§ 38 BSIG: as obrigações da direção, número a número
O § 38 BSIG tem três números. N.º 1: a direção aplica as medidas do § 30 BSIG e supervisiona a sua aplicação. N.º 2: se violar isto com culpa, responde perante a empresa nos termos do direito das sociedades. N.º 3: participa regularmente em formação. A lei não prescreve nem uma duração nem um formador determinado.
O texto, e o que significa
A lei é citada no original alemão, com o que significa em palavras simples por baixo.
Número 1
Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.Em palavras simples: A direção assegura que as medidas de segurança são aplicadas e verifica que isso acontece.
Número 2
Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.Em palavras simples: Se a empresa sofrer danos porque a direção violou com culpa o n.º 1, a direção responde perante ela. O direito das sociedades regula como, para uma GmbH o § 43 GmbHG.
Número 3
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.Em palavras simples: Cada membro da direção aprende regularmente a identificar e avaliar riscos de TI e a avaliar o que significam para o negócio.
N.º 3: formação para a direção
Cada membro da direção participa pessoalmente. Ninguém pode participar em seu nome.
Com que frequência: a lei diz “regularmente”. A sua exposição de motivos entende isto como formação oferecida pelo menos de três em três anos.
Com que duração e com quem: a lei não fixa nem uma duração nem uma autorização para os formadores. Uma formação presencial, um curso online, um webinar ou uma formação interna são todos válidos.
Registe quem participou quando e o que foi abordado. O BSI pode verificar o cumprimento; nas entidades importantes, quando há factos que apontam para uma infração.
§ 38(3) BSIG · § 62 BSIG · Drucksache do Bundestag 21/1501, p. 154
N.º 1: aplicar e supervisionar
Aplicar significa: as medidas do § 30 BSIG estão implementadas na empresa. Outros podem fazer o trabalho, como as TI ou um prestador de serviços.
Supervisionar significa: a direção verifica se as medidas estão implementadas e se funcionam. A lei não fixa com que frequência nem de que forma.
A diretiva da UE exige também que a direção aprove as medidas (Art. 20(1) NIS 2). A lei alemã não usa essa palavra. Exige a aplicação.
§ 38(1) BSIG · Art. 20(1) NIS 2
Quem conta como direção
A direção é cada pessoa singular que gere o negócio e representa a empresa nos termos da lei, dos estatutos ou do contrato de sociedade. Numa GmbH são os gerentes, numa AG o conselho de administração.
O § 30 BSIG diz que medidas a empresa toma. O § 38 BSIG diz quem assegura que isso acontece.
§ 2 n.º 13 BSIG
Como funciona a responsabilidade em pormenorUm exemplo
Uma empresa fictícia: um fabricante de motores elétricos com 140 trabalhadores e três gerentes.
O gerente técnico participa numa formação presencial numa entidade formadora e recebe um certificado de participação.
O gerente financeiro faz um curso online e guarda o certificado em PDF.
O gerente comercial participa num webinar da sua associação setorial. Não há certificado; regista a data e o tema.
Cada um tem uma linha nos registos: quem, quando, que formação, que temas. A empresa planeia a próxima ronda o mais tardar três anos depois.
Como o percurso guiado faz isto
O percurso guiado em nisd2.eu regista o que o § 38 BSIG exige da direção.
Um passo regista a formação mais recente de cada membro da direção: uma linha por pessoa, com data e tipo de formação.
Pode anexar um certificado. Depois de um webinar, por vezes não há nenhum.
A nisd2.eu oferece um curso para a direção. Também pode escolher qualquer outro formador.
A revisão pela direção regista quando a direção reviu o estado, o que decidiu e quem faz o quê até quando.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta.
Perguntas frequentes
Com que frequência a direção tem de receber formação?
A lei diz “regularmente”. A exposição de motivos entende isto como formação oferecida pelo menos de três em três anos (Drucksache do Bundestag 21/1501, p. 154).
Quanto tempo tem de durar a formação do § 38(3) BSIG?
A lei não fixa uma duração mínima. O que importa é o objetivo: conseguir identificar e avaliar riscos e avaliar o seu efeito nos serviços da empresa.
O formador precisa de uma autorização?
Não. A lei não exige nem uma autorização nem um certificado.
O § 38 BSIG aplica-se a todas as GmbH?
Aos gerentes de todas as GmbH que sejam entidades essenciais ou importantes. Se o são depende do setor e da dimensão (§ 28 BSIG).
Por que responde a direção nos termos do § 38(2) BSIG?
Pelos danos à sua própria empresa causados por violar com culpa as suas obrigações do n.º 1. A responsabilidade segue o direito das sociedades da forma jurídica.
Fontes
- Lei do BSI (BSIG), § 2 n.º 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
- Diretiva (UE) 2022/2555 (NIS 2), Art. 20, EUR-Lex
- Exposição de motivos da NIS2UmsuCG, Drucksache do Bundestag 21/1501, p. 154 (sobre o § 38(3))
- § 43 GmbHG, gesetze-im-internet.de
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
