NIS2 en Danemark

1. Vue d’ensemble rapide de l’applicabilité aux PME au Danemark

La NIS2 s'applique-t-elle aux PME en 1. Vue d’ensemble rapide de l’applicabilité aux PME au Danemark ?

Oui — selon le secteur et la taille.

• Applicabilité automatique aux entités de taille moyenne (≥50 employés et ≥€10 million de chiffre d'affaires ou de total de bilan) exerçant des activités dans les secteurs couverts.
• Les petites ou microentités ne sont incluses que si elles sont formellement désignées ou si elles exercent des activités dans des secteurs à haute criticité.
• S’applique aux entités établies au Danemark et, dans certains cas, aux prestataires numériques étrangers offrant des services au Danemark.

Les PME doivent évaluer leur éligibilité au titre du cadre national de cybersécurité du Danemark en fonction de la classification sectorielle et des seuils légaux de taille.

2. Aperçu de la mise en œuvre de NIS2 au Danemark

Le Danemark met en œuvre la directive au moyen de modifications de la Act on Network and Information Security, qui constitue le noyau du cadre national de cybersécurité.

La législation révisée aligne le régime danois sur la Directive (UE) 2022/2555 et renforce les obligations relatives à la gouvernance, à la gestion des risques, au signalement et aux sanctions.

Le cadre actualisé s’appuie sur le modèle danois de supervision sectorielle existant, en intégrant les exigences de la directive dans les structures réglementaires établies.

3. Champ d’application au Danemark

Le champ d’application du Danemark reflète les catégories minimales de la directive, sans extension confirmée au-delà du socle.

4. Seuils de taille et applicabilité aux PME au Danemark

Les seuils de base s'appliquent :

• ≥50 employés, et
• ≥€10 million de chiffre d'affaires annuel ou de total de bilan.

Les entités remplissant les deux critères dans les secteurs couverts entrent automatiquement dans le champ d’application.

Les petites et microentreprises peuvent être désignées si elles sont jugées critiques pour la stabilité sociétale ou économique.

Les autorités danoises conservent des pouvoirs formels de désignation lorsque des risques systémiques ou des considérations de sécurité nationale justifient une inclusion.

5. Cadre de classification des entités au Danemark

Les entités sont classées comme suit :

• Entités essentielles — Soumises à une supervision proactive, incluant des inspections et un contrôle structuré de la conformité.
• Entités importantes — Principalement soumises à une supervision réactive, généralement déclenchée par des incidents ou des indices de non-conformité.

La classification est déterminée par le secteur et la taille. Les autorités compétentes peuvent reclasser des entités lorsque l’exposition au risque ou l’impact opérationnel justifie une supervision plus stricte.

Le Danemark maintient une structure de supervision sectorielle alignée sur le modèle à deux niveaux de la directive.

6. Exigences de gestion des risques de cybersécurité au Danemark

Le régime national du Danemark est aligné sur le socle de la directive en matière de gestion des risques de cybersécurité. Les entités concernées doivent mettre en œuvre des mesures techniques et organisationnelles proportionnées portant sur :

• Analyse des risques et protection des systèmes
• Détection et réponse aux incidents
• Continuité d’activité et gestion de crise
• Contrôles des risques de la chaîne d’approvisionnement NIS2 au Danemark
• Acquisition et développement sécurisés des systèmes TIC
• Contrôle d’accès et gestion des identités
• Chiffrement et protections cryptographiques
• Gestion et divulgation des vulnérabilités
• Sensibilisation et formation du personnel à la cybersécurité

Les mesures doivent refléter l’état de l’art et le profil de risque de l’organisation. L’alignement sur ISO/IEC 27001 et sur les orientations danoises en matière de cybersécurité est encouragé.

La gestion des risques de la chaîne d’approvisionnement exige une diligence raisonnable à l’égard des tiers et des garanties contractuelles.

7. Responsabilité de la direction et gouvernance au Danemark

Les organes de direction doivent approuver formellement les mesures de gestion des risques de cybersécurité et en superviser la mise en œuvre.

Dans le cadre danois :

• Les conseils d’administration sont responsables de la supervision de la conformité.
• La haute direction doit garantir un niveau de compétence suffisant en cybersécurité.
• Des sanctions administratives peuvent viser les manquements de gouvernance.
• La suspension temporaire de fonctions managériales peut être prévue dans le cadre de mécanismes d’exécution alignés sur la directive.

