In Polen läuft am 3. Oktober 2026 die erste Frist der NIS2-Umsetzung ab. Bis dahin müssen wesentliche und wichtige Einrichtungen (podmioty kluczowe und podmioty ważne) den Antrag auf Eintragung in das Verzeichnis der wesentlichen und wichtigen Einrichtungen (Wykaz podmiotów kluczowych i podmiotów ważnych) stellen.
Die Rechtsgrundlage
Grundlage ist die Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC-Gesetz) vom 23. Januar 2026, veröffentlicht im Gesetzblatt unter Dz.U. 2026 Pos. 252. Sie ist am 3. April 2026 in Kraft getreten. Der Staatspräsident hat das Gesetz im Februar 2026 unterzeichnet und es zugleich dem Verfassungsgericht zur nachträglichen Prüfung vorgelegt; das hindert das Inkrafttreten nicht. Die bisherigen Kategorien der Betreiber wesentlicher Dienste und Anbieter digitaler Dienste werden durch die Unterscheidung in wesentliche und wichtige Einrichtungen ersetzt.
So läuft die Eintragung
- Einrichtungen prüfen selbst, ob sie die Kriterien erfüllen – es gibt keine behördliche Einzelbenachrichtigung, auf die man warten könnte.
- Der Antrag wird elektronisch über das System S46 gestellt; das Modul ist unter wykaz-ksc.gov.pl erreichbar.
- Antragsteller ist die Leitung der Einrichtung oder eine von ihr bevollmächtigte Person.
Die Fristen nach dem Inkrafttreten
- 3. Oktober 2026 (sechs Monate): Antrag auf Eintragung ins Verzeichnis
- 3. April 2027 (zwölf Monate): Umsetzung der Pflichten, darunter Informationssicherheitsmanagement, technische und organisatorische Maßnahmen sowie benannte und geschulte Verantwortliche
In früheren Beiträgen hatten wir – gestützt auf damals verfügbare Angaben – andere Daten für Inkrafttreten und Registrierung genannt. Maßgeblich sind die hier genannten, die sich aus dem veröffentlichten Gesetzestext ergeben.
Was das für Unternehmen bedeutet
- Polnische Tochtergesellschaften deutscher Unternehmen sollten ihre Betroffenheit jetzt abschließend prüfen und den Antrag vor dem 3. Oktober stellen.
- Die BSI-Registrierung in Deutschland ersetzt die polnische Eintragung nicht.
- Für die Maßnahmen bleibt bis April 2027 Zeit – wer nach BSIG bereits aufgestellt ist, kann Dokumentation und Prozesse weitgehend übertragen.