NIS2 in Polen: Nationale Umsetzung (KSC), zuständige Behörden und Pflichten

Polen gehört zu den bedeutendsten Handels- und Investitionspartnern Deutschlands — laut AHK Polen sind rund 6.000 deutsche Unternehmen im Land aktiv, und mit einem Warenverkehr von rund 180 Milliarden Euro war Polen 2025 Deutschlands fünftgrößter Handelspartner (Destatis). Als EU-Mitgliedstaat unterliegt Polen vollständig der NIS-2-Richtlinie (EU) 2022/2555. Nationaler Rechtsrahmen ist das Ustawa o krajowym systemie cyberbezpieczeństwa — das KSC-Gesetz (Gesetz über das Nationale Cybersicherheitssystem), ursprünglich 2018 zur Umsetzung der ersten NIS-Richtlinie erlassen. Für NIS2 wurde das Gesetz durch das Änderungsgesetz vom 23. Januar 2026 (Dz.U. 2026 poz. 252) umfassend novelliert – die KSC-Novelle ist seit dem 3. April 2026 in Kraft. Was die NIS2-Richtlinie auf europäischer Ebene fordert, beschreibt der Leitfaden zu den NIS2-Grundlagen.

Polens Rolle in der europäischen Cybersicherheitsarchitektur

Polen ist aktives Mitglied der NIS-Kooperationsgruppe, des europäischen CSIRT-Netzwerks und der EU-CyCLONe-Gruppe für das Management großflächiger Vorfälle. Das Land hat in den letzten Jahren erheblich in Cyberabwehr investiert. Diese geopolitische und institutionelle Bedeutung macht die polnische NIS2-Umsetzung besonders relevant für Unternehmen, die kritische Lieferketten durch Polen führen.

Auf regulatorischer Ebene setzt Polen auf ein dezentrales Mehrebenenmodell: Anders als Deutschland mit dem BSI als zentraler NCA gibt es in Polen keine einzige Aufsichtsbehörde — stattdessen teilen sich sektorale Behörden (organy właściwe), nationale CSIRTs und der Minister für Digitalisierung die Zuständigkeit. Welche Einrichtungen generell in den Anwendungsbereich der NIS-2-Richtlinie fallen, beschreibt der Leitfaden zum NIS2-Anwendungsbereich detailliert.

Das KSC-Gesetz: Polens nationaler Cybersicherheitsrahmen

Das Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560) trat am 28. August 2018 in Kraft und setzte die NIS-1-Richtlinie (2016/1148/EU) in polnisches Recht um. Es definierte:

• Betreiber wesentlicher Dienste (operatorzy usług kluczowych, OUK) in sieben Sektoren (Energie, Transport, Banken, Finanzmarkt, Gesundheit, Wasser, digitale Infrastruktur)
• Digitale Diensteanbieter (dostawcy usług cyfrowych, DUC): Cloud-Dienste, Online-Marktplätze, Suchmaschinen
• Drei nationale CSIRTs (GOV, MON, NASK) mit abgegrenzten Zuständigkeiten
• Meldepflichten bei erheblichen Vorfällen gegenüber dem jeweils zuständigen CSIRT
• Sicherheitsmaßnahmen auf Basis einer Risikoanalyse

Das bisherige KSC-System beruhte auf einem Ausweisungsverfahren: Die zuständigen Sektorbehörden (organy właściwe) identifizierten und ernannten Betreiber wesentlicher Dienste durch Verwaltungsentscheid. Für NIS2 war ein Paradigmenwechsel nötig: Weg vom behördlichen Ausweisungsbescheid, hin zur Selbsteinstufung und -registrierung durch die Unternehmen selbst — ähnlich wie in Deutschland.

