§ 38 BSIG: de plichten van de directie, lid voor lid
§ 38 BSIG heeft drie leden. Lid 1: de directie voert de maatregelen volgens § 30 BSIG in en houdt toezicht op de invoering. Lid 2: schendt zij dat verwijtbaar, dan is zij volgens het vennootschapsrecht aansprakelijk tegenover het bedrijf. Lid 3: zij volgt regelmatig een training. De wet schrijft geen duur en geen bepaalde aanbieder voor.
De tekst, en wat hij betekent
De wet staat hier in het Duitse origineel, met daaronder wat ze in eenvoudige woorden betekent.
Lid 1
Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.In eenvoudige woorden: De directie zorgt ervoor dat de beveiligingsmaatregelen worden ingevoerd en gaat na of dat gebeurt.
Lid 2
Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.In eenvoudige woorden: Lijdt het bedrijf schade omdat de directie lid 1 verwijtbaar heeft geschonden, dan is de directie er aansprakelijk voor. Hoe, regelt het vennootschapsrecht, voor een GmbH § 43 GmbHG.
Lid 3
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.In eenvoudige woorden: Elk lid van de directie leert regelmatig IT-risico's te herkennen en te beoordelen, en in te schatten wat ze voor het bedrijf betekenen.
Lid 3: training voor de directie
Elk lid van de directie neemt zelf deel. Niemand kan dat namens hen doen.
Hoe vaak: de wet zegt “regelmatig”. De memorie van toelichting leest dat als een training die minstens om de drie jaar wordt aangeboden.
Hoe lang en bij wie: de wet legt geen duur en geen erkenning van aanbieders vast. Een klassikale training, een online cursus, een webinar of een interne training komen allemaal in aanmerking.
Leg vast wie wanneer heeft deelgenomen en wat er aan bod kwam. Het BSI kan de naleving controleren; bij belangrijke entiteiten als feiten op een schending wijzen.
§ 38(3) BSIG · § 62 BSIG · Bundestag-drukwerk 21/1501, p. 154
Lid 1: invoeren en toezicht houden
Invoeren betekent: de maatregelen uit § 30 BSIG bestaan in het bedrijf. Het werk kunnen anderen doen, zoals de IT of een dienstverlener.
Toezicht houden betekent: de directie gaat na of de maatregelen bestaan en werken. De wet zegt niet hoe vaak of in welke vorm.
De EU-richtlijn eist bovendien dat de directie de maatregelen goedkeurt (art. 20(1) NIS 2). De Duitse wet gebruikt dat woord niet. Zij eist invoering.
§ 38(1) BSIG · Art. 20(1) NIS 2
Wie tot de directie behoort
De directie is elke natuurlijke persoon die het bedrijf leidt en het vertegenwoordigt volgens de wet, de statuten of de vennootschapsovereenkomst. In een GmbH zijn dat de bestuurders (Geschäftsführer), in een AG de raad van bestuur (Vorstand).
§ 30 BSIG zegt welke maatregelen het bedrijf neemt. § 38 BSIG zegt wie ervoor zorgt dat het gebeurt.
§ 2 nr. 13 BSIG
Hoe de aansprakelijkheid in detail werktEen voorbeeld
Een verzonnen bedrijf: een maker van elektromotoren met 140 medewerkers en drie bestuurders.
De technisch directeur volgt een klassikale training bij een opleidingsinstituut en krijgt een deelnamebewijs.
De financieel directeur volgt een online cursus en bewaart het certificaat als pdf.
De commercieel directeur volgt een webinar van zijn brancheorganisatie. Er is geen certificaat; hij legt datum en onderwerp vast.
Elk heeft één regel in de vastlegging: wie, wanneer, welke training, welke onderwerpen. Het bedrijf plant de volgende ronde uiterlijk drie jaar later.
Zo gaat het in de doorloop
De doorloop op nisd2.eu legt vast wat § 38 BSIG van de directie vraagt.
Eén stap legt de laatste training van elk lid van de directie vast: één regel per persoon, met datum en soort training.
U kunt een certificaat toevoegen. Na een webinar is er soms geen.
nisd2.eu biedt een cursus voor de directie aan. U kunt ook elke andere aanbieder kiezen.
De directiebeoordeling legt vast wanneer de directie de stand heeft beoordeeld, wat zij besloot en wie wat doet en wanneer.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account.
Veelgestelde vragen
Hoe vaak moet de directie een training volgen?
De wet zegt “regelmatig”. De memorie van toelichting leest dat als een training die minstens om de drie jaar wordt aangeboden (Bundestag-drukwerk 21/1501, p. 154).
Hoe lang moet een training volgens § 38(3) BSIG duren?
De wet legt geen minimumduur vast. Wat telt, is het doel: risico's kunnen herkennen en beoordelen en inschatten wat ze betekenen voor de diensten van het bedrijf.
Heeft de aanbieder van de training een erkenning nodig?
Nee. De wet eist geen erkenning en geen certificaat.
Geldt § 38 BSIG voor elke GmbH?
Voor de bestuurders van elke GmbH die een essentiële of belangrijke entiteit is. Of dat zo is, hangt af van sector en omvang (§ 28 BSIG).
Waarvoor is de directie aansprakelijk volgens § 38(2) BSIG?
Voor schade aan haar eigen bedrijf die zij veroorzaakt door haar plichten volgens lid 1 verwijtbaar te schenden. De aansprakelijkheid volgt het vennootschapsrecht van de rechtsvorm.
Bronnen
- BSI-wet (BSIG) § 2 nr. 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
- Richtlijn (EU) 2022/2555 (NIS 2), art. 20, EUR-Lex
- Memorie van toelichting bij de NIS2UmsuCG, Bundestag-drukwerk 21/1501, p. 154 (over § 38(3))
- § 43 GmbHG, gesetze-im-internet.de
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
