NIS2 nach der polnischen KSC-Novelle

Kurzfassung: Was sollten Unternehmen nach den Än­de­run­gen an NIS2 und KSC tun?

Nach der KSC-Novellierung sollten Unternehmen rechtliche Pflichten in ein Betriebsmodell übersetzen: Geltungsbereich bestätigen, Managementverantwortung zuweisen, kritische Dienste abbilden, Lieferanten prüfen, Risikobehandlung dokumentieren und Nachweise für Backup, MFA sowie Vorfallbearbeitung führen. Die größte Herausforderung ist nicht die Dokumentation selbst, sondern der Nachweis der praktischen Anwendung: Backup-Tests, Lieferantenregister, MFA-Überprüfungen, Schulungen, Vorfallverfahren und Managemententscheidungen. NIS2 und das geänderte KSC sind verbindliche Regelungen mit konkreten Fristen.

• Die praktische Frage lautet nicht nur, ob das Gesetz gilt, sondern welche Kontrollen und Nachweise zuerst bereitstehen müssen.
• Geschäftsleitung, IT, Sicherheit, Recht, Einkauf und Prozesseigner sollten mit einem gemeinsamen Maßnahmenplan arbeiten.
• Virtline verbindet NIS2, KSC, ISO 27001, Backup, Incident Response und Lieferantennachweise zu umsetzbaren Etappen.

Wie wird NIS2-Bereitschaft zu einem Betriebsprozess?

Geltungsbereich, kritische Dienste und Verantwortliche zuerst bestätigen. Dringende Lücken von längerfristigen ISMS-Arbeiten trennen. Jede Maßnahme braucht einen Verantwortlichen, eine gesetzliche oder risikobasierte Frist und einen Abnahmenachweis. Prüfungen nach 60–90 Tagen bewerten Fortschritt; sie verschieben weder Schutzmaßnahmen noch bereits fällige Pflichten.

• Bestätigen Sie Geltungsbereich, Status als wesentliche oder wichtige Einrichtung und die zu schützenden Dienste.
• Prüfen Sie die Eintragung im KSC-Verzeichnis und den Zeitpunkt, ab dem Ihre Organisation die gesetzlichen Kriterien erfüllte. Das Vorgehen nach Ende des Registrierungsfensters wird weiter unten erläutert.
• Benennen Sie Verantwortliche für Risiken, Lieferanten, Vorfälle, Geschäftskontinuität, technische Kontrollen und Berichterstattung.
• Starten Sie das Programm mit einem Verzeichnis kritischer Dienste, einem ersten Lieferantenregister und einer kompakten Lückenanalyse.
• Bewerten Sie NIS2/KSC-Lücken bei Risiko, Vorfällen, Backup, Lieferanten, Kryptografie, MFA, Zugriff, Dokumentation, Schulung und Tests.
• Planen Sie ISMS, Incident-Verfahren, Prüfung von MFA und privilegierten Konten sowie einen Wiederherstellungstest.
• Sammeln Sie Verträge und DPA, Zertifikate, Sicherheitsfragebögen, Risikobewertungen und vereinbarte Maßnahmen zu Lieferanten.
• Die Leitung entscheidet, welche Risiken reduziert, akzeptiert, auf Lieferanten übertragen oder sofort geschlossen werden.
• Legen Sie Berichtsverantwortung, den ersten Prüftermin und einen zentralen Ablageort für Umsetzungsnachweise fest.
• Verknüpfen Sie Maßnahmen mit ISO-27001- und KSC-Kontrollen und bestätigen Sie deren Wirksamkeit durch Tests, Schulungen und aktuelle Nachweise.

NIS2 in Polen: Die Phase des „Wartens auf das Gesetz“ ist vorbei

Die Änderung des Gesetzes über das nationale Cybersicherheitssystem zur Umsetzung der NIS2-Richtlinie trat am 3. April 2026 in Kraft. Von diesem Moment an sollte sich das Unternehmen nicht mehr fragen, ob es sich lohnt zu warten, sondern ob es seinen Status, Fristen, Verpflichtungen, verantwortliche Personen und Sicherheitslücken kennt.

