Responsabilità della direzione NIS2: cosa richiede il § 38 BSIG all'organo di gestione
La direzione deve attuare le misure di sicurezza previste dal § 30 BSIG, vigilare sulla loro attuazione e partecipare regolarmente a una formazione (§ 38 BSIG). Se viola questi obblighi con colpa e l'azienda subisce per questo un danno, la direzione ne risponde verso l'azienda. Vale il diritto societario, come per gli altri obblighi della direzione.
A chi si applica il § 38 BSIG
Il § 38 BSIG si applica alla direzione di ogni soggetto essenziale e di ogni soggetto importante. Così la legge chiama le aziende a cui si applica la NIS2.
Per direzione si intende chi gestisce l'attività e rappresenta l'azienda in base alla legge, allo statuto o al contratto sociale. In una GmbH sono gli amministratori (Geschäftsführer), in una AG il consiglio di gestione (Vorstand).
§ 2 n. 13 BSIG · § 38 BSIG
I tre obblighi
Il § 38 BSIG indica tre obblighi. I primi due sono al comma 1, il terzo al comma 3.
Attuare
La direzione fa in modo che le misure previste dal § 30 BSIG siano in atto in azienda, per esempio un piano di risposta agli incidenti, backup verificati o un secondo fattore all'accesso. Il lavoro vero e proprio possono farlo altri, come l'IT o un fornitore di servizi.
§ 38(1) BSIG
Vigilare
Verifica se le misure sono in atto e funzionano. La legge non dice con quale frequenza né in quale forma. Una riunione verbalizzata con data, esito e compiti è un modo ovvio per dimostrarlo.
§ 38(1) BSIG
Formarsi
Ogni membro della direzione partecipa regolarmente a una formazione. Lo scopo è individuare e valutare i rischi e giudicarne l'effetto sui servizi dell'azienda. La legge non fissa un numero di ore. La relazione illustrativa della legge intende “regolarmente” come una formazione offerta almeno ogni tre anni.
§ 38(3) BSIG
La direttiva UE lo formula in modo un po' diverso: gli organi di gestione approvano le misure e sovrintendono alla loro attuazione (Art. 20(1) NIS 2). La legge tedesca richiede alla direzione di attuarle.
Come funziona la responsabilità
Se la direzione viola questi obblighi e causa con colpa un danno all'azienda, ne risponde verso la propria azienda. Si parla di responsabilità interna: la pretesa spetta all'azienda, non a un'autorità o a un cliente.
La responsabilità segue il diritto societario della forma giuridica. Per una GmbH è il § 43 GmbHG, per una AG il § 93 AktG. Solo dove il diritto societario non ha una norma di questo tipo la direzione risponde in base al BSIG stesso.
Con colpa significa con dolo o per negligenza. Se esista una pretesa, e per quale importo, dipende dal singolo caso.
§ 38(2) BSIG · § 43 GmbHG · § 93 AktG
Cosa può fare l'autorità
Le sanzioni sono previste dal § 65 BSIG. Per violazioni delle misure o dell'obbligo di notifica, il limite massimo è di 10 milioni di euro per i soggetti essenziali e di 7 milioni di euro per i soggetti importanti. Sono importi massimi.
Per i soggetti essenziali, l'autorità di vigilanza competente può, come ultima risorsa, vietare temporaneamente a una direzione inaffidabile di esercitare le proprie funzioni. Il presupposto è che l'azienda non abbia seguito gli ordini del BSI nonostante una scadenza. Il divieto vale solo finché non li segue. Per i soggetti importanti la legge non lo prevede.
§ 61(9) BSIG · § 65 BSIG · Art. 32(5) NIS 2
Le sanzioni nel dettaglioCosa può affidare ad altri la direzione
Può affidare il lavoro: all'IT, a una persona che coordina la sicurezza delle informazioni o a un fornitore di servizi. L'obbligo di attuare e vigilare resta alla direzione. Il § 38 BSIG si rivolge alla direzione stessa.
Nessuno può seguire la formazione al posto della direzione. Ogni membro della direzione partecipa di persona.
