Estado de NIS 2 en Dinamarca
Qué exige la directiva, cómo la transpone Dinamarca, y por qué la supervisión no recae en una única autoridad.
Resumen
La directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida Dinamarca, con un único suelo de ciberseguridad para las entidades esenciales e importantes. Dinamarca debe incorporar ese suelo al Derecho danés y aplicar un régimen de supervisión bajo él.
Dinamarca transpuso tarde. El plazo conforme al artículo 41 era el 17 de octubre de 2024. El Folketing adoptó la NIS 2-loven (Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) solo el 29 de abril de 2025. Entró en vigor como Ley n.º 434 de 6 de mayo de 2025 el 1 de julio de 2025. La ventana de autorregistro a través de virk.dk estuvo abierta hasta el 1 de octubre de 2025.
Dinamarca usa un modelo de supervisión sectorial. Styrelsen for Samfundssikkerhed (SAMSIK), dependiente del Ministerio de Seguridad Social y Preparación ante Emergencias, coordina y actúa como supervisor para las telecomunicaciones, la administración central, los municipios y partes de la industria manufacturera. La energía, las finanzas, el transporte, lo marítimo, la salud y el agua tienen cada uno su propia autoridad responsable de sector. El Center for Cybersikkerhed (CFCS) forma parte organizativamente de SAMSIK desde el 1 de enero de 2025 y sigue operando el CSIRT nacional bajo Forsvarets Efterretningstjeneste.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad de toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluidas las pruebas de tamaño y sector para las entidades esenciales e importantes.
Implementación de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en Dinamarca sin transposición nacional.
Transposición danesa
Ley n.º 434 de 6 de mayo de 2025 (NIS 2-loven)
La transposición danesa de NIS 2. Una ley marco intersectorial por un lado, más estatutos sectoriales por el otro. El sector de la energía sigue la Ley n.º 258 de 6 de marzo de 2025; las telecomunicaciones siguen la Ley n.º 435 de 6 de mayo de 2025. El detalle operativo se delega en órdenes ejecutivas (bekendtgørelser) y en la orientación de la autoridad pertinente.
La Ley NIS 2 más estatutos sectoriales
La NIS 2-loven (Ley n.º 434 de 6 de mayo de 2025) incorpora las obligaciones de NIS 2 al Derecho danés y se aplica desde el 1 de julio de 2025. Se complementa con estatutos sectoriales específicos, en particular para la energía (Ley n.º 258 de 6 de marzo de 2025) y las telecomunicaciones. La mayor parte del detalle operativo se delega en órdenes ejecutivas (bekendtgørelser) dictadas por la autoridad responsable.
SAMSIK coordina, las autoridades sectoriales supervisan
Styrelsen for Samfundssikkerhed (SAMSIK), dentro del Ministerio de Seguridad Social y Preparación ante Emergencias, es el coordinador central y supervisor para las telecomunicaciones, la administración central, los municipios y partes de la industria manufacturera. Energistyrelsen, Finanstilsynet, Trafikstyrelsen, Søfartsstyrelsen y Sundhedsdatastyrelsen supervisan cada uno sus propios sectores. El CFCS sigue siendo el CSIRT nacional.
Registro vía virk.dk, notificación vía CFCS
El autorregistro de las entidades dentro del ámbito se realizó en virk.dk con MitID hasta el 1 de octubre de 2025. Los incidentes significativos siguen la cadencia de la directiva de alerta temprana en 24h, notificación en 72h e informe final en un mes. El canal de notificación es el CFCS como CSIRT nacional, con notificación paralela a la autoridad responsable de sector.
El Derecho local se aplica dentro de Dinamarca, repartido entre varias autoridades
Las operaciones en territorio danés siguen la transposición danesa. Un Geschäftsführer alemán que dirige una filial danesa lee la NIS 2-loven y el estatuto sectorial pertinente para esa filial, no la BSIG alemana. A diferencia de Alemania con el BSI, Dinamarca no tiene un único supervisor cibernético central. Qué Tilsynsmyndighed tiene competencia depende del sector principal de la entidad.
Dinamarca no puede bajar del suelo de la UE
La directiva es un instrumento de armonización mínima. Dinamarca puede ir más estricta y lo hace en parte, en particular para el sector de la energía mediante sus propios deberes de resiliencia. Dinamarca no puede bajar del nivel de la directiva en los deberes de las entidades esenciales e importantes, los plazos de notificación de incidentes o la responsabilidad del órgano de dirección conforme al artículo 20 NIS 2.
