NIS 2 Status in Dänemark
Was die Richtlinie fordert, wie Dänemark sie umsetzt, und warum die Aufsicht nicht bei einer einzigen Behörde liegt.
Überblick
Die NIS 2 Richtlinie ist die EU Ebene. Sie bindet jeden Mitgliedstaat, auch Dänemark, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Dänemark muss dieses Niveau in dänisches Recht überführen und eine Aufsicht darunter führen.
Dänemark hat die Richtlinie verspätet umgesetzt. Die Frist nach Artikel 41 war der 17. Oktober 2024. Das Folketing hat die NIS 2-loven (Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) erst am 29. April 2025 verabschiedet. Sie ist als Lov nr. 434 vom 6. Mai 2025 am 1. Juli 2025 in Kraft getreten. Die Registrierung über virk.dk lief bis zum 1. Oktober 2025.
Dänemark arbeitet mit einem sektoralen Aufsichtsmodell. Die Styrelsen for Samfundssikkerhed (SAMSIK) im Ministeriet for Samfundssikkerhed og Beredskab koordiniert das Ganze und ist selbst zuständig für Telekom, Zentralverwaltung, Kommunen und Teile der Industrie. Energie, Finanzen, Verkehr, Schifffahrt, Gesundheit und Wasser haben jeweils eigene sektorzuständige Behörden. Das Center for Cybersikkerhed (CFCS) ist seit dem 1. Januar 2025 Teil von SAMSIK und betreibt weiterhin das nationale CSIRT unter Forsvarets Efterretningstjeneste.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Maßnahmen für Anbieter digitaler Infrastruktur. In Dänemark unmittelbar anwendbar, ohne nationale Umsetzung.
Dänische Umsetzung
Lov nr. 434 vom 6. Mai 2025 (NIS 2-loven)
Die dänische NIS 2 Umsetzung. Ein Querschnittsgesetz auf der einen Seite, plus sektorale Sondergesetze auf der anderen Seite. Für den Energiesektor läuft die Umsetzung über Lov nr. 258 vom 6. März 2025, für die Telekom über Lov nr. 435 vom 6. Mai 2025.
NIS 2-loven plus Sektorengesetze
Die NIS 2-loven (Lov nr. 434 vom 6. Mai 2025) bringt die NIS 2 Pflichten in dänisches Recht und gilt seit dem 1. Juli 2025. Sie wird durch sektorale Sondergesetze ergänzt, vor allem im Energiesektor (Lov nr. 258 vom 6. März 2025) und im Telekommunikationssektor. Operative Details laufen über Bekendtgørelser und Leitlinien der jeweils zuständigen Behörden.
SAMSIK koordiniert, Sektorbehörden führen Aufsicht
Die Styrelsen for Samfundssikkerhed (SAMSIK) im Ministeriet for Samfundssikkerhed og Beredskab ist die zentrale koordinierende Stelle und Aufsicht für Telekom, Zentralverwaltung, Kommunen und Teile der Industrie. Energistyrelsen, Finanstilsynet, Trafikstyrelsen, Søfartsstyrelsen und Sundhedsdatastyrelsen führen Aufsicht in ihren jeweiligen Sektoren. Das CFCS bleibt nationales CSIRT.
Registrierung über virk.dk, Meldung an CFCS
Die Registrierungsfrist für betroffene Einrichtungen lief bis zum 1. Oktober 2025 über virk.dk mit MitID. Erhebliche Sicherheitsvorfälle folgen der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat. Der Meldekanal ist das CFCS als nationales CSIRT, parallel an die sektorzuständige Behörde.
In Dänemark gilt dänisches Recht, verteilt auf mehrere Behörden
Aktivitäten auf dänischem Staatsgebiet folgen der dänischen Umsetzung. Ein deutscher Geschäftsführer mit dänischer Tochter liest für diese Tochter die NIS 2-loven und das jeweilige Sektorengesetz, nicht das BSIG. Anders als in Deutschland mit dem BSI gibt es in Dänemark keinen einzigen zentralen Aufseher. Wer der zuständige Tilsynsmyndighed ist, hängt am Hauptsektor der Einrichtung.
Dänemark darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Dänemark darf strenger werden und tut es in Teilen, vor allem im Energiesektor mit eigenen Resilienzpflichten. Dänemark darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Haftung des Leitungsorgans nach Artikel 20 NIS 2.
CFCS
Center for Cybersikkerhed. Seit dem 1. Januar 2025 organisatorisch Teil von SAMSIK, operativ aber weiter unter Forsvarets Efterretningstjeneste (FE) angesiedelt. Betreibt das nationale CSIRT, ist 24/7 Kontaktstelle für Vorfallmeldungen und Single Point of Contact im EU CSIRT Netzwerk. CFCS ist nicht der allgemeine NIS 2 Aufseher, sondern die technische Stelle für Lagebild und Reaktion.
