Stato della NIS 2 in Danimarca
Cosa richiede la direttiva, come la Danimarca la recepisce e perché la vigilanza non spetta a un'unica autorità.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, inclusa la Danimarca, con un unico livello minimo di cybersicurezza per i soggetti essenziali e importanti. La Danimarca deve inserire quel livello minimo nel diritto danese e gestire un regime di vigilanza in base a esso.
La Danimarca ha recepito in ritardo. Il termine ai sensi dell'articolo 41 era il 17 ottobre 2024. Il Folketing ha adottato la NIS 2-loven (Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) solo il 29 aprile 2025. È entrata in vigore come legge n. 434 del 6 maggio 2025 il 1° luglio 2025. La finestra di autoregistrazione tramite virk.dk si è protratta fino al 1° ottobre 2025.
La Danimarca utilizza un modello di vigilanza settoriale. La Styrelsen for Samfundssikkerhed (SAMSIK), sotto il Ministero per la sicurezza della società e la protezione civile, coordina e funge da autorità di vigilanza per le telecomunicazioni, l'amministrazione centrale, i comuni e parti del settore manifatturiero. Energia, finanza, trasporti, marittimo, sanità e acqua hanno ciascuno la propria autorità responsabile di settore. Il Center for Cybersikkerhed (CFCS) fa parte organizzativamente di SAMSIK dal 1° gennaio 2025 e continua a gestire il CSIRT nazionale sotto la Forsvarets Efterretningstjeneste.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve recepire, inclusi i test di dimensione e settore per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Danimarca senza recepimento nazionale.
Recepimento danese
Legge n. 434 del 6 maggio 2025 (NIS 2-loven)
Il recepimento danese della NIS 2. Una legge quadro intersettoriale da un lato, più leggi settoriali dall'altro. Il settore energetico segue la legge n. 258 del 6 marzo 2025; le telecomunicazioni seguono la legge n. 435 del 6 maggio 2025. Il dettaglio operativo è delegato a ordinanze esecutive (bekendtgørelser) e orientamenti dell'autorità pertinente.
La legge NIS 2 più le leggi settoriali
La NIS 2-loven (legge n. 434 del 6 maggio 2025) trasferisce gli obblighi della NIS 2 nel diritto danese e si applica dal 1° luglio 2025. È integrata da leggi specifiche per settore, in particolare per l'energia (legge n. 258 del 6 marzo 2025) e le telecomunicazioni. La maggior parte del dettaglio operativo è delegata a ordinanze esecutive (bekendtgørelser) emesse dall'autorità responsabile.
SAMSIK coordina, le autorità settoriali vigilano
La Styrelsen for Samfundssikkerhed (SAMSIK), all'interno del Ministero per la sicurezza della società e la protezione civile, è il coordinatore centrale e l'autorità di vigilanza per le telecomunicazioni, l'amministrazione centrale, i comuni e parti del settore manifatturiero. Energistyrelsen, Finanstilsynet, Trafikstyrelsen, Søfartsstyrelsen e Sundhedsdatastyrelsen vigilano ciascuna sui propri settori. Il CFCS resta il CSIRT nazionale.
Registrazione via virk.dk, segnalazione via CFCS
L'autoregistrazione delle entità nell'ambito si è svolta su virk.dk con MitID fino al 1° ottobre 2025. Gli incidenti significativi seguono la cadenza della direttiva: preallarme di 24h, notifica di 72h e relazione finale di un mese. Il canale di segnalazione è il CFCS come CSIRT nazionale, con notifica parallela all'autorità responsabile di settore.
Il diritto locale si applica all'interno della Danimarca, distribuito su più autorità
Le operazioni sul territorio danese seguono il recepimento danese. Un Geschäftsführer tedesco che gestisce una controllata danese legge la NIS 2-loven e la legge settoriale pertinente per quella controllata, non il BSIG tedesco. A differenza della Germania con il BSI, la Danimarca non ha un'unica autorità di vigilanza cibernetica centrale. Quale Tilsynsmyndighed abbia competenza dipende dal settore principale dell'entità.
La Danimarca non può scendere al di sotto del livello minimo UE
La direttiva è uno strumento di armonizzazione minima. La Danimarca può andare più rigorosa e lo fa in parte, in particolare per il settore energetico tramite i propri obblighi di resilienza. La Danimarca non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione di incidenti o sulla responsabilità dell'organo di gestione ai sensi dell'articolo 20 NIS 2.
CFCS
Center for Cybersikkerhed. Organizzativamente parte di SAMSIK dal 1° gennaio 2025, operativamente ancora all'interno della Forsvarets Efterretningstjeneste (FE, il servizio di intelligence della Difesa). Gestisce il CSIRT nazionale, è il punto di contatto 24/7 per le segnalazioni di incidenti e il punto di contatto unico nella rete UE dei CSIRT. Il CFCS non è l'autorità di vigilanza generale della NIS 2; è l'autorità tecnica per la consapevolezza situazionale e la risposta.
