NIS2-aansprakelijkheid van de directie: wat § 38 BSIG van de directie vraagt
De directie moet de beveiligingsmaatregelen volgens § 30 BSIG invoeren, toezicht houden op de invoering en regelmatig een training volgen (§ 38 BSIG). Schendt zij deze plichten verwijtbaar en lijdt het bedrijf daardoor schade, dan is de directie aansprakelijk tegenover het bedrijf. Dat volgt het vennootschapsrecht, net als bij de andere plichten van de directie.
Voor wie § 38 BSIG geldt
§ 38 BSIG geldt voor de directie van elke essentiële en elke belangrijke entiteit. Zo noemt de wet de bedrijven waarvoor NIS2 geldt.
Directie betekent: wie het bedrijf leidt en het vertegenwoordigt volgens de wet, de statuten of de vennootschapsovereenkomst. In een GmbH zijn dat de bestuurders (Geschäftsführer), in een AG de raad van bestuur (Vorstand).
§ 2 nr. 13 BSIG · § 38 BSIG
De drie plichten
§ 38 BSIG noemt drie plichten. De eerste twee staan in lid 1, de derde in lid 3.
Invoeren
De directie zorgt ervoor dat de maatregelen volgens § 30 BSIG in het bedrijf bestaan, bijvoorbeeld een incidentresponsplan, geteste back-ups of een tweede factor bij het inloggen. Het werk zelf kunnen anderen doen, zoals de IT of een dienstverlener.
§ 38(1) BSIG
Toezicht houden
Zij gaat na of de maatregelen bestaan en werken. De wet zegt niet hoe vaak of in welke vorm. Een vastgelegd overleg met datum, uitkomst en taken is een voor de hand liggende manier om dat te laten zien.
§ 38(1) BSIG
Training volgen
Elk lid van de directie volgt regelmatig een training. Het doel is risico's te herkennen en te beoordelen, en in te schatten wat ze betekenen voor de diensten van het bedrijf. De wet noemt geen aantal uren. De memorie van toelichting bij de wet leest “regelmatig” als een training die minstens om de drie jaar wordt aangeboden.
§ 38(3) BSIG
De EU-richtlijn formuleert het iets anders: de directie keurt de maatregelen goed en houdt toezicht op de uitvoering (art. 20(1) NIS 2). De Duitse wet eist dat de directie ze invoert.
Hoe de aansprakelijkheid werkt
Schendt de directie deze plichten en veroorzaakt zij verwijtbaar schade aan het bedrijf, dan is zij aansprakelijk tegenover haar eigen bedrijf. Dat heet interne aansprakelijkheid: de vordering is van het bedrijf, niet van een overheidsinstantie of een klant.
De aansprakelijkheid volgt het vennootschapsrecht van de rechtsvorm. Voor een GmbH is dat § 43 GmbHG, voor een AG § 93 AktG. Alleen waar het vennootschapsrecht zo'n regel niet kent, is de directie aansprakelijk volgens de BSIG zelf.
Verwijtbaar betekent: opzettelijk of nalatig. Of er een vordering bestaat, en voor welk bedrag, hangt af van het afzonderlijke geval.
§ 38(2) BSIG · § 43 GmbHG · § 93 AktG
Wat de overheid kan doen
Boetes staan in § 65 BSIG. Bij schending van de maatregelen of de meldplicht is de bovengrens 10 miljoen EUR voor essentiële en 7 miljoen EUR voor belangrijke entiteiten. Dat zijn maximumbedragen.
Bij essentiële entiteiten kan de bevoegde toezichthouder als laatste middel een onbetrouwbare directie tijdelijk verbieden haar functie uit te oefenen. Voorwaarde is dat het bedrijf bevelen van het BSI ondanks een termijn niet heeft opgevolgd. Het verbod geldt alleen tot het bedrijf ze opvolgt. Voor belangrijke entiteiten voorziet de wet hier niet in.
§ 61(9) BSIG · § 65 BSIG · Art. 32(5) NIS 2
De boetes in detailWat de directie kan overdragen
Zij kan het werk overdragen: aan de IT, aan iemand die de informatiebeveiliging coördineert, of aan een dienstverlener. De plicht om in te voeren en toezicht te houden blijft bij de directie. § 38 BSIG richt zich tot de directie zelf.
Niemand kan de training namens de directie volgen. Elk lid van de directie neemt er zelf aan deel.
