Odpowiedzialność kierownictwa w NIS2: czego § 38 BSIG wymaga od kierownictwa
Kierownictwo musi wdrożyć środki bezpieczeństwa z § 30 BSIG, nadzorować ich wdrożenie i regularnie brać udział w szkoleniach (§ 38 BSIG). Jeśli w sposób zawiniony naruszy te obowiązki i firma poniesie przez to szkodę, kierownictwo odpowiada wobec firmy. Wynika to z prawa spółek, tak jak przy innych obowiązkach kierownictwa.
Kogo dotyczy § 38 BSIG
§ 38 BSIG dotyczy kierownictwa każdego podmiotu kluczowego i każdego podmiotu ważnego. Tak ustawa nazywa firmy, do których stosuje się NIS2.
Kierownictwo to ten, kto prowadzi sprawy firmy i reprezentuje ją na podstawie ustawy, statutu lub umowy spółki. W GmbH są to członkowie zarządu (Geschäftsführer), w AG zarząd (Vorstand).
§ 2 nr 13 BSIG · § 38 BSIG
Trzy obowiązki
§ 38 BSIG wymienia trzy obowiązki. Pierwsze dwa są w ustępie 1, trzeci w ustępie 3.
Wdrażać
Kierownictwo dba o to, aby środki z § 30 BSIG były obecne w firmie, na przykład plan reagowania na incydenty, przetestowane kopie zapasowe albo drugi składnik przy logowaniu. Samą pracę mogą wykonać inni, na przykład dział IT lub usługodawca.
§ 38(1) BSIG
Nadzorować
Sprawdza, czy środki są wdrożone i działają. Ustawa nie mówi, jak często ani w jakiej formie. Oczywistym sposobem, aby to wykazać, jest spotkanie z protokołem, datą, wynikiem i zadaniami.
§ 38(1) BSIG
Szkolić się
Każdy członek kierownictwa regularnie bierze udział w szkoleniach. Celem jest rozpoznawanie i ocena ryzyk oraz ocena ich wpływu na usługi firmy. Ustawa nie określa liczby godzin. Uzasadnienie ustawy rozumie „regularnie” jako szkolenia oferowane co najmniej co trzy lata.
§ 38(3) BSIG
Dyrektywa UE ujmuje to nieco inaczej: kierownictwo zatwierdza środki i nadzoruje ich wdrożenie (Art. 20(1) NIS 2). Niemiecka ustawa wymaga od kierownictwa ich wdrożenia.
Jak działa odpowiedzialność
Jeśli kierownictwo naruszy te obowiązki i w sposób zawiniony wyrządzi firmie szkodę, odpowiada wobec własnej firmy. Nazywa się to odpowiedzialnością wewnętrzną: roszczenie przysługuje firmie, a nie organowi ani klientowi.
Odpowiedzialność wynika z prawa spółek właściwego dla formy prawnej. Dla GmbH jest to § 43 GmbHG, dla AG § 93 AktG. Tylko tam, gdzie prawo spółek nie ma takiej regulacji, kierownictwo odpowiada na podstawie samej BSIG.
W sposób zawiniony znaczy umyślnie lub przez niedbalstwo. Czy roszczenie istnieje i w jakiej wysokości, zależy od konkretnego przypadku.
§ 38(2) BSIG · § 43 GmbHG · § 93 AktG
Co może zrobić organ
Kary pieniężne określa § 65 BSIG. Za naruszenia dotyczące środków lub obowiązku zgłaszania górna granica wynosi 10 mln EUR dla podmiotów kluczowych i 7 mln EUR dla podmiotów ważnych. Są to kwoty maksymalne.
W przypadku podmiotów kluczowych właściwy organ nadzoru może w ostateczności tymczasowo zakazać niesolidnemu kierownictwu pełnienia funkcji. Warunkiem jest, że firma mimo wyznaczonego terminu nie wykonała poleceń BSI. Zakaz obowiązuje tylko do czasu, aż je wykona. Dla podmiotów ważnych ustawa tego nie przewiduje.
§ 61(9) BSIG · § 65 BSIG · Art. 32(5) NIS 2
Kary pieniężne w szczegółachCo kierownictwo może przekazać
Może przekazać pracę: działowi IT, osobie koordynującej bezpieczeństwo informacji albo usługodawcy. Obowiązek wdrażania i nadzorowania zostaje przy kierownictwie. § 38 BSIG jest skierowany do samego kierownictwa.
Nikt nie może wziąć udziału w szkoleniu za kierownictwo. Każdy członek kierownictwa uczestniczy osobiście.
Co to oznacza przy 50 do 150 pracownikach
Tutaj kierownictwo to często jedna lub dwie osoby. Nie muszą same wdrażać środków. Muszą wiedzieć, co postanowiono, i sprawdzać, czy to się dzieje.
