CRA-compliance voor Poolse fabrikanten: NASK, KSC en PCA

Poolse fabrikanten hebben dezelfde verplichtingen onder de Cyberweerbaarheidsverordening als elke andere EU-fabrikant, maar met één extra laag die de meeste andere lidstaten niet in dezelfde diepgang kennen: een parallelle nationale cyberbeveiligingswet, de gewijzigde KSC-wet, die op 3 april 2026 in werking trad en op sommige punten overlapt met de Cyberweerbaarheidsverordening, maar er niet mee samenvalt. Deze pagina is een landenbriefing voor Polen: hoe kwetsbaarheids- en incidentmeldingen via CSIRT NASK lopen, welke rol PCA speelt als accreditatieinstantie, hoe het KSC-kader naast de Cyberweerbaarheidsverordening staat, wat de Poolse taalverplichtingen onder de 1999-wet vereisen, en welke FENG-, KPO- en cyberbeveiligingsprogramma's realistisch zijn voor compliance-investeringen. Voor het volledige verplichtingenpakket raadpleegt u de clustergids voor fabrikanten.

Voor wie deze gids geldt

U bent de doellezer als de "hoofdvestiging van de fabrikant in de Unie" in Polen ligt. Dat is de plek waar beslissingen over de cyberveiligheid van uw producten met digitale elementen overwegend worden genomen. Een in Polen geregistreerde verkooponderneming met technische teams elders is niet de hoofdvestiging. Als uw engineeringteam, uw SDLC-governance en de mensen die goedkeuring geven voor beveiligingsupdates in Polen zitten, is deze gids voor u.

Als uw hoofdvestiging elders in de EU is en u alleen naar Polen levert, lopen uw CRA-meldingen via het CSIRT van de lidstaat van uw hoofdvestiging, niet via CSIRT NASK. De Poolse taalverplichting voor gebruikersgerichte informatie geldt wel voor elk product dat op de Poolse markt wordt gebracht.

NASK en CSIRT NASK: de Poolse CSIRT-route

CRA-meldingen lopen via het CSIRT dat is aangewezen als coördinator van de lidstaat waar de fabrikant zijn hoofdvestiging in de Unie heeft. Voor een fabrikant met hoofdvestiging in Polen is dat CSIRT NASK, het nationale CSIRT dat wordt uitgevoerd binnen NASK (Naukowa i Akademicka Sieć Komputerowa), de nationale onderzoeks- en onderwijsnetwerkaanbieder van Polen en de vaste gastheer van CERT Polska.

Polen kent drie nationale CSIRTs onder het KSC-kader: CSIRT NASK voor de civiele sector (inclusief commerciële fabrikanten, lokale overheid en de meeste publieke entiteiten), CSIRT MON voor de militaire sector, en CSIRT GOV voor de centrale rijksoverheid. Voor een commerciële fabrikant die een product met digitale elementen op de EU-markt brengt, is de route CSIRT NASK. De andere twee vallen buiten het toepassingsgebied.

Het technische kanaal voor de meldingscadans van 24 uur, 72 uur en 14 dagen is het ENISA single reporting platform, dat operationeel wordt op 11 september 2026. Een Poolse fabrikant dient meldingen in via dat platform met CSIRT NASK als ontvangende coördinator. De CSIRT-aanwijzing bepaalt de routering. Het platform is het transportkanaal.

Aangemelde instanties: PCA accrediteert, aanwijzing notificerende autoriteit nog in behandeling

Voor Klasse I-producten waarbij geen geharmoniseerde norm wordt toegepast, voor Klasse II-producten en voor Kritieke producten vereist de conformiteitsbeoordeling een aangemelde instantie (Module B+C of Module H).

De Poolse institutionele keten ziet er als volgt uit:

• PCA (Polskie Centrum Akredytacji) is de enige nationale accreditatieinstantie in Polen, met de status van een publiekrechtelijke rechtspersoon onder toezicht van de minister bevoegd voor economische zaken. PCA is de enige instelling bevoegd om accreditaties te verlenen aan conformiteitsbeoordelingsinstanties en ontwikkelt actief het accreditatie- en notificatieschema voor CRA-conformiteitsbeoordelingsinstanties. Accreditatie onder ISO/IEC 17065:2012 is de technische stap vóór de formele notificatie.
• De notificerende autoriteit die Poolse CRA-aangemelde instanties formeel aanwijst bij de Europese Commissie is nog niet bevestigd in het Dziennik Ustaw. Ministerstwo Cyfryzacji is de meest waarschijnlijke kandidaat op basis van zijn consultatierol, maar de formele aanwijzing wordt vastgelegd in het Poolse uitvoerend instrument.

