NIS2 in Polen: Eintrag ins KSC-Verzeichnis bis zum 3. Oktober
Polen hat NIS2 mit der Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC-Gesetz) umgesetzt, und die erste harte Frist rückt näher: Wesentliche und wichtige Einrichtungen müssen bis zum 3. Oktober 2026 im KSC-Verzeichnis (Wykaz) stehen. Der erste Test ist die Selbsteinstufung. Viele erfasste Unternehmen, darunter polnische Töchter ausländischer Gruppen, wissen noch nicht, dass sie als „wichtige Einrichtung” gelten.
„Sind wir überhaupt eine wichtige Einrichtung?”
Dienstag, 9:10 Uhr. Der CFO der polnischen Tochter öffnet eine E-Mail der Compliance-Leiterin der Gruppe in München: „Bitte bestätigen Sie bis Freitag, ob die polnische Gesellschaft unter die lokale NIS2-Umsetzung fällt und ob sie registriert ist.” Die Antwort „vermutlich betrifft uns das nicht” trägt nicht, weil die Gruppe den Status jeder Tochter berichtet.
Das Gesetz folgt der Logik der Selbsteinstufung: Die Einrichtung stellt selbst fest, dass sie erfasst ist, und meldet sich selbst zum Verzeichnis. Der Anwendungsbereich folgt den Sektoren der NIS2-Anhänge. Neben Energie, Verkehr und Gesundheit stehen dort unter anderem die Verwaltung von IKT-Diensten, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel sowie die Herstellung von Elektronik, Maschinen und Fahrzeugen. Die Schwelle liegt in der Regel bei mindestens einem mittleren Unternehmen im Sinne des EU-Rechts, also ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz; einige Einrichtungen fallen unabhängig von der Größe darunter. Ein mittelgroßer IT-Dienstleister, ein Logistiker oder ein Produktionswerk ohne jeden Kontakt zur Cyberaufsicht ist oft erfasst und ahnt es nicht.
Drei Termine für den Kalender der Geschäftsleitung
Der auf gov.pl veröffentlichte Zeitplan ist kurz:
- 3. Oktober 2026: Eintrag in das KSC-Verzeichnis.
- 3. April 2027: umgesetzte Pflichten, darunter ein Informationssicherheits-Managementsystem (ISMS), Vorfallmeldungen und benannte verantwortliche Personen, dazu die Anbindung an das System S46.
- 3. April 2028: erstes obligatorisches Cybersicherheits-Audit, danach mindestens alle drei Jahre.
Für den Eintrag selbst genügen Identifikationsdaten, Sektorzuordnung und Kontaktdaten. Schwieriger ist die Einstufungsentscheidung dahinter, und diese Analyse gehört in den August und September, mit Reserve für Grenzfälle.
Die Falle „im März schaffen wir das”
Der verlockende Plan: im Oktober eintragen, über den Winter ruhen lassen, im ersten Quartal 2027 die Dokumentation durchziehen. Dieser Plan scheitert 2028. Der Prüfer fragt nach einem Jahr gelebtem System: durchgeführte Risikoanalysen, behandelte und gemeldete Vorfälle, Überprüfungen, Entscheidungen der verantwortlichen Personen. Ein in letzter Minute eingeführtes ISMS hält die Frist des 3. April 2027 formal ein und liefert trotzdem keine Nachweise, die ein Jahr später bestehen.
Was wir jetzt empfehlen
Für die nächsten zwei Wochen:
- Ordnen Sie die Tätigkeit der Gesellschaft den Sektoren der NIS2-Anhänge und den Größenschwellen zu; halten Sie das Ergebnis schriftlich fest: erfasst, nicht erfasst oder Grenzfall zur rechtlichen Prüfung.
- Wenn Sie erfasst sind: Benennen Sie einen Verantwortlichen, stellen Sie die Registrierungsdaten zusammen und planen Sie die Meldung für September, mit Puffer für Rückfragen.
- Tragen Sie die drei Termine in den Kalender der Geschäftsleitung ein und behandeln Sie sie in der nächsten Sitzung samt ISMS-Budget für 2027.
- Planen Sie vom Audit rückwärts: Legen Sie fest, was ab April 2027 laufen muss, damit die Prüfung 2028 ein Jahr an Nachweisen vorfindet.
- In der Gruppe: Erstellen Sie eine konsolidierte Antwort für die Zentrale mit dem Status jeder polnischen Gesellschaft.
Quellen: gov.pl: KSC-Novelle (Pflichten wesentlicher und wichtiger Einrichtungen)