§ 38 BSIG: los deberes de la dirección, apartado por apartado
El § 38 BSIG tiene tres apartados. Apartado 1: la dirección implementa las medidas del § 30 BSIG y supervisa su implementación. Apartado 2: si lo incumple de forma culpable, responde ante la empresa según el Derecho de sociedades. Apartado 3: participa periódicamente en formaciones. La ley no prescribe ni una duración ni un proveedor determinado.
El texto, y lo que significa
La ley se cita en su original alemán. Debajo está lo que significa, en palabras sencillas.
Apartado 1
Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.En palabras sencillas: La dirección se asegura de que las medidas de seguridad se implementen y comprueba que así sea.
Apartado 2
Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.En palabras sencillas: Si la empresa sufre un daño porque la dirección incumplió de forma culpable el apartado 1, la dirección responde ante ella. El Derecho de sociedades regula cómo; en una GmbH, el § 43 GmbHG.
Apartado 3
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.En palabras sencillas: Cada miembro de la dirección aprende periódicamente a identificar y evaluar los riesgos informáticos y a valorar lo que significan para el negocio.
Apartado 3: formación de la dirección
Cada miembro de la dirección participa personalmente. Nadie puede asistir en su lugar.
Con qué frecuencia: la ley dice «periódicamente». Su exposición de motivos lo interpreta como una formación ofrecida al menos cada tres años.
Cuánto dura y con quién: la ley no fija ni una duración ni una autorización para los proveedores. Sirven una formación presencial, un curso en línea, un seminario web o una formación interna.
Deje constancia de quién participó, cuándo y qué se trató. El BSI puede comprobar el cumplimiento; en las entidades importantes, cuando haya hechos que apunten a un incumplimiento.
§ 38(3) BSIG · § 62 BSIG · documento del Bundestag 21/1501, p. 154
Apartado 1: implementar y supervisar
Implementar significa: las medidas del § 30 BSIG están en marcha en la empresa. El trabajo pueden hacerlo otros, como el área de TI o un proveedor de servicios.
Supervisar significa: la dirección comprueba si las medidas están en marcha y funcionan. La ley no fija con qué frecuencia ni de qué forma.
La directiva de la UE exige además que la dirección apruebe las medidas (art. 20(1) NIS 2). La ley alemana no usa esa palabra. Exige la implementación.
§ 38(1) BSIG · Art. 20(1) NIS 2
Quién forma parte de la dirección
La dirección es toda persona física que dirige el negocio y representa a la empresa según la ley, los estatutos o el contrato de sociedad. En una GmbH son los gerentes; en una AG, el consejo de dirección.
El § 30 BSIG dice qué medidas toma la empresa. El § 38 BSIG dice quién se asegura de que se tomen.
§ 2 n.º 13 BSIG
Cómo funciona la responsabilidad, en detalleUn ejemplo
Una empresa inventada: un fabricante de motores eléctricos con 140 empleados y tres gerentes.
El director técnico asiste a una formación presencial en un centro de formación y recibe un certificado de asistencia.
El director financiero hace un curso en línea y guarda el certificado en PDF.
El director comercial asiste a un seminario web de su asociación sectorial. No hay certificado; anota la fecha y el tema.
Cada uno tiene una línea en los registros: quién, cuándo, qué formación, qué temas. La empresa planifica la siguiente ronda como muy tarde tres años después.
Cómo lo hace el recorrido guiado
El recorrido guiado de nisd2.eu deja constancia de lo que el § 38 BSIG exige a la dirección.
Un paso registra la última formación de cada miembro de la dirección: una línea por persona, con la fecha y el tipo de formación.
Puede adjuntar un certificado. Tras un seminario web, a veces no lo hay.
nisd2.eu ofrece un curso para la dirección. También puede elegir cualquier otro proveedor.
La revisión por la dirección registra cuándo revisó la dirección el estado, qué decidió y quién hace qué y para cuándo.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta.
Preguntas frecuentes
¿Con qué frecuencia debe formarse la dirección?
La ley dice «periódicamente». La exposición de motivos lo interpreta como una formación ofrecida al menos cada tres años (documento del Bundestag 21/1501, p. 154).
¿Cuánto debe durar la formación del § 38(3) BSIG?
La ley no fija una duración mínima. Lo que cuenta es el objetivo: poder identificar y evaluar los riesgos y valorar su efecto en los servicios de la empresa.
¿Necesita el proveedor de la formación una autorización?
No. La ley no exige ni una autorización ni un certificado.
¿Se aplica el § 38 BSIG a toda GmbH?
A los gerentes de toda GmbH que sea una entidad esencial o importante. Que lo sea depende del sector y del tamaño (§ 28 BSIG).
¿De qué responde la dirección según el § 38(2) BSIG?
Del daño a su propia empresa causado por un incumplimiento culpable de sus deberes del apartado 1. La responsabilidad sigue el Derecho de sociedades de la forma jurídica.
Fuentes
- Ley del BSI (BSIG) § 2 n.º 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), art. 20, EUR-Lex
- Exposición de motivos de la NIS2UmsuCG, documento del Bundestag 21/1501, p. 154 (sobre el § 38(3))
- § 43 GmbHG, gesetze-im-internet.de
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
