NIS2-Registrierungsfrist in Polen

Bleiben Sie auf dem Laufenden Fügen Sie uns als bevorzugte Quelle auf Google hinzu

Die Frist für die NIS2-Registrierung in Polen ist am 3. Oktober 2026 für wesentliche und wichtige Einrichtungen abgelaufen, die am 3. April 2026 die gesetzlichen Kriterien erfüllten und zur Registrierung verpflichtet waren. Eine versäumte Frist führt nicht automatisch zu einer Geldbuße, entbindet Unternehmen jedoch nicht von ihren übrigen Pflichten nach dem polnischen Gesetz über das nationale Cybersicherheitssystem (KSC). Die meisten Geldbußen können erst ab dem 3. April 2028 verhängt werden, während die Frist für die Umsetzung der maßgeblichen Cybersicherheitsanforderungen am 3. April 2027 endet. Unternehmen sollten daher sowohl ihren Registrierungsstatus als auch ihre tatsächliche Bereitschaft zur Einhaltung der Vorschriften überprüfen.

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555), die in Polen durch eine Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC) umgesetzt wurde, führt neue Anforderungen an die Sicherheit von Informationssystemen und das Management von Cybersicherheitsrisiken ein. Die Vorschriften gelten für bestimmte Unternehmen aus Sektoren, die für die Wirtschaft von entscheidender Bedeutung sind, darunter Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur sowie ausgewählte Zweige des verarbeitenden Gewerbes.

Für Unternehmen, die in den Anwendungsbereich der Vorschriften fallen, markiert das Ende der ersten Registrierungsphase den Beginn der nächsten Etappe der Compliance-Vorbereitungen. Vorrangig ist nun zu klären, ob die bestehenden Sicherheitsmaßnahmen, Verfahren und Governance-Strukturen den gesetzlichen Anforderungen entsprechen. Ein NIS2-Compliance-Audit in Polen kann diese Bewertung unterstützen, indem es Bereiche mit Verbesserungsbedarf identifiziert.

Weitere Informationen zum Anwendungsbereich der Vorschriften und zu den Pflichten von Unternehmen finden Sie in unserem Artikel: NIS2 in Polen: Wen sie betrifft, welche Pflichten sie begründet und wie Sie Ihr Unternehmen vorbereiten.

In diesem Artikel:

Die KSC-Registrierungsfrist ist abgelaufen. Was bedeutet das für Unternehmen?

Die erste Phase der Selbstregistrierung im polnischen Verzeichnis der wesentlichen und wichtigen Einrichtungen (KSC-Verzeichnis) endete am 3. Oktober 2026. Die Frist galt für Organisationen, die die gesetzlichen Kriterien bereits am 3. April 2026 erfüllten und diese bis zum Ablauf der Registrierungsfrist weiterhin erfüllten.

Allerdings muss sich nicht jedes Unternehmen, das in einem von NIS2 erfassten Sektor tätig ist, selbst registrieren. Ob die Pflicht besteht, hängt unter anderem von der Art der erbrachten Dienste, der Unternehmensgröße und besonderen gesetzlichen Kriterien ab.

Bestimmte Organisationen, darunter Telekommunikationsunternehmen und andere festgelegte Kategorien von Einrichtungen, werden von den zuständigen Behörden in das Verzeichnis eingetragen. Unternehmen, die die Kriterien erst nach Inkrafttreten der Gesetzesänderungen erfüllen, haben grundsätzlich sechs Monate ab dem Zeitpunkt, zu dem sie die Kriterien erstmals erfüllen, Zeit für die Registrierung.

Der erste Schritt für ein nicht registriertes Unternehmen sollte daher darin bestehen, zu prüfen, ob eine Registrierungspflicht bestand und wann sie entstanden ist. War das Unternehmen zur Selbstregistrierung verpflichtet, sollte es die ausstehende Registrierung unverzüglich über das KSC-Verzeichnis nachholen.

Die NIS2-Registrierung ist erst der Anfang der Compliance-Pflichten

Die Eintragung in das KSC-Verzeichnis ist ein formaler Schritt zur Erfüllung der gesetzlichen Anforderungen. Sie bedeutet jedoch nicht automatisch, dass ein Unternehmen alle geltenden Cybersicherheitspflichten erfüllt.

