Studia z cyberbezpieczeństwa w Polsce. Kierunki techniczne, kierunki o bezpieczeństwie i podyplomowe w roku 2026/2027

Kierunek cyberbezpieczeństwo był w rekrutacji na rok 2025/2026 jednym z najbardziej obleganych kierunków w Polsce: Ministerstwo Nauki podało 10,2 zgłoszenia na jedno miejsce, więcej niż na kierunek lekarski (9,7). W 2026 r. na Politechnice Warszawskiej było to 14,92 aplikacji na miejsce, na AGH 16,8 kandydata, a na Politechnice Poznańskiej próg 860,50 pkt był drugim najwyższym na uczelni, wyżej niż na informatyce. Ten tekst jest dla dwóch osób: dla kierownika podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie., który czyta CV kandydata na stanowisko związane z cyberbezpieczeństwem i chce wiedzieć, co stoi za nazwą kierunku, oraz dla kogoś, kto w środku kariery dostał zadania z art. 8 ustawy o krajowym systemie cyberbezpieczeństwaUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych. (ustawy o KSC) i zastanawia się, czy iść na podyplomowe.

Przeczytałem 30 października 2026 r. rejestr kierunków RAD-on, bazę ocen Polskiej Komisji Akredytacyjnej (PKA), dane systemu ELA o zarobkach absolwentów oraz strony rekrutacyjne i programy studiów uczelni, które taki kierunek prowadzą. Nie oceniam, która uczelnia jest „najlepsza”. Zamiast tego pokazuję, czym programy różnią się między sobą i gdzie to sprawdzić, a kryteria piszę wprost, żeby można było się ze mną nie zgodzić.

Pod nazwą „cyberbezpieczeństwo” kryją się dwa różne wykształcenia: inżynierskie, w dyscyplinie informatyka techniczna i telekomunikacja, oraz społeczne, w naukach o bezpieczeństwie lub prawie. Rejestr RAD-on mówi, które jest które.

Czego ustawa o KSC wymaga od wykształcenia?

Niczego. To pierwsza rzecz, którą trzeba powiedzieć, zanim ktoś zacznie przeglądać oferty uczelni. Osoba, która ma realizować zadania z art. 8 lub art. 11 ustawy o KSC, przedstawia podmiotowi przed rozpoczęciem pracy informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1). To jedyny warunek, który ustawa stawia tej osobie wprost. O osobie do kontaktuOsoba do kontaktu Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie. Ministerstwo Cyfryzacji napisało w październikowej aktualizacji FAQ (pkt 3.18): „Nie jest wymagane określone wykształcenie, w tym związane z cyberbezpieczeństwem”.

Kierownik podmiotu też nie musi mieć żadnych studiów w tej dziedzinie. Art. 8e ust. 1 nakazuje mu raz w roku kalendarzowym przejść szkolenie, którego zakres określa ust. 2, a udział w nim ma być udokumentowany (ust. 3). Według FAQ 3.46 podmioty, które 3 kwietnia 2026 r. spełniały przesłanki podmiotu kluczowegoPodmiot kluczowy Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata. lub ważnego, pierwsze takie szkolenie muszą przeprowadzić najpóźniej w 2027 r.

Jest jedno miejsce, w którym dyplom studiów podyplomowych ma skutek prawny. Audyt bezpieczeństwaAudyt bezpieczeństwa Sprawdzenie, czy system informacyjny używany do świadczenia usługi spełnia wymagania ustawy o KSC. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na trzy lata. systemu informacyjnego z art. 15 może przeprowadzić między innymi co najmniej dwóch audytorów, którzy mają certyfikaty z rozporządzenia, albo trzyletnią praktykę audytorską, albo „co najmniej dwuletnią praktykę w zakresie audytu bezpieczeństwa systemów informacyjnych i legitymujących się dyplomem ukończenia studiów podyplomowych w zakresie audytu bezpieczeństwa systemów informacyjnych, wydanym przez jednostkę organizacyjną, która w dniu wydania dyplomu była uprawniona, zgodnie z odrębnymi przepisami, do nadawania stopnia naukowego doktora nauk ekonomicznych, technicznych lub prawnych” (art. 15 ust. 2 pkt 2 lit. c). Do tego przepisu wrócę przy studiach podyplomowych, bo kilka uczelni powołuje się na niego w ofercie.