SAMSIK e autorità settoriali
La Styrelsen for Samfundssikkerhed (SAMSIK) coordina la vigilanza NIS 2 ed è essa stessa autorità di vigilanza per le telecomunicazioni, l'amministrazione centrale, i comuni e parti del settore manifatturiero. Energistyrelsen vigila sull'energia, Finanstilsynet sulla finanza (con DORA come lex specialis), Trafikstyrelsen sui trasporti, Søfartsstyrelsen sul marittimo, Sundhedsdatastyrelsen sulla sanità. La registrazione si svolge settore per settore attraverso il punto di accesso comune virk.dk.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce il database europeo delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un'autorità di vigilanza per le entità danesi; questo spetta alle autorità settoriali, coordinate da SAMSIK.
La Danimarca ha un'unica autorità di vigilanza cibernetica centrale come il BSI tedesco.
Non è così. La Danimarca gestisce la NIS 2 attraverso un modello settoriale. SAMSIK coordina e vigila su alcuni settori. Energia, finanza, trasporti, marittimo e sanità spettano alle proprie autorità responsabili di settore. Un'entità attiva in più settori può avere più autorità di vigilanza contemporaneamente. La logica del BSI tedesco non si trasferisce uno a uno.
Non abbiamo bisogno di registrarci; lo fa l'autorità per noi.
Sbagliato. L'autoregistrazione si svolge su virk.dk con MitID ed era obbligatoria entro il 1° ottobre 2025 per ogni entità nell'ambito della NIS 2-loven. La registrazione tardiva è comunque richiesta e comporta il rischio di sanzioni. Non vi è classificazione automatica senza una voce attiva.
Siamo un piccolo fornitore, l'autorità di vigilanza settoriale non ci guarderà.
Il test dimensionale si ferma per impostazione predefinita alle imprese medie e grandi, ma la direttiva include le piccole entità laddove siano il fornitore unico, laddove l'interruzione abbia impatto transfrontaliero, o laddove il diritto danese le aggiunga. Gli operatori di telecomunicazioni, i prestatori di servizi fiduciari, i fornitori di DNS e parti della pubblica amministrazione rientrano indipendentemente dalle dimensioni. La verifica di applicabilità deve essere svolta caso per caso, non solo in base alle dimensioni dell'impresa.
La maggior parte degli operatori danesi di fascia media che vediamo cerca istintivamente un unico punto di contatto. Non ce n'è. Se ti trovi in un settore regolamentato, parli principalmente con la tua autorità responsabile di settore. Se ti trovi al di fuori dei settori regolamentati o hai domande trasversali, ti rivolgi a SAMSIK. La segnalazione di incidenti passa tecnicamente attraverso il CFCS in parallelo con l'autorità settoriale. Il CEO o direktør è personalmente responsabile dell'approvazione della gestione del rischio e della propria formazione ai sensi dell'articolo 20 NIS 2.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, chiarire il settore principale, registrarsi tramite virk.dk, impostare i quattro obblighi continui (mantenimento della registrazione, segnalazione di incidenti, rischio della catena di approvvigionamento, sorveglianza dell'organo di gestione) e documentare il minimo. Un'entità attiva in più settori documenta per settore, perché le autorità di vigilanza chiedono per settore.
Costruiamo il registro degli obblighi NIS 2 sul livello UE, non su un singolo recepimento nazionale. La stessa checklist funziona per una controllata danese che usa la NIS 2-loven, una società madre tedesca che usa il BSIG e una società sorella olandese che usa la Cyberbeveiligingswet. I riferimenti agli articoli cambiano per locale; gli obblighi sostanziali no.
Per l'ambito danese si parte dalla verifica di applicabilità, si chiarisce il settore principale e l'autorità responsabile di settore, poi si passa alla cadenza di segnalazione di incidenti, alle clausole della catena di approvvigionamento e all'approvazione dell'organo di gestione. Laddove SAMSIK o un'autorità settoriale pubblica orientamenti, vi facciamo riferimento; non li duplichiamo.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Legge n. 434 del 6 maggio 2025 sulle misure per garantire un livello elevato di cybersicurezza (NIS 2-loven): Retsinformation
- Legge n. 258 del 6 marzo 2025 sulla sicurezza e preparazione nel settore energetico: Retsinformation
- Styrelsen for Samfundssikkerhed (SAMSIK): sito ufficiale samsik.dk
- Center for Cybersikkerhed (CFCS): CSIRT nazionale, cfcs.dk
- virk.dk: portale delle imprese danese per la registrazione NIS 2
- Commissione europea, parere motivato sul recepimento incompleto della NIS 2 da parte della Danimarca del 7 maggio 2025