Het CRA-kader voor aangemelde instanties geldt vanaf 11 juni 2026, waarna aangewezen instanties CRA-conformiteitsbeoordelingscertificaten kunnen beginnen af te geven. Per 11 juni 2026 wordt de Poolse keten nog steeds opgebouwd naast het uitvoerend instrument. Een Poolse fabrikant kan gebruikmaken van elke in de EU aangewezen aangemelde instantie, niet alleen van door Polen aangewezen instanties. Het kiezen van een door Polen aangewezen instantie is een inkoopvoorkeur en geen CRA-vereiste. Definitieve CRA-aanwijzingen worden gepubliceerd in de NANDO-database van de Europese Commissie.

KSC en CRA: waar ze overlappen en waar niet

De gewijzigde Ustawa o krajowym systemie cyberbezpieczeństwa (KSC-wet) is de Poolse omzetting van NIS2. Ze werd gepubliceerd in het Dziennik Ustaw op 2 maart 2026, trad na een vacatio legis van één maand in werking op 3 april 2026, geeft entiteiten in scope tot 3 april 2027 om te voldoen, en vereist zelfidentificatie plus registratie in het KSC-register uiterlijk 3 oktober 2026. Maximale boetes bedragen 100 miljoen PLN.

Beide regimes overlappen, maar vervangen elkaar niet:

• KSC dekt de entiteit. De wet is van toepassing op uw organisatie als "sleutelentiteit" (podmiot kluczowy) of "belangrijke entiteit" (podmiot ważny) als u actief bent in een van de in de wet genoemde sectoren. Governance-, risicobeheer-, incidentmeldings- en toeleveringsketenbeveiligingsverplichtingen zijn gekoppeld aan de organisatie.
• CRA dekt het product. De verordening is van toepassing op elk product met digitale elementen dat u op de EU-markt brengt, ongeacht of uw organisatie onder KSC valt. Essentiële cyberbeveiligingsvereisten, kwetsbaarheidsafhandeling, technische documentatie en CE-markering zijn gekoppeld aan het product.

Een Poolse fabrikant die zowel een KSC-plichtige entiteit als een CRA-productfabrikant is, draagt beide regimes. Incidentmeldingen gaan in beide gevallen naar CSIRT NASK, maar de onderliggende verplichtingen verschillen: KSC volgt operationele incidenten op organisatieniveau, CRA volgt actief misbruikte kwetsbaarheden en ernstige incidenten op productniveau. Behandel de KSC-zelfidentificatiedeadline van 3 oktober 2026 als een organisatietaak die losstaat van uw CRA-productgereedheid. Het KSC-register is niet het CRA-meldingsplatform.

Poolse taalverplichtingen in de praktijk

De Cyberweerbaarheidsverordening vereist dat gebruikersgerichte productinformatie is opgesteld in een taal die gebruikers en de lokale markttoezichtautoriteit gemakkelijk begrijpen. Voor producten op de Poolse markt is dat Pools. Artikelen 7 en 7a van de Poolse Taalwet van 1999 (Ustawa z dnia 7 października 1999 r. o języku polskim) vereisen zelfstandig Pools voor consumentenproductnamen, garantievoorwaarden, facturen, bonnen, waarschuwingen, gebruiksaanwijzingen en productinformatie. De CRA-verplichting sluit aan op deze al lang bestaande nationale regel.

Verplicht in het Pools:

• De gebruiksaanwijzing en productinformatie die bij het product worden geleverd.
• De contactgegevens van de fabrikant, waar deze ook verschijnen.
• De vermelding van de einddatum van ondersteuning op het punt van aankoop.
• Garantievoorwaarden en consumentenrechtinformatie die bij het product worden geleverd.

Mag meertalig:

• Het productlabel en de CE-markering.
• Verpakkingstekst.
• Online documentatie, mits een Poolse versie bereikbaar is.