Jak czytałem programy?

Każdy kierunek sprawdzałem w tej samej kolejności. Najpierw rejestr RAD-on: czy kierunek w ogóle istnieje i jest prowadzony, w jakiej dyscyplinie naukowej uczelnia go przypisała i w jakich proporcjach. To rozstrzyga, czy absolwent uczył się informatyki, czy nauk o bezpieczeństwie. Potem program studiów: w którym semestrze pojawia się pierwszy przedmiot o bezpieczeństwie, ile punktów ECTS przypada na przedmioty o bezpieczeństwie wobec matematyki i ogólnej informatyki, ile jest laboratoriów i czy jest obowiązkowa praktyka. Udziały procentowe, które podaję niżej, to moje szacunki z planów studiów, nie dane uczelni. Na końcu dwa rejestry zewnętrzne: czy PKA oceniła kierunek i co o zarobkach absolwentów mówi ELA.

Trzy rzeczy pomijam świadomie. Nie porównuję kadry, bo z listy nazwisk na stronie nie wynika, kto faktycznie prowadzi laboratoria. Nie przepisuję opinii z forów jako faktów o programie; kilka cytuję osobno, z datą i zastrzeżeniem, że to jedna osoba. Nie podaję progów punktowych jako miary jakości, bo mierzą popyt, nie program.

Kierunki techniczne pierwszego stopnia

Według RAD-on w roku 2026/2027 kierunek inżynierski o nazwie zawierającej „cyberbezpieczeństwo”, przypisany w całości lub w większości do dyscypliny informatyka techniczna i telekomunikacja, prowadzi jedenaście uczelni. Sześć z nich uruchomiło go w 2025 r. lub później.

Dwie uwagi do tej tabeli. Po pierwsze, rok w trzeciej kolumnie to data rozpoczęcia kształcenia w RAD-on; dla Politechniki Lubelskiej wywnioskowałem ją z tabeli opłat, bo uczelnia pisze tylko „nowy kierunek”. Po drugie, udziały liczyłem z nazw przedmiotów, więc przedmiot „Bezpieczeństwo elektromagnetyczne” na Politechnice Wrocławskiej zaliczyłem do bezpieczeństwa, a „Programowanie obiektowe” nie, choć bez tego drugiego nie ma analizy złośliwego oprogramowania.

Najstarszy z tych kierunków, Kryptologia i cyberbezpieczeństwo na WAT, ma najwyraźniejszą konstrukcję „najpierw informatyka, potem bezpieczeństwo”: w kartach przedmiotów dla naboru 2026/2027 pierwszy przedmiot wprost o bezpieczeństwie informacji jest w piątym semestrze, a specjalność (bezpieczeństwo informacyjne, bezpieczeństwo systemów informatycznych, cyberobrona, systemy kryptograficzne) wybiera się po drugim roku. AGH poszła w drugą stronę: w pierwszym semestrze są „Zarządzanie bezpieczeństwem informacji” i „Krajowy system cyberbezpieczeństwa”, w trzecim kryptografia, informatyka śledcza i bezpieczeństwo aplikacji, a w czwartym analiza złośliwego oprogramowania. Politechnika Warszawska ma w planie modelowym sześć obowiązkowych przedmiotów o bezpieczeństwie na 210 ECTS i resztę w obieralnych; to najniższy udział w tej grupie, co jedna z opinii studenckich niżej podnosi jako zarzut, a druga jako zaletę.

