Einleitung
Polens Umsetzung von NIS2 gilt seit dem 3. April 2026. Sie enthält eine Definition, die beschreibt, was jeder Wartungsbetrieb tut: Installation, Betrieb und Instandhaltung von Informationssystemen, erbracht aus der Ferne. Nachfolgend das, was im Gesetzestext steht, wörtlich zitiert, mit klarer Kennzeichnung der Stellen, die es nicht entscheidet.
Es handelt sich um ein polnisches Gesetz. In Deutschland gilt ein eigenes Gesetz zur Umsetzung derselben Richtlinie, das dieser Text nicht behandelt. Lesenswert ist er, wenn Sie Kunden in Polen betreuen, oder wenn Sie sehen möchten, wie eine Lieferkettenpflicht aussieht, sobald aus einer Richtlinie ein nationales Gesetz mit konkreten Zahlen wird.
Kurz gefasst
- Gesetz vom 23. Januar 2026, Gesetzblatt 2026 Position 252, veröffentlicht am 2. März, in Kraft seit 3. April 2026 nach Artikel 49.
- Die Definition des Anbieters verwalteter Dienste umfasst Unterstützung und Administration “vor Ort oder aus der Ferne”.
- Der Sektor Verwaltung von IKT Diensten steht in Anhang 1, also unter den wesentlichen Sektoren.
- Derselbe Sektor führt zwei verschiedene Einrichtungsarten, und der Unterschied entscheidet über die Größenschwelle.
- Für den Anbieter verwalteter Sicherheitsdienste beginnt die Schwelle beim kleinen Unternehmen, nicht beim mittleren.
- Fristen laufen ab Erfüllung der Voraussetzungen, nicht ab einem einzigen Kalendertag, dies ist also kein Countdown.
- Dies ist keine Rechtsberatung, sondern eine Lektüre des Gesetzestextes mit markierter Grenze dieser Lektüre.
Drei Daten im Umlauf, eines gilt
Beim Sammeln der Fristen fand ich drei verschiedene Daten für das Inkrafttreten desselben Gesetzes. Suchergebnisse und Branchenportale nannten den 3. April 2026, das europäische Rechtsregister ebenfalls den 3. April, und eine Zusammenfassung einer Ministeriumsmitteilung sprach vom 10. April.
Der Text entscheidet. Die Schlussvorschrift lautet:
Artikel 49. Das Gesetz tritt einen Monat nach dem Tag der Veröffentlichung in Kraft.
Die Veröffentlichung erfolgte am 2. März 2026, der Monat endet am 2. April, das Gesetz gilt also ab dem 3. April 2026. Eine Zeile entscheidet, worüber drei Versionen kursierten.
Ich erwähne das, weil jede Frist unten von diesem Datum aus gerechnet wird. Nimmt man das Datum aus der Mitteilung, verschiebt sich jede um eine Woche. Es liefert außerdem einen schnellen Test für jeden anderen Text über dieses Gesetz: prüfen Sie, ob der Autor eine Artikelnummer nennt oder nur ein Datum.
Was das Gesetz über Dienstleister sagt
Die Novelle führt zwei Definitionen ein, die man wörtlich lesen sollte, denn ihr Unterschied bestimmt alles Weitere.
Die erste:
Anbieter verwalteter Dienste bezeichnet eine natürliche Person, juristische Person oder Organisationseinheit ohne Rechtspersönlichkeit, die Leistungen im Zusammenhang mit der Installation, dem Betrieb oder der Wartung von IKT Produkten, IKT Diensten, IKT Prozessen oder Informationssystemen erbringt, durch Unterstützung oder aktive Administration beim Leistungsempfänger vor Ort oder aus der Ferne
Die zweite:
Anbieter verwalteter Sicherheitsdienste bezeichnet (…) eine Einheit, die Leistungen erbringt, welche in der Durchführung oder Unterstützung der Durchführung von Tätigkeiten im Zusammenhang mit dem Cybersicherheitsrisikomanagement bestehen, einschließlich der Bearbeitung von Vorfällen und von Sicherheitstests
Die erste Definition beschreibt Wartung. Aktualisierungen von Kern und Plugins, Sicherungen, Serverkonfiguration, Deployments, Bereitschaft bei Störungen, also den Inhalt eines gewöhnlichen Wartungsvertrags. Das Wort “aus der Ferne” steht ausdrücklich im Text, das Argument, man habe keinen physischen Zugriff auf die Infrastruktur des Kunden, ändert an der Einordnung der Tätigkeit also nichts.
