Responsabilidade da direção na NIS2: o que o § 38 BSIG exige da direção
A direção tem de aplicar as medidas de segurança do § 30 BSIG, supervisionar a sua aplicação e participar regularmente em formação (§ 38 BSIG). Se violar estas obrigações com culpa e a empresa sofrer danos em consequência, a direção responde perante a empresa. Isso segue o direito das sociedades, tal como as outras obrigações da direção.
A quem se aplica o § 38 BSIG
O § 38 BSIG aplica-se à direção de todas as entidades essenciais e de todas as entidades importantes. É assim que a lei designa as empresas a que a NIS2 se aplica.
Direção significa quem gere o negócio e representa a empresa nos termos da lei, dos estatutos ou do contrato de sociedade. Numa GmbH são os gerentes, numa AG o conselho de administração.
§ 2 n.º 13 BSIG · § 38 BSIG
As três obrigações
O § 38 BSIG refere três obrigações. As duas primeiras estão no § 38(1), a terceira no § 38(3).
Aplicar
A direção assegura que as medidas do § 30 BSIG estão implementadas na empresa, por exemplo um plano de resposta a incidentes, cópias de segurança testadas ou um segundo fator no início de sessão. Outros podem fazer o trabalho em si, como as TI ou um prestador de serviços.
§ 38(1) BSIG
Supervisionar
Verifica se as medidas estão implementadas e se funcionam. A lei não diz com que frequência nem de que forma. Uma reunião registada, com data, resultado e tarefas, é uma forma evidente de o demonstrar.
§ 38(1) BSIG
Formar-se
Cada membro da direção participa regularmente em formação. O objetivo é identificar e avaliar riscos e avaliar o seu efeito nos serviços da empresa. A lei não fixa um número de horas. A exposição de motivos da lei entende “regularmente” como formação oferecida pelo menos de três em três anos.
§ 38(3) BSIG
A diretiva da UE formula isto de forma ligeiramente diferente: a direção aprova as medidas e supervisiona a sua aplicação (Art. 20(1) NIS 2). A lei alemã exige que a direção as aplique.
Como funciona a responsabilidade
Se a direção violar estas obrigações e causar com culpa danos à empresa, responde perante a sua própria empresa. Chama-se a isto responsabilidade interna: o crédito pertence à empresa, não a uma autoridade nem a um cliente.
A responsabilidade segue o direito das sociedades da forma jurídica. Para uma GmbH é o § 43 GmbHG, para uma AG o § 93 AktG. Só quando o direito das sociedades não tem uma regra destas é que a direção responde nos termos da própria BSIG.
Com culpa significa com dolo ou negligência. Se existe um crédito, e de que montante, depende do caso concreto.
§ 38(2) BSIG · § 43 GmbHG · § 93 AktG
O que a autoridade pode fazer
As coimas constam do § 65 BSIG. Para violações das medidas ou da obrigação de notificação, o limite máximo é de 10 milhões de EUR para entidades essenciais e de 7 milhões de EUR para entidades importantes. São montantes máximos.
Nas entidades essenciais, a autoridade de supervisão competente pode, como último recurso, proibir temporariamente uma direção pouco fiável de exercer as suas funções. Isto pressupõe que a empresa não cumpriu ordens do BSI apesar de um prazo. A proibição só se aplica até que as cumpra. A lei não prevê isto para as entidades importantes.
§ 61(9) BSIG · § 65 BSIG · Art. 32(5) NIS 2
As coimas em pormenorO que a direção pode entregar a outros
Pode entregar o trabalho: às TI, a uma pessoa que coordena a segurança da informação ou a um prestador de serviços. A obrigação de aplicar e supervisionar fica com a direção. O § 38 BSIG dirige-se à própria direção.
Ninguém pode participar na formação em nome da direção. Cada membro da direção participa pessoalmente.
O que isto significa para uma empresa com 50 a 150 trabalhadores
Aqui, a direção é muitas vezes composta por uma ou duas pessoas. Não têm de montar as medidas elas próprias. Têm de saber o que foi decidido e verificar que está a acontecer.
Registe três coisas: que documentos a direção aprovou e quando, quando reviu o estado pela última vez e o que decidiu, e a formação mais recente de cada membro.
A empresa tem de documentar de qualquer forma que aplica as medidas. Os mesmos registos mostram que a direção cumpriu as suas obrigações.
§ 30(1), terceira frase, BSIG
Um exemplo
Uma empresa fictícia: um fabricante de sistemas de transporte com 90 trabalhadores e dois gerentes. O fabrico de máquinas consta do Anexo 2 da BSIG, por isso a empresa é uma entidade importante.
Janeiro: os dois gerentes participam numa formação para a direção. Registam a data, o formador e os conteúdos.
Fevereiro a abril: o responsável de TI e o prestador de serviços de TI decidem as medidas. Daí resultam os documentos, como a política de segurança e o plano de resposta a incidentes.
Maio: os gerentes leem os documentos e aprovam-nos. Decidem não aplicar um ponto e escrevem o motivo.
A seguir: uma vez por ano, sentam-se com o responsável de TI. Analisam incidentes, pontos em aberto e os maiores riscos e registam quem faz o quê até quando. A empresa escolheu este intervalo por si; a lei não fixa nenhum.
Como o percurso guiado faz isto
No percurso guiado em nisd2.eu, fica com aquilo que a direção deve manter registado para o § 38 BSIG.
Um passo regista a formação mais recente de cada membro da direção, com a data e, se existir, o certificado.
Os documentos resultam das suas respostas, como a política de segurança e o plano de resposta a incidentes.
A direção lê cada documento e aprova-o na aplicação, com sessão iniciada na sua própria conta. O nome e a data passam a constar de cada documento.
Se decidir não aplicar um ponto, escreve porquê. A direção assina também essa decisão.
A revisão pela direção regista quando a direção reviu o estado, o que decidiu e quem faz o quê até quando.
Perguntas frequentes
A direção é pessoalmente responsável na NIS2?
Responde perante a sua própria empresa pelos danos que cause ao violar com culpa as suas obrigações do § 38(1) BSIG. Isso segue o direito das sociedades, para uma GmbH o § 43 GmbHG. Se existe um crédito depende do caso concreto.
O que exige o § 38(3) BSIG?
Cada membro da direção participa regularmente em formação, para identificar e avaliar riscos e avaliar o seu efeito nos serviços da empresa. A lei não prescreve a duração, o formato nem o formador. A exposição de motivos entende “regularmente” como pelo menos de três em três anos.
A direção pode entregar a responsabilidade às TI?
O trabalho, sim; a obrigação, não. O § 38 BSIG obriga a direção a aplicar e supervisionar as medidas. Pode pedir a outros que o façam, mas tem de verificar que acontece.
Isto aplica-se também às pequenas empresas?
Aplica-se a todas as entidades essenciais e a todas as entidades importantes. Se a sua empresa é uma delas depende do setor e da dimensão (§ 28 BSIG). O número de pessoas na direção não faz diferença.
O seguro D&O cobre isto?
Depende da apólice concreta. A BSIG não trata disso. Peça que analisem as condições da sua apólice.
Fontes
- Lei do BSI (BSIG), §§ 2 n.º 13, 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
- Diretiva (UE) 2022/2555 (NIS 2), Art. 20 e 32, EUR-Lex
- Exposição de motivos da NIS2UmsuCG, Drucksache do Bundestag 21/1501, p. 154 (sobre o § 38(3))
- § 43 GmbHG e § 93 AktG, gesetze-im-internet.de
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Governance & Liability
Get management trained
Every member of management, regularly.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Risk Management
Write the security policy
A short policy that management approves.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
