Die Frist für die Einreichung eines Antrags auf Aufnahme in die Liste der Schlüssel- und wichtigen Einrichtungen (KSC-Liste) endete am Samstag, dem 3. Oktober 2026. Diese Frist galt für Einrichtungen, die die Kriterien für die Anerkennung als Schlüssel- oder wichtige Einrichtung zum Zeitpunkt des Inkrafttretens der Änderung des Gesetzes über das Nationale Cybersicherheitssystem am 3. April 2026 erfüllten. Ein Versäumnis der Frist schließt eine Aufnahme jedoch nicht aus, und sinnvolle Korrekturmaßnahmen können das mit Verzögerungen verbundene Risiko erheblich verringern.
Statusprüfung
Bevor eine Organisation davon ausgeht, eine Frist versäumt zu haben, sollte sie überprüfen, ob sie die Frist tatsächlich eingehalten hat. In der Praxis lohnt es sich, drei Dinge zu überprüfen:
- Das Gesetz legt den Sektor und die Art der tatsächlichen Geschäftstätigkeit gemäß den Anhängen 1 und 2 sowie in der Regel auch die Unternehmensgröße fest. Maßgeblich ist die tatsächliche Tätigkeit, nicht der PKD-Code. Bei der Ermittlung der Größe werden grundsätzlich auch Daten von Partner- und verbundenen Unternehmen berücksichtigt. Das Gesetz sieht jedoch eine Ausnahme für Unternehmen vor, die hinsichtlich ihrer Informationssysteme unabhängig sind. Laut Ministerium für Digitales werden Daten solcher Unternehmen nicht einbezogen, wenn die Erbringung von Dienstleistungen durch das Unternehmen deren Tätigkeit nicht erfordert oder wenn sie nicht dieselbe, vom Gesetz erfasste Dienstleistung erbringen. Unternehmen innerhalb von Kapitalgruppen sollten diese Frage besonders sorgfältig prüfen.
- Der Minister für Digitales hat unter anderem öffentliche Einrichtungen, Telekommunikationsunternehmen, Vertrauensdiensteanbieter und bestehende Betreiber wesentlicher Dienste offiziell in das System aufgenommen. Diese Einrichtungen hatten keinen Antrag auf Aufnahme gestellt. Sie sind jedoch verpflichtet, ihre Daten innerhalb von sechs Monaten nach Erhalt der Aufforderung zu vervollständigen und alle Aktivitäten zu melden, die nicht von der offiziellen Aufnahme erfasst werden.
- Die Frist vom 3. Oktober galt nur für Organisationen, die die Kriterien am 3. April 2026 erfüllten. Sollte eine Organisation später zu einer Schlüssel- oder wichtigen Organisation werden, beispielsweise durch eine Erhöhung der Beschäftigtenzahl, eine Übernahme oder die Gründung eines neuen Unternehmens, hat sie ab diesem Zeitpunkt sechs Monate Zeit. In diesem Fall ist die Frist möglicherweise noch nicht abgelaufen.
Reichen Sie Ihre Bewerbung umgehend ein
Bestätigt die Analyse, dass die Organisation den Antrag bis zum 3. Oktober hätte einreichen müssen, sollte sie dies umgehend nachholen. Die Einreichung erfolgt elektronisch über die Anwendung „KSC Register“ (wykaz-ksc.gov.pl), die Teil des S46-Systems ist. Das Verfahren ist dasselbe wie vor Ablauf der Frist. Die Registrierung erfolgt nach Einreichung eines vollständigen und ordnungsgemäß unterzeichneten Antrags; die Behörde trifft in diesem Fall keine Entscheidung.
Die Situation dokumentieren
Die Verhängung einer Strafe wegen verspäteter Antragstellung ist optional. Die Behörde kann eine solche Strafe verhängen, wenn die Schwere und Bedeutung des Verstoßes dies rechtfertigen. Die NIS2-Richtlinie (Artikel 34 Absatz 2) sieht zudem vor, dass bei der Entscheidung über die Strafe unter anderem die Dauer des Verstoßes, die von der Einrichtung ergriffenen Maßnahmen und der Grad ihrer Kooperation mit der Behörde berücksichtigt werden. Daher empfiehlt es sich, eine Dokumentation zu erstellen, die den Nachweis des sorgfältigen Vorgehens der Organisation ermöglicht. Diese Dokumentation sollte Folgendes enthalten:
- Eine Beschreibung, wann und wie die Organisation ihren Status festgelegt hat, zusammen mit der Begründung für die getroffene Klassifizierung.