• 3. Oktober 2026: abgelaufene Antragsfrist für Einrichtungen, die die Voraussetzungen am 3. April 2026 erfüllten und nicht von Amts wegen eingetragen wurden.
• 3. April 2027: Frist für den Beginn der Nutzung des S46-Systems und die Umsetzung der gesetzlichen Pflichten durch die betroffenen Einrichtungen.
• 3. April 2028: erstes Audit für wesentliche Einrichtungen, die zuvor keine Betreiber wesentlicher Dienste waren. Bisherige Betreiber behalten den Prüfzyklus von mindestens einmal in drei Jahren ab dem letzten Auditbericht bei; sie erhalten nicht automatisch einen neuen Aufschub.
• Folgende Punkte müssen sortiert werden: Einstufung der Einrichtung, Risikoanalyse, Lieferanten, Vorfälle, Dokumentation und Umsetzungsnachweise.

Prioritäten für ein wirksames NIS2-Programm

Das Programm verbindet Verantwortlichkeiten, Lieferanten, Kontinuität und Nachweise wirksamer Kontrollen. Die Prüfung umfasst Risikomanagement, Vorfallbearbeitung, Wiederherstellungstests und Aufsicht der Geschäftsleitung.

• Die Geschäftsleitung genehmigt Risikomanagementmaßnahmen und überwacht ihre Umsetzung. Die Verantwortung richtet sich nach dem anwendbaren nationalen Recht und der jeweiligen Rolle.
• Risiken müssen analysiert, aktualisiert und den Verantwortlichen zugeordnet werden und nicht nur in der Richtlinie beschrieben werden.
• Für Einrichtungen mit vollständigem Meldeverfahren: Frühwarnung, Meldung eines erheblichen Vorfalls und Abschlussbericht; Zwischenbericht auf Anforderung. Fristen, Ausnahmen und Übergangsregeln nach Art. 11–12c KSC und dem Status der Einrichtung bestimmen.
• Die Lieferkette erfordert eine Bestandsaufnahme, Klassifizierung der IKT-Lieferanten und eine regelmäßige Sicherheitsbewertung.
• Backup-, Geschäftskontinuitäts- und Reaktionsverfahren müssen getestet und nicht nur in Dateien gespeichert werden.

Der häufigste Fehler: Es gibt Dokumente, aber keinen Prozess

Das riskanteste Muster sind Richtlinien, Verfahren und Backups, die nur auf dem Papier existieren. Der Auditor fragt nach Überprüfungsterminen, Wiederherstellungstests, Risikoverantwortlichen, Aktivitätsberichten und Schulungsnachweisen und nicht nur nach einem vorgefertigten PDF-Dokument. Unternehmen verschwenden Zeit, wenn sie mit der Standarddokumentation beginnen, SaaS-Anbieter ignorieren, Backups nicht testen oder keinen Entscheidungsträger haben, wenn die Risiken hoch sind. Das größte Risiko ist nicht das Fehlen eines Werkzeugs, sondern die mangelnde Verantwortung.

• Die Sicherung wird durchgeführt, aber niemand hat die tatsächliche Wiederherstellung des geschäftskritischen Systems und die RTO/RPO-Zeit überprüft.
• Berechtigungen, MFA und privilegierte Konten wurden einmalig und ohne erneute Überprüfung implementiert.
• Das Register der SaaS-Anbieter existiert fragmentarisch, ohne Klassifizierung nach Kritikalität und Sicherheitsanforderungen.
• Schulungen und Sicherheitstests finden sporadisch oder ohne Nachweise zu Teilnahme, Ergebnissen und Folgemaßnahmen statt.
• Das Risikoregister hat keine Verantwortlichen, keine Handlungsfristen und keine Managemententscheidungen.
• Fehlende eindeutige Qualifizierung des Unternehmens und Verschiebung der Aufnahme in die Liste.
• Richtlinien ohne benannte Verantwortliche, Prüftermine und Anwendungsnachweise.
• Vorfallverfahren ohne Kontaktnummern, Rollen, Eskalationsschwellen und Test.

