NIS2 in Polen – was bedeutet das konkret für Unternehmen

Die Umsetzung der NIS2-Richtlinie in polnisches Recht durch eine Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC-Gesetz) ist eine der bedeutendsten regulatorischen Änderungen im IT-Sektor der letzten Jahre.

Dabei handelt es sich jedoch nicht um eine weitere „Compliance-Formalität“. Es ist eine Änderung, die reale Auswirkungen darauf hat, wie Unternehmen IT, Sicherheit und Geschäftskontinuität managen – und die Verantwortung dafür liegt bei der Unternehmensführung.

In diesem Artikel erläutern wir nicht nur, was das Gesetz besagt, sondern vor allem, was es in der Praxis für Organisationen bedeutet.

NIS2 – worum geht es dabei wirklich?

Die NIS2-Richtlinie verfolgt ein Hauptziel: die Widerstandsfähigkeit von Organisationen und des Staates gegenüber Cyberbedrohungen zu stärken und die Kontinuität von Dienstleistungen zu gewährleisten, die für Wirtschaft und Gesellschaft von entscheidender Bedeutung sind.

In der Praxis bedeutet dies dreierlei:

• Cybersicherheit ist nicht mehr die alleinige Domäne der IT-Abteilung,
• Die Verantwortung verlagert sich auf die Führungsebene (den Vorstand),
• Sicherheit muss systematisch verwaltet werden, nicht mehr „projektweise“.

Die Umsetzung in Polen basiert auf dem Gesetz über das nationale Cybersicherheitssystem, das konkrete Pflichten, Fristen und Sanktionen festlegt. Das nationale Cybersicherheitssystem umfasst unter anderem wesentliche und wichtige Einrichtungen, Incident-Response-Teams (CSIRT NASK, CSIRT GOV, CSIRT MON sowie sektorspezifische CSIRTs) und die für Cybersicherheit zuständigen Behörden der einzelnen Sektoren.

Wen betrifft NIS2? Mehr Unternehmen, als Sie vielleicht denken

Der Anwendungsbereich der Regelungen ist sehr breit gefasst, eine vollständige Liste der Branchen findet sich in den Anhängen 1 und 2 zum KSC-Gesetz.

Wesentliche Einrichtungen (hohe Kritikalität)

• Energie (Elektrizität, Gas, Kraft- und Brennstoffe, Wärme),
• Verkehr (Luft-, Schienen-, Wasser-, Straßenverkehr),
• Bankwesen und Finanzmarktinfrastruktur,
• Gesundheitswesen (einschließlich Hersteller wesentlicher Arzneimittel und Medizinprodukte, EU-Referenzlaboratorien),
• Trinkwasser und Abwasser,
• Digitale Infrastruktur (Rechenzentren, Cloud, elektronische Kommunikationsnetze und -dienste),
• IKT-Dienstemanagement,
• Raumfahrt,
• Ausgewählte öffentliche Einrichtungen.

Wichtige Einrichtungen

Hier findet sich die größte Gruppe von Unternehmen, die nicht damit rechnen, von der Regulierung betroffen zu sein:

• Post- und Kurierdienste,
• Abfallwirtschaft,
• Herstellung, Verarbeitung und Vertrieb von Chemikalien und Lebensmitteln,
• Fertigung (einschließlich Medizinprodukte, Elektronik, Maschinen, Fahrzeuge und Transportausrüstung),
• Anbieter digitaler Dienste (E-Commerce-Plattformen, Suchmaschinen, soziale Netzwerke),
• Wissenschaftliche Forschung,
• Investitionen in Kernenergie,
• Ausgewählte regionale öffentliche Einrichtungen.
  NIS2 erfasst somit einen erheblichen Teil des KMU-Sektors – insbesondere Unternehmen, die Teil größerer Lieferketten sind.

