§ 38 BSIG: la seguridad de TI es asunto de dirección

Desde el 6 de diciembre de 2025 rige la nueva ley del BSI. La Ley de Transposición de NIS-2 pasó el 13 de noviembre de 2025 por el Bundestag, el 21 de noviembre por el Bundesrat y se promulgó el 5 de diciembre de 2025 en el Boletín Oficial Federal (BGBl. 2025 I Nr. 301), sin plazos transitorios para las obligaciones materiales. Un artículo de esta ley no se dirige a la empresa, sino a una persona: el § 38 BSIG se dirige a la propia dirección.

Sobre el registro de las entidades ante el BSI ya escribimos en otro lugar. Aquí se trata de la cuestión que afecta personalmente a los gerentes: ¿qué me exige la ley, y qué ocurre si la ignoro?

Qué exige concretamente el § 38 BSIG

La norma contiene dos obligaciones que no pueden delegarse:

Implementar y supervisar (apdo. 1): la dirección de las entidades especialmente importantes e importantes está obligada a implementar las medidas de gestión de riesgos del § 30 BSIG y a supervisar su implementación. El trabajo operativo puede realizarlo, por supuesto, el departamento de TI o un proveedor de servicios; la responsabilidad de la implementación y el control permanece en el órgano.
Formación periódica (apdo. 3): la dirección debe participar periódicamente en formaciones para adquirir conocimientos suficientes para evaluar riesgos y prácticas de gestión de riesgos. «De eso se encarga mi departamento de TI» queda así, como actitud, legalmente zanjado: el legislador espera que el nivel directivo pueda juzgar por sí mismo las decisiones de riesgo.

Quién cae dentro del ámbito de aplicación

Están afectadas las entidades de los sectores del anexo de la ley a partir de los umbrales del § 28 BSIG: entidades importantes a partir de 50 empleados o más de 10 millones de euros de cifra de negocios y balance total; especialmente importantes a partir de 250 empleados o más de 50 millones de euros de cifra de negocios y más de 43 millones de euros de balance total. Según datos del BSI, unas 29 500 entidades están reguladas; antes eran alrededor de 4500. Muchos gerentes de la mediana empresa asumen, por tanto, estas obligaciones por primera vez, a menudo sin saberlo.

La responsabilidad: vista con sobriedad, nada nuevo, pero ahora explícita

El § 38, apdo. 2, BSIG dispone que los directivos que incumplan sus obligaciones del apdo. 1 responden ante su propia entidad por los daños causados «con culpa», según las reglas del derecho societario aplicables a la forma jurídica de la entidad. El requisito de culpa consta expresamente en la ley. Para la GmbH es el § 43 GmbHG, para la AG el § 93 AktG. La regulación del BSIG es expresamente subsidiaria: no crea un nuevo supuesto de responsabilidad, sino que remite a los deberes de diligencia que de todos modos incumben a los gerentes.

Conviene corregir aquí una información errónea extendida: el anteproyecto de ley contenía originalmente una prohibición expresa de renunciar a las pretensiones de indemnización o de llegar a una transacción sobre ellas. Esta prohibición de renuncia se suprimió durante el procedimiento legislativo. Muchas páginas de asesoramiento lo afirman hasta hoy; en su lugar, son determinantes los límites generales del derecho societario para la renuncia y la transacción.

Que la responsabilidad de los órganos por fallos organizativos no es teoría lo demuestra la jurisprudencia mucho antes de NIS-2: el Tribunal Regional de Múnich I condenó en 2013, en la llamada sentencia «Neubürger» (10.12.2013 – 5 HK O 1387/10), a un antiguo miembro del consejo de Siemens porque no había organizado la empresa de forma que se impidieran las infracciones legales. Este criterio se puede trasladar directamente al cumplimiento de TI. Lo nuevo del § 38 BSIG no es, por tanto, la responsabilidad; lo nuevo es que el círculo de obligaciones para la seguridad de TI consta ahora negro sobre blanco en la ley.

