NIS2 et la loi KSC. Cela vous concerne-t-il ?

L’obligation d’enregistrement concerne les entités essentielles et importantes au sens de la loi KSC. Le statut dépend du secteur dans lequel l’entreprise opère ainsi que de sa taille (nombre de salariés ou chiffre d’affaires annuel). Si vous opérez dans l’un des plus de 18 secteurs énumérés aux annexes n° 1 et 2 de la loi et que vous dépassez le seuil de la moyenne entreprise, vous avez très probablement l’obligation de déposer une demande d’inscription au registre des entités essentielles ou importantes.

Délai : 6 mois à compter de la réunion des conditions — pour la plupart des entreprises, c’est le 3 octobre 2026.

Une entité essentielle opère dans un secteur de l’annexe n° 1 (notamment énergie, transport, banque, santé, infrastructure numérique) et emploie plus de 250 personnes ou réalise un chiffre d’affaires supérieur à 50 millions d’euros. Une entité importante est une entreprise de l’annexe n° 1 ou 2 remplissant les seuils de la moyenne entreprise (50 à 249 salariés, chiffre d’affaires de 10 à 50 millions d’euros).

La différence a une portée pratique : les entités essentielles sont soumises à une surveillance préventive, doivent réaliser des audits tous les 3 ans et encourent des sanctions plus élevées (jusqu’à 10 millions d’euros). Les entités importantes sont soumises à une surveillance a posteriori et à un seuil de sanction plus bas (jusqu’à 7 millions d’euros).

Le délai est de 6 mois à compter du jour où les conditions sont remplies. Pour les entités qui remplissaient déjà les critères à la date d’entrée en vigueur de la loi (3 avril 2026), le délai expire le 3 octobre 2026.

Si l’entreprise a dépassé les seuils de taille ou a commencé son activité dans un secteur réglementé après cette date, le délai court à compter du moment où les conditions sont remplies — et non à compter de la date d’entrée en vigueur de la loi. La demande se dépose exclusivement par voie électronique avec une signature qualifiée.

Oui — la loi KSC n’exige pas que l’activité relevant de l’annexe n° 1 ou 2 soit l’activité prépondérante. Chaque code PKD enregistré correspondant à un secteur visé par la loi peut à lui seul déclencher des obligations. Une entité ayant plusieurs codes PKD déclare séparément chaque activité qualifiante dans la demande d’inscription au registre.

Exception : dans les secteurs de la gestion des déchets et de l’approvisionnement en eau, la loi exige que l’activité concernée constitue une part importante ou essentielle de l’activité globale de l’entreprise.

Les sanctions financières atteignent jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel pour les entités essentielles et jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires pour les entités importantes (le montant le plus élevé s’applique). Dans des cas particuliers, la sanction peut atteindre 100 millions de zł.

Le dirigeant est personnellement responsable — jusqu’à 300 % du salaire mensuel dans une entité privée, même s’il a confié les obligations à une autre personne. L’autorité peut également suspendre l’activité ou prononcer une interdiction d’exercer des fonctions de direction.

La mise en œuvre polonaise contient une série d’exigences sans équivalent dans la directive elle-même. Les principales différences sont : un registre formel des entités avec une demande déposée sous peine de responsabilité pénale, des formations annuelles obligatoires de la direction avec documentation, la vérification de l’absence de condamnation des employés clés dans le KRK, un mécanisme de qualification d’un fournisseur comme « fournisseur à haut risque » ainsi que le Centre opérationnel conjoint de cybersécurité (PCOC).

La seule connaissance de la directive NIS2 ne suffit pas — les dispositions polonaises sont plus strictes dans plusieurs domaines clés et nécessitent une analyse de conformité distincte avec la loi KSC.

Oui. Certaines entités publiques sont soumises à la loi indépendamment des seuils de taille — notamment les organes de l’administration gouvernementale, les collectivités territoriales et les entités qui en dépendent. La loi prévoit un mécanisme d’exécution conjointe des obligations par les collectivités territoriales (JST) sur la base d’accords entre unités.

Sont exclus du régime standard les services spéciaux et les entités relevant du ministre de la Défense nationale.

Le SMSI — Système de gestion de la sécurité de l’information — est un ensemble de politiques, de procédures et de mesures techniques mises en œuvre dans les systèmes d’information utilisés pour fournir le service. La loi KSC en définit le périmètre minimal : évaluation systématique des risques, politiques de sécurité, gestion des actifs et des accès, sécurité physique, cryptographie, sécurité RH, plans de continuité d’activité et de reprise après sinistre, surveillance continue ainsi que sécurité de la chaîne d’approvisionnement — y compris l’évaluation des fournisseurs et les résultats des procédures concernant les fournisseurs à haut risque.

Délai de mise en œuvre du SMSI : 12 mois à compter de la réunion des conditions — pour la plupart des entités, c’est le 3 avril 2027.

Tester NIS2 RED INTO GREEN est le seul outil gratuit sur le marché polonais qui vérifie le statut d’une organisation sur la base de données récupérées automatiquement dans les registres publics — il suffit d’indiquer le NIP. Vous n’interprétez pas la réglementation par vous-même.
Contrairement aux checklists générales disponibles sur Internet, Tester prend en compte l’intégralité du texte de la loi polonaise KSC du 3 avril 2026 — et non la seule directive NIS2. Il vérifie le secteur sur la base des codes PKD enregistrés, contrôle les seuils de taille de l’entreprise, tient compte des exceptions aux seuils et des exclusions par entité. Le résultat n’est pas une réponse générale « oui/non » — c’est la détermination d’un statut précis (entité essentielle, importante ou hors champ d’application), de l’autorité de surveillance et du CSIRT compétents, ainsi que du délai dans lequel votre organisation doit déposer sa demande d’enregistrement.
Après réception du résultat, l’équipe RED INTO GREEN répond aux questions et accompagne l’analyse de la situation. Si l’organisation a besoin d’une mise en œuvre complète du SMSI, d’une gestion des incidents ou d’un audit de conformité, la plateforme RIG NIS constitue l’étape suivante naturelle.
Vous recevez le résultat sous la forme d’un message affiché sur la page, et le rapport complet au format PDF, que vous pouvez analyser avec votre équipe, est envoyé à l’adresse e-mail indiquée lors de l’inscription.