NIS2 in Polen – was bedeutet das konkret für Unternehmen

Die Umsetzung der NIS2-Richtlinie in polnisches Recht durch eine Novelle des Gesetzes über das nationale Cybersicherheitssystem (KSC-Gesetz) ist eine der bedeutendsten regulatorischen Änderungen im IT-Sektor der letzten Jahre.

Dabei handelt es sich jedoch nicht um eine weitere „Compliance-Formalität“. Es ist eine Änderung, die reale Auswirkungen darauf hat, wie Unternehmen IT, Sicherheit und Geschäftskontinuität managen – und die Verantwortung dafür liegt bei der Unternehmensführung.

In diesem Artikel erläutern wir nicht nur, was das Gesetz besagt, sondern vor allem, was es in der Praxis für Organisationen bedeutet.

Rechtsgrundlage der in diesem Beitrag enthaltenen Informationen: Gesetz vom 5. Juli 2018 über das nationale Cybersicherheitssystem (Gesetzblatt 2026, Pos. 20 – konsolidierte Fassung), in der durch das Gesetz vom 23. Januar 2026 geänderten Fassung (Gesetzblatt 2026, Pos. 252, in Kraft seit dem 3. April 2026) sowie durch die Änderungen in Gesetzblatt 2026, Pos. 815 und 1003, zur Umsetzung der Richtlinie (EU) 2022/2555. Fristen zur Registrierung: Bekanntmachung des Ministers für Digitalisierung vom 8. April 2026 (Amtsblatt MC 2026, Pos. 7).

NIS2 – worum geht es dabei wirklich?

Die NIS2-Richtlinie verfolgt ein Hauptziel: die Widerstandsfähigkeit von Organisationen und des Staates gegenüber Cyberbedrohungen zu stärken und die Kontinuität von Dienstleistungen zu gewährleisten, die für Wirtschaft und Gesellschaft von entscheidender Bedeutung sind.

In der Praxis bedeutet dies dreierlei:

• Cybersicherheit ist nicht mehr die alleinige Domäne der IT-Abteilung,
• Die Verantwortung verlagert sich auf die Führungsebene (den Vorstand),
• Sicherheit muss systematisch verwaltet werden, nicht mehr „projektweise“.

Die Umsetzung in Polen basiert auf dem Gesetz über das nationale Cybersicherheitssystem, das konkrete Pflichten, Fristen und Sanktionen festlegt. Das nationale Cybersicherheitssystem umfasst unter anderem wesentliche und wichtige Einrichtungen, Incident-Response-Teams (CSIRT NASK, CSIRT GOV, CSIRT MON sowie sektorspezifische CSIRTs) und die für Cybersicherheit zuständigen Behörden der einzelnen Sektoren.

Wen betrifft NIS2? Mehr Unternehmen, als Sie vielleicht denken

Der Anwendungsbereich der Regelungen ist sehr breit gefasst, eine vollständige Liste der Branchen findet sich in den Anhängen 1 und 2 zum KSC-Gesetz.

Wesentliche Einrichtungen (hohe Kritikalität)

• Energie (Elektrizität, Gas, Kraft- und Brennstoffe, Wärme),
• Verkehr (Luft-, Schienen-, Wasser-, Straßenverkehr),
• Bankwesen und Finanzmarktinfrastruktur (für Finanzunternehmen gilt die DORA-Verordnung als speziellere Regelung – den genauen Umfang der Ausnahme erläutern wir unten),
• Gesundheitswesen (einschließlich Hersteller wesentlicher Arzneimittel und Medizinprodukte, EU-Referenzlaboratorien),
• Trinkwasser und Abwasser,
• Digitale Infrastruktur (Rechenzentren, Cloud, elektronische Kommunikationsnetze und -dienste),
• IKT-Dienstemanagement,
• Raumfahrt,
• Ausgewählte öffentliche Einrichtungen.