Die zweite Definition beschreibt etwas anderes: Risikomanagement, Vorfallbearbeitung, Sicherheitstests. Das verkauft man als eigene Kompetenz, nicht als technische Betreuung.
Zwei Einrichtungsarten in einem Sektor
In Anhang 1 hat der Sektor Verwaltung von IKT Diensten zwei Zeilen in der Spalte der Einrichtungsart: Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste. Das ist keine Wiederholung, sondern sind zwei getrennte Kategorien.
Ich habe geprüft, wo der Sektor steht, denn davon hängt ab, ob es um die wesentliche oder die wichtige Stufe geht. Anhang 1 beginnt auf Seite 87 der Gesetzblattfassung, Anhang 2 auf Seite 96, und die Verwaltung von IKT Diensten erscheint auf Seite 94. Sie steht also in Anhang 1, unter den wesentlichen Sektoren, neben Energie, Verkehr und Bankwesen.
Die Nennung in Anhang 1 bedeutet noch keine Erfassung, denn darüber entscheidet die Größe. Sie bedeutet aber, dass sich das Thema nicht mit “nicht unsere Branche” erledigen lässt.
Die Größenschwellen, wörtlich
Das Gesetz definiert die Größe nicht selbst, sondern verweist auf Anhang I der Verordnung 651/2014/EU. Dort heißt es:
- Die Größenklasse der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (“KMU”) setzt sich aus Unternehmen zusammen, die weniger als 250 Personen beschäftigen und die entweder einen Jahresumsatz von höchstens 50 Millionen EUR erzielen oder deren Jahresbilanzsumme sich auf höchstens 43 Millionen EUR beläuft.
- Innerhalb der Größenklasse der KMU wird ein kleines Unternehmen als ein Unternehmen definiert, das weniger als 50 Personen beschäftigt und dessen Jahresumsatz beziehungsweise Jahresbilanz 10 Millionen EUR nicht übersteigt.
- Innerhalb der Größenklasse der KMU wird ein Kleinstunternehmen als ein Unternehmen definiert, das weniger als 10 Personen beschäftigt und dessen Jahresumsatz beziehungsweise Jahresbilanz 2 Millionen EUR nicht übersteigt.
Zwei Details aus demselben Anhang bewahren vor einem voreiligen Schluss.
Die Mitarbeiterzahl wird in Jahresarbeitseinheiten gemessen, nicht in Namen auf einer Liste. Teilzeitkräfte und unterjährig Beschäftigte zählen anteilig.
Und Artikel 4 Absatz 2 stellt klar, dass ein einzelnes Jahr über der Schwelle nichts ändert:
der Erwerb beziehungsweise der Verlust des Status eines mittleren, kleinen oder Kleinstunternehmens tritt nur dann ein, wenn dieser Umstand in zwei aufeinanderfolgenden Geschäftsjahren eintritt
Ein gutes Jahr verschiebt ein Unternehmen nicht in eine andere Klasse. Zwei in Folge schon.
Warum die Sicherheitsschwelle niedriger liegt
Hier steht der Punkt, den man beim schnellen Lesen leicht übersieht. Artikel 5 setzt für verschiedene Zeilen des Anhangs verschiedene Schwellen.
Die allgemeine Regel für eine Einrichtung aus Anhang 1: wesentliche Einrichtung ist, wer die “Anforderungen an ein mittleres Unternehmen übersteigt”. Also oberhalb von 250 Beschäftigten oder oberhalb der finanziellen Obergrenzen.