Kierunek na Politechnice Poznańskiej jest w drugim roku istnienia. Senat ustalił program uchwałą z 30 kwietnia 2025 r., pierwszy nabór był na rok 2025/2026 (90 miejsc, próg 807,50 pkt), drugi na 2026/2027 (93 miejsca, 860,50 pkt). Plan ma 2835 godzin, w tym 878 laboratoryjnych, czterotygodniową praktykę po szóstym semestrze i trzy profile do wyboru od piątego semestru: bezpieczeństwo sieci teleinformatycznych, bezpieczeństwo przetwarzania danych i bezpieczeństwo komunikacji multimedialnej. Koncepcja kształcenia na stronie wydziału powołuje się na NIS2Dyrektywa NIS2 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r. i na ramy kompetencji NICE. Absolwentów jeszcze nie ma, więc PKA i ELA nic o tym kierunku nie mówią; studia drugiego stopnia z cyberbezpieczeństwa Politechnika Poznańska prowadzi tylko jako specjalność „Cybersecurity” na informatyce.

Politechnika Gdańska kierunku o tej nazwie nie prowadzi, ani pierwszego, ani drugiego stopnia. Podobnie Politechnika Łódzka, Rzeszowska, Opolska, Częstochowska i Świętokrzyska: tam cyberbezpieczeństwo jest ścieżką lub zakresem wewnątrz informatyki.

Kierunki techniczne drugiego stopnia

Studia drugiego stopnia zaczynają się na politechnikach zwykle od semestru letniego, więc nabór trwa w styczniu i lutym. To ma znaczenie dla kogoś, kto skończył inżynierskie z informatyki i chce dołożyć bezpieczeństwo: wszystkie programy z tabeli przyjmują absolwentów innych kierunków technicznych, ale warunki różnic programowych trzeba sprawdzić na stronie wydziału.

Kierunki o bezpieczeństwie, prawie i zarządzaniu

Druga grupa nosi tę samą nazwę, ale RAD-on przypisuje ją do nauk społecznych. Absolwent takiego kierunku zna politykę cyberbezpieczeństwa państwa, prawo i zarządzanie ryzykiem, a nie analizę złośliwego oprogramowania. Dla podmiotu kluczowego to profil bliższy osobie do kontaktu, osobie prowadzącej dokumentację SZBI (systemu zarządzania bezpieczeństwem informacji) albo koordynującej dostawców, niż administratorowi systemów.

Uniwersytet Warszawski zasługuje na osobny akapit, bo często pada jako przykład „cyberbezpieczeństwa na UW”. Kierunek prowadzi Wydział Nauk Politycznych i Studiów Międzynarodowych, tylko na drugim stopniu, 30 miejsc, z egzaminem wstępnym; przyjmuje absolwentów dowolnego kierunku. W planie na 2026/2027 doliczyłem się około 57 ze 120 ECTS na przedmioty wprost o bezpieczeństwie: od polityki cyberbezpieczeństwa w organizacji i zarządzania ryzykiem, przez kryminalistykę cyfrową i normy ciągłości działania, po symulacje cyberataków w ostatnim semestrze. Nie ma w nim ani jednego laboratorium w rozumieniu politechnicznym, jest Python i analiza danych. Wydział Matematyki, Informatyki i Mechaniki UW kierunku ani specjalności z cyberbezpieczeństwa nie ma.

Uczelnie prywatne, o które najczęściej pytają kandydaci (PJATK, WSB Merito, Akademia Leona Koźmińskiego, SWPS, Uczelnia Łazarskiego, WSAiB w Gdyni, Collegium Civitas), nie prowadzą kierunku o tej nazwie w rozumieniu RAD-on. Prowadzą specjalność: w informatyce (PJATK, WSB Merito, SWPS, SAN, Akademia WSB), w bezpieczeństwie wewnętrznym (WSAiB: „Zwalczanie cyberprzestępczości” na licencjacie i „Zarządzanie cyberbezpieczeństwem” na magisterskich; WSB Merito w Gdańsku i we Wrocławiu) albo w zarządzaniu (WIT). Warto o tym wiedzieć przy czytaniu CV, bo na dyplomie będzie „informatyka” albo „bezpieczeństwo wewnętrzne”, a specjalność trafia do suplementu.