KSC-Novelle (Dz.U. 2026 poz. 252): Umsetzung der NIS-2-Richtlinie

Die Umsetzungsfrist der NIS-2-Richtlinie lief am 17. Oktober 2024 ab. Polen hat diese Frist — wie die Mehrzahl der Mitgliedstaaten — verpasst; die Europäische Kommission richtete am 28. November 2024 ein Aufforderungsschreiben und am 7. Mai 2025 eine mit Gründen versehene Stellungnahme an Polen. Das Änderungsgesetz vom 23. Januar 2026 (ustawa o zmianie ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252) trat am 3. April 2026 in Kraft. Die wichtigsten Übergangsfristen: Der Antrag auf Eintragung in das KSC-Verzeichnis war bis zum 3. Oktober 2026 zu stellen (die Frist ist abgelaufen und wurde nicht verlängert); die Pflichten sind bis zum 3. April 2027 umzusetzen; Bußgelder können erst ab dem 3. April 2028 verhängt werden.

Die KSC-Novelle bringt folgende wesentliche Änderungen:

• Erweiterter Anwendungsbereich: Die NIS2-Sektorsystematik (Anhänge 1 und 2 des novellierten KSC) ersetzt die bisherigen sieben Sektoren. Hinzu kommen Abfallwirtschaft, Post, Lebensmittel, Chemie, Raumfahrt und öffentliche Verwaltung.
• Selbstregistrierungspflicht: Wesentliche und wichtige Einrichtungen stufen sich selbst ein und beantragen die Eintragung in das Verzeichnis der wesentlichen und wichtigen Einrichtungen (Wykaz KSC) über das System S46 — grundsätzlich innerhalb von sechs Monaten, nachdem sie die Voraussetzungen erfüllen (Art. 7c KSC). Das Verzeichnis führt die jeweils zuständige Sektorbehörde, das technische System stellt der Digitalminister bereit. Bestimmte Einrichtungen, etwa Telekommunikationsanbieter, Vertrauensdiensteanbieter, öffentliche Einrichtungen und frühere Betreiber wesentlicher Dienste, werden von Amts wegen eingetragen.
• Einheitliche Schwellenwerte: Maßgeblich ist die KMU-Definition in Anhang I der Verordnung (EU) Nr. 651/2014 (Art. 5 KSC). Erfasst sind grundsätzlich Unternehmen ab mittlerer Größe (ab 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme von jeweils mehr als 10 Mio. EUR). Große Unternehmen (ab 250 Beschäftigten oder mit mehr als 50 Mio. EUR Umsatz und mehr als 43 Mio. EUR Bilanzsumme) in Anhang-1-Sektoren sind in der Regel wesentliche Einrichtungen, die übrigen erfassten Unternehmen wichtige Einrichtungen.
• Lieferkettensicherheit: Artikel 21 Abs. 2 lit. d NIS2 verpflichtet zur Absicherung der gesamten ICT-Lieferkette, einschließlich aller Dienstleister und Zulieferer. Die KSC-Novelle führt zusätzlich ein Verfahren ein, in dem der Digitalminister Hardware- oder Softwareanbieter als Hochrisiko-Lieferanten einstufen kann (Art. 67b–67c KSC); deren Produkte sind dann grundsätzlich innerhalb von sieben Jahren, bei kritischen Funktionen von Telekommunikationsanbietern innerhalb von vier Jahren auszutauschen — vergleichbar mit der Untersagung kritischer Komponenten nach § 41 BSIG.
• Leitungsverantwortung: Geschäftsführung und Vorstand tragen die Verantwortung für die Cybersicherheits-Governance; Schulungspflicht nach Artikel 20 NIS2.

Bußgelder richten sich nach den NIS2-Vorgaben: wesentliche Einrichtungen bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes; wichtige Einrichtungen bis 7 Mio. EUR oder 1,4 % (jeweils der höhere Betrag). Nach Art. 35 des Änderungsgesetzes können Bußgelder allerdings erst ab dem 3. April 2028 verhängt werden.

