§ 38 BSIG : les obligations de la direction, alinéa par alinéa
Le § 38 BSIG comporte trois alinéas. Alinéa 1 : la direction met en œuvre les mesures prévues au § 30 BSIG et surveille leur mise en œuvre. Alinéa 2 : si elle y manque par sa faute, elle en répond envers l'entreprise selon le droit des sociétés. Alinéa 3 : elle suit régulièrement une formation. La loi ne prescrit ni durée ni organisme particulier.
Le texte, et ce qu'il signifie
La loi est citée dans sa version originale allemande, avec en dessous ce qu'elle signifie en mots simples.
Alinéa 1
Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.En mots simples: La direction veille à ce que les mesures de sécurité soient mises en œuvre et vérifie que cela se fait.
Alinéa 2
Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.En mots simples: Si l'entreprise subit un dommage parce que la direction a manqué par sa faute à l'alinéa 1, la direction en répond envers elle. Le droit des sociétés règle comment, pour une GmbH le § 43 GmbHG.
Alinéa 3
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.En mots simples: Chaque membre de la direction apprend régulièrement à identifier et à évaluer les risques informatiques et à juger ce qu'ils signifient pour l'activité.
Alinéa 3 : la formation de la direction
Chaque membre de la direction participe en personne. Personne ne peut y assister à sa place.
À quelle fréquence : la loi dit « régulièrement ». Son exposé des motifs y voit des formations proposées au moins tous les trois ans.
Combien de temps et avec qui : la loi ne fixe ni durée ni agrément des organismes. Une formation en présentiel, un cours en ligne, un webinaire ou une formation interne conviennent tous.
Consignez qui a participé, quand, et ce qui a été traité. Le BSI peut contrôler le respect de l'obligation ; pour les entités importantes, lorsque des faits indiquent un manquement.
§ 38(3) BSIG · § 62 BSIG · document du Bundestag 21/1501, p. 154
Alinéa 1 : mettre en œuvre et surveiller
Mettre en œuvre signifie : les mesures du § 30 BSIG sont en place dans l'entreprise. D'autres peuvent faire le travail, comme l'informatique ou un prestataire.
Surveiller signifie : la direction vérifie si les mesures sont en place et si elles fonctionnent. La loi ne fixe ni la fréquence ni la forme.
La directive européenne exige aussi que la direction approuve les mesures (art. 20(1) NIS 2). La loi allemande n'emploie pas ce mot. Elle exige la mise en œuvre.
§ 38(1) BSIG · Art. 20(1) NIS 2
Qui fait partie de la direction
La direction, c'est toute personne physique qui dirige les affaires et représente l'entreprise selon la loi, les statuts ou le contrat de société. Dans une GmbH, ce sont les gérants, dans une AG le directoire.
Le § 30 BSIG dit quelles mesures l'entreprise prend. Le § 38 BSIG dit qui veille à ce que cela se fasse.
§ 2 n° 13 BSIG
Comment fonctionne la responsabilité en détailUn exemple
Une entreprise fictive : un fabricant de moteurs électriques de 140 salariés avec trois gérants.
La gérante chargée de la technique suit une formation en présentiel auprès d'un organisme de formation et reçoit une attestation de participation.
Le gérant chargé des finances suit un cours en ligne et enregistre le certificat en PDF.
Le gérant chargé des ventes participe à un webinaire de sa fédération professionnelle. Il n'y a pas d'attestation ; il note la date et le thème.
Chacun a une ligne dans les documents : qui, quand, quelle formation, quels thèmes. L'entreprise prévoit la session suivante au plus tard trois ans plus tard.
Comment cela se passe dans le parcours guidé
Le parcours guidé sur nisd2.eu consigne ce que le § 38 BSIG exige de la direction.
Une étape consigne la dernière formation de chaque membre de la direction : une ligne par personne, avec la date et le type de formation.
Vous pouvez joindre une attestation. Après un webinaire, il n'y en a parfois pas.
nisd2.eu propose un cours pour la direction. Vous pouvez aussi choisir n'importe quel autre organisme.
La revue de direction consigne quand la direction a examiné l'état, ce qu'elle a décidé et qui fait quoi et pour quand.
À la fin, la direction approuve les documents dans l'application, connectée avec son propre compte.
Questions fréquentes
À quelle fréquence la direction doit-elle être formée ?
La loi dit « régulièrement ». L'exposé des motifs y voit des formations proposées au moins tous les trois ans (document du Bundestag 21/1501, p. 154).
Combien de temps doit durer une formation au titre du § 38(3) BSIG ?
La loi ne fixe pas de durée minimale. Ce qui compte, c'est le but : être capable d'identifier et d'évaluer les risques et de juger leur effet sur les services de l'entreprise.
L'organisme de formation a-t-il besoin d'un agrément ?
Non. La loi n'exige ni agrément ni certificat.
Le § 38 BSIG s'applique-t-il à chaque GmbH ?
Aux gérants de chaque GmbH qui est une entité essentielle ou importante. Cela dépend du secteur et de la taille (§ 28 BSIG).
De quoi la direction répond-elle au titre du § 38(2) BSIG ?
Du dommage causé à sa propre entreprise par un manquement fautif à ses obligations au titre de l'alinéa 1. La responsabilité suit le droit des sociétés de la forme juridique.
Sources
- Loi BSI (BSIG) § 2 n° 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
- Directive (UE) 2022/2555 (NIS 2), art. 20, EUR-Lex
- Exposé des motifs du NIS2UmsuCG, document du Bundestag 21/1501, p. 154 (sur le § 38(3))
- § 43 GmbHG, gesetze-im-internet.de
En pratique
Où cela apparaît dans le parcours guidé
Le parcours guidé en fait des étapes que vous remplissez, avec la loi expliquée à côté de chacune. Ouvrez une étape pour voir son écran, rempli pour une entreprise fictive.
Le parcours lui-même est en allemand et en anglais.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ce que coûte le parcours guidé
4 800 € HT par an, TVA en sus
Remboursement sous 30 joursSur facture, payable sous 30 jours. Résiliation dans les 30 premiers jours : facture annulée ou remboursement.
Mise en œuvre guidée de NIS 2, étape par étape
Un historique des modifications et des validations à présenter à votre autorité de contrôle
Échéances et rappels pour chaque exigence
Questionnaire de sécurité pour vos fournisseurs
Export en PDF ou CSV à tout moment
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
