Stato della NIS 2 in Polonia
Cosa richiede la direttiva, come la Polonia la recepisce e dove si collocano il Ministero degli Affari digitali e i tre CSIRT nel quadro.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, inclusa la Polonia, con un unico livello minimo di cybersicurezza per i soggetti essenziali e importanti. La Polonia deve inserire quel livello minimo nel diritto polacco e gestire un regime di vigilanza in base a esso.
La Polonia recepisce la NIS 2 attraverso una modifica alla sua esistente legge sul sistema nazionale di cybersicurezza (Ustawa o krajowym systemie cyberbezpieczeństwa, UKSC) del 2018. Il Sejm ha adottato la modifica il 23 gennaio 2026, il Presidente l'ha firmata il 19 febbraio 2026, è stata pubblicata nella Gazzetta delle leggi il 2 marzo 2026 (Dz.U. 2026 poz. 252) ed è entrata in vigore il 3 aprile 2026. La Polonia ha mancato il termine del 17 ottobre 2024 della direttiva; la Commissione europea ha aperto una procedura di infrazione con un parere motivato il 7 maggio 2025.
L'autorità competente principale e il punto di contatto unico nazionale è il Ministero degli Affari digitali (Ministerstwo Cyfryzacji). A livello operativo, tre CSIRT nazionali lavorano in parallelo: CSIRT NASK per il settore privato e i servizi digitali, CSIRT GOV per la pubblica amministrazione e le infrastrutture critiche, CSIRT MON per il dominio militare. Le autorità di regolamentazione settoriali quali la KNF nel settore finanziario mantengono la loro competenza laddove DORA funge da lex specialis.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve recepire, inclusi i test di dimensione e settore per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Polonia senza recepimento nazionale.
Recepimento polacco
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)
Il recepimento polacco della NIS 2, strutturato come modifica all'esistente UKSC del 5 luglio 2018. Pubblicato nella Gazzetta delle leggi il 2 marzo 2026, in vigore dal 3 aprile 2026. I regolamenti di attuazione del Ministero degli Affari digitali completano il dettaglio operativo.
Modifica della UKSC 2026
Trasferisce gli obblighi della NIS 2 nel diritto polacco. Definisce i soggetti essenziali e importanti (podmioty kluczowe i ważne), i poteri di vigilanza del Ministero degli Affari digitali, gli obblighi di segnalazione di incidenti al CSIRT pertinente e le sanzioni. I CSIRT settoriali per le industrie strategiche sono una nuova caratteristica introdotta dalla modifica.
Ministero degli Affari digitali e tre CSIRT
Il Ministero degli Affari digitali è l'autorità competente principale e il punto di contatto unico nazionale verso l'UE e gli altri Stati membri. Tre CSIRT operano in parallelo: CSIRT NASK (settore privato, servizi digitali), CSIRT GOV (pubblica amministrazione, infrastrutture critiche, gestito dall'Agenzia di sicurezza interna ABW) e CSIRT MON (militare).
Registrazione e attuazione
La modifica è entrata in vigore il 3 aprile 2026. Le entità che soddisfano i criteri a quella data devono registrarsi nell'elenco ufficiale dei soggetti essenziali e importanti. Dodici mesi per attuare tutte le misure di sicurezza del Capo 3, ossia fino al 3 aprile 2027. La segnalazione di incidenti segue la direttiva: preallarme di 24 ore, notifica di 72 ore, relazione finale di un mese, trasmessa attraverso il sistema nazionale S46 al CSIRT pertinente.
Il diritto locale si applica all'interno della Polonia
Le operazioni sul territorio polacco seguono il recepimento polacco. Un Geschäftsführer tedesco che gestisce una controllata polacca legge la UKSC come modificata il 23 gennaio 2026 per quella controllata, non il BSIG tedesco. Gli obblighi della direttiva sono identici; la procedura, le autorità e le sanzioni vivono nel diritto polacco.
La Polonia non può scendere al di sotto del livello minimo UE
La direttiva è uno strumento di armonizzazione minima. La Polonia può andare più rigorosa e in alcuni punti lo fa, sulle strutture settoriali e sui controlli della catena di approvvigionamento. Non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione di incidenti o sulla responsabilità dell'organo di gestione.
Ministero degli Affari digitali
Il Ministerstwo Cyfryzacji è l'autorità competente principale ai sensi della UKSC e il punto di contatto unico nazionale verso l'UE e il gruppo di cooperazione. Tiene l'elenco ufficiale dei soggetti essenziali e importanti, emette regolamenti di attuazione e coordina i tre CSIRT nazionali e i nuovi CSIRT settoriali.