CSIRT-Struktur und zuständige Behörden in Polen

Polen betreibt drei nationale CSIRTs, deren Zuständigkeitsbereiche klar voneinander abgegrenzt sind:

CSIRT	Betreiber	Zuständigkeit
CSIRT GOV	ABW (Agencja Bezpieczeństwa Wewnętrznego — Inlandsgeheimdienst)	Regierungsadministration, Staatsbehörden, Staatsunternehmen, Einrichtungen mit nationaler Sicherheitsrelevanz
CSIRT MON	Ministerstwo Obrony Narodowej (Verteidigungsministerium)	Streitkräfte, Verteidigungseinrichtungen, militärische Systeme
CSIRT NASK	NASK — Państwowy Instytut Badawczy (staatliches Forschungsinstitut)	U. a. privatwirtschaftliche Einrichtungen und Bürger — Vorfallsmeldungen der Unternehmen gehen zunächst an das zuständige sektorale CSIRT und werden von dort weitergeleitet

Koordinierende Stelle ist der Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa (Regierungsbevollmächtigter für Cybersicherheit), der die Cybersicherheitspolitik der Regierung koordiniert (Art. 60 KSC); Bevollmächtigter ist der für Informatisierung zuständige Minister oder ein Staatssekretär in dessen Ministerium (Art. 61 Abs. 3). Die zentrale Anlaufstelle (Single Point of Contact) betreibt der für Informatisierung zuständige Minister (Art. 48 KSC).

Auf Sektorebene agieren organy właściwe (sektorale Aufsichtsbehörden nach Art. 41 und 41a KSC), die jeweils für ihren Sektor NIS2-Aufsicht ausüben — eine Auswahl:

Sektor	Behörde	Kürzel
Bankwesen / Finanzmarktinfrastrukturen	Komisja Nadzoru Finansowego (Finanzaufsichtskommission)	KNF
Energie	Minister właściwy do spraw energii (für Energie zuständiger Minister)	–
Elektronische Kommunikation	Prezes Urzędu Komunikacji Elektronicznej (Präsident der Regulierungsbehörde für elektronische Kommunikation)	Prezes UKE
Gesundheitswesen	Minister właściwy do spraw zdrowia (für Gesundheit zuständiger Minister)	–
Verkehr (ohne Schifffahrt)	Minister właściwy do spraw transportu (für Verkehr zuständiger Minister)	–
Trinkwasser / Abwasser	Minister właściwy do spraw gospodarki wodnej (für Wasserwirtschaft zuständiger Minister)	–
Digitale Infrastruktur (ohne elektronische Kommunikation), IKT-Dienstleistungsmanagement, digitale Anbieter, öffentliche Einrichtungen	Minister właściwy do spraw informatyzacji (für Informatisierung zuständiger Minister)	–

Meldepflichten nach dem novellierten KSC

Die KSC-Novelle übernimmt das dreistufige NIS2-Melderegime aus Artikel 23 der Richtlinie (Art. 11 KSC). Gemeldet wird über das System S46 an das zuständige sektorale CSIRT, das die Meldung spätestens nach 8 Stunden an CSIRT MON, CSIRT NASK oder CSIRT GOV weiterleitet (Art. 44 Abs. 1a KSC):

• Frühwarnung (innerhalb 24 Stunden): Frühwarnung nach Erkennen eines schwerwiegenden Vorfalls (incydent poważny).
• Meldung (innerhalb 72 Stunden): Meldung des schwerwiegenden Vorfalls mit einer ersten Bewertung.
• Abschlussbericht (innerhalb 1 Monat nach der Meldung): Analyse des Vorfalls, Ursachen und ergriffene Maßnahmen.

Für Banken und Finanzmarktinfrastrukturen gelten die KSC-Vorschriften zum Informationssicherheitsmanagement und zur Vorfallsmeldung grundsätzlich nicht; hier greift DORA (Art. 8i KSC). Eine ausdrückliche Sprachregel für Vorfallsmeldungen enthält das KSC nicht; bei Kontrollen kann die Behörde aber Übersetzungen fremdsprachiger Unterlagen ins Polnische verlangen (Art. 56 Abs. 3 KSC). Für multinationale Konzerne empfiehlt sich daher ein polnischsprachiger Ansprechpartner vor Ort.

