KSC im Jahr 2026: das polnische Gesetz über das nationale Cybersicherheitssystem nach der NIS2-Umsetzung

Entstehung und Rechtsgrundlage: von NIS zu KSC

Das Gesetz über das nationale Cybersicherheitssystem trat am 28. August 2018 in Kraft und setzte die Richtlinie (EU) 2016/1148 (NIS) des Europäischen Parlaments und des Rates um. Es war die erste systemische Cybersicherheitsregelung im polnischen Recht - frühere Vorschriften wie die DSGVO, die KRI-Verordnung oder das Gesetz über den Schutz von Verschlusssachen betrafen einzelne Bereiche, doch eine Rahmenregelung für die wirtschaftlich kritischen Sektoren fehlte.

KSC schafft drei Strukturebenen:

• Strategische Ebene - der Regierungsbevollmächtigte für Cybersicherheit, das Kollegium für Cybersicherheit und der für Digitalisierung zuständige Minister (derzeit der Minister für Digitalisierung). Billigung der staatlichen Strategie, sektorübergreifende Koordinierung, internationale Zusammenarbeit.
• Operative Ebene - drei CSIRT auf nationaler Ebene (NASK, GOV, MON), die für die Sektoren zuständigen Behörden und sektorale CSIRT-Teams. Reaktion auf Vorfälle, landesweite Koordinierung, Unterstützung der erfassten Einrichtungen.
• Ausführende Ebene - wesentliche und wichtige Einrichtungen. Aufbau des Informationssicherheits-Managementsystems, Überwachung, Meldung von Vorfällen, Audit.

Die Grundannahme des Gesetzgebers war die Delegation der technischen Pflichten auf die ausführende Ebene - die Einrichtung organisiert ihr Managementsystem selbst - während dem Staat die koordinierende, normsetzende und krisenunterstützende Rolle bleibt. Das Modell stammt aus der NIS-Richtlinie und wurde in NIS2 beibehalten.

Die Cybersicherheitsstrategie der Republik Polen für 2019-2024 ^[6], die der Ministerrat am 22. Oktober 2019 annahm, definierte die staatlichen Ziele in diesem Bereich und bildete eine Grundlage für den weiteren Ausbau des KSC sowie für die NIS2-Vorbereitungen. Sie wurde inzwischen durch die neue Cybersicherheitsstrategie der Republik Polen ersetzt, die am 10. März 2026 angenommen wurde und seit dem 24. März 2026 gilt.

Anwendungsbereich: wesentliche und wichtige Einrichtungen

Seit dem 3. April 2026 verwendet das Gesetz die Begriffe des Betreibers wesentlicher Dienste und des Anbieters digitaler Dienste nicht mehr. Die Adressaten der Pflichten werden in wesentliche Einrichtungen und wichtige Einrichtungen geteilt, und über die Zuordnung entscheidet die Verbindung eines Sektors aus Anlage 1 oder 2 mit der Größe der Einrichtung nach Anhang I der EU-Verordnung 651/2014.

Wesentliche Einrichtung (Artikel 5 Absatz 1)

• Eine in Anlage 1 genannte Einrichtung, welche die Anforderungen an ein mittleres Unternehmen überschreitet.
• Ein Unternehmen der elektronischen Kommunikation von mindestens mittlerer Größe.
• Ein Anbieter verwalteter Cybersicherheitsdienste von mindestens kleiner Größe - der Schwellenwert liegt hier deutlich niedriger als in den übrigen Sektoren.
• Unabhängig von der Größe: DNS-Diensteanbieter, qualifizierte Vertrauensdiensteanbieter, kritische Einrichtungen, in Anlage 1 im Sektor der öffentlichen Einrichtungen genannte öffentliche Einrichtungen, Register für Domänennamen oberster Stufe, Anbieter von Domänenregistrierungsdiensten, Betreiber kerntechnischer Anlagen sowie individuell nach den Artikeln 7l und 7m bestimmte Einrichtungen.

Wichtige Einrichtung (Artikel 5 Absatz 2)

• Eine Einrichtung aus Anlage 1, welche die Anforderungen an ein mittleres Unternehmen erfüllt und keine wesentliche Einrichtung ist.
• Eine Einrichtung aus Anlage 2, welche die Anforderungen an ein mittleres Unternehmen erfüllt oder überschreitet und keine wesentliche Einrichtung ist.
• Ein nicht qualifizierter Vertrauensdiensteanbieter, der Kleinst-, Klein- oder mittleres Unternehmen ist.
• Ein Unternehmen der elektronischen Kommunikation, das Kleinst- oder kleines Unternehmen ist.

Was das praktisch ändert

Drei Unterschiede gegenüber der früheren Rechtslage sind operativ am wichtigsten.

• Es gibt keine von oben festgelegte namentliche Liste mehr. Früher entstand der Betreiber wesentlicher Dienste durch Verwaltungsentscheidung, und es waren in Polen einige hundert. Heute entsteht die Pflicht kraft Gesetzes, und die Einrichtung stellt selbst den Antrag auf Eintragung in das Verzeichnis.
• Eine wichtige Einrichtung hat einen engeren Pflichtenkreis. Das periodische Audit nach Artikel 15 betrifft sie nicht, wohl aber kann die Behörde nach einem erheblichen Vorfall ein externes Audit anordnen.
• Der öffentliche Sektor steht ausdrücklich im Gesetz. In den Anlagen genannte öffentliche Einrichtungen sind unabhängig von ihrer Größe erfasst, und diejenigen unter ihnen, die wichtige Einrichtungen sind, bauen ihr Managementsystem nach Anlage 4 auf.