Strafen und Aufsicht: Warum Sie mit der Vorbereitung nicht warten sollten

Artikel 34 NIS2 verlangt eine maximale Verwaltungsgeldbuße von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und mindestens 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen; in beiden Fällen gilt der jeweils höhere Betrag. In Polen verschiebt Art. 35 der Novelle die erstmalige Verhängung der dort genannten Geldbußen um zwei Jahre nach Inkrafttreten; das Ministerium nennt den 3. April 2028. Das ist weder eine allgemeine Haftungsbefreiung noch eine Verlängerung der Erfüllungsfristen.

Was sollte ein Unternehmen zuerst prüfen?

Die folgende Liste kann als schneller Bereitschaftstest in 1–2 Tagen ausgefüllt werden. Wenn die meisten Antworten „Wir wissen es nicht“ lauten, sollte das Unternehmen offiziell eine für NIS2/KSC verantwortliche Person benennen und eine Lückenanalyse starten.

• Wissen wir, ob wir NIS2/KSC unterliegen und ob wir eine wesentliche Einrichtung, eine wichtige Einrichtung oder ein Lieferant eines solchen Unternehmens sind?
• Verfügen wir über eine aktuelle Risikoanalyse, ein Überprüfungsdatum und eine Managemententscheidung zu Sicherheitsmaßnahmen?
• Berücksichtigt das Vorfallverfahren Personen, Telefonnummern, E-Mails, Meldeformat und Eskalationsschwellen?
• Werden Backups getestet und funktioniert MFA für privilegierte Konten, E-Mail, VPN, Hosting, CRM und Finanzen?
• Verfügen wir über eine Liste von IT- und SaaS-Anbietern mit Kritikalitätsklassifizierung, Daten, SLA und Risikobewertung?

Was für die Registrierung und das Gespräch mit der Leitung vorzubereiten ist

Selbstregistrierung und KSC/NIS2-Programm benötigen Informationen, die sich gewöhnlich nicht am letzten Tag sammeln lassen. Das Paket sollte die rechtliche Einstufung mit der realen IT-Umgebung, kritischen Diensten und Geschäftsentscheidungen verbinden.

• Branche, Größenkriterien, kritische Dienste und Abhängigkeiten von regulierten Kunden.
• Verantwortliche für Prozesse, Systeme, Risiken, IKT-Lieferanten und Entscheidungen zur Risikoakzeptanz.
• Liste von Systemen, Daten, Standorten, SaaS-Anbietern, privilegierten Konten und kritischen Integrationen.
• Status technischer Kontrollen: MFA, Backup, Monitoring, EDR, Schwachstellen, Protokolle, Updates und Segmentierung.
• Managementpaket mit hohen Risiken, Budget, Ausnahmen, priorisierten Maßnahmen mit Fristen und Umsetzungsnachweisen.

Termine, die im Managementkalender enthalten sein sollten

Die Termine wurden am 14. November 2026 mit der Mitteilung des Digitalministeriums verglichen. Für bei Inkrafttreten erfasste Einrichtungen endet die Anpassungsfrist am 3. April 2027; das erste Audit neu erfasster wesentlicher Einrichtungen ist bis 3. April 2028 fällig. Status, Erfassungsdatum und Ausnahmen sind individuell zu klären. Die Verfügbarkeit von S46 ab 12. Juni 2026 war nicht das Ende der Anpassungsfrist.

• 13. April 2026: Einführung der KSC-Liste.
• 3. Oktober 2026: abgelaufene Antragsfrist für Einrichtungen, die die Voraussetzungen am 3. April 2026 erfüllten und nicht von Amts wegen eingetragen wurden.
• 12. Juni 2026: Einführung der Möglichkeit, das S46-System für neue Unternehmen zu nutzen. S46 unterstützt Vorfallsmeldung und -bearbeitung sowie den Austausch von Cyberbedrohungsinformationen; Zugang und Pflichten hängen vom Organisationsstatus ab.
• 3. April 2027: Ende der Frist für den Beginn der Nutzung von S46 und die Umsetzung der gesetzlichen Pflichten durch Einrichtungen, die beim Inkrafttreten die Einstufungskriterien erfüllten.
• 3. April 2028: erstes Audit für wesentliche Einrichtungen, die zuvor keine Betreiber wesentlicher Dienste waren. Bisherige Betreiber behalten den Prüfzyklus von mindestens einmal in drei Jahren ab dem letzten Auditbericht bei; sie erhalten nicht automatisch einen neuen Aufschub.

