CRA per i fabbricanti polacchi: CSIRT NASK, KSC e PCA

I fabbricanti polacchi sono soggetti agli stessi obblighi del Regolamento sulla ciberresilienza di qualsiasi altro fabbricante UE, con una particolarità che gli altri Stati membri non hanno nella stessa misura: una legge nazionale parallela sulla cibersicurezza, il KSC Act emendato, entrato in vigore il 3 aprile 2026, che si sovrappone al Regolamento sulla ciberresilienza in alcuni punti ma non in tutti. Questa pagina è un country brief per la Polonia: come le segnalazioni di vulnerabilità e di incidenti transitano per CSIRT NASK, dove si inserisce PCA come organismo di accreditamento, come il regime KSC si affianca al Regolamento sulla ciberresilienza, cosa richiedono gli obblighi linguistici in polacco in base alla legge del 1999, e quali programmi tra FENG, KPO e le linee dedicate alla cibersicurezza sono realistici per gli investimenti di conformità. Per il quadro completo degli obblighi del fabbricante, consulti la guida cluster del fabbricante.

A chi si applica questa guida

Il lettore di riferimento è il fabbricante il cui «stabilimento principale nell'Unione» si trova in Polonia. Si tratta del luogo in cui vengono prevalentemente adottate le decisioni relative alla cibersicurezza dei prodotti con elementi digitali. Una controllata commerciale registrata in Polonia con l'ingegneria all'estero non è lo stabilimento principale. Se il team di ingegneria, la governance del ciclo di sviluppo del software e le persone che approvano i rilasci degli aggiornamenti di sicurezza si trovano in Polonia, questa guida è per Lei.

Se lo stabilimento principale è altrove nell'UE e Lei spedisce soltanto in Polonia, le segnalazioni CRA transitano per il CSIRT dello Stato membro del suo stabilimento principale, non per CSIRT NASK. L'obbligo della lingua polacca per le informazioni destinate agli utenti si applica comunque per qualsiasi prodotto immesso sul mercato polacco.

NASK e CSIRT NASK: il canale CSIRT polacco

Le segnalazioni CRA transitano per il CSIRT designato come coordinatore dello Stato membro in cui il fabbricante ha il proprio stabilimento principale nell'Unione. Per un fabbricante il cui stabilimento principale è in Polonia, tale CSIRT è CSIRT NASK, il CSIRT nazionale gestito all'interno di NASK (Naukowa i Akademicka Sieć Komputerowa), il gestore nazionale della rete di ricerca e istruzione del paese e storico ospite di CERT Polska.

La Polonia gestisce tre CSIRT di livello nazionale in base al regime KSC: CSIRT NASK per il settore civile (inclusi i fabbricanti commerciali, le amministrazioni locali e la maggior parte degli enti pubblici), CSIRT MON per il settore militare e CSIRT GOV per l'amministrazione centrale dello Stato. Per un fabbricante commerciale che immette un prodotto con elementi digitali sul mercato UE, il canale è CSIRT NASK. Gli altri due sono fuori dall'ambito.

Il canale tecnico per la cadenza di segnalazione a 24 ore, 72 ore e 14 giorni è la piattaforma unica di segnalazione ENISA, operativa dall'11 settembre 2026. Un fabbricante polacco trasmette tramite quella piattaforma con CSIRT NASK come coordinatore ricevente. La designazione del CSIRT definisce l'instradamento. La piattaforma è il canale tecnico.

Organismi notificati: PCA accredita, il Ministero degli Affari digitali notifica

I prodotti di Classe I Importante necessitano di un organismo notificato (Modulo B+C o Modulo H) solo quando norme armonizzate, specifiche comuni o uno schema di certificazione non coprono integralmente i requisiti del prodotto. I prodotti di Classe II Importante utilizzano un organismo notificato (Modulo B+C o Modulo H) oppure uno schema di certificazione disponibile e applicabile. I prodotti Critici (Allegato IV) seguono l'Articolo 32(4): il percorso di certificazione ai sensi dell'Articolo 8(1) quando la Commissione lo ha attivato, altrimenti gli stessi percorsi dell'Articolo 32(3).

La catena istituzionale polacca è:

• PCA (Polskie Centrum Akredytacji) è l'unico organismo nazionale di accreditamento in Polonia, con lo status di persona giuridica di diritto pubblico vigilata dal ministro responsabile dell'economia. PCA è l'unico ente autorizzato a rilasciare l'accreditamento agli organismi di valutazione della conformità e sta sviluppando attivamente il regime di accreditamento e notifica per gli organismi di valutazione della conformità CRA. L'accreditamento ai sensi della norma ISO/IEC 17065:2012 è il passaggio tecnico che precede la notifica.
• L'autorità di notifica che designa formalmente gli organismi notificati CRA polacchi alla Commissione europea è il Ministerstwo Cyfryzacji (Ministero degli Affari digitali, Dipartimento per la cybersicurezza). NANDO lo registra come autorità di notifica polacca per il CRA al 17 ottobre 2026.