Einheiten der kommunalen Selbstverwaltung sind nicht automatisch erfasst - über den Status entscheidet, ob die jeweilige Einheit oder ihre Organisationseinheit der Beschreibung der Einrichtungsart in der Anlage entspricht. Unabhängig davon unterliegt die Selbstverwaltung der KRI-Verordnung, die eine eigene Pflicht zum Betrieb eines Managementsystems und zur jährlichen internen Prüfung begründet.

Sektoren der Anlagen 1 und 2

Die Sektorzugehörigkeit ist die erste von zwei Voraussetzungen der Erfassung. Die zweite ist die Größe der Einrichtung. Die Anlagen nennen die Sektoren nicht allgemein - für jeden Teilsektor benennen sie die Einrichtungsart durch Verweis auf Fachrecht, etwa auf eine Konzession nach dem Geologie- und Bergrecht oder auf die Definition des Energieunternehmens im Energierecht. Eine Selbsteinschätzung verlangt deshalb den Blick in die Anlage und nicht nur das Erkennen der eigenen Branche.

Anlage 1: wesentliche Sektoren

• Energie - mit den Teilsektoren Rohstoffgewinnung, Elektrizität, Wärme, Öl und Kraftstoffe, Gas sowie Wasserstoff.
• Verkehr - Luft-, Schienen-, Wasser- und Straßenverkehr.
• Bankwesen und Finanzmarktinfrastruktur.
• Gesundheitswesen - einschließlich Herstellung und Vertrieb von Wirkstoffen, Arzneimitteln und Medizinprodukten.
• Trinkwasserversorgung und -verteilung.
• Abwasser - mit Ausnahme von Einrichtungen, für die Ableitung oder Behandlung von Abwasser ein nicht wesentlicher Teil der Tätigkeit ist.
• Digitale Infrastruktur.
• Verwaltung von IKT-Diensten.
• Weltraum.
• Öffentliche Einrichtungen.

Anlage 2: wichtige Sektoren

• Post- und Kurierdienste.
• Abfallbewirtschaftung - Sammlung, Transport und Behandlung.
• Herstellung, Produktion und Vertrieb von Chemikalien.
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln.
• Verarbeitendes Gewerbe - Medizinprodukte und In-vitro-Diagnostika, Computer, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinen und Ausrüstungen, Kraftwagen, Anhänger und Aufbauten sowie sonstiger Fahrzeugbau.
• Anbieter digitaler Dienste.
• Forschung.
• Öffentliche Einrichtungen.

Warum die Erheblichkeitsschwellen entfallen sind

In der früheren Rechtslage entschied über die Erfassung eine Verwaltungsentscheidung der zuständigen Behörde, erlassen nach Prüfung der durch Verordnung des Ministerrats bestimmten Erheblichkeitsschwellen der Störungswirkung - etwa der Zahl der Energieabnehmer oder der Zahl der Krankenhausbetten. Dieser Mechanismus wurde durch das unionsweit einheitliche Kriterium Sektor plus Größe der Einrichtung ersetzt. Die Verordnung des Ministerrats vom 11. September 2018 über das Verzeichnis wesentlicher Dienste und die Erheblichkeitsschwellen^[2] wurde mit Wirkung vom 3. April 2026 aufgehoben. Die Zahlenwerte dieses Rechtsakts sind keine Qualifikationsgrundlage mehr und dürfen nicht herangezogen werden.

Das heißt nicht, dass quantitative Kriterien vollständig verschwunden wären: sie treten weiterhin innerhalb der Beschreibungen der Einrichtungsarten in den Anlagen auf, wo der Gesetzgeber auf Fachrecht mit eigenen Schwellenwerten verweist.

Pflichten wesentlicher und wichtiger Einrichtungen

Der Kern des Gesetzes ist Kapitel 3, die Artikel 8 bis 16. Nachstehend die Pflichten in der Reihenfolge, in der sie tatsächlich umgesetzt werden.

Informationssicherheits-Managementsystem (Artikel 8)

Eine wesentliche oder wichtige Einrichtung führt das Managementsystem in dem Informationssystem ein, das in Prozessen mit Einfluss auf die Diensterbringung genutzt wird. Das Gesetz zählt auf, was dieses System sicherstellen muss:

1. Systematische Bewertung des Risikos eines Vorfalls und Steuerung dieses Risikos.
2. Technische und organisatorische Maßnahmen, angemessen und verhältnismäßig zum bewerteten Risiko, unter Berücksichtigung des Standes der Technik, der Umsetzungskosten, der Größe der Einrichtung und der sozioökonomischen Auswirkungen. Das Gesetz nennt vierzehn Bereiche, von Leitlinien zur Risikobewertung und Systemsicherheit über Sicherheit bei Beschaffung, Entwicklung, Wartung und Betrieb des Systems einschließlich Tests, physische und umgebungsbezogene Sicherheit, Personalsicherheit, Sicherheit der Lieferkette, Pläne für Geschäftskontinuität und Wiederherstellung, fortlaufende Systemüberwachung, Bewertung der Wirksamkeit der Sicherungen, Schulung des Personals, grundlegende Cyberhygiene, Kryptographie und Verschlüsselung, sichere Kommunikationsmittel mit Mehr-Faktor-Authentifizierung bis hin zu Asset-Management und Zugriffskontrollrichtlinien.
3. Sammlung von Informationen über Cyberbedrohungen und Schwachstellen.
4. Management von Vorfällen.
5. Maßnahmen zur Verhinderung und Begrenzung der Auswirkungen von Vorfällen - Mechanismen für Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität der Daten, regelmäßige Softwareaktualisierungen mit Analyse der Auswirkungen auf die Sicherheit des Dienstes, Schutz vor unbefugter Änderung sowie unverzügliches Handeln nach Feststellung einer Schwachstelle bis hin zur zeitweiligen Beschränkung des eingehenden Verkehrs.

