Polen hat die NIS2-Richtlinie mit einer Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC-Gesetz) umgesetzt. Das Änderungsgesetz wurde unterzeichnet und trat am 8. April 2026 in Kraft – mit deutlicher Verzögerung gegenüber der EU-Frist Oktober 2024.
Als nationale Behörden wurden CERT Polska (für zivile Einrichtungen) und CSIRT GOV (für staatliche Stellen und kritische Infrastruktur) bestätigt. Betroffene Einrichtungen haben bis zum 8. Oktober 2026 Zeit, die Anforderungen zu erfüllen.
Wer ist betroffen?
Das KSC-Gesetz erfasst Einrichtungen in 18 Sektoren entsprechend der EU-NIS2-Baseline: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Wasser, digitale Infrastruktur, IKT-Dienstleistungen, öffentliche Verwaltung und Weltraum sowie mehrere „wichtige" Sektoren. Die Größenschwellen folgen der EU-Richtlinie (ab 50 Mitarbeiter oder mehr als 10 Mio. EUR Umsatz). Polen geht von rund 4.500 betroffenen Einrichtungen aus.
Registrierungspflicht und Behörden
Betroffene Einrichtungen müssen sich bis spätestens 8. Oktober 2026 beim zuständigen sektoralen Regulierer registrieren. Die Registrierung erfolgt über das zentrale KSC-Portal; CERT Polska stellt Leitfäden bereit. Versäumnisse werden mit Bußgeldern von bis zu 10 Mio. EUR sanktioniert.
Konkrete Anforderungen im Überblick
- Risikomanagement: Dokumentierte Risikoanalyse und verhältnismäßige technische und organisatorische Sicherheitsmaßnahmen.
- Vorfallsmeldung: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht nach 30 Tagen.
- Business Continuity: Notfallpläne und Backup-Konzepte für kritische Systeme.
- Lieferkettensicherheit: Sicherheitsbewertung von IKT-Lieferanten und Dienstleistern.
- Management-Verantwortung: Geschäftsführung haftet persönlich; NIS2-Schulungen für Leitungsorgane sind verpflichtend.
Handlungsempfehlungen für die 6-Monats-Frist
Das Zeitfenster bis Oktober 2026 ist eng. CERT Polska empfiehlt folgende Reihenfolge:
- Betroffenheitsprüfung und Registrierung möglichst bis August 2026 abschließen.
- Gap Analysis gegenüber den NIS2-Anforderungen durchführen.
- Risikomanagement-Dokumentation erstellen oder aktualisieren.
- Incident-Response-Prozesse testen und Meldepfad zu CERT Polska einrichten.
- Lieferantenverträge auf NIS2-konforme Sicherheitsklauseln prüfen und anpassen.
Unternehmen mit ISO 27001-Zertifizierung haben eine solide Ausgangsbasis, müssen aber speziell die Vorfallmeldepflichten und Governance-Anforderungen nach NIS2 ergänzen.