Les attentes en matière de responsabilité de la direction au titre de NIS2 au Danemark élèvent la gouvernance de la cybersécurité au niveau du conseil d’administration.

8. Obligations de notification des incidents au Danemark

9. Autorités de contrôle et modèle d'application au Danemark

Autorité principale : Danish Centre for Cyber Security (CFCS).

Le Danemark applique un modèle de supervision fondé sur les secteurs, coordonné par le CFCS, les ministères et régulateurs compétents exerçant une surveillance propre à chaque secteur.

Supervisory powers include:

• Demandes d'informations
• Audits de sécurité
• Inspections sur site
• Instructions de conformité contraignantes
• Participation à la coordination européenne en cybersécurité

La structure d'application s'articule avec les exigences de coordination au niveau de la Directive.

10. Amendes et sanctions NIS2 au Danemark

Le Danemark applique des sanctions administratives alignées sur la Directive.

L'application des amendes NIS2 au Danemark peut également inclure :

• Injonctions correctives contraignantes
• Identification publique des entités non conformes
• Suspension de certifications ou d'autorisations
• Pouvoirs de suspension des dirigeants

11. Sécurité de la chaîne d'approvisionnement et des fournisseurs NIS2 au Danemark

Les entités doivent gérer l'exposition aux risques de cybersécurité des tiers au moyen de :

• Évaluations des risques fournisseurs
• Clauses contractuelles de répercussion des exigences de sécurité
• Surveillance continue des fournisseurs TIC
• Analyse du risque de concentration
• Atténuation de la propagation des incidents

L'approche du Danemark est alignée sur les attentes de base de la Directive en matière de gestion des risques liés aux fournisseurs.

12. Obligations d'enregistrement et d'auto-identification au Danemark

Entities within scope must:

• S'enregistrer auprès des autorités compétentes
• Fournir les informations d'identification de l'entité
• Déclarer la classification sectorielle
• Maintenir à jour les coordonnées

Les délais procéduraux suivent le cadre de mise en œuvre du Danemark. À l'état actuel de la transposition, le Danemark suit le cadre de référence de la NIS2 Directive. Les modalités nationales de mise en œuvre peuvent affiner certaines obligations.

L'auto-identification est obligatoire lorsque les entités atteignent les seuils légaux.

13. Interaction avec le GDPR et d'autres lois au Danemark

Le General Data Protection Regulation continue de s'appliquer concomitamment.

Les domaines de chevauchement comprennent :

• Notification de violation de données à caractère personnel dans les 72 heures
• Coordination des autorités de contrôle
• Enquêtes parallèles en cybersécurité et en protection des données
• Législation danoise en cybersécurité propre à certains secteurs

Un incident cyber peut entraîner des obligations de notification au titre des deux régimes.

14. Applicabilité transfrontalière

Les entités dont l'établissement principal se situe au Danemark sont supervisées par les autorités danoises pour les services transfrontaliers.

Les prestataires numériques étrangers offrant des services au Danemark peuvent être soumis à la supervision danoise selon leur structure d'établissement.

Les exigences de représentation suivent les normes de la Directive pour les prestataires hors UE desservant les marchés danois.

15. Calendrier de mise en œuvre au Danemark

• Adoption de la Directive : 2022
• Modifications législatives nationales : 2024–2025
• Entrée en vigueur : À la publication nationale
• Notification à la Commission : Conformément aux procédures de l'UE
• Jalons de conformité : Délais alignés sur la Directive

Le calendrier de transposition du Danemark est aligné sur les exigences de mise en œuvre de l'UE.

16. Points essentiels pour les PME au Danemark

• Les entités de taille moyenne dans les secteurs couverts sont automatiquement dans le champ d'application.
• Les petites entités peuvent être désignées si elles sont opérationnellement critiques.
• La supervision de la gouvernance au niveau du conseil est obligatoire.
• La notification des incidents suit des délais de 24h / 72h / 1 mois.
• Les sanctions financières peuvent atteindre €10 million ou 2% du chiffre d'affaires mondial.
• La gestion des risques liés aux fournisseurs est une obligation centrale.
• Une planification précoce de la conformité réduit l'exposition aux mesures d'exécution.

FAQ : Guide NIS2 pour les PME au Danemark