Bei der Absicherung der Lieferkette verlangt das Gesetz nach Artikel 8 Absatz 2 vier Aspekte: die Schwachstellen des konkreten Lieferanten, die allgemeine Qualität seiner Produkte und Dienste, die Ergebnisse der koordinierten Sicherheitsbewertung der EU-Kooperationsgruppe sowie den Ausgang eines Verfahrens über die Einstufung als Hochrisikolieferant.

Ein eigener Weg für einen Teil des öffentlichen Sektors. Eine wichtige Einrichtung, die zugleich öffentliche Einrichtung ist, wendet Artikel 8 Absatz 1 nicht an, sondern baut ihr Managementsystem nach Anlage 4 zum Gesetz auf (Artikel 8 Absatz 3). Die Anlage ist kürzer und konkreter: sie nennt unter anderem die Inventarisierung von IKT-Produkten, -Diensten und -Prozessen, Versionskontrolle, den Grundsatz der minimalen Rechte, logisch und physisch getrennte Sicherungskopien einschließlich Wiederherstellungstests, Virenschutzsoftware, Cyberhygieneregeln auch für den Leiter der Einrichtung sowie die Überwachung des Lebenszyklus der eingesetzten IKT-Produkte.

Eintragung in das Verzeichnis (Artikel 7c)

Der Antrag auf Eintragung in das Verzeichnis der wesentlichen und wichtigen Einrichtungen wird innerhalb von sechs Monaten ab dem Tag der Erfüllung der Voraussetzungen gestellt. Datenänderungen sind binnen 14 Tagen zu melden. Der Antrag wird vom Leiter der Einrichtung mit qualifizierter, vertrauenswürdiger oder persönlicher elektronischer Signatur unterzeichnet und enthält eine Erklärung über die Richtigkeit der Daten unter Strafandrohung.

Kontaktpersonen und Information der Nutzer (Artikel 9)

Die Einrichtung benennt mindestens zwei Personen für den Kontakt mit den Stellen des nationalen Cybersicherheitssystems. Ein Kleinst- oder kleines Unternehmen sowie eine wichtige Einrichtung, die öffentliche Einrichtung ist, benennen mindestens eine Person. Darüber hinaus stellt die Einrichtung den Nutzern des Dienstes Wissen über Cyberbedrohungen und Schutzmöglichkeiten bereit - ein Verweis auf die Website der zuständigen Behörde oder eines CSIRT genügt - und richtet einen Kanal zur Meldung von Cyberbedrohungen, Vorfällen und Schwachstellen ein.

Dokumentation (Artikel 10)

Das Gesetz teilt sie in normative und operative Dokumentation. Zur normativen gehören: die Dokumentation des Managementsystems, die Dokumentation zum Schutz der Infrastruktur (Beschreibung von Dienst und Infrastruktur, Bewertung des Schutzzustands, Risikobewertung für Objekte, Risikobehandlungsplan, Beschreibung der technischen Sicherungen, Regeln des physischen Schutzes), die Dokumentation des Systems zur Steuerung der Geschäftskontinuität sowie die technische Dokumentation des Systems.

Meldung von Vorfällen (Artikel 11 und 12)

Die Abfolge ist dreistufig und läuft ab dem Zeitpunkt der Entdeckung:

• Frühwarnung - unverzüglich, spätestens innerhalb von 24 Stunden, an das zuständige sektorale CSIRT. Sie enthält die Daten der Einrichtung und der meldenden Person, Zeitpunkt des Eintritts und der Entdeckung, die Dauer, die Angabe, ob der Vorfall Folge rechtswidrigen oder bösgläubigen Handelns war, sowie ob andere Mitgliedstaaten betroffen sind.
• Meldung eines erheblichen Vorfalls - innerhalb von 72 Stunden. Sie beschreibt die Auswirkung auf die Diensterbringung, die Zahl betroffener Nutzer, die geografische Reichweite, Ursachen, Ablauf, wahrscheinliche Folgen sowie die ergriffenen Präventiv- und Abhilfemaßnahmen.
• Abschlussbericht - spätestens einen Monat nach der Meldung. Auf Verlangen des sektoralen CSIRT kommen Zwischenberichte hinzu.

Ausnahme: ein Vertrauensdiensteanbieter meldet einen erheblichen Vorfall innerhalb von 24 Stunden nach Entdeckung (Artikel 11 Absatz 1a).

Die Frühwarnung kann ein Ersuchen um Hinweise oder technische Unterstützung enthalten - das sektorale CSIRT hat 24 Stunden für die Antwort. Die Einrichtung informiert zudem ihre eigenen Nutzer, wenn der Vorfall die ihnen gegenüber erbrachten Dienste nachteilig beeinflusst, und bei einer erheblichen Cyberbedrohung über mögliche Vorbeugemaßnahmen.

Die Schwellen für die Einstufung als erheblicher Vorfall legt eine Verordnung des Ministerrats gesondert nach Sektoren und Teilsektoren fest; für einen Teil der Einrichtungen ergeben sich die Schwellen unmittelbar aus einem Durchführungsrechtsakt der Europäischen Kommission.

Für Cybersicherheit verantwortliche Strukturen (Artikel 14)

Zur Erfüllung der Aufgaben nach Artikel 8 sowie den Artikeln 9 bis 13 richtet die Einrichtung interne Strukturen für Cybersicherheit ein oder schließt einen Vertrag mit einem Anbieter verwalteter Cybersicherheitsdienste. Das Gesetz legt kein Modell fest und verlangt den 24/7-Betrieb nicht ausdrücklich - doch die Pflicht zur fortlaufenden Systemüberwachung (Artikel 8 Absatz 1 Nummer 2 Buchstabe g) und die 24-Stunden-Frist der Frühwarnung erzwingen praktisch eine Reaktionsfähigkeit rund um die Uhr. Siehe SOC 24/7.