Bankwesen und Finanzmärkte – was vom KSC-Gesetz bleibt. Für Einrichtungen aus dem Bankwesen und der Finanzmarktinfrastruktur ist DORA das maßgebliche Regime. Das KSC-Gesetz wendet auf sie die Vorschriften über das Informationssicherheits-Managementsystem und über die Meldung erheblicher Sicherheitsvorfälle nicht an, Art. 8i Abs. 1 zählt die Ausnahmen jedoch ausdrücklich auf. Aus dem Maßnahmenkatalog bleiben zwei: die systematische Risikobewertung (Art. 8 Abs. 1 Nr. 1) und die grundlegenden Regeln der Cyberhygiene (Art. 8 Abs. 1 Nr. 2 Buchst. j). Entsprechend anzuwenden sind außerdem die Vorschriften über die Verantwortung der Geschäftsleitung, ihre Aufgaben, die jährliche Schulung und die Überprüfung der Vorstrafenfreiheit (Art. 8c–8f).

Wichtige Einrichtungen

Hier findet sich die größte Gruppe von Unternehmen, die nicht damit rechnen, von der Regulierung betroffen zu sein:

• Post- und Kurierdienste,
• Abfallwirtschaft,
• Herstellung, Verarbeitung und Vertrieb von Chemikalien und Lebensmitteln,
• Fertigung (einschließlich Medizinprodukte, Elektronik, Maschinen, Fahrzeuge und Transportausrüstung),
• Anbieter digitaler Dienste (E-Commerce-Plattformen, Suchmaschinen, soziale Netzwerke),
• Wissenschaftliche Forschung,
• Investitionen in Kernenergie,
• Ausgewählte regionale öffentliche Einrichtungen.
  NIS2 erfasst somit einen erheblichen Teil des KMU-Sektors – insbesondere Unternehmen, die Teil größerer Lieferketten sind.

Wesentliche Einrichtung vs. wichtige Einrichtung – der entscheidende Unterschied

Ob ein Unternehmen der Regulierung unterliegt, hängt nicht nur von der Branche ab, sondern auch von der Unternehmensgröße (Schwellenwerte gemäß EU-Verordnung 651/2014):

• Wesentliche Einrichtungen – vor allem große Unternehmen in Schlüsselsektoren sowie bestimmte Einrichtungen unabhängig von ihrer Größe (darunter DNS-Anbieter, TLD-Register, qualifizierte Vertrauensdiensteanbieter, Betreiber kerntechnischer Anlagen und bestimmte öffentliche Einrichtungen),
• Wichtige Einrichtungen – meist mittelgroße Unternehmen in Schlüsselsektoren sowie mittelgroße und große Unternehmen in wichtigen Sektoren.

Zwei Kategorien richten sich nicht nach dem Sektor, sondern nach der Art der Tätigkeit – und werden leicht übersehen:

• Unternehmen der elektronischen Kommunikation – wesentliche Einrichtung ab der Schwelle für mittlere Unternehmen; Kleinst- und Kleinunternehmen gelten als wichtige Einrichtung,
• Anbieter verwalteter Sicherheitsdienste (MSSP) – wesentliche Einrichtung bereits ab der Schwelle für kleine oder mittlere Unternehmen (Art. 5 Abs. 1 Nr. 3 des Gesetzes); außerhalb des Anwendungsbereichs bleibt lediglich ein MSSP, das ein Kleinstunternehmen ist,
• Nicht qualifizierter Vertrauensdiensteanbieter – wichtige Einrichtung als Kleinst-, Klein- oder mittleres Unternehmen.

Am wichtigsten: Das Unternehmen selbst muss sich einordnen und dies entsprechend melden. Niemand wird eine Benachrichtigung versenden – eine falsche Einstufung oder das Versäumnis der Einstufung stellt ein reales Sanktionsrisiko dar.

Wann das Gesetz gilt (räumlicher Anwendungsbereich)

Die Vorschriften gelten unter anderem für Einrichtungen, die in Polen tätig sind (Hauptsitz, Zweigniederlassung oder grenzüberschreitende Tätigkeit), sowie für Unternehmen von außerhalb der EU, die Dienstleistungen in Polen anbieten – Letztere müssen eine Vertretung mit einer Organisationseinheit in der EU benennen. Anbieter digitaler Dienste unterliegen den Vorschriften basierend auf ihrem Hauptsitz.

Fristen – wann Sie handeln müssen

Das KSC-Gesetz ist seit dem 3. April 2026 in Kraft, und die Umsetzung der Anforderungen erfolgt zeitlich gestaffelt. Entscheidend ist, wann das Unternehmen die Kriterien für die Einstufung als wesentliche oder wichtige Einrichtung erfüllt hat.

