Conformité CRA pour les fabricants polonais : NASK, KSC et PCA

Les fabricants polonais font face aux mêmes obligations CRA que tout autre fabricant de l'Union, avec une particularité que les autres États membres ne connaissent pas au même degré : une loi nationale sur la cybersécurité (la loi KSC amendée) entrée en vigueur le 3 avril 2026 qui chevauche partiellement le Règlement sur la cyberrésilience, sans s'y substituer. Cette note pays couvre la Pologne : le routage des signalements de vulnérabilités et d'incidents via CSIRT NASK, la place de PCA en tant qu'organisme d'accréditation, l'articulation du cadre KSC avec le Règlement sur la cyberrésilience, les obligations linguistiques imposées par la loi polonaise de 1999, et les programmes FENG, KPO et cybersécurité réalistes pour financer la mise en conformité. Pour l'ensemble des obligations du fabricant, consultez le guide cluster fabricant.

Champ d'application de ce guide

Vous êtes le lecteur visé si l'établissement principal du fabricant dans l'Union est en Pologne. Il s'agit du lieu où les décisions relatives à la cybersécurité de vos produits comportant des éléments numériques sont principalement prises. Une filiale de vente enregistrée en Pologne avec une ingénierie hors du pays n'est pas l'établissement principal. Si votre équipe d'ingénierie, votre gouvernance SDLC et les personnes qui approuvent les mises à jour de sécurité se trouvent en Pologne, ce guide vous concerne.

Si votre établissement principal est ailleurs dans l'Union et que vous ne faites qu'expédier en Pologne, vos signalements CRA transitent par le CSIRT de l'État membre où se trouve votre établissement principal, et non par CSIRT NASK. L'obligation linguistique polonaise pour les informations destinées aux utilisateurs s'applique néanmoins à tout produit mis sur le marché polonais.

NASK et CSIRT NASK : la voie CSIRT polonaise

Les notifications CRA transitent par le CSIRT désigné coordinateur de l'État membre où le fabricant a son établissement principal dans l'Union. Pour un fabricant dont l'établissement principal est en Pologne, ce CSIRT est CSIRT NASK, le CSIRT national opéré au sein de NASK (Naukowa i Akademicka Sieć Komputerowa), l'opérateur du réseau national de recherche et d'enseignement et l'hébergeur historique de CERT Polska.

La Pologne fait fonctionner trois CSIRT de niveau national dans le cadre du KSC : CSIRT NASK pour le secteur civil (y compris les fabricants commerciaux, les collectivités locales et la plupart des entités publiques), CSIRT MON pour le secteur militaire et CSIRT GOV pour l'administration centrale de l'État. Pour un fabricant commercial mettant un produit comportant des éléments numériques sur le marché de l'UE, la voie est CSIRT NASK. Les deux autres sont hors périmètre.

Le canal technique pour la cadence de signalement 24 h / 72 h / 14 jours est la plateforme unique de signalement de l'ENISA, qui devient opérationnelle le 11 septembre 2026. Un fabricant polonais dépose ses signalements via cette plateforme, avec CSIRT NASK comme coordinateur destinataire. La désignation du CSIRT détermine le routage. La plateforme est le canal de transmission.

Organismes notifiés : PCA accrédite, désignation de l'autorité de notification en attente

Les produits Important Classe I nécessitent un organisme notifié (Module B+C ou Module H) uniquement lorsque les normes harmonisées, spécifications communes, ou un schéma de certification ne les couvrent pas intégralement. Les produits Important Classe II utilisent un organisme notifié (Module B+C ou Module H) ou un schéma de certification disponible et applicable. Les produits Critiques (Annexe IV) suivent l’Article 32(4) : la voie de certification de l’Article 8(1) si la Commission l’a activée, sinon les mêmes voies tierces de l’Article 32(3).