Co mówią rejestry PKA i ELA?

PKA oceniła dotąd dwa kierunki z tej listy, oba pozytywnie: Kryptologię i cyberbezpieczeństwo na WAT (uchwała nr 143/2022 z 10 marca 2022 r., następna ocena w roku akademickim 2027/2028) oraz Cyberbezpieczeństwo na Politechnice Warszawskiej, pierwszego i drugiego stopnia (uchwała nr 753/2025 z 18 września 2025 r., następna ocena w roku 2030/2031). Raport z wizytacji na PW w kwietniu 2025 r. podaje 183 studentów na pierwszym stopniu i 32 na drugim; wszystkie kryteria uznano za spełnione. Żaden inny kierunek z „cyberbezpieczeństwem” w nazwie nie był oceniany i żaden nie jest na listach wyznaczonych do oceny na rok 2026/2027, które przejrzałem. Brak oceny nie jest oceną negatywną: PKA przychodzi po pierwszych absolwentach.

ELA zbiera dane o zarobkach i zatrudnieniu absolwentów na podstawie ZUS. Dla kierunków, które mają już absolwentów, wygląda to tak (studia stacjonarne, absolwenci z 2024 r., mediana średnich miesięcznych zarobków brutto ze wszystkich źródeł w pierwszym roku po dyplomie):

Dla porównania ELA podaje przy tych rekordach wartość dla dziedziny nauk inżynieryjno-technicznych: 5 999,41 zł po pierwszym stopniu i 6 919,17 zł po drugim. Liczby czytam ostrożnie, z trzech powodów. Grupy są małe (12 absolwentów drugiego stopnia na PW). Mediana po pierwszym stopniu zależy od tego, ilu absolwentów pracuje na pełny etat, a ilu kontynuuje studia, czego ELA tu nie rozdziela. I rok 2024 to pierwszy rocznik po pandemicznym naborze, więc jeden punkt nie robi trendu; na Politechnice Wrocławskiej mediana po pierwszym stopniu spadła z 7 192,86 zł dla rocznika 2022 do 5 450,17 zł dla rocznika 2024. Dla kierunków uruchomionych od 2022 r., w tym UW, UKEN, Politechniki Poznańskiej i wszystkich nowych politechnik, ELA nie ma jeszcze żadnych danych.

Ranking Perspektyw nie ma kategorii dla cyberbezpieczeństwa; najbliższe są „Informatyka (mgr inż.)”, gdzie w 2026 r. pierwsze pięć miejsc zajęły PW, AGH, Politechnika Śląska, Politechnika Wrocławska i Politechnika Gdańska, oraz „Kierunki o bezpieczeństwie” z UW i UJ na czele. Czy kierunki cyberbezpieczeństwo wchodzą do tych grup, metodologia rankingu nie mówi.

Co mówią studenci?

Publicznych, datowanych opinii absolwentów jest zaskakująco mało. Dla AGH, WAT, Politechniki Gdańskiej, Poznańskiej i UW nie znalazłem ani jednej wypowiedzi osoby, która pisze, że tam studiowała i mówi coś sprawdzalnego o programie. Strony kierunków w serwisie otouczelnie.pl dla AGH i WAT nie mają żadnego komentarza. To, co jest, pochodzi głównie z Politechniki Wrocławskiej i dotyczy planów studiów z lat 2017 do 2024; każda z tych wypowiedzi to jedna anonimowa osoba.

