Nauczycielka dostaje mail z tematem „Awaria systemu Librus, zaloguj się i zweryfikuj konto”. Klika, wpisuje hasło. To samo hasło, którego używa do poczty szkolnej i do dziennika elektronicznego. Trzy dni później rodzic dzwoni do sekretariatu z pytaniem, dlaczego jego dziecko dostało wiadomość od nieznanego nadawcy przez komunikator w dzienniku.

Taki scenariusz nie wymaga zaawansowanego ataku. Wymaga jednego kliknięcia i braku nawyku sprawdzania adresu nadawcy. W szkole, gdzie w dzienniku elektronicznym leżą dane uczniów, rodziców i nauczycieli, jedno przejęte konto otwiera dostęp do wszystkich trzech grup naraz.

Co faktycznie sprawdza kuratorium i UODO

Kontrola nie pyta, czy szkoła ma antywirusa. Pyta o dokumenty i procedury.

Czy istnieje rejestr czynności przetwarzania danych uczniów i pracowników. Czy jest spisana procedura postępowania na wypadek incydentu, na przykład wycieku z dziennika elektronicznego albo zgubionego pendrive’a z ocenami. Czy pracownicy administracyjni i nauczyciele przeszli jakiekolwiek szkolenie z ochrony danych, i czy da się to wykazać dokumentem, nie tylko ustnym zapewnieniem dyrektora.

Brak tych trzech rzeczy nie jest wymysłem kontrolera. Wynika wprost z obowiązków, jakie ustawa o krajowym systemie cyberbezpieczeństwa i przepisy o ochronie danych nakładają na placówki oświatowe tak samo jak na firmy.

Gdzie dyrektorzy najczęściej się potykają

Z rozmów z placówkami wracają te same trzy problemy. Kadra nie wie, że kliknięcie w link z fałszywego powiadomienia dziennika to już incydent, który trzeba zgłosić, nie wstydliwie przemilczeć. Hasła do systemów szkolnych są zapisane na kartce przy komputerze w sekretariacie, bo nikt nie ustalił zasady ich przechowywania. Dokumentacja RODO powstała raz, przy wdrożeniu przepisów kilka lat temu, i nikt jej nie aktualizował, mimo że zmieniły się systemy i dostawcy.

Żaden z tych problemów nie wymaga budżetu na dział IT. Wymaga jednego uporządkowanego programu dla całej kadry i jasnej instrukcji, co robić w konkretnej sytuacji.

Co z tym zrobić przed tym rokiem szkolnym

Przygotowaliśmy kurs online „Cyberbezpieczeństwo w Edukacji dla Dyrektora Szkoły 2025/2026”, zbudowany wokół realiów placówki oświatowej, nie ogólnikowych porad o cyberbezpieczeństwie. Uczy rozpoznawania phishingu dopasowanego do szkolnych systemów, pokazuje, jak wygląda poprawna procedura zgłaszania incydentu, i tłumaczy, czego dokładnie oczekuje kontrola.

Certyfikat dostaje się za wykonanie zadań, nie za obejrzenie nagrań. Dostęp jest bezterminowy, kurs kupuje się raz, za 197 zł netto.

Zobacz program kursu i zapisz się

Stan prawny sprawdzony na wrzesień 2026 r. Treść ma charakter informacyjny i nie stanowi porady prawnej.