Estado da NIS 2 na Dinamarca
O que a diretiva exige, como a Dinamarca a transpõe e porque é que a supervisão não fica com uma única autoridade.
Visão geral
A diretiva NIS 2 é o nível da UE. Vincula todos os Estados-Membros, incluindo a Dinamarca, com um patamar único de cibersegurança para as entidades essenciais e importantes. A Dinamarca tem de inscrever esse patamar no direito dinamarquês e operar um regime de supervisão ao seu abrigo.
A Dinamarca transpôs tarde. O prazo ao abrigo do artigo 41.o era 17 de outubro de 2024. O Folketing adotou a NIS 2-loven (Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) apenas em 29 de abril de 2025. Entrou em vigor como Lei n.o 434 de 6 de maio de 2025 em 1 de julho de 2025. A janela de autorregisto através do virk.dk decorreu até 1 de outubro de 2025.
A Dinamarca utiliza um modelo de supervisão setorial. A Styrelsen for Samfundssikkerhed (SAMSIK), sob o Ministério da Segurança Societal e da Preparação para Emergências, coordena e atua como supervisor das telecomunicações, da administração central, dos municípios e de partes da indústria. A energia, as finanças, os transportes, o setor marítimo, a saúde e a água têm cada um a sua própria autoridade responsável pelo setor. O Center for Cybersikkerhed (CFCS) faz parte da SAMSIK em termos organizacionais desde 1 de janeiro de 2025 e continua a operar o CSIRT nacional sob a Forsvarets Efterretningstjeneste.
Diretiva da UE
Diretiva (UE) 2022/2555 (NIS 2)
A diretiva de cibersegurança a nível da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo os testes de dimensão e de setor para as entidades essenciais e importantes.
Aplicação da UE
Regulamento de Execução (UE) 2024/2690 da Comissão
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Dinamarca sem transposição nacional.
Transposição dinamarquesa
Lei n.o 434 de 6 de maio de 2025 (NIS 2-loven)
A transposição dinamarquesa da NIS 2. Uma lei-quadro intersetorial de um lado, mais estatutos setoriais do outro. O setor da energia segue a Lei n.o 258 de 6 de março de 2025; as telecomunicações seguem a Lei n.o 435 de 6 de maio de 2025. O detalhe operacional é delegado em decretos de execução (bekendtgørelser) e em orientação da autoridade competente.
A Lei NIS 2 mais estatutos setoriais
A NIS 2-loven (Lei n.o 434 de 6 de maio de 2025) inscreve as obrigações da NIS 2 no direito dinamarquês e aplica-se a partir de 1 de julho de 2025. É complementada por estatutos específicos de setor, nomeadamente para a energia (Lei n.o 258 de 6 de março de 2025) e as telecomunicações. A maior parte do detalhe operacional é delegada em decretos de execução (bekendtgørelser) emitidos pela autoridade responsável.
A SAMSIK coordena, as autoridades setoriais supervisionam
A Styrelsen for Samfundssikkerhed (SAMSIK), dentro do Ministério da Segurança Societal e da Preparação para Emergências, é a coordenadora central e supervisora das telecomunicações, da administração central, dos municípios e de partes da indústria. A Energistyrelsen, a Finanstilsynet, a Trafikstyrelsen, a Søfartsstyrelsen e a Sundhedsdatastyrelsen supervisionam cada uma os seus próprios setores. O CFCS continua a ser o CSIRT nacional.
Registo via virk.dk, comunicação via CFCS
O autorregisto das entidades abrangidas decorreu no virk.dk com MitID até 1 de outubro de 2025. Os incidentes significativos seguem a cadência da diretiva: aviso prévio em 24h, notificação em 72h e relatório final em um mês. O canal de comunicação é o CFCS enquanto CSIRT nacional, com notificação paralela à autoridade responsável pelo setor.
A lei local aplica-se dentro da Dinamarca, repartida por várias autoridades
As operações em território dinamarquês seguem a transposição dinamarquesa. Um Geschäftsführer alemão que gere uma filial dinamarquesa lê a NIS 2-loven e o estatuto setorial relevante para essa filial, não o BSIG alemão. Ao contrário da Alemanha com o BSI, a Dinamarca não tem um supervisor cibernético central único. Qual a Tilsynsmyndighed competente depende do setor primário da entidade.
A Dinamarca não pode descer abaixo do patamar da UE
A diretiva é um instrumento de harmonização mínima. A Dinamarca pode ir mais longe e em partes vai, em particular para o setor da energia, através dos seus próprios deveres de resiliência. A Dinamarca não pode descer abaixo da diretiva nos deveres das entidades essenciais e importantes, nos prazos de comunicação de incidentes ou na responsabilidade do órgão de administração ao abrigo do artigo 20.o da NIS 2.
CFCS
Center for Cybersikkerhed. Parte da SAMSIK em termos organizacionais desde 1 de janeiro de 2025, operacionalmente ainda dentro da Forsvarets Efterretningstjeneste (FE, o Serviço de Informações da Defesa). Opera o CSIRT nacional, é o ponto de contacto 24/7 para os relatórios de incidentes e o ponto de contacto único na rede de CSIRT da UE. O CFCS não é o supervisor geral da NIS 2; é a autoridade técnica para o conhecimento da situação e a resposta.