Il regime del Regolamento sulla ciberresilienza per gli organismi notificati si applica dall'11 giugno 2026, data dalla quale gli organismi designati potranno iniziare a rilasciare i certificati di valutazione della conformità CRA. Al 17 ottobre 2026 non abbiamo trovato alcuno strumento di attuazione polacco che designi le autorità CRA, quindi la catena polacca è ancora in fase di costituzione. NANDO registra tuttavia il Ministero degli Affari digitali come autorità di notifica polacca per il CRA. Un fabbricante polacco può avvalersi di qualsiasi organismo notificato UE, non solo di quelli designati in Polonia. Scegliere un organismo designato in Polonia è una preferenza di approvvigionamento e non un requisito del Regolamento sulla ciberresilienza. Le designazioni CRA definitive sono pubblicate nella banca dati NANDO della Commissione europea. Al 17 ottobre 2026 NANDO non elenca alcun organismo notificato ai sensi del CRA.

KSC e Regolamento sulla ciberresilienza: dove si sovrappongono e dove no

L'Ustawa o krajowym systemie cyberbezpieczeństwa (KSC Act) emendato è la trasposizione polacca della NIS2. È stato pubblicato nel Dziennik Ustaw il 2 marzo 2026, è entrato in vigore il 3 aprile 2026 dopo un vacatio legis di un mese, concede agli enti rientranti nell'ambito fino al 3 aprile 2027 per adeguarsi e richiedeva l'autoidentificazione e l'iscrizione entro il 3 ottobre 2026 agli enti che già soddisfacevano i criteri di entità essenziale o importante il 3 aprile 2026 e che non erano stati iscritti d'ufficio nel registro KSC. Il termine è scaduto per questa categoria. Le sanzioni massime raggiungono 100 milioni di PLN.

I due regimi si sovrappongono, ma non si sostituiscono l'uno all'altro:

• Il KSC riguarda l'ente. Si applica all'organizzazione come «entità chiave» (podmiot kluczowy) o «entità importante» (podmiot ważny) se ricade in uno dei settori indicati nel testo normativo. Gli obblighi di governance, gestione del rischio, segnalazione degli incidenti e sicurezza della catena di fornitura si applicano all'organizzazione.
• Il Regolamento sulla ciberresilienza riguarda il prodotto. Si applica a ogni prodotto con elementi digitali immesso sul mercato UE, indipendentemente dal fatto che l'organizzazione rientri nell'ambito del KSC. I requisiti essenziali di cibersicurezza, la gestione delle vulnerabilità, la documentazione tecnica e la marcatura CE si applicano al prodotto.

Un fabbricante polacco che è al contempo un ente in ambito KSC e un fabbricante di prodotti CRA ha entrambi i regimi. Le segnalazioni di incidenti transitano per CSIRT NASK in entrambi i casi, ma gli obblighi sottostanti differiscono: il KSC traccia gli incidenti operativi a livello di organizzazione, il Regolamento sulla ciberresilienza traccia le vulnerabilità attivamente sfruttate e gli incidenti gravi a livello di prodotto. Il termine del 3 ottobre 2026 per l'autoregistrazione riguardava gli enti che già soddisfacevano i criteri di entità essenziale o importante il 3 aprile 2026 e che l'autorità competente non aveva iscritto d'ufficio. È scaduto per questa categoria. Se la descrizione corrisponde al suo ente e questo non è iscritto, segua le indicazioni del Ministero degli Affari Digitali e lo registri senza indugio su wykaz-ksc.gov.pl. Lo tratti come un'attività a livello di organizzazione, separata dalla preparazione CRA dei prodotti. Il registro KSC non è la piattaforma di segnalazione CRA.

Gli obblighi linguistici in polacco nella pratica

Il Regolamento sulla ciberresilienza richiede che le informazioni sul prodotto destinate agli utenti siano in una lingua facilmente comprensibile dagli utenti e dall'autorità di vigilanza del mercato locale. Per i prodotti immessi sul mercato polacco, quella lingua è il polacco. Gli Articoli 7 e 7a della legge del 1999 sulla lingua polacca (Ustawa z dnia 7 października 1999 r. o języku polskim) richiedono autonomamente il polacco nella denominazione dei prodotti di consumo, nelle condizioni di garanzia, nelle fatture, nelle ricevute, nelle avvertenze, nelle istruzioni per l'uso e nelle informazioni sulle caratteristiche del prodotto. L'obbligo del Regolamento sulla ciberresilienza si allinea a questa norma nazionale consolidata.