Punkt 3 desselben Absatzes lautet jedoch anders:
ein Anbieter verwalteter Sicherheitsdienste, der die Anforderungen an einen kleinen oder mittleren Unternehmer mindestens erfüllt (…) oder übersteigt
Für diese eine Kategorie ist der Gesetzgeber von der Schwelle des mittleren auf die des kleinen Unternehmens heruntergegangen. Ein Betrieb, der bei gewöhnlicher Wartung weit außerhalb des Anwendungsbereichs läge, kann bei identischer Größe in der Stufe der wesentlichen Einrichtung landen, wenn sein Angebot unter die zweite Definition fällt.
Wie genau die Wendung “mindestens die Anforderungen an ein kleines Unternehmen erfüllt” auf ein Kleinstunternehmen anzuwenden ist, entscheide ich nicht, denn das ist eine Frage für Juristen und nicht für Entwickler. Entscheidend ist die Richtung: die Schwelle liegt hier niedriger als sonst irgendwo, und dies ist damit die einzige Stelle, an der die Unternehmensgröße kein bequemes Argument mehr ist.
Sind Sie erfasst, Fragen statt Urteil
Ich schreibe Ihnen weder, dass Sie erfasst sind, noch das Gegenteil, denn die Antwort hängt von Ihren Zahlen ab und nicht von Ihrer Branche. Stattdessen die Reihenfolge der Fragen, die ich selbst durchgehen würde.
Was Sie tatsächlich verkaufen, laut Verträgen und nicht laut Website. Ein Wartungsvertrag mit Aktualisierungen und Sicherungen ist die erste Definition. Ein Vertrag, in dem Sie sich zur Bearbeitung von Sicherheitsvorfällen, zu Tests oder zur Pflege einer Risikoanalyse verpflichten, nähert sich der zweiten. Maßgeblich ist der Inhalt der Verpflichtungen, nicht der Name des Pakets.
Was Ihr Marketing verspricht. Das ist eine eigene Frage und häufiger das Problem. Eine Seite mit dem Versprechen rund um die Uhr auf Vorfälle zu reagieren und Sicherheitsüberwachung zu leisten beschreibt eine andere Leistung als der tatsächlich unterschriebene Wartungsvertrag. Diese Lücke ist ein Problem, bevor überhaupt eine Behörde ins Spiel kommt.
Ihre Größe in Jahresarbeitseinheiten und im Umsatz, für die letzten beiden abgeschlossenen Jahre. Nicht für das laufende, denn es zählt die Wiederholung über zwei Zeiträume.
Ob einer Ihrer Kunden eine wesentliche oder wichtige Einrichtung ist. Das entscheidet nicht über Ihren Status, wohl aber darüber, was der Kunde von Ihnen verlangen wird.
Was sich ändert, wenn der Kunde erfasst ist
Auch wenn Sie selbst nicht erfasst sind, ändert sich etwas im Verhältnis zu einem erfassten Kunden. Unter den Anforderungen an das Sicherheitsmanagement nennt das Gesetz:
die Sicherheit und Kontinuität der Lieferkette von IKT Produkten, IKT Diensten und IKT Prozessen, von denen die Erbringung des Dienstes abhängt, unter Berücksichtigung der Beziehungen zwischen dem unmittelbaren Lieferanten von Hardware oder Software und der wesentlichen oder wichtigen Einrichtung
Das schlägt sich sehr konkret nieder. Ein erfasster Kunde muss belegen können, dass er seine IKT Lieferkette beherrscht. Läuft sein Shop oder Portal auf WordPress, das jemand von außen administriert, ist dieser Jemand ein Glied der Kette, das beschrieben werden muss.
Aus der Frage “macht ihr Backups” wird die Frage nach einem dokumentierten Verfahren, nach einer durch einen datierten Test belegten Wiederherstellungszeit, danach wer Produktivzugriff hat und was passiert, wenn diese Person das Unternehmen verlässt. Der Unterschied liegt darin, dass eine Zusicherung nicht mehr genügt, weil der Kunde einen Nachweis für seine eigene Akte braucht.
