Das KSC/NIS2-Audit 2026: wer erfasst ist, was zu prüfen ist und wann

NIS2 und KSC: welcher Rechtsakt in Polen gilt

Die Richtlinie (EU) 2022/2555, genannt NIS2, legt ein gemeinsames europäisches Niveau für Schutz, Aufsicht und Meldung von Vorfällen fest. ^[3] Die Mitgliedstaaten setzen sie in nationales Recht um. In Polen geschah dies durch das Gesetz vom 23. Januar 2026 zur Änderung des KSC-Gesetzes, geltend seit dem 3. April 2026. ^[2]

Die Bezeichnung "UKSC" wird bisweilen als Kurzform für den Entwurf oder die Novelle gebraucht. Sie ist jedoch kein Name für ein eigenes, noch ausstehendes Rechtssystem. Ein Audit muss die konkrete Vorschrift des geltenden KSC-Gesetzes, die einschlägige Anlage und den anwendbaren Durchführungsrechtsakt benennen. Eine Abbildung auf die Artikel 20, 21 und 23 der NIS2 hilft, den Regelungszweck zu verstehen, ersetzt aber nicht die Prüfung des polnischen Rechts.

Wer wesentliche und wer wichtige Einrichtung ist

Das polnische Gesetz verwendet die Begriffe wesentliche Einrichtung und wichtige Einrichtung. Sie dürfen weder vertauscht noch durch die frühere Kategorie des Betreibers wesentlicher Dienste ersetzt werden. Ausgangspunkt sind Anlage 1 "Wesentliche Sektoren" und Anlage 2 "Wichtige Sektoren", die Einordnung verlangt jedoch einen mehrstufigen Test. ^[1]

1. Dienst und Sektor. Die tatsächlich ausgeübte Tätigkeit ist einer konkreten Einrichtungsart in der Anlage zuzuordnen, nicht lediglich einer allgemeinen Branchenbezeichnung oder einem Tätigkeitsschlüssel.
2. Größe des Unternehmens. Wo das Gesetz auf die Größe abstellt, gilt Anhang I der Verordnung (EU) Nr. 651/2014. ^[6] Das bedeutet unter anderem, Partnerunternehmen und verbundene Unternehmen einzubeziehen. Die verbreitete Faustregel "50 Beschäftigte oder 10 Mio. Euro" ist zu vereinfachend, um den Status zu entscheiden.
3. Größenunabhängige Ausnahmen. Das Gesetz nennt Kategorien, die unabhängig von der Größe wesentlich sein können, darunter DNS-Anbieter, qualifizierte Vertrauensdiensteanbieter, Registrierstellen für Domänen oberster Stufe, kritische Einrichtungen und bestimmte öffentliche Stellen.
4. Besondere Vorschriften und Entscheidungen. Die Behörde kann durch Entscheidung eine Organisation als wesentliche oder wichtige Einrichtung einstufen, wenn ihr Dienst auf Ebene der Woiwodschaft, des Landes oder mehrerer Sektoren außergewöhnliche Bedeutung hat.

In der Verwaltung gilt kein Grundsatz "jede Gebietskörperschaft ist wesentliche Einrichtung". Das Gesetz stuft einzelne öffentliche Stellen gesondert ein. Unter den wichtigen Einrichtungen nennt es unter anderem kommunale Haushaltseinheiten und Eigenbetriebe, kommunale Kultureinrichtungen sowie Gesellschaften, die Aufgaben der Daseinsvorsorge erfüllen. Erforderlich ist die Analyse der konkreten juristischen Person oder Organisationseinheit, ihrer Rechtsgrundlage und der erbrachten Dienste. ^[1]

Ergebnis der Einordnung sollte ein schriftliches Memorandum sein: Angabe der Vorschrift, der Position in der Anlage, der Finanz- und Beschäftigtendaten samt Aggregationsregeln, der Ausnahmen und des Eintragungswegs. Der Auditor sollte zudem prüfen, ob Eigentümerwechsel, die Übernahme eines neuen Dienstes oder das Wachstum der Gruppe eine frühere Bewertung verändert haben.