In der Praxis: Die meisten Unternehmen sollten sich bereits im Umsetzungsprozess befinden, nicht mehr nur in der Analysephase.

Registrierung in der Liste der wesentlichen und wichtigen Einrichtungen

Die Liste wird von den zuständigen Behörden im IKT-System S46 geführt. Ein Teil der Einrichtungen – bisherige Betreiber wesentlicher Dienste, Vertrauensdiensteanbieter, Unternehmen der elektronischen Kommunikation, kritische Einrichtungen und öffentliche Einrichtungen – wird von Amts wegen eingetragen: Sie erhalten eine Mitteilung über die Eintragung sowie die Aufforderung, ihre Daten zu ergänzen, und haben dafür 6 Monate ab Zustellung der Aufforderung. Die übrigen Einrichtungen, die die Voraussetzungen am 3. April 2026 erfüllten, stellen den Antrag selbst im Zeitraum vom 7. Mai bis zum 3. Oktober 2026, entsprechend dem vom Minister für Digitalisierung bekannt gegebenen Zeitplan (Bekanntmachung vom 8. April 2026); Einrichtungen, die die Voraussetzungen später erfüllen, haben dafür 6 Monate ab diesem Tag. Änderungen der Daten müssen innerhalb von 14 Tagen gemeldet werden. Die Daten der Liste sind keine öffentliche Information; öffentlich zugänglich sind lediglich aggregierte Statistiken.

Zentrale Pflichten

1. Risikomanagement und Sicherheitsmaßnahmen

Das Gesetz schreibt kein einzelnes Set an Werkzeugen vor – die Maßnahmen sollen dem Risiko angemessen und auf die Unternehmensgröße zugeschnitten sein. Der Mindestumfang umfasst jedoch unter anderem:

• Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme
• Reaktion auf Vorfälle,
• Geschäftskontinuität und Datensicherung (Backup, Disaster-Recovery-Pläne, Krisenmanagement),
• Sicherheit der Lieferkette,
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement,
• Bewertung der Wirksamkeit implementierter Maßnahmen,
• Sensibilisierung für Cybersicherheit und Mitarbeiterschulungen,
• Kryptografie und Verschlüsselung,
• Personalsicherheit, Zugriffskontrolle und Asset-Management,
• Multi-Faktor-Authentifizierung (MFA) und sichere Kommunikation.

Für einen Teil der Einrichtungen ist der Katalog detaillierter. Anbieter von DNS-Diensten, TLD-Registries, Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten und CDN, Anbieter verwalteter Dienste (MSP) und verwalteter Sicherheitsdienste (MSSP) sowie Anbieter von Online-Marktplätzen, Suchmaschinen und sozialen Netzwerken wenden im Rahmen ihres Informationssicherheits-Managementsystems die unmittelbar in der Durchführungsverordnung (EU) 2024/2690 der Kommission festgelegten Maßnahmen an (Art. 8b Abs. 1 des Gesetzes). Für sie ist die obige Liste ein Minimum und nicht der vollständige Anforderungsumfang. Die übrigen wesentlichen und wichtigen Einrichtungen wenden die für ihren Einrichtungstyp erlassenen Durchführungsrechtsakte an, sofern solche ergehen.

Öffentliche Einrichtungen – ein anderer Katalog. Eine wichtige Einrichtung, die eine öffentliche Einrichtung ist, wendet Art. 8 Abs. 1 des Gesetzes nicht an. Ihr Informationssicherheits-Managementsystem stützt sich auf Anhang 4 zum Gesetz: 18 verpflichtende Anforderungen (unter anderem Inventarisierung der IKT-Produkte und -Dienste, minimale Berechtigungen, logisch und physisch getrennte Sicherungskopien, Tests der Wiederherstellung, Kontrolle der E-Mail-Kommunikation, Einsatz stabiler Versionen ohne bekannte kritische Schwachstellen, Schulungen zur Cyberhygiene), 9 optionale Anforderungen sowie eine Überprüfung des ISMS mindestens einmal jährlich oder unverzüglich nach einer Empfehlung des Regierungsbevollmächtigten. Dasselbe gilt für Einrichtungen nach Art. 7 Abs. 1 Nr. 1–4 und 6–7 des Gesetzes über Hochschulbildung und Wissenschaft, die keine Forschungsorganisationen sind, im Umfang ihrer öffentlichen Aufgaben. Die Nichterfüllung der Pflicht aus Art. 8 Abs. 3 ist ein eigenständiger Bußgeldtatbestand (Art. 73 Abs. 1c).