Engels is doorgaans aanvaard voor:

• Interne technische documentatie. De Poolse markttoezichtautoriteit kan op gemotiveerd verzoek een Poolse vertaling opvragen, dus plan voor die mogelijkheid.

Artikel 7a, lid 1, van de Poolse Taalwet staat toe dat u een technisch duidelijk visueel beeld of symbool gebruikt wanneer het type informatie dat toelaat. Artikel 11 stelt handelsnamen, handelsmerken, aanduidingen van de oorsprong van producten en gangbare wetenschappelijke of technische terminologie vrij van de Poolse taalverplichting. De EU-conformiteitsverklaring moet beschikbaar zijn in de talen die vereist zijn door de lidstaat waar het product in de handel wordt gebracht of op de markt wordt aangeboden.

Grensoverschrijdende verkoop vanuit Polen

Poolse fabrikanten die aan Duitsland, Tsjechië, Frankrijk of een andere EU-lidstaat leveren, houden de enkelvoudige routeringsregel: uw meldingen gaan nog steeds naar CSIRT NASK, omdat de routering de hoofdvestiging volgt en niet de bestemming per zending. U hoeft niet bij het Duitse, Tsjechische of Franse CSIRT te melden.

De taalverplichting vertakt zich wel per markt. Een product dat naar de Duitse markt gaat, heeft Duitstalige gebruikersgerichte inhoud nodig. Een product dat naar de Franse markt gaat, heeft Franstalige inhoud nodig. Het Poolse taalpakket dekt die markten niet.

De markttoezichtautoriteit van elke ontvangende lidstaat kan ook uw technische documentatie opvragen in een taal die die autoriteit gemakkelijk begrijpt. Als uw levering breed loopt binnen de EU, verwacht dan verzoeken in ten minste één veelgebruikte werktaal en beschouw een vroege vertaling van de meest opgevraagde secties van de technische documentatie als een praktische voorzorgsmaatregel.

Nationale financieringsprogramma's

Het Poolse financieringslandschap voor CRA-investeringen in 2026 heeft één actief meerjarenprogramma, één aflopend programma en een handvol toegewijde cyberbeveiligingslijnen.

• FENG (Fundusze Europejskie dla Nowoczesnej Gospodarki) is het voornaamste EU-gefinancierde innovatie- en mkb-programma voor 2021-2027, beheerd door PARP. In mei 2025 aanvaardde de Commissie een FENG-wijziging die Prioriteit 5 invoerde voor STEP-gerelateerde defensietechnologieën en dual-use-investeringen, inclusief cyberveiligheid. Een afzonderlijk Fonds voor Digitale Transformatie en Milieuvriendelijkheid binnen FENG opent mkb-leningaanvragen in Q3 2026. CRA-gestuurde SBOM-tooling, kwetsbaarheidsafhandelingsplatforms en secure-by-design-infrastructuur passen erin als het werk echte innovatie of digitalisering van productieprocessen betreft.
• KPO (Krajowy Plan Odbudowy) is het Poolse herstel- en veerkrachtplan, met een totale envelop van circa EUR 54,7 miljard (EUR 25,3 miljard subsidies, EUR 29,4 miljard preferentiële leningen). KPO-investeringen moeten uiterlijk 31 augustus 2026 zijn uitgevoerd onder de NextGenerationEU-sluitingsdeadline, met definitieve betalingsverzoeken uiterlijk 30 september 2026. KPO is daarmee geen bruikbaar planningsinstrument voor de CRA-deadline van 11 december 2027.
• Regionale mkb-cyberbeveiligingssubsidies via PARP en de regionale operationele programma's liggen doorgaans in de bandbreedte van 20.000 tot 200.000 PLN en dekken diagnostische audits, trainingen voor veilige softwareontwikkeling en toolingpilots. Nuttig voor een eerste diagnose, niet voor het volledige CRA-programma.

Voor compliance-investeringen die zijn gepland tegen de deadline van 11 december 2027 is het realistische publieke financieringsplaatje in Polen: FENG (Prioriteit 5 en het Fonds voor Digitale Transformatie) aangevuld met regionale mkb-programma's.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch advies. Raadpleeg voor specifieke CRA-compliancebegeleiding een gekwalificeerde juridisch adviseur.