Bedeutung für deutsche Unternehmen mit Polenbezug

Für Compliance-Verantwortliche in deutschen Konzernen entstehen durch das novellierte KSC drei zentrale Szenarien:

Szenario 1: Tochtergesellschaft oder rechtlich selbständige Niederlassung in Polen. Eine polnische sp. z o.o. (GmbH) oder S.A. (AG), die die KSC-Schwellenwerte erfüllt und in einem der erfassten Sektoren tätig ist, ist eigenständig zur Eintragung in das KSC-Verzeichnis verpflichtet; eine BSI-Registrierung in Deutschland überträgt sich nicht auf die polnische Einheit. Für bereits erfasste Einrichtungen lief die Antragsfrist am 3. Oktober 2026 ab — wurde der Antrag noch nicht gestellt, empfiehlt es sich, ihn umgehend nachzuholen und rechtlichen Rat einzuholen. Einrichtungen, die die Voraussetzungen erst später erfüllen, haben dafür sechs Monate Zeit.

Szenario 2: Polnische Lieferanten und IT-Dienstleister. Artikel 21 Abs. 2 lit. d NIS2 verpflichtet deutsche NIS2-Einrichtungen, die Sicherheit ihrer Lieferkette zu gewährleisten. Werden polnische IT-Dienstleister, Cloud-Anbieter, Softwareentwickler oder Produktionslieferanten für kritische Prozesse eingesetzt, ist deren Sicherheitsniveau zu prüfen und vertraglich abzusichern — unabhängig davon, ob der polnische Lieferant selbst KSC-pflichtig ist. Dies bedeutet: Lieferantenaudits, Vertragsklauseln, regelmäßige Due Diligence.

Szenario 3: Grenzüberschreitende Vorfallsmeldungen. Ein Sicherheitsvorfall, der gleichzeitig eine in Deutschland und eine in Polen registrierte Konzerneinheit trifft, kann parallele Meldungen erfordern: an das BSI (über das BSI-Portal) nach deutschem Recht und über das System S46 an das zuständige sektorale CSIRT nach polnischem KSC. Konzerne müssen ihre Incident-Response-Prozesse länderübergreifend koordinieren und klare interne Zuständigkeiten definieren. Wie Deutschland NIS2 im Detail umsetzt, zeigt der Leitfaden zur NIS2-Umsetzung in Deutschland.

Systemvergleich: Deutschland und Polen im Überblick

Merkmal	Deutschland	Polen
Umsetzungsgesetz	NIS2UmsuCG (BGBl. 2025 I Nr. 301)	KSC-Novelle (Dz.U. 2026 poz. 252)
Nationale Aufsichtsbehörde (NCA)	BSI — eine zentrale Behörde	Dezentral: Minister für Digitalisierung + sektorale organy właściwe
Nationales CSIRT	CERT-Bund (BSI)	CSIRT NASK (Gewerbe), CSIRT GOV (Behörden), CSIRT MON (Militär)
Meldestelle (Gewerbe)	BSI — BSI-Portal	Zuständiges sektorales CSIRT über System S46 (Weiterleitung an CSIRT MON, NASK oder GOV)
Frühwarnung	24 Stunden	24 Stunden
Erstmeldung	72 Stunden	72 Stunden
Abschlussbericht	1 Monat	1 Monat
Bußgeld wesentl. E.	10 Mio. EUR / 2 % Umsatz	10 Mio. EUR / 2 % Umsatz (verhängbar ab 3. April 2028)
Bußgeld wichtige E.	7 Mio. EUR / 1,4 % Umsatz	7 Mio. EUR / 1,4 % Umsatz (verhängbar ab 3. April 2028)
Hochrisiko-Anbieter-Mechanismus	§ 41 BSIG (Untersagung kritischer Komponenten bei Betreibern kritischer Anlagen)	Einstufung als Hochrisiko-Lieferant durch den Digitalminister (Art. 67b–67c KSC)
Inkrafttreten	NIS2UmsuCG: 6. Dezember 2025	KSC-Novelle: 3. April 2026

Häufig gestellte Fragen

Gilt das KSC-Gesetz auch für meine polnische Tochtergesellschaft?