Der Fristenkalender: 2026-2028

• 3. April 2026 - Inkrafttreten der Novelle.
• 13. April bis 6. Mai 2026 - erste Eintragungen von Amts wegen, die unter anderem bisherige Betreiber wesentlicher Dienste, Vertrauensdiensteanbieter, Telekommunikationsunternehmen und öffentliche Stellen erfassen.
• 7. Mai bis 3. Oktober 2026 - erste Selbstregistrierungsfrist für Einrichtungen, welche die Voraussetzungen am Tag des Inkrafttretens erfüllten und nicht von Amts wegen eingetragen wurden.
• 3. April 2027 - für am Tag des Inkrafttretens erfasste Einrichtungen das Ende der Frist zur Umsetzung der Pflichten aus Kapitel 3 und zur Aufnahme der Nutzung des Systems S46.
• 3. April 2028 - Frist für das erste gesetzliche Audit wesentlicher Einrichtungen, die zuvor keine Betreiber wesentlicher Dienste waren; bisherige Betreiber behalten ihren eigenen Auditzyklus.
• Nach dem 3. April 2028 - die in Artikel 35 des Änderungsgesetzes aufgeführten neuen Geldbußen dürfen erstmals verhängt werden. Diese Übergangsregel verschiebt weder die zugrunde liegenden Pflichten noch deren jeweilige Umsetzungsfristen.

Eine Organisation, welche die Voraussetzungen später erfüllt, berechnet die maßgeblichen Fristen ab dem Zeitpunkt der Erfassung nach Artikel 16. Der Zeitplan ist daher individuell zu führen und nicht aus dem Kalender einer vor der Novelle bestehenden Einrichtung zu übernehmen. Die amtliche Fristenübersicht veröffentlicht das Ministerium für Digitalisierung. ^[5]

Was im Informationssicherheits-Managementsystem zu auditieren ist

Artikel 8 des Gesetzes verlangt die Einführung eines ISMS in den Informationssystemen, die in Prozessen genutzt werden, welche die Diensterbringung beeinflussen. Die Maßnahmen sollen dem Risiko, der Größe der Organisation, der Wahrscheinlichkeit von Vorfällen, deren gesellschaftlichen und wirtschaftlichen Folgen, den Umsetzungskosten und dem Stand der Technik angemessen und verhältnismäßig sein. ^[1]

Ein Audit sollte diese Vorschrift nicht auf eine Liste von zehn Richtlinien verkürzen. Es sollte prüfen, ob der Risikomanagementmechanismus tatsächlich umfasst:

• Sicherheitsrichtlinien, die Risikomethodik und Entscheidungen zur Risikobehandlung;
• sichere Beschaffung, Entwicklung, Wartung und den Betrieb von Systemen, einschließlich Tests und Schwachstellenmanagement;
• physische, umgebungsbezogene und personelle Sicherheit sowie Zugriffskontrolle;
• die Lieferkette, vertragliche Anforderungen und das Risiko der Abhängigkeit von Lieferanten;
• Betriebskontinuität, Notfall- und Wiederherstellungspläne sowie Nachweise ihrer Erprobung;
• fortlaufende Überwachung der die Dienstleistung beeinflussenden Systeme und die Bewertung der Wirksamkeit der Maßnahmen;
• Schulung des Personals, Cyberhygiene und Schulungen der Leitung;
• Kryptografie, Verschlüsselung und sichere Kommunikation, einschließlich Mehr-Faktor-Authentifizierung, wo angemessen;
• Inventar der Werte, Softwareaktualisierungen sowie den Umgang mit Bedrohungen und Schwachstellen;
• Vorfallmanagement: Erkennung, Einstufung, Reaktion, Kommunikation, Meldung und Auswertung nach dem Vorfall.

Eine wichtige Ausnahme für den öffentlichen Sektor: Eine wichtige Einrichtung, die eine öffentliche Stelle ist - sowie die im Gesetz genannten Einrichtungen des Hochschul- und Wissenschaftssystems -, erfüllt öffentliche Aufgaben nach dem besonderen Regime des Artikels 8 Abs. 3 und den Anforderungen der Anlage 4. Ein Audit darf nicht mechanisch dieselbe Matrix anwenden wie für ein Unternehmen nach Artikel 8 Abs. 1. ^[1]

Bei DNS-Anbietern, TLD-Registrierstellen, Cloud, Rechenzentren, CDN, verwalteten Diensten und verwalteten Sicherheitsdiensten, Online-Marktplätzen, Suchmaschinen und sozialen Plattformen ist zusätzlich die Durchführungsverordnung (EU) 2024/2690 der Kommission zu berücksichtigen. ^[4]

Der Umfang endet nicht bei Artikel 8

Die Artikel 9 und 10 ergänzen organisatorische und dokumentarische Pflichten. Grundsätzlich benennt eine Einrichtung mindestens zwei Personen für den Kontakt mit dem nationalen Cybersicherheitssystem; Kleinst- und Kleinunternehmen sowie eine wichtige Einrichtung, die eine öffentliche Stelle ist, benennen mindestens eine. Nutzern ist zudem eine Möglichkeit zu geben, Cyberbedrohungen, Vorfälle oder Schwachstellen zu melden, und nach der Eintragung ist die Nutzung von S46 aufzunehmen.

