Estado da NIS 2 na Polónia
O que a diretiva exige, como a Polónia a transpõe e onde se situam o Ministério dos Assuntos Digitais e os três CSIRT no quadro.
Visão geral
A diretiva NIS 2 é o nível da UE. Vincula todos os Estados-Membros, incluindo a Polónia, com um patamar único de cibersegurança para as entidades essenciais e importantes. A Polónia tem de inscrever esse patamar no direito polaco e operar um regime de supervisão ao seu abrigo.
A Polónia transpõe a NIS 2 através de uma alteração à sua Lei sobre o Sistema Nacional de Cibersegurança existente (Ustawa o krajowym systemie cyberbezpieczeństwa, UKSC) de 2018. O Sejm adotou a alteração em 23 de janeiro de 2026, o Presidente assinou-a em 19 de fevereiro de 2026, foi publicada no Jornal das Leis em 2 de março de 2026 (Dz.U. 2026 poz. 252) e entrou em vigor em 3 de abril de 2026. A Polónia falhou o prazo de 17 de outubro de 2024 da diretiva; a Comissão Europeia abriu um procedimento de infração com um parecer fundamentado em 7 de maio de 2025.
A autoridade competente principal e Ponto de Contacto Único nacional é o Ministério dos Assuntos Digitais (Ministerstwo Cyfryzacji). A nível operacional, três CSIRT nacionais trabalham em paralelo: CSIRT NASK para o setor privado e os serviços digitais, CSIRT GOV para a administração pública e a infraestrutura crítica, CSIRT MON para o domínio militar. Os reguladores setoriais, como a KNF no setor financeiro, mantêm a sua competência quando a DORA atua como lex specialis.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança a nível da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Aplicação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Polónia sem transposição nacional.
Transposição polaca
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252)
A transposição polaca da NIS 2, estruturada como alteração à UKSC existente de 5 de julho de 2018. Publicada no Jornal das Leis em 2 de março de 2026, em vigor a partir de 3 de abril de 2026. Os regulamentos de execução do Ministério dos Assuntos Digitais preenchem o detalhe operacional.
Alteração à UKSC de 2026
Inscreve as obrigações da NIS 2 no direito polaco. Define as entidades essenciais e importantes (podmioty kluczowe i ważne), os poderes de supervisão do Ministério dos Assuntos Digitais, os deveres de comunicação de incidentes ao CSIRT competente e as sanções. Os CSIRT setoriais para indústrias estratégicas são uma novidade introduzida pela alteração.
Ministério dos Assuntos Digitais e três CSIRT
O Ministério dos Assuntos Digitais é a autoridade competente principal e o Ponto de Contacto Único nacional perante a UE e os demais Estados-Membros. Três CSIRT operam em paralelo: CSIRT NASK (setor privado, serviços digitais), CSIRT GOV (administração pública, infraestrutura crítica, operado pela Agência de Segurança Interna ABW) e CSIRT MON (militar).
Registo e implementação
A alteração entrou em vigor em 3 de abril de 2026. As entidades que cumpram os critérios nessa data têm de se registar na lista oficial de entidades essenciais e importantes. Doze meses para implementar todas as medidas de segurança do capítulo 3, ou seja, até 3 de abril de 2027. A comunicação de incidentes segue a diretiva: aviso prévio em 24 horas, notificação em 72 horas, relatório final em um mês, transmitido através do sistema nacional S46 ao CSIRT competente.
A lei local aplica-se dentro da Polónia
As operações em território polaco seguem a transposição polaca. Um Geschäftsführer alemão que gere uma filial polaca lê a UKSC com a redação dada pela alteração de 23 de janeiro de 2026 para essa filial, não o BSIG alemão. As obrigações da diretiva são idênticas; o procedimento, as autoridades e as sanções vivem no direito polaco.
A Polónia não pode descer abaixo do patamar da UE
A diretiva é um instrumento de harmonização mínima. A Polónia pode ir mais longe e nalguns pontos vai, nas estruturas setoriais e nos controlos da cadeia de fornecimento. Não pode descer abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de comunicação de incidentes ou na responsabilidade do órgão de administração.
Ministério dos Assuntos Digitais
O Ministerstwo Cyfryzacji é a autoridade competente principal ao abrigo da UKSC e o Ponto de Contacto Único nacional perante a UE e o Grupo de Cooperação. Mantém a lista oficial de entidades essenciais e importantes, emite regulamentos de execução e coordena os três CSIRT nacionais e os novos CSIRT setoriais.