Para situar los órdenes de magnitud: las multas del § 65 BSIG —hasta 10 millones de euros o el 2 % de la cifra de negocios mundial en las entidades especialmente importantes, hasta 7 millones de euros o el 1,4 % en las importantes— recaen sobre la entidad. El riesgo personal del gerente es la responsabilidad interna: el regreso de la propia sociedad por los daños derivados de medidas omitidas de forma contraria a sus deberes.

La dimensión del seguro: responder al cuestionario con honestidad

En paralelo a la ley, el ciberseguro se ha consolidado como segundo mecanismo de control. Las condiciones modelo de la Asociación General del Sector Asegurador Alemán (AVB Cyber) y el correspondiente cuestionario de riesgos para pequeñas y medianas empresas convierten medidas como la autenticación multifactor, las copias de seguridad desconectadas de la red u offline y una gestión de parches ordenada, de hecho, en condición para la cobertura del seguro. Quien responda a estas preguntas en la solicitud de forma incorrecta o demasiado optimista pone en peligro la cobertura en caso de siniestro.

Que se trata de sumas reales lo muestran las cifras del GDV para 2023: las aseguradoras abonaron alrededor de 180 millones de euros por ciberdaños —cerca de un 50 % más que en 2022—, con un daño medio de 45 370 euros por caso.

También el seguro D&O merece una mirada sobria: cubre en principio las pretensiones de responsabilidad interna contra la dirección, pero no el ciberdaño de la propia empresa. Los artículos jurídicos especializados señalan además que las aseguradoras pueden denegar la cobertura en caso de incumplimientos dolosos de las obligaciones. Quien, conociendo sus propias obligaciones, omite conscientemente medidas de seguridad no puede confiar, por tanto, en que la póliza lo compense.

El paquete de pruebas: seis puntos que debería poder acreditar

La buena noticia: el § 38 BSIG no exige magia, sino organización acreditable. Quien pueda mantener documentados los siguientes seis puntos tiene el círculo de obligaciones cubierto en su núcleo:

Decisión de riesgo documentada: una decisión tomada y registrada por la dirección sobre qué riesgos de TI asume la empresa y cuáles trata.
Catálogo de medidas cotejado contra el § 30 BSIG: una visión de conjunto de cuáles de las medidas legales de gestión de riesgos están implementadas y cómo, incluidos los puntos deliberadamente abiertos.
Ritmo de supervisión: una cita fija (p. ej., trimestral) en la que la dirección comprueba el estado de implementación, con acta.
Prueba de formación: certificados de participación de la dirección en formaciones periódicas según el § 38, apdo. 3, BSIG.
Manual de incidentes (playbook): un plan de actuación practicado para incidentes de seguridad, incluidas las vías de notificación.
Cuestionario del seguro respondido con honestidad: los datos facilitados al ciberasegurador coinciden con el estado real de las medidas.

Nada de esto es inalcanzable para una mediana empresa. Lo decisivo es que los puntos existan, estén actualizados y, en caso de duda, puedan presentarse —ante el BSI, el asegurador o, en caso de litigio, el propio consejo asesor—. Una toma de inventario estructurada, como la que llevamos a cabo en el marco del asesoramiento en regulación y cumplimiento, es el punto de partida habitual para ello; la derivación en una planificación de medidas plurianual pertenece a la estrategia de TI.

Cómo ayuda sector7

Como casa de gestión propia, asesoramos a las direcciones de tú a tú: desde el análisis de afectación, pasando por el cotejo con el catálogo de medidas del § 30 BSIG, hasta un paquete de pruebas sólido, acompañado por nuestro asesoramiento en cumplimiento sobre ISO 27001, NIS-2, DORA y TISAX. La implementación técnica la aporta una práctica de ingeniería certificada por fabricante (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), y la operación la supervisa nuestro NOC las veinticuatro horas. Todo ello con una tarifa plana mensual previsible, para que la decisión de riesgo documentada se sostenga también por el lado del presupuesto.

Este artículo es una interpretación técnica y no sustituye el asesoramiento jurídico en cada caso concreto.

La seguridad de TI es asunto de dirección por ley: § 38 BSIG para gerentes