CFCS
Center for Cybersikkerhed. Organizativamente parte de SAMSIK desde el 1 de enero de 2025, operativamente todavía dentro de Forsvarets Efterretningstjeneste (FE, el Servicio de Inteligencia de Defensa). Opera el CSIRT nacional, es el punto de contacto 24/7 para los informes de incidentes y el punto de contacto único en la red de CSIRT de la UE. El CFCS no es el supervisor general de NIS 2; es la autoridad técnica para la conciencia situacional y la respuesta.
SAMSIK y autoridades sectoriales
Styrelsen for Samfundssikkerhed (SAMSIK) coordina la supervisión de NIS 2 y es ella misma supervisor para las telecomunicaciones, la administración central, los municipios y partes de la industria manufacturera. Energistyrelsen supervisa la energía, Finanstilsynet las finanzas (con DORA como lex specialis), Trafikstyrelsen el transporte, Søfartsstyrelsen lo marítimo, Sundhedsdatastyrelsen la salud. El registro se realiza sector por sector a través del punto de entrada común virk.dk.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es un supervisor de las entidades danesas; eso recae en las autoridades sectoriales, coordinadas por SAMSIK.
Dinamarca tiene un único supervisor cibernético central como el BSI alemán.
No lo tiene. Dinamarca aplica NIS 2 mediante un modelo sectorial. SAMSIK coordina y supervisa algunos sectores. La energía, las finanzas, el transporte, lo marítimo y la salud recaen en sus propias autoridades responsables de sector. Una entidad activa en varios sectores puede tener varios supervisores a la vez. La lógica del BSI alemán no se traslada uno a uno.
No necesitamos registrarnos; la autoridad lo hace por nosotros.
Falso. El autorregistro se realiza en virk.dk con MitID y era obligatorio antes del 1 de octubre de 2025 para toda entidad dentro del ámbito de la NIS 2-loven. El registro tardío sigue siendo obligatorio y conlleva el riesgo de sanciones. No hay clasificación automática sin una entrada activa.
Somos un proveedor pequeño, el supervisor sectorial no nos mirará.
La prueba de tamaño se limita por defecto a las empresas medianas y grandes, pero la directiva capta a las entidades pequeñas cuando son el único proveedor, cuando la perturbación tiene un impacto transfronterizo, o cuando el Derecho danés las añade. Los operadores de telecomunicaciones, los prestadores de servicios de confianza, los proveedores de DNS y partes de la administración pública están dentro con independencia del tamaño. La comprobación de aplicabilidad debe hacerse caso por caso, no solo por el tamaño de la empresa.
La mayoría de los operadores daneses de mercado medio que vemos buscan instintivamente un único punto de contacto. No lo hay. Si está en un sector regulado, habla principalmente con su propia autoridad responsable de sector. Si está fuera de los sectores regulados o tiene preguntas transversales, acude a SAMSIK. La notificación de incidentes técnicamente pasa por el CFCS en paralelo con la autoridad sectorial. El CEO o direktør está personalmente en juego para la aprobación de la gestión de riesgos y su propia formación conforme al artículo 20 NIS 2.
El movimiento práctico es el mismo que en cualquier otro lugar de la UE: confirmar el ámbito conforme a la directiva, aclarar el sector principal, registrarse a través de virk.dk, poner en marcha las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. Una entidad activa en varios sectores documenta por sector, porque los supervisores preguntan por sector.
Construimos el registro de obligaciones de NIS 2 sobre la capa de la UE, no sobre ninguna transposición nacional concreta. La misma lista de comprobación funciona para una filial danesa que usa la NIS 2-loven, una matriz alemana que usa la BSIG y una hermana neerlandesa que usa la Cyberbeveiligingswet. Las referencias a artículos cambian por idioma; las obligaciones sustantivas no.
Para el ámbito danés empieza con la comprobación de aplicabilidad, aclara tu sector principal y la autoridad responsable de sector, luego pasa a la cadencia de notificación de incidentes, las cláusulas de la cadena de suministro y la firma del órgano de dirección. Cuando SAMSIK o una autoridad sectorial publica orientación, la referenciamos; no la duplicamos.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Ley n.º 434 de 6 de mayo de 2025 sobre medidas para garantizar un alto nivel de ciberseguridad (NIS 2-loven): Retsinformation
- Ley n.º 258 de 6 de marzo de 2025 sobre seguridad y preparación en el sector de la energía: Retsinformation
- Styrelsen for Samfundssikkerhed (SAMSIK): sitio oficial samsik.dk
- Center for Cybersikkerhed (CFCS): CSIRT nacional, cfcs.dk
- virk.dk: portal empresarial danés para el registro de NIS 2
- Comisión Europea, dictamen motivado sobre la transposición incompleta de NIS 2 por Dinamarca, de 7 de mayo de 2025