Schulung der Leitung (Artikel 8e) und Führungszeugnis (Artikel 8f)

Der Leiter der Einrichtung sowie die Person, der die Pflichten des Leiters im Bereich Cybersicherheit übertragen wurden, absolvieren einmal im Kalenderjahr eine Schulung zur Erfüllung der Pflichten nach Artikel 7b Absatz 4, Artikel 7c, Artikel 7f Absatz 3, Artikel 8, Artikel 8d, Artikel 8f, den Artikeln 9 bis 12b, Artikel 14 und Artikel 15. Die Teilnahme muss dokumentiert sein - einer der einfachsten Nachweise für eine Kontrolle und einer der am häufigsten fehlenden.

Gesondert verlangt Artikel 8f, dass vor Aufnahme der Aufgaben nach Artikel 8 oder Artikel 11 die betreffende Person der Einrichtung eine Auskunft über sich aus dem Landesstrafregister vorlegt.

Audit (Artikel 15) und Übergangsfristen (Artikel 16)

Eine wesentliche Einrichtung führt das Audit mindestens einmal alle drei Jahre durch - Einzelheiten im Abschnitt unten. Artikel 16 gewährt 12 Monate für die Pflichten dieses Kapitels und 24 Monate für das erste Audit, gerechnet ab dem Tag der Erfüllung der Voraussetzungen für den Status als wesentliche oder wichtige Einrichtung.

Fortlaufende Überwachung und Incident Management

Das KSC-Gesetz schreibt nicht allgemein vor, eine Einrichtung oder ein Team mit der Bezeichnung SOC 24/7 zu betreiben. Die Verordnung des Ministers für Digitalisierung vom 4. Dezember 2019 ^[8] regelte Dienstleister und interne Strukturen nach dem früheren Modell der Betreiber wesentlicher Dienste, wurde jedoch am 3. April 2026 aufgehoben. Sie ist daher keine aktuelle Rechtsgrundlage für bestimmte Personalzertifikate, Sicherheitsprodukte oder eine feste Aufbewahrungsfrist für Protokolldaten.

Organisatorische Konsequenzen des geltenden Gesetzes

• Verantwortliche Struktur - eine interne Cybersicherheitsstruktur oder ein Vertrag mit einem Anbieter verwalteter Cybersicherheitsdienste nach Artikel 14.
• Reaktionsfähigkeit - eine dem Risiko, dem Dienst und den gesetzlichen Meldefristen angemessene Personal- und Rufbereitschaftsregelung.
• Dokumentierte Verfahren - Klassifizierung von Vorfällen, interne Eskalation, Beweissicherung, Eindämmung und Wiederherstellung.
• Externe Eskalation - Meldung an das zuständige CSIRT unter Beachtung der Übergangsregeln für sektorale CSIRT.

Technische Konsequenzen

• Fortlaufende Überwachung - das für die Diensterbringung verwendete Informationssystem muss nach Artikel 8 Absatz 1 Nummer 2 Buchstabe g fortlaufend überwacht werden. SIEM-, EDR-, XDR- oder NDR-Plattformen können diese Pflicht unterstützen; das Gesetz schreibt jedoch keine bestimmte Produktkategorie vor.
• Detektionsabdeckung - die Kontrollen sollten sich nach den Systemen und der Risikobewertung der Einrichtung richten und, soweit einschlägig, Endpunkte, Identitäten, Netze, Cloud-Dienste und E-Mail umfassen (siehe E-Mail-Sicherheitsaudit und DMARC).
• Informationen über Cyberbedrohungen und Schwachstellen - die Einrichtung erhebt und nutzt relevante Informationen, darunter Materialien von CERT Polska ^[5] und sektorspezifische Quellen.
• Protokolle und Nachweise - Umfang, Integritätsschutz und Aufbewahrungsdauer ergeben sich aus der Risikobewertung, sektoralen Regelungen und sonstigem anwendbarem Recht; das KSC-Gesetz legt keine allgemeine zwölfmonatige Aufbewahrungsfrist für sämtliche Systemprotokolle fest.

Klassifizierung von Vorfällen

KSC führt in Artikel 2 Nummern 5 bis 7 eine dreistufige Klassifizierung ein:

• Kritischer Vorfall - mit erheblicher Störung eines wesentlichen Dienstes. Schwelle: Verlust der Verfügbarkeit über 24 Stunden für mindestens 50 Prozent der Abnehmer oder eine Verletzung der Integrität mit Auswirkung auf Gesundheit oder Leben von Menschen, etwa in Krankenhäusern.
• Erheblicher Vorfall - mit wesentlicher Störung. Schwelle: Verlust der Verfügbarkeit von 4 bis 24 Stunden oder eine Verletzung der Vertraulichkeit bei einer großen Zahl von Datensätzen, etwa über 100 000.
• Bedeutsamer Vorfall - mit Störung geringeren Ausmaßes, die dennoch Aufmerksamkeit erfordert.

Jede Stufe hat einen eigenen Meldeweg: kritische und erhebliche Vorfälle gehen binnen 24 Stunden an ein CSIRT, bedeutsame in den Quartalsbericht.

Praktische SOC-Herausforderungen im KSC

Die drei größten Probleme, die wir bei erfassten Einrichtungen sehen:

1. Kompetenzmangel - der heimische Markt hat eine begrenzte Zahl von L3-Fachleuten, die Kosten eines internen Teams erreichen 1,5 bis 3 Millionen Zloty jährlich. Deshalb wählen die meisten Einrichtungen das Outsourcing des SOC.
2. False Positive Fatigue - schlecht konfigurierte SIEM erzeugen täglich Tausende Alarme, die meisten falsch. Das verlangt Tuning und Use Case Engineering.
3. Fehlende OT-Integration - Energie, Wasser und Verkehr betreiben industrielle Automatisierungssysteme (SCADA, PLC), die spezialisierte Überwachung erfordern (Claroty, Nozomi, Dragos). Ein klassisches IT-SOC deckt OT ohne zusätzliche Konfiguration nicht ab.