CSIRT NASK, CSIRT GOV, CSIRT MON
La Polonia gestisce tre CSIRT nazionali in parallelo. CSIRT NASK (ospitato presso la rete informatica di ricerca e accademica NASK) copre il settore privato e i servizi digitali e funge da punto di contatto operativo per la maggior parte delle imprese. CSIRT GOV (ospitato presso l'Agenzia di sicurezza interna ABW) copre la pubblica amministrazione e le infrastrutture critiche. CSIRT MON copre il dominio militare. Quale CSIRT sia competente discende dal settore e dalla proprietà, non dalla scelta dell'entità.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce il database europeo delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un'autorità di vigilanza per le entità polacche; lo sono il Ministero degli Affari digitali e i tre CSIRT.
Seguiamo semplicemente il NIS2UmsuCG tedesco, così risparmiamo tempo.
Gli obblighi della direttiva sono gli stessi in DE e PL, ma la procedura nazionale no. La Polonia si registra attraverso il Ministero degli Affari digitali, segnala gli incidenti a CSIRT NASK, CSIRT GOV o CSIRT MON a seconda del settore, e usa il sistema S46. Una controllata polacca di un gruppo tedesco documenta la propria conformità rispetto alla UKSC come modificata il 23 gennaio 2026, non rispetto al BSIG tedesco.
La Polonia non ha ancora un registro ufficiale, quindi possiamo aspettare.
La modifica della UKSC è entrata in vigore il 3 aprile 2026. Le entità che soddisfano i criteri devono registrarsi nell'elenco ufficiale dei soggetti essenziali e importanti e hanno tempo fino al 3 aprile 2027 per attuare tutte le misure di sicurezza del Capo 3. Aspettare non equivale a grazia: gli obblighi si applicano dall'entrata in vigore; solo la prassi sanzionatoria è scaglionata.
Siamo nel settore finanziario sotto la vigilanza della KNF, la NIS 2 non ci riguarda.
Per banche, prestatori di servizi di pagamento e altri operatori finanziari, DORA è lex specialis per la sicurezza ICT, applicata dalla KNF. L'obbligo di registrazione NIS 2 presso il Ministero degli Affari digitali resta valido. Anche coloro che seguono DORA dal punto di vista sostanziale devono essere formalmente individuati e registrati come soggetti NIS 2. Questo è un errore comune nella verifica di applicabilità.
La Polonia è stata uno dei sette Stati membri presi di mira dalla Commissione europea con un parere motivato il 7 maggio 2025 per la mancata notifica del recepimento della NIS 2. La modifica della UKSC del 23 gennaio 2026, in vigore dal 3 aprile 2026, chiude quella lacuna. In pratica: lo spazio degli obblighi è ora netto, mentre la prassi sanzionatoria è ancora ai suoi primi mesi.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, registrarsi presso il Ministero degli Affari digitali, impostare i quattro obblighi continui (mantenimento della registrazione, segnalazione di incidenti al CSIRT pertinente, rischio della catena di approvvigionamento, sorveglianza dell'organo di gestione) e documentare il minimo. Le entità polacche di proprietà di società madri tedesche dovrebbero chiarire quale CSIRT sia competente per loro prima che si verifichi il primo incidente.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa checklist funziona per una controllata polacca ai sensi della UKSC, una società madre tedesca ai sensi del BSIG e una società sorella olandese ai sensi della Cyberbeveiligingswet. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito polacco si parte dalla verifica di applicabilità, poi si passa alla cadenza di segnalazione di incidenti con il CSIRT corretto, alle clausole della catena di approvvigionamento e all'approvazione dell'organo di gestione. Laddove il Ministero degli Affari digitali o i CSIRT pubblicano orientamenti settoriali, vi facciamo riferimento; non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560): ISAP Sejm
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252): ISAP Sejm
- Ministero degli Affari digitali (Ministerstwo Cyfryzacji): sito ufficiale, gov.pl/web/cyfryzacja
- CSIRT NASK: csirt.nask.pl
- CSIRT GOV (Agenzia di sicurezza interna ABW): csirt.gov.pl
- Commissione europea, parere motivato sulla mancata notifica del recepimento della NIS 2, 7 maggio 2025
- KNF / Autorità polacca di vigilanza finanziaria: autorità competente per DORA nel settore finanziario