Wesentliche Einrichtung vs. wichtige Einrichtung – der entscheidende Unterschied

Ob ein Unternehmen der Regulierung unterliegt, hängt nicht nur von der Branche ab, sondern auch von der Unternehmensgröße (Schwellenwerte gemäß EU-Verordnung 651/2014):

• Wesentliche Einrichtungen – vor allem große Unternehmen in Schlüsselsektoren sowie bestimmte Einrichtungen unabhängig von ihrer Größe (darunter DNS-Anbieter, TLD-Register, qualifizierte Vertrauensdiensteanbieter, Betreiber kerntechnischer Anlagen und bestimmte öffentliche Einrichtungen),
• Wichtige Einrichtungen – meist mittelgroße Unternehmen in Schlüsselsektoren sowie mittelgroße und große Unternehmen in wichtigen Sektoren.

Am wichtigsten: Das Unternehmen selbst muss sich einordnen und dies entsprechend melden. Niemand wird eine Benachrichtigung versenden – eine falsche Einstufung oder das Versäumnis der Einstufung stellt ein reales Sanktionsrisiko dar.

Wann das Gesetz gilt (räumlicher Anwendungsbereich)

Die Vorschriften gelten unter anderem für Einrichtungen, die in Polen tätig sind (Hauptsitz, Zweigniederlassung oder grenzüberschreitende Tätigkeit), sowie für Unternehmen von außerhalb der EU, die Dienstleistungen in Polen anbieten – Letztere müssen eine Vertretung mit einer Organisationseinheit in der EU benennen. Anbieter digitaler Dienste unterliegen den Vorschriften basierend auf ihrem Hauptsitz.

Fristen – wann Sie handeln müssen

Das KSC-Gesetz ist seit dem 3. April 2026 in Kraft, und die Umsetzung der Anforderungen erfolgt zeitlich gestaffelt. Entscheidend ist, wann das Unternehmen die Kriterien für die Einstufung als wesentliche oder wichtige Einrichtung erfüllt hat.

In der Praxis: Die meisten Unternehmen sollten sich bereits im Umsetzungsprozess befinden, nicht mehr nur in der Analysephase.

Registrierung in der Liste der wesentlichen und wichtigen Einrichtungen

Die Liste wird von den zuständigen Behörden im IKT-System S46 geführt. Der Antrag auf Eintragung wird elektronisch von der Geschäftsführung der Einrichtung (oder einer bevollmächtigten Person) innerhalb von 6 Monaten nach Erfüllung der Kriterien eingereicht; Änderungen der Daten müssen innerhalb von 14 Tagen gemeldet werden. Die Eintragung hat deklaratorischen Charakter – kommt ein Unternehmen dieser Pflicht nicht nach, kann die Eintragung von Amts wegen erfolgen. Die Daten der Liste sind keine öffentliche Information; öffentlich zugänglich sind lediglich aggregierte Statistiken.

Zentrale Pflichten

1. Risikomanagement und Sicherheitsmaßnahmen

Das Gesetz schreibt kein einzelnes Set an Werkzeugen vor – die Maßnahmen sollen dem Risiko angemessen und auf die Unternehmensgröße zugeschnitten sein. Der Mindestumfang umfasst jedoch unter anderem:

• Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme
• Reaktion auf Vorfälle,
• Geschäftskontinuität und Datensicherung (Backup, Disaster-Recovery-Pläne, Krisenmanagement),
• Sicherheit der Lieferkette,
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement,
• Bewertung der Wirksamkeit implementierter Maßnahmen,
• Sensibilisierung für Cybersicherheit und Mitarbeiterschulungen,
• Kryptografie und Verschlüsselung,
• Personalsicherheit, Zugriffskontrolle und Asset-Management,
• Multi-Faktor-Authentifizierung (MFA) und sichere Kommunikation.