- Eine sachliche Erläuterung der Umstände, z. B. Auslegungszweifel hinsichtlich der Frage, ob eine bestimmte Tätigkeit unter das Gesetz fällt.
- Datum der Antragstellung und durchgeführte Anpassungsmaßnahmen.
Das Gesetz verpflichtet nicht dazu, die Behörde selbstständig über die Gründe für die Verzögerung zu informieren. Vorab erstellte Unterlagen stellen jedoch wertvolles Material dar, sollte die Behörde Interesse an dem Sachverhalt zeigen.
Weitere Maßnahmen
Die Einreichung eines Antrags nach Ablauf der Frist behebt lediglich einen Mangel. Die Eintragung ist deklaratorischer Natur, und die sich aus dem Gesetz ergebenden Verpflichtungen gelten für die Organisation ab dem Zeitpunkt der Erfüllung der Bedingungen, unabhängig von der Registrierung. Organisationen, die sich verspäten, haben weniger Zeit für die weiteren Schritte. Bis zum 3. April 2027 müssen sie das S46-System nutzen und ein Informationssicherheits-Managementsystem (ISMS) implementieren sowie die übrigen Verpflichtungen gemäß Kapitel 3 des Gesetzes erfüllen. Den Fahrplan für die ISMS-Implementierung haben wir in einem früheren Artikel dieser Reihe erläutert.
Welche Folgen hat es, sich nicht zu registrieren?
Reicht das Unternehmen den Antrag weiterhin nicht ein, kann die Cybersicherheitsbehörde es von Amts wegen in das Register eintragen (Artikel 7j des Gesetzes). Sie fordert das Unternehmen dann auf, innerhalb von sechs Monaten zusätzliche Informationen vorzulegen. Die Nichtbeachtung dieser Aufforderung stellt einen separaten Grund für die Verhängung einer Strafe dar. Allein die Nichteinhaltung der Frist für die Antragstellung ist mit einer Geldbuße (Artikel 73 Absatz 1a Nummer 1) in Höhe von [Betrag einfügen] geahndet
- für eine Schlüsseleinheit: bis zu 10 Millionen Euro oder 2 % der im vorangegangenen Geschäftsjahr erzielten Einnahmen aus Geschäftstätigkeiten (je nachdem, welcher Betrag höher ist), jedoch nicht weniger als 20.000 PLN;
- Für ein großes Unternehmen: bis zu 7 Millionen Euro oder 1,4 % des Umsatzes (je nachdem, welcher Betrag höher ist), mindestens jedoch 15.000 PLN.
Gemäß den Übergangsbestimmungen des Änderungsgesetzes dürfen diese Strafen erst ab dem 3. April 2028 erstmals verhängt werden. Die Übergangsfrist verschiebt die Verhängung der Strafen jedoch lediglich. Sie befreit nicht von den Verpflichtungen und bedeutet auch nicht, dass Verzögerungen unerheblich sind. Eine Eigeninitiative bei der Registrierung, selbst mit Verzögerung, stellt eine Organisation deutlich besser dar als das Abwarten der offiziellen Registrierung.
Zusammenfassend lässt sich sagen, dass der Stichtag 3. Oktober nicht bedeutet, dass die Situation der Organisation endgültig ist. Jetzt ist schnelles und systematisches Handeln entscheidend: den Status bestätigen, umgehend einen aussagekräftigen Antrag einreichen, die Gründe für die Verzögerung dokumentieren und die Geschäftsleitung einbeziehen. Parallel dazu sollte die Organisation die Vorbereitungen für die ISMS-Implementierung fortsetzen, da April 2027 in gut sechs Monaten ansteht.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 8. Oktober 2026.
