Das polnische Gesetz über das Nationale Cybersicherheitssystem (KSC) zur Umsetzung der EU-Richtlinie NIS2 trat am 3. April 2026 in Kraft. Seine Verabschiedung markierte einen grundlegenden Wandel im Modell der Cybersicherheitsaufsicht. Der bisherige Mechanismus, bei dem der Status als Schlüsselunternehmen durch individuelle Verwaltungsentscheidung vergeben wurde, wurde abgeschafft. Unternehmen sind nun selbst für die Selbstidentifizierung verantwortlich – sie müssen prüfen, ob sie gemäß den neuen Bestimmungen als Schlüssel- oder wichtiges Unternehmen gelten und, falls sie die Kriterien erfüllen, bis zum 3. Oktober 2026 einen Antrag auf Eintragung in das Register stellen.
Wer unterliegt den Bestimmungen? Beschäftigungs- und Umsatzschwellenwerte
Das neue KSC-Gesetz erfasst grundsätzlich mittlere und große Unternehmen bestimmter Wirtschaftszweige. Gemäß den EU-KMU-Qualifizierungsstandards gilt ein Unternehmen als von der Regelung erfasst, wenn es mindestens die folgenden Kriterien erfüllt:
- beschäftigt mindestens 50 Mitarbeiter oder
- hat einen Jahresumsatz von mindestens 10 Millionen Euro oder eine Jahresbilanzsumme von mindestens 10 Millionen Euro.
Kleinst- und Kleinunternehmen (mit weniger als 50 Beschäftigten und einem Umsatz oder einer Bilanzsumme von unter 10 Millionen Euro) fallen grundsätzlich nicht unter das Gesetz. Die Verordnung sieht jedoch wichtige Ausnahmen vor. Kleinere Unternehmen unterliegen den Anforderungen auch dann, wenn sie als einziger Anbieter einer wesentlichen Dienstleistung in einem bestimmten Gebiet fungieren, bestimmte digitale Dienstleistungen erbringen (z. B. Vertrauensdiensteanbieter, Domainnamenregistrierungsstellen, Anbieter elektronischer Kommunikationsnetze) oder wenn ihre Störung ein erhebliches systemisches Risiko darstellen könnte.
Wichtige und Schlüsselbranchen: Ist Ihre Branche auf der Liste?
Die Änderung erweitert die Liste der von Cybersicherheitsvorschriften erfassten Branchen erheblich und unterteilt sie in zwei Ebenen des Regulierungsrahmens:
- Kritische Einrichtungen: Dazu gehören traditionelle kritische Infrastruktursektoren wie Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasserversorgung und -verteilung, Abwasser, digitale Infrastruktur, ICT-Dienstleistungsmanagement (einschließlich B2B Managed Service Provider) und öffentliche Verwaltung.
- Wichtige Akteure: umfassen Sektoren von hoher wirtschaftlicher und sozialer Bedeutung, darunter Post- und Kurierdienste, Abfallwirtschaft, chemische Produktion und Vertrieb, Lebensmittelproduktion und -verarbeitung, ausgewählte Fertigungsindustrien (z. B. Produktion von Medizinprodukten, Computern, Elektrogeräten oder Fahrzeugen) sowie Anbieter digitaler Dienstleistungen (Online-Handelsplattformen, Suchmaschinen, soziale Netzwerke).
Selbstidentifizierung ohne Abwarten der Entscheidung der Behörde
Die wichtigste praktische Änderung besteht darin, dass Unternehmer nicht länger von der Pflicht zum Handeln befreit sind. Die Änderung des Handelsgesetzbuches führt die Verantwortung für die eigene Überprüfung ein. Die Nichtvorlage einer behördlichen Anordnung entbindet das Unternehmen nicht von seinen Verpflichtungen.
Der Unternehmer muss die Art seiner Geschäftstätigkeit selbstständig analysieren, die angebotenen Dienstleistungen gemäß den Anhängen des Gesetzes klassifizieren und diese Daten anschließend mit seiner Beschäftigungsstruktur und seinen Finanzen vergleichen. Dabei ist zu beachten, dass bei der Beurteilung der Unternehmensgrößenschwelle Kapital- und persönliche Verbindungen zu anderen Unternehmen der Gruppe zu berücksichtigen sind (gemäß Anhang I der EG-Verordnung Nr. 651/2014). Dies kann dazu führen, dass eine formal kleine Tochtergesellschaft als Teil eines größeren Unternehmens betrachtet wird.
Wie man sich auf Veränderungen vorbereitet
Organisationen sollten unverzüglich mit dem formellen Selbstidentifizierungsprozess beginnen, um die bevorstehende Frist am 3. Oktober 2026 einzuhalten:
- Analysieren Sie die Konzernstruktur und die Finanzkennzahlen: Überprüfen Sie den Beschäftigungsstatus, den Jahresumsatz und die Bilanzsumme für die letzten genehmigten Berichtszeiträume unter Berücksichtigung verbundener Unternehmen und Partnergesellschaften.
- Kartieren Sie Ihr Unternehmen: Vergleichen Sie sorgfältig die PKD-Codes und die tatsächlich erbrachten Dienstleistungen mit der Liste der Sektoren und Untersektoren, die im neuen KSC-Gesetz aufgeführt sind.
- Prüfen Sie auf Ausnahmen: Prüfen Sie, ob das Unternehmen, obwohl es die Größenschwellenwerte nicht überschreitet, keine Dienstleistungen erbringt, die einen Engpass für das Funktionieren des Marktes oder die Staatssicherheit darstellen.
- Den Verifizierungsprozess dokumentieren: ein internes Selbstidentifizierungsprotokoll erstellen – sowohl für den Fall, dass festgestellt wird, dass das Unternehmen dem Gesetz unterliegt (was die Grundlage für die Eintragung in das Register bildet), als auch für den Fall, dass festgestellt wird, dass die KSC-Regelung nicht auf es anwendbar ist (im Falle einer möglichen Inspektion).
Um zusammenzufassen
Ab dem 3. April 2026 läuft die Zeit für Unternehmer, die ihr Unternehmen einer sorgfältigen rechtlichen und organisatorischen Prüfung unterziehen. Die Frist für die Eintragung in die Liste der Schlüsselunternehmen ist der 3. Oktober 2026 und muss unbedingt eingehalten werden. Eine Nichteinhaltung kann rechtliche Konsequenzen nach sich ziehen. Aufgrund der Komplexität der Berechnung von Schwellenwerten innerhalb von Kapitalgruppen und der Bewertung des Umfangs der angebotenen Dienstleistungen empfiehlt es sich, die Ergebnisse der Selbsteinschätzung mit einem Fachanwalt für Cybersicherheitsrecht zu besprechen.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 5. August 2026.
