NIS2 en Polonia: determinar el ámbito de KSC y organizar responsabilidades

Revisado: 13 de octubre de 2026 · Derecho y fiscalidad polacos

La clasificación de una empresa bajo KSC exige revisar su actividad real, tamaño y excepciones legales. Un código de actividad registrado o la idea de que estas normas afectan únicamente al sector informático no bastan. El resultado útil es una conclusión escrita que explique si la entidad está incluida, por qué y con qué datos se ha realizado la evaluación.

Partir de la implementación polaca de NIS2

La Ley de 23 de enero de 2026, que modifica el régimen polaco de ciberseguridad, se publicó con el número 252 del Diario Oficial y entró en vigor, con carácter general, el 3 de abril de 2026. Introdujo las categorías de entidades esenciales e importantes. Para operar en Polonia deben examinarse sus disposiciones, anexos y reglas transitorias en el contexto de la Directiva NIS2.

El programa aprobado por una matriz extranjera puede aportar controles y procedimientos útiles. No demuestra por sí solo el cumplimiento de todos los requisitos polacos. Deben revisarse el ámbito local, las responsabilidades y los canales de notificación. También merece atención la interacción con normas sectoriales específicas cuando resulten aplicables.

Documentar la prueba de inclusión

Relacione productos y servicios efectivos con los sectores, subsectores y tipos de entidad previstos en la ley. Reúna información de empleo y finanzas, y determine cómo deben computarse las empresas vinculadas y asociadas. Compruebe las categorías incluidas con independencia del tamaño y los supuestos especiales. Una regla simplificada sobre número de empleados no sustituye el análisis completo.

La conclusión debería identificar categoría, autoridad competente, obligaciones de registro y fundamento de los plazos. Una empresa que quede fuera del ámbito legal directo puede recibir exigencias contractuales de seguridad de sus clientes. Estas obligaciones de la cadena de suministro deben evaluarse por separado; un cuestionario de seguridad no atribuye automáticamente la condición de entidad esencial o importante.

Asignar tareas y acreditar la supervisión

La legislación atribuye a la dirección responsabilidad por determinadas obligaciones de ciberseguridad. Delegar tareas en un empleado o proveedor no elimina automáticamente esa responsabilidad. Cuando la dirección es colegiada, conviene ordenar la designación de una persona responsable, las facultades decisorias y la documentación de supervisión conforme a las reglas legales.

La distribución práctica debe cubrir riesgos, presupuesto, seguridad de proveedores, accesos, continuidad y gestión de incidentes. La dirección necesita información sobre deficiencias y fechas de corrección. La ley polaca también prevé formación documentada una vez por año natural para el responsable de la entidad y la persona a quien se encomienden sus obligaciones. Comprar una herramienta o disponer del certificado de un proveedor no acredita el cumplimiento integral.

Plazos KSC: comprobar la situación tras el 3 de octubre de 2026

Para entidades que ya cumplían los criterios al entrar en vigor la reforma y debían autorregistrarse, el plazo indicado por el Ministerio de Digitalización venció el 3 de octubre de 2026. En la fecha de esta revisión, compruebe la inscripción efectiva. Si faltó la solicitud obligatoria, determine urgentemente cómo cumplir la obligación.

Para el grupo sujeto al período de adaptación, la implantación de obligaciones y el inicio del uso de S46 vencen el 3 de abril de 2027. Las nuevas entidades esenciales que no eran operadores de servicios esenciales deben completar su primera auditoría hasta el 3 de abril de 2028. Los operadores anteriores mantienen su propio ciclo. Las entidades que cumplan los criterios posteriormente necesitan plazos calculados por separado.

Distinga registro, gestión de seguridad, notificación de incidentes y auditoría. Un plazo posterior de una obligación no aplaza todas las demás. Contraste el calendario con las disposiciones transitorias y el aviso vigente de la autoridad competente.

Ejemplo ilustrativo y próximos pasos

Un fabricante de equipos eléctricos tiene 120 empleados y utiliza infraestructura informática de un grupo internacional. Estos datos justifican una revisión, pero no determinan por sí solos la categoría. Deben verificarse actividad, cifras del grupo, dependencias y posibles excepciones. El ejemplo es hipotético.

• Documentar las pruebas de actividad y tamaño.
• Identificar responsables y sustitutos.
• Inventariar sistemas, proveedores y riesgos prioritarios.
• Asignar plazos y pruebas de ejecución a cada obligación.
• Ensayar la comunicación interna y la decisión de notificar incidentes.

La primera fase puede consistir en una evaluación jurídica del ámbito y un mapa de responsabilidades. Comente una revisión KSC con TLP, aportando descripción de actividad, estructura del grupo y procedimientos de seguridad disponibles.

Reservar una consulta