Daten in SaaS-Anwendungen

Die Pflicht zur Verwaltung von Backups erstreckt sich auch auf Daten in Cloud-Diensten – und genau hier sehen wir am häufigsten eine Lücke. Sie ergibt sich aus dem Modell der geteilten Verantwortung: Der SaaS-Anbieter verantwortet die Verfügbarkeit der Plattform und ihrer Infrastruktur, für die Daten und die Konfiguration innerhalb der Plattform ist hingegen der Kunde zuständig. Papierkorb, Aufbewahrungsrichtlinien und Archiv begrenzen die Folgen einer einzelnen Löschung, ermöglichen aber keine Wiederherstellung des Zustands zu einem gewählten Zeitpunkt, umfassen keine Identitätskonfiguration – etwa Richtlinien für bedingten Zugriff oder App-Registrierungen – und sind nicht unabhängig vom Anbieter der Produktionsumgebung.

Im Audit zählt der Nachweis der Wiederherstellbarkeit, nicht deren Annahme: definierte RTO und RPO, Unveränderbarkeit der Kopien, ein von der Produktionsumgebung unabhängiger Speicherort sowie regelmäßige, dokumentierte Wiederherstellungstests. Diese Anforderung schließt den Kreis zur Lieferkettensicherheit, denn der Backup-Anbieter wird selbst zu einem zu bewertenden IKT-Anbieter – seine Zertifizierungen und unabhängigen Auditberichte sind dann Teil der Dokumentation und kein Marketingzusatz.

Diesem Thema widmen wir ein eigenes Webinar (auf Polnisch) sowie eine eigene Seite zum SaaS-Datenbackup.

2. Informationssicherheits-Managementsystem (ISMS)

Wesentliche und wichtige Einrichtungen müssen ein Informationssicherheits-Managementsystem (ISMS) implementieren, das den gesamten Lebenszyklus der zur Diensterbringung genutzten IT-Systeme abdeckt – einschließlich Richtlinien, Rollen und Verantwortlichkeiten, Betriebsverfahren, Sicherheitsüberwachung und -tests sowie systematischer Risikoanalyse. Eine bestehende ISO/IEC-27001-Zertifizierung verkürzt den Weg zur Compliance erheblich.

3. Incident-Management – mit konkreten Fristen

Dies ist einer der praxisrelevantesten Aspekte von NIS2.

Die Einstufung eines Vorfalls als erheblich ist Pflicht der Einrichtung, nicht des CSIRT. Die Schwellenwerte legt eine Verordnung des Ministerrats fest – bis zum Inkrafttreten des neuen Rechtsakts gilt die Verordnung vom 31. Oktober 2018 (Gesetzblatt 2018, Pos. 2180), jedoch nicht länger als 12 Monate ab dem 3. April 2026. Die neue Verordnung, die alle durch die Novelle hinzugekommenen Sektoren erfasst, ist in Vorbereitung. Für einen Teil der Einrichtungen hat die Europäische Kommission die Schwellenwerte unmittelbar in einem Durchführungsrechtsakt festgelegt.

Ein schwerwiegender Vorfall wird dem zuständigen CSIRT stufenweise gemeldet:

• 24 Stunden – Frühwarnung (ob der Vorfall vorsätzlich war oder eine grenzüberschreitende Dimension hat),
• 72 Stunden – ein formeller Bericht mit Bewertung der Auswirkungen, Ursachen und ergriffenen Maßnahmen,
• Auf Anfrage – ein Zwischenbericht,
• 1 Monat ab der 72-Stunden-Meldung – ein Abschlussbericht. Dauert die Bearbeitung des Vorfalls noch an, wird in dieser Frist ein Fortschrittsbericht eingereicht und der Abschlussbericht innerhalb eines Monats nach Abschluss der Bearbeitung.

