§ 38 BSIG: segurança de TI é assunto da direção

Desde 6 de dezembro de 2025, vale a nova Lei do BSI. A lei de transposição da NIS-2 passou pelo Bundestag em 13 de novembro de 2025, pelo Bundesrat em 21 de novembro, e foi promulgada em 5 de dezembro de 2025 no Diário Oficial Federal (BGBl. 2025 I Nr. 301) – sem prazos de transição para as obrigações materiais. Um parágrafo dessa lei não se dirige à empresa, mas a uma pessoa: o § 38 BSIG interpela a própria direção.

Sobre o registro das entidades junto ao BSI escrevemos em outro lugar. Aqui trata-se da questão que afeta pessoalmente os administradores: o que a lei exige de mim – e o que acontece se eu a ignorar?

O que o § 38 BSIG concretamente exige

A norma contém duas obrigações que não se podem delegar para fora:

Implementar e supervisionar (n.º 1): a direção de entidades particularmente importantes e importantes é obrigada a implementar as medidas de gestão de risco segundo o § 30 BSIG e a supervisionar sua implementação. O trabalho operacional pode, naturalmente, ser realizado pelo departamento de TI ou por um prestador de serviços – a responsabilidade pela implementação e pelo controle permanece com o órgão.
Capacitação regular (n.º 3): a direção deve participar regularmente de capacitações, a fim de adquirir conhecimento suficiente para a avaliação de riscos e de práticas de gestão de risco. „Disso cuida minha TI“ está, com isso, legalmente encerrado como postura: o legislador espera que o nível de direção possa julgar por si as decisões de risco.

Quem cai no âmbito de aplicação

São afetadas as entidades nos setores do anexo da lei a partir dos limiares do § 28 BSIG: entidades importantes a partir de 50 colaboradores ou mais de 10 milhões de euros de faturamento e balanço, particularmente importantes a partir de 250 colaboradores ou mais de 50 milhões de euros de faturamento e mais de 43 milhões de euros de balanço. Cerca de 29.500 entidades estão reguladas segundo dados do BSI – antes eram cerca de 4.500. Muitos administradores no mercado médio carregam, portanto, essas obrigações pela primeira vez, muitas vezes sem saber.

A responsabilidade: vista com sobriedade, nada de novo – mas agora expresso

O § 38, n.º 2, BSIG determina que administradores que violem suas obrigações do n.º 1 respondem perante a própria entidade por danos causados „de forma culposa“ – segundo as regras do direito societário aplicáveis à forma jurídica da entidade. O requisito de culpa consta, nesse contexto, expressamente da lei. Para a GmbH, isso é o § 43 GmbHG, para a AG o § 93 AktG. A regra do BSIG é expressamente subsidiária: ela não cria um novo fato gerador de responsabilidade, mas remete aos deveres de diligência que os administradores já têm de qualquer forma.

Uma desinformação difundida deve ser corrigida nesse contexto: o projeto de lei continha originalmente uma proibição expressa de renunciar a pretensões de ressarcimento ou de transacionar sobre elas. Essa proibição de renúncia foi suprimida no processo legislativo. Muitas páginas de consultoria a afirmam até hoje – decisivos são, em vez disso, os limites gerais do direito societário para renúncia e transação.

Que a responsabilidade dos órgãos por omissões organizacionais não é teoria, mostra a jurisprudência já muito antes da NIS-2: o LG München I condenou em 2013, no chamado julgamento „Neubürger“ (10.12.2013 – 5 HK O 1387/10), um ex-membro do conselho de administração da Siemens, porque ele não havia organizado a empresa de modo que infrações à lei fossem impedidas. Esse critério pode ser transferido imediatamente para a compliance de TI. Novo no § 38 BSIG não é, portanto, a responsabilidade – novo é que o círculo de deveres para a segurança de TI está agora preto no branco na lei.

Para classificar as ordens de grandeza: as multas do § 65 BSIG – até 10 milhões de euros ou 2% do faturamento mundial para entidades particularmente importantes, até 7 milhões de euros ou 1,4% para entidades importantes – atingem a entidade. O risco pessoal do administrador é a responsabilidade interna: o regresso da própria sociedade por danos decorrentes de medidas omitidas em violação de dever.

A dimensão do seguro: responder o questionário com honestidade

Paralelamente à lei, o seguro cibernético estabeleceu-se como segundo mecanismo de controle. As condições-modelo da Federação Alemã do Setor de Seguros (AVB Cyber) e o questionário de risco correspondente para pequenas e médias empresas tornam medidas como autenticação multifator, backups desconectados da rede ou offline e gestão de patches ordenada, de fato, pré-requisito para a cobertura do seguro. Quem responder a essas perguntas de forma falsa ou otimista demais na proposta compromete a cobertura em caso de sinistro.

Que aí se trata de somas reais, mostram os números do GDV para 2023: as seguradoras pagaram cerca de 180 milhões de euros por danos cibernéticos – cerca de 50% mais do que em 2022 – com um sinistro médio de 45.370 euros por caso.

Também o seguro D&O merece um olhar sóbrio: ele cobre, por princípio, pretensões de responsabilidade interna contra a direção – mas não o dano cibernético da própria empresa. Contribuições jurídicas especializadas apontam ainda que as seguradoras podem recusar a cobertura em caso de violações de dever conscientes. Quem omite medidas de segurança conscientemente, ciente das próprias obrigações, não pode, portanto, contar que a apólice cubra isso.

O pacote de evidências: seis pontos que você deve poder comprovar

A boa notícia: o § 38 BSIG não exige mágica, mas organização comprovável. Quem puder manter documentados os seis pontos a seguir cobriu, em essência, o círculo de deveres:

Decisão de risco documentada: uma decisão tomada e registrada em ata pela direção sobre quais riscos de TI a empresa assume e quais trata.
Catálogo de medidas espelhado contra o § 30 BSIG: uma visão geral de quais das medidas legais de gestão de risco estão implementadas e como – incluindo os pontos conscientemente em aberto.
Ritmo de supervisão: uma data fixa (p. ex. trimestral) em que a direção verifica o estado da implementação – com ata.
Comprovante de capacitação: certificados de participação da direção em capacitações regulares segundo o § 38, n.º 3, BSIG.
Playbook de incidentes: um plano de ação treinado para incidentes de segurança, incluindo os caminhos de notificação.
Questionário de seguro respondido com honestidade: as informações prestadas à seguradora cibernética coincidem com o estado efetivo das medidas.

Nada disso é inatingível para uma empresa do mercado médio. Decisivo é que os pontos existam, estejam atualizados e possam, em caso de dúvida, ser apresentados – ao BSI, à seguradora ou, em caso de litígio, ao próprio conselho consultivo. Um levantamento estruturado, como o que realizamos no âmbito da consultoria de regulação e compliance, é para isso o ponto de partida usual; a derivação para um planejamento de medidas plurianual pertence à estratégia de TI.

Como a sector7 apoia

Como casa de gestão própria, assessoramos direções em pé de igualdade – do diagnóstico de aplicabilidade, passando pelo cotejo com o catálogo de medidas do § 30 BSIG, até o pacote robusto de evidências, acompanhados pela nossa consultoria de compliance sobre ISO 27001, NIS-2, DORA e TISAX. A implementação técnica é sustentada por prática de engenharia certificada por fabricantes (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), e a operação é monitorada pelo nosso NOC o tempo todo. Tudo isso a preços mensais fixos e planejáveis – para que a decisão de risco documentada se sustente também no lado orçamentário.

Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.

Segurança de TI é assunto da direção por lei: § 38 BSIG para administradores