CSIRT auf nationaler Ebene: NASK, GOV, MON

KSC schafft drei CSIRT auf nationaler Ebene mit unterschiedlichen Zuständigkeitsbereichen:

CSIRT NASK

Betrieben vom Wissenschaftlichen und Akademischen Rechnernetz - Staatliches Forschungsinstitut (NASK). Zuständig für:

• Einrichtungen der zivilen Sektoren: Bankwesen, Verkehr (außerhalb der Sonderfälle), Wasserversorgung, digitale Infrastruktur (außerhalb der Regierungsverwaltung).
• Anbieter digitaler Dienste.
• Telekommunikationsbetreiber, auf Grundlage der Zusammenarbeit.

CSIRT NASK betreibt zugleich die öffentlich bekannte Einheit CERT Polska - das älteste Team zur Reaktion auf Vorfälle in Polen, tätig seit 1996. Es veröffentlicht einen Jahresbericht ^[5] mit einer Analyse der Bedrohungslage^[9].

CSIRT GOV

Betrieben von der Agentur für innere Sicherheit (ABW). Zuständig für:

• Regierungsverwaltung - Ministerien, zentrale Behörden, Regierungsagenturen.
• Kritische Infrastruktur des Staates in den Sektoren Energie (Systembetreiber), Verkehr (Flugsicherung PAZP, Schieneninfrastrukturbetreiber PKP PLK) und im Finanzsektor im Bereich der Marktinfrastruktur.
• Einzelne vom Regierungsbevollmächtigten benannte öffentliche Einrichtungen.

CSIRT MON

Betrieben vom Ministerium für Nationale Verteidigung und dem Kommando der Komponente der Cyberraumverteidigungskräfte (DKWOC). Zuständig für:

• Die Streitkräfte der Republik Polen und Organisationseinheiten des Verteidigungsministeriums.
• Unternehmen von besonderer wirtschaftlicher und verteidigungspolitischer Bedeutung.
• Militärische Forschungs- und Entwicklungseinrichtungen sowie die Rüstungsindustrie.

Zusammenarbeit der CSIRT

Die drei CSIRT arbeiten im Rahmen des nationalen Netzes zur Reaktion auf Vorfälle zusammen. Betrifft ein Vorfall mehr als einen Zuständigkeitsbereich - etwa ein Ransomware-Angriff auf eine Lieferkette, die sowohl den zivilen Sektor als auch die Verwaltung umfasst - erfolgt eine Koordinierung auf operativer Ebene. Die CSIRT auf nationaler Ebene arbeiten zudem mit dem europäischen CSIRT-Netzwerk zusammen, das durch die NIS-Richtlinie geschaffen wurde, und tauschen Informationen im Rahmen der ENISA aus.

Sektorale CSIRT-Teams

Einzelne Sektoren verfügen über zusätzliche sektorale CSIRT, etwa FinCERT.pl für den Bankensektor, betrieben vom Verband Polnischer Banken, und CSIRT-KRD für bestimmte Institutionen. Sektorale CSIRT wirken als erste Meldelinie und leiten Informationen an die CSIRT auf nationaler Ebene weiter.

Das KSC-Audit: alle drei Jahre

Das Audit der Sicherheit des Informationssystems nach Artikel 15 des Gesetzes ist das verpflichtende und am besten definierte Element der externen Kontrolle. Eine wesentliche Einrichtung führt es auf eigene Kosten mindestens einmal alle drei Jahre durch, gerechnet ab dem Tag der Erstellung und Unterzeichnung des Berichts über das vorangegangene Audit durch die Auditoren.

Der Zyklus änderte sich am 3. April 2026. Bis dahin verlangte Artikel 15 ein Audit mindestens alle zwei Jahre. Vier Punkte bereiten in der Praxis die meisten Schwierigkeiten:

• Die Pflicht trifft wesentliche Einrichtungen. Eine wichtige Einrichtung hat keine periodische Auditpflicht nach Artikel 15 - die zuständige Behörde kann jedoch bei einem erheblichen Vorfall oder einem anderen Verstoß gegen das Gesetz ein externes Audit anordnen (Artikel 15 Absatz 1b), und diese Entscheidung ist sofort vollziehbar.
• Die Frist für das erste Audit wird individuell berechnet. Artikel 16 gewährt 12 Monate für die Pflichten aus Kapitel 3 und 24 Monate für das erste Audit, doch beide Fristen laufen ab dem Tag der Erfüllung der Voraussetzungen für den Status als wesentliche oder wichtige Einrichtung und nicht ab dem Inkrafttreten der Novelle. Für Einrichtungen, welche die Voraussetzungen bereits am Tag des Inkrafttretens erfüllten, läuft die Frist ab diesem Datum auf Grundlage von Artikel 33 des Änderungsgesetzes^[4]: Pflichten aus Kapitel 3 bis zum 3. April 2027, erstes Audit bis zum 3. April 2028. Die verbreitete Formel "erstes Audit bis 3. April 2028" trifft also nur auf diese Gruppe zu.
• Der Bericht binnen drei Arbeitstagen. Eine Kopie des Berichts geht in elektronischer Form binnen drei Arbeitstagen nach Erhalt an die zuständige Behörde (Artikel 15 Absatz 1a). Diese Frist wird leicht übersehen, denn sie läuft ab Erhalt des Berichts und nicht ab dem Abschluss der Auditarbeiten.
• Die Uhr läuft ab der Unterschrift, nicht ab dem Kalenderjahr. Die drei Jahre laufen ab dem Datum der Unterzeichnung des vorherigen Berichts, sodass die Verzögerung eines Audits den gesamten Zyklus verschiebt.