Darin steckt für den Dienstleister etwas Unerwartetes und eher Gutes: es ist keine neue gesetzliche Pflicht auf Ihrer Seite, sondern eine neue vertragliche Anforderung. Sie kommt über den Vertrag, wird also verhandelt und nicht wie eine Aufforderung entgegengenommen.
Ihre Daten in einem staatlichen Verzeichnis
Ein Detail, das beim ersten Lesen überrascht. Der Antrag auf Eintragung in das Verzeichnis wesentlicher und wichtiger Einrichtungen enthält unter den Daten der Einrichtung auch:
die Information über den Abschluss eines Vertrags mit einem Anbieter verwalteter Sicherheitsdienste (…) samt den Daten dieses Anbieters, bestehend aus Name der Firma, Sitzadresse, Korrespondenzadresse, Telefonnummer und Adresse der elektronischen Post
Lagert ein erfasster Kunde also Aufgaben dieses Bereichs aus, landen die Daten des Dienstleisters in einem vom Ministerium geführten Register. Zusätzlich verlangt Artikel 7c Absatz 3 einen Änderungsantrag “binnen 14 Tagen ab der Änderung”, ein Anbieterwechsel startet beim Kunden also eine Vierzehntagefrist.
Praktische Folge für den Dienstleister: es lohnt sich zu wissen, ob man in einem fremden Eintrag steht, denn das ändert die Bedeutung einer gewöhnlichen Vertragskündigung. Der Antrag enthält eine Erklärung unter Strafandrohung für falsche Angaben, die Leitung der Einrichtung hat also gute Gründe, die Daten aktuell zu halten.
Fristen laufen ab Ereignissen, nicht ab einem Datum
Die Fristen dieses Gesetzes sind kein einzelnes Kalenderdatum, sondern Uhren, die durch Ereignisse gestartet werden. Deshalb verfällt dieser Text an keinem bestimmten Tag.
Sechs Monate für den Antrag auf Eintragung, gerechnet ab Erfüllung der Voraussetzungen:
Artikel 7c Absatz 1. Eine wesentliche oder eine wichtige Einrichtung stellt den Antrag auf Eintragung in das Verzeichnis binnen 6 Monaten ab dem Tag der Erfüllung der Voraussetzungen für die Anerkennung als wesentliche oder wichtige Einrichtung.
Für Einrichtungen, welche die Voraussetzungen bereits am Tag des Inkrafttretens erfüllten, fallen sechs Monate ab dem 3. April 2026 auf Anfang Oktober 2026. Ein Unternehmen, das die Voraussetzungen im nächsten Jahr erfüllt, hat eigene sechs Monate ab seinem eigenen Datum.
Zwölf Monate für die Pflichten für Einrichtungen, welche die Voraussetzungen am Tag des Inkrafttretens erfüllten (Artikel 33 Absatz 1), also bis zum 3. April 2027.
Vierundzwanzig Monate für das erste Audit bei wesentlichen Einrichtungen (Artikel 33 Absatz 2), also bis zum 3. April 2028.
Vierzehn Tage für die Aktualisierung der Verzeichnisdaten nach jeder Änderung.
Hochrisikoanbieter, ein eigener Mechanismus
Das Gesetz enthält einen zweiten Mechanismus, der mit dem ersten verwechselt wird, anders funktioniert und jemand anderen betrifft.
Der für Digitalisierung zuständige Minister kann ein Verfahren “zur Anerkennung eines Anbieters von Hardware oder Software” als Hochrisikoanbieter einleiten, zum Schutz der Staatssicherheit oder der öffentlichen Ordnung. Die Folgen regelt Artikel 67c: erfasste Einrichtungen dürfen die von der Entscheidung erfassten IKT Produkte, Dienste und Prozesse nicht in Betrieb nehmen und müssen bereits genutzte “spätestens binnen 7 Jahren” nach Veröffentlichung der Entscheidung im amtlichen Anzeiger außer Betrieb nehmen. Für Telekommunikationsunternehmen beträgt die Frist 4 Jahre. Die Entscheidung ist sofort vollziehbar, ein Antrag auf erneute Prüfung ist ausgeschlossen.
