CRA-efterlevnad för polska tillverkare: NASK, KSC och PCA

Polska tillverkare bär samma skyldigheter under cyberresiliensförordningen som alla andra EU-tillverkare, men med ett inslag som de flesta andra medlemsstater inte har i samma utsträckning: en parallell nationell cybersäkerhetslag, den ändrade KSC-lagen, som trädde i kraft den 3 april 2026 och delvis överlappar med cyberresiliensförordningen utan att ersätta den. Den här sidan är en landöversikt för Polen: hur sårbarhets- och incidentrapporter routas via CSIRT NASK, var PCA passar in som ackrediteringsorgan, hur KSC-regelverket förhåller sig till cyberresiliensförordningen, vad det polska språkkravet kräver under 1999 års lag och vilka av programmen FENG, KPO och dedikerade cybersäkerhetslinjer som är realistiska för efterlevnadsinvesteringar. För det fullständiga skyldighetsutbudet, se klusterguiden för tillverkare.

När den här guiden gäller dig

Du är målläsaren om tillverkarens "huvudsakliga etablering i unionen" finns i Polen. Det innebär den plats där beslut som rör cybersäkerheten för dina produkter med digitala element i huvudsak fattas. Ett polskregistrerat säljbolag med teknikutveckling offshore är inte den huvudsakliga etableringen. Om ditt teknikteam, din SDLC-styrning och de personer som godkänner säkerhetsuppdateringar befinner sig i Polen, är den här guiden för dig.

Om din huvudsakliga etablering finns någon annanstans i EU och du bara levererar till Polen, routas dina CRA-rapporter via CSIRT i din etableringsstats land, inte via CSIRT NASK. Det polska språkkravet för användarinriktad information gäller ändå för alla produkter som placeras på den polska marknaden.

NASK och CSIRT NASK: den polska CSIRT-vägen

CRA-anmälningar routas via den CSIRT som utsetts till samordnare i den medlemsstat där tillverkaren har sin huvudsakliga etablering i unionen. För en tillverkare med huvudsaklig etablering i Polen är den CSIRT:en CSIRT NASK, den nationella CSIRT som drivs inom NASK (Naukowa i Akademicka Sieć Komputerowa), landets nationella forsknings- och utbildningsnätverksoperatör och den sedan länge etablerade värden för CERT Polska.

Polen driver tre nationella CSIRT:er under KSC-ramverket: CSIRT NASK för civilsektorn (inklusive kommersiella tillverkare, kommuner och de flesta offentliga organ), CSIRT MON för militärsektorn och CSIRT GOV för den centrala statsförvaltningen. För en kommersiell tillverkare som placerar en produkt med digitala element på EU-marknaden är vägen CSIRT NASK. De andra två är utanför tillämpningsområdet.

Den tekniska kanalen för rapporteringskadensen 24 timmar/72 timmar/14 dagar är ENISA:s gemensamma rapporteringsplattform, som tas i drift den 11 september 2026. En polsk tillverkare lämnar in via den plattformen med CSIRT NASK som mottagande samordnare. CSIRT-utpekandet är routingen. Plattformen är transporten.

Anmälda organ: PCA ackrediterar, notifieringsmyndigheten ännu ej utsedd

För Viktig klass I-produkter där ingen harmoniserad standard tillämpas, Viktig klass II-produkter och kritiska produkter krävs ett anmält organ för bedömning av överensstämmelse (modul B+C eller modul H).

Den polska institutionella kedjan är:

• PCA (Polskie Centrum Akredytacji) är det enda nationella ackrediteringsorganet i Polen, med ställning som en statlig juridisk person under tillsyn av ministern med ansvar för ekonomifrågor. PCA är den enda institution som är behörig att bevilja ackreditering till organ för bedömning av överensstämmelse och håller aktivt på att utveckla ackrediterings- och notifieringsschemat för CRA-organ för bedömning av överensstämmelse. Ackreditering under ISO/IEC 17065:2012 är det tekniska steget före notifiering.
• Notifieringsmyndigheten som formellt utser polska CRA-anmälda organ till Europeiska kommissionen har ännu inte bekräftats i Dziennik Ustaw. Ministerstwo Cyfryzacji är den ledande kandidaten baserat på sin konsultationsroll, men den formella utpekandet kommer att finnas i det polska genomförandeinstrumentet.