Die Sicherheitsdokumentation umfasst einen normativen und einen operativen Teil. Ein Audit sollte daher nicht nur Richtlinien prüfen, sondern auch die Aufzeichnungen, welche die Durchführung der Verfahren belegen, einschließlich automatisch erzeugter Protokolle. Artikel 10 regelt darüber hinaus Versionsführung, Zugriff, Integrität und Aufbewahrung der Dokumentation. ^[1]

Verantwortung der Leitung und Auslagerung

Die Leitung der Einrichtung verantwortet die Erfüllung der Pflichten aus dem KSC-Gesetz. Wird die Organisation von einem mehrköpfigen Organ geführt und ist keine konkrete Person benannt, erstreckt sich die Verantwortung auf alle Mitglieder. Die Übertragung von Aufgaben an einen CISO, die IT-Abteilung oder einen Dienstleister hebt diese Verantwortung nicht auf. ^[1]

In der Praxis sollte ein Audit Nachweise dafür suchen, dass die Leitung:

• das ISMS und die Kriterien der Risikoakzeptanz genehmigt hat und regelmäßig überprüft;
• eine angemessene Finanzierung sichergestellt und Verantwortliche benannt hat;
• aussagekräftige Berichte über Risiken, Vorfälle, Schwachstellen und den Stand der Abhilfemaßnahmen erhält;
• die für Cybersicherheitsaufgaben leitende Person benannt hat und deren Arbeit beaufsichtigt;
• die geforderte Schulung einmal in jedem Kalenderjahr sichergestellt und die Teilnahme dokumentiert hat.

Das Gesetz schreibt weder einen vier- noch einen achtstündigen Kurs vor und verlangt kein bestimmtes Schulungszertifikat. Die Inhalte sollten der Leitung jedoch erlauben, die eigenen Pflichten zu verstehen und das Risiko der Organisation zu beurteilen.

Zum Umfang organisatorischer Kontrollen gehört auch Artikel 8f. Personen, die zur Wahrnehmung der im Gesetz bezeichneten Aufgaben des ISMS und der Vorfallbehandlung benannt sind, legen vor deren Aufnahme eine Auskunft aus dem Strafregister vor, welche das Fehlen von Verurteilungen wegen Straftaten gegen den Schutz von Informationen bestätigt. Das Gesetz sieht eine Ausnahme für Personen mit gültiger Sicherheitsermächtigung für Verschlusssachen mindestens der Stufe "vertraulich" vor. Ein Audit sollte die Pflicht selbst und den sicheren Umgang mit dem Dokument prüfen, ohne überflüssige Kopien von Strafregisterdaten anzulegen. ^[1]

Artikel 14 erlaubt den Aufbau einer internen Struktur oder den Abschluss eines Vertrags mit einem Anbieter verwalteter Cybersicherheitsdienste. Auslagerung ist somit zulässig, doch der Vertrag muss der Einrichtung die fristgerechte Einstufung und Bearbeitung von Vorfällen, den Zugang zu Nachweisen, die Kontrolle von Unterauftragnehmern, die Dienstkontinuität und ein Audit des Anbieters ermöglichen. Die Verantwortung der Leitung verbleibt bei der Organisation.

Vorfälle: 24 Stunden, 72 Stunden und der Abschlussbericht

Die Fristen laufen ab der Feststellung eines erheblichen Vorfalls, nicht ab jeder Sicherheitswarnung. Die Bewertung sollte sich auf die gesetzliche Definition und die für die jeweilige Einrichtungsart geltenden Schwellen stützen. Ein Audit muss die Quelle der aktuellen Schwellen benennen, statt eine erfundene, allgemeingültige Liste aus Ransomware, Datensatzzahlen oder Ausfallzeiten anzuwenden. ^[1]

1. binnen 24 Stunden - Frühwarnung an das zuständige sektorale CSIRT;
2. binnen 72 Stunden - Meldung des erheblichen Vorfalls mit aktueller Bewertung des Ereignisses;
3. auf Verlangen des CSIRT - ein Zwischenbericht;
4. binnen eines Monats nach der 72-Stunden-Meldung - der Abschlussbericht; dauert der Vorfall noch an, ein Fortschrittsbericht und der Abschlussbericht binnen eines Monats nach seinem Ende.