CSIRT NASK, CSIRT GOV, CSIRT MON
A Polónia opera três CSIRT nacionais em paralelo. O CSIRT NASK (alojado na Rede Informática de Investigação e Académica NASK) abrange o setor privado e os serviços digitais e atua como ponto de contacto operacional para a maioria das empresas. O CSIRT GOV (alojado na Agência de Segurança Interna ABW) abrange a administração pública e a infraestrutura crítica. O CSIRT MON abrange o domínio militar. Qual o CSIRT competente decorre do setor e da propriedade, não da escolha da entidade.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades polacas; o Ministério dos Assuntos Digitais e os três CSIRT são-no.
Basta seguirmos o NIS2UmsuCG alemão, isso poupa tempo.
As obrigações da diretiva são as mesmas na DE e na PL, mas o procedimento nacional não é. A Polónia regista através do Ministério dos Assuntos Digitais, comunica incidentes ao CSIRT NASK, CSIRT GOV ou CSIRT MON consoante o setor, e utiliza o sistema S46. Uma filial polaca de um grupo alemão documenta a sua conformidade face à UKSC com a redação dada pela alteração de 23 de janeiro de 2026, não face ao BSIG alemão.
A Polónia ainda não tem registo oficial, por isso podemos esperar.
A alteração à UKSC entrou em vigor em 3 de abril de 2026. As entidades que cumprem os critérios têm de se registar na lista oficial de entidades essenciais e importantes e têm até 3 de abril de 2027 para implementar todas as medidas de segurança do capítulo 3. Esperar não é o mesmo que transição: os deveres aplicam-se a partir da entrada em vigor; só a prática sancionatória é faseada.
Estamos no setor financeiro sob supervisão da KNF, a NIS 2 não nos diz respeito.
Para os bancos, prestadores de serviços de pagamento e outros atores financeiros, a DORA é lex specialis para a segurança das TIC, executada pela KNF. O dever de registo da NIS 2 junto do Ministério dos Assuntos Digitais mantém-se. Mesmo quem segue a DORA na substância tem de ser formalmente identificado e registado como entidade NIS 2. Este é um erro comum na verificação de aplicabilidade.
A Polónia foi um dos sete Estados-Membros a que a Comissão Europeia dirigiu um parecer fundamentado em 7 de maio de 2025 por não ter notificado a transposição da NIS 2. A alteração à UKSC de 23 de janeiro de 2026, em vigor a partir de 3 de abril de 2026, fecha essa lacuna. Na prática: o espaço de obrigações está nítido agora, ao passo que a prática sancionatória ainda está nos seus primeiros meses.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, registar junto do Ministério dos Assuntos Digitais, estabelecer as quatro obrigações contínuas (manutenção do registo, comunicação de incidentes ao CSIRT competente, risco da cadeia de fornecimento, supervisão pelo órgão de administração) e documentar o mínimo. As entidades polacas detidas por sociedades-mãe alemãs devem esclarecer qual o CSIRT competente para elas antes de ocorrer o primeiro incidente.
Construímos o registo de obrigações da NIS 2 sobre o nível da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação funciona para uma filial polaca ao abrigo da UKSC, uma sociedade-mãe alemã ao abrigo do BSIG e uma congénere neerlandesa ao abrigo da Cyberbeveiligingswet. As referências aos artigos mudam por idioma; as obrigações substantivas não.
Para o âmbito polaco, começa pela verificação de aplicabilidade, depois passa à cadência de comunicação de incidentes com o CSIRT certo, às cláusulas da cadeia de fornecimento e à aprovação do órgão de administração. Onde o Ministério dos Assuntos Digitais ou os CSIRT publicam orientação setorial, referenciamo-la; não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560). ISAP Sejm
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252). ISAP Sejm
- Ministério dos Assuntos Digitais (Ministerstwo Cyfryzacji). sítio oficial, gov.pl/web/cyfryzacja
- CSIRT NASK. csirt.nask.pl
- CSIRT GOV (Agência de Segurança Interna ABW). csirt.gov.pl
- Comissão Europeia, parecer fundamentado por não notificação da transposição da NIS 2, 7 de maio de 2025
- KNF / Autoridade Polaca de Supervisão Financeira. autoridade competente para a DORA no setor financeiro