§ 38 BSIG: segurança de TI é assunto da direção

Desde 6 de dezembro de 2025, vale a nova Lei do BSI. A lei de transposição da NIS-2 passou pelo Bundestag em 13 de novembro de 2025, pelo Bundesrat em 21 de novembro, e foi promulgada em 5 de dezembro de 2025 no Diário Oficial Federal (BGBl. 2025 I Nr. 301) – sem prazos de transição para as obrigações materiais. Um parágrafo dessa lei não se dirige à empresa, mas a uma pessoa: o § 38 BSIG interpela a própria direção.

Sobre o registo das entidades junto do BSI escrevemos noutro local. Aqui trata-se da questão que afeta pessoalmente os administradores: o que a lei exige de mim – e o que acontece se eu a ignorar?

O que o § 38 BSIG concretamente exige

A norma contém duas obrigações que não se podem delegar para fora:

Implementar e supervisionar (n.º 1): a direção de entidades particularmente importantes e importantes é obrigada a implementar as medidas de gestão de risco segundo o § 30 BSIG e a supervisionar a sua implementação. O trabalho operacional pode, naturalmente, ser realizado pelo departamento de TI ou por um prestador de serviços – a responsabilidade pela implementação e pelo controlo permanece com o órgão.
Formação regular (n.º 3): a direção deve participar regularmente em formações, a fim de adquirir conhecimento suficiente para a avaliação de riscos e de práticas de gestão de risco. «Disso cuida a minha TI» está, com isso, legalmente encerrado como postura: o legislador espera que o nível de direção possa julgar por si as decisões de risco.

Quem cai no âmbito de aplicação

São afetadas as entidades nos setores do anexo da lei a partir dos limiares do § 28 BSIG: entidades importantes a partir de 50 colaboradores ou mais de 10 milhões de euros de volume de negócios e balanço, particularmente importantes a partir de 250 colaboradores ou mais de 50 milhões de euros de volume de negócios e mais de 43 milhões de euros de balanço. Cerca de 29.500 entidades estão reguladas segundo dados do BSI – antes eram cerca de 4.500. Muitos administradores nas médias empresas carregam, portanto, essas obrigações pela primeira vez, muitas vezes sem saber.

A responsabilidade: vista com sobriedade, nada de novo – mas agora expresso

O § 38, n.º 2, BSIG determina que administradores que violem as suas obrigações do n.º 1 respondem perante a própria entidade por danos causados «de forma culposa» – segundo as regras do direito societário aplicáveis à forma jurídica da entidade. O requisito de culpa consta, nesse contexto, expressamente da lei. Para a GmbH, isso é o § 43 GmbHG, para a AG o § 93 AktG. A regra do BSIG é expressamente subsidiária: não cria um novo facto gerador de responsabilidade, mas remete aos deveres de diligência que os administradores já têm de qualquer forma.

Uma desinformação difundida deve ser corrigida nesse contexto: o projeto de lei continha originalmente uma proibição expressa de renunciar a pretensões de ressarcimento ou de transacionar sobre elas. Essa proibição de renúncia foi suprimida no processo legislativo. Muitas páginas de consultoria afirmam-na até hoje – decisivos são, em vez disso, os limites gerais do direito societário para renúncia e transação.

Que a responsabilidade dos órgãos por omissões organizacionais não é teoria, mostra a jurisprudência já muito antes da NIS-2: o LG München I condenou em 2013, na chamada sentença «Neubürger» (10.12.2013 – 5 HK O 1387/10), um ex-membro do conselho de administração da Siemens, porque não tinha organizado a empresa de modo que infrações à lei fossem impedidas. Esse critério pode ser transposto diretamente para a compliance de TI. Novo no § 38 BSIG não é, portanto, a responsabilidade – novo é que o círculo de deveres para a segurança de TI está agora preto no branco na lei.

Para classificar as ordens de grandeza: as coimas do § 65 BSIG – até 10 milhões de euros para entidades particularmente importantes e até 7 milhões de euros para entidades importantes; com volume de negócios total a nível mundial superior a 500 milhões de euros, em vez disso até 2% ou 1,4% desse volume de negócios – atingem a entidade. O risco pessoal do administrador é a responsabilidade interna: o regresso da própria sociedade por danos decorrentes de medidas omitidas em violação de dever.

