Der polnische Sejm hat am 18. Juli 2026 die Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC – Ustawa o Krajowym Systemie Cyberbezpieczeństwa) verabschiedet. Das Gesetz setzt die NIS2-Richtlinie in polnisches Recht um und tritt am 1. September 2026 in Kraft. Polen gehört damit zu den letzten EU-Mitgliedstaaten, die die Umsetzung abgeschlossen haben – eineinhalb Jahre nach der ursprünglichen Frist vom Oktober 2024.
Wer ist betroffen?
Die KSC-Novelle erfasst nach ersten Schätzungen des Ministeriums für Digitales rund 3.200 polnische Einrichtungen als wesentliche oder wichtige Einrichtungen. Polen hat dabei den Anwendungsbereich der Richtlinie in zwei Punkten ausgeweitet:
- E-Commerce über 50 Mio. PLN Jahresumsatz: Online-Händler, die diesen Schwellenwert überschreiten, fallen als wichtige Einrichtungen unter das Gesetz – eine nationale Erweiterung, die im NIS2-Minimum nicht vorgesehen ist.
- Polnische Medienunternehmen mit nationaler Reichweite: Fernsehsender und Nachrichtenportale oberhalb bestimmter Schwellenwerte werden als wichtige Einrichtungen klassifiziert.
Registrierungspflicht und Fristen
Betroffene Einrichtungen müssen sich bis zum 1. Oktober 2026 beim CSIRT GOV (Komendant Główny Policji) registrieren. Die Registrierung erfolgt über das nationale Cybersicherheitsportal. Derzeit läuft die Einstufungsphase: Einrichtungen prüfen selbst, ob sie unter das Gesetz fallen, und melden dies dem zuständigen Sektorregulator.
Bußgeldrahmen
Die KSC-Novelle setzt die NIS2-Bußgeldobergrenzen in polnisches Recht um: bis zu 10 Millionen PLN (rund 2,3 Millionen Euro) für wesentliche Einrichtungen bei Verstößen gegen die Sicherheitspflichten. Zusätzlich können Geschäftsführer persönlich mit bis zu 500.000 PLN bestraft werden, wenn Audit-Pflichten nicht erfüllt werden.
Kontext: NIS2-Umsetzung in der EU
Mit Polen haben nun 25 der 27 EU-Mitgliedstaaten die NIS2-Richtlinie vollständig umgesetzt. Lediglich Bulgarien und Zypern haben noch keine abschließenden Umsetzungsgesetze verabschiedet. Die Europäische Kommission hat gegen beide Staaten bereits Vertragsverläufungsverfahren eingeleitet.
Für polnische Einrichtungen, die den schnellsten Überblick über ihre Betroffenheit und die notwendigen Maßnahmen suchen, steht der kostenlose NIS2-Check zur Verfügung. Alle Compliance-Vorlagen sind unter nis2have.eu/templates abrufbar.