Adressat der Meldung ist das zuständige sektorspezifische CSIRT, allerdings erst ab dem Tag nach der Veröffentlichung der Bekanntmachung, dass es seine operative Einsatzfähigkeit erreicht hat. Die zuständigen Behörden haben ab dem 3. April 2026 18 Monate Zeit, die sektorspezifischen Teams einzurichten; derzeit melden daher die meisten Einrichtungen erhebliche Vorfälle an das zuständige CSIRT MON, CSIRT NASK oder CSIRT GOV. Eine Ausnahme gilt für Sektoren, in denen ein Sektorteam bereits vor 2025 eingerichtet wurde. Bevor Sie den Adressaten in Ihr Vorfallverfahren eintragen, prüfen Sie die Bekanntmachungen Ihrer zuständigen Behörde.

In der Praxis bedeutet dies, dass ein Unternehmen über einen Prozess und Personal verfügen muss, das innerhalb von 24 Stunden reagieren kann – dies lässt sich nicht mitten in einem Angriff „zusammenstellen“. Hinweis: Bei Vertrauensdiensteanbietern gilt die 24-Stunden-Frist für die vollständige Meldung des Vorfalls, nicht nur für die Frühwarnung.

4. Lieferkette

Das Unternehmen ist auch für die Sicherheit seiner Lieferanten und IKT-Partner verantwortlich – es muss deren Risiken bewerten und Sicherheitsanforderungen in seine Geschäftsbeziehungen integrieren. In der Praxis werden mitunter auch KMU, die nicht in den Anwendungsbereich des Gesetzes fallen, zur Umsetzung geeigneter Maßnahmen verpflichtet, weil ihre größeren Kunden dies verlangen.

Das Gesetz geht hier weiter als die Richtlinie und benennt ausdrücklich, was bei der Auswahl der Maßnahmen in der Lieferkette zu berücksichtigen ist (Art. 8 Abs. 2):

1. Schwachstellen im Zusammenhang mit dem Hardware- oder Softwarelieferanten,
2. die allgemeine Qualität der IKT-Produkte, -Dienste und -Prozesse dieses Lieferanten,
3. die Ergebnisse der von der Kooperationsgruppe durchgeführten koordinierten Sicherheitsrisikobewertung (Art. 22 Abs. 1 der Richtlinie 2022/2555),
4. die Ergebnisse des Verfahrens zur Einstufung des Lieferanten als Hochrisikolieferant (Art. 67b – dazu unten mehr).

Eine Lieferantenbewertung, die auf diese vier Punkte nicht eingeht, erfüllt die gesetzliche Anforderung nicht. Es lohnt sich zudem, bestehende Verträge zu prüfen: Klauseln, die eine Untersuchung eines IKT-Produkts oder -Dienstes durch ein CSIRT verhindern, sind kraft Gesetzes nichtig (Art. 40 Abs. 1 des Änderungsgesetzes).

5. Dokumentation und Audits

Ein vollständiger Prüfpfad ist erforderlich: normative Dokumentation (Richtlinien, Verfahren, Pläne) und operative Dokumentation (Umsetzungsnachweise, Systemprotokolle), die geschützt und versionskontrolliert sein müssen. Die Dokumentation wird mindestens 2 Jahre ab ihrer Außerbetriebnahme oder ab der Einstellung der Diensterbringung aufbewahrt, wobei die Frist ab dem 1. Januar des Jahres läuft, das auf das Jahr des Ablaufs der Aufbewahrungsfrist folgt. Die Vernichtung wird durch ein dauerhaft aufbewahrtes Kassationsprotokoll bestätigt. Die Vorschrift gilt nicht für Einrichtungen, die dem Gesetz über den nationalen Archivbestand und die Archive unterliegen. Wesentliche Einrichtungen müssen mindestens alle 3 Jahre ein Sicherheitsaudit durchführen; die Behörde kann zudem ein externes Audit anordnen. Wesentliche Einrichtungen führen ihr erstes Audit bis zum 3. April 2028 durch. Ausgenommen sind bisherige Betreiber wesentlicher Dienste, die bereits ein Audit durchgeführt haben – für sie gilt die Frist für das erste Audit nicht, und sie setzen den Dreijahreszyklus fort, gerechnet ab dem Tag der Erstellung und Unterzeichnung des Berichts über das letzte Audit (Art. 25 des Änderungsgesetzes). Ein bisheriger Betreiber ohne durchgeführtes Audit unterliegt der allgemeinen Frist.