Eine Organisation kann ihre Registrierung ordnungsgemäß abgeschlossen haben und dennoch über keine angemessenen Risikomanagementverfahren, keine Sicherheitsdokumentation oder keine wirksamen Vorkehrungen zur Reaktion auf Sicherheitsvorfälle verfügen. Auch der umgekehrte Fall ist möglich: Ein Unternehmen kann umfangreiche technische Schutzmaßnahmen eingerichtet haben, aber bestimmte organisatorische und formale Anforderungen nicht erfüllen.

Die Einhaltung von NIS2 erfordert daher eine Bewertung des gesamten Cybersicherheitsmanagements und nicht nur eine Prüfung des Registrierungsstatus.

Welche Bereiche sollten Unternehmen überprüfen?

Unternehmen, die unter die Vorschriften fallen, sollten insbesondere die folgenden Bereiche untersuchen:

Risikomanagement – wie Bedrohungen identifiziert, ihre möglichen Auswirkungen auf den Geschäftsbetrieb bewertet und geeignete Sicherheitsmaßnahmen ausgewählt werden.
Management von Sicherheitsvorfällen – Verfahren zur Erkennung von, Reaktion auf und Meldung von Cybersicherheitsvorfällen.
Geschäftskontinuität – die Fähigkeit der Organisation, kritische Abläufe nach einer Störung aufrechtzuerhalten oder wiederherzustellen.
Sicherheit der Lieferanten – Bewertung der Risiken im Zusammenhang mit externen Anbietern und IT-Dienstleistungen.
Dokumentation und Verantwortung der Geschäftsführung – Regelungen für die Aufsicht über die Cybersicherheit, die Genehmigung der erforderlichen Maßnahmen und die Überwachung ihrer Wirksamkeit.

Das bloße Vorhandensein von Sicherheitsmaßnahmen reicht allein nicht aus, um die Einhaltung der Vorschriften nachzuweisen. Diese Maßnahmen müssen zudem dokumentiert, in der Praxis angewendet und regelmäßig auf ihre Wirksamkeit überprüft werden.

NIS2 aus Sicht der Geschäftsführung – Cybersicherheit als Teil des Risikomanagements

Die Umsetzung von NIS2 sollte nicht allein als Aufgabe der IT-Abteilung betrachtet werden. Die neuen Vorschriften erfordern zudem eine angemessene Aufsicht durch die Geschäftsführung sowie eine engere Verzahnung der Sicherheit von Informationssystemen mit der Geschäftskontinuität.

Ein Produktionsunternehmen kann beispielsweise über Maßnahmen zur Netzwerksicherheit, Backup-Systeme und Verfahren zur Zugriffsverwaltung verfügen, aber kein formal festgelegtes Vorgehen für einen Cybersicherheitsvorfall bei einem kritischen Technologielieferanten haben. In einem solchen Fall liegt das Problem möglicherweise nicht im Fehlen einer bestimmten IT-Lösung, sondern in der unzureichenden Einbindung der vorhandenen Schutzmaßnahmen in die Risikomanagementprozesse des Unternehmens.

Dieses hypothetische Beispiel zeigt, warum technische Sicherheit und Einhaltung regulatorischer Vorgaben gemeinsam bewertet werden sollten, ohne sie als austauschbare Begriffe zu behandeln.

Für die Geschäftsführung sind drei Prioritäten besonders wichtig: die Bestimmung des Umfangs der geltenden Pflichten, die Identifizierung von Compliance-Lücken sowie die Festlegung von Verantwortlichkeiten und Fristen für deren Beseitigung.

Kann eine fehlende Registrierung im KSC-Verzeichnis zu Sanktionen oder Kontrollen führen?

Die Nichteinhaltung einer verpflichtenden Registrierungsfrist stellt einen Verstoß gegen die Vorschriften dar, führt jedoch nicht automatisch zu einer Geldbuße.

Die meisten Geldbußen, die durch das geänderte KSC-Gesetz eingeführt wurden, können erst ab dem 3. April 2028 verhängt werden. Die zuständige Behörde entscheidet unter Berücksichtigung der Umstände des konkreten Verstoßes, ob eine Geldbuße angemessen ist. Dies bedeutet jedoch nicht, dass Unternehmen bis zu diesem Zeitpunkt keiner behördlichen Aufsicht unterliegen.

