2026年8月11日
至2026年10月3日，在波兰运营的部分企业须申请列入国家网络安全系统（Krajowy System Cyberbezpieczeństwa）关键及重要实体名录。该要求适用于2026年4月3日（即实施欧盟NIS2指令的《国家网络安全法》修正案生效日）符合法定标准但未被自动列入的组织。自主注册通道已于2026年5月7日开放。
NIS2（欧盟第2022/2555号指令）扩大了需承担风险管理、信息系统保护及重大事件报告义务的行业与企业范围。除传统能源、电信或交通等关键基础设施外，对贸易、电商和物流支持至关重要的企业在特定情况下亦被纳入。但仅拥有在线商店并不必然受新义务约束，关键在于业务类型、企业规模、集团结构及法规规定的特殊情况。
eFaktor公司Maciej Ostaszewski指出：“原则上规定适用于中型和大型企业，但在服务具有特殊重要性等情况下，无论规模大小均可能被纳入监管。因此，出现在行业名单上虽不意味着必须登记，但应视为迅速核实公司状态的信号。”
对于商店所有者或商业集团，核心问题不再是NIS2是否整体涵盖电商，而是具体法律实体是否从事法规所列活动并满足相应规模标准。这在跨境销售中尤为重要，因波兰、德国和法国目前处于NIS2国内实施的不同阶段。
波兰、德国和法国新义务实际覆盖对象
在波兰，企业需综合比对业务部门、公司规模及《国家网络安全法》特殊依据。仅凭PKD代码或笼统声称从事贸易不够，真正重要的是实际开展的业务是否符合立法者确定的类别。
大多数企业参照标准至少为中型企业规模。确定地位时必须考虑合作伙伴企业和关联企业规则，隶属于更大集团的中小型运营公司不应仅基于自身员工数或营业额得出豁免结论。
商业部门需区分在线商店与在线交易平台。平台允许其他企业与客户订立远程合同（如Marketplace），而通过自有电子商店销售自有产品的卖家，或因在亚马逊销售，并不会成为平台运营商。
行业目录中，食品、化学品、邮政快递及废物管理等相关特定业务类型可能具有重要意义。分销特定产品的公司不应仅因行业名称相似就假定受约束，必须核查相关业务的法定定义。
德国情况较为稳定，新《BSI法》已生效，区分“特别重要机构”和“重要机构”。附件1所列行业企业若雇佣至少250名员工，或年营业额超5000万欧元且资产负债表总额超4300万欧元，通常被视为关键基础设施运营者。附件1和2所列行业企业若雇佣至少50名员工或达到法定财务阈值，可被纳入重要实体。德国法律还规定了适用不同规则的类别，仅凭人数测试不足以最终定性。
德国附录2涵盖邮政快递服务商及特定化学品生产商/进口商，表明NIS2分析不仅涉及销售商本身，还可能涉及提供物流和运营支持的企业。
法国制定最终评估需谨慎。截至2026年8月，ANSSI表示NIS2转化工作仍在进行中，指出18个活动领域将主要涵盖中型和大型企业及部分行政机构。在完整法规公布前，不应将未来资格规则视为立法程序已结束。
因此，在三国开展业务的波兰集团应分别对各实体进行资格认定。共同ERP、仓库、商店或IT部门不会自动赋予所有子公司相同法律地位。
列入清单并非终点：成本显现于IT、物流及供应商合同
注册仅是准备环节，更具挑战性的是理顺流程、基础设施及技术供应商关系。受监管主体必须实施网络安全风险解决方案。
多渠道销售企业需分析的系统远超员工电脑和商店服务器，包括ERP、WMS、市场集成、支付系统、账户管理、快递方案、客服工具及履约运营商基础设施。任一要素故障都可能导致部分销售流失：ERP不可用使仓库与订单脱节；集成商故障阻碍价格库存更新；店仓连接问题导致无法发货。
Maciej Ostaszewski表示：“加强网络安全意味着额外义务和成本。企业须分析法规、确定责任、培训员工、验证供应商并资助变更。成本包括服务工具费用及团队工时，准备越晚短期费用堆积风险越大。”
贸易企业中责任分配给多个部门：IT负责技术安全、监控、权限及备份；法务合规分析状况、合同及程序；采购验证供应商；HR准备培训；管理层监督义务履行及风险管理。