Bei der Auditplanung übersehen Unternehmen häufig eine Einschränkung: Das Audit darf nicht von einer Person durchgeführt werden, die in der geprüften Einrichtung Aufgaben nach Art. 8 sowie Art. 9–13 wahrnimmt oder sie im Jahr vor Beginn des Audits wahrgenommen hat. In der Praxis schließt das das eigene Sicherheitsteam und den Berater aus, der das ISMS eingeführt hat – das Audit ist mit einem anderen Dienstleister zu planen.

Verantwortung der Unternehmensführung

Die Geschäftsführung der Einrichtung (z. B. der Vorstand eines Unternehmens) ist für die Erfüllung dieser Pflichten verantwortlich – auch wenn die Aufgaben an andere delegiert wurden. Insbesondere obliegt der Geschäftsführung:

• die Genehmigung von Sicherheitsmaßnahmen und die Überwachung ihrer Umsetzung,
• die Bereitstellung organisatorischer und finanzieller Ressourcen,
• Benennt mindestens 2 Kontaktpersonen für das nationale Cybersicherheitssystem (mindestens 1 bei Kleinst- und Kleinunternehmen sowie bei öffentlichen Einrichtungen, die als wichtige Einrichtung gelten),
• die Bereitstellung von Wissen über Cyberbedrohungen für die Nutzer des Dienstes, insbesondere auf der Website – ein Hyperlink auf die Seiten der zuständigen Behörde oder eines CSIRT genügt,
• die Bereitstellung einer Möglichkeit für die Nutzer, eine Cyberbedrohung, einen Vorfall oder eine Schwachstelle im Zusammenhang mit dem erbrachten Dienst zu melden.

Die Geschäftsleitung der Einrichtung sowie die Person, der ihre Cybersicherheitspflichten übertragen wurden, nehmen zudem einmal je Kalenderjahr an einer Schulung teil. Das Gesetz legt deren Umfang fest – sie umfasst die Erfüllung der Pflichten unter anderem aus Art. 8, 8d, 8f, 9–12b, 14 und 15 – und die Teilnahme muss dokumentiert werden. Das Fehlen einer solchen Schulung ist ein eigenständiger Bußgeldtatbestand gegenüber der Geschäftsleitung, ebenso wie das Fehlen eines Meldekanals für die Nutzer.

Das Gesetz sieht Geldbußen vor, die direkt gegen Führungskräfte verhängt werden können, und verlangt, dass Personen, die Cybersicherheitsaufgaben wahrnehmen, nicht vorbestraft sind.

Sanktionen

Bevor eine Sanktion verhängt wird, setzt die Behörde in der Regel „weiche“ Maßnahmen ein – etwa Empfehlungen, Anordnungen zur Umsetzung bestimmter Maßnahmen, Inspektionen oder Audits sowie Fristen zur Behebung von Verstößen. Bleibt eine Reaktion aus, kommt es jedoch zu finanziellen Sanktionen.

Beträgt der Zeitraum der wirtschaftlichen Tätigkeit weniger als 12 Monate oder hat die Einrichtung keine Einnahmen erzielt, wird als Bemessungsgrundlage ein Betrag von 500.000 EUR für wesentliche und 250.000 EUR für wichtige Einrichtungen zugrunde gelegt; die Geldbuße darf 20.000 PLN bzw. 15.000 PLN nicht unterschreiten. Bei der Festsetzung der Höhe berücksichtigt die Behörde unter anderem die Einnahmen des dem Bescheid vorangegangenen Geschäftsjahres sowie – bei öffentlichen Einrichtungen und bei der Geschäftsleitung – deren finanzielle Leistungsfähigkeit.

Unabhängig von der Geldbuße für den Verstoß selbst kann die Behörde ein Zwangsgeld zur Durchsetzung einer Aufsichtsentscheidung verhängen – zwischen 500 PLN und 100.000 PLN für jeden Tag der Verzögerung (Art. 76b Abs. 1 KSC-Gesetz). Dieses Zwangsgeld unterliegt jedoch derselben zweijährigen Übergangsfrist wie die übrigen Geldbußen: Art. 35 des Änderungsgesetzes nennt Art. 76b ausdrücklich, sodass es erstmals ab dem 3. April 2028 verhängt werden kann.