Die zuständigen Cybersicherheitsbehörden können bereits jetzt die Einhaltung der Pflichten überprüfen, Kontrollen durchführen, Unterlagen anfordern und die im Gesetz vorgesehenen Aufsichtsmaßnahmen ergreifen.

Erfüllt ein Unternehmen die Kriterien für die Einstufung als wesentliche oder wichtige Einrichtung, hat es den erforderlichen Antrag jedoch nicht eingereicht, kann die zuständige Behörde es zudem von Amts wegen in das KSC-Verzeichnis eintragen.

Das Gesetz sieht außerdem eine außerordentliche Geldbuße von bis zu 100 Mio. PLN vor, die nicht unter den allgemeinen Aufschub der Sanktionen bis 2028 fällt. Diese Geldbuße kann gegen eine wesentliche oder wichtige Einrichtung verhängt werden, wenn ein Verstoß eine unmittelbare und ernsthafte Cyberbedrohung für die Landesverteidigung, die Sicherheit des Staates, die öffentliche Sicherheit und Ordnung oder das Leben und die Gesundheit von Menschen verursacht oder einen schweren Vermögensschaden bzw. erhebliche Beeinträchtigungen bei der Erbringung von Diensten zu verursachen droht.

Das bloße Versäumen der Registrierungsfrist erfüllt nicht automatisch die Voraussetzungen für die Verhängung einer solchen Geldbuße.

Für Unternehmen ist vor allem entscheidend: Der Aufschub der meisten Geldbußen bedeutet keinen Aufschub aller Pflichten aus NIS2.

NIS2-Compliance-Audit – wie können Unternehmen ihre Bereitschaft bewerten?

Nach Ablauf der Registrierungsfrist sollten sich Unternehmen nicht nur auf die Erledigung noch ausstehender Formalitäten konzentrieren, sondern auch auf ihre tatsächliche Bereitschaft, die gesetzlichen Anforderungen zu erfüllen.

Ein NIS2-Compliance-Audit in Polen ermöglicht es Unternehmen, ihre bestehenden organisatorischen und technischen Maßnahmen mit den Anforderungen der NIS2-Richtlinie und des polnischen KSC-Gesetzes abzugleichen.

Die Bewertung kann Dokumentation, Sicherheitsverfahren, das Management von Sicherheitsvorfällen, den Schutz von Informationssystemen sowie Governance-Mechanismen umfassen. Die Ergebnisse des Audits helfen dabei, Lücken in bestehenden Regelungen zu identifizieren, deren Bedeutung einzuschätzen und einen strukturierten Plan für Korrekturmaßnahmen zu erstellen.

Wann sollte ein Unternehmen ein NIS2-Compliance-Audit durchführen?

Eine Bewertung ist insbesondere dann sinnvoll, wenn ein Unternehmen:

nicht sicher ist, ob seine bestehenden Maßnahmen den gesetzlichen Anforderungen entsprechen;
über Sicherheitsverfahren verfügt, diese aber noch keiner umfassenden Überprüfung unterzogen hat;
sich auf bevorstehende Fristen nach dem KSC-Gesetz vorbereitet;
einen strukturierten Maßnahmenplan mit klar festgelegten Prioritäten und Verantwortlichkeiten benötigt.

Dabei ist zwischen einer freiwilligen Bereitschaftsbewertung und dem verpflichtenden Cybersicherheitsaudit zu unterscheiden, das das Gesetz für bestimmte wesentliche Einrichtungen vorschreibt.

HLB Poland bietet NIS2-Compliance-Audits in Polen an, einschließlich einer Bewertung der bestehenden Maßnahmen, der Identifizierung von Nichtkonformitäten und Empfehlungen für Korrekturmaßnahmen.

Auf diese Weise können Unternehmen regulatorische Anpassungen auf Grundlage des festgestellten Bedarfs planen, anstatt Änderungen umzusetzen, ohne vorher zu prüfen, ob sie notwendig sind.

Wichtige NIS2-Fristen in Polen nach dem 3. Oktober 2026

Mit dem Ende der ersten Registrierungsphase ist die Umsetzung der Vorschriften noch nicht abgeschlossen. Für Unternehmen, die die gesetzlichen Kriterien ab dem 3. April 2026 erfüllten, bleiben mehrere wichtige Termine relevant.