Für Vertrauensdiensteanbieter sieht das Gesetz eine besondere Frist von 24 Stunden für die Meldung eines erheblichen Vorfalls vor. Eine wichtige Einrichtung, die eine öffentliche Stelle ist, nutzt dagegen die Ausnahme des Artikels 12c: Sie übermittelt weder Frühwarnung noch Zwischenbericht, Fortschrittsbericht oder Abschlussbericht; die 72-Stunden-Meldung betrifft sie weiterhin.

Ein guter Audittest verbindet einen Eintrag aus SIEM oder Ticketsystem, die Bewertungszeit des Teams, die Entscheidung des Prozessverantwortlichen, den Inhalt der Meldung in S46 und die späteren Ergänzungen. So lässt sich nicht nur das Bestehen eines Verfahrens prüfen, sondern auch, ob die Organisation es zeitgerecht ausführen kann.

Das Audit nach Artikel 15 und die Bereitschaftsanalyse

Am Markt wird "NIS2-Audit" sowohl für eine Lückenbewertung vor der Umsetzung als auch für das gesetzliche Audit der Informationssystemsicherheit verwendet. Beides ist nicht austauschbar.

• Eine Bereitschafts- oder Lückenanalyse kann früher, iterativ und mit flexibel zusammengestelltem Team erfolgen. Ihr Zweck ist die Planung der Konformität. Sie wird nicht automatisch zum Audit nach Artikel 15.
• Das gesetzliche Audit unterliegt den Anforderungen des Artikels 15 zu Häufigkeit, Qualifikation des Teams, Unabhängigkeit, Dokumentation, Bericht und dessen Übermittlung an die Behörde.

Eine wesentliche Einrichtung führt das Audit auf eigene Kosten mindestens alle drei Jahre durch, gerechnet ab dem Tag der Erstellung und Unterzeichnung des Berichts über das vorherige Audit. Eine Kopie des Berichts übermittelt sie der zuständigen Cybersicherheitsbehörde elektronisch binnen drei Arbeitstagen nach Erhalt. ^[1]

Eine wichtige Einrichtung hat keinen automatischen Dreijahreszyklus. Die Behörde kann ihr jedoch nach einem erheblichen Vorfall oder einem anderen Gesetzesverstoß ein externes Audit auferlegen und dabei Umfang und Art des Auditors bestimmen. Ebenso kann sie ein zusätzliches Audit einer wesentlichen Einrichtung anordnen.

Wer das gesetzliche Audit durchführen darf

Das Gesetz sieht eine akkreditierte Konformitätsbewertungsstelle im entsprechenden Umfang vor oder ein Team von mindestens zwei Auditoren, die einen der gesetzlichen Wege erfüllen: ein bestimmtes Zertifikat, entsprechende Praxis oder Praxis in Verbindung mit einem einschlägigen Aufbaustudium. Auch ein sektorales CSIRT kann das Audit durchführen, sofern seine Auditoren diese Bedingungen erfüllen.

Ein Zertifikat ist nicht der einzig zulässige Weg. Zu prüfen ist jedoch der geltende Durchführungsrechtsakt mit der Liste anerkannter Zertifikate, und die Praxis ist entsprechend der gesetzlichen Definition zu belegen. Wesentlich ist auch die Unabhängigkeit: Wer in der auditierten Einrichtung die Aufgaben aus Artikel 8 sowie 9 bis 13 wahrnimmt - oder im Vorjahr wahrgenommen hat -, darf diese Einrichtung nicht zugleich nach Artikel 15 auditieren.