La chaîne institutionnelle polonaise est la suivante :

• PCA (Polskie Centrum Akredytacji) est le seul organisme national d'accréditation en Pologne, disposant du statut d'entité juridique d'État placée sous la tutelle du ministre chargé de l'économie. PCA est le seul établissement autorisé à délivrer l'accréditation aux organismes d'évaluation de la conformité et développe activement le schéma d'accréditation et de notification pour les organismes CRA. L'accréditation au titre de la norme ISO/IEC 17065:2012 constitue l'étape technique préalable à la notification.
• L'autorité de notification qui désigne formellement les organismes notifiés CRA polonais auprès de la Commission européenne n'a pas encore été confirmée dans le Dziennik Ustaw. Le Ministerstwo Cyfryzacji est le principal candidat sur la base de son rôle de consultation, mais la désignation formelle figurera dans l'instrument d'application polonais.

Le cadre CRA pour les organismes notifiés s'applique à partir du 11 juin 2026, date à partir de laquelle les organismes désignés peuvent commencer à délivrer des certificats d'évaluation de la conformité CRA. À mi-2026, la chaîne polonaise se met en place parallèlement à l'instrument d'application. Un fabricant polonais peut faire appel à n'importe quel organisme notifié de l'UE, pas uniquement à des organismes désignés en Pologne. Choisir un organisme désigné en Pologne relève d'une préférence en matière d'achat et non d'une exigence du Règlement sur la cyberrésilience. Les désignations CRA définitives sont publiées dans la base de données NANDO de la Commission européenne.

KSC et CRA : là où ils se chevauchent, là où ils ne le font pas

La loi amendée sur le système national de cybersécurité (Ustawa o krajowym systemie cyberbezpieczeństwa, loi KSC) est la transposition polonaise de la directive NIS2. Elle a été publiée au Dziennik Ustaw le 2 mars 2026, est entrée en vigueur le 3 avril 2026 après une vacatio legis d'un mois, accorde aux entités concernées jusqu'au 3 avril 2027 pour se conformer, et impose l'auto-identification ainsi que l'enregistrement dans le registre KSC avant le 3 octobre 2026. Les amendes maximales atteignent 100 millions PLN.

Les deux régimes se chevauchent, mais ne se substituent pas l'un à l'autre :

• Le KSC couvre l'entité. Il s'applique à votre organisation en tant qu'« entité clé » (podmiot kluczowy) ou « entité importante » (podmiot ważny) si vous relevez de l'un des secteurs nommés dans la loi. Les obligations de gouvernance, de gestion des risques, de signalement d'incidents et de sécurité de la chaîne d'approvisionnement s'attachent à l'organisation.
• Le CRA couvre le produit. Il s'applique à chaque produit comportant des éléments numériques que vous mettez sur le marché de l'UE, que votre organisation soit ou non concernée par le KSC. Les exigences essentielles de cybersécurité, la gestion des vulnérabilités, la documentation technique et le marquage CE s'attachent au produit.

Un fabricant polonais qui est à la fois une entité dans le périmètre KSC et un fabricant de produits CRA supporte les deux régimes. Les signalements d'incidents vont à CSIRT NASK dans les deux cas, mais les obligations sous-jacentes diffèrent : le KSC suit les incidents opérationnels au niveau de l'organisation, le CRA suit les vulnérabilités activement exploitées et les incidents graves au niveau du produit. Traitez la date limite d'auto-identification KSC du 3 octobre 2026 comme une tâche distincte au niveau organisationnel, séparée de votre préparation CRA des produits. Le registre KSC n'est pas la plateforme de signalement CRA.

Exigences linguistiques en polonais dans la pratique

Le Règlement sur la cyberrésilience exige que les informations produit destinées aux utilisateurs soient rédigées dans une langue facilement compréhensible par les utilisateurs et l'autorité de surveillance du marché locale. Pour les produits mis sur le marché polonais, cette langue est le polonais. Les articles 7 et 7a de la loi polonaise sur la langue de 1999 (Ustawa z dnia 7 października 1999 r. o języku polskim) imposent indépendamment le polonais pour la dénomination des produits de consommation, les conditions de garantie, les factures, les reçus, les avertissements, les instructions d'utilisation et les informations sur les caractéristiques du produit. L'obligation du Règlement sur la cyberrésilience s'aligne sur cette règle nationale de longue date.