CRA-ramverket för anmälda organ träder i kraft från och med den 11 juni 2026, varefter utsedda organ kan börja utfärda CRA-certifikat för bedömning av överensstämmelse. Den 11 juni 2026 byggs den polska kedjan fortfarande upp parallellt med genomförandeinstrumentet. En polsk tillverkare kan använda vilket EU-anmält organ som helst, inte bara polska. Att välja ett polskt anmält organ är en upphandlingspreferens och inget krav enligt cyberresiliensförordningen. Slutliga CRA-utpekanden publiceras i Europeiska kommissionens NANDO-databas.

KSC och cyberresiliensförordningen: var de överlappar och var de inte gör det

Den ändrade Ustawa o krajowym systemie cyberbezpieczeństwa (KSC-lagen) är Polens implementering av NIS2. Den publicerades i Dziennik Ustaw den 2 mars 2026, trädde i kraft den 3 april 2026 efter en månads vacatio legis, ger berörda enheter fram till den 3 april 2027 på sig att följa lagen, och kräver självidentifiering samt registrering i KSC-registret senast den 3 oktober 2026. Maximala böter uppgår till 100 miljoner PLN.

De två regelverken överlappar, men de ersätter inte varandra:

• KSC täcker enheten. Det gäller din organisation som en "nyckelenhet" (podmiot kluczowy) eller "viktig enhet" (podmiot ważny) om du faller inom ett av de sektorer som anges i lagen. Styrning, riskhantering, incidentrapportering och krav på leveranskedjesäkerhet är kopplade till organisationen.
• Cyberresiliensförordningen täcker produkten. Den gäller varje produkt med digitala element som du placerar på EU-marknaden, oavsett om din organisation omfattas av KSC. Väsentliga cybersäkerhetskrav, sårbarhetshantering, teknisk dokumentation och CE-märkning är kopplade till produkten.

En polsk tillverkare som är både en KSC-enhet och en CRA-produkttillverkare bär båda regelverken. Incidentrapporter går till CSIRT NASK i båda fallen, men de underliggande skyldigheterna skiljer sig åt: KSC spårar operativa incidenter på organisationsnivå, cyberresiliensförordningen spårar aktivt utnyttjade sårbarheter och allvarliga incidenter på produktnivå. Behandla KSC:s deadline för självidentifiering den 3 oktober 2026 som en organisationsnivåuppgift separat från din produktberedskap enligt CRA. KSC-registret är inte CRA-rapporteringsplattformen.

Det polska språkkravet i praktiken

Cyberresiliensförordningen kräver att användarinriktad produktinformation är på ett språk som lätt förstås av användare och den lokala marknadskontrollmyndigheten. För produkter som placeras på den polska marknaden är det polska. Artiklarna 7 och 7a i 1999 års polska språklag (Ustawa z dnia 7 października 1999 r. o języku polskim) kräver självständigt polska för konsumentproduktbenämningar, garantivillkor, fakturor, kvitton, varningar, bruksanvisningar och produktegenskapsinformation. Skyldigheten enligt cyberresiliensförordningen stämmer överens med denna sedan länge etablerade nationella regel.

Måste vara på polska:

• Bruksanvisningar och produktinformation som medföljer produkten.
• Tillverkarens kontaktuppgifter, oavsett var de visas.
• Upplysning om produktens supportslutdatum som visas vid inköpstillfället.
• Garantivillkor och konsumenträttsinformation som medföljer produkten.

Kan vara flerspråkig:

• Produktetiketten och CE-märkningen.
• Förpackningstext.
• Onlinedokumentation, förutsatt att en polsk version är tillgänglig.

