Statutul NIS 2 în Danemarca
Ce impune directiva, cum o transpune Danemarca și de ce supravegherea nu revine unei singure autorități.
Prezentare generală
Directiva NIS 2 este stratul UE. Obligă fiecare stat membru, inclusiv Danemarca, cu un prag unic de securitate cibernetică pentru entitățile esențiale și importante. Danemarca trebuie să integreze acel prag în legislația daneză și să ruleze un regim de supraveghere în temeiul lui.
Danemarca a transpus cu întârziere. Termenul din Articolul 41 era 17 octombrie 2024. Folketing-ul a adoptat NIS 2-loven (Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) abia la 29 aprilie 2025. A intrat în vigoare ca Legea nr. 434 din 6 mai 2025 la 1 iulie 2025. Fereastra de autoînregistrare prin virk.dk a fost deschisă până la 1 octombrie 2025.
Danemarca folosește un model de supraveghere sectorială. Styrelsen for Samfundssikkerhed (SAMSIK), din cadrul Ministerului pentru Securitatea Societală și Pregătirea pentru Situații de Urgență, coordonează și acționează ca supraveghetor pentru telecomunicații, administrația centrală, municipalități și părți ale producției. Energia, finanțele, transportul, domeniul maritim, sănătatea și apa au fiecare propria autoritate sectorială responsabilă. Center for Cybersikkerhed (CFCS) face parte organizatoric din SAMSIK de la 1 ianuarie 2025 și continuă să opereze CSIRT-ul național în cadrul Forsvarets Efterretningstjeneste.
Directiva UE
Directiva (UE) 2022/2555 (NIS 2)
Directiva UE privind securitatea cibernetică. Stabilește obligațiile pe care fiecare stat membru trebuie să le transpună, inclusiv testele de dimensiune și de sector pentru entitățile esențiale și importante.
Punerea în aplicare la nivelul UE
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
Măsuri tehnice și metodologice pentru furnizorii de infrastructură digitală. Direct aplicabil în Danemarca fără transpunere națională.
Transpunerea daneză
Legea nr. 434 din 6 mai 2025 (NIS 2-loven)
Transpunerea daneză a NIS 2. O lege-cadru intersectorială pe de o parte, plus statute sectoriale pe de altă parte. Sectorul energetic urmează Legea nr. 258 din 6 martie 2025; telecomunicațiile urmează Legea nr. 435 din 6 mai 2025. Detaliile operative sunt delegate ordinelor executive (bekendtgørelser) și orientărilor autorității relevante.
Legea NIS 2 plus statutele sectoriale
NIS 2-loven (Legea nr. 434 din 6 mai 2025) transpune obligațiile NIS 2 în legislația daneză și se aplică de la 1 iulie 2025. Este completată de statute specifice sectorului, în special pentru energie (Legea nr. 258 din 6 martie 2025) și telecomunicații. Cea mai mare parte a detaliilor operative este delegată ordinelor executive (bekendtgørelser) emise de autoritatea responsabilă.
SAMSIK coordonează, autoritățile sectoriale supraveghează
Styrelsen for Samfundssikkerhed (SAMSIK), din cadrul Ministerului pentru Securitatea Societală și Pregătirea pentru Situații de Urgență, este coordonatorul central și supraveghetorul pentru telecomunicații, administrația centrală, municipalități și părți ale producției. Energistyrelsen, Finanstilsynet, Trafikstyrelsen, Søfartsstyrelsen și Sundhedsdatastyrelsen supraveghează fiecare propriile sectoare. CFCS rămâne CSIRT-ul național.
Înregistrare prin virk.dk, raportare prin CFCS
Autoînregistrarea entităților din domeniul de aplicare a fost deschisă pe virk.dk cu MitID până la 1 octombrie 2025. Incidentele semnificative urmează cadența directivei: avertizare timpurie la 24h, notificare la 72h și raport final la o lună. Canalul de raportare este CFCS ca CSIRT național, cu notificare paralelă către autoritatea sectorială responsabilă.
Legea locală se aplică în interiorul Danemarcei, distribuită pe mai multe autorități
Operațiunile pe teritoriul danez urmează transpunerea daneză. Un Geschäftsführer german care conduce o filială daneză citește NIS 2-loven și statutul sectorial relevant pentru acea filială, nu BSIG german. Spre deosebire de Germania cu BSI, Danemarca nu are un singur supraveghetor cibernetic central. Care Tilsynsmyndighed are competență depinde de sectorul principal al entității.
Danemarca nu poate coborî sub pragul UE
Directiva este un instrument de armonizare minimă. Danemarca poate fi mai strictă și este pe alocuri, în special pentru sectorul energetic prin propriile obligații de reziliență. Danemarca nu poate coborî sub directivă în privința obligațiilor entităților esențiale și importante, a termenelor de raportare a incidentelor sau a răspunderii organului de conducere în temeiul Articolului 20 NIS 2.
CFCS
Center for Cybersikkerhed. Face parte organizatoric din SAMSIK de la 1 ianuarie 2025, operativ încă în interiorul Forsvarets Efterretningstjeneste (FE, Serviciul de Informații al Apărării). Operează CSIRT-ul național, este punctul de contact 24/7 pentru rapoartele de incidente și punctul unic de contact în rețeaua CSIRT-urilor din UE. CFCS nu este supraveghetorul general NIS 2; este autoritatea tehnică pentru conștientizarea situației și răspuns.
