--- id: "conformite-003" title: "ISO 27001:2022 i Kontrola A.6.3: Co audytor weryfikuje w szkoleniach security awareness" description: "Sprawdź, jak spełnić wymagania kontroli A.6.3 normy ISO 27001:2022 podczas audytu: kluczowe wskaźniki, dowody zgodności oraz ciągłe doskonalenie SZBI." canonical: https://startbrain.io/pl/cyberbezpieczenstwo/iso-27001-2022-kontrola-a63-szkolenia-security-awareness/ slug: "iso-27001-2022-kontrola-a63-szkolenia-security-awareness" date: "2026-09-01" category: "conformite" product: "cyberjourney" lang: pl author: "Brain Security · Dział B+R Cyber i Czynnika Ludzkiego" frameworks: "NASK · CERT Polska · KSC (NIS 2) · DORA · RODO · ISO 27001" --- # ISO 27001:2022 (Kontrola A.6.3): Co audytor weryfikuje w szkoleniach security awareness Termin audytu certyfikacyjnego ISO/IEC 27001 zbliża się wielkimi krokami. Polityki kontroli dostępu zostały wdrożone, analiza ryzyka zaktualizowana, a plan postępowania z ryzykiem zatwierdzony. Jednak w wielu organizacjach na biurku CISO i zespołu IT pozostaje jedno kluczowe pytanie: na co tak naprawdę zwróci uwagę audytor wiodący, weryfikując czynnik ludzki w Państwa Systemie Zarządzania Bezpieczeństwem Informacji (SZBI)? Wciąż zbyt wiele firm zakłada, że pojedyncze, coroczne szkolenie e-learningowe odhaczone przez pracowników wystarczy, aby zamknąć temat świadomości bezpieczeństwa. W rzeczywistości, po aktualizacji normy do wersji ISO/IEC 27001:2022 oraz zdefiniowaniu kontroli A.6.3 (Budowanie świadomości, edukacja i szkolenia w zakresie bezpieczeństwa informacji), podejście audytorów uległo zaostrzeniu. Nie wystarczy już samo wykazanie faktu istnienia prezentacji szkoleniowej. Audytor sprawdza, czy program żyje w organizacji, czy odpowiada realnemu profilowi ryzyka oraz czy jego skuteczność jest mierzona w czasie. Poniżej przedstawiamy praktyczne wytyczne, jak ustrukturyzować i udokumentować ten proces przed wizytą audytora. --- ## Czego dokładnie wymaga kontrola A.6.3 normy ISO/IEC 27001:2022? > **W skrócie: Kontrola A.6.3 wymaga, aby pracownicy organizacji oraz odpowiednie strony trzecie przechodzili właściwe szkolenia budujące świadomość, regularną edukację oraz otrzymywali bieżące aktualizacje polityk bezpieczeństwa, dostosowane do ich ról zawodowych i aktualnego krajobrazu zagrożeń.** W rewizji normy z 2022 roku obszar czynnika ludzkiego zyskał większą dojrzałość operacyjną. Tytuł kontroli łączy trzy uzupełniające się filary: budowanie świadomości (zrozumienie ogólnych zasad), edukację (kształtowanie trwałych nawyków) oraz szkolenia specjalistyczne (rozwijanie konkretnych kompetencji technicznych w zależności od stanowiska). Audytor weryfikuje zgodność programu z czterema głównymi zasadami: - **Dopasowanie do ról w organizacji:** Zespół programistów, dział zakupów, księgowość oraz specjaliści HR przetwarzają inne dane i stykają się z odmiennymi wektorami ataków. Program musi odzwierciedlać te różnice. - **Cykliczność i regularność działań:** Jednorazowe szkolenie co dwanaście miesięcy jest obecnie uznawane przez audytorów za niewystarczające w obliczu dynamiki cyberzagrożeń. Oczekuje się regularnych, krótszych interakcji (w cyklu miesięcznym lub kwartalnym). - **Procedura wdrażania nowych pracowników (onboarding):** Nowo zatrudnione osoby muszą poznać zasady higieny cyfrowej oraz procedury zgłaszania incydentów już w pierwszych tygodniach pracy. - **Reakcja na aktualne incydenty i trendy:** Jeżeli w polskim sektorze nasilają się kampanie vishingu, wyłudzenia płatności (BEC) lub ataki na łańcuch dostaw, program edukacyjny powinien bezzwłocznie zaadresować te scenariusze. --- ## Jak przygotować i udokumentować program na potrzeby audytu? > **W skrócie: Aby pomyślnie przejść audyt ISO 27001, należy przygotować formalny harmonogram roczny, raporty wskaźników ukończenia w podziale na działy, dowody aktualizacji materiałów pod kątem nowych zagrożeń oraz ocenę realnej skuteczności modułów szkoleniowych.