§ 38 BSIG · Art. 20 NIS 2

§ 38 BSIG: obowiązki kierownictwa, ustęp po ustępie

§ 38 BSIG ma trzy ustępy. Ustęp 1: kierownictwo wdraża środki z § 30 BSIG i nadzoruje ich wdrożenie. Ustęp 2: jeśli w sposób zawiniony to naruszy, odpowiada wobec firmy według prawa spółek. Ustęp 3: regularnie bierze udział w szkoleniach. Ustawa nie określa ani czasu trwania, ani konkretnego dostawcy.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Brzmienie przepisu i co ono znaczy

Ustawa jest cytowana w niemieckim oryginale, a pod spodem jej znaczenie prostymi słowami.

Ustęp 1

Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

Prostymi słowami: Kierownictwo dba o to, aby środki bezpieczeństwa zostały wdrożone, i sprawdza, czy tak się dzieje.

Ustęp 2

Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.

Prostymi słowami: Jeśli firma poniesie szkodę, ponieważ kierownictwo w sposób zawiniony naruszyło ustęp 1, kierownictwo odpowiada wobec niej. Jak, określa prawo spółek, w przypadku GmbH § 43 GmbHG.

Ustęp 3

Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

Prostymi słowami: Każdy członek kierownictwa regularnie uczy się rozpoznawać i oceniać ryzyka dla IT oraz oceniać, co oznaczają one dla własnej działalności.

Ustęp 3: szkolenie kierownictwa

Każdy członek kierownictwa bierze udział osobiście. Nikt nie może go zastąpić.

Jak często: ustawa mówi „regularnie”. Jej uzasadnienie rozumie to jako szkolenia oferowane co najmniej co trzy lata.

Jak długo i u kogo: ustawa nie określa ani czasu trwania, ani dopuszczenia dostawców. W grę wchodzi szkolenie stacjonarne, kurs online, webinar lub szkolenie wewnętrzne.

Zapisz, kto i kiedy brał udział oraz co było omawiane. BSI może sprawdzić przestrzeganie przepisów, w przypadku podmiotów ważnych wtedy, gdy fakty wskazują na naruszenie.

§ 38(3) BSIG · § 62 BSIG · druk Bundestagu 21/1501, s. 154

Ustęp 1: wdrażać i nadzorować

Wdrażać znaczy: środki z § 30 BSIG są obecne w firmie. Pracę mogą wykonać inni, na przykład dział IT lub usługodawca.

Nadzorować znaczy: kierownictwo sprawdza, czy środki są wdrożone i działają. Ustawa nie określa, jak często ani w jakiej formie.

Dyrektywa UE wymaga ponadto, aby kierownictwo zatwierdziło środki (Art. 20(1) NIS 2). Niemiecka ustawa nie używa tego słowa. Wymaga wdrożenia.

§ 38(1) BSIG · Art. 20(1) NIS 2

Kto należy do kierownictwa

Kierownictwo to każda osoba fizyczna, która na podstawie ustawy, statutu lub umowy spółki prowadzi sprawy firmy i ją reprezentuje. W GmbH są to członkowie zarządu (Geschäftsführer), w AG zarząd (Vorstand).

§ 30 BSIG mówi, jakie środki podejmuje firma. § 38 BSIG mówi, kto dba o to, żeby się to stało.

§ 2 nr 13 BSIG

Jak szczegółowo wygląda odpowiedzialność

Przykład

Fikcyjna firma: producent silników elektrycznych, 140 pracowników i trzech członków zarządu.

Członkini zarządu ds. technicznych bierze udział w szkoleniu stacjonarnym u instytucji szkoleniowej i otrzymuje zaświadczenie o uczestnictwie.

Członek zarządu ds. finansów robi kurs online i zapisuje certyfikat jako PDF.

Członek zarządu ds. sprzedaży bierze udział w webinarze swojego związku branżowego. Zaświadczenia nie ma; zapisuje datę i temat.

Dla każdego jest jeden wiersz w dokumentacji: kto, kiedy, jakie szkolenie, jakie tematy. Następną rundę firma planuje najpóźniej trzy lata później.

Jak robi to przewodnik

Przewodnik na nisd2.eu zapisuje to, czego § 38 BSIG wymaga od kierownictwa.

Jeden krok zapisuje ostatnie szkolenie każdego członka kierownictwa: jeden wiersz na osobę, z datą i rodzajem szkolenia.

Możesz dołączyć zaświadczenie. Po webinarze czasem go nie ma.

nisd2.eu oferuje kurs dla kierownictwa. Możesz też wybrać dowolnego innego dostawcę.

Przegląd zarządczy zapisuje, kiedy kierownictwo sprawdziło stan, co postanowiło i kto co robi do kiedy.

Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto.

Zapisz szkolenie swojego kierownictwa

Częste pytania

Jak często kierownictwo musi być szkolone?

Ustawa mówi „regularnie”. Uzasadnienie ustawy rozumie to jako szkolenia oferowane co najmniej co trzy lata (druk Bundestagu 21/1501, s. 154).

Jak długo musi trwać szkolenie według § 38(3) BSIG?

Ustawa nie podaje minimalnego czasu trwania. Liczy się cel: umieć rozpoznawać i oceniać ryzyka oraz oceniać ich skutki dla usług firmy.

Czy dostawca szkolenia potrzebuje dopuszczenia?

Nie. Ustawa nie wymaga ani dopuszczenia, ani certyfikatu.

Czy § 38 BSIG dotyczy każdej GmbH?

Dotyczy zarządu każdej GmbH, która jest podmiotem kluczowym lub ważnym. Czy tak jest, zależy od sektora i wielkości (§ 28 BSIG).

Za co kierownictwo odpowiada według § 38(2) BSIG?

Za szkodę własnej firmy, którą spowodowało zawinionym naruszeniem swoich obowiązków z ustępu 1. Odpowiedzialność zależy od prawa spółek właściwego dla formy prawnej.

Źródła

Ustawa o BSI (BSIG) § 2 nr 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
Dyrektywa (UE) 2022/2555 (NIS 2), Art. 20, EUR-Lex
Uzasadnienie do NIS2UmsuCG, druk Bundestagu 21/1501, s. 154 (do § 38(3))
§ 43 GmbHG, gesetze-im-internet.de

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.