Stato della NIS 2 in Danimarca
Cosa richiede la direttiva, come la Danimarca la recepisce e perché la vigilanza non spetta a un'unica autorità.
Panoramica
La direttiva NIS 2 è il livello UE. Vincola ogni Stato membro, inclusa la Danimarca, con un unico livello minimo di cybersicurezza per i soggetti essenziali e importanti. La Danimarca deve inserire quel livello minimo nel diritto danese e gestire un regime di vigilanza in base a esso.
La Danimarca ha recepito in ritardo. Il termine ai sensi dell'articolo 41 era il 17 ottobre 2024. Il Folketing ha adottato la NIS 2-loven (Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau) solo il 29 aprile 2025. È entrata in vigore come legge n. 434 del 6 maggio 2025 il 1° luglio 2025. La finestra di autoregistrazione tramite virk.dk si è protratta fino al 1° ottobre 2025.
La Danimarca utilizza un modello di vigilanza settoriale. La Styrelsen for Samfundssikkerhed (SAMSIK), sotto il Ministero per la sicurezza della società e la protezione civile, coordina e funge da autorità di vigilanza per le telecomunicazioni, l'amministrazione centrale, i comuni e parti del settore manifatturiero. Energia, finanza, trasporti, marittimo, sanità e acqua hanno ciascuno la propria autorità responsabile di settore. Il Center for Cybersikkerhed (CFCS) fa parte di SAMSIK dal 29 gennaio 2025 e gestisce il CSIRT nazionale.
Direttiva UE
Direttiva (UE) 2022/2555 (NIS 2)
La direttiva sulla cybersicurezza a livello UE. Fissa gli obblighi che ogni Stato membro deve recepire, inclusi i test di dimensione e settore per i soggetti essenziali e importanti.
Attuazione UE
Regolamento di esecuzione (UE) 2024/2690 della Commissione
Misure tecniche e metodologiche per i fornitori di infrastrutture digitali. Direttamente applicabile in Danimarca senza recepimento nazionale.
Recepimento danese
Legge n. 434 del 6 maggio 2025 (NIS 2-loven)
Il recepimento danese della NIS 2. Una legge quadro intersettoriale da un lato, più leggi settoriali dall'altro. Il settore energetico segue la legge n. 258 del 6 marzo 2025; le telecomunicazioni seguono la legge n. 435 del 6 maggio 2025. Il dettaglio operativo è delegato a ordinanze esecutive (bekendtgørelser) e orientamenti dell'autorità pertinente.
La legge NIS 2 più le leggi settoriali
La NIS 2-loven (legge n. 434 del 6 maggio 2025) trasferisce gli obblighi della NIS 2 nel diritto danese e si applica dal 1° luglio 2025. È integrata da leggi specifiche per settore, in particolare per l'energia (legge n. 258 del 6 marzo 2025) e le telecomunicazioni. La maggior parte del dettaglio operativo è delegata a ordinanze esecutive (bekendtgørelser) emesse dall'autorità responsabile.
SAMSIK coordina, le autorità settoriali vigilano
La Styrelsen for Samfundssikkerhed (SAMSIK), all'interno del Ministero per la sicurezza della società e la protezione civile, è il coordinatore centrale e l'autorità di vigilanza per le telecomunicazioni, l'amministrazione centrale, i comuni e parti del settore manifatturiero. Energistyrelsen, Finanstilsynet, Trafikstyrelsen, Søfartsstyrelsen e Sundhedsdatastyrelsen vigilano ciascuna sui propri settori. Il CFCS resta il CSIRT nazionale.
Registrazione via virk.dk, segnalazione via CFCS
L'autoregistrazione delle entità nell'ambito si è svolta su virk.dk con MitID fino al 1° ottobre 2025. Gli incidenti significativi seguono la cadenza della direttiva: preallarme di 24h, notifica di 72h e relazione finale di un mese. Il canale di segnalazione è il CFCS come CSIRT nazionale, con notifica parallela all'autorità responsabile di settore.
Il diritto locale si applica all'interno della Danimarca, distribuito su più autorità
Le operazioni sul territorio danese seguono il recepimento danese. Un Geschäftsführer tedesco che gestisce una controllata danese legge la NIS 2-loven e la legge settoriale pertinente per quella controllata, non il BSIG tedesco. A differenza della Germania con il BSI, la Danimarca non ha un'unica autorità di vigilanza cibernetica centrale. Quale Tilsynsmyndighed abbia competenza dipende dal settore principale dell'entità.
La Danimarca non può scendere al di sotto del livello minimo UE
La direttiva è uno strumento di armonizzazione minima. La Danimarca può andare più rigorosa e lo fa in parte, in particolare per il settore energetico tramite i propri obblighi di resilienza. La Danimarca non può scendere al di sotto della direttiva sugli obblighi dei soggetti essenziali e importanti, sui termini di segnalazione di incidenti o sulla responsabilità dell'organo di gestione ai sensi dell'articolo 20 NIS 2.