** Podczas audytu same deklaracje nie mają mocy dowodowej bez udokumentowanych informacji (wymaganych m.in. przez punkt 7.5 normy). Audytor poprosi o wgląd w rejestry, wskaźniki oraz twarde dane. ### 4 kluczowe dowody, które należy przedstawić podczas audytu 1. **Sformalizowany plan budowania świadomości:** Dokument zatwierdzony przez Zarząd lub kierownictwo IT, określający roczny harmonogram, tematykę (phishing, inżynieria społeczna, bezpieczeństwo haseł, Shadow IT) oraz częstotliwość kampanii. 2. **Wskaźnik objęcia personelu szkoleniami:** Zbiorcze raporty wykazujące, którzy pracownicy zrealizowali przypisane moduły. Warto utrzymywać wskaźnik ukończenia powyżej 85% oraz posiadać spisaną procedurę przypomnień dla osób opóźnionych. 3. **Weryfikacja przyswojenia wiedzy:** Zwykłe kliknięcie "oznacz jako przeczytane" nie stanowi potwierdzenia nabycia kompetencji. Audytorzy pozytywnie oceniają interaktywne quizy sprawdzające oraz realistyczne symulacje scenariuszowe. 4. **Pętla ciągłego doskonalenia:** Dowody na to, że program jest modyfikowany w odpowiedzi na wnioski z audytów wewnętrznych, zgłoszone incydenty lub zalecenia jednostek takich jak CERT Polska. Aby wdrożyć cykliczny model bez paraliżowania codziennych obowiązków personelu, warto wykorzystać modułowe mikrolekcje, takie jak [Cyber Journey](/en-us/catalog/cyber-journey/). Umożliwiają one rozłożenie nauki na regularne, kilkuminutowe etapy wzbogacone o quizy, a generowane raporty postępów stanowią gotowy pakiet dowodowy dla audytora. --- ## Najczęstsze pułapki prowadzące do niezgodności Większość uwag i niezgodności związanych z kontrolą A.6.3 nie wynika z zupełnego braku szkoleń, lecz z braku dyscypliny w monitorowaniu ich rezultatów. - **Syndrom jednorazowego zrywu:** Przeprowadzenie jednej długiej sesji na początku roku i brak jakichkolwiek działań przez kolejne jedenaście miesięcy wskazuje na brak ciągłości procesu. - **Pominięcie współpracowników zewnętrznych (B2B):** Jeżeli kontrahenci lub pracownicy tymczasowi mają dostęp do kluczowych zasobów informacyjnych organizacji, audytor sprawdzi, czy objęto ich adekwatnymi instrukcjami bezpieczeństwa. - **Nieaktualne materiały dydaktyczne:** Szkolenia wspominające o regułach sprzed kilku lat, bez uwzględnienia nowoczesnych zagrożeń (np. deepfake czy ataków socjotechnicznych wspieranych przez sztuczną inteligencję), podważają wiarygodność SZBI. - **Brak wskaźników efektywności (KPI):** Bez danych prezentowanych podczas przeglądu zarządzania (poziom ukończenia, dynamika wyników testów, wskaźniki podatności na symulacje) trudno wykazać realną skuteczność podjętych działań. --- ## W stronę dojrzałej i mierzalnej kultury cyberbezpieczeństwa Wymagania kontroli A.6.3 nie powinny być postrzegane jako biurokratyczny obowiązek, ale jako narzędzie do budowania realnej odporności organizacji. Zapewnienie angażujących, regularnych i mierzalnych modułów szkoleniowych pozwala przekształcić formalny wymóg normy w trwałą linię obrony przed cyberzagrożeniami. Przygotowują się Państwo do audytu certyfikacyjnego lub odnowieniowego ISO/IEC 27001 i poszukują sposobu na automatyzację raportowania oraz podniesienie zaangażowania zespołów? [Zapraszamy do kontaktu z naszym zespołem](/en-us/book-a-demo/), aby wspólnie zaprojektować program budowania świadomości spełniający wymagania norm audytowych. ### Executive Synthesis of Guide Pillars: ISO 27001:2022 i Kontrola A.6.3: Co audytor weryfikuje w szkoleniach security awareness | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **Dopasowanie do ról w organizacji** | Zespół programistów, dział zakupów, księgowość oraz specjaliści HR przetwarzają inne dane i stykają się z odmiennymi wektorami ataków. Program musi… (Czego dokładnie wymaga kontrola A.6.3 normy ISO/IEC 27001:2022?) | | **Syndrom jednorazowego zrywu** | Przeprowadzenie jednej długiej sesji na początku roku i brak jakichkolwiek działań przez kolejne jedenaście miesięcy wskazuje na brak ciągłości… (Najczęstsze pułapki prowadzące do niezgodności) | | **Cykliczność i regularność działań** | Jednorazowe szkolenie co dwanaście miesięcy jest obecnie uznawane przez audytorów za