Wie ein belastbares KSC/NIS2-Audit abläuft

1. Kriterien bestätigen. Rechtsstatus, Dienst, Sektor, Einrichtungskategorie, Übergangsfristen sowie zuständige Behörde und CSIRT feststellen.
2. Umfang des Dienstes abgrenzen. Die Prozesse der Diensterbringung, IT- und OT-Systeme, Standorte, Daten, Rollen, Lieferanten und Abhängigkeiten abbilden. Ein allein auf einem Netzplan beruhender Umfang bleibt unvollständig.
3. Anforderungsmatrix aufbauen. Jede einschlägige Vorschrift des Gesetzes und jeden Durchführungsrechtsakt mit einer Maßnahme, einem Eigentümer, einem Nachweis und einem Test verbinden. Normen können die Methodik stützen, das rechtliche Kriterium aber nicht ersetzen.
4. Entwurf und Wirksamkeit der Maßnahmen prüfen. Eine Richtlinie zeigt die Absicht; Stichproben aus Konfiguration, Protokollen, Vorfällen, Änderungen, Sicherungen, Übungen und Lieferantenbewertungen zeigen die Ausführung. Der Stichprobenzeitraum sollte Risiko und Prozesshäufigkeit entsprechen.
5. Ein Vorfallszenario testen. Eine Stabsrahmenübung sollte Erkennung, Schwelleneinstufung, Entscheidung, Kommunikation mit der Leitung, S46, Beweissicherung und parallele Pflichten etwa aus der DSGVO umfassen.
6. Angemessenheit bewerten, nicht nur Vorhandensein. Das Gesetz verlangt angemessene und verhältnismäßige Maßnahmen. Der Auditor sollte erläutern, warum eine Lücke das Risiko für den konkreten Dienst erhöht.
7. Getrennt berichten. Der Bericht sollte rechtliche Abweichung, Schwäche einer Maßnahme, Beobachtung und Empfehlung unterscheiden. Jede Feststellung muss Kriterium, Sachverhalt, Nachweis, Risiko und Verantwortlichen benennen.
8. Abhilfemaßnahmen schließen. Ein Plan allein beseitigt keine Abweichung. Nötig sind Frist, Verantwortlicher, Abnahmekriterium und ein erneuter Wirksamkeitstest.

KSC, ISO/IEC 27001 und KRI ersetzen einander nicht

ISO/IEC 27001:2022 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem, ISO/IEC 27007:2020 hilft bei Planung und Durchführung von ISMS-Audits, und die aktuelle allgemeine Norm zum Auditieren von Managementsystemen ist ISO 19011:2026. ^[8][9][10] Diese Normen ordnen Methodik und Nachweise, sind aber freiwillig, sofern nicht ein Vertrag oder eine andere Vorschrift ihnen besondere Bedeutung verleiht.

Ein ISO/IEC-27001-Zertifikat belegt nicht automatisch die Konformität mit dem KSC-Gesetz. Der Zertifizierungsumfang muss nicht alle regulierten Dienste, S46, die gesetzlichen Fristen, die Einstufung von Vorfällen, die besonderen Pflichten der Leitung oder die Anforderungen des Artikels 15 erfassen.

Eine öffentliche Stelle kann parallel dem jährlichen internen Audit nach § 19 Abs. 2 Nr. 14 der KRI-Verordnung unterliegen. ^[7] Nachweise und Tests lassen sich teilen, doch ein KRI-Audit ersetzt kein Audit nach Artikel 15, und ein KSC-Audit hebt die KRI-Pflicht nicht auf.

Bußgelder: gesetzliche Grenzen, kein automatischer Tarif

Das polnische Gesetz setzt eigene Grenzen für administrative Geldbußen. Für eine wesentliche Einrichtung ist die Obergrenze der höhere Betrag aus 10 Mio. Euro oder 2 Prozent des Umsatzes aus der Geschäftstätigkeit. Die Mindestbuße beträgt 20.000 PLN. Für eine wichtige Einrichtung gilt der höhere Betrag aus 7 Mio. Euro oder 1,4 Prozent des Umsatzes, bei einem Mindestbetrag von 15.000 PLN. Bei kürzerer Tätigkeitsdauer oder fehlendem Umsatz gelten besondere Regeln zur Bemessungsgrundlage. ^[1]

In den in Artikel 73 Abs. 5 genannten Fällen - verbunden unter anderem mit einer unmittelbaren erheblichen Cyberbedrohung für Verteidigung, Staats- oder öffentliche Sicherheit, Leben und Gesundheit oder mit dem Risiko schwerer Schäden - kann die Buße bis zu 100 Mio. PLN betragen. Die Leitung der Einrichtung kann gesondert belangt werden, grundsätzlich bis zu 300 Prozent ihrer Vergütung; für die Leitung einer öffentlichen Stelle sieht das Gesetz eine besondere Grenze von 100 Prozent vor, ausgenommen Einrichtungen, die zugleich einem anderen Sektor angehören. ^[1]

Diese Beträge werden nicht automatisch verhängt. Die Behörde wendet die gesetzlichen Bemessungskriterien und das Verwaltungsverfahren an. Die Übergangsvorschriften erlauben die erstmalige Verhängung der neuen Bußgelder ab dem 3. April 2028. Das ist jedoch keine Auszeit von der Konformität: Die Fristen für Eintragung, Umsetzung der Maßnahmen, S46, Meldung und Audit laufen, und der Behörde stehen zudem Aufsichtsmittel zur Verfügung.