2. Informationssicherheits-Managementsystem (ISMS)

Wesentliche und wichtige Einrichtungen müssen ein Informationssicherheits-Managementsystem (ISMS) implementieren, das den gesamten Lebenszyklus der zur Diensterbringung genutzten IT-Systeme abdeckt – einschließlich Richtlinien, Rollen und Verantwortlichkeiten, Betriebsverfahren, Sicherheitsüberwachung und -tests sowie systematischer Risikoanalyse. Eine bestehende ISO/IEC-27001-Zertifizierung verkürzt den Weg zur Compliance erheblich.

3. Incident-Management – mit konkreten Fristen

Dies ist einer der praxisrelevantesten Aspekte von NIS2. Ein schwerwiegender Vorfall wird dem zuständigen CSIRT stufenweise gemeldet:

• 24 Stunden – Frühwarnung (ob der Vorfall vorsätzlich war oder eine grenzüberschreitende Dimension hat),
• 72 Stunden – ein formeller Bericht mit Bewertung der Auswirkungen, Ursachen und ergriffenen Maßnahmen,
• Auf Anfrage – ein Zwischenbericht,
• 1 Monat – ein Abschlussbericht (und, falls der Vorfall noch andauert, innerhalb eines Monats nach dessen Behebung).

In der Praxis bedeutet dies, dass ein Unternehmen über einen Prozess und Personal verfügen muss, das innerhalb von 24 Stunden reagieren kann – dies lässt sich nicht mitten in einem Angriff „zusammenstellen“. Zu beachten: Vertrauensdiensteanbieter müssen einen Vorfall innerhalb von 24 Stunden melden.

4. Lieferkette

Das Unternehmen ist auch für die Sicherheit seiner Lieferanten und IKT-Partner verantwortlich – es muss deren Risiken bewerten und Sicherheitsanforderungen in seine Geschäftsbeziehungen integrieren. In der Praxis werden mitunter auch KMU, die nicht in den Anwendungsbereich des Gesetzes fallen, zur Umsetzung geeigneter Maßnahmen verpflichtet, weil ihre größeren Kunden dies verlangen.

5. Dokumentation und Audits

Ein vollständiger Prüfpfad ist erforderlich: normative Dokumentation (Richtlinien, Verfahren, Pläne) und operative Dokumentation (Umsetzungsnachweise, Systemprotokolle), die geschützt, versionskontrolliert und mindestens 2 Jahre nach Außerbetriebnahme des Systems aufbewahrt werden müssen. Wesentliche Einrichtungen müssen mindestens alle 3 Jahre ein Sicherheitsaudit durchführen; die Behörde kann zudem ein externes Audit anordnen.

Verantwortung der Unternehmensführung

Die Geschäftsführung der Einrichtung (z. B. der Vorstand eines Unternehmens) ist für die Erfüllung dieser Pflichten verantwortlich – auch wenn die Aufgaben an andere delegiert wurden. Insbesondere obliegt der Geschäftsführung:

• die Genehmigung von Sicherheitsmaßnahmen und die Überwachung ihrer Umsetzung,
• die Bereitstellung organisatorischer und finanzieller Ressourcen,
• die Benennung von mindestens zwei Ansprechpartnern für den Kontakt mit dem KSC (eine Person bei Kleinst- und Kleinunternehmen),
• die verpflichtende Teilnahme an Cybersicherheitsschulungen.

Das Gesetz sieht Geldbußen vor, die direkt gegen Führungskräfte verhängt werden können, und verlangt, dass Personen, die Cybersicherheitsaufgaben wahrnehmen, nicht vorbestraft sind.

Sanktionen

Bevor eine Sanktion verhängt wird, setzt die Behörde in der Regel „weiche“ Maßnahmen ein – etwa Empfehlungen, Anordnungen zur Umsetzung bestimmter Maßnahmen, Inspektionen oder Audits sowie Fristen zur Behebung von Verstößen. Bleibt eine Reaktion aus, kommt es jedoch zu finanziellen Sanktionen.

Die maximale verwaltungsrechtliche Sanktion im nationalen System kann bis zu 100 Mio. Zloty betragen. Die Behörde kann zudem die Umsetzung von Maßnahmen verlangen, ein Audit durchführen oder betriebliche Einschränkungen verhängen.