Studentka pierwszego rocznika na PWr pisała w czerwcu 2018 r. na forum.pasja-informatyki.pl, że „pierwszy rok to była głównie matematyka i elementy programowania”. Student drugiego rocznika w maju 2020 r., w tym samym wątku: „Na 4 semestrze zaczyna się dziać lepiej (ale dalej nie idealnie) bo poznaje się aspekty związane z sieciami i podstawami bezpieczeństwa” i polecał koło naukowe White Hats, „bo oni nauczą was o co chodzi w cybersecurity szybciej niż ktokolwiek na tej uczelni”. Absolwent w maju 2023 r. na biologhelp.pl: „Jeśli interesuje Cię ukierunkowana wiedza z cbe to możesz być mocno zawiedziony. Jest bardzo dużo nieprzydatnych zajęć”, a mimo to „to dobry start”. Student pierwszego roku w styczniu 2024 r., w tym samym serwisie: „Jest styczeń, 38 osób zrezygnowało, drugie tyle nie zaliczyło kolokwium z analizy lub algebry”. Obecny plan PWr ma „Podstawy cyberbezpieczeństwa” już w pierwszym semestrze, więc część tych uwag dotyczy programu, którego już nie ma.

O Politechnice Warszawskiej są dwie niedatowane wypowiedzi na otouczelnie.pl, obie od osób podających się za studentów i sprzeczne ze sobą. Pierwsza porównuje plan z AGH, gdzie według autora jest ponad 20 przedmiotów z cyberbezpieczeństwa, „a tu realnie z 7”. Druga: studia „są bardzo bardzo szeroką i zwykle również głęboką bazą wiedzy z całej dziedziny IT”, a cyber „jest nakładką na ogólną wiedze IT”, co autor uznaje za zaletę; pisze też, że pracę pentestera znalazł na drugim roku. Obie wypowiedzi opisują tę samą cechę planu, którą widać w tabeli wyżej: niski udział obowiązkowych przedmiotów o bezpieczeństwie.

Jedna opinia dotyczy specjalności, nie kierunku, ale pokazuje, o co pytać uczelnię prywatną. W marcu 2025 r. na opinieouczelniach.pl osoba studiująca cyberbezpieczeństwo na magisterskiej informatyce w WSB Merito we Wrocławiu napisała, że poziom zajęć z bezpieczeństwa „jest na poziomie liceum”. Uczelnia odpowiedziała publicznie, że „właściwe przedmioty na specjalności Cyberbezpieczeństwo rozpoczynają się od trzeciego semestru”, czyli w ostatnim semestrze trzysemestralnych studiów.

Z wątków na forach z lat 2017 do 2025 powtarzają się trzy rzeczy, które mówią osoby z branży, nie studenci: że pierwsze dwa lata to zwykła informatyka i matematyka, że cyberbezpieczeństwo nie jest pracą dla osoby bez doświadczenia („nikt nie będzie szukał juniorów bez doświadczenia”) i że lepiej skończyć informatykę, a bezpieczeństwo dołożyć na drugim stopniu lub podyplomowych. Z planów studiów wynika, że pierwsza z tych uwag jest dziś prawdziwa dla WAT i w mniejszym stopniu dla PW, a nieprawdziwa dla AGH, PWr i nowych politechnik, które bezpieczeństwo zaczynają w pierwszym semestrze.

Studia podyplomowe: cztery grupy

Dla czytelnika tej strony, czyli osoby, która w środku kariery dostała zadania z art. 8, studia podyplomowe są bliżej niż drugi licencjat. Znalazłem na stronach uczelni blisko 50 programów podyplomowych z cyberbezpieczeństwem lub bezpieczeństwem informacji w nazwie na rok 2026/2027. Dzielę je na cztery grupy, bo pod podobnymi nazwami kryją się różne treści. Godziny i ceny są ze stron uczelni z 30 października 2026 r. i dotyczą edycji 2026/2027, chyba że zaznaczam inaczej. „Ustawa o KSC w planie” znaczy, że ustawa lub NIS2 są wymienione z nazwy w programie, a nie tylko w opisie marketingowym.

