawie Krajowych Ram Interoperacyjności (Dz.U. 2024 poz. 773) - § 19.
• RODO (rozporządzenie 2016/679) - art. 32.
• Ustawa o dostępie do informacji publicznej.
• Ustawa o podatku od towarów i usług - art. 43 ust. 1 pkt 29 lit. c; rozporządzenie Ministra Finansów z 20 grudnia 2013 r. - § 3 ust. 1 pkt 14.

Stan prawny: październik 2026 r.