Hochrisikolieferant – ein neues Risiko in der Lieferkette

Der für Digitalisierung zuständige Minister kann einen Hardware- oder Softwarelieferanten als Hochrisikolieferanten einstufen, wenn dieser eine Bedrohung für die nationale Sicherheit darstellt. Die Entscheidung (veröffentlicht im Monitor Polski) bedeutet unter anderem für Unternehmen, die solche Produkte nutzen:

• ein Verbot der Inbetriebnahme der von der Entscheidung betroffenen IKT-Produkte, -Dienste oder -Prozesse,
• die Verpflichtung, bereits genutzte Lösungen auslaufen zu lassen – in der Regel innerhalb von 7 Jahren (4 Jahre für kritische Telekommunikationsfunktionen).

Dies ist ein praktischer Aspekt der Beschaffungsplanung und der IT-Architektur – es lohnt sich, die Abhängigkeit von wichtigen Lieferanten bereits heute zu erfassen.

Sicherheitsmaßnahmen bei kritischen Vorfällen

Im Falle eines kritischen Vorfalls kann der für digitale Transformation zuständige Minister eine unmittelbar vollstreckbare Sicherheitsanordnung erlassen (z. B. eine Anweisung zur Installation eines Patches, zur Umsetzung einer bestimmten Konfiguration, zur Aussetzung der Softwareverteilung oder zur Einschränkung des Netzwerkverkehrs), die bis zu 2 Jahre in Kraft bleiben kann. Unternehmen müssen in der Lage sein, eine solche Anordnung schnell umzusetzen.

Was NIS2 für Unternehmen tatsächlich verändert

1. IT ist nicht länger nur „Support“

Cybersicherheit wird zu einem integralen Bestandteil der Unternehmensführung – nicht nur operativ, sondern strategisch.

2. Die oberste Führungsebene ist persönlich verantwortlich

Entscheidungen über Risikotoleranz, Sicherheitsbudget und Investitionsprioritäten werden nicht mehr ausschließlich an die IT delegiert.

3. Compliance ohne Umsetzung funktioniert nicht

Dokumente ohne tatsächliche Prozesse bestehen kein Audit, mindern kein Risiko und schützen nicht vor Sanktionen.

Die häufigsten Fehler, die wir beobachten

• „Wir haben noch Zeit“ – die Umsetzung dauert in der Regel 6 bis 12 Monate.
• „Wir bereiten die Dokumentation vor“ – NIS2 erfordert Handeln, nicht Papierarbeit.
• „Wir sind kein kritischer Sektor“ – die meisten Unternehmen fallen in die Kategorie „wichtig“, und manche sind über die Lieferkette einbezogen.

Wie Sie an NIS2 herangehen sollten

• Schnellbewertung (2–4 Wochen): Fällt das Unternehmen unter NIS2? Wie ist es einzustufen? Welche Lücken bestehen im Verhältnis zu den Anforderungen?
• Umsetzungsplan: Prioritäten, Roadmap, Budget.
• Systemumsetzung: Informationssicherheits-Managementsystem (ISMS), Prozesse, Werkzeuge, Integration mit S46.
• Vorbereitung auf Audits und laufende Vorfallmeldung.

Zusammenfassung

NIS2 ist kein IT-Projekt und keine einmalige Umsetzung – es ist ein Wandel in der Art und Weise, wie eine Organisation im Bereich Sicherheit agiert. Unternehmen, die dies strategisch angehen, werden ihre operative Widerstandsfähigkeit erhöhen, ihre IT-Prozesse optimieren und einen Wettbewerbsvorteil erlangen. Die übrigen werden unter Zeitdruck und dem Risiko von Sanktionen arbeiten.

Quellen:

• Die NIS2-Richtlinie (EU) 2022/2555 sowie das Gesetz über das nationale Cybersicherheitssystem (Anhänge 1 und 2).
• biznes.gov.pl
• cyber.gov.pl