Grupa pierwsza, techniczna, dla kogoś, kto ma administrować, testować lub analizować:

Program PW wymaga dyplomu studiów technicznych lub ścisłych; AGH pisze wprost, że wykształcenie informatyczne nie jest wymagane. Politechnika Poznańska prowadzi w tej grupie tylko bezpłatne, finansowane przez MEN studia „Cyberbezpieczeństwo dla nauczycieli” (534 godziny, trzy semestry), które przygotowują do nauczania kwalifikacji technika cyberbezpieczeństwa, nie do pracy w podmiocie.

Grupa druga, zarządcza, dla osoby, która ma prowadzić SZBI, rozmawiać z zarządem i z dostawcami:

Grupa trzecia, prawno-administracyjna, pisana wprost pod ustawę o KSC i NIS2:

Program poznański jest adresowany, jak pisze uczelnia, do „osób zamierzających wykonywać funkcję pełnomocnika ds. cyberbezpieczeństwa”, i kończy się certyfikatem Polskiego Instytutu Kontroli Wewnętrznej o tej nazwie. Przypominam, że ustawa o KSC takiej funkcji nie zna; certyfikat potwierdza ukończenie studiów, nie nadaje uprawnień. Program UW z Wydziału Prawa jest pisany dla prawników i doradców pod DORA, NIS2 i ustawę o KSC, z postępowaniem administracyjnym w tych reżimach; to jedyny program z listy, który uczy, jak wygląda nadzór od strony organu.

Podyplomowe a audyt z art. 15

Czwarta grupa jest najmniejsza i jedyna, w której dyplom ma skutek ustawowy. Trzy uczelnie powołują się w ofercie na art. 15 ust. 2 pkt 2 lit. c ustawy o KSC:

Trzy rzeczy warto przy tym sprawdzić samemu, bo oferta ich nie załatwia. Po pierwsze, dyplom to połowa warunku: lit. c wymaga jeszcze co najmniej dwuletniej praktyki w audycie bezpieczeństwa systemów informacyjnych, a art. 15 ust. 3 mówi, co się za nią uważa (trzy udokumentowane audyty w ostatnich trzech latach albo audytowanie na co najmniej pół etatu). Po drugie, dyplom ma wydać jednostka, która w dniu wydania miała uprawnienie do nadawania stopnia doktora nauk ekonomicznych, technicznych lub prawnych; uniwersytety ekonomiczne je mają, przy uczelni zawodowej trzeba to sprawdzić w RAD-on. Po trzecie, poznańska oferta mówi o „operatorach usług kluczowych”, czyli pojęciem sprzed nowelizacji; treść przepisu po nowelizacji jest ta, którą zacytowałem wyżej.

Osobna sprawa to certyfikaty. Kilka programów z grupy drugiej i trzeciej (UEK, UE Katowice, ALK, Politechnika Rzeszowska, Akademia WSB, Sopocka, UEP) oferuje za dopłatą egzamin na audytora wiodącego SZBI według ISO/IEC 27001 w TÜV NORD lub DEKRA i pisze, że certyfikat „uprawnia do przeprowadzania audytów w rozumieniu art. 15”. To osobna droga, z lit. a: wykaz certyfikatów z rozporządzenia, który ministerstwo powtarza w FAQ 9.3, wymienia między innymi CISA, CISM, CISSP i certyfikat audytora wiodącego SZBI według PN-EN ISO/IEC 27001 wydany przez akredytowaną jednostkę certyfikującą osoby. Ta droga nie wymaga praktyki ani studiów, wymaga zdanego egzaminu w jednostce z akredytacją na certyfikację osób. Czy TÜV NORD Polska i DEKRA taką akredytację mają, sprawdź w wykazie Polskiego Centrum Akredytacji przed zapisem, nie po.