Zwei Folgerungen für Dienstleister. Der Mechanismus zielt auf Hardware und Software, nicht auf Wartungsbetriebe, eine Agentur ist also nicht sein Adressat. Und er kann sie dennoch mittelbar und hart treffen: gerät eine Komponente, auf der die Lösung beim erfassten Kunden aufsetzt, in eine solche Entscheidung, ist die Migration keine Budgetfrage mehr, sondern eine gesetzliche Frist.
Praktisch bedeutet das unabhängig vom Rechtsstatus eines: es lohnt sich zu wissen, was genau im Stack bei Kunden aus regulierten Sektoren steckt, einschließlich der Frage, von wem ein Plugin stammt und woher das Hosting kommt. Dieses Wissen kostet einen Nachmittag, wenn man es in Ruhe aufschreibt, und deutlich mehr, wenn man es unter Druck rekonstruiert.
Bußgelder, Zahlen aus dem Text
Ich zitiere sie, weil sie gerundet kursieren, meist nach oben.
Für eine wesentliche Einrichtung:
Die Höhe des Bußgeldes darf 10 000 000 EUR (…) oder 2 % der von der wesentlichen Einrichtung im Geschäftsjahr vor der Verhängung erzielten Umsatzerlöse nicht übersteigen, wobei der höhere Betrag Anwendung findet. Das Bußgeld darf jedoch nicht niedriger als 20 000 PLN sein.
Für eine wichtige Einrichtung liegt die Obergrenze bei 250 000 EUR oder 1,4 Prozent des Umsatzes, mit einer Untergrenze von 15 000 PLN.
Zwei Anmerkungen verändern das Bild. Es handelt sich um Höchstgrenzen, nicht um Sätze, und das Gesetz knüpft die Höhe an die Schwere des Verstoßes. Und Bußgelder greifen erst zwei Jahre nach Inkrafttreten, also nach dem 3. April 2028, der jetzige Zeitraum dient damit dem Aufräumen und nicht der Vollstreckung.
Was in diesem Quartal zu tun ist
Arbeiten, die unabhängig vom Ergebnis der rechtlichen Prüfung sinnvoll sind und wenig kosten.
Lesen Sie die eigenen Verträge auf Verben hin. Es zählt, wozu Sie sich verpflichten, nicht wie das Paket heißt. “Wir aktualisieren” und “wir sichern” ist das eine. “Wir reagieren auf Sicherheitsvorfälle”, “wir pflegen eine Risikoanalyse”, “wir führen Tests durch” ist etwas anderes. Sagen die Verträge das eine und die Website das andere, ist das die Arbeit eines Nachmittags.
Listen Sie die Kunden auf, die wesentliche oder wichtige Einrichtungen sein könnten. Krankenhäuser, Hochschulen, Kommunen, Stadtwerke, Energie, Verkehr, Banken und deren Zulieferer. Sie müssen deren Status nicht klären, es genügt zu wissen, woher der Fragebogen kommen wird.
Bereiten Sie vor, wonach ohnehin gefragt wird. Wer hat Produktivzugriff, wie wird er entzogen, wo liegen die Sicherungen, wann wurden sie zuletzt testweise zurückgespielt und wie lange dauerte das, wie sieht der Eskalationsweg außerhalb der Geschäftszeiten aus. Vier Seiten, nicht vierzig.
Legen Sie fest, wer die Bewertung verantwortet. Das ist eine Frage für Juristen und die Geschäftsführung, nicht für das technische Team. Die technische Vorbereitung erledigen Sie selbst, die rechtliche Einordnung nicht.