Wer Auditor sein darf

Das Gesetz nennt in Artikel 15 Absatz 2 drei zulässige Varianten:

1. Eine Konformitätsbewertungsstelle, akkreditiert auf Grundlage des Gesetzes vom 13. April 2016 über Systeme der Konformitätsbewertung und der Marktüberwachung, im Bereich der Sicherheitsbewertung von Informationssystemen.
2. Mindestens zwei Auditoren mit Zertifikaten aus dem durch Verordnung des für Digitalisierung zuständigen Ministers festgelegten Verzeichnis oder mit mindestens drei Jahren Praxis im Audit der Sicherheit von Informationssystemen oder zwei Jahren Praxis zusammen mit einem einschlägigen Aufbaustudium.
3. Ein sektorales CSIRT, sofern seine Auditoren die Voraussetzungen aus Nummer zwei erfüllen.

Daneben gilt eine harte Unabhängigkeitsregel: das Audit darf nicht von einer Person durchgeführt werden, welche in der geprüften Einrichtung die Aufgaben nach Artikel 8 sowie den Artikeln 9 bis 13 wahrnimmt oder im Jahr vor Beginn des Audits wahrgenommen hat (Artikel 15 Absatz 2a). Das schließt die Konstellation aus, in der die umsetzende Person die eigene Arbeit prüft - auch dann, wenn sie zwischenzeitlich den Arbeitgeber gewechselt hat.

Umfang des Audits

Das Audit umfasst mindestens drei Ebenen:

• Dokumentarisch - Leitlinien, Verfahren, Risikoanalyse, Kontinuitätspläne, Lieferantenverträge, Register der Vorfälle und der Entscheidungen der Leitung.
• Technisch - Konfiguration von Systemen und Netzgeräten, Sicherungen, Zugriffsverwaltung, Segmentierung, Protokolle, fortlaufende Überwachung. Der Auditor prüft durch Stichproben und Tests, nicht durch Erklärungen.
• Organisatorisch - Bewusstsein des Personals, Schulungen, Bearbeitung von Vorfällen in der Praxis, Kontinuitätsübungen, Eskalationswege.

Der Auditbericht

Der Bericht enthält:

• Feststellungen - Beobachtungen von Abweichungen von den Anforderungen des Gesetzes und der zugrunde gelegten Norm.
• Eine Klassifizierung der Abweichungen - große, kleine, Hinweise.
• Empfehlungen für Korrekturmaßnahmen.
• Eine Frist zur Beseitigung der Abweichungen.
• Eine Gesamtbewertung des Zustands des Informationssicherheits-Managementsystems.

Eine Kopie des Berichts geht an die zuständige Behörde. Auf Verlangen wird sie zudem dem Direktor des Regierungszentrums für Sicherheit übermittelt - sofern die Einrichtung zugleich Betreiber kritischer Infrastruktur ist - sowie dem Chef der Agentur für innere Sicherheit (Artikel 15 Absatz 7).

Kosten des Audits

Die nachstehenden Spannen stammen aus unserer Praxis und hängen vor allem von der Zahl der einbezogenen Systeme ab, nicht von der Größe der Organisation als solcher.

• Einrichtung mit engem Umfang, etwa ein Kreiskrankenhaus: 25 000 bis 50 000 Zloty.
• Mittlere Einrichtung, etwa ein Stromverteiler: 50 000 bis 120 000 Zloty.
• Einrichtung mit weitreichender Infrastruktur, etwa ein Übertragungsnetzbetreiber oder eine inländische Bank: 150 000 bis 500 000 Zloty.

Die Beträge umfassen den dokumentarischen und den technischen Teil sowie den Bericht. Nicht enthalten sind Korrekturmaßnahmen, die üblicherweise einen größeren Aufwand bedeuten als das Audit selbst.

Sanktionen

Bußgelder verhängt die für Cybersicherheit zuständige Behörde. Der Katalog der Verstösse ist lang - Artikel 73 Absatz 1 nennt zweiundzwanzig - und umfasst unter anderem das Fehlen eines Informationssicherheits-Managementsystems, das Fehlen der Risikobewertung, die nicht fristgerechte Meldung eines erheblichen Vorfalls, die Nichtdurchführung des Audits, die Nichtbeseitigung von der Behörde bezeichneter Schwachstellen sowie die Behinderung einer Kontrolle.

Obergrenzen

• Wesentliche Einrichtung - bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes aus der wirtschaftlichen Tätigkeit im vorangegangenen Geschäftsjahr, wobei der höhere Betrag gilt. Das Bußgeld darf 20 000 Zloty nicht unterschreiten.
• Wichtige Einrichtung - bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes, mindestens 15 000 Zloty.
• Qualifizierte Form des Verstoßes - verursacht der Verstoß eine unmittelbare und schwere Cyberbedrohung für Verteidigung, Staatssicherheit, öffentliche Ordnung oder Leben und Gesundheit von Menschen oder droht ein schwerer Vermögensschaden beziehungsweise eine schwere Beeinträchtigung der Diensterbringung, verhängt die Behörde ein Bußgeld bis 100 Millionen Zloty (Artikel 73 Absatz 5).

Der Gegenwert der Eurobeträge wird nach dem Durchschnittskurs der Polnischen Nationalbank vom 31. Dezember des Jahres vor dem Jahr der Entscheidung umgerechnet. Besteht die Einrichtung kürzer als 12 Monate oder hat sie keinen Umsatz erzielt, ist Bemessungsgrundlage der Gegenwert von 500 000 Euro für eine wesentliche und 250 000 Euro für eine wichtige Einrichtung.

