Wie man nach dem CRA an CSIRT NASK meldet

1. Wer Ihre Meldung erhält: CSIRT NASK, CSIRT GOV und CSIRT MON

CSIRT NASK, CSIRT GOV und CSIRT MON sind die drei nationalen Behörden, mit nach Sektoren geteilten Zuständigkeiten: NASK für den zivilen Bereich, GOV für die Staatsverwaltung, MON für die Verteidigung. NASK arbeitet von Warschau aus und ist zugleich Forschungsinstitut, nationale Domain-Registry und Reaktionsteam — eine in Europa seltene Kombination.

Die Kette ist genau diese: die Behörde als Institution, CSIRT NASK als operatives Team, das Ihre Meldung liest und zusammen mit der ENISA den in Art. 14 vorgesehenen Empfänger bildet.

Polen hat nicht ein nationales CSIRT, sondern drei: CSIRT NASK für den zivilen Sektor, CSIRT GOV für die Staatsverwaltung — angesiedelt bei der ABW — und CSIRT MON für die Verteidigung. Drei eigenständige Behörden, deren Zuständigkeiten das Gesetz über das nationale Cybersicherheitssystem nach Sektoren aufteilt.

2. Der nationale Kanal in der Praxis

Die Sprache der Meldung ist Polnisch. NASK veröffentlicht Warnungen und technisches Material auf Polnisch, teils auf Englisch; für einen ausländischen Hersteller ist das der Punkt, der unter den hier behandelten Ländern die meiste Vorbereitung verlangt.

Ein privater Hersteller fällt in der Regel unter CSIRT NASK. Die Aufteilung richtet sich nicht nach der Art des Ereignisses, sondern nach Ihrem Sektor; in Mischfällen — ein ziviler Zulieferer, der auch die Verteidigung beliefert — ist sie vorab zu klären, nicht währenddessen.

CSIRT NASK · offizielle Website

3. Das Umfeld, in dem er steht

Polen hat sein Gefüge auf dem Gesetz von 2018 über das nationale Cybersicherheitssystem aufgebaut und später an die NIS2 angepasst. Es ist ein Drei-Säulen-Modell, das die militärische Kette ausdrücklich von der zivilen trennt.

Für den CRA folgt die Benennung des CSIRT, das Herstellermeldungen entgegennimmt, der nationalen Umsetzung der Verordnung und ergibt sich nicht automatisch aus dieser Aufteilung. Prüfen Sie die geltende Benennung vor der Einreichung.

Ein letzter praktischer Punkt: NASK ist zugleich Forschungsinstitut und betreibt neben dem CSIRT die nationale Domain-Registry. Ein technisch breit aufgestellter Ansprechpartner — die Aufteilung auf die drei CSIRT bleibt aber die Variable, die zuerst zu klären ist, weil sie sich als einzige nicht aus Ihrem Produkt ableiten lässt.

4. Wie eingereicht wird, kurz gefasst

Die Einreichung ist keine E-Mail an die Behörde: sie läuft über die zentrale Meldeplattform nach Art. 16, und der Zugang verlangt vorher validierte EU-Login-Zugangsdaten.

Die Fristenkette — 24 Stunden, 72 Stunden, Abschlussbericht — ist unionsweit dieselbe und steht vollständig auf der Seite zu Art. 14. Beim anderen Auslöser des Artikels ändert sich die Schlussfrist: sie steht auf der Seite zum schwerwiegenden Sicherheitsvorfall.

5. Was vor einem Vorfall vorzubereiten ist

Fünf Dinge, in Ruhe geordnet, entscheiden darüber, ob eine Meldung rechtzeitig oder zu spät eingeht. Das erste ist der Kontaktpunkt zu CSIRT NASK, benannt und validiert, mit benannter Vertretung: am Tag des Falls sucht man nicht erst, wer die Zugangsdaten hat.

In Polen lohnt es sich, die polnische Fassung wiederkehrender technischer Inhalte rechtzeitig vorzubereiten und schriftlich zu klären, welches der drei CSIRT Ihres ist: das sind die beiden Dinge, deren Fehlen genau dann Stunden kostet, wenn keine da sind.

Und ein Hinweis zur Zeit: Polen liegt auf CET/CEST. Die vierundzwanzig Stunden des Art. 14 halten an Feiertagen nicht an, und in Polen sind sie zahlreich und geballt. Muss die technische Dokumentation vor der Einreichung ins Polnische übersetzt werden, geht diese Zeit von den vierundzwanzig Stunden ab, nicht obendrauf.

Dieser Leitfaden gibt unsere Lesart des Verordnungstextes und der öffentlichen Verfahren wieder; er ist keine Rechtsberatung, und die operativen Details der Plattform können sich ändern.