Das Gesetz sieht zudem eine außerordentliche Geldbuße von bis zu 100.000.000 PLN vor (Art. 73 Abs. 5 des Gesetzes). Es gibt zwei alternative Tatbestände: eine unmittelbare und schwerwiegende Cyberbedrohung für die Landesverteidigung, die Staatssicherheit, die öffentliche Sicherheit und Ordnung oder Leben und Gesundheit von Menschen; oder die Gefahr eines erheblichen Vermögensschadens bzw. erheblicher Beeinträchtigungen der Diensterbringung. Der zweite Tatbestand setzt keinen staatlichen Bezug voraus, die Vorschrift gilt also nicht nur für kritische Infrastrukturen. Wichtig: Die Geldbuße ist zwingend – das Gesetz bestimmt, dass die Behörde sie „verhängt“, nicht dass sie sie verhängen „kann“; das Ermessen betrifft die Höhe, nicht die Entscheidung als solche.

Geldbußen werden auch persönlich gegen die Leitung der Einrichtung verhängt, unabhängig von der gegen die Einrichtung verhängten Geldbuße: bis zu 300 % der Vergütung bei einer privaten Einrichtung und bis zu 100 % bei einer öffentlichen Einrichtung, es sei denn, die öffentliche Einrichtung unterliegt dem Gesetz zusätzlich aufgrund eines Sektors aus Anhang 1 oder 2 – dann gilt die Obergrenze von 300 %; berechnet nach denselben Grundsätzen wie das Urlaubsgeldäquivalent. Die Behörde kann zudem die Umsetzung bestimmter Maßnahmen anordnen, ein Audit durchführen, einer Person vorübergehend die Ausübung von Führungsfunktionen untersagen oder – bei einer wesentlichen Einrichtung – die Erbringung der Dienstleistung aussetzen.

Hinweis zu den Fristen: Für Einrichtungen, die am 3. April 2026 die Kriterien erfüllten, können die Aufsichtsbehörden Geldbußen ab dem 3. April 2028 verhängen (Art. 35 des Änderungsgesetzes). Die zweijährige Übergangsfrist erfasst jedoch nicht die außerordentliche Geldbuße von bis zu 100.000.000 PLN nach Art. 73 Abs. 5 des Gesetzes – Art. 35 des Änderungsgesetzes nennt Art. 73 Abs. 1–4, Art. 73a–73c und Art. 76b, nicht aber Absatz 5. Diese Geldbuße wird daher ab dem Tag des Inkrafttretens des Gesetzes verhängt. Die Übergangsfrist für Geldbußen verschiebt nicht die Umsetzungsfristen. Die Pflichten aus Kapitel 3 des Gesetzes – einschließlich der Meldung von Sicherheitsvorfällen und der Pflichten der Geschäftsleitung – erfüllen die Einrichtungen innerhalb von 12 Monaten nach Inkrafttreten des Gesetzes, also bis zum 3. April 2027 (Art. 33 Abs. 1 des Änderungsgesetzes). Ausgenommen sind bisherige Betreiber wesentlicher Dienste, die Sicherheitsvorfälle bereits nach 6 Monaten nach den neuen Regeln melden (Art. 33 Abs. 4).

Hochrisikolieferant – ein neues Risiko in der Lieferkette

Der für Digitalisierung zuständige Minister kann einen Hardware- oder Softwarelieferanten als Hochrisikolieferanten einstufen, wenn dieser eine Bedrohung für die nationale Sicherheit darstellt. Die Entscheidung (veröffentlicht im Monitor Polski) bedeutet unter anderem für Unternehmen, die solche Produkte nutzen:

• ein Verbot der Inbetriebnahme der von der Entscheidung betroffenen IKT-Produkte, -Dienste oder -Prozesse,
• die Verpflichtung, bereits genutzte Lösungen auslaufen zu lassen – in der Regel innerhalb von 7 Jahren (4 Jahre für kritische Telekommunikationsfunktionen).

Dies ist ein praktischer Aspekt der Beschaffungsplanung und der IT-Architektur – es lohnt sich, die Abhängigkeit von wichtigen Lieferanten bereits heute zu erfassen.