SAMSIK e autoridades setoriais
A Styrelsen for Samfundssikkerhed (SAMSIK) coordena a supervisão da NIS 2 e é ela própria supervisora das telecomunicações, da administração central, dos municípios e de partes da indústria. A Energistyrelsen supervisiona a energia, a Finanstilsynet as finanças (com a DORA como lex specialis), a Trafikstyrelsen os transportes, a Søfartsstyrelsen o setor marítimo, a Sundhedsdatastyrelsen a saúde. O registo decorre setor a setor através do ponto de entrada comum virk.dk.
ENISA
A agência de cibersegurança da UE. Publica orientação, gere a base de dados europeia de vulnerabilidades e apoia a coordenação transfronteiriça. Não é supervisor das entidades dinamarquesas; isso fica com as autoridades setoriais, coordenadas pela SAMSIK.
A Dinamarca tem um supervisor cibernético central único como o BSI alemão.
Não tem. A Dinamarca opera a NIS 2 através de um modelo setorial. A SAMSIK coordena e supervisiona alguns setores. A energia, as finanças, os transportes, o setor marítimo e a saúde ficam com as suas próprias autoridades responsáveis pelo setor. Uma entidade ativa em vários setores pode ter vários supervisores ao mesmo tempo. A lógica do BSI alemão não se transfere um para um.
Não precisamos de nos registar; a autoridade fá-lo por nós.
Errado. O autorregisto decorre no virk.dk com MitID e era obrigatório até 1 de outubro de 2025 para todas as entidades abrangidas pela NIS 2-loven. O registo tardio continua a ser exigido e acarreta o risco de sanções. Não há classificação automática sem uma entrada ativa.
Somos um pequeno fornecedor, o supervisor setorial não vai olhar para nós.
O teste de dimensão limita-se por defeito às médias e grandes empresas, mas a diretiva capta as entidades de pequena dimensão quando são o prestador único, quando uma perturbação tem impacto transfronteiriço ou quando a lei dinamarquesa as acrescenta. Os operadores de telecomunicações, os prestadores de serviços de confiança, os prestadores de DNS e partes da administração pública estão abrangidos independentemente da dimensão. A verificação de aplicabilidade tem de ser feita caso a caso, não apenas pela dimensão da empresa.
A maioria dos operadores dinamarqueses de média dimensão que vemos procura instintivamente um único ponto de contacto. Não existe. Se está num setor regulado, fala sobretudo com a sua própria autoridade responsável pelo setor. Se está fora dos setores regulados ou tem questões transversais, recorre à SAMSIK. A comunicação de incidentes corre tecnicamente através do CFCS em paralelo com a autoridade setorial. O CEO ou direktør responde pessoalmente pela aprovação da gestão de risco e pela própria formação ao abrigo do artigo 20.o da NIS 2.
O passo prático é o mesmo que em todo o resto da UE: confirmar o âmbito ao abrigo da diretiva, esclarecer o setor primário, registar através do virk.dk, estabelecer as quatro obrigações contínuas (manutenção do registo, comunicação de incidentes, risco da cadeia de fornecimento, supervisão pelo órgão de administração) e documentar o mínimo. Uma entidade ativa em vários setores documenta por setor, porque os supervisores perguntam por setor.
Construímos o registo de obrigações da NIS 2 sobre o nível da UE, não sobre qualquer transposição nacional isolada. A mesma lista de verificação funciona para uma filial dinamarquesa que utiliza a NIS 2-loven, uma sociedade-mãe alemã que utiliza o BSIG e uma congénere neerlandesa que utiliza a Cyberbeveiligingswet. As referências aos artigos mudam por idioma; as obrigações substantivas não.
Para o âmbito dinamarquês, começa pela verificação de aplicabilidade, esclarece o seu setor primário e a autoridade responsável pelo setor, depois passa à cadência de comunicação de incidentes, às cláusulas da cadeia de fornecimento e à aprovação do órgão de administração. Onde a SAMSIK ou uma autoridade setorial publica orientação, referenciamo-la; não a duplicamos.
- Diretiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamento de Execução (UE) 2024/2690 da Comissão
- Lei n.o 434 de 6 de maio de 2025 relativa a medidas para assegurar um elevado nível de cibersegurança (NIS 2-loven). Retsinformation
- Lei n.o 258 de 6 de março de 2025 relativa à segurança e à preparação no setor da energia. Retsinformation
- Styrelsen for Samfundssikkerhed (SAMSIK). sítio oficial samsik.dk
- Center for Cybersikkerhed (CFCS). CSIRT nacional, cfcs.dk
- virk.dk. portal de empresas dinamarquês para o registo NIS 2
- Comissão Europeia, parecer fundamentado sobre a transposição incompleta da NIS 2 pela Dinamarca, de 7 de maio de 2025