§38 BSIG管理层职责
法定义务
§38(1) -- 实施与监督
管理层承担个人义务，须实施§30规定的风险管理措施并监督其实施。立法理由进一步明确：管理层须首先批准措施为适当，并持续监督其实施；即使借助辅助人员，管理机构仍承担最终责任（BT-Drs. 21/1501；参见NIS2第20条第1款）。
| 义务 | 描述 | 证明 |
|---|---|---|
| 实施 | 负责实施§30规定的所有风险管理措施，即使已委派 | 实施指令、资源分配 |
| 批准 | 正式批准措施为适当 | 已签署的批准文件 |
| 监督 | 持续监控措施的正确实施 | 定期安全报告、KPI审查 |
§38(2) -- 责任
- 违反第1款义务的管理层成员须对因过错造成的损害向本实体承担责任
- 责任依据相应法律形式的公司法确定（例如§43 GmbHG、§93 AktG）
- 仅当公司法未包含相应责任规定时，才依据BSIG本身承担责任
§38(3) -- 培训义务
- 管理层必须定期参加培训——根据立法理由，至少每三年一次
- 目的：获得足够的知识以识别和评估风险
- 内容：风险管理实践及其对实体服务的影响
BAUER GROUP的实施
批准流程
| 步骤 | 描述 | 文档 |
|---|---|---|
| 1. ISB制定措施方案 | 基于风险分析和§30要求 | 措施计划 |
| 2. 向管理层报告 | 说明风险和建议措施 | 演示材料 |
| 3. 讨论和调整 | 管理层可要求修改 | 会议纪要 |
| 4. 正式批准 | 管理层签字 | 含日期和签名的批准文件 |
| 5. 执行授权 | 资源释放和责任分配 | 书面授权 |
监督机制
| 机制 | 频率 | 形式 |
|---|---|---|
| KPI仪表板 | 每月 | 数字报告 |
| 季度管理报告 | 每季度 | 演示 + 讨论 |
| 年度安全报告 | 每年 | 书面报告含行动计划 |
| 事件驱动升级 | 高/关键级别时 | 即时通知 |
培训证明
| 方面 | 实施方式 |
|---|---|
| 频率 | 至少每年一次 |
| 形式 | 面授培训或合格的在线研讨会 |
| 讲师 | ISB或外部网络安全专家 |
| 证明 | 参与确认含日期、内容、时长 |
| 存档 | 至少3年 |
责任风险最小化
为最小化管理层个人责任风险，建议采取以下措施：
| 措施 | 描述 |
|---|---|
| 书面批准记录 | 每项措施均书面批准并存档 |
| 定期报告 | 通过知悉和讨论报告来证明监督 |
| 可证明的培训 | 保留参与证明 |
| 充足资源 | 为信息安全提供预算和人员 |
| 及时响应 | 风险一旦被识别即及时采取措施 |