Sicherheitsmaßnahmen bei kritischen Vorfällen

Im Falle eines kritischen Vorfalls kann der für digitale Transformation zuständige Minister eine unmittelbar vollstreckbare Sicherheitsanordnung erlassen (z. B. eine Anweisung zur Installation eines Patches, zur Umsetzung einer bestimmten Konfiguration, zur Aussetzung der Softwareverteilung oder zur Einschränkung des Netzwerkverkehrs), die bis zu 2 Jahre in Kraft bleiben kann. Unternehmen müssen in der Lage sein, eine solche Anordnung schnell umzusetzen.

Was NIS2 für Unternehmen tatsächlich verändert

1. Die Geschäftsführung ist persönlich für Cybersicherheit verantwortlich

Cybersicherheit ist nicht mehr allein Sache der IT-Abteilung – Entscheidungen über Risikotoleranz, Sicherheitsbudget und Investitionsprioritäten wandern auf die Ebene der Geschäftsführung, zusammen mit der Verantwortung dafür.

2. Compliance ohne Umsetzung funktioniert nicht

Dokumente ohne tatsächliche Prozesse bestehen kein Audit, mindern kein Risiko und schützen nicht vor Sanktionen. Die Behörde bewertet keine Erklärungen. Gegenüber wesentlichen Einrichtungen ermächtigt das Gesetz sie ausdrücklich, Nachweise über die Erfüllung der Anforderungen aus Art. 8 Abs. 1 sowie die zur Bewertung der umgesetzten Maßnahmen erforderlichen Informationen anzufordern (Art. 53 Abs. 2 Nr. 4 und 6). Die Aufsicht über wichtige Einrichtungen erfolgt nachträglich, doch dieselben Unterlagen werden im Rahmen einer Kontrolle geprüft. In der Praxis heißt das: Für jeden Bereich muss klar sein, welches Dokument oder welcher Nachweis ihn belegt – und wo er liegt.

Die häufigsten Fehler, die wir beobachten

• „Wir haben noch Zeit“ – die Umsetzung dauert in der Regel 6 bis 12 Monate.
• „Wir bereiten die Dokumentation vor“ – NIS2 erfordert Handeln, nicht Papierarbeit.
• „Wir sind kein kritischer Sektor“ – die meisten Unternehmen fallen in die Kategorie „wichtig“, und manche sind über die Lieferkette einbezogen.

Wie Sie an NIS2 herangehen sollten

• Schnellbewertung (2–4 Wochen): Fällt das Unternehmen unter NIS2? Wie ist es einzustufen? Welche Lücken bestehen im Verhältnis zu den Anforderungen?
• Umsetzungsplan: Prioritäten, Roadmap, Budget.
• Systemumsetzung: Informationssicherheits-Managementsystem (ISMS), Prozesse, Werkzeuge, Integration mit S46.
• Vorbereitung auf Audits und laufende Vorfallmeldung.

Zusammenfassung

NIS2 ist kein IT-Projekt und keine einmalige Umsetzung – es ist ein Wandel in der Art und Weise, wie eine Organisation im Bereich Sicherheit agiert. Unternehmen, die dies strategisch angehen, werden ihre operative Widerstandsfähigkeit erhöhen, ihre IT-Prozesse optimieren und einen Wettbewerbsvorteil erlangen. Die übrigen werden dieselben Anforderungen später umsetzen, meist unter größerem Zeitdruck.

Sie sind unsicher, ob das Gesetz für Ihre Organisation gilt? Beginnen Sie mit dem Selbstbewertungsfragebogen auf biznes.gov.pl (auf Polnisch). Wenn Sie die Einstufung und die Lückenanalyse gemeinsam mit jemandem durchgehen möchten, der das schon getan hat – schreiben Sie uns.

Rechtsstand: 15. September 2026. Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar; die Einstufung eines konkreten Unternehmens erfordert eine individuelle Analyse seiner Tätigkeit, Größe und Eigentümerstruktur.

Quellen:

• Die NIS2-Richtlinie (EU) 2022/2555 sowie das Gesetz über das nationale Cybersicherheitssystem (Anhänge 1 und 2).
• biznes.gov.pl
• cyber.gov.pl