niewystarczające w obliczu dynamiki cyberzagrożeń. Oczekuje się… (Czego dokładnie wymaga kontrola A.6.3 normy ISO/IEC 27001:2022?) | | **Pominięcie współpracowników zewnętrznych (B2B)** | Jeżeli kontrahenci lub pracownicy tymczasowi mają dostęp do kluczowych zasobów informacyjnych organizacji, audytor sprawdzi, czy objęto ich… (Najczęstsze pułapki prowadzące do niezgodności) | --- ## Przeczytaj również: powiązane artykuły i rozwiązania Brain Security ### Powiązane artykuły na ten temat - **[Kontrola UODO i RODO: Dlaczego szkolenie pracownikow to obowiazkowy srodek bezpieczenstwa](/pl/cyberbezpieczenstwo/kontrola-uodo-rodo-szkolenia-pracownikow-bezpieczenstwo/)** (Compliance (NIS 2, DORA, ISO)) : Kontrola UODO a szkolenia RODO pracownikow. Artykuly 32 i 39 wymagaja realnej edukacji zespolu. Sprawdz, jak skutecznie dokumentowac budowanie swiadomosci cyber. - **[NIS 2 i odpowiedzialnosc zarzadu: Jak przeszkolic Zarzad w 45 minut?](/pl/cyberbezpieczenstwo/nis-2-szkolenie-zarzadu-odpowiedzialnosc-ciso/)** (Compliance (NIS 2, DORA, ISO)) : Sprawdz, jak przeprowadzic obowiazkowe szkolenie cyberbezpieczenstwa dla Zarzadu wedlug NIS 2 w 45 minut dzieki symulacji kryzysowej i realnym dylematom. - **[Audyt SOC 2: Jak zaplanowac i raportowac szkolenia cyberbezpieczenstwa przez 12 miesiecy](/pl/cyberbezpieczenstwo/audyt-soc-2-szkolenia-cyberbezpieczenstwo-raportowanie/)** (Compliance (NIS 2, DORA, ISO)) : Dowiedz sie, jak zorganizowac i udokumentowac szkolenia security awareness, aby bez problemu uzyskac raport z audytu SOC 2 Type II. - **[Micro-learning w cyberbezpieczeństwie: Dlaczego 3 minuty są lepsze niż godzinne szkolenie](/pl/cyberbezpieczenstwo/micro-learning-cyberbezpieczenstwo-szkolenia-pracownikow/)** (Gamification) : Dowiedz się, dlaczego micro-learning w cyberbezpieczeństwie przewyższa coroczne e-learningi. Zmniejsz obciążenie poznawcze i chroń firmę. ### Poznaj rozwiązania Brain Security na naszej stronie - **Powiązane rozwiązanie : [Cyber Journey](/en-us/catalog/cyber-journey/)** : Ścieżka edukacyjna w formie mapy postępów: krótkie rozdziały i wbudowany quiz arcade bez konieczności zakładania konta. - **[Sprawdź przypadki użycia według celów i branż](/en-us/use-cases/)** - **[Porównaj nasze formaty budowania świadomości cyber i AI](/en-us/compare/)** - **[Zobacz pełny interaktywny katalog Brain Security](/en-us/catalog/)** - **[Porozmawiaj o swoich potrzebach z naszym zespołem (demo i wdrożenie)](/en-us/book-a-demo/)** --- - https://startbrain.io/pl/cyberbezpieczenstwo/iso-27001-2022-kontrola-a63-szkolenia-security-awareness/ - [Français](https://startbrain.io/fr/cybersecurite/iso-27001-controle-a-6-3-sensibilisation-audit/) - [Deutsch](https://startbrain.io/de/cybersecurity/iso-27001-control-a-6-3-awareness-audit/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/iso-27001-control-a63-cyber-awareness-audit/) - [English (US)](https://startbrain.io/en-us/cybersecurity/iso-27001-control-a63-security-awareness-audit/) - [Español](https://startbrain.io/es/cyberseguridad/iso-27001-control-concienciacion-seguridad-auditoria/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/iso-27001-controllo-a63-audit-consapevolezza/) - [Nederlands](https://startbrain.io/nl/cybersecurity/iso-27001-beheersmaatregel-a63-audit-awareness/) - [Português](https://startbrain.io/pt/ciberseguranca/iso-27001-controlo-a63-auditoria-sensibilizacao/) - [日本語](https://startbrain.io/ja/cybersecurity/iso-27001-2022-control-a63-isms-audit-training/) - [Svenska](https://startbrain.io/sv/cybersakerhet/iso-27001-kontroll-a-6-3-sakerhetsutbildning/) - [Dansk](https://startbrain.io/da/cybersikkerhed/iso-27001-kontrol-a63-awareness-traening/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/iso-27001-hallintakeino-a-6-3-tietoturvakoulutus-auditointi/) - [Norsk](https://startbrain.io/no/cybersikkerhet/iso-27001-kontroll-a-6-3-sikkerhetsopplaering/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/iso-27001-2022-control-a63-cybersecurity-awareness-audit/) - [llms.txt](https://startbrain.io/llms.txt)