Wat dit betekent bij 50 tot 150 medewerkers
Hier bestaat de directie vaak uit één of twee mensen. Zij hoeven de maatregelen niet zelf op te zetten. Zij moeten weten wat er besloten is en nagaan of het gebeurt.
Leg drie dingen vast: welke documenten de directie wanneer heeft goedgekeurd, wanneer zij voor het laatst de stand heeft beoordeeld en wat zij toen besloot, en de laatste training van elk lid.
Het bedrijf moet toch al vastleggen dat het de maatregelen invoert. Dezelfde vastleggingen laten zien dat de directie haar plichten is nagekomen.
§ 30(1), derde zin, BSIG
Een voorbeeld
Een verzonnen bedrijf: een maker van transportsystemen met 90 medewerkers en twee bestuurders. Machinebouw staat in bijlage 2 van de BSIG, dus het bedrijf is een belangrijke entiteit.
Januari: beide bestuurders volgen een training voor de directie. Zij leggen datum, aanbieder en inhoud vast.
Februari tot april: de IT-verantwoordelijke en de IT-dienstverlener besluiten over de maatregelen. Daaruit ontstaan de documenten, zoals het beveiligingsbeleid en het incidentresponsplan.
Mei: de bestuurders lezen de documenten en keuren ze goed. Eén punt besluiten zij niet in te voeren, en ze schrijven op waarom.
Daarna: eens per jaar gaan zij met de IT-verantwoordelijke om tafel. Zij bekijken incidenten, open punten en de grootste risico's en leggen vast wie wat doet en wanneer. Dit ritme heeft het bedrijf zelf gekozen; de wet schrijft er geen voor.
Zo gaat het in de doorloop
In de doorloop op nisd2.eu krijgt u wat de directie voor § 38 BSIG moet vastleggen.
Eén stap legt de laatste training van elk lid van de directie vast, met de datum en, als dat er is, het certificaat.
Uit uw antwoorden ontstaan de documenten, zoals het beveiligingsbeleid en het incidentresponsplan.
De directie leest elk document en keurt het goed in de app, ingelogd met een eigen account. Naam en datum staan daarna op elk document.
Besluit u een punt niet in te voeren, dan schrijft u op waarom. Ook dat besluit ondertekent de directie.
De directiebeoordeling legt vast wanneer de directie de stand heeft beoordeeld, wat zij besloot en wie wat doet en wanneer.
Veelgestelde vragen
Is de directie onder NIS2 persoonlijk aansprakelijk?
Zij is aansprakelijk tegenover haar eigen bedrijf voor schade die zij veroorzaakt door haar plichten volgens § 38(1) BSIG verwijtbaar te schenden. Dat volgt het vennootschapsrecht, voor een GmbH § 43 GmbHG. Of er een vordering bestaat, hangt af van het afzonderlijke geval.
Wat vereist § 38(3) BSIG?
Elk lid van de directie volgt regelmatig een training, om risico's te herkennen en te beoordelen en in te schatten wat ze betekenen voor de diensten van het bedrijf. De wet schrijft geen duur, vorm of aanbieder voor. De memorie van toelichting leest “regelmatig” als minstens om de drie jaar.
Kan de directie de verantwoordelijkheid aan de IT overdragen?
Het werk wel, de plicht niet. § 38 BSIG verplicht de directie om de maatregelen in te voeren en er toezicht op te houden. Zij kan anderen vragen het te doen, maar moet nagaan of het gebeurt.
Geldt dit ook voor kleine bedrijven?
Het geldt voor elke essentiële en elke belangrijke entiteit. Of uw bedrijf daarbij hoort, hangt af van de sector en de omvang (§ 28 BSIG). Hoeveel mensen in de directie zitten, maakt geen verschil.
Dekt een D&O-verzekering dit?
Dat hangt af van de afzonderlijke polis. De BSIG regelt dat niet. Laat de voorwaarden van uw polis controleren.
Bronnen
- BSI-wet (BSIG) § 2 nr. 13, §§ 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
- Richtlijn (EU) 2022/2555 (NIS 2), art. 20 en 32, EUR-Lex
- Memorie van toelichting bij de NIS2UmsuCG, Bundestag-drukwerk 21/1501, p. 154 (over § 38(3))
- § 43 GmbHG en § 93 AktG, gesetze-im-internet.de
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Risk Management
Write the security policy
A short policy that management approves.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