A dimensão do seguro: responder o questionário com honestidade

Paralelamente à lei, o seguro cibernético estabeleceu-se como segundo mecanismo de controlo. As condições-modelo da Federação Alemã do Setor de Seguros (AVB Cyber) e o questionário de risco correspondente para pequenas e médias empresas tornam medidas como autenticação multifator, backups separados da rede ou offline e gestão de patches ordenada, de facto, pré-requisito para a cobertura do seguro. Quem responder a essas perguntas de forma falsa ou demasiado otimista na proposta compromete a cobertura em caso de sinistro.

Que aí se trata de somas reais, mostram os números do GDV para 2023: as seguradoras pagaram cerca de 180 milhões de euros por danos cibernéticos – cerca de 50% mais do que em 2022 – com um sinistro médio de 45.370 euros por caso.

Também o seguro D&O merece um olhar sóbrio: cobre, por princípio, pretensões de responsabilidade interna contra a direção – mas não o dano cibernético da própria empresa. Contribuições jurídicas especializadas apontam ainda que as seguradoras podem recusar a cobertura em caso de violações de dever conscientes. Quem omite medidas de segurança conscientemente, ciente das próprias obrigações, não pode, portanto, contar com que a apólice cubra isso.

O pacote de evidências: seis pontos que deve poder comprovar

A boa notícia: o § 38 BSIG não exige magia, mas organização comprovável. Quem puder manter documentados os seis pontos seguintes cobriu, em essência, o círculo de deveres:

Decisão de risco documentada: uma decisão tomada e registada em ata pela direção sobre que riscos de TI a empresa assume e quais trata.
Catálogo de medidas espelhado contra o § 30 BSIG: uma visão geral de quais das medidas legais de gestão de risco estão implementadas e como – incluindo os pontos conscientemente em aberto.
Ritmo de supervisão: uma data fixa (p. ex. trimestral) em que a direção verifica o estado da implementação – com ata.
Comprovativo de formação: certificados de participação da direção em formações regulares segundo o § 38, n.º 3, BSIG.
Playbook de incidentes: um plano de ação treinado para incidentes de segurança, incluindo os caminhos de notificação.
Questionário de seguro respondido com honestidade: as informações prestadas à seguradora cibernética coincidem com o estado efetivo das medidas.

Nada disso é inatingível para uma média empresa. Decisivo é que os pontos existam, estejam atualizados e possam, em caso de dúvida, ser apresentados – ao BSI, à seguradora ou, em caso de litígio, ao próprio conselho consultivo. Um levantamento estruturado, como o que realizamos no âmbito da consultoria de regulação e compliance, é para isso o ponto de partida usual; a derivação para um planeamento de medidas plurianual pertence à estratégia de TI.

Como a sector7 apoia

Como empresa gerida pelo proprietário, assessoramos direções em pé de igualdade – do diagnóstico de aplicabilidade, passando pelo cotejo com o catálogo de medidas do § 30 BSIG, até ao pacote robusto de evidências, acompanhados pela nossa consultoria de compliance sobre ISO 27001, NIS-2, DORA e TISAX. A implementação técnica é sustentada por prática de engenharia certificada por fabricantes (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), e a operação é monitorizada pelo nosso NOC a toda a hora. Tudo isso a preços mensais fixos e planeáveis – para que a decisão de risco documentada se sustente também no lado orçamental.

Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.

Correção de 1 de outubro de 2026: Na primeira versão, as percentagens (2% ou 1,4% do volume de negócios a nível mundial) apareciam como alternativa aos valores fixos. Segundo o § 65 (6) e (7) da BSIG, aplicam-se apenas a entidades com volume de negócios total superior a 500 milhões de euros e, nesse caso, substituem os valores fixos. Corrigimos a passagem em conformidade.

Segurança de TI é assunto da direção por lei: § 38 BSIG para administradores