Was nach dem Registrierungsfenster zu prüfen ist

Das Zeitfenster zur Selbstregistrierung vom 7. Mai bis 3. Oktober 2026 ist beendet. Prüfen Sie, ob eine Eintragung von Amts wegen oder auf Antrag erforderlich war und ob Ihre Organisation eingetragen ist. Wurde ein erforderlicher Antrag nicht gestellt, klären Sie mit der für Compliance zuständigen Person die nächsten Schritte nach den geltenden Vorschriften; warten Sie nicht auf ein weiteres Zeitfenster. Bei später erfassten Organisationen ist die Frist ab dem Zeitpunkt zu bestimmen, zu dem die Voraussetzungen erfüllt wurden.

• Streichen Sie die Annahme, NIS2 sei nur eine ferne regulatorische Prognose.
• Ersetzen Sie die allgemeine Checkliste durch die Einstufung von Branche, Größe, kritischen Diensten und Registrierungsweg.
• Erstellen Sie ein eigenes Managementpaket mit hohen Risiken, Budgetentscheidungen, Verantwortlichen, Terminen und Nachweisen.
• Verschieben Sie Technik nicht ans Ende: MFA, Backup, Monitoring, Vorfälle und IKT-Lieferanten brauchen Spuren in Protokollen und Berichten.
• Beziehen Sie bei regulierten Kunden auch Vertragsanforderungen, ISO 27001 und DORA ein.

Aufsicht der Geschäftsleitung über Cybersicherheit

Geschäftskontinuität, Backups, Vorfälle und Risikomanagement sind nicht nur technische Aufgaben. Der Vorstand sollte Sicherheitsmaßnahmen genehmigen, die Umsetzung überwachen, regelmäßige Berichte erhalten und dokumentierte Cybersicherheitsschulungen absolvieren. Am besten ist es, wenn jede Entscheidung eine verantwortliche Person, eine Frist, geschäftliche Konsequenzen und einen Umsetzungsnachweis hat. Risikoakzeptanz oder Risikotransfer hebt gesetzliche Pflichten nicht auf; Outsourcing überträgt die Verantwortung der Einrichtung nicht automatisch.

• Risikoentscheidungen sollten in Beschlüssen, Protokollen oder formellen Ausnahmegenehmigungen festgehalten werden.
• Der Bericht an das Management sollte den Kontrollstatus, Vorfälle, Lieferanten, Backup, MFA und ausstehende Aktivitäten aufzeigen.
• Führungskräfteschulungen sollten ebenso wie Mitarbeiterschulungen regelmäßig wiederholt und dokumentiert werden.
• Der Vorstand sollte Ausnahmen und akzeptierte Risiken ausdrücklich bestätigen.
• Berichte müssen zeigen, welche Kontrollen geprüft wurden und welche Maßnahmen noch offen sind.
• Ist das Unternehmen als wesentliche oder wichtige Einrichtung einzustufen oder als Lieferant von Kundenanforderungen betroffen?
• Welche Dienste, Systeme und Lieferanten sind für die Geschäftskontinuität von entscheidender Bedeutung?
• Welche hohen Risiken nehmen wir vorübergehend in Kauf und welche schließen wir sofort?
• Welches Budget stellen wir für MFA, Backup, Überwachung, EDR, Dokumentation und Schulung bereit?
• Legen Sie einen wiederkehrenden Termin für die Managementbewertung fest und weisen Sie jeder offenen Ausnahme einen Verantwortlichen, eine Frist und eine dokumentierte Risikoentscheidung zu.