Cosa significa per un'azienda con 50-150 dipendenti
Qui la direzione è spesso composta da una o due persone. Non deve predisporre le misure da sola. Deve sapere cosa è stato deciso e verificare che venga fatto.
Tieni traccia di tre cose: quali documenti la direzione ha approvato e quando, quando ha verificato lo stato l'ultima volta e cosa ha deciso, e l'ultima formazione di ciascun membro.
L'azienda deve comunque documentare che attua le misure. Gli stessi documenti mostrano che la direzione ha adempiuto ai propri obblighi.
§ 30(1), terzo periodo, BSIG
Un esempio
Un'azienda inventata: un produttore di sistemi di trasporto industriale con 90 dipendenti e due amministratori. La costruzione di macchinari figura nell'allegato 2 del BSIG, quindi l'azienda è un soggetto importante.
Gennaio: entrambi gli amministratori seguono un corso di formazione per la direzione. Annotano data, fornitore e contenuti.
Da febbraio ad aprile: il responsabile IT e il fornitore di servizi IT decidono le misure. Da qui nascono i documenti, come la politica di sicurezza e il piano di risposta agli incidenti.
Maggio: gli amministratori leggono i documenti e li approvano. Decidono di non attuare un punto e ne scrivono il motivo.
In seguito: una volta all'anno si siedono con il responsabile IT. Esaminano incidenti, punti aperti e i rischi maggiori e annotano chi fa cosa entro quando. L'intervallo l'ha scelto l'azienda; la legge non ne fissa uno.
Come lo fa il percorso guidato
Con il percorso guidato su nisd2.eu ottieni ciò che la direzione dovrebbe conservare per il § 38 BSIG.
Un passo registra l'ultima formazione di ciascun membro della direzione, con la data e, se c'è, l'attestato.
I documenti nascono dalle tue risposte, come la politica di sicurezza e il piano di risposta agli incidenti.
La direzione legge ogni documento e lo approva nell'app, accedendo con il proprio account. Nome e data compaiono poi su ogni documento.
Se decidi di non attuare un punto, scrivi il perché. Anche questa decisione la firma la direzione.
Il riesame della direzione registra quando la direzione ha verificato lo stato, cosa ha deciso e chi fa cosa entro quando.
Domande frequenti
La direzione risponde personalmente per la NIS2?
Risponde verso la propria azienda dei danni che causa violando con colpa i suoi obblighi previsti dal § 38(1) BSIG. Vale il diritto societario, per una GmbH il § 43 GmbHG. Se esista una pretesa dipende dal singolo caso.
Cosa richiede il § 38(3) BSIG?
Ogni membro della direzione partecipa regolarmente a una formazione, per individuare e valutare i rischi e giudicarne l'effetto sui servizi dell'azienda. La legge non prescrive durata, formato o fornitore. La relazione illustrativa intende “regolarmente” come almeno ogni tre anni.
La direzione può passare la responsabilità all'IT?
Il lavoro sì, l'obbligo no. Il § 38 BSIG obbliga la direzione ad attuare le misure e a vigilare su di esse. Può incaricare altri di farlo, ma deve verificare che venga fatto.
Vale anche per le piccole aziende?
Vale per ogni soggetto essenziale e per ogni soggetto importante. Se la tua azienda lo sia dipende dal settore e dalle dimensioni (§ 28 BSIG). Quante persone compongono la direzione non fa differenza.
Un'assicurazione D&O copre questo?
Dipende dalla singola polizza. Il BSIG non se ne occupa. Fai verificare le condizioni della tua polizza.
Fonti
- Legge sul BSI (BSIG) §§ 2 n. 13, 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
- Direttiva (UE) 2022/2555 (NIS 2), Art. 20 e 32, EUR-Lex
- Relazione illustrativa al NIS2UmsuCG, stampato del Bundestag 21/1501, p. 154 (sul § 38(3))
- § 43 GmbHG e § 93 AktG, gesetze-im-internet.de
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Risk Management
Write the security policy
A short policy that management approves.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