Deve essere in polacco:

• Le istruzioni per l'utente e le informazioni sul prodotto che accompagnano il prodotto.
• I recapiti del fabbricante, ovunque siano indicati.
• La comunicazione della data di fine supporto mostrata al punto di vendita.
• Le condizioni di garanzia e le informazioni sui diritti dei consumatori che accompagnano il prodotto.

Può essere multilingue:

• L'etichetta del prodotto e la marcatura CE.
• Il testo sul packaging.
• La documentazione online, a condizione che sia accessibile una versione in polacco.

L'inglese è normalmente accettato per:

• La documentazione tecnica interna. L'autorità di vigilanza del mercato polacca può richiedere una traduzione in polacco su richiesta motivata, quindi è opportuno prepararsi a questa eventualità.

L'Articolo 7a, comma 1 della legge del 1999 consente di utilizzare un'indicazione visiva o un simbolo tecnicamente chiaro quando il tipo di informazione lo permette. L'Articolo 11 esenta i nomi propri, i marchi commerciali, le indicazioni di origine del prodotto e la terminologia scientifica o tecnica di uso consolidato dall'obbligo della lingua polacca. La dichiarazione UE di conformità deve essere resa disponibile nelle lingue richieste dallo Stato membro in cui il prodotto è immesso o messo a disposizione sul mercato.

Vendite transfrontaliere dalla Polonia

I fabbricanti polacchi che vendono in Germania, nella Repubblica Ceca, in Francia o in qualsiasi altro Stato membro dell'UE seguono la stessa regola di instradamento unico: le segnalazioni continuano a transitare per CSIRT NASK, perché l'instradamento segue lo stabilimento principale, non la destinazione per singola spedizione. Non è necessario inviare segnalazioni al CSIRT tedesco, ceco o francese.

L'obbligo linguistico si ramifica per ciascun mercato. Un prodotto spedito nel mercato tedesco richiede il contenuto destinato agli utenti in tedesco. Un prodotto spedito nel mercato francese richiede il contenuto in francese. Il pacchetto in lingua polacca non copre quei mercati.

L'autorità di vigilanza del mercato di ciascuno Stato membro di destinazione può anche richiedere la documentazione tecnica in una lingua facilmente comprensibile per quell'autorità. Se la distribuzione abbraccia ampliamente l'UE, ci si aspetti richieste in almeno una lingua di lavoro ampiamente utilizzata, e anticipare la traduzione delle sezioni di documentazione tecnica più richieste è un accorgimento pratico utile.

Programmi di finanziamento nazionali

Il quadro polacco dei finanziamenti per gli investimenti CRA nel 2026 comprende un programma pluriennale attivo, uno in chiusura e alcune linee dedicate alla cibersicurezza.

• FENG (Fundusze Europejskie dla Nowoczesnej Gospodarki) è il principale programma UE di innovazione e investimento per le PMI per il 2021-2027, gestito da PARP. Nel maggio 2025, la Commissione ha accettato una modifica FENG che ha introdotto la Priorità 5 per tecnologie della difesa allineate a STEP e investimenti dual-use, inclusa la cibersicurezza. Un fondo separato per la Trasformazione Digitale e l'Ambiente all'interno di FENG doveva aprire le domande di prestito per le PMI nel terzo trimestre 2026, ma al 17 ottobre 2026 non abbiamo trovato alcuna data di bando confermata. Gli investimenti CRA in strumenti SBOM, piattaforme di gestione delle vulnerabilità e infrastrutture di sicurezza by design rientrano nell'ambito quando il lavoro è genuina innovazione o digitalizzazione del processo produttivo.
• KPO (Krajowy Plan Odbudowy) è il Piano nazionale di ripresa e resilienza della Polonia, con una dotazione totale di circa 54,7 miliardi di EUR (25,3 miliardi di EUR in sovvenzioni, 29,4 miliardi di EUR in prestiti agevolati). Gli investimenti KPO dovevano essere eseguiti entro il 31 agosto 2026 secondo la scadenza del sunset NextGenerationEU, con le richieste di pagamento finale entro il 30 settembre 2026. Il KPO non è quindi un veicolo di pianificazione praticabile per la scadenza CRA dell'11 dicembre 2027.
• Sovvenzioni regionali per le PMI nel campo della cibersicurezza tramite PARP e i programmi operativi regionali rientrano tipicamente nell'intervallo da 20.000 a 200.000 PLN e coprono audit diagnostici, formazione sullo sviluppo sicuro e progetti pilota di strumenti. Utili per una diagnosi iniziale, non per l'intero programma CRA.

Per gli investimenti di conformità calcolati rispetto alla scadenza dell'11 dicembre 2027, il quadro realistico dei finanziamenti pubblici in Polonia è FENG (Priorità 5 e Fondo per la Trasformazione Digitale) più i programmi regionali per le PMI.

Questo articolo è fornito a solo scopo informativo e non costituisce consulenza legale. Per una guida specifica sulla conformità CRA, consulti un consulente legale qualificato.