NIS2 Denemarken: Wat betekent het voor uw organisatie en hoe voldoet u?

Wat betekent dit voor mijn bedrijf?

1. Registratie

De toezichthoudende autoriteit dient een lijst bij te houden van de essentiële en belangrijke entiteiten onder haar bevoegdheid. Essentiële en belangrijke entiteiten dienen zich te registreren bij de relevante  toezichthoudende autoriteit binnen uiterlijk 2 weken nadat de entiteit binnen het toepassingsgebied van de Deense NIS2-wet valt. De entiteiten dienen de relevante autoriteit(en) te voorzien van volgende informatie:

• Naam van de entiteit
• Adres, e-mailadressen, telefoonnummers en andere contactgegevens
• IP-adresbereik
• Sector en subsector (zie bijlage I en II van de NIS2-wet)
• Lijst van lidstaten van de EU waar de entiteit diensten verleent die onder de NIS2-wet vallen

Wijzigingen in bovenstaande gegevens dienen onmiddellijk en binnen de 2 weken na de wijziging gemeld worden.

DNS -dienstverleners, beheerders van topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten leveren en aanbieders van cloudcomputingdiensten, datacenterdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor sociale netwerkdiensten dienen zich bij de relevante bevoegde autoriteit te registreren binnen uiterlijk 3 maanden nadat de entiteit binnen het toepassingsgebied van de Deense NIS2-wet valt. Volgende informatie dient te worden voorzien:

• Naam van de entiteit
• Adres van de hoofdvestiging en andere vestigingen in de EU of adres van de vertegenwoordiger
• Sector en subsector (zie bijlage I en II van de NIS2-wet)
• Adres, e-mailadressen, telefoonnummers en andere contactgegevens
• IP-adresbereik
• Lijst van lidstaten van de EU waar de entiteit diensten verleent die onder de NIS2-wet vallen

Bovenvermelde gegevens dienen uiterlijk op 1 oktober 2025 te worden ingediend.

Registreer uw entiteit hier.

2. Beheersmaatregelen

Als uw organisatie gecategoriseerd is als essentiële of belangrijke entiteit, betekent dit dat u verantwoordelijk bent voor het implementeren van passende technische en organisatorische maatregelen om de beveiliging van uw netwerk- en informatiesystemen te waarborgen. Deze cybersecurity beheersmaatregelen betreffen minstens:

• Beleid voor risicoanalyse en beveiliging van communicatienetwerken en informatiesystemen
• Incidentenbeheer
• Bedrijfscontinuïteit en crisisbeheer en indien nodig, het gebruik van beveiligde back-upsystemen
• Beveiliging van toeleveringsketen
• Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden
• Beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen
• Beveiligingsaspecten ten aanzien van cyberhygiëne en cyberbeveiligingstraining
• Beleid en procedures over het cryptografie en in voorkomend geval encryptie
• Personeelsbeveiliging, toegangscontrolebeleid en activabeheer
• Gebruik van multifactorauthenticatie of continue authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit, indien van toepassing.

De Europese commissie heeft in de uitvoeringsverordening 2024/2690 de bovenstaande minimummaatregelen voor cyberbeveiliging uitgewerkt voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten.

Meer informatie omtrent beheersmaatregelen kan u hier vinden.

3. Rapportageverplichting van significante incidenten

Belangrijke en essentiële entiteiten zijn vanaf 1 juli 2025 verplicht de sectorverantwoordelijke autoriteit en het CSIRT in kennis te stellen wanneer zich een significant incident voordoet. Daarnaast dienen zij ook de ontvangers van hun diensten op de hoogte te brengen indien het significant incident de verlening van de diensten betreffende de (sub)sectoren van bijlage I en II affecteert.

Een incident wordt als significant beschouwd, wanneer

• Het incident heeft geleid of kan leiden tot ernstige verstoring van de dienstverlening of financiële verliezen voor de getroffen entiteit of
• Het incident heeft andere natuurlijke of rechtspersonen getroffen of kan andere natuurlijke of rechtspersonen treffen door het veroorzaken van aanzienlijke fysieke of immateriële schade.

Het significante incident wordt door de essentiële en belangrijke entiteit gemeld via een online formulier volgens volgende procedure:

1. onmiddellijk en binnen de 24 uur nadat zij kennis heeft gekregen van het significante incident, dient de entiteit  een vroegtijdige waarschuwing in, met melding van vermoedelijke oorzaak en eventuele grensoverschrijdende gevolgen;
2. onmiddellijk en binnen de 72 uur nadat zij kennis heeft gekregen van het significante incident, communiceert de entiteit een incidentenmelding dat een informatie update bevat en een initiële beoordeling van het incident;
3.  op verzoek van het bevoegde CSIRT dient de entiteit een tussentijds verslag in;
4. Uiterlijk 1 maand na de incidentenmelding dient de entiteit een eindverslag in met vermelding van:
   1. Een gedetailleerde beschrijving van het incident, alsook de ernst en de gevolgen ervan;
   2. Het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;
   3. Toegepaste en lopende risicobeperkende maatregelen;
   4. De grensoverschrijdende gevolgen van het incident, indien van toepassing.
5. Indien het incident nog lopende is een maand na de incidentenmelding, dient de entiteit een voorgangsverslag in en binnen de maand na de afhandeling van incident wordt een eindverslag ingediend.

De Europese commissie heeft in de uitvoeringsverordening 2024/2690 de criteria voor een significant incident bepaald voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor sociale netwerkdiensten, en verleners van vertrouwensdiensten. Deze bijzondere regels hebben voorrang op de nationale regels in het geval van tegenstrijdigheden. 

Tot slot kunnen alle entiteiten, ongeacht  of zij vallen binnen het toepassingsgebied van de NIS2-wet vrijwillig (significante) incidenten, cyberdreigingen en bijna-incidenten melden via de e-service.  

Meer informatie omtrent incident meldingen kan u hier vinden.

4. Verplichtingen en verantwoordelijkheden van het management

De bestuursorganen van essentiële en belangrijke entiteiten zijn verantwoordelijk voor de naleving van de NIS2-wet en dienen verschillende verplichtingen na te komen waaronder:

• Goedkeuren van de beheersmaatregelen voor cyberbeveiliging en toezicht houden op de naleving ervan
• Volgen van training om over voldoende kennis en vaardigheden te beschikken om risico’s te kunnen identificeren en beheersmaatregelen en de impact ervan op hun diensten te kunnen beoordelen
• Voortdurend bijscholen van de werknemers van de cyber security entiteit op het gebied van cyber security

De bestuursorganen zijn aansprakelijk bij niet-naleving van de NIS2-wet.

5. Samenwerken met autoriteiten

Essentiële en belangrijke entiteiten dienen samen te werken met de nationale autoriteiten. Betreft het uitwisselen van informatie over de beveiliging van netwerk- en informatiesystemen, rapporteren van incidenten, samenwerking met de inspectiedienst enzovoort.

Meer informatie omtrent de vereisten waaraan u als NIS2-entiteit dient te voldoen kan u terugvinden op de website van Digitaliseringsstyrelsen.