Niezależnie od drogi, audytu nie może przeprowadzić osoba, która w audytowanym podmiocie realizuje zadania z art. 8 lub art. 9 do 13 albo realizowała je w roku przed audytem (art. 15 ust. 2a). Studia podyplomowe z audytu pozwolą więc pełnomocnikowi audytować inne podmioty, a nie własny.

Co z tego dla kierownika podmiotu?

Gdy czytasz CV, nazwa kierunku mówi mniej niż dyscyplina i rok naboru. „Cyberbezpieczeństwo” z politechniki po 2017 r. to inżynier, który miał kryptografię, bezpieczeństwo sieci i systemów, informatykę śledczą i testy penetracyjne; różnice między uczelniami dotyczą tego, czy bezpieczeństwo zaczęło się w pierwszym, czy w czwartym semestrze, i ile było laboratoriów. „Cyberbezpieczeństwo” z UW, ASzWoj, Akademii Policji lub uczelni prywatnej to magister lub licencjat nauk o bezpieczeństwie albo prawa, który zna politykę państwa, przepisy i zarządzanie ryzykiem, a systemów nie administrował. Oba profile są podmiotowi potrzebne, ale na różnych stanowiskach, i nie ma sensu oczekiwać od pierwszego, że napisze politykę bezpieczeństwa zgodną z art. 8 ust. 1 pkt 2 lit. a, ani od drugiego, że przeanalizuje złośliwe oprogramowanie. Jeśli chcesz wiedzieć, czego kandydat naprawdę się uczył, poproś o suplement do dyplomu: tam są nazwy przedmiotów i godziny.

Gdy sam zastanawiasz się nad podyplomowymi, zacznij od pytania, do czego mają służyć. Jeśli do audytu z art. 15, lista jest krótka i opisana wyżej, a praktykę trzeba zbierać równolegle. Jeśli do prowadzenia SZBI w podmiocie, który już jest w wykazie, to programy z grupy drugiej i trzeciej różnią się głównie tym, czy ustawa o KSC jest w planie z nazwy i z godzinami, czy tylko w opisie; w tabelach zaznaczyłem, gdzie jest. Jeśli po to, by rozumieć, co robią administratorzy i dostawca usług zarządzanych, grupa pierwsza daje więcej, ale część programów wymaga dyplomu technicznego. W każdym przypadku przeczytaj plan godzinowy, nie opis: dwa programy z tą samą nazwą i tą samą ceną mogą mieć 20 godzin prawa i 140 godzin laboratoriów albo odwrotnie.

Ten tekst opisuje rok akademicki 2026/2027 i będę go odświeżać przed każdą rekrutacją, bo opłaty i plany studiów starzeją się najszybciej. Jeśli jesteś absolwentem lub absolwentką jednego z tych kierunków i chcesz opowiedzieć, jak wyglądał program naprawdę, napisz; cytuję tylko za zgodą i z podaniem roku studiów.

Pojęcia w tym tekście (12)

Kierownik podmiotu

Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.

Ustawa o KSC

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.

Osoba do kontaktu

Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.

Podmiot kluczowy

Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.

Audyt bezpieczeństwa

Sprawdzenie, czy system informacyjny używany do świadczenia usługi spełnia wymagania ustawy o KSC. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na trzy lata.

Dyrektywa NIS2

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.

Centrum operacji bezpieczeństwa

Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.

Ciągłość działania

Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.

Zarządzanie ryzykiem

To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie.

System zarządzania bezpieczeństwem informacji

Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.

Pełnomocnik ds. cyberbezpieczeństwa

Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Najczęściej zadawane pytania

Czy osoba realizująca zadania z art. 8 ustawy o KSC musi mieć studia z cyberbezpieczeństwa?

Nie. Ustawa o KSC nie stawia tej osobie warunku wykształcenia. Wprost wymaga tylko informacji z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1), a o osobie do kontaktu ministerstwo pisze w FAQ 3.18, że „nie jest wymagane określone wykształcenie, w tym związane z cyberbezpieczeństwem”.