3. April 2027 – Umsetzung der KSC-Pflichten und Beginn der Nutzung des Systems S46

Bis zu diesem Datum sollten die betreffenden wesentlichen und wichtigen Einrichtungen unter anderem die Anforderungen in den Bereichen Informationssicherheitsmanagement und Behandlung von Sicherheitsvorfällen umgesetzt haben und mit der Nutzung des Systems S46 beginnen.

3. April 2028 – erstes verpflichtendes Audit für bestimmte wesentliche Einrichtungen

Diese Frist gilt für wesentliche Einrichtungen, die zuvor keine Betreiber wesentlicher Dienste waren und die maßgeblichen Kriterien ab dem 3. April 2026 erfüllten.

Bisherige Betreiber wesentlicher Dienste müssen weiterhin mindestens alle drei Jahre ein Audit durchführen, gerechnet ab dem Tag, an dem der Bericht über das vorangegangene Audit erstellt und unterzeichnet wurde. Für sie gilt die Verlängerung der Frist für das erste Audit, die für neu eingestufte wesentliche Einrichtungen vorgesehen ist, nicht.

3. April 2028 – die meisten Geldbußen werden anwendbar

Ab diesem Datum können die zuständigen Behörden die meisten der durch die neuen Vorschriften eingeführten Geldbußen verhängen, sofern die jeweiligen gesetzlichen Voraussetzungen erfüllt sind. Die für einzelne Organisationen geltenden Fristen können je nach ihrer Einstufung und dem Zeitpunkt, zu dem sie die gesetzlichen Kriterien erstmals erfüllt haben, variieren.

Die Vorbereitung auf NIS2 erfordert mehr als eine Registrierung

Der Ablauf der Registrierungsfrist im KSC-Verzeichnis sollte Unternehmen dazu veranlassen, den Stand der Erfüllung ihrer übrigen gesetzlichen Pflichten zu bewerten. Die formale Registrierung allein begründet keine Einhaltung der Anforderungen an das Risikomanagement und die Sicherheit von Informationssystemen.

Für die Geschäftsführung hat Priorität, den tatsächlichen Bereitschaftsgrad der Organisation festzustellen, Bereiche mit Verbesserungsbedarf zu identifizieren und Korrekturmaßnahmen vor Ablauf der nächsten Fristen zu planen. Ein NIS2-Compliance-Audit kann die Grundlage für diese Bewertung bilden und Unternehmen dabei helfen, ihre Pflichten zu ordnen und einen strukturierten Compliance-Fahrplan zu entwickeln.

Unternehmen, die ihre Einhaltung der KSC-Anforderungen überprüfen möchten, können die Experten von HLB Poland kontaktieren, um den Umfang eines Audits und mögliche vorbereitende Maßnahmen zu besprechen.

Quellen:

Wenn Sie weitere Fragen haben, oder zusätzliche Informationen benötigen, wenden Sie sich bitte an Ihren Ansprechpartner oder nutzen Sie das Kontaktformular auf unserer getsix® Website.

Kontaktieren Sie uns »

***

Diese Veröffentlichung ist eine unverbindliche Information und dient der allgemeinen Information. Die bereitgestellten Informationen stellen keine Rechts-, Steuer- oder Unternehmensberatung dar, und ersetzen auch keine individuelle Beratung. Trotz sorgfältiger Bearbeitung werden alle Angaben in dieser Veröffentlichung ohne Gewähr für die Richtigkeit, Aktualität und Vollständigkeit der Informationen gemacht. Die Informationen in dieser Veröffentlichung sind nicht als alleinige Handlungsgrundlage geeignet, und können eine konkrete Beratung im Einzelfall nicht ersetzen. Die Haftung der Autoren oder von getsix® ist ausgeschlossen. Wir bitten Sie, sich bei Bedarf für eine verbindliche Beratung direkt an uns zu wenden. Der Inhalt dieser Veröffentlichung ist geistiges Eigentum von getsix® oder seiner Partnerunternehmen und ist urheberrechtlich geschützt. Nutzer dieser Informationen dürfen den Inhalt der Veröffentlichung ausschließlich für eigene Zwecke herunterladen, ausdrucken oder kopieren.

NIS2-Registrierungsfrist in Polen verpasst? Was Unternehmen jetzt tun sollten