§ 38 BSIG · Art. 20 NIS 2

Răspunderea conducerii conform NIS2: ce cere § 38 BSIG de la conducere

Conducerea trebuie să pună în aplicare măsurile de securitate conform § 30 BSIG, să supravegheze punerea lor în aplicare și să participe regulat la instruiri (§ 38 BSIG). Dacă încalcă din culpă aceste obligații și compania suferă astfel un prejudiciu, conducerea răspunde față de companie. Aceasta urmează dreptul societăților, ca și la celelalte obligații ale conducerii.

Începeți

Programați o discuție

Decide altcineva? O pagină pentru conducerea dumneavoastră

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Cui i se aplică § 38 BSIG

§ 38 BSIG se aplică conducerii fiecărei entități esențiale și fiecărei entități importante. Așa numește legea companiile cărora li se aplică NIS2.

Conducerea înseamnă cei care conduc activitatea și reprezintă compania conform legii, actului constitutiv sau contractului de societate. Într-un GmbH aceștia sunt directorii generali, într-un AG membrii directoratului.

§ 2 nr. 13 BSIG · § 38 BSIG

Cele trei obligații

§ 38 BSIG numește trei obligații. Primele două sunt în alineatul 1, a treia în alineatul 3.

1

Punerea în aplicare

Conducerea se asigură că măsurile conform § 30 BSIG există în companie, de exemplu un plan de răspuns la incidente, copii de siguranță testate sau un al doilea factor la autentificare. Munca în sine o pot face alții, de exemplu IT-ul sau un furnizor de servicii.

§ 38(1) BSIG

2

Supravegherea

Conducerea verifică dacă măsurile există și funcționează. Legea nu spune cât de des sau în ce formă. O ședință consemnată, cu dată, rezultat și sarcini, este o cale evidentă de a dovedi acest lucru.

§ 38(1) BSIG

3

Instruirea

Fiecare membru al conducerii participă regulat la instruiri. Scopul este să identifice și să evalueze riscurile și să aprecieze efectul lor asupra serviciilor companiei. Legea nu stabilește un număr de ore. Expunerea de motive a legii înțelege prin „regulat” o instruire oferită cel puțin o dată la trei ani.

§ 38(3) BSIG

Directiva UE formulează puțin diferit: conducerea aprobă măsurile și supraveghează punerea lor în aplicare (Art. 20(1) NIS 2). Legea germană cere conducerii să le pună în aplicare.

Cum funcționează răspunderea

Dacă conducerea încalcă aceste obligații și cauzează din culpă un prejudiciu companiei, răspunde față de propria companie. Aceasta se numește răspundere internă: pretenția aparține companiei, nu unei autorități sau unui client.

Răspunderea urmează dreptul societăților aplicabil formei juridice. Pentru un GmbH este § 43 GmbHG, pentru un AG § 93 AktG. Doar acolo unde dreptul societăților nu are o astfel de regulă, conducerea răspunde direct conform BSIG.

Din culpă înseamnă cu intenție sau din neglijență. Dacă există o pretenție și pentru ce sumă depinde de cazul concret.

§ 38(2) BSIG · § 43 GmbHG · § 93 AktG

Ce poate face autoritatea

Amenzile sunt stabilite în § 65 BSIG. Pentru încălcarea măsurilor sau a obligației de raportare, plafonul este de 10 milioane EUR pentru entitățile esențiale și 7 milioane EUR pentru cele importante. Acestea sunt sume maxime.

Pentru entitățile esențiale, autoritatea de supraveghere competentă poate, în ultimă instanță, să interzică temporar unei conduceri care nu este de încredere exercitarea funcției. Condiția este ca firma să nu fi respectat ordinele BSI în ciuda unui termen. Interdicția se aplică doar până când firma se conformează. Pentru entitățile importante, legea nu prevede acest lucru.

§ 61(9) BSIG · § 65 BSIG · Art. 32(5) NIS 2

Amenzile în detaliu

Ce poate preda conducerea altora

Poate preda munca: IT-ului, unei persoane care coordonează securitatea informației sau unui furnizor de servicii. Obligația de a pune în aplicare și de a supraveghea rămâne la conducere. § 38 BSIG se adresează conducerii înseși.

Nimeni nu poate participa la instruire în locul conducerii. Fiecare membru al conducerii participă personal.