SAMSIK und Sektorbehörden
Styrelsen for Samfundssikkerhed (SAMSIK) koordiniert die NIS 2 Aufsicht und ist selbst zuständig für Telekom, Zentralverwaltung, Kommunen und Teile der Industrie. Energistyrelsen führt Aufsicht im Energiesektor, Finanstilsynet im Finanzsektor (in Verbindung mit DORA als Lex specialis), Trafikstyrelsen im Verkehr, Søfartsstyrelsen in der Seeschifffahrt, Sundhedsdatastyrelsen im Gesundheitssektor. Die Registrierung läuft sektoral, der gemeinsame Eintrittspunkt ist virk.dk.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für dänische Einrichtungen. Die liegt sektoral, koordiniert durch SAMSIK.
Dänemark hat eine zentrale Cyberaufsicht wie das BSI in Deutschland.
Hat es nicht. Dänemark führt NIS 2 über ein sektorales Modell. SAMSIK koordiniert und ist Aufsicht für bestimmte Sektoren. Energie, Finanzen, Verkehr, Schifffahrt und Gesundheit liegen bei jeweils eigenen sektorzuständigen Behörden. Wer in mehreren Sektoren tätig ist, kann mehrere Aufseher gleichzeitig haben. Die deutsche BSI Logik überträgt sich nicht eins zu eins.
Wir müssen uns nicht aktiv registrieren, das macht die Behörde von sich aus.
Falsch. Die Eigenregistrierung läuft über virk.dk mit MitID und war bis zum 1. Oktober 2025 Pflicht für alle Einrichtungen, die unter den Anwendungsbereich der NIS 2-loven fallen. Wer die Frist verpasst hat, registriert nachträglich und riskiert Sanktionen. Eine automatische Einstufung ohne eigenen Eintrag gibt es nicht.
Wir sind nur ein kleiner Zulieferer, der Sektoraufseher kümmert sich nicht um uns.
Der Größentest deckelt zwar standardmäßig bei mittleren und großen Unternehmen, die Richtlinie fängt aber auch kleine Einrichtungen, wenn sie einziger Anbieter sind, grenzüberschreitend wirken oder das dänische Recht sie zusätzlich nennt. Telekomanbieter, Vertrauensdiensteanbieter, DNS Anbieter und Teile der öffentlichen Verwaltung sind unabhängig von der Größe erfasst. Die Anwendbarkeitsprüfung muss Fall für Fall passieren, nicht über die reine Unternehmensgröße.
Die meisten dänischen Mittelstandsbetreiber, die uns begegnen, suchen instinktiv nach einer einzigen Anlaufstelle. Die gibt es nicht. Wer in einem regulierten Sektor sitzt, redet primär mit der eigenen sektorzuständigen Behörde. Wer in keinem regulierten Sektor sitzt oder Querschnittsfragen hat, geht zu SAMSIK. Vorfallmeldungen laufen technisch über CFCS, parallel an die sektorzuständige Behörde. Der CEO oder direktør haftet persönlich für die Freigabe des Risikomanagements und die eigene Schulung nach Artikel 20 NIS 2.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, Hauptsektor klären, über virk.dk registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Wer in mehreren Sektoren tätig ist, dokumentiert pro Sektor, weil die Aufseher pro Sektor fragen.
Wir bauen das NIS 2 Pflichtenregister auf der EU Ebene, nicht auf einer einzelnen nationalen Umsetzung. Die gleiche Checkliste passt für eine dänische Tochter unter der NIS 2-loven, eine deutsche Mutter unter BSIG und eine niederländische Schwester unter dem Cyberbeveiligingswet. Die Artikelverweise wechseln pro Land, die Pflichten in der Sache nicht.
Für den dänischen Scope startet man mit der Anwendbarkeitsprüfung, klärt den Hauptsektor und damit die sektorzuständige Behörde, dann Meldetakt, Lieferkettenklauseln und Freigabe durch das Leitungsorgan. Wo SAMSIK oder eine Sektorbehörde Leitlinien veröffentlicht, verlinken wir sie. Wir kopieren sie nicht.
- Richtlinie (EU) 2022/2555 (NIS 2): EUR-Lex
- Durchführungsverordnung (EU) 2024/2690
- Lov nr. 434 vom 6. Mai 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS 2-loven): Retsinformation
- Lov nr. 258 vom 6. März 2025 om sikkerhed og beredskab i energisektoren: Retsinformation
- Styrelsen for Samfundssikkerhed (SAMSIK): offizielle Seite samsik.dk
- Center for Cybersikkerhed (CFCS): nationales CSIRT, cfcs.dk
- virk.dk: dänisches Unternehmensportal für NIS 2 Registrierung
- Europäische Kommission, mit Gründen versehene Stellungnahme zur unvollständigen NIS 2 Umsetzung Dänemarks vom 7. Mai 2025