Grundsätzlich ja, wenn eine polnische Tochtergesellschaft als eigenständige juristische Person die Schwellenwerte erfüllt (ab 50 Beschäftigten oder Jahresumsatz und Jahresbilanzsumme von jeweils mehr als 10 Mio. EUR) und in einem der erfassten Sektoren tätig ist; dann unterliegt sie direkt dem novellierten KSC-Gesetz. Die Compliance-Verantwortung liegt bei der lokalen polnischen Geschäftsführung. Eine Registrierung beim deutschen BSI entbindet die Tochter nicht von der Eintragung in das polnische KSC-Verzeichnis.

An welches CSIRT muss meine polnische Einrichtung Vorfälle melden?

Nach dem novellierten KSC gehen Meldungen über das System S46 an das zuständige sektorale CSIRT; dieses leitet sie spätestens nach 8 Stunden an CSIRT MON, CSIRT NASK oder CSIRT GOV weiter (Art. 11 und Art. 44 Abs. 1a KSC). Für Banken und Finanzmarktinfrastrukturen gelten stattdessen grundsätzlich die Meldepflichten nach DORA (Art. 8i KSC).

Können polnische Lieferanten meine NIS2-Compliance in Deutschland beeinflussen?

Ja. Artikel 21 Abs. 2 lit. d NIS2 verpflichtet NIS2-Einrichtungen, Maßnahmen zur Sicherheit ihrer Lieferkette zu ergreifen. Werden polnische Dienstleister für kritische Prozesse eingesetzt, ist deren Sicherheitsniveau im Rahmen der Risikoanalyse zu bewerten und vertraglich abzusichern — unabhängig davon, ob der polnische Lieferant selbst KSC-pflichtig ist. Standardisierte Sicherheitsfragebögen und Lieferantenaudits sind die praktischen Instrumente dafür.

Seit wann gilt die KSC-Novelle in Polen, und welche Fristen laufen?

Die NIS2-Umsetzungsfrist war der 17. Oktober 2024. Die polnische KSC-Novelle (Dz.U. 2026 poz. 252) ist seit dem 3. April 2026 in Kraft. Die Frist für den Antrag auf Eintragung in das KSC-Verzeichnis lief am 3. Oktober 2026 ab und wurde nicht verlängert. Die Pflichten aus dem Gesetz sind bis zum 3. April 2027 umzusetzen; Bußgelder können erst ab dem 3. April 2028 verhängt werden.

Welche Sprache muss ich für Meldungen an polnische Behörden verwenden?

Eine ausdrückliche Sprachregel für Vorfallsmeldungen enthält das KSC nicht. Bei Kontrollen kann die Behörde jedoch verlangen, dass fremdsprachige Unterlagen ins Polnische übersetzt werden (Art. 56 Abs. 3 KSC), und die Kommunikation mit polnischen Behörden läuft in der Praxis auf Polnisch. Multinationalen Konzernen ist daher ein lokales Compliance-Team oder ein polnischsprachiger Sicherheitsbeauftragter zu empfehlen; ob Meldungen auch auf Englisch angenommen werden, sollte vorab mit dem zuständigen CSIRT geklärt werden.

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen variieren je nach Sektor, Einrichtungsgröße und Geschäftsmodell. Für eine auf Ihr Unternehmen zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie) — EUR-Lex, insbesondere Artikel 2, 3, 21, 23 und Anhänge I und II
2. Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560) — Internetowy System Aktów Prawnych (ISAP), Sejm RP
3. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) — Sejm RP, ELI
4. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać — Ministerstwo Cyfryzacji, gov.pl
5. CERT Polska / CSIRT NASK — Berichte, Warnmeldungen und Vorfallsmeldung — NASK Państwowy Instytut Badawczy
6. Commission calls on 19 Member States to fully transpose the NIS2 Directive — Europäische Kommission, 7. Mai 2025
7. NIS-2-Umsetzung in Deutschland — Informationen für regulierte Unternehmen — Bundesamt für Sicherheit in der Informationstechnik (BSI)