Ce înseamnă asta pentru o companie cu 50 până la 150 de angajați

Aici conducerea constă adesea din una sau două persoane. Ele nu trebuie să stabilească singure măsurile. Trebuie să știe ce s-a decis și să verifice că se întâmplă.

Țineți evidența a trei lucruri: ce documente a aprobat conducerea și când, când a verificat ultima dată stadiul și ce a decis, și cea mai recentă instruire a fiecărui membru.

Compania trebuie oricum să documenteze că pune în aplicare măsurile. Aceleași evidențe arată că și conducerea și-a îndeplinit obligațiile.

§ 30(1) teza a treia BSIG

Un exemplu

O firmă inventată: un producător de benzi transportoare cu 90 de angajați și doi directori generali. Construcția de mașini este enumerată în Anexa 2 a BSIG, deci firma este o entitate importantă.

Ianuarie: ambii directori generali participă la un curs de instruire pentru conducere. Consemnează data, furnizorul și conținutul.

Februarie până în aprilie: responsabilul IT și furnizorul de servicii IT decid măsurile. De aici rezultă documentele, de exemplu politica de securitate și planul de răspuns la incidente.

Mai: directorii generali citesc documentele și le aprobă. Decid să nu pună în aplicare un punct și notează motivul.

Apoi: o dată pe an se așază împreună cu responsabilul IT. Analizează incidentele, punctele deschise și cele mai mari riscuri și consemnează cine face ce și până când. Firma a ales singură acest interval; legea nu stabilește niciunul.

Cum face asta parcursul ghidat

În parcursul ghidat de pe nisd2.eu obțineți ceea ce conducerea ar trebui să aibă în evidență pentru § 38 BSIG.

Un pas consemnează cea mai recentă instruire a fiecărui membru al conducerii, cu data și, dacă există, certificatul.

Documentele rezultă din răspunsurile dumneavoastră, de exemplu politica de securitate și planul de răspuns la incidente.

Conducerea citește fiecare document și îl aprobă în aplicație, autentificată cu propriul cont. Numele și data apar apoi pe fiecare document.

Dacă decideți să nu puneți în aplicare un punct, notați de ce. Conducerea semnează și această decizie.

Analiza conducerii consemnează când a verificat conducerea stadiul, ce a decis și cine face ce și până când.

Începeți parcursul ghidat pentru conducerea dumneavoastră

Întrebări frecvente

Răspunde conducerea personal conform NIS2?

Răspunde față de propria companie pentru prejudiciile pe care le cauzează prin încălcarea din culpă a obligațiilor conform § 38(1) BSIG. Aceasta urmează dreptul societăților, pentru un GmbH § 43 GmbHG. Dacă există o pretenție depinde de cazul concret.

Ce cere § 38(3) BSIG?

Fiecare membru al conducerii participă regulat la instruiri, pentru a identifica și evalua riscurile și a aprecia efectul lor asupra serviciilor companiei. Legea nu prescrie durata, formatul sau furnizorul. Expunerea de motive înțelege prin „regulat” cel puțin o dată la trei ani.

Poate conducerea preda responsabilitatea IT-ului?

Munca, da; obligația, nu. § 38 BSIG obligă conducerea să pună în aplicare și să supravegheze măsurile. Poate cere altora să le realizeze, dar trebuie să verifice că se întâmplă.

Se aplică acest lucru și companiilor mici?

Se aplică fiecărei entități esențiale și fiecărei entități importante. Dacă firma dumneavoastră este una dintre ele depinde de sectorul și de mărimea ei (§ 28 BSIG). Câte persoane fac parte din conducere nu contează.

Acoperă asigurarea D&O acest lucru?

Depinde de polița concretă. BSIG nu tratează această chestiune. Cereți verificarea condițiilor poliței dumneavoastră.

Surse

Legea BSI (BSIG) §§ 2 nr. 13, 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
Directiva (UE) 2022/2555 (NIS 2), Art. 20 și 32, EUR-Lex
Expunerea de motive la NIS2UmsuCG, documentul Bundestag 21/1501, p. 154 (la § 38(3))
§ 43 GmbHG și § 93 AktG, gesetze-im-internet.de

În practică

Unde apare acest lucru în parcursul ghidat

Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.

Parcursul în sine este în germană și engleză.

Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Risk Management
Write the security policy
A short policy that management approves.