Eine weitere Anforderung sollte man früh kennen, denn sie betrifft eine Gewohnheit und keinen Einkauf. Das Gesetz verlangt von erfassten Einrichtungen, die Sicherheitsdokumentation des Informationssystems “mindestens 2 Jahre ab dem Tag ihrer Außerbetriebnahme oder der Beendigung der Diensterbringung” aufzubewahren, und ihre Vernichtung wird durch ein Aussonderungsprotokoll mit Datum, Beschreibung des Vernichtungswegs und Angaben der freigebenden Person bestätigt. Das klingt nach Bürokratie und ist es teilweise, trägt aber eine konkrete Folge für Dienstleister: die Dokumentation überlebt den Vertrag. Hat der Kunde nach Ende der Zusammenarbeit nichts vorzuweisen, weil alles im Ticketsystem des Dienstleisters lag, kommt das Problem zurück, nur eben ohne Vertrag.
Die praktische Schlussfolgerung ist unspektakulär. Was bei der Wartung entsteht, also Änderungsprotokoll, Ergebnisse der Wiederherstellungstests und Zugriffsliste, sollte auf Kundenseite leben und nicht ausschließlich in den Werkzeugen des Dienstleisters. Für den Dienstleister ist das eine Absicherung im Streitfall, für den Kunden die Voraussetzung eigener Unterlagen.
Was dieses Gesetz nicht ändert
Der Ausgewogenheit halber, denn Texte über Regulierung neigen dazu, deren Reichweite aufzublähen.
Es ändert nichts an den Regeln zu personenbezogenen Daten. Die DSGVO gilt unabhängig, und sie regelt die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde, nicht dieses Gesetz. Es sind zwei getrennte Regime mit getrennten Fristen, ihre Vermischung erzeugt überflüssige Meldungen.
Es begründet keine Zertifizierungspflicht. Im Text steht keine Pflicht zu einer ISO Norm oder einem bestimmten Zertifikat, wohl aber die Pflicht, ein Managementsystem für Informationssicherheit zu betreiben. Ein Zertifikat kann ein bequemer Nachweis sein, vorgeschrieben ist es nicht.
Es begründet keine unmittelbaren Pflichten für einen Dienstleister, der nicht selbst wesentliche oder wichtige Einrichtung ist. Die Anforderungen erreichen ihn über den Vertrag mit dem Kunden, und das ist ein bedeutsamer Unterschied, denn Verträge werden verhandelt.
Was dieser Text nicht entscheidet
Ausdrücklich benannt, denn ein Text mit so vielen Zitaten wird leicht für ein Rechtsgutachten gehalten, und das ist er nicht.
Er entscheidet nicht, ob Ihr Unternehmen erfasst ist. Das hängt vom Wortlaut der Verträge ab, von der in Jahresarbeitseinheiten gemessenen Größe und von den Beteiligungsverhältnissen zu anderen Unternehmen, die ich nicht kenne.
Er entscheidet nicht, wie eine Behörde die Grenze zwischen erster und zweiter Definition in Mischfällen ziehen wird, in denen ein Wartungsvertrag ein Sicherheitselement enthält. Diese Grenze wird die Praxis klären, und Praxis gibt es noch nicht, denn Bußgelder greifen ab 2028.
Er entscheidet nicht, wie ein außerhalb Polens ansässiger Dienstleister mit diesen Vorschriften umgehen sollte. Das ist eine Frage der Zuständigkeit und gehört zu Juristen, die in beiden Systemen arbeiten.
Der Gesetzestext ist öffentlich und umfasst 102 Seiten in der Gesetzblattfassung. Die obigen Zitate stammen daraus und nicht aus Zusammenfassungen, und jedes lässt sich durch Suche nach der Phrase in der Datei prüfen.
Quellen
- Gesetz vom 23. Januar 2026 zur Änderung des Gesetzes über das nationale Cybersicherheitssystem und einiger anderer Gesetze, Gesetzblatt 2026 Position 252, Text veröffentlicht am 2. März 2026
- Der Rechtsakt in der Datenbank ISAP
- Verordnung (EU) Nr. 651/2014 der Kommission, Anhang I, KMU Definition, Artikel 2, 4 und 5
Letzte Prüfung: 10. August 2026. Zitate anhand des im Gesetzblatt veröffentlichten Textes geprüft. Übersetzungen des Gesetzeswortlauts stammen von mir, maßgeblich ist der polnische Text. Dieser Artikel dient der Information und ist keine Rechtsberatung.