Nachweise, nach denen der Prüfer suchen wird

Auditoren prüfen Aufzeichnungen, Tests und benannte Kontrollverantwortliche. Die Nachweise sollten zeigen, wer über Risiken entschieden hat, welche Kontrollen umgesetzt sind, wie sie getestet wurden und welche Maßnahmen noch offen sind.

• Liste kritischer Systeme, Daten, Standorte, Lieferanten und Prozessverantwortlicher.
• MFA-Status, privilegierte Konten, Ausnahmen und Termin der nächsten Zugriffskontrolle.
• Backup-Test, RTO/RPO, Wiederherstellungsprotokoll und Verantwortliche für kritische Daten.
• Vorfallprozess, Meldeweg, Eskalation, Protokollquellen und Nachweis einer Übung oder Fallanalyse.

Wie hilft Virtline Unternehmen bei der Vorbereitung auf NIS2/KSC?

Virtline verbindet technisches Audit, Cybersicherheit, IT-Outsourcing und Dokumentation. Empfehlungen bleiben nicht in einem Bericht, sondern werden in Konfigurationen, Tests, Prozesse und wiederkehrende Betriebsnachweise umgesetzt. Wir arbeiten aus der Perspektive von Geschäftsleitung, IT und Prozessverantwortlichen, damit NIS2/KSC als operatives Programm und nicht als separater Compliance-Ordner geführt wird. Im Erstgespräch sollten die Einstufung des Unternehmens, kritische Dienste, der Programmverantwortliche, der Backup-Status, Lieferanten, MFA, die Behandlung von Vorfällen und die für das Management verfügbaren Nachweise geklärt werden. Rechtsquellen bestimmen die Pflichten; das Umsetzungsprojekt übersetzt sie in Umfang, Verantwortliche, technische Kontrollen und laufend gepflegte Nachweise. Primärquellen und Hinweise der Aufsichtsbehörden sollten regelmäßig geprüft werden, da sich Auslegungen und nationale Umsetzungsanforderungen ändern können.

Primärquellen und wei­ter­füh­ren­de Informationen

Prüfen Sie regelmäßig Primärquellen und Materialien der Behörden, da sich Auslegungen und nationale Umsetzungsanforderungen ändern können. Ein Compliance-Programm sollte sich nicht nur auf Marketingzusammenfassungen stützen.

Verwandte Artikel

Es lohnt sich, das NIS2-Thema mit praktischen technischen Bereichen zu verbinden: Backup, MFA, Monitoring und Compliance.

Wann sollte man mit einem Experten sprechen?

Eine Beratung ist sinnvoll, wenn ein Unternehmen sich über die Klassifizierung nicht sicher ist, über eine verteilte IT-Umgebung verfügt, mehrere SaaS-Dienste nutzt, regulierte Kunden betreut oder einen Plan benötigt, der dem Vorstand vorgelegt werden kann.

• Sie müssen klären, ob das Unternehmen eine wesentliche oder wichtige Einrichtung ist oder als Lieferant Anforderungen seiner Kunden erfüllen muss.
• Risikoverantwortliche, Anlagenverantwortliche oder Lieferantenregister fehlen.
• Sie verfügen über keinen Backup-Test, keine MFA-Überprüfung, kein Vorfallverfahren oder keinen Schulungsnachweis.
• Sie möchten KSC mit ISO 27001, DORA, Vertragsanforderungen und echtem IT-Outsourcing kombinieren.
• Sie brauchen eine prüfbare Reihenfolge der Maßnahmen statt einer allgemeinen Checkliste.

KSC- und NIS2-Kontrollen, die zuerst nachgewiesen werden sollten

Beginnen Sie mit Kontrollen, die leicht nachzuweisen und schwer vorzutäuschen sind: privilegierte Zugriffe, MFA, Backup-Wiederherstellung, Monitoring, Vorfallmeldungen, Lieferantenregister und dokumentierte Managemententscheidungen.

NIS2/KSC-Erstgespräch vorbereiten

Für die erste Einschätzung genügen Branche, Größe, kritische Dienste, Systemlandschaft, Lieferanten, vorhandene Kontrollen und offene Fragen. Daraus entsteht eine priorisierte NIS2/KSC-Entscheidungsgrundlage.