Engelska är normalt accepterat för:

• Intern teknisk dokumentation. Den polska marknadskontrollmyndigheten kan begära en polsk översättning på motiverad begäran, så planera för den möjligheten.

1999 års lag, artikel 7a punkt 1, tillåter att du levererar ett tekniskt tydligt visuellt element eller symbol när informationstypen tillåter det. Artikel 11 undantar egennamn, varumärken, ursprungsbeteckningar och vedertagen vetenskaplig eller teknisk terminologi från det polska språkkravet. EU-försäkran om överensstämmelse måste finnas tillgänglig på de språk som krävs av den medlemsstat där produkten släpps ut eller tillhandahålls på marknaden.

Gränsöverskridande försäljning från Polen

Polska tillverkare som säljer till Tyskland, Tjeckien, Frankrike eller någon annan EU-medlemsstat bär samma enstaka-routing-regel: dina rapporter går fortfarande till CSIRT NASK, eftersom routing följer huvudsaklig etablering, inte destination per leverans. Du lämnar inte in till den tyska, tjeckiska eller franska CSIRT:en.

Språkkravet sprider sig däremot per marknad. En produkt som levereras till den tyska marknaden behöver tyskt användarinnehåll. En produkt som levereras till den franska marknaden behöver franskt innehåll. Det enda polska språkpaketet täcker inte dessa marknader.

Varje mottagande medlemsstats marknadskontrollmyndighet kan också begära din tekniska dokumentation på ett språk som den myndigheten lätt förstår. Om din leverans sträcker sig brett över EU, räkna med begäranden på minst ett allmänt använt arbetsspråk och behandla tidig översättning av de mest efterfrågade avsnitten i teknisk dokumentation som en praktisk förebyggande åtgärd.

Nationella finansieringsprogram

Den polska finansieringsbilden för CRA-investeringar 2026 har ett aktivt flerårigt program, ett avslutande program och ett antal dedikerade cybersäkerhetslinjer.

• FENG (Fundusze Europejskie dla Nowoczesnej Gospodarki) är det viktigaste EU-finansierade innovations- och SME-programmet för 2021-2027, administrerat av PARP. I maj 2025 godkände kommissionen en FENG-ändring som införde Prioritet 5 för STEP-anpassad försvarsteknik och dubblanvändbara investeringar, inklusive cybersäkerhet. En separat fond för digital omställning och miljövänliga investeringar inom FENG öppnar SME-låneansökningar under Q3 2026. CRA-drivna SBOM-verktyg, plattformar för sårbarhetshantering och infrastruktur för inbyggd säkerhet passar in där arbetet är genuint innovativt eller digitaliserande för produktionsprocessen.
• KPO (Krajowy Plan Odbudowy) är Polens återhämtnings- och resiliensplan med ett totalt belopp på ungefär 54,7 miljarder EUR (25,3 miljarder EUR i bidrag och 29,4 miljarder EUR i förmånliga lån). KPO-investeringar måste vara genomförda senast den 31 augusti 2026 under NextGenerationEU-solnedgången, med slutliga betalningsansökningar senast den 30 september 2026. KPO är därför inte ett realistiskt planeringsverktyg för CRA-deadlinen den 11 december 2027.
• Regionala SME-cybersäkerhetsbidrag via PARP och de regionala operativa programmen ligger typiskt i intervallet 20 000 till 200 000 PLN och täcker diagnostiska revisioner, utbildning i säker utveckling och verktygspilotprojekt. Användbara för en initial diagnos, inte för hela CRA-programmet.

För efterlevnadsinvesteringar daterade mot deadlinen den 11 december 2027 är den realistiska offentliga finansieringsbilden i Polen FENG (Prioritet 5 och fonden för digital omställning) plus regionala SME-program.

Den här artikeln är endast avsedd för informationsändamål och utgör inte juridisk rådgivning. Konsultera kvalificerade juridiska rådgivare för specifik CRA-efterlevnadsvägledning.