§ 38 BSIG · Art. 20 NIS 2

§ 38 BSIG: povinnosti vedení, odstavec po odstavci

§ 38 BSIG má tři odstavce. Odstavec 1: vedení zavádí opatření podle § 30 BSIG a dohlíží na jejich zavádění. Odstavec 2: pokud to zaviněně poruší, odpovídá firmě podle práva obchodních společností. Odstavec 3: pravidelně se účastní školení. Zákon nepředepisuje délku ani konkrétního poskytovatele.

Začít

Raději si nejdřív promluvit?

Rozhoduje někdo jiný? Jedna stránka pro vaše vedení

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Znění, a co znamená

Zákon citujeme v německém originále, pod ním je jednoduchými slovy, co znamená.

Odstavec 1

Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

Jednoduchými slovy: Vedení zajistí, aby byla bezpečnostní opatření zavedena, a kontroluje, že se to děje.

Odstavec 2

Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.

Jednoduchými slovy: Pokud firmě vznikne škoda, protože vedení zaviněně porušilo odstavec 1, odpovídá jí za ni vedení. Jak, to určuje právo obchodních společností, u společnosti GmbH § 43 GmbHG.

Odstavec 3

Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

Jednoduchými slovy: Každý člen vedení se pravidelně učí rozpoznat a posoudit rizika v IT a odhadnout, co znamenají pro provoz.

Odstavec 3: školení vedení

Každý člen vedení se účastní osobně. Nikdo nemůže jít na školení místo něj.

Jak často: zákon říká „pravidelně“. Jeho důvodová zpráva to vykládá jako školení nabízená nejméně jednou za tři roky.

Jak dlouho a s kým: zákon nestanoví délku ani schválení poskytovatelů. Vyhovuje prezenční školení, online kurz, webinář i interní školení.

Zaznamenejte, kdo se kdy účastnil a co se probíralo. BSI může dodržování kontrolovat; u důležitých subjektů tehdy, když skutečnosti ukazují na porušení.

§ 38(3) BSIG · § 62 BSIG · tisk Spolkového sněmu 21/1501, s. 154

Odstavec 1: zavést a dohlížet

Zavést znamená: opatření z § 30 BSIG v provozu skutečně fungují. Práci mohou udělat jiní, třeba IT nebo poskytovatel služeb.

Dohlížet znamená: vedení kontroluje, zda jsou opatření zavedena a fungují. Jak často a v jaké formě, zákon nestanoví.

Směrnice EU navíc vyžaduje, aby vedení opatření schválilo (Art. 20(1) NIS 2). Německý zákon toto slovo nepoužívá. Vyžaduje zavedení.

§ 38(1) BSIG · Art. 20(1) NIS 2

Kdo se počítá do vedení

Vedením je každá fyzická osoba, která podle zákona, stanov nebo společenské smlouvy řídí obchody a zastupuje firmu. Ve společnosti GmbH jsou to jednatelé, v akciové společnosti (AG) představenstvo.

§ 30 BSIG říká, jaká opatření firma přijme. § 38 BSIG říká, kdo zajistí, že se to stane.

§ 2 č. 13 BSIG

Jak funguje odpovědnost podrobně

Příklad

Smyšlená firma: výrobce elektromotorů se 140 zaměstnanci a třemi jednateli.

Technický ředitel absolvuje prezenční školení u vzdělávací instituce a dostane potvrzení o účasti.

Finanční ředitel absolvuje online kurz a certifikát si uloží jako PDF.

Obchodní ředitel se zúčastní webináře svého oborového svazu. Certifikát nedostane; zaznamená datum a téma.

Každý z nich má v záznamech jeden řádek: kdo, kdy, jaké školení, jaká témata. Další kolo firma plánuje nejpozději za tři roky.

Jak to probíhá v průvodci

Průvodce na nisd2.eu zaznamená, co § 38 BSIG vyžaduje od vedení.

Jeden krok zaznamená poslední školení každého člena vedení: jeden řádek na osobu, s datem a druhem školení.

Můžete přiložit certifikát. Po webináři někdy žádný není.

nisd2.eu nabízí kurz pro vedení. Můžete si ale vybrat i jakéhokoli jiného poskytovatele.

Přezkum vedením zaznamená, kdy vedení zkontrolovalo stav, co rozhodlo a kdo co udělá a do kdy.

Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem.

Zaznamenat školení vašeho vedení

Časté otázky

Jak často se musí vedení školit?

Zákon říká „pravidelně“. Důvodová zpráva to vykládá jako školení nabízená nejméně jednou za tři roky (tisk Spolkového sněmu 21/1501, s. 154).

Jak dlouho musí školení podle § 38(3) BSIG trvat?

Zákon nestanoví žádnou minimální délku. Rozhoduje cíl: umět rozpoznat a posoudit rizika a odhadnout jejich dopad na služby firmy.

Potřebuje poskytovatel školení schválení?

Ne. Zákon nevyžaduje schválení ani certifikát.

Platí § 38 BSIG pro každou společnost GmbH?

Pro jednatele každé společnosti GmbH, která je základním nebo důležitým subjektem. Zda jím je, závisí na odvětví a velikosti (§ 28 BSIG).

Za co vedení odpovídá podle § 38(2) BSIG?

Za škodu vlastní firmě, kterou způsobí zaviněným porušením svých povinností podle odstavce 1. Odpovědnost se řídí právem obchodních společností pro danou právní formu.

Zdroje

Zákon o BSI (BSIG) § 2 č. 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
Směrnice (EU) 2022/2555 (NIS 2), Art. 20, EUR-Lex
Důvodová zpráva k NIS2UmsuCG, tisk Spolkového sněmu 21/1501, s. 154 (k § 38(3))
§ 43 GmbHG, gesetze-im-internet.de

V praxi

Kde se to objevuje v průvodci

Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.

Samotný průvodce je v němčině a angličtině.

Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.