Bußgeld gegen den Leiter der Einrichtung

Gesondert haftet der Leiter der Einrichtung (Artikel 73a) - für die Nichterfüllung der Pflichten zur Eintragung in das Verzeichnis, zum Informationssicherheits-Managementsystem, zur Risikoanalyse oder zur Benennung von Kontaktpersonen. Das Bußgeld erreicht 300 Prozent der Vergütung der sanktionierten Person, berechnet wie das Urlaubsentgelt, und in einer öffentlichen Einrichtung 100 Prozent der Vergütung.

Das ist eine qualitative Änderung gegenüber der früheren Rechtslage, in der das Höchstbußgeld gegen die Einrichtung 200 000 Zloty betrug, bei wiederholtem Verstoß 1 Million Zloty, und in der es keine persönliche Sanktion gab. Die praktische Folge: Cybersicherheit ist kein Thema mehr, das die Geschäftsleitung vollständig an die IT-Abteilung abgeben kann.

Was die Novelle von 2026 geändert hat

Die NIS2-Richtlinie ^[3] ersetzte die NIS-Richtlinie von 2016. Polen setzte sie mit dem Gesetz vom 23. Januar 2026 (Gesetzblatt 2026 Position 252)^[4] um, das am 3. April 2026 in Kraft trat. Nachstehend, was sich tatsächlich geändert hat - nützlich, wenn die Dokumentation der Organisation für die frühere Rechtslage geschrieben wurde.

Die Kategorien OUK und DUC sind entfallen

Betreiber wesentlicher Dienste und Anbieter digitaler Dienste sind Begriffe der früheren Gesetzesfassung. An ihre Stelle traten wesentliche Einrichtung und wichtige Einrichtung. Die Änderung ist nicht kosmetisch: anders ist die Grundlage der Erfassung (Kriterium aus Sektor und Größe statt Verwaltungsentscheidung), anders das Registrierungsverfahren und anders der Pflichtenkatalog.

Ende der Verwaltungsentscheidungen, Beginn der Selbstregistrierung

Früher erliess die zuständige Behörde eine Entscheidung über die Anerkennung als Betreiber wesentlicher Dienste, und erst diese löste die Pflichten aus. Heute beurteilt die Einrichtung selbst, ob sie die Voraussetzungen erfüllt, und stellt innerhalb von sechs Monaten ab deren Erfüllung den Antrag auf Eintragung in das Verzeichnis der wesentlichen und wichtigen Einrichtungen (Artikel 7c Absatz 1). Datenänderungen sind binnen 14 Tagen zu melden. Der Antrag enthält eine Erklärung des Leiters der Einrichtung, abgegeben unter Strafandrohung für falsche Angaben.

Die praktische Folge ist unbequem: eine Benachrichtigung wird niemand versenden. Eine Organisation ohne Selbsteinschätzung erfährt ihren Status erst bei einer Kontrolle.

Erweiterter Sektorkatalog

Zu Anlage 1 kamen unter anderem Abwasser, die Verwaltung von IKT-Diensten (Anbieter verwalteter Dienste und verwalteter Cybersicherheitsdienste), der Weltraum sowie öffentliche Einrichtungen hinzu. Anlage 2 führte zuvor nicht erfasste Sektoren ein: Post- und Kurierdienste, Abfallbewirtschaftung, Chemikalien, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung.

Dreistufige Meldung von Vorfällen

Früher galt eine einzige Meldung binnen 24 Stunden. Heute gilt die Abfolge: Frühwarnung bis 24 Stunden, Meldung bis 72 Stunden, Abschlussbericht bis zu einem Monat (Artikel 11 Absatz 1 Nummern 4 bis 4c). Adressat ist das sektorale CSIRT und nicht unmittelbar das CSIRT auf nationaler Ebene.

Verantwortlichkeit der Leitung

Das Gesetz sieht ein Bußgeld vor, das persönlich gegen den Leiter einer wesentlichen oder wichtigen Einrichtung verhängt wird (Artikel 73a). Das ist eine Abkehr vom Modell, in dem die Sanktion ausschließlich die Organisation traf.

Auditzyklus von zwei auf drei Jahre

Vor dem 3. April 2026 verlangte Artikel 15 ein Audit mindestens alle zwei Jahre. Heute ist es einmal alle drei Jahre und - ebenso wichtig - die Pflicht trifft ausschließlich wesentliche Einrichtungen.

Was tun, wenn die Organisation noch nicht begonnen hat

1. Selbsteinschätzung des Status. Sektor aus Anlage 1 oder 2 sowie Größe der Einrichtung nach der EU-Verordnung 651/2014. Das Ergebnis ist auch dann zu dokumentieren, wenn es negativ ausfällt.
2. Eintragung in das Verzeichnis, sofern die Voraussetzungen erfüllt sind - die Frist läuft ab dem Tag ihrer Erfüllung, nicht ab dem Inkrafttreten der Novelle.
3. Lückenanalyse zwischen der vorhandenen Dokumentation und den Artikeln 8 bis 13 des Gesetzes.
4. Inventarisierung der Lieferanten - Artikel 8 Absatz 2 verlangt die Berücksichtigung der Schwachstellen des konkreten Lieferanten sowie der allgemeinen Qualität seiner Produkte und Dienste.
5. Schulung der Leitung. Bei der persönlichen Sanktion nach Artikel 73a ist das kein kosmetischer Punkt.

Abbildung auf andere Regelwerke

KSC steht nicht für sich - die Abbildung auf andere Regelungen ist für wirksame Compliance entscheidend:

KSC und PN-ISO/IEC 27001

KSC verweist unmittelbar auf PN-ISO/IEC 27001 ^[7] als Grundnorm für das Managementsystem. In der Praxis erleichtert ein ISO-27001-Zertifikat die Erfüllung der KSC-Anforderungen erheblich - das KSC-Audit erfasst dann einen kleineren zusätzlichen Bereich, nämlich die sektorspezifischen Punkte und die Meldung von Vorfällen. Einzelheiten im Artikel zu ISO 27001.