SAMSIK și autoritățile sectoriale
Styrelsen for Samfundssikkerhed (SAMSIK) coordonează supravegherea NIS 2 și este ea însăși supraveghetor pentru telecomunicații, administrația centrală, municipalități și părți ale producției. Energistyrelsen supraveghează energia, Finanstilsynet finanțele (cu DORA ca lex specialis), Trafikstyrelsen transportul, Søfartsstyrelsen domeniul maritim, Sundhedsdatastyrelsen sănătatea. Înregistrarea se face sector cu sector prin punctul comun de intrare virk.dk.
ENISA
Agenția UE pentru securitate cibernetică. Publică orientări, gestionează baza de date europeană a vulnerabilităților și sprijină coordonarea transfrontalieră. Nu este un supraveghetor pentru entitățile daneze; acest rol revine autorităților sectoriale, coordonate de SAMSIK.
Danemarca are un singur supraveghetor cibernetic central, ca BSI german.
Nu are. Danemarca rulează NIS 2 printr-un model sectorial. SAMSIK coordonează și supraveghează unele sectoare. Energia, finanțele, transportul, domeniul maritim și sănătatea revin propriilor autorități sectoriale responsabile. O entitate activă în mai multe sectoare poate avea mai mulți supraveghetori în același timp. Logica BSI german nu se transferă unu la unu.
Nu trebuie să ne înregistrăm; autoritatea o face pentru noi.
Greșit. Autoînregistrarea se face pe virk.dk cu MitID și a fost obligatorie până la 1 octombrie 2025 pentru fiecare entitate din domeniul de aplicare al NIS 2-loven. Înregistrarea tardivă rămâne necesară și comportă riscul de sancțiuni. Nu există clasificare automată fără o intrare activă.
Suntem un mic furnizor, supraveghetorul sectorial nu se va uita la noi.
Testul de dimensiune se oprește implicit la întreprinderile mijlocii și mari, dar directiva captează entitățile mici acolo unde sunt furnizorul unic, unde perturbarea are impact transfrontalier sau unde legislația daneză le adaugă. Operatorii de telecomunicații, furnizorii de servicii de încredere, furnizorii de DNS și părți ale administrației publice intră indiferent de dimensiune. Verificarea aplicabilității trebuie făcută caz cu caz, nu doar după dimensiunea companiei.
Majoritatea operatorilor danezi din segmentul mediu pe care îi vedem caută instinctiv un singur punct de contact. Nu există niciunul. Dacă vă aflați într-un sector reglementat, vorbiți în primul rând cu propria autoritate sectorială responsabilă. Dacă vă aflați în afara sectoarelor reglementate sau aveți întrebări transversale, mergeți la SAMSIK. Raportarea incidentelor merge tehnic prin CFCS în paralel cu autoritatea sectorială. CEO-ul sau direktør-ul răspunde personal pentru aprobarea gestionării riscurilor și pentru propria instruire în temeiul Articolului 20 NIS 2.
Mișcarea practică este aceeași ca peste tot în UE: confirmați domeniul de aplicare în temeiul directivei, clarificați sectorul principal, înregistrați-vă prin virk.dk, stabiliți cele patru obligații continue (menținerea înregistrării, raportarea incidentelor, riscul lanțului de aprovizionare, supravegherea de către organul de conducere) și documentați minimul. O entitate activă în mai multe sectoare documentează pe sector, deoarece supraveghetorii întreabă pe sector.
Construim registrul de obligații NIS 2 pe stratul UE, nu pe vreo transpunere națională unică. Aceeași listă de verificare funcționează pentru o filială daneză care folosește NIS 2-loven, o societate-mamă germană care folosește BSIG și o societate-soră olandeză care folosește Cyberbeveiligingswet. Trimiterile la articole se schimbă în funcție de locală; obligațiile de fond nu.
Pentru domeniul de aplicare danez, începeți cu verificarea aplicabilității, clarificați sectorul principal și autoritatea sectorială responsabilă, apoi treceți la cadența de raportare a incidentelor, clauzele privind lanțul de aprovizionare și aprobarea organului de conducere. Acolo unde SAMSIK sau o autoritate sectorială publică orientări, le citem; nu le duplicăm.
- Directiva (UE) 2022/2555 (NIS 2). EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei
- Legea nr. 434 din 6 mai 2025 privind măsurile de asigurare a unui nivel ridicat de securitate cibernetică (NIS 2-loven). Retsinformation
- Legea nr. 258 din 6 martie 2025 privind securitatea și pregătirea în sectorul energetic. Retsinformation
- Styrelsen for Samfundssikkerhed (SAMSIK). site oficial samsik.dk
- Center for Cybersikkerhed (CFCS). CSIRT național, cfcs.dk
- virk.dk. portalul danez de afaceri pentru înregistrarea NIS 2
- Comisia Europeană, aviz motivat privind transpunerea incompletă a NIS 2 de către Danemarca din 7 mai 2025