Czy studia podyplomowe z cyberbezpieczeństwa dają uprawnienia audytora z ustawy o KSC?

Tylko studia podyplomowe „w zakresie audytu bezpieczeństwa systemów informacyjnych” i tylko razem z co najmniej dwuletnią praktyką audytorską (art. 15 ust. 2 pkt 2 lit. c ustawy o KSC). Dyplom musi wydać jednostka uprawniona do nadawania stopnia doktora nauk ekonomicznych, technicznych lub prawnych. Studia o innym zakresie, na przykład ogólne „zarządzanie cyberbezpieczeństwem”, moim zdaniem tego warunku nie spełniają.

Czy kierownik podmiotu musi skończyć studia z cyberbezpieczeństwa?

Nie. Art. 8e ust. 1 ustawy o KSC nakazuje kierownikowi podmiotu kluczowego lub ważnego raz w roku kalendarzowym przejść szkolenie, a jego zakres określa ust. 2. Udział w szkoleniu ma być udokumentowany (ust. 3). O studiach ustawa nie wspomina.

Źródła

1. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst jednolity Dz.U. 2026 poz. 20, ze zmianami
2. Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, aktualizacja z października 2026 r. (pkt 3.18, 3.46, 9.2 i 9.3)
3. RAD-on, dane otwarte systemu POL-on, zbiór „kierunki studiów” (odczyt 30 października 2026 r.)
4. Polska Komisja Akredytacyjna, baza uczelni, jednostek i kierunków ocenionych
5. Polska Komisja Akredytacyjna, uchwała nr 753/2025 Prezydium PKA z dnia 18 września 2025 r. (cyberbezpieczeństwo, Politechnika Warszawska)
6. Polska Komisja Akredytacyjna, uchwała nr 143/2022 Prezydium PKA z dnia 10 marca 2022 r. (kryptologia i cyberbezpieczeństwo, WAT)
7. ELA, Ogólnopolski system monitorowania Ekonomicznych Losów Absolwentów szkół wyższych (dane o absolwentach z 2024 r.)
8. Ministerstwo Nauki i Szkolnictwa Wyższego, informacja o wynikach rekrutacji na studia na rok akademicki 2025/2026 (14 listopada 2025 r.)
9. Politechnika Poznańska, progi punktowe 2022 do 2026 (PDF)
10. Politechnika Poznańska, harmonogram realizacji programu studiów, kierunek cyberbezpieczeństwo, I stopnia (PDF)
11. Politechnika Warszawska, najpopularniejsze kierunki studiów w rekrutacji 2026
12. AGH, WIEiT, „Cyberbezpieczeństwo liderem rekrutacji na AGH” (14 lipca 2026 r.)
13. Uniwersytet Ekonomiczny w Poznaniu, studia podyplomowe „Audyt bezpieczeństwa systemów informacyjnych”
14. Uniwersytet Ekonomiczny we Wrocławiu, studia podyplomowe „Audyt bezpieczeństwa systemów informatycznych”

Stan prawny sprawdzony: 31.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).

Powiązane artykuły

• 14.10.202610 min czytania

  Kto w firmie tłumaczy cyberbezpieczeństwo z języka IT na język zarządu?

  Aktualizacje, ochrona komputerów i wymiana sprzętu brzmią jak sprawy działu IT. Jak pełnomocnik ds. cyberbezpieczeństwa zamienia je w decyzje zarządu.

• 08.10.20266 min czytania

  Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?

  Nie wymaga. Ustawa o KSC nakazuje kierownikowi przydzielić zadania i nadzorować ich wykonanie, a podmiotowi powołać struktury albo zawrzeć umowę.

• 23.09.20265 min czytania

  Co kierownik podmiotu może powierzyć pełnomocnikowi, a co zostaje przy nim?

  Ustawa o KSC pozwala powierzyć zadania z cyberbezpieczeństwa innej osobie, ale nie odpowiedzialność. Co kierownik robi sam, co można zlecić i jak to zapisać.