Responsabilidad de la dirección en NIS2: qué exige el § 38 BSIG a la dirección
La dirección debe implementar las medidas de seguridad del § 30 BSIG, supervisar su implementación y participar periódicamente en formaciones (§ 38 BSIG). Si incumple estos deberes de forma culpable y la empresa sufre un daño por ello, la dirección responde ante la empresa. Esto se rige por el Derecho de sociedades, como los demás deberes de la dirección.
A quién se aplica el § 38 BSIG
El § 38 BSIG se aplica a la dirección de toda entidad esencial y de toda entidad importante. Así llama la ley a las empresas a las que se aplica NIS2.
La dirección es quien dirige el negocio y representa a la empresa según la ley, los estatutos o el contrato de sociedad. En una GmbH son los gerentes; en una AG, el consejo de dirección.
§ 2 n.º 13 BSIG · § 38 BSIG
Los tres deberes
El § 38 BSIG nombra tres deberes. Los dos primeros están en el apartado 1; el tercero, en el apartado 3.
Implementar
La dirección se asegura de que las medidas del § 30 BSIG estén en marcha en la empresa, por ejemplo un plan de respuesta a incidentes, copias de seguridad probadas o un segundo factor al iniciar sesión. El trabajo en sí pueden hacerlo otros, como el área de TI o un proveedor de servicios.
§ 38(1) BSIG
Supervisar
Comprueba si las medidas están en marcha y funcionan. La ley no dice con qué frecuencia ni de qué forma. Una reunión documentada, con fecha, resultado y tareas, es una forma evidente de demostrarlo.
§ 38(1) BSIG
Formarse
Cada miembro de la dirección participa periódicamente en formaciones. El objetivo es identificar y evaluar los riesgos y valorar su efecto en los servicios de la empresa. La ley no fija un número de horas. La exposición de motivos de la ley interpreta «periódicamente» como una formación ofrecida al menos cada tres años.
§ 38(3) BSIG
La directiva de la UE lo formula de forma algo distinta: la dirección aprueba las medidas y supervisa su implementación (art. 20(1) NIS 2). La ley alemana exige que la dirección las implemente.
Cómo funciona la responsabilidad
Si la dirección incumple estos deberes y causa de forma culpable un daño a la empresa, responde ante su propia empresa. Esto se llama responsabilidad interna: la reclamación corresponde a la empresa, no a una autoridad ni a un cliente.
La responsabilidad sigue el Derecho de sociedades de la forma jurídica. En una GmbH es el § 43 GmbHG; en una AG, el § 93 AktG. Solo cuando el Derecho de sociedades no tiene una norma así, la dirección responde según el propio BSIG.
De forma culpable significa con dolo o por negligencia. Si existe una reclamación, y por qué importe, depende de cada caso.
§ 38(2) BSIG · § 43 GmbHG · § 93 AktG
Qué puede hacer la autoridad
Las multas se regulan en el § 65 BSIG. Por infringir las medidas o la obligación de notificar, el límite es de 10 millones de euros para las entidades esenciales y de 7 millones de euros para las importantes. Son importes máximos.
En las entidades esenciales, la autoridad de supervisión competente puede, como último recurso, prohibir temporalmente a una dirección no fiable que ejerza su función. Para ello, la empresa no debe haber cumplido órdenes del BSI pese a tener un plazo. La prohibición solo dura hasta que las cumpla. La ley no prevé esto para las entidades importantes.
§ 61(9) BSIG · § 65 BSIG · Art. 32(5) NIS 2
Las multas en detalleQué puede delegar la dirección
Puede delegar el trabajo: en el área de TI, en una persona que coordine la seguridad de la información o en un proveedor de servicios. El deber de implementar y supervisar sigue siendo de la dirección. El § 38 BSIG se dirige a la propia dirección.
Nadie puede asistir a la formación en lugar de la dirección. Cada miembro de la dirección participa personalmente.