CFCS
Center for Cybersikkerhed. Parte di SAMSIK dal 29 gennaio 2025; solo le parti che si occupano delle operazioni cyber difensive operative e dei compiti della difesa sono rimaste al Ministero della Difesa. Gestisce il CSIRT nazionale, è il punto di contatto 24/7 per le segnalazioni di incidenti e il punto di contatto unico nella rete UE dei CSIRT. Il CFCS non è l'autorità di vigilanza generale della NIS 2; è l'autorità tecnica per la consapevolezza situazionale e la risposta.
SAMSIK e autorità settoriali
La Styrelsen for Samfundssikkerhed (SAMSIK) coordina la vigilanza NIS 2 ed è essa stessa autorità di vigilanza per le telecomunicazioni, l'amministrazione centrale, i comuni e parti del settore manifatturiero. Energistyrelsen vigila sull'energia, Finanstilsynet sulla finanza (con DORA come lex specialis), Trafikstyrelsen sui trasporti, Søfartsstyrelsen sul marittimo, Sundhedsdatastyrelsen sulla sanità. La registrazione si svolge settore per settore attraverso il punto di accesso comune virk.dk.
ENISA
L'agenzia dell'UE per la cybersicurezza. Pubblica orientamenti, gestisce il database europeo delle vulnerabilità e sostiene il coordinamento transfrontaliero. Non è un'autorità di vigilanza per le entità danesi; questo spetta alle autorità settoriali, coordinate da SAMSIK.
La Danimarca ha un'unica autorità di vigilanza cibernetica centrale come il BSI tedesco.
Non è così. La Danimarca gestisce la NIS 2 attraverso un modello settoriale. SAMSIK coordina e vigila su alcuni settori. Energia, finanza, trasporti, marittimo e sanità spettano alle proprie autorità responsabili di settore. Un'entità attiva in più settori può avere più autorità di vigilanza contemporaneamente. La logica del BSI tedesco non si trasferisce uno a uno.
Non abbiamo bisogno di registrarci; lo fa l'autorità per noi.
Sbagliato. L'autoregistrazione si svolge su virk.dk con MitID ed era obbligatoria entro il 1° ottobre 2025 per ogni entità nell'ambito della NIS 2-loven. La registrazione tardiva è comunque richiesta e comporta il rischio di sanzioni. Non vi è classificazione automatica senza una voce attiva.
Siamo un piccolo fornitore, l'autorità di vigilanza settoriale non ci guarderà.
Il test dimensionale si ferma per impostazione predefinita alle imprese medie e grandi, ma la direttiva include le piccole entità laddove siano il fornitore unico, laddove l'interruzione abbia impatto transfrontaliero, o laddove il diritto danese le aggiunga. Gli operatori di telecomunicazioni, i prestatori di servizi fiduciari, i fornitori di DNS e parti della pubblica amministrazione rientrano indipendentemente dalle dimensioni. La verifica di applicabilità deve essere svolta caso per caso, non solo in base alle dimensioni dell'impresa.
La maggior parte degli operatori danesi di fascia media che vediamo cerca istintivamente un unico punto di contatto. Non ce n'è. Se ti trovi in un settore regolamentato, parli principalmente con la tua autorità responsabile di settore. Se ti trovi al di fuori dei settori regolamentati o hai domande trasversali, ti rivolgi a SAMSIK. La segnalazione di incidenti passa tecnicamente attraverso il CFCS in parallelo con l'autorità settoriale. Il CEO o direktør è personalmente responsabile dell'approvazione della gestione del rischio e della propria formazione ai sensi dell'articolo 20 NIS 2.
La mossa pratica è la stessa che ovunque nell'UE: confermare l'ambito ai sensi della direttiva, chiarire il settore principale, registrarsi tramite virk.dk, impostare i quattro obblighi continui (mantenimento della registrazione, segnalazione di incidenti, rischio della catena di approvvigionamento, sorveglianza dell'organo di gestione) e documentare il minimo. Un'entità attiva in più settori documenta per settore, perché le autorità di vigilanza chiedono per settore.
- Direttiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 della Commissione
- Legge n. 434 del 6 maggio 2025 sulle misure per garantire un livello elevato di cybersicurezza (NIS 2-loven): Retsinformation
- Legge n. 258 del 6 marzo 2025 sulla sicurezza e preparazione nel settore energetico: Retsinformation
- Styrelsen for Samfundssikkerhed (SAMSIK): sito ufficiale samsik.dk
- Center for Cybersikkerhed (CFCS): CSIRT nazionale, cfcs.dk
- virk.dk: portale delle imprese danese per la registrazione NIS 2
- Commissione europea, parere motivato sul recepimento incompleto della NIS 2 da parte della Danimarca del 7 maggio 2025
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