KSC und KRI

Die KRI-Verordnung, der polnische nationale Interoperabilitätsrahmen vom 21. Mai 2024, betrifft Einrichtungen mit öffentlichen Aufgaben. KSC betrifft wesentliche und wichtige Einrichtungen. Die Anwendungsbereiche überschneiden sich sektoral nicht, die technischen Anforderungen ähneln sich jedoch stark, da beide auf PN-ISO/IEC 27001 verweisen. Eine Selbstverwaltungseinheit kann zugleich der KRI-Verordnung als öffentliche Einrichtung und dem KSC unterliegen, etwa wenn sie ein Krankenhaus oberhalb des Schwellenwerts betreibt. Einzelheiten im Artikel zu KRI.

KSC und NIS2

Nach der NIS2-Umsetzung bleibt KSC ein polnisches Gesetz, dessen Fassung jedoch alle Anforderungen der Richtlinie abdeckt. Praktisch wenden Organisationen das novellierte KSC-Gesetz an - die NIS2-Richtlinie selbst gilt nicht unmittelbar. Einzelheiten im Artikel zu NIS2.

KSC und DSGVO

KSC und DSGVO ergänzen einander: KSC schützt das Informationssystem, die DSGVO schützt personenbezogene Daten. Ein KSC-Vorfall wie Ransomware kann zugleich eine DSGVO-Verletzung sein, wenn die verschlüsselten Daten personenbezogen waren. Praktisch verlangt das eine parallele Meldung: an ein CSIRT auf nationaler Ebene nach KSC binnen 24 Stunden und an die polnische Datenschutzbehörde nach der DSGVO binnen 72 Stunden. Einzelheiten im Artikel zur DSGVO.

KSC und DORA

DORA, der Digital Operational Resilience Act für den Finanzsektor, ist lex specialis gegenüber NIS2 - für Banken, Finanzinstitute und ihre IKT-Lieferanten ersetzt DORA NIS2 im Bereich der operationellen Resilienz. Eine Bank bleibt wesentliche Einrichtung im Sinne des KSC, wendet aber für das IKT-Risikomanagement DORA an. Einzelheiten im Artikel zu DORA.

KSC und sektorale Regelungen

Energiesektor: der Network Code on Cybersecurity, EU-Durchführungsverordnung 2024/1366, mit zusätzlichen Anforderungen für Stromnetzbetreiber. Finanzsektor: die Empfehlungen der polnischen Finanzaufsicht, etwa Empfehlung D und Empfehlung Z. Gesundheitssektor: die Verordnung des Gesundheitsministeriums über das medizinische Informationssystem.

Die häufigsten Fehler der Organisationen

Nach Jahren von KSC-Audits sehen wir wiederkehrende Fehler:

1. Die Sicherheitsleitlinie ist eine Vorlage aus dem Internet. Das Dokument existiert, spiegelt aber die tatsächliche Organisation nicht wider. Datenschutzbehörde und zuständige Behörde bewerten die tatsächliche Umsetzung, nicht das Dokument allein.
2. Keine dokumentierte Risikoanalyse. Entweder fehlt sie, oder sie ist fünf Jahre alt, oder sie wurde nach wesentlichen Änderungen wie einer Cloud-Migration, einer Fusion oder der Expansion in neue Märkte nie aktualisiert.
3. Ein Kontinuitätsplan auf dem Papier. Der Plan wurde nie getestet. Keine Tabletop-Übungen, kein praktisches Szenario wie ein Wiederherstellungstest der Sicherung oder ein Test des Notbetriebs.
4. Ein SOC ohne SLA für die Reaktionszeit. Der Vertrag mit dem Anbieter besteht, definiert aber weder die Reaktionszeit noch die Folgen ihrer Überschreitung. Das SOC wird zur Formalität.
5. Keine echte Eskalation zum CSIRT. Das Verfahren existiert, wurde aber nie getestet. Die Beschäftigten wissen nicht, wer wie und in welchem Format meldet.
6. Protokolle werden nicht zentralisiert. Jedes System protokolliert lokal, es gibt kein SIEM und keine Korrelation. Nach einem Vorfall dauert die Rekonstruktion des Ablaufs Wochen.
7. Das KSC-Audit vom eigenen Lieferanten durchgeführt. Ein Interessenkonflikt - der Auditor prüft die eigene Umsetzung. Ein Verstoß gegen Artikel 15 des Gesetzes, und der Auditbericht besitzt keine Glaubwürdigkeit.
8. Kein Lieferantenmanagement. Eine Lieferantenliste besteht, aber ohne Risikoklassifizierung, ohne Cybersicherheitsklauseln in den Verträgen und ohne Auditrecht.
9. Keine Security-Awareness-Schulungen. Die Beschäftigten wissen nicht, wie sie Phishing erkennen oder einen Vorfall melden. Es fehlen wiederkehrende Schulungen und Tests (siehe Security Awareness).
10. Systeme im Auslieferungszustand. Server, Router und Netzgeräte laufen mit Werkskonfiguration. Keine CIS-Benchmarks, kein Konfigurationsscan (siehe Hardening).
11. Keine Penetrationstests. Ein Schwachstellenscan wird bisweilen durchgeführt, ein belastbarer Pentest alle 12 bis 24 Monate fehlt jedoch. Das ist eine Nachweislücke im Audit (siehe Penetrationstests).
12. Sicherungen ohne Wiederherstellungstests. Der Klassiker - Sicherungen werden erstellt, aber niemand hat je eine zurückgespielt. Im Ransomware-Fall zeigt sich, dass die Sicherung beschädigt oder unvollständig war.