Qué significa esto para una empresa de 50 a 150 empleados
Aquí la dirección suele estar formada por una o dos personas. No tienen que montar las medidas ellas mismas. Tienen que saber qué se ha decidido y comprobar que se está haciendo.
Deje constancia de tres cosas: qué documentos aprobó la dirección y cuándo, cuándo revisó el estado por última vez y qué decidió, y la última formación de cada miembro.
La empresa tiene que documentar de todos modos que implementa las medidas. Esos mismos registros muestran que la dirección ha cumplido sus deberes.
§ 30(1), tercera frase, BSIG
Un ejemplo
Una empresa inventada: un fabricante de sistemas de transporte con 90 empleados y dos gerentes. La fabricación de maquinaria figura en el Anexo 2 del BSIG, así que la empresa es entidad importante.
Enero: los dos gerentes asisten a una formación para la dirección. Anotan la fecha, el proveedor y el contenido.
De febrero a abril: el responsable de TI y el proveedor de servicios de TI deciden las medidas. De ahí salen los documentos, como la política de seguridad y el plan de respuesta a incidentes.
Mayo: los gerentes leen los documentos y los aprueban. Deciden no aplicar un punto y anotan el motivo.
Después: una vez al año se reúnen con el responsable de TI. Repasan los incidentes, los puntos abiertos y los mayores riesgos, y anotan quién hace qué y para cuándo. La empresa eligió este intervalo por sí misma; la ley no fija ninguno.
Cómo lo hace el recorrido guiado
En el recorrido guiado de nisd2.eu obtiene lo que la dirección debería tener documentado para el § 38 BSIG.
Un paso registra la última formación de cada miembro de la dirección, con la fecha y, si lo hay, el certificado.
Con sus respuestas se generan los documentos, como la política de seguridad y el plan de respuesta a incidentes.
La dirección lee cada documento y lo aprueba en la app, con su propia cuenta. Después, su nombre y la fecha aparecen en cada documento.
Si decide no aplicar un punto, anota por qué. La dirección firma también esa decisión.
La revisión por la dirección registra cuándo revisó la dirección el estado, qué decidió y quién hace qué y para cuándo.
Preguntas frecuentes
¿Responde personalmente la dirección en NIS2?
Responde ante su propia empresa por el daño que cause al incumplir de forma culpable sus deberes del § 38(1) BSIG. Esto se rige por el Derecho de sociedades; en una GmbH, por el § 43 GmbHG. Si existe una reclamación depende de cada caso.
¿Qué exige el § 38(3) BSIG?
Cada miembro de la dirección participa periódicamente en formaciones, para identificar y evaluar los riesgos y valorar su efecto en los servicios de la empresa. La ley no prescribe la duración, el formato ni el proveedor. La exposición de motivos interpreta «periódicamente» como al menos cada tres años.
¿Puede la dirección pasar la responsabilidad al área de TI?
El trabajo, sí; el deber, no. El § 38 BSIG obliga a la dirección a implementar y supervisar las medidas. Puede encargárselo a otros, pero tiene que comprobar que se hace.
¿Se aplica también a las empresas pequeñas?
Se aplica a toda entidad esencial y a toda entidad importante. Que su empresa lo sea depende de su sector y su tamaño (§ 28 BSIG). Cuántas personas formen la dirección no importa.
¿Lo cubre un seguro D&O?
Depende de cada póliza. El BSIG no lo regula. Haga revisar las condiciones de su póliza.
Fuentes
- Ley del BSI (BSIG) §§ 2 n.º 13, 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), arts. 20 y 32, EUR-Lex
- Exposición de motivos de la NIS2UmsuCG, documento del Bundestag 21/1501, p. 154 (sobre el § 38(3))
- § 43 GmbHG y § 93 AktG, gesetze-im-internet.de
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Risk Management
Write the security policy
A short policy that management approves.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