德国法规明确董事会作用非形式化。《BSI法》要求管理层实施并监督风险管理措施，且须定期参加识别评估信息系统安全风险培训。
供应链要求不断提高。主机、软件、云设施、市场集成商或仓储系统供应商不能仅按价格和SLA评估。企业须了解合作伙伴如何保护系统、通报事件时间、数据备份位置、管理权限归属及服务恢复时长。
对电商而言，整理多年由独立服务构建的环境可能特别昂贵。商店、ERP、PIM、集成器、仓库及退货处理使用不同应用，每个连接点都增加访问控制、更新、监控及应急程序需求。
德国已执行相关义务，法国正助企业备战NIS2
德国实施NIS2法案于2025年12月6日生效，BSI为中央主管机构，规定了风险管理、注册及事件报告义务。发生严重事件时，受义务约束企业须在知悉后24小时内提交初步报告，72小时内提交含严重程度、影响评估及破坏指标的后续报告。
这对在德国设有子公司的波兰集团后果具体。勒索软件攻击可能同时影响波兰中央ERP系统和德国仓库。若德国子公司受《BSI法》管辖，须确定是否构成重大安全事件并启动报告。
攻击可能导致仓库停收订单、亚马逊库存停止更新、发货单据无法生成。网络攻击成本不限于IT人员工作，还包括取消订单、退款、额外客服联系、交货延迟及市场指标恶化风险。
仅向德国客户销售波兰商品不会自动使卖家受德国NIS2约束，但本地子公司或在德从事受BSI-Gesetz管辖活动的实体则不同。在德商业存在与受德网络安全体系管辖是两个问题。
法国ANSSI表示转化工作仍在进行，但企业可提前准备。门户网站MesServicesCyber允许预注册，鼓励未来被认定组织在国家法案发布前提升安全防护水平。
对在法有子公司或复杂物流业务的波兰卖家，持续立法进程不应导致投资冻结。访问管理、备份、供应商安全及事件响应程序通常在集团内统一。
例如经营法国在线商店并使用本地履约运营商的公司，若店仓集成遭攻击，网站虽未停机且客户可下单付款，但数据无法到达仓库，随后未执行订单队列增长，客服查询、取消及退款数量随之增加。
网络安全直接影响转化率、物流、客服质量及利润率。企业须建立安全事件下IT与仓储、财务、客服及市场销售团队的协同联动应急流程。
波兰卖家2026年秋季前应采取的措施
在波运营企业应首先根据实际业务、规模标准和集团结构确定法律地位。仅从事电商不足以免除或纳入监管，涉及食品、化学品、数字服务、物流等行业需深入分析具体服务。
跨境销售团队需同时绘制法律实体和系统地图。波兰、德国和法国实体可能共用ERP、云设施和IT团队，但监管状况不同。技术地图应涵盖销售和执行订单必需系统（商店、ERP、WMS、支付、市场集成器、快递工具、广告账户、客服及履约设施），明确各系统业务负责人、供应商、管理员、数据存储、备份方式及恢复程序。
合同审查同样重要。在事件报告时限以小时计的情况下，企业不能在数日后才得知战略供应商严重违规。事件通知条件、技术信息访问权限、数据恢复及分析协作已成为供应链风险管理一部分。
预算除新安全措施费用外，还应考虑审计、培训、监控、身份权限管理、多因素认证、备份测试、文档编制及供应商合同变更成本。对使用十余个SaaS的企业，最大项目可能是梳理现有架构而非采购新软件。
责任不限于IT部门。法案规定关键和重要实体负责人需承担责任，管理人员罚款最高可达薪酬300%；公共实体负责人原则上上限为100%。德国管理层责任也明确纳入职责体系，董事会负责实施监督风险管理并定期获取评估知识。
对贸易企业而言，最昂贵场景未必是行政制裁。结账不可用立即限制销售额；库存不同步导致销售不存在商品；履约连接中断延迟发货；管理账户被接管干预产品目录、价格、广告或客户数据。跨境销售还需协调多家子公司、仓库、供应商及客服团队。
在亚马逊德国站销售、拥有独立店铺并使用法国仓库的波兰企业，可能面临ERP或API这一共同故障点。技术上是一次集成，业务上停摆可能同时冲击多个市场、渠道和物流流程。
因此，2026年10月3日不应被视为准备起点。资格认证和注册只是更广泛项目一部分，客户看不到的任务（整理权限、审查供应商、确保集成安全、制定事件流程、验证恢复能力）可能最耗时。