Doit être en polonais :

• Les instructions d'utilisation et les informations produit livrées avec le produit.
• Les coordonnées du fabricant, où qu'elles apparaissent.
• La date de fin de support indiquée au point de vente.
• Les conditions de garantie et les informations sur les droits des consommateurs livrées avec le produit.

Peut être multilingue :

• L'étiquette produit et le marquage CE.
• Les textes d'emballage.
• La documentation en ligne, à condition qu'une version en polonais soit accessible.

L'anglais est normalement accepté pour :

• La documentation technique interne. L'autorité de surveillance du marché polonaise peut demander une traduction en polonais sur demande motivée, il convient donc d'anticiper cette éventualité.

L'article 7a, alinéa 1 de la loi de 1999 autorise l'utilisation d'un visuel ou d'un symbole techniquement clair lorsque le type d'information le permet. L'article 11 exempte les noms propres, marques commerciales, indications d'origine des produits et la terminologie scientifique ou technique usuellement employée de l'obligation linguistique polonaise. La déclaration UE de conformité doit être mise à disposition dans les langues requises par l'État membre dans lequel le produit est mis sur le marché ou mis à disposition.

Ventes transfrontalières depuis la Pologne

Les fabricants polonais qui vendent en Allemagne, en République tchèque, en France ou dans tout autre État membre de l'UE obéissent à la même règle de routage unique : les signalements vont toujours à CSIRT NASK, car le routage suit l'établissement principal et non la destination de chaque expédition. Vous ne déposez pas de signalement auprès du CSIRT allemand, tchèque ou français.

L'obligation linguistique se diversifie en revanche par marché. Un produit expédié sur le marché allemand nécessite un contenu en allemand destiné aux utilisateurs. Un produit expédié sur le marché français nécessite un contenu en français. Le pack en polonais ne couvre pas ces marchés.

L'autorité de surveillance du marché de chaque État membre destinataire peut également demander votre documentation technique dans une langue facilement compréhensible par cette autorité. Si votre distribution couvre largement l'UE, attendez-vous à des demandes dans au moins une langue de travail largement utilisée, et anticipez la traduction des sections les plus demandées de votre documentation technique.

Programmes de financement nationaux

Le tableau des financements polonais pour les investissements CRA en 2026 comprend un programme pluriannuel actif, un programme en phase de clôture et quelques lignes dédiées à la cybersécurité.

• FENG (Fundusze Europejskie dla Nowoczesnej Gospodarki) est le principal programme d'innovation et PME cofinancé par l'UE pour 2021-2027, administré par PARP. En mai 2025, la Commission a accepté une modification de FENG introduisant la Priorité 5 pour les technologies de défense alignées sur STEP et les investissements à double usage, dont la cybersécurité. Un Fonds de transformation numérique et environnementale distinct, au sein de FENG, ouvre les demandes de prêts PME au troisième trimestre 2026. L'outillage SBOM piloté par le CRA, les plateformes de gestion des vulnérabilités et les infrastructures de sécurité dès la conception entrent dans ce cadre lorsque les travaux constituent une véritable innovation ou une digitalisation du processus de production.
• KPO (Krajowy Plan Odbudowy) est le plan de relance et de résilience de la Pologne, avec une enveloppe totale d'environ 54,7 milliards EUR (25,3 milliards EUR de subventions, 29,4 milliards EUR de prêts préférentiels). Les investissements KPO doivent être exécutés avant le 31 août 2026 dans le cadre du délai NextGenerationEU, avec les demandes de paiement final avant le 30 septembre 2026. Le KPO n'est donc pas un véhicule de planification viable pour l'échéance CRA du 11 décembre 2027.
• Les subventions régionales PME en cybersécurité via PARP et les programmes opérationnels régionaux se situent typiquement entre 20 000 et 200 000 PLN et couvrent les audits de diagnostic, la formation au développement sécurisé et les projets pilotes d'outillage. Utiles pour un diagnostic initial, pas pour un programme CRA complet.

Pour les investissements de mise en conformité calés sur l'échéance du 11 décembre 2027, le tableau réaliste des financements publics en Pologne est FENG (Priorité 5 et Fonds de transformation numérique) plus les programmes PME régionaux.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Pour des conseils de conformité spécifiques, consultez un conseiller juridique qualifié.