Zapisuj trzy rzeczy: które dokumenty kierownictwo zatwierdziło i kiedy, kiedy ostatnio sprawdziło stan i co postanowiło oraz ostatnie szkolenie każdego członka.
Firma i tak musi dokumentować, że wdraża środki. Te same zapisy pokazują, że kierownictwo wypełniło swoje obowiązki.
§ 30(1), zdanie trzecie, BSIG
Przykład
Fikcyjna firma: producent systemów przenośnikowych, 90 pracowników i dwóch członków zarządu. Budowa maszyn jest wymieniona w załączniku 2 do BSIG, więc firma jest podmiotem ważnym.
Styczeń: obaj członkowie zarządu biorą udział w szkoleniu dla kierownictwa. Zapisują datę, dostawcę i treść.
Luty do kwietnia: kierownik IT i usługodawca IT ustalają środki. Z tego powstają dokumenty, na przykład polityka bezpieczeństwa i plan reagowania na incydenty.
Maj: członkowie zarządu czytają dokumenty i je zatwierdzają. Postanawiają nie wdrażać jednego punktu i zapisują powód.
Potem: raz w roku siadają z kierownikiem IT. Omawiają incydenty, otwarte punkty i największe ryzyka i zapisują, kto co robi do kiedy. Ten odstęp firma wybrała sama; ustawa żadnego nie określa.
Jak robi to przewodnik
W przewodniku na nisd2.eu otrzymujesz to, co kierownictwo powinno mieć udokumentowane na potrzeby § 38 BSIG.
Jeden krok zapisuje ostatnie szkolenie każdego członka kierownictwa, z datą i, jeśli jest, zaświadczeniem.
Dokumenty powstają z Twoich odpowiedzi, na przykład polityka bezpieczeństwa i plan reagowania na incydenty.
Kierownictwo czyta każdy dokument i zatwierdza go w aplikacji, zalogowane na własne konto. Imię, nazwisko i data pojawiają się potem na każdym dokumencie.
Jeśli postanowisz nie wdrażać jakiegoś punktu, zapisujesz dlaczego. Kierownictwo również podpisuje tę decyzję.
Przegląd zarządczy zapisuje, kiedy kierownictwo sprawdziło stan, co postanowiło i kto co robi do kiedy.
Częste pytania
Czy kierownictwo odpowiada osobiście w NIS2?
Odpowiada wobec własnej firmy za szkodę, którą wyrządzi, naruszając w sposób zawiniony swoje obowiązki z § 38(1) BSIG. Wynika to z prawa spółek, dla GmbH z § 43 GmbHG. Czy roszczenie istnieje, zależy od konkretnego przypadku.
Czego wymaga § 38(3) BSIG?
Każdy członek kierownictwa regularnie bierze udział w szkoleniach, aby rozpoznawać i oceniać ryzyka oraz oceniać ich wpływ na usługi firmy. Ustawa nie określa czasu trwania, formy ani dostawcy. Uzasadnienie rozumie „regularnie” jako co najmniej co trzy lata.
Czy kierownictwo może przekazać odpowiedzialność działowi IT?
Pracę tak, obowiązek nie. § 38 BSIG zobowiązuje kierownictwo do wdrażania i nadzorowania środków. Może poprosić innych o wykonanie pracy, ale musi sprawdzać, czy to się dzieje.
Czy dotyczy to także małych firm?
Dotyczy każdego podmiotu kluczowego i każdego podmiotu ważnego. Czy Twoja firma nim jest, zależy od sektora i wielkości (§ 28 BSIG). Liczba osób w kierownictwie nie ma znaczenia.
Czy ubezpieczenie D&O to obejmuje?
To zależy od konkretnej polisy. BSIG się tym nie zajmuje. Zleć sprawdzenie warunków swojej polisy.
Źródła
- Ustawa o BSI (BSIG) §§ 2 nr 13, 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
- Dyrektywa (UE) 2022/2555 (NIS 2), Art. 20 i 32, EUR-Lex
- Uzasadnienie do NIS2UmsuCG, druk Bundestagu 21/1501, s. 154 (do § 38(3))
- § 43 GmbHG i § 93 AktG, gesetze-im-internet.de
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Risk Management
Write the security policy
A short policy that management approves.
Ile kosztuje przewodnik
4800 € netto rocznie, plus VAT
30 dni na zwrot pieniędzyNa fakturę, płatną w 30 dni. Rezygnacja w ciągu pierwszych 30 dni: faktura zostaje anulowana albo zwracamy pieniądze.
Wdrożenie NIS 2 z przewodnikiem, krok po kroku
Historia zmian i zatwierdzeń do pokazania organowi nadzoru
Terminy i przypomnienia dla każdego wymagania
Kwestionariusz bezpieczeństwa dla Twoich dostawców
Eksport do PDF lub CSV w dowolnym momencie
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
