§ 38 BSIG: gli obblighi della direzione, comma per comma
Il § 38 BSIG ha tre commi. Comma 1: la direzione attua le misure previste dal § 30 BSIG e vigila sulla loro attuazione. Comma 2: se lo viola con colpa, risponde verso l'azienda secondo il diritto societario. Comma 3: partecipa regolarmente a una formazione. La legge non prescrive né una durata né un fornitore particolare.
Il testo, e cosa significa
La legge è citata nell'originale tedesco, con sotto il suo significato in parole semplici.
Comma 1
Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.In parole semplici: La direzione fa in modo che le misure di sicurezza siano attuate e verifica che ciò avvenga.
Comma 2
Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.In parole semplici: Se l'azienda subisce un danno perché la direzione ha violato con colpa il comma 1, la direzione ne risponde verso l'azienda. Il come lo regola il diritto societario, per una GmbH il § 43 GmbHG.
Comma 3
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.In parole semplici: Ogni membro della direzione impara regolarmente a individuare e valutare i rischi informatici e a giudicare cosa significano per l'attività.
Comma 3: la formazione della direzione
Ogni membro della direzione partecipa di persona. Nessuno può partecipare al suo posto.
Con quale frequenza: la legge dice “regolarmente”. La sua relazione illustrativa lo intende come una formazione offerta almeno ogni tre anni.
Quanto deve durare e con chi: la legge non fissa né una durata né un'abilitazione per i fornitori. Vanno bene un corso in aula, un corso online, un webinar o una formazione interna.
Annota chi ha partecipato, quando e quali contenuti sono stati trattati. Il BSI può verificare il rispetto dell'obbligo; per i soggetti importanti, quando dei fatti indicano una violazione.
§ 38(3) BSIG · § 62 BSIG · stampato del Bundestag 21/1501, p. 154
Comma 1: attuare e vigilare
Attuare significa: le misure del § 30 BSIG sono in atto in azienda. Il lavoro possono farlo altri, come l'IT o un fornitore di servizi.
Vigilare significa: la direzione verifica se le misure sono in atto e funzionano. La legge non dice con quale frequenza né in quale forma.
La direttiva UE richiede anche che gli organi di gestione approvino le misure (Art. 20(1) NIS 2). La legge tedesca non usa questa parola. Richiede l'attuazione.
§ 38(1) BSIG · Art. 20(1) NIS 2
Chi fa parte della direzione
La direzione è ogni persona fisica che gestisce l'attività e rappresenta l'azienda in base alla legge, allo statuto o al contratto sociale. In una GmbH sono gli amministratori (Geschäftsführer), in una AG il consiglio di gestione (Vorstand).
Il § 30 BSIG dice quali misure adotta l'azienda. Il § 38 BSIG dice chi fa in modo che ciò avvenga.
§ 2 n. 13 BSIG
Come funziona la responsabilità nel dettaglioUn esempio
Un'azienda inventata: un produttore di motori elettrici con 140 dipendenti e tre amministratori.
Il direttore tecnico segue un corso in aula presso un ente di formazione e riceve un attestato di partecipazione.
Il direttore finanziario segue un corso online e salva l'attestato in PDF.
Il direttore commerciale partecipa a un webinar della sua associazione di categoria. Non c'è un attestato; annota data e argomento.
Ognuno ha una riga nei registri: chi, quando, quale formazione, quali argomenti. L'azienda pianifica il turno successivo al più tardi tre anni dopo.
Come lo fa il percorso guidato
Il percorso guidato su nisd2.eu registra ciò che il § 38 BSIG richiede alla direzione.
Un passo registra l'ultima formazione di ciascun membro della direzione: una riga per persona, con data e tipo di formazione.
Puoi allegare un attestato. Dopo un webinar a volte non c'è.
nisd2.eu offre un corso per la direzione. Puoi anche scegliere qualsiasi altro fornitore.
Il riesame della direzione registra quando la direzione ha verificato lo stato, cosa ha deciso e chi fa cosa entro quando.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account.
Domande frequenti
Con quale frequenza deve formarsi la direzione?
La legge dice “regolarmente”. La relazione illustrativa lo intende come una formazione offerta almeno ogni tre anni (stampato del Bundestag 21/1501, p. 154).
Quanto deve durare la formazione secondo il § 38(3) BSIG?
La legge non fissa una durata minima. Conta lo scopo: saper individuare e valutare i rischi e giudicarne l'effetto sui servizi dell'azienda.
Il fornitore della formazione ha bisogno di un'abilitazione?
No. La legge non richiede né un'abilitazione né una certificazione.
Il § 38 BSIG si applica a ogni GmbH?
Agli amministratori di ogni GmbH che sia un soggetto essenziale o importante. Se lo sia dipende dal settore e dalle dimensioni (§ 28 BSIG).
Di cosa risponde la direzione secondo il § 38(2) BSIG?
Dei danni alla propria azienda causati violando con colpa i suoi obblighi previsti dal comma 1. La responsabilità segue il diritto societario della forma giuridica.
Fonti
- Legge sul BSI (BSIG) § 2 n. 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
- Direttiva (UE) 2022/2555 (NIS 2), Art. 20, EUR-Lex
- Relazione illustrativa al NIS2UmsuCG, stampato del Bundestag 21/1501, p. 154 (sul § 38